สารบัญ7 หัวข้อหลัก
- 1.เป้าหมาย สินทรัพย์ ความเสี่ยง และมาตรการหลายชั้น
- 2.ผู้คุกคาม เส้นทางโจมตี และพฤติกรรมที่ต้องตรวจจับ
- 3.การเข้ารหัส ตัวตน สิทธิ และสถาปัตยกรรมเครือข่าย
- 4.ปลายทาง ข้อมูล คลาวด์ และวงจรพัฒนาระบบ
- 5.ช่องโหว่ การตรวจจับ การรับเหตุ และความต่อเนื่อง
- 6.กรอบมาตรฐาน Zero Trust และการกำกับวัดผล
- 7.หน้าที่ตามกฎหมาย เหตุละเมิดข้อมูล และความปลอดภัยของ AI
เป้าหมาย สินทรัพย์ ความเสี่ยง และมาตรการหลายชั้น
ขอบเขตของความมั่นคงปลอดภัยไซเบอร์ — Information security ครอบคลุม ข้อมูลทุกรูปแบบทั้งดิจิทัล กระดาษ คําพูด และความรู้ ส่วนมุ่งเน้น Confidentiality, Integrity, Availability และคุณสมบัติที่เกี่ยวข้อง. Cybersecurity ครอบคลุม ระบบ เครือข่าย บริการ ข้อมูล และกิจกรรมในสภาพแวดล้อมไซเบอร์ ส่วนมุ่งเน้น ป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์. IT security ครอบคลุม เทคโนโลยีสารสนเทศขององค์กร ส่วนมุ่งเน้น อุปกรณ์ ระบบปฏิบัติการ Application, Network และ Data. Privacy ครอบคลุม การประมวลผลข้อมูลส่วนบุคคลและสิทธิของเจ้าของข้อมูล ส่วนมุ่งเน้น ฐานกฎหมาย วัตถุประสงค์ ความจําเป็น ความโปร่งใส และสิทธิ.
เป้าหมาย CIA และคุณสมบัติประกอบ — Confidentiality ใช้พิจารณาว่า ผู้ไม่มีสิทธิเห็นข้อมูลได้หรือไม่ ส่วนตัวอย่างที่เกี่ยวข้องคือ Least privilege, Encryption, DLP, Classification. Integrity ใช้พิจารณาว่า ข้อมูล/ระบบถูกแก้ไขหรือทําลายโดยมิชอบหรือไม่ ส่วนตัวอย่างที่เกี่ยวข้องคือ Hash/MAC, Digital signature, Validation, Audit log. Availability ใช้พิจารณาว่า ผู้มีสิทธิเข้าถึงบริการได้ทันเวลาและเชื่อถือได้หรือไม่ ส่วนตัวอย่างที่เกี่ยวข้องคือ Redundancy, Capacity, DDoS protection, Backup/DR. Authenticity ใช้พิจารณาว่า บุคคล ระบบ หรือข้อมูลเป็นของจริงตามที่อ้างหรือไม่ ส่วนตัวอย่างที่เกี่ยวข้องคือ Certificate, Authentication, Signature.
ศัพท์แกนกลาง: Asset–Threat–Vulnerability–Risk–Control — ลําดับการดําเนินงานประกอบด้วย Asset/Business service → Threat source + Threat event → Vulnerability/Exposure → Likelihood → Impact → Inherent risk → Control → Residual risk → Risk decision โดยแต่ละช่วงต้องระบุผู้รับผิดชอบ ข้อมูลนําเข้า ผลส่งมอบ เกณฑ์ตัดสิน และหลักฐานที่ตรวจสอบย้อนหลังได้. Asset หมายถึง สิ่งที่มีคุณค่าหรือสนับสนุนพันธกิจ ส่วนตัวอย่างที่เกี่ยวข้องคือ ข้อมูล บุคลากร ชื่อเสียง ระบบ กุญแจ คู่ค้า บริการ. Threat หมายถึง เหตุหรือผู้ก่อเหตุที่อาจทําอันตราย ส่วนตัวอย่างที่เกี่ยวข้องคือ Ransomware, Insider, ไฟไหม้, Human error.
การบริหารความเสี่ยงไซเบอร์ — การบริหารความเสี่ยงเริ่มจากบริบท วัตถุประสงค์ เกณฑ์ผลกระทบและระดับยอมรับ ระบุทรัพย์สิน ภัยคุกคาม จุดอ่อน การเปิดรับและมาตรการที่มีอยู่ ประเมินโอกาสกับผลกระทบ เลือกวิธีจัดการ ระบุเจ้าของ กําหนดเวลา และติดตามความเสี่ยงคงเหลือ การใช้คะแนนหรือเมทริกซ์ช่วยให้ตัดสินใจสอดคล้องกัน แต่ต้องบันทึกสมมติฐาน คุณภาพข้อมูล ความไม่แน่นอน และความสัมพันธ์กับผลกระทบต่อภารกิจ. ลําดับการดําเนินงานประกอบด้วย กําหนดบริบท/ขอบเขต → ระบุ Asset–Dependency–Threat–Vulnerability → วิเคราะห์ Likelihood/Impact → ประเมินเทียบ Risk appetite → เลือก Treatment → อนุมัติ/ดําเนิน
Control → ติดตาม Indicator → ทบทวนเมื่อบริบทเปลี่ยน โดยแต่ละช่วงต้องระบุผู้รับผิดชอบ ข้อมูลนําเข้า ผลส่งมอบ เกณฑ์ตัดสิน และหลักฐานที่ตรวจสอบย้อนหลังได้. Attack surface, Trust boundary และ Defense in depth — Attack surface หมายถึง จุดทั้งหมดที่ผู้โจมตีอาจเข้าถึงหรือมีอิทธิพล ส่วนตัวอย่างที่เกี่ยวข้องคือ Internet service, API, Identity, Supplier, Employee, Physical port. Attack vector หมายถึง เส้นทาง/วิธีเข้าถึงเป้าหมาย ส่วนตัวอย่างที่เกี่ยวข้องคือ Phishing, Exploit, Stolen token, USB, Supply chain. Trust boundary หมายถึง จุดที่ระดับความเชื่อถือหรือสิทธิเปลี่ยน ส่วนตัวอย่างที่เกี่ยวข้องคือ Internet–DMZ, User–Admin, Tenant–Provider.
Defense in depth หมายถึง หลายชั้นที่ Failure mode ไม่เหมือนกัน ส่วนตัวอย่างที่เกี่ยวข้องคือ MFA + Least privilege + EDR + Segmentation + Backup. ประเภทและคุณสมบัติของการควบคุม — Directive รับผิดชอบ กําหนดสิ่งที่ต้องทํา ส่วนตัวอย่างที่เกี่ยวข้องคือ Policy, Standard, Procedure, Secure baseline. Deterrent รับผิดชอบ ยับยั้งด้วยการรับรู้ผล/โอกาสถูกพบ ส่วนตัวอย่างที่เกี่ยวข้องคือ Warning banner, Sanction, Visible guard. Preventive รับผิดชอบ ป้องกันหรือทําให้เหตุเกิดยาก ส่วนตัวอย่างที่เกี่ยวข้องคือ MFA, Firewall deny, Input validation, Least privilege. Detective รับผิดชอบ ค้นเหตุหรือความผิดปกติ ส่วนตัวอย่างที่เกี่ยวข้องคือ IDS, EDR alert, Log review, Reconciliation.
ผู้คุกคาม เส้นทางโจมตี และพฤติกรรมที่ต้องตรวจจับ
วงจรการโจมตีและฐานความรู้พฤติกรรมผู้โจมตี — กรอบวงจรการโจมตีช่วยจัดลําดับการวิเคราะห์เหตุ ส่วน MITRE ATT&CK เป็นฐานความรู้ของยุทธวิธีและเทคนิคที่สังเกตจากพฤติกรรมผู้โจมตี มิได้กําหนดว่าทุกเหตุจะดําเนินเป็นเส้นตรงหรือใช้เทคนิคครบทุกช่วง การนําไปใช้ต้องเชื่อมทรัพย์สิน แหล่งบันทึก การตรวจจับ มาตรการ และสมมติฐานของภัยที่เกี่ยวข้องกับองค์กร เพื่อค้นช่องว่างที่ตรวจพบหรือหยุดพฤติกรรมไม่ได้. Cyber Kill Chain ใช้พิจารณาว่า การโจมตีแบบเป็นลําดับตั้งแต่ Reconnaissance, Weaponization, Delivery, Exploitation, Installation, C2 ถึง Actions on Objectives ส่วนประเด็นควบคุมคือ มิใช่ทุกเหตุเดินเส้นตรงและเน้นมุมมอง Intrusion แบบดั้งเดิม. MITRE ATT&CK ใช้พิจารณาว่า Tactics, Techniques และ Procedures ที่พบจริง เพื่อทํา Detection/Gap analysis/Simulation ส่วนประเด็นควบคุมคือ มิใช่ รายการตรวจสอบ Compliance
และไม่จัดลําดับการโจมตีตายตัว. Diamond Model ใช้พิจารณาว่า ความสัมพันธ์ Adversary–Capability–Infrastructure–Victim ส่วนประเด็นควบคุมคือ ต้องมี Context/หลักฐานเพื่อเชื่อมเหตุ. ผู้คุกคาม แรงจูงใจ และ Insider risk — Cybercriminal มีแรงจูงใจจาก เงิน โดยมีสาระว่า Fraud, Ransomware, Credential/ข้อมูลขายต่อ. Nation-state/APT มีแรงจูงใจจาก จารกรรม อิทธิพล ความได้เปรียบทางยุทธศาสตร์ โดยมีสาระว่า ทรัพยากรสูง อดทน ปกปิด และมุ่งเป้าระยะยาว. Hacktivist มีแรงจูงใจจาก อุดมการณ์/การประท้วง โดยมีสาระว่า DDoS, Defacement, Leak และการสร้างกระแส. Insider โดยเจตนา มีแรงจูงใจจาก เงิน แค้น อุดมการณ์ หรือบังคับ โดยมีสาระว่า มีสิทธิ/ความรู้บริบท จึงหลบ Control บางชนิดได้.
Insider โดยประมาท/ถูกหลอก มีแรงจูงใจจาก ไม่มีเจตนาร้าย โดยมีสาระว่า ส่งผิด ตั้งค่าผิด กด Phishing ใช้ Shadow IT. Competitor/Industrial spy มีแรงจูงใจจาก ความได้เปรียบทางธุรกิจ โดยมีสาระว่า ขโมยความลับทางการค้า แผน หรือทรัพย์สินทางปัญญา. Script kiddie/Opportunist มีแรงจูงใจจาก ทดลอง ชื่อเสียง ความสนุก โดยมีสาระว่า ใช้เครื่องมือสําเร็จรูปโจมตีเป้าหมายที่เปิดช่อง. Malware และกลไกที่ต้องแยก — Virus หมายถึง แทรกใน Host file/โปรแกรมและแพร่เมื่อถูกเรียก ส่วนประเด็นควบคุมคือ มิใช่ชื่อรวมของ Malware ทุกชนิด. Worm หมายถึง แพร่ตัวเองผ่านเครือข่ายหรือช่องโหว่ ส่วนประเด็นควบคุมคือ อาจกระจายโดยไม่ต้องให้ผู้ใช้เปิดไฟล์. Trojan หมายถึง ปลอมเป็นสิ่งที่ชอบธรรมเพื่อให้ติดตั้ง/รัน ส่วนประเด็นควบคุมคือ ไม่จําเป็นต้องแพร่ตัวเอง.
Ransomware หมายถึง เข้ารหัส/ทําลาย Availability และมักขโมยข้อมูลเพื่อขู่เปิดเผย ส่วนประเด็นควบคุมคือ จ่ายเงินไม่รับรองกู้คืนหรือลบข้อมูล. Spyware/Infostealer หมายถึง ขโมย Credential, Cookie, Wallet และข้อมูล ส่วนประเด็นควบคุมคือ MFA อาจถูกเลี่ยงด้วย Session token. Rootkit/Bootkit หมายถึง ซ่อนตัวและคงอยู่ในระดับลึก ส่วนประเด็นควบคุมคือ ต้องใช้ Telemetry/Integrity check ที่เชื่อถือได้. Social engineering, Phishing และ BEC — Phishing เกิดหรือทํางานผ่าน ข้อความหลอกวงกว้าง ส่วนควบคุมหรือดําเนินการด้วย ตรวจ Domain/ปลายทาง ใช้ Email authentication, Filtering, MFA. Spear phishing เกิดหรือทํางานผ่าน ปรับเนื้อหาตามบุคคล/องค์กร ส่วนควบคุมหรือดําเนินการด้วย ยืนยันผ่านช่องทางอิสระและจํากัดข้อมูลสาธารณะ.
Whaling เกิดหรือทํางานผ่าน มุ่งผู้บริหาร/ผู้มีอํานาจ ส่วนควบคุมหรือดําเนินการด้วย Approval หลายคนและปกป้อง Executive account. Smishing/Vishing เกิดหรือทํางานผ่าน SMS/แชต และโทรศัพท์ ส่วนควบคุมหรือดําเนินการด้วย ไม่ควรเชื่อ Caller ID/Link; โทรกลับหมายเลขทางการ. Business Email Compromise เกิดหรือทํางานผ่าน ยึด/ปลอมอีเมลเพื่อเปลี่ยนบัญชีหรือสั่งโอน ส่วนควบคุมหรือดําเนินการด้วย Out-of-band verification, Dual control, Mailbox rule alert. Pretexting เกิดหรือทํางานผ่าน สร้างเรื่อง/บทบาทให้เหยื่อเชื่อ ส่วนควบคุมหรือดําเนินการด้วย Identity proofing และ Script สําหรับ Help desk. เทคนิคโจมตีระบบและข้อมูล — Credential stuffing เกิดหรือทํางานผ่าน ใช้คู่บัญชี/รหัสที่รั่วจากที่อื่น ส่วนควบคุมหรือดําเนินการด้วย Unique password, MFA, Breach detection, Rate limit.
Password spraying เกิดหรือทํางานผ่าน ลองรหัสยอดนิยมกับหลายบัญชีเพื่อเลี่ยง Lockout ส่วนควบคุมหรือดําเนินการด้วย MFA, Smart lockout, Detect distributed attempts. Brute force เกิดหรือทํางานผ่าน ลองความเป็นไปได้จํานวนมาก ส่วนควบคุมหรือดําเนินการด้วย Long password, Hash ช้า, Rate limit, MFA. Privilege escalation เกิดหรือทํางานผ่าน เพิ่มสิทธิแนวตั้งหรือข้ามผู้ใช้แนวนอน ส่วนควบคุมหรือดําเนินการด้วย Patch, Authorization test, Least privilege, Isolation. Lateral movement เกิดหรือทํางานผ่าน เคลื่อนจากเครื่องแรกไปทรัพยากรอื่น ส่วนควบคุมหรือดําเนินการด้วย Segmentation, Tiered admin, EDR, Credential hygiene. Persistence เกิดหรือทํางานผ่าน รักษาการเข้าถึงหลัง Reboot/เปลี่ยน Credential ส่วนควบคุมหรือดําเนินการด้วย Baseline, Startup/Identity/Cloud audit, Rebuild เมื่อจําเป็น.
- 1ระบุสินทรัพย์และพื้นผิวโจมตีที่เปิดรับ
- 2ประเมินผู้คุกคาม แรงจูงใจ และช่องทางเริ่มต้น
- 3ตรวจการเข้าถึง การคงอยู่ และการยกระดับสิทธิ
- 4เชื่อมเหตุการณ์การเคลื่อนที่ภายในกับการเข้าถึงข้อมูล
- 5จำกัดผลกระทบ เก็บหลักฐาน และปรับมาตรการจากสิ่งที่พบ
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต