สารบัญ6 หัวข้อหลัก
- 1.บทที่ 1 ขอบเขต เป้าหมาย และการตัดสินใจบนความเสี่ยง
- 2.บทที่ 2 ผู้คุกคาม มัลแวร์ และเส้นทางการโจมตี
- 3.บทที่ 3 การคุ้มครองตัวตน ข้อมูล ระบบ เครือข่าย และคลาวด์
- 4.บทที่ 4 การพัฒนาระบบ ช่องโหว่ คู่ค้า และความเสี่ยงจาก AI
- 5.บทที่ 5 การตรวจจับ ตอบสนอง พิสูจน์หลักฐาน และกู้คืน
- 6.บทที่ 6 กรอบบริหาร มาตรฐาน และกฎหมายไซเบอร์
บทที่ 1 ขอบเขต เป้าหมาย และการตัดสินใจบนความเสี่ยง
ความมั่นคงปลอดภัยไซเบอร์คือการบริหารความเสี่ยงต่อระบบ เครือข่าย บริการ ข้อมูล และกิจกรรมในสภาพแวดล้อมดิจิทัล เพื่อให้ภารกิจสำคัญดำเนินต่อและความเสียหายอยู่ในระดับที่องค์กรตัดสินใจรับได้อย่างมีเหตุผล ขอบเขตนี้ต่างจาก Information security ซึ่งคุ้มครองข้อมูลทุกรูปแบบ รวมกระดาษ คำพูด และความรู้ ต่างจาก Privacy ซึ่งเน้นความชอบธรรมของการประมวลผลข้อมูลส่วนบุคคล และต่างจาก Safety ซึ่งเน้นอันตรายต่อชีวิต ทรัพย์สินหรือสิ่งแวดล้อม แม้ทุกด้านเกี่ยวข้องกัน การปิดระบบทั้งหมดอาจลดช่องโจมตีแต่ทำลาย Availability และพันธกิจ จึงไม่มีคำตอบว่าปลอดภัยที่สุดโดยไม่ดูบริบท
เป้าหมายพื้นฐานประกอบด้วย Confidentiality ที่ให้เฉพาะผู้มีสิทธิเห็นข้อมูล Integrity ที่รักษาความถูกต้องครบถ้วน และ Availability ที่ทำให้บริการพร้อมเมื่อผู้มีสิทธิต้องใช้ คุณสมบัติประกอบยังมี Authenticity, Accountability, Non-repudiation และ Reliability การควบคุมหนึ่งอย่างไม่รับรองทุกคุณสมบัติ การเข้ารหัสช่วยความลับแต่ไม่ทำให้ระบบพร้อมใช้ การสำรองช่วยกู้คืนแต่ไม่หยุดการเข้าถึงโดยมิชอบ และ Log ช่วยตรวจย้อนหลังแต่ไม่ป้องกันเหตุหากไม่มีผู้เฝ้าระวัง การออกแบบจึงต้องจัดสมดุลตามผลกระทบและรักษาหลักฐานว่ามาตรการทำงานจริง
การวิเคราะห์เริ่มจาก Asset ซึ่งคือสิ่งที่มีคุณค่าหรือสนับสนุนภารกิจ Threat คือผู้หรือเหตุที่อาจก่ออันตราย Vulnerability คือจุดอ่อน Exposure คือสภาวะที่เปิดให้เข้าถึง และ Control คือมาตรการเปลี่ยนโอกาส ผลกระทบ การตรวจจับ หรือการกู้คืน Risk จึงไม่เท่ากับช่องโหว่เพียงรายการเดียว แต่เกิดจากสถานการณ์ที่ภัยใช้จุดอ่อนกระทบวัตถุประสงค์ ต้องพิจารณาความน่าจะเป็น ความง่ายในการโจมตี ความสำคัญของทรัพย์สิน การพึ่งพา และการควบคุมที่มี Inherent risk คือความเสี่ยงก่อนคำนึงมาตรการ ส่วน Residual risk คือส่วนที่เหลือและต้องมีเจ้าของยอมรับหรือจัดการต่อ
การตอบสนองความเสี่ยงทำได้โดยหลีกเลี่ยงกิจกรรม ลดโอกาสหรือผลกระทบ แบ่งหรือโอนบางภาระ และยอมรับภายใต้เกณฑ์ การประกันหรือสัญญาอาจแบ่งผลทางการเงิน แต่ชื่อเสียง ความรับผิด และภารกิจบางส่วนโอนไม่ได้ Risk appetite แสดงชนิดและระดับความเสี่ยงที่องค์กรพร้อมรับเพื่อบรรลุเป้าหมาย ขณะที่ Risk tolerance กำหนดช่วงเบี่ยงเบนที่ยอมได้ Risk owner ตัดสินและติดตามสถานการณ์ ส่วน Control owner ดูแลมาตรการ ทั้งสองบทบาทอาจไม่ใช่คนเดียวกัน Risk register ที่ใช้ได้ต้องระบุสถานการณ์ ผลกระทบ เจ้าของ มาตรการ งานค้าง และวันทบทวน ไม่ใช่เพียงสีแดงเหลืองเขียวที่ขาดเหตุผล
Defense in depth ใช้มาตรการหลายชั้นซึ่งมี Failure mode ต่างกัน เช่น การยืนยันตัวตน สิทธิขั้นต่ำ การแบ่งเครือข่าย การป้องกันปลายทาง การบันทึก และ Backup Attack surface คือจุดทั้งหมดที่ผู้โจมตีมีอิทธิพล ส่วน Attack vector คือเส้นทางที่ใช้เข้าถึง Trust boundary คือจุดที่ระดับความเชื่อถือหรือสิทธิเปลี่ยน และ Blast radius คือขอบเขตความเสียหายเมื่อส่วนหนึ่งถูกยึด หลักปฏิบัติเริ่มจากลบบริการ บัญชี และการเชื่อมต่อที่ไม่จำเป็น แล้วจึงเสริมมาตรการ ไม่ควรสะสมเครื่องมือเหนือสินทรัพย์ที่ไม่รู้จัก เพราะบัญชีผู้ดูแลหรือ Control plane เดียวอาจทำให้การป้องกันทุกชั้นล้มพร้อมกัน
สายเหตุผลของความเสี่ยงไซเบอร์
- 1Asset และภารกิจ
- 2Threat, Vulnerability, Exposure
- 3Likelihood และ Impact
- 4Control และ Residual risk
บทที่ 2 ผู้คุกคาม มัลแวร์ และเส้นทางการโจมตี
ผู้คุกคามต่างกันทั้งแรงจูงใจ ทรัพยากร และระยะเวลา อาชญากรไซเบอร์มุ่งเงิน กลุ่มรัฐหรือ Advanced Persistent Threat (APT) อาจมุ่งจารกรรมระยะยาว Hacktivist มุ่งอุดมการณ์ คู่แข่งอาจมุ่งความลับ และผู้โจมตีฉวยโอกาสเลือกเป้าหมายที่เปิดช่อง บุคคลภายในอาจมีเจตนา ประมาท หรือถูกหลอก ขณะที่ผู้ขายกับผู้ให้บริการอาจกลายเป็นทางผ่านจากความเชื่อถือเดิม การประเมินจึงไม่ควรยึดภาพผู้โจมตีภายนอกเพียงอย่างเดียว ต้องดูสิทธิ ความรู้บริบท เส้นทางคู่ค้า แรงจูงใจ และความสามารถซ่อนตัว พร้อมควบคุมโดยเคารพกฎหมายกับความเป็นส่วนตัวของบุคลากร
มัลแวร์จำแนกตามกลไก ไวรัสแทรกในไฟล์เจ้าบ้านและทำงานเมื่อถูกเรียก หนอนแพร่ตัวเองผ่านเครือข่ายหรือช่องโหว่ โทรจันปลอมเป็นสิ่งชอบธรรม แรนซัมแวร์เข้ารหัสหรือทำลาย Availability และมักขโมยข้อมูลไปขู่เปิดเผย Infostealer มุ่ง Credential กับ Session token ส่วน Rootkit และ Backdoor รักษาการเข้าถึงหรือซ่อนตัว การตรวจหาไฟล์ด้วย Signature เพียงอย่างเดียวจึงไม่ครอบคลุมการใช้เครื่องมือที่มีอยู่ในระบบหรือบัญชีที่ถูกขโมย ต้องเสริมการตั้งค่าปลอดภัย การจำกัดสิทธิ Endpoint Detection and Response (EDR) การแบ่งเครือข่าย และสำเนาที่กู้คืนได้
Social engineering โจมตีการตัดสินใจของคน Phishing ส่งข้อความวงกว้าง Spear phishing ปรับตามเป้าหมาย Business Email Compromise (BEC) ยึดหรือปลอมอีเมลเพื่อเปลี่ยนบัญชีและสั่งธุรกรรม ส่วน Vishing, Smishing และ Deepfake เปลี่ยนช่องทางเป็นเสียง ข้อความ หรือสื่อสังเคราะห์ สัญญาณร่วมคือความเร่ง ความลับ การเปลี่ยนขั้นตอน และคำขอสิทธิหรือเงิน การอบรมอย่างเดียวไม่พอ กระบวนการต้องยืนยันนอกช่องทาง แยกผู้ขอกับผู้อนุมัติ จำกัดวงเงิน แจ้งเตือนการเปลี่ยนบัญชี และเปิดช่องรายงานที่ตอบสนองเร็ว เพื่อให้ความผิดพลาดหนึ่งครั้งไม่กลายเป็นความเสียหายเต็มวงเงิน
เส้นทางโจมตีอาจเริ่มจาก Credential stuffing ที่ใช้รหัสรั่ว Password spraying ที่ลองรหัสยอดนิยมกับหลายบัญชี ช่องโหว่บริการ หรือ Supply chain เมื่อเข้าจุดแรกแล้วผู้โจมตีอาจยกระดับสิทธิ เคลื่อนไปด้านข้าง สร้าง Persistence และส่งข้อมูลออก Cyber Kill Chain ช่วยมองลำดับตั้งแต่สำรวจจนถึงเป้าหมาย แต่เหตุจริงอาจย้อนและข้ามขั้น MITRE ATT&CK รวบรวม Tactics, Techniques and Procedures จากพฤติกรรมที่พบจริงเพื่อวิเคราะห์ช่องตรวจจับ ไม่ใช่ Checklist รับรอง Indicator of Compromise เช่น IP หรือ Hash มีอายุสั้นได้ ขณะที่รูปแบบพฤติกรรมมักทนต่อการเปลี่ยนโครงสร้างผู้โจมตีมากกว่า
การโจมตีระดับโปรแกรมยังรวม Injection ที่ข้อมูลกลายเป็นคำสั่ง Broken access control ที่ข้ามสิทธิ Cross-Site Scripting ที่รหัสไม่เชื่อถือทำงานใน Browser, Server-Side Request Forgery ที่หลอก Server เรียกปลายทางภายใน และ Path traversal ที่ข้ามพื้นที่แฟ้ม ช่องโหว่หน่วยความจำ เช่น Buffer overflow, Use-after-free และ Integer overflow อาจทำให้รั่ว ล่ม หรือรันรหัส ส่วน Race condition เกิดเมื่อสถานะเปลี่ยนระหว่างตรวจและใช้ เทคนิคแต่ละแบบต้องแก้ที่เหตุ เช่น Parameterized API, Output encoding, Server-side authorization, Memory-safe design, Least privilege และ Test เส้นทางผิด ไม่ใช่วาง Web Application Firewall (WAF) แล้วละเว้นการออกแบบโปรแกรม
| ชั้นของการโจมตี | สิ่งที่เกิดขึ้น | แนวป้องกันหลัก |
|---|---|---|
| คนและการสื่อสาร | Phishing, BEC, Deepfake หรือเรื่องเร่งด่วนหลอกการตัดสินใจ | ยืนยันนอกช่องทาง แยกอนุมัติ จำกัดวงเงิน และรายงานเร็ว |
| ตัวตนและ Session | ขโมยรหัส Token หรือยกระดับสิทธิ | MFA ที่ต้าน Phishing, Session control, Least privilege และ PAM |
| Endpoint และเครือข่าย | Malware, Exploit, Lateral movement และ Persistence | Hardening, Patch, EDR, Segmentation และ Egress control |
| โปรแกรมและข้อมูล | Injection, Broken access control, Tampering และ Exfiltration | Secure design, Server-side authorization, Validation และ DLP |
| คู่ค้าและ Build | Dependency, Pipeline หรือ Remote tool ถูกยึด | Due diligence, Signature, Provenance, Scoped integration และ Exit plan |
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต