Alert ดังขึ้นในไม่กี่วินาที… แต่การหาคำตอบว่าเกิดอะไรขึ้น เพิ่งเริ่มจากตรงนั้น ในแต่ละวัน ระบบขององค์กรสร้างทั้ง Log, Network Traffic และ Security Alert ขึ้นมาอย่างต่อเนื่อง

บาง Alert อาจเป็นเหตุการณ์ทั่วไป ขณะที่บางสัญญาณอาจกำลังบอกว่ามีความผิดปกติเกิดขึ้นในเครือข่าย หรือมีความพยายามโจมตีซ่อนอยู่เบื้องหลัง การมีเครื่องมือแจ้งเตือนจึงเป็นเพียงจุดเริ่มต้น

งานของ SOC จึงครอบคลุมทั้งการเฝ้าระวังอย่างต่อเนื่อง การตรวจสอบ Alert เชื่อมโยงข้อมูล วิเคราะห์สถานการณ์ และตอบสนองต่อ Incident อย่างเป็นระบบ พูดให้เห็นภาพง่ายขึ้น SOC คือศูนย์กลางด้าน Security Operations ที่นำ People, Process และ Tools มาทำงานร่วมกัน เพื่อช่วยให้องค์กรมองเห็นและรับมือกับ Cyber Threat ได้เป็นขั้นตอน

Alert ขึ้นมา 1 รายการ… ทีม SOC ควรตามดูอะไรต่อ?

สมมติว่า SIEM ตรวจพบ Event ที่เข้าข่ายผิดปกติ ข้อมูลจาก Alert เพียงรายการเดียวอาจยังไม่เพียงพอที่จะสรุปว่าองค์กรกำลังถูกโจมตี สิ่งที่ต้องตามต่อจึงมีหลายชั้น

• 1. Source สัญญาณมาจากไหน — เริ่มจากดูว่า Event ถูกสร้างจากระบบ อุปกรณ์ หรือ Security Tool ใด และมี Asset ใดเกี่ยวข้องกับเหตุการณ์นี้
• 2. Context ก่อนและหลัง Alert เกิดอะไรขึ้น — เหตุการณ์หนึ่งอาจเชื่อมโยงกับ Event อื่น การมอง Timeline และบริบทช่วยให้เห็นภาพได้ชัดขึ้น
• 3. Traffic & Log ข้อมูลจากหลายจุดกำลังบอกเรื่องเดียวกันหรือไม่ — Network Traffic และ Log ช่วยเติมรายละเอียดให้การวิเคราะห์มี Context มากกว่าการดู Alert เพียงจุดเดียว
• 4. Impact & Next Step มีผลกระทบระดับใด และควรดำเนินการต่ออย่างไร — เมื่อข้อมูลเริ่มชัดขึ้น จึงประเมินทั้งผลกระทบและแนวทางดำเนินการต่อ ว่าควรติดตาม ตรวจสอบเพิ่มเติม หรือเข้าสู่กระบวนการ Incident Response

ตรงนี้ทำให้เห็นว่า งาน SOC ไม่ได้หยุดอยู่ที่การเฝ้าหน้าจอ แต่เป็นกระบวนการที่ต้องเปลี่ยนข้อมูลจำนวนมากให้กลายเป็นสิ่งที่ทีม Security นำไปตัดสินใจและดำเนินการต่อได้ ถ้ามองการทำงานของ SOC ให้เป็นภาพเดียว ทุกอย่างจะต่อเนื่องกันตั้งแต่การ Monitor (เฝ้าระวัง) ข้อมูลจาก Network, Systems รวมถึง Log และ Security Tools ต่างๆ เพื่อจับความเคลื่อนไหวที่น่าสนใจ ก่อนเข้าสู่ Detect (ตรวจจับ) ว่าสัญญาณใดมี Pattern หรือพฤติกรรมที่อาจเกี่ยวข้องกับ Security Threat

เมื่อเจอสิ่งที่ควรตรวจสอบ งานจะขยับต่อไปที่ Analyze (วิเคราะห์) ด้วยการนำ Event, Log และข้อมูลแวดล้อมมาประกอบกัน เพื่อทำความเข้าใจว่าเกิดอะไรขึ้น เหตุการณ์มีความรุนแรงหรือผลกระทบระดับใด และเกี่ยวข้องกับเหตุการณ์อื่นหรือไม่ จากนั้นจึงเข้าสู่ Respond (รับมือ) ซึ่งอาจเป็นการ Escalate ไปยังทีมที่เกี่ยวข้อง ดำเนินการตามขั้นตอนที่กำหนด หรือเข้าสู่ Incident Response Process ขององค์กร จึงพอมองเห็นได้ว่า งาน SOC ไม่ได้เกิดเป็นจุดแยกจากกัน แต่ข้อมูลจากหนึ่งสัญญาณสามารถถูกติดตามและวิเคราะห์ต่อเนื่องผ่าน การมองเห็น → การตรวจจับ → การทำความเข้าใจ → การรับมือ ในสภาพแวดล้อมที่มีข้อมูลและ Event จำนวนมาก เครื่องมืออย่าง SIEM จึงมีบทบาทในการช่วยรวบรวมและ Monitor เหตุการณ์จากหลายแหล่ง

ขณะเดียวกัน คนที่ใช้งานเครื่องมือก็ต้องเข้าใจกระบวนการเบื้องหลัง รู้ว่าจะมองข้อมูลตรงไหน ตรวจจับอะไร และตอบสนองต่อเหตุการณ์อย่างไร

งาน SOC จึงเชื่อมทั้ง Network Security Monitoring, Detection, Analysis และ Incident Response เข้าหากัน โดยมีทั้ง Process และ Tools เป็นส่วนสำคัญในการทำงาน แล้วถ้าอยากเริ่มเรียนรู้สาย SOC ควรมีพื้นฐานอะไรติดตัวไว้บ้าง

สำหรับคนที่กำลังสนใจเส้นทาง Security Operations พื้นฐานเหล่านี้จะช่วยให้ต่อยอดการเรียนรู้ได้ง่ายขึ้น

• — เข้าใจพื้นฐานการทำงานของ Computer และ Operating System
• — มีพื้นฐาน Computer Network และคุ้นเคยกับเครื่องมืออย่าง Wireshark
• — ใช้งาน Linux Command เบื้องต้นได้
• — คุ้นเคยกับ Virtual Machine เช่น VMware หรือ VirtualBox

เมื่อพื้นฐานเริ่มเชื่อมกันเป็นภาพเดียว ขั้นต่อไปคือการทำความเข้าใจว่า Network Monitoring, SOC Process, SIEM และ Incident Response ถูกนำมาใช้ร่วมกันในการทำงานอย่างไร สำหรับผู้ที่อยากพัฒนาทักษะด้านนี้อย่างเป็นระบบ NTC เปิดอบรมหลักสูตร

Basic of Security Operation Center: Process and Tools ถูกออกแบบมาเพื่อช่วยต่อยอดทักษะในระดับนี้

หลักสูตร 3 วันที่พาเรียนรู้ตั้งแต่ Network Security Monitoring, SOC Team & Operation, การออกแบบ SOC, SOC Processes และ SOC Tools พร้อมเรียนรู้การตั้งค่าและใช้งาน SIEM สำหรับ Monitoring และ Detection

เนื้อหาครอบคลุมทักษะสำคัญ เช่น

• — เรียนรู้การออกแบบและใช้งาน Network Security Monitoring Devices
• — เข้าใจหลักการและเทคนิคในการ Detect และ Respond ต่อ Security Threat
• — ตั้งค่าและใช้งาน SIEM เพื่อ Monitor และตรวจจับ Cyber Attack
• — เรียนรู้การ Monitor และ Respond ต่อ Incident รูปแบบต่างๆ
• — ตรวจจับความพยายามในการบุกรุกเครือข่าย หรือ Network Intrusion Attempts

เหมาะสำหรับ System Administrator, Security Analyst และ Forensic Investigator ที่มีพื้นฐานด้าน Network Traffic Analysis, Log Analysis, Security Assessment หรือ Forensic Analysis รวมถึงผู้ที่ดูแลงาน CIRT / Incident Response และงานสืบสวนด้าน Security

ตัวหลักสูตรอยู่ในระดับ Beginner–Intermediate และเหมาะสำหรับผู้ที่ต้องการทำความเข้าใจพื้นฐานการทำงานของ Tier 1 SOC Analyst อย่างเป็นระบบ จากการเห็น Alert หนึ่งรายการ ไปสู่การเข้าใจว่าควรอ่าน เชื่อมโยง และติดตามข้อมูลอะไรต่อ

พื้นฐานเหล่านี้คืออีกก้าวสำคัญสำหรับคนที่อยากพัฒนาทักษะด้าน SOC สำหรับผู้ที่อยากต่อยอดความเข้าใจด้าน Security Operations ให้เป็นระบบมากขึ้น ตั้งแต่ Network Security Monitoring, SOC Process, SIEM ไปจนถึง Incident Response สามารถสอบถามรายละเอียดหลักสูตรหรือแนวทางการอบรมสำหรับบุคคลและองค์กรได้ที่ LINE: @NTC-LINE

สนใจต่อยอดทักษะด้าน Security Operations

ไม่ว่าจะเป็นการอบรมรายบุคคล หรือพัฒนาทีมงานในองค์กร

หากอยากพูดคุยว่าพื้นฐานที่มีอยู่ควรต่อยอดทักษะด้านไหน หรือหลักสูตรนี้เชื่อมกับบทบาทที่รับผิดชอบอย่างไร ปรึกษากับทีม NTC ได้ค่ะ LINE: @NTC-LINE