Credential หลุดหนึ่งชุด อาจไม่ได้จบแค่บัญชีเดียว

บางครั้งมันกลายเป็น "ไม้แรก" ในสายงานโจมตีที่มีกลุ่มคนร้ายหลายบทบาทรอรับช่วงต่อ

จากรายงานของ Sophos กลุ่ม Ransomware อย่าง Vect ได้จับมือกับ TeamPCP ซึ่งถูกพูดถึงเรื่องการเก็บข้อมูลบัญชีผู้ใช้ การขโมยข้อมูล และการโจมตีผ่าน Supply Chain

• — ฝั่งหนึ่งมีโครงสร้างสำหรับปล่อย Ransomware
• — อีกฝั่งช่วยหา Access ข้อมูล และทางผ่านจากระบบที่องค์กรไว้วางใจ

เมื่อสองส่วนนี้เชื่อมกัน การโจมตีจึงไม่ได้เริ่มจากศูนย์อีกต่อไป

กรณี Vect และ TeamPCP จึงเป็นสัญญาณที่องค์กรควรกลับมาอ่านเกมให้ลึกกว่าแค่ชื่อกลุ่ม Ransomware เพราะประเด็นสำคัญคือวิธีทำงานของฝั่งผู้โจมตีที่เริ่มเป็นระบบมากขึ้น

• — การโจมตีหนึ่งครั้งอาจเริ่มจาก Credential ที่ถูกขโมย
• — ตามด้วยการแทรกตัวผ่านเครื่องมือหรือระบบที่องค์กรไว้ใจ
• — ขยับไปสู่การดึงข้อมูลสำคัญ
• — ก่อนปิดท้ายด้วยการปล่อย Ransomware
• — ในจังหวะที่สร้างแรงกดดันได้มากที่สุด

ภาพที่ข่าวนี้สะท้อนชัดคือ เบื้องหลังการโจมตีเริ่มทำงานคล้าย "ธุรกิจใต้ดิน" มากขึ้นเรื่อยๆ

• — ทีมหนึ่งหา Access หรือช่องทางเข้าระบบ
• — อีกทีมดึงข้อมูลสำคัญออกไปใช้ต่อ
• — อีกส่วนเตรียม Infrastructure สำหรับปล่อยโจมตี
• — เครือข่ายใต้ดินนำข้อมูลไปใช้ Extortion หรือกดดันเหยื่อ
• — และโมเดลแบบ RaaS ช่วยให้คนร้ายใช้เครื่องมือ Ransomware ได้ง่ายขึ้น

เมื่อ Access, ข้อมูล, Infrastructure และ Ransomware-as-a-Service ถูกนำมาต่อกันเป็นสายงาน การโจมตีจึงอาจเริ่มเร็วขึ้น ใช้ทรัพยากรน้อยลง และขยายผลได้กว้างกว่าที่หลายองค์กรคาดไว้

ที่สำคัญ Sophos ยังระบุว่า มีอย่างน้อยหนึ่งเคสที่ Credential จาก TeamPCP ถูกนำไปใช้ต่อจนถึงขั้นปล่อย Ransomware ของ Vect จุดนี้ทำให้เห็นว่า เส้นทางจากการขโมย Access ไปสู่การโจมตีด้วย Ransomware เริ่มเชื่อมต่อกันเป็นกระบวนการจริงแล้ว

ข่าวนี้จึงขยับจากเรื่องเทคนิค ไปสู่โจทย์การบริหารความเสี่ยงของทั้งองค์กร

เพราะเมื่อการโจมตีอาจเริ่มจาก Third-party Tool, Open Source Component, Software Update, Vendor Access หรือ Credential ที่เชื่อมต่อกับระบบสำคัญ

ประโยคว่า "เรามีเครื่องมือป้องกันแล้ว" อาจยังไม่พอสำหรับการบริหาร Cyber Risk ในระดับองค์กร

สิ่งที่องค์กรควรเห็นให้ชัดขึ้นคือ เครื่องมือใดเชื่อมต่อกับระบบหรือข้อมูลสำคัญ ระบบไหนหากหยุดชะงักแล้วจะกระทบธุรกิจมากที่สุด Risk แต่ละส่วนมีใครเป็นเจ้าของ Vendor และ External Services ถูกประเมินด้วยเกณฑ์อะไร และ Incident ระดับใดที่ต้อง Escalate ถึงผู้บริหาร

เพื่อให้แผนรับมือครอบคลุมตั้งแต่การกู้ระบบ การดูแลลูกค้า ข้อกำหนดทางกฎหมาย เงื่อนไขในสัญญา ไปจนถึง Compliance ที่องค์กรต้องรับผิดชอบ

เมื่อภัยคุกคามเริ่มต่อกันเป็นสายงาน การบริหาร Cybersecurity จึงต้องมองไกลกว่าการมี Firewall, Endpoint Protection, SIEM หรือ Backup ให้ครบ

เครื่องมือยังจำเป็นเสมอ

สิ่งที่ต้องเดินคู่กันคือ Governance ที่ช่วยให้องค์กรรู้ว่าอะไรคือระบบสำคัญ ความเสี่ยงจุดไหนกระทบธุรกิจมากที่สุด และควรทุ่มแรงป้องกันตรงไหนก่อน

Security Strategy จึงควรถูกวางให้สอดคล้องกับเป้าหมายธุรกิจ

• — องค์กรควรมองเห็นว่า Risk แต่ละส่วนมีเจ้าของชัดเจนแค่ไหน
• — Security Program เชื่อมกับงาน IT Operations อย่างไร
• — External Services ถูกประเมินและติดตามต่อเนื่องหรือไม่
• — และเมื่อเกิด Incident จริง ทีมรู้หรือยังว่าใครต้องตัดสินใจ สื่อสาร และกู้คืนส่วนไหนก่อน

ตั้งแต่การประเมินผลกระทบต่อธุรกิจ การจำกัดความเสียหาย การกู้คืนระบบ การสื่อสารกับผู้เกี่ยวข้อง ไปจนถึงการทบทวนหลังเหตุการณ์จบลง

เพราะ Ransomware ไม่ได้สร้างความเสียหายแค่ในระบบ IT

ผลกระทบอาจลามไปถึงการดำเนินธุรกิจ ความต่อเนื่องของบริการ ความเชื่อมั่นของลูกค้า ภาระทางกฎหมาย ภาพลักษณ์องค์กร และการตัดสินใจของผู้บริหารในช่วงเวลาที่ทุกนาทีมีต้นทุน

หลักสูตร Certified Information Security Manager (CISM) จาก ISACA จึงเป็นอีกหนึ่งทางเลือกสำหรับผู้ที่ต้องการยกระดับจากการมอง Security ในเชิงเทคนิค ไปสู่การบริหาร Information Security ในระดับองค์กร

ผู้เรียนจะได้ฝึกทำความเข้าใจ Security ในระดับภาพใหญ่ขึ้น ตั้งแต่วิธีวางการกำกับดูแลให้สอดคล้องกับเป้าหมายขององค์กร การประเมิน Risk ให้เห็นผลกระทบต่อธุรกิจอย่างเป็นรูปธรรม ไปจนถึงการออกแบบ Security Program ที่มีทิศทางและ Roadmap ชัดเจน เพื่อให้งาน Security ไม่ได้เดินแยกจากการทำงานจริงขององค์กร และเมื่อต้องรับมือ Incident ทีมก็สามารถจัดลำดับ ตัดสินใจ สื่อสาร และกู้คืนได้เป็นระบบ แทนการแก้เฉพาะหน้าภายใต้แรงกดดัน

หัวใจของ CISM อยู่ที่การเชื่อม Security Control เข้ากับ Risk จริงขององค์กร

• — Control ใดเหมาะกับความเสี่ยงแบบไหน
• — ใครควรเป็นเจ้าของ Risk นั้น
• — ควรรายงานผู้บริหารด้วยภาษาแบบใด
• — และจะทำให้ Information Security เข้าไปอยู่ในกระบวนการตัดสินใจทางธุรกิจได้อย่างไร

ข่าวการจับมือของกลุ่ม Ransomware และทีมขโมย Credential จึงเป็นสัญญาณชัดว่า ฝั่งโจมตีกำลังจัดระบบของตัวเองให้มีประสิทธิภาพมากขึ้น

ฝั่งองค์กรจึงควรมีระบบบริหาร Cyber Risk ที่ชัดพอจะรับมือกับเกมที่เป็นระบบมากขึ้นเช่นกัน เหมาะสำหรับผู้บริหารไอที ทีม Cybersecurity, Risk Management, IT Audit, Governance และผู้ที่ต้องการพัฒนาทักษะการสื่อสารเรื่อง Security Risk กับผู้บริหารให้ชัดเจนขึ้น

ถ้าฝั่งโจมตีกำลังทำงานเป็น Pipeline องค์กรของเรายังรับมือแบบแยกส่วนอยู่หรือเปล่า?

สนใจวาง Roadmap ด้าน Information Security สำหรับทีม ติดต่อ NTC เพื่อปรึกษาหลักสูตรและแนวทางพัฒนาทักษะได้ที่ LINE: @NTC-LINE