ยุทธวิธีฮันนีบาล


บุคคลในประวัติศาสตร์อีกคนหนึ่งที่ควรนำมาพูดถึงโดยเฉพาะในสถานะการณ์ปัจจุบันคือ “ ฮันนีบาล บาร์กา ”
ฮันนีบาล เป็นนักยุทธศาสตร์ ที่นำกำลังสองหมื่นหกพันคนเข้าตีกรุงโรมที่มีทหารเจ็ดแสนห้าหมื่นคนได้

ฮันนีบาลอยู่ที่กรุงคาร์เทจ ซึ่งอยู่ทางเหนือของแอฟริกา ซึ่งเมื่อก่อนคุณพ่อของฮันนีบาลได้แพ้ให้กับกรุงโรม ซึ่งก่อนหน้านั้นเมืองคาร์เทจเป็นเมืองที่ยิ่งใหญ่ .. เมื่อได้พ่ายแพ้กับกรุงโรมเมืองคาร์เทจก็คับแค้น แต่ตนเองก็ไม่มีกำลังพอที่จะไปสู้กับกรุงโรมได้ เมื่อฮันนีบาลเติบโต ก็มีวิสัยทัศน์ว่าจะแกล้งแค้นนำความยิ่งใหญ่กลับมาสู่คาร์เทจ โดยบอกกับผู้คนที่นับถือว่า “ไปร่วมปล้นกรุงโรม” โดยการชวนชนเผ่ายากจนทั้งหลาย ว่าไปร่วมปล้นกรุงโรมกัน โดยจะสร้างชีวิตใหม่ที่ดีขึ้นจากความยากจน

เนื่องจากมีทหารที่ฮันนีบาลคุมอยู่นั้นมีปริมาณน้อย ฮันนีบาลจึงว่ายุทธศาสตร์ว่า “ต้องรบในบ้านศัตรู” เพื่อที่ศัตรูที่มีจำนวนมากกว่าจะได้ กังวล ละล้าละลัง ไม่รู้จะป้องกันที่ไหนก่อนหลัง

ฮันนีบาลใช้วิธีนำกำลังทัพผ่านทางเข้ากรุงโรมโดยทางเท้าภาคพื้นดิน แทนที่จะผ่านทะเลเมดิเตอร์เรเนียน ซึ่งส่วนนี้กองกำลังของโรมมันคุมพื้นที่ไว้ได้หมด ก็เปลี่ยนแนวทางเป็นการเดินทัพด้วยเท้า ภาคพื้นดิน ข้ามสเปน ผ่านช่องแคบยิบรอลตาร์ เข้าสู่เยอรมันในปัจจุบัน

นอกจากกองกำลังของฮันนีบาลจะใช้ชนเผ่ายากจนที่มาตามต่างจังหวัดแล้ว ฮันนีบาลยังได้จ้างทหารม้ารับจ้างที่ใช้ม้าเร็วในการศึก เรียกว่า โจรรูมิเดีย ประมาณหมื่นคน โดยการจ้างครั้งนี้มีสัญญาว่าหากปล้นกรุงโรมได้เมื่อไหร่ จะแบ่งทรัพย์สมบัติกันครึ่ง – ครึ่ง

ที่ฮันนีบาล จ้างทหารม้ารับจ้าง หรือ โจรนูมิเดียน ก็เพราะว่าการเคลื่อนที่ได้เร็ว นำไปสู่การสร้างความปั่นป่วนได้เร็ว มิได้เป็นเป้านิ่ง ปั่นป่วนไปตามจุดต่างๆ ซึ่งได้สร้างปัญหาและความเสียหาย ให้กับกรุงโรมเป็นอันมาก ที่ใช้กลวิธีนี้ก็เพราะหากใช้ทหารราบ จะเคลื่อนที่ช้า และกรุงโรมมีทหารราบเยอะกว่าหากปะทะกันก็จะสู้กองกำลังโรมมันมิได้

และฮันนีบาลได้มีการสร้างไส้ศึกในกองทัพของกรุงโรม เพื่อได้ข่าวสารการวางแผนและข้อมูลอื่น
หากจะสรุปสูตรสำเร็จของฮันนีบาล ก็คือ
1. การรวมชนเผ่าที่ยากจน จากต่างจังหวัดมาร่วมในกลุ่มเพื่อใช้ในการต่อสู้
2. การว่าจ้างทหารรับจ้าง
3. การสร้างไส้ศึกในกรุงโรม

จากนั้นฮันนีบาลก็ทำการยั่วยุชาวบ้าน ฆ่าชาวบ้าน ในกรุงโรม เพื่อเหตุผล 3 ประการ
1. การเผาทำลายสถานที่สำคัญ ฆ่าชาวบ้านบริสุทธิทำให้ชาวบ้านหวาดกลัว และไม่กล้าต่อสู้ และไม่กล้าเป็นพวกของรัฐในกรุงโรม
2. ทำให้กองทัพที่ฮันนีบาลคุมนั้น มีความมั่นใจ มีขวัญและกำลังใจ ว่าตนเองเป็นใหญ่
3. ทำให้กฏต่างๆที่วางไว้ก่อนหน้าในกรุงโรมนั้นไม่มีค่า ไม่มีความหมายอีกต่อไปแล้ว
ทำให้มีความรู้สึกว่ากองทัพของฮันนีบาลเป็นผู้กำหนดว่าใครจะอยู่ใครจะตายภายใต้รัฐนี้
ทำให้เกิดภาวะ ” Failed state ” หรือที่เรียกว่าการล้มเหลวของรัฐ ที่ไม่สามารถควบคุมสถานะการณ์ได้ภายใต้กฏหมาย

ทั้งหมดนี้คือการเปลี่ยนความเชื่อ และทำเป็นตัวอย่างให้เห็นว่าอำนาจมันถูกเปลี่ยนแปลงไปแล้ว กฏหมายใช้ไม่ได้ สถาบัน สัญลักษณ์ต่างๆใช้ไม่ได้

ทำให้ฮันนีบาลชนะมาโดยตลอด แต่ …

ในที่สุดกองทัพโรมันที่นำโดย สกีปีโอ อาฟรีกานุส (Scipio Africanus) ซึ่งเป็นลูกของแม่ทัพคนหนึ่งที่ฮันนีบาลได้ฆ่าในศึกก่อนหน้า ได้ศึกษาและเรียนรู้ยุทธวิธีของฮันนีบาล จึงจับประเด็นได้ว่า สิ่งที่ควรทำอันดับแรกคือ ต้องกำจัดไส้ศึกในกรุงโรมที่ฮันนีบาลได้นำมาฝังไว้ก่อน
จากนั้นให้ตัดท่อน้ำเลี้ยง โดยตัดเงินให้กับสภาเมืองคาร์เทก พอคาร์เทกไม่มีเงินเข้ามาหมุนก็ทำให้ฮันนีบาลไม่สามารถจ้างทหารรับจ้าง (โจรนูมิเดียน) ซึ่งทำให้ทหารรับจ้างนั้นไม่สามารถมาสมทบกับกองทัพฮันนีบาลได้ โจรที่มาร่วมปล้นพอไม่ได้มาเงินก็เลิกทำงานให้
จากนั้นสกีปีโอ ได้เข้านำกองทหารโรมันไปจับกุมแกนนำ ของฮันนีบาล (แกนนำตัวจริง) และตลบหลังจ้างโจรนูมิเดียนโดยให้ค่าตอบแทนที่ดีกว่าฮันนีบาล โดยให้โจรรูมิเดียเข้าปล้นเมืองคาร์เทกแทน
การรบจาก 40 ครั้งฮันนีบาลชนะหมดแต่ไม่สามารถยึดกรุงโรมได้ และในครั้งนี้จากการนำทัพของสกีปีโอ รบกันเพียงครั้งเดียวแล้วจบเลยนั้นทำให้กองกำลังของฮันนีบาลสลายทัพหมดได้

แผนของสกีปีโอ หากสรุปคือ สกีปีโอ ไม่ได้สนใจชนเผ่ายากจนที่ฮันนีบาลเกณฑ์มาจากต่างจังหวัดเลย แต่กลับไปตัดท่อน้ำเลี้ยงเงินสนับสนุนทหารรับจ้าง (โจรนูมิเดียน) จากนั้นก็จับแกนนำในกองทัพฮันนีบาลให้ได้ เมื่อแกนนำถูกจับ ชนเผ่ายากจนที่ร่วมทัพกับฮานีบาลก็แยกย้ายกลับถิ่นฐานตามต่างจังหวัด ฮันนีบาลได้พ่ายแพ้ และหนีไปยังต่างประเทศ และมาส้ินชีพที่ตุรกี จากนั้นโรมก็ทำให้เมืองคาร์เทกสูญหาย ไม่มีในแผนที่อีกต่อไป …

นนทวรรธนะ สาระมาน
Nontawattana Saraman

เพื่อเมืองไทยคุณจะทำอะไร ?

เมื่อย้อนอดีตไป สักปี คศ. 1993 หรือประมาณ ปี พศ. 2536 มีโฆษณาอันหนึ่ง ที่ทำให้คนดูโดยเฉพาะเยาวชนในช่วงเวลานั้น มีความรู้สึกร่วมอยากเป็นแรงกำลังหนึ่งที่ช่วยพัฒนาประเทศไทยให้ก้าวหน้า
โดยใช้เพลงชื่อ เพื่อเมืองไทย ด้วยใจและใจ .. ต้องขอบอกก่อนว่าไม่ต้องการโฆษณาอะไร แต่อยากให้ฟังเพลงและเนื้อหาของโฆษณานี้กับสถานะการณ์ในปัจจุบัน รถไฟขบวนหนึ่ง ที่มีหนุ่มสาวบนรถไฟ และเส้นทางที่ต้องร่วมกันเดินทาง บางครั้งเส้นทางอาจจะมืดเพราะต้องเข้าอุโมงค์ สลับกับแสงสว่างหลังหลุดพ้นอุโมงค์ แต่ถึงอย่างไรพวกเราก็ต้องร่วมเดินทางด้วยกัน และแน่นอนจุดหมายปลายทางของแต่ละคนในขบวนรถไฟนี้อาจจะแตกต่างกันได้ …. ลองเปรียบเทียบกับเหตุการณ์ปัจจุบันที่ยังไม่มีทางออกสำหรับประเทศไทยในเวลานี้ดู บางทีแสงสว่างจากปลายอุโมงค์จะนำพาให้ประเทศเรากลับสู่ภาวะปกติได้หากทุกคนร่วมมือกัน ..

ที่หยิบยกตัวอย่างจากโฆษณานี้มาก็เพราะมีความเชื่อมั่นในชาติไทย อยู่และเชื่อว่าปัญหาต่างๆ แก้ไขได้

ในส่วนตัวเชื่อว่า หากเราเป็นคนไทย คงไม่มีใครไม่หวังดีกับประเทศ
คงไม่มีใครอยากเห็นการทำร้ายคนไทยด้วยกันเอง
และคงไม่มีใครอยากทำร้ายประเทศ ที่เราต้องอยู่อาศัย

ขอสนับสนุนการใช้สติแก้ไขปัญหา หยุดการนำเสนอข้อมูลที่จะทำให้คนไทยเกลียดชังกันเอง
และยุติปัญหาโดยไม่ใช้ความรุนแรง

“เราควรใช้วิกฤตช่วงนี้มาสร้างโอกาส”

ทุกภาคส่วน ที่มีความเห็นไม่ลงรอยกันมานั่งคุยกันเพื่อเสนอแนวทางที่ทุกฝ่ายเราเดินทางร่วมกันได้ โดยเริ่มจากตัวเราเองก่อน ทำการเปิดใจให้กว้าง ลดอัตตาของตนเองลง เพื่อรับฟังความคิดเห็นรอบด้าน ในการหาจุดร่วมกัน และเมื่อทุกคนเริ่มเปิดใจ จะนำมาสู่การออกแบบประเทศไทยร่วมกัน เพื่อให้ประเทศไทยแข็งแรงขึ้น ด้วยแรงใจ ด้วยพลังสติและด้วยพลังปัญญาของคนไทยทุกฝ่าย เพื่อให้เมืองไทยก้าวพ้นวิกฤต กลับมาสู่ความปกติสุข และเกิดความเจริญก้าวหน้าต่อไปในอนาคต สู่รุ่นลูกรุ่นหลานของเรา บนผืนแผ่นดินที่เราดำรงชีวิตอยู่สืบไป

ไม่มีอะไรที่สายเกินไป ทุกปัญหาย่อมมีทางออกเสมอ หากใช้สติของตัวเราเอง

นนทวรรธนะ สาระมาน
Nontawattana Saraman

รู้ทัน sniffer

ผมตั้งใจที่จะเขียนบทความนี้ขึ้นต่อเนื่องจากบทควาที่แล้วเรื่องข้อเท็จจริงในการดักข้อมูล sniffer นั้นมีคนเข้ามาจนถึงเวลานี้ที่ผมเขียนบทความใหม่ถึง 480 ครั้ง (ผลลัพธ์จากระบบ SRAN Data Safehouse) ซึ่งมากกว่าที่คิดไว้มาก ประกอบกับเมื่อวันที่ 4 กุมภาพันธ์ที่ผ่านมาผมได้มีโอกาสได้ร่วมออกงาน Information Security Day ที่กระทรวงกลาโหมจัดขึ้น ในงานนี้ถึงแม้ผมไม่ได้บรรยายแต่ได้ร่วมตอบคำถาม ในวันนั้นมีผู้มีเกียรติหลายท่านได้ตั้งคำถามและตอบกันในช่วงบ่าย ผมยอมรับว่าทำหน้าที่ถ่ายทอดได้ไม่ดี เนื่องจากมีเวลาจำกัดในการตอบคำถาม จึงอยากแก้ตัวโดยเขียนอธิบายเพิ่มในบทความนี้ ในชื่อตอน “รู้ทัน sniffer”

หลายคนคงสงสัยกับคำว่า sniffer ไม่น้อย .. และอาจเกิดคำถามว่า sniffer คืออะไรกันแน่ เกี่ยวกับการดักข้อมูลอย่างไร ? sniffer นั้นมีคุณหรือโทษ? แล้วเราจะรู้ได้อย่างไรว่ามีคนดักข้อมูลเราอยู่ หรือเราจะรู้ได้อย่างไรว่ามีใครคอย sniff เราอยู่บ้าง ? วันนี้เรามาเรียนรู้ sniffer แบบถึงแก่นกันดีกว่าครับ

sniffer เป็นชื่อที่เป็นทางการ ซึ่งไม่ว่าจะคุยกันภาษาของชาติไหนๆ ก็มักจะเข้าใจคำนี้ เช่นเดียวกับคำว่า Hack ซึ่งถือว่าเป็น De facto หรือเป็นคำมาตราฐานที่สากลรู้จักกัน เป็นต้น

sniffer คือ โปรแกรมที่ใช้ในการวิเคราะห์กระแสข้อมูล แต่เรามักจะเข้าใจในทิศทางเดียวคือเป็นโปรแกรมที่ใช้ในการดักฟังข้อมูล โดยพฤติกรรมการนี้เรียกว่า “sniff” หรือภาษาไทยว่า “สนิฟ” หรือบางครั้งเราอาจได้ยินคำว่า snoop แทนพฤติกรรมในการวิเคราะห์กระแสข้อมูลก็ได้ ซึ่งโปรแกรมที่เขียนขึ้นโดยมนุษย์ใช้ทำการวิเคราะห์กระแสข้อมูลสารสนเทศที่เกิดขึ้นบนระบบเครือข่ายคอมพิวเตอร์ (หรือภาษาอังกฤษเรียกว่าการทำ Packet analyzer) ซึ่งอาจเรียกได้ว่าเป็น subset ของคำว่า Tap “แท็ป” และคำว่า Tap เป็นทั้งเทคโนโลยีและพฤติกรรมการใช้งาน เช่นคำว่า tap เพื่อดักฟังการสนทนาโทรศัพท์ เป็นต้น แสดงว่าคำว่า Tap ข้อมูล นั้นกินความไปนอกเหนือระบบ TCP/IP ก็ได้เช่น เป็นการดักฟังการสนทนาโทรศัพท์ที่กล่าวมาข้างต้น แต่หากทุกวันนี้การโทรศัพท์นั้นได้วิ่งผ่านระบบไอที บน TCP/IP หรือมีการรับส่งผ่านเครือข่ายคอมพิวเตอร์ (Network) ที่เรียกว่า VoIP แล้ว และมีการดักข้อมูลขึ้นอาจใช้คำว่า Tap หรือ sniff ก็ได้ โดยให้เข้าใจว่า sniff คือพฤติกรรมดักฟัง ส่วน sniffer เป็นชุดโปรแกรมที่ใช้ในการดักฟังข้อมูลบนระบบเครือข่ายคอมพิวเตอร์ โดยผ่านการรับส่งข้อมูลตาม OSI 7 layer เป็นหลัก ซึ่งการ sniff “สนิฟ” อาจจะเกิดขึ้นได้ตั้งแต่ Layer 1 ทางกายภาพ (สายโทรศัพท์ ) จนถึง Layer 7 บนระบบ Application Layer ได้ทั้งสิ้น ดังนั้นการ sniff จะเกิดขึ้นสมบูรณ์ ต้องเป็นการกระทำที่เกิดขึ้นมากกว่า 1 เครื่องขึ้นไป กล่าวคือมีเครื่องกระทำและถูกกระทำ ถึงจะเรียกว่าเป็นการ sniff “สนิฟ” และในบทความครั้งนี้จะกล่าวเฉพาะ sniffer บน TCP/IP เท่านั้น จะไม่ขอกล่าว sniffer ในทางกายภาพ
เทคนิคการ sniff “สนิฟ” นั้นคือการได้มาซึ่งข้อมูลโดยที่ไม่ทำให้ผู้อื่นล่วงรู้ได้ ดังนั้นในทางเทคนิคก็มักจะมองเป็นเทคนิคเดียวคือการแปลงร่างการ์ดแลนบนตัวเครื่องคอมพิวเตอร์เข้าสู่โหมดเงี่ยหูฟัง (promiscuous mode) แต่จริงแล้วหากเรามองว่าการได้มาซึ่งข้อมูลนั้นอาจทำตัวเองเป็น Gateway หรือได้จาก Caching ได้ดังนั้นเทคนิคอื่นก็อาจเข้าข่ายการดักฟังได้เช่นกันหรือ ?? ในบทความนี้จะมีคำตอบให้

ภาพการสนิฟข้อมูลบนเครือข่ายคอมพิวเตอร์ แบบง่ายๆ

ที่ผมบอกว่าเรามักจะมอง sniffer เพียงด้านเดียวคือเรามักจะมองเห็นว่าการ sniffer คือการดักฟังข้อมูล แต่แท้จริงแล้ว sniffer นั้นมียังทำคุณประโยชน์ได้เช่นกัน นั่นคือการวิเคราะห์หาปัญหาต่างๆ ที่เกิดขึ้นบนระบบเครือข่ายคอมพิวเตอร์ได้ และ sniffer นั้นก็สามารถสร้างโทษได้เช่นกัน ขึ้นอยู่เจตนาและการใช้งาน

โทษของการใช้ sniffer
1. หากข้อมูลเป็น Plain text (ข้อมูลที่ไม่ได้มีการเข้ารหัส) ไม่ว่าเป็นการสื่อสารผ่าน Protocol HTTP , SMTP , PoP3 , FTP , Telnet หรือแม้กระทั่ง Protocol ในการส่งค่า Log คือ syslog ที่ใช้การติดต่อแบบ UDP และเป็น Plain text อันนี้ก็มีความเสี่ยงต่อการถูกดักข้อมูลได้การดักข้อมูลเหล่านี้เกือบ 100% ส่วนใหญ่มักเกิดขึ้นในองค์กร (office) ของเราเองนี้เอง เรียกว่าภัยพวกนี้ว่า “Internal Threat” เช่น มีพนักงานที่เจตนาต้องการดักข้อมูลผู้บริหาร หรือ ผู้ดูแลระบบ ก็สามารถใช้ sniffer ดักข้อมูลใครๆก็ได้ หากมีเครื่องมือ แต่ …. มีรายละเอียดมากมาย โดยเฉพาะทำอย่างไรถึงจะได้ข้อมูลมา รวมถึงการติดตั้งและการใช้เทคนิคอยู่พอสมควร มิใช่ใครมีโปรแกรม sniffer ก็จะดักข้อมูลได้ง่ายๆ ตลอดไป

หลักๆ ที่นิยมดักข้อมูลและถือว่าเป็นภัยคุกคามที่ไม่อยากให้เกิดขึ้นกับตนเอง ได้แก่
– ข้อมูลความลับที่ไม่ต้องการให้เผยแพร่ ซึ่งอาจเป็นเรื่องส่วนบุคคล หรือ เป็นเรื่องของบริษัท เป็นต้น
– ข้อมูล User/password บน Application Protocol ที่ใช้งาน เช่น User / Password จาก Web Login , User / Password จาก FTP หรือ Telnet เป็นต้น 2 ข้อที่กล่าวมานี้เองทำให้การทำ sniffer เป็นเรื่องที่น่ากังวล

2. หากข้อมูลเป็นการเข้ารหัส (encryption) การใช้ sniffer อาจประสบปัญหากับการใช้งานนิดหน่อยแต่ไม่ถึงกับว่าพบทางตัน เพราะการเข้ารหัส (encryption) ก็สามารถถอดรหัสได้ด้วยวิธีการต่างๆ แต่ที่นิยมคือใช้ sniffer ไปทำการ ARP poison ไปยังเครื่องเป้าหมาย และปลอมค่ากับ Gateway ตัวจริงจึงจะสามารถใช้งานได้ อันนี้เองมีรายละเอียดอยู่ค่อนข้างมากจึงขอยกไปต่อในตอนหน้าจะกล่าวถึงเรื่องนี้อีกครั้ง ในเทคนิคที่เรียกว่า MITM (Man in The Minddle) หากอดใจไม่ไหวให้อ่านที่ http://nontawattalk.blogspot.com/2009/08/layer-7.html ที่เป็นบทความเก่าที่ผมเคยเขียนขึ้นไว้ ชื่อตอนว่าวิเคราะห์ภัยคุกคามตาม OSI 7 layer อ่านช่วง Layer 2

คุณประโยชน์ sniffer
1. ช่วยวิเคราะห์กระแสข้อมูลสารสนเทศ เพื่อวินิฉัยปัญหาที่เกิดขึ้นบนระบบเครือข่าย เช่น
– เครือข่ายคอมพิวเตอร์ เหตุใดถึงได้ช้าผิดปกติ ก็สามารถใช้ sniffer มาช่วยวิเคราะห์และวินิฉัยได้
– เครือข่ายคอมพิวเตอร์ มีอาการที่ผิดปกติ อันเนื่องมาจากการแพร่กระจายของไวรัส (สายพันธ์ใหม่ๆ ที่ระบบป้องกันไวรัสคอมพิวเตอร์ไม่รู้จัก หรือไม่มี signature บนอุปกรณ์ NIPS/IDS , UTM เป็นต้น)
ซึ่งจากประสบการณ์จริง sniffer ช่วยให้ผมหาเครื่องที่ติดไวรัสคอมพิวเตอร์ ในงานประชุม APEC ที่จัดขึ้นในประเทศไทยเมื่อปี 2003 ได้ หากย้อนเวลาไปในช่วงนั้น ผมและทีมงานได้มีโอกาสทำงานระดับประเทศคืองาน APEC 2003 โดยทำการประเมินความเสี่ยงระบบเครือข่ายคอมพิวเตอร์ (Vulnerability Assessment) ในคืนก่อนวันเปิดงาน APEC เราพบว่าเครือข่ายในศูนย์ประชุมนั้นรับส่งข้อมูลช้าผิดปกติ เราพยายามทุกวิถีทางจนพบว่าเครื่องที่ปล่อยไวรัสนั้นกับเป็นเครื่องโทรศัพท์ (สมัยนั้นคือเป็นเครื่องลักษณะโทรศัพท์หยอดเหรียญ แต่เล่นอินเตอร์เน็ตได้ผ่านระบบ wi-fi) เชื่อไหมว่าเวลาตี 4 พวกผมยังวิ่งรอบศูนย์ประชุมแห่งชาติสิริกิติริ์ โดยถือโน็ตบุ๊ตหาสัญญาณการรับส่งข้อมูลที่ผิดปกติบนระบบ wireless LAN กว่าจะหาไวรัสตัวร้ายเจอนั้นผมและทีมงานไม่ได้นอนทั้งคืนก็เพราะหาไวรัสจากเครื่องๆเดียว เราก็กำจัดได้และทำให้เครือข่ายคอมพิวเตอร์ในงานกลับมาสู่ภาวะปกติก่อนพิธีในงาน APEC จะเปิด ก็เพราะโปรแกรม sniffer นี้เอง

2. sniffer ยังทำให้เราทำนาย เพื่อการออกแบบบนเครื่องแม่ข่าย (Server) ถึงการรับส่งข้อมูลให้มีประสิทธิภาพมากขึ้นได้อีกด้วย เช่น การออกแบบ Web Server เพื่อให้รองรับข้อมูลได้อย่างเหมาะสม การออกแบบ Data Base Server เมื่อมีการ Query ข้อมูลได้อย่างเหมาะสม ทำให้เราสามารถออกแบบ (design) ระบบ Cluster หรือการออกแบบ Cloud computing ในอนาคตถึงปริมาณการใช้งานต่อไปได้เพื่อความเสรียฐภาพของระบบได้อีกด้วย

3. sniffer ใช้หาผู้ร้าย / ผู้ต้องสงสัย ได้ ในกรณีนี้จำเป็นต้องรู้สถานที่ หรือรู้เครือข่ายคอมพิวเตอร์ที่มีผู้ต้องสงสัยอยู่ จากนั้นการใช้วิธีการสะกดรอยทางไอทีผ่านการเฝ้าสังเกตการณ์ข้อมูลที่ผ่านระบบเครือข่าย ซึ่งหากจะทำได้ควรได้รับหมายศาล หรือเป็นกรณีด้านความมั่นคงของชาติจริงๆ ถึงสมควรทำ

ดังนั้นหากเรามองให้ดีจะเห็นว่า sniffer นั้นมีประโยชน์ อยู่ไม่น้อยทีเดียว ส่วนการใช้ sniffer ในทางที่ไม่เหมาะสมล่ะ อันนี้ขอบอกว่าขึ้นอยู่กับเจตนาผู้ใช้ เพราะ sniffer นั้นสามารถที่จะดักข้อมูลได้ทั้งหมด คำว่าข้อมูลทั้งหมดนั้น ขึ้นอยู่กับชนิดโปรแกรม sniffer ด้วยนะ โดยปกติแล้ว จะได้ตาม Protocol ที่สำคัญ เช่น Protocol ที่เกี่ยวข้องกับการใช้งาน Web , Mail ,Chat เป็นต้น หากเราทำการชำแหละ sniffer ผลลัพธ์ที่ sniffer หรืออาจกล่าวได้ค่าที่ sniffer อ่านออกมาได้คือ
1. ไอพีต้นทาง (Source IP)
2. ไอพีปลายทาง (Destination IP)
3. พอร์ตต้นทาง (Source Port)
4. พอร์ตปลายทาง (Destination Port)
5. Protocol ใน Layer 4 เช่น TCP หรือ UDP
6. เนื้อหา (Content) ซึ่งเนื้อหาข้อมูล นั้นคือคำว่า “Payload” ในระดับชั้นข้อมูลคือใน Layer ที่สูง 5 , 6 และ 7 ค่า “Payload” ที่ปรากฏขึ้นบนตัวโปรแกรม sniffer สามารถมองเห็นและแปลความหมายได้ (ในบางโปรแกรม) สองวิธี คือ
6.1 แบบธรรมดา ค่า payload มองเห็นตาม Layer 2 – Layer 7 แบบเดียวกับการแสดงผลจากโปรแกรมชื่อ wireshark เป็นต้น
6.2 แบบพิเศษ นำค่า Packet ที่ได้มาประกอบร่างใหม่เรียกว่า Reconstruction หรือเป็นการทำ “Traffic Decoder” จะทำให้เห็นมากขึ้น เช่น HTTP คือการเล่นเว็บไซต์ สามารถล่วงรู้ถึงการคลิก เปิดหน้าจอ หน้าเว็บ URI path หรือ เรียกดู clip video ได้ หรือหากเป็นการที่ผ่าน VoIP สามารถ เรียกดูย้อนหลังเป็นเสียงพูดสนทนาได้ เป็นต้น
ในการทำ Reconstruction นั้น มักจะใช้กับเทคโนโลยีในการทำ Law ful Interception โดยปกติแล้วมักมีในธนาคาร หรือโรงงานที่มีความเข้มงวดในการใช้ข้อมูล ที่ต้องเฝ้าสังเกตการทุจริตที่เกิดขึ้นจากการทำงานด้านไอที (ในเมืองไทยก็มีใช้ในบางธนาคาร) เปรียบเสมือนกล้องวงจรปิด ซึ่งการทำเทคนิค Reconstruction นั้นจำเป็นต้องใช้ storage มหาศาลเช่นกัน ดังนั้นการใช้เทคโนโลยีเหล่านี้ต้องเผื่องบประมาณไว้พอสมควร
7. เรื่องเวลา คือ วันเวลาที่เครื่องแม่ข่าย (Server) ที่ใช้จัดทำขึ้นเป็น sniffer Server เป็นต้น ซึ่งในข้อนี้ผมขอละไว้ว่าสมมุติทุกเครื่องตั้งค่าเวลาปกติถูกต้องแล้ว ก็แล้วกันนะครับ จึงไม่ขอกล่าวต่อไป

จากคุณสมบัติของ sniffer ที่กล่าวมาตั้งแต่ข้อ 1 – 7 แล้วนั้น ส่วนใดบ้างที่มีความอ่อนไหวถึงความรู้ผู้คนว่า sniffer เป็นเครื่องมือที่อันตราย
จากข้อ 1-5 นั้น มีผลลัพธ์ไม่ต่างกับ Log ที่เกิดขึ้นบนอุปกรณ์เครือข่าย เช่น Router Log , Switch Log , Firewall แบบ ACL (Access Control List)

ภาพ Log Router จากเว็บไซต์ phoenixlabs.org

แต่ข้อ 6 นี้เองที่ทำให้หลายท่านกังวล นั้นคือ การมองเห็นถึงเนื้อหาของข้อมูล (content)
แล้วเทคโนโลยีอะไร ที่มองเห็นเนื้อหาของข้อมูล (Content) นอกจาก sniffer แล้วมีอีกไหม
ผมขอยกตัวอย่างสัก 3 เทคโนโลยี ได้แก่

– NIDS/IPS (Network Intrusion Detection and Prevention System) และเทคโนโลยีประเภท Deep packet Monitoring/Analysis หรือแม้กระทั่ง NAC (Network Access Control ที่ทำตัวเป็นเหมือน Switch ตัวหนึ่งทีเดียว)
การติดตั้งสามารถติดตั้งตามจุดต่างๆ บนเครือข่ายคอมพิวเตอร์ได้ ไม่จำกัด ทั้งแบบ Inline ขวางระบบเครือข่าย , Passive โดยใช้ผ่านอุปกรณ์อื่นเช่น switch เป็นต้น
ซึ่งเทคโนโลยีจำพวกนี้ สามารถมองเห็นเนื้อหาของข้อมูล (content) และมองเห็นข้อมูลตามข้อ 1- 6 ที่กล่าวมาข้างต้น แต่จุดประสงค์เทคโนโลยี NIDS/IPS ถูกออกแบบมาเพื่อตรวจสอบข้อมูลที่ผิดปกติ เช่น การโจมตี DDoS/DoS ,การแพร่ระบาดไวรัส (virus/worm) , การรับส่งข้อมูลที่ไม่พึ่งประสงค์ (Spam) ,และ การป้องกันเว็บไซต์ หรือชื่อโดเมนที่หลอกหลวง (Phishing) , การกรองเว็บไซต์ที่ไม่เหมาะสม (Web Filtering) เป็นต้น ซึ่งที่กล่าวมานั้น เป็นการตรวจเฉพาะภัยคุกคามมากกว่าการตรวจทุกเนื้อหาข้อมูล (content)
ซึ่งส่วนนี้ได้ทั้งข้อ 1- 6 รวมถึง 6.1 ด้วยแต่ไม่ได้ข้อ 6.2

ภาพติดตั้ง NIDS/IPS และ Proxy ซึ่งการติดตั้งในรูปเป็นแบบ In-line หรือ Transparent ซึ่งทำให้ข้อมูลผ่านที่ตัวอุปกรณ์ได้ เหมาะสำหรับเครือข่ายคอมพิวเตอร์ขนาดเล็กและขนาดกลาง

– Proxy Caching
การติดตั้ง ได้ทั้งเป็น gateway , transparent หรือแม้กระทั่งติดตั้งเป็นเพียงเครื่อง Server โดดก็ได้
หลายคนมองข้ามเทคโนโลยีตัวนี้ เนื่องจาก Proxy Caching มักมองในด้านการเพิ่มความเร็วแต่หากพิจารณาถึงข้อมูลบนตัวระบบ Proxy Caching ก็จะพบว่ามีคุณสมบัติตาม 1-6 ครบทุกข้อ คือได้เรื่องเนื้อหาข้อมูล (content) ด้วย เพื่อความเข้าใจมากขึ้น Proxy Caching มักใช้ทำเฉพาะ Protocol ใด Protocol หนึ่งมิใช่เปิดใช้ทั้งหมด หรือน้อยนักที่เปิดใช้ทั้งหมด Protocol ที่นิยมเปิดใช้คือ HTTP หรือการทำ Proxy Caching ส่วน Web นั่นเอง
ซึ่งส่วนนี้ได้ทั้งหมด 1-6 รวมถึงข้อ 6.1 และ 6.2 (เฉพาะ HTTP หากเป็น Protocol อื่นต้องเปิดให้ Proxy รองรับ Protocol อื่นด้วยซึ่งยังไม่เป็นที่นิยมและทำให้ Proxy ทำงานหนักเกินไป) ส่วนใหญ่เทคโนโลยีนี้ไม่ได้มีการเก็บบันทึกข้อมูลไว้ในตัวต้องหา storage มาเสริม

เทคโนโลยีสุดท้ายคือ UTM (Unified Threat Management)
การติดตั้ง เป็น gateway ขององค์กร
เทคโนโลยีนี้มาแรงในปัจจุบันเนื่องจากธุรกิจ SME นั้นมีมากขึ้นทำให้เลือกใช้ UTM มากขึ้น UTM หรือรวมทุกเทคโนโลยีด้านความมั่นคงปลอดภัยลงบรรจุในเครื่องเดียว คือ เป็นทั้ง Firewall , NIDS/IPS , Proxy จึงทำให้ Log ที่เกิดขึ้นบนเครื่อง UTM ได้ครบทั้ง 6 ข้อเช่นกัน คือได้เรื่องเนื้อหาข้อมูล (content) ด้วยเช่นเดียวกับ sniffer
ซึ่งส่วนนี้ได้ทั้งข้อ 1-6 รวมถึงข้อ 6.1 ยกเว้นข้อ 6.2 ส่วนใหญ่เทคโนโลยีนี้ไม่ได้มีการเก็บบันทึกข้อมูลไว้ในตัวต้องหา storage มาเสริม

ภาพการออกแบบ UTM บนเครือข่ายคอมพิวเตอร์ ซึ่งเป็น UTM ยี่ห้อดัง Fortigate ที่นิยมในประเทศไทย

แล้วพวก Log Management ล่ะ ? ได้ทั้งเนื้อหาข้อมูล (content) ด้วย ? คำตอบคือ Log Management ไม่สามารถทำงานได้เองโดยลำพัง ต้องได้รับข้อมูลจากอุปกรณ์ / เครื่องคอมพิวเตอร์อื่น ถึงสามารถทำงานได้ หากรับข้อมูลจาก อุปกรณ์ Router ก็จะได้เพียงข้อ 1 – 5
หากรับข้อมูลจาก อุปกรณ์ Switch ก็จะได้เพียงข้อ 1-5
หากรับข้อมูลจาก NIDS/IPS หรือ Proxy caching หรือ UTM ก็จะได้ข้อ 1-6 ตามที่อธิบายข้างต้น ส่วนจะได้ข้อ 6.2 หรือไม่นั้น NIDS/IPS , NAC , UTM ไม่สามารถได้ข้อ 6.2 ส่วน Proxy ต้องอาศัยเทคโนโลยีเสริม ดังที่กล่าวมาแล้วเป็นต้น

แล้วพวกเทคโนโลยีพวก Web Crawler ล่ะ ? เช่นพวก google , yahoo หรือ bing นี้ทำไมถึงรู้ keyword ที่เราต้องการค้นหาได้ด้วย

ภาพ web crawler ตัวแรกของโลกเมื่อปี 1996

เทคโนโลยี Web crawler เสมือนเป็นสายลับให้ผู้สร้าง crawler หรืออาจเรียกได้ว่าเป็นพวก robot ที่วิ่งหาข้อมูลอยู่ตลอดเวลาทำงานแทนคนนั้นเอง ซึ่งหากพิจารณาแล้วพบว่า Web Crawler ได้เฉพาะข้อ 2 ,4, 5 และ 6 คือ
Web Crawler จะสามารถทราบถึง
– ในข้อ 2 Destination IP นั่นก็คือ เว็บไซต์ที่เปิดขึ้น เช่นค้นหาคำว่า “SRAN” พบว่า www.sran.net อยู่บรรทัดแรกของระบบ Search engine หากเราทำการเปิดเว็บไซต์ www.sran.net ก็แสดงว่า www.sran.net คือ Destination IP (ทำการ ping www.sran.net ได้ IP Address)
– ในข้อ 4 Port Destination นั่นคือ ได้ Port ปลายทางด้วย เช่น ค้นหาคำว่า “SRAN” พบว่า www.sran.net อยู่บรรทัดแรกของระบบ Search engine ข้อมูลทุกอย่างปรากฏผ่านบราวเซอร์ของเราผ่าน Protocol HTTP ก็แสดงว่า Destination port ก็คือ 80

ภาพแสดงถึงหลังฉากการติดต่อสื่อสารจะเห็นได้ว่ามีการติดต่อจาก IP ต้นทาง (Source IP หรือ Local Address Port ต้นทาง ไปยัง Destination IP หรือ IP Foreign port ปลายทาง)

– ในข้อ 5 Protocol ในการติดต่อสื่อสาร เป็น TCP เนื่องจากเป็นการสื่อสารผ่าน HTTP นั่นเอง
– ในข้อ 6 เนื้อหาข้อมูล ตาม Keyword ที่เราค้นหา โดยเทคนิค Web Crawler จำเป็นต้องดูดเนื้อหาในเว็บไซต์มาเก็บไว้ เรียกว่า Web site Copier ที่เครื่อง Crawler Server แน่นอนครับนำเอาเนื้อหา (Content) ที่เกิดขึ้นบนเว็บไซต์เข้ามาด้วย แต่เป็นเพียงเฉพาะ Protocol HTTP โดยส่วนใหญ่ ไม่ได้ทำเพื่อใช้ Crawler ไปกับ Protocol อื่นนัก และไม่ได้หมายความว่า crawler จะทำงานได้เฉพาะ HTTP นะครับเพราะมีบางโปรแกรมก็ใช้ crawler กับ Protocol ที่ใช้แชร์ไฟล์ ก็มีคือวิ่งบน SMB Protocol ก็มีเช่นกันแต่เป็นส่วนน้อยและ เทคโนโลยี Crawler ไม่จำเป็นทำตามข้อ 6.2 คือการทำ Reconstruction นั้นเนื่องจากเนื้อหาทั้งหมดอยู่ใน storage เครื่องที่ทำระบบ Crawler ที่ประมาณข้อมูลมหาศาลเรียบร้อยแล้ว จึงเป็นขอพิพากกันถึงการทำงานของ google ที่อาจเป็นการละเมิดข้อมูลผู้อื่นได้ เนื่องจาก google มี crawler จำนวนมาก มี Server ที่เก็บเกี่ยวข้อมูลจำนวนมากจึงทำให้หลายๆประเทศมองว่า google อาจเป็นภัยต่อความมั่นคงได้เช่นกัน
แต่ทั้งนี้แล้ว
** ระบบ Web Crawler ไม่มีทางที่ได้ค่า IP ต้นทางหรือ Source IP นอกเสียจากว่า IP ต้นทางดันไปปรากฏในเว็บกระทู้ (Web board) ที่เปิดเผย IP ทั้งหมด ซึ่งหากนับแล้วเว็บกระทู้ (Web board) น้อยนักที่เปิดเผย IP Address ผู้โพสเว็บทั้งหมด ดังนั้น Web Crawler หากได้ IP ต้นทางนั้นจำเป็นต้องอาศัยโชคด้วย จึงอาจกล่าวได้อีกครั้งว่าเทคนิค Web Crawler ได้เฉพาะข้อ 2,4,5 และ 6 ดังที่กล่าวมา

เทคโนโลยีทั้งหมดที่กล่าวมาผมยังไม่กล่าวถึงการเก็บข้อมูล (Storage) และการออกแบบอย่างไรถึงจะสามารถรองรับข้อมูลได้ ซึ่งหากให้เขียนทั้งหมดจะมีเนื้อหายากและยาวเกินไป เดี๋ยวจะไม่มีใครคิดจะอ่านต่อ ผมจึงขอหยุดการอธิบายส่วนเทคโนโลยีอื่นๆ ไว้เพียงแค่นี้ก่อน
กลับไปสู่เนื้อหาต่อ ..

จะพบว่าคำถามเรายังไม่หมด สำหรับความสงสัยของผู้คน ถ้าเป็นเช่นนี้ เราไม่ยุ่งหรือ ? หากอุปกรณ์ป้องกันภัยที่ทุกองค์กรที่ใช้อยู่ ก็สามารถมองเห็นเนื้อหาข้อมูล (content) ได้เช่นกัน
คำตอบคือ ก็ขึ้นอยู่กับการใช้งาน … หากเราคิดเพียงว่าการมองเห็นเนื้อหาข้อมูล (content) ก็เป็นการ sniff “สนิฟ” ไปเสียหมด นี้ก็ไม่ต้องทำอะไรกันพอดี ไม่ต้องมีระบบป้องกันภัยคุกคามปล่อยให้เป็นไปตามเวรตามกรรมก็คงไม่ผิด หากเป็นเช่นนี้คงไม่ได้ ดังนั้น เราจึงควรสร้างความเข้าใจ ถึงเทคโนโลยีที่เราใช้อยู่อย่างมีเหตุและผลมากขึ้น

เรามาดูอีกด้านหนึ่งบ้าง คือ โทษของ sniffer …
ลำพังด้วยโปรแกรมอย่างเดียวนั้นคงไม่มีโทษอะไร มันก็เป็นเพียงเครื่องมือหนึ่งของมนุษย์ เป็นโทษ หรือเป็นภัยนั้น คือผู้ใช้โปรแกรม sniffer นั่นเอง หากใช้ในเจตนาที่ไม่เหมาะสม เช่นการดักข้อมูลผู้อื่นโดยมิชอบนั้นแน่นอนครับผิด ทั้งผิดตามศิลธรรมแล้วยังผิดในมาตรา 8 ของพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์อีกด้วย ทั้งนี้จะผิดกฏหมายได้ต้องดูที่เจตนาผู้ใช้ sniffer เป็นหลักนะครับ
ทีนี้เรามาดูกันว่า เราจะรู้ทัน sniffer กัน “เราจะรู้ได้อย่างไรว่ามีใครดักข้อมูลเราอยู่” กันดีกว่า

ตอนต่อไปผมจะกล่าวถึงวิธีรู้ทัน sniffer โดยจะพิจารณาตามลักษณะการรับส่งข้อมูลดังนี้
1. พิจารณาจากมุมมอง การใช้ข้อมูล หากเราเอาตัวเองเป็นศูนย์กลาง ตัวเรานั่งอยู่ที่ไหน ?
1.1 ที่ทำงาน (office ที่เราทำงานอยู่) –> ใครจะ sniff “สนิฟ” เราได้
1.2 ที่ไม่ใช่ที่ทำงาน เช่น บ้าน ร้านกาแฟ อื่นๆ –> ใครจะ sniff “สนิฟ” เราได้
และเราจะรู้ทันได้อย่างไร ?

ถ้าหากเราระแวง จนถึงขั้นว่าทุกการกระทำต้องเข้ารหัส (encryption) เพื่อป้องกันการดักข้อมูลนั้นจะช่วยป้องกันได้เพียงใด ?

2. การทะลุข้อมูลถึงแม้จะเข้ารหัส การสามารถอ่านข้อมูลได้โดยผ่านเทคนิคที่เรียกว่า Man in the Middle attack (MITM)
2.1 ที่ทำงาน (office ที่เราทำงานอยู่) —> ใครจะ MITM เราได้
2.2 ที่ไม่ใช่ที่ทำงาน เช่น ที่บ้าน ร้านกาแฟ อื่นๆ –> ใครจะ MITM เราได้
และเราจะรู้ทันได้อย่างไร ?

ผมมีคำตอบให้ในตอนหน้า ครับ

เพื่อความแข็งแรงขึ้น และจะได้ลงลึกในรายละเอียดที่กล่าวในตอนหน้าต่อไป ให้กลับไปอ่านเรื่องมุมมองภัยคุกคามจาก
http://nontawattalk.blogspot.com/2009/04/blog-post.html
และ http://nontawattalk.blogspot.com/2009/10/3-in-3-out.html
และ บทความภัยคุกคามตาม Layer ทั้ง 7
http://nontawattalk.blogspot.com/2009/08/layer-7.html
http://nontawattalk.blogspot.com/2009/09/layer-7-2.html
http://nontawattalk.blogspot.com/2009/09/layer-7-3.html

นนทวรรธนะ สาระมาน

Nontawattana Saraman
07/02/53

ข้อเท็จจริงในการดักข้อมูล sniffer


ครั้งแรกกะว่าจะไม่เขียนแล้วนั่งดูกระแสสังคมเงียบๆ และปล่อยให้เวลาเป็นตัวสร้าง ระดับการเรียนรู้ของผู้คนที่ใช้งานอินเตอร์เน็ตในประเทศไทยได้เรียนรู้กันเอง แต่อดไม่ได้จึงขอเขียนบทความนี้ขึ้นมาสักหน่อยเผื่อว่าใครค้นหาเจอแล้วได้พบข้อมูลนี้ขึ้น และเผื่อว่าจะเพิ่มมุมมองอีกด้านหนึ่งให้เป็นที่รับรู้กัน

จากข่าวที่ออกมาว่า กระทรวงเทคโนโลยีและการสื่อสาร หรือ ไอซีที นั้นได้ขอความร่วมมือจากภาคเอกชนในการแก้ไขปัญหาการละเมิดทรัพย์สินทางปัญญาบนเครือ ข่ายอินเทอร์เน็ต ออกใบอนุญาตให้กับผู้ประกอบการต้องติดตั้งอุปกรณ์ดักจับข้อมูลบนเครือข่าย อินเทอร์เน็ต หรือ Sniffer ไว้ที่เกตเวย์ด้วยเพื่อใช้ดักอ่านข้อมูลที่วิ่งบนระบบเน็ตเวิร์ค จนเกิดกระแสสังคมต่อต้านอย่างสูงจนเป็นประเด็นร้อนในสังคมออนไลท์เมืองไทยในช่วงอาทิตย์ที่ผ่านมา

ซึ่งทำให้สังคมออนไลท์มองว่าการนำ sniffer มาใช้นั้นจะผิดกฏหมายในมาตรา 8 ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และทำให้เป็นการละเมิดสิทธิส่วนบุคคล
หากแยกเป็นสองส่วนคือ เรื่องผิดกฏหมายในมาตรา 8 และเรื่องละเมิดสิทธิส่วนบุคคล

1. เรื่องผิดกฏหมาย
ซึ่งหากให้อธิบายในส่วนมาตรา 8 นั้นอาจกล่าวได้ว่าการกระทำผิดนั้นจะเกิดขึ้นได้ก็ต่อเมื่อการกระทำนั้นเกิดจากการกระทำโดยมิชอบด้วยกฏหมาย โดยดูที่เจตนาผู้ใช้เครื่องมือนี้เป็นหลัก จึงจะมีผลในมาตรา 8 หากชอบโดยกฏหมายแล้วนั้นการกระทำเช่นนี้ก็ไม่ผิด

ผมขอสร้างความเข้าใจเพิ่มขึ้น สักนิด โดยการยกตัวอย่าง บริษัท ABC เป็นโรงงานแห่งหนึ่ง ออกกฏให้พนักงานต้องพิสูจน์ตัวตนก่อนใช้งานคอมพิวเตอร์และเชื่อมต่ออินเตอร์เน็ต จากนั้นถ้าบริษัท ABC ได้จัดซื้อระบบ Monitoring System และประกาศให้พนักงานทุกคนรับทราบ ก็เพื่อดูพฤติกรรมการใช้งานผิดประเภทของพนักงานที่ใช้งานอินเตอร์เน็ต เช่น การส่งความลับบริษัทออกไปภายนอก , การติดไวรัสคอมพิวเตอร์การอินเตอร์เน็ตบราวเซอร์ เครื่องคอมพิวเตอร์ในเครือข่ายติด Spyware และเป็น botnet สร้างความเสียหายให้แก่บริษัทและชื่อเสียงองค์กร และอื่นๆ ที่พึ่งเป็นประโยชน์แก่องค์กร บริษัท ABC ซื้อระบบนี้ก็เพื่อป้องกันภัยที่อาจจะเกิดขึ้นในอนาคต คำถามว่าบริษัท ABC ทำผิด พรบ.คอมพ์ฯ หรือไม่ หากเราคิดเอาแต่ได้คือคิดฝั่งเราเองแต่อย่างเดียว ไม่เห็นอกเห็นใจ เจ้าของบริษัท ABC ผู้ที่ซื้อคอมพิวเตอร์ให้พนักงาน ให้เช่าสัญญาณอินเตอร์เน็ต จ่ายค่าไฟฟ้า ค่าลิขสิทธิ์ระบบปฏิบัติการ ซอฟต์แวร์ที่ใช้งาน และค่าซ่อมบำรุงต่างๆแล้วนั้น ก็แน่นอนอาจตีความหมายได้ว่าบริษัท ABC มีโอกาสผิด พรบ. แต่ในความเป็นจริงแล้ว ต้องบอกว่าบริษัท ABC ใช้ระบบ Monitoring System ซึ่งอาจใช้เทคนิคการ sniffer ก็ได้ แต่เป็นการทำโดยชอบ เพราะเขาได้ลงทุนระบบไปแล้ว และหากทำโดยชอบแล้วก็ไม่ถือว่าผิดมาตรา 8 ที่กล่าวมา กลับเป็นเรื่องดีเสียอีกที่ทำให้บริษัท ABC ไม่เสียโอกาสกับการทำ “Internal Threat” ที่อาจจะเกิดขึ้นได้ทุกองค์กรที่มีการเชื่อมต่ออินเตอร์เน็ต คำตอบในข้อนี้คือหากทำจริงก็ไม่ถือว่าผิดกฏหมาย แต่ต้องตีความหมายใหม่ซึ่งผมจะอธิบายต่อไป

กลับมาสู่ประเด็น รัฐบาลจะใช้ sniffer เพื่อดูเรื่องละเมิดทรัพย์สินทางปัญญา นั้นควรทำหรือไม่ ?
ตอบ : ในส่วนตัวผมคิดว่า “ควรทำ” แต่ควรเป็นเรื่องความมั่นคงของชาติ ไม่ใช่เรื่องละเมิดทรัพย์สินทางปัญญา ด้วยมีเหตุผลสมทบ 3 เหตุ ดังนี้

1.1 หากจะทำควรให้ความรู้ประชาชนก่อน (User ผู้ใช้อินเตอร์เน็ต) ถึงพิษภัยบนโลกไซเบอร์ ว่าปัญหาการใช้ข้อมูลบนโลกอินเตอร์เน็ตนับวันยิ่งผู้ใช้งานมากขึ้น มากขึ้นๆ และมีทั้งคุณและโทษ โดยในด้านโทษนั้นจะเห็นได้ชัดว่าอินเตอร์เน็ตเป็นเหตุปัจจัยให้เกิดคดีต่างๆมากมายเช่นกัน เช่น คดีหลอกหลวงคน จากการซื้อขายสินค้าในอินเตอร์เน็ต , คดีละเมิดทางเพศ ไม่เว้นแต่พระ , คดีหมิ่นประมาท , หรือจะเป็นการโจมตีระบบเครือข่ายจนไม่สามารถใช้งานได้ โดยปีที่แล้วก็มีข่าวอันโด่งดังคือ ข่าว DDoS/DoS ที่ประเทศเกาหลี จนเกาหลีไม่สามาถใช้อินเตอร์เน็ตได้ทั่วประเทศ แต่เกาหลีมีระบบ Monitoring ที่ดีจึงสามารถตรวจหาผู้โจมตีและเอาผิดดำเนินคดีได้ในระยะอันสั้น ถึงได้กล่าวว่าภัยเหล่านี้มีความถี่มากขึ้นๆ ซึ่งทุกวันนี้ ประเทศไทยเราเอง หากมีการกระทำผิดบนโลกอินเตอร์เน็ตและเป็นคดีความนั้น จะเป็นไปได้ยากมากในสืบหาผู้กระทำความผิด
ขอยกตัวอย่างกรณีแก๊งไนเจีย 419 ทาง FBI แจ้งมาที่ตำรวจไทยว่าแก๊งนี้อยู่ที่เมืองไทยโดยใช้ประเทศไทยเป็นฐานในการหลอกลวง (Phishing) ผู้คนทั่วโลกผ่าน e-mail เชื่อหรือไม่ว่าตำรวจเรากว่าจะหาแก๊งนี้และจับได้นั้นใช้ความสามารถของคนและโชค โดยแท้ และหาก FBI ไม่แจ้งมานั้นเราก็ไม่รู้หลอกว่าประเทศเราได้เป็นฐานของแก๊งนี้ใช้หลอกลวงขึ้น เหมือนดังว่าประเทศของเรากลายเป็นแหล่งเพาะเชื้อโรคด้านอาชญากรรมข้ามชาติไปเลยในกรณีนี้

ดังนั้นวิธีอย่างหนึ่งที่จะช่วยให้สังคมอินเตอร์เน็ตสงบได้ก็คือทุกๆที่มีการให้บริการข้อมูลควรมีการเก็บ Log และ Log ที่เก็บต้องเป็นประโยชน์ในการสืบสวนมิใช่เป็น Log ที่อ่านยาก จนไม่รู้จะหาผู้กระทำผิดและเป็นหลักฐานได้อย่างไร อันที่จริงแล้วก็มีประกาศเป็นกฏหมายในมาตรา 26 ของ พรบ.คอมพ์ฯ แต่หลายๆครั้งเราก็พบว่าหลายก็ยังไม่ได้มีการเก็บ Log : ขออธิบายเสริมนอกเรื่อง ว่าในการเก็บ Log ที่ดีนั้นถ้าเลือกได้ Log Server ไม่ควรรับ Log มาจาก Router หรือ Switch เหล่านี้การพิสูจน์หาหลักฐานแล้วแทบไม่มีประโยชน์จาก Log เหล่านั้นเลย เนื่องจากโลกอินเตอร์เน็ตทุกวันเป็น Content Application มิใช่เพียงแค่ Network IP , ดังนั้น Log จาก Router หรือ Switch มีประโยชน์เพียงการดูความผิดปกติจากการโจมตี DDoS/DoS และการแพร่ไวรัสชนิดที่ยังไม่มีฐานข้อมูล หากจำเป็นต้องเก็บ Log (ภายในองค์กร) ควรเป็น Log จาก Firewall (UTM) หรือ Proxy หรือ NIDS/IPS และ AD (Active Directory) เป็นอย่างน้อย (อ่านเพิ่มเติมจากบทความเทคนิคการสืบหาผู้กระทำความผิด , สืบจาก Log ) แต่การเก็บบันทึก Log ก็ไม่ได้ซึ่งเหตุการณ์ที่ทันเวลา และไม่สามารถบังคับให้ทุกทีเก็บ Log ได้เหมือนกันหมดเพราะเหตุปัจจัยด้านการออกแบบทั้งระบบ Log Management เองและ ระบบ Network ซึ่งแต่ละที่มีการออกแบบที่แตกต่างกันอยู่ และที่สำคัญคือทุนในการจัดซื้อจัดจ้างเทคโนโลยี สุดท้ายคือบุคคลากร ที่ทำงานด้านนี้ต้องประสานกันได้

1.2 กระทรวงไอซีที ไม่ควรใช้คำว่า sniffer หากเป็นลักษณะการ Tap ข้อมูลก็ต้องอธิบายให้เข้าใจว่าไม่มีทางที่เอาข้อมูลมาได้ทั้งหมด หรือหากได้ทั้งหมดด้วยทุนมหาศาลแล้วนั้น ก็ไม่สามารถที่รู้ได้ว่าใครเป็นใคร ในโลกอินเตอร์เน็ตได้ นอกเสียจาก IP Address ผู้ใช้งานเท่านั้น ควรใช้คำว่า การทำ Lawful interception ที่หลายๆประเทศทั้งยุโรป อเมริกา และ ญี่ปุ่น เกาหลี และจีน ก็ทำกันทั้งนั้น

ผมขอให้ข้อมูลเพิ่มเติมว่า ในต่างประเทศเขาเรียกการทำแบบนี้ว่า Lawful Interception หากแปลเป็นไทยคือการตรวจสอบข้อมูลโดยชอบด้วยกฏหมาย ซึ่งในต่างประเทศจะต้องออกกฏระเบียบ เป็นกฏหมายขึ้นมาก่อน แล้วให้หน่วยงานกลางเป็นผู้ดูแลเรื่องเหล่านี้ ซึ่งจะมีประโยชน์กับ ISP หรือผู้ให้บริการ หากมีคดีความ และเหตุการณ์ด้านความมั่นคงฉุกเฉิน จะได้ไม่ต้องขอข้อมูลจาก ISP อีกต่อไป ตำรวจและเจ้าหน้าที่จะตรงไปที่หน่วยงานกลางที่จัดตั้งขึ้นมานี้ทันที

ซึ่งหากเมืองไทยจะทำ กฏหมายเหล่านี้ นั้นมีอยู่แล้วในเรื่องความมั่นคงในราชอาณาจักร ทั้งกฏหมายไทย เช่นหน่วยงาน DSI หรือ หน่วยพิเศษทางทหารบางหน่วย ก็สามารถใช้กฏพิเศษเหล่านี้ได้ เพื่อจุดประสงค์ด้านความมั่นคงของชาติเป็นหลัก

1.3 กระทรวงไอซีที ควรมองเรื่องนี้ไปในทิศทางด้านความมั่นคงของสถาบันหลักของชาติไทยเป็นหลัก มากกว่าเรื่องละเมิดทรัพย์สินทางปัญญา เพราะหาก Implement สำเร็จ สิ่งที่ได้ตามมานั้นคือการ Trackback เรื่องละเมิดทรัพย์สินทางปัญญาได้อยู่แล้ว เป็นผลพ่วงทางอ้อม และสิ่งที่ได้มาจริงๆ นั้นก็เป็นเพียง IP Address ต้นทาง ที่ ISP จ่าย IP ให้ ไม่ได้รู้หลอกว่าเป็นใคร ซึ่งส่วนนั้นต้องไปตามกันต่อที่ระบบ Radius หรือระบบ Billing ที่จ่ายค่า account อินเตอร์เน็ตไปกับหมายเลขโทรศัพท์ซึ่งจะตามต่อได้แล้วว่าเป็นใคร ซึ่งมีกระบวนการทำงานอีกพอสมควร (ถึงแม้จะมี IPv6 ก็ตามขั้นตอนก็ไม่ได้แตกต่างไปเลย ยกเว้นบ้าง ISP ที่มีระบบ Inventory ดีๆ อาจจะ Trackback ได้ง่ายขึ้นโดยเฉพาะ พวกที่ใช้มือถือใช้งานอินเตอร์เน็ต เป็นต้น)

ในต่างประเทศให้ความสำคัญเรื่อง Lawful Interception มาก โดยเฉพาะประเทศที่มีบทเรียนด้านอาชญากรรมทางคอมพิวเตอร์มาแล้ว เช่น อเมริกา ทุกวันนี้หากกล่าวกันอย่างเต็มปากเต็มคำแล้ว ประเทศไทยเรายังโชคดีมาก ที่การใช้งานอินเตอร์เน็ตถือว่าเสรีมากๆ และไม่มีระบบระเบียบอะไรมาควบคุม และสาวตัวถึงต้นตอของการกระทำผิดผ่านทางอินเตอร์เน็ตได้ คือต้องอาศัยความสามารถส่วนบุคคลในการสืบ การติดต่อ ISP และการพิสูจน์หาหลักฐานในอินเตอร์เน็ตมากกว่าเทคโนโลยี อเมริกา จีน และประเทศในฝั่งยุโรป นั้นตรวจหมดใน Protocol ที่สำคัญ ไม่ว่าเป็น HTTP (Web) , SMTP , POP3 , Web Mail , VoIP อื่นๆ อเมริกาถึงขั้นตรวจภาพเพื่อตรวจหาการซ่อนข้อความไว้ในภาพ (Steganography) ที่ตรวจละเอียดจนไม่เหลือความเป็นส่วนตัวได้นั้นก็เพราะเขามีบทเรียนจากเหตุการณ์ 9/11 มาแล้วว่าผู้ร้ายซ่อนข้อมูลในภาพและส่ง e-mail กัน

2. เป็นการละเมิดสิทธิส่วนบุคคล หรือไม่ ?

“เรากังวลในเรื่องไม่น่ากังวล !!” เพราะสิ่งที่เราเป็นอยู่ทุกวันนี้ ข้อมูลเราก็หลุดไปสู่โลกภายนอกอยู่แล้ว
เรากังวัลเรื่องข้อมูลส่วนตัวเราจะถูกล่วงรู้ ?? จากรัฐบาลหรือผู้ทำระบบ หรือ อื่นๆ หากผมจะบอกว่าข้อมูลส่วนตัวของเรา นั้นจริงๆแล้วไม่มีความลับเลยตั้งแต่เราเชื่อมต่ออินเตอร์เน็ต หรือตั้งแต่เราซื้อคอมพิวเตอร์เครื่องนี้มาใช้เล่นอินเตอร์เน็ต แม้กระทั่งข้อความที่ผมพิมพ์อยู่นี้ อย่างน้อย robot จาก google คงตามผมเจอเพราะผมใช้ blogspot และค่า fingerprint บนระบบปฏิบัติการผม IP Address ที่ไปประทับแล้วใน blogspot (Log บน Web blogspot server) ไปเรียบร้อยแล้ว

ที่กล่าวไปอย่างงี้ คงมีคนเถียงผมเป็นแน่ จึงขอยกตัวอย่างว่าทำไมเราไม่ไปกังวลเรื่องอื่น เช่นเรื่องที่ผมจะกล่าวต่อไปนี้ เป็นตัวอย่าง ๆ ไปแล้วกันครับ

2.1 Peering ข้อมูลที่ไหลออกนอกประเทศ : เวลาเราเล่นอินเตอร์เน็ต สงสัยบ้างไหมว่า ทำไมดูเว็บบ้างเว็บเร็วจังเลย เช่น www.youtube.com , google.com , msn และ social network อื่นๆ ที่เร็วเป็นเพราะว่า ISP ในประเทศไทยแข่งขันกันอยู่เพื่อให้ลูกค้ามาใช้บริการมากๆ เขาต้องทำระบบ Caching เพื่อการที่ทำให้ข้อมูลในเร็วขึ้น แต่การ Caching google ได้นั้น ต้อง Peering ส่วนใหญ่ ISP จะทำ Peering Link ไปที่ประเทศสิงคโปร์ แล้วเราไม่เอะใจ ++ บ้างหรือว่า Caching อยู่ที่สิงคโปร์นั้น ข้อมูลใน Caching นั้นไม่ละเมิดความเป็นส่วนตัวเรา ? เพราะได้ทั้งเนื้อหาทั้งหมด (Content) ที่เราเปิดอยู่ได้ ทั้งนี้ก็เพื่อให้ความเร็วในครั้งต่อไปเราจะได้เปิดเร็วขึ้น คนอื่นที่เปิดคลิปเสียง คลิปวิดีโอที่เราเคยเปิดก็เปิดได้เร็วขึ้น แล้วที่สำคัญข้อมูลไม่ได้อยู่ในประเทศเรากับไปยังต่างประเทศ แบบนี้เราไม่กังวลหรือ ??

ภาพบริการ Peering ส่วนใหญ่จะใช้กับเว็บไซต์ยอดนิยม (ภาพจาก www.digitalsociety.org )

2.2 สงสัยบ้างไหมว่าซอฟต์แวร์ Anti-virus บางค่ายหรือเกือบทุกค่าย รู้ E-mail เราได้อย่างไร แถมส่งมาบอกว่า “License ซอฟต์แวร์ Anti-virus ที่คุณใช้อยู่หมดไปแล้ว ให้คุณซื้อและเสียเงินให้เขาได้แล้ว” น่าแปลกไหมทั้งที่เราไม่เคยกรอกข้อมูลให้เลย ?? เพราะเราคิดว่าหาซอฟต์แวร์ Anti-virus ฟรีมา ลงเวลา Install ก็กด Next ๆ ไม่ได้อ่านเงื่อนไขซอฟต์แวร์ หากอ่านให้ดีพบว่าหากเราไม่เสียค่า License ซอฟต์แวร์ Anti-virus ที่เราใช้อยู่เขามีสิทธิโดยชอบในเครื่องเรา สามารถดูข้อมูลในเครื่องเราได้ ในระดับหนึ่ง (ที่ทางเทคนิคค่าย Anti-virusทำได้) นั้นทำให้เขารู้ e-mail และกลุ่ม mail เพื่อนๆเราได้จากคอมพิวเตอร์เราเอง และอีกอย่าง Anti-virus ต้องการ Research ชนิดไวรัสคอมพิวเตอร์ใหม่ๆ การ Research ได้ดีก็ต้องอาศัยเครื่องคอมพิวเตอร์ของผู้ใช้งานเพื่อดูค่า Hashing ที่สร้างขึ้นในเครื่องนำมาสรรหาไวรัสใหม่ๆกัน ถ้าไม่เชื่อลองทำด้วยตัวเองดูไหมครับ ท่านใช้ Anti-virus ค่ายไหนอยู่ ลองใช้แบบไม่เสียตัง แล้วไม่สนเรื่องที่แจ้งว่า “ท่านต้องซื้อได้แล้ว” แล้วลองเอาโปรแกรมพวก Wireshark ไปรันตอนมันส่งข้อมูลออกไปสิแล้วจะเห็นความจริง Anti-virus หลายตัว run backgroud process ในเครื่องเราไม่ต่ำกว่า 1 process ส่วนหนึ่งก็อาจเรียกได้ว่ามีหน้าที่คล้ายกับ spyware ที่คอยส่งข้อมูลไปแจ้งเรื่อง bug และการ research อยู่ตลอด (ที่เขียนไปนี้ ผู้อ่านมีสิทธิที่ไม่เชื่อในสิ่งที่บอก แต่ขอให้ลองทำดูว่าเครื่องเราเองนั้นส่งอะไรออกไปข้างนอกเครือข่ายเราบ้าง)

2.3 ซอฟต์แวร์บราวเซอร์ ใครใช้ บราวเซอร์ IE6 อยู่ ก็จะพบว่ามีโปรแกรม Alexa ฝั่งเข้าในเครื่องเราเพื่อดูพฤติกรรมการใช้งานอินเตอร์เน็ตของเราเอง เพื่อจัดสถิติและเพื่อประโยชน์ในกลุ่มวิจัยการตลาด เพื่อให้สินค้าได้ซื้อขายได้ถูกประเภทกับท้องถิ่นที่ใช้งานมากขึ้น ยกตัวอย่างเช่นพฤติกรรมใช้อินเตอร์เน็ตในประเทศไทย ควรจะขายสินค้าไหนดี โฆษณาอะไรดี เป็นต้น
ผมแสดงถึงความสงสัยต่อ Alexa ดังนี้

–

** เราเคยสงสัยบ้างหรือไม่ว่า Alexa จัดอันดับเว็บไซต์ในประเทศไทยได้อย่างไร ? ทั้งทีไม่ได้ติดสคิปพวก Web stats ในเครื่อง Web Server เราเลย (http://www.alexa.com/topsites/countries/TH)

ผมไม่เคยติดสคิป alexa ใน www.sran.net แต่ดูนี้สิทำไม alexa ถึงรู้ว่ามีคนเข้าเว็บนี้กี่คน ส่วนใหญ่ใช้ keyword อะไรถึงรู้จัก www.sran.net (http://www.alexa.com/siteinfo/sran.net) alexa ก็อาศัยพวกคุณๆ ที่ใช้ tools bar หรือ IE ที่มากับระบบปฏิบัติการ Microsoft นั่นสิ แล้วแบบนี้เราทำไมไม่กังวลกันว่าข้อมูลส่วนตัวเราไม่รั่วไหลไปไหนเหรอ ??
alexa เอา cookie ในเครื่องเราไปเพื่อจัดทำสถิติ แล้วแบบนี้เราไม่กังวลหรือ ?

2.4 google เจ้าพ่อข้อมูล ใครที่ใช้บริการ google app ที่เป็นระบบ Cloud computing คุณไม่ต้องห่วงว่าทำไม e-mail ที่ใช้ google app โฆษณาข้างมุมขวามือของเรา ถึงได้เข้าถึงตัวเรา รู้จัก Life style เราเป็นอย่างดี ซึ่งหากเราใช้ บราวเซอร์จาก google , Mobile จาก google , mail จาก google , web ค้นหาจาก google แล้วนั้น โอ้ไม่ต้องกล่าวครับข้อมูลส่วนตัวเราไปอยู่ข้างนอกเกือบหมดแล้ว ข้อมูลส่วนตัวนั้นคือพฤติกรรมการใช้อินเตอร์เน็ตของเรา พฤติกรรม e-mail ที่ส่งเข้ามาใน mail box ของเรา อีกทั้ง google ยังสามารถใช้ crawler สำรวจเนื้อหา e-mail เราได้หากเราใช้บริการฟรี mail บน google app จึงขอบอกว่าโลกอินเตอร์เน็ตของเราถูก google สร้างกรอบขอบเขตให้อย่างหมดจดแล้ว ทั้งนี้ก็เพื่อความสะดวกสบายในการใช้งานอินเตอร์เน็ต ที่เราอยากรู้อะไรก็ได้รู้ อยากทำอะไรก็ได้ไม่ต้องลงโปรแกรมให้ยุ่งยาก เช่นมี widget มาให้พร้อม ไม่ต้อง Implement หา Mail Server ที่มีความปลอดภัยและเสรียฐสูงๆ แต่ทั้งหมดนั้นเราได้ง่ายเราก็ต้องยอมที่เสียความเป็นส่วนตัวไปบ้าง ?? แบบนี้เรายอมรับกันได้ ?? ข้อมูลของเราในมือของคนอื่น เรายอมได้หรือ ??

ภาพการ์ตูนล้อเลียนการสอดส่องข้อมูลของ google ภาพจาก theipinionsjournal

2.5 ที่ไหนมี Link ที่นั้นมี Bot อันนี้เป็นบทความล่าสุดที่เขียนขึ้น ผมพยายมพิสูจน์ดูว่า ใครจะเห็นข้อความผมก่อนจากที่ได้ลองโพสใน Twitter ปรากฏว่า bot ทั้งนั้น แล้ว bot พวกนี้มีไว้ทำไม ก็เพื่อเก็บเกี่ยวข้อมูลในการทำระบบ Search engine ลองอ่านรายละเอียดได้ที่ http://sran.org/g5 ก็เป็นอีกบทพิสูจน์หนึ่งว่าไม่มีความลับในโลกอินเตอร์เน็ต เพราะมี robot อยู่ทั่วอินเตอร์เน็ตเพื่อสอดแนมเรา
robot ที่วิ่งเข้าถึงข้อมูลของเราก่อนใครเพื่อนคงหนีไม่พ้น google เราเคยสงสัยบ้างไหมว่าทำไม google ถึงได้รู้ว่าประเทศของเรามี Keyword คำไหนที่เป็นที่นิยม และเลือกดูตามรายภูมิภาค ว่าจังหวัดไหนในประเทศไทยมีการใช้ Keyword ใดในการค้นหาข้อมูลมากที่สุด ทำไม google รู้ได้ ทั้งทีเราก็ไม่เคยรู้ตัวว่าข้อมูลเหล่านั้นไปที่ google ได้อย่างไร

ภาพแสดงหน้าจอเว็บไซต์ http://www.google.co.th/insights/search/#

อื่นๆอีกมากมาย ที่ข้อมูลเราหลุดไปทางอินเตอร์เน็ต โดยที่เราเองไม่รู้ตัว … ซึ่งข้อมูลเหล่านั้นก็ส่งไปที่ประเทศต้นกำเนิดอินเตอร์เน็ตนั่นแหละ ที่กล่าวนั้นคิดว่าละเมิดมากกว่า sniffer ที่กระทรวงไอซีทีประกาศ เนื่องจาก การ sniffer นั้นเป็นไปไม่ได้ที่จะเอาข้อมูลมาทั้งหมด หรือหากเป็นไปได้ว่าข้อมูลทั้งหมด ก็คงไม่มีใครมานั่งดูอยู่ตลอดว่าใครเป็นใคร จะรู้ก็แค่เพียง IP Address ที่เราได้รับจากฝั่ง ISP เท่านั้นหากใช้ เมื่อรู้ IP ก็ยังต้องไปตามต่อว่าเบอร์โทรศัพท์ที่ ISP ส่งค่าให้ใช้อินเตอร์เน็ตได้นั้นเป็นใครที่จดทะเบียนไว้ ได้เบอร์โทรศัพท์ถึงได้ที่อยู่ ซึ่งมีขั้นตอนพอสมควร ที่หลายคนเป็นห่วงนั้น ผมเลยตั้งคำถามว่าจะกลัวอะไร หากเราไม่ได้ทำผิดอะไร ? ถ้าดูเว็บโป๊ ก็ไม่ต้องกลัวหลอก แต่ถ้าขายยาบ้านี้สิอาจจะถูกจับได้หากระบบบันทึกได้ จึงไม่อยากให้ผู้ใช้งาน (User ผู้ใช้งานอินเตอร์เน็ตไทย) ต้องกังวลเพราะที่ผมกล่าวไปทั้ง 5 ข้อมูลที่ส่งจากเครื่องเราได้ส่งไปโดยตรงด้วยซ้ำ หนักกว่าการ sniffer เสียอีก แบบนี้ยังไม่เห็นมีใครลุกขึ้นมาบ่น ..

มาถึงตรงนี้แล้วหลายคนอยากจะหนีไปให้ไกล แล้วใช้วิธีการต่างๆ นานา เพื่อเชื่อมต่ออินเตอร์เน็ตแบบที่ไม่มีใครรู้ว่าเราเป็นใคร เช่น การใช้ Network Tor ผมก็เคยเขียนเรื่องราวเกี่ยวกับ Tor และพวก Anonymous proxy มาว่า ไม่มีคนปกติที่ไหนจะใช้พวกนี้ ดังนั้นพวกที่ใช้ Tor หรือ Anonymous ก็อาจจะมีคนเฝ้าดูอยู่เพราะส่วนใหญ่เป็นพฤติกรรมที่ไม่พึ่งประสงค์ เช่น ขายยาในเว็บ หรือ เป็น Spammer อื่นๆ … ดังนั้น Tor เองก็มี NSA spy จากอเมริการเฝ้าดูเราอยู่เช่นกัน (อาจมีมากกว่า NSA Spy..แล้วแต่ผู้ให้บริการที่แตกต่างกันในแต่ละประเทศ) ถ้าใครอยากอ่านเพิ่มเติมก็อ่านได้ที่
Anonymity Network เครือข่ายไร้ตัวตน ตอนที่ 1 และ ตอนที่ 2 หากใครจะใช้วิธี Tor หรือ Anonymous proxy ก็ให้คิดดูดีๆ อาจจะเป็นหนีเสือปะจระเข้ ก็ได้

ภาพ NSA Spy ที่คอยสอดแนมใน Anonymous proxy ข้อมูลภาพจาก www.linuxreviews.org

ที่กล่าวไปข้างต้น ไม่ใช่ว่าจะให้กลัวจนไม่ต้องใช้อินเตอร์เน็ตพอดี ทุกวันนี้ดีขึ้นกว่าเมื่อก่อน เพราะมีระบบ open source ที่ปล่อยให้เราตรวจสอบได้ทั้ง โปร่งใสขึ้น แต่ถึงอย่างไรความก้าวหน้าของเรากับระบบไอซีทีในต่างประเทศมันห่างไกลกันอยู่จึงทำให้ผู้ใช้งาน (User) ต้องการความสะดวกสบายมากกว่าข้อมูลส่วนตัว จึงเกิดเป็นเช่นนี้ขึ้น ผมคิดว่าเราควรสร้างโอกาสนี้เป็นการเผยแพร่ความรู้ให้ผู้ใช้งานให้มาก สร้างคนให้มีความรู้เบื้องต้นในการป้องกันตนเองจากการใช้ข้อมูลอินเตอร์เน็ต และการหันไปใช้ระบบ Open source อย่างสร้างสรรค์มากขึ้น

ที่ผมกล่าวๆ มานั้น จะเชื่อหรือไม่ นั้นไม่ว่ากัน แต่ถามว่าแบบนี้จากข้อ 2.1 – 2.5 ที่กล่าวไปนั้น เราไม่กังวลมากกว่าเรื่อง sniffer ที่เราถือว่าเป็นการละเมิดสิทธิส่วนบุคคล หรือไม่ ??

และใครกันแน่ที่ละเมิดสิทธิส่วนบุคคล ก่อนใคร ?? หากเป็นเพราะความไม่รู้จากตัวเราเอง และการเป็นผู้ใช้งานที่ดี เกินกว่าการเป็นนักทดลองศึกษา

จากข้อ 2.1-2.5 ซึ่งเป็นตัวอย่างที่กล่าวมานั้น ข้อมูลเราหลุดไปต่างประเทศ ที่ไม่ใช่ประเทศไทย แน่นอน google , yahoo , microsoft ค่าย anti-virus/spyware อาจไม่สนใจประเทศเล็กๆอย่างเราก็เป็นไปได้ เพียงแค่ต้องการดูพฤติกรรมการใช้งาน เพื่อไปทำการโฆษณาและการตลาดในต่างประเทศ เพื่อจะนำสินค้ามาขายให้พวกเราๆ นี้แหละ ให้สินค้าตรงกับกลุ่มเป้าหมายมากขึ้น ข้อมูลของเราที่วิ่งไปต่างประเทศนั้น เขาไม่สามารถบอกได้ว่า นี้คือ นาย ก. นี้คือเครื่อง นาย ข. รู้แค่ IP Adress ที่มาจากประเทศไทย ในภาคกลาง เหนือ ใต้ อีสาน จังหวัด เท่านั้น ไปมากกว่านั้น ณ ตอนนี้ยังทำไม่ได้ และที่ต้องการคือเรื่องเดียวคือ พฤติกรรมในการบริโภคสื่ออินเตอร์เน็ต ซึ่งผมขอบอกได้ว่าข้อมูลของเราหลุดไปนานแล้ว และทุกวันนี้ก็ยังหลุดอยู่ และยังคงเป็นเช่นนี้ต่อไปเรื่อยๆ หากเรา คนไทยไม่หันมาพัฒนาเทคโนโลยีของเราเองได้

สรุปว่า ที่เขียนไปเสียยาว ก็เพื่ออธิบายว่า “สิ่งที่เรากังวลและควรเป็นประเด็นคือ ได้เวลาแล้วหรือยัง ที่เราจะไม่ปล่อยให้ข้อมูลภายในประเทศของเราหลุดไปยังที่อื่นอีก” มากเสียกว่ากลัวเรื่อง sniffer

ผมคิดว่าหากใครได้อ่านจบแล้ว ก็ลองพิจารณาดูและควรหาทางช่วยกันเถอะครับ วันหนึ่งเราควรมีระบบค้นหา (Search engine) เองของประเทศเรา มีระบบ E-mail ที่ไว้ใจได้ มีความเสรียฐ มีระบบป้องกันไวรัส และที่สำคัญ Mail Server ต้องป้องกัน Spam mail ได้ดีเยี่ยม ทั้งหมดควรเกิดจากการพัฒนาขึ้นของคนในชาติเรา มีระบบ Caching ที่ไม่ต้องไปพึ่งต่างประเทศ มีระบบเฝ้าระวัง ที่ใช้เทคโนโลยีที่ควบคุมได้เอง กันเถอะ วันนี้ประเทศในยุโรปรู้ถึงเรื่องราวเล่านี้แล้ว จีนก็รู้แล้ว และอีกหลายประเทศ (จากข่าวเร็วๆนี้จีนก็ไม่ให้ google อยู่ในประเทศแล้ว) หากในอนาคตมีอินเตอร์เน็ตใช้ทั่วทุกมุมโลก สมรภูมิรบใหม่บนโลกใบนี้ก็จะหันมาชนะกันที่ข้อมูลข่าวสาร มากขึ้นและลองจิตนาการภาพดูว่าตอนนี้ใครคือผู้กุมเทคโนโลยีอินเตอร์เน็ตได้มากที่สุด …. หากเวลานั้นมาถึงจริงประเทศของเราก็เพียงแต่เป็นผู้ตามชาติที่แข็งแรงกว่าอย่างไม่ต้องสงสัย (อ่านเพิ่มเติมบทความสมรภูมิรบใหม่บนโลกไซเบอร์ Cyberwar) วันนี้เราเหมือนผู้เริ่มได้สนุกกับการใช้เทคโนโลยีอินเตอร์เน็ตที่ยังตื่นตาตื่นใจกัน ผมถึงเขียนในบรรทัดแรกตั้งแต่ตอนต้นบทความนี้แล้วว่า อยากปล่อยให้เวลา เป็นตัวพัฒนาระดับการเรียนรู้ของผู้ใช้งานอินเตอร์เน็ตเมืองไทยไปเองเสียก่อน ถึงจุดหนึ่งเราอาจต้องหันมาดูเรื่องความมั่นคงของข้อมูลมากขึ้น ตระหนักถึงผลร้ายผลเสีย โดยคำนึงถึงผลประโยชน์ของชาติเราเสียก่อน หลังจากที่เราได้อิ่มกับการใช้งานเทคโนโลยีไปพอสมควรแล้ว

วันนี้คิดว่ายังไม่สายเกินไป สำหรับประเทศไทย หากเราเริ่มลงมือ ให้โอกาสคนไทยได้ทำ เพื่อประเทศไทยของเรา

บทความนี้เขียนขึ้นจากทัศนะคติส่วนตัว โดยไม่มีธุรกิจมาเกี่ยวข้อง
นนทวรรธนะ สาระมาน
Nontawattana Saraman
26/01/53

ที่ไหนมี Link ที่นั้นมี Bot

นี้เป็นอีกบทความหนึ่งที่สะท้อนให้เห็นว่าไม่มีความเป็นส่วนตัวในโลกอินเตอร์เน็ต
ผมได้ทดลองด้วยตัวเองว่า URL เว็บหนึ่งที่ทำการโพสลงในเว็บไซต์ต่างๆ นั้นจะเกิดอะไรขึ้น ? หลังจากที่เราโพสข้อความเหล่านั้นไป และทำไมผมถึงบอกว่าไม่มีความเป็นส่วนตัวบนโลกอินเตอร์เน็ตนั้น จะเป็นจริงหรือไม่
เรามาลองพิสูจน์ให้เห็นจริงจากการทดลองนี้

step 1 : สร้าง short URL โดยไปที่ http://sran.org ที่เลือกใช้บริการ short URL ของ sran.org ก็เพราะเป็นระบบที่เราสามารถควบคุมการใช้งานได้เองทั้งหมด (เขียนขึ้นจากทีมงาน SRAN Dev) จึงทำให้เรานำมาใช้ในการทดสอบครั้งนี้เพื่อพิจารณาจากข้อสมมุติฐานที่ว่าที่ไหนมี Link ที่นั้นมี bot ได้
โดยเราได้นำ URL http://www.sran.net/archives/341 กลายเป็น http://sran.org/g4
ทำไมต้องทำ Link ก็เพราะต้องการสำรวจ robot ที่เข้ามาตรวจสอบและเก็บเกี่ยวข้อมูลของเรา
ก็เพราะระบบตรวจสอบบน short URL ของ sran.org จะทำให้ทราบถึงแหล่งที่มาของ robot ได้ ถ้าเป็นพวก Web Stats อาจจะไม่เห็น robot ที่เข้ามาเปิดเว็บไซต์เนื่องจาก fingerprint ของ robot มีความแตกต่างจากคนเปิดเว็บมาก

ภาพที่ 1 การสร้าง short URL ที่ http://sran.org

step 2 : ทำการโพสข้อความบน Twitter ไปตอน 10:38 น. ของวันที่ 30 ธันวาคม 2552

ภาพที่ 2 โพสข้อความบน Twitter ที่ account http://twitter.com/SRAN_Lihgt

น่าแปลกผมรอเป็น 10 นาที ข้อมูลบน short URL ที่ทำขึ้นคือ http://sran.org/g4 นั้นไม่ปรากฏ IP จากประเทศไทยคลิกเลย มีแต่ robot เข้ามาดู ก็คงสรุปได้ว่าถ้า account ใน twitter ไหนที่ไม่ดังมากการโพสข้อความลงไปบน twitter นั้นแทบไม่มีเกิดประโยชน์เลย คือ ไม่มีใครเห็นเราบ่นเลย มีแต่ bot ที่คอยเราอยู่ ดังนั้นการที่ใช้ twitter ในเชิงประชาสัมพันธ์แล้วนั้นผมว่าโอกาสมีน้อยมากครับ หรือเรียกได้ว่าอินเตอร์เน็ต โดนเฉพาะ Social Network เป็นเรื่องของความคิดและจินตนาการเสมือน “เราคิดว่าคนอื่นเห็นเรา แต่ในความเป็นจริงเรานั้นโดดเดี่ยว” เหมือนกับ blog ทุกวันนี้มีจำนวนบทความใน blog มากกว่าคนที่อ่าน blog เป็นต้น

step 3 : ดูใน Log ของระบบ short URL

พบข้อมูลดังนี้

คลิกที่รูปเพื่อดูภาพขยาย

ภาพที่ 3 ข้อมูล Log บนระบบ short URL sran.org

จาก Log พบว่า robot ที่วิ่งเร็วสุดและหาข้อความนี้เจอคือ robot จาก amazon.com IP 72.44.49.134 และ 174.129.58.57 ใช้เวลามาถึงเพียง 1 นาที หลังจากที่ข้อความนี้ได้ปรากฏขึ้นบน twitter คือเวลา 10:39 (โพสข้อความตอนเวลา 10:38) เพียง 1 นาทีก็พบว่ามี bot ที่เจอ Link ของเราและเจอข้อมูลของเราแล้ว ชังรวดเร็วมาก

รองลงมาคือ robot จาก google IP 66.249.68.197 ถ้าดูจากเวลาแล้ว robot จาก amazon , google และ microsoft ใช้เวลาเท่ากัน แต่ระบบ short URL ของ sran.org พบ amazon ก่อน แสดงว่าถึงเร็วกว่าเพียงเสี้ยววินาที

robot ที่มาถึงข้อความนี้บน twitter ได้ช้าที่สุดคือ THEPLANET.COM INTERNET SERVICES ใช้เวลา 3 นาทีในการค้นพบข้อความที่ผมได้โพสลง twitter ตอน 10:38 จากภาพที่ 2

สิ่งที่น่าสังเกตตามมาจากการทดลองในครั้งนี้พบว่า
Robot จาก amazon มีมากที่สุด โดยมีถึง 5 ตัว รองลงมาคือ google และ microsoft คืออย่างละ 2 ตัว

และที่น่าศึกษาคือ robot จาก Team Cymru IP 209.176.111.130 เป็น bot ที่น่าสนใจเนื่องจากทีมงาน Cymru ในวงการ IT Security แล้วเป็นทีมที่คอยเฝ้าระวังเกี่ยวกับ IP ที่เป็นบัญชีดำ (Blacklist) จึงใช้วิธีการส่ง robot ออกไปสำรวจข้อมูลในโลกอินเตอร์เน็ตเหมือนดังระบบ search engine ที่ทำการแล้ว เพื่อเก็บข้อมูลมาวิเคราะห์ทีมงานต่อไป ที่บอกน่าสนใจกับการกระทำของ Team Cymru ก็เพราะควรจะนำเทคนิคของทีมนี้ไปใช้ในหน่วยงานด้านความมั่นคงของประเทศไทย โดยผมยินดีให้ข้อมูลเชิงลึกกว่านี้ ..

ข้อสรุปจากการทดลองครั้งนี้พบว่า ทุกครั้งที่เราโพสข้อความที่มี Link ของ URL ในโลกอินเตอร์เน็ตจะมี robot หรือ bot หรือบางทีอาจเรียกได้ว่าเป็นพวก crawler ที่วิ่งไปมาในโลกอินเตอร์เน็ตจะมาเก็บเกี่ยวข้อมูลจากเราทุกครั้งไป ทำให้ผมมั่นใจว่าในโลกอินเตอร์เน็ตนั้นไม่มีความเป็นส่วนตัวแน่นอนครับ
ในอนาคต robot มีจำนวนมากขึ้น ข้อความที่เราโพสกันในอินเตอร์เน็ต ไม่ว่าผ่านเครื่องคอมพิวเตอร์ตั้งโต๊ โน็ตบุ๊ต หรือผ่านมือถือ ข้อความนั้นจะไม่เป็นความลับสำหรับ robot เหล่านี้ และไม่ช้า ข้อความของเราจะถูกค้นหาเจอจากระบบ search engine ตามลำดับ ดังนั้นโลกอินเตอร์เน็ตที่เต็มไปด้วยข้อมูลและเป็นแหล่งที่เราสะสมการกระทำในอดีต การกระทำของเราจะปรากฏให้เห็นต่อสาธารณะได้ในเวลาอันรวดเร็ว ถ้าคิดจะปิดกั้นไม่ให้เผยแพร่ แน่นอนเราต้องพึ่งบารมีของพี่กัน (USA) เพราะระบบ robot ที่ลงทุนสร้างพวกนี้ส่วนใหญ่แล้วมากจากอเมริกาทั้งนั้นเลย ลองสังเกตภาพที่ 3 ดูสิ จะพบว่ามาจากอังกฤษ และสวีเดน ที่เห็นหลุดมาจากภาพ เท่านั้นเอง นอกนั้นมาจากประเทศอเมริกาทั้งสิ้น

หลายคนอ่านจบอาจคิดว่า “เจอแล้วได้อะไรไม่เห็นมีความลับอะไร” ในวันนี้อาจจะพบว่าเป็นเรื่องเล็กน้อย แต่หากอินเตอร์เน็ตได้ถูกใช้กันมากขึ้นล่ะ จะยืนยันได้ว่าหากเรามี profiles เกี่ยวกับพฤติกรรมการใช้งานอินเตอร์เน็ตบน social network มากเท่าไหร่ ข้อมูลของเราก็จะถูกเปิดเผยได้มากขึ้นเป็นเงาตามตัว ผมขอยกสถิติการใช้งานอินเตอร์เน็ตที่สำรวจขึ้นจาก internetworldstats มาให้ดู

ตอนนี้จำนวนคนที่ใช้อินเตอร์เน็ตใน เดือนกันยายน ปี 2009 นั้นมีอยู่ประมาณ 1,733,993,741 คน

ในทวีปเอเชียมีการผู้ใช้อินเตอร์เน็ตสูงที่สุด อาจเป็นเพราะจีนมีประชาชนมากก็เลยสูงกว่าเพื่อน

ที่หยิบเอาสถิติมาให้ดูก็เพราะ ต้องการแสดงให้เห็นว่าการใช้งานอินเตอร์เน็ตมีอัตราที่สูงขึ้นแบบก้าวกระโดดเมื่อไหร่การใช้งานอินเตอร์เน็ตเป็นที่แพร่หลายมากขึ้นจนเป็นส่วนหนึ่งของชีวิตประจำวัน และการใช้งานการทำธุรกรรมต่างๆผ่านโลกอินเตอร์เน็ต ทุกคนที่ใช้ไฟฟ้า ก็ได้ใช้อินเตอร์เน็ต ทุกคนที่ใช้มือถือรุ่นใหม่ก็ต้องออกใช้บริการอินเตอร์เน็ต ทุกคนที่ต้องการโทรศัพท์ทางไกลหรือใกล้ก็ต้องใช้อินเตอร์เน็ต และทั้งหมดหากใช้อินเตอร์เน็ตลองคิดดูว่า robot ที่ผมกล่าวมาจะมีส่วนสำคัญในการเก็บเกี่ยวข้อมูลของเราผู้ใช้งานอินเตอร์เน็ตมากขึ้นแค่ไหน ไม่ว่าจะเป็นเรื่องสถิติต่างๆ การทำการตลาด ตลอดจนถึงความมั่นคง และเรื่องความมั่นคงนี้เองเป็นเรื่องที่ต้องมาหยิบยกให้ความสำคัญมากขึ้น

เรื่องความมั่นคงทางข้อมูลสารสนเทศ หากประเทศใครคิดได้ก่อน เริ่มทำก่อนก็จะได้เปรียบบนสมรภูมิรบแนวใหม่แห่งนี้ ฝากเป็นการบ้านสำหรับรัฐบาลไทยด้วยว่าเราจะส่งเสริมกันอย่างไรให้ประเทศของเราเติบโตแบบยืนด้วยลำแข้งของเราได้เอง และรู้ทันสถานการณ์บนโลกไซเบอร์ได้มากกว่าที่เป็นอยู่ได้

สุดท้ายผมได้ทำ short URL ของ บทความนี้ไปที่ http://sran.org/g5 และกะว่าจะไม่โพสลง twitter ลองดูสิว่าจะมี bot หรือคนจะเข้ามาเจอ Link นี้ก่อนใคร

นนทวรรธนะ สาระมาน
Nontawattana Saraman
30/12/52

ข้อมูลที่
บทความจาก SRAN : ใครอยากทำ short URL แล้วปลอดภัยเชิญทางนี้เกี่ยวข้อง
ข้อมูลเกี่ยวกับ Web Crawler
ข้อมูลสถิติการใช้งานอินเตอร์เน็ต

เพื่อนแนะนำลองใช้ SRAN สิ

บริษัท XYZ ต้องการหาความผิดปกติที่เกิดขึ้นจากการใช้งานไอซีทีในองค์กร เนื่องจาก 2-3 วันมานี้อินเตอร์เน็ตบริษัทช้ามาก จนถึงขั้นที่ทำงานไม่ได้ เหตุการณ์นี้อาจจะเกิดขึ้นกับหลายบริษัทที่ใช้ระบบไอทีและใช้อินเตอร์เน็ตใน การทำงาน ในบริษัทนามสมุมติจึงขอนำมาสร้างความเข้าใจถึงคุณสมบัติ SRAN ที่เป็นมากกว่าอุปกรณ์เก็บบันทึกข้อมูลจากการใช้งานไอที แต่ยังสามารถที่ใช้ในการวิเคราะห์หาความผิดปกติที่เกิดขึ้นจากการใช้งานไอที ภายในองค์กรและการใช้งานอินเตอร์เน็ตได้อีกด้วย จนเกิดเป็นเหตุให้ต้องเล่าผ่านตัวละครนาย ก. ไก่ เรื่องนี้มีชื่อตอนว่า

… เพื่อนแนะนำว่า ..

“ลองใช้ SRAN Light มาวิเคราะห์หาความผิดปกติดูดิ๊”

8 ธ.ค 52 เวลา 09:40 นาย ก.ไก่ เป็นผู้ดูแลระบบเครือข่ายคอมพิวเตอร์ให้กับบริษัท XYZ ตัดสินใจเข้าพบผู้อำนวยการฝ่ายไอทีบริษัทฯ หลังจากโทรไปถามผู้ให้บริการอินเตอร์เน็ต (ISP) แล้วไม่พบความผิดปกติจากสายส่งสัญญาณและอุปกรณ์ส่งสัญญาณ (Router) เลยทำการปรึกษาผู้อำนวยการฝ่ายฯ เพื่อที่จะขอเพิ่ม Link Internet เพิ่มจากเดิมจากเดิม 3 Mbps จะขอเพิ่มเป็น 5 Mbps เพื่อขจัดปัญหาที่ระบบงานด้านไอซีทีบริษัทเวลาใช้งานอินเตอร์เน็ตเกิดความ ล่าช้า จนพนักงานภายในเริ่มมีเสียงบ่นกัน

10:00 ก่อนที่นาย ก. ไก่ กำลังง้างมือเคาะประตูห้องผู้อำนวยการฝ่ายไอที ได้มีเสียงโทรศัพท์เข้ามือถือของนาย ก.ไก่ … กริ๊งๆๆ …

นาย ข. ไข่ โทรมาบอกว่า “เพื่อนรัก ในวันพรุ่งนี้จะแนะนำให้เอา SRAN Light ไปติดที่ บริษัทนายดูเผื่อว่ามันจะช่วยได้”

นาย ก.ไก่ คิด (พรุ่งนี้เลยเหรอ xxx่ะ) นาย ก. ไก่ ถามกลับ “แล้ว SRAN มันนี้ตัวเก็บ Log นี้หว่าจะช่วยอะไรได้หว่าาา”

นาย ข. ไข่ ตอบ “นายเคยกินกาแฟ ป่ะเพื่อน SRAN มันก็เหมือน กาแฟ 3-in -1 ไงเพื่อน”

นาย ก.ไก่ ตอบกลับ “มันปรัชญาอะไรเพื่อน อย่างไงเหรอที่ว่า เหมือนกาแฟ 3-in-1″

นาย ข.ไข่ ตอบด้วยความมั่นใจว่า “ด้วยคุณสมบัติอุปกรณ์ ที่มากกว่า 1 อย่างในเครื่องเดียวกัน อีกทั้ง SRAN สำเร็จพร้อมใช้งานเพียงเสียบปรั๊กเสียบสายแลนเพื่อเชื่อมต่อระบบ และ config นิดหน่อยก็พอใช้งานได้แล้ว ก็เพราะ SRAN เป็น Appliance ไง” Appliance คือ Software + Hardware ที่พร้อมใช้งาน

แล้วนาย ข.ไข่ อธิบายเพิ่มว่า “หลายคนเข้าใจผิดว่า SRAN เป็นเพียงอุปกรณ์ในการเก็บบันทึกข้อมูล Log แต่ในความเป็นจริงแล้วคุณสมบติการนั้นเป็นเพียงคุณสมบัติหนึ่งของตัวอุปกรณ์ เท่านั้นเอง คุณสมบัติที่ยังมีอีกหลายส่วนนะ ได้แก่ การเฝ้าระวังภัยและระบุถึงภัยคุกคาม ระบุผู้ใช้งาน IP Address ต้นทางและปลายทางในการติดต่อสื่อสาร ,ระบุค่า MAC Address เครื่องที่ใช้งานได้ด้วยนะ และยังช่วยวิเคราะห์หาความผิดปกติจากการใช้งานอินเตอร์เน็ตนี้แหละเพื่อน แล้วที่เปรียบเทียบเป็นกาแฟ 3-in-1 ก็เพราะต้องการให้เห็นภาพคุณสมบัติที่คุ้มค่าของ SRAN ได้เห็นภาพชัดเจนขึ้นไงเพื่อน”

“อย่าลืมนะว่า SRAN มันย่อมาจากคำว่า Security Revolution Analysis Network คือการปฏิวัติใหม่ของระบบวิเคราะห์ความมั่นคงปลอดภัยทางข้อมูลสารสนเทศ ไม่เห็นต้องเดินตามแนวคิดฝรั่งเลย เราก็คิดประยุกต์เองได้ ขอให้มันเป็นประโยชน์ต่อสังคมออนไลท์ก็แล้วกัน จนเป็น SRAN ทุกวันนี้ไง”

นาย ก.ไก่ ถามกลับ “แล้วภัยคุกคามที่ SRAN มองเห็นนั้น มีอะไรบ้างหว่า”

นาย ข.ไข่ ตอบ “ภัยคุกคามที่เกิดจากการใช้งานไอทีนี้แหล่ะเพื่อน SRAN มันช่วยวิเคราะห์ให้ได้ เชิงลึกด้วยนะเพราะมีเทคโนโลยี Network Intrusion Detection and Prevention ในตัวด้วยมันดูถึงระดับ Layer 2- Layer 7 เชียวล่ะเพื่อนเอ่ย ไม่ว่าจะเป็นปัญหาไวรัสคอมพิวเตอร์นะ แล้วพวกเราไม่รู้ว่าซ่อนเล้นที่เครื่องคอมพิวเตอร์ไหนภายในองค์กร ทำการแพร่เชื้ออยู่นี้ เราก็แค่ใช้ SRAN ค้นหาได้อีกด้วยนะ ไม่เพียงแค่นั้นเพื่อนเอ๊ย SRAN ยังรวมไปถึงการหาผู้กระทำผิดอื่นๆ เช่นการโจมตีชนิดต่างๆ รวมถึงการ Hacking ด้วย มีอีกเยอะลองอ่านดูคุณสมบัติที่ http://sran.org/q ดูนะเพื่อนไม่อยากโม้มากเดี๋ยวลองใช้จริงดูพรุ่งนี้ดีกว่า”

นาย ข.ไข่ ยังกล่าวทิ้งท้ายต่อเนื่องไปอีกว่า “เราว่านะงานนี้ SRAN อาจจะช่วยนายได้นะ ลองดูสิ”

นาย ก. ไก่ “ได้xxx่ะ ถ้าเพื่อนแนะนำ ดูถ้าจะดีเหมือนกัน ลองดูแล้วกัน วันนี้ก็ปล่อยผี ให้คนบริษัทด่าไปก่อนว่าเน็ตช้าาาาา นึกแล้วเซ็งเป็ด”

เช้าวันใหม่ 9 ธ.ค 52 อินเตอร์เน็ตในบริษัท XYZ ไม่ดีขึ้นเลย

และแล้ว เวลา 11:20 นาย ข. ไข่ มาพร้อมเครื่อง SRAN Light รุ่น LT200 มาถึงบริษัท XYZ “โทษทีเพื่อนมาช้าหน่อย ระบบไอทีและการใช้งานอินเตอร์เน็ตบริษัทนายดีขึ้นยัง”

นาย ก. ไก่ ตอบ “มาช้าดีกว่าไม่มานะเพื่อน เน็ตใช้ได้แต่ช้าเป็นเต่าเลย ให้ ISP ที่เราใช้เน็ตอยู่ ตรวจแล้วไม่พบความผิดปกติ ดู Log Firewall บริษัทแล้ว อ่านไม่ออก พยายามแล้ว เห็นน้องคนหนึ่งที่ไปเรียนด้านนี้มาบอกว่าพบแต่ IP Address ภายนอกองค์กรเลยไม่รู้สาเหตุ xxx่ะ Firewall มันไม่ได้บอกว่ามีปัญหาจากอะไรด้วยแหละ นอกจากนี้เราก็ยังดูที่ Log server บริษัทก็ไม่พบไรมากนะ เห็นบริษัทติดตั้ง Log server เขาทำแค่ส่ง Log Authentication จากระบบ Radius Server ของบริษัท เราเห็นแต่ชื่อ User จนดูแล้วก็ เซ่อร์ตามกันไปหมดแล้วล่ะเพื่อนเอ๊ย เห็นบอกว่าส่ง Log มากกว่านั้นมากไม่ได้เดี๋ยวเครื่องเก็บ Log เต็ม ไม่ครบ 90 วันอีก แล้วเดี๋ยวเสียค่า storage เพิ่มอีก เฮ้อออ ชีวิตคนดูแลระบบเครือข่ายคอมพิวเตอร์มันแสนเศร้าอย่างงี้แหละเพื่อน”

นาย ก. ไก่ ยังถามต่ออีกว่า “เออนี้นายมาคนเดียว เหรอ แล้วงี้จะใช้เวลากี่วัน กี่ชั่วโมงในการติดตั้ง SRAN ล่ะเนี้ย!”

นาย ข. ไข่ เลยบอกว่า “SRAN คนเดียวก็พอ เดี๋ยวนายช่วยบอกตำแหน่ง Switch หลักของบริษัทนายทีสิ แล้วพอหาตำแหน่งติดตั้งที่ถูกต้องได้ใช้เวลาแป๊บเดียว เดี๋ยวรู้เรื่อง”

นาย ก. ไก่ ตอบ “Switch บริษัทเรา เป็นรุ่นพ่อขุนฯ นะโบราณมาก ไม่สามารถทำการ Mirror หรือ SPAN port ได้เลย แตะนิดแตะหน่อยอาจถึงขั้นเดี้ยงได้ ”

นาย ข. ไข่ ตอบ “ไม่มีปัญหาเพื่อน SRAN ทำได้ มี Switch ที่ไหน มี SRAN ที่นั้นแหละเพื่อน นำทางไปหน่อยสิ”

นาย ก. ไก่ “นายนี้โชคดีแล้วเพราะเราเป็นคนหนึ่งที่เข้าห้อง Data Center บริษัทได้ ทั้งบริษัทเข้าได้แค่ 3 คน เรามีน้องอีกคนที่เข้าไปช่วยได้ จะให้เรียกไหม” นาย ข.ไข่ ตอบ “ถ้าน่ารัก ก็เรียกมา ยืนให้กำลังใจก็พอ อิอิ”

“เออ … มันเป็นผู้ชายxxx่ะ” นาย ก.ไก่ ตอบ ,, “แป๋วว” นาย ข.ไข่ อุทาน “งั้นไม่เป็นไรเพื่อน SRAN ติดตั้งสะดวก ง่ายกว่าที่คิดเพื่อนเอย” นาย ก.ไก่ กระพริบตา ๆ แล้วคิดว่าอ้ายเพื่อนข้าพเจ้านี้ทั้งโม้ & มอจริงๆ

เวลา 11:40 นาย ข. ไข่ ทำการติดตั้ง SRAN Light แบบ Transparent mode โดยอยู่ตำแหน่งระหว่าง Switch ภายในองค์กรและ Firewall

เวลาผ่านไป 1 นาที นาย ข.ไข่ กล่าว “สายแลนที่ให้มาหัวไม่ค่อยดี ขอสายใหม่นะ” พร้อมแนะนำนาย ก.ไก่ ถึงเรื่องสายแลนอีกตั้งหาก

เวลาผ่านไป 2 นาที นาย ข. ไข่ ติดตั้ง SRAN เรียบร้อย พร้อมต่อเชื่อมกับ โน๊ตบุ๊ค ตนเองเพื่อปรับแต่งค่าเริ่มต้นเพื่อใช้งาน แล้วเปิดบราวเซอร์ไปที่ https://192.168.1.100 ใส่ User / Password แล้วจากนั้นไม่นาน..

“ติดตั้งอุปกรณ์ SRAN เสร็จแล้วเพื่อน” เสียงตะโกนออกจากตู้ Rack ของนาย ข.ไข่ ดังขึ้น แล้วกล่าวต่อว่า “ทิ้งไว้ให้มันอ่านข้อมูลสักพักแล้ว กลับมาดูกันนะ” นาย ก.ไก่ ตอบ “ก็ดีเหมือนกันนี้มันใกล้พักเที่ยงแล้วเดี๋ยวไปหาอะไรกินกันก่อน แถวนี้ร้านอาหารเพียบ อร่อยๆทั้งน้าน” นาย ข.ไข่ ตอบกลับ “แจ่มเลย” นาย ก.ไก่ ถามกลับ “แล้วนายจะกินไรดีวันนี้” นาย ข.ไข่ ตอบ “ข้าว + ไข่ดาว 2 ฟอง!!” โอ้… สมชื่อจริงๆเพื่อน

หลังจากรับประทานอาหารตาและอาหารกายเสร็จ 13:35 นาย ข.ไข่ รีบเข้าไปดูหน้าจอบนโน๊ตบุ๊คตัวเอง ผ่าน Web GUI ของ SRAN https://192.168.1.100 แล้วใส่ User และ password สำหรับเฝ้าระวัง (Monitoring user) ปรากฏว่า

ภาพที่ 1 รูปหน้าแรก SRAN Light หลังจากการเปิดดูข้อมูลผ่าน Web GUI https://192.168.1.100 บนโน๊ตบุ๊คนาย ข.ไข่

นาย ข.ไข่ ถอนหายใจ แล้วชี้นิ้วไปที่รูปลูกศรที่ปรากฏ (สีเขียว ในรูปที่ 1) แล้วกล่าวว่า “เพื่อนรัก นายแหกตาดูนี้สิว่ากราฟสีชมพู ที่บอกปริมาณ Bandwidth มันเต็ม บ่งบอกว่าเครือข่าย (Network) ของบริษัทนายเหมือนคนกำลังจะขาดลมหายใจ หรือหายใจได้ไม่ทั่วท้องเลยนะ”

นาย ก.ไก่ ตอบกลับด้วยความตื่นเต้น “เฮ้ย ก็แน่ล่ะตอนนี้เน็ตมันช้ามาก ถ้านายจะช่วยได้มากกว่านี้ ช่วยระบุว่าปัญหาที่พบให้มันลึกกว่านี้จะได้ไหมเพื่อน”

นาย ข.ไข่ ได้สิเพื่อน สบายมาก

หลังจากที่นาย ข.ไข่ ได้ทำอะไรบ้างอย่างบนอุปกรณ์ SRAN Light สิที่ปรากฏต่อสายตาคือ

จากภาพที่ 2 หมายเลข 1 แสดงถึงช่วงวัน 9 ธันวาคม 2552 เวลาในช่วง 12:59 – 13:59 ส่วนหมายเลขที่ 2 บอกถึงช่วงเวลาอื่น ซึ่งในที่นี้ นาย ข.ไข่ ได้ทำการติดตั้ง SRAN ไปในเวลา 11:40 น. และปล่อยให้ SRAN ทำการบันทึกข้อมูลไปเรื่อยๆ อย่างต่อเนื่อง ในเวลา 13:35 น. นาย ข.ไข่ เข้าระบบ SRAN เพื่อดูข้อมูล และทำอะไรบ้างนั้นในเวลา 13:47 น. ทำให้ Bandwidth ที่เต็มได้ลดลงอย่างรวดเร็ว และทำให้เครือข่ายบริษัท XYZ กลับเข้าสู่สภาวะปกติได้ ..

13:57 น. ของวันที่ 9 ธันวาคม 2552

“โห” เสียงร้องแสดงความประหลาดใจ ของนาย ก. ไก่ ดังขึ้น แล้วกล่าวว่า “Bandwidth ที่เต็มกลับลดลงอย่างรวดเร็ว นายทำไง และมันเกิดอะไรขึ้นล่ะเนี้ย”

“นายใช้เวลาวิเคราะห์ไม่นานก็รู้ถึงสาเหตุ แถมยังทำให้สถานะการณ์ Bandwidth บริษัทกลับมาใช้งานได้ปกติ ถามจริงๆ เถอะว่านายเก่ง หรือ อุปกรณ์ SRAN มันเก่งกันแน่” นาย ก.ไก่ ถาม

“เก่งทั้งคู่แหละ หุหุ” คือ “เครื่องมือดีอย่างเดียวไม่ได้หลอก เทคโนโลยีมันก็ส่วนหนึ่งที่ช่วยให้เราใช้งานในการวิเคราะห์หาข้อมูลได้สะดวก ขึ้น ถ้าใช้งานเป็นนะก็จะมีประโยชน์มาก แต่ถ้าเครื่องมือดีใช้งานไม่เป็นก็เหมือนเดิมล่ะเพื่อนเอ๊ย” นาย ข. ไข่เสริม

นายดูนี้สิ เสียงแนะนำจาก นาย ข.ไข่ “เวลาเราจะดูข้อมูลจราจร (Traffic Log) บนระบบเครือข่ายคอมพิวเตอร์บริษัทนาย แบบวิเคราะห์เชิงลึกนะ เราก็คลิกไปดูที่เมนู Monitor แล้วคลิกที่ Unique Alerts บนหน้าจอบริหารจัดการเครื่อง SRAN ผ่าน IP Management 192.168.1.100 เราก็จะเห็นว่ามีตั้ง 64 ลักษณะการใช้งานบนเครือข่ายคอมพิวเตอร์นายนะ

ภาพที่ 3 เหตุการณ์บางส่วนของลักษณะการใช้งานไอทีบนเครือข่ายคอมพิวเตอร์ XYZ มีทั้งหมด 4 หน้าหยิบมาให้ดู 2 หน้าจาก 64 เหตุการณ์

วิธีสังเกตดูตัวเลข ที่อยู่ด้านหลังชื่อ Signature หรือลักษณะการใช้งาน ตัวไหนที่มีตัวเลขมาก แสดงว่าใช้ข้อมูลเยอะ จึงมีเหตุการณ์เยอะตามไปด้วย ในภาพที่ 3 พบว่ามีการเปิดเว็บ ทั้งที่เป็น HTTP GET , HTTP Post จำนวนมาก และใช้ HTTP ผ่าน Proxy มีจำนวนหนึ่ง จากรูปที่ 3 จะเห็นว่ามีการใช้งาน Chat ผ่านโปรแกรม MSN อยู่จำนวนมากเหมือนกัน นั้นไม่แปลกอะไร แต่ที่มีแปลกๆ ก็มี เช่น บริษัทนายมีคนติดพวก Backdoor อยู่ด้วยนะ และมีพวกที่เป็น Bad traffic (ข้อมูลขยะ) จากรูป ก็มี Spam และ DNS ที่มีการ spoof อยู่ ซึ่ง Bad traffic เช่น DNS Spoof ส่วนนี้อาจจะเกิดจากปัญหาของการเชื่อมต่อ หรือการ config อุปกรณ์ เช่น Router , Firewall ไม่เหมาะสม หรือมีการโจมตีจากภายนอกองค์กรเข้ามา เช่นพวก ผีไม่มีญาติ (ไวรัสคอมพิวเตอร์ที่วิ่งวนเวียนบนอินเตอร์เน็ต) และนี้แหละสิ่งพิเศษที่ SRAN มีมากกว่าการเก็บบันทึกข้อมูลจราจรธรรมดาไง มันแยกแยะประเภทภัยคุกคามให้สำเร็จเลย

พวกนี้ภัยคุกคามที่เจอในบริษัทนายนี้นะ อาจจะเห็นมีเหตุการณ์ไม่มากแต่ก็ประมาทไม่ได้ เหตุการณ์ที่กล่าวมานั้น มันก็มีทุกบริษัทนั้นแหละ ขึ้นอยู่กับว่าจะรู้ทันปัญหาพวกนี้ได้แค่ไหน และมีการรองรับปัญหาเหล่านี้ไม่ให้ปานปลายได้อย่างไรมากกว่า

แต่ตอนนี้บริษัทนาย เรียกว่า Bandwidth เต็ม ก็ที่น่าสงสัยมากที่สุดก็เห็นจะเป็นการใช้งาน P2P นี้สิ มันตัวทำให้ Bandwidth ของบริษัทเต็มได้นะ ดังนั้นเราก็มาคลิกดูว่า P2P มีใครใช้อยู่บ้าง

รูปที่ 4 แสดงถึงการใช้ P2P โปรแกรมเพื่อทำการ Sync หาข้อมูลในการ download ข้อมูล

“เนี้ยไง พบปัญหาที่ทำให้ Bandwidth บริษัทนายเต็มแล้ว” นาย ข.ไข่ กล่าว

“IP : 192.168.1.47 user ชื่อ Nontawatt กำลังโหลด Bittorrent เต็มข้อเลยเพื่อน ลองสังเกต วัน เวลา และพฤติกรรมการใช้งาน IP 192.168.1.47 นี้สิ ณ เวลาที่เรายังไม่ block สิโหลดเต็มๆๆ เลย (คลิกดูที่ 4 เพื่อดูภาพขยาย)”

“เดี๋ยวเรามาค้นหาดูว่าประวัติการใช้งานของ User Nontawatt ดูนะ” นาย ข. ไข่ กล่าวเสริม ส่วน นาย ก. ไก่ กำลังนั่งเกาหัวอยู่ ด้วยความฉงนสงสัย เหมือนอะไรติดที่ปากว่าจะถามอะไรต่อไป ..

รูปที่ 5 ประวัติการใช้งาน User Nontawatt , IP Address 192.168.1.47 , ช่วงวันเวลา ที่ใช้งาน

จากนั้นเราก็เลยทำการปิดกั้น IP Address และค่า MAC Address ที่ต้องสงสัยโดยเข้าไปที่ เมนู Management แล้วคลิก Protect เพื่อปิดกั้นการใช้งาน เมนู Protect ใช้ได้สำหรับการติดตั้ง SRAN เฉพาะแบบ In-line (ป้องกันเชิงลึกได้) และแบบ Transparent (ป้องกัน IP , MAC ได้) ซึ่งตอนนี้เราติดตั้ง SRAN แบบ Transparent เลยสั่งปิด IP 192.168.1.47 ดูปรากฏว่า Traffic บนเครือข่ายคอมพิวเตอร์บริษัทนายลดลงอย่างเห็นได้ชัด ตามรูปที่ 2 (ตอนที่แล้ว)

ภาพที่ 6 ในเมนู Management –> Protect จะมีช่องให้กรอกข้อมูลเพื่อทำการปิดกั้น IP และค่าอื่นๆที่เกี่ยวข้อง ในที่ นาย ข. ไข่ สั่งปิดกั้น (Block) IP 192.168.1.47 ที่คิดว่าเป็นตัวการที่ทำให้ Bandwidth บริษัท XYZ เต็ม

ข้าว่านะงานนี้ Block แxxx่ง MAC Address เลย SRAN Light บอกค่า MAC Address เครื่องนี้มาแล้วนิ เราก็ไปที่เมนู Management –> Protect —> Block MAC Address สะเลย อิอิ ..

“นี้แหละที่มาทำไมในช่วงเวลาไม่นาน Traffic บริษัทนายลดลงไปเยอะเลย เพราะเราได้ปิดกั้น IP และ MAC Address ตัวนี้ไป” นาย ข. ไข่ กล่าวอย่างภาคภูมิใจ

“สุดย๊ออด” เสียงจาก นาย ก. ไก่

“เออ เรารู้แล้วว่าจะถามอะไรนาย” นาย ก. ไก่ เอ่ยถามต่อ “นายรู้ได้ไง ว่า IP Address นี้ชื่ออะไร ค่า MAC Address อะไร”

นาย ข.ไข่ ตอบ “ก็ SRAN Light มีเทคโนโลยีที่เรียกว่า HBW ที่ย่อมาจาก Human Behavioral Warning เพื่อเชื่อมโยงการเฝ้าระวังภัยคุกคามภายในเครือข่ายองค์กร เข้ากับงานบริหารทรัพยากรบุคคล พร้อมระบบจัดเก็บคลังข้อมูล รายละเอียดอยู่ที่ http://sran.org/q ซึ่งเป็นส่วนที่ทีมงาน SRAN ได้คิดค้นพัฒนาขึ้นมาเองด้วยนะ ไม่เหมือนที่อื่นๆ”

ส่วนเรื่องที่ได้รายชื่อ User ได้มาจาก น้องที่นายแนะนำก่อนทำการติดตั้ง SRAN ไง ที่จะมาให้ช่วยฉันไง ช่วงหลังจากทานข้าวเสร็จ เราขอรายชื่อพนักงานจากระบบ AD (Active directory) มาบังเอิญบริษัทนายมีคนไม่มาก เราก็เลยให้น้องเค้าทำค่า MAC Address มาด้วย โดยวิธีการเปิดไปที่เมนู Management แล้วเข้าไปที่เมนูย่อย System คลิกไปที่ Inventory

ภาพที่ 7 วิธีการเก็บบันทึกข้อมูลรายชื่อ User คลิกไปที่ Management หมายเลข 1 และคลิก System หมายเลข 2 และคลิก Inventory หมายเลข 3 จากนั้นให้ทำการนำ ค่ารายชื่อ User จากระบบ AD (Active Directory) หรือบนระบบ LDAP หรือบนระบบ Radius Server เข้าทำการ Import File โดยชนิด File ที่ใช้ในการ Import เข้าระบบ SRAN นั้นต้องเป็น file ตระกูล .csv

ภาพที่ 8 การ Import ข้อมูลจาก AD (Active Directory) เลือก file ที่จัดทำเป็น .csv เพื่อทำการ Import เข้าระบบ SRAN จะทำให้สามารถอ่านรายชื่อ User เชื่อมโยงค่า IP Address ได้

“ทั้งนี้นะเพื่อน เวลาทำหากยังไม่ได้ค่า MAC Address ก็ให้เราจัดทำใเสร็จเสียก่อน แล้วจึงนำมาใส่ในระบบ SRAN” คำกล่าวจากนาย ข. ไข่ ซึ่งวิธีนี้ทำให้เราเชื่อมโยงเหตุการณ์ ทั้ง IP , MAC Address และรายชื่อ User ได้อีกด้วยนะ

“เออดีจัง แล้ว SRAN ที่นายเอามา มันมีทั้งหมดกี่รุ่นอย่างไงอ่า เพื่อจะได้ขอผู้อำนวยการจัดซื้อดู” นาย ก.ไก่ กล่าว

มีทั้งหมดอยู่ 3 รุ่น แต่ละรุ่นเหมาะสมกับเครือข่ายคอมพิวเตอร์ที่แตกต่างกันไป มีทั้งรุ่นเล็ก กลาง และใหญ่ บริษัทนายมีคนอยู่ประมาณ 150 คน เราแนะนำรุ่น LT200 นะนี้รองรับการใช้งานได้ แต่ทั้งนี้ให้ตัวแทนขายเค้ามาคุยให้ฟังจะดีกว่า เพราะอย่างไงต้องขอพวก Network diagram บริษัทนายไปดูด้วย เผื่อว่าจะได้ติดตั้งอุปกรณ์ได้อย่างเหมาะสมและมีประสิทธิภาพขึ้น

สำคัญว่าเวลาที่ใช้ SRAN เป็นอุปกรณ์ที่ป้องกันภัยด้วย ต้องดูขนาด Throughput ของบริษัทให้ดี การติดตั้งแบบ In-line ทำได้ถึงขั้นปิดกั้นข้อมูลในระดับเชิงลึกเลยนะ ปิดได้กระทั่งต้องการ download file หรือจะให้ chat ได้ หรือเพียงอย่างใดอย่างหนึ่งก็ได้ การติดตั้ง In-line จะป้องกันได้ในระดับ Layer 2 ถึง 7 เลยนะ ถ้าเทียบก็ได้กับระบบ NIPS (Network Intrusion Prevention System) เลยล่ะ แต่การติดตั้ง In-line มีประโยชน์ก็จริง ต้องพิจารณาเรื่อง Throughput ให้มากกว่าการติดตั้งแบบอื่นเพราะอาจเกิดคอขวด หรืออาการล่าช้าขึ้นจากตัวอุปกรณ์ SRAN ได้นะ ไม่งั้นอาจต้องลงทุนหน่อยคือใช้ SRAN เพื่อป้องกันภัยในการติดตั้งแบบ In-line ต้องมีอุปกรณ์เสริมเช่นพวก Netoptics ถ้าสนใจปรึกษาได้ แต่นี้ราคา Netoptics แพงกว่า SRAN อีกนะ

ภาพที่ 9 อุปกรณ์ Netoptics เหมาะกับการใช้งานร่วมกับ SRAN บนระบบเครือข่ายขนาดใหญ่

เราแนะนำว่าให้ติดตั้งแบบ Transparent และ Passive จะดีกว่า ติดตั้งแบบ Transparent ป้องกันระดับ Layer 2 , 3 และ 4 ได้ ส่วนแบบ Passive ไม่สามารถป้องกันได้เหมาะสำหรับการเฝ้าระวังอย่างเดียว

ถ้าเป็นเครือข่ายขนาดใหญ่ต้องให้ผู้เชี่ยวชาญ เขามาประเมินดูว่าจะติดตั้งกี่ตัว และกี่จุด แนะนำนะปรึกษาตัวแทนขาย SRAN ได้ ที่นี้เลย

http://www.gbtech.co.th/th/about-us/partner

“เออ เพื่อน ว่าแต่ว่า …” เสียงอำ่อึ้งจากนาย ก. ไก่ ดังขึ้น

“User ที่นาย block IP Addess เพื่อปิดกั้นการใช้งานไป นั้นเป็นของหัวหน้าตูเองล่ะเพื่อนเอ๊ย ก็คนนี้แหละ ที่เมื่อวานตูว่าจะไปขอเพิ่มความเร็วเน็ตบริษัท ก่อนที่นายจะโทรมาหาจนได้อุปกรณ์นี้มาเนี้ยไง ครั้งแรกก็ไม่แน่ใจแต่นี้เห็นชื่อ + IP ด้วย ใช่เลยเพื่อน”

นาย ข.ไข่ “เวงกำ” และกล่าวต่อว่า “ผู้บริหารเล่น Bit เสียเอง เอองี้ เอ๊งไปเครียร์กันเองแล้วกันนะ ข้าน้อยขอกลับบริษัทก่อนล่ะ”

นาย ข.ไข่ “น้องที่ส่งข้อมูลรายชื่อพนักงานจาก AD (Active Directory) ให้ชื่ออะไรนะ” นาย ก.ไก่ ตอบเสียงอ่อยๆ เพลียๆ “ชื่อ ค.ควาย”

“งั้นให้น้อง ค.ควาย พาออกจากตรงนี้ที จำทางเข้าไม่ได้” นาย ข. ไข่ กล่าวต่ออีก แล้วนึกในใจว่า “บริษัทอาราย Data Center อยู่ในซอกน้อยๆทางเข้า-ออกซับซ้อนชิบ….”

เวลาผ่านไปสักเสี้ยวนาที นาย ข.ไข่ ได้ออกไปจากห้องไป กว่าที่ นาย ก.ไก่ จะอ้าปากกล่าวประโยคต่อไปว่า

“เฮ้ย อย่าพึ่งไปดิ แก้ block ออกก่อน ตูทำไม่เป็น”

– the end –

“ยังไม่จบ .. พี่ๆๆ พี่ ก.ไก่ อยากเก่งเหมือน พี่ ข.ไข่ ทาง SRAN มีจัดอบรมนะดูรายละเอียดได้ที่ http://www.gbtech.co.th/th/training” เสียงน้อง ค.ควาย ดังขึ้น ก่อนส่งแขกพี่ ข.ไข่ กลับบ้าน

นนทวรรธนะ สาระมาน
Nontawattana Saraman
11/12/52

การตรวจสอบข้อมูลตามกฎหมาย (Lawful interception)


การตรวจสอบข้อมูลตามกฎหมาย หรือ Lawful interception (LI) คือการได้มาซึ่งข้อมูลการสื่อสารผ่านเครือข่าย ดำเนินการโดยเจ้าพนักงานตามกฎหมายเพื่อวิเคราะห์หรือพิสูจน์หลักฐาน โดยทั่วไปข้อมูลนี้ประกอบด้วยสัญญาณหรือข้อมูลการจัดการด้านเครือข่าย หรือ เนื้อหาของการสื่อสารนั้น ถ้าไม่ได้รับข้อมูลนั้นในแบบเรียลไทม์ เราเรียกกิจกรรมดังกล่าวว่า การเข้าถึงข้อมูลที่เก็บรักษาไว้ (access to retained data)

มีหลักการมากมายในกิจกรรมนี้ รวมถึงการป้องกันโครงสร้างพื้นฐานและความปลอดภัยทางคอมพิวเตอร์ โดยทั่วไปแล้ว ผู้ประกอบธุรกิจโครงสร้างพื้นฐานทางเครือข่ายสาธารณะสามารถรับภาระในกิจกรรม LI เพื่อเป้าหมายเหล่านี้ได้ ส่วนผู้ประกอบธุรกิจโครงสร้างพื้นฐานทางเครือข่ายส่วนตัวมีสิทธิโดยปกติวิสัยที่จะคงไว้ซึ่งความสามารถด้าน LI ภายในเครือข่ายของตนถ้าไม่ได้ถูกสั่งห้าม

หลักการพื้นฐานอย่างหนึ่งของ LI คือการลักลอบดักข้อมูลการสื่อสารโทรคมนาคมโดยหน่วยงานบังคับใช้กฎหมาย หน่วยงานที่มีอำนาจควบคุมหรือบริหาร และหน่วยสืบข่าวกรองที่สอดคล้องกฎหมายท้องถิ่น ภายใต้กฎหมายบางระบบ การใช้งานโดยเฉพาะการเข้าถึงเนื้อหาการสื่อสารแบบเรียลไทม์ อาจมีการบังคับใช้ขั้นตอนและการรับมอบการอนุญาตจากเจ้าหน้าที่อย่างถูกต้อง เป็นกิจกรรมที่ก่อนหน้านี้เรียกว่า ไวร์แทพพิง (wiretapping) และมีมาตั้งแต่มีการลักลอบดักข้อมูลการสื่อสารอิเล็กทรอนิกส์

ด้วยมรดกตกทอดของโครงข่ายโทรศัพท์สวิตช์สาธารณะ (Public Switched Telephone Network : PSTN) เครือข่ายไร้สายและสายเคเบิล การลักลอบดักข้อมูลตามกฎหมายมักจะกระทำโดยการเข้าถึงสวิตช์ (switches) ไม่ว่าจะเป็นเครื่องจักรกลหรือดิจิทัลที่สนับสนุนการดักข้อมูลเป้าหมาย การเข้ามาของเครือข่ายแบบแพกเกตสวิตชิง (packet switched networks) เทคโนโลยีซอฟท์สวิตช์ (soft switch) และแอพพลิเคชั่นแบบ server-based ในสองทศวรรษที่ผ่านมาได้เปลี่ยนแปลงพื้นฐานของการดำเนินการเกี่ยวกับ LI ไป

การอธิบายทางเทคนิค

เกือบทุกประเทศมีข้อบังคับเกี่ยวกับความสามารถทาง LI และใช้ข้อบังคับและมาตรฐานที่พัฒนาโดยสถาบันมาตรฐานโทรคมนาคมแห่งยุโรป (European Telecommunications Standards Institute : ETSI) โครงการ 3rd Generation Partnership Project (3GPP) หรือองค์กรต่าง ๆ ของเคเบิลแล็บส์ (CableLabs) ที่รับผิดชอบด้านเครือข่ายไร้สาย/อินเทอร์เน็ต เครือข่ายไร้สาย และระบบเคเบิล ตามลำดับ ในสหรัฐฯ ข้อบังคับที่เทียบเคียงได้ให้อำนาจตามกฎหมาย Communications Assistance for Law Enforcement Act (CALEA) ซึ่งได้ระบุความสามารถเจาะจงโดยการประกาศใช้ ด้วยความร่วมมือของคณะกรรมการกลางกำกับดูแลกิจการสื่อสาร (Federal Communications Commission) และกระทรวงยุติธรรม

เพื่อป้องกันไม่ให้ข้อมูลการสืบสวนถูกบุกรุก อาจมีการออกแบบระบบ LI ในรูปแบบที่ปกปิดการลักลอบดักข้อมูลจากความเกี่ยวข้องของผู้ประกอบธุรกิจการสื่อสารโทรคมนาคม เป็นข้อบังคับหนึ่งของอำนาจศาลในบางแห่ง

เพื่อให้มั่นใจได้ถึงขั้นตอนที่เป็นระบบ แต่ลดค่าใช้จ่ายของโซลูชั่นต่าง ๆ ในการลักลอบดักข้อมูล กลุ่มธุรกิจและหน่วยงานของรัฐบาลทั่วโลกได้พยายามจัดมาตรฐานขั้นตอนทางเทคนิคที่อยู่เบื้องหลังการลักลอบดักข้อมูล องค์การ ETSI เป็นหน่วยงานหลักในการผลักดันมาตรฐานต่าง ๆ ในการลักลอบดักข้อมูล ไม่เพียงเพื่อยุโรปเท่านั้น แต่สำหรับใช้ทั่วโลกด้วย คำอธิบายต่อไปนี้จะกล่าวถึงความคิดเห็นโดยสรุปเกี่ยวกับสถาปัตยกรรมของการลักลอบดักข้อมูลที่เสนอโดย ETSI

สถาปัตยกรรมนี้พยายามกำหนดวิธีการที่เป็นระบบที่สามารถขยายออกได้ ซึ่งผู้ประกอบธุรกิจเครือข่ายและเจ้าหน้าที่บังคับใช้กฎหมายสามารถปฏิสัมพันธ์ได้ โดยเฉพาะอย่างยิ่งเนื่องจากการพัฒนาของเครือข่ายทั้งในแง่ของความซับซ้อนและขอบเขตของบริการ สถาปัตยกรรมนี้ไม่เพียงแต่นำมาใช้กับการสนทนาทางโทรศัพท์ที่สื่อสารผ่านสายและไร้สายแบบดั้งเดิมเท่านั้น แต่ยังรวมถึงบริการแบบ IP-based เช่น วอยซ์ โอเวอร์ ไอพี (Voice over IP) อีเมล อินสแตนท์ เมสเซจจิง (instant messaging) เป็นต้น ได้มีการนำสถาปัตยกรรมนี้มาใช้ทั่วโลก (ในบางกรณีจะมีการเปลี่ยนแปลงศัพท์ที่ใช้เรียกเพียงเล็กน้อย) รวมถึงในสหรัฐฯ ในปริบทของโครงสร้างกฎหมาย CALEA มีสามระยะในสถาปัตยกรรมนี้คือ 1) การเก็บรวบรวมข้อมูลและเนื้อหาที่เกี่ยวข้องกับเป้าหมาย ที่ได้มาจากเครือข่าย 2) สื่อกลางที่จัดรูปแบบข้อมูลดังกล่าวให้สอดคล้องกับมาตรฐานที่กำหนดไว้ และ 3) การส่งข้อมูลและเนื้อหาดังกล่าวให้กับหน่วยงานบังคับใช้กฎหมาย (law enforcement agency : LEA)

ข้อมูลที่ได้จากการลักลอบดักข้อมูล (เรียกว่า Intercept Related Information หรือ IRI ในยุโรปและ Call Data หรือ CD ในสหรัฐฯ) ประกอบด้วยข้อมูลข่าวสารเกี่ยวกับการติดต่อสื่อสารของเป้าหมาย ได้แก่เป้าหมายของการโทรศัพท์ ( เช่น หมายเลขโทรศัพท์ของคู่สนทนา) ที่มาของการโทรศัพท์ (หมายเลขโทรศัพท์ของผู้โทรศัพท์) เวลาที่โทรศัพท์ ระยะเวลาของการโทรศัพท์ เป็นต้น เนื้อหาของการโทรศัพท์คือกระแสของข้อมูลการโทรศัพท์นั้น นอกจากนี้สถาปัตยกรรมนี้ยังมีเรื่องของการจัดการเกี่ยวกับการลักลอบดักข้อมูล ซึ่งครอบคลุมการสร้างและยกเลิกช่วงเวลาของการลักลอบดักข้อมูล กำหนดเวลา การชี้ตัวเป้าหมาย เป็นต้น การสื่อสารระหว่างผู้ประกอบธุรกิจเครือข่ายและ LEA ทำผ่านช่องทางที่เรียกว่าแฮนด์โอเวอร์ อินเทอร์เฟซ (Handover Interfaces : HI) โดยทั่วไปข้อมูลและเนื้อหาของการสื่อสารส่งจากผู้ประกอบธุรกิจเครือข่ายไปยัง LEA ผ่านทางวีพีเอ็น (VPN) แบบ IP-based ในรูปแบบที่เข้ารหัสลับไว้ การลักลอบดักข้อมูลการสื่อสารทางเสียงในแบบดั้งเดิมมักจะอาศัยการสร้างช่องทางสื่อสารไอเอสดีเอ็น (ISDN) ที่สร้างขึ้นในเวลาที่กระทำการลักลอบดักข้อมูลนั่นเอง

จากที่กล่าวไว้ข้างต้น สถาปัตยกรรม ETSI สามารถนำไปใช้กับบริการแบบ IP-based ซึ่ง IRI (หรือ CD) ขึ้นอยู่กับตัวแปรที่เกี่ยวข้องกับข้อมูลจราจรทางคอมพิวเตอร์จากแอพพลิเคชั่นที่กำหนดให้ถูกลักลอบดักข้อมูล ตัวอย่างเช่น ในกรณีของอีเมล ข้อมูล IRI ก็จะคล้ายคลึงกับข้อมูลในส่วนของเฮดเดอร์ (header) ของเนื้อหาอีเมล (เช่น ที่อยู่อีเมลปลายทาง ที่อยู่อีเมลต้นทาง เวลาที่ส่งอีเมลนั้น) เช่นเดียวกับข้อมูลข่าวสารเกี่ยวกับเฮดเดอร์ที่อยู่ภายในแพ็คเก็ตไอพี (IP packet) ที่นำเนื้อหานั้นมา (เช่น ที่อยู่ไอพีต้นทางของเครื่องแม่ข่ายอีเมลที่สร้างเนื้อหาอีเมลนั้น) แน่นอนที่ระบบลักลอบดักข้อมูลจะพยายามเก็บข้อมูลข่าวสารที่มีรายละเอียดมากเพื่อป้องกันการปลอมแปลงที่อยู่อีเมลซึ่งมักจะเกิดขึ้นบ่อย ๆ (เช่น การปลอมที่อยู่ต้นทาง) ในทำนองเดียวกัน วอยซ์ โอเวอร์ ไอพีก็มีข้อมูล IRI ของมันเอง รวมถึงข้อมูลที่ได้รับจากเนื้อหาของโปรโตคอล Session Initiation Protocol (SIP) ซึ่งใช้เพื่อสร้างและยกเลิกการติดต่อผ่านทาง VOIP

ในปัจจุบันคณะกรรมการ ETSI LI Technical Committee เน้นการทำงานไปที่การพัฒนารายละเอียดเกี่ยวกับ Retained Data Handover และ Next Generation Network รวมถึงการปรับปรุงมาตรฐาน TS102232 ให้เหมาะสมกับการใช้งานเครือข่ายในปัจจุบัน

มาตรฐานการตรวจสอบข้อมูลของสหรัฐฯ ซึ่งช่วยให้ผู้ประกอบธุรกิจเครือข่ายและผู้ให้บริการสามารถปฏิบัติตามกฎหมาย CALEA ที่ระบุไว้โดยคณะกรรมการกลางกำกับดูแลกิจการสื่อสาร (ซึ่งเป็นผู้มีอำนาจและเป็นเจ้าหน้าที่ตรวจสอบภายใต้กฎหมาย CALEA) องค์กรของเคเบิลแล็บส์ และสมาพันธ์ Alliance for Telecommunications Industry Solutions (ATIS) มาตรฐานของ ATIS ครอบคลุมถึงมาตรฐานใหม่สำหรับการเข้าถึงอินเทอร์เน็ตบรอดแบนด์และบริการ VoIP รวมถึงมาตรฐาน J-STD-025B ซึ่งเพิ่มข้อมูลใหม่ ๆ ให้กับ J-STD-025A ซึ่งเป็นมาตรฐานก่อนหน้า โดยรวมเอาการลักลอบดักข้อมูลเสียงแบบแพ็คเก็ต และเครือข่ายไร้สาย CDMA มาไว้ด้วย อย่างไรก็ตามกระทรวงยุติธรรมของสหรัฐฯ ระบุว่ามาตรฐานเหล่านี้ทั้งหมดยังมีข้อบกพร่องในการปฏิบัติตามกฎหมาย CALEA อยู่

เครื่องมือทางกฎหมายระดับโลกที่สำคัญที่สุดที่เกี่ยวข้องกับ LI คือ อนุสัญญาว่าด้วยอาชญากรรมทางคอมพิวเตอร์ (Convention on Cybercrime) เกิดขึ้นเมื่อวันที่ 23 พฤศจิกายน ค.ศ.2001 ที่กรุงบูดาเปสต์ สำนักงานเลขาธิการของอนุสัญญาดังกล่าวคือ สภายุโรป (Council of Europe) อย่างไรก็ตามได้มีผู้ลงนามในอนุสัญญาดังกล่าวจากทั่วโลกและมีขอบเขตการบังคับใช้ทั่วโลก

แต่ละประเทศมีข้อบังคับทางกฎหมายที่เกี่ยวกับการลักลอบดักข้อมูลตามกฎหมายที่แตกต่างกันไป ที่ประชุม Global Lawful Interception Industry Forum ได้ลงรายการของข้อบังคับเหล่านี้จำนวนมาก รวมถึงสำนักงานเลขาธิการของสภายุโรป ตัวอย่างเช่น ในประเทศสหราชอาณาจักร กฎหมายดังกล่าวเรียกว่า RIPA (Regulation of Investigatory Powers Act) ส่วนในสหรัฐฯ มีกฎหมายอาชญากรรมของรัฐบาลกลางและรัฐต่าง ๆ ในเครือจักรภพรัฐเอกราช เรียกว่า SORM

ยุโรป

ในสหภาพยุโรป ข้อมติของที่ประชุมคณะมนตรียุโรปเมื่อวันที่ 17 มกราคม ค.ศ.1995 ในส่วนของ Lawful Interception of Telecommunications ได้กำหนดมาตรการที่คล้ายคลึงกับกฎหมาย CALEA สำหรับใช้ทั่วยุโรป ถึงแม้จะมีประเทศสมาชิกของ EU บางประเทศไม่เต็มใจยอมรับมตินี้ เนื่องจากความกังวลเกี่ยวกับการละเมิดความเป็นส่วนตัว (ซึ่งเป็นหลักการที่มีการกล่าวถึงอย่างชัดเจนในยุโรปมากกว่าสหรัฐฯ) อย่างไรก็ตามดูเหมือนว่าในปัจจุบันมันได้กลายเป็นข้อตกลงทั่วไปด้วยมตินี้ น่าสนใจที่ข้อบังคับเกี่ยวกับการลักลอบดักข้อมูลในยุโรปเข้มงวดมากกว่าสหรัฐฯ เช่น มีข้อบังคับให้ผู้ประกอบธุรกิจการสื่อสารทางเสียงและอินเทอร์เน็ตสาธารณะในเนเธอร์แลนด์จะต้องสนับสนุนความสามารถในการลักลอบดักข้อมูลเป็นเวลาหลายปีมาแล้ว นอกจากนี้ สถิติที่เผยแพร่สู่สาธารณะยังชี้ให้เห็นว่าจำนวนของการลักลอบดักข้อมูลในยุโรปมีจำนวนเกินกว่าการลักลอบดักข้อมูลในสหรัฐฯ ถึงหลายร้อยครั้ง

ยุโรปยังคงดำรงไว้ซึ่งการเป็นผู้นำโลกในบทบาทส่วนนี้ โดยในปีค.ศ.2006 รัฐสภาและสภาที่ปรึกษาแห่งยุโรปได้ออกกฎระเบียบว่าด้วยการเก็บรักษาข้อมูล (Data Retention Directive) ข้อกำหนดของระเบียบนี้ครอบคลุมถึงการสื่อสารอิเล็กทรอนิกส์ทางสาธารณะทั้งหมดอย่างกว้างขวาง และบังคับให้มีการดักจับข้อมูลข่าวสารที่เกี่ยวข้องทั้งหมด รวมถึงสถานที่ของการสื่อสารทั้งหมด ต้องเก็บข้อมูลข่าวสารนั้นเป็นระยะเวลาอย่างน้อยสองปี และเตรียมพร้อมสำหรับการเรียกตามกฎหมาย มีประเทศอื่น ๆ ที่เอาอย่างระเบียบนี้อย่างกว้างขวาง

สหรัฐอเมริกา

ในสหรัฐฯ มีข้อบังคับสองฉบับของรัฐบาลกลางที่นำมาใช้กับการลักลอบดักข้อมูลส่วนหนึ่ง อีกส่วนหนึ่งให้ดำเนินการตามกฎหมายท้องถิ่น กฎหมาย Omnibus Crime Control and Safe Streets Act ปีค.ศ.1968 หัวข้อที่สามมีส่วนเกี่ยวข้องกับการลักลอบดักข้อมูลตามกฎหมายเพื่อการสืบสวนอาชญากรรม กฎหมายที่สอง Foreign Intelligence Surveillance Act หรือ FISA ปีค.ศ.1978 แก้ไขโดยกฎหมาย Patriot Act วางระเบียบในการดักข้อมูลเพื่อจุดประสงค์ในการหาข่าวกรอง ประเด็นในการสืบสวนจะต้องเกี่ยวข้องกับชาวต่างชาติหรือบุคคลที่ทำงานเป็นสายลับให้กับต่างชาติ ผู้ดำเนินการรายงานประจำปีของศาลสหรัฐฯ ระบุว่าคดีที่เกี่ยวข้องกับการลักลอบค้ายาเสพติด มักพบว่าโทรศัพท์มือถือเป็นรูปแบบการสื่อสารที่ถูกลักลอบดักข้อมูลอย่างเห็นได้ชัด

เพื่อช่วยบังคับใช้กฎหมายและเอฟบีไอให้บรรลุผลในการดำเนินการดักข้อมูลอย่างมีประสิทธิภาพ และเมื่อพิจารณาถึงการพัฒนาของการสื่อสารเสียงแบบดิจิทัลและเครือข่ายไร้สาย เหมือนกับประเทศส่วนใหญ่ในช่วงทศวรรษ 1990 มีส่วนผลักดันให้รัฐสภาสหรัฐฯ ผ่านกฎหมาย CALEA ในค.ศ.1994 กฎหมายนี้ได้ให้ขอบข่ายตามกฎหมายของรัฐบาลกลางสำหรับผู้ประกอบธุรกิจเครือข่ายในการให้การสนับสนุน LEA ในการจัดเตรียมหลักฐานและข้อมูลข่าวสารด้านยุทธวิธี ในปีค.ศ.2005 ได้มีการนำกฎหมาย CALEA มาใช้กับการเข้าถึงเครือข่ายอินเทอร์เน็ตบรอดแบนด์สาธารณะและบริการวอยซ์ โอเวอร์ ไอพีที่เชื่อมต่อเข้ากับเครือข่ายโครงข่ายโทรศัพท์สวิตช์สาธารณะ (Public Switched Telephone Network : PSTN)

ที่อื่น

ประเทศส่วนใหญ่ทั่วโลกรักษาข้อบังคับด้าน LI คล้ายคลึงกับยุโรปและสหรัฐฯ และได้เปลี่ยนมาใช้มาตรฐานของ ETSI อนุสัญญาว่าด้วยอาชญากรรมทางคอมพิวเตอร์ได้บังคับให้มีความสามารถนี้ด้วย

การใช้ที่ผิดกฎหมาย

นอกจากจะเป็นเครื่องมือบังคับใช้กฎหมายแล้ว ระบบ LI ยังอาจถูกใช้ในจุดประสงค์ที่ผิดกฎหมายด้วย เหตุการณ์นี้เกิดขึ้นในประเทศกรีซ ในระหว่างการจัดการแข่งขันกีฬาโอลิมปิค ปีค.ศ.2004 Vodafone Greece ผู้ประกอบธุรกิจโทรศัพท์ถูกปรับเป็นเงิน 1,000,000 เหรียญสหรัฐฯ ในปีค.ศ.2006 เนื่องจากไม่สามารถรักษาความปลอดภัยให้กับระบบเพื่อป้องกันการเข้าถึงที่ผิดกฎหมาย

นนทวรรธนะ สาระมาน
Nontawattana Saraman & Kiattisak Somwong
เรียบเรียง

สมรภูมิรบบนโลกไซเบอร์ Cyberwar


อินเตอร์เน็ต คือ โครงสร้างพื้นฐานทางข้อมูลข่าวสารอันประกอบขึ้นจากเครือข่ายคอมพิวเตอร์ที่มาเชื่อมต่อกันเป็นจํานวนมากจากทั่วโลก โดย “เครือข่ายแห่งเครือข่าย” (Network of Networks) ที่ว่านี้จะอาศัยภาษาคอมพิวเตอร์กลางร่วมกัน มี มาตรฐานกลาง (Standard Protocol) ในการรับส่งข้อมูลร่วมกัน ทำให้คอมพิวเตอร์ต่างๆ ในเครือข่ายสามารถสื่อสารกันได้ จุดเริ่มต้นของอินเตอร์เน็ต คือ โครงการ ARPANet (Advanced Research Projects Agency Network) ของกระทรวงกลาโหมประเทศสหรัฐอเมริกาในช่วงปลายคริสต์ศตวรรษ 1960 ซึ่งเป็นโครงการทดลองเพื่อค้นคว้าหาต้นแบบของ
เครือข่ายทางคอมพิวเตอร์ที่สามารถจะรับส่งข้อมูลและสื่อสารกันต่อไปได้ แม้เครือข่ายบางส่วนจะล่มสลายหรือถูกทำลายจากการโจมตีทางการทหาร
ถึงแม้ชื่ออินเตอร์เน็ตจะเริ่มเป็นที่ใช้กันตั้งแต่กลางคริสต์ทศวรรษที่ 1980 แต่ก็ ยังไม่เป็นที่ รู้จักแพร่หลายจนประมาณต้นคริสต์ทศวรรษที่ 1980 จวบจนกระทั่งปัจจุบันมีการประมาณการตัวเลขผู้ใช้อินเตอร์เน็ตทั่วโลกว่าสูงถึง 1000 ล้านคน ซึ่งผู้ใช้ส่วนใหญ่ในยุคนี้จะเป็นธุรกิจหรือบริษัทต่าง ๆ ที่ ต้องการประชาสัมพันธ์ตนเองผ่านอินเตอร์เน็ตหรือใช้ประโยชน์ จากเทคโนโลยีสื่อใหม่นี้ในเชิงพาณิชย์ การใช้ประโยชน์จากอินเตอร์เน็ตที่มุ่งเน้นเชิงพาณิชย์เป็นผลจากการที่อินเตอร์เน็ตได้เข้าสู่รูปแบบใหม่ในการนำเสนอเนื้อหาสืบเนื่องจากการพัฒนาเทคโนโลยีไฮเปอร์ลิงค์ (hyperlink) ขึ้นที่ห้องปฏิบัติการเทคโนโลยีเครือข่ายแห่งหนึ่งในยุโรปและการพัฒนาเทคโนโลยีไฮเปอร์เท็กซ์ (hypertext) ที่มหาวิทยาลัย อิลินอยส์ การพัฒนาเทคโนโลยีทั้งสองรูปแบบทำให้เกิดโฉมใหม่ของอินเตอร์เน็ตอย่างที่เรารู้จักกันในปัจจุบันคือ เวิรล์ ไวด์ เว็บ (World Wide Web) และนำไปสู่ลักษณะความเป็นสื่อประสม (Multimedia) อย่างแท้จริง นอกจากนั้นในยุคประมาณราวปี 1990 เองยังเป็นยุคของการถือกำเนิดของภัยคุกคามประเภทใหม่อันเกิดขึ้นเนื่องจากกลุ่มผู้เชี่ยวชาญคอมพิวเตอร์ที่อาศัยข้อได้เปรียบและประโยชน์ของเครือข่ายอินเตอร์เน็ทในการทดสอบ หรือทดลองเทคนิคใหม่ๆ ในการส่ง หรือลักลอบเข้าไปดูและใช้ข้อมูล ซึ่งต่อมาได้พัฒนามาเป็นภัยคุกคามที่ระบาดอยู่ในปัจจุบัน
จากเอกสารผลสำรวจที่จัดทำขึ้นโดยหน่วยงาน คอมพิวเตอร์ ซิเคียวริตี้ อินสติติวท์/สำนักงานสืบสวนสอบสวนกลาง (CSI/FBI) ที่ได้กล่าวอ้างถึงข้างต้น และเอกสารบรรยายโดย CERT® Coordination Center สามารถสรุปประเด็นสำคัญๆ ได้ดังนี้
ความเสียหายที่เกิดขึ้นเนื่องจากการโจมตีจากไวรัสคอมพิวเตอร์คิดเป็นมูลค่ามากที่สุด
การโจมตีไปยังเวบไซต์มีอัตราเพิ่มสูงขึ้นอย่างมาก
หน่วยงานราชการเป็นหน่วยงานที่ลงทุนกับเรื่อง IT Security สูงที่สุด
ครึ่งหนึ่งของหน่วยงานผู้ถูกสำรวจ งบลงทุนทางด้าน IT Security คิดเป็นประมาณ 1-5% ของงบประมาณทางด้าน IT
การคำนวณการลงทุนทางด้านIT Security มีดังนี้
38% ใช้ Return on Investment (ROI)
19% ใช้ Internal Rate of Return (IRR)
18% ใช้ Net Present Value (NPV)
การแจ้งความลดลงอย่างต่อเนื่องทุกปี
87% ของหน่วยงานผู้ถูกสำรวจได้มีการทำ Security Audit เพิ่มขึ้นจาก 82% ในปีก่อนหน้านี้
ผู้ตอบแบบสอบถามส่วนใหญ่ให้ความสำคัญการอบรมเรื่อง Security Awareness

แนวโน้ม
ผู้บุกรุกที่มีความเชี่ยวชาญ/ผู้บุกรุกหน้าใหม่ มีจำนวนเพิ่มสูงขึ้น
ความถี่และผลลัพธ์ในการบุกรุกมีจำนวนสูงและรุนแรงขึ้น
รูปแบบและเครื่องมือที่ใช้ในการโจมตี/บุกรุก มีความซับซ้อนขึ้น
อุปกรณ์และระบบป้องกันมีความซับซ้อนมากขึ้น

ยกตัวอย่างข่าวที่เกี่ยวกับความมั่นคงและอาชญากรรมทางคอมพิวเตอร์ที่ผ่านมาในรอบ 2 ปี
ในปี 2551-2552 ที่เป็นข่าวเกี่ยวกับความมั่นคงทางเศรษฐกิจด้วยการจรากรรมข้อมูล 18 เมษายน 2551 ข่าวในผู้จัดการรายวัน “รวบแฮกเกอร์หนุ่มเจาะข้อมูล-ดูดเงินบัญชีลูกค้าแบงก์ใหญ่เกือบล้าน”
8 กรกฏาคม 2551 ข่าวจาก OKNation “เว็บสภาโดนแฮกเกอร์เปลี่ยนรูปท่านประธานชัย”
24 กรกฏาคม 2551 ข่าวจาก อสมท (MCOT) “จับแก๊งไนจีเรียใช้ไทยตุ๋นคนทั่วโลกผ่านระบบอินเตอร์เน็ต”
30 สิงหาคม 2552 ข่าวจากไทยรัฐออนไลน์ “ไอซีที พบ 16 จุดต่อต่อคลิปเสียงนายกฯ”
14 กันยายน 2552 ข่าวจากมติชนออนไลน์ เปิดปฏิบัติการ”ลับ”สีกากีเจาะข้อมูลป.ป.ช.-โยงอดีต “บิ๊ก ตร.” -รัฐมนตรีสังกัดพลังประชาชน
29 ตุลาคม 2552 คดีปล่อยข่าวลือเรื่องหุ้น จนมีผลกระทบต่อนักลงทุน ซึ่งคดีนี้ก็ใช้ พ.ร.บ ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์มาใช้กับการเสนอข้อมูลอันเป็นเท็จซึ่งก่อให้เกิดผลต่อความมั่นคงของชาติ
ในต่างประเทศ
8 พฤษภาคม 2551 ข่าวจาก Cyberbiz ในเว็บไซต์ผู้จัดการ “เว็บไซต์โรคลมบ้าหมูถูกแฮก ทำคนอ่านลมชัก-ไมเกรนกำเริบ”
แหล่งข่าวเดียวกันในวันที่ 13 สิงหาคม 2551 “เว็บประธานาธิบดีจอร์เจียย้ายโฮสไปอเมริกาหลังถูกแฮก”
13 กรกฏาคม 2552 ข่าวจาก คม-ชัด-ลึก สงครามไซเบอร์…ถล่มเกาหลีใต้ส่ง”ซอมบี้” ทำลายระบบสื่อสาร จนระบบล่มไปเกือบ 3 วัน ข่าวนี้ทำให้โลกเริ่มตะหนักถึงภัยคุกคามที่เรียกว่า “botnet” มากขึ้นและมีโอกาสที่เกิดขึ้นได้กับทุกประเทศ
นอกจากนี้ก็ยังมีข่าวการหลอกลวงทางอินเตอร์เน็ตผ่าน social network ทั้งเด็ก ผู้ใหญ่ แม้กระทั่งพระ ซึ่งก็มีอัตราส่วนในการที่เป็นข่าวไม่เว้นแต่ละเดือน
แต่ที่หยิบยกมาเป็นเพียงบางส่วนของข่าวที่ได้รับความสนใจจากประชาชน จะเห็นได้ว่าที่เป็นข่าวพวกนี้มีเรื่องอินเตอร์เน็ตและคอมพิวเตอร์มาเกี่ยวข้องด้วย และมีอัตตราความรุนแรงมากขึ้นด้วย

ดังนั้นเราควรมีวิถีการดำเนินธุรกิจ การดำเนินงานของหน่วยงานราชการ และยุทธศาสตร์ในการป้องกันประเทศ กิจกรรมต่างๆเหล่านี้ล้วนแล้วต้องอาศัยเครือข่ายเชื่อมโยงของเทคโนโลยีสารสนเทศ ที่เรียกว่า ไซเบอร์สเปซ (Cyberspace) ยุทธศาสตร์แห่งชาติในการทำให้ Cyberspace ได้ถูกเตรียมขึ้นเพื่อพัฒนาวิธีการปกป้องโครงสร้างพื้นฐานที่สำคัญต่อเศรษฐกิจ ความปลอดภัย และวิถีการดำเนินชีวิตประจำวัน” จะพบว่ามีหลายประเทศในปัจจุบันนี้ได้บรรจุเรื่องการป้องกันตัวเองจากภัยคุกคามที่มาพร้อมกับ ไซเบอร์สเปซ ซึ่งอาจถือได้ว่าเป็นแนวรบที่สี่ (กองทัพเน็ต) นอกจากกองทัพบก กองทัพเรือ กองทัพอากาศ เข้าเป็นวาระแห่งชาติไปเรียบร้อยแล้ว เช่นตัวอย่างในประเทศอเมริกา อดีตประธานาธิบดี George W. Bush ในเอกสาร National Strategy to Secure Cyberspace ซึ่งถูกจัดทำโดย Department of Homeland Security ในปี 2003 ได้จัดทำเรื่องงานก่อการร้ายภัยคุกคามทางอินเตอร์เน็ตเป็นวาระแห่งชาติ เป็นต้น

ภัยคุกคามที่มาพร้อมกับ ไซเบอร์สเปซ อาจก่อให้เกิดปัญหาสำหรับความมั่นคงภายใน เป็นสิ่งที่หน่วยงานกลางของรัฐบาล หน่วยงานราชการ สถาบันการศึกษา และบริษัทเอกชนรวมทั้งพลเมืองในประเทศต้องร่วมมือกันเพื่อรับมือและแก้ไขเหตุการณ์ที่สามารถเกิดขึ้นได้อยู่ตลอดเวลา จากการสำรวจของคอมพิวเตอร์ ซิเคียวริตี้ อินสติติวท์/สำนักงานสืบสวนสอบสวนกลาง (CSI/FBI) พบว่าในปี 2009 คาดการณ์ว่าจะมีมูลค่าความเสียหายราว 300 ล้านเหรียญสหรัฐ ทั้งนี้เป็นคิดเป็นมูลค่าที่ลดลงมากเมื่อเทียบกับปีที่ผ่านๆมา เพราะหลายๆหน่วยงานในสหรัฐอเมริกา ได้ให้ความสนใจกับปัญหาและร่วมกันป้องกันปัญหาดังกล่าว สำนักข่าวกรองแห่งชาติในหลายประเทศ ได้เพิ่มงบประมาณในการจัดหาเทคโนโลยีเพื่อหาข่าวและสืบค้นหาผู้กระทำความผิดทางอินเตอร์เน็ตไม่ว่าในประเทศอเมริกาหน่วยงานอย่าง CIA หน่วยสืบรายการลับของกลาโหม , NSA และ NRO เป็นองค์กรพันธมิตรด้านงานราชการลับ , FAPSI สำหรับตอบโต้การจารกรรม , ในรัสเซียมีหน่วยงานชื่อ MI5 ในประเทศอังกฤษ มีหน่วยงานชื่อ GCHQ ในฝรั่งเศส ก็มีหน่วยงานชื่อ DGSE ในเยอรมันมี BND ที่ประเทศจีนมีกระทรวงความมั่นคงแห่งชาติ
ส่วนประเทศไทย มีกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี สำนักงานตำรวจแห่งชาติ , DSI สำนักคดีเทคโนโลยีและสารสนทเทศ ,
สำนักงานข่าวกรองแห่งชาติ , ศูนย์ iSOC กระทรวงเทคโนโลยีและการสื่อสาร และหน่วยงานด้านความมั่นคงทางทหารอื่นๆ อีกพอสมควร
จากข้อมูลพบว่าหน่วยงานในสังกัดรัฐบาลและหน่วยงานราชการได้ให้ความสำคัญกับการลงทุนด้านบุคคลากรและเทคโนโลยีในการป้องกันภัยในอัตราที่สูงมากที่สุด ข้อมูลเหล่านี้ย่อมสะท้อนถึงสิ่งที่จะเกิดขึ้นกับประเทศไทยอย่างหลีกเลี่ยงไม่ได้เช่นเดียวกัน

สำคัญว่างานด้านความมั่นคงภายในประเทศ เราควรมียุทธศาสตร์ที่ให้การพัฒนาศักยภาพด้านเทคโนโลยีในชาติมากขึ้นโดยพึ่งพาเทคโนโลยีต่างชาติให้น้อยลง เพราะศึกครั้งนี้ถือว่าเป็นอนาธิปไตยที่เราทุกคนในชาติต้องร่วมมือกัน มีคำกล่าวว่าสงครามโลกครั้งที่ 3 ไม่มีแล้ว จะเป็นสงครามทางไซเบอร์ แทนเพราะเราปฏิเสธไม่ได้ว่าในชีวิตประจำวันของเรานั้นล้วนเกี่ยวข้องกับข้อมูลข่าวสารทั้งสิ้น ไม่ว่าเป็น ธนาคารที่มีการทำธุรกรรมผ่านระบบอินเตอร์เน็ต , โรงพยาบาลที่มีการเก็บฐานข้อมูลคนไข้ผ่านระบบเครือข่ายคอมพิวเตอร์ , งานข้อมูลเกี่ยวข้องภาครัฐมีการเชื่อมต่อระบบอินเตอร์เน็ตให้ประชาชนเข้าถึงได้สะดวกขึ้น ไม่ว่าเป็น กรมสรรพกร , ทะเบียนราษฎร์ , ข้อมูลทะเบียนรถ , ข้อมูลเบอร์โทรศัพท์ อื่นๆ รวมถึงการหลุดข้อมูลลับจากการค้นหาผ่าน search engine เหล่านี้ล้วนแต่เราต้องกลับมานั่งคิดไตร่ตรองถึงวิธีการป้องกันภัยที่จะเกิดขึ้นบนความมั่นคงของชาติเราต่อไป

นนทวรรธนะ สาระมาน
Nontawattana Saraman
ข้อมูลข่าว
http://infosec.sran.org/?p=88
http://www.manager.co.th/CyberBiz/ViewNews.aspx?NewsID=9510000053962
http://www.oknation.net/blog/chao/2008/07/08/entry-1
http://www.matichon.co.th/news_detail.php?newsid=1252844935&grpid=no&catid=02
http://www.sran.net/archives/161
http://news.mcot.net/crime/inside.php?value=bmlkPTEyMjcyNSZudHlwZT10ZXh0

3 in 3 out ภาคสืบหาผู้กระทำความผิดทางอินเตอร์เน็ต

ผู้กระทำความผิดทางอินเตอร์เน็ตคอมพิวเตอร์นั้น สามารถแบ่งได้เป็น 2 ส่วนคือ การกระทำความผิดด้วยเจตนา และการกระทำความผิดแบบไม่มีเจตนา
ในโลกความเป็นจริงแน่นอนสิ่งแรกที่เกิดขึ้นย่อมเกิดจากเจตนาของผู้ไม่ประสงค์ดีเสียก่อน และในโลกของการสื่อสารอินเตอร์เน็ตคอมพิวเตอร์นั้นเมื่อต้นเหตุคือผู้ที่เจตนาที่จะโจมตีระบบ สามารถสร้างเหยื่อที่เป็นเครื่องไม่เจตนานั้นมาใช้ในการกระทำความผิดได้ ที่เรียกว่า”การยืมดาบฆ่าผู้อื่น” และมีปริมาณสูงขึ้นพร้อมๆกับความเจริญเติบโตทางวัตถุนิยมและการบริโภคสื่อข่าวสาร

จำนวนเครื่องคอมพิวเตอร์จำนวนมากที่ขายในร้านค้า ในเวลาไม่ช้านานกับพบว่าเป็นเครื่องมือหนึ่งที่ใช้ในการโจมตีระบบหากไม่ระมัดระวังในการใช้ข้อมูลผ่านเครือข่ายอินเตอร์เน็ต ซึ่งเครื่องคอมพิวเตอร์นั้นจะสามารถถูกควบคุมในระยะไกลจากผู้ไม่หวังดีขึ้นเครื่องที่ตกเป็นเหยื่อ ดังกล่าวเรียกว่า ผีดิบ (zombie) ปริมาณของผีดิบมีจำนวนมากขึ้นก็เรียกว่า botnet ตามมา
การที่เราจะหาต้นตอของเครื่องคอมพิวเตอร์ที่กระทำความผิดนั้นเรียกว่า Traceback หรือสืบย้อนกลับไปหาต้นทางที่เป็นสาเหตุของการกระทำความผิดด้านคอมพิวเตอร์

การ Traceback เพื่อหาผู้กระทำความผิดสามารถพิจารณาได้ 2 กรณี

กรณีที่ 1 การหาผู้กระทำความผิดในเครือข่ายภายในองค์กร ในกรณีนี้ไม่มีอะไรซับซ้อนมากหากเครือข่ายองค์กรนั้นมีการบริหารจัดการระบบไอซีทีที่ดี มีการนำเทคโนโลยีที่เหมาะสมมาใช้ในองค์กร มีการเก็บบันทึกข้อมูลจราจร (Log) มีการจัดทำระบบบริหารจัดการรายชื่อพนักงานในการใช้งานอินเตอร์เน็ต มีคนใช้เทคโนโลยีอย่างมีวินัยและมีมาตราฐาน มีนโยบายควบคุมคน เพื่อให้คนใช้เทคโนโลยีอย่างมีประสิทธิภาพ(อ่านเพิ่มเติมได้ที่ การสร้างเครือข่ายตื่นรู้ )
หากมีการกระทำความผิดภายในเครือข่ายองค์กรนั้นสามาร Traceback สืบค้นย้อนกลับได้จากเทคโนโลยีการเก็บ Log ที่มีไว้ในเครือข่ายนั้นๆ นั้นเอง ในกรณีที่ 1 นี้ยังสามารถแยกเป็น 2 มุมมองได้ดังนี้
มุมมองแรกคือ มีการโจมตีจากภายนอกระบบเครือข่ายองค์กรเข้าสู่ภายในเครือข่ายองค์กร ได้แก่ การแพร่ระบาดไวรัสคอมพิวเตอร์ที่กระจายอยู่ทั่วอินเตอร์เน็ต ที่เป็นลักษณะ DDoS/DoS ได้โจมตีเข้าสู่เครือข่ายองค์กร การที่จะ Trackback หาต้นตอของการแพร่กระจายไวรัสนั้นจำเป็นต้องเข้าใจถึงหลักเกณฑ์การพิจารณาตามหลัก 3 in 3 out เสียก่อน คือพิจารณาตามชั้นของการสื่อสารข้อมูล
ชั้นแรก ข้อมูลที่เข้าและออกในฝั่งชายแดนเครือข่ายองค์กร ชั้นแรกสุด ได้แก่อุปกรณ์ Router , อุปกรณ์ Firewall เป็นต้น ดังนั้น Log ที่เกี่ยวข้องกับการแพร่ระบาดนั้นจะสามารถวิเคราะห์ได้จากทั้ง 2 อุปกรณ์ที่กล่าวมาแล้วเป็นหลัก
ชั้นสอง ข้อมูลที่เข้าและออกในฝั่งเครือข่ายองค์กรภายใน IP Address ภายใน ได้แก่ ข้อมูลที่ผ่านเข้าออก Core Switch , Sub Switch เป็นต้น
ชั้นสาม ข้อมูลที่เข้าและออก ภายในเครื่องคอมพิวเตอร์ภายในองค์กร เช่น เครื่องพนักงานนาย ก , เครื่องผู้จัดการฝ่าย , เครื่องประธานบริษัท เป็นต้น
หากไวรัสคอมพิวเตอร์สามารถหลุดผ่านในแต่ละชั้นเข้ามาภายในเครือข่ายองค์กรลงสู่เครื่องคอมพิวเตอร์ในองค์กรได้นั้น เราก็ยังมีหลักเกณฑ์การในการพิจารณาถึงความสัมพันธ์ข้อมูล และการไหลเวียนข้อมูลเข้าและออก จาก Log flies ที่เก็บเป็นชั้นๆ ตามหลัก 3 in 3 out ได้
มุมมองที่สอง คือ ภัยคุกคามเกิดจากภายในเครือข่ายองค์กรกระจายไปสู่โลกอินเตอร์เน็ต ดังนั้นการ Traceback สืบหาต้นตอนั้นจำเป็นต้องใช้หลัก 3 in 3 out มาพิจารณา โดยเริ่มเป็นชั้นๆ ในการวิเคราะห์ข้อมูลจาก Log files เป็นต้น ซึ่งในมุมมองที่สองนั้น ควรพิจารณาตามกฏหมายคอมพิวเตอร์ด้วยหากมีผู้ได้รับความเสียหายที่เกิดจากการกระทำที่เกิดจากองค์กรของเราเอง ก็จะทำให้มีความผิดตามกฏหมายได้เช่นกัน
(อ่านเพิ่มเติมได้ที่บทความเทคนิคการสืบหาผู้กระทำความผิดเกี่ยวกับคอมพิวเตอร์)

กรณีที่สอง การหาผู้กระทำความผิดจากภายนอก บนโลกอินเตอร์เน็ต
มีหลักการพิจารณาให้สังเกตการส่งข้อมูล ซึ่งการส่งข้อมูลนั้นประกอบด้วย 2 ส่วนคือ
– การส่งข้อมูลภายในประเทศไทย (National Internet Exchage:NIX)
– การส่งข้อมูลออกนอกประเทศไทย (International Internet Gateway:IIG)
ซึ่งทั้ง 2 ส่วนนี้จะเป็น IP Address ที่เป็น Public IP หรือ IP ที่สามารถมองเห็นได้จากโลกภายนอก

จากข้อมูล Internet Map ที่ทาง NECTEC จัดทำขึ้น (internet.nectec.or.th)

ขั้นตอนในการ Traceback
1. ค้นหาการจดทะเบียน (Whois) ของ IP Address หรือ Domain ที่ต้องการค้นหา เช่น 61.47.10.205
whois จากการใช้เครื่องผ่านเว็บไซต์หรือซอฟต์แวร์เสริม ได้แก่บริการ http://sran.org/whois
ส่ิงที่ต้องการพิจารณาเป็นพิเศษคือ ชื่อผู้ให้บริการ (ISP) ชื่อและที่อยู่ผู้ให้บริการ เบอร์โทรศัพท์
2. ค้นหาการเชื่อมโยงค่า AS (Autonomous System) เพื่อดูเส้นทางการไหลเวียนข้อมูลว่าชุด IP Address หรือ Domain ที่ต้องการค้นหาออกไปเส้นทางใด เช่น www.sran.net

จากภาพจะเห็นว่า domain www.sran.net ออกเส้นทาง AS4765 เป็นต้น ข้อมูลจาก robtex

ในบาง domain อาจมีการเชื่อมต่อที่มากกว่า 1 AS number เช่น domain บนเว็บไซต์ที่มีหลาย sub domain หรือมีระบบ e-mail server เป็นต้น

จากภาพ domain ของ gbtech.co.th มีช่องทาง AS number ถึง 3 ช่องทาง ข้อมูลจาก robtex

AS Number จะมีประโยชน์มากหากการรับส่งข้อมูลมีการติดต่อสื่อสารไปยังต่างประเทศ เช่นเราต้องการเปิดเว็บไซต์ที่อยู่ในต่างประเทศ www.google.com เส้นทางการรับและส่งข้อมูลก็จะเริ่มต้นขึ้นจากเครื่องคอมพิวเตอร์ของเราซึ่งอาจจะอยู่ที่บ้านหรือที่ทำงานหรือเป็น smartphone จะส่งข้อมูลไปยัง ISP ผู้ให้บริการในประเทศไทย ถ้าเป็น ISP ที่มีการเชื่อมสัญญาณข้อมูลไปต่างประเทศคือมี IIG (International Internet Gateway) เช่น CAT , TOT หรือ True Internet เป็นต้นการเชื่อมข้อมูล ISP ไปยัง AS router ที่อยู่ IIG ก็จะส่งข้อมูลไปยัง AS Router ที่ต่างประเทศเป็นทอดๆ (สังเกตการเชื่อมต่อข้อมูลจาก internet map ของ NECTEC) เราสามารถทดสอบเองได้ถึงเส้นทางการส่งข้อมูลผ่านคำสั่ง tracert (traceroute) ในเครื่องคอมพิวเตอร์ของเราเอง

การทราบค่า AS (Autonomous System) จะทำให้เราทราบถึงกลุ่ม IP Address

จากภาพจะเห็นว่าความสัมพันธ์ต่างๆ ได้แก่ Member of AS router, Number of originated prefixes , IP numbers เป็นต้น

ค่า AS number ยังมีประโยชน์สำหรับการวิเคราะห์ IP ที่เป็น Spam และ Phishing อีกด้วย ถ้าหากพบว่ามี IP ที่มีลักษณะดังกล่าวก็สามารถปิดการส่งข้อมูลได้ดังนั้น IP ที่อยู่ในบัญชีดำก็มักจะถูกปิดกั้นที่ AS Router ได้เช่นกัน

3. การค้นหา NS Lookup เพื่อดูการเชื่อมต่อของ DNS สำหรับเครื่องเป้าหมายที่มีชื่อ Domain name อยู่แล้วก็ไม่ซับซ้อนในการค้นหาด้วยวิธีนี้นักแต่หากมีแต่ IP Address เราจะทราบได้อย่างไรว่ามี Domain อะไรอยู่ภายใต้ IP Address นี้บ้างซึ่ง 1 IP Address อาจมีได้หลาย Domain ก็ได้ ดังนั้นเราจึงควรใช้วิธีสืบหาด้วยเทคนิค Reverse IP Lookup เช่นในกรณี IP 61.47.10.205 เมื่อทำการ Reverse IP Lookup แล้วจะพบว่ามีทั้งหมด 13 Domain ใน 1 IP ดังภาพข้างล่างนี้

ภาพการใช้เครื่องผ่าน http://sran.org/vhost.php จะทำให้ทราบรายชื่อ domain จากค่า IP Address ได้
การทำ Nslookup ทำให้เราสามารถได้ข้อมูลอื่นที่เกี่ยวข้องกับชื่อ domain ที่ต้องการค้นหาได้แก่ ข้อมูล DNS ของ Mail server เป็นต้น

ภาพตัวอย่างการใช้คำสั่ง Nslookup ผ่านเว็บไซต์ http://www.kloth.net/services/nslookup.php

4. นำ IP / domain name ที่ต้องการเอาไปค้นหาเพิ่มเติมใน Search engine เพื่อเรียนรู้กับข้อมูลที่ปรากฏให้มากที่สุด

5. นำ IP / domain name ที่ต้องการไปตรวจสอบกับเว็บไซต์ที่ใช้ตรวจความผิดปกติ เช่น botnet, spam , phishing , malware เป็นต้น จากแหล่งค้นหาดังนี้ google safe browsing , siteadvisor , phishtank , SANS , Project Honeypot หรือ Team Cymru เป็นต้น เพื่อค้นหาว่า IP / domain นั้นมีประวัติที่เกี่ยวข้องกับภัยคุกคามต่อผู้ใช้งานหรือไม่

หากกล่าวโดยสรุปถึงเทคนิคการสืบหาผู้กระทำความผิดทางอินเตอร์เน็ต สิ่งแรกที่เราต้องทราบก่อนนั้นคือ IP Address เป้าหมาย และตามมาด้วยช่วงวันและเวลาที่เกิดเหตุการณ์ โดยให้วิเคราะห์เป็นชั้นๆ ตาม 3 in 3 out เราจะได้มีกรอบในการปฏิบัติงานมากขึ้น

นนทวรรธนะ สาระมาน
Nontawattana Saraman


การทำ Penetration Test แบบมืออาชีพ ตอนที่ 2

จากตอนที่แล้วเราพบว่าการทำ Penetration test นั้นมีความสำคัญกับการที่จะประเมินหาช่องโหว่ที่เกิดขึ้นจากการใช้งานไอซีที ของบริษัทแล้วนั้น ตอนนี้มาทำความเข้าใจมากขึ้นอีกชนิดหนึ่งของการทำ Penetration test นั้นคือการทำ Penetration test ภายในองค์กร หรือจะเรียกว่า white box ก็ได้ ซึ่งการทำงานประเภทนี้ต้องได้รับความร่วมมือกับผู้ดูแลระบบของฝั่งผู้ใช้บริการ ตั้งแต่การให้แผนผังระบบเครือข่าย จำนวน IP Address ตลอดถึงรายละเอียดประเภทอุปกรณ์เครือข่ายที่เกี่ยวข้อง เป็นต้น เริ่มกันถึงตอนที่ 2 ต่อเนื่องเลยแล้วกันครับ

2. การทำ Penetration test ภายในองค์กรเชิงลึก
เป้าหมายในการทำ Penetration test ภายในคือการทดสอบหาช่องโหว่ที่พบจากการใช้งานไอซีทีในองค์กรเพื่อประเมินช่องโหว่และทำการปิดกั้นช่องโหว่ที่ค้นพบขึ้นเพื่อไม่เกิดปัญหาขึ้นในระยะยาว

มีขั้นตอนการทำงานดังนี้

2.1 สำรวจ : สำรวจผังโครงสร้างงานได้ไอซีทีขององค์กร, แผนผังระบบเครือข่าย, ประเภทอุปกรณ์ประกอบด้วย
– Network Device ได้แก่ จำนวนอุปกรณ์ Router , อุปกรณ์ Switch, อุปกรณ์ Firewall, Network Load balacing, Network VPN, Bandwidth management, อุปกรณ์ Network IDS/IPS
ซึ่งต้องบอกตำแหน่ง (Perimeter zone , DMZ zone) และค่า IP Address เป็นต้น
– เครื่องแม่ข่าย (Server) ได้แก่ Web Server, Mail Server , DNS Server ภายใน, Proxy Server, Authentication Server, ERP Server ซึ่งต้องบอกตำแหน่ง (DMZ zone) และค่า IP Address เป็นต้น
– เครื่องลูกข่าย (Client) ได้แก่ ระบบปฏิบัติการที่ใช้งานได้แก่ Window XP , Linux อื่นๆ ต้องบอกตำแหน่ง (VLAN) และค่า IP Address เป็นต้น

2.2 ตรวจสอบ : ตรวจสอบตามมาตราฐาน Security Checklist ดังนี้
ตรวจสอบความมั่นคงปลอดภัยตามมาตราฐานของ อุปกรณ์ Network Devices ได้แก่ Security Checklist Router , Firewall , IDS/IPS เป็นต้น
ตรวจสอบความมั่นคงปลอดภัยตามมมาตราฐานของ เครื่องแม่ข่าย (Server) ได้แก่ Security Checklist Windwos 2000 server , 2003 server , Linux Server เป็นต้น
ตรวจสอบความมั่นคงปลอดภัยตามมาตราฐานของ เครื่องลูกข่าย (Client) ได้แก่ Security Checklist การใช้งานเครื่องคอมพิวเตอร์ในองค์กรตามมาตราฐาน ISO27001 เป็นต้น

ซึ่งในส่วน security checklist นั้นทางผู้ปฏิบัติงานสามารถนำข้อมูลจาก NIST , NSA หรือ Thaicert ในเอกสารตรวจสอบในแต่ละส่วนได้

2.3 วิเคราะห์ : การวิเคราะห์ช่องโหว่ที่พบจากการสำรวจและตรวจสอบ
ในการวิเคราะห์นี้สามารถใช้อุปกรณ์ หรือ เครื่องมือในการประเมินความเสี่ยงเพื่อตรวจหาความผิดปกติและช่องโหว่ที่พบตามอุปกรณ์เครือข่าย (Network Devices) และเครื่องแม่ข่าย (Server) ที่สำคัญได้
การใช้เครื่องมือในการประเมินความเสี่ยง สิ่งที่ควรตรวจสอบให้มากขึ้นได้แก่

* การวิเคราะห์ในระดับเครือข่ายคอมพิวเตอร์ (Network Analysis)
– ปริมาณการใช้งาน Bandwidth ของระบบเครือข่าย ทั้งข้อมูลขาเข้าและขาออก
– ปริมาณ Throughput ของระบบเครือข่ายทั้งขาเข้าและขาออก แยกตาม Application Protocol ที่สำคัญ
ด้วยเนื่องจากจะช่วยตรวจสอบถึงการใช้งานอันไม่พึ่งประสงค์ของ User ในองค์กร ว่ามีการแพร่ระบาดไวรัสคอมพิวเตอร์ , เครื่อง User เป็น Botnet , การส่งข้อมูลขยะ (spam) หรือมีพฤติกรรมที่ผิดต่อนโยบายบริษัทหรือไม่อีกด้วย ซึ่งในส่วนนี้เราจะสามารถนำไปวิเคราะห์เป็นค่าภัยคุกคามในองค์กร ที่ใช้ประกอบกับขั้นตอนสุดท้ายคือการประเมินได้ต่อไป

** การวิเคราะห์ในระดับอุปกรณ์เครือข่ายและเครื่องแม่ข่ายที่สำคัญ
– ทำการใช้เครื่องมือประเมินความเสี่ยงเพื่อตรวจดู Port Services ที่อุปกรณ์เครือข่าย และ เครื่องแม่ข่ายที่สำคัญเปิดอยู่
– วิเคราะห์ช่องโหว่จากการใช้เครื่องมือหลังจากตรวจ Port Services แล้วจะพบว่า Services ที่ทำการใช้งานอยู่บนอุปกรณ์เครือข่ายและเครื่องแม่ข่ายที่สำคัญ นั้นมีการเปิดใช้งานอยู่ นั้นมีความช่องโหว่ที่เป็นภัยรุนแรงหรือไม่ เช่น เปิด Port services 80 TCP เป็น Application Protocol ของ HTTP ซึ่งในนี้ประกอบด้วย Web Server ที่ใช้งานอยู่ที่เป็น IIS , Apache , หรืออื่นๆ ซึ่งหากเป็น Version ที่มีช่องโหว่ หรือมี code exploit ที่สามารถส่ง command หรือ script จากทางไกลและสามารถยึดครองเครื่องนั้นได้ก็จะถือว่าเป็นระดับภัยคุกคามที่รุนแรง เป็นต้น
– วิเคราะห์หา Security Patch ที่อัพเดทล่าสุดเพื่อเสริมสร้างความมั่นคงปลอดภัยให้กับอุปกรณ์เครือข่าย และ แม่ข่ายที่สำคัญ โดยทั้งนี้ควรทำการเตรียมแผนทดสอบถึงผลกระทบก่อนการอัพเดท Security Patch ก่อน

4. ประเมิน : ขั้นตอนนี้จะเป็นการสรุปผลความเสี่ยงที่พบจากขั้นตอนที่ผ่านมา โดยทำเป็นค่าดัชนีชี้วัดความเสี่ยง และผลการปฏิบัติงาน รวมถึงแนวทางในการปิดกั้นส่วนที่เป็นช่องโหว่ (Hardening) และป้องกันในระยะยาว ซึ่งในส่วนนี้จะเน้นไปทางการทำรายงานผล ในรูปแบบเอกสาร
ขยายความค่าดัชนีชี้วัดความเสี่ยงเกิดจาก Risk = Vulnerability x Threat
ค่าความเสี่ยงที่ประเมินได้ ขึ้นอยู่กับนโยบายขององค์กรด้วย หาดูแล้วไม่กระทบกับธุรกิจมากค่าความเสี่ยงนั้นก็จะแปรผันไปกับการประเมินความเสี่ยงของผู้ปฏิบัติงาน (Penetration tester) ซึ่งในแต่ละที่อาจมีค่าการประเมินไม่เหมือนกัน
เช่น ในกรณีที่พบว่า พบช่องโหว่ Web Server ที่ระบบ IIS 6.0 ที่ยังไม่ได้อัพเดท Patch security เมื่อประเมินแล้วว่า Web Server นั้นไม่สามารถเข้าถึงได้จากอินเตอร์เน็ต และเป็นเครื่องเฉพาะในแผนกใดแผนกหนึ่งดังนั้นระดับความสำคัญที่เป็นภัยคุกคามที่รุนแรงก็จะน้อยกว่าเครื่อง Web Server ที่เผยแพร่ข้อมูลสาธารณะ (Public IP) ได้เป็นต้น ซึ่งค่าดัชนีชี้วัดส่วนนี้ขึ้นกับผู้ปฏิบัติงานในการทำ Penetration Test และประสบการณ์ รวมถึงความเขี่ยวชาญของบุคคลนั้นในการประเมิน บางครั้งการให้บริษัทต่างที่กันมาประเมินหาความเสี่ยง ก็อาจมีค่ารายงานผลไม่เท่ากันเสมอไป ขึ้นอยู่กับทีมปฏิบัติงาน ซึ่งหากในทีมมี Certification ด้าน Security แทบไม่มีผลหากผู้ปฏิบัติงานหากขาดประสบการณ์ในส่วนการวิเคราะห์และประเมินค่าความเสี่ยงนี้ได้

สรุปได้ว่าค่า Vulnerability (ช่องโหว่ที่ค้นพบ จาก อุปกรณ์เครือข่ายที่สำคัญ และเครื่องแม่ข่ายที่สำคัญ) จะมีระดับความเสี่ยง สูง กลาง และต่ำ หรืออาจจะมีรายละเอียดมากกว่านั้น
ค่า Threat (ภัยคุกคาม) ขึ้นกับนโยบายองค์กร และการประเมินค่าจะผู้ปฏิบัติงาน นำมารวมค่ากันแล้วจะได้เป็นดัชนีชี้วัดความเสี่ยงได้ ซึ่งการประเมินส่วนนี้ก็เป็นเทคนิคลับของแต่ละบริษัทที่ใช้ในการประเมินและสามารถวัดผลได้จริงในทางปฏิบัติ

มาถึงตรงนี้บอกได้ว่าการประเมินความเสี่ยงนั้นไม่สามารถที่สิ้นสุดการทำงานได้จากการใช้เครื่องมือ (tools) มาแล้วจะสรุปค่าความเสี่ยงที่เกิดขึ้นจากการใช้งานไอซีทีองค์กรได้จำเป็นต้องอาศัยคนวิเคราะห์ถึงระดับภัยคุกคามและผลลัพธ์รายงานที่มีประโยชน์ต่อบริษัทเพื่อใช้ในการปรับปรุงแก้ไขให้ระบบมีความแข็งแรงและมีความปลอดภัยขึ้น

นนทวรรธนะ สาระมาน
Nontawattana Saraman
05/10/52