Firewall ยังทำงาน Endpoint ยังปกติ Patch ก็ครบ แล้ว Attack ผ่านเข้ามาตรงไหน?

คำตอบมักซ่อนอยู่ใน “ช่องว่างระหว่าง Control” จุดที่ Threat อาจเดินต่อโดยไม่มีใครเห็น

ถ้าทุก Control ยังทำงาน แล้ว Attack หลุดเข้ามาได้อย่างไร?

เปิด Dashboard ขององค์กรหนึ่งขึ้นมา

• — Firewall — ปกติ
• — Endpoint Protection — ปกติ
• — Security Patch — อัปเดตแล้ว
• — User Account — ใช้งานได้ตามสิทธิ์

มองทีละช่อง ทุกอย่างดูเรียบร้อย

ในเวลาเดียวกัน Account ของพนักงานคนหนึ่งกลับเริ่มเปิด Resource ที่แทบไม่เคยใช้งาน และมี Activity บางอย่างเกิดขึ้นผิดจาก Pattern เดิม

เรื่องน่าสนใจอยู่ตรงนี้ ทีมอาจกำลังมองหา “Control ที่เสีย” ทั้งที่ Control ทุกตัวยังทำหน้าที่ของตัวเองอยู่

สมมติผู้โจมตีได้ Credential หรือ Session ที่สามารถใช้ยืนยันตัวตนของ User ได้

เขาอาจไม่จำเป็นต้องเจาะ Firewall ไม่จำเป็นต้องปิด Endpoint Protection และยังไม่ต้องปล่อย Malware ลงเครื่องตั้งแต่นาทีแรก

Traffic บางส่วนยังวิ่งอยู่ใน Rule ที่อนุญาต Endpoint ยังไม่มีไฟล์อันตรายให้ตรวจจับ Access บางรายการก็ดูเหมือนมาจาก User ที่มีสิทธิ์จริง

สิ่งที่เปลี่ยนไป คือคนที่อยู่หลัง Account นั้น

Cybersecurity จึงไม่ได้จบอยู่ที่การเช็กว่า “มี Control ครบหรือยัง?”

อีกมุมที่ควรอ่านต่อคือ Control แต่ละชั้นเห็นอะไร และถ้าชั้นหนึ่งมองไม่เห็น อีกชั้นมีอะไรรับช่วงต่อ

ภาพจะเริ่มชัดขึ้นเมื่อมองระบบเป็นหลายแนวป้องกัน

• Prevent
  Access Control, Hardening, Security Configuration และ Encryption ช่วยลดโอกาสที่ Threat จะเข้าถึงสิ่งสำคัญได้ง่าย
• Detect
  เมื่อมี Activity หลุดผ่านเข้ามา Logging, Monitoring, Alert และ Indicators ช่วยเปิดความผิดปกติที่ Control แรกอาจไม่เห็น
• Respond
  เมื่อข้อมูลเริ่มชี้ไปทาง Incident ทีมต้อง Validate เหตุการณ์ ประเมิน Scope และ Contain สิ่งที่เกี่ยวข้อง
• Recover
  หากระบบหรือบริการได้รับผลกระทบ Recovery Process และ Resilience ต้องช่วยให้งานกลับมาดำเนินต่อได้

แนวคิดของ Defense in Depth จึงอยู่ที่การไม่ฝากความหวังไว้กับ Control เพียงจุดเดียว

หลาย Control ถูกออกแบบให้ทำหน้าที่ต่างกัน และช่วยลดโอกาสที่การพลาดเพียงจุดเดียวจะพา Threat เดินต่อได้โดยไม่มีอะไรขวาง

“ถ้า Control จุดนี้พลาด อะไรจะเห็นสิ่งที่เกิดขึ้นต่อ?”

คำตอบอาจบอกเรื่อง Security Posture ได้มากกว่าสถานะสีเขียวบน Dashboard

Firewall ที่ทำงานดี มีขอบเขตของ Firewall Endpoint Protection ก็เห็นได้เท่าที่ข้อมูลและพฤติกรรมอยู่ในขอบเขตที่มันตรวจจับ Identity Control เองก็ยืนยันได้บางอย่าง ไม่ใช่ทุกอย่างเกี่ยวกับคนที่กำลังใช้งาน Account

ความแข็งแรงของ Security จึงอยู่ที่การเข้าใจว่าแต่ละ Control รับผิดชอบอะไร และช่องว่างระหว่าง Control ถูกมองเห็นหรือยัง

แนวคิดเหล่านี้เชื่อมกับหลายส่วนของ CompTIA Security+ ตั้งแต่ Security Controls, Threats & Vulnerabilities, Security Architecture, Security Operations, Monitoring, Incident Response ไปจนถึง Resilience และ Risk Management

Security+ จึงช่วยวางพื้นฐานให้ผู้เรียนเห็น Cybersecurity เป็นระบบ และเชื่อม Technical Control แต่ละส่วนเข้ากับเหตุการณ์ที่อาจเกิดขึ้นจริงในองค์กร

เรื่องของ Account เมื่อครู่ยังเหลืออีกจุดหนึ่ง เพราะครั้งต่อไปอาจไม่ใช่แค่ Password ถูกต้อง

• — Password ถูก
• — Login สำเร็จ
• — MFA ก็ผ่าน

ทุกด่านที่หน้าประตูบอกว่า “ผ่าน”

แล้วอะไรยังสามารถฟ้องได้ว่า คนที่อยู่หลัง Account นี้ อาจไม่ใช่คนเดิม?

Login ผ่านทุกด่าน แล้วอะไรยังฟ้องว่า Account นี้มีบางอย่างผิดปกติ?

Password ถูก MFA ผ่าน Login สำเร็จ

แต่ 15 นาทีหลังจากนั้น Account เดิมเริ่มทำสิ่งที่ “ไม่เคยทำ”

• 09:02 น. — Login สำเร็จ
• 09:04 น. — เปิด Resource ที่ใช้งานเป็นประจำ
• 09:11 น. — เริ่มเข้าถึง Folder ที่แทบไม่เคยเปิด
• 09:14 น. — Permission บางส่วนถูกเปลี่ยน
• 09:17 น. — มี Authentication Failure จากอีก Service ตามมา

Account เดิม ภายในเวลาเพียง 15 นาที

ถ้าแยกแต่ละ Event ออกจากกัน บางรายการอาจยังไม่แรงพอให้ฟันธงว่าเป็น Incident

• — Login สำเร็จหนึ่งครั้ง
• — เปิด File หลายรายการ
• — เปลี่ยน Setting บางค่า
• — Authentication พลาดไม่กี่ครั้ง

พอทุกอย่างถูกเรียงอยู่บน Timeline เดียวกัน เรื่องที่ข้อมูลกำลังเล่า เริ่มไม่เหมือนเดิม

นี่เป็นหนึ่งในเสน่ห์ของงาน Security Investigation การไล่ร่องรอยเพื่อดูว่าเหตุการณ์จริงๆ กำลังเกิดอะไรขึ้น

สิ่งที่ฟ้องว่า “คนหลัง Account” อาจไม่ใช่เจ้าของตัวจริง ไม่จำเป็นต้องอยู่ที่หน้า Login หลายครั้งพฤติกรรมหลังจากนั้นต่างหากที่เริ่มทิ้งร่องรอย

Authentication ช่วยยืนยันว่าเงื่อนไขในการเข้าสู่ระบบผ่าน ทีม Security จึงต้องดูต่อว่า Activity ที่ตามมา สอดคล้องกับ User, Role และพฤติกรรมเดิมของ Account นี้หรือไม่ ตรงนี้เองที่ Context เริ่มสำคัญ

เวลาแกะ Suspicious Account หรือบัญชีต้องสงสัย สามารถไล่มองได้ 5 มุม

• WHO — ใคร
  Account ใดกำลังทำ Activity และถือ Privilege ระดับไหน
• WHERE — จากที่ไหน
  ต้นทาง อุปกรณ์ Network หรือ Environment สอดคล้องกับการใช้งานเดิมหรือไม่
• WHEN — เมื่อไร
  เวลา ความถี่ และจังหวะการใช้งานต่างจาก Pattern ที่เคยเห็นอย่างไร
• WHAT — ทำอะไร
  หลัง Login แล้ว Account อ่าน เปลี่ยน ดาวน์โหลด หรือเรียกใช้ Resource ใดบ้าง
• THEN WHAT — แล้วเกิดอะไรต่อ
  หลัง Activity นั้น มี Alert, Configuration Change, Authentication หรือพฤติกรรมอื่นตามมาอีกหรือไม่

กรอบนี้มีประโยชน์เพราะ Indicator เพียงชิ้นเดียวอาจเล่าเรื่องได้ไม่ครบ

Login ตอนดึกอาจเป็นงานจริงของ User Authentication Failure อาจเกิดจากพิมพ์ Password ผิด การเปิด File จำนวนมากก็อาจเป็นพฤติกรรมปกติของบาง Role

น้ำหนักของเหตุการณ์เปลี่ยนไปเมื่อหลายสัญญาณเริ่มต่อกันเป็น Pattern

• — Account เดิม
• — ช่วงเวลาใกล้กัน
• — Resource ที่ไม่คุ้นเคย
• — Permission ถูกเปลี่ยน
• — แล้วมี Authentication Activity ตามมา

Logs, Authentication Records, Endpoint Data, Network Activity และ Security Alerts จึงมีค่ามากขึ้นเมื่อถูกนำมาอ่านร่วมกัน

เพราะ Event บอกว่าอะไรเกิดขึ้น ขณะที่ Context + Timeline ช่วยให้เห็นว่าเหตุการณ์เหล่านั้นอาจเกี่ยวข้องกันอย่างไร

หากข้อมูลเริ่มชี้ไปทาง Incident งานก็เดินต่อ

• — ทีมอาจต้องตรวจ Scope
• — จัดการ Session หรือสิทธิ์ที่เกี่ยวข้อง
• — ตรวจ Account และ System อื่นเพิ่มเติม
• — รวบรวม Data Sources เพื่อยืนยันเหตุการณ์
• — ก่อนดำเนิน Incident Response ให้เหมาะกับระดับผลกระทบ

Suspicious Login เพียงจุดเดียวจึงสามารถพาเราเชื่อมไปถึงหลาย Skill: Identity & Access Management, Security Monitoring, Indicators of Malicious Activity, Investigation และ Incident Response

ทั้งหมดสะท้อนภาพสำคัญอย่างหนึ่งของงาน Cybersecurity Control ช่วยกัน Threat ที่หน้าด่าน พฤติกรรมหลัง Login ช่วยบอกว่า Account นั้นกำลังทำอะไรต่อ

หัวข้อเหล่านี้เชื่อมกับเนื้อหาใน CompTIA Security+ ตั้งแต่พื้นฐาน Security, ภัยคุกคามและช่องโหว่, การออกแบบระบบ, Security Operations ไปจนถึงการบริหาร Security Program และ Risk

จึงเหมาะกับผู้ที่ต้องการวางพื้นฐาน Cybersecurity ให้เชื่อมทั้ง Technical Control, การอ่านเหตุการณ์ และกระบวนการรับมือในองค์กร รวมถึงเตรียมพร้อมสำหรับ CompTIA Security+ Certification

หากกำลังวาง Cybersecurity Skill Path สำหรับตัวเองหรือทีม สามารถพูดคุยกับ NTC เพื่อดูว่า CompTIA Security+ เหมาะกับพื้นฐานและเป้าหมายการพัฒนาทักษะอย่างไร ได้ที่ LINE: @NTC-LINE