🔍 บทนำ

(เนื้อหาเริ่มต้นของบทความ Spiderfoot Automation: การเก็บข้อมูล OSINT แบบอัตโนมัติ)

บทที่ 11 นี้เราจะก้าวเข้าสู่โลกของ “การสืบสวนแบบอัตโนมัติ” (Automated Reconnaissance) ครับ หลังจากที่เราเรียนรู้วิธีการขุดหาข้อมูลด้วยมือ (Manual) มาหลายบท ตั้งแต่ระดับ ARP ไปจนถึง DNS ตอนนี้ถึงเวลาที่เราจะใช้เครื่องมือระดับ “หุ่นยนต์นักสืบ” อย่าง Spiderfoot เพื่อรวบรวมเบาะแสจากทั่วทั้งอินเทอร์เน็ตมาให้เราในคลิกเดียวครับ

🤖 11-Spiderfoot Automation: การเก็บข้อมูล OSINT แบบอัตโนมัติ

ในการสืบสวนเป้าหมายหนึ่งราย (เช่น ชื่อโดเมน หรือ IP Address) หากเราต้องไปนั่งเช็ค DNS, ดู WHOIS, สแกน Shodan, เช็คประวัติอีเมล และดู Social Media ทีละอย่างคงต้องใช้เวลาเป็นวัน Spiderfoot คือเครื่องมือที่รวบรวมโมดูลการสืบสวนกว่า 200 รายการมาทำงานร่วมกัน เพื่อวาดภาพโครงข่ายของเป้าหมายให้เราเห็นแบบเบ็ดเสร็จครับ

📖 พจนานุกรมฉบับนักสืบ (The Investigator’s Glossary)

คำศัพท์คำอ่านความหมายในเชิงเทคนิค
Footprintingฟุต-พรินต์-ทิ่งการเก็บรวบรวม “ร่องรอย” ของเป้าหมายเพื่อสร้างขอบเขตของโครงสร้างพื้นฐาน
API Keyเอ-พี-ไอ คีย์“กุญแจรหัส” สำหรับเชื่อมต่อ Spiderfoot เข้ากับฐานข้อมูลภายนอก (เช่น Shodan, VirusTotal)
Scrapingสเกรป-ปิ้งการส่งหุ่นยนต์ไป “ขูด” ข้อมูลจากหน้าเว็บไซต์เพื่อหาอีเมลหรือเบาะแสที่ซ่อนอยู่
Correlationsคอร์-เร-เล-ชันการหา “ความเชื่อมโยง” ระหว่างข้อมูลที่ดูไม่เกี่ยวกัน (เช่น IP นี้เคยใช้กับอีเมลนี้)
Passive Scanแพส-ซีฟ สแกนการสืบสวนที่ไม่สัมผัสเป้าหมายเลย (เน้นถามจากฐานข้อมูลอื่น) เหมาะกับการสืบสวนทางลับ

🔍 กลไกการทำงานของ Spiderfoot

Spiderfoot ทำงานเป็นลำดับขั้น (Pipeline) ดังนี้:

  1. Target Input: คุณใส่จุดเริ่มต้น เช่น knupan.com หรือ 1.1.1.1

  2. Module Execution: หุ่นยนต์จะเริ่มทำงานตาม Modules ที่คุณเลือก เช่น ถาม DNS, เช็ค Blacklist, หรือค้นหาชื่อพนักงาน

  3. Recursive Discovery: หากเจอข้อมูลใหม่ (เช่น เจอ IP ใหม่จาก DNS) มันจะเอา IP นั้นไปสืบสวนต่อทันทีจนกว่าจะหมดหัวข้อ

🛠 การติดตั้งและใช้งานบน Arch Linux

Spiderfoot รันบน Python และมี Interface สวยงามผ่าน Web Browser ครับ

1. การติดตั้ง (วิธีที่ง่ายที่สุดคือใช้ Docker หรือ Clone จาก GitHub)

Bash

# เตรียมเครื่องมือ
sudo pacman -S python-pip python-virtualenv git

# Clone โปรเจกต์
git clone https://github.com/smicallef/spiderfoot.git
cd spiderfoot
pip install -r requirements.txt

2. เริ่มต้นรันระบบ

Bash

python3 ./sf.py -l 127.0.0.1:5001

หลังจากนั้นให้เปิด Browser ไปที่ http://127.0.0.1:5001

🕵️ เทคนิคสืบสวน: การตั้งค่า Scan เพื่อผลลัพธ์ระดับโปร

ในหน้า UI ของ Spiderfoot คุณจะเห็นตัวเลือกการสแกน 3 แบบ:

  1. Footprint: เก็บทุกอย่างที่ขวางหน้า (ข้อมูลจะเยอะมากจนปวดหัว)

  2. Investigate: เน้นหาความเชื่อมโยงว่าเป้าหมาย “น่าสงสัย” แค่ไหน

  3. Passive: (แนะนำสำหรับนักสืบ) เน้นการใช้ฐานข้อมูลภายนอก ไม่ให้เป้าหมายรู้ตัวว่าถูกส่อง

🕵️ จุดพิรุธที่นักสืบต้องมองหาในผลลัพธ์

เมื่อสแกนเสร็จ Spiderfoot จะแยกประเภทข้อมูล (Data Types) ให้เรา:

  • Account on External Site: ดูว่าชื่อผู้ใช้นี้แอบไปสมัครเว็บไหนไว้บ้าง (เช่น GitHub, Twitter)

  • Leaked Credentials: ตรวจสอบว่าอีเมลของเป้าหมายเคยอยู่ในรายการ “ข้อมูลหลุด” หรือไม่

  • Domain Whois: ดูประวัติการจดทะเบียนว่าเคยใช้ชื่อ-นามสกุลจริงจดหรือไม่

📝 บันทึกการวิเคราะห์: พลังของ API

Spiderfoot จะทรงพลังที่สุดเมื่อคุณใส่ API Keys ของบริการอย่าง Shodan, VirusTotal, หรือ Hunter.io เข้าไป เพราะมันจะทำให้หุ่นยนต์ตัวนี้เข้าถึงฐานข้อมูลระดับโลกได้ทันทีครับ

💡 ขั้นตอนต่อไปที่คุณควรลอง:

  1. ลองใช้ Domain ของตัวเองเป็นเป้าหมาย แล้วรันการสแกนแบบ Passive ดูว่าโลกอินเทอร์เน็ต “รู้จัก” คุณมากแค่ไหน

  2. สังเกตส่วนของ Node Graph เพื่อดูว่าข้อมูลแต่ละอย่างโยงใยหากันอย่างไร