Probing (การสำรวจ/สแกน) ในความปลอดภัยเครือข่ายคืออะไร
Probing (หรือ Network Probing / Reconnaissance) คือ กระบวนการ **เก็บข้อมูลข่าวสารเกี่ยวกับเครือข่ายเป้าหมาย (Target Network)** เพื่อหาจุดอ่อน ช่องโหว่ และข้อมูลที่มีประโยชน์สำหรับการโจมตีในภายหลัง เป็นขั้นตอนแรกของ **Cyber Kill Chain (Reconnaissance)** และ **MITRE ATT&CK (TA0043: Reconnaissance)**
🎯 เป้าหมายของ Probing
- ค้นหา **Live Hosts** (Host Discovery)
- ระบุ **Open Ports & Services** (Port Scanning / Service Enumeration)
- ระบุ **OS & Version** (OS Fingerprinting)
- ค้นหา **Vulnerabilities / Misconfigurations** (Vulnerability Scanning)
- ทำ **Network Topology Mapping** (Traceroute, CDP/LLDP, SNMP Walk)
- เก็บ **Banner Grabbing** (Service Version, Header Info)
- ค้นหา **Subdomains, DNS Records, SSL Certs** (Passive DNS, Certificate Transparency)
🔍 ประเภทของ Probing (ตามระดับการโต้ตอบ)
| ประเภท | คำอธิบาย | ตัวอย่างเครื่องมือ/เทคนิค | ความเสี่ยงถูกตรวจจับ |
|---|---|---|---|
| Passive Reconnaissance | ไม่ส่งแพ็กเก็ตไปยังเป้าหมายโดยตรง ใช้ข้อมูลสาธารณะ | WHOIS, DNS Dumpster, Shodan, Censys, FOFA, Certificate Transparency Logs, Wayback Machine, Google Dorks, LinkedIn, Job Postings | ต่ำมาก (ไม่สัมผัสเป้าหมาย) |
| Active Reconnaissance | ส่งแพ็กเก็ตไปยังเป้าหมายโดยตรง เพื่อขอตอบกลับ | Nmap, Masscan, Zmap, Ping Sweep, Traceroute, Banner Grabbing (netcat, curl) | ปานกลาง-สูง (IDS/IPS/Firewall จับได้) |
| Credentialed / Authenticated Scanning | สแกนด้วยสิทธิ์เข้าถึง (SSH, WinRM, SNMP, API) - ลึกที่สุด | Nessus/OpenVAS/Qualys (Credentialed Scan), Lynis, kics, checkov | ต่ำ (ถือว่า Authorized) แต่ต้องมีสิทธิ์ |
🛠️ เทคนิคและเครื่องมือ Probing ยอดนิยม
1. Host Discovery (Ping Sweep)
- Nmap:
nmap -sn 192.168.1.0/24(Ping Scan),nmap -PS22,80,443 -PA22,80,443(TCP SYN/ACK Ping) - fping:
fping -a -g 192.168.1.0/24 - ARP Scan (Local Network):
arp-scan -l,nmap -PR
2. Port Scanning
- TCP SYN Scan (Stealth/Stealth SYN):
nmap -sS- ไม่ทำ 3-way handshake เร็ว/ลับ - TCP Connect Scan:
nmap -sT- Full Handshake ช้ากว่า - UDP Scan:
nmap -sU- ช้า ต้องการ Rate Limit - Masscan (High-speed):
masscan -p1-65535 10.0.0.0/8 --rate=100000- สแกนอินเทอร์เน็ตทั้งโลกได้ในไม่กี่นาที
3. Service/Version Enumeration
- Nmap Version Detection:
nmap -sV -p- - Banner Grabbing:
nc -nv 192.168.1.10 22,curl -I https://target - Nmap NSE Scripts:
nmap --script=banner,vuln,auth,ssl-cert
4. OS Fingerprinting
- Nmap OS Detection:
nmap -O(ต้องการ Root/Admin) - p0f: Passive OS Fingerprinting (ไม่ส่งแพ็กเก็ต)
5. Vulnerability Scanning
- Nessus / Tenable.io - Enterprise Standard
- OpenVAS / Greenbone - Open Source
- Nmap NSE Vuln Scripts:
nmap --script=vuln - Nuclei (Template-based):
nuclei -t cves/ -u https://target- เร็ว ยืดหยุ่น
6. Network Mapping / Topology
- Traceroute:
traceroute target.com,mtr - CDP/LLDP Enumeration:
nmap --script=cdp-neighbors,lldp-neighbors - SNMP Walk:
snmpwalk -c public -v2c target(ถ้า Community String ผิด/ค่า Default)
🛡️ การตรวจจับและป้องกัน Probing (Detection & Prevention)
| มาตรการ | คำอธิบาย |
|---|---|
| IDS/IPS (Suricata, Snort, Zeek) | กฎ (Rules) ตรวจจับ Port Scan (Threshold-based), Nmap Scripts, Masscan Patterns, Banner Grabbing |
| Firewall / WAF Rate Limiting | จำกัดอัตราการเชื่อมต่อ/Request ต่อ IP/Subnet (Geo-blocking, ASN blocking) |
| Port Knocking / SPA (Single Packet Authorization) | ซ่อนพอร์ตบริการ ไม่แสดง Open Port จนกว่าจะได้ Sequence ที่ถูกต้อง |
| Honeypots / Deception (Canarytokens, Thinkst Canary, Cowrie, Dionaea) | วาง Decoy Systems/Services - โจมตี Honeypot = ตรวจพบ Attacker ทันที |
| Network Segmentation / Zero Trust | จำกัด Lateral Movement แม้ Probing สำเร็จ ก็ไม่เห็น Internal Network ทั้งหมด |
| Threat Intelligence Feeds | Block Known Scanner IPs (Shodan, Censys, Masscan, Tor Exit Nodes, VPN/Proxy IPs) |
| Certificate Transparency Monitoring | ติดตาม Certificates ที่ออกใหม่สำหรับ Domain/Subdomain ขององค์กร |
⚖️ Probing ที่ถูกต้องกฎหมาย vs ผิดกฎหมาย
- ✅ **Authorized:** Penetration Testing (มี Scope/ROE เขียนลงสัญญา), Bug Bounty (ใน Scope), Vulnerability Management (Internal), Red Teaming (Authorized)
- ❌ **Unauthorized:** สแกนเป้าหมายโดยไม่ได้รับอนุญาต - **ผิดกฎหมาย** ในส่วนใหญ่ (Computer Fraud and Abuse Act - CFAA ในสหรัฐ, พ.ร.บ. คอมพิวเตอร์เกี่ยวกับอาชญากรรมทางไซเบอร์ ในไทย)
- ⚠️ **Gray Area:** Security Researchers ที่รายงานช่องโหว่โดยไม่มี Bug Bounty Program - ควรมี Policy ชัดเจน (VDP - Vulnerability Disclosure Program)
📝 Probing ในบริบทของ "Probe Attack" (ความหมายเฉพาะ)
บางบริบท "Probe Attack" หมายถึง: **การโจมตีที่ออกแบบมาเพื่อกระตุ้นระบบตรวจจับ (IDS/IPS) ให้แจ้งเตือน** โดยเจตนา - เพื่อ:
- ทดสอบความไวของกฎแจ้งเตือน (Rule Tuning)
- ศึกษา **ตำแหน่งและความสามารถของ Sensor/Detector** (Reconnaissance the Defenders)
- ทำ **Noise/Diversion** เพื่อหลบการโจมตีจริงที่เกิดพร้อมกัน
สรุป
Probing = Reconnaissance = ขั้นแรกของ Cyber Kill Chain
🔍 **ประเภท:** Passive (OSINT) → Active (Scanning) → Credentialed (Deep)
🛠️ **เครื่องมือ:** Nmap, Masscan, Nessus, Nuclei, Shodan, Censys, p0f, snmpwalk
🛡️ **ป้องกัน:** IDS/IPS Rate-limiting, Honeypots, Segmentation, Zero Trust, Threat Intel Blocking
⚖️ **กฎหมาย:** ต้องมี **Authorization ลงลายมือชื่อ** ก่อนทำ Active Probing ใดๆ
💡 **สำหรับ Blue Team:** ใช้ Probing เอง (Authorized) เพื่อหาจุดอ่อนก่อนโจมตีจริง (Continuous Vulnerability Management, Attack Surface Management)
