หนังสือพิมพ์ Telecom Journal โกลบอลเทคโนโลยี อินทิเกรเทด ผู้พัฒนาระบบเฝ้าระวังภัยคุกคามวันที่ 21-27 กันยายน 2552

โกลบอลเทคโนโลยี อินทิเกรเทด ผู็พัฒนาระบบเฝ้าระวังภัยคุกคาม เครือข่ายสารสนเทศภายใต้แบนด์ “SRAN” เปิดตัวอุปกรณ์ใหม่ล่าสุด “SRAN Light” ระบบเฝ้าระวังเครือข่ายสารสนเทศในองค์กรเพิ่มประสิทธิภาพการระบุตัวตนผู้ใช้งานระบบไอทีในองค์กรและบันทึกการใช้งานได้อย่างครบถ้วย โดยรักษาสิทธิส่วนบุคคลตามนโบายขององค์กรได้อย่างลงตัว

นรัตน์ สาระมาน กรรมการผู้จัดการ บริษัทโกลบอลเทคโนโลยี อินทิเกรเทด จำกัด กล่าวว่า จากการสำรวจความต้องการของลูกค้า ประกอบการกับแนวโน้มที่เพิ่มสูงขึ้นของภัยคุกคามและการทุจริตภายในองค์กร บริษัทฯจึงได้พัฒนาผลิตภัณฑ์เพื่อต่อยอด SRAN Security Center จนเกิดเป็น “SRAN Light” ขึ้น โดยยังคงคุณสมบัติด้านการเก็บล็อกไฟล์อยา่งถูกต้องตาม พ.ร.บ.ว่าด้วยการกระทำด้วยความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ผสมผสานกับเทคโนโลยีใหม่คือ Human Behavioral Warning (HBW) ที่เชื่อมโยงการเฝ้าระวังภัยคุกคามภายในเครือข่ายองค์กร เข้ากัยงานบริหารทรัพยากรบุคคลและระบบจัดเก็บคลังข้อมูล (Inventory)

SRAN Light สามารถแสดงผลแบบ real time ทั้งในส่วนของการใช้งานเครือข่ายปกติที่องค์กรต้องการเฝ้าระวัง และการใช้งานที่เข้่าข่ายเป็นภัยคุกคามทำให้สามารถป้องกันได้อย่างทันที ทั้งนี้ระบบบริหารจัดการของอุปกรณ์ได้ได้รับการออกแบบไม่ให้ละเอียดสิทธิส่วนบุคคลของคนในองค์กร โดยแต่ละองค์สามารถกำหนดกฎเกณฑ์ หรือโปรโตคอลที่จะตรวจสอบให้สอดคล้องกับนโยบายองค์กร นอกจากนี้ ยังสามารถรายงานสิถิตการใช้งานเครือข่ายสารสนเทศเป็นรายบุคคล รายเเผนก หรือในภาพรวมทั้งองค์กรได้อีกด้วย

อุปกรณ์ดังกล่าวจะช่วยให้ทราบพฤติกรรมการใช้งานระบบไอทีภายในองค์กร ตรวจจับการใช้งานที่ไม่เหมาะสม รวมถึงการทุจริตภายในองค์กร และทำให้สามารถวางแผนการลงทุนพัฒนาระบบไอทีได้อย่างมีประสิทธิภาพมากขึ้น

ภัยคุกคามตาม Layer ทั้ง 7 ตอนที่ 2

ที่กล่าวไปแล้วในตอนที่แล้วเราพูดถึงภัยคุกคามที่เกิดขึ้นตาม OSI 7 layer ผมทำการเรียงลำดับมาตั้งแต่ Layer 1 – Layer 3 ไปแล้ว ต่อจากนี้เราจะมาทำความเข้าใจภัยคุกคามตาม Layer ที่เหลืออีก

Layer 4 : Transport มี Protocol ที่ใช้ใน Layer นี้คือ TCP และ UDP การเชื่อมต่อสื่อสารเป็นชนิด End-to-end connection
TCP คือต้องการความถูกต้องของการรับส่งข้อมูล ยืนยันจากการติดต่อแบบ 3 way handshake
SYN , ACK , FIN รายละเอียดเพิ่มเติมอ่านได้ที่
Transmission Control Protocol
ประเภท Application Protocol ที่มีการเชื่อมต่อที่ใช้ TCP ได้แก่ Web (HTTP, HTTPS) , การ Remote ทางไกล เช่น Telnet (23) , SSH (22)
Mail เช่น SMTP (25) , POP3 (110) เป็นต้น
Port ทั้งหมดของ TCP มี 65,535 port services
UDP คือการติดต่อที่อาศัยความเร็วในการรับส่งข้อมูลไม่เน้นความถูกต้องของข้อมูล
ประเภท Application protocol ที่ใช้ UDP ได้แก่ syslog (514) , SNMP (161) , IRC (6667-7000)
เป็นต้น Port ทั้งหมดของ UDP มี 65,535 port services
ดังนั้นวิธีการโจมตีผ่าน Layer 4 โดยอาศัย Protocol TCP และ UDP นั้นจึงมีหลากหลายหนทางในการปฏิบัติ

ทางเป็นชนิด TCP ก็อาศัยการติดต่อสื่อสารระหว่างเครื่องให้ขาดความสมบูรณ์ในการเชื่อมต่อ เช่น ส่งค่า SYN อย่างเดียวแทนที่จะครบ SYN –> SYN ACK —> ACK –> FIN เพื่อให้ครบ ESTABLISHED

ภาพการติดต่อที่สมบูรณ์ จาก command line บนเครื่องผู้เขียน netstat -an ลองทำตามได้ครับ

ถ้าติดต่อไม่สมบูรณ์ จากการโจมตีที่เรียกว่า SYN Flood เป็นรูปแบบหนึ่งของการทำ DoS (Denial of Services)

ภาพจาก (tula.bofh.ru/articles/539)

การทำ DDoS/DoS ชนิด SYN flood สามารถมองได้ 2 มุม ได้แก่

มุมภายในเครือข่ายเดียวกัน หมายถึงเครื่องภายในยิงกันเอง ซึ่งลักษณะนี้อาจเกิดจากติดเชื้อไวรัสคอมพิวเตอร์ชนิด worm บางชนิดที่ทำการเกิดอาการผิดปกติได้ในการรับส่งข้อมูล หรืออาจจะเกิดจากความตั้งใจคนบุคคลที่การยิง SYN flood ไปยังเครื่องเป้าหมาย

ในมุมภายในนี้ สามารถ Radom port ในการส่งค่า SYN Flood ได้สะดวกเนื่องจากมีทางเลือกให้ถึง 65,535 port ทีเดียว ดังนั้นจึงเป็นที่ทำให้ผู้ดูแลระบบต้องมีเครื่องมือในการเฝ้าระวังในจุดนี้ด้วย และหากเครื่องคอมพิวเตอร์ (client) มีการใช้ Host Base Firewall , Host Base IPS ก็สามารถป้องกันได้ระดับหนึ่ง ที่บอกว่าได้ระดับหนึ่งเนื่องจาก ซอฟต์แวร์ป้องกันในระดับ Host base ต้องอาศัยการ CPU และ RAM รวมถึงการต่อต้านการโจมตีของระบบปฏิบัติการ (OS) ซึ่งมีรายละเอียดพอสมควรหากให้อธิบายเป็นระดับ Kernel และการปรับแต่งค่า system ภายใน OS อยู่หากเครื่องคอมพิวเตอร์ที่มีคุณสมบัติทางกายภาพไม่เหมาะสมหรือเป็นรุ่นเก่าการประมวลผลช้าถึงแม้จะมีระบบป้องกันที่ดี หากมีการโจมตีจำนวนมากและเป็นชนิด DDoS (Distributed Denial of Service) เข้าร่วมแล้วล่ะก็มีโอกาส CPU สูงและทำให้เครื่องอืดพร้อมใช้งานไม่ได้ตามมา

ส่วนมุมภายนอก คือ ยิงค่า SYN Flood จากเครื่องผู้ไม่หวังดีไปที่เครื่องเป้าหมายที่ห่างไกลออกนอกระบบเครือข่าย ในกรณีต้องมีการทำการ scan port เครื่องปลายทางเสียก่อนถึงจะร่วงรู้ว่ามีการเปิดค่า port services ที่เป็น TCP หรือไม่ ส่วนใหญ่มักจะยิงค่า SYN Flood ผ่าน Application Protocol ที่ทราบว่ามีการใช้งานอยู่เช่น HTTP Protocol (80) ซึ่งเป็นการติดต่อแบบ TCP เช่นกัน ซึ่งเป็นส่วนใหญ่ที่นักโจมตีไม่อยากเสียเวลาในการ scan port ทั้งหมด (65,535 TCP และ 65,535 UDP) เนื่องจากในมุมภายนอกมักมีการกำหนดช่องทางการเข้าถึงจำกัด แต่ที่รู้กันคือต้องเปิด port 80 เป็นอย่างแน่นอน

การยิงในมุมภายนอก นั้นสามารถป้องกันได้โดยใช้อุปกรณ์ Network Firewall ที่เป็นชนิด State ful inspection หรือ Network IPS ก็จะสามารถป้องกันได้

แล้ว UDP ล่ะจะเกิด SYN Flood ได้หรือไม่ ? คำตอบคือไม่ได้ เพราะ UDP ไม่มีการเชื่อมต่อแบบ TCP

ภาพนี้เป็นโครงสร้างของการติดต่อแบบ TCP

แล้วจะมีการโจมตี UDP Flood หรือไม่ ? มีและเป็นที่นิยมในยุคหลังๆมากขึ้น โดยเฉพาะไวรัสคอมพิวเตอร์ชนิด worm ที่มักโจมตีด้วยการอาศัย Protocol TCP และ UDP

หากในระบบเครือข่ายภายในองค์กร มีการระบบเฝ้าระวังภัย และพบว่ามีการติดต่อค่า UDP มากกว่า TCP แล้วนั้นต้องตั้งข้อสงสัยไว้ก่อนว่าอาจจะมีเหตุการณ์ไม่พึ่งเกิดขึ้นได้

ส่วนผู้ดูแลระบบ Core Router ที่จำเป็นต้องเปิดค่า UDP จาก SNMP เพื่อใช้ในการ Monitor ความเสรียฐภาพของอุปกรณ์ ก็ต้องระวังให้มากเนื่องจาก SNMP อาจถูกโจมตีจากผู้ไม่หวังดีได้ ดังนั้นควรตั้งค่า community string สำหรับ SNMP เพื่อไม่ให้นักโจมตีระบบ scan port จากภายนอกและทำการส่งค่า UDP Flood มาสู่อุปกรณ์ Router , Switch เราได้จากโลกภายนอก ซึ่งทั้งนี้ Router / Switch นั้นต้องมี IP Address ที่เป็น IP จริง ถึงจะมีการโจมตีผ่านได้ โดยปกติแล้ว Core Router ก็ต้องมี Interface ที่แสดงค่า IP จริงได้อยู่แล้วหากมีผู้ไม่หวังดีทราบถึง IP ของ Router และทำการ scan port ขึ้นก็อาจทำให้เกิดการโจมตีได้ ขึ้นกับการป้องกันของผู้ดูแลระบบว่ามีความตระหนักในเรื่องนี้มากน้อยแค่ไหน

ส่วนค่า Syslog ล่ะจะทำการส่งค่าออกไปข้างนอกผ่าน Internet ได้หรือไม่ ? คำตอบว่าได้ แต่ควรผ่านอุปกรณ์เฉพาะที่ใช้ในการส่งค่า syslog เช่น SIEM (Security Information Event Management) หรืออุปกรณ์อื่นๆ ที่ใช้ในการส่งโดยเฉพาะ ไม่ควรส่งผ่านอุปกรณ์ Router หรือ Switch โดยตรงเพราะอาจถูก scan port จากทางไกลและอาศัย port services ที่ส่งในเป็นเครื่องมือในการโจมตี DDoS/DoS ได้

ดังนั้นการส่งค่า syslog ที่เป็น UDP ออกสู่ข้างนอกจึงควรมีระบบการส่งให้มีความปลอดภัย และไม่มีผลกระทบกับ Bandwidth ในองค์กรนัก ทั้งนี้ต้องเกิดจากการออกแบบจากผู้เชี่ยวชาญด้านนี้โดยตรง

มาถึงตรงนี้ ก็จะพบว่าภัยคุกคามที่เกิดจาก Transport Layer นั้นมักอาศัยช่องทาง TCP , UDP โดยส่วนใหญ่จะเป็นการโจมตีแบบ DDoS/DoS เชื่อมกับ Application protocol ที่เราๆท่านๆ ได้เปิดใช้ขึ้นเองทั้งมุมภายในและมุมภายนอกนั้นแหละ หากเป็นมุมภายนอกเราปิด Port services ที่ไม่จำเป็นต้องใช้ได้ก็จะปลอดภัยขึ้น ปิดจากอะไรก็ปิดจาก Network Firewall ที่เราควรจะมีไว้ทุกองค์กรนั้นเอง

ส่วนมุมภายใน วิธีที่ง่ายที่สุดคือลงโปรแกรมที่จำเป็นเท่านั้นบนเครื่องคอมพิวเตอร์ หากลงโปรแกรมมาก ก็ทำให้มีการเปิด port services มากเป็นเงาตามตัว ทำให้เพื่อนร่วมงานหรือ Hacker ในองค์กร ที่ร้อนวิชาอาจโจมตีท่านได้เช่นกัน โชคไม่ดีอาจเป็นแหล่งเพาะเชื้อที่ทำให้ไวรัสคอมพิวเตอร์เข้าถึงเครื่องคอมพิวเตอร์ได้ง่ายขึ้นอีก ใครที่ลงโปรแกรมเกมส์ โปรแกรมโหลดหนังผ่าน P2P ก็ควรใตร่ตรองในเรื่องนี้ให้มากขึ้น

ในตอนหน้าผมขอรวบ Layer 5,6 และ 7 เป็นเรื่องเดียวกัน ซึ่งถือได้ว่า Layer หลังนี้เป็นจุดเสี่ยงภัยที่มีการเข้าถึงระบบได้ง่ายและเป็นที่นิยมจากเทคนิคการโจมตีต่างๆในยุคปัจจุบันเป็นอย่างมาก

Nontawattana Saraman

SRAN Development Team ตอนนี้ขอทำการโปรโมทเทคโนโลยีใหม่ที่ทางทีมวิจัยพัฒนา SRAN ได้พัฒนาขึ้นเพื่อช่วยในการเฝ้าระวังภัยคุกคามที่เกิดขึ้นภายในองค์กร ชื่อ SRAN Light รายละเอียด http://sran.org/q ซึ่งเทคโนโลยีตัวนี้ช่วยให้เรารู้ทันภัยคุกคามได้ชนิดที่ไม่จำเป็นต้องเป็นผู้เชี่ยวชาญ

นนทวรรธนะ สาระมาน
Nontawattana Saraman
09/09/09

เนื้อหาบทความที่เกี่ยวข้อง ภัยคุกคามตาม Layer ทั้ง 7 ตอนที่ 1
รายละเอียด Port Number และความหมาย

ภัยคุกคามตาม Layer ทั้ง 7 ตอนที่ 1


เมื่อเราพิจารณาถึงการก่อเกิดภัยคุกคามต่างๆที่เกิดขึ้นจากการใช้งานระบบไอทีของเราแล้วนั้น เรามั้งมองที่จะหาทางแก้ไขที่ปลายเหตุ เช่น ติดไวรัสเราก็จะหาโปรแกรมป้องกันไวรัสมาขจัดปัญหานั้นออกไป เครือข่ายคอมพิวเตอร์ช้า ก็ทำการเพิ่ม Bandwidth เป็นต้น แต่ถ้าหากเรามองถึงเหตุปัจจุจัยที่ทำให้เกิดปัญหาต่างๆได้นั้นจะทำให้เราเข้าใจถึงภัยคุกคามที่อาจเกิดขึ้นกับเราและองค์กรของเราได้พร้อมกับสามารถหาวิธีการรับมือเพื่อป้องกันไม่เกิดปัญหาต่างๆได้

(ภาพ OSI 7 layer Model จาก wikipedia)

ภัยคุกคามที่เกิดจากการสื่อสาร เป็นการรับ-ส่งข้อมูล จากต้นทางไปปลายทางที่ถูกเรียกใช้บริการ หลักการสื่อสารที่เกิดขึ้นบนโลกอินเตอร์เน็ตก็เช่นเดียวกัน เกิดจากการรับ-ส่งข้อมูลผ่าน โมเดลที่เรียกว่า OSI 7 layer (Open Systems Interconnection) นั้นเมื่อเราพิจารณาแต่ละ Layer และวิเคราะห์ถึงภัยคุกคามนั้นเราสามารถแบ่งได้ 8 ส่วนดังนี้

จากภาพจะเห็นว่าได้มีเพิ่มอีก Layer คือ People คนเป็นส่วนสำคัญที่ทำให้เกิดช่องโหว่และความเสี่ยงที่ทำให้เกิดภัยคุกคามจากการใช้งานระบบไอทีได้ และยากแก่การควบคุมและป้องกันเป็นอย่างมาก

จากการที่ได้บรรยายในงานวิชาการต่อหลายครั้งผมเคยให้ประเด็นเรื่องภัยคุกคามไอทีกับคน โดยแบ่งเป็น เจตนา และไม่เจตนา ภัยคุกคามที่เกิดจากคนที่เจตนา คือมีเป้าหมายที่ชัดเจนในการบุกรุกเพื่อที่ต้องการได้ผลลัพธ์ตามวัตถุประสงค์ที่ตนเองต้องการ ส่วนภัยคุกคามที่เกิดจากคนที่ไม่เจตนา คือ คนที่รู้เท่าไม่ถึงการณ์และติดเป็นเครื่องมือในการโจมตีระบบ หรือเรียกว่าตกเป็น zombie ผีดิบที่พร้อมปฏิบัติการหากมีการสั่งงานซึ่ง “ผีดิบ” เหล่านี้เมื่อมีการรวมตัวกันขึ้นเรียกได้ว่าเป็นกองทัพ Botnet นั้นเอง ซึ่งภัยคุกคามที่เกิดขึ้นในโลกไอทีล้วนแล้วแต่เชื่อมโยงกันจากเหตุปัจจัยหนึ่งไปสู่อีกปัจจัยหนึ่ง

บางส่วนการบรรยายในงานเปิดตัวบริการ Cyfence จาก CAT Telecom ตุลาคม 2549

จึงเป็นเหตุที่ต้องพิจารณาภัยคุกคามตาม Layer ทั้ง 7 นี้ขึ้น

1. Physical Layer ภัยคุกคามที่เกิดขึ้นมักจะเกิดจากการโจมตีในระดับฮาร์ดแวร์ การเข้าถึงทางกายภาพ ซึ่งมักเกิดจากการออกแบบและไม่พิถีพิถันต่อภัยคุกคามที่เกิดขึ้น

วิธีป้องกันในส่วนนี้ทำได้โดยการออกแบบให้รัดกุมขึ้น มีการระบุตัวตนในการเข้าถึงข้อมูล สถานที่ที่มีความสำคัญและการควบคุมเส้นทางการใช้งานข้อมูลให้ไม่กระจายในจุดที่ควบคุมไม่ได้

2. Data Link Layer ภัยคุกคามที่เกิดขึ้นใน Layer นี้มักจะเป็นการดักข้อมูล หรือ ที่เรียกว่า “การสนิฟ” การดักข้อมูลนั้นมี 2 ส่วน คือ

:: ส่วนที่ 1 การดักข้อมูลที่เรียกว่า Promiscuous หรือการเงี่ยหูฟัง ข้อมูลที่เกิดขึ้นรอบๆตัวผู้ดักฟัง จะเกิดขึ้นในระดับ Ethernet หรือวง LAN

Promiscuous Mode จะทำให้การ์ดแลนในเครื่องที่ดักฟังมีการเปลี่ยนแปลงการรับข้อมูล หรือทางเทคนิคเรียกว่า Finger print ของ การ์ดแลนที่เปิด Promiscuous mode นั้นเปลี่ยนไป สิ่งที่ได้จาการเปิด mode นี้ทำให้เครื่องคอมพิวเตอร์สามารถดักฟังข้อมูลที่เกิดขึ้นรอบๆตัวเครื่องคอมพิวเตอร์ได้ ซึ่งไม่ได้หมายความว่าจะดักข้อมูลได้ทั้งระบบเครือข่าย ขึ้นอยู่กับตำแหน่งการติดตั้ง Promiscuous mode ไปอยู่ในตำแหน่งใด หากเป็น เครื่องคอมพิวเตอร์ภายในองค์กรเครื่องใดเครื่องหนึ่ง ก็จะดักฟังข้อมูลได้ไม่หมด เป็นเพียงการสื่อสารรอบๆข้างที่เกิดขึ้นจากการ์ดแลนที่ดักฟังเท่านั้น และจะเกิดขึ้นได้บนเครือข่ายคอมพิวเตอร์เดียวกัน

วิธีการป้องกัน การสื่อสารในวง LAN หากจำเป็นต้องมีการ Remote Access หรือมีการ Login ระบบ ควรมีการเข้ารหัส (Encryption) Protocol ที่เลือกใช้ เช่น

Remote Access ถ้าใช้ Telnet ให้เปลี่ยนเป็น SSH , ถ้าใช้ HTTP ในการ Login ให้เปลี่ยนเป็น HTTPS ในการ Login แทน ถ้าใช้ POP3 ในการับ Mail ก็ให้ใช้ Secure – POP3 ในการรับ Mail แทนเป็นต้น

เนื่องจาก Protocol ที่สำคัญในชีวิตประจำวัน ที่เราต้องใช้ เช่น Web , Mail และการ Remote ต่างๆจำเป็นต้องคำนึงถึงข้อมูลที่ส่งผ่านนั้นได้เริ่มมีการเข้ารหัสเพื่อป้องกันการดักฟังข้อมูลภายในเครือข่ายเดียวกันหรือไม่

ดังนั้น Promiscuous mode ที่เกิดจากเจตนาที่ต้องการดักฟังนั้น สามารถป้องกันได้ไม่ยาก แต่ที่ยากกว่านั้นเราจะรู้ได้อย่างไรว่ามีเครื่องคอมพิวเตอร์ในเครือข่ายของเราดักฟังอยู่

วิธีตรวจสอบ คือ ควรมีระบบที่เรียกว่า NIDS (Network Intrusion Detection System) เพื่อวิเคราะห์หาFinger print เครื่องคอมพิวเตอร์ที่ทำการดักฟังข้อมูลหรือมีการเปลี่ยนแปลงการ์ดแลนในเครื่องให้เป็น Promiscuous mode ขึ้น

:: ส่วนที่ 2 การดักฟังข้อมูลแบบ MITM (Man In The Middle attack) การข้อมูลชนิดนี้จะไม่สามารถป้องกันได้จากการเข้ารหัสข้อมูลเมื่อมีการ Remote Access บนระบบเครือข่าย เนื่องจากผู้ที่ต้องการดักฟังโดยใช้เทคนิค MIM Attack จะทำตัวเป็นตัวกลางในการเรียกใช้ข้อมูล โดยเฉพาะ ซึ่งทำให้ผู้ที่ถูกดักฟังข้อมูลเข้าใจผิดนึกและทำการส่งข้อมูลไปให้เครื่องที่ดักฟัง

ลักษณะการทำ MIM เริ่มจากการส่งค่า ARPspoof เพื่อปลอมค่า MAC Address ให้ตรงกับ Gateway และส่ง ARP Poisoning ไปที่เครื่องที่ต้องการดักฟัง

วิธีการป้องกัน คือต้องมีระบบตรวจบันทึกการเปลี่ยนแปลงค่า MAC Address ที่เครื่อง Gateway หากมีการเรียกค่า MAC Address ซ้ำกับเครื่อง Gateway ก็มีความเป็นไปได้สูงที่มีเครื่องภายในระบบเครือข่ายที่ทำการดักฟังข้อมูล ควรมีระบบ NIDS (Network Intrusion Detection System) ที่คอยวิเคราะห์พฤติกรรมที่ไม่เหมาะสม เช่นมีการเรียกค่า ARPspoof บนระบบเครือข่าย

ภาพจาก SRAN Light ที่สามารถตรวจหาเครื่องที่มีพฤติกรรมดักฟังข้อมูลได้ รายละเอียดของภาพดูได้ที่

http://twitpic.com/dczv7

โดยพื้นฐาน NIDS จะทำการตรวจจับได้ก็ต่อเมื่อติดตั้งในตำแหน่งที่เหมาะสม จากภาพจะเห็นว่าการทำ ARPspoof จะเกิดขึ้นใน Layer 2 จึงทำให้การตรวจจับไม่สามารถระบุถึง IP Address ได้ หากระบบเครือข่ายมี NIDS แล้วจำเป็นต้องทำเพิ่มเติมคือมีการจัดทำระบบ Inventory หรือ คลังข้อมูลเครื่องคอมพิวเตอร์สำหรับเครือข่ายภายในอีกด้วย ไม่เช่นนั้นก็จะไม่สามารถตรวจหาเครื่องที่ดักจับข้อมูลผ่านเทคนิค MIM attack ได้

3. Network Layer ภัยคุกคามที่เกิดขึ้นใน Layer นี้ส่วนใหญ่จะเป็นการโจมตีระบบที่เรียกว่าการทำ DDoS/DoS (Denial of Service) การโจมตีเครื่องเป้าหมายโดยใช้เทคนิค DDoS/DoS นั้นจะทำได้ผ่าน Protocol ที่เรียกว่า ICMP ซึ่งสามารถทำได้หลายเทคนิคเช่น Ping of Death , Smurf attack

หากโจมตีลำพังเพียงเครื่องเดียวไปที่เครื่องเป้าหมาย เรียกว่า DoS (Denial of Service)

หากโจมตีหลายเครื่องไปที่เครื่องเป้าหมาย เรียกว่า DDoS (Distributed Denial of Service)

วิธีการป้องกัน

เพิ่มค่าที่ Router กำหนดค่า Router(config-if)# no ip directed-broadcast

กำหนดให้ Network Firewall ปิดกั้นการรับค่า ICMP

ถึงอย่างไรการโจมตีชนิด DDoS/DoS ใน Layer 3 หรือ Network Layer เป็นเทคนิคที่ใช้ไม่ได้ผลแล้วในปัจจุบันแต่ก็ยังมีหลายองค์กรที่ยังถูกการโจมตีชนิดนี้อยู่ เนื่องจากการกลายพันธ์ของเทคนิคการโจมตีนี้ไปผนวกกับการแพร่ระบาดของไวรัสคอมพิวเตอร์ (worm) ในหลากหลายชนิดและสายพันธุ์ ทำให้เครือข่ายคอมพิวเตอร์ฝั่งภายนอกองค์กรจึงเต็มไปด้วยข้อมูลขยะที่วิ่งวนเวียนพร้อมที่สร้างความลำคาญใจต่อระบบไม่น้อย

ส่วนใหญ่การพูดถึง DDoS/DoS มักมองในมุมเครือข่ายภายนอกองค์กร และเหตุการณ์มักจะเกิดขึ้นช่วงรอยต่อของจุดเชื่อมเครือข่ายภายในและภายนอกที่มีการติดต่อโลกอินเตอร์เน็ต แต่เมื่อมีการแพร่ระบาดไวรัสคอมพิวเตอร์ (Worm) บางสายพันธ์แล้วการโจมตีดังกล่าวอาจเกิดขึ้นภายในองค์กรก็ได้ เช่น worm ที่ชื่อว่า Nachi ที่เคยทำให้ระบบเครือข่ายในองค์กรใหญ่ในประเทศไทยถึงใช้งานไม่ได้ก็เคยเกิดขึ้นมาแล้ว ดังนั้นเทคโนโลยีที่ใช้ในเครือข่ายคอมพิวเตอร์ในองค์กรควรพิจารณาทั้งสองมุมจะเป็นการดี

อีกทั้งภัยคุกคามที่เกิดขึ้นใน Network Layer (L3) นั้นก็ยังมีการปลอมแปลงค่า IP Address หรือที่เรียกตามศัพท์เทคนิคว่า IP Spoofing ซึ่งเทคนิคนี้จะมีผลกระทบและสร้างความเสียหายได้เมื่อ IP Address ดังกล่าวเกิดขึ้นบนระบบเครือข่ายภายในองค์กรเอง แต่ก็ยังเป็นผลกระทบที่ไม่รุนแรงและสามารถแก้ไขได้หากมีการออกแบบระบบเครือข่ายที่ดี ก็จะป้องกันปัญหาดังกล่าวได้

ในตอนหน้าจะพูดถึงภัยคุกคามและการโจมตีใน Layer ที่สูงซึ่งจะมีความซับซ้อนมากขึ้นและมีหลากหลายเทคนิคที่ผู้ดูแลระบบควรศึกษาเป็นอย่างยิ่ง

นนทวรรธนะ สาระมาน
Nontawattana Saraman

มารู้จักกับ Payment Card Industry Data Security Standard

มาตรฐาน Payment Card Industry Data Security Standard เป็นมาตรฐานความปลอดภัยสารสนเทศที่แพร่หลายทั่วโลก รวบรวมโดยคณะกรรมการ Payment Card Industry Security Standards Council (PCI SSC) มาตรฐานนี้สร้างขึ้นมาเพื่อช่วยให้องค์กรต่าง ๆ ที่ดำเนินการชำระเงินผ่านบัตร ให้สามารถป้องกันการฉ้อโกงบัตรเครดิตด้วยการควบคุมข้อมูลและช่องโหว่ต่าง ๆ ที่เพิ่มขึ้น ได้มีการนำมาตรฐานดังกล่าวมาใช้กับทุกองค์กรที่เก็บรักษา ดำเนินการ หรือส่งต่อข้อมูลข่าวสารเกี่ยวกับผู้ถือบัตรจากบัตรใด ๆ ก็ตามที่ประทับยี่ห้อของเครื่องหมายการค้าของบัตรเครดิตเจ้าใดเจ้าหนึ่ง

มาตรฐานนี้ดูแลรักษาโดยคณะกรรมการ Payment Card Industry Security Standards Council ซึ่งดูแลทั้งมาตรฐาน PCI DSS และมาตรฐานอื่น ๆ อาทิเช่น Payment Card Industry PIN Entry Device security requirements (PCI PED) และ Payment Application Data Security Standard (PA-DSS)

การตรวจสอบการปฏิบัติตามมาตรฐานอาจทำได้จากทั้งจากภายในหรือภายนอก ขึ้นอยู่กับปริมาณของการทำธุรกรรมของบัตรที่องค์กรนั้นจัดการ ถึงแม้ว่าองค์กรจะมีขนาดใหญ่เพียงใดก็ตาม การประเมินการปฏิบัติตามมาตรฐานจะต้องทำเป็นรายปี องค์กรที่จัดการกับการทำธุรกรรมที่มีปริมาณมากจะต้องมีการประเมินการทำตาม มาตรฐานโดยผู้ประเมินอิสระที่เรียกว่า Qualified Security Assessor (QSA) ส่วนบริษัทที่จัดการกับการทำธุรกรรมที่มีจำนวนน้อยกว่าสามารถเลือกที่จะ ทำการประเมินได้ด้วยตัวเองที่เรียกว่า Self-Assessment Questionnaire (SAQ)

ข้อกำหนด

มาตรฐานนี้ในเวอร์ชั่นปัจจุบัน (1.2) ระบุถึงข้อกำหนด 12 ข้อในการปฏิบัติตามมาตรฐาน แบ่งเป็นหกกลุ่มที่เกี่ยวข้องกัน เรียกว่า “control objectives”

Control Objectives ข้อกำหนด PCI DSS
สร้างและดูแลรักษาเครือข่ายที่ปลอดภัย 1. ติดตั้งและดูแลรักษาค่าที่ตั้งไว้ของไฟร์วอลล์เพื่อป้องกันข้อมูลของผู้ถือบัตร
2. ไม่ใช้ค่าที่ตั้งมาพร้อมกับผลิตภัณฑ์สำหรับรหัสผ่านและการรักษาความปลอดภัยอื่น ๆ ของระบบ
การป้องกันข้อมูลผู้ถือบัตร 3. ป้องกันข้อมูลผู้ถือบัตรที่เก็บรักษาอยู่
4. เข้ารหัสธุรกรรมที่ส่งผ่านเครือข่ายสาธารณะแบบเปิด
ดูแลรักษาโปรแกรมที่จัดการกับช่องโหว่ 5. ใช้และอัพเดทซอฟท์แวร์แอนตี้ไวรัสในทุกระบบที่มักจะได้รับผลกระทบจากมัลแวร์
6. พัฒนาและดูแลรักษาระบบและแอพพลิเคชั่นต่าง ๆ ให้ปลอดภัย
ใช้มาตรการควบคุมการเข้าถึงที่เข้มแข็ง 7. จำกัดการเข้าถึงข้อมูลผู้ถือบัตร สำหรับผู้ที่ได้รับอนุญาตให้สามารถเข้าถึงได้เท่านั้น
8. กำหนดหมายเลขประจำตัวเฉพาะสำหรับผู้ที่สามารถเข้าถึงคอมพิวเตอร์ได้
9. จำกัดการเข้าถึงข้อมูลผู้ถือบัตรทางกายภาพ
เฝ้าดูและทดสอบเครือข่ายต่าง ๆ อย่างสม่ำเสมอ 10. ติดตามและเฝ้าดูการเข้าถึงทรัพยากรทางเครือข่ายและข้อมูลผู้ถือบัตร
11. ทดสอบระบบและขั้นตอนต่าง ๆ ในการรักษาความปลอดภัยอย่างสม่ำเสมอ
ดูแลรักษานโยบายความปลอดภัยสารสนเทศ 12. ดูแลรักษานโยบายที่กล่าวถึงความปลอดภัยสารสนเทศ

มาตรฐาน PCI DSS ที่มีใน SRAN Data Safehouse

ระบบของ Data Safehouse ในส่วนของการประเมินการปฏิบัติตามมาตรฐานของ PCI DSS จะเน้นที่การตรวจสอบปัญหาต่าง ๆ ที่พบใน web server เป็นหลัก

หน้ารายงานในส่วนของ PCI DSS สามารถเปิดดูได้จากเมนู Status > Security scan เมื่อเข้ามาที่หน้า Security scan แล้วให้คลิกที่ลิงค์ PCI DSS Compliance check

จากนั้นจึงเลือกเปิดดูรายงานตามวันที่ที่ต้องการโดยคลิกที่ลิงค์ view report

จะปรากฏหน้าที่บอกรายละเอียดการประเมินผล พร้อมทั้งผลที่บอกว่า web server ของคุณผ่านมาตรฐาน PCI DSS หรือไม่ ซึ่งคุณสามารถอ่านรายละเอียดได้จากรายงานที่บอกถึงรายละเอียดที่อยู่ข้าง ล่าง

ตัวอย่างรายงานที่บอกรายละเอียดว่าเหตุใด server ที่ตรวจสอบถึงไม่ผ่านตามมาตรฐาน PCI DSS

มีข่าวดีมาบอก

คุณสมบัติที่หลายคนรอคอย หลังจากทีมงาน SRAN ได้พัฒนาปรับปรุงคุณสมบัติของอุปกรณ์ให้เป็นไปตามความต้องการของลูกค้าพบว่า ลูกค้าต้องการค้นหาพฤติกรรมของ IP Address หรือค่า MAC Address ให้ตรงกับรายชื่อพนักงานในองค์กรได้ โดยไม่ต้องเพิ่มเติมอุปกรณ์อื่น

เร็วๆนี้ทางทีมพัฒนา SRAN ได้พัฒนาเทคโนโลยีใหม่ที่เรียกว่า HBW (Human Behaviror Warning System) ขึ้น โดยการผสมผสานจากเทคนิค Intrusion Detection System ในระดับ Network Base และ การทำ Passive Inventory ในการตรวจจับรายชื่อพนักงาน ชื่อแผนกของหน่วยงาน ค่า MAC Address มาเชื่อมโยงกับ IP Address (ทั้งแบบ Dynamic และ static IP) ได้โดยไม่ต้องลงอุปกรณ์เสริม มาใช้สำหรับการเฝ้าระวังพฤติกรรมการใช้งานไอซีทีภายในองค์กร โดยรวมเทคโนโลยีไว้ในเครื่องเดียว ไม่ต้องติดตั้งอุปกรณ์เพิ่มเติมเพื่อความสะดวกในการใช้งาน และคุ้มค่าแก่การลงทุนส่วนการเฝ้าระวังพฤติกรรมการใช้งานถูกออกแบบไม่ให้มี การละเมิดสิทธิความเป็นส่วนตัวพนักงานในองค์กร โดยสามารถกำหนด Rule Policy ตามนโยบายบริษัทได้ ซึ่งจะสามารถตรวจจาก Protocol ที่สำคัญและอาจมีความเสี่ยงที่จะใช้เป็นเครื่องมือในการก่อให้เกิดความเสีย หาย และเกิดภัยคุกคามขึ้น เนื่องจากเป็น Protocol ที่ใช้งานกันอย่างแพร่หลาย เช่น

Web : HTTP, HTTPS

Email : SMTP, POP3, IMAP, Web Mail, Lotus Note, POP3S, SMTPS, IMAPS ซึ่งจะดูเฉพาะ Subject e-mail ในการรับส่ง

Messenger : ICQ, MSN, IRC, AIM, Yahoo, ebuddy, Camfrog ใน Mode Chat สามารถควบคุมได้ว่าจะให้แสดงข้อความการสนทนาได้ ซึ่งเป็นการป้องกันเรื่องความเป็นส่วนตัวพนักงาน

File Transfer : FTP, TFTP ,Files Sharing (Netbios)

P2P : napster, GNUtella, DirectConnect, Bittorrent, eDonkey, MANOLITO, Ares, ed2k, kaaza, soulseek และ VoIP ชนิด P2P เช่น Skype เป็นต้น

Others : Telnet, Remote Desktop, VNC, Radius

โดย เทคนิคดังกล่าวสามารถทำงานได้โดยไม่ต้องลง agent software ที่เครื่อง client ทำให้เกิดความสะดวกในการติดตั้งอุปกรณ์เป็นอย่างมาก การติดตั้ง SRAN Security Center ยังคงเหมือนเดิมคือสามารถติดตั้งได้3 รูปแบบ คือ แบบแรก In-line (ซึ่งทำให้ป้องกันภัยคุกคามในระดับ Application Layer ได้ คือสามารถทำตัวอุปกรณ์เป็น NIPS นั้นเอง) , แบบที่สอง Transparent (สามารถป้องกันภัยคุกคามในระดับ L3-L4) , และแบบที่สาม Passive Mode คือเป็นการเฝ้าระวังอย่างเดียว ทั้ง 3 Mode ในการติดตั้งขึ้นกับขนาดปริมาณข้อมูลในแต่ละองค์กรและตามขนาดรุ่นการใช้งาน ของ SRAN ซึ่งสามารถอ่านได้เพิ่มเติมที่ http://www.gbtech.co.th/th/product/usm

แนวคิด เทคโนโลยีใหม่ HBW (Human Behaviror Warning) ที่ ทีมงานนำมาใช้ ก็เพื่อเป็นประโยชน์สำหรับองค์กรในการในการเฝ้าระวังภัยคุกคามภายใน หรือที่เรียกว่า “Insider Threat” ที่มีสถิติมากขึ้นทุกๆปี และการสืบค้นหาประวัติเหตุการณ์เพื่อหาผู้กระทำความผิดได้สะดวกมากขึ้น อีกทั้งยังสามารถเชื่อมกับงาน ทรัพยากรบุคคล HR (Human Resource) ได้ถึงพฤติกรรมการใช้งาน IT ภายในองค์กร ว่ามีพฤติกรรมการใช้งานอันไม่เหมาะสมในเวลางานหรือไม่ หรือมีการลักลอบขโมยข้อมูลภายในองค์กรส่งไปยังที่อื่นนอกเวลางานหรือไม่ ซึ่งทำให้รู้ทันปัญหาการโกง (Fraud) จากคนภายในองค์กรได้อย่างทันเวลาและมีหลักฐานในการประกอบรูปคดี รวมถึงการสร้างเป็นดัชนีชี้วัดรายแผนก รายบุคคล ที่ส่งผลให้สามารถพยากรณ์ถึงการลงทุนระบบไอซีทีในองค์กรให้มีประสิทธิภาพมากขึ้น

ความสามารถมีคุณสมบัติใหม่ ดังนี้คือ

1. สามารถมองเห็นค่า IP Address เชื่อมโยงกับข้อมูลรายชื่อพนักงานในบริษัท

ภาพ หน้าจอ SRAN Security Center ที่เปลี่ยนไปสามารถเชื่อมโยง IP Address กับชื่อพนักงานบริษัทได้ โดยสามารถได้ทั้งองค์กรที่เป็นระบบ IP แบบ DHCP และ Static IP เนื่องจากเทคโนโลยี HBW ที่ทีมงาน SRAN ได้คิดค้นขึ้นจะสามารถเชื่อมความสัมผัสรายชื่อพนักงานและ IP Address ได้บนระบบเครือข่าย

หากเปรียบเทียบกับการสืบสวนตาม chain of event คือพิจารณาจาก

Who พบว่า SRAN สามารถบอกได้ถึง ชื่อพนักงาน รูปพนักงาน ชื่อแผนก ค่า IP Address ตลอดจนค่า MAC Address ระบบปฏิบัติการของผู้ใช้งานได้

What พบว่า SRAN สามารถบอกถึงพฤติกรรมการใช้งานโดยแยกตามลักษณะ Signature ว่าเป็นการใช้งานชนิดใด เช่น เล่น Web , Mail ,Chat , Upload , download เป็นต้น

Where พบว่า SRAN สามารถบอกถึงลักษณะการสื่อสารตาม Protocol ที่สำคัญและ Port Services ที่ใช้

When พบว่า SRAN สามารถบอก วัน เวลา ที่เกิดขึ้นในแต่ละเหตุการณ์ได้

Why (How) พบว่า SRAN จะสามารถแยกแยะได้ว่าเป็นพฤติกรรมเหมาะสมหรือไม่เหมาะสมผ่านเทคนิค NIDS (Network Intrusion Detection System) ที่ดูได้ถึงระดับ Application Layer

2. สามารถจัดเก็บค่า Inventory ชนิดแบบ Passive ทางระบบเครือข่าย ซึ่งทำให้ได้ทราบถึง

– รายชื่อพนักงานบริษัท (Name)

– ชื่อแผนก (Department)

– ชื่อระบบปฏิบัติการของพนักงาน (Operating System)

– ค่า MAC Address แต่ละเครื่องในองค์กร

ภาพ การแสดงผล ค่าคลังข้อมูล (Inventory) ที่ผ่านเทคโนโลยี HBW ที่ทีมงาน SRAN ได้คิดค้นขึ้น จะสามารถเก็บประวัติการใช้งานเครื่องคอมพิวเตอร์ รายชื่อพนักงาน ชื่อแผนก ชื่อ IP ค่า MAC Address และระบบปฏิบัติการได้ โดยไม่ต้องลงซอฟต์แวร์ (agent) ใดๆ

อีกทั้งเพิ่มคุณสมบัติที่เฝ้า ระวังการที่พนักงานทำตัวเองเป็น Hacker และทำการแอบดักข้อมูล หรือใช้โปรแกรม sniffer ได้อีกด้วย เรียกเทคโนโลยีนี้ว่า Anti-sniffer ที่เป็นแบบ Passive Monitoring บนระดับเครือข่ายคอมพิวเตอร์ สามารถที่จะรู้ถึงเครื่องคอมพิวเตอร์ที่ทำการดักจับข้อมูลภายในองค์กรได้อีก ด้วย ซึ่งเป็นการรู้ทันพฤติกรรมของ Hacker ภายในองค์กรมากขึ้นอีกระดับหนึ่ง

3.รายงานผลการใช้งานข้อมูลสารสนเทศตามแผนกงาน , รายบุคคล และภาพรวมของบริษัทได้

ภาพ ประวัติการใช้งานพนักงานในองค์กรที่เป็นรายบุคคล ซึ่งทำให้วิเคราะห์ถึงพฤติกรรมการใช้งานตาม Protocol ที่ต้องสงสัยว่าจะเป็นการทุจริตภายในองค์กรได้ และสามารถเพิ่มรูปพนักงานดังกล่าวลงในระบบได้อีกด้วย

คุณสมบัติทั้งหมด เป็นการวิจัยค้นคว้าเพื่อให้ หลังจากที่ได้สอบถามจากลูกค้าที่เคยใช้ SRAN Security Center มาแล้วทั้ง 3 ข้อที่กล่าวมาจึงเป็นคุณสมบัติที่ เหมาะสม ลดความซับซ้อนของเทคโนโลยีลง และคุ้มค่าการลงทุนในการใช้งานระบบสารสนเทศในองค์กรเพื่อให้เกิดประสิทธิภาพ และประสิทธิผลมากขึ้น

คอยพบกับ SRAN Security Center ใน Version ใหม่นี้ได้เร็วๆ นี้ คิดว่าเป็นประโยชน์ในงานสืบสวนสอบสวน งานตรวจสอบ ดัชนีชี้วัดพฤติกรรมการใช้งานบุคลากรไอซีทีในองค์กร และถือว่าเป็นอุปกรณ์ยาสามัญประจำเครือข่ายที่ทุกที่องค์กรควรมีไว้ใช้งานเป็นอย่างมาก

นนทวรรธนะ สาระมาน
Nontawattana Saraman

10 วิธี รู้ทันภัยคุกคามอินเตอร์เน็ต


เมื่อโลกอินเตอร์เน็ตเข้ามามีบทบาทในชีวิตมากขึ้น ภัยร้ายก็มาเยือนถึงตัวได้แบบไม่เว้นวัน จึงขอนำเสนอเทคนิคป้องกันภัยคุกคามออนไลน์ ที่ใครก็ทำได้ มาให้รับทราบกัน ดังนี้

1. ตั้งสติก่อนเปิดเครื่อง ก่อนเปิดเครื่องคอมพิวเตอร์ ให้รู้ตัวเสมอว่าเราอยู่ที่ไหน – ที่บ้าน ที่ทำงาน หรือที่สาธารณะ – และระมัดระวังการใช้งานคอมพิวเตอร์ ตั้งแต่เริ่มเปิดเครื่อง ดังนี้

  • ก่อน Login เข้าใช้งานคอมพิวเตอร์ ต้องมั่นใจว่าไม่มีใครแอบดู Password ของเราได้
  • เมื่อไม่ได้อยู่หน้าจอคอมพิวเตอร์ ควรล็อคหน้าจอให้อยู่ในสถานะที่ต้องใส่ค่า Login ป้องกันไม่ให้ผู้อื่นเข้าใช้เครื่องคอมพิวเตอร์ของเราได้อย่างสะดวก
  • อย่าประมาทในการใช้งานอินเตอร์เน็ต ตระหนักไว้ว่าข้อมูลความลับและความเป็นส่วนตัวของเราอาจถูกเปิดเผยได้เสมอในโลกออนไลน์ แม้เราจะระมัดระวังมากเพียงใดก็ตาม

2. กำหนด Password ที่ยากแก่การคาดเดา ควรมีความยาวไม่ต่ำกว่า 8 ตัวอักษร และใช้อักขระพิเศษ ไม่ตรงกับความหมายในพจนานุกรม เพื่อทำให้ยากแก่การเดา Password มากขึ้น และการใช้งานอินเตอร์เน็ตทั่วไป เช่น การ Login ระบบ e-mail , ระบบสนทนาออนไลน์ (chat) ระบบเว็บไซต์ที่เราเป็นสมาชิกอยู่ ทางที่ดีควรใช้ password ที่ต่างกันบ้างพอให้จำได้ หรือมีเครื่องมือช่วยจำ password เข้ามาช่วย

3. สังเกตขณะเปิดเครื่อง ว่ามีโปรแกรมไม่พึงประสงค์รันมาพร้อมๆ กับการเปิดเครื่องหรือไม่ ถ้าดูไม่ทัน ให้สังเกตระยะเวลาบูตเครื่อง หากนานผิดปกติ อาจเป็นไปได้ว่าเครื่องคอมพิวเตอร์ติดปัญหาจากไวรัส หรืออื่นๆได้

4. ควรหมั่นตรวจสอบ Patch ทั้งที่เป็น OS ,ซอฟต์แวร์ที่ใช้ควรทันสมัย โดยเฉพาะโปรแกรมป้องกันภัยในเครื่อง และควรใช้ระบบปฏิบัติการและซอฟต์แวร์ที่มีลิขสิทธิ์ถูกต้องตามกฏหมาย นอกจากนี้ควร update อินเตอร์เน็ตบราวเซอร์ ให้ทันสมัยอยู่เสมอ เนื่องจาก Application Software สมัยใหม่มักพึ่งพาอินเตอร์เน็ตบราวเซอร์ ก่อให้เกิดช่องโหว่ใหม่ๆ ให้ภัยคุกคามเจาะผ่านบราวเซอร์ที่เราใช้ และสร้างปัญหาให้เราได้

5. ไม่ลงซอฟต์แวร์มากเกินจำเป็น จนเกินศักยภาพการทำงานของเครื่องคอมพิวเตอร์ ควรยึดหลักทางสายกลาง ไม่มากไปและไม่น้อยไป ซอฟต์แวร์ที่จำเป็นต้องลงในเครื่องคอมพิวเตอร์ ได้แก่

  • อินเตอร์เน็ตบราวเซอร์ เพื่อใช้เปิดเว็บไซต์ต่างๆ
  • E-mail เพื่อใช้รับส่งข้อมูลและติดต่อสื่อสาร
  • โปรแกรมสำหรับงานด้านเอกสาร, โปรแกรมตกแต่งภาพ เสียง วิดีโอ หรือโปรแกรมที่ใช้สำหรับความบันเทิง ควรเลือกลงเฉพาะโปรแกรมที่มีความน่าเชื่อถือ
  • โปรแกรมป้องกันไวรัสคอมพิวเตอร์ ไม่ควรลงหลายตัวเลือกเพียงตัวใดตัวหนึ่งที่เรามีความถนัดและใช้งานได้

หากจำเป็นต้องใช้โปรแกรมอื่น ควรพิจารณาใช้โปรแกรมที่ผ่าน Web Application เช่น Chat, VoIP เป็นต้น หรือบันทึกโปรแกรมลงบน Thumb Drive เพื่อรันจากภายนอกเครื่องคอมพิวเตอร์

ซอฟต์แวร์ที่ไม่ควรมีบนเครื่องคอมพิวเตอร์ที่เราใช้งาน ได้แก่

  • ซอฟต์แวร์ที่ใช้ในการ Crack โปรแกรม
  • ซอฟต์แวร์สำเร็จรูปที่ใช้ในการโจมตีระบบ, เจาะระบบ (Hacking Tools)
  • ซอฟต์แวร์ที่เกี่ยวกับการสแกนข้อมูล ดักรับข้อมูล (Sniffer) และอื่นๆ ที่อยู่ในรูปซอฟต์แวร์สำเร็จรูป ที่ไม่เป็นที่รู้จัก แม้ค้นหาข้อมูลก็ไม่พบรายละเอียด ซึ่งหากเป็นเช่นนี้เราควรระมัดระวังหากจำเป็นต้องใช้ชุดซอฟต์แวร์ดังกล่าว
  • ซอฟต์แวร์ที่ใช้หลบหลีกการป้องกัน เช่น โปรแกรมซ่อน IP address เพื่อป้องกันคนไม่ให้เห็น IP ที่แท้จริงนั้น มักใช้เส้นทางระบบเครือข่ายของอาสาสมัครต่างๆ ซึ่งหนึ่งในนี้อาจเป็นเครื่องของผู้ไม่ประสงค์ดีที่ต้องการดักข้อมูลของผู้ใช้งานบริสุทธิ์ก็ได้

6. ไม่ควรเข้าเว็บไซต์เสี่ยงภัย เว็บไซต์ประเภทนี้ ได้แก่

  • เว็บไซต์ลามกอนาจาร
  • เว็บไซต์การพนัน
  • เว็บไซต์ที่มีหัวเรื่อง “Free” แม้กระทั่ง Free Wi-Fi ที่เราคิดว่าได้เล่นอินเตอร์เน็ตฟรี แต่อาจเป็นแผนของ Hacker ให้เรามาใช้ระบบ Wi-Fi ก็เป็นได้ ให้คิดเสมอว่า “ไม่มีของฟรีในโลก” หากมีการให้ฟรีก็ต้องของต่างตอบแทน เช่น โฆษณาแฝง เป็นต้น
  • เว็บไซต์ที่ให้โหลดโปรแกรม ซึ่งมีการแนบ file พร้อมทำงานในเครื่องคอมพิวเตอร์ ได้แก่ ไฟล์นามสกุล .exe .dll .vbs เป็นต้น
  • เว็บไซต์ที่แจก Serial Number เพื่อใช้ crack โปรแกรม
  • เว็บไซต์ที่ให้ download เครื่องมือในการเจาะระบบ (Hacking Tools)
  • เว็บไซต์ที่เกี่ยวข้องกับยาเสพติด
  • เว็บไซต์ที่มี Link ไม่ตรงกับชื่อ โดย Redirect ไปอีกหน้าเพจหนึ่งที่ชื่อไม่ตรงกับ domain ที่ต้องการใช้งาน
  • เว็บไซต์ที่มีหน้าต่าง pop-up ขึ้นหลายเพจ
  • เว็บไซต์ที่มีชื่อ domain ยาวและมีเครื่องหมายมากเกินปกติ ไม่ใช่ชื่อที่เหมาะแก่การตั้ง เช่น www.abc-xyz-xxx.com มีเครื่องหมาย “–” มากเกินไป
  • เว็บที่ทำตัวเองเป็น Proxy อนุญาตให้เราใช้งานแบบไม่ระบุชื่อ (anonymous) เนื่องจากผู้ใช้ Free proxy มักประมาทและคิดถึงแต่ผลประโยชน์ จนลืมคิดไปว่าการได้ IP Address ปลอม จากการใช้ Anonymous Proxy อาจจะถูกสร้างมาเพื่อดักข้อมูลของเราเสียเองก็ได้

ทั้งหมดที่กล่าวมานั้นเป็นข้อสังเกตเว็บไซต์เสี่ยงภัย หากหลีกเลี่ยงการเข้าเว็บที่มีลักษณะดังกล่าวไม่ได้ ก็ควรตั้งสติ รอบคอบ และระมัดระวังในการใช้งานเว็บไซต์ข้างต้นเป็นพิเศษ

7. สังเกตความปลอดภัยของเว็บไซต์ที่ให้บริการธุรกรรมออนไลน์ เว็บไซต์ e-Commerce ที่ปลอดภัยควรมีลักษณะดังนี้

  • มีการทำ HTTPS เนื่องจาก HTTPS จะมีการเข้ารหัสข้อมูล เพื่อป้องกันการดัก User name และ Password ในเวลาที่เราทำการ Login เข้าใช้บริการ E-commerce
  • มีใบรับรองทางอิเล็กทรอนิกส์ (Certificate Authority : CA) เพื่อช่วยในการยืนยันตัวบุคคลและรักษาความปลอดภัยในการรับส่งข้อมูลผ่านระบบอินเทอร์เน็ตที่ใช้บนเครื่องให้บริการนั้น
  • มีมาตรฐาน (Compliance) รองรับ เช่น ผ่านมาตรฐาน PCI/DSS สำหรับเว็บไซต์ E-commerce เป็นต้น

8. ไม่เปิดเผยข้อมูลส่วนตัว โดยเฉพาะเว็บไซต์ที่เป็น Social Network เช่น Hi5 , Facebook , youtube อื่นๆเป็นต้น ชื่อที่ใช้ควรเป็นชื่อเล่นหรือฉายาที่กลุ่มเพื่อนรู้จัก และไม่ควรเปิดเผยข้อมูลดังต่อไปนี้

  • เลขที่บัตรประชาชน
  • เบอร์โทรศัพท์ส่วนตัว
  • หมายเลขบัตรเครดิต
  • หมายเลขหนังสือเดินทาง
  • ข้อมูลทางการแพทย์
  • ประวัติการทำงาน

หากจำเป็นต้องกรอกข้อมูลดังกล่าว ให้สังเกตว่าเว็บไซต์นั้นน่าเชื่อถือหรือไม่ พิจารณาจากเนื้อหาในเว็บไซต์ที่ควรบ่งบอกความตั้งใจในการให้บริการ และควรเป็นเว็บไซต์ที่รู้จักกันแพร่หลาย เพื่อหลีกเลี่ยงปัญหาถูกดักข้อมูลส่วนตัวจากการสร้างเว็บไซต์หลอกลวง (Phishing) และป้องกันข้อมูลปรากฏในระบบค้นหา (Search Engine) ที่ตนเองไม่ประสงค์จะให้สาธารณชนได้รับรู้

9. ศึกษาถึงข้อกฎหมายเกี่ยวกับการใช้สื่ออินเตอร์เน็ต ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ฯ โดยมีหลักการง่ายๆ ที่จะช่วยให้สังคมออนไลน์สงบสุข คือ ให้คิดถึงใจเขาใจเรา – หากเราไม่ชอบสิ่งใด ก็ไม่ควรทำสิ่งนั้นกับผู้อื่น – เวลาแสดงความคิดเห็นบนกระดานแสดงความคิดเห็น (Web board), การรับส่ง e-mail, หรือการกระทำใดๆ กับข้อมูลบนอินเตอร์เน็ต

10. ไม่หลงเชื่อโดยง่าย อย่าเชื่อในสิ่งที่เห็น และงมงายกับข้อมูลบนอินเตอร์เน็ต ควรหมั่นศึกษาหาความรู้จากเทคโนโลยีอินเตอร์เน็ต และศึกษาข้อมูลให้รอบด้าน ก่อนปักใจเชื่อในสิ่งที่ได้รับรู้

ภัยคุกคามจากการใช้อินเตอร์เน็ตมักเกิดจากพฤติกรรมการใช้งานของเราเอง การมีชุดซอฟต์แวร์ป้องกันในเครื่องมิใช่คำตอบสุดท้ายที่ทำให้เครื่องคอมพิวเตอร์เราปลอดภัยเสมอไป ความปลอดภัยจะเกิดขึ้นได้ล้วนแล้วแต่พึ่งพาสติและความรู้เท่าทันจากตัวของเราเอง 10 วิธีดังกล่าวมา นั้นเป็นคาถาสำหรับนักท่องอินเตอร์เน็ตให้มีความระมัดระวังตัวจากการใช้ข้อมูลมากขึ้น

จำไว้เสมอว่า ความมั่นคงปลอดภัยข้อมูลจะเกิดขึ้นได้ ต้องเริ่มต้นจากตัวเองเสียก่อน หากผู้ใช้งานปลอดภัย ระบบเครือข่ายภายในองค์กรนั้นก็จะปลอดภัย เครือข่ายองค์กรอื่นๆที่มาร่วมใช้งานระบบก็ปลอดภัย เกิดเป็นห่วงโซ่แห่งความปลอดภัย จากระดับเล็กสู่ระดับใหญ่ ไปถึงระดับชาติ ช่วยให้ประเทศของเราปลอดภัยจากการใช้ระบบข้อมูลสารสนเทศได้

นนทวรรธนะ สาระมาน
Nontawattana Saraman

(4/06/52)

ข้อมูล
บทความเพิ่มเติม : ใช้ซอฟต์แวร์อย่างคุ้มค่าและปลอดภัยในการท่องอินเตอร์เน็ต

รอยยิ้มแห่งความหวัง อีกครั้ง

นำภาพถ่ายจากช่างภาพมืออาชีพ ที่ถ่ายรูปชีวิตคนในประเทศจีนก่อนเปิดประเทศ (Humanizing China)

แล้วนำมาประยุกต์ภาพเรียบเรียงใหม่ โดยตั้งชื่อว่า “รอยยิ้มแห่งความหวัง”

เริ่มต้นวันใหม่ กับความหวังใหม่ ..

เราต้องอยู่รอด เพื่อไปถึงเป้าหมาย ที่หวังไว้

บางทีเมื่อเกิดปัญหา ก็ต้องแก้ไขเฉพาะหน้าไปบ้าง ..

บางที อาจท้อแท้ ..

บ่อยครั้งที่เรามีกำลังใจ

มีคำถามว่า แล้วเราต้องการอะไร ?
สิ่งนี้หรือ ?

หรือจะเป็นสิ่งนี้ ?

อาจเป็นความสุข เล็กๆ น้อยๆ

แล้วมันจะขนาดไหน กัน ถึงจะพอ

มันอาจอยู่ไกลแสนไกล เราก็ต้องเดินทางกันต่อไป ถึงแม้เราจะต่างกันในวิธีการเดินทาง เพื่อถึงเป้าหมายที่ตั้งไว้ ก็ตามแต่ …

ถึงลำบาก เราก็ยังยิ้มได้

เพื่อดำเนินชีวิตอยู่ต่อไป .. ถึงแม้ .. ความหวังที่ตั้งเป้าหมายไว้ ยังไม่ทราบว่าเมื่อไหร่จะมาถึง

เป้าหมายที่ตั้งไว้ มันอยู่ ได้ทุกๆที่ เมื่อเรามีรอยยิ้ม

วันนี้คุณยิ้มหรือยัง ? : ) กับ รอยยิ้มแห่งความหวัง

บ้างทีความหวังของชีวิตนั้นมันเปลี่ยนแปลงตามเวลาที่เปลี่ยนไป
สำคัญว่าปัจจุบันสิ่งที่เราทำมันต้องส่งผลที่ดีต่อตัวเรา สังคม และโลกมนุษย์ที่เราดำรงชีพอยู่

Link : http://www.neatorama.com/2007/03/28/humanizing-china-a-series-of-great-photographs/

นนทวรรธนะ สาระมาน
Nontawattana Saraman

เตือนภัยออนไลน์ใกล้ๆตัวคุณ

หนังสือพิมพ์ Telecom Journal โกลบอลเทคโนโลยี อินทิเกรเทด ผู้พัฒนาระบบเฝ้าระวังภัยคุกคาม
วันที่ 21-27 กันยายน 2552