ฝึกอบรมการใช้งาน SRAN ที่มหาวิทยาลัยศิลปกร

 วันที่ 26,27 และ 28 เมษายน 2559 ที่ผ่านมาทางทีมงาน SRAN ได้อบรมการใช้งาน SRAN และ Network Packet Broker ในหลักสูตรระบบเฝ้าระวังและตรวจจับภัยคุกคามเครือขายคอมพิวเตอร์โดยทางมหาวิทยาลัยศิลปกรได้ใช้ SRAN Solution ในการจัดเก็บบันทึกข้อมูลจราจรคอมพิวเตอร์และการเฝ้าระวังภัยคุกคามที่เกิดขึ้นบนระบบเครือข่ายคอมพิวเตอร์ของมหาวิทยาลัย การอบรบมีทั้งส่วนทฤษฎีและภาคปฏิบัติ โดยถือว่าเป็นมหาวิทยาลัยที่ใช้ครบทุกคุณสมบัติ (Feature) ของ Next Generation SRAN Security Center รุ่น NetApprove

ภาพถ่ายรวมกับคณะอาจารย์และผู้ดูแลระบบมหาวิทยาลัยศิลปากรและทีมงาน SRAN นับว่าเป็นภาพแห่งความประทับใจอีกครั้งที่ทีมงาน SRAN ได้ทำอย่างเต็มที่ในโครงการนี้

และกลับมายืนที่เดิมอีกครั้งเมื่อวันที่ 1 สค 59  ขอบคุณจากใจจริง

NetApprove กว่า 2 ปี ที่เป็นจริง

“กว่า 15 ปี SRAN ประสบการณ์ที่กลั่นกรองมาเป็นผลิตภัณฑ์การจัดเก็บบันทึกข้อมูลคอมพิวเตอร์ ที่คุ้มค่าที่สุด สำหรับผู้ใช้งาน” NetApprove เกิดจากการพัฒนาวิจัยอย่างต่อเนื่อง ยาวนานกว่า 2 ปี โดยนำสิ่งที่คิดว่าเป็นประโยชน์สูงสุดสำหรับผู้ใช้งาน บนนิยามว่า “Every thing network logging evident Record and Reporting”   เพราะเราเชื่อว่าการมองเห็นเป็นสิ่งสำคัญ  มันจะทำให้เราประเมินสถานะการณ์ต่างๆได้

                                     ภาพรวมสถานะการณ์ข้อมูลที่เกิดขึ้นบนเครือข่ายองค์กร

บนหน้าจอของ SRAN NetApprove เพียงหน้าเดียวก็ทำให้ทราบถึงเหตุการณ์และสถานะการณ์ปัจจุบันที่เกิดขึ้น ทุกหน้าการแสดงผล กว่า 100 เมนูการแสดงผล ใน SRAN NetApprove สามารถปริ้นเป็นรายงานเพื่อผู้บริหารได้ (Print to PDF Report) รองรับค่าการแสดงผลผ่าน Web GUI และการออกแบบ Responsive Web Design ที่สามารถใช้งานได้ทั้งบนเครื่องคอมพิวเตอร์ และ มือถือ

SRAN NetApprove คือการให้แบบ Full Functional Network Security and Logging Report โดยมีคุณสมบัติ

1. การสำรวจข้อมูลแบบอัตโมมัติเพื่อระบุตัวตนอุปกรณ์บนระบบเครือข่ายคอมพิวเตอร์ (Automatic Identification Device) 
การค้นหาอุปกรณ์บนระบบเครือข่ายอย่างอัตโนมัติ เพื่อระบุตัวตนผู้ใช้งาน โดยไม่ต้องปรับค่าอื่นใดในอุปกรณ์ก็สามารถทำการค้นหาอุปกรณ์ที่อยู่บนระบบเครือข่ายคอมพิวเตอร์ได้
1.1 รายงานการคัดแยกเครื่องที่รู้จัก (Known Device) และ ไม่รู้จัก (Unknown Device) ได้โดยการยืนยัน (Approve) เป็นที่มาของชื่อ “NetApprove” เมื่อทำการยืนยันค่าแล้วหากมีอุปกรณ์แปลกปลอมเข้าสู่ระบบเครื่อข่ายก็สามารถตรวจพบได้ (Rouge Detection)
1.2 รายงาน BYOD (Bring Your Own Device) แสดงค่าอุปกรณ์พกพาที่เข้าสู่เครือข่ายคอมพิวเตอร์ขององค์กรได้โดยแยก Desktop (คอมพิวเตอร์พกพา เช่นโน้ตบุ๊ค) และมือถือ (Mobile) และรู้ว่าใครนำเครื่องพกพามาใช้งานภายในเครือข่ายองค์กร
1.3 รายงานการเก็บบันทึกเป็นค่าอุปกรณ์ (Device Inventory) โดยแยกการเก็บค่าจากอุปกรณ์ (Device) ชื่อผู้ใช้งานจากระบบ Active Directory , จาก Radius ค่าจากการ Authentication  , ค่า IP Address ผู้ใช้งาน , ค่า MAC Address ,  แผนก (Department) , ยี่ห้อรุ่นอุปกรณ์   เป็นต้น
1.4 รายงานการเก็บบันทึกค่าซอฟต์แวร์ (Software Inventory) ที่ใช้ซึ่งในส่วนซอฟต์แวร์จะทำการค้นพบประเภทซอฟต์แวร์ที่ใช้ได้แก่ ซอฟต์แวร์ประเภทเว็บบราวเซอร์ , ซอฟต์แวร์ประเภทมัลติมีเดีย , ซอฟต์แวร์ประเภทใช้งานในออฟฟิศ ซอฟต์แวร์ที่ไม่เหมาะสมเช่นโปรแกรม Bittorrent ก็สามารถตรวจและค้นพบได้
1.5 การวาดรูปความเชื่อมโยงระบบเครือข่าย (Topology)   สร้างภาพเสมือนบนระบบเครือข่ายเป็น Network topology แบบ link chart ในการติดต่อสื่อสาร   (Interconnection)
1.6 การสำรวจเครื่องที่มีโอกาสเปลี่ยนค่า Leak path เชื่อมต่อกับ gateway อื่นที่ไม่ใช่ขององค์กร 

ภาพการแสดงผลการเชื่อมต่อข้อมูลบนระบบเครือข่าย

2. การวิเคราะห์และเทคโนโลยีในการตรวจจับความผิดปกติข้อมูล (Detect and Analyzer) ประกอบด้วย
2.1  Attack Detection รายงานการตรวจจับการโจมตี ที่เป็นพฤติกรรมที่ชัดเจนว่าทำการโจมตีระบบ ได้แก่การ Brute Force รหัสผ่านที่เกิดขึ้นบนตัวอุปกรณ์ และเครื่องแม่ข่ายที่สำคัญ เช่น Active Directory , Web Server , Mail Server เป็นต้น อีกทั้งยังสามารถตรวจพบการโจมตีโดยการยิง Exploit เข้าสู่เครื่องแม่ข่ายที่สำคัญ เป็นต้น
2.2 Malware/Virus Detection รายงานการตรวจจับมัลแวร์ /ไวรัสคอมพิวเตอร์ที่เกิดขึ้นบนระบบเครือข่าย สามารถทำการตรวจจับได้โดยไม่ต้องอาศัยการลงซอฟต์แวร์ที่เครื่องลูกข่าย (Client) แต่ทำการตรวจผ่านการรับส่งค่าที่เกิดขึ้นบนระบบเครือข่ายคอมพิวเตอร์
2.3 Botnet Detection  รายงานการตรวจบอทเน็ตภายในองค์กร และการโจมตีบอทเน็ตเข้าสู่ระบบเครือข่ายคอมพิวเตอร์ภายในองค์กร
2.4 Behavior Data Leak Detection รายงานการตรวจจับพฤติกรรมของพนักงานที่มีโอกาสสุ่มเสี่ยงในการลักลอบข้อมูลออกนอกบริษัท
2.5 Bittorrent Detection  รายงานการตรวจจับการใช้งานโปรแกรมดาวโหลดไฟล์ขนาดใหญ่ที่ส่งผลกระทบต่อการใช้งานภายรวมภายในองค์กร
2.6 Anomaly Detection รายงานการตรวจจับภัยคุกคามที่มีความผิดปกติในการติดต่อสื่อสาร
2.7 Tor/Proxy Detection รายงานการตรวจจับซอฟต์แวร์ประเภทอำพรางการสื่อสารเพื่อใช้หลบเลี่ยงการตรวจจับข้อมูลภายในระบบเครือข่ายคอมพิวเตอร์
2.8 HTTP / SSL Analyzer รายงานการตรวจวิเคราะห์การใช้งานเว็บไซต์พร้อมจัดทำสถิติการใช้งานอินเทอร์เน็ตภายในองค์กร
2.9 APT (Advanced Persistent Threat) Detection  รายงานการตรวจพฤติกรรมที่มีโอกาสเป็นภัยคุกคามประเภท APT และมีความเสี่ยงต่อองค์กร

 รายงานผลการใช้งานอินเทอร์เน็ตภายในองค์กร

3. การวิเคราะห์ข้อมูลจาก Log  (Log Analytic)

3.1 Threat event correlation รายงานการวิเคราะห์ข้อมูลจากการรวบรวมเหตุการณ์ภัยคุกคามที่เกิดขึ้นภายในระบบเครือข่ายคอมพิวเตอร์องค์กร
3.2 Risk score รายงานการวิเคราะห์ความเสี่ยงเพื่อสร้างเป็นดัชนีชี้วัด (Indicator of Compromise) ภัยคุกคามภายในองค์กร
3.3 Risk Analyzer (High , Medium , Low) รายงานการวิเคราะห์ระดับเหตุการณ์ความเสี่ยงระดับสูง ความเสี่ยงระดับกลางและความเสี่ยงระดับต่ำ เพื่อแสดงค่าและการจัดทำรายงาน
3.4 Executive summary (Hour , Daily , Monthly) รายงานการจัดสรุปสถานะการณ์ทั้งหมดให้ระดับผู้บริหารองค์กร โดยกำหนดได้ที่เป็นรายชั่วโมง รายวัน และรายเดือน
3.5 Thai Cyber Law Act รายงานความเสี่ยงที่มีโอกาสเข้าข่ายตามมาตราฐานความผิดเกี่ยวกับการใช้งานคอมพิวเตอร์ภายในองค์กร โดยแยกแยะตามมาตรา 5,6,7,8,9,10 และ 11 ซึ่งเป็นจุดเด่นสำคัญที่มีความแตกต่างกับสินค้าอื่นและช่วยให้ออกรายงานสำหรับผู้บริหารได้อย่างครบถ้วน

รายงานความเสี่ยงที่เกิดขึ้นภายในองค์กรที่สามารถออกรายงานได้ รายชั่วโมง รายวัน และรายเดือน

4. การเฝ้าติดตามปริมาณการใช้งานข้อมูลภายในองค์กร (Bandwidth Monitoring)
4.1 Country / City monitoring (In-out organization) รายงานผลการเฝ้าติดตามปริมาณการใช้งานข้อมูลระดับประเทศ ระดับเมือง ที่ส่งข้อมูลเข้าในองค์กรเรา และที่องค์กรของเราติดต่อไปยังโลกภายนอก
เป็นการตรวจสอบข้อมูลวิ่งเข้าสู่องค์กร (Incoming data) และข้อมูลที่ถูกนำออกนอกองค์กร (Out going data) โดยผ่านเทคโนโลยี GeoData

ภาพ SRAN ได้นำเทคโนโลยี GeoData เข้ามาเพื่อแสดงผลเหมาะสำหรับการเฝ้าระวังผ่านห้อง War room เพื่อประเมินสถานะการณ์ที่เกิดขึ้นภายในองค์กร

4.2 Protocol and Service Bandwidth monitor จะสามารถคำนวณค่าปริมาณ Bandwidth ที่เกิดขึ้นบนระบบเครือข่ายได้โดยแยก Protocol TCP, UDP,ICMP และ Service ตาม well know port service จะทำให้ทราบถึงปริมาณการใช้งานข้อมูลได้อย่างละเอียดและประเมินสถานการณ์ได้อย่างแม่นยำ
4.3 Application Monitoring (Software bandwidth usage) รายงานการใช้แอพลิเคชั่นและปริมาณการใช้ข้อมูลภายในองค์กรกว่า 1,000 ชนิด ได้แก่ SAP , ERP , Orcal , Skyp, Microsoft และ Enterprise แอพลิเคชั่น  SRAN รู้จักทำการเฝ้าติดตามและรายงานผ่านหน้าจอเพื่อดูปริมาณการใช้งานที่มีผลกระทบต่อองค์กร
4.4 Social Network Monitoring (Facebook , Line ,Youtube , Google Video , Twitter , Pantip) รายงานการใช้งานเครือข่ายสังคมออนไลน์เพื่อให้รู้ถึงปริมาณข้อมูลที่ใช้ภายในองค์กร ได้แก่ Facebook , Line , Youtube , Google Video , Twitter และ Pantip  ทำให้ผู้บริหารองค์กรสามารถทราบความเคลื่อนไหวและการใช้ปริมาณข้อมูลภายในองค์กร

ภาพ Facebook Monitoring ทำให้ทราบถึงการใช้ปริมาณการใช้งานข้อมูลเครือข่ายสังคมออนไลน์

4.5  User Monitoring  รายงานและจัดอันดับการใช้งาน Bandwidth ภายในองค์กร โดยจะเห็นรายชื่อผู้ใช้จากคุณสมบัติข้อ 1 ทำให้เราทราบถึงชื่อผู้ใช้งานและค่า Bandwidth ที่สูงสุดและทำเป็นรายงานผลได้เป็นรายชั่วโมง รายวัน และรายเดือน

 รายงานปริมาณการใช้งาน Bandwidth ภายในองค์กร


5. การค้นหาข้อมูลในเชิงลึก (Deep Search)
5.1 การพิสูจน์หลักฐานทางข้อมูลสารสนเทศ (Network Forensic Evident data) ค้นหาเหตุการณ์ที่เกิดขึ้น แบ่งตามเนื้อหา (content search)  ดังนี้  Web Access ,  Files Access , Network connection , SSL , Mail , Data Base , Syslog , VoIP , Remote Desktop , Radius  และ Active Directory  เหล่านี้สามารถค้นหา RAW Log ที่เกิดขึ้นได้ ทั้งแบบปัจจุบัน และ ย้อนหลังตามกฎหมาย
5.2  การค้นหาข้อมูลเชิงลึกสำหรับผู้บริหารและทรัพยากรบุคคล (HR /Top Manager query sensitivity data)  การค้นหาเชิงลึกสำหรับผู้บริหารระดับสูง ที่ระบุถึงพฤติกรรมการใช้งานและการสื่อสารผ่านระบบอินเทอร์เน็ตและเครือข่ายคอมพิวเตอร์ภายในองค์กร
5.3 การค้นหารวดเร็ว และสามารถใช้เงื่อนไขในการค้นหา เช่น  AND OR NOT เข้ามาเกี่ยวข้องเพื่อให้การค้นเป็นไปอย่างมีประสิทธิภาพที่สุด


6. การบริหารจัดการค่าการประเมินความเสี่ยง (Vulnerability Management) 
6.1 Passive Vulnerability scanner : เป็นการทำงานต่อเนื่องเพื่อตรวจสอบและประเมินความเสี่ยงโดยทำการตรวจสอบจากค่า CVE (Common Vulnerabilities and Exposures)  การค่า SSL Heartbleed Poodle, Shellsock ที่พบเครื่องแม่ข่ายและลูกข่ายภายในองค์กรที่มีโอกาสเกิดความเสี่ยงจากช่องโหว่นี้, การตรวจสอบการรับใบ Certification ที่ไม่ถูกต้อง ที่อาจตกเป็นเหยื่อการทำ MITM (Man in The Middle Attack) การตรวจสอบการรับใบ Certification ที่หมดอายุ expired date SSL certification) การตรวจสอบการรับส่งไฟล์ขนาดใหญ่ที่เกิดขึ้นในองค์กร , การตรวจสอบ backdoor และการสื่อสารที่ผิดวิธีจากมาตรฐาน และทำการแจ้งเตือนผ่าน Incident response notices
6.2 Active Vulnerability scanner : การตรวจสอบโดยตั้งค่า ตรวจสอบความปลอดภัยให้กับเครื่องแม่ข่ายที่ใช้ทำเป็น Active Directory การตรวจสอบรายชื่อผู้ใช้งาน ค่าความปลอดภัย รวมถึงการตรวจสอบเครื่องที่มีโอกาสติดเชื้อและมีช่องโหว่ตาม CVE
6.3 IPv6 checklist : การตรวจสอบค่า IPv6 โดยทำการส่งค่าตรวจสอบแบบ Broadcast เพื่อสำรวจเครือข่ายว่าอุปกรณ์ไหนที่รองรับค่า IPv6 และจัดทำรายงานการสำรวจ 

7. การเก็บบันทึกข้อมูลจราจรคอมพิวเตอร์และดูย้อนหลัง (Log Record and Archive)
7.1 การเก็บบันทึกข้อมูลแบบ Raw full data การเก็บข้อมูลที่เป็นประโยชน์ในการสืบสวนสอบสวนและการหาผู้กระทำความผิด ด้วยการเก็บบันทึกที่สามารถทำได้แบบ Hybrid ซึ่ง SRAN เป็นต้นฉบับของการทำวิธีนี้ คือการรับข้อมูลจราจรคอมพิวเตอร์แบบ Passive mode และ รับค่าจากอุปกรณ์อื่นได้ 
7.2 รองรับค่า Log จาก  AD (Active Directory) , Router / Firewall / VPN ,Mail Server (Support Exchange , Lotus note) , DHCP , DNS, SNMP , Radius Wi-Fi Controller และทำการแยกแยะค่าการเก็บ Log โดยแบ่งเป็นหมวดให้ได้โดยอัตโนมัติ
7.3 รองรับ SCP , sFTP และการ mount files log จากเครื่องอื่นมาเก็บแบบรวมศูนย์ (Centralization Log) และมีความสามารถใน Export Data ออกเพื่อใช้ในการพิสูจน์หาหลักฐาน การ Export ข้อมูลเรียงตามชั่วโมง วันและเดือนปี
7.4 การเก็บบันทึกข้อมูลสามารถเก็บได้ยาวนายกว่า 90 วันตามกฎหมายกำหนด มีซอฟต์แวร์ SRAN Logger Module รวมอยู่ในอุปกรณ์  ผ่านมาตรฐาน   NECTEC มศอ.๔๐๐๓.๑ – ๒๕๕๒ (NECTEC STANDARD NTS 4003.1-2552) ระบบเก็บบันทึกข้อมูลจราจร ตาม พ.ร.บ. ว่าด้วยการกระทำผิดเกี่ยวกับคอมพิวเตอร์ ปี 2550  
7.5 การเก็บบันทึกข้อมูลมีการยืนยันความถูกต้องข้อมูล Integrity hashing confidential files

ภาพการเก็บบันทึกข้อมูลจาก Syslog มีการทำ File integrity เพื่อยืนยันความถูกต้องข้อมูล ผู้ที่เข้าถึงไฟล์ได้ต้องเป็นระดับ Data Keeper ที่องค์กรได้มอบหมายรับผิดชอบในส่วนนี้
8. การเก็บบันทึกค่าสำหรับให้ IT Audit ในการตรวจสอบข้อมูลและใช้เป็นหลักฐาน (Log Audit)
8.1  การเก็บบันทึกค่า Active Directory Login active / Login fail
8.2 การเก็บบันทึกค่า SSH Login active / Login fail
*8.3 การเก็บบันทึกค่า Active Directory user security check ตาม AAA Authentication เพื่อตรวจสอบรายชื่อพนักงาน รหัสผ่านที่ยังไม่ได้ทำการแก้ไข และอายุระยะเวลาของรายชื่อ (Account) , Authorization สิทธิในการเข้าถึงข้อมูล  
 

รายงานการ Login ผิดพลาดที่เกิดขึ้นจากการใช้

9. การวิเคราะห์ไฟล์ที่ติดเชื้อจากการติดต่อสื่อสารบนระบบเครือข่ายคอมพิวเตอร์ (Malware Analytic)

9.1 Files Integrity monitoring การตรวจสอบค่าความถูกต้องจากการสื่อสาร โดยสามารถมองเห็นประเภทของไฟล์ที่เกิดขึ้นบนระบบเครือข่าย  ไฟล์ประเภทเอกสาร (pdf,doc,docx,xls ,ppt เป็นต้น) , ไฟล์ประเภทมัลติมีเดีย (mp3,mp4 เป็นต้น) , ไฟล์ประเภทบีบอัดข้อมูล (zip , rar เป็นต้น) , ไฟล์ประเภททำงานได้ในตัว (exe ,dll เป็นต้น), ไฟล์เกี่ยวกับภาพ (jpg,png,gif เป็นต้น)

*9.2  นำค่าการตรวจพบในข้อ 9.1 เข้ามาทำการวิเคราะห์เพื่อหามัลแวร์  (Malware Analytic file with virustotal) โดยใช้การตรวจสอบไฟล์ผ่านโปรแกรมแอนตี้ไวรัสกว่า 50 ชนิด ผ่าน API Virustotal

10. การป้องกันภัยคุกคามที่เกิดขึ้นจากการใช้งานอินเทอร์เน็ต (Internet Protection)

10.1 Passive internet blocking ทำงานอย่างต่อเนื่องและตรวจจากการ Query ข้อมูลผ่านระบบเครือข่าย

10.2 Blacklist blocking การป้องกันภัยคุกคามจากค่าบัญชีดำ (Blacklist)

ทั้ง 10 ข้อที่กล่าวมาบรรจุลงบนเครื่อง SRAN Appliance ที่พร้อมใช้งาน
สามารถติดตั้งและเห็นผลภายใน 5 นาที   ไม่จำเป็นต้องใช้ผู้เชี่ยวชาญก็สามารถติดตั้งได้ และเมื่อใช้อุปกรณ์ SRAN NetApprove ก็เปรียบเสมือนกับมีผู้เชี่ยวชาญระดับมืออาชีพทำงานให้เรา ทำงานรายงานผล สรุปให้ผู้บริหาร เฝ้าระวังและคุ้มครองให้องค์กรและหน่วยงานเรามีความมั่นคงและปลอดภัยทางข้อมูล 24 x 7  โดยไม่มีวันเหนื่อยล้า

หมายเหตุ ค่า * คือเป็น Feature ที่ทดลองใช้งานจริง

Nontawattana  Saraman
นนทวรรธนะ  สาระมาน

SRAN Dev Team
10/3/58

แนวโน้มเทคโนโลยีในอนาคต ปี 2559 จากทัศนะของเข้าพเจ้า

ในยุคที่อินเทอร์เน็ตกลายเป็นส่วนหนึ่งของชีวิต
มือถือที่ทำหน้าที่เอนกประสงค์ เช่น โทรศัพท์ บันเทิง แสดงความคิด ความรู้สึก การรับรู้ข่าวสาร จนทำบางสิ่งบางอย่างได้เปลี่ยนไป เช่น หนังสือพิมพ์ เริ่มกลายเป็นของโบราณ และมีแนวโน้มที่จะทำรายได้ไม่เหมือนก่อน เพราะสามารถอ่านได้บนอินเทอร์เน็ตมีทั้งภาพและเสียง แม้แต่ทีวียังลำบาก เพราะอินเทอร์เน็ตจะดูเมื่อไหร่ ย้อนหลังเท่าไหร่ ปีไหนก็ได้ ทีวีอาจไม่มีความหมาย ในเมื่อคนยุคใหม่ดูแต่มือถือ ที่เรียกได้ว่า “สังคมก้มหน้า”

ข้อมูลข่าวสาร ที่ปะทะเราโดยตรงมีทั้งแบบมองเห็นและที่มองไม่เห็นคือข้อมูลที่ส่งผ่านอุปกรณ์มือถือของเราไปสู่ระบบอินเทอร์เน็ตนั้นมีการเกิดขึ้นตลอดเวลา  เมื่ออุปกรณ์นั้นได้ทำการเปิดการเชื่อมต่อระบบเครือข่าย ข้อมูลที่เรามองเห็น เช่น ข้อความ ที่เขียนในเครือข่ายสังคมออนไลน์ (Social Network) การส่งภาพ การแชร์ข้อมูล การคลิก Like ชอบ

และที่เราไม่ได้สังเกต มันทำงานอยู่หลังฉากเสมือนเงาติดตามตัวเรา เป็นสิ่งที่คนเรามองไม่เห็นซึ่งในทางเทคนิคนั้นข้อมูลการตรวจสอบทั้งผู้ให้บริการเครือข่ายเอง เช่น ค่า Protocol ค่าระบบเครือข่าย มีทั้งค่า IP Address ต้นทาง ปลายทาง Port Service ที่เกิดขึ้น การ Query DNS (Domain Name System) และอื่นๆ ที่พอเหมาะสมกับการสื่อสารนั้น ซึ่งมีมากกว่านี้มาก การตรวจสอบของระบบปฏิบัติการ (Android , iOS , windows) กว่าหมื่นล้านเครื่องที่บรรจุระบบปฏิบัติเหล่านี้ลงไป จะมีการตรวจสอบและการปรับปรุงผ่านเครือข่ายอินเทอร์เน็ต อยู่ตลอดเวลายามเมื่อเราเผลอ
นี้ยังไม่รวม Application ที่เราชอบโหลดชอบลงกัน  มี 10 App ก็ตรวจ 10 App
พวกนี้ก็ตรวจสอบและปรับปรุงผ่านเครือข่ายอินเทอร์เน็ต อย่างต่อเนื่อง  แม้แบบที่เราไม่เต็มใจก็ตาม ก็ยังมีอัพเดทส่งค่าไปแจ้งที่ส่วนกลาง บนก้อนเมฆแห่งข้อมูล (Cloud)  ซึ่งไม่ค่อยสนุกเลยถ้ารู้ความจริงว่าข้อมูลใดบ้างที่หลุดไป  (คนที่เคยทำงานพวก Log Analysis  และอ่าน Log ดิบเป็นจะรู้ดี)

ผมขออธิบายแนวโน้มดังนี้

1. คนไม่มีตัวตน ไม่มีสิทธิ  

ผมมองว่า เรื่องการระบุตัวตนผู้ใช้งานอินเทอร์เน็ต (Identity) ที่เราคุ้นเคยคือผ่าน E-mail จะถูกผูกขาด กับชาติมหาอำนาจอย่างมาก เราจำเป็นต้องใช้ E-mail  เพื่อพิสูจน์การใช้สิทธิเข้าถึงข้อมูลต่างๆ ในหลายรูป และมีนโยบายของผู้ให้บริการ (Content Provider) ต้องการให้เราบอกมากว่า E-mail เช่น เบอร์โทรศัพท์ โดยอ้างถึงความปลอดภัย  สำหรับ Application ที่ใช้อยู่จำเป็นต้องยืนยันตัวตน เช่น Facebook เราถูกบังคับให้ตรวจสอบย้อนกลับได้ มันเป็นการ Identity ประชากรอินเทอร์เน็ตโลกทีเดียว
ตัวอย่างที่เห็นได้ชัดคือมือถือของเราเมื่อซื้อเครื่องสิ่งแรกที่คุณต้องกรอกข้อมูลคือ e-mail  เพื่อที่ใช้งานได้ต่อทั้งโหลด app ต่างๆ และการยืนยันการเข้าถึงข้อมูลของ App ที่เราสนใจ

ต่อไปคนไม่มีตัวตน ที่ไม่ใช่ กลุ่ม Anonymous  ก็คือคนที่ระมัดระวังตัวสุดๆในโลกอินเทอร์เน็ต ที่เข้าใจกันติดต่อสื่อสารมากพอควร ซึ่งคนกลุ่มนี้มีหลายประเภท เช่น ผู้รู้ทางเทคนิค , คนที่ต่อต้านรัฐบาล , นักค้าอาวุธ , ค้ายาเสพติด , กลุ่มคนกระทำความผิดต่อกฎหมาย และกลุ่มก่อการร้าย เป็นต้น พวกนี้ใช้วิธีการอำพรางการสื่อสารแน่นอนเพื่อไม่ให้ตรวจหาเส้นทางการสื่อสาร ค่าไอพีแอดเดรส IP Address ของตนเองอำพรางการ Login บน Social Network ที่ไม่สามารถระบุได้ว่าเป็นใคร หรือหาความสัมพันธ์เชื่อมกับบุคคลอื่นได้ยาก หรือทำให้เกิดการสับสน ของข้อมูลเพื่อไม่ให้สืบถึงตัวได้ว่าเป็นใคร เป็นต้น

และ อีกพวก คือคนที่เข้าไม่ถึง เช่น คนยากไร้ และยังขาดการเข้าถึงการใช้งานอินเทอร์เน็ต ซึ่งปัจจุบันยังมีจำนวนอีกมากที่ยังไม่ได้เข้าถึงโลกแห่งนี้ ผมจะไม่ขอกล่าวถึง
เอาเป็นว่า คนไม่มีตัวตน ไม่มีสิทธิ นี้คือคนที่เข้าสู่โลกอินเทอร์เน็ตแล้ว อย่างน้อยที่สุดมี E-mail เป็นของตนเอง

การระบุตัวตน (Identity) ไม่ได้หมายถึงแค่ คือ ใคร (Who)  แต่รู้ถึงการกระทำ ประวัติการใช้งาน  พฤติกรรมที่ใช้งาน  ภาพถ่าย คลิป ทั้งภาพและเสียง อื่นๆ Timeline ตั้งแต่คุณเริ่มแรกที่เข้าสู่อินเทอร์เน็ตจนถึงปัจจุบันที่คุณทำ    มันจะทำงานทุกครั้งเมื่ออุปกรณ์สื่อสารของคุณติดต่อออกสู่โลกภายนอก บนก้อนเมฆแห่งข้อมูล (Cloud ซึ่งส่่วนใหญ่ไม่ได้อยู่ในประเทศไทย)   อ่านแล้วอย่าพึ่งกลัวจนเกินไป แต่จงใช้อุปกรณ์ที่อยู่ข้างกายคุณให้เป็นและคุณเป็นผู้ใช้งานปกติก็ยิ่งไม่ต้องกลัว สิ่งที่จะถูกเฝ้าติดตาม (Monitor) ได้ ก็เพราะกลุ่มคน หรือบุคคลที่เป็นเป้าหมายของมหาอำนาจเท่านั้น

ปัจจุบันมีความพยายามของ Application ที่ติดตลาดแล้ว ทำการบังคับให้ Login ก่อนใช้งาน หากสังเกตดูง่ายๆ ทำไมเขาถึงต้องบังคับเรา เพียงแค่เรา Login เข้าไป  มีข้อมูลอีกมากมายที่ทำให้ รู้และระบุตัวตนเราได้ ถึงแม้ E-mail ที่สมัครนั้นแทบไม่โยงความเป็นตัวตนของเราเลย  สิ่งที่กล่าวมาไม่ได้มาลอยๆ แต่ภาพสะท้อนการแฉข้อมูลระดับโลก อย่าง เอ็ดเวิร์ด สโนว์เดน ก็ออกมากล่าวถึง NSA ที่อยู่เบื้องหลัง หากใครสนใจลองดูหนังสารคดีเรื่อง Citizenfour  ดู แต่เมื่อดูหนังสารคดีเรื่องนี้แล้วก็อย่าพึ่งตัดสินใจเชื่อ ก็ให้ใช้หลัก “กาลามสูตร” ด้วยมิใช่เชื่อทุกอย่างที่เห็น 
เพราะเหล่านี้ล้วนเป็นเกมส์ระหว่างประเทศและกลุ่มทุนเอกชนขนาดใหญ่ ย่อมต้องการให้ตนเองได้เปรียบคนอื่น

สรุปในอนาคตอันใกล้จะมีการระบุตัวตนผู้ใช้งานอินเทอร์เน็ต  ซึ่งเป็นประโยชน์ในหลายส่วน แต่ส่วนหนึ่งที่อาจสูญเสียไปก็คือความเป็นส่วนตัว (Privacy) 

2. ด้วย Big Data  จะทำให้รู้จักคุณ มากกว่า คุณรู้จักตัวเอง

ข้อนี้เป็นข้อขยายความต่อจากข้อ 1 ที่เขียนด้านบน รถยนต์ของเราบอกเส้นทางได้ แถมยังบอกได้ว่าเส้นทางไหนมีรถหนาแน่น ให้หลีกเลี่ยง (ปัจจุบันก็เป็นอยู่จาก Google Map และลงไปมากกว่าเส้นทางรถติดที่ขึ้นสีแดง คือสามารถบอกร้านอาหารไหนที่มีคนเข้าร้านหนาแน่มาก พวกนี้เกิดจากการประมวลผลผ่าน Big data ที่ได้แรงสนับสนุนจากประชาชนคนไทยที่พร้อมใช้เปิดเครื่องมือสื่อสาร ที่แชร์แบบตั้งใจ และ โดนส่งข้อมูลออกแบบที่ไม่รู้ตัว เพราะระบบปฏิบัติการ OS มือถือ Android ของ Google ส่วน App แผนที่ ก็ Google map ก็จะให้ไม่รู้ได้อย่างไง ปิดตรงไหนจะไม่ได้รั่วบ้าง ?)

เมื่อ Application บนสมาร์ทโฟน ที่บรรจุในมือถือ แต่กับแปลงร่างย่อยส่วนไปอยู่ในอุปกรณ์ (Device) ต่างๆ เช่น นาฬิกา ,  ข้อมือเพื่อสุขภาพ ตรวจวัดระดับของความดันโลหิต ชีพจร อัตราการเต้นของหัวใจ อันจะประมวลผลจากก้อนเมฆแห่งข้อมูล (Cloud) เพื่อส่งรายงานต่อผู้ใช้โดยตรงว่า สุขภาพของท่านเป็นเช่นไร ?  เมื่อ sensor ไร้สายติดตั้งในรถยนต์ ที่สามารถบ่งบอกได้ว่า ยางรถของคุณได้เวลาเปลี่ยน พร้อมมีความ สึกหรอ ไปมากเพียงใดแล้ว หลอดไฟหน้าซ้าย เริ่มมีระดับแสงสว่างที่น้อยเกินกว่าความปลอดภัย จะถูกส่งเตือนเข้าอุปกรณ์มือถือของเรา  ให้เราทราบถึงการซ่อมบำรุงที่มีประสิทธิภาพ กับผู้ให้บริการที่มีพันธิมิตรมากกว่าเก่า (ที่อย่างน้อยต้องมีโปรแกรมเมอร์ช่วยสร้าง App) เพราะเวลานั้นมีค่าสำหรับทุกคน ดังนั้นการซ่อมแซมที่มีประสิทธิภาพ จะมาพร้อมกับการแจ้งเตือนเข้าสู่ตัวคุณ โดยที่ไม่ต้องรอ
คุณหมอ และ ช่างซ่อม มีส่วนหนึ่งที่ทำให้การบริการเป็นเลิศ เพราะคุณคือ “Individual”  บริการนี้เจาะจงเพื่อคุณคนเดียว

Individual Services จะทำให้คุณแปลกใจว่าทำไมสินค้าและบริการที่เข้ามาเสนอขายคุณตรงผ่านช่องออนไลน์ ช่างเข้าใจอุปนิสัยใจคอของคุณมากกว่าคนใกล้ตัวคุณเสียอีก
 Individual Services ยังทำให้คุณเหมือนเป็นคนพิเศษและตกลงปลงใจที่เลือกสินค้าและบริการได้อย่างรวดเร็ว ที่ทำอย่างงี้ได้ก็เพราะยุคนี้เท่านั้นแหละก้อนเมฆแห่งข้อมูล (Cloud) ที่มีคลังข้อมูลขนาดใหญ่ (Big Data) มันทำให้แยกแยะข้อมูล ประมวลผลและจัดการให้ผลลัพธ์ดีที่สุดสำหรับผู้ให้บริการที่เรียกว่า “Content Provider” อย่าแปลกใจหลายประเทศก็รู้ทันว่าทำอย่างไร แต่ไม่ทันการที่มหาอำนาจก้าวไปไกลเกินกว่าจะตามทัน  จนต้องอุทานไปว่า “ช่าง..่งมัน”  เลยจำใจต้องจ้าง Hackers มืออาชีพเพื่อทำการล้วงใส้ หรือที่เป็นที่นิยมอย่างมากคือซื้อข้อมูลผ่านเส้นทางสายไหมแห่งยุคไซเบอร์ (Silk Road : Marketplace ) ผ่าน Deepweb ตลาดมืดที่มีทั้งองค์กรสนับสนุน และกลุ่มที่ซ่อนตัวใต้ภูเขาน้ำแข็งที่ลึกกว่าตามองเห็น

เครือข่ายสังคมออนไลน์ ที่เก็บประวัติของคุณตั้งแต่เด็กพึ่งหัดเดิน ได้เข้าสู่ปฐมวัย และก้าวสู่วัยรุ่น Timeline เหล่านี้ไม่เคยหายไปไหน แต่ยังไปเก็บที่ก้อนเมฆแห่งข้อมูล (Cloud สักที่ ที่ไม่ใช่ประเทศไทย)  สายลัดข้อมือและมือถือ ที่ส่งข้อมูล อัตราการเต้นของหัวใจ ข้อมูลด้านสุขภาพที่เราตั้งใจกรอก เพื่อได้ผลลัพธ์ที่ดีที่สุดสำหรับตัวเอง ทุกข้อมูล Profile ที่กรอกข้อมูลเต็มที่เพื่อ ที่ใช้ประโยชน์กับเพื่อนเก่าๆ ที่หายไปนาน ทุกอารมณ์ความรู้สึก  ทุกข้อความ ทั้งที่เผยแพร่ (public) และ ลบออกไปไม่เสนอสาธารณะ ยังคงอยู่  และพร้อมใช้งานเมื่อมีคนต้องการสืบค้น ประเมินพฤติกรรม ของบุคคลนั้น นิสัยใจคอ อารมณ์ความรู้สึก วุฒิการศึกษา สถานที่อยู่อาศัย เครือข่ายกลุ่มเพื่อนในชีวิตของเขา สุขภาพของเขา ซึ่งเหล่านี้คือฝันที่เป็นจริงของหน่วยงานด้านความมั่นคง (ที่ไม่ใช่ประเทศไทย)

สรุป Big Data  ข้อมูลการสื่อสารจากอุปกรณ์มือถือของเราคอมพิวเตอร์ของเรา ผ่านระบบเครือข่ายของเรา และของคนอื่นที่กระจายอยู่ทั่วโลกนั้น ด้วยเทคนิค CDN (Content Derivery Network) มันถูกเชื่อมเข้าสู่ส่วนกลาง ที่เต็มไปด้วยข้อมูล และเต็มไปด้วยเรื่องราวจากอดีตจนถึงปัจจุบัน มันทำให้รู้เรื่องของเรา มากกว่าเรารู้เรื่องของตนเอง  เพราะคนเรานั้นมีโอกาสที่จะลืม แต่ก้อนเมฆแห่งข้อมูล (Cloud) ความเสถียรระดับหากโลกไม่ดับสูญ ยังทำงานอยู่ คลังข้อมูล (Big data) ถูกย่อยและจัดเก็บบน Storage ที่ใหญ่พอเก็บข้อมูลคนทั้งโลกได้  เดินหน้าต่อ และพร้อมขยายตัวแบบไร้ขอบเขต
เป็น “Eye in the sky” สำหรับใคร ? ที่ต้องการเข้าถึงข้อมูล ?  เรื่องนี้ให้ท่านผู้อ่านวิเคราะห์เอาเอง

3. IoT เปลี่ยนชีวิต
  
IoT (Internet of Things)  ต่อจากข้อ 2  แต่ว่าด้วยการเป็นอุปกรณ์ ที่จะอยู่รอบๆ ตัวเรา  จะส่งข้อมูลได้ ไม่ว่าเป็น ทีวี (ปัจจุบันเป็นแล้ว )  , มิเตอร์ไฟฟ้า,ประปา  ตู้เย็น หลอดไฟ  เสาให้สัญญาณไฟ ก็เป็น รวมถึง ชิ้นส่วนเล็กๆ บนรถยนต์  ในอนาคตอันใกล้มีโอกาสเห็นรถยนต์ไร้คนขับ
อุปกรณ์ IoT ดังกล่าวจะทำการ Convergence ผ่าน Infrastructure ของระบบเครือข่ายได้แก่ ระบบเครือข่ายภายใน (LAN)  ระบบเครือข่ายภายนอกเพื่อเชื่อมต่อินเทอร์เน็ต  ส่งข้อมูลไปยัง  Cloud Computer ที่มี Big Data อยู่  ซึ่งจะเชื่อมโยงกันแทนที่สิ่งของเดิมที่เราใช้งาน

IoT  อุปกรณ์จะทำให้มีการเปลี่ยนแปลงการใช้ชีวิต จนถึงขั้นที่ไม่เชื่อว่าจะเป็นไปได้  เมื่อทุกอุปกรณ์ในอนาคตจะมีการเชื่อมต่ออินเทอร์เน็ต (มีค่าไอพีแอดเดรส คิดว่าถึงเวลานั้นคงเป็น IPv6 กันหมด)

สัญญาณนี้มาตั้งแต่ 2 ปีแล้วแต่จะเห็นชัดขึ้นเรื่อยๆ  เนื่องมาจาก ทุุกคนมีสมาร์ทโฟน สะท้อนตามจำนวนประชากรที่มีโทรศัพท์มือถือ และผู้ที่มีก็มีการเชื่อมต่อข้อูลผ่านโครงข่าย  3G และ 4G รวมทั้ง Wifi ตามสถานที่ เพื่อเชื่อมต่ออินเทอร์เน็ตตลอดเวลา  และความเร็วของอินเทอร์เน็ต ยุค 4G ที่ทุกคนคงกลายเป็นสังคมก้มหน้า อย่างถาวร นั้นเป็นสัญญาณหนึ่งที่บอกได้ว่า IoT มาแน่นอน และอีกสัญญาณหนึ่งที่เห็นได้ชัด คือ ฮาร์ดแวร์มีราคาถูกลงและมีประสิทธิภาพมากขึ้น ตั้งแต่ Rasberry pi พัฒนา และบอร์ดอิเล็คทรอนิค อย่าง Arduino ซึ่งทำให้เกิดนักประดิษฐ์มากขึ้น ซึ่งทำให้ IoT ไม่เป็นเพียงความฝัน เพราะชิปอุปกรณ์อิเล็คทรอนิคเหล่านี้จะไปฝังตามอุปกรณ์ต่างๆ ในชีวิตประจำวัน แบบคาดไม่ถึง และประมวลผลผ่านสัญญาณไร้สาย และเชื่อมกับอินเทอร์เน็ต ผ่านไป Cloud computer ซึ่งเป็นคลังประมวลผลระดับใหญ่  ระดับบริษัท ระดับชาติ และระดับโลกตามมา ซึ่งเมื่อเวลานั้นมาถึง ความเป็นส่วนตัวก็จะลดลงเพราะมีคลังข้อมูลขนาดใหญ่ (Big data) ที่ชาญฉลาด สามารถจัดแจงข้อมูล สรุปสถิติประมวลความน่าจะเป็น และแนวโน้มที่จะเกิดขึ้นได้อีกด้วย

ในมุมด้านความมั่นคงปลอดภัยจะมีการนำไปใช้งานจาก IoT มากขึ้น ที่เห็นกันแล้วในปัจจุบันคืออากาศยานไร้คนขับ (Unmanned Aerial Vehicle , UAV หรือรู้จักกันในชื่อว่า Drone) ที่ถูกนำมาใช้มากขึ้นทั้งด้านการลาดตระเวน การสอดแนม จะใช้งานแทนผู้ปฏิบัติงาน (คน)  โดยควบคุมระยะไกล ผ่านช่องทางอินเทอร์เน็ต และการสื่อสารไร้สาย ที่เป็นรูปแบบ Protocol เฉพาะของประเทศที่เป็นมหาอำนาจ (ยกเว้นประเทศที่ซื้ออย่างเดียวไม่คิดทำ จะเสียเปรียบ)  หรือผ่านอุปกรณ์สื่อสาร เช่นคอมพิวเตอร์ หรือแม้กระทั่งมือถือ เพื่อใช้ปฎิบัติภาระกิจต่างๆ มีความเป็นไปได้สูงที่เราจะเห็น Drone ขนาดเล็ก เล็กเสมือนแมลงวัน โดยสามารถควบคุมผ่านมือถือของเราได้
การนำ IoT ไปใช้กับชีวิตประจำวันจะค่อยๆ มา จนเป็นส่วนหนึ่งของชีวิต และทุกคนจะชินกับมันเหมือนกับปรากฎสมาร์ทโฟน ที่ทุกเพศทุกวัย ตั้งแต่เด็กไม่เกิน 2 ขวบ จนถึงคนแก่ อายุ 90 ก็สามารถใช้งานได้

4. Startup กลับบ้าน  

กลับบ้านในที่นี้ ผมมี 2 ความหมาย  และ 2 ระยะ
ระยะแรก ความหมายแรก  ก็คือ  ปัจจุบันนี้จนถึงอนาคตอีกไม่เกิน 5 ปี ต่อจากนี้ ผู้ประกอบการขนาดเล็กจะมีจำนวนมาก ที่เรียกว่า “สตาร์ตอัพ (Startup)”   ในระยะเวลาไม่เกิน 5 ปีนี้จะไม่แปลกเลยที่บริษัทหนึ่งจะมีคนทำงานไม่เกิน 3 คน หรือ แม้กระทั่งเพียงคนเดียวก็ได้
เนื่องมาจากความรอบรู้  และ กล้าที่จะเสี่ยงมากขึ้น
ด้วยความรอบรู้ : เนื่องจากคนยุคใหม่ ค้นหาข้อมูล ผ่าน Search engine  google เป็นหลัก ทำให้อยากรู้เรื่องอะไร ก็ศึกษาเอาเอง แม้กระทั่งการทำบัญชี การทำเว็บ (ใช้ CMS สำเร็จรูปที่ติดตั้งสะดวก) แทนตั้งร้านค้าขายเหมือนสมัยก่อน แต่ขายผ่านระบบ  E-commerce  และทำการประชาสัมพันธ์ ผ่าน Social network  มี Known how สาระพัดที่เผยแพร่บนโลกอินเทอร์เน็ต
ใครขยัน ช่างฝัน และกล้าลงมือทำ มีโอกาสเป็นจริงได้  คนรุ่นใหม่ค้นหาเก่งจะเป็นคนรอบรู้

ดังนั้น  Startup กลับบ้านในระยะแรกคือ ไม่จำเป็นต้องมี office ในเมืองหลวงอีกต่อไป  เขาสามารถทำงานที่บ้านเกิดเขาได้เลย  เขาสามารถใช้ชีวิตแบบมีคุณภาพ กับท้องทุ่งที่สัญญาณอินเทอร์เน็ตเข้าถึง  เขาสามารถใช้ชีวิตแบบ “Slow life” ได้ (ถ้าไม่หวังสูง)   เพราะการค้นหาข้อมูล จากความรู้ความสามารถที่ตนเองถนัด รักในงานที่ทำและการลงมือได้เอง ด้วยตัวเอง จะทำให้เขาสามารถเป็น Startup ที่มีคุณภาพได้ แม้ไม่ได้อยู่ในเมืองหลวง

แต่ระยะที่ 2 เมื่อพบว่า Starup มีมากมาย และทำในเรื่องเหมือนๆ กัน ซึ่งสร้างรายได้ไม่ได้มากอย่างที่คิด เพราะมีความคล้ายคลึงกัน จนไม่รู้ว่าใครเป็นคนทำดั่งเดิม หรืออันดี work สุด มันเหมือนกันไปหมด เมื่อกาลเวลาผ่านไป จึงทำให้ความฝันนั้นก็สลายไปได้ เพราะโลกความจริงนั้นแข่งขันกันสูง จะอยู่ได้เฉพาะคนที่รู้จริง ละเอียด (ลง Detail)  และ ที่สำคัญ ต้องมี Connection นานาประการ ซึ่งเป็นเรื่องลำบากที่ Startup จะ Start ไปได้ต่อ และต่อเนื่อง Starup ช่างฝัน โลกสวยได้ไม่นาน ก็จำต้องตกเป็นอยู่ วงแขนของผู้ที่มีความพร้อม ซึ่งระยะที่ 2 ในความหมายของกลับบ้าน คือ ผมคาดการณ์ว่า Startup ที่เกิดขึ้น ภายใน 5 ปี จะมีส่วนหนึ่ง อาจจะหลายส่วน จะกลับเขาสู่บริษัทขนาดใหญ่ (ปลาใหญ่สายป่านยาว)  หรือ องค์กรจากภาครัฐที่สนับสนุน ซึ่งองค์กรภาครัฐดังกล่าวต้องมีความโปร่งใส และ ต้องการให้เกิดผลลัพธ์  มิใช่ทำเพื่อประโยชน์ในระยะสั้น จะอ้าแขนรับคนช่างฝัน และมีศักยภาพกลุ่มนี้  ที่พร้อมพลักดันความฝันเขาให้เป็นจริงได้

สรุปว่า Startup เป็นเรื่องดี แต่สุดท้าย ประโยชน์ที่ได้จะตกอยู่กับบริษัทขนาดใหญ่ ที่สามารถเลือกช้อปช่องทางธุรกิจใหม่ของตนเองได้อย่างมั่นคงในอนาคต

โลกเรามันก็เป็นวัฐจักรแบบนี้แหละครับ  มันเหมือนเหล้าเก่าในขวดใหม่ แต่สุดท้ายมันก็จะจบแบบเดิมๆ ทุกที 

5.  HTTPS เข้ารหัสเพื่อการเป็นมหาอำนาจอย่างแท้จริง

ข้อนี้เป็นเทคนิคมากหน่อย แต่ต้องอธิบายเพราะมีนัยะอย่างมาก
Https คือ เว็บไซต์ที่มีการเข้ารหัส SSL (Secure Socket Layer) โดยค่าการเข้ารหัสนั้นจะมีเพียงเจ้าของผู้ให้บริการเท่านั้นที่มี กุญแจสำคัญดอกนี้ (Private key) ถึงแม้จะสร้างหลอกกันได้ แต่สุดท้าย บราวเซอร์ และ OS ที่เราใช้จะไม่ยอมให้เข้าใช้งานอย่างอิสระ  จึงเป็นเครื่องสำคัญสำหรับชาติมหาอำนาจที่ คิดได้ในการเชิงความได้เปรียบในเชิงข้อมูล ค่า Cipher ที่เป็นการเข้ารหัสจะเฉพาะเจาะจงเฉพาะบริษัทที่ทำการเผยแพร่ เช่น Google หรือ Facebook  ก็จะการเข้ารหัสเฉพาะหากทำเลียนแบบจะได้ชั่วคราวเท่านั้น ดังนั้นเทคนิคที่ว่าแน่ MITM  (Man in The Middle Attack) จะได้ชั่วคราว
ชิงการได้เปรียบทางข้อมูลไม่พอ  เทคนิคดังกล่าวจะเหลือผลิตภัณฑ์ด้านการป้องกันภัยยี่ห้อจากฝั่งประเทศมหาอำนาจเท่านั้นที่ทำเรื่องพวกนี้ได้ ดังนั้นเทคโนโลยีการถอดรหัส (Decrypt) ข้อมูลเหล่านี้ จึงถูกผูกขาด (คนในวงการหากเอ่ยชื่อผลิตภัณฑ์นำเข้าเหล่านี้ก็จะรู้ดีว่ามี Feature ดังกล่าวแทนที่คนอื่นประเทศอื่นยากที่จะตามทัน)  บอกได้ว่ามีแต่ได้กับได้สำหรับประเทศมหาอำนาจ ยิ่งมีเรื่องนี้มาเสริมกับชีวิตเราที่กำลังเดินบนเส้นทาง IoT (Internet of Things) สังคมก้มหน้าด้วย ยิ่งเข้าทางเขาเลยเพราะจะเชื่อมผ่าน SSL (HTTPS) เพื่อเชื่อมต่อก้อนเมฆแห่งข้อมูล (Cloud) ทั้งหมดจะเป็นการสื่อสารแบบนี้ในโลกอนาคต HTTP จะกลายเป็นเพียงอดีต ผู้ที่ได้เปรียบคือผู้ที่ถือ Key

ทำไมผมถึงต้องเอาเรื่องนี้มาพูด  ผมไม่ได้มองแค่ HTTPS เป็นแค่แฟชั่นความปลอดภัย และความน่าเชื่อถือ เพราะเว็บธรรมดา หรือ App ธรรมดา ที่ไม่มีหน้า Login  ก็ไม่จำเป็นต้องเป็น HTTPS ก็ได้

HTTPS สร้างขึ้นเพื่อป้องกันการดักรับข้อมูล (Sniffer) บนระบบเครือข่าย
ในอดีตที่ผ่าน การดักรับข้อมูลเกิดขึ้นเป็นอันมาก โดยเฉพาะฝั่งรัฐบาลของประเทศต่างๆ  ดังนั้นเขาสามารถ Monitor พฤติกรรมประชาชนของเขาได้  สามารถสืบหาผู้กระทำความผิดได้ โดยง่ายดาย  แต่ตอนนี้กลับตรงข้าม เพราะรายใหญ่ Google , Facebook , Twitter  เครือข่ายสังคมออนไลน์ ที่มีโอกาส ที่คนกระทำการหมิ่นประมาทกันมากที่สุด และมีอิสระมากนั้นไม่สามารถควบคุมได้จากภาครัฐอีกต่อไป เพราะ เป็น HTTPS   ประโยชน์กับเป็นประเทศเจ้าของเนื้อหา (Content)  ซึ่งเป็นเรื่องที่ลำบากมากที่รัฐจะเข้าไปเกี่ยวข้องและดูพฤติกรรมดังกล่าวได้อย่างในอดีต

ประเทศที่จะมีปัญหาคือประชาชนใช้งานพวกนี้มาก จะถูกเป็นเครื่องมือต่อรอง และในที่สุดก็จะเสียเปรียบ

ผมจึงมองว่า HTTPS โดยเฉพาะ Log files ที่มีการกระทำความผิดกฎหมาย โดยเฉพาะกฎหมายเฉพาะของแต่ละประเทศนั้นไม่เหมือนกัน นั้นจะถูกเปิดเผยได้เฉพาะผู้ให้บริการเนื้อหา (Content Provider เช่น google , facebook เท่านั้น)  ยิ่งเราติดกับดักมากเท่าไหร่ เราก็ยิ่งหมดหนทางที่ไขปริศนาต่างๆ ไม่ว่าเรื่องการก่อการร้าย  การโพสข้อมูล  การส่งข้อมูล และอื่นๆ


some text
 6. ระบบอัตโนมัติ (Automate Robot)
ผมมองว่า ระบบอัตโนมัติ เสมือนกับ Robot จะมาแย่งงานคนที่ไร้ฝีมือมากขึ้น งานที่ต้องทำแบบซ้ำๆ ปัจจุบันในโรงงานก็จะมีเครื่องกลทำงานให้แทน แต่ในอนาคตอันใกล้ เอาเฉพาะสายงานด้านความมั่นคงปลอดภัยข้อมูล (Information Security) มีความเป็นไปได้สูงที่จะเห็นคนที่มีใบ Certification ดังๆ หลายใบ แต่ขาดความรู้และประสบการณ์ จะตกงานกัน  โดยเฉพาะงาน MSSP (Management Security Services Provider)  จะใช้คนดูแลน้อยลงมาก เพราะมีระบบที่ชาญฉลาด วิเคราะห์ข้อมูลให้ คัดแยกข้อมูลอันตราย และทำงานเชื่อมโยงกันเพื่อการป้องกันชนิดที่ไม่จำเป็นต้องใช้งานวิเคราะห์ได้แล้ว  หลังๆ จะเห็น ศัพท์ IoC (Indicator of Compromise) เข้ามาตรวจในระบบ SIEM (Security Information Event Management) เพื่อคัดกรอกเหตุการณ์เอาเฉพาะใช่ภัยคุกคามจริงๆ จะทำให้ลดเรื่อง False positive (การเข้าใจผิดว่าเป็นการบุกรุก) ซึ่งในอดีตต้องอาศัยคนที่ประสบการณ์วิเคราะห์ แต่ปัจจุบันมี robot ช่วยวิเคราะห์ มีความแม่นยำ และสู้งาน ขยัน 24 ชั่วโมงไม่พักผ่อน

IoC จะทำการแยกว่าใช่การโจมตีจริงเมื่อเกิดเหตุการณ์ ก็จะเรียนรู้และเข้าสู่ระบบ Automation Incident Response ซึ่งในอดีต Incident Response เป็นงานของคน แต่ปัจจุบันและอนาคตกับมี robot ที่บรรจุลงในฮาร์ดแวร์ (Appliance จะเห็นได้จาก Next Gen Firewall ก็เริ่มมีทุกอย่างแล้ว) การแก้ไขปัญหายากๆ มีความซับซ้อน robot ก็เข้ามาแทนที่คนได้ ซึ่งเห็นว่าปีที่แล้ว 2558 รายใหญ่ในต่างประเทศก็ทำเรื่องนี้ ดังนั้นจึงมองว่า ในอนาคตงานเหล่านี้อาจจะใช้คนจำนวนไม่ต้องมากแต่ต้องเป็นคนเก่งจริง
แล้วคนที่ตกงานเหล่านี้จะไปอยู่ไหนทั้งที่ก็ควรจะมีอนาคตที่ดีเพราะมี Certification ก็คงต้องไปเป็น Startup ชั่วคราวสักระยะ

ระบบอัตโนมัติ ที่กล่าวยังไม่รวมถึงการโจมตีแบบอัตโนมัติ ที่เรียกว่า botnet ทำงานauto มานานแล้วแต่จะทวีความฉลาดและเน้นที่เจาะระบบเครื่องแม่ข่าย (Public IP) ชนิดที่พลาดนิดเดียวก็โดน hack ได้เพราะ robot พวกนี้ทำงานตลอดเวลาไม่มีวันหยุด ส่วนใหญ่เป็น Brute Force รหัสผ่าน  ผ่าน Service ที่ส่วนใหญ่ Server ชอบเปิด โดยเฉพาะ SSH (Secure Shell) เหล่า  System admin หรือกลุ่ม Research ที่เคยทำพวก Honeypot หรือเคย Monitor พวก Log คงทราบดี   ส่วนใหญ่ก็ลงประเทศพี่ใหญ่เราทั้งนั้น  พวกนี้ทำเพื่ออะไร ? ผมไม่ขอขยายความไว้เล่าต่อยามที่มีโอกาส

7. คุณภาพชีวิตจะดีขึ้น  เมื่อเราค้นหาข้อมูลและปฏิบัติจริง

เมื่อเราเข้าถึงข้อมูล  เรารู้จักอ่านข้อมูล รู้จักวิเคราะห์ข้อมูลที่ได้รับ รู้จักอันเลือกข้อมูล อันไหนมีสาระ มีประโยชน์กับตัวเราและผู้อื่นที่อยู่รอบข้างเรา จะทำให้คนยุคใหม่เป็นคนที่ฉลาดขึ้น รอบรู้ขึ้น จนผมเห็นแนวโน้มการมีคุณภาพชีวิตที่ดี ดังนี้
(1) เรื่องอาหารการกิน   คุนยุคใหม่ ที่เข้าถึงข้อมูล จะเลือกกินอาหารมากขึ้น จะเลือกกินเฉพาะอาหารที่มีประโยชน์ต่อร่างกาย 
คนยุคใหม่มีโอกาสที่ทำอาหารกินเองสูง จะเห็นได้ว่าคนที่ดูแล้วเก่ๆๆกั่งๆ เข้าครัว หรือ ปลุกผักกินเองในพื้นที่ ที่อยู่อาศัยของตนเอง เพื่อทำอาหารกินเองเริ่มมีให้เห็นมากขึ้น (รายงานแนะนำ ค้นหาใน google “ความสุขปลูกได้”) เพราะมีความรู้สึกว่าอาหารมีราคาแพงขึ้น และไม่คุ้มค่า อาหารที่ได้รับประทานมีคุณภาพที่ด้อยลง ด้วยเป็นผลพ่วงการผลิตแบบอุตสาหกรรม การผลิตที่เน้นปริมาณ ซึ่งมีโอกาสสูงที่มีสารเคมีตกค้าง นั้นมันอาจจะทำให้เราป่วยได้  คนส่วนหนึ่งที่แบ่งเวลาได้ จึงต้องเปลี่ยนตัวเองมาทำอาหารกินเอง ก็แนวโน้มคนรักสุขภาพที่ทำอาหารกินเอง นอกจากกระแสที่เกิดขึ้นแล้วอย่างเ่นปั่นจักรยาน และออกกำลังกาย เพื่อการชลอวัย

(2) เมื่อเราเข้าถึงข้อมูล การทำงานที่สามารถทำที่ไหนก็ได้ ทำให้เราได้กลับไปอยู่บ้านเกิด อยู่กับครอบครัวเราได้ ที่เรียกว่า “บ้านหลังใหญ่” ที่มีคนทั้ง 3 วัย อยู่ร่วมกัน  ซึ่งมีโอกาสเป็นไปได้ ซึ่งจะทำให้คุณภาพชีวิตดีขึ้นต่อไป  แต่ต้องทำความเข้าใจว่าการกลับไปทำงานที่บ้าน ก็ใช่ว่าจะทำให้ประสบความสำเร็จได้เพราะยุคสมัยที่แข่งขันกันสูงมากเช่นนี้  แต่มันจะขึ้นกับคนที่รู้จักออกแบบ วางแผน และมีวินัย รู้จักการใช้เวลาให้เกิดคุณค่าและประโยชน์มากที่สุด  และที่สำคัญต้องรู้จักประมาณตน ไม่โอเวอร์เกินไป

(3) การศึกษาเรียนรู้  ถือได้ว่าคนยุคใหม่ที่เข้าถึงข้อมูลมีโอกาสที่ค้นคว้าหาความรู้นอกตำรา ซึ่งแล้วแต่บุคคลนั้นที่สนใจสามารถเจาะลึก หากลงมือปฏิบัติด้วยตนเอง และต่อยอดในสิ่งที่ทำได้จะเกิดประโยชน์อย่างมาก

ทั้ง 3 ข้อที่เขียนมา นั้นอาจดูสวย แต่ในความเป็นจริงอาจทำได้เพียงครั้งคราว อย่างไรก็ดี ถือว่าเป็นเรื่องที่ดี สำคัญที่สุดและถือว่าเป็นบทสรุป ที่ใช้ได้ทั้งปัจจุบัน และ อนาคต คือ “เราควรจะอยู่อย่างพอเพียง ให้พอดีกับตัวเราเอง”  แบ่งเวลาเพื่อการให้  จะเป็นการให้ความรู้ ให้อภัย ให้โอกาส ทั้งหมดด้วยใจที่บริสุทธิ์ เมื่อทุกคนรู้จักการให้ คุณภาพชีวิตเราจะดี เป็นสังคมที่น่าอยู่ขึ้น

สวัสดีปีใหม่  2559 ขอให้โชคดีมีความสุข

นนทวรรธนะ  สาระมาน
พ่อบ้าน

31 / 12 / 2558

เขียนให้อ่าน หากชอบโปรดแชร์ ระบุที่มา
จะขอบคุณ

แนวโน้มภัยคุกคามทางไซเบอร์ปี 2559

การคาดการณ์เกี่ยวกับกิจกรรมที่เป็นภัยคุกคามทางคอมพิวเตอร์ที่อาจเกิดขึ้นในปี 2559

ฉบับเรียบเรียงจากการแปล

หัวข้อสำคัญที่น่ากล่าวถึงมีดังต่อไปนี้

 ประกอบด้วยดังนี้

1) การโจมตีในระดับต่ำกว่าระบบปฏิบัติการ ผู้โจมตีอาจหาช่องโหว่ในเฟิร์มแวร์และฮาร์ดแวร์ เนื่องจากแอพพลิเคชั่นและระบบปฏิบัติการสามารถป้องกันการโจมตีทั่ว ๆ ไปมากขึ้น

2) การหลบหลีกการโจมตี ผู้โจมตีจะพยายามหลีบหลีกการตรวจจับโดยการหาช่องทางใหม่ ๆ ในการโจมตี ใช้วิธีการในการโจมตีที่ซับซ้อน และหลบหลีกเทคโนโลยีด้านความปลอดภัย

3) อุปกรณ์ใหม่ ทำให้เกิดช่องทางการโจมตีใหม่ ความง่ายในการพัฒนาและราคาที่ถูกของอุปกรณ์เชื่อมต่อ จะทำให้เกิดผลิตภัณฑ์ใหม่ ๆ ในปัจจุบันที่ยังมีอุปกรณ์ Internet of Things และอุปกรณ์สวมใส่จำนวนไม่มากนัก แต่ในภายในปี 2563 จะมีจำนวนของอุปกรณ์เหล่านี้อย่างมากมายจนดึงดูดผู้โจมตี ทำให้ผู้จำหน่ายต้องหาทางให้การศึกษากับผู้ใช้งาน และสร้างการควบคุมด้านความปลอดภัยให้กับอุปกรณ์เหล่านี้

4) การจารกรรมข้อมุลในธุรกิจ ตลาดมืดสำหรับมัลแวร์และบริการบุกรุกระบบแบบสำเร็จรูป ช่วยให้มัลแวร์ที่ใช้ในการจารกรรมข้อมูลที่เคยใช้ในการโจมตีภาครัฐและเอกชน สามารถใช้ในระดับการดักเก็บข้อมูลทางการเงิน และปั่นตลาดให้เป็นไปตามความต้องการของผู้โจมตี

5) การตอบรับจากแวดวงด้านความปลอดภัย แวดวงด้านความปลอดภัยจะพัฒนาเครื่องมือที่สามารถตรวจจับและแก้ไขการโจมตีที่ ซับซ้อนได้ มีการพัฒนาการวิเคราะห์ด้านพฤติกรรม (behavioral analytic) เพื่อตรวจจับกิจกรรมของผู้ใช้งานที่ผิดปกติที่อาจบ่งบอกถึงบัญชีที่ถูกบุก รุก ส่วนการแบ่งปันข้อมูลด้านภัยคุกคามจะทำให้การป้องกันระบบที่เร็วขึ้นและดี ขึ้น เทคโนโลยีด้านการป้องกันและแก้ไขแบบอัตโนมัติช่วยสามารถป้องการการโจมตีแบบ ทั่ว ๆ ไป ทำให้พนักงานด้านความปลอดภัยสามารถใช้เวลาไปรับมือกับเหตุการณ์ด้านความ ปลอดภัยที่สำคัญได้

โดยสามารถแบ่งประเภทได้ดังนี้

1. ฮาร์ดแวร์ 

การโจมตีฮาร์ดแวร์และเฟิร์มแวร์จะยังคงดำเนินต่อไป และตลาดของเครื่องมือเหล่านี้ จะทำให้การโจมตีขยายและเติบโตต่อไป

ภาพที่ 1 แสดงจำนวนที่เพิ่มขึ้นของอุปกรณ์และข้อมูล ที่จะตกเป็นเป้าหมายการโจมตีทางอินเทอร์เน็ต

2. มัลแวร์เรียกค่าไถ่ (ransomware)

ภาพที่ 2 แสดงจำนวนของ ransomware ที่เกิดขึ้นในแต่ละช่วงของปี

ransomware ยังคงเป็นภัยคุกคามสำคัญ และเติบโตอย่างรวดเร็วในปี 2559

จะมีมัลแวร์รูปแบบใหม่ ๆ และมีบริการมัลแวร์สำเร็จรูปสำหรับอาชญากรที่ไม่มีประสบการณ์ ทำงานผ่านทางเครือข่าย Tor ที่สามารถปกปิดตัวตนของผู้โจมตีได้ มีเป้าหมายโจมตีเหยื่อในประเทศร่ำรวยที่สามารถจ่ายเงินค่าไถ่ได้ และอาจขยายเป้าหมายไปที่ภาคอุตสาหกรรมการเงิน และการปกครองส่วนท้องถิ่นที่ ยอมจ่ายค่าไถ่อย่างรวดเร็ว เพื่อให้สามารถดำเนินงานที่มีความสำคัญต่อไปได้

ระบบปฏิบัติการที่ตกเป็นเป้าหมายยังคงเป็นวินโดวส์ และอาจลามไปถึงระบบ Mac OS X เนื่องจากระบบนี้ได้รับความนิยมเพิ่มมากขึ้น

3. ช่องโหว่ในแอปพลิเคชั่น

ช่องโหว่ด้านความปลอดภัยในแอปพลิเคชั่นเป็นปัญหาต่อเนื่องของนักพัฒนาและลูกค้าของผู้ให้บริการ

ภาพที่ 3 แสดงร้อยละของจำนวนช่องโหว่ที่พบในแอปพลิเคชั่นต่าง ๆ ในปี 2557 – 2558

โปรแกรม Adobe Flash อาจเป็นผลิตภัณฑ์ที่ถูกโจมตีบ่อยที่สุด อย่างไรก็ตาม Adobe ได้แก้ไขช่องโหว่ต่าง ๆ อย่างรวดเร็ว และจะถูกโจมตีน้อยลงในปีหน้า เนื่องจาก Adobe ได้มีเพิ่มฟีเจอร์ในการป้องกันการโจมตีเข้าไป

นักพัฒนาบางคนได้เรียกร้องให้ใช้ HTML 5 แทน Flash และ Google Chrome จะหยุดสนับสนุน Flash อีกในไม่ช้า อย่างไรก็ตามการเปลี่ยนผ่านจากการใช้ Flash ยังจะเป็นไปอย่างล่าช้า เนื่องจากอินเทอร์เน็ตยังคงเต็มไปด้วยเนื้อหาที่สร้างจาก Flash

คาดการณ์ว่าจะมีการค้นพบช่องโหว่ใหม่ ๆ ในส่วนที่อยู่นอกเหนือจากวินโดวส์ ส่วนที่เพิ่มขึ้นได้แก่ ระบบฝังตัว (embedded system) เทคโนโลยีอินเตอร์เน็ตที่เชื่อมอุปกรณ์และเครื่องมือต่างๆ (Internet of Things) และซอฟท์แวร์ด้านโครงสร้างพื้นฐาน ที่จะตกเป็นเป้าหมายของการโจมตีขั้นสูง

4. ระบบการจ่ายเงิน

การซื้อสินค้าเคยเป็นเรื่องง่าย ๆ โดยใช้เงินสดเพียงอย่างเดียว แต่ในปัจจุบันมีวิธีในการจ่ายเงินในรูปแบบต่าง ๆ หลากหลาย ตั้งแต่ Bitcoin, ApplePay บัตรเครดิตและเดบิต ไปจนถึงบริการจ่ายเงินออนไลน์ในแบบต่าง ๆ จากข้อมูลในวิกีพีเดีย มีเงินสกุลดิจิตอล (cryptocurrency) มากกว่า 740 สกุล และมีบริการจ่ายเงินออนไลน์ มากกว่า 60 แห่งด้วยกัน

ความสำคัญยังคงอยู่ที่ช่องโหว่ที่เกี่ยวข้องกับข้อมูลรายการเปลี่ยนแปลง (transaction) ของบัตรเครดิตและเดบิต วิธีการโจมตีไม่เปลี่ยนแปลงมากนักจากสิบปีที่แล้ว โดยโจมตีกลไกในการจ่ายเงิน หรือ
ฐานข้อมูลที่เก็บบัตรเครดิต

อย่างไรก็ตาม สิ่งต่าง ๆ ได้เปลี่ยนแปลงไป เนื่องจากมีวิธีการจ่ายเงินที่มากมายหลายวิธี ซึ่งจำเป็นต้องใช้ชื่อและรหัสผ่าน ข้อมูลนี้จึงมีค่าอย่างยิ่ง การขโมยข้อมูลเหล่านี้ อาชญากรจึงต้องมุ่งเป้าไปที่กลุ่มผู้บริโภคโดยตรง เนื่องจากพวกเขาเป็นทั้งแหล่งของข้อมูลรหัสผ่าน และยังเป็นจุดอ่อนในขั้นตอนการจ่ายเงินอีกด้วย

ปี 2559 อาชญากรจะเน้นการโจมตีไปที่การขโมยและการขายข้อมูลชื่อผู้ใช้และรหัสผ่าน และปรับปรุงวิธีการโจมตีแบบต่าง ๆ ซึ่งรวมถึง phishing และ keylogger และวิธีการใหม่ ๆ ซึ่งอาจเกิดขึ้น นอกจากนี้ยังมีจำนวนของการขโมยข้อมูลผ่านทางระบบจ่ายเงินจะมีเพิ่มขึ้นด้วย

5. การโจมตีผ่านทางพนักงาน

การโจมตีบริษัทใหญ่ ๆ หรือหน่วยงานรัฐบาลยังคงมีอยู่บ่อยครั้ง ไม่ได้มีเฉพาะแต่การโจมตีเพื่อเปลี่ยนหน้าเว็บเพื่อสร้างความอับอายเท่านั้น แต่ยังรวมถึงการขโมยข้อมูลส่วนตัว ได้แก่ บัตรเครดิต หมายเลขประกันสังคมและที่อยู่ และแนวโน้มนี้ยังคงดำเนินต่อไป

องค์การต่าง ๆ จะลงทุนเพื่อเพิ่มความปลอดภัยให้กับเครือข่ายของตนเองมากขึ้น ไม่เพียงแต่ในด้านเทคโนโลยี แต่ยังรวมถึงการฝึกอบรมบุคลากรอีกด้วย ถ้าองค์การหนึ่งใช้เทคโนโลยีล่าสุด รวมถึงบุคลากรที่มีความสามารถ เพื่อสร้างนโยบายที่มีประสิทธิภาพ และมีความระมัดระวัง ทำให้ผู้โจมตีมีทางเลือกอยู่สามทางได้แก่

  • ผู้โจมตีจะพยายามมากขึ้น ซึ่งจะเป็นการยากสำหรับผู้โจมตีมากยิ่งขึ้นถ้ามีคนที่มีความสามารถและเทคโนโลยีที่ดีป้องกันอยู่
  • หาใครบางคนที่จะโจมตี องค์การที่อยู่ในข่ายนี้ใช้งบประมาณอย่างไม่มีประสิทธิภาพ (อาจซื้อเทคโนโลยีล่าสุดมา แต่ไม่จ่ายเงินเพื่อซื้อบุคลากรมาดูแล) ซึ่งจะเป็นเป้าหมายที่ง่ายในการโจมตี และยังคงถูกบุกรุกต่อไป
  • โจมตีพนักงานที่อยู่ที่บ้านหรือขณะกำลังเดินทาง ถ้าผู้โจมตีต้องการข้อมูล แต่พบว่าการเข้าถึงเครือข่ายบริษัทำได้ยาก ก็จะมุ่งเป้าไปที่ระบบคอมพิวเตอร์ของพนักงานที่อยู่ภายในบ้านแทน

ภัยคุกคามนี้ควรทำให้ฝ่ายไอทีขององค์การใส่ใจถึงความปลอดภัยในแง่มุมนี้ ไม่เพียงพอที่จะกังวลกับความปลอดภัยเครือข่ายของบริษัทเท่านั้น องค์การที่ฉลาดยังต้องขยายความปลอดภัยครอบคลุมถึง
บ้านของพนักงานของพวกเขาอีกด้วย ปีหน้าเราอาจได้เห็นองค์การต่าง ๆ จะจัดหาเทคโนโลยีด้านความปลอดภัยขั้นสูงสำหรับพนักงาน เพื่อติดตั้งในระบบส่วนตัวของเขา เพื่อป้องกันภัยคุกคามที่ผ่านเข้ามาทางเครือข่ายสังคม และ phishing

6. บริการคลาวด์

อาชญากรทางคอมพิวเตอร์จะมุ่งเป้าการโจมตีไปที่บริการคลาวด์ เพื่อขโมยข้อมูลความลับ เพื่อใช้ให้เป็นประโยชน์ด้านการแข่งขัน หรือเพื่อผลทางการเงินหรือกลยุทธ์

7. อุปกรณ์สวมใส่

แพลตฟอร์มด้านอุปกรณ์สวมใส่จะถูกโจมตีโดยอาชญากร เพื่อเข้าถึงสมาร์ทโฟนที่ใช้เพื่อควบคุมอุปกรณ์เหล่านี้ บริษัทที่เกี่ยวข้องจะทำงานร่วมกันเพื่อป้องกันจุดเสี่ยงที่อาจถูกโจมตีได้ อย่างเช่น kernel ของระบบปฏิบัติการ ซอฟท์แวร์ด้านเครือข่ายและวายฟาย ส่วนติดต่อผู้ใช้ หน่วยความจำ เป็นต้น

8. รถยนต์

ภาพที่ 4 แสดงให้เห็นถึงช่องทางต่าง ๆ ที่อาจถูกโจมตีได้ในรถยนต์รุ่นใหม่

นักวิจัยด้านความปลอดภัยจะเน้นที่การค้นหาช่องโหว่ในระบบเชื่อมต่อในรถยนต์ ที่ไม่ปฏิบัติตามนโยบายด้านความปลอดภัยที่ดี ผู้ขายผลิตภัณฑ์ด้านการรักษาความปลอดภัยและผู้ผลิตรถยนต์จะพัฒนาคำแนะนำ มาตรฐาน และวิธีการทางเทคนิคที่ช่วยป้องกันระบบต่าง ๆ ในรถยนต์

9. คลังข้อมูลจารกรรม 

ปี 2558 มีข้อมูลจำนวนมากที่ถูกขโมยมากจากธุรกิจและหน่วยงานของรัฐ ข้อมูลบางอย่างมีค่าจำกัด แต่บางอย่างถูกเก็บไว้เพื่อใช้ในการโจมตีครั้งต่อไป นอกจากนี้ ข้อมูลที่ขโมยมาจากหลายแหล่งที่สามารถเชื่อมโยงกันได้ ทำให้ข้อมูลนั้นมีค่าเป็นอย่างยิ่งสำหรับผู้โจมตี

การเก็บสะสมข้อมูลที่ขโมยมาได้เกิดขึ้นมาเป็นเวลาสองปีแล้ว จะมีตลาดมืด ซึ่งจะขายข้อมูลส่วนตัวที่ขโมยมาได้จากหลาย ๆ แหล่ง อาชญากรที่ได้รับความเชื่อถือสามารถเลือกซื้อชุดข้อมูลที่ต้องการ
เพื่อใช้ในการโจมตีในภายหลังได้

การโจมตีที่บูรณภาพของข้อมูล

เราจะได้เห็นกลวิธีใหม่ในการโจมตี ได้แก่การโจมตีบูรณภาพ (integrity) ของระบบและข้อมูล การโจมตีบูรณภาพของข้อมูลจะทำแบบลับ ๆ เลือกเฟ้น และทำอันตรายได้มากกว่า แทนที่จะทำลาย หรือขโมยข้อมูลขนาดใหญ่ แต่เลือกที่จะเปลี่ยนองค์ประกอบเฉพาะในธุรกรรม การสื่อสาร หรือข้อมูล เพื่อผลประโยชน์ที่สำคัญ

ปี 2559 เราจะได้เห็นการโจมตีบรูณภาพของข้อมูลในภาคการเงิน ซึ่งเงินนับร้อยล้านดอลลาร์จะถูกขโมยไปโดยอาชญากรคอมพิวเตอร์ ซึ่งจะแก้ไขข้อมูลธุรกรรม เป็นผลให้มีการเปลี่ยนแปลงเส้นทางการจ่ายเงินไปยังบัญชีลึกลับ การตรวจพบเหตุการณ์จะทำได้ยากมาก การโจมตีบรูณภาพจะดูเหมือนเป็นปัญหาในการทำงาน ข้อผิดพลาดทางบัญชี

นอกจากนี้ข้อมูลที่เก็บในหน่วยงานอื่น ๆ อาจตกเป็นเป้าหมายการโจมตีได้เช่นเดียวกัน

10. การจารกรรมข้อมูล

ปี 2559 จะเห็นการจารกรรมข้อมูลมากขึ้น โดยมีการใช้เทคนิคเฉพาะดังต่อไปนี้คือ

●    ใช้บริการที่ถูกต้องตามกฏหมาย อย่างเช่นบริการให้ดาวน์โหลดไฟล์ผ่านคลาวด์ (เช่น Dropbox) เพื่อเป็นเครื่องแม่ข่ายควบคุม (control servers) ในการโจมตี เพื่อหลบหลีกการตรวจจับ

●    ใช้เครือข่าย Tor เพื่อปกปิดการเชื่อมโยงมายังเครื่องแม่ข่ายควบคุม

●    ปีที่ผ่าน ๆ มาจะเห็นการโจมตีช่องโหว่ในเอกสารของไมโครซอฟท์ แต่ปี 2559 จะเริ่มเห็นการใช้ไฟล์รูปแบบอื่นนอกเหนือจาก .ppt .doc และ .xls

11. การโจมตีโครงสร้างพื้นฐาน

ปี 2559 และปีต่อ ๆ ไปจะมีช่องโหว่ในโครงสร้างพื้นฐานสำคัญ (เช่น ระบบไฟฟ้า ประปา เป็นต้น) ที่ทำให้เกิดความกังวลเพิ่มขึ้น การโจมตีต่อไปเป้าหมายเหล่านี้จะทำให้เกิดผลกระทบใหญ่หลวงต่อสังคม อย่างไรก็ตามอาชญากรมีแนวโน้มที่จะโจมตีเป้าหมายอื่นที่ทำเงินได้มากกว่า ดังนั้้นการโจมตีเหล่านี้มีแนวโน้มที่จะมาจากผู้ได้รับการสนับสนุนจากรัฐฝ่ายตรงข้าม ซึ่งจะเลือกเป้าหมายและกลยุทธ์ในการโจมตี

เรียบเรียงโดย
นนทวรรธนะ  สาระมาน
เกียรติศักดิ์  สมวงศ์

ข้อมูลอ้างอิง

http://www.mcafee.com/sg/resources/reports/rp-threats-predictions-2016.pdf

http://www.mcafee.com/sg/resources/misc/infographic-threats-predictions-2016.pdf

http://smlrgroup.com/2670-2/

http://www.darkreading.com/partner-perspectives/intel/mcafee-labs-2016-2020-threat-predictions-part-1-/a/d-id/1323411

http://www.darkreading.com/partner-perspectives/intel/mcafee-labs-2016-2020-threat-predictions-part-2-/a/d-id/1323425

http://its.sut.ac.th/index.php?option=com_content&view=article&id=72&Itemid=468

Ransomware Alert ! ระวังถูกเรียกค่าไถ่ ใช้ข้อมูลเป็นตัวประกัน ! + วิธีแก้ไข ป้องกัน

Hacker Here ตอนที่ 4

ณ จุดชมวิว บนหอคอยสูง ในเมืองหุนชุน บริเวณแม่น้ำถูกเหมิน
ซึ่งเป็นแม่น้ำแบ่งพรมแดนประเทศจีน ประเทศเกาหลีเหนือ และรัสเซีย
เรามองไปข้างหน้าสิ ด้านซ้ายมือเป็นประเทศรัสเซีย ด้านขวามือเป็นประเทศเกาหลีเหนือ

วันนี้ท้องฟ้าเปิดมองไปได้ไกลสุดลูกหูลูกตา จารึกพูด

มีสายลมบนยอดหอคอยเป็นลมจากทะเลญี่ปุ่น พัดเอื่ยเข้ามาปะทะเป็นระยะ จารึกยืนอยู่บนยอดหอคอย พร้อมกับคุณสมิธ เจ้าของบริษัทโอดิสซี่ซอฟต์ โดยมีคณะกรรมการโรงพยาบาลสยามเฮ้ลที่ไปดูงานที่ประเทศจีน อีก 10 คน ซึ่งยืนกันกระจัดกระจายเพื่อถ่ายรูป และชมความงาม

ทั้งชีวิตการทำงานกว่า 40 ปีที่เป็นหมอ แต่ผมเป็นคนที่ชื่นชอบศึกษาประวัติศาสตร์โดยเฉพาะเรื่องเกี่ยวกับสงคราม และจารชน ผมมีหนังสือเกี่ยวกับเหตุการณ์จริงเกี่ยวกับไล่ล่าจารชนอยู่หลายเล่ม คุณสนใจไปอ่านสักเล่มไหมล่ะ จารึกกล่าว

จารึกเป็นผู้ช่วยผู้อำนวยโรงพยาบาลสยามเฮ้ลฯ และเป็นผู้ที่มีอำนาจเต็มในการจัดซื้อจัดจ้างที่เกี่ยวข้องกับระบบไอทีในโรงพยาบาลทั้งหมด

จารึกกล่าวต่อ สถานที่นี้ในอดีตเป็นจุดยุทธศาสตร์ของยุคสงครามเย็น เกาหลีเหนือ จีน และรัสเซีย ล้วนเป็นพวกเดียวกัน แต่สมัยนี้เกมส์สงครามมันเปลี่ยนรูปแบบ ผมกำลังศึกษาทิศทางการเปลี่ยนแปลงครั้งนี้อยู่

สมิธเสริม “ใช่มันเป็นยุคของดิจิตอล” การโจมตีผ่านดิจิตอล ตลาดทุน ค่าเงิน แบบออนไลน์ข้าวพรมแดน การโจมตีทางไซเบอร์ รวมถึงการ collection ข้อมูลขนาดใหญ่ (Big data) เพื่อวิเคราะห์ความเคลื่อนไหว และความเป็นไปของผู้คน ได้ข่าวว่า NSA เจาะจงเรื่องนี้เป็นงานหลักเลย

เดี๋ยวนี้สายลับแต่ละประเทศแปลงร่างมาฝั่งในคอมพิวเตอร์ มือถือ อุปกรณ์สื่อสารกันเยอะขึ้นแล้ว ช่วงชิงกันถึงเรื่องข้อมูล การประมวลผลข้อมูลขนาดใหญ่ (Big data) เพื่อผลประโยชน์ของรัฐบาลและเพื่อประเทศ

เพราะทุกอย่างมันเชื่อมโยงถึงกันไปหมดแล้ว สมิธกล่าว

สมิธ เคยเป็นอดีตเจ้าหน้าที่สำนักข่าวกรองแห่งชาติ และเขาเป็นครูสอนวิชาต่อต้านการข่าว เคยร่วมงานกับ CIA ก่อนที่ขอเออร์ลี่ แล้วมาเปิดธุรกิจซอฟต์แวร์เมื่อ 10 ปีก่อน
ปัจจุบัน สมิธอายุ 61 แล้วแต่ยังดูแข็งแรงและทำงานได้

รู้จักกับจารึกผู้ช่วยอำนวยการโรงพยาบาลนี้ กว่า 20 ปี จากการที่เป็นคนไข้ประจำของคุณหมอจารึก “การเชื่อมโยงแบบไร้พรมแดน นั้นคือสงครามแนวใหม่ที่เราต้องปรับตัว” ลมที่นี้เย็นสบายดี นะสมิธ จารึกกล่าว และทั้งคู่หัวเราะขึ้นเบาๆ

ก่อนที่คณะขึ้นรถกลับโรงแรม จารึก บอก สมิธ ว่า “ก่อนที่ผมจะลืมคุณพูดเรื่องมาผมนึกขึ้นได้ แก่แล้วเดี๋ยวลืม ผมฝากเด็กผู้หญิงคนหนึ่งเข้ามาบริษัทคุณ และให้เขามานั่งรับ Out source ทำฐานข้อมูลประวัติคนไข้ให้ผมทีสิ” เป็นหลานสาวผมเอง ชื่อศิรินท์ จบด้านการจัดการระบบฐานข้อมูลมา สักพักแล้ว อยากให้ทำงานระดับใหญ่ๆบ้าง ผมไม่กล้ารับตรงเพราะกลัวเรื่องคอนฟิคฯ ฝากคุณรับมาแล้วให้เขา มาประจำโรงพยาบาลนี้ เพราะไหนๆ คุณก็ได้งานใหญ่ไปแล้วนิ งานของคุณเซ็นสัญญาเดือนมกราคม ให้เขามาสักเดือนเมษา หรือก่อนนั้นนิดหน่อย

สมิธกล่าว ผมจะจัดการให้ตามคำขอ หลังจากกลับถึงเมืองไทย เรียกให้เขามาหาผมที่ office บริษัทได้เลย

 
+++++++++++++++++++

ณ ศูนย์คอมพ์โรงพยาบาลสยามเฮลฯ

web server เป็น ubuntu 14.04
ifconfig พบว่า IP private ตั้งค่าไอพีที่ 172.16.5.2
web server นี้มีทั้งหมดกี่ตัวครับ ธีรานนท์ ถาม

องอาจตอบ จริงๆเราต้องการทำ 2 เป็น HA แต่ยังทำไม่เสร็จ เหลือใช้จริงแค่ตัวเดียวอยู่

และเชื่อมถึงกันที่ไหนบ้าง ธีรานนท์ถามต่อ

ที่ DMZ เท่านั้น วิชัยตอบ
ในย่าน 172.16.5.0/24 ใช่ป่ะครับ routing ไปยังวงอื่นด้วยไหม ธีรานนท์ ถามต่อ

เราไม่ set routing ตรงนี้นะ แต่วงนี้มีแค่ 256 IP /24 ใช่ครับ แต่ใช้จริงไม่ถึง ประมาณ 20 IP ได้มั้ง เป็น Develop เกินครึ่ง ใช้จริงๆประมาณ 5-6 IP เท่านั้น ที่เปิดสาธารณะ วิชัยตอบหมด

องอาจยังไม่ทันอ้าปากตอบ

ผมแค่มีประเด็นเรื่อง Infrastructure Compromise
ต้องใช้พวก IOC (Indicator of Compromise) มาจับด้วย ธีรานนท์ ถามต่อ

ไม่ทราบว่าที่โรงพยาบาล มี Centralized log ไหมครับ
เรามี image เครื่อง Web server ที่โดนแฮกแล้ว ถ้าให้ครบและวิเคราะห์ได้ถูกอยากได้ Centralized log ด้วย ธีรานนท์ ถามขึ้นมา

องอาจ ตอบ มีสิ เป็นไปตามกฎหมายคอมพิวเตอร์ มาตรา 26 ธีรานนท์ เป็น Log ที่รับจากอะไรมาบ้าง องอาจ อำอึ๋ง …

วิชัย เสริมมาบอกว่า ตอนนี้เราพึ่ง implement นะ รับมาไม่เยอะ
ก็แบ่งรับข้อมูลจาก
1) พวกเกี่ยวกับ Identity/Authentication ก็มีรับจาก AD (Active Directory) ส่งมาเก็บแล้ว, Wifi Controller Server รู้สึกว่ายัง, Exchagne ส่งมาเก็บแล้ว และพวก VPN token สำหรับเจ้าหน้าที่ไปต่างประเทศและนอกสถานที่ใช้งานพวกนี้ส่งมาเก็บแล้ว

2) ส่วนพวก Network ก็มี Firewall , Core Switch ส่วน NIDS/IPS โรงพยาบาลเราไม่มีกำลังดูๆอยู่เนื่องจาก Firewall ตัวนี้ตรวจ DPI / Application layer ไม่ได้ (DPI : Deep Packet Inspection)

3) พวก Server ที่เป็น public ก็มี Web Server , ERP Server , DNS และ DHCP server ประมาณนี้ โยนมาไม่กี่ตัวหลอก

เอาแต่ตัวเน้นๆ เราต้องการ Log คุณภาพ วิชัย ตอบอย่างผู้รู้

อ๊อดที่ยืนอยู่ใกล้ๆ นึกในใจว่า นี้นะไม่กี่ตัว

“สวยเลย ถ้างั้นผมขอ log ย้อนหลัง สัก 2 เดือนได้ไหมครับ” ธีรานนท์ ถามกลับ

วิชัย และอนันนต์ หันหน้าพร้อมกันไปที่ พี่องอาจ คนตัดสินใจ องอาจ ตอบ ถ้าผมเป็น ผอ. เองผมให้ได้ ผมรับผิดชอบ แต่นี้ ผมต้องขอ พี่จารึกนะสิ ตัว Centralized log ผมดูได้แต่ system admin เนื้อข้อมูล log คนที่เปิดได้คือ พี่จารึก

“ที่เราได้มาคือ log จาก web server ที่โดน hack ส่วนอื่นๆ ที่ผมอยากได้ ประเภท DPI มากกว่า น่าเสียดายที่ยังขาดเรื่อง NIDS/IPS แต่ถึงอย่างไร ข้อมูลทุกอย่างย่อมเชื่อมโยงถึงกันหมด” ธีรานนท์กล่าว

ถ้าเช่นนั้นก็แค่นี้ก่อนก็ได้ อ๊อดตอบเสริม หากวิเคราะห์เสร็จแล้วจะส่งรายงานให้ หากพบสิ่งผิดปกติและเป็นเบาะแส จะแจ้งให้พี่องอาจทราบ งั้นพวกผมขอตัว ธีรานนท์ตอบ จากนั้นทีมงาน GBT (Ghostnet Buster team) ก็จากไป

ราเชนหลังจากยืนนิ่งสักพัก เออวิชัย ถึงเราเป็นโปรแกรมเมอร์เข้าใจบ้างไม่เข้าใจกับสิ่งที่คุยกัน แต่เราถามหน่อยดิว่า Data Base Server ที่ ทีม out source ทำอยู่นี้ส่ง syslog ไปเก็บด้วยไม่ใช่เหรอ

วิชัย นั่งนิ่งคิดดู แล้วตอบว่า เออใช่ ลืมไปมี data base server ส่งมาอีกตัว อนันต์ นายเข้าไปดูได้ป่ะว่า log ของ data base server ส่งมาป่ะ

อนันต์นึก “กูอีกแล้ว” ได้เลย รอแป๊บบ เพื่อนๆ 172.16.5.3 (Data Base Server) ส่ง log มาอยู่ แต่ผมเปิดอ่านไม่ได้ (เฉพาะ Data Owner พี่จารึก) รู้ได้แค่เพียงสถานะ นะ อิอิ เสียงหัวเราะอนันต์

วิชัยจำคำพูดธีรานนท์ แล้วอุทานว่า “ข้อมูล ทุกอย่างย่อมเชื่อมโยงถึงกันหมด”

จบตอน

+++++++++++++++++++++++++++++++++++++++++++++++
สงวนลิขสิทธิ์
SRAN Technology (www.sran.net)

นนทวรรธนะ สาระมาน
Nontawattana Saraman
ผู้เขียน
15/06/58

Hacker Here ตอนที่ 3

Digital Holes : ตอน Hacker Here ที่นี้มีแฮกเกอร์ ตอนที่ 3

เสียงเพลง eye in the sky ของAlan Parsons Project 1982  ดังขึ้น

…[เสียง Chorus]
I am the eye in the sky
Looking at you
I can read your mind
I am the maker of rules
Dealing with fools
I can cheat you blind
And I don’t need to see any more
To know that
I can read your mind, I can read your mind …

เสียงเพลงในร้านซาโมกูระ วันเสาร์ที่ 18 เมษายน 58

ราเชน (หรือที่รู้จักกันชื่อเล่นว่า หนุ่ม เป็นโปรแกรมเมอร์ที่ดูเว็บไซต์ของโรงพยาบาลสยามเฮ้ลธ์ฮอสพิทอล) กำลังเทโซดาใส่แก้ว ผสมเหล้าบางๆ นั่งที่ระเบียงด้านนอกของร้าน เสียงเพลงลอยตามลมมาได้ยินชัดเจน

“ฉันชอบเพลงนี้นะ ตาที่มองมาจากฟากฟ้า ผู้กำหนดทิศทางชีวิตของผู้คน”
“โดยเฉพาะยุคนี้มันทำได้หากเรามีจำนวนกองทัพ botnet เพียงพอ เราจะมีอิทธิพลเหนือใคร”

….  ราเชนนั่งฟัง

“เอาล่ะเพื่อน นั้นมันความฝัน ของฉัน ส่วนความเป็นจริง เราจะจัดงานมิตติ้งกันหน่อย โดยจะถือโอกาสนี้ เพื่อให้นายราเชน และเพื่อเป็นการรำลึกถึงวันที่เราใช้ชีวีตในรั้วมหาวิทยาลัยด้วยกัน  คืนวันเสาร์ที่ 2 พฤษภาคมนี้ ยังจำได้เลยช่วงเวลานั้นเรากำลังดีใจที่สอบเอ็นทรานติด มันเป็นช่วงเวลาที่มีความสุข ชีวิตนักศึกษาใหม่” บิ๊กกล่าว

“ถึงนายจะอยู่ที่นี้แค่ปีเดียว แต่นายก็ช่วยฉันให้รอดจากการถูกรีไทด์ ฉันยังจำได้เพื่อน” บิ๊กกล่าวต่อ

ท่ามกลางบรรยากาศเพลงร็อคยุค 80 เปิด ราเชน นั่งจิ๊บสุรา กับบิ๊ก
บิ๊กนายเป็นหัวเรื่องใหญ่จัดงานไป แล้วพยายามดึงรินมาในงานให้ได้

หนุ่ม ราเชน กระดกแก้ว แล้วพูดว่า “ถึงเราจะเคยเรียนที่ ม เกษตร แค่ปีเดียว แล้วเรียนต่อที่ต่างประเทศ (ไปที่ มหาวิทยาลัย MIT สหรัฐอเมริกา) แต่เรายังจำรินได้ และคิดถึงเธอเสมอ
ยิ่งได้มาทำงานที่เดียวกันด้วยนั้น อย่าพูดเลย อยากใกล้ชิดเธอมากขึ้นจัง”

“แล้วเธอจำแกได้ป่ะ หนุ่ม” บิ๊กถาม
น่าจะคุ้นๆนะ ไม่รู้สิ ไม่เคยถาม และไม่เคยบอกด้วย  ตอนนั้นแค่เด็กปี 1 ไม่ประสาอะไรนักหลอก ” หนุ่ม พร้อมถือแก้วยกซดต่อ

บิ๊กเป็นเจ้าของร้านซาโมกูระ ทั้งที่จบวิศวะคอมพิวเตอร์มา แต่กับมาเปิดร้านอาหาร บิ๊กไม่ใช่เด็กเรียนเก่ง แต่เขาคลั่งไคล้การแฮก โดยรับงานประเภทเจาะระบบมากว่า 3 ปีแล้ว

ฝีมือของเขาอยู่ในระดับโลก ล่าสุดเข้าร่วมกลุ่มแฮกเกอร์ต่างประเทศไปเป็นนักรบไซเบอร์รับจ้าง
โดยร่วมงานในการเจาะระบบให้กับรัฐบาลประเทศยูเคนมาแล้วในนามกลุ่มแฮกเกอร์ชื่อ “Dark Pilot”
เขาไม่ค่อยอยู่เมืองไทย แต่ก็เปิดร้านนี้ขึ้นโดยร่วมหุ้นกับเพื่อนๆ ไฮโซ
เนื่องจากคุณพ่อเป็นเจ้าของธุรกิจด้านอสังหาริทรัพย์ตระกูลดัง เขามีกลุ่มเพื่อนที่คบหาอยู่เป็นระดับเศรษฐีในประเทศไทย ส่วนร้านอาหารซาโมกูระ นี้เป็นเพียงร้านที่เป็นแหล่งพูดคุยกับเพื่อนๆในวงการแฮกเกอร์ (รับแฮกแบบใต้ดินที่แลกเปลี่ยนข้อมูล) และร้านนี้ไม่รับคนทั่วไปเข้าร้าน แต่ต้องได้รับบัตรเชิญ หรือเป็นแขกที่เจ้าของร้านเชิญเท่านั้น

“ตอนนี้รัสเซีย และ จีน กำลังจับมือกันทางไซเบอร์อยู่ ต่อรองกับไอ้กัน ที่ผูกขาดอย่างแนบเนียนมานานแล้ว ไอ้กันนั้นมีอาวุธสำคัญคือ NSA ที่ต่อท่อ backdoor ไปทั้งอุปกรณ์สื่อสารและ Social network ทำให้รู้ความเคลื่อนไหวต่างๆ ทั่วโลกและสามารถรู้ถึงข้อมูลชีวิตคนๆหนึ่งได้ภายในพริบตา”  บิ๊กกล่าว
“ท่องอินเทอร์เน็ตในยุคนี้  พบแต่ บอทเน็ต (Botnet) และสปาย (spy)  มีให้เพียบ User หน้าใหม่กว่า 100 ล้านคน ทั่วโลกพร้อมให้เรายึดครอง

“แต่เชื่อมไหมเพื่อน พอไล่เส้นทางดีๆแล้ว มีไม่กี่แก๊ง ทุกแก๊งถูกควบคุมโดยประเทศมหาอำนาจคุมอยู่  หนึ่งในนั้นคือเรา Dark Pilot  แต่เรามันยังอิสระ เราเหมือนพวกโจรสลัดอยู่ ” บิ๊กพูด เหอๆๆ เสียงหัวเราะ พร้อมดื่มไปหนึ่งจอก

“โดยเฉพาะประเทศไทย หลายแก๊งชอบนักแล อินเทอร์เน็ตเร็ว Server ที่ออนไลน์ 24×7 จำนวนมาก User กว่า 24 ล้านคนที่ออนไลน์เป็นประโยชน์กับกองทัพนิรนามมากในการโจมตีชนิดทะลวงเป้า DDoS/DoS ซึ่งเป็นเป้าหมายที่ต้องการ”

“วันก่อนมี Notice มาในกลุ่มพวกเราสื่อสารกันผ่าน Deepweb ไร้ร่องรอย ไร้ตัวตนในการตรวจจับ มีข้อมูลที่น่าสนใจคือ มีบุคคลที่ถูกหมายหัวอยู่ในโรงพยาบาลที่นายทำงานอยู่”
บิ๊กกล่าว

+++++++++++++++++++++++++++++++++++++++++++
เสริม

Botnet คือ เครื่องคอมพิวเตอร์ไม่ว่าเป็น เครื่องแม่ข่าย พีซีตั้งโต๊ะ โน็ตบุ๊ค หรือกระทั่งมือถือ ที่มีการติดเชื้อ (เครื่องที่ติดเชื้อ malware และถูกใช้เป็นเครื่องมือเรียกว่า zombie) มีการติดเชื้อมากกว่า 1 เครื่องขึ้นไปแล้วถูกใช้เป็นเครื่องมือ เรียกกลุ่มเครื่องเหล่านี้ว่า Botnet

Backdoor คือ ช่องทางการเข้าถึงข้อมูลโดยที่ผู้ใช้งานไม่รู้ตัว จะปรากฎในรูปซอฟต์แวร์ หรือมาพร้อมกับอุปกรณ์สื่อสาร หรือจะผ่าน Protocol ที่กำหนดขึ้นเอง

DDoS/DoS คือการโจมตีชนิดหนึ่งที่ พร้อมส่งข้อมูลปริมาณมากมาพร้อมๆกันจากหลายจุดไปยังเป้าหมายที่เดียว หรือ จะมีเป้าหมายหลายที่ก็ได้ เป็นการยิงเพื่อให้เป้าหมายนั้นไม่สามารถใช้งานได้อย่างปกติ เรียกว่า DDoS (Distribute Denial of Services)  หากใช้เพียงลำพังจุดเดียวเป้าหมายจะมีเพียงที่เดียวหรือเป้าหมายมีหลายที่เรียกว่า Denial of Services

Deepweb คือเว็บไซต์กลุ่มใต้ดินที่ต้องการซ่อนตัวเพื่อไม่ให้มีใครเข้าถึงได้โดยง่าย ต้องใช้โปรแกรม tor (The Onion Router) เนื่องจากการ query domain name จะแต่ต่างกับการติดต่อสื่อสารทั่วไปชื่อโดเมนเป็นชื่อที่เข้ารหัสและนามสกุล .onion  เป็นพื้นที่ Anonymous อย่างแท้จริงเพราะไม่ปรากฎบนอินเทอร์เน็ตทั่วไปที่เราใช้งานอยู่ ส่วนใหญ่เป็นของผิดกฎหมายเช่นพวกค้าของเถื่อนและพวกที่แลกเปลี่ยนฐานข้อมูลบุคคลและบัตรเครดิต ที่เรียกว่า Market place เส้นทางสายไหม (Silk Road) รวมสินค้าเถื่อนที่หาไม่ได้บนอินเทอร์เน็ต รวมถึงเป็นศูนย์รวมการบัญชาการ botnet ของเหล่าบรรดาแฮกเกอร์  ปัจจุบันทาง Deepweb เป็นที่จับตามองของ FBI และหน่วยสืบราชการลับหลายประเทศ

ภาพประกอบ Deeweb

+++++++++++++++++++++++++++++++++++++++++

เป็นที่ต้องการตัวของแก๊ง RedFox ที่จะจ้างเราเป็นเงินสูงถึง 8 หลัก หากปลิดชีวิตคนนี้ได้ เพราะเขาเป็นผู้ก่อการร้าย ได้ข่าวว่ามีการหักหลังกัน หนีมากลบดานที่เมืองไทยมาสักพักแล้ว ทั้งแก๊ง Redfox นักค้าอาวุธ รายใหญ่ของโลก รวมถึงรัฐบาลอเมริกาก็ต้องการตัว

แต่ไอ้กันฯ นั้นมันแค่ต้องการตัวเป็นๆ กลับประเทศมัน  ส่วนแก๊งที่จะจ้าง Dark Pilot นี้ต้องการให้ตายในเมืองไทย เรื่องจะเงียบ เพราะเมืองไทยปิดปากได้ง่ายถ้ามีอะไรหลุนทับขา

“ข้อมูลแค่นี้ถึงชีวิตได้หรือไง” ราเชนถาม

“คนในกลุ่ม Dark Pilot เคยทำมาแล้วในอิหร่าน” บิ๊กตอบ

“แล้วคนไข้คนนั้นชื่ออะไร” ราเชนถาม

บิ๊กส่ายหัว

“จะบอกก็ต่อเมื่อนายรับที่จะมาร่วมงานนี้กับเรา จากนั้นต้องทำสัญญากับเรา ถ้างานสำเร็จนายรับไป 8 ล้านบาท  งานนี้มันต้องอาศัยคนในแบบนาย”

บิ๊กกำลง Social Engineering

“เงินมันเยอะนะเพื่อนสำหรับฉันตั้งตัวได้เลย  …นี้คุยเรื่องนี้ลืมเรื่องงานมิตติ้งที่จะชวนรินมาเลยหรือเปล่า ? ” ราเชนถาม พร้อมกระดกแก้ว เป็นแก้วที่ 5

“นายมันรวยอยู่แล้ว เงินพวกนี้หามาได้ นายไปทำอะไร” ราเชน ถามแล้วดื่มอีก
“อันที่จริง เงินไม่สำคัญเลย เพื่อนเอ่ย ” บิ๊กกล่าวต่อ

เราต้องการให้กลุ่ม Dark pilot  ยกระดับให้เป็นเบอร์หนึ่งในกลุ่มแฮกเกอร์ระดับโลก เรามีกัน 5 คนทุกคนก็มีภาระหน้าที่

“และอีกอย่าง เราเป็นพวกแฮกซาดิส กันทั้งทีม มาเป็นพวกเราไหมล่ะ” บิ๊กถาม

“Hacksadism”

ราเชน นั่งนิ่ง … มือจับแก้ว แล้วส่องสายตา ออกไปด้านนอกร้าน

เสียงเพลงบรรเลง saxophone ดังขึ้นในร้านซาโมกูระ  … เพลง โธ่ ผู้หญิง .. ธเนศ วรากุลนุเคราะห์ ชุดแดนศิวิไลซ์ 2528

….รักของหญิง อยากรู้จริง เป็นอย่างไร บอกว่ารัก รักแค่ไหน ไม่เข้าใจ หรือเกรงทำ
โธ่ เธอ เธอ เธอ จ๋า ทุกวาจา น่าจะจำ จะบอกให้บอกรัก รักสักกี่คำ ถึงจะจำและซึ้งใจ….

++++++++++++++++++++++++++++++++++++++++++++++

“s1n3ad”  ณ ห้องปฏิบัติการคอมพิวเตอร์โรงพยาบาลสยามเฮ้ลธ์ฮอสพิทอล

“มันเป็นภาษาจาร์กอน แฮกเกอร์ชอบใช้” ธีรานนท์กล่าวเบาๆ
“อ๊อด อย่าพิมพ์อะไรมากกว่านี้ หลักฐานเสียหมดแล้ว พี่ขอดูหน้าเครื่องหน่อย” จากนั้นธีรานนท์ เดินไปที่ห้อง IDC
ห้อง IDC ที่นี้ก็เหมือนกับทุกๆที่ คือมีประตูกระจกแล้วมีระบบ fingerprint เพื่อยืนยันตัวตนในการเข้าห้อง มีกล้องวงจรปิดด้านหน้าประตู และภายในห้องเฉพาะห้องนี้มีทั้งหมด
 3 ตัว

“User ซินแบด นี้มีใครเป็นคนสร้างหรือเป็นเจ้าของไหมครับ”  ธีรานนท์ ถามวิชัย องอาจ และอนันต์
 ทุกคนส่ายหัว พร้อมออกอาการ งงงวย

“ผมคิดว่าโรงพยาบาลคุณโดนแฮกอย่างแน่นอนแล้ว” ธีรานนท์ กล่าว

แล้วคุณองอาจ คุณคิดว่าจะแจ้งตำรวจไซเบอร์ (TCSD) เพื่อดำเนินคดีไหม ?  อ๊อดถาม
องอาจตอบ ผมคงไม่แจ้งเพราะ  หากเป็นข่าวขึ้นมา จะทำให้ความน่าเชื่อถือของโรงพยาบาลเราลดลงได้

TCSD :  Technology Crime Suppression Division กองบังคับการปราบปราบการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี  ภายใต้สำนักงานตำรวจแห่งชาติ หรือชื่อย่อภาษาไทย บก. ปอท.

“เรามีทางออกสวยๆ สำหรับเรื่องนี้ไหม?”  องอาจขอคำแนะนำ

ยังไม่มีใครตอบ
“ทันใดนั้น อุปกรณ์ Cloning Hard disk ขึ้น 100% ในการ copy image”
อ๊อดเดินเข้าไป setting ต่อ
ส่วนธีรานนท์ ดูที่หน้าจอ โดยที่มือของเขาไม่ได้สัมผัสแป้นคีย์บอร์ด ได้เพ่งมอง command cat /etc/passwd แล้วขึ้นรายชื่อ

nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
libuuid:x:100:101::/var/lib/libuuid:
syslog:x:101:104::/home/syslog:/bin/false
messagebus:x:102:105::/var/run/dbus:/bin/false
sshd:x:103:65534::/var/run/sshd:/usr/sbin/nologin
s1n3ad:x:1001:1001:s1n3ad team,101,,:/home/s1n3ad:/bin/bash
mysql:x:105:113:MySQL Server,,,:/nonexistent:/bin/false
dnsmasq:x:106:65534:dnsmasq,,,:/var/lib/misc:/bin/false
bind:x:107:114::/var/cache/bind:/bin/false

ทางออกที่ดีที่สุด คือ ให้เว็บไซต์กลับมาดูได้ครับ
อ๊อด ดูเรื่อง services ไหนรันอยู่บ้างที แล้วถ่ายรูปไว้ก่อน
ธีรานนท์พูดกับอ๊อด  และคุณอนันต์
“file index ของเว็บอยู่ path ไหน”
อนันต์ ตอบ /var/www/html  เราใช้ Apache  เป็น Web Server ครับ “มี Mysql ในเครื่องด้วยเหรอครับ” ธีรานนท์ ถามต่อ
“ใช่ครับ” อนันต์ตอบ
อ๊อด ถ่ายภาพ services ที่รัน
แล้วเข้าไปใน path webserver ที่อนันต์บอก  “พี่นนท์ ถ้าพี่จะเก็บหลักฐานตอนนี้เยิ้นหมดแล้ว ลายนิ้วมืออ๊อดเต็มไปหมด” อ๊อดลำพึง
“ปักหมุด command ที่เริ่มของเราไว้ก่อน  และเป็นที่ทราบกันมากกว่า 2 คนแล้วว่า ส่วนที่เพิ่มขึ้นมาจากเรา ไม่ใช่อดีตของเก่า” เมื่อทุกคนที่รับรู้ อีอดบรรเลงคีย์บอร์ดต่อ
ไปที่ path web server แล้วพบว่ามี file ดังนี้

drwxrwxr-x  8 siamh siamh 4096 May  6 14:45 .
drwxrwxr-x  7 siamh siamh 4096 May  7 13:59 ..
-rw-rw-r–  1 siamh siamh  594 Mar 27 14:26 cert.der
drwxrwxr-x  2 siamh siamh 4096 Apr 30 11:45 css
-rw-rw-r–  1 siamh siamh    0 Jan  9 17:28 favicon.ico
-rw-rw-r–  1 siamh siamh  356 Jan  9 17:28 .htaccess
drwxr-xr-x  2 root    root    4096 May  6 14:47 htpasswd
drwxrwxr-x  3 siamh siamh 4096 Jan  9 17:28 img
-rw-rw-r–  1 siamh siamh 1586 Apr  9 17:28 index.php
drwxrwxr-x  2 siamh siamh 4096 May  4 13:49 js
drwxrwxr-x 11 siamh siamh 4096 Mar 27 14:27 packages
drwxr-xr-x  3 root    root    4096 May  6  15:39 index.html

“หน้าเพจหน้าแรกแก้ไขล่าสุดประมาณเดือนไหนครับ” อ๊อดถาม อนันต์
อนันต์กล่าว “ผมดูแลเฉพาะ Server เรื่องโค๊ดเว็บต้องเป็นหนุ่ม หนุ่มเป็น Web Master” “เขาไม่ได้อยู่ในห้องนี้ใช่ไหมครับ” อ๊อดกล่าว
“ใช่ครับเขาอยู่ห้องธุระการ กำลังจะโอนมาที่นี้แต่คิดว่ารอให้ตึกใหม่ที่บางนาสร้างเสร็จก่อนถึงมาอยู่ เนื่องจากห้องที่เราอยู่ปัจจุบันไม่พอรับที่นั่งได้ครับ”
“แต่คิดว่าประมาณเดือนเมษา เราแทบไม่ได้อัพเดทอะไรอีกนะ เนื่องจากมีวันหยุดยาวที่รัฐบาลประกาศตั้งแต่สงกรานต์ จนถึงเดือนพฤษภาคมนี้ล่ะครับ”
“ประมาณวันที่ 9 เมษา หรือเปล่าครับ”อ๊อดถาม   “ประมาณนั้นมั้งครับ” อนันต์ตอบ
มีไฟล์ index.php วันที่ 9 เมษา และ index.hmtl วันที่ 6 พฤษภาคม เวลา 15:39

อ๊อดต่อสายแล้วเข้าโน้ตบุ๊คส่วนตัว แล้ว SSH เข้าไปที่ Server  พร้อมทั้งบรรเลง เป็นภาษา System admin ว่า
ps -ef  <พร้อม Capture ผลลัพธ์>
service –status-all
top
last
history

ทุก command  เขาได้ capture ผลลัพธ์ ใส่ในโน้ตบุ๊คส่วนตัวของอ๊อด
เรามาดูไฟล์ที่แฮกเกอร์สร้างขึ้นกัน  index.html
รูปหัวกระโหลก พร้อมเสียงเพลงของวง AC/DC

ดูสิโค๊ดมันเป็นเช่นไร

cat index.html

“เวงกำ” อ๊อดกล่าว มันเข้ารหัสไฟล์ไว้อ่านโค๊ดไม่ออกเลย

“งั้นผม point การเรียกหน้าใหม่ให้ไปอ่าน index.php แล้วกัน” อ๊อดกล่าว

ธีรานนท์ อยู่ด้วย กล่าวว่า “Java script ตื้นๆ  ตัวนี้แกะได้ แต่นี้เวลา 12:40 น.” แล้วทำให้มันใช้ได้ก่อนแล้วกัน ไว้เมื่อเครื่องใช้งานได้อย่างปกติแล้ว ค่อยมาดู
เบื้องหลังโค๊ดที่เข้ารหัสนี้ว่ามันซ่อนอะไรอยู่บ้าง

ด้วยการบรรเลงแป้นคีย์บอร์ดของอ๊อด ไม่นานหน้าเว็บไซต์ก็กลับมาปกติ
เย้ !!! ^___^  หน้าแรกขึ้นแล้ว มาเป็นปกติแล้ว” อนันต์ดีใจ

ช้าก่อน แล้ว App ที่ ผอ. ต้องแสดงในงานล่ะ  มันยังเชื่อมต่ออยู่ไหม
App ชื่ออะไรครับ  SiamH
อ๊อดใช้ command
whereis SiamH พบว่า  /var/www/public/html/siam-h
ls -tla  ดูหน่อย  ธีรานนท์ กล่าว แล้ว capture มาดูหน่อย
อ๊อดผมเห็นแล้ว ผมขอ reboot service siam-h ใครพอมี app ตัวนี้บ้างไหมครับ ลองติดต่อสิว่าเชื่อมกับ Server ได้ไหม

“ผมมี” วิชัยเปิดมือถือตนเองขึ้น คลิก icon siam-h application โรงพยาบาล
App นี้ทำหน้าที่บอกตำแหน่งเพื่อขอความช่วยเหลือ แบบ Location base เพื่อแจ้งพิกัด และ สามารถ conference คุยกับหมอได้
“ใช้งานได้ครับ ตอนนี้มีอาจารย์หมอสมศรีออนไลน์ด้วย พร้อมให้ความช่วยเหลือ”
ดีครับก่อนหน้านี้ผมติดต่อ app นี้ไม่ได้นะตอนนี้กลับมาใช้งานได้ปกติแล้ว

เย้ๆๆ !!  รอดแล้วพวกเรา  วิชัย  องอาจ และ อนันต์ ทั้ง 3 ยืนกอดกัน ประหนึ่งเชียร์ฟุตบอล

ธีรานนท์ มองเห็นว่า “มี process ในเครื่องที่มีการซ่อนอยู่นะ  เหมือนมีอะไร query ข้อมูลตลอด  ดูสิ Network interface กระพิบบ่อยๆ เหมือนมี traffic วิ่งอยู่ตลอด เปิดโปรแกรมแค่นี้ ทำไม CPU มันขึ้นนะ”

“แล้วต้องทำอย่างไงต่อดีล่ะ” องอาจ

“ประคองอาการไม่ให้ services web server down และ ไม่ให้ app ขาดการติดต่อ”

“งานเลิกกี่โมงครับ” ธีรานนท์ถาม

“ไม่แน่ใจ นันต์ เอ๊งลองโทรไปหา หมวย ทีสิ” “ใครเพ่ หมวย” อนันต์กาเกงฟิตยืนถาม  “ก็หน้าห้องผู้อำนวยการไง เอ๊านี้โทรไปถามทีว่างานเลิกกี่โมง”

“ได้ครับ”

ระหว่างรอคำตอบ

องอาจกล่าว “ขอบใจพวกเรามากนะ นับว่าเป็นปฏิบัติการกู้ภัยที่ฉุกเฉินสุดๆ งานหนึ่งในชีวิตผมเลยก็ว่าได้ แต่ไม่ได้หมายความว่างานนี้จะจบแล้วนะคุณต้องไปช่วยสืบหาแฮกเกอร์ให้ผมด้วย”

“ถ้าคุณจะเอาคน (ผู้กระทำความผิด) มาลงโทษเลย ต้องร่วมกับตำรวจไซเบอร์ คุณต้องแจ้งความ  แต่ถ้าเอาแค่เบาะแสได้ IP ต้องสงสัย นี้ผมพอหาให้ได้อยู่แล้ว”
ธีรานนท์กล่าว

“ร่องรอยที่พบในหลักฐาน จะสะท้อน แรงจูงใจ (Motivation) ในการกระทำเสมอ”
ธีรานนท์กล่าว
ดังนั้นการสืบมิใช่ทางเทคนิคอย่างเดียวจะได้คำตอบ

องอาจใตร่ตรอง “นายว่าไงวิชัย  เรื่องนี้ไปถึงตำรวจหรือเปล่า ?”
“ผมว่ามันจะใหญ่ไปนะ” วิชัยตอบ
แล้วพวกเราจะตอบ ผอ. อย่างไง ? กับเรื่องที่เกิดขึ้น ??

“พี่เขาเลิกบ่ายสองครึ่งครับ” อนันต์กล่าว  ขณะนี้เวลา 13:05 นาที  หันไปอีกที ไม่พบ รินและพุกแล้ว

“หิวข้าวกันหรือยังครับ” องอาจกล่าว   นันต์เอ๊งไปซื้อข่าวให้พี่หน่อยล่ะกัน ที่โรงอาหารเราเนี้ย
เอ๊า มื้อนี้ผมเลี้ยงเอง นั่งกินกันที่นี้แหละ”  องอาจกล่าวอย่างผู้นำ
“กระดาษมาจดมาครับ พี่ๆผมไปซื้อให้”
อนันต์รับเงินจากองอาจ จำนวน 300 บาท   อนันต์ทำตา o_O  พี่จะพอเหรอครับ  ตั้ง 5 คนนะเพ่

“ตอนนี้ตรูมีเท่านี้หว่า  ต้องไปกดเงินก่อน หากเกินงบ เอ๊งออกไปก่อน  …”  องอาจกล่าวแบบไม่อาย

เสียงเปิดประตูดังขึ้น  ราเชน (หนุ่ม) เดินเข้ามาที่ห้องคอมพ์ฯ
“สวัสดีครับพี่องอาจ” ได้ข่าวว่าโดนเจาะเหรอครับ เป็นไงบ้าง มีอะไรให้ผมช่วยหรือเปล่า? ราเชนกล่าว

=++++++++++++++++++++++++++++

ท่ามกลางอากาศร้อนอบอ้าว มีเพียงสายลมจากพัดลมติดข้างเสา ณ. ศูนย์อาหารเมืองทองธานี พัดส่ายไปส่ายมา
เวลายามนี้คือ 19:30 น ของวันที่ 24 เมษายน 2558

“กระเพาหมูสับใส่ไข่ดาวสุกค่ะ” เสียงพุกสั่งอาหาร
“รินเธอเอาน้ำอะไร เดี๋ยวชั้นไปซื้อ”
“น้ำเปล่าแล้วกันจ๊ะ” ศิรินท์ตอบ
ทั้งคู่มาทานอาหารที่นี้เป็นประจำ เนื่องจากพุกพักอยู่คอนโดแถวนี้กับคุณแม่
ส่วนศิรินท์พักที่บ้านแถวดอนเมือง ก็ถือว่าไม่ไกลจากที่พักของพุก ทั้งคู่ดูสนิทกันดี

เมื่อทั้งคู่ได้อาหารที่สั่งหมดแล้ว ที่โต๊ะนั่ง
“รัฐบาลประกาศอาทิตย์หน้าเป็นวันหยุดยาว ตั้งแต่ 1 – 5 พค นี้ เห็นว่าโรงพยาบาลให้ฝ่ายไอทีหยุดนะ รวมทั้งวันที่ 4 พค ด้วย หากไอทีหยุดเราก็ต้องหยุดด้วยเพราะเข้าห้องทำงานไม่ได้ โผล่มาอีกก็วันที่ 6 พค เลยล่ะ ถือว่าหยุดยาวเลยนะ”
“เธอมีแผนไปเที่ยวที่ไหนหรือเปล่า” พุกถาม
“วันที่ 2 นี้เรามีบัตรเชิญไปที่ร้านอาหารแห่งหนึ่ง ส่วนวันอื่นๆ คงไม่ได้ไปไหนเพราะช่วงสงกรานต์ไปมาแล้วกับครอบครัว ไปด้วยกันไหมพุก” รินตอบ
พุก “ขอดูก่อนนะน่าสนุกดีนะ ร้าน ชื่ออะไรอ่ะ

“ซาโมกูระ” รินตอบ “เฮ้มันญี่ปุ่นเลยนะ” พุกตอบ  อยู่ที่ไหน ?

 “สีลม” รินตอบ

“ครั้งแรกก็ไม่คิดอยากจะไปหลอกแต่ที่ถูกเชิญมีเพื่อนสมัยเรียนวิศวะคอมฯ ที่เกษตรศาสตร์ อยู่ด้วยล่ะ  เลยไปก็ไป แล้วพุกล่ะมีแผนไปเที่ยวไหนไหมล่ะ ?” พุกตอบ

“คงไม่ได้ไปไหนล่ะจ้า ช่วงนี้ต้องประหยัดการใช้จ่าย”  รินยิ้ม ตอนนั้นต้นเดือนอยู่นะ คติประจำใจของพวกเรา ต้นเดือนกินหรู กลางเดือน sameๆ ปลายเดือนยาจก มิใช่เหรอ ? อิอิ

พุกถามต่อว่า “ที่ ซาโมกูระนั้นมีอะไร ?” รินยังไม่ทันได้เอ่ยตอบ ก็ได้ยินเสียง

“ขอนั่งด้วยคนได้ไหมครับ” เสียงหนุ่ม ราเชน  โปรแกรมเมอร์ผู้ที่เขียนเว็บไซต์ให้กับทางโรงพยาบาลฯ พร้อมยกจานอาหารมาวางที่โต๊ะ

หนุ่ม ราเชน คนนี้ตามจีบศิรินท์อยู่ มาระยะหนึ่งแล้ว
แล้วราเชน(หนุ่ม) กล่าวต่อไปว่า “อาทิตย์ต้นเดือนหน้ามีวันหยุดยาวนะครับรัฐบาลประกาศ โรงพยาบาลเราเห็นชอบในหลักการ ไอทีเราหยุดด้วยครับ
ไม่ทราบว่าใครยังว่างอยู่ไหมครับ?”

ทั้ง 3 คนได้พูดคุุยกัน เวลาผ่านไปครึ่งชั่วโมง ทุกคนแยกย้ายกันกลับบ้าน

พุกเดินข้ามถนนเพื่อไปยังคอนโดที่พักตนเอง ขณะที่พุกขึ้นลิฟท์ไปที่ชั้น 8 อันเป็นที่พักของตนอยู่กับแม่ลำพังเพียง 2 คน สังเกตเห็นว่ามีชายหนุ่มรูปร่างกำยำ 2 คน ใส่ชุดดำ ติดตามเธอมาด้วย พุกจึงวิ่งเข้าห้อง

“แม่ ๆ มีคนตามมา” พุกกล่าว

สักครู่ไม่นานได้ยินเสียงอ๊อด ดังขึ้นที่ห้อง
“ติ๋งต๋อง” 3 ครั้ง   พุกเหลือบดูที่ช่องรูเข็มที่บานประตู พบชายทั้ง 2 ยืนอยู่หน้าห้อง

แม่ พกมือถือเตรียมโทรแจ้ง รปภ  คอนโด  “เขาเข้ามาได้ไง ที่นี้ให้เฉพาะคนในเข้าได้” แม่พุกถามด้วยความสงสัย

พุกเตรียมเปิดประตู บอกแม่ว่าถ้าเห็นท่าไม่ดีให้โทรแจ้ง รปภ และตำรวจ  พุกเปิดประตูออก

“พวกคุณมีธุระอะไร” พุกถาม

ชาย 2 ยื่นจดหมายให้พุก แล้วบอกว่า  “เรามาทวงเงิน” จากเสี่ยขาว

“คุณค้างเงินที่กู้จากนายเรากว่า 5 เดือน” แล้วสิ้นเดือนนี้ คุณต้องจ่ายมา ไม่งั้นคุณเจ็บ” พวกเรามาเตือนคุณไว้ก่อน

อย่าลืม วันที่ 30 นี้คุณต้องจ่าย ยอดที่ค้างรวมดอกแล้ว 45,000 บาท

“จดหมายนี้เป็นรายละเอียดที่คุณต้องทำตามการจ่ายเงินให้ตรงเวลา เมื่อไม่ตรงตามนัด อย่าหาว่าเราไม่เตือน”

ชายทั้งคู่เดินจากไป

พุกสวมกอดแม่ นั่งคุกเข่าที่ห้อง เนื้อหัวสั่น ด้วยความกลัว  พุกร้องไห้ แล้วพูดเบาๆว่า “แม่ลูกไม่น่าไปยืมเงินนอกระบบเลย…”
“ไม่เป็นไร ไม่เป็นไร ลูกเรื่องมันเกิดขึ้นแล้วเราต้องหาทางแก้ไข”

แสงจันทร์ส่องรอดหน้าตาลงมา ทั้งคู่สวมกอดกันทามกลางห้องที่แสนเงียบ ได้ยินเพียงเสียงร้องไห้ สะอึกสะอื้น

++++++++++++++++++++++++++++++++++++++++++++++++++++
แนะนำตัวละคร
ร้านซาโมกูระ  เป็นร้านอาหาร ที่ไม่เชิญคนทั่วไปมาที่ร้าน ต้องมีบัตรเชิญ ส่วนใหญ่เน้นเครื่องดื่มและการฟังเพลง ประเภทเพลงส่วนใหญ่เป็นเพลง Rock 80 บิ๊กและกลุ่มเพื่อนไฮไซ เป็นเจ้าของร้าน
ร้านนี้ในวงการแฮกเกอร์ระดับโลกจะรู้จักกัน และชอบมาที่นี้เพื่อแลกเปลี่ยนความรู้ ไม่เฉพาะคนไทยแต่มีต่างชาติมาร้านนี้ด้วย อยู่ย่านสีลม เป็นตึกสูง 10 ชั้น ร้านอยู่ชั้นที่ 10

บิ๊ก สุธีย์  เจ้าของร้านซาโมกูระ  ผู้คลั่งไคล้การแฮก อยู่ในกลุ่มแฮกเกอร์ที่ชื่อ Dark Pilot  ที่มีเครือข่ายอยู่ทั่วโลก มีความต้องการให้กลุ่มแฮกเกอร์ของตนเป็นเบอร์ 1 ในวงการ  ที่มามีฐานะในระดับเศรษฐี มีธุรกิจที่ทำหลักของร้านอาหารและอสิงหาริมทรัพย์ ขายที่ดิน เช่าที่ดิน สร้างตึก คอนโด เป็นต้น
เป็นเพื่อนสมัยเรียนวิศวะเกษตร กับราเชน หนุ่ม

หนุ่ม ราเชน เพื่อนกับบิ๊ก ทำงานเป็นโปรแกรมเมอร์โรงพยาบาลสยามเฮ้ลธ์ฮอสพิทอล  ชอบมานั่งดื่มกินที่ร้านบิ๊กทุกๆ คืนวันเสาร์  เขาจบจาก MIT มหาวิทยาลัยชั้นนำของโลก ด้านซอฟต์แวร์ประยุกต์ เมื่อกลับมาถึงประเทศไทย มีบริษัทต้องการให้เขามาทำงานหลายที่ แต่ที่แรกที่เรียกเขาทำงานคือโรงพยาบาลสยามเฮลป็ฮอสพิทอล เขาไม่ได้คิดอะไรมากจึงทำงานมากว่า 5 เดือนแล้ว ในระหว่างที่ทำงานเขาได้รู้จักบริษัท Odyssey soft  ที่มาพัฒนาโปรแกรม ERP ให้ ทาง Odyssey soft สนใจในตัวเขา และเขาได้พบศิรินท์หญิงสาวที่เขาหลงรักมาในสมัยเรียนมหาวิทยาลัย

พุก  พีระวัฒน์ เป็นเพื่อนศิรินท์ (ริน)  เป็นชายแต่ค่อนไปทางผู้หญิง (เพศที่3) พุกมีฐานะยากจน อยู่ลำพังกับแม่ ที่แม่ไม่ได้ทำงานอะไร รายได้มาจากพุก และพุกเป็นหนี้นอกระบบอยู่ ที่เป็นหนี้ก็เพราะต้องการนำเงินไปรักษาดวงตาให้แม่ เมื่อทำการผ่าตัดเสร็จสิ้นแล้ว พุกกะว่าจะหาจ๊อบพิเศษทำเพื่อหาเงินคืนเนื่องจากดอกเบี้ยสูงมาก ทบต้นทบหน้าทบหลังทำให้พุกเริ่มหมดปัญญาชักหน้าไม่ถึงหลัง

เสี่ยขาว นักปล่อยเงินกู้นอกระบบ เป็นที่จักกันดีในย่านเมืองนนท์ ว่าเป็นคนที่ปล่อยเงินง่าย มีกลุ่มอัธพาลหัวไม้เป็นลูกน้องเสี่ยขาวมากมาย ไว้ทวงหนี้หากจ่ายชำระไม่ตรงเวลา
ที่สำคัญเสี่ยขาวเป็นลูกค้าที่โรงพยาบาลสยามเฮ้ลธ์ฮอสพิทอล มาตรวจสุขภาพทุกปีที่นี้

redFox องค์กรค้าอาวุธเถื่อน ที่มีอิธพลต่อกลุ่มนายทุนในหลายประเทศ เป็นองค์กรที่ร่ำรวยมาก

+++++++++++++++++++++++++++++++++++++++++++++++

 อ่านตอนจบที่  http://nontawattalk.sran.org/2015/06/hacker-here-4.html

สงวนลิขสิทธิ์ SRAN Technology (www.sran.net)
นนทวรรธนะ  สาระมาน
Nontawattana  Saraman

ผู้เขียน
11/05/58

Hacker Here ตอนที่ 2

Digital Holes : ตอน Hacker Here ที่นี้มีแฮกเกอร์ ตอนที่ 2 

เวลาขณะนี้ 11:05 น. 
“ส่วนคุณนนท์ ภายใน 2 ชั่วโมงนี้หากคุณช่วยเราได้ ดังนี้
(1) Web Server อันมี Application ที่ ผอ. และคณะ จำเป็นใช้เพื่อสาธิตการให้บริการประชาชน กับมาใช้งานได้อย่างปกติ
(2) หน้าเว็บไซต์หลักของโรงพยาบาลกลับมาใช้งานได้ปกติ
(3) หาสาเหตุของการที่ Web Server ทำงานผิดปกติ
(4) แนะนำทางแก้ไขเพื่อไม่เกิดปัญหานี้อีก

ผมมี งบค้างท่ออยู่ จำนวนไม่มาก ประมาณ 40,000 บาท คุณจะขอมากกว่านี้คงไม่ได้เพราะทางผมมีให้แค่นี้ แต่หากคุณช่วยเราไม่ได้ตามข้อที่กล่าวมาเงินก้อนนี้จะจ่ายเพียงค่าน้ำมันให้คุณเท่านั้น ส่วนอาหาร น้ำดื่มนั้นวันนี้ผมเลี้ยงพวกคุณเอง โทษทีนะวงเงินนี้ผมอนุุมัติได้ เซ็นได้เลยถ้าไปมากกว่านี้เรื่องจะยาวแล้ว” องอาจ พูด ด้วยน้ำเสียงชัดเจน สมเป็นหัวหน้าแก๊ง

ธีรานนท์คิด “องอาจ นี้เขาชัดเจนดี ส่วนใหญ่ที่เจอให้เราทำก่อนทุกที งบประมาณค่าจ้างอะไรไม่เคยคุยกลางที่ประชุมให้คนอื่นรับรู้ด้วย ไม่ก็ตั้งงบปีหน้าไปโน้นเลย  หรือโดนใช้งานฟรี เสมือนมูลนิธิอย่างไงอย่างงั้น”

ธีรานนท์ กล่าวขึ้นมาว่า  “พวกเราได้เลือกมาอยู่ที่นี้แล้ว และทางคุณองอาจ ก็ไว้ใจให้เรามาทำงานนี้ ผมรับทำโดยไม่ต่อรองใดๆ”
“ภายใน 2 ชั่วโมง ต่อจากนี้ผมจะแก้ไขปัญหาที่พวกคุณประสบอยู่ให้กลับมาใช้งานได้อย่างปกติ”  ธีรานนท์ กล่าว

เมื่อทุกคนได้ฟังเช่น จากสีหน้าที่เคร่งเคลียด กลับเปลี่ยนเป็นมีความหวังขึ้น

ธีรานนท์กล่าว “เริ่มงานแจกแจงงานเป็น 2 ส่วน คือการ Recovery และ Analysis
(1) Recovery ให้หาจอมาต่อที่หน้าเครื่อง Web Server และให้ boot OS ผ่าน USB (เป็นเครื่องมือหากินของทาง Ghostnet Buster Team :GBT)
จากนั้นเมื่อเข้า OS (Operating System) ได้แล้ว  ทางเราจะทำการขอ cloning Harddisk เครื่องนี้ด้วย  เราจะไม่ทำอะไรกับเครื่อง Web Server จริง เผื่อว่าทางนี้ต้องการ
หาผู้กระทำผิดมาลงโทษตามกฎหมาย ก็จะได้คงเหลือหลักฐานทางดิจิทัลเพื่อให้ตำรวจได้
ส่วนนี้อ๊อด ลุยได้เลย”

(2) Analysis วิเคราะห์เส้นทางการติดต่อสื่อสาร และ export log จาก อุปกรณ์ Log management มาดูอย่างน้อยต้องดูย้อนหลังได้ 90 วัน ตามกฎหมายกำหนด
“ส่วน Analysis  ขอคนที่รู้แผนผังระบบเครือข่ายและการเชื่อมต่ออินเทอร์เน็ตทั้งหมด ของโรงพยาบาลที่นี้มา และ Log ที่คุณส่งค่ามามาจากอุปกรณ์ไหนบ้างนั้น มาคุยกับผม”
ธีรานนท์พูดต่อ

ธีรานนท์คนนี้ ทุกเช้า เขามักจะชอบมานั่งอ่าน Log เป็นประจำ ปกติเขาตื่นประมาณ ตี5 ของทุกวัน เริ่มต้นจากการอ่าน Log ที่เกิดจากระบบ Honeynet
ที่เขาสร้างขึ้นในหลายประเทศเป็น VPS กระจายไปที่อเมริกา อังกฤษ ญี่ปุ่น สิงค์โปร และประเทศไทย เขาสร้าง sandbox ประเภท malware analystic
เพื่อศึกษาการโจมตีทางไซเบอร์ (Cyber Attack) โดยเฉพาะรูปแบบการโจมตีที่เรียกว่า APT (Advance Presistance Threat)
ที่เขาสังเกตว่ามีมากขึ้นเรื่อยๆจากกองทัพไซเบอร์ไร้ที่ไร้ตัวตน (Anoymous) เมื่อพบ log file ที่มีรูปแบบที่น่าสนใจ เขาก็นำเข้าสู่กระบวนการวิเคราะห์ผ่าน Packet sniffer
แล้วเขานำมาเขียนเป็น signature เพื่อสร้าง rule ในการป้องกัน เช่น snort , suricata , bro-ids และ yara ซึ่งเขามีทักษะการเขียน rule ได้เป็นอย่างดี
รวมทั้งเขาอยู่ในกลุ่ม community IOC (Indicator of Compromise) ที่ทำให้เขารู้ว่า รูปแบบของโจมตีได้อย่างแม่นยำและถูกต้องมากขึ้น

ทั้งหมดนี้ถือว่าเป็นงานอดิเรกที่เขาด้วยความเต็มใจ และมีความสุขที่ได้ ได้เรียนรู้ อันสร้างความแข็งแกร่งในตัวเขาอย่างต่อเนื่องมาถึงทุกวันนี้
จนเขายึดเป็นอาชีพอันสุจริตที่หาเลี้ยงชีพตอนเองได้มาจนถึงทุกวันนี้

พูดง่ายๆว่าที่รายได้ส่วนหนึ่งให้บริษัท Ghostnet Buster Team (GBT) อยู่รอดได้ ก็มาจากเขาในการส่ง signature เข้าโรงงานอุตสาหกรรมด้านระบบรักษาความมั่นคงปลอดภัยทางข้อมูล
ให้กับบริษัทยักษ์ใหญ่ ซึ่งเป็นบริษัทข้ามชาตินี้เอง

++++++++++++++++++++++++++++++++
เสริม
Honeynet คือ การสร้าง Honeypot รวมกันให้กลายเป็นระบบเครือข่าย โดย Honeypot นั้นจะเป็นการสร้าง OS หรือ Application ที่รันอยู่ให้มีช่องโหว่ตาม
CVE (Common Vulnerability and Exposures หน่วยงานที่ประกาศและกำหนดหมายเลขช่องโหว่ที่ค้นพบ ส่วนใหญ่หาก CVE ประกาศแล้วหน่วยงานไหน
ที่ยังมีช่องโหว่นั้น ก็จะไม่มีความปลอดภัย เพื่อถือว่าช่องโหว่นี้เป็นที่รับรู้กันทางสาธาระแล้ว) honeynet ยังคงอยู่ในรูปแบบ VM (Virual Machine)
สร้างเครื่องเสมือนมากกว่า 1 เครื่องแล้วจำลองให้เป็นระบบเครือข่ายภายในคอมพิวเตอร์ตัวเดียวก็ได้ ซึ่งเป็นเทคนิคที่ธีรานนท์ ทำขึ้นในการติดตั้งหลายประเทศ

VPS: Virtual Private Server คือ VM ประเภทหนึ่งที่ผู้ให้บริการติดตั้งผ่านระบบ Cloud computer ให้เรา creat (สร้าง) จาก image OS ที่ต้องการแล้วรันในเครื่องพร้อมทั้ง
ค่า IP Address ที่เป็น Public เพื่อใช้ในการติดต่อสื่อสาร

snort : โปรแกรม IDS (Intrusion Detection System) เป็น Open source เป็นที่นิยมใช้งานมากที่สุด ปัจจุบันบริษัท SourceFire เป็นผู้ดูแลและ
ล่าสุดบริษัท Cisco บริษัทยักษ์ใหญ่ในการทำระบบเครือข่ายได้เข้ามาควบรวมกิจการกับ SourceFire ขึ้น มีการทำเป็นผลิตภัณฑ์อุปกรณ์ตรวจจับในเชิงพาณิชย์มากขึ้น  www.snort.org

suricata : โปรแกรม IDS(Intrusion Detection System) เป็น Open source ได้รับความนิยมมากขึ้นและการทำงานเหมือน snort การเขียน rule ก็เหมือนกันไว้เป็นการทดแทน
snort ได้ระดับหนึ่ง   www.suricata-ids.org

bro-ids : เป็นโปรแกรม IDS อีกประเภทหนึ่ง ซึ่งเป็นตัวที่เก่าแก่ที่สุดและมีพัฒนาการช้าที่สุด แต่ในช่วงปี 2011 เป็นต้นมาเริ่มได้รับความนิยมมากขึ้น ทางเลือกสำหรับ hardcore IDS เนื่องจาก rule ที่เขียนค่อนข้างอิสระและทำอะไรได้มาก เป็นตัวที่เล่นยากเอกสารอ่านยังถือว่าน้อยอยู่

ทั้ง 3 โปรแกรมส่วนใหญ่ใช้มาในงาน Network Security Monitoring (NSM)

yara : โปรแกรมวิเคราะห์พฤติกรรมการติดเชื้อมัลแวร์ (Malware) โดยสามารถเขียนเป็น rule base เพื่อเพิ่มการตรวจจับ เป็นพื้นฐานของโปรแกรมแอนตี้ไวรัสในยุคใหม่

sandbox : คือ การจำลองระบบปฏิบัติการเสมือนซ้อนเข้าไปกับระบบปฏิบัตการจริง (Operating system) ใช้ในการวิเคราะห์ว่าพฤติกรรมการต่างๆได้ดีโดยไม่มีผลกับระบบปฏิบัติการจริงที่เป็นอยู่ จึงนำมาเป็นตัววิเคราะห์พวก Malware และ ไวรัสคอมพิวเตอร์ ที่ใช้ในงานวิจัยและพัฒนา sandbox นำมาประยุกต์ใช้กับเทคโนโลยีการวิเคราะห์ Malware แบบไม่ต้องใช้ฐานข้อมูลจาก signature ได้

APT (Advance Presistance Threat) การโจมตีที่เจาะจงเป้าหมาย และมีจุดประสงค์ชัดเจนในการโจมตีเพื่อเข้าถึงระบบ เช่น ต้องการได้ข้อมูลที่สำคัญขององค์กร ขโมยข้อมูลเพื่อนำขายในตลาดมืด หรือเผยแพร่ทางสื่อออนไลน์เพื่อสร้างความเสียหายหรือการใช้ระบบเครือข่ายหรือเครื่องคอมพิวเตอร์แม่ข่ายที่สำคัญมาใช้งานเพื่อสร้างความเสียหายหรือโยนการกระทำความผิดนั้นให้องค์กรหรือหน่วยงานนั้น
ถือว่าเป็นภัยคุกคามที่มีแฮกเกอร์วางแผนอยู่เบื้องหลัง

sniffer คือโปรแกรมในการดักรับข้อมูลบนระบบเครือข่ายคอมพิวเตอร์  การใช้ sniffer สามารถมองเห็นข้อมูลที่ไม่มีการเข้ารหัสได้ทั้งหมด  ดังนั้นการตีความ sniffer
ต้องดูที่เจตนาผู้ใช้งาน หากต้องการใช้ sniffer เพื่อการวิเคราะห์ หรือจัดทำการเขียน signature ก็เป็นอาชีพที่ต่างประเทศทำกันมักจะมีมูลค่าในการทำงานในส่วนนี้พอสมควร
ส่วนเจตนาใช้ sniffer ดักจับข้อมูลที่เป็น plain text หรือไม่มีการเข้ารหัส  โดยมุ่งเน้นเป็นข้อมูลส่วนตัว หรือ ข้อมูลความลับ เช่น password ส่วนนี้จะเข้าข่ายการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
ได้ ดังนั้นจึงต้องแยกแยะในการใช้งาน sniffer ด้วย

IOC (Indicator of Compromise) ค่าบ่งขี้เพื่อบอกได้ว่ามีการโจมตี (Cyber Attack) เกิดขึ้นจริง ซึ่งอาจนำค่า Log จากอุปกรณ์ พวก NSM หรือ SIEM /Log management มาเปรียบเทียบเหตุการณ์ที่เกิดขึ้นว่ามีโอกาสถูกโจมตีหรือไม่  ซึ่งค่า IOC เป็นการบ่งชี้ที่ค่อนข้างแน่ชัดว่าเกิดเหตุการณ์นั้นอย่างแท้จริง และยังสามารถระบุค่าไอพีแอดเดรสผู้โจมตีและเครื่องที่ถูกโจมตีได้อีกด้วย

++++++++++++++++++++++++++++++++++++++++

“ส่วนคุณองอาจ ช่วยกรอกข้อมูลบน Incident Response Report Form เพื่อเป็นหลักฐานว่ามีการปฏิบัติงานนี้ขึ้นมาแล้ว” ธีรานนท์ หยิบกระดาษในแฟ้มออกมาจากเป้สะพาย .. แล้วยื่นให้องอาจ กรอกข้อมูล

11:20 น.  ทุกคนรับแผนการของธีรานนท์

อนันต์นำอ๊อดไปต่อจอในห้อง IDC ที่อยู่ข้างๆ  ส่วนวิชัยถึงแม้จะดูเรื่องระบบ account username แต่เขาก็เป็นผู้รู้ช่องทางการติดต่อสื่อสารของโรงพยาบาลนี้ทั้งหมด และเขามีไฟล์แผนผังระบบเครือข่าย

“พี่เชิญทางนี้ครับ” วิชัยกล่าว แล้วพาธีรานนท์เข้าที่โต๊ะ
เปิด file Network diagram ที่มีการ update เมื่อวันที่ 3 กุมภาพันธ์ 2558

“เรามีเส้นทางเชื่อมต่ออินเทอร์เน็ต  2 เส้นทาง ทำเป็น Load balancer โดยทำการเชื่อมต่ออินเทอร์เน็ตบริษัท True Internet ใช้เทคนิค DSL และ 3BB Broadband เป็น FTTX
ส่วน Broder Network เราทำ Load Balancer ผ่านอุปกรณ์ Firewall แล้ว router ที่ทาง ISP ให้มาเราทำเป็น Bridge mode การ Authentication PPPoE เราให้ Firewall จัดการ
เรามี Firewall 2 ตัว ทำงานแบบ HA (High Availability) แบบ active – active  มีค่า IP Address ที่เป็น Public 2 ค่าคือที่ได้จาก True และ 3BB นั้นเอง

Firewall เราทำหน้าที่แบ่งระบบเครือข่าย ออกเป็น WAN  LAN และ DMZ   ส่วน WAN ของเรามีการให้ remote VPN จากภายนอกเข้าได้  แต่จำกัดสิทธิมาก และมีการระบุตัวตน two factor
โดยต้องใช้อุปกรณ์ token มาใช้ร่วมด้วย ส่วน LAN เราประกอบด้วย 4 VLAN ตามแผนกงานในโรงพยาบาล และ DMZ เรามีติดต่อโลกภายนอก (อินเทอร์เน็ต) อยู่ 4 เครื่อง  และ 6 เครื่อง Server นั้นอยู่ใน LAN ที่เป็น Secure zone ”  วิชัย กล่าวโดยไม่ต้องใช้โพยใดๆ
ธีรานนท์ ถามต่อ “ที่โรงพยาบาลนี้มีสาขาไหมครับ คือมีอยู่ที่อื่นนอกจากที่นี้ไหมครับ”
วิชัยตอบ “ตอนนี้ยังไม่มี มีที่นี้ที่เดียวแต่ปีหน้าเรามีแผนที่ต้องเชื่อมระบบกับที่ บางนา เราสร้างตึกใหม่เสร็จ เป็นอาคาร Hi-tech ใช้เงินลงทุนกว่า 3,000 ล้านบาท
แต่ระบบสื่อสารยังไม่เชื่อมและยังไม่เปิดใช้บริการครับ อยู่ในระหว่างก่อสร้าง เมื่อสร้างเสร็จทางโรงพยาบาลมีแผนให้เป็น hub ด้านการรักษาพยาบาลรองรับ AEC เพราะลงโรงพยาบาลอยู่ใกล้
สนามบินสุวรรณภูมิครับ” วิชัยกล่าว

“โอ้ !!! ผมเคยเห็น” อ๊อด แทรก ระหว่างที่อ๊อดจัดเตรียมเครื่องเพื่อเข้าไปห้อง IDC กับ อนันต์  อ๊อดเดินหย่องๆ ราวกับพิงค์แพนเตอร์หนีเมีย มาแอบฟังการสนทนา “ผมเคยขับรถผ่าน ผมนึกว่าห้างสรรพสินค้าใหญ่มากครับ ไม่น่าเชื่อว่าเป็นโรงพยาบาล” อ๊อดกล่าว  และเดินเข้าห้อง IDC ต่อไป

ธีรานนท์ ถามต่อ “ช่วยขยายความโซนทั้ง 4 ที่ถูกแบ่งด้วย VLAN ได้ไหมครับ” พร้อมใช้ปากกาจดบันทึกข้อมูลลงในสมุดโน้ต

วิชัย ผมคงบอกได้คราวๆ นะครับ คือไม่บอกเจาะจงเป็นค่าไอพี แต่จะบอกเป็นช่วงไอพีแล้วกัน 4 โซนนั้น

ประกอบด้วย
Zone 1 System Admin คือของห้องนี้  โซนนี้มี Policy ที่ค่อนข้างเปิด เพื่อให้พวกเราทำงานได้อย่างสะดวกครับ   IP อยู่ที่ 172.16.5.0/24
และเรานำ Server สำคัญมาอยู่ที่นี้ด้วย

Zone 2 Out Source  ประกอบด้วย 2 ย่านไอพี แต่เข้าถึงกัน คือสำหรับโปรแกรมจากบริษัทนอกมาพัฒนาซอฟต์แวร์ IP อยู่ที่ 192.168.1.0/24 และ กลุ่มงาน Help Desk support
อยู่ที่ 192.168.2.0/24  Policy มีความเข้มข้นขึ้นครับคือมีการจำกัดสิทธิในการเข้าถึงข้อมูล

Zone 3 พนักงานทั่วไปของโรงพยาบาล เช่น ทรัพยากรบุคคล (10.10.1.0/24) , บัญชี (10.10.2.0/24) , เจ้าหน้าที่ธุรการ (10.10.3.0/24) , พยาบาล (10.10.4.0/24)
ตรงนี้เราคุมเข้มครับแม้แต่ USB ก็เสียบไม่ได้ ลงซอฟต์แวร์อะไรไม่ได้เลย  เรากลัวเรื่องไวรัสคอมพิวเตอร์ IP 10.10.10.0/24

Zone 4 สำหรับผู้บริหาร รวมทั้งคุณหมอ ที่เป็นพนักงานประจำที่นี้และไม่ประจำ (172.16.2.0/24)  ตรงนี้เราค่อนข้างปล่อยเหมือนกันครับ ไม่อยากมีปัญหากับท่านๆ อิอิ

แต่ละโซนเราใช้ subnet  เป็น class C หมดครับ และทุกโซนถูกควบคุมด้วย AD (Active Directory) ด้วยกัน 2 ตัวทำ HA (Hight Availability)  AD ตัวนี้ใช้ Windows Server 2008
กำหนด Policy โดยผ่านการ Audit และการประเมินความเสี่ยงตาม Compliance HIPAA ด้วยครับ
วิชัยตอบ ราวกับร่วมอยู่ในการทำงานมาโดยตลอด
ธีรานนท์ ทำการขีดเขียนวาดรูปตามความเข้าใจ และนั่งนิ่งพิจารณาถึง flow ของการติดต่อสื่อสาร

++++++++++++++++++++++++++++++++++++++
เสริม
HIPAA Compliance คือ มาตรฐานด้านความมั่นคงปลอดภัยทางข้อมูลประเภทสำหรับผู้ให้บริการทางการแพทย์ซึ่งในประเทศสหรัฐอเมริกาจัดเป็นกฎหมายที่ต้องให้ความสำคัญข้อมูลส่วนบุคคลสำหรับการแพทย์การรักษาพยาบาล เช่น ข้อมูลทางการแพทย์ กรุ๊ปเลือด รหัสทางพันธ์กรรม ซึ่งนำเข้าสู่ระบบคอมพิวเตอร์และเป็นข้อมูลที่ต้องมีระบบรักษาความมั่นคงปลอดภัยที่ดีพอ เพราะบางข้อมูลอาจส่งผลต่อชีวิตของผู้ใช้บริการได้ กฎหมายนี้ชื่อเต็มว่า “Health Insurance Portability and Accountability Act” เมืองไทยยังไม่มีการบังคับใช้มาตรฐานตัวนี้

ห้อง IDC : Internet Data Center เป็นห้องที่สำคัญคือเป็นศูนย์กลางการเชื่อมต่อข้อมูลทั้งหมดของโรงพยาบาลนี้ ทั้งที่เก็บ Server เครื่องแม่ข่ายที่สำคัญ ระบบอินเทอร์เน็ต และการสื่อสารทั้งชุมสายที่โทรติดต่อภายในหน่วยงาน รวมอยู่ที่นี้

++++++++++++++++++++++++++++++++++++++

แล้วธีรานนท์ ถามต่อว่า “แล้วระบบ Wifi ล่ะครับ?”
อ๋อผมลืม วิชัยกล่าว “Wifi ทางผู้บริหารต้องการให้เป็น Free Wifi เพื่อให้บริการลูกค้าที่มาใช้งานโรงพยาบาลของเรา ”  ทางเราจะแยกออกเป็นอีกระบบเลยครับ โดยผ่าน Firewall แยกแบบเดียวกับ DMZ และใช้ AD อีกตัวโดยใช้ตัว Wifi Controller มาบริหารจัดการ  เราแบ่ง Wifi 2 zone คือ โซนพนักงานตัวนี้จะไปเชื่อมกับ VLAN โซนที่ 3  แต่จะได้ IP ในช่วง 10.10.5.0/24 เพราะโซนนี้เราคุมเข้ม ส่วนพวก Free wifi ไปอยู่ใน ช่วงIP 10.10.6.0/24  ก็ค่อนข้างปล่อยครับลูกค้าเรามี Devices ที่หลากหลายเราไม่สามารถบังคับให้มา join AD ของเราได้
ดังนั้นตัวนี้จึงค่อนข้างปล่อย

แล้วธีรานนท์ ถาม แล้วโซน Free wifi ของเรานี้เรามี NIDS/IPS ตัวตรวจจับไหมครับ
วิชัยตอบ คนที่มาขาย Wifi Controller บอกว่ามีนะครับ Access Point ที่ติดตั้งตามจุด สามารถ Alert การโจมตีได้ โดยส่งค่าไปที่ Wifi Controllerจากนั้น Wifi controller ของเราจะส่ง syslog ไปเก็บที่ Log Management ที่พี่องอาจ ดูอยู่ครับ แต่อย่างไรผมไม่เคยใช้งานตัวนี้เพราะไม่ได้อยู่ในคณะกรรมการตรวจรับ Wifi controller นี้ครับ เป็นอีกชุดหนึ่ง  เราซื้อมาได้เป็นปีแล้วครับ พี่องอาจอยู่ในคณะกรรมการ

“แล้วตัว Web Server ที่มีปัญหานั้นอยู่ DMZ โซนหรือเปล่าครับ” ธีรานนท์ถามต่อ
ใช่ครับ DMZ ก็ประกอบด้วย VPN Server , Mail Server , Web Server  อีกตัวคือ NIDS โดยเราใช้ตัวนี้ทำการ passive mode ทำการสำเนาข้อมูลทุก VLAN เพื่อ monitor ข้อมูลจราจรคอมพิวเตอร์ครับ เป็นการดูข้อมูลภายในองค์กร

“คุณมี Web Application Firwall (WAF) ไหม ?”  ธีรานนท์ ถามต่อ
“เราใช้ Firewall ตัวละ 7 หลักของเราป้องกันพวกนี้ได้อยู่แล้วครับ มันเป็นระดับ Application Firewall”
วิชัยตอบ

แล้วคุณมีการประเมินความเสี่ยงหาช่องโหว่ที่พบบ่อยแค่ไหน ? คือมี VM (Vulnerability Management) ในองค์กรหรือเปล่า ? ธีรานนท์ถาม
“เราจ้างบริษัทข้างนอกมา Audit ให้เราครับ ส่วนการสแกนช่องโหว่เราทำ ปีละ 2 ครั้งสำหรับ Server ที่สำคัญ อนันต์ดูอยู่ โดยการสแกนนั้นเราจ้างมืออาชีพมาทำให้ครับ ทั้งทำ Penetration test และ Vulnerability Scanner เท่านั้นครับ” วิชัย กล่าวต่อ

ธีรานนท์ ถาม “แล้ว Log Management อยู่โซนไหนครับ” วิชัยบอกว่า “อยู่ โซน System Admin แต่เราตั้ง subnet อีกช่วงหนึ่ง เป็น 172.16.99.0/24”
ติดต่ออินเทอร์เน็ตได้หรือเปล่าเครื่องนี้  ธีรานนท์ถามต่อ
วิชัยบอกว่า “จำเป็นต้องให้ติดต่อได้ เนื่องจาก Time sync เราตั้ง server เป็นสถาบันมาตรวิทยา”

“แล้ว System Admin โซนนี้ประกอบด้วย Server อะไรบ้าง พอบอกได้ไหม ?” ธีรานนท์ ถามอย่างเกรงใจ

วิชัยตอบทันที  ก็มี Log management server 1 ตัว ,  AD Server 2 ตัว , ERP Server 1 ตัว , Wifi Controller 1 ตัว , Anti-virus server 1 ตัว

“คุณใช้อะไรกำหนด AAA ใช้ NAC (Network Access Control) ไหม ?” ธีรานนท์ ถาม
“เราใช้ VLAN และ AD คู่กันในการกำหนด AAA ก็น่าจะเพียงพอแล้ว ผมกับพี่องอาจหารือกันแล้วว่าจะไม่ใช้ NAC” วิชัยตอบ

“ระบบ Authentication (ระบบระบุตัวตนผู้ใช้งาน) นั้นผ่าน LDAP หรือเปล่าครับ” ธีรานนท์ถามต่อ
“ใช่ครับ เราใช้ LDAP จาก AD (Active Directory) เครื่องคอมพิวเตอร์ทุกเครื่องที่เป็น Client ต้องทำการ Join Domain มาที่นี้ครับ” วิชัยกล่าวต่อ ส่วน รายชื่อพนักงานทั้งหมด วันเวลาที่ใช้งาน ถูกเก็บบันทึกไว้ที่ AD ครับ ส่วน Log file ส่งค่า syslog ไปเก็บที่ Log Management ของพี่องอาจ”

ธีรานนท์ทำการบันทึก พร้อมทั้งพอทราบแล้วว่าที่นี้อ่อนแอส่วนใด

++++++++++++++++++++
เสริม
DMZ : (Demilitarized Zone) คือโซนที่มีการติดต่อระหว่างอินเทอร์เน็ตและเครือข่ายภายในองค์กร ดังนั้นโซนนี้ต้องการความปลอดภัยสูง 
AD : (Active Directory) คือ ตัวควบคุมนโยบายในการใช้งานระบบสารสนเทศ โดยกำหนดสิทธิการใช้งาน การเข้าถึงข้อมูล และการใช้โปรแกรม เป็นเทคโนโลยีของบริษัท Microsoft 

LDAP (Lightweight Directory Access Protocol) อ่านว่า แอล-แด็บ เป็น Protocol ชนิดหนึ่งที่ใช้เสมือนฐานข้อมูลเก็บรายชื่อผู้ใช้ ระดับการเข้าถึงใช้งาน ประเภทการใช้งาน ใช้คู่กันกับ AD (Active Directory) สำหรับหน่วยงานไหนที่ใช้ AD อยู่แล้วจะมีการกำหนดสิทธิและนโนบายการเข้าถึงข้อมูลจากจุดเดียวได้

ซึ่ง AD นั้นในประเทศไทยจะมีเฉพาะหน่วยงานขนาดใหญ่ใช้งานกัน เนื่องจากราคาค่อนข้างสูง

Vulnerability Management : คือกระบวนการประเมินความเสี่ยงระบบสารสนเทศโดยการใช้เทคโนโลยีท VA (Vulnerability Scanner) เพื่อค้นหาช่องโหว่ และเมื่อพบช่องโหว่จะสามารถแจกแจงและหมอบหมายงาน (assign) ให้ผู้ที่เกี่ยวข้องและมีหน้าที่รับผิดชอบงาน (เพื่อเปิดจ๊อบ) ได้ทำการป้องกันปิด patch อันอาจจะทำให้เกิดความเสียหายได้ เพื่อให้ระบบมีความมั่นคงปลอดภัยอย่างต่อเนื่อง

Penetration test คือบริการทดสอบเจาะระบบโดยเสมือนเป็นแฮกเกอร์ที่จะสามารถสร้างความเสียหายให้กับองค์กร ทุกๆปี หน่วยงานขนาดใหญ่จะมีการจ้างเจาะระบบเพื่อดูส่วนงานที่เกิดขึ้น และที่สำคัญนั้นมีความเสี่ยงที่ถูกเจาะระบบได้หรือไม่ ?

AAA คือ Authentication (การระบุตัวตน) Authorization (การระบุสิทธิการใช้งาน) Accounting (รายชื่อผู้ใช้งาน)  และมีอีก A คือ Auditing (ประวัติการเก็บบันทึกการใช้งาน Log นั้นเอง) 

NAC (Network Access Control) เป็นเทคโนโลยีที่ใช้ในการกำหนดค่า AAA  โดยมีทั้งเป็นแบบฮาร์ดแวร์ติดตั้งแทน Switch หรือเป็นซอฟต์แวร์ก็ได้ ปัจจุบัน NAC มาเชื่อมกับเทคโนโลยีที่ใช้ตรวจจับและวิเคราะห์ Malware ราคายังสูงอยู่

++++++++++++++++++++++


ธีรานนท์ถาม “แล้ว 2 คนที่นั่งอีกห้องหนึ่งด้านหลังคุณ เป็น System admin ด้วยหรือเปล่าครับ”
พร้อมหันไปดู ซึ่งระยะห่างประมาณ 30 เมตรโดยประมาณ แล้วมีม่านพลาสติกกั้นเป็นริ้วๆ และกระจกใสกั้น มองเห็นได้ด้วยตาเปล่า

วิชัยตอบ “2 คนนั้นเป็น out source มาเขียนโปรแกรม ERP ให้กับทางโรงพยาบาล  มาจากบริษัท Odyssey Soft Corporation
ที่นั่งหันหน้ามาทางห้องพวกเราชื่อ ศิรินท์ หรือ ริน  และที่หันข้างให้พวกเรา ชื่อ พีระวัฒน์ หรือ พุก เขาทั้ง 2 อยู่ที่นี้มากว่า 3 เดือนแล้ว”

ธีรานนท์ กล่าว “Odyssey Soft ที่ได้งานทำฐานข้อมูลบัตรประชาชนทั่วประเทศไปหรือเปล่าครับ ?”

“ใช่ครับ” วิชัย ตอบ

“พี่ทำไง เสียบ Thumb drive เข้าที่ช่องเสียบของ Server แล้วแป๊บเดียวก็เข้าระบบได้” อนันต์ถามอ๊อด ด้วยความประหลาดใจ

“เราอยู่หน้าเครื่องแล้วนี้ครับ .. เราจะทำอะไรกับมันก็ได้” อ๊อดตอบ
“Thumb drive  มีโปรแกรมอะไรอยู่หรือเปล่าครับ” อนันต์ถาม
อ๊อดกำลัง recovery user root  แล้วตอบว่า “ผมจัดคอร์สสอนเรื่องนี้อยู่ครับ สนใจมาเรียนกับผมป่ะ ลงชื่อได้ ผมให้ราคาพิเศษเลยล่ะ” อ๊อดตอบ

อนันต์ยืนนิ่ง  ^_^!

“เออพี่ผมไม่ค่อยมีตัง เรียนฟรีได้ป่ะครับ ผมอยากเก่งเหมือนพี่นะครับ”

อ๊อดไม่ตอบอะไร

จากนั้นอ๊อดก็กล่าวว่า “ผมตั้ง password root ใหม่ให้คุณนะคุณจดไว้หน่อย รหัสผ่านที่ดีควรมีอักขระพิเศษมีความยาวอย่างน้อย 8 ตัว”

ขณะเดียวกัน อ๊อด หยิบตัว cloning hard disk เสียบต่อเข้าที่ server

แล้วอ๊อดก็พิมพ์แป้นคีย์บอร์ดอย่างว่องไว จนผมมองไม่ทัน command  line ล้วนๆ อนันต์จ้องมองด้วยความอะเมซิ่ง ราวกับบีโธเพน บรรเลงเปียโน

เวลาผ่านไปอย่างรวดเร็ว 12:18 นาที
cat /etc/passwd

nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
libuuid:x:100:101::/var/lib/libuuid:
syslog:x:101:104::/home/syslog:/bin/false
messagebus:x:102:105::/var/run/dbus:/bin/false
sshd:x:103:65534::/var/run/sshd:/usr/sbin/nologin

s1n3ad:x:1001:1001:s1n3ad team,101,,:/home/s1n3ad:/bin/bash
mysql:x:105:113:MySQL Server,,,:/nonexistent:/bin/false
dnsmasq:x:106:65534:dnsmasq,,,:/var/lib/misc:/bin/false
bind:x:107:114::/var/cache/bind:/bin/false
“ผมเจออะไรแปลกๆ แล้ว” อ๊อดกล่าว

“พี่นนท์ เชิญทางนี้หน่อย” เสียงอ๊อด เดินออกมาจากห้อง IDC  แล้วกล่าวต่อว่า
“ผมเข้าเครื่อง Web Server ที่ถูก Hack ได้แล้วครับ และกำลัง cloning Hard disk อยู่

สิ่งที่พบคือมี username ประหลาด ที่อนันต์ และพี่องอาจไม่รู้จักในเครื่องนี้มาก่อนครับ”
อ๊อด พูด
“Username อะไร ?” ธีรานนท์ ถามต่อ

“ซินแบด” และเขียนลงกระดาษให้ว่า s1n3ad” อ๊อดพูด พร้อมเขียนชื่อให้

               “s1n3ad”

คำถาม : ระบบเครือข่ายที่วิชัยได้อธิบายท่านที่เป็นผู้ดูแลระบบท่านคิดว่ามีส่วนไหนที่มีการออกแบบระบบที่มีความเสี่ยงบ้าง ? เพราะเหตุใด และควรแก้ไขอย่างไร ?

แนะนำตัวละครเพิ่มเติม

ธีรานนท์ หรือ นนท์ ผู้ก่อตั้ง Ghostnet Buster Team บุคคลิก เขาเป็นสันโดษ ไม่ใช่นักแสวงหา ผิวขาว รูปร่างสันทัด อายุประมาณ 40 ปี  มีความสนใจในการเฝ้าสังเกตพฤติกรรมการโจมตีทางไซเบอร์ (Cyber Attack) โดยการติดตั้ง Honeynet  ด้วยงบประมาณส่วนตัวในประเทศชั้นนำ เพื่อทำการเขียน signature ส่งให้กับบริษัทยักษ์ใหญ่ด้านระบบรักษาความมั่นคงปลอดภัยข้อมูลข้ามชาติ เป็นรายได้หลักของบริษัทที่พอยังชีพทุกชีวิตอยู่รอดได้ เขาติดตามดูข้อมูลจราจรคอมพิวเตอร์ (Data Traffic) ที่ผ่าน Honeynet ของตัวเขาเป็นประจำ จนแยกไม่ออกระหว่างงานที่ทำ หรือเป็นงานอดิเรก ผมเขาทำตลอดไม่มีคำว่าเหนื่อยดั่งที่เขาเคยกล่าวว่า “ตัวผมเองก็เปรียบเสมือนนักดูดาวบนท้องฟ้า ที่เฝ้าสังเกตการเปลี่ยนแปลง  ท้องฟ้าไม่ต่างอะไรกับอินเทอร์เน็ต ไอพีแอดเดรสไม่ต่างอะไรกับหมู่ดวงดาว ในการมองเห็นของเรา สัมผัสได้ถึงการก่อตัวขึ้น ตั้งอยู่ และดับไป เสมอ”

อนุทิน หรือ อ๊อด  พนักงาน Ghost Buster Team ที่มีความสามารถในหลายเรื่อง แต่เขาคือ System Admin ชั้นครู บวกกับมีความรู้ด้านโปรแกรมมิ่งอีกด้วยส่งเสริมกัน โดยเฉพาะพวก Web Application เป็นคนรูปร่างท้วม กินเก่ง อ๊อดแถเก่งอีกด้วย เป็นคนมีไหวพริบ การพูดของเขามีความจริงปนความเท็จ แต่อย่างไรก็ตามเป็นคนที่มีจิตใจดีไว้ใจได้ และมีฝีมือหาตัวจับยากคนหนึ่งประสบการณ์สูง และมี Certification จากต่างประเทศ  ชอบรับจ๊อบ (Jobs) นอกเป็นอาจิณ โดยการไปเป็นมือปืนรับจ้างในการ Implementation Web Application Security และ Firewall โดยเรียกใช้งานอยู่บ่อยๆ

วิชัย : พนังาน System Admin ผู้ดูแลระบบรายชื่อพนักงานทั้งหมดของโรงพยาบาลสยามเฮ้ลธ์ฮอสพิทอล เขาเป็นลูกชายของบอร์ดบริหารโรงพยาบาลที่มีบารีมากคนหนึ่งของโรงพยาบาล สมัยมัธยมปลายเขาเคยได้เหรียฐทองโอลิมปิก ด้านคอมพิวเตอร์ ซึ่งสร้างชื่อเสียงให้กับประเทศไทย ถึงแม้ที่บ้านอยากให้เขาเป็นหมอเหมือนกับคุณพ่อแต่ด้วยความอัฉริยะของเขาทำให้เปลี่ยนให้มาเรียนสายคอมพิวเตอร์ในระดับอุดมศึกษา เขารู้เรื่องระบบเครือข่ายที่นี้เป็นอย่างดี

บริษัทโอดิสซี่ซอฟต์ (Odyssey soft)  เป็นบริษัทซอฟต์แวร์เฮ้าส์ ที่ได้รับงานโครงการภาครัฐบาลเป็นจำนวนมากถือว่าเป็นบริษัทยักษ์ด้านการพัฒนาซอฟต์แวร์ (ในละคร)

ศิรินท์ หรือ ริน เป็นโปรแกรมเมอร์บริษัทโอดิสซี่ซอฟต์ เป็นผู้หญิงที่มีบุคคลลิกเรียบร้อย เงียบขรึม หน้าตาดี ผิวขาว ไว้ผมหน้าม้า และชอบใส่รองเท้าส้นสูง แต่งตัวเก่ง แลดูไม่เหมือนเป็นโปรแกรมเมอร์ หากใช่เป็นพนักงานขายสินค้าคงขายดี เป็นที่หมายปองของหนุ่มๆแถวนี้มากมายในช่วงรับงานเขียนโปรแกรมที่นี้

พีระวัฒน์ หรือ พุก เป็นโปรแกรมเมอร์บริษัทโอดิสซี่ซอฟต์ เป็นผู้ชายไว้ผมยาว แต่มัดผมไว้ ออกกระตุ๊งกระติ๋ง ทำตัวเหมือนผู้หญิง
ทั้ง 2 คนนี้หน้าที่มาเขียนโปรแกรม ERP ในส่วนแก้ไขปรับปรุงระบบให้กับทางโรงพยาบาลมากว่า 3 เดือนแล้ว คงเป็นระดับหัวกระทิของบริษัทจึงส่งมาแก้ไขปัญหานี้

โรงพยาบาลสยามเฮ้ลธ์ฮอสพิทอล (Siam Health hospital) เป็นโรงพยาบาลเอกชนที่ใหญ่ที่สุด และมีลูกค้าระดับ VIP ของประเทศมาใช้บริการที่เป็นจำนวนมาก ด้วยบริษัทมีงบประมาณสูงจึงดึงหมอเก่งๆแนวหน้าในประเทศมาทำงานที่นี้ได้

—————– โปรดติดตามตอนต่อไป ————————

ตอนที่ 3 ที่นี้มีแฮกเกอร์ http://nontawattalk.blogspot.com/2015/05/hacker-here-3.html

+++++++++++++++++++++++++++++++++++++++++++++++

สงวนลิขสิทธิ์ SRAN Technology (www.sran.net)

นนทวรรธนะ  สาระมาน
Nontawattana  Saraman

ผู้เขียน
08/05/58

Hacker Here ? ที่นี้มีแฮกเกอร์ ? ตอนที่ 1

“Digital Holes : ดิจิทัลโฮลส์”

นิยายเชิงสืบสวนทางด้านเทคโนโลยี ที่ต้องเป็นแนวทางนี้ก็เนื่องจากเทคโนโลยีนั้นได้มีอิทธิพลต่อการใช้ชีวิตประจำวันเราโดยเฉพาะคนเมืองชนิดที่มีแนวโน้มสูงขึ้น และเริ่มกระจายตัวอย่างรวดเร็วไปยังต่างจังหวัดโดยเฉพาะโทรศัพท์มือถือและอินเทอร์เน็ตเป็นส่วนหนึ่งในชีวิตเราตั้งแต่ตื่นนอนไปจนถึงเข้านอน เราถูกรายล้อมไปด้วยเทคโนโลยี จนเกิดเป็นปรากฎการณ์ที่เรียกว่า “สังคมก้มหน้า” ที่อยู่กับหน้าจอโทรศัทพ์มือถือ และทำงานหลังขดหลังแข็งอยู่หน้าจอคอมพิวเตอร์ เป็นต้น

จุดเริ่มต้นของการเขียนครั้งนี้คือผมเห็นว่าหนังสือที่ให้ความรู้ และมีความเกี่ยวข้องกับการสืบสวนทางเทคโนโลยี ที่มีเนื้อหาสาระด้วยการอธิบายเทคนิคที่เป็นจริงนั้นมีน้อยอยู่ ส่วนใหญ่เกิดจากจิตนาการของผู้เขียนผสมกับความจริงบางแต่น้อย จนไม่สามารถนำมาเป็นกรณีศึกษา (case study) ได้นั้น ซึ่งทำให้ผู้อ่านได้เพียงความบันเทิง สิ่งที่อยากได้คือ เป็นหนังสือที่อ่านแล้วได้ทั้งความบันเทิงและได้ความรู้ และความรู้ที่เป็นสิ่งที่เกิดจากความเป็นจริง เมื่ออ่านแล้วสามารถนำไปใช้เป็นข้อสังเกตทั้งการทำงานด้านการป้องกันและในด้านการสืบสวนได้จริง

เพื่อเป็นการทบทวนประสบการณ์ที่ผ่านมาที่ตนเองได้มีโอกาสไปร่วมแกะรอยค้นหา ที่ผ่านมาแล้ว เพื่อไม่ให้หลงลืมได้ จึงต้องมาทำการบันทึกและเขียนขึ้นมา จึงปั่นเวลามาเขียนขึ้นตั้งใจไว้ว่าจะมีทั้งความบันเทิงผสมสาระความรู้จากประสบการณ์ที่ผมมีให้อยู่ในชุด “Digital Holes” นี้ขึ้น โดยทั้งตัวละครและสถานที่นั้นเป็นการสมมุติขึ้นจากผู้เขียนเองทั้งสิ้น
ผมเริ่มคิดและทำสิ่งนี้เมื่อวันที่ 4 พฤษภาคม 2558 และรวบรวมข้อมูลเพื่อคิดและเขียนตามลำดับ

Nontawattana  Saraman

—————————————————————————————–

Digital Hole : Hacker Here ? ที่นี้มีแฮกเกอร์ ?

             กรุงเทพฯ ในเวลาตีสามของวันที่ 6 พฤษภาคม 2558
..ฝนกำลังตก … เสียงของน้ำฝนกระทบกับกันสาดที่ยื่นออกมาภายนอกห้องนอน ทำให้ผมรู้สึกตัว

ผมชื่ออนันต์ อายุ 27 ปี  ผิวดำแดง ตรงสเป็คสาวญี่ปุ่น รูปร่างสันทัด สูง 182 cm เป็นหนึ่งในทีมงานที่ได้จัดทำ (Implementation) ระบบรักษาความมั่นคงปลอดภัยทางข้อมูลของโรงพยาบาลชื่อดังย่านพระราม 6  ถึงแม้จะเปิดแอร์อยู่ แต่เสียงฝนก็ดังทำให้ ผมรู้สึกตัวตื่นขึ้นมา ซึ่งเวลาในขนาดนั้นคือตีสามสี่แปดนาที  3:48                                                                                                                                                                                                
อนันต์หันไปหยิบมือถือที่มีแบตเตอรี่ยังเหลือเพียง 12% ขึ้นสีแดง ที่วางบนหัวเตียง เหลือบเห็นข้อความเตือนที่ยังไม่ได้เปิดอ่าน
จำนวน 3  รายการ ผ่านทางอีเมลล์ว่าระบบที่ดูแลอยู่มีการ Login ที่ผิดพลาด (Login fail)
เกิน 3 ครั้งติดต่อกัน การ login ไม่สำเร็จครั้งล่าสุดที่แจ้งเตือน เป็นเวลา 23:19
ของวันที่ 5 พฤษภาคม 2558
“Firewall ที่เราใช้อยู่คงยับยั้ง (Denny IP) ผู้บุกรุกไปแล้ว” อนันต์คิดพร้อม รำพึงต่อว่า “ไว้เช้าแล้วจะรีโมตเครื่องเข้าไปดู Logfile ขอนอนต่อแล้วกัน” ทั้งหาวต่อเนื่อง
จากนั้นก็ลุกขึ้นเปิดไฟข้างเตียงนอนเพื่อชาร์ตมือถือ ด้วยลมเย็นสบาย และมีเสียงฝนกระทบพื้นห้องป็นจังหวะเสียงพรึมพรั่มต่อเนื่อง สักพักหนึ่งอนัตต์
ก็ได้เคลิ้มหลับไป โดยที่ไฟข้างหัวเตียงไม่ได้ปิด

7:15 น.  แสงแดดส่องแสงรอดช่องหน้าต่างข้างเตียงนอน ส่องแสงลงมา บ่งบอกได้ว่าเช้าแล้ว อนันต์ได้เปิดม่านข้างเตียงเห็นท้องฟ้าใสเหมือนไม่มีแววว่าฝนได้ตกเมื่อคืนนี้เลยแม้แต่น้อย

“อากาศวันนี้ช่างสดใสดีจัง”  อนันต์ได้ปิดไฟที่เปิดตั้งแต่ตีสามกว่า แล้ว
 ได้เวลาที่ต้องแต่งตัวไปทำงาน ที่ทำงานของอนันต์อยู่ไม่ไกลจากที่พัก อนันต์เดินทางไปทำงานด้วยจักรยาน ชีวิตแบบคนเมืองเต็มรูปแบบ ขณะที่ปั่นอยู่นั้นอนันต์ยังครุ่นคิดถึง
การ Login fail ที่ได้รับมา ข้อความนั้นบอกว่าเพียงมีการ Login ผิดจาก IP Address 77.247.181.162 เวลา 23:19:54 5/05/58

7:35 น จอดรถจักรยานที่หน้าตึกที่ทำงาน แล้วเดินทางไปทานอาหารเช้าเราเริ่มต้นที่โรงอาหารภายในโรงพยาบาล

“สวัสดีครับ” อนันต์กล่าว เมื่อพบ ศิรินท์  หญิงสาวที่มาจากบริษัท Out source ที่ซอฟต์แวร์ประเภท ERP ที่ Implement ไม่เสร็จดีมากว่า 3 เดือนแล้ว

 “อยากได้ไลน์ไอดีเธอจัง น่ารักดี จะส่งสติ๊กเกอร์น่ารักๆ ให้ทุกวันเลย” อนันต์คิดในใจ  เราพบกัน
บ่อยแต่แทบไม่ได้คุยกัน
“… อาหรายหว่า… โลกนี้ไม่เป็นธรรมสำหรับคนปอนๆ แบบเราเสียเลย” อนันต์บ่น

ผมนะรู้จักชื่อศิรินท์ ชื่อเล่นว่า ริน
นั่งทำงานอยู่ด้านหลังห้องผม เป็นห้องของโปรแกรมเมอร์จากบริษัทใหญ่ที่รับงานจากโรงพยาบาลไป เราจะเจอกันส่วนใหญ่ช่วงพักทานอาหารเที่ยง
โรงอาหารที่นี้กว้างก็จะจริงแต่บังเอิญเจอกันทุกที ส่วนช่วงเช้านี้ถือว่าวันนี้โชคดีที่พบเธอ  ผมมีกำลังใจขึ้นอีกนิด อนันต์แอบยิ้ม ทั้งที ศิรินท์ไม่ตอบสนองใดๆ

เหมือนการทักทายผม เปรียบเสมือนการ Ping ที่ไม่ผลตอบรับจากเธอ

++++++++++++++++++++++++++++++++++
Pinging ศิรินท์ with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.

Ping statistics for ศิรินท์ :
    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
+++++++++++++++++++++++++++++++++++
ผลลัพธ์คือไทม์เอ๊าครับ Loss 100%

++++++++++++++++++++++++++
เสริม
Ping เป็นคำสั่งหนึ่งที่มีทั้งระบบปฏิบัติการ Windows และ Linux เป็นคำสั่งพื้นฐาน มีหน้าสำหรับตรวจสถานะเครื่องคอมพิวเตอร์ที่ต้องการสื่อสาร หากมีการ Response กลับมาแสดงว่าเครื่องดังกล่าวสามารถติดต่อถึงกันได้  Ping  ใช้ Protocol  ICMP   ซึ่งบางครั้งที่ Ping แล้วเกิด Time out เป็นไปได้ 2 สาเหตุคือเครื่องที่ต้องการติดต่อไม่อยู่ในสถานะติดต่อสื่อสารได้ (เครื่องปิด)  และ ติดระบบป้องกันโดยเฉพาะหากมี Firewall ป้องกันนั้นจะปิดการสื่อสารประเภทนี้

+++++++++++++++++++++++++++++

ระหว่างตักข้าวเข้าปาก อนันต์เปิดมือถือขึ้นเพื่อตรวจข้อความที่พบอีกครั้ง
login fail ครั้งที่ 1  เวลา  23:18:23  IP : 77.247.181.162
login fail ครั้งที่ 2 เวลา 23:19:12  IP:77.247.181.162
login fail ครั้งที่ 3 เวลา 23:19:54  IP:77.247.181.162

Server ที่อนันต์ดูแลนั้นมีการตั้งระบบรักษาความปลอดภัย ผ่านอุปกรณ์ Firewall ที่เป็นประเภท Next Generation Firewall ชนิดที่ตรวจระดับ Application Layer ได้
ราคา 7 หลัก และมีระบบตรวจจับผู้บุกรุก ที่เรียกว่า NIDS/IPS Network Intrusion Detection and Prevention System) แต่ตัวนี้ทำให้เป็น mode passive คือดูอย่างเดียวให้ Firewall เป็น
ตัวป้องกัน ถึงกระนั้น ราคา NIDS ก็ไม่น้อยกว่า Firewall แถมยังใช้มานานกว่า 3 ปีแล้ว ข้อความที่ถึงแจ้งเตือนมาจาก NIDS ส่ง และตัวที่เกิดการพยายามเข้าถึงโดยการ Login นั้นคือ Web Server ประจำโรงพยาบาลนี้เอง

+++++++++++++++++++++++++++++++++++++++++++++++++++
เสริม :
Firewall คืออุปกรณ์ที่ทุกหน่วยงานต้องมี ทำหน้าเป็น Gateway เพื่อเชื่อมต่อข้อมูลทางอินเทอร์เน็ต ทำการแบ่งระดับการเข้าถึงข้อมูลผ่าน rule base และการตั้งค่า NAT เพื่อได้มีการแบ่งชั้นการเข้าถึงข้อมูลจากโลกอินเทอร์เน็ตเข้าสู่ระบบเครือข่ายคอมพิวเตอร์ภายใน
Firewall Next generation หรือเรียกสั้นว่า Firewall NG  นั้นเป็นการพัฒนาไปอีกขั้นโดยการสามารถตรวจข้อมูลเพื่อป้องกันภัยคุกคามที่เกิดขึ้นได้ในระดับ Application Layer ซึ่งตาม OSI 7 เป็น layer ที่อยู่บนสุดและสำคัญที่สุดในการใช้งานในปัจจุบัน

NIDS/IPS  คือ อุปกรณ์ที่ตรวจผู้บุกรุกทางเครือข่าย เปรียบเสมือนกล้องวงจรปิดทางเป็น NIDS เฉยๆจไม่สามารถป้องกันได้ แต่ถ้าเป็น IPS ด้วยจะป้องกันได้  ทั้งนี้ส่วนมากอุปกรณ์พวกนี้จะทำได้ทั้ง 2 mode เป็นอยู่แล้ว ขึ้นกับการติดตั้งถ้าติดตั้งแบบ in-line ก็จะเป็น NIPS  ส่วน passive การเป็น NIDS เป็นต้นการทำงานจะทำการตรวจจับเป็นทั้งที่เป็น Signature base คือตรงตามฐานข้อมูลจึงแจ้งเตือน และ ตรวจด้วยการวิเคราะห์จากพฤติกรรม  ซึ่งต่อมาได้มีการรวมกันกับ Firewall จนเป็น Firewall NG ขึ้น นั้น

ดังนั้นหากโรงพยาบาลแห่งนี้มี Firewall NG อยู่แล้ว และระบบเครือข่ายที่ไม่ซับซ้อนมาก (แยกเป็นหลายๆ วง VLAN) ก็ไม่จำเป็นที่ต้องมี NIDS/IPS ก็ได้ ยกเว้นแต่ว่า ขา interface ของ Firewall NG ไม่พอและไม่สามารถ Monitor บางจุดได้ จำเป็นต้องมี NIDS/IPS มาช่วยเสริมให้การมองเห็นได้ครอบคลุมขึ้น

++++++++++++++++++++++++++++++++++++++++++

Server ตัวนี้เป็น Server ที่มีด้านหนึ่งติดต่อกับอินเทอร์เน็ตได้รับค่าไอพีสาธารณะ (Public IP) มาด้วย อีกด้านหนึ่งติดต่อในวง LAN
ทีมงานที่ดูแลส่วนนี้มีด้วยกัน 3 คน  คือ
พี่องอาจ ดูแลด้านระบบเครือข่าย  และ Log file ตาม พรบ.คอมพิวเตอร์ฯ เป็นคนที่เปิดดู Log Management ได้ อีกทั้งเป็นคนเขียนนโยบายด้านความปลอดภัยด้าน
ข้อมูลสารสนเทศให้กับโรงพยาบาลอีกด้วย รู้สึกว่าจะทำกันไปเมื่อ 2 ปีก่อนโดยจ้างบริษัทข้างนอกมาช่วยกันเขียน จนสำเร็จและประกาศใช้ก่อนผมมาทำงานที่นี้
วิชัย ดูแลเรื่องการ access internet  ภายในองค์กร โดยเฉพาะเรื่อง account ทั้งหมด
ไม่ว่าเป็น e-mail , การเข้าถึงระบบ wifi และทุกอย่างที่เกี่ยวข้องกับการ Authentication (การระบุตัวตนผู้ใช้งานอินเทอร์เน็ตในองค์กร)
และผม อนันต์เด็กใหม่ที่นี้ที่ดูแลด้านระบบรักษาความปลอดภัยข้อมูล Server สำคัญของโรงพยาบาล ปัจจุบันผมดูแล 10 ตัว กำลังงาม
มีทั้งส่วนที่อยู่ใน DMZ และในระบบเครือข่ายภายใน (Internal) ทั้งนี้รวมถึง Server development ของทีมงานศิรินท์ที่มาพัฒนาซอฟต์แวร์ ERP ด้วย

โรงพยาบาลใช้งานคุ้มครับเรามีด้วยกัน 3 คน แต่ต้องดูระบบเครือข่ายทั้งโรงพยาบาล ประสานกันทำงานได้อย่างดีมาโดยตลอด 4 เดือนที่ผมอยู่ที่นี้ พวกเราทั้ง 3 เป็นพนักงานประจำ
เป็นมนุษย์เงินเดือนเต็มขั้น เงินเดือนไม่มากไม่น้อย พออยู่พอกิน ข้าวแกงที่ทำงานราคา 30 บาท แถมรสชาติอร่อยอีกตังหาก

ส่วนด้านไอที เราแบ่งเป็น 3 ส่วน คือ
– ส่วนที่ดูระบบเครือข่ายเครื่องแม่ข่ายและการเข้าถึงอินเทอร์เน็ต  คือพวกเราทั้ง 3
– ส่วนที่โปรแกรมเมอร์  ที่ดูแลโปรแกรมโรงพยาบาล มีอีก 2 คนที่เป็นพนักงานประจำ ผมรู้จักแค่ชื่อหนุ่ม เป็นรุ่นน้อง พวกนี้มีการจ้าง out source มาช่วยเขียนโปรแกรมในบางโปรแจค
– ส่วนที่เป็นกลุ่มงานสนับสนุน Support  พวก Helpdesk นั้นจ้าง out soruce ทั้งหมด

ตัว Web Server ที่ติดต่อกับโลกภายนอกนี้แหละคนอื่นไม่กล้ายุ่งเนื่องจากรับมรดกมาจากบริษัทที่ติดตั้ง Web Server ไว้แล้วทิ้ง code ที่
แก้ไขแทบไม่ได้เลยมาให้ ยังดี Server ตัวนี้ส่วนใหญ่ใช้ Open Source ที่ คือ Web Server เป็น Apache มี Data Base ในตัวเป็น Mysql
ส่วน OS เป็น Ubuntu 12.04  แต่ code นี้สิ ใช้ php  java  ผมรู้เรื่องโค็ดไม่มากนัก เพราะมีน้องคนหนึ่งเป็นฝั่งโปรแกรมเมอร์ชื่อเล่นหนุ่ม เป็นคนดูโค้คทั้งหมด
รวมทั้งที่เป็น front end ของการเว็บไซต์ประจำโรงพยาบาล ซึ่งน้องหนุ่มเป็นคนทำงานร่วมกับบริษัทที่ได้งานมาพัฒนาเว็บไซต์
ผมมีความรู้ Linux ดีพอควร ผมเริ่มจาก System admin โดยงานแรกผมเป็นผู้ดูแลเครื่องแม่ข่าย (Server) ที่ธนาคารเอกชนแห่งหนึ่ง และผมพึ่งเปลี่ยนงานมาที่นี้ได้สัก 4 เดือน
พึ่งพ้นโปรงาน นะครับ ซึ่งที่ไหนที่ผมดูแลให้ไม่เคยโดนแฮก คือยังไม่เคยโดนน็อคว่ากันง่ายๆ อย่างงี้แหละครับสถิติสวย (หรือว่าไม่รู้ว่าโดนกันแน่)

อันที่จริงแล้ว เว็บไซต์ ก็มีโอกาสถูกแฮกได้ง่าย ถึงแม้จะมีระบบป้องกันที่ดีพอแล้ว อันเนื่องจากช่องโหว่ (bug ใหม่ๆที่เรียกว่า zero day) ยังมีอีกมากที่ผุดขึ้นมาใหม่ๆแทบทุกวัน
เพียงว่าเราจะแจ็ตเพ็ตเจอหรือเปล่า ตรงกับ Server ที่เราดูแลหรือเปล่าเท่านั้น   อนันต์คิดแบบปลอบใจตนเอง ขออย่าให้ถูกแฮก

+++++++++++++++++++++++++++++++++++++++++++++++++++
เสริม
Zero day หรือ เขียน 0day คือ ช่องโหว่ที่ค้นพบโดยที่ยังไม่มีวิธีการรักษาหรือป้องกัน ถือว่าอันตรายมาก ช่วงเกิด 0day คือช่วงที่ยังไม่มียารักษานั้นเอง

+++++++++++++++++++++++++++++++++++++++++++++++++++

ระหว่างที่นำอาหารไปวางที่ชั้นวางจาน  เสียงแววมาว่า “นี้เธอตะกี้เราเข้าเว็บโรงพยาบาล หน้าแรกขอเว็บไซต์โรงพยาบาลเรามันเป็นรูปหัวกระโหลก  แถมมีเสียงเพลงเหมือนเพลง Rock ด้วย”
ผู้หญิงสองคนที่ผมไม่รู้จักชื่อ แต่รู้ว่าคนที่พูดเป็นหน้าห้อง ผู้อำนวยการ (ผอ.) โรงพยาบาล  จากนั้นเสียงนั้นก็บ่นพึ่มพัมต่อแต่ผมไม่ได้ยินเสียแล้ว

เหงื่อผมก็ไหลออกมาโดยไม่รู้ตัว  แล้วรำพึงว่า “เอาแล้วตรู งานเข้าแล้ว”

3G มือถือผมเริ่มทำงานทันทีเปิดบราวเซอร์ในมือถือ แล้วเข้า URL ของโรงพยาบาล  ขึ้นหน้าหัวกระโหลก ชูนิ้วกลาง แถมเป็นภาษาอังกฤษ แปลเป็นไทยว่า “แอดมินหน้าโง่  ไม่ปลอดภัย โดย อะไรก็ไม่รู้ตัวภาษาอังกฤษผสมตัวเลข อ่านยากจริงๆ ”

เพลงบรรเลงกีตาร์ดังขึ้น นี้มันเพลง Thunderstruck ของวง AC/DC แทรกอยู่ในเว็บหน้าแรกของเว็บไซต์โรงพยาบาลด้วย  เพลงดังกล่าวนี้ บังเอิญผมเกิดไม่ทันเพลงนี้หลอกแต่รู้เพราะ ปาเกียวที่พึ่งชกกับฟอร์ยเมื่อวันอาทิตย์ที่ 3  พ.ค.  ที่ผ่านมา สร้างข่าวว่าเป็นคู่มวยนัดหยุดโลก แต่เมื่อชกเสร็จผลออกมาตรงข้ามกับสายตาคนดู  ผมจำได้ว่าปาเกียวใช้เพลงนี้เป็นการเปิดตัวตอนที่เดินขึ้นเวทีมวย (แพ้เลย กั๊กๆ)

เวลา 08:29 แล้ววิ่งเข้าห้องทำงานชนิดที่ไม่แลมองผู้คน
“ไม่คิดว่าจะเกิดกับเรา เกิดขึ้นกับ Server ที่เราดูแล้ว” อนันต์กล่าวเบาๆ

ทันใดนั้นเองก็มีเสียงเรียกดังขึ้น “นี้เธอลืมของ” เหมือนมีเสียงแววมาด้านหลังผม   ศิรินท์พูด  ครั้งแรกที่ผมได้ยินเสียงเธอ  ของนั้นคือกระเป๋าเป้ใส่โน้ตบุ๊ค IBM รุ่นตกพื้นไม่ช้ำ ตัวเครื่องหนักเอาเรื่องจึงทำให้ เป้ของผมแลดูหนัก

“เสียงเธอช่างแอ๋บแป้วเสียจริง แต่ไม่มีเวลาคิดเรื่องนี้แล้ว บัดโถความสุขมันชั่งสั้นเสียจริง” อนันต์ได้แค่รำพึงในใจ

ศิรินท์ ยื่นให้ ด้วยแขนซ้าย ผมยื่นมือรับ  “เธอถนัดซ้ายหรือเปล่าเนี้ย” อนันต์แค่คิด
และแล้วก็วิ่งกลับมาอย่างรวดเร็ว แทนที่จะได้คุยกันนานกว่านี้ อนันต์ตอบว่า “ขอบคุณครับ”

แล้วหันหลังให้วิ่งไปต่อ ยังห่วงเรื่องไลน์ไอดีของเธอ  “เวงกำจริงๆ”  พอถึงห้องทำงาน อนันต์ลงนั่งโต๊ะทำงานอย่างรวดเร็ว พร้อมเปิดคอมพิวเตอร์ตั้งโต๊ะที่นั่งประจำซึ่ง พีซีเครื่องนี้น่าเป็นมรดกตกทอดมาหลายช่วง Admin  เป็น WindowXP ระบบปฏิบัติการที่ทาง Microsoft ทอดทิ้งไปแล้ว

โชคยังดีวันนี้ผมมาห้องนี้ก่อนใคร  วิชัย ยังไม่มา พี่องอาจ มาสายทุกวันอยู่แล้วเพราะต้องไปส่งลูกไปโรงเรียน

เวลาขณะนี้คือ 8:35 นาที
“ผมจะต้อง remote จากเครื่องผมเพื่อเข้าไปปิดเครื่อง Web Server ก่อน” อนันต์คิด

ระหว่างที่รอการบูทเครื่องเจ้าคุณปู่ ไม่นานเสียงโทรศัพท์ที่โต๊ะพี่องอาจ ดังขึ้น   “ตายๆ แน่ตรู”  อนันต์เริ่มทำอะไรไม่ถูก  จะ remote ก็รอเครื่องบูทอยู่  จึงรับสายโทรศัพท์ขึ้น

“สวัสดี มีใครอยู่ไหม ฝ่ายไอทีหรือเปล่า  ช่วยดูเว็บไซต์โรงพยาบาลเราที มันเกิดอะไรขึ้นเหรอ”  เสียงหนักแน่นมากเป็นเสียงที่ผมคุ้นเคยเพราะเป็นคนรับผมเข้าทำงานที่นี้ ผู้ช่วยผู้อำนวยการโรงพยาบาล คุณหมอจารึก  ตำแหน่งทางการของแกเป็นผู้ช่วยก็จริง แต่ด้วยวัยวุฒิและดีกรีเป็นถึงคุณหมอเลยถูกให้มาดูแลด้านไอซีทีด้วยเปรียบเสมือนเป็น CIO (Chief Information Officer)  ทุกอย่างที่เกี่ยวกับการจัดซื้อมาลงที่แกทั้งสิ้น

“สวัสดีครับอาจารย์หมอ”  ผมจะรีบดูให้คร๊าาาบบบ
แก้ไขโดยด่วน พร้อมทั้งให้องอาจ มารายงานผมฟังด้วย ก่อนที่ ผอ. จะรู้เรื่อง
คร๊าาบบบบบ  ผมตอบเสียงยาว   ในขณะเดียวกันที่มือด้านขวารับสายโทรศัพท์ มือด้านซ้ายก็ใส่ password  PC ตั้งโต๊ะขึ้น  กด Enter  แล้วเปิดโปแกรม SSH  เพื่อ remote ไปที่ Web Server สักพัก มือถือผมดังขึ้น พี่องอาจ โทรมา ผมรู้แล้วว่าต้องเป็นเรื่องนี้  เลยยังไม่กดรับเสียทันที
รอ Shell ให้ติดก่อนแล้วกัน แล้วจะโทรกลับ  ผมคิด สักพัก โทรมาอีก แต่ตอนนี้ผมพยายาม Shell ไป Web Server ตัวที่มีปัญหาแล้วเข้าได้ผมสัก shut down ไปก่อน  halt โร๊ด (ภาษาอีสาน ลอยมา ผมเป็นคนขอนแก่นครับ จากอีสานมาทำงานเมืองกรุงฯ)  ไม่นาน เสียงโทรศัพท์มือถือผมดังขึ้นอีกครั้ง ในระหว่างที่ผมรอการติดต่อกลับจาก Web Server “รีโมตนี้ช้าจังโว้ย”  เสียงโทรศัพท์ก็ดังอยู่
ครั้งนี้ผมจึงตัดสินใจรับ  ผมต้องตั้งสติ และพร้อมรับทุกสถานะการณ์ที่เกิดขึ้นต่อไปจากนี้

+++++++++++++++++++++++++++++++++++++++++++
เสริม

คำว่า Shell เป็น”การกระทำ” โดยการใช้โปรแกรมที่ชื่อ SSH เพื่อทำการ Remote ระยะไกล ซึ่งถือได้ว่า เป็นคำที่เรียกติดปากในกลุ่มผู้ดูแลระบบ

คำสั่ง halt  เป็น command หนึ่งบนระบบปฏิบัติการ Linux คือการสั่ง Shutdown เครื่อง

++++++++++++++++++++++++++++++++++++++++++++

ประโยคแรกดังขึ้น “ไอ้นันต์  เอ๊งรีบไปดู Web Server ด่วนเรื่องใหญ่ ผอ. ประเสริฐ โทรมาพี่”
บุคลลิกพี่องอาจ เป็นหนุ่มใหญ่ ผิวขาวร่างอ้วนกลม เชื้อสายจีนแน่นอน ตาชั้นเดียวใส่แว่นค่อนข้างหนา เป็นคนตรงไปตรงมา พูดจาไม่น่าฟังแต่ใจดี และช่วยเหลือน้องๆ

พี่องอาจ กล่าวต่อว่า “เว็บเราโดนแฮกใช่ไหม ?”   เสียงพี่องอาจ กระแทกที่หูผม   สวัสดีครับพี่ ผมมาถึงที่ทำงานแล้ว  ผมกำลัง shell อยู่พี่ ใจเย็นนะครับ

วันนี้ทาง ผอ. มี present  Application บนมือถือของโรงพยาบาลเรา เพื่อใช้บริการประชาชน ให้กับ ท่านรัฐมนตรี สาธารณะสุข ช่วงบ่ายวันนี้แหละ ซึ่ง Application นี้มัน Run อยู่บน Web Server นี้แหละ
พี่องอาจ  เสียงดังกล่าว

“พี่ครับ ผมรอพี่อยู่ เพราะ log file พี่ถืออยู่อ่ะ ผมจะช่วยดูว่าเกิดไรขึ้น”  อนันต์เริ่มแถ ใช้มุขเก่าเรื่อง Log เป็นข้ออ้างไปก่อน

“ถึงผมจะมีความรู้ด้านการดู log หรือ ศัพท์ทางการเรียกว่า “Computer Forensic” อยู่ไม่มากเทียบก็หางอึ่งอยู่มิใช่มืออาชีพ แต่ผมก็เคยดู Log ของเครื่อง Server ของงานธนาคารมาแล้วนะ สมัยที่มีการ Fraud” กัน อนันต์รำพึงอีกครั้ง

++++++++++++++++++++++++++++++++++++++++++++
เสริม
Computer Forensic : คือศาสตร์ในการแกะร่องรอยการกระทำความผิดอันเกิดจากการใช้งานอุปกรณ์สื่อสารและคอมพิวเตอร์เป็นเครื่องมือในการกระทำ ซึ่งในที่นี้จะเหมารวมกันก็ได้ว่าเป็นทั้งการแกะร่องรอยทางระบบเครือข่าย Network Forensic เบื้องต้นจะเป็นการดู Log file เทียบกับเวลา Log จาก Centralization log เป็นหลัก และ Computer Forensic เป็นพิสูจน์หาหลักฐานหากได้เครื่องคอมพิวเตอร์ที่สงสัยว่าเป็นเครื่องก่อเหตุมาทำการยืนยันและเป็นหลักฐานในชั้นศาลต่อไป

+++++++++++++++++++++++++++++++++++++++++++++++++++++

“วันนี้พี่ต้องพาลูกไปโรงเรียน เป็นวันปฐมนิเทศลูกชายพี่หว่า” รถโครตติดเลย สงสัยว่าอาจถึงที่ทำงานเกือบ 10 โมงเป็นอย่างเร็ว  เอ๊ง ก็ไปเปลี่ยนหน้าเว็บกลับมาแบบเดิมก่อน ดูที่ backup server restore กลับมาสิ ไอ้นันต์”  พี่องอาจเริ่มกิ้ว

shell ได้แล้ว แต่ login ใน user เดิมที่เคยเข้าไม่ได้ ลองแล้วมันบอกว่า ไม่มี username นี้ในระบบ.มันเฮง—.ปู๊ดๆ–censor .. เอ่ย : อนันต์เซ็ง

“เออ พี่ครับ ผม shell ได้แต่ login ไม่ได้ครับ ผมว่าผมโดนเข้าให้แล้ว”  ผมตอบเสียงสั่น ผมหน้าตาเริ่มซีด

เอ๊งรีบไปปิดเครื่องเลย  เข้าห้อง server แล้วไป กดปุ่ม power ไปก่อน  พี่องอาจ กล่าว

อนันต์ วิ่ง 4 x 100  ด้วยความเร็ว 2Gbps  เข้าห้อง Server  ปล่อยให้เสียงตะคล๊อกของพี่องอาจ ดังอยู่ไกลๆ  web server ตัวนี้มันตัวไหน หว่า  ชิบหาย Label ก็ไม่มีเขียน  มันน่าจะอยู่ใต้ Firewall หรือเปล่านะ
ล่าสุดผมเข้าห้องนี้ก็เมื่อ 3 เดือนก่อนที่บริษัทดูแลด้านระบบเครือข่ายส่งมอบตัวอุปกรณ์ Firewall
เลยวิ่งกลับมาถามเพื่อความมั่นใจ

“พี่ครับมันเครื่องไหนครับ” อ้าวพี่องอาจวางหูไปเสียแล้ว  

ผมเริ่มกุมขมับ  เสียงเปิดประตูมา  วิชัยเดินเข้ามาในห้อง

“วิชัย นายรู้ป่ะว่าเครื่อง Web server เครื่องไหน” อนันต์ถามเสียงดัง

วิชัย ถึงแม้อายุใกล้เคียงกับผม แต่เขาอยู่มานานกว่าใครเพื่อน เห็นว่าเป็นลูกคุณหมอในโรงพยาบาลนี้ ให้มาทำงานที่นี้ตั้งแต่ 5 ปีก่อน อาจกล่าวได้ว่ามาพร้อมๆ กับพี่องอาจ แต่ด้วยความอาวุโส
ยังไม่มาก   และได้รับภาระกิจสำคัญคือดูระบบ account หรือ user ทั้งโรงพยาบาล เขาเป็นคนคุมรหัสผ่านของทุกคนในโรงพยาบาล ….

เครื่องที่ห้านับจากล่างขึ้นบน  ตู้ซ้ายสุด    ตู้ Rack 1 ใส่ได้ 42U
วิชัย ตอบอย่างรวดเร็ว พร้อมคำถาม  เกิดอะไรขึ้นเหรอ ?
ผมยังไม่ตอบวิชัย วิ่ง 4×100 เข้าห้อง Server แล้ว กดปุ่ม power  เพื่อปิดเครื่อง Server แล้ววิ่งกลับมาที่หน้าเครื่อง PC ตั้งโต๊ะ พร้อมเปิดบราวเซอร์เพื่อดูผลลัพธ์

ขอบคุณวิชัย เราหยุดการแสดงผลเว็บไซต์ได้แล้ว

วิชัยเริ่มทำสีหน้าสงสัย พร้อมกับถามต่อว่า ” เกิดอะไรขึ้น ? “

“ผมก็ไม่รู้มันเกิดจากกอะไร ผมได้รับข้อความแจ้งเตือนจาก NIDS ว่ามีการบุกรุกโดยการ login ผ่าน services SSH port 22 และพบการผิดพลาด 3 ครั้ง  จากนั้นช่วงเช้าเที่ผ่านมาเข้าเว็บไซต์โรงพยาบาลพบว่ามี Defacement” อนันต์กล่าว

+++++++++++++++++++++++++++++++++++++++++++++++++++
เสริม 
SSH  ย่อมาจาก Secure Shell  เป็นโปรแกรมชนิดหนึ่ง ลักษณะเป็นการ Remote ระยะไกลผ่านเครือข่ายอินเทอร์เน็ต ใช้ Port Services 22 เป็นการติดต่อแบบ TCP เป็นโปรแกรมยอดฮิตสำหรับผู้ดูแลระบบ
และมักถูกการโจมตีที่เรียกว่า “Brute Force” ได้ง่ายโดยที่ตั้ง Server ที่มีค่า Public IP Address

Brute Force คือชนิดการโจมตีประเภทหนึ่งเป็นวิธีการสุ่มเดารหัสผ่านโดยมักจะเกิดกับหน้าเพจที่มีการต้องใส่ค่า Login และระบบ Remote ระยะไกลไม่ว่าเป็น Telnet , SSH , VNC , Remote Desktop เป็นต้น

Defacement คือวิธีการแสดงตัวตนของแฮกเกอร์วิธีหนึ่ง โดยจะอาศัยเว็บไซต์ที่มีช่องโหว่แล้วเข้าไปทำการเปลี่ยนหน้าเว็บเพจ เพื่อแสดงเจตนารมณ์  หรือประกาศว่ามีความเสี่ยง โดยแฮกเกอร์ที่มีมารยาทจะไม่พยายามเปลี่ยนหน้าเว็บเพจในหน้าหลัก โดยส่วนใหญ่การแฮกพวกนี้เป็น ออโต้สคิปต์ (Automatic script) ซึ่งไม่ได้หมายความว่าแฮกเกอร์รู้จักหน่วยงานที่จะแฮกนั้น จึงแฮกแต่ที่ไหนมีช่องโหว่ตรงกับสคิปต์ที่เขียนไว้อาจจะโดนแฮกได้เสมอ

+++++++++++++++++++++++++++++++++++++++++++++++++++

“แล้วเราจะทำอย่างไงต่อ” วิชัยถามต่อ

“ผมไม่รู้เหมือนกัน ต้องรอพี่องอาจมาก่อนครับ เพราะ log อยู่ที่แก” อนันต์ตอบ (อ้างต่อเนื่อง)

สักพักมีเสียงโทรศัพท์เข้ามือถือ พี่องอาจ  โทรมา

“นันต์เอ่ย พี่จะไปถึงเร็วๆนี้  พี่ให้แม่ไปนั่งฟังแทนแล้ว ต้องมาช่วยพวกเราก่อน ตอนนี้พี่ติดอยู่ถนนแจ้งวัฒนะ  จะเลี้ยวขึ้นทางด่วนแล้ว บังเอิญพี่นึกได้แถวนี้ พี่รู้จักเพื่อนคนหนึ่ง ไม่คุยกันกว่า 8 ปีแล้ว  เขาทำงานด้านนี้โดยตรง เผื่อจะช่วยแก้ไขสถานการณ์ได้บ้าง ” พี่องอาจกล่าว

“ใครอ่าพี่ จะมีใครช่วยเราได้นอกจากเราจะช่วยตัวเราเอง  พี่ไม่มั่นใจผมหรือไง” อนันต์พูด

“แล้วเอ๊งจะทำไง ล่าสุดพี่เข้าเว็บไซต์ไม่ได้แล้ว เอ๊งบอกพี่มาสิ ว่าจะทำไงต่อ” พี่องอาจพูดโต้ตอบในโทรศัพท์

ถามเหมือนวิชัยเลย “จะทำไงต่อ”

ต้องรอพี่ครับ พี่คนเดียวเข้าไปดู Centralized logging ได้

++++++++++++++++++++++++++++++++++++++
เสริม
Centralized Log คือ การรวม log จากอุปกรณ์ระบบเครือข่าย เครื่องแม่ข่าย (Server) ที่สำคัญ ส่งค่า log  ซึ่งจะทำการส่งผ่าน Protocol syslog  ที่เป็นการติดต่อสื่อสารชนิด UDP และใช้ Port Services คือ 514 โดยทำการส่งค่า syslog เข้าไปเก็บไว้ที่ส่วนกลางเครื่องศูนย์กลางที่เดียว เพื่อเป็นการเก็บบันทึกเหตุการณ์ และตาม พรบ คอมพิวเตอร์ที่กฎหมายกำหนด

โดยแบบพื้นฐาน คือเก็บอย่างเดียวเป็น raw log  ไม่มีการวิเคราะห์
และแบบที่เก็บด้วยพร้อมทั้งสามารถวิเคราะห์ได้ โดยอาจจะใช้เทคโนโลยีเสริม อันได้แก่  SIEM (Secure Information Management) มาช่วยอ่านเพื่อคัดกรองว่าเหตุการณ์ใดเป็นมีความเสี่ยง ระบุได้ว่ามีความเสี่ยงระดับสูง กลาง ต่ำจากเหตุการณ์ใดได้บ้าง ซึ่งราคา SIEM  ค่อนข้างสูง ในเมืองไทยจะมีใช้สำหรับหน่วยงานใหญ่ขึ้นไป ส่วนหน่วยงานขนาดเล็ก และขนาดกลางมีวิธีการอื่นที่ช่วยทดแทน SIEM ได้โดยใช้ NIDS มาช่วยทดแทนได้ระดับหนึ่งเพียงแค่เป็นการดูข้อมูลผ่านทางระบบเครือข่ายเท่านั้นมิได้ออกมาจาก log โดยตรงจากเครื่อง สำหรับเครือข่ายที่ไม่ซับซ้อน และไม่มีเครื่องแม่ข่าย (Server) ที่สำคัญ และบุคคลากร และ Process ยังไม่พร้อมนัก จะใช้วิธีนี้สะดวกทั้งงบประมาณและการติดตั้งมากที่สุด

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

“อะไรก็ Log เอ๊งจะดู Log ทำแป๊ะ อะไรตอนนี้ต้องทำให้เครื่องเปิดได้ก่อน ท่านรัฐมนตรีจะดู App อ้ายนี้” องอาจกล่าว

“ผมยังไม่รู้จะเปิดด้วยวิธีไหนนะพี่ บัดโถ (เรื่องขึ้นเสียง) ” อนันต์ตอบ

“ก็พี่บอก ธีรานนท์ เพื่อนพี่ ขับรถตามแล้ว”  องอาจกล่าว

ขณะนั้นเป็นเวลา 9:25 นาที

ที่สำนักงานบริษัท Ghostnet Buster Team จำกัด  หรือใช้ตัวย่อว่า “GBT” ที่ตึก ณ บางกอก เป็นอาคารเช่าสำนักงานรวม  พื้นที่บริษัทนี้เช่าอยู่ราวกับแมวนอน  ขนาด 15 ตารางเมตร  ค่าเช่าเดือนละหมี่น ตั้งโต๊ะนั่งได้เต็มที่ 3 โต๊ะพร้อมเก้าอี้ เป็นห้องริมสุดในชั้น 7 มีหน้าต่างซ้ายมือที่มองเห็นถนนแจ้งวัฒนะ ด้านขวามือมองเห็นสวน แอร์เย็นฉ่ำ มีโต๊ะทำงาน 3  ตัว วางเป็นตัว L มีเครื่อง Fax , กาต้มน้ำ , โทรศัพท์ และ เร้าเตอร์ 1 เครื่อง โน้ตบุ๊คอีก 2 เครื่อง ตู้เย็นขนาดเล็กหนึ่งประตู โดยบนตู้เย็นมีบะหมี่สำเร็จรูป 2 โหล

สายโทรศัพท์สำนักงานดังขึ้น  เวลา 9:10 นาที

“สวัสดีครับ  ขอสาย ธีรานนท์หน่อย”

พี่นนท์ เข้าห้องน้ำอยู่  ไม่ทราบว่าเรื่องอะไรให้เราช่วยเหลือค่ะ”

หลังจากสนทนาเสร็จ วางสาย
ทันใดนั้นเอง ธีรานนท์เดินเข้ามาในห้องทำงาน

“พี่นนท์ค่ะ  เดือนนี้เราจะรอดตายแล้วพี่  มีงานเข้ามาแล้ว”   จุฑามาส พูด
จุฑามาศ เป็นพนักงานบัญชี ทำงานที่บริษัท Ghostnet Buster ตั้งแต่เปิดบริษัทแรก
ส่วนใหญ่จะเรียกชื่อสั้นๆ ว่า “นนท์”

“Ghostnet Buster Team  (GBT) เปิดทำการวันที่ 14 กุมภาพันธ์ 2556 มีอายุบริษัทเพียง 2 ปี แต่เป็นที่รู้จักกันในกลุ่มคนวงการว่าธีรานนท์คนนี้มีประสบการณ์พอตัวในงานด้านนี้ เน้นทำงานด้านการ Incident Response และการ Forensic เป็นแบบบริการหลัก และเสริมด้วยการรับทำ Penetration test ทั่วราชอาณาจักร ซึ่งเมื่อก่อนถือได้ว่าการทำ Pen-test เป็นงานหลักของเขา และยังเป็นอาจารย์สอน Penetration test ในยุคที่แทบไม่มีคนไทยทำงานประเภทนี้เลย 15 ปีย้อนหลัง
แต่ด้วยตลาดตอนนี้มีการแข่งขันกันสูงแกเลยหันไปทำในเรื่องที่คนอื่นไม่ค่อยทำกันได้  หรือต้องใช้ Know how สูงขึ้นไปอีกถึงจะรับทำงานประเภทนี้ได้

++++++++++++++++++++++++++++++++++++++++++++++++++
เสริม
Penetration Test หรือเรียกย่อได้ว่า Pen-test  คือการทดสอบเจาะระบบ ซึ่งรายละเอียดเคยเขียนไว้ที่ http://nontawattalk.blogspot.com/2009/10/penetration-test-1.html

++++++++++++++++++++++++++++++++++++++++++++++++++

พนักงานที่นี้มี  4 คน คือ ธีรานนท์  เกียรติศักดิ์(ชื่อเล่น ต้อม ทำงานแบบออนไลน์สำคัญจริงๆจึงมา อยู่เกาะสมุย ไม่รับเงินเดือนรับเป็นงานๆไป)   อนุทิน (อ๊อด) ช่างเทคนิคและเป็นโปรแกรมเมอร์อีกด้วย อ๊อดชอบรับจ๊อบนอกมีเวลาไม่เต็มที่กับบริษัทนี้นักแต่ถึงอย่างไรอ๊อดก็ยังร่วมงานกับพี่นนท์อยู่  เหมือนมีงานอยู่ตลอดสำหรับอ๊อดแต่ไม่เคยเก็บเงินได้เลย และดิฉันจุฑามาส พนักงานบัญชีดูการเงิน ทำงานประชาสัมพันธ์ รับสายโทรศัพท์และการตลาดหาลูกค้าทำคู่กันเลย อะเมซิ่งออร์อินวัน อิอิ”

ปกติบริษัทนี้เปิดมานั้นแทบไม่มีงานเข้าอยู่แล้ว รายได้แบบเดือนชนเดือน แต่ธีรานนท์ ยังยืนหยัดทำต่อ  ด้วยงานที่เขารัก

ธีรานนท์ถาม  “แล้วงานที่ไหน?”
โรงพยาบาลสยามเฮลฮอสพิทอล (Siam Health Hospital)
“เขาให้เราไปถึงที่นั้นเร็วยิ่งดี ค่ะ แล้วให้พี่โทรไปคุยรายละเอียดเขาด้วย เบอร์ตามนี้”
จุฑามาส ยื่นกระดาษพร้อมเบอร์โทรศัพท์ให้

ธีรานนท์ ดูกระดาษ  “รายมือจุฑามาส องอาจ ใจสะอาด Web Server เราถูกแฮก ….”

เพื่อนเรานี้หว่า ขณะนั้นแล้วเงยหน้ามองออกไปที่หน้าต่าง ชั้น 7 ที่ทำงานรังหนู มองลงไปที่ ถนนแจ้งวัฒนะ รถเริ่มคลี่คลาย …

“ผมจะไปตามที่นัด คุณประสานงานอ๊อด ให้เอาเครื่องมือ Network Forensic และตัวสำเนาฮาร์ดดิสความเร็วสูง ไปด้วยนะ”  ธีรานนท์กล่าว

10:58 น. ในที่สุดธีรานนท์ ก็มาถึงโรงพยาบาล  แปลกใจมากเลยที่ อ๊อดมาถึงก่อน

ธีรานนท์ ไม่รอช้า ทำการต่อสายโทรศัพท์ไปหาองอาจ

“สวัสดีครับ ผมธีรานนท์ เมื่อเช้าคุณโทรมาหาเราที่ GBT”  ธีรานนท์พูดขึ้น
“สวัสดีครับผมองอาจเอง ผมต้องการให้คุณมาที่ห้อง 304A  ชั้น 3 อาคาร A นะผมและทีมงานรออยู่ที่นั้น” องอาจกล่าว

เฮ้ อ๊อดเอาของมาด้วยป่ะ  “ไม่พลาดอยู่แล้วพี่” ทำไมนายมาถึงเร็วจัง
“คืนก่อนผมมาค้างที่อาคารตรงข้ามนี้ ซอยเล็กๆนั้น นี้เอง ฝนมันตกหนักนี้พี่” อ๊อดพูด เมื่อเหลือบไปดูแล้ว เป็นเหมือนโรงแรมม่านรูดขนาด ตีสัก 3 ดาวก็แทบเต็มกลืน แต่ก็ไม่ได้พูดอะไรต่อ
เออ แล้วอุปกรณ์ของพวกนี้อยู่กับนายได้ไง อ๊อด   ผมเอาไว้ติดตัวพอดีครับในท้ายรถผมนี้ แหะๆ อ๊อดกล่าวแบบละมุนละม่อม

เราทั้งคู่เดินไปที่อาคาร A พร้อมขึ้นลิฟต์ไปยังชั้น 3  เมื่อถึงแล้ว ด้านหน้าห้องเขียนว่า ศูนย์คอมพิวเตอร์

พวกเรา (นนท์ และ อ๊อด) เดินเข้าไปในห้อง เหมือนห้องนี้แบ่งเป็น 3 ส่วน คือส่วนด้านหน้าเป็นที่ทำงาน  ด้านหลังเหมือนมีโปรแกรมเมอร์ ผู้หญิง 1 คน และแลดูเหมือนผู้หญิง 1 คน กำลังนั่งพิมพ์อะไรอยู่ตลอด
ส่วนด้านข้างเป็นห้อง IDC (Internet Data Center) เราเข้าไปในห้องข้างหน้า พบว่า มีชาย 3 คน
นั่งประจำที่โต๊ะใครโต๊ะมันอยู่ หน้าตาเคร่งเคลียด  ทุกห้องมีกล้องวงจรปิดติดที่มุมเพดานอย่างละตัว

สักพักได้ยินเสียง “เอ๊า คุณนนท์ เข้ามาเลย”  เจ้าของเสียงคือ องอาจ   “นันต์เอ่ย เอ๊งไปเอา กล่อง Server มาเรียงด้าน ข้างโต๊ะเอ๊ง 4 กล่องนี้”

ที่นี้ดูเหมือนโรงพยาบาลชั้นนำก็จริงนะครับ  แต่ธุรกิจของเราคือโรงพยาบาล ด้านไอทีเป็นเพียงด้านหลังฉากของความสำเร็จของโรงพยาบาล ห้องทำงานเราเลยไม่ใหญ่โตครับ  ขอโทษทีนะครับที่คับแคบหน่อย
อนันต์เอากล่อง Server  มาวางเรียง 4 กล่องเสร็จแล้ว  เอ๊าพวกเรามานั่งคุยกันตรงนี้  ธีรานนท์  อ๊อด   องอาจ  อนันต์  และวิชัย

“นันต์ และวิชัย สละเก๋าอี๋ให้พี่เขาด้วยนะ”  องอาจพูด
ทุกคนมานั่งสุ่มหัวกันโดยใช้กล่อง Server เป็นที่ประชุม ส่วนวิชัยนั่งหย่องๆ โดยไม่เก้าอี้ และอนันต์
“อ้าวเอ๊งไปยืนพิงเสา ข้างถังขยะทำไม” องอาจพูดถึงอนันต์
“ก็กางเกงผมมันฟิตครับพี่นั่งหย่องๆ เหมือนวิชัยไม่ได้ มันขาดเอ๋านะครับ” อนันต์ตอบ

“โทษทีนะครับ น้ำชา กาแฟ ไม่ต้องนะครับ ถ้าต้องการให้บอกนะ ผมขอเริ่มเลย”
“เรามีเวลาไม่นาน 13:30 โดยประมาณ Web Server เราต้องใช้งานได้ ซึ่งนับจากนี้เรามีเวลาไม่เกิน 2 ชั่วโมงในการกู้ระบบ” องอาจกล่าวด้วยน้ำเสียงชัดเจน

———————– ติดตามตอนต่อไป —————————

แนะนำตัวละคร
1. อนันต์ ผู้ดูแลระบบรักษาความมั่นคงปลอดภัยของเครื่องแม่ข่ายประจำโรงพยาบาล  ตัวเอกของเรื่องในตอนนี้
2. ศิรินท์  ชื่อเล่นริน นักพัฒนาโปรแกรม ERP เป็น Out source จากบริษัทพัฒนาโปรแกรม และมีทีมงานด้วยกัน 2 คนที่มานั่งเขียนโปรแกรมซึ่งในขณะนี้ยังไม่ได้กล่าวถึง
3. พี่องอาจ ดูแลด้านระบบเครือข่าย  และ Log file ตาม พรบ.คอมพิวเตอร์ฯ เป็นคนที่เปิดดู Log Management ได้ เป็นคนที่อยู่ในโรงพยาบาลนี้มานาน อายุราว 39 ปี
4. วิชัย ดูแลเรื่องการ access internet  ภายในองค์กร โดยเฉพาะเรื่อง account ทั้งหมด อายุราว 28 ปี เป็นคนเงียบคุยเฉพาะสิ่งจำเป็น คุณพ่อของวิชัยเป็นหมอที่มีบารีมากในโรงพยาบาลแห่งนี้ เป็นกลุ่มก่อตั้งโรงพยาบาลนี้ขึ้น วิชัยเปรียบได้ว่าเป็นเด็กเส้นที่ไม่ค่อยมีใครอยากมีเรื่องด้วย
5. หนุ่ม ชื่อจริงชื่อ ราเชน เป็นโปรแกรมเมอร์ ผู้เขียนโค้ดพัฒนาเว็บไซต์ ร่วมกับบริษัทเอกชนที่ได้รับงานในขณะนี้ยังไม่ได้กล่าวถึง ดูเหมือนเป็นรุ่นน้้องเพราะหน้าตายังดูเด็กพึ่งจบจากมหาวิทยาลัยผิวขาวผอมสูงใส่แว่น
6. คุณหมอจารึก ผู้ช่วยผู้อำนวยการโรงพยาบาล ถือได้ว่าเป็นผู้ดูแลสายงานด้านไอซีที ทั้งหมดของโรงพยาบาล
7. คุณหมอประเสริฐ ผู้อำนวยการโรงพบาบาล
8. ผู้หญิงไม่รู้จักชื่อ ทำงานหน้าห้องผู้อำนวยการโรงพยาบาล
9. จุฑามาส อยู่บริษัท Ghostnet Buster Team ทำงานเอนกประสงค์ บัญชี การตลาด ประชาสัมพันธ์ เงินเดือนได้ทุกเดือนแบบเชียดชิ่ว มีความซื่อสัตย์ มีความอดทนไม่เลือกงานแม้ว่าจะอยู่ในที่ทำงานที่ไร้ซึ่งความมั่นคง
10. ธีรานนท์ ผู้ก่อตั้งบริษัท Ghostnet Buster Team อดีตพนักงานธนาคารเอกชนที่ทันสมัยที่สุดในประเทศไทย และอดีตที่ปรึกษาตำรวจไซเบอร์ ถึงแม้เบื้องหน้าแทบไม่มีใครรู้จักเขาเลย ชนิด low profile และก็ low profit อีกด้วย แต่เบื้องหลังโดยเฉพาะกลุ่มคนที่ทำงานด้านนี้อย่างแท้จริงเป็นที่รู้จักอยู่พอสมควร และเขามีเครือข่ายกลุ่มคนที่เป็นแฮกเกอร์ใต้ดินรุ่นเดอะในประเทศไทย มีทีมงานทำงานร่วมกันมาเป็น 10 ปี 2 คน คือ ต้อมและอ๊อด

+++++++++++++++++++++++++++++++++++++++++++++++

สงวนลิขสิทธิ์ SRAN Technology (www.sran.net)

นนทวรรธนะ  สาระมาน
Nontawattana  Saraman

ผู้เขียน
06/05/58

ตอนที่ 2 ที่นี้มีแฮกเกอร์ http://nontawattalk.blogspot.com/2015/05/hacker-here-2.html
ตอนที่ 3 ที่นี้มีแฮกเกอร์ http://nontawattalk.blogspot.com/2015/05/hacker-here-3.html

Log ที่มีคุณภาพนั้นเป็นอย่างไร ตอนที่2

จากความเดิมตอนที่แล้ว  ซึ่งทิ้งช่วงนานมาก  … ถือโอกาสนี้มาสานต่อเขียนให้จบ
Log files มีความสำคัญในการทำ “Incident Response” หรือภาษาไทยแปลได้ว่าการรับมือเมื่อเกิดสถานการณ์ฉุกเฉิน  ซึ่งถือได้ว่าเป็นกระบวนการที่สำคัญที่ทุกองค์กรควรมีไว้

ดังนั้น Log files จึงต้องเก็บอย่างมีเหมาะสม และตรวจหาเหตุการณ์ที่เกิดได้

ที่กล่าวมาในตอนที่แล้วผมขอสรุปเพื่อสร้างเข้าใจดังต่อไปนี้
(1) Log files ที่เกิดจาก Local Host server ที่สำคัญ   เช่น  Authentication Server (Radius , LDAP) หรือการ Remote Access (VPN, RDP , SSH, FTP) , Proxy Server , Web Server , Internal Mail Server , Files Server  เป็นต้น เหล่านี้ เราสามารถเก็บ Log ได้อย่างสมบูรณ์ได้ ไม่ยากเย็น เนื่องจากมาจากแหล่งที่มาของ Server ที่ตั้งอยู่กับเราเอง
ส่วนใหญ่ทุกองค์กรที่มีความพร้อมสามารถเก็บในส่วนนี้ได้
ซึ่งองค์กรไหนให้ความสำคัญมีงบประมาณในส่วนนี้ก็จะจัดเก็บได้ครบถ้วน
แต่มีจุดอันตรายที่อาจตกในบางจุดได้ เช่น Proxy Server  ในอดีต องค์กรที่มีความพร้อมด้าน ICT นั้น ใช้ Proxy Server ในการทำ Caching เพื่อเพิ่มความเร็วในการเข้าถึงข้อมูลผ่าน HTTP  และป้องกันภัยคุกคามเช่นพวก files ที่อาจติดเชื้อไวรัส  จนมีสินค้าเกี่ยวกับการป้องกันภัยโดยทำตัวเป็น Proxy Server มาขายดิบขายดีในช่วงเวลาหนึ่ง  ปัจจุบันการทำ Caching มีบทบาทลดลง เนื่องจากความเร็วอินเทอร์เน็ตที่สูงขึ้น  Web Portal ขนาดใหญ่ลงทุนทำ CDN  เช่น google , facebook , line  แม้กระทั่ง pantip ก็ยังทำ CDN หมดแล้ว และ เว็บสำคัญใหญ่ๆ ตอนนี้เป็น HTTPS หมดแล้ว ป้องกันการ Strip ด้วย protocol HSTS ด้วย  ดังนั้น Proxy Server ในองค์กรจึงแทบหมดความหมายไป  ที่ผมกล่าวเช่นนี้เพราะ HTTPS ที่องค์กรต้องเพิ่มค่าใช้จ่าย (Cost) ในการทำ caching และ การ interception เพื่อตรวจหาภัยคุกคาม และ ค่าใช้จ่ายส่วนนั้นมากกว่าที่คิดมากครับ จึงอาจมีหลายองค์กร (ที่มีความพร้อมด้าน ICT) อาจไม่ลงทุนในส่วนนี้ก็เป็นไปได้  

(2) Log file ที่เกิดจากอุปกรณ์ระบบเครือข่าย และระบบรักษาความมั่นคงปลอดภัยในระบบเครือข่าย อันได้แก่ Firewall ,  NIDS  , NAC  , Vulnerability Assessment / Management   เป็นต้น  ซึ่ง หากเป็นอุปกรณ์ Appliance สมัยใหม่ ก็จะมีค่า syslog ซึ่ง System admin สามารถที่จะทำการโยน Log file นั้นไปสู่อุปกรณ์เก็บ Log ที่ส่วนกลางได้

(3) Log ที่เกิดจากพฤติกรรมการใช้งานพนักงานภายใน   ซึ่งส่วนนี้จริงๆแล้วก็เกิดจาก  Firewall log ได้ หรือ Proxy log ได้  แต่ที่ผมยกมาเป็นหัวข้อนั้น เนื่องจากส่วนนี้เป็นปัญหาที่สุด  เนื่องจากภัยคุกคามสมัยใหม่ได้มีการพัฒนาตัวในการส่งข้อมูลแบบเข้ารหัส (Encryption)  เพื่อหลบการตรวจจับจากอุปกรณ์ด้านการรักษาความมั่นคงปลอดภัยชนิดต่างๆ   ทั้งที่เป็นการเข้ารหัสผ่าน Protocol HTTPS ,  หรือทำ Tunnel VPN หรือ Tunnel SSH  ออกไปสู่ข้างนอก ผ่าน port มาตรฐานที่ทุกองค์กรต้องเปิดออก

และเรื่องสำคัญสำหรับองค์กรไหนที่จำเป็นต้องใช้ Social Network  อันนี้แทบไม่มีการเก็บ Log ถึงพฤติกรรมได้เลย อันเนื่องจากผู้ให้บริการ ที่เรียกว่า Content Provider นั้นอยู่ต่างประเทศทั้งหมดไม่ว่าเป็น Facebook , Line , google     การเก็บเกี่ยวกับพฤติกรรมเหล่านี้จึงทำได้ยากขึ้น

ดังนั้น Log ที่มีคุณภาพ สำหรับองค์กร ที่ยังต้องใช้งาน Social Network จำเป็นต้องมองเห็นพฤติกรรมภายในการรับส่งข้อมูล  HTTPS  หรือไม่ ?

คำตอบ คือ จำเป็น  แล้วเราจะทำอย่างไง ถึงจะเก็บข้อมูลตรงส่วนนี้ได้
ระดับ Firewall แบบ NG  Next Generation  ทุกตัวทำได้หมด   แต่ราคาแพงสุดขั้ว   และ Log ที่เก็บบันทึกในตัว Firewall หรือ Proxy ระดับสูงเหล่านี้  เมื่อดูที่ค่า syslog  ของอุปกรณ์ก็จะพบว่ามีแต่ Log ด้านภัยคุกคาม  (Threat data traffic log)  จะ log พฤติกรรมทั่วไป ก็หามีไม่  เนื่องจากปริมาณ Log จะเยอะมาก

ดังนั้นในมุมการเก็บ Log  ของต่างประเทศคือดูภัยคุกคามจริงๆ เช่นการแฮก การโจมตี Cyber attack เพื่อเยียวยาได้ทันท่วงที

แต่  Log  สำหรับคนไทย กับต้องคำนึงถึง ภัยที่เกิดจากการเนื้อหาที่ส่งข้อมูลกัน เนื้อหานี้แหละเป็นภัยคุกคามด้านความมั่นคงของประเทศไทย ทั้งการหมิ่นประมาท การส่งภาพ คลิปเสียง และวิดีโอ การส่งข้อความไม่เหมาะสม หมิ่นต่อสถาบันและความมั่นคงของชาติ เป็นต้น ซึ่งต่างประเทศมองในจุดนี้ว่าเป็นลักษณะการทำ Lawful interception มากกว่า Log ที่ Centralization log management ที่เป็นอยู่ที่เน้นไปด้าน การเกิด Cyber attack ,  internal Fraud  ที่เกิดขึ้นทางเทคนิค

แต่อย่างไรนั้นหากจำเป็นต้องเก็บ Log การใช้งาน Social network ภายในองค์กรจริงๆ นั้นสามารถทำได้
ซึ่งปัจจุบันทีมงาน SRAN เราได้พัฒนาตัวเก็บ Log ประเภทนี้ขึ้นมาเรียกว่า “Net Approved”   ซึ่งราคาเข้าถึงได้ และเก็บข้อมูล Social Network จากการถอดค่า HTTPS ออกเป็นข้อมูลที่อ่านออกได้
ปัจจุบันทางเราได้ทำอยู่รุ่นเดียว หากสนใจติดต่อได้ที่  info at  gbtech.co.th  ได้ตลอด

นนทวรรธนะ  สาระมาน

Nontawattana   Saraman

SRAN Dev Team

Log ที่มีคุณภาพนั้นเป็นอย่างไร ตอนที่ 1

ในเครื่องบินจะมีการบันทึกเหตุการณ์ที่เกิดขึ้นหากประสบเหตุปัญหาต่างๆที่คาดไม่ถึงจากอุปกรณ์ที่เรียกว่า “กล่องดำ” ซึ่งกล่องดำนี้เองจะเป็นตัวเฉลยเหตุการณ์ที่เกิดขึ้นในขณะที่เดินทางอยู่จากจุดเริ่มต้นจนถึงปลายทางว่ามีเหตุการณ์อะไรเกิดขึ้นบาง
ซึ่งไม่ต่างอะไรกับ กล้องวงจรปิด (CCTV) ในร้านค้า เช่นเซเว่น อีเลฟเว่น (7 eleven) ก็จะมีกล้องวงจรปิด เพื่อเก็บบันทึกหลักฐานหากพบเหตุการณ์อันไม่ปกติ จะทำการสืบค้นหา วันเวลา หรือช่วงเวลา ที่เกิดเหตุเพื่อใช้เป็นหลักฐานในการหาผู้ที่กระทำความผิดมาลงโทษ

เช่นเดียวกันในระบบคอมพิวเตอร์ก็มีการเก็บบันทึก ที่เรียกว่า Log Files
Log จะเฉลยสาเหตุ เมื่อเกิดปัญหากับระบบคอมพิวเตอร์ รวมถึงระบบเครือข่ายคอมพิวเตอร์ หรือในกฏหมายเรียกว่า “ข้อมูลจราจรคอมพิวเตอร์”
ยามใดที่เกิดอันไม่ปกติเกิดขึ้น เราจำเป็นต้องต้องใช้ Log files ในการสืบค้นเพื่อหาที่มาที่ไปเหตุการณ์จากอดีตอันเป็นสาเหตุของปัญหา ร่องรอยของการกระทำความผิด
(1) การกระทำความผิดที่เกิดจากพฤติกรรมมนุษย์ (Human Instinct) เช่น การหลอกลวง , การขโมยข้อมูลด้วยเจตนา (ตั้งใจกระทำ) , การดักรับข้อมูลด้วยเจตนา (ตั้งใจกระทำ) ด้วยอาการ รัก โลภ โกรธ หลง อันเป็นเกิดจากปัจเจกบุคคล เป็นต้น
(2) การการะทำความผิดที่เกิดจากโปรแกรมไม่พึ่งประสงค์ (Malicious Software)  เช่น การติดเชื้อไวรัสคอมพิวเตอร์ ที่เกิดเป็น “Cyber Attack” จากเครื่องหนึ่งขยายไปยังระบบเครือข่าย และไปยันระดับประเทศได้ในชั่วข้ามคืน เป็นต้น
ทั้งหมดนี้จะนำมาสู่การวิเคราะห์ถึงสาเหตุการเกิดเหตุการณ์และการลำดับเรื่องราวที่มีการบันทึกลงหากมีการจัดเก็บที่ถูกต้องจะมีประโยชน์ต่อการปฏิบัติงานได้อย่างมาก จึงถือได้ว่า Log File เป็นสิ่งสำคัญ ที่ทุกๆองค์กรควรมีเก็บบันทึกไว้ ตามกำลังงบประมาณที่มี

“การเก็บ Log เป็นสิ่งจำเป็นที่ต้องมีทุกองค์กร”

การเก็บ Log ไม่ใช่เพื่อจับผิดใคร ไม่ว่าเป็น กล่องดำในเครื่องบิน หรือ กล้องวงจรปิดในร้านค้า จนมาถึง Log file ในระบบคอมพิวเตอร์ จุดประสงค์ล้วนเหมือนกัน นั้นคือเป็นการเก็บบันทึกเรื่องราว เพื่อว่าเมื่อเกิดเหตุการณ์ที่ไม่พึ่งประสงค์ (1)และ(2) จะสามารถสืบค้นหาความเชื่อมโยงและค้นพบสาเหตุที่ถูกต้องได้ คงไม่มีใครมานั่งดูเหตุการณ์เหล่านี้ได้ตลอดเวลา ซึ่งไม่ก่อให้เกิดประโยชน์อันใดกับเวลาที่ต้องสูญเสียไป

 ภาพการแสดงผล SRAN รุ่น Hybrid เป็นค่า RAW log ที่ได้รับค่า syslog จาก Network Devices
ในอดีตตัวนี้มีการวางจำหน่ายและใช้งานตั้งแต่ช่วงปี 2551เป็นต้นไป

ในปัจจุบันการเก็บข้อมูลจราจรทางคอมพิวเตอร์ ได้ถูกบังคับให้มีการเก็บเพื่อว่าหากมีเหตุการณ์ต่างๆที่ไม่คาดคิดและอาจจะสร้างความเสียหายต่อบุคคลและองค์กรทั้งด้านเศรษฐกิจและสังคมนั้นเป็นสิ่งที่ทุกหน่วยงานไม่ว่าภาครัฐและเอกชน จำเป็นเก็บข้อมูลจราจรทางคอมพิวเตอร์
เนื่องด้วยเทคโนโลยีมีการปรับเปลี่ยนแปลงปัญหาใหม่และทำให้การเก็บ Log ตาม พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์  ปี พ.ศ. 2550  และ ตัวฉบับร่างใหม่  ปี พ.ศ. 2558 นั้นก็คือการที่ไม่สามารถมองเห็นข้อมูลที่เข้ารหัสผ่าน Protocol HTTPS ได้ซึ่ง Protocol ดังกล่าวจะเห็นได้ว่าใช้กับพวก Content Provider รายใหญ่ไม่ว่าเป็น Google , Facebook , Line , Twitter และอื่นๆก็จะเข้ารหัสกันหมดแล้ว ซึ่งส่วนมาก Social Network ที่เป็นที่นิยมสำหรับคนไทย จะใช้ Protocol ที่ติดต่อสื่อสารแบบเข้ารหัสทั้งเส้นทางหมดทุกตัว ไม่ว่าเป็น Google , Facebook , Line , Twitter , Youtube ทำให้ไม่สามารถแกะดูถึงการการกระทำได้ด้วยวิธีปกติ
เป็นผลทำให้ในองค์กรที่ต้องใช้งานอินเทอร์เน็ตแล้วยังมีความจำเป็นในการติดต่อสื่อสารโดยใช้ Google , Facebook , Line , Twitter และ Youtube นั้นก็ต้องมีการจัดเก็บ Log File ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ไม่ว่าเป็นฉบับเก่าหรือฉบับใหม่ นั้นจำเป็นต้องมีการปรับตัวในบริษัทหรือหน่วยงานที่มีพนักงานมากกว่า 1 คนขึ้นไปจำเป็นต้องมีการเก็บบันทึกข้อมูลจราจรคอมพิวเตอร์เพื่อแยกแยะได้ว่าใครเป็นใครใครคือผู้ใช้งาน เพื่อที่ให้ทราบถึงพฤติกรรมการใช้งานและการกระทำที่สามารถตรวจสอบได้และใช้เป็นหลักฐานประกอบการทำงานได้อย่างมีประสิทธิภาพ

เพื่อสร้างความเข้าใจถึงการเก็บ Log อย่างมีคุณภาพนั้นทำได้อย่างไรนั้น ซึ่งก่อนจะไปถึงจุดนั้นผมขอทำการอธิบายถึง ประเภทการเก็บ Log  โดยแบ่งได้ดังนี้

1. การเก็บ Log สำหรับองค์กรขนาดใหญ่ ที่มีบริการสาธารณะ
2. การเก็บ Log สำหรับองค์กรขนาดกลาง ที่มีบริการสาธารณะ และไม่มีบริการสาธารณะ
3. การเก็บ Log สำหรับองค์กรขนาดเล็ก ที่มีบริการสาธารณะ และไม่มีบริการสาธารณะ
4. การเก็บ Log สำหรับผู้ให้บริการอินเทอร์เน็ต ISP

1. การเก็บ Log สำหรับองค์กรใหญ่ ที่มีบริการสาธารณะ (Public Access)

คำว่าบริการสาธารณะ นั้นคือ การที่ใครก็ได้ในโลกนี้สามารถเข้าถึงข้อมูลนี้ได้ผ่านช่องทางอินเทอร์เน็ต เช่น Web site ที่เป็น Public Domain , E-mail Server ที่เป็น Public Domain และอาจมีเช่นพวก File Server ที่เปิด Public Domain/IP  , SSH , Remote Server อื่นๆที่สามารถเข้าถึงได้ผ่านช่องทางอินเทอร์เน็ต

องค์กรในระดับนี้ มีเกณฑ์วัดดังนี้
(1) มีอุปกรณ์ Network Devices ที่มากกว่า 1 จุดที่มีการเชื่อมต่ออินเทอร์เน็ต เช่นมี Public IP ในองค์กรมากกว่า 1 ค่า , มีสาขาในการ access ข้อมูล และมีการติดต่อสื่อสารผ่านอุปกรณ์หลายชนิด เช่น มี Router , Firewall ,  NIDS/IPS , Load Balancing  เป็นต้น
(2) มีเครื่องแม่ข่าย (Server) ที่มีความสัมพันธ์กับการใช้งานของบุคคลากรในองค์กรมากกว่า 1 คนขึ้น และกระทบต่อธุรกิจเมื่อมีการหยุดชะงัก เช่น AD (Active Directory หรือ Domain Controller) , Proxy Server และ Files Server เป็นต้น
และ ที่มีการตั้งชุดค่า IP Public เพื่อเข้าถึงเครื่องแม่ข่าย เช่น Web Server , Mail Server ขององค์กรเอง
(3) เครื่องลูกข่ายที่ใช้งาน (Client) มีจำนวนเครื่องมากกว่า 200 เครื่องขึ้นไป เพื่อได้คำนวณถึง ค่า concurrent session , ปริมาณ Throughput , ปริมาณ Bandwidth ของการใช้งานได้เป็นอย่างน้อย

(เกณฑ์ในการวัดนี้ ผมประมาณจากประสบการณ์ส่วนตัว ไม่ได้อิงกับข้อมูลอื่นใด )

จะต้องมีการเก็บ Log อย่างน้อย 3 ส่วน ดังนี้

1.1 ส่วนที่เป็นการใช้งานภายในองค์กรเอง  เนื่องจากองค์กรระดับนี้จะต้องมีเครือข่ายภายใน หรือเรียกว่า LAN โดยมีการเชื่อมต่ออินเทอร์เน็ตให้กับเครื่องคอมพิวเตอร์ทั้งที่เป็นพนักงานและเครื่องแม่ข่ายที่ใช้งานเช่น
– อุปกรณ์เครือข่าย (Network Device)  เช่น Firewall , Router อุปกรณ์เสริมที่สร้างความปลอดภัยเช่น NIDS/IPS (Network Intrusion Detection and Prevention System)
– เครื่องแม่ข่ายที่สำคัญ (Server) เช่น Proxy Server , Radius Server หรือ Domain Controller , Anti-virus server , File Sharing , Print Server และระบบงาน ERP อื่นๆ เป็นต้น ที่ไม่เปิดให้ภายนอกองค์กรเข้าถึงข้อมูล
– เครื่องลูกข่าย (Client)

1.2 ส่วนที่เป็นการใช้งานภายนอกองค์กร และให้บริการสาธารณะ อันได้แก่ Web Site ที่เผยแพร่ข้อมูลข่าวสารองค์กร ไมว่าเป็นพวกที่จดโดเมน  *.go.th , *.or.th , *.co.th , *.com , *.net หรือ *.org

1.3 ส่วนที่ใช้ Social Network ในการสื่อสารองค์กร  ได้แก่ใช้ Line , Youtube , Google , Twitter , Instragram เป็นต้น

ซึ่ง Log ของพวกนี้ผมขอเรียกว่า Log จาก Content Provider ซึ่ง Log ส่วนนี้เราไม่สามารถนำมาได้เนื่องจากเป็นบริการจากต่างประเทศ  (ส่วนนี้ยังเป็นปัญหาในการจัดเก็บเนื่องจากการติดต่อสื่อสารมีการเข้ารหัส)

การจัดเก็บ Log ต้องคำนึง ถึง 3 ส่วน
โดยส่วนใหญ่จะใช้ SIEM (Security Information Event Management) มาเก็บซึ่งราคาเริ่มต้น 7 หลัก
อันนี้ยังไม่รวมการติดตั้งการออกแบบ และการเก็บบันทึกข้อมูล ไฟล์ที่ต้องใช้เก็บจากอุปกรณ์ Storage ที่ออกแบบมาเพื่อการเก็บที่เหมาะสมตรงตามระยะเวลาตามกฎหมายกำหนดได้ ซึ่งในประเทศไทย ที่ทำแบบนี้จริงๆ และ Implement ถูกต้อง มีไม่มากเพราะต้องใช้ ทุนในการจัดซื้อมาก

ถึงมี หรือลงทุนไปแล้วก็ไม่ได้หมายว่า “Log ที่ได้เก็บบันทึกไว้นั้นจะมีคุณภาพ”
เพราะที่หลายคนเข้าใจที่คิดว่าการเก็บ Raw log ให้ครบนั้นจะเป็นการดี  แต่ความเป็นจริงแล้ว เราต้องเผื่อเรื่องระบบจัดเก็บที่รองรับปริมาณข้อมูลของ Log จากอุปกรณ์ Devices , Server , Content อื่นๆ ที่ผมยกตัวอย่างมาในข้อ 1.1 – 1.3 ไป ได้ เอาเข้าจริงๆ ก็จะไปหยุดที่ต้องเพิ่ม Storage จนไม่สามารถทำให้ตัวอ่านข้อมูลทำงานได้อย่างเต็มประสิทธิภาพ สุดท้ายก็ไม่สามารถหาข้อมูลอะไรได้อย่างสะดวก ซึ่งดูแล้วอาจเป็นการลงทุนที่เกินความจำเป็น และไม่ได้ผลลัพธ์ตามต้องการ

ท่านลองหันไปดูว่าองค์กรของท่านถ้าเข้าข่ายเป็นองค์กรขนาดใหญ่ นั้นเมื่อเกิดเหตุการณ์ที่ต้องการค้นหา หรือ ต้องสงสัยที่เข้าข่ายการกระทำความผิดฯ ไม่ว่าเป็นการทุจริตของพนักงานในองค์กร หรือ การสร้างความเสียหายให้กับองค์กรโดยการโพสข้อมูลหมิ่นประมาท หรือเกิดภัยคุกคามทาง Cyber Attack หรือแม้กระทั่งติดเชื้อไวรัสในเครื่องคอมพิวเตอร์ และอื่นๆ ที่เมื่อเกิดเรื่องมักจะลงที่ Log เพื่อทำการค้นหา เมื่อค้นหาแล้วไม่เจอทั้งที่ได้ทำการลงทุนติดตั้งและซื้อเทคโนโลยีมากด้วยมูลค่าที่สูง
ซึ่งปัญหาเหล่านี้จะไม่เกิด หากเราเข้าใจการเก็บ Log อย่างมีคุณภาพ

ในตอนหน้าผมจะเริ่มการจัดเก็บ Log อย่างมีคุณภาพ นั้นทำได้อย่างไร ?
ให้เกิดประโยชน์สูงสุดกับองค์กรของเรา

โปรดติดตามตอนต่อไป …

Nontawattana  Saraman
นนทวรรธนะ  สาระมาน
1 / 02 / 58

ในที่สุดเราก็มองเห็น HTTPS ด้วย SRAN NetApprove

ก่อนหน้านี้ผมได้กล่าวไปแล้วเรากำลังอยู่ในยุคจุดจบ sniffer การดักรับข้อมูลทางระบบเครือข่าย จะไม่สามารถมองเห็นได้ง่ายอีกต่อไป เนื่องจากทุก Application ในอนาคตจะมีการเข้ารหัสผ่าน Protocol ที่ปลอดภัยมากขึ้น

จึงเป็นโจทย์ใหญ่ที่เราต้องเตรียมตัวรับมือ
– ไม่ว่าการเข้ารหัสของมัลแวร์บางชนิดที่ส่งข้อมูลผ่าน SSL หรือ HTTPS ออกไปนอกองค์กร
– การที่ไม่สามารถยืนยันการกระทำความผิดได้ภายในองค์กรและหน่วยงานที่ยังต้องใช้พวก Social Network ในการทำงาน อันเนื่องจากไม่สามารถส่ง ค่า syslog จาก Content Provider ในต่างประเทศส่งมาให้เราเก็บข้อมูลได้
– การไม่สามารถปิดกั้นเว็บเพจ URI ผ่าน HTTPS ได้

ผมและทีมงานได้ค้นคว้าและคิดว่าเราต้องทำอะไรสักอย่างเพื่อการมองเห็นสิ่งนี้

และการมองเห็นนี้จะไม่ได้ไปใช้ในทางที่ผิด แต่กลับเป็นประโยชน์กับหน่วยงาน องค์กร และบริษัท ที่จำเป็นต้องมองเห็นพฤติกรรมดังกล่าว

“HTTPS ควรมองเห็น” เพราะเราไม่มีทางได้ Log จากต่างประเทศได้ตลอดทุกกรณี มันเป็นเกมส์ด้านความมั่นคงระดับประเทศ แต่การมองเห็น HTTPS มันควรเกิดขึ้นกับองค์กร หรือบริษัท มิใช่ระดับประเทศเพราะนั้นมีคนอีกมากมายอาจได้รับผลกระทบทั้งที่เขาเสียค่าบริการ แต่อย่างไรก็ดีเสรีภาพก็ย่อมมาด้วยความรับผิดชอบ

ซึ่งผมชัดเจนว่า “ไม่ส่งเสริมให้ทำที่ Gateway ระดับประเทศนะครับ”  แต่ควรจะทำในระดับองค์กรการเก็บ Log ที่ควรระบุตัวตนผู้ใช้งานที่แท้จริงได้ หรือไม่ก็ปิดกั้นการเข้าถึง Application ที่ไม่สามารถมองเห็นได้ไปเลย ซึ่งจะทำได้เฉพาะในระดับองค์กร ห้างร้าน โรงเรียน บริษัทขนาดเล็ก และขนาดกลาง  หรือพื้นที่มีความเสี่ยงในการกระทำความผิด อันได้แก่ Free wifi ร้านอินเทอร์เน็ต เป็นต้น ส่วนองค์กรขนาดใหญ่ต้องมีการศึกษาและออกแบบระบบก่อนติดตั้งเครื่องมือ

“ระดับองค์กรทำได้เลย แต่ระดับประเทศยังไม่แนะนำ“


 
ภาพ ห้องปฎิบัติการ (LAB) เล็กๆจากงบประมาณจำกัดของเรา ที่ใช้ทำการทดสอบ SSL Capture บนระบบเครือข่าย
ภาพการติดตั้งยังคงเป็นแบบ Transparent โดยใช้อุปกรณ์เสริมเช่น อุปกรณ์ Net optics /Network TAP
เราพัฒนาบน SRAN รุ่น Hybrid  แต่เราไม่ทำการรับ syslog มีการเปลี่ยน Function การทำงานให้มีการระบุตัวตนการใช้งานก่อนถึงจะเข้าถึงอินเทอร์เน็ตได้
เราตั้งชื่อตัวใหม่นี้ว่า “Net Approve” ผมตั้งใจเป็นชื่อนี้ เนื่องจากมันต้องยืนยันบางสิ่งบางอย่างก่อนได้รับการเข้าถึงข้อมูลหรือออนไลน์
โดยมีฟังชั่นการทำงานที่เพิ่มมา ดังนี้คือ
(1) การ Redirect traffic เพื่อการ Authentication  โดยต้องมี accounting ในระบบและยืนยันการใช้งานโดย Data Owner ในองค์กร 
(2) ตรวจความเคลื่อนไหวและเครื่องผิดปกติ (Rouge Detection) เครื่องแปลกปลอมในองค์กร 
ทั้งนี้รวมถึงเครื่องที่มีโอกาสติดเชื้อมัลแวร์ (Malware) และ บอตเน็ต (Botnet) ด้วยเทคนิค “Passive Inventory”
(3) การมองเห็นข้อมูลจราจรแบบ SSL  ที่ผ่าน HTTPS พร้อมการระบุตัวตน ด้วยเทคนิค “SSL Capture” โดยไม่ทำให้บราวเซอร์ของผู้ใช้งานมองเห็นว่าเป็นใบรับรองความปลอดภัยที่ถูกต้อง (หน้าจอ https เป็นสีเขียว)
(4) การเก็บบันทึกข้อมูลจราจรที่รองรับได้ตาม พรบ. คอมพิวเตอร์ ทั้งฉบับเก่าและฉบับร่างใหม่ พร้อมการยืนยันการเข้าถึงและสิทธิในการเข้าถึงชั้นข้อมูล
(5) การสรุปปริมาณ Application Traffic ที่ใช้ในองค์กร  เป็นเมนูใหม่เรียกว่า “Application Monitoring” จะทำให้เราทราบถึงปริมาณ Bandwidth แต่ละ Application ที่ใช้ในองค์กรได้
ภาพฮาร์ดแวร์ต้นแบบ {{ Net Approve }}
 ภาพหน้าแสดงข้อมูลของ SRAN : {{ Net Approve }} ผลิตภัณฑ์ใหม่ของกลุ่ม SRAN กับการมองเห็น HTTPS หรือ SSL ได้
จากภาพจะพบว่าตอบได้ครบถ้วน Who , What , Where , When Why (How)
ในบริษัทแห่งหนึ่งที่ต้องการเก็บบันทึกข้อมูลจราจรคอมพิวเตอร์ ตามกฎหมาย ไม่ว่าเป็นกฎหมายเก่าหรือที่จะเกิดขึ้นใหม่  สิ่งสำคัญก็คือการระบุตัวผู้กระทำได้ ไม่เช่นนั้นก็ไม่เกิดประโยชน์ในการหาหลักฐานเมื่อเกิดเหตุการณ์ที่ต้องการขอดู Log file ย้อนหลัง
บริษัท หรือ หน่วยงานต่างๆ ก็ถือได้ว่าเป็นผู้ให้บริการ (ที่หมายถึงผู้ให้บริการ ก็เนื่องจากมีผู้ใช้งานมากกว่า 1 คน) โดยมีพนักงาน หรือบุคลากรในองค์กรนั้น เป็นผู้ใช้บริการ IP ที่ได้รับจาก ISP นั้นเมื่อใช้งานต้องสามารถระบุได้ว่าใคร ทำอะไร ที่ไหน อย่างไร  
ถึงเป็น Log file ที่มีคุณภาพ 
Log files ที่ดีต้องระบุตัวตนผู้ใช้งานพร้อมทั้งทราบถึงการกระทำสิ่งใดอยู่ได้ หากเก็บเยอะ แถมยังลงทุนสูง แต่ระบุส่วนนี้ไม่ได้ จะไม่เกิดประโยชน์เลย ในการจัดทำเรื่องนี้ต้องคำนึงถึงส่วนนี้ให้มาก ไม่เช่นนั้นจะเป็นการลงทุนโดยไม่เกิดประโยชน์
“สำคัญที่สุดคือเมื่อเกิดเหตุอันไม่พึ่งประสงค์ ต้องรู้ให้ได้ว่าคือใคร เป็นผู้กระทำ”
 
ภาพหน้าจอผู้ใช้งานในองค์กรเมื่อเข้า facebook (เพจ https://www.facebook.com/Defamily.Router จะไม่พบความผิดปกติ 
ภาพแสดงหน้าจอ Passive Inventory เทคนิคใหม่ที่เราไม่จำเป็นต้องใช้ Protocol ประเภท Network Management หรือ SNMP เราใช้แบบ Agent less คือไม่ต้องลงซอฟต์แวร์ใดๆ แต่สามารถเก็บข้อมูลบนระบบเครือข่ายได้ 
หน้าจอ Application Monitoring ที่สามารถบ่งบอกถึง Application ที่ผู้ใช้งานระบบสารสนเทศในองค์กรใช้ปริมาณ Bandwidth ซึ่งจะทำให้เราทราบถึงค่าการใช้งานที่เกินความจำเป็นได้
เราคาดว่า Net Approve จะพร้อมจำหน่ายในเดือนเมษายน ปีนี้  
นนทวรรธนะ  สาระมาน
Nontawattana  Saraman
19/01/58

แนวโน้มและทิศทางภัยคุกคามทางไซเบอร์ ปี 2558

แนวโน้มและทิศทางภัยคุกคามทางไซเบอร์ ปี พ.ศ. 2558  มีดังนี้
1. อาชญากรทางอินเทอร์เน็ตจะเข้ามาใช้ darknet และฟอรัมที่เข้าถึงได้เฉพาะตัว เพื่อแบ่งปัน และขายโปรแกรมมุ่งร้าย
ปี 2557 ได้มีการบุกทำลายเครือข่ายมัลแวร์เกิดขึ้นหลายครั้ง รวมถึงกรณีของเครือข่าย GameOver และการโจมตี Citadel ต่อธนาคารหลายแห่งในญี่ปุ่น และการจับกุมกลุ่มผู้ควบคุม SpyEye ซึ่งเป็น command-and-control server พัฒนาการเหล่านี้จะทำให้การปกปิดตัวตน เป็นสิ่งจำเป็นในการก่ออาชญากรรมทางอินเทอร์เน็ต เนื่องจากผู้วิจัยด้านความปลอดภัยและผู้บังคับใช้กฏหมาย สามารถเข้าถึงแหล่งข้อมูลใต้ดินได้อย่างรวดเร็ว โดยเฉพาะกรณีของภาพคนดังที่เก็บอยู่ใน iCloud ที่ถูกบุกรุก และเผยแพร่ในเว็บ Reddit และ 4chan และไปอยู่ใน Deep Web ในท้ายที่สุด
การใช้ Deep Web และบริการ darknet หรือการใช้เครือข่ายที่ปกปิดตัวตนและไม่สามารถตามรอยได้อย่างเช่น Tor I2P และ Freenet เพื่อแลกเปลี่ยน ขายเครื่องมือ และบริการ ไม่เป็นสิ่งใหม่อีกต่อไป เราได้เห็นอาชญากรใช้ top level domain (TLD) เพื่อเป็นโดเมนทางเลือกเพื่อในการปกปิดตลาดใต้ดินเช่น Silk Road ซึ่งถูกปิดตัวลงโดยหน่วยสืบสวนกลางของสหรัฐ ฯ​ หรือเอฟบีไอ หลังจากการดำเนินงานได้สองปีครึ่ง
เรายังได้เห็นอาชญากรทางอินเทอร์เน็ต รับเอาเทคนิค targeted attack เพื่อนำมาใช้ในการหลบหลีกการตรวจจับที่ดีขึ้น อย่างที่เราได้ทำนายไว้ในปี 2556 ในแอฟริกา แสดงให้เห็นโดยการโจมตีช่องโหว่ที่เกี่ยวข้องกับ targeted attack ผ่านทางการแจกจ่ายมัลแวร์อย่างเช่น ZeuS อาชญากรยังได้ใช้ remote access tool (RAT) อย่างเช่น Blackshades ในการโจมตีเพิ่มขึ้น
ราคาของข้อมูลที่ได้จากการจารกรรมในตลาดใต้ดินลดลง เนื่องจากปริมาณสินค้ามีมากขึ้น ราคาเฉลี่ยของข้อมูลหมายเลขบัตรเครดิตลดลง จาก 3 ดอลลาร์ในปี 2554 เป็น 1 ดอลลาร์ในปี 2556 ข้อมูลบัญชีที่ถูกบุกรุกในตลาดใต้ดินของรัสเซียก็ลดลงด้วย ข้อมูลบัญชีเฟซบุ๊คที่มีราคาอยู่ที่ 200 ดอลลาร์ในปี 2554 ก็ขายเพียง 100 ดอลลาร์ในปี 2556 เนื่องจากมีผู้เล่นเข้ามาในระบบนิเวศของอาชญากรอินเทอร์เน็ตใต้ดินเพิ่มมากขึ้น ทำให้ราคาข้อมูลข่าวสารนี้ลดราคาลง อีกไม่นาน การหาลูกค้าขึ้นได้มากน้อย อยู่กับว่าใครสามารถให้ความมั่นใจกับผู้ซื้อได้ว่าจะไม่ถูกจับคาหนังคาเขา ผู้ขายจะขยับเข้าไปใต้ดินมากกว่าเดิม
เนื่องจากคนร้ายจะมุ่งเป้าหมายไปเว็บมากกว่าขึ้น บริษัทด้านความปลอดภัยและผู้บังคับใช้กฏหมายจึงต้องเพิ่มการจับกุมให้ครอบคลุมถึง Deep Web และ darknet ซึ่งจำเป็นต้องอาศัยความพยายามและการลงทุนเพิ่มขึ้น จำเป็นต้องมีหุ้นส่วนจากภาครัฐและเอกชนที่มากกว่าเดิม ในการขัดขวางการดำเนินการของอาชญากรอินเทอร์เน็ต บริษัทด้านความปลอดภัยจึงควรจัดหาข่าวกรองด้านภัยคุกคามต่อภัย เพื่อช่วยให้ผู้บังคับใช้กฏหมายจับผู้กระทำผิด ผู้ออกกฏหมายทั่วโลก จำเป็นต้องเห็นพ้องในการบัญญัติกฏหมายอาชญากรรมทางอินเทอร์เน็ต เพื่อช่วยเหลือผู้บังคับใช้กฏหมาย ไม่ว่าเขตอำนาจศาลจะเป็นอย่างไร เพื่อนำผู้กระทำผิดมาสู่กระบวนการยุติธรรม
2. กิจกรรมทางอินเทอร์เน็ตที่เพิ่มขึ้น จะกลายเป็นเครื่องมือและความพยายามในการโจมตี ที่ดีขึ้น ใหญ่ขึ้น และประสบความสำเร็จมากขึ้น
การเติบโตอย่างต่อเนื่องของกิจกรรมอินเทอร์เน็ตทั่วโลกหมายความว่า ปัจเจกบุคคลและหน่วยงานต่าง ๆ จะยังคงพ่ายแพ้ต่อภัยคุกคามและการโจมตีออนไลน์ อย่างไรก็ตาม อาชญากรทางอินเทอร์เน็ตจะให้ความสนใจกับเป้าหมายที่ใหญ่กว่า แทนที่จะเป็นปัจเจกบุคคล เนื่องจากมีผลประโยชน์ที่สูงกว่า
เราได้เห็นอาชญากรทางอินเทอร์เน็ตใช้มัลแวร์ RAM scrapers เพื่อขโมยข้อมูลลูกค้าหลายล้านระเบียนจากร้านค้าปลีกขนาดใหญ่ทั่วโลก ก่อนจบปี 2556 Target ได้ถูกขโมยข้อมูลบัตรเครดิตของลูกค้า 70 ล้านราย จากการโจมตีโดยใช้มัลแวร์ที่โจมตีระบบ PoS ไม่ได้มีเพียงแต่ Target เท่านั้นที่ถูกโจมตี ยังมีองค์การอื่น ๆ เช่น P.F. Chang ที่ประสบชะตากรรมเดียวกัน และหลายเดือนก่อนจบปีค.ศ. 2014 Home Depot ก็ได้กลายเป็นเหยื่อที่ถูกขโมยข้อมูลที่ใหญ่ที่สุด แทนที่ Target ไป องค์การที่ถูกบุกรุกสูญเสียข้อมูลของลูกค้า ความเสียหายต่อชื่อเสียง และเสียค่าใช้จ่ายสูง
ถึงแม้การบุกรุกส่วนใหญ่จะมีผลมาจากการโจมตีภายนอก แต่มีบางแห่ง เช่น การบุกรุก Amtrak ที่เกิดจากภัยคุกคามภายใน รายงานต่าง ๆ เปิดเผยว่า มีพนักงาน Amtrak คนหนึ่งที่ได้ขายข้อมูลส่วนตัวของผู้โดยสาร (personally identifiable information (PII)) กว่าสองทศวรรษก่อนที่จะถูกจับได้
เราจะได้เห็นเหตุการณ์การขโมยข้อมูลครั้งใหญ่สองครั้งหรือมากกว่าในแต่ละเดือน ธนาคารและสถาบันทางการเงิน และหน่วยงานที่เก็บรักษาข้อมูลของลูกค้า จะเป็นเป้าหมายดึงดูดการโจมตีเสมอ ดังนั้น เราจะได้เห็นถึงการเปลี่ยนแปลงผู้บริหารระดับสูงทุกครั้งที่พวกเขาพ้ายแพ้ต่อการโจมตี
ดังนั้นองค์การและปัจเจกบุคคลจะตอบสนองอย่างไร เป็นการดีที่สุดที่จะคาดคะเนถึงการถูกโจมตี บุคคลทั่วไปควรเปลี่ยนรหัสผ่านอย่างสม่ำเสมอ ส่วนองค์การต่าง ๆ ควรเฝ้าดูเครือข่ายของตนอย่างต่อเนื่อง เพื่อป้องกันภัยคุกคามทุกชนิด และช่องโหว่ที่อาจถูกใช้เพื่อโจมตีได้
การเฝ้ารอโซลูชั่น อย่างเช่นระบบการจ่ายเงินที่ปลอดภัยมากขึ้น และการใช้การลงโทษทางกฏหมาย ถึงแม้จะอยู่ระหว่างการดำเนินการ แต่ก็ไม่เพียงพออีกต่อไป การตระหนักถึงภัยคุกคามที่มีจึงเป็นสิ่งที่ต้องทำ รวมถึงการมีแผนบรรเทาและเยียวยาความเสียหายจากการบุกรุกที่พร้อมใช้งาน เพราะไม่มีใครปลอดภัยจากการบุกรุก
3. exploit kit จะมุ่งเป้าไปที่แอนดรอยด์ เนื่องจากช่องโหว่ในโทรศัพท์มือถือ จะเป็นบทบาทหลักในการแพร่กระจายในโทรศัพท์มือถือ
นอกจากการทำนายว่าภัยคุกคามของแอนดรอยด์ในปี 2558 จะเพิ่มขึ้นจากปัจจุบันเป็นสองเท่าแล้ว จำนวนของช่องโหว่ในโทรศัพท์มือถือ แพลตฟอร์มและแอป จะทำให้เกิดความเสี่ยงด้านความปลอดภัยมากขึ้น ข้อมูลที่เก็บอยู่ในโทรศัพท์มือถือจะตกอยู่ในมือของอาชญากรทางอินเทอร์เน็ต เพื่อใช้ในการโจมตีหรือเพื่อจำหน่ายในตลาดใต้ดิน
ช่องโหว่ที่เราได้พบไม่เพียงแต่อยู่ในอุปกรณ์เท่านั้น แต่ยังอยู่ในแพลตฟอร์มและแอป ภัยคุกคามแพลตฟอร์ม เช่นช่องโหว่เกี่ยวกับ master key ยอมให้อาชญากรอินเทอร์เน็ตสามารถแทนที่แอปที่ถูกต้อง ด้วยเวอร์ชั่นปลอมหรือมุ่งร้าย เมื่อถูกโจมตี แอปจ่ายเงินจากจากผู้ผลิตจีน จะยอมให้คนร้ายสามารถหลอกล่อขโมยข้อมูลจากผู้ใช้ได้
เราจะได้เห็นผู้โจมตีโทรศัพท์มือถือใช้เครื่องมือที่คล้ายกับ Blackhole Exploit Kit (BHEK) เพื่อใช้ประโยชน์จากปัญหาในแอนดรอยด์ เช่น ปัญหาที่เรียกว่า Android OS fragmentation ความสำเร็จของ BHEK และเครื่องมือที่คล้าย ๆ กันในการแพร่กระจายในคอมพิวเตอร์ที่ใช้ระบบปฏิบัติการต่าง ๆ กันจะช่วยให้อาชญากรทางอินเทอร์เน็ตสามารถโจมตีอุปกรณ์ที่ใช้แอนดรอยด์ เนื่องจากผู้ใช้ส่วนใหญ่ไม่สามารถอัพเดทระบบและซอฟท์แวร์ของพวกเขาได้อย่างสม่ำเสมอ คนร้ายอาจเปลี่ยนเส้นทางของอุปกรณ์ที่มีช่องโหว่ไปยังเว็บไซต์มุ่งร้าย เช่น การโจมตีที่ทำสำเร็จอาจทำให้พวกเขาสามารถเข้าถึงข้อมูลทั้งหมดที่เก็บอยู่ในอุปกรณ์ที่ได้รับผลกระทบ ที่แย่กว่าคือ เป็นที่รู้กันว่า exploit kit สามารถแพร่กระจายได้ในหลายแพลตฟอร์ม
เราจะได้เห็นจำนวนที่เพิ่มขึ้นของมัลแวร์โจมตีบริการทางธนาคารสำหรับโทรศัพท์มือถือ ต้นปีที่ผ่านมา เราเห็นอาชญากรทางอินเทอร์เน็ตที่อยู่เบื้องหลังการโจมตีที่เรียกว่า Operational Emmental ซึ่งหลอกล่อให้ลูกค้าธนาคารในยุโรป ให้ติดตั้งแอปแอนดรอยด์มุ่งร้าย เพื่อให้สามารถเข้าถึงบัญชีของพวกเขาได้ เราจะได้เห็นการโจมตีแบบนี้อีก ท่ามกลางความนิยมในการใช้บริการทางธนาคารสำหรับโทรศัพท์มือถือที่เพิ่มขึ้น
ภัยคุกคามทางคอมพิวเตอร์แบบดั้งเดิม อย่างเช่น ransomware และยุทธวิธีอย่างเช่น การใช้บริการ darknet จะมีส่วนร่วมในส่วนของโทรศัพท์มือถือ เราได้เห็น ransomware สำหรับโทรศัพท์มือถือตัวแรกไปแล้วในรูปแบบของมัลแวร์ REVETON ในปีที่ผ่านมา พร้อมกับมัลแวร์ที่ใช้ Tor เพื่อหลบหลีกการตรวจจับที่ดีกว่าเดิม
การติดตั้งแอปและการเยี่ยมชมเว็บไซต์มุ่งร้าย จะไม่เป็นเพียงหนทางเดียวในการแพร่กระจายมัลแวร์ผ่านโทรศัพท์มือถือ การโจมตีช่องโหว่ผ่านทางแพลตฟอร์มต่าง ๆ จะเป็นภัยคุกคามกับโทรศัพท์มือถือมากขึ้น ผู้จำหน่ายผลิตภัณฑ์ด้านความปลอดภัยจึงควรขยายการป้องกันการโจมตีช่องโหว่ ที่สามารถป้องกันโทรศัพท์มือถือ ในท้ายที่สุดผู้ผลิตโทรศัพท์มือถือและผู้ให้บริการ ควรทำงานใกล้ชิดกันมากขึ้น เพื่อหาโซลูชั่นในการแก้ไขช่องโหว่ เพื่อป้องกันการแพร่กระจายมัลแวร์และการขโมยข้อมูล
4. targeted attack จะเป็นอาชญากรรมทางอินเทอร์เน็ตที่เกิดขึ้นแพร่หลาย
การโจมตีแบบ targeted attack ที่ประสบความสำเร็จ และเป็นข่าวดัง จะทำให้เกิดการตระหนักว่าการโจมตีทางอินเทอร์เน็ตเป็นวิธีในการหาข่าวกรองที่ได้ผล การโจมตีแบบ targeted attack จะไม่เชื่อมโยงกับสหรัฐ​ฯ​ หรือรัสเซียเท่านั้น เราได้เห็นการโจมตีที่มีต้นกำเนิดมาจากประเทศอื่น ๆ เช่น เวียตนาม อินเดีย และสหราชอาณาจักร เราได้เห็นผู้ก่อภัยคุกคามที่มุ่งเป้าหมายการโจมตีไปที่ อินโดนีเซีย และมาเลเซียเช่นเดียวกัน
ภายในสองสามปี เราจะได้เห็นต้นตอ และเป้าหมายการโจมตีที่หลากหลายมากขึ้น โดยมีแรงจูงใจในการโจมตีที่หลากหลาย โดยเป้าหมายหลักยังคงเป็นข้อมูลรัฐบาลระดับลับสุดยอด ข้อมูลทางด้านการเงิน ทรัพย์สินทางปัญญา พิมพ์เขียวทางอุตสาหกรรม และสิ่งอื่น ๆ ที่คล้ายกัน
ถึงแม้การโจมตี targeted attack ส่วนใหญ่ที่เห็นในปัจจุบันจะเริ่มต้นด้วยการใช้อีเมลแบบ spear-phishing หรือ watering hole โซเชียลมีเดียจะถูกใช้เป็นอีกหนึ่งหนทางหนึ่งในการแพร่กระจายในอนาคตเพิ่มขึ้น ผู้ก่อภัยคุกคามจะสำรวจความเป็นไปได้ในการโจมตีช่องโหว่ในเราเตอร์ เพื่อใช้เป็นวิธีในการเข้าถึงเครือข่ายเป้าหมาย องค์การที่ตกเป็นเป้าหมายในอดีตไม่ควรประมาท เพราะว่าพวกเขาเคยถูกบุกรุกมาก่อน ไม่ได้หมายความว่าพวกเขาจะปลอดภัยจากการโจมตีในอนาคต ผู้ก่อภัยคุกคามอาจใช้เครือข่ายนี้เพื่อโจมตีเป้าหมายที่ใหญ่กว่า ซึ่งอาจเป็นหุ้นส่วนหรือลูกค้า
จะเกิดความต้องการโซลูชั่นแบบคลาวด์ ที่สามารถป้องกันตัวเองจากความเสี่ยงได้ ความนิยมของโซลูชั่นทางด้านเครือข่ายอย่างเช่นไฟร์วอลล์และ unified threat management (UTM) จะลดลง ระบบการวิเคราะห์ด้านความปลอดภัยที่ดีขึ้นจะเป็นส่วนสำคัญ​มากในการต่อสู้กับ targeted attack องค์การต่างๆ ควรตระหนักถึงสิ่งที่เป็นภาวะปกติ และตั้งไว้เป็นพื้นฐาน (baseline) เมื่อต้องเฝ้าดูภัยคุกคาม เทคโนโลยีด้านความปลอดภัยแบบดั้งเดิมหรือธรรมดาทั่วไป จะไม่เพียงเพียงพออีกต่อไป
5. วิธีใหม่ในการจ่ายเงินผ่านมือถือจะทำให้เกิดภัยคุกคามใหม่ขึ้นมา
การวางจำหน่าย Iphone 6 พร้อมกับระบบจ่ายเงินดิจิตัลแบบใหม่ที่เรียกว่า Apple Pay ในขณะเดียวกันกับการใช้งานเพิ่มขึ้นของ Google Wallet และวิธีจ่ายเงินอื่น ๆ ที่คล้ายกัน จะเป็นตัวเร่งให้การจ่ายเงินผ่านโทรศัพท์มือถือให้กลายเป็นกระแสหลัก เราจะได้เห็นภัยคุกคามใหม่ที่มุ้งเป้ามาที่แพลตฟอร์มการจ่ายเงินผ่านโทรศัพท์มือถือในไม่กี่เดือนข้างหน้า เหมือนกับช่องโหว่ FakeIP ในแอนดรอยด์ที่ยอมให้อาชญากรทางอินเทอร์เน็ตสามารถขโมยบัญชีผู้ใช้ Google Wallet ได้
ปีที่ผ่านมา แอป WeChat ยอมให้ผู้ใช้สามารถซื้อสินค้าโดยใช้ “เครดิต” (credits) ถ้าบริการนี้ได้รับความนิยม เราจะได้เห็นคนร้ายใช้ประโยชน์จากช่องโหว่จากแอปที่คล้ายกัน เพื่อขโมยเงินจากผู้ใช้
ถึงแม้เราจะยังไม่ได้เห็นความพยายามในการโจมตีระบบ Apple Pay ซึ่งประกอบด้วย NFC (near-field communications) และ Passbook ซึ่งเก็บข้อมูลบัตรเครดิตของผู้ใช้ อาจสันนิษฐานได้ว่าในขณะนี้ คนร้ายกำลังหาช่องโหว่เพื่อโจมตี Apple Pay รวมถึงกำลังตรวจสอบ NFC เช่นเดียวกัน
เพื่อให้ปลอดภัยจากภัยคุกคามที่กำลังปรากฏขึ้น ผู้ใช้งานควรปฏิบัติตามหลักความปลอดภัยในการใช้คอมพิวเตอร์ โดยเฉพาะที่เกี่ยวข้องกับการใช้ NFC บุคคลทั่วไปที่ใช้ NFC reader ผ่านทางโทรศัพท์มือถือ ควรปิดการทำงานเหล่านี้ เมื่อไม่ใช้งาน การล็อคอุปกรณ์จะช่วยป้องกันไม่ให้ตกเป็นเหยื่อ องค์การที่รับการจ่ายเงินผ่านโทรศัพท์มือถือ ควรติดตั้งและใช้โซลูชั่นด้านความปลอดภัยที่ป้องกันจากภัยคุกคามด้าน NFC และด้านอื่น ๆ ที่เกี่ยวข้อง
6. เราจะได้เห็นความพยายามค้นหา และโจมตีช่องโหว่ในซอฟท์แวร์โอเพ่นซอร์ส
ช่องโหว่ในโปรโตคอลแบบโอเพ่นซอร์สเช่น Heartbleed และการประมวลผลคำสั่งอย่าง Shellshock ที่ตรวจไม่พบมาเป็นเวลาหลายปี ได้ถูกโจมตีเป็นอย่างหนักในปีที่ผ่านมา นำไปสู่ผลเสียหายร้ายแรง ไม่กี่ชั่วโมงหลังจากมีการค้นพบช่องโหว่ Shellshock เราได้เห็น payload ของมัลแวร์ในวงกว้าง พบการโจมตีแบบ Distributed denial-of-service (DDoS) และ Internet Relay Chat (IRC) bots ที่เกี่ยวข้องกับการโจมตีช่องโหว่นี้ ซึ่งสามารถทำความเสียหายให้กับการดำเนินธุรกิจ การโจมตีนี้มีผลกระทบมากกว่าการโจมตีผ่านทางเว็บ ยังทำให้ผู้ใช้ลีนุกซ์และแอป ที่ต้องอาศัยโปรโตคอลอย่างเช่น HTTP, FTP และ DHCP ตกอยู่ในความเสี่ยงอีกด้วย
ช่องโหว่ Shellshock ทำให้นึกถึงช่องโหว่ Heartbleed ที่โจมตีผ่านทาง World Wide Web ซึ่งทำให้เว็บไซต์และแอปทางมือถือจำนวนมากที่ใช้ Open SSL ตกอยู่ในความเสี่ยงเมื่อต้นปีที่ผ่านมา การสแกน Top Level Domain (TLD) จำนวน 1 ล้านชื่อจากข้อมูลของ Alexa พบว่าร้อยละ 5 มีช่องโหว่แบบ Heartbleed เมื่อถูกโจมตี ช่องโหว่นี้จะยอมให้ผู้โจมตีสามารถอ่านส่วนของความจำในเครื่องคอมพิวเตอร์ที่ได้รับผลกระทบ ซึ่งอาจมีข้อมูลข่าวสารที่เป็นความลับอยู่
ผู้โจมตีจะยังคงค้นหาช่องโหว่แบบเดียวกับ Heartbleed และ Shellshock ในปีที่กำลังจะมาถึง พวกเขายังคงตรวจสอบแพลตฟอร์ม โปรโตคอล และซอฟท์แวร์บ่อย ๆ และอาศัยข้อปฏิบัติในการเขียนโค้ดอย่างไม่รับผิดชอบ เพื่อเข้าถึงเป้าหมายของพวกเขา อย่างในปี 2556 เราได้เห็นช่องโหว่ในเว็บมากขึ้น รวมถึง injection, cross-site-scripting (XSS) และการโจมตีทาง web apps อื่น ๆ เพื่อขโมยข้อมูลความลับ การโจมตีเช่นที่เกิดขึ้นกับ JPMorgan Chase & CO ทำให้ข้อมูลลูกค้ากว่า 70 ล้านรายตกอยู่ในความเสี่ยง กรณีเช่นนี้จะยังคงเกิดขึ้นต่อไป
การพัฒนาความปลอดภัยอย่างต่อเนื่องใน Microsoft Windows และระบบปฏิบัติการที่มีชื่อเสียงอื่น ๆ จะนำไปสู่การลดลงของช่องโหว่ในระบบปฏิบัติการของพวกเขา จะทำให้ผู้โจมตีหันเหความสนใจไปที่การหาช่องโหว่ในแพลตฟอร์มโอเพ่นซอร์สแทน และแอพพลิเคชั่นอย่างเช่น OpenSSL v3 และ OS kernel บุคคลทั่วไป และองค์การต่าง ๆ สามารถป้องกันตัวเองโดยการ patch และอัพเดทระบบและซอฟท์แวร์ของพวกเขาอยู่เสมอ นอกจากนี้ยังมีการแนะนำให้ลงทุนในโซลูชั่นด้านความปลอดภัยแบบ intelligence-base ที่หนุนโดยแหล่งข้อมูลข่าวสารภัยคุกคามที่ได้รับความเชื่อระดับโลกมากขึ้น ซึ่งสามารถขัดขวางความพยายามในการโจมตีช่องโหว่ได้ ถึงแม้จะยังไม่มี patch สำหรับแก้ไขช่องโหว่นั้นออกมาก็ตาม
7. ความหลากหลายทางเทคโนโลยีจะช่วยป้องกันอุปกรณ์แบบ Internet of Everything / Internet of Things (IoE/IoT)
จากการโจมตีขนาดใหญ่ แต่จะไม่ช่วยป้องกันข้อมูลที่พวกมันประมวลผลได้ผู้โจมตีจะหาอุปกรณ์เป้าหมาย IoE/IoT ที่สามารถโจมตีได้ เพราะความเป็นไปได้ในการใช้งานที่ไม่จำกัดของมัน เราจะได้เห็นการนำอุปกรณ์อัจฉริยะมาใช้งานมากขึ้น อย่างเช่น กล้องถ่ายรูปและทีวีอัจฉริยะ ภายในไม่กี่ปีข้างหน้านี้ พร้อมกับการโจมตีผู้ใช้งานอุปกรณ์เหล่านี้ เนื่องจากมีการกดดันจากตลาดที่ทำให้ผู้ผลิตอุปกรณ์ต้องออกผลิตภัณฑ์อัจฉริยะ เพื่อตอบสนองกับความต้องการที่เพิ่มขึ้น ดังน้นผู้โจมตีจึงเพิ่มการค้นหาช่องโหว่เพื่อประโยชน์ของตน
ถึงแม้จะมีการทำระบบอัจฉริยะให้กับอุปกรณ์ต่าง ๆ มากมาย แต่การโจมตีอุปกรณ์อัจฉริยะที่เราจะได้เห็น รวมทั้งในอุปกรณ์สวมใส่ได้ และอุปกรณ์ IoE/IoT อื่น ๆจะไม่ได้เกิดจากแรงจูงใจด้านการเงิน แต่จะเกิดจากการค้นคว้าวิจัยจากพวก whitehat ที่ต้องการเน้นให้เห็นความเสี่ยงและช่องโหว่ด้านความปลอดภัย เพื่อให้ผู้ผลิตสามารถปรับปรุงผลิตภัณฑ์ของพวกเขาได้ โดยเฉพาะวิธีที่พวกเขาจัดการกับข้อมูล เมื่อใดก็ตามที่อุปกรณ์เหล่านี้ถูกเจาะเพื่อจุดประสงค์อื่นนอกเหนือไปจากการแสดงให้เห็นช่องโหว่ เมื่อนั้นอาชญากรทางอินเทอร์เน็ตจะใช้การโจมตีแบบ sniffer, denial-of-service (DoS – ความพยายามในการทำให้บริการออนไลน์ให้บริการไม่ได้ โดยการทำให้การจราจรในเครือข่ายท่วมท้น จากการติดต่อสื่อสารจำนวนมากมายมาที่เป้าหมาย) และ man-in-middle (MiTM – การดักจับการสื่อสารระหว่างสองระบบ)
เนื่องจากอุปกรณ์ IoE/IoT ยังคงมีความหลากหลายมากเกินไป และยังไม่มี “killer app” เกิดขึ้น คนร้ายจึงยังไม่สามารถเริ่มการโจมตีได้อย่างแท้จริง ผู้โจมตีจึงมีแนวโน้มจะต้องการข้อมูลที่เก็บอยู่ในอุปกรณ์เหล่านี้มากกว่า ในปี 2558 เราคาดว่าผู้โจมตีจะเจาะฐานข้อมูลของผู้ผลิตอุปกรณ์อัจฉริยะ เพื่อขโมยข้อมูลข่าวสารในรูปแบบเดียวกับการโจมตีทางอินเทอร์เน็ตทั่วไป
อย่างไรก็ตาม จากการช่วยเหลือโดยการก่อตั้ง Open Interconnect Consortium (IOC) และการเปิดตัว HomeKit เราคาดหวังจะได้เห็นการเปลี่ยนแปลง เนื่องจากมีโปรโตคอลและแพลตฟอร์มต่างๆ ปรากฏตัวออกมาอย่างช้า ๆ เนื่องจากผู้โจมตีเริ่มเข้าใจถึงระบบนิเวศของ IoE/IoT มากขึ้น พวกเขาจะใช้วิธีการที่น่ากลัวมากขึ้นโดยใช้มัลแวร์ เพื่อข่มขู่เอาเงินจากผู้ใช้อุปกรณ์เหล่านี้ ตัวอย่างเช่น พวกเขาอาจขู่กรรโชกผู้ขับขี่รถยนต์อัจฉริยะ จนกระทั่งเจ้าของรถยนต์ยอมจ่ายเงิน เมื่อรถดังกล่าวออกวางตลาดในปี 2558 ดังนั้นผู้ผลิตรถยนต์อัจฉริยะจึงควรออกแบบระบบเครือข่ายในรถยนต์อัจฉริยะ ให้มีการป้องกันผู้ใช้จากภัยคุกคามดังกล่าวด้วย
8. ภัยคุมคามธนาคารออนไลน์และทางการเงินอื่น ๆ จะเกิดขึ้น
ข้อปฏิบัติด้านความปลอดภัยที่เปราะบาง แม้แต่ในประเทศที่พัฒนาแล้วอย่างสหรัฐ ฯ​ อย่างเช่นการไม่บังคับใช้ two-factor authentication และการใช้เทคโนโลยี Chip-and-PIN มีส่วนทำให้เกิดภัยคุกคามต่อบริการธนาคารทางอินเทอร์เน็ตและทางการเงินอื่น ๆ ที่เพิ่มขึ้น
เราได้เห็นจำนวนที่เพิ่มขึ้นของมัลแวร์ที่โจมตีบริการธนาคารทางอินเทอร์เน็ต ตลอดช่วงครึ่งปีแรกของค.ศ. 2014 นอกจากมัลแวร์ ZeuS ที่ขโมยข้อมูลแล้ว VAWTRAK ยังกระทบกับลูกค้าที่ใช้บริการธนาคารทางอินเทอร์เน็ตจำนวนมากมาย โดยเฉพาะในญี่ปุ่น ปฏิบัติการการโจมตีที่ซับซ้อนอย่าง Emmental ก็ได้พิสูจน์ให้เห็นว่า แม้แต่การใช้มาตรการ two-factor authentication ที่ธนาคารใช้ก็อาจยังมีช่องโหว่ได้
ในอีกไม่กี่ปีข้างหน้า อาชญากรทางอินเทอร์เน็ตจะไม่เพียงแต่เปิดการโจมตีโดยใช้แรงจูงใจทางการเงินกับผู้ใช้คอมพิวเตอร์เพียงเท่านั้น แต่จะมุ่งมาที่ผู้ใช้โทรศัพท์มือถือเช่นเดียวกัน พวกเขามีแนวโน้มที่จะใช้แอปปลอมและ Domain Name System (DNS) และโจมตี phishing กับผู้ใช้โทรศัพท์มือถือ คล้ายกับที่เราเคยเห็นในอดีต พวกเขาจะไม่หยุดอยู่กับการเข้าถึงบัญชีธนาคารทางอินเทอร์เน็ตเท่านั้น แต่จะไปไกลถึงการขโมยเอกลักษณ์ส่วนบุคคลด้วย และจะเป็นภัยคุมคามทางโทรศัพท์มือถือที่ตรวจจับได้ยากมากยิ่งขึ้น โดยใช้เทคนิคหลบหลีกการตรวจจับคล้ายกับมัลแวร์ในคอมพิวเตอร์
ความสำเร็จของการโจมตีแบบ targeted attack ในการได้มาซึ่งข้อมูลของผู้ใช้ยังดลบัลดาลให้อาชญากรทางอินเทอร์เน็ตใช้การสอดแนมที่ดีขึ้น เพื่อให้สามารถทำเงินได้มากกว่าเดิม
ภัยคุกคามด้านบริการธนาคารทางอินเทอร์เน็ตที่กำลังเติบโตขึ้นเรื่อย ๆ ควรเป็นแรงผลักดันให้ปัจเจกบุคคลและองค์การต่าง ๆ ใช้มาตรการ two-factor authentication และ hardware หรือ session token ที่ธนาคารและสถาบันการเงินต่าง ๆ ให้มา ผู้ให้บริการบัตรจ่ายเงินในสหรัฐ ฯ​และประเทศอื่น ๆ ควรใช้การป้องกันข้อมูลโดยการใช้บัตรแบบ Chip-and-PIN
คำศัพท์ 
darknet เป็นเครือข่ายส่วนตัวซึ่งจะมีการเชื่อมโยงเกิดขึ้นจากคอมพิวเตอร์ระดับเดียวกันที่ให้ความเชื่อถือกัน บางครั้งเดียวว่า “friends” (F2F) โดยใช้โปรโตคอลและพอร์ตที่ไม่เป็นมาตรฐาน darknet แตกต่างจากเครือข่ายแบบ peer-to-peer แบบกระจาย เนื่องจากใช้การแบ่งปันกันที่ไม่เปิดเผยตัว  (ไม่มีการเปิดเผย IP address)
Deep Web (ยังเรียกด้วยว่า Deepnet หรือ Invisible Web หรือ Hidden Web) เป็นเนื้อหาส่วนหนึ่งของ World Wide Web ที่ search engine มาตรฐานไม่ได้ทำดัชนีไว้ Mike Bergman ผู้ที่คิดวลีนี้ ได้กล่าวไว้ว่า การค้นหาในอินเทอร์เน็ตอาจเปรียบได้กับการลากแหไปทั่วพื้นมหาสมุทร อาจจะพบอะไรได้มากในอินเทอร์เน็ต แต่ยังมีข้อมูลข่าวสารที่อยู่ลึกและยังไม่ค้นพบ ข้อมูลข่าวสารในเว็บโดยส่วนใหญ่จะถูกฝังลึก และ search engine มาตรฐานไม่สามารถค้นพบได้ search engine แบบดั้งเดิมไม่สามารถเห็น หรือเรียกคืนเนื้อหาใน deep web ส่วนของเว็บที่ search engine มาตรฐานทำดัชนีไว้เรียกว่า Surface Web
Tor เป็นซอฟท์แวร์แจกฟรี ทำให้ผู้ใช้สามารถท่องอินเทอร์เน็ตโดยไม่ต้องเปิดเผยตัวตน ดังนั้นหน่วยงานรัฐบาล บริษัท หรือคนอื่น ๆ จึงไม่สามารถค้นหากิจกรรมและที่ตั้งของพวกเขาได้
targeted attack เป็นการโจมตีที่มุ่งเป้าไปที่ผู้ใช้คนใดคนหนึ่ง บริษัทหนึ่ง หรือองค์การหนึ่ง การโจมตีเหล่านี้ไม่ได้แพร่ไปทั่ว แต่จะออกแบบมาเพื่อโจมตี และบุกรุกเป้าหมายหนึ่งโดยเฉพาะ
Point of Sale หรือที่เรียกกันสั้น ว่า POS นั้น คือการเก็บข้อมูลการขาย และข้อมูลการจ่ายเงินที่เกิดขึ้น เมื่อมีการขายสินค้าหรือบริการ โดยทั่วไปแล้ว POS นั้นจะมีความเกี่ยวข้องกับเทคโนโลยีหรืออุปกรณ์เช่น คอมพิวเตอร์ การอ่านบาร์โค๊ต การอ่านแถบแม่เหล็ก หรือ หลาย ๆ เทคโนโลยีผสมกัน
Android OS fragmentation การที่มีจำนวนของแพลตฟอร์มแอนดรอยด์ที่สร้างขั้นมาโดยเฉพาะเกิดขึ้นมากมาย ทำให้เกิดความกังวลว่าความสามารถในการทำงานร่วมกันจะด้อยลง เป็นผลเนื่องมาจากความเป็นไปได้ที่แอพพลิเคชั่นที่สร้างขึ้นมาสำหรับแอนดรอยด์แพลตฟอร์มหนึ่งโดยเฉพาะ หรือการที่อุปกรณ์หนึ่งไม่สามารถทำงานร่วมกันกับอุปกรณ์แอนดรอยด์อื่น ๆ ได้
Ransomware เป็นมัลแวร์ที่จำกัดการเข้าถึงคอมพิวเตอร์ที่มันเข้าไปควบคุม และเรียกร้องค่าไถ่สำหรับผู้สร้างมัลแวร์ เพื่อให้ผู้ใช้สามารถใช้งานคอมพิวเตอร์ได้ตามเดิม ransomware บางรูปแบบใช้การเข้ารหัสไฟล์ในฮาร์ดไดรฟ์ของระบบ บางแบบอาจทำเพียงแต่ยึดระบบ และแสดงข้อความเพื่อให้ผู้ใช้จ่ายเงินให้
Spear-phishing เป็นความพยายามหลอกลวงผ่านทางอีเมล โดยมีเป้าหมายที่องค์การหนึ่งโดยเฉพาะ เพื่อให้สามารถเข้าถึงข้อมูลความลับโดยไม่ได้รับอนุญาต โดยปกติแล้วจะไม่เกิดจากผู้บุกรุกทั่วไปแบบสุ่ม แต่จะเกิดจากคนร้ายที่หวังได้รับผลตอบแทนทางการเงิน หรือเพื่อขโมยความลับทางการค้า หรือข้อมูลข่าวสารทางทหาร
Watering hole เป็นกลยุทธ์หนึ่งในการโจมตีคอมพิวเตอร์ ซึ่งเหยื่อจะเป็นกลุ่มหนึ่งโดยเฉพาะ ในการโจมตีนี้ ผู้โจมตีจะเดาหรือสังเกตการณ์ว่าเว็บไซต์ใดที่กลุ่มนี้ใช้อยู่ และแพร่กระจายมัลแวร์เข้าไปในเว็บไซต์เหล่านี้ ในที่สุดสมาชิกบางคนในกลุ่มเป้าหมายก็จะถูกโจมตีด้วยมัลแวร์
UTM เป็นวิวัฒนาการของไฟร์วอลล์แบบดั้งเดิม มาเป็นผลิตภัณฑ์ที่รวมทุกอย่างเข้าไว้ด้วยกัน ที่สามารถทำงานด้านความปลอดภัยหลายอย่างในเครื่องเดียว ได้แก่  network firewalling, network intrusion prevention และ gateway antivirus (AV), gateway anti-spam, VPN, content filtering, load balancing, data leak prevention และ on-appliance reporting
NFC เป็นเทคโนโลยีสื่อสารไร้สายระยะสั้นระยะประมาณ 4 ซม. ที่ใช้ได้ดีกับโครงสร้างพื้นฐานแบบไร้สัมผัส ช่วยสนับสนุนรองรับการสื่อสารระหว่างเครื่องมืออิเล็กทรอนิกส์ในระยะใกล้ๆ การประยุกต์ใช้งานส่วนใหญ่มักนำ NFC มาใช้กับการชำระเงินที่ต้องการความรวดเร็วและมีมูลค่าไม่สูง ซึ่งจะทำให้โทรศัพท์เคลื่อนที่ สามารถใช้เพื่อการชำระเงิน โดยวิธีการแตะบนเครื่องอ่านหรือเครื่องชำระเงิน เช่น การให้บริการในร้านอาหารจานด่วน ร้านขายสินค้า ระบบการซื้อขายตั๋ว และระบบการแลกเปลี่ยนข้อมูลแบบ peer-to-peer เช่น เพลง เกม และรูปภาพ การชำระเงินค่าโดยสารในระบบขนส่งมวลชน เป็นต้น การชำระเงินแบบไร้สัมผัสนี้ก่อให้เกิดการชำระเงินที่ง่ายและรวดเร็ว ลดการเข้าคิวชำระเงินในร้านค้า ห้างสรรพสินค้า และร้านสะดวกซื้อต่างๆ
Passbook เป็น application ใน iOS ที่ยอมให้ผู้ใช้สามารถเก็บคูปอง บัตรโดยสาร ตั๋วงาน บัตรเครดิต และบัตรเดบิตผ่านทาง Apple Pay
Chip and PIN เป็นชื่อที่คิดขึ้นโดยธุรกิจธนาคารในสหราชอาณาจักรและไอร์แลนด์ ใช้เรียกระบบจ่ายเงินสำหรับบัตรเครดิต เดบิตและเอทีเอ็ม ที่ใช้ EMV smart card
แปลและเรียบเรียงโดยทีม SRAN Dev
ข้อมูลอ้างอิง
http://www.trendmicro.com/vinfo/us/security/predictions/
http://en.wikipedia.org/wiki/Darknet_%28file_sharing%29
http://en.wikipedia.org/wiki/Deep_Web
http://en.wikipedia.org/wiki/Tor_%28anonymity_network%29
http://www.webopedia.com/TERM/T/targeted_attack.html
http://www.webopedia.com/TERM/A/Android_fragmentation.html
http://en.wikipedia.org/wiki/Ransomware
http://searchsecurity.techtarget.com/definition/spear-phishing
http://en.wikipedia.org/wiki/Watering_Hole
http://en.wikipedia.org/wiki/Unified_threat_management
http://en.wikipedia.org/wiki/Chip_and_PIN
http://en.wikipedia.org/wiki/Killer_application
http://www.9t.com/library/pdf/Point_of_Sale_POS_and_Retail.pdf
http://th.wikipedia.org/wiki/เนียร์ฟีลด์คอมมูนิเคชัน
http://en.wikipedia.org/wiki/Passbook_%28application%29
http://en.wikipedia.org/wiki/White_hat_%28computer_security%29
http://clpark.rmuti.ac.th/suthep/ideas/two-factor-authentication-wordpress-google-authenticator
http://en.wikipedia.org/wiki/Packet_analyzer
http://www.digitalattackmap.com/understanding-ddos/
https://www.owasp.org/index.php/Man-in-the-middle_attack

จุดจบของ Sniffer ที่ส่งผลกระทบต่อการทำ Lawful Interception

คำว่า “Lawful Interception” ปัจจุบันมีการพูดถึงคำศัพท์ตัวนี้กันมากขึ้น
ผมเขียนเรื่องนี้ราวปี 2552 ช่วงนั้นในประเทศฝั่งที่คิดว่าเป็นประเทศแห่งเสรีทั้งการแสดงออกทางความคิดและการปฏิบัติได้มี Lawful Interception ชนิดที่เป็นเรื่องเป็นราวมีกฎเกณฑ์มีกฎระเบียบอย่างชัดเจน ไม่ว่าเป็นประเทศในยุโรป และอเมริกา ก็มีการทำ Lawful Interception ทั้งสิ้น  ถึงจะให้ 

เสรีภาพสูง แต่ก็ต้องมาพร้อมกับความรับผิดชอบในการกระทำ 

เพื่อเป็นการควบคุมและตรวจสอบผลการกระทำที่อาจจะละเมิดผู้อื่น การโจรกรรมข้อมูล รวมไปถึงการโจมตีบนไซเบอร์จนถึงการกระทำความผิดด้านอาชญากรรมทางคอมพิวเตอร์ฯ (Cyber Crime) ดังนั้นในประเทศที่พัฒนาแล้วมักจะมีการลงระบบที่เรียกว่า Lawful Interception ซึ่งในตอนนั้นผมคิดว่ามันน่าจะนำมาใช้ในประเทศไทย ที่เรากำลังใช้ พรบ.คอมพิวเตอร์ฯ กันอย่างมึนงงกับเรื่องฐานความผิดในมาตราที่ 8 ในการดักรับข้อมูล หรือเทียบได้กับเทคนิคการ sniff ข้อมูล

 อ่านที่
 http://nontawattalk.blogspot.com/search?q=lawful
 http://nontawattalk.blogspot.com/search?q=sniffer
ซึ่งการทำ Lawful Interception มีทั้งที่ใช้ด้านเทคโนโลยี และ มีส่วนที่ไม่ได้ใช้เทคโนโลยี (ไม่แสดงรายละเอียดในบทความนี้) ในส่วนที่เป็นด้านเทคโนโลยีนั้น มีส่วนประกอบที่สำคัญคือต้องมีการทำ “การสนิฟ (Sniff)” หรือ การดัก-รับ ข้อมูล

ขอย้ำว่า Sniffer เป็นเพียงเครื่องหนึ่งในการทำ Lawful Interception
มิใช่ Lawful Interception = sniffer นั้นเป็นความหมายที่แคบไป

ย้อนหลังไปราว 12 ปี คือปี 2546 ผมและทีมงานได้นำเครื่องแม่ข่าย (Server) ที่มีอย่างน้อย 2 การ์ดแลนเพื่อทำ Bridge mode บน linux เป็น interface br0 (ในเวลาต่อมาไม่นานเทคนิคนี้ถูกเรียกว่าการติดตั้งแบบ In-line mode และเป็นที่มาของอุปกรณ์ประเภท NIPS) ในสมัยนั้นเราทำเพื่อดักข้อมูลหลังจากอุปกรณ์ Router ในองค์กรหนึ่งที่ได้รับอนุญาติจากเจ้าของบริษัทเพื่อตรวจหาความผิดปกติ ซึ่งต่อมาเทคนิคนี้ได้พัฒนากลายเป็นอุปกรณ์ SRAN  ในยุคปัจจุบัน

ภาพเครื่อง SRAN ในยุคดั้งเดิมติดตั้งแบบ In-line mode ขวางการติดต่อสื่อสารระหว่างอุปกรณ์ Router และ Switch (วิธีการนี้เหมาะกับระบบเครือข่ายขนาดเล็กเพราะอาจเกิดคอขวดที่อุปกรณ์ที่ติดตั้งแบบ inlineได้ดังนั้นต้องดูปริมาณขนาด Throughput อุปกรณ์เป็นหลัก)

เราก็เริ่มจากการดักรับข้อมูลบนระบบเครือข่าย  ซึ่งเมื่อก่อนนั้นข้อมูลที่ส่งผ่านระบบเครือข่ายจะวิ่งบน Protocol ที่สำคัญคือ HTTP , FTP , Telnet ซึ่งล้วนแต่เป็น Plain text  (อ่านออกได้ด้วยสายตามนุษย์)  ยังไม่มีการเข้ารหัสอย่างเก่ง Telnet กลายร่างเป็น SSH   แต่ที่สำคัญเรามักดักรับข้อมูลและเรียนรู้พฤติกรรม เทคนิคนี้ใช้ได้เป็นอย่างดี ตราบที่พบ Protocol ที่กล่าวมา

การมองเห็นข้อมูลบนระบบเครือข่ายคอมพิวเตอร์นั้นโดยใช้ Sniffer ประกอบด้วยดังนี้
(1) Time  วัน เวลา
(2) Source IP  ไอพีแอดเดรสต้นทาง 
(3) Destination IP ไอพีแอดเดรสปลายทาง
(4) ค่า MAC Address ทั้ง Source และ Destination (หากติดตั้งใน LAN ค่า MAC นี้จะเป็นค่าของอุปกรณ์ Switch ดังนั้นผู้ที่ใช้ Sniffer ในการวิเคราะห์ปัญหาระบบเครือข่ายต้องมีประสบการณ์พอที่แยกแยะให้ออก)
(5) Source Port
(6) Destination Port
(7) ประเภท Protocol
(8) Payload  ที่บรรจุเนื้อหา (Content)
ซึ่งส่วนที่เป็นเนื้อหา มีด้วยกัน 2 ชนิด คือ 
(8.1) เนื้อหาของข้อมูลที่ไม่มีการเข้ารหัส (Plain text) 
(8.2) เนื้อหาของข้อมูลที่มีการเข้ารหัส (Encryption)

ซึ่งทั้ง 2 ชนิดเนื้อหาของข้อมูลนี้ขึ้นกับข้อ (7) คือ ประเภท Protocol
Protocol ที่นิยมใช้กันและข้อมูลสามารถมองเห็นเนื้อหาของข้อมูลได้จากโปรแกรม Sniffer  ได้แก่ HTTP (80) , Telnet (23) , FTP (21) เป็นต้น
ส่วนที่เข้ารหัส ได้แก่ Protocol ในการรับส่ง E-mail  , Protocol ในการทำ VPN และการ Remote ระยะไกล และสำคัญสุดคือ HTTPS(443)

และ HTTPS  ที่ใช้การเข้ารหัสแบบ SSL (Secure Socket Layer) นี้แหละที่บอกว่า
“เรากำลังเข้าสู่ยุค จุดจบของ Sniffer”

ที่กล่าวเช่นนี้เป็นเพราะว่าปัจจุบันนี้ Content Provider รายใหญ่ที่คนไทยเมื่อออนไลน์ต้องใช้บริการไม่ว่าเป็น Google  ,Youtube  , Facebook , Twitter  แม้กระทั่ง Blognone  ยังเข้ารหัส  เป็น https://   ทั้งสิ้น

ภาพ https ของ facebook.com
การสังเกตให้ดูที่รูปแม่กุญแจหากเป็นภาพล็อคนั้นหมายถึงทุกการติดต่อสื่อสารภายใต้โดเมนนี้จะมีการเข้ารหัสข้อมูล
จากภาพเป็นการแสดงถึงการมองเห็นข้อมูลหากไม่มีการเข้ารหัสในเนื้อหาบนระบบเครือข่ายคอมพิวเตอร์ ช่องที่เป็น Signature HTTP Web Traffic Data นั้นจะเห็น path URL ของไอพีต้นทางที่เรียกใช้งาน ส่วน Signature HTTPS นั้นไม่สามารถมองเห็นได้เป็นช่องว่าง เป็นหน้าจอในอุปกรณ์ SRAN Light รุ่น Hybrid

 จากภาพ เมื่อ Capture ข้อมูลบนระบบเครือข่าย ที่มีการติดต่อสื่อสาร HTTPS ด้วยโปรแกรม Wireshark จะพบว่าค่า Payload ที่ผ่านการติดต่อสื่อสารแบบ HTTPS นั้นไม่สามารถอ่านออกได้เนื่องจากมีการเข้ารหัสข้อมูล

ดังนั้นโลกอินเทอร์เน็ตในยุคนี้และยุคหน้าจะประสบปัญหาการตรวจจับข้อมูล (Interception) โดยเฉพาะเจ้าหน้าที่ ที่ปฏิบัติงานในด้านนี้ ที่มีหน้าที่หาผู้กระทำความผิดฯ หรือจะใช้วิเคราะห์แก้ไขปัญหาระบบเครือข่ายอาจไม่สามารถใช้วิธีการดังกล่าวอย่างเต็มประสิทธิภาพ ไม่เหมือนก่อนอีกต่อไป

ภัยคุกคามที่เกิดขึ้นก็จะแฝงตัวมากับการเข้ารหัสผ่านช่องทาง SSL มากขึ้นเพราะมันหลบเลี่ยงการตรวจจับได้จากอุปกรณ์ป้องกันภัยคุกคามในองค์กรได้ระดับหนึ่ง

การซ่อนตัวบนโลกอินเทอร์เน็ตผ่านโปรแกรมอำพรางไอพีแอดเดรสก็มีการเข้ารหัสไม่สามารถมองเห็นการกระทำในค่า Payload หรือ Content (8.2) ได้เลย จึงเป็นเครื่องมือของแฮกเกอร์ได้ใช้ช่องทางนี้ปกปิดเส้นทางการทำงานของตนเองได้เป็นอย่างดี

การแกะรอยผู้กระทำความผิดเป็นไปได้ยากขึ้น ปัจจุบันเว็บการพนัน, เว็บลามกอนาจาร, รวมถึงแอฟลิเคชั่นบนมือถือหลายตัวมีการติดต่อสื่อสารแบบ SSL (HTTPS) หมดแล้ว

แล้วใครล่ะจะมองเห็น HTTPS ?
ตามหลักการที่ถูกต้องก็คือไม่มีใครมองเห็น แต่ในโลกความเป็นจริง การมองเห็นจะเห็นได้ที่ Provider หรือผู้ให้บริการ  ที่ไม่ใช่ผู้ให้บริการอินเทอร์เน็ตในประเทศไทยเรา  แต่เป็นผู้ให้บริการชนิดที่เรียกว่า “Content Provider” ส่วนมากตอนนี้คือจากประเทศสหรัฐอเมริกา ไม่ว่าเป็น Google , Facebook , Microsoft   มีการชิงพื้นที่กันอยู่คือ จีน Baidu  และ ญี่ปุ่น + เกาหลีใต้ ที่ Line
Content Provider เหล่านี้จะมองเห็น  โดยการมองเห็นจะเกิดจาก Log ของ Application ถึงแม้จะมี Server ในการประมวลผลอยู่หลายร้อยหลายพันเครื่อง และการติดตั้งอาจกระจายไปอยู่ในที่ต่างๆ แต่ Log file ชนิดที่เป็น local application log ที่ออกมาจากเครื่องแม่ข่าย (Server) จะทำให้แกะรอยได้

ซึ่งใน Log ที่กล่าวมานั้นจะสามารถอธิบายลักษณะผู้ใช้งานประเภทผู้ใช้งาน ผู้ชาย ผู้หญิง อายุ  ประเทศ การศึกษา รสนิยม ความสนใจ รวมถึงชีวประวัติของบุคคลนั้นได้เลย
ที่เรียกว่า การทำ Data Mining จาก Big Data

ในด้านความมั่นคง ข้อมูลดังกล่าวก็ต้องเป็นเครื่องมือสำคัญของประเทศมหาอำนาจ ได้ช่วงชิงความได้เปรียบอีกต่อไป ประเทศที่กลับตัวทันมักจะพัฒนาเองขึ้นมาจะไม่ยึดติดกับสิ่งที่ทำมา เช่นจีนตอนนี้สร้าง Baidu เป็นต้น

สรุป
Network Sniffer จะปรับตัวให้มองเห็นการเข้ารหัสในอนาคตจะพบการทำ MITM (Man In The Middle) เพื่อดักรับข้อมูลที่เข้ารหัสโดยเฉพาะ HTTPS มากขึ้น  ซึ่งส่วนนี้จะเกิดขึ้นก่อนใครคือในองค์กร บริษัทเอกชน ที่ต้องการควบคุมพนักงานตามกฏระเบียบองค์กร 
การทำ MITM ในองค์กรจะแตกต่างกับในระดับประเทศพอสมควร ทั้งการออกแบบและผลกระทบที่เกิดจากผู้ใช้งาน โดยเฉพาะด้านความรู้สึก การวิพากษ์วิจารณ์ ประเทศไหนที่คิดจากทำนั้นคงต้องดูหลายส่วนโดยเฉพาะผลกระทบต่อเสรีภาพที่ชอบอ้างกัน

Log file never die จะขอใช้คำนี้คงได้เพราะถึงอย่างไร Log ที่มาจาก Application ที่ติดตั้งใน Server นั้นๆ ย่อมมองเห็นทุกอย่างถ้าต้องการทำให้เห็น
และผู้ที่ครอบครอง Log นี้คือ Content Provider ที่คนไทยเราติดอยู่ จนถึงติดอันดับ 1 ใน 5 ของโลกเกือบทุกตำแหน่ง
เช่น https://www.sran.net

ภาพหน้าจอเว็บ sran.net ที่มีเป็น https

คนที่ดักรับข้อมูลทางระบบเครือข่ายจะมองไม่เห็นเพราะ https แต่เจ้าของเว็บ sran.net จะมองเห็น Log อันได้มาจาก Application Log ที่ทำหน้าที่เป็น Web Application คือ Log Apache  เป็นต้น



รัฐบาลควรศึกษาให้ดี หากลงทุน Lawful interception โดยใช้ MITM มาเกี่ยวข้องต้องลงทุนสูงมาก และเมื่อเทคโนโลยีเปลี่ยน จะใช้งานไม่ได้อย่างที่คิดไว้ ควรหาที่ปรึกษาที่เคยผ่านการทำงานประเภทนี้ไว้เพื่อเป็นแนวทางการทำงานที่ยั้งยืน

หากทำ MITM บนเครือข่ายคอมพิวเตอร์พบว่าหน้าจอจะเปลี่ยนไปดังภาพ

 จากภาพจะพบว่า https ที่แสดงบนบราวเซอร์จะแสดงค่าเป็นรูปกากบาท หรือ ตัวแดงขึ้นมาเพื่อเตือนว่าเป็น Certification จาก SSL ที่ผิด  

ถ้าเห็นแบบนี้บน google , facebook , youtube  ก็ให้รู้ไว้เลยว่ามีการดักข้อมูลอยู่  ซึ่งจะทำให้ไม่ขึ้นรูปตัวแดงนี้ ก็ต่อเมื่อต้องลง Certification ที่สร้างขึ้นมาเท่านั้น
กรณีอย่างนี้เคยเป็นข่าวสำหรับผู้ให้บริการอินเทอร์เน็ตบนสายการบิน ที่ชื่อว่า “gogo” ซึ่งผู้ใช้งานพบว่า youtube.com มี certification ที่ผิดปกติแล้ว capture หน้าจอเป็นข่าวใหญ่ไปช่วงปีใหม่ที่ผ่านมา

หน้าตา certification ที่ถูกสร้างขึ้นจาก gogo

 ซึ่งการลงในแต่ละระบบปฏิบัติการ (OS) ชนิดบราวเซอร์ ทั้ง PC และ มือถือ ลงแตกต่างกัน
เทคนิคนี้จะใช้ได้สำหรับองค์กร หรือบริษัท ที่ออกนโยบายควบคุมการใช้งานอินเทอร์เน็ตภายในองค์กร
ในระดับประเทศนั้นท่านผู้อ่านก็ลองคิดดูเอาเองว่าจะมีผลกระทบอะไร ?

เมื่อรู้แล้วสิ่งที่ทำให้ล่วงรู้ถึงข้อมูลภายใน HTTPS ได้นั้นคือ local server ของ application log ซึ่งเกิดจากผู้ให้บริการ Content provider แล้วพวกนั้นเขาจะส่ง log ให้เราหรือ ? google ส่ง log  facebook ส่ง log ให้เราหรือ ???

สิ่งที่รัฐควรจะทำ
ควรมาคบคิดกันว่า Log ที่เกิดจาก Content Provider ทำอย่างไรไม่ให้มันอยู่ในต่างประเทศ หรือ ทำอย่างไง ให้คนไทยใช้ของไทยกันมากขึ้น พัฒนาเองกันมากขึ้น เช่น Browser , Content Provider ที่สร้าง Social Network , Search engine , เครื่องมือซอฟต์แวร์ ซึ่งจะเป็นหนทางที่ยั้งยืนและมีประโยชน์ในระยะยาวสำหรับประเทศเรามากกว่า แต่ก็เท่ากับ “เราต้องอดเปรี้ยวไว้กินหวานมากๆ” อย่าพยายามเชื่อฝรั่งมากส่วนที่มาเป็นนายหน้าขายเทคโนโลยีหาใช่ตัวจริงเสียงจริงในการพัฒนา (Develop) ควรฟังและประยุกต์ให้เป็นของเราเอง

นนทวรรธนะ  สาระมาน
Nontawattana  Saraman
9 มค 58

บทวิเคราะห์การใช้งานอินเทอร์เน็ตของประเทศเกาหลีเหนือ

 
ในช่วงเวลาที่ผ่านมามีการพูดถึงการโจมตีไซเบอร์กันมากขึ้น โดยเฉพาะที่กระทบต่อประเทศเกาหลีเหนือ ทั้งในเรื่องการโจรกรรมข้อมูลของบริษัทโซนี่พิคเจอร์ จนเป็นข่าวโด่งดัง และหากใครได้ติดตามข่าวก็จะพบว่ามีประเทศไทยเข้ามามีส่วนในการเจาะระบบบริษัทโซนี่พิคเจอร์ ยังไม่เพียงแค่นี้ยังมีประเด็นที่ประเทศเกาหลีเหนือไม่สามารถใช้งานอินเทอร์เน็ตได้ทั้งประเทศ ซึ่งทั้งหมดคิดว่าหลายคนคงอย่างทราบถึงว่าเกิดอะไรขึ้น? จึงถือโอกาสนี้เขียนอธิบายข้อมูลเบื้องต้นเพื่อเป็นการศึกษาไว้ และหากมีโอกาสจะส่วมวิญญาณนักสืบดิจิทัล วิเคราะห์ความเป็นไปที่ปรากฏการณ์ที่เกิดขึ้นนี้เป็นระยะเท่าที่ทำได้
1. ข้อมูลทั่วไป 
ประเทศเกาหลีเหนือ ภาษาอังกฤษ : Democratic People’s Republic of Korea สาธารณรัฐประชาธิปไตยประชาชนเกาหลี มีประชากรทั้งหมดในประเทศ 24,851,627 คน (ผลสำรวจเมื่อปี 2014) ข้อมูลเชิงสถิติถึงจำนวนผู้ใช้งานอินเทอร์เน็ตในประเทศยังไม่สามารถระบุได้ แต่โครงสร้างในการติดต่อสื่อสาร (Internet Infrastructure) 
วันที่เกิดเหตุการณ์อินเทอร์เน็ตใช้งานไม่ได้ทั้งประเทศเกาหลีเหนือตรงกับวันที่ 22 ธันวาคม 2557 เวลา 23:15 เวลาในประเทศไทยโดยประมาณ
2.การใช้งานอินเทอร์เน็ต 
ASN (Autonomous System Number) ประจำประเทศ หมายเลข AS131279 ชื่อ Ryugyong-dong ขอจดทะเบียน ASN เมื่อวันที่ 21 ธันวาคม 2552 พึ่งจดทะเบียนเมื่อ 5 ปีที่แล้ว 
2.1 รายละเอียดข้อมูลหมายเลขอินเทอร์เน็ต 
aut-num: AS131279 
as-name: STAR-KP 
descr: Ryugyong-dong 
descr: Potong-gang District country: KP 
admin-c: SJVC1-AP 
tech-c: SJVC1-AP 
mnt-by: MAINT-STAR-KP 
mnt-routes: MAINT-STAR-KP 
changed: hm-changed@apnic.net 20091221 
source: APNIC role: STAR JOINT VENTURE CO LTD – 
network administrat address: Ryugyong-dong Potong-gang District country: KP phone: +850 2 381 2321 fax-no: +850 2 381 2100 
e-mail: postmaster@star-co.net.kp 
admin-c: SJVC1-AP tech-c: SJVC1-AP nic-hdl: SJVC1-AP mnt-by: MAINT-STAR-KP changed: postmaster@star-co.net.kp 20141202 
source: APNIC ชื่อติดต่อที่ star-co.net.kp 
2.2 รายละเอียดข้อมูลเส้นทางการเชื่อมต่ออินเทอร์เน็ต 
  

 ข้อมูลจาก HURRICANE ELECTRIC BGP จะพบว่าทั้งประเทศเกาหลีเหนือมีจำนวนค่าไอพีทั้งเป็นเป็นชนิดไอพีเวอร์ชั่น 4 จำนวน 1,024 ยังไม่มีการทำเป็นไอพีเวอร์ชั่น 6

2.3 เส้นทางการเชื่อมอินเทอร์เน็ตต่อกับต่างประเทศ 

จากแผนภาพพบว่าเส้นทางการเชื่อมต่ออินเทอร์เน็ตของ AS131279 ซึ่งเป็น ASN เพียงอันตัวเดียวในประเทศเกาหลีเหนือ

จะเห็นได้ว่าเส้นทางการเชื่อมต่อเพียงจุดเดียวที่ออกไปยังต่างประเทศ คือติดต่อไปที่ AS4837 เป็นของ China Unicom Backbone แล้วค่อยติดต่อไปยัง AS1239 ของ Sprint ประเทศสหรัฐอเมริกา

เส้นทางการติดต่อจากประเทศไทย
ทดสอบจากการใช้ ISP Loxinfo  เพื่อดูเส้นทางการเชื่อมต่ออินเทอร์เน็ต

เส้นทางอินเทอร์เน็ตจากไทยไปยังเกาหลีเหนือจะผ่านประเทศดังต่อไปนี้ (1)ไทย – (2)สิงค์โปร – (3)อินเดีย – (4)แคนาดา – (5)สหรัฐอเมริกา – (6)จีน และเข้า(7)เกาหลีเหนือ ประมาณ hop ที่ 18

2.4 ย่านไอพีแอดเดรสที่ใช้งาน

จำนวนไอพีแอดเดรสทั้งหมด 1,024 ค่า ซึ่งเทียบเคียงได้เท่ากับจำนวนไอพีของสถาบันการศึกษา-มหาวิทยาลัย ในบางที่ของประเทศไทยด้วยซ้ำ ย่านไอพีแอดเดรสที่สำคัญ ทั้งที่เป็นโครงสร้างพื้นฐานของประเทศ จะอยู่ที่ 175.45.176.0/24

2.5 ค่าโดเมนแนม 

โดเมนที่หลักของประเทศเชื่อมที่ไอพีแอดเดรสเดียว จากข้อมูลการสำรวจค่าไอพีแอดเดรสพบว่า Name Server จำนวน 38 รายชื่อจากจำนวน 1024 ค่าไอพีแอดเดรส

3. บทสรุป

การที่ประเทศเกาหลีเหลือประสบปัญหาอินเทอร์เน็ตใช้งานไม่ได้ทั้งประเทศแบ่งได้ 4 ประเด็นดังนี้

1) เส้นทางอินเทอร์เน็ตประเทศเกาหลีเหนือที่ออกต่างประเทศมีช่องทางเดียว คือจากประเทศจีน แล้วไปที่ ประเทศสหรัฐอเมริกา
– หาก AS4837 เป็นของ China Unicom Backbone ขัดข้องเกาหลีเหนือทั้งประเทศก็ใช้อินเทอร์เน็ตไม่ได้
– หรือหาก AS1239 ของ Sprint ประเทศสหรัฐอเมริกา ขัดข้องเกาหลีเหนือทั้งประเทศก็ใช้อินเทอร์เน็ตไม่ได้
– หรือตัวใดตัวหนึ่งปิดการเส้นทางการเชื่อมต่ออินเทอร์เน็ต (Peering) ทั้งผู้เรียกเข้าติดต่อประเทศเกาหลีเหนือ และ คนในประเทศเกาหลีเหนือเรียกอินเทอร์เน็ตออกประเทศไม่ได้ทันทีหากตัวใดตัว หนึ่งที่กล่าวนั้นขัดข้องหรือเปลี่ยนเส้นทางกระทันหัน ซึ่งก็เป็นการควบคุมของประเทศจีน (AS4837) หรือ ประเทศสหรัฐอเมริกา(AS1239) นั้นเอง อินเทอร์เน็ตทั้งประเทศเกาหลีเหนือตกอยู่การควบคุมจาก 2 มหาอำนาจ ชนิดที่เรียกว่า “ลูกไก่ในกำมือ”

2) อินเทอร์เน็ตที่ใช้งานไม่ได้เป็นเพราะ DNS ในประเทศเกาหลีเหนือไม่พร้อมใช้งาน ไม่ว่าจากการโจมตีชนิด DDoS/DoS  หรือจะเป็นการโจมตีชนิดอื่นที่ทำให้ไม่สามารถใช้งานได้ อันเนื่องมาจาก Root DNS หลักของประเทศเหลือเพียงตัวเดียวคือ IP : 175.45.176.15 ซึ่งหากเครื่องดังกล่าวถูกโจมตีก็จะไม่สามารถ Query ชื่อที่เป็นโดเมนได้ แต่จะเป็นลักษณะผู้ใช้งานในประเทศที่ไม่สามารถเรียกข้อมูลที่เป็นโดเมนแนม ได้ (สำหรับผู้ใช้งานในประเทศที่ตั้งค่า DNS แบบ Default รับค่า DHCP จาก Router ที่ไม่ได้มีการ Fix ค่า DNS เองจะประสบปัญหานี้)

3) เป็นข่าวเพื่อปั่นกระแสหนังที่กำลังเข้าฉายที่ชื่อ “The Interview”

ในยุคปัจจุบันนี้มีการโฆษณาประชาสัมพันธ์แบบคาดไม่ถึงอยู่เป็นประจำ โดยเฉพาะการปล่อยข่าวลือบนอินเทอร์เน็ต หรือที่เรียกอีกอย่างหนึ่งว่า “การทำ Propaganda”  การที่จะไม่ตกเป็นเหยื่อการทำ Propaganda ได้นั้นนอกจากจะต้องมีสติไม่พอต้องมีปัญญาด้วย นี้สิเรื่องยากจะไม่ตกเป็นเหยื่อ

4) กดดันเกาหลีเหนือโดยใช้การโจมตีไซเบอร์เป็นเครื่องมือโดยอ้างว่าเกาหลีเหนือมีแฮกเกอร์เจาะระบบจริง ซึ่งจริงไม่จริงปัจจุบันไม่มีใครทราบ ดูแล้วคล้ายพม่าก่อนเปิดประเทศ แต่เป็นคนละวิธีการ ตามยุคสมัยเพราะยุคนี้ต้องยอมรับว่าคือยุคไซเบอร์
และหากให้ผมเดา … ผมจะรอดูว่าถ้าผู้นำสูงสุดของประเทศเกาหลีเหนือขึ้นปกนิตยสาร Time Magazine เมื่อไหร่ก็เมื่อนั้นไม่นานเกิน 2 ปีจะพบว่าประเทศนี้ได้เปิดประเทศแล้ว พร้อมเหล่าบรรดาทุนนิยม บริษัทยักษ์ใหญ่ที่ต้องการเพิ่มช่องทางในการลงทุนมากขึ้นเหมือนประเทศพม่าที่เป็นเพื่อนบ้านของเรานี้เอง

เขียนโดย
นนทวรรธนะ  สาระมาน
27 ธันวาคม 2557

อ้างอิงข้อมูล
Hurricane Electric IP Transit : http://he.net
Robtex : http://www.robtex.com
Internet Worldstats : http://www.internetworldstats.com

เอฟบีไอออกเตือนธุรกิจของสหรัฐ ฯ เกี่ยวกับมัลแวร์ที่เป็นอันตราย

เอฟบีไอออกเตือนธุรกิจในสหรัฐ ฯ ว่าแฮกเกอร์ได้ใช้ซอฟท์แวร์มุ่งร้ายเพื่อโจมตีเป้าหมายในสหรัฐ ฯ หลังจากที่มีการโจมตีบริษัท โซนี่ พิคเจอร์ส เอ็นเตอร์เทนเม้นต์ ทางอินเทอร์เน็ตเมื่อสัปดาห์ที่ผ่านมา
คำเตือนจากเอฟบีไอจำนวน 5 หน้า ได้ส่งให้กับบริษัทต่าง ๆ เมื่อวันจันทร์ที่ผ่านมา ให้รายละเอียดทางเทคนิคเกี่ยวกับซอฟท์แวร์มุ่งร้ายที่ใช้ในการโจมตี แต่ไม่ได้ระบุถึงชื่อของเหยื่อที่ถูกโจมตี
โฆษกของเอฟบีปฏิเสธให้ความเห็น เมื่อมีผู้ถามว่าซอฟท์แวร์ตัวนี้ถูกใช้เพื่อโจมตีบริษัทหนึ่งในเครีอข่ายของโซนี่ ที่ตั้งอยู่ในแคลิฟอร์เนียหรือไม่
เจ้าหน้าที่รายหนึ่งของเอฟบีไอบอกกับนักข่าวว่า คำแนะนำนั้นให้ข้อมูลข่าวสารที่เกี่ยวของกับการโจมตีบริษัทโซนี่ รวมถึงโค้ดภาษาคอมพิวเตอร์จำนวนหลายหน้า แต่ไม่เกี่ยวกับการโจมตีของมัลแวร์ชนิดใหม่
เจ้าหน้าที่หลายรายบอกว่าพวกเขากำลังวิเคราะห์การโจมตีบริษัทของโซนี่ ซึ่งทำให้เกิดความเสียหายร้ายแรงกับฐานข้อมูลของบริษัท
การโจมตีโซนี่ ทำให้ภาพยนตร์ของบริษัทจำนวนห้าเรื่องถูกเผยแพร่ผ่านทางออนไลน์ รวมถึงหนังเรื่อง “Annie” ที่ปรับปรุงแล้ว การโจมตีที่เกิดขึ้นเมื่อวันที่ 24 พฤศจิกายนที่ผ่านมา และปรากฏเป็นรูปของโครงกระดูก ในคอมพิวเตอร์ของบริษัท และข้อความที่เขียนไว้ว่า “Hacked by #GOP” ซึ่งเป็นกลุ่มที่อยู่เบื้องหลังการโจมตีที่ใช้ชื่อว่า “Guardians of Peace”
hacked%2Bby%2Bgop.jpg
ข้อความนี้ได้ขู่ที่จะปล่อยข้อมูลความลับของบริษัท ทางผู้สืบสวนกำลังหาความเชื่อมโยงกับภาพยนตร์เรื่อง “The Interview” และเกาหลีเหนือ ว่ามีความเกี่ยวข้องกันหรือไม่
เอฟบีไอได้ส่งคำเตือนเร่งด่วนให้กับบริษัทต่าง ๆ เป็นครั้งคราว เพื่อบอกรายละเอียดเกี่ยวกับภัยคุกคามทางอินเทอร์เน็ตที่กำลังเกิดขึ้นใหม่ เพื่อช่วยบริษัทต่าง ๆ ให้สามารถป้องกันการโจมตีแบบใหม่ได้ แต่จะไม่ระบุถึงชื่อของเหยื่อที่ถูกโจมตีในรายงานเหล่านี้
ในรายงานกล่าวไว้ว่า มัลแวร์ได้ทำลายข้อมูลในฮาร์ดไดรฟ์คอมพิวเตอร์ ทำให้มันไม่สามารถทำงานได้ และปิดการเข้าถึงเครือข่าย
จากรายงานที่แจกจ่ายให้กับผู้ทำงานด้านการรักษาความปลอดภัยในบริษัทต่าง ๆ ระบุว่าเป็นเรื่องที่ยากในการกู้คืนฮาร์ดไดรฟ์ ที่ถูกโจมตีด้วยมัลแวร์นี้
การวิเคราะห์มัลแวร์
มัลแวร์นี้ถูกใช้เพื่อโจมตีบริษัทของโซนี่ เป็นมัลแวร์ที่มีอันตรายตัวเดียวกับที่เอฟบีไอได้เตือนไว้ บริษัทด้านแอนตี้ไวรัสของญี่ปุ่น Trend Micro ได้วิเคราะห์การทำงานของมัลแวร์นี้ว่า หน้าที่หลักของมัลแวร์นี้คือการเก็บรวบรวมชื่อผู้ใช้ และรหัสผ่านที่เก็บใน network drive ที่มีการแชร์ในเครือข่าย
หลังจากผู้ใช้ในเครื่องได้ลบไฟล์มัลแวร์นี้ และไฟล์ที่เชื่อมโยงกับ network drive และหยุดการทำงานของ Microsoft Exchange Information Store service จากนั้นมัลแวร์จะหยุดทำงานไปสองชั่วโมง จากนั้นจึงรีสตาร์ทระบบ อีกส่วนหนึ่งของมัลแวร์จะใส่ไฟล์ bmp ในคอมพิวเตอร์ แสดงข้อความว่า “Hacked by #GOP” ซึ่งเป็นภาพเดียวกับที่ปรากฏในคอมพิวเตอร์ของโซนี่ ดังนั้น Trend Micro จึงเสนอว่ามัลแวร์นี้ถูกใช้เพื่อโจมตีโซนี่
ต่อไปนี้เป็นรายงานวิเคราะห์อย่างละเอียดของมัลแวร์นี้
ข้อมูลอ้างอิง

อินเทอร์เน็ตสะอาดไปกับ D’ Family

“ชีวิตที่ทำเพื่อคนอื่น นั้นคือคุณค่าต่อการมีชีวิต”

 จุดเริ่มต้นของเรื่องนี้มันเกิดขึ้นจาก การก่อตัวประจุไฟฟ้าและคลื่นแม่เหล็กจากอากาศส่งเป็นสัญญาณทางข้อมูลที่ใช้ ความเร็วเท่าแสงวิ่งผ่านสายเคเบิลใต้น้ำและส่งตรงเข้าสู่ภาคพื้นดินผ่านเข้า สู่ระบบเครือข่ายคอมพิวเตอร์ เพื่อส่งสารข้อความไปยัง คนที่อยู่ห่างไกลกัน เป็นระยะทางที่ห่างกันเป็นทวีปได้สามารถเห็นหน้าตากัน ได้พูดคุยกันผ่านจอสี่เหลี่ยมที่อยู่ตรงหน้าเรา เพียงเสี้ยววินาทีก็ทำให้เกิดการเปลี่ยนแปลง การเปลี่ยนแปลงนี้เกิดขึ้น และตั้งอยู่ บนยุคดิจิตอลที่มีตัวกลางของการเชื่อมต่อนั้นก็คือ “อินเทอร์เน็ต” ส่งผลให้ชีวิตของเราเข้าต้องเข้าสู่สังคมดิจิตอล (Digital) อย่างเต็มตัวตั้งแต่ตื่นนอนตอนเช้าและยังคงดำเนินอยู่แม้ในยามที่เราหลับไหล และสิ่งนี้เองจึงเป็นจุดเริ่มต้นของการสร้างโครงการนี้ขึ้นมา

เนื่องด้วยข้อมูลข่าวสารในปัจจุบันล้วนมีอิทธิพลต่อชีวิตประจำวันเป็นอัน มาก เรากำลังเข้าสู่ IoT (Internet of Things) บนสภาวะ การขับเคลื่อนด้วยข้อมูลขนาดใหญ่ หรือ Big Data อันเป็นสิ่งที่ต้องเผชิญหน้าทุกครั้งที่อยู่หน้าจอ ซึ่งถือได้ว่าเป็นความท้าทายกับการใช้ชีวิตให้สมดุลและปรับตัวให้เข้ากับ ข้อมูลข่าวสารที่ผ่านเข้าสู่สายตาเรา ทุกที่มีแต่การออนไลน์ขึ้น ไม่ว่าการติดต่อสื่อสาร การทำธุรกิจ การหาข้อมูลต่างๆ ล้วนต้องพึ่งพาการออนไลน์

การเข้าถึงข้อมูลไม่ใช่มีเพียงแต่ผู้ใหญ่ที่เข้าถึงข้อมูลได้อีกต่อไป เด็กอันเป็นเยาวชนของชาติก็เข้าถึงข้อมูลบนอินเทอร์เน็ตได้เช่นกัน การเข้าถึงข้อมูลของเด็ก และ ผู้ใหญ่ ย่อมแตกต่างกันอันเนื่องจากเด็กนั้นยังไม่สามารถแยกแยะถึงข้อมูลที่ได้พบเจอ บนโลกออนไลน์ได้มากกว่าผู้ใหญ่
ดังนั้นหากมีการควบคุมการเข้าถึงข้อมูลอันไม่เหมาะสมและอันเป็นภัย อันตรายต่อเยาวชนของเราย่อมเป็นสิ่งที่ดี ดังนั้นทาง SRAN ทีมได้ระดมเทคนิคที่ได้สะสมมากว่า 10 ปี จัดทำเทคโนโลยีที่คิดว่าเหมาะสม สะดวกในการใช้งาน และเข้าถึงกับคนที่ไม่จำเป็นต้องรู้เทคนิคมากก็สามารถใช้งานได้  “Simple is the Best” สิ่งที่ดีที่สุดคือการกลับคืนสู่สามัญ เพราะทางเราได้เล็งเห็นว่าส่วนนี้เป็นสิ่งสำคัญสำหรับการพัฒนาบุคลากรอันมี ประสิทธิภาพ โดยเริ่มต้นตั้งแต่เยาวชนที่ต้องได้รับการคัดกรองข้อมูลอันไม่เหมาะสมและส่ง เสริมข้อมูลอันมีคุณค่าในการพัฒนาการของเยาชนอันเป็นอนาคตของประเทศ จึงเห็นว่าควรจัดทำโครงการนี้ขึ้น

cropped-Defamily-logo1.jpg

เรามีความตั้งใจทำโครงการนี้ ให้เกิดเป็นรูปธรรมที่สุดเท่าที่จะมีกำลังทำได้ โดยใช้ชื่อโครงการนี้ว่า“D’ Family” หรือ เดอ แฟมมิลี่ จะเป็นตัวช่วยคัดกรองข้อมูลอันไม่พึ่งประสงค์ และสามารถป้องกันภัยอันตรายจากการใช้งานอินเทอร์เน็ตตามบ้านได้เป็นอย่างดี

อีกท้งระบบ Content Filtering ที่ใช้งานกันอยู่ส่วนใหญ่เป็นของต่างประเทศ ดังนั้นฐานข้อมูลที่มีเนื้อหาไม่เหมาะสมจึงถูกคัดกรองที่ภาษาอังกฤษ หากเป็นเนื้อหาภาษาไทย และภาษาในประเทศกลุ่มสมาชิกอาเซียน นั้นซอฟต์แวร์ที่ใช้กันมักจะไม่รู้จักและไม่สามารถคัดกรองเนื้อหาได้ครบตาม พื้นที่ประเทศนั้นจึงควรจัดทำระบบดังกล่าวเองเพื่อความถูกต้องและแม่นยำใน การคัดกรอง จึงเป็นเหตุให้เราต้องมาจัดทำโครงการนี้ขึ้น
“D’ Family : Internet Safety at Home” จึงเกิดขึ้นในช่วงปลายฝนต้นหนาว  ปี 2014

หลักการทำงานของ D’ Family เบื้องต้น

ปกติการใช้งานอินเทอร์เน็ตในครอบครัวบ้านทั่วไปเมื่อไม่มีระบบคัดกรองข้อมูลอันไม่เหมาะสม เด็กเยาวชนผู้ที่ใช้งานร่วมกับผู้ใหญ่ก็อาจประสบพบเจอเนื้อหาอันไม่พึ่งประสงค์ได้ทุกเมื่อในการท่องอินเทอร์เน็ต
befor-home-net-use01
แต่เมื่อมี D’ Family ไว้ในบ้านแล้ว เวลาใช้งานอินเทอร์เน็ตจะทำการป้องกันไม่ให้เด็กเปิดเนื้อหา ข้อมูลอันไม่เหมาะสมจากการใช้งานอินเทอร์เน็ตได้
after-home-net-use01
ด้วยเทคนิคการเชื่อมต่อข้อมูลผ่าน Cloud Services บนเครือข่ายดาต้าเซ็นเตอร์โดยมีระบบคัดกรองข้อมูลอันไม่เหมาะสมเป็นฐานข้อมูลกลางที่ทำให้ความปลอดภัยของครอบครัวที่ใช้ D’Family ได้ใช้งานอินเทอร์เน็ตอย่างปลอดภัยไร้กังวัลในการเข้าถึงข้อมูลอันไม่พึ่งประสงค์ได้
สุดท้ายนี้
เราหวังว่า D’ Family โครงการเล็กๆ นี้จะประโยชน์กับสังคมในยุค Big Data ได้บ้าง
ดังเช่นอัลเบิร์ต ไอน์สไตน์ได้เคยกล่าวว่า “Only a life lived for others is a life worth while.”
ชีวิตที่ทำเพื่อคนอื่น นั้นคือคุณค่าต่อการมีชีวิต
logo_SRAN0556
Nontawattana Saraman

30/10/57

รายละเอียด  http://defamily.sran.net

บทวิเคราะห์ Facebook ล่มในประเทศไทย

ในขณะที่ “Facebook ดับ”ผมนึกว่าเราจะกลายเป็นเหมือนประเทศจีน ที่มีโครงการ “Great China Firewall” เสียอีก แต่นั้นคือเขาทำได้เพราะช่องทางออกอินเทอร์เน็ตที่เชื่อมไปยังต่างประเทศมีไม่กี่ช่อง ทางแต่ปัจจุบันเมืองไทยเรามีช่องทางการออกอินเทอร์เน็ตที่เชื่อม ต่างประเทศ หรือเรียกทางเทคนิคว่า IIG (Internal Internet Gateway) นั้นมีหลายช่องทางและมีแนวโน้มจะเพิ่มขึ้นตามปริมาณการใช้งาน ดังนั้นการที่จะทำการปิดกั้นจากศูนย์กลางที่เดียวแบบ Single Command คงเป็นไปได้ยาก
เนื่องจากผมไม่ได้อยู่ในเหตุการณ์ช่วงที่ Facebook ล่ม ถึงอยู่ในช่วงเวลานั้นก็ไม่กระทบอะไรเพราะตนเองไม่มี account facebook และไม่คิดจะมี account facebook แต่เมื่อหลายคนพูด Talk of the town เลยมานั่งวิเคราะห์ดูว่าสาเหตุที่แท้จริงคืออะไร เผื่อว่าจะเป็นการแชร์ความรู้ให้กับทุกท่านที่ได้ติดตามอ่านบทความของผมอย่างต่อเนื่อง

เมื่อทำการวิเคราะห์สามารถพิจารณาจาก 2 ส่วน  ดังนี้
ส่วน ที่ 1 พิจารณาการเชื่อมต่อข้อมูลบนระบบเครือข่าย (Route Traffic)  ซึ่งในเส้นทางการเชื่อมต่อในส่วนนี้อาจเปลี่ยนแปลงไปเรื่อยๆ ไม่คงทีขึ้นอยู่กับการ config ของฝั่งผู้ให้บริการ ดังนั้นการยกตัวอย่างในบทความนี้อาจไม่เป็นเช่นนั้นเสมอไป

ส่วนที่ 2 พิจารณาการเรียกค่า DNS (Domain Name System)

ส่วนที่ 1 การเชื่อมต่อข้อมูลบนระบบเครือข่าย (Route Traffic)
ซึ่งในส่วนแรกเราจะต้องตั้งต้นที่ Gateway ในขาต่างประเทศ เพื่อวิเคราะห์ว่ามีก Link ใดบ้างทีเชื่อมต่อกับ Facebook จะพบว่า
ASN ในประเทศไทยที่มีขาเชื่อมต่อต่างประเทศ มีดังนี้
1. AS4651 : CAT Telecom
2. AS17565 : ADC (Advance Datanetwork Communications Co.,Ltd. BuddyB service. Bangkok)
3. AS45796 : BB Connect (UIH or DTAC)
4. AS7568 : CSLoxinfo
5. AS45629 : JasTel (3BB)
6. AS45430 : SBN (AIS)
7. AS132876 : Symphony
8. AS58430 : TCCT
9. AS38082 : True Internet
10. AS38040 : TOT

ASN ของ Facebook คือ AS32934 มีค่าไอพี (IPv4) ทั้งหมด 54,272
ซึ่งในนี้จะมีการเชื่อมต่ออยู่จำนวน 152 Link
ที่ ASN ของ Facebook มี Link ไปประเทศสิงค์โปร มีจำนวน 2 Link คือ
– AS7473 : Singapore Telecom
– AS4844 : Super Internet Access PTE

(1) AS7473 : Singapore Telecom มีการเชื่อมต่อในประเทศไทย ดังนี้
1.1 AS38082 : True Internet
1.2 AS4651 : CAT Telecom
1.3 AS7568 : CSLoxinfo
1.4 AS45629 : JasTel
1.5 AS38040 : TOT

(2) AS4844 : Super Internet Access PTE มีการเชื่อมต่อในประเทศไทย ดังนี้
2.1 AS4651 : CAT Telecom
2.2 AS38082 : True Internet
2.3 AS7568 : CSLoxinfo
2.4 AS38040 : TOT
2.5 AS45629 : JasTel
2.6 AS45796 : BBconnect
2.7 AS45430 : SBN-IIG
2.8 AS9587 : DTAC
2.9 AS9931 : CAT Telecom

เพื่อให้เห็นภาพขอทำการทดสอบผ่านผู้ให้บริการอินเทอร์เน็ต ที่ผู้เขียนสามารถจะทำได้ดังนี้
(1) ทำการ Trace route เพื่อค้นหาเส้นทาง ในกรณีที่ใช้เครือข่าย DTAC

ทำการทดสอบวันที่ 28 พค 57 เวลา 16:38  ซึ่งเป็นเกิดเหตุการณ์ Facebook ล่มไปแล้วไม่นาน

จะพบว่าใน hop ที่1 ถึง 13 เป็นการ Routing บนเครือข่ายของ DTAC เอง (เป็น Private IP Address)
จากนั้นใน hop ที่ 14 เริ่มการไปเชื่อมกับ TOT IIG ที่ ไอพี 180.180.248.69
จากนั้นใน hop ที่ 15 มีการเรียกค่าไปที่โดเมน facebook-sg.totiig.net โดย เป็นค่าไอพี 180.180.255.222
และ hop ที่ 16 เป็นการเชื่อมต่อไปที่ ae11.bb02.sin1.tfbnw.net ไอพี 31.13.28.148 ซึ่งเป็นไอพีภายใต้ AS32934
hop 21 และ hop 22 ที่ติดระบบรักษาความปลอดภัยของ Facebook
ใช้ระยะทางเรียกค่า www.facebook.com ทั้งหมด 23 hop

(2) ทำการ Trace route เพื่อค้นหาเส้นทาง ในกรณีที่ใช้เครือข่าย 3BB

ทำ การทดสอบ ที่ AS45629  ช่วงไอพีที่ทำการทดสอบ เวลาทดสอบวันที่ 29 พค 57 เวลา 8:32 ซึ่งเกิดเหตุการณ์ facebook ล่มไปแล้วหลายชั่วโมง และระบบกลับมาปกติแล้ว

เริ่มมีการเชื่อมต่อกับเครือข่ายอื่นที่ hopที่ 7 จะเป็นเครือข่ายอื่น ไอพี 80.77.0.77
AS15412 : Reliance Globalcom Limited จากนั้้น hop ที่ 8 ไปที่ ge-71-1-0.0.ejr03.sin001.flagtel.com ค่าไอพี 62.216.128.9
จาก hop ที่ 7 ถึง 8 จะไปผ่านที่ประเทศอังกฤษ Flag Telecom Global
 และออกไปที่ฮ่องกงใน hop ที่ 10 facebook-10G.hkix.net ไอพี 202.40.161.110 จากนั้นเข้าไปสู่เครือข่ายที่ Facebook
 ใช้ระยะทางเรียกค่า www.facebook.com ทั้งหมด 12 hop

(3) ทำการ Trace route เพื่อค้นหาเส้นทาง ในกรณีที่ใช้เครือข่าย True

ทำการทดสอบในวันที่ 30 พค 57 เวลา 07:43 ทดสอบผ่าน AS132061 Real Move (เป็นช่วงไอพีของ True Internet บนเครือข่ายมือถือ)

จะพบว่ามีการเริ่มออกจากเครือข่าย True ที่ hop 12 SG-ICR-GS1-10GE.trueintergateway.com โดยมีค่าไอพี 113.21.241.162  จากนั้น hop ที่ 13 xe-7-1-1.pr01.sin1.tfbnw.net ค่าไอพี 103.4.96.29 เป็นเครือข่ายของ Facebook AS32934
 ใช้ระยะทางเรียกค่า www.facebook.com ทั้งหมด 15 hop
ซึ่ง True Gateway สามารถมีการเชื่อมต่อไปตรงที่ Facebook ได้

(4) ทำการ Trace route เพื่อค้นหาเส้นทาง ในกรณีที่ใช้เครือข่าย CSLoxinfo

ทดสอบบนเครื่องแม่ข่าย (Server ส่วนตัว) เมื่อวันที่ 30 พค 57 เวลา 9:21 โดยทำการทดสอบบนย่านไอพี AS9891 ผลลัพธ์คือ

จะ พบว่าใน hop ที่ 8 มีการเชื่อมต่อไปยังต่างประเทศ คือ 32934.sgw.equnix.com มีค่าไอพี 202.79.197.65 ซึ่งอยู่ที่ประเทศสิงค์โปร จากนั้นใน hop ที่ 9 ติดต่อไปที่ Facebook
รวมระยะเส้นทางจำนวน 12 hop

หมายเหตุ : ทุกเส้นทางที่แสดงผลในนี้อาจมีการปรับเปลี่ยนได้ตลอดเวลาเนื่องจาก Routing Traffic จะเกิดขึ้นจากผู้ดูแลระบบที่ทำการ Config ค่า

ส่วนที่ 2 การเรียกค่า DNS 
เมื่อทำการ nslookup facebook จะได้ผลลัพธ์ดังนี้

facebook.com    nameserver = a.ns.facebook.com
facebook.com    nameserver = b.ns.facebook.com
facebook.com    text =

        “v=spf1 redirect=_spf.facebook.com”
facebook.com    MX preference = 10, mail exchanger = msgin.t.facebook.com
facebook.com
        primary name server = a.ns.facebook.com
        responsible mail addr = dns.facebook.com
        serial  = 1401416932
        refresh = 7200 (2 hours)
        retry   = 1800 (30 mins)
        expire  = 604800 (7 days)
        default TTL = 120 (2 mins)
facebook.com    internet address = 173.252.110.27
facebook.com    AAAA IPv6 address = 2a03:2880:2110:df07:face:b00c:0:1

a.ns.facebook.com       internet address = 69.171.239.12
b.ns.facebook.com       internet address = 69.171.255.12

ส่วนค่า DNS หลักของผู้ให้บริการอินเทอร์เน็ตในประเทศไทย จะแยกกันไป
ในที่นี้ขอยกตัวเฉพาะ DNS ของ TOT
ได้แก่ dns1.totbb.net มีค่าไอพี 203.113.5.130 , dns2.totbb.net มีค่าไอพี 203.113.7.130  และ dns3.totbb.net มีค่าไอพี 203.113.9.123
เมื่อมี การแจกค่า DNS ไปยังอุปกรณ์ Router ตามบ้าน หรือ ค่าที่ได้รับอัตโนมัติจากผู้ให้บริการจะทำให้เครื่องคอมพิวเตอร์ หรือ มือถือ จะได้รับค่า DNS จากผู้ให้บริการทันที  ยกเว้นกรณีที่ผู้ใช้งานตั้งค่า DNS เอง (Manual) โดยหลายคนอาจตั้งค่า DNS ไปที่ 8.8.8.8 ของ google เป็นต้น ซึ่งคนที่ตั้งค่าเองอาจไม่ได้รับผลกระทบกับการเรียก www.facebook.com
ดัง นั้นเหตุการณ์ที่เกิดขึ้นนี้ สามารถเข้าใช้งานในโดเมนอื่นๆได้ ยกเว้นโดเมน facebook.com มีความเป็นไปได้ที่มีการเปลี่ยนเส้นทาง DNS เพื่อให้ไป Query โดเมนที่ DNS ของผู้ให้บริการรายใดรายหนึ่ง และ DNS การสามารถกำหนด host file ในเครื่อง DNS Server เพื่อไม่ให้ผู้ใช้งานเข้าใช้บริการเมื่อมีการเรียกค่า DNS ได้ และสามารถ Redirect ไปยังเพจที่ขึ้นข้อความอื่นๆเพื่อบ่งบอกถึงว่าปิดระงับชั่วคราวได้  การปิดกั้นช่องทางผ่านเทคนิค DNS ในทางที่ก่อให้เกิดประโยชน์โดยมากเขาจะปิดกั้นไม่ให้เข้าถึง โดเมนที่มีภัยคุกคามเช่น โดเมนที่ติดไวรัส (Malware) โดเมนที่เป็น Phishing และ โดเมนที่มีความเสี่ยงทางอาชญากรรมคอมพิวเตอร์ เพื่อไม่ให้ผู้ใช้งานตกเป็นเหยื่อได้

* การตรวจดูว่า DNS เราใช้อยู่คืออะไรสามารถทำได้โดย ใช้ command  ipconfig /all  หรือใน linux ได้โดย ifconfig ตรวจดูค่า DNS หากใช้ผ่าน Router บ้านหรือองค์กรจะได้ค่าชี้ไปที่ Gateway ขององค์กร นั้นและค่า Router นั้นมักตั้งให้รับค่าอัตโนมัติ จะได้ค่า DNS จากผู้ให้บริการ

ตัวอย่าง Log DNS จากของจริงจาก srandns.com

30-May-2014 11:10:30.446 client 101.108.xx.xx#11240: query: mesu.apple.com IN A + (x.x.x.x)
30-May-2014 11:10:19.702 client 180.183.xx.xx#65484: query: sran.net IN A + (x.x.x.x)
30-May-2014 11:09:56.150 client 124.122.xx.xx#11540: query: m.ak.fbcdn.net IN A + (x.x.x.x)
30-May-2014 11:09:49.712 client 180.183.xx.xx#29337: query: www.facebook.com IN A + (x.x.x.x)
30-May-2014 11:09:36.869 client 180.183.xx.xx#19924: query: dnl-15.geo.kaspersky.com IN A + (x.x.x.x)
30-May-2014 11:09:33.959 client 180.183.xx.xx#19922: query: dnl-15.geo.kaspersky.com IN A + (x.x.x.x)
30-May-2014 11:09:14.741 client 101.108.xx.xx#11237: query: z-m.c10r.facebook.com IN A + (x.x.x.x)
30-May-2014 11:08:56.400 client 180.180.xx.xx#17540: query: imap.gmail.com IN A + (x.x.x.x)
30-May-2014 11:08:56.098 client 180.180.xx.xx#17539: query: www.sran.org IN A + (x.x.x.x)
 
จาก log จะเห็นว่าเราพบวันเวลา ค่าไอพี ของเครื่อง client ที่ใช้ DNS ค่าความต่อเนื่อง #ตามด้วยตัวเลข การ Query โดเมน
 และค่า x.x.x.x จะเป็นค่าไอพีของฝั่ง DNS Server 
ยกตัวอย่างเบื้องต้นประมาณนี้ก่อน

สรุปได้ว่า : ปัญหาที่เกิดขึ้นอาจจะเกิดจากการเปลี่ยนค่า DNS ที่ฝั่งผู้ให้บริการจะทำให้ผู้ใช้งานทั่วไปเรียกค่าโดเมนผ่าน DNS ใหม่ที่อาจทำให้เป็นการปิดกั้นช่องทางได้  หรือ ที่ผมเคยเขียนไว้ในบทความ “เตือนภัยเรื่อง DNS ที่มีผลกระทบต่อผู้ใช้งานตามบ้าน http://nontawattalk.blogspot.com/2014/04/dns.html ” สิ่งที่เกิดขึ้นอาจเป็นเพราะคนที่เข้าไปแก้ไขค่า config เส้นทางการเรียกข้อมูลในช่วงเวลานั้นอาจจะยังไม่เข้าใจในระดับผู้ให้บริการ (ISP) ดีพอจนปล่อยให้เกิดผลกระทบที่ทำให้ทุกคนรับรู้และเป็น Talk of the town ได้ขนาดนี้

แนวทางที่ควรปฏิบัติในอนาคต

   ถึงแม้เหตุการณ์นี้จึงเป็นบทเรียนสำคัญสำหรับคนที่คิดจะทำการปิดกั้น โดยเฉพาะการปิดกั้นทั้งโดเมนสามารถทำได้ แต่อาจมีผลกระทบเยอะ และหากเปิดกั้นจากจุดเดียวด้วยวิธีนี้จำเป็นต้อง Route เส้นทาง การเรียกค่าโดเมนแนม ให้ออกไปยังจุดใดจุดหนึ่ง แต่ผลลัพธ์ก็อย่างที่เห็นคือไม่สามารถใช้งานได้ ซึ่งมีเหตุผลรองรับ เช่น อุปกรณ์ Load Balancing ที่อยู่หน้า DNS Farm Server หรือ DNS Server ใหม่ไม่สามารถรองรับ ปริมาณ traffic ได้ การ Query DNS ไม่สมารถรับค่าปริมาณเยอะๆพร้อมกันได้ อุปกรณ์ฝั่งระบบเครือข่ายไม่สามารถรองรับปริมาณข้อมูลได้ในเวลาจำกัด การปิดกั้นควรปิดกั้นเป็นบางเพจหรือค่า URI page นั้น ในอดีตการเปิดกั้นเว็บเพจ มักใช้เทคนิคเรียกว่า “TCP Hijack session” ปิดการเชื่อมต่อ session ของ ไอพีผู้ใช้งาน (Client) เพื่อไม่ให้เรียกเพจ เช่น http://xx.com/abcd/xx.html อันนี้ทำได้ในอดีต

http://www.abc.com/abc.html  แบบนี้ปิดได้
https://www.abc.com/abc.html แบบนี้ปัจจุบันยังปิดไม่ได้
แบบ facebook.com โดเมนทั้งหมด ปิดได้อยู่แล้ว  (ไม่ควรทำ) แต่อย่างไรก็ดีก็ยังไม่สามารถปิดกั้นจากจุดเดียวแบบ Single command ได้ ไม่ว่าเป็น โดเมนแนม หรือ URI ต้องบอก ISP แต่ละทีให้ปิด

กรณีเฝ้าระวังการใช้งาน HTTP
การเฝ้าระวัง (monitoring) ขอยกตัวอย่างโดยใช้อุปกรณ์ SRAN Light รุ่นเล็กติดตั้งที่ office
หน้าจอเฝ้าระวังโดยการเขียน signature จับค่า HTTP GET

 จากภาพ กรณี HTTP จะเห็นว่าเห็นทั้งค่าไอพีต้นทาง (ผู้ใช้งาน) ไอพีปลาย และ URI ที่เรียกใช้งาน
ส่วน MAC Address เครื่องเป็นค่า MAC ของอุปกรณ์ Switch ในองค์กร ซึ่งไม่ต้องสนใจเพราะค่าจะเป็นค่าเดียวเนื่องจากทำการ Mirror traffic มา

กรณีการเฝ้าระวัง  HTTP ผ่าน Proxy

จากภาพก็ยังเห็นว่า ถึงแม้จะผ่าน Proxy ก็ยังสามารถเห็นไอพีต้นทาง ไอพีปลายทาง (ก็คือ Proxy server) และ URI ที่ไปได้

กรณีการเฝ้าระวัง  HTTPS

จากภาพหากผ่าน HTTPS จะเห็นแค่ ไอพีปลายทาง ไม่เห็น URI ทำให้ไม่รู้รู้เปิด path ไหนของเว็บ เว็บนั้นๆหาได้จากไอพีปลายทางเอาไป whois หรือ covert IP to Host เอาไม่ยากสำหรับคนรู้หาได้ แต่อย่างไรก็หา URI ไม่ได้

แต่อย่างไรก็ดี HTTPS สามารถมองเห็นได้แต่ต้องทำ MITM (Man In The Middle Attack) ซึ่งในระดับองค์กรทำได้ แต่ระดับประเทศทำยาก และไม่ควรทำ

ปัจจุบันเครือข่ายสังคมออนไลน์ facebook , twitter , youtube หันมาใช้บริการ SSL คือผ่าน https หมด จึงไม่สามารถใช้เทคนิคเดิมเพื่อปิดกั้นได้เนื่องจากมีการเข้ารหัสจนไม่ สามารถล่วงรู้ถึง URI ปลายทางได้รู้แต่ค่าไอพี และทำการ covert กลับเป็นชื่อโดเมนทำให้ปัจจุบันไม่สามารถปิดกั้นได้  แต่หากทำการปิดกั้นก็มีหนทางโดยมากจะทำในระดับองค์กร แต่หากทำในระดับผู้ให้บริการระดับ ISP และในเมืองไทยมีผู้ให้บริการที่ออกโครงข่ายต่างประเทศหลายรายที่นับได้คือ เป็น 10 ที่ การทำวิธีดังกล่าวจึงมีออกแบบทั้งปริมาณข้อมูลที่รับได้ และทางฉุกเฉินเมื่อไม่สามารถเชื่อมต่อได้ ซึ่งโดยรวมนั้นอาจมีผลกระทบต่อผู้ให้บริการ (ISP) และผู้ใช้ งาน (User) โดยเฉพาะอาจได้รับ Certificate ที่ไม่ได้มาจากแหล่งต้นทาง  ดังนั้นการปิดกั้นควรคำนึงถึงเรื่องนี้ไม่งั้นอาจเป็นภัยคุกคามต่อผู้ใช้งาน ได้ เช่นกรณีคนที่ ใช้เทคนิค MITM (Man In The Middle attack) ในพื้นที่สาธารณะ บนเครือข่ายไร้สาย หรือ องค์กรขนาดเล็กก็จะได้รับค่า Certificate ที่ไม่ได้มาจากแหล่งต้นทางที่แท้จริงได้เช่นกัน และช่องทางพิเศษในการอำพรางตัวตนนั้นมีมากมาย ค้นหาใน Google หรือ Search engine อื่นก็สามารถใช้งานได้ง่ายและปัจจุบันใครก็ทำได้ ยิ่งทำการปิดกั้นก็ยิ่งมีคนอยากเข้าถึง และหาทางหลีกเลี่ยงการหลบซ๋อนค่าไอพียิ่งทำให้หาตัวผู้กระทำความผิดได้ยากขึ้น ซึ่งสิ่งที่ควรปิดกั้นคือช่องทางที่อำพรางตัวตนแบบออนไลน์มากกว่าการปิดกั้นเว็บเพจ 
(อาจดูเหมือนทำยากแต่สามารถทำได้และไม่กระทบต่อผู้ให้บริการและผู้ใช้งาน ซึ่งหากมีโอกาสจะแนะนำวิธีการให้ต่อไป)

ค่าไอพี (IP Address : Who) และ เวลา (Time : When) ส่วน What ทางเทคนิคหาได้จาก Log file  ถ้าไม่ใช้เทคนิคการหาทางการข่าวได้ เหล่านี้จะเป็นตัวบ่งบอกถึงความเป็นตัวตนของผู้ใช้งาน หากมีการอำพรางตัวตนก็เท่ากับไม่สามารถหาค่าไอพีที่แท้จริงได้ และโดยมากผู้มีเจตนาไม่ดีมักทำการอำพรางตัวตนที่แท้จริง เพราะคนที่เจตนาดีมักจะไม่มีความจำเป็นต้องอำพรางตัวตนในการใช้งาน

สรุปแนวทางในอนาคต
1. ไม่แนะนำให้มีการปิดกั้นการเข้าถึงข้อมูลไม่ว่าเป็นสื่อสังคมออนไลน์หรือเว็บเพจ เพราะยิ่งปิดกั้นคนก็จะพยายามหาทางเข้าถึง และหลีกเลี่ยงโดยไปใช้โปรแกรมอำพรางตัวเอง เช่นโปรแกรม Tor Network , Proxy Anonymous ต่างๆ และทำให้การหาผู้กระทำความผิดได้ยากขึ้น และการปิดกั้นปิด หนึ่งเว็บก็เปิดใหม่ได้อีกเรื่อยๆ เป็นลักษณะแมววิ่งไล่จับหนู ซึ่งไม่มีทางจบสิ้น และอีกอย่างสังคมปัจจุบันเป็นสังคมเปิด โดยเฉพาะสื่อออนไลน์จะมีข่าวสารฉับไว จนสามารถทำให้ผู้คนที่เข้าถึงอินเทอร์เน็ตรู้ทันกันไปหมด คิดอะไรไม่ออกก็ค้นหา google ก็รู้ได้ ดังนั้นการปิดจึงเป็นวิธีการที่ผมเองไม่เห็นว่าจะเกิดประโยชน์ในระยะยาว

2. เมื่อพบเนื้อหาไม่เหมาะสม ต้องไม่ขยายผลต่อ ไม่ว่าเป็นชื่อเพจ หรือการแชร์ ควรส่งให้หน่วยงานที่รับผิดชอบเพื่อไม่เป็นการขยายผลต่อ

3. หากจะทำการปิดกั้น ควรจะทำการปิดกั้นค่าไอพีที่ได้จากโปรแกรมอำพรางตัวตน หรือทำการปลอมตัวตนที่แท้จริงจนไม่สามารถตรวจสอบได้
 และควรปิดกั้นการเข้าถึงโดเมนที่ติดเชื้อ Malware  โดเมนที่หลอกลวงประชาชน (Phishing) ในฝั่งผู้ให้บริการอินเทอร์เน็ตไทย ซึ่งเป็นการสร้างความปลอดภัยให้กับคนในชาติ ที่ใช้งานอินเทอร์เน็ตไม่ตกเป็นเหยื่อทางอาชญากรรมคอมพิวเตอร์โดยไม่รู้ตัว

4. ควรรณรงค์ให้มีการเก็บ Log ให้ถูกต้องตามกฏหมาย พรบ. คอมพิวเตอร์ฯ เพราะ Log จะเป็นตัวช่วยสืบหาผู้กระทำผิดได้ Log บ่งบอกถึงพฤติกรรมและเหตุการณ์ที่ขยายผลในการหาผู้กระทำความผิดทั้งตัวบุคคลและเครือข่ายได้ ,Log ที่เก็บไม่ว่าผู้ให้บริการ ISP หรือ ผู้ให้บริการทาง Application ต่างๆที่มีความเสี่ยงต่อการกระทำความผิดควรเก็บ Log และไม่ว่าเป็นองค์กร บริษัท โรงเรียน โรงแรม ผู้ให้บริการไร้สาย (Wi-Fi) Log every where เป็นต้น ควรเก็บ Log ทั้งหมด ซึ่งประโยชน์ของ Log ที่สามารถเชื่อมโยงหลักฐานต่างๆ เพื่อเป็นประโยชน์ในการสืบสวนได้ เปรียบได้กล้องวงจรปิดหากมีหลายจุดก็ย่อมปะติดปะต่อข้อมูลได้ อ่านเพิ่มเติมได้
http://nontawattalk.blogspot.com/2010/08/4.html
http://nontawattalk.blogspot.com/2009/04/blog-post.html

5. ควรพัฒนาวิจัยเทคโนโลยีของคนในชาติเองอย่าไปพึ่งคนอื่น ประเทศชาติอื่นให้มาก อย่าเชื่อฝรั่งมาก ในกรณีที่เห็นได้ชัด เช่น facebook หรือ Line เราไม่สามารถขอหลักฐานได้มากมายเพราะการเก็บข้อมูลอยู่ที่ต่างประเทศทั้งหมด ซึ่งต่างประเทศก็มีกฏหมายคอมพิวเตอร์ที่แตกต่างกับเราใช้กันไม่ได้ และอีกไม่นานเมื่อ 4G มาถึงเราจะพบว่าการโทรศัพท์เราก็จะไม่ใช้เบอร์โทรอีกต่อไป เป็นหมายเลข account ของ Line หรือ google หรือ Apple หรือ facebook  และโทรศัพท์ผ่านเครือข่ายอินเทอร์เน็ตหมด พอถึงวันนั้นเราจะยืนอยู่ที่ไหน? เพราะ Server ต่างๆเราฝากชีวิตไว้ที่ Cloud Services กับผู้ให้บริการ Application ต่างชาติหมด ไม่ว่ารูปภาพ คลิป เว็บ ข้อมูลต่างๆ ก็เสมือนว่าชีวิตเราฝากไว้กับเขา
เรื่องที่เห็นชัดเจนอีกเรื่อง คือ CDN (Content Delivery Services) ที่ให้บริการ facebook ก็ยังมีเส้นทางผ่านไปประเทศสิงค์โปร CDN หลักฐาน facebook การเก็บข้อมูลส่วนที่ใกล้ที่สุดก็ยังอยู่ที่สิงค์โปรไม่ได้อยู่ในประเทศไทย … พอเสียที่กับการเป็นแค่ตัวแทนขาย ถึงเวลาที่เราต้องมาร่วมกันสร้างชาติให้เข้มแข็งขึ้นได้แล้ว เราควรมีของที่เราใช้เองพัฒนาเองบางได้แล้ว อาจถึงเวลาที่เรามานั่งทบทวนเรื่องเหล่านี้ให้มากก่อนที่ตกหลุดพรางเสรีภาพออนไลน์แบบไร้พรมแดนแบบนี้ต่อไป

Nontawattana  Saraman
SRAN Dev Team
30/05/57

เตือนภัยเรื่อง DNS ที่ส่งผลกระทบต่อผู้ใช้งานตามบ้าน

 DNS ที่ส่งผลกระทบต่อผู้ใช้งานตามบ้าน  เรื่องใกล้ตัวที่คนไทยถูกเปลี่ยนเส้นทางในการเข้าถึงข้อมูลทางอินเทอร์เน็ตจนถึงขั้นตกเป็นเหยื่อทางอาชญากรรมทางไซเบอร์กว่าแสนเครื่อง เรื่องเก่าที่จำเป็นต้องขยายความเพื่อความตะหนักถึงภัยคุกคามที่อาจเกิดขึ้นกับตัวคุณเองได้
  
บทความนี้ขอแบ่งเป็น 3 หัวข้อ คือ
หัวข้อที่ 1 การสำรวจและสถิติข้อมูล (Internet Discovery and Census)
หัวข้อที่ 2 พิสูจน์หาความจริงเกี่ยวกับค่า DNS ที่ถูกเปลี่ยน และผลกระทบที่เกิดขึ้น
หัวข้อที่ 3 การป้องกัน (Protection)

1. การสำรวจและสถิติข้อมูล (Internet Discovery and Census)

เมื่อเดือนมกราคม 2557 ที่ผ่านมาได้มีการเผยแพร่ช่องโหว่ของอุปกรณ์เราเตอร์โดยสามารถเข้าถึงอุปกรณ์ได้และทำให้นักเจาะระบบสามารถเข้าไปควบคุมอุปกรณ์เราเตอร์ตามบ้านและทำการเปลี่ยนเส้นทางการเรียกข้อมูลโดยเปลี่ยนค่า DNS ในอุปกรณ์เราเตอร์ที่บ้านเรา ซึ่งส่งผลกระทบต่อผู้ใช้งานตามบ้าน (User) โดยตรง ปัญหานี้ถึงแม้ในปัจจุบันผู้ให้บริการได้มีการเขียนสคิปเพื่อเปลี่ยน DNS แก้กลับคืนได้ผ่านหลากหลายวิธีที่สามารถทำได้ผ่านผู้ให้บริการอินเทอร์เน็ต (ISP) แต่ถึงอย่างไรก็ไม่สามารถแก้ไขเครื่องเราเตอร์ที่มีช่องโหว่ได้ทั้งหมด โดยทั้งนี้ผู้เขียนจะขอรวบรวมสถิติที่ทางทีมงาน SRAN ได้สำรวจผ่านสคิปบอทที่จัดทำขึ้นเฉพาะเพื่อประเมินค่าทางสถิติบทวิเคราะห์รวมถึงวิธีการป้องกันต่อไปนี้ 
1.1 เครื่องมือในการสำรวจ
เป็นการพัฒนาโปรแกรมขึ้นมาเพื่อสำรวจข้อมูลโดยเฉพาะ และใช้การทำ Log Analysis เพื่อทำการวิเคราะห์ข้อมูลที่ได้จากสคิปบอท


 ภาพ หน้าจอระบบสำรวจ (Internet Census) เมื่อนำเข้าสู่ระบบ Log Analysis ทำการสำรวจข้อมูล ASN จำนวนกว่า 4 ล้านค่าไอพีตลอดระยะเวลา 2 เดือน

ภาพ หน้าจอบริหารจัดการสคิปบอทที่ทำการสำรวจข้อมูลความเสี่ยงของเราเตอร์เพื่อ บอกสถานะการทำงาน ตัวเลข Current Discovery คือค่าจำนวนไอพีที่เหลือจากการตั้งค่าให้บอทตรวจสอบซึ่งสามารถเพิ่มเครื่อ ข่ายให้ตรวจสอบเพิ่มเติมได้โดยใส่ค่า Prefix IP ที่มีอยู่ใน ASN


สคิปบอทที่จัดทำขึ้นเฉพาะนั้นทำการสำรวจผ่านเทคนิคตรวจสอบการ HTTP port 80 ลักษณะตรวจ Basic Authentication และ HTTP Header โดยมีลักษณะเหมือน Crawler เช่นเดียวกับ google และ shodanhq โดยเราตั้งชื่อระบบสำรวจนี้ว่า “SRAN Internet Exposed” โดยสำรวจ 2 ครั้งต่อ 1 ค่า ASN โดยมีการระบุค่า MAC Address ที่อุปกรณ์เราเตอร์เพื่อไม่เกิดการซ้ำของค่าข้อมูล
โดยทำการตรวจสอบข้อมูลลักษณะช่องโหว่ของอุปกรณ์เราเตอร์ (Router Fingerprint) ที่พบว่ามีช่องโหว่ได้แก่ ช่องโหว่ Exploit ตาม CVE ได้แก่ d-link,tp-link,zyxel และ Huawai , rom-0 และ default password  โดยผลลัพธ์คือ

1.2 ระยะเวลา 2 เดือน คือเดือน กุมภาพันธ์ – เมษายน 2557 ทำการสำรวจค่า IPv4 ทั้งหมดจาก ASN ทั้งหมด 7 ตัวที่คิดว่าอาจมีผลกระทบต่อผู้ใช้งานอินเทอร์เน็ตบ้าน

1.3 ผลลัพธ์จากการสำรวจจัดทำเฉพาะผู้ใช้งานอินเทอร์เน็ตตามบ้าน
ซึ่งมีทั้งค่า IPv4 ที่ใช้สำรวจทั้งหมดจำนวน 4,704,557

ค่าการสำรวจถึงวันที่ 13 เมษายน 2557 พบช่องโหว่ที่พบจำนวน  616,294
ซึ่งคิดเครื่องที่มีความเสี่ยง 13.09% 

โดยสำรวจจากค่า ASN ดังนี้

(1) AS9737 จากจำนวน IPv4 ทั้งหมดจำนวน 1,238,528  พบช่องโหว่ 427,405 เครื่อง ซึ่งพบว่าเป็น Default password จากผู้ให้บริการอินเทอร์เน็ต ถึง 241,372 เครื่อง 

(2) AS45758 จากจำนวน IPv4 ทั้งหมดจำนวน 1,059,328 พบช่องโหว่ 149,381 เครื่อง

(3) AS23969 จากจำนวน IPv4 ทั้งหมดจำนวน 71,680 พบช่องโหว่ 23,547 เครื่อง

(4) AS17552 จากจำนวน IPv4 ทั้งหมด 1,594,112 พบช่องโหว่ 14,545 เครื่อง

(5) AS131090 จากจำนวน IPv4 ทั้งหมดจำนวน 90,112 พบช่องโหว่ 1,391 เครื่อง

(6) AS45455 จากจำนวน IPv4 ทั้งหมดจำนวน 7,936 พบช่องโหว่ 14 เครื่อง

(7) AS7470 : จากจำนวน IPv4 ทั้งหมด 642,861 พบช่องโหว่ 11 เครื่อง

หมายเหตุ : จำนวน IPv4 ทั้งหมดไม่ได้หมายถึงว่าจะมีเครื่องตามนั้น แต่ที่พบช่องโหว่เป็นไปตามจำนวนเครื่องจริงเนื่องจากสคิปบอทที่ทำขึ้นตรวจค่า MAC Address เป็นหลัก


2. พิสูจน์หาความจริงเกี่ยวกับค่า DNS ที่ถูกเปลี่ยน และผลกระทบที่เกิดขึ้น
 
2.1 ค่า DNS : ผลการสำรวจพบว่าเราเตอร์ที่ถูกเข้าถึงข้อูลได้นั้นมีการถูกเปลี่ยนค่า DNS ดังนี้


ภาพค่า DNS ที่ถูกวิเคราะห์จากโปรแกรม Log Analysis ที่เขียนขึ้นเฉพาะโดยทีมงาน SRAN 10 อันดับที่มีการเปลี่ยนค่า

จากข้อมูลจะพบว่าเราเตอร์ที่ถูกเข้าถึงข้อมูลได้มีการตั้งค่า DNS ไอพี 203.113.7.130 , 110.164.252.222 , 203.113.5.130 , 110.164.252.223 เป็นค่า DNS ที่มาจากผู้ให้บริการซึ่งเป็นค่ามาตรฐาน ส่วนค่า 8.8.8.8 เป็นค่า DNS จาก google ที่เปิดบริการฟรี ซึ่งค่าไอพีเหล่านี้มีความเสี่ยงต่ำที่ถูกการเข้าควบคุมเส้นทางการจราจรทางข้อมูล แต่ที่มีความเสี่ยงคือ
อันดับ 1 DNS จากไอพี : 68.168.98.196   มีเครื่องในประเทศไทยที่ถูกเปลี่ยนค่าที่เราเตอร์นี้ถึง 92,553 เครื่อง
อันดับ 2 DNS จากไอพี : 198.153.194.1 มีเครื่องในประเทศไทยที่ถูกเปลี่ยนค่าที่เราเตอร์นี้ถึง 60,893 เครื่อง
อันดับ 3 DNS จากไอพี : 74.82.207.26  มีเครื่องในประเทศไทยที่ถูกเปลี่ยนค่าที่เราเตอร์นี้ถึง 47,944 เครื่อง
อันดับ 4 DNS จากไอพี :216.146.35.35 มีเครื่องในประเทศไทยที่ถูกเปลี่ยนค่าที่เราเตอร์นี้ถึง 28,648 เครื่อง
อันดับ 5 DNS จากไอพี : 50.63.128.147 มีเครื่องในประเทศไทยที่ถูกเปลี่ยนค่าถึง 11,852 เครื่อง
และอื่นๆ ได้แก่ ไอพี 69.85.88.11 จำนวน 1,741 เครื่อง และ 5.175.147.98  จำนวน 1,379 เครื่อง ที่ถูกเปลี่ยนค่า DNS ที่ตัวอุปกรณ์เราเตอร์

2.2 วิเคราะห์
DNS ที่มีโอกาสตกเป็นเหยื่อและความเสี่ยงในการใช้งานอินเทอร์เน็ต 3 อันดับแรก
2.2.1 ค่า DNS ที่ถูกเปลี่ยนเป็นไอพี 68.168.98.196 ถูกเปลี่ยนจำนวนทั้งหมด 92,553 เครื่อง
เมื่อทำการพิจารณาตามค่า ASN ได้ผลลัพธ์การถูกเปลี่ยนค่าดังนี้

ซึ่งจะพบว่า AS9737 ถูกเปลี่ยนค่ามากที่สุดพบถึง 87,613 เครื่อง รองลงมาคือ AS23969 จำนวน 4,133 และ AS17552 จำนวน 420 เครื่อง และ AS45758 พบ 191 เครื่อง และ AS131090 จำนวน 152 เครื่อง


ประวัติของไอพี 68.168.98.196 : พบว่าหากใช้การทำ passive DNS จะได้ค่าโดเมนคือ
ถูกพบเมื่อ วันที่ 18 ตุลาคม 2556 คือโดเมน jiopjieraee.info และ kolteranka.info
ซึ่งเคยมีประวัติเป็นโดเมนในการปล่อยไวรัสคอมพิวเตอร์
ทำการวิเคราะห์ค่า Hostname ภายใต้ไอพีแอดเดรสนี้ ผลลัพธ์ คือ

(1) jiopjieraee.info


(2) kolteranka.info



โดยทั้ง 2 Hostname นี้มีการเชื่อมโยงของเส้นทางข้อมูลเหมือนกัน

สรุปความเชื่อมโยงค่า Hostname ที่ต้องสงสัยกับการ
jiopjieraee.info และ kolteranka.info มีค่าไอพี  68.168.98.196 ตั้งอยู่ที่ Lenexa, United States
ใช้ Name Server ตัวที่ 1 ชื่อ ns1.regway.com มีค่าไอพี   176.74.216.129 ตั้งอยู่ที่ Czech Republi
ใช้ Name Server ตัวที่ 2 ชื่อ ns2.regway.com มีค่าไอพี   5.153.15.74 และ 159.253.133.210 ตั้งอยู่ที่ Netherlands

 ภาพแผนที่ประเทศที่เกี่ยวข้องทั้ง Hostname , IP Address และ Name server ที่เป็นเครื่องแม่ข่ายในการที่เปลี่ยนเส้นทางข้อมูล (ซึ่งประเทศเหล่านี้อาจไม่เกี่ยวกับการกระทำในครั้งนี้)


  (3) ประวัติไอพีและโดเมนข้อมูลจาก Virustotal ได้ข้อมูลดังนี้


 เคยพบว่ามีไฟล์ไวรัสจากโดเมนแนมภายใต้ไอพีนี้

File identification
MD5 1ff2fd35bd045844dd843648b6ca45c3
SHA1 30ea5fdce20438b83d9bb07bfff3a5372d306d68
SHA256 354c72689d66eef54d793961fade71eb5f39fa2a51206ce728ad1368e753dbe3
ssdeep
6144:C17zBIWl/4Fj5OpVP9L0/1zOMR0blqGp5F9:YmW2j8pVV0V2BqGzF9
File size 296.0 KB ( 303120 bytes )
File type Win32 EXE
Magic literal
PE32 executable for MS Windows (GUI) Intel 80386 32-bit



TrID Win32 Executable MS Visual C++ (generic) (67.3%)
Win32 Dynamic Link Library (generic) (14.2%)
Win32 Executable (generic) (9.7%)
Generic Win/DOS Executable (4.3%)
DOS Executable Generic (4.3%)
Tags
peexe
 VirusTotal metadata
First submission 2013-10-26 20:33:55 UTC ( 5 months, 2 weeks ago )
Last submission 2013-11-03 12:54:34 UTC ( 5 months, 1 week ago )

File names vt-upload-Jdaak
gausvdnlbhmasjdih4i5msdfvnasidbfsdf.exe
QEdit.dll
(4) ข้อมูลทางเทคนิค เมื่อทำการตรวจสอบจากเครื่องมือแสกนพอร์ตและตรวจลักษณะเครื่องแม่ข่าย (OS and Services Fingerprint) ได้ผลลัพธ์ดังนี้

Scanning 68-168-98-196.dedicated.codero.net (68.168.98.196)
ไอพีดังกล่าวตั้งอยู่ประเทศสหรัฐอเมริกา ภายใต้ AS10316 CODERO-AS – Codero,US เป็น Dedicate Server ซึ่งใครก็สามารถเช่าเครื่องแม่ข่ายนี้ได้

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 5.3 (protocol 2.0)
|_banner: SSH-2.0-OpenSSH_5.3
| ssh-hostkey: 1024 32:35:a6:b2:2d:61:47:71:f2:b5:3b:5a:6e:58:e0:05 (DSA)
|_2048 d6:8e:d0:93:1b:f8:12:54:cb:4b:58:2d:ed:8f:cf:86 (RSA)
53/tcp open  domain
Device type: general purpose
Running: Linux 2.6.X|3.X
OS CPE: cpe:/o:linux:linux_kernel:2.6 cpe:/o:linux:linux_kernel:3
OS details: Linux 2.6.32 - 3.9
Uptime guess: 8.881 days (since Sat Apr  5 19:12:49 2014)


2.2.2 ค่า DNS ที่ถูกเปลี่ยนเป็นไอพี 198.153.194.1 มีเครื่องในประเทศไทยที่ถูกเปลี่ยนค่าที่เราเตอร์นี้ถึง 60,893 เครื่อง
เมื่อตรวจสอบพบว่าเป็นบริการฟรี DNS ของ ULTRADNS – NeuStar, Inc.,US ซึ่ง Symantec Corporation มาใช้
เมื่อทำการพิจารณาตามค่า ASN ได้ผลลัพธ์การถูกเปลี่ยนค่าดังนี้
ซึ่งจากข้อมูลจะพบว่า AS9737 ถูกเปลี่ยนค่ามากที่สุดพบถึง 53,918 เครื่อง รองลงมา AS45758 พบ 3,553 เครื่องคือ AS23969 จำนวน 3,239 และ AS17552 จำนวน 107 เครื่อง และ AS131090 จำนวน 54 เครื่อง
 
เมื่อตรวจประวัติการแพร่เชื้อไฟล์ไวรัสที่เคยเกิดจากไอพีนี้ จาก Virustotal
จากไอพี  198.153.194.1 พบว่ามีรายการติดเชื้ออยู่จำนวนมาก ดังนี้

Latest files submitted to VirusTotal that are detected by one or more antivirus solutions and communicate with the IP address provided when executed in a sandboxed environment.

ซึ่งส่วนนี้คงต้องวิเคราะห์กันอีกทีว่าทำไมทาง Symantec จึงมีการเปลี่ยนค่า DNS เราเตอร์ในประเทศไทยด้วย อาจเป็นเพื่อการทดลอง วิจัย (Honeypot) หรือเป็นการป้องกันภัยให้กับผู้ใช้งานอินเทอร์เน็ตก็เป็นไปได้ 

2.2.3 ค่า DNS ที่ถูกเปลี่ยนเป็นไอพี 74.82.207.26  มีเครื่องในประเทศไทยที่ถูกเปลี่ยนค่าที่เราเตอร์นี้ถึง 47,944 เครื่อง

เมื่อทำการพิจารณาตามค่า ASN ได้ผลลัพธ์การถูกเปลี่ยนค่าดังนี้

ซึ่งจากข้อมูลพบว่า AS9737 ถูกเปลี่ยนค่ามากที่สุดพบถึง 42,268 เครื่อง รองลงมาคือ AS23969  จำนวน 2,441 และ AS45758 พบ 2,434 เครื่อง และ AS17552 จำนวน 700 เครื่อง และ AS131090 จำนวน 66 เครื่อง

ตรวจดูค่า whois ได้ผลลัพธ์คือ

Host script results:
| asn-query: 
| BGP: 74.82.192.0/19 | Country: CA
|   Origin AS: 53612 - CARAT-NETWORKS - Carat Networks Inc,CA
|_    Peer AS: 174 13768
| whois: Record found at whois.arin.net
| netrange: 74.82.192.0 - 74.82.223.255
| netname: CLEARANCE-RACK
| orgname: Carat Networks Inc
| orgid: CLEAR-73
| country: CA stateprov: ON
| 
| orgtechname: Fromm, James
|_orgtechemail: fromm@caratnetworks.com
|_whois-domain: You should provide a domain name.
 
เคยมีประวัติติดแพร่เชื้อไวรัส พบเมื่อวันที่ 30 มีนาคม 2557  
รายละเอียดที่  https://www.virustotal.com/en/ip-address/74.82.207.26/information/

 2.3 แล้วผู้ใช้งานจะกระทบอะไรหากมีการเปลี่ยนค่า DNS ไปเป็นไอพีนี้
ผลกระทบคือบางเว็บไซต์อาจถูกเปลี่ยนเส้นทางเป็น Phishing site โดยเฉพาะเว็บที่มีข้อมูลส่วนบุคคล , เกี่ยวกับการทำธุรกรรมทางอินเทอร์เน็ต

โดยเฉพาะจะทำการให้มีการหลอกให้ดาวโหลดโปรแกรม Adobe Flash Player Update ซึ่งในโปรแกรมที่ทำการถูกบังคับให้ดาวโหลดนี้จะมีการฝั่ง Spyware ทั้งทีทำการเก็บข้อมูล Password รวมไปถึง Key logger ซึ่งอาจเกิดขึ้นได้


ตัวอย่างโปรแกรม Adobe Flash Player ปลอมที่ติดมัลแวร์ฝั่งในเครื่องคอมพิวเตอร์
ซึ่งไอพีที่สรุปมาให้นั้นล้วนแต่อันตรายและส่งผลให้เครื่องคอมพิวเตอร์ที่อยู่ภายใต้เราเตอร์ที่มีช่องโหว่นี้จำนวนกว่าแสนเครื่องเราเตอร์



3. วิธีการป้องกัน (Protection)
3.1 การป้องกันที่บ้านของเราเอง
3.1.1 ทำการทดสอบช่องโหว่เราเตอร์ด้วยตนเอง
เพื่ออำนวยความสะดวกสำหรับผู้ใช้งานตามบ้านทางทีมงาน SRAN ได้จัดทำระบบตรวจสอบช่องโหว่เบื้องต้นที่  http://sran.net/check  

 ภาพตัวอย่างการเข้าถึงหน้าเพจ http://sran.net/check เพื่อตรวจหาช่องโหว่ที่อาจเกิดขึ้นที่เราเตอร์ที่บ้านโดยในค่าจะบอกถึง IP Address คือไอพีที่ได้รับจากผู้ให้บริการที่เป็น Public IP ค่า Hostname ค่า ASN ของผู้ให้บริการ ชื่อ ISP ประเทศ และค่า Header ของ HTTP 
เมื่อคลิกตรวจสอบผลลัพธ์มี 2 ค่าคือเราเตอร์ไม่มีความเสี่ยง และ มีความเสี่ยง



หากพบว่ามีความเสี่ยงจะขึ้นข้อความเตือนเพื่อทำการแก้ไขให้ปลอดภัยขึ้น

3.1.2 ทำการอัพเดทค่า Firmware ของ Router (หากอัพเดทได้และไม่กระทบ)
3.1.3 หากไม่สามารถทำได้ตามข้อ 3.2 ให้ทำการปิดการติดต่อข้อมูลผ่าน HTTP 80 หรือพอร์ตอื่นๆ ไม่ให้พบค่า IP Publice หรือ IP WANซึ่งเราเตอร์บางรุ่นสามารถ config ค่าได้ผ่านเมนูการป้องกันภัย (Security) แต่วิธีนี้จะทำให้เราไม่สามารถ config router ได้ผ่านอินเทอร์เน็ต
อ่านวิธีป้องกันเพิ่มเติมได้ที่ https://www.thaicert.or.th/alerts/user/2014/al2014us001.html
3.2 การป้องกันที่ฝั่งผู้ให้บริการอินเทอร์เน็ต 
3.2.1 ไม่ปล่อยให้เกิดค่า Default  ทั้งรหัสผ่าน และ ค่าปรับปรุงระบบเราเตอร์  หรือควรแนะนำลูกค้าหลังจากติดตั้งอุปกรณ์เราเตอร์ให้มีการเปลี่ยนรหัสผ่านไม่ให้ตรงตามโรงงานหรือค่าเริ่มต้นของผู้ให้บริการอินเทอร์เน็ตให้มา
3.2.2 Firmware ที่มีช่องโหว่ ควรมีการเรียกคืนหรือเปลี่ยนเครื่องเราเตอร์เพื่อป้องกันไม่ให้ผู้ใช้งานตามบ้านที่อาจไม่เข้าใจตกเป็นเหยื่อทางอาชญากรรมทางไซเบอร์
3.2.3 หากไม่สามารถทำได้ตามข้อ 3.2.2 ควรจัดหาสคิปหรือบอทที่สามารถสำรวจข้อมูล (Internet Census) เพื่อเปลี่ยนค่า DNS กลับสู่ค่าปกติที่ได้จากผู้ให้บริการอินเทอร์เน็ต เพราะเป็นช่องทางหนึ่งที่จะทำให้ผู้ใช้งานตามบ้านไม่ตกเป็นเหยื่อของเครือข่ายอาชญากรรมทางไซเบอร์



14/04/57
Nontawattana Saraman
SRAN Dev Team

ข้อมูลและเขียนโดย นนทวรรธนะ  สาระมาน  ทีมพัฒนา SRAN
ขอสงวนสิทธิข้อมูลในบทความนี้หากต้องการนำเผยแพร่ควรอ้างอิงแหล่งที่มา
แหล่งข้อมูลอ้างอิง
https://www.robtex.com/
https://www.virustotal.com/
http://he.net

รัฐบาล 21 ประเทศ รวมถึงไทย ใช้สปายแวร์เพื่อจารกรรมข้อมูล

มีประเทศต่าง ๆ มากมายถึง 21 ประเทศที่ได้ใช้สปายแวร์ที่อ้างว่าไม่สามารถสืบหาร่องรอยถึงต้นตอได้ ที่ชื่อว่า “Remote Control System” (RCS)  ที่จัดจำหน่ายโดยบริษัท Hacking Team ที่ตั้งอยู่ที่เมืองมิลาน ประเทศอิตาลี 

นักวิจัยจากซิติเซ่นแล็บ (Citizen Lab) ซึ่งเป็นห้องปฏิบัติการของมหาวิทยาลัยโทรอนโต (University of Toronto) ในแคนาดา ได้ค้นหาความจริงเกี่ยวกับสปายแวร์นี้เป็นเวลาหลายเดือน ก่อนที่จะได้พบความจริงเกี่ยวกับสปายแวร์ตัวนี้ จนถึงขั้นบอกตำแหน่งที่ตั้งได้ 

รายละเอียดการค้นพบอยู่ในรายงานที่เกี่ยวข้องฉบับที่สอง กลุ่มนักวิจัยได้เปิดเผยว่าได้มีการทำการตลาด และขายสปายแวร์ตัวนี้ให้กับหน่วยงานระดับรัฐบาลเท่านั้น โดยบริษัท Hacking Team ที่ตั้งอยู่ที่เมืองมิลาน มากกว่าสองปีแล้ว และสปายแวร์นี้ได้ถูกใช้เพื่อล้วงความลับจาก Mamfakinch สื่อมวลชนโมร็อคโกที่ได้รับรางวัล และนักเคลื่อนไหวทางการเมืองชาวอาหรับเอมิเรตส์ Amed Mansoor และเมื่อเร็ว ๆ นี้ กลุ่มนักข่าวชาวเอธิโอเปียตกเป็นเป้าหมายล่าสุด โดยสปายแวร์นี้ได้ทำการตลาดว่าไม่สามารถสืบหาร่องรอยกลับไปยังผู้ควบคุมที่เป็นหน่วยงานของรัฐบาลได้ 

Hacking Group โฆษณา RCS7 ว่าเป็นชุดซอฟท์แวร์การเจาะระบบสำหรับรัฐบาล เพื่อการดักข้อมูล (hacking suite for governmental interception) ส่วนเวอร์ชั่นถัดมาเรียกว่า “ชุดของการฝังตัว เพื่อการเฝ้าดูจากระยะไกล” (suite of remote monitoring implants) ซึ่งขายให้กับหน่วยงานของรัฐบาลประเทศต่าง ๆ ซอฟท์แวร์ทั้งสองตัวนี้สามารถดักจับข้อมูลที่อยู่ในอุปกรณ์ต่าง ๆ สำเนาข้อมูลที่อยู่ในฮาร์ดดิสก์ บันทึกการโทรศัพท์ผ่านสไกป์ (Skype) และข้อความที่ส่งผ่านโปรแกรม instant messaging ไปจนถึงการบันทึกรหัสผ่านในเว็บบราวเซอร์ และเปิดการใช้งานเว็บแคมและไมโครโฟน โดยผู้ใช้ไม่จำเป็นต้องเชื่อมต่อกับอินเทอร์เน็ตแต่อย่างใด 

 RCS ควบคุมคอมพิวเตอร์ของเหยื่อโดยอาศัยการโจมตีช่องโหว่ในซอฟท์แวร์ นักวิจัยได้อ้างว่ามีผู้จัดหาข้อมูลเกี่ยวกับช่องโหว่ (exploit)ในเชิงพาณิชย์ ได้แก่ Vupen จากฝรั่งเศษ อาจให้ข้อมูลเกี่ยวรายละเอียดของช่องโหว่ที่ใช้โจมตีกับ Hacking Team ตั้งแต่ปีค.ศ. 2012 และหลบหลีกการการตรวจจับโดยการส่งข้อมูลผ่านทาง proxy server ที่ต่างกันสี่แห่งทั่วโลก ทั้งที่ใช้วิธีการเหล่านี้ นักวิจัยกล่าวว่าพวกเขาสามารถตามรอยสปายแวร์นี้ได้ 

“การวิจัยของเราเปิดเผยว่า โครงสร้างพื้นฐานของการรวบรวมข้อมูลของ RCS ใช้เทคนิคที่เรียกว่า proxy-chaining คล้าย ๆ กับวิธีการที่ใช้เพื่อซ่อนตัวตนในอินเทอร์เน็ต อย่างการใช้ Tor โดยใช้เส้นทางหลายจุด เพื่อปกปิดปลายทางของข้อมูลข่าวสาร” นอกจากนี้ยังบอกอีกด้วยว่า “ทั้งที่มีการใช้เทคนิคนี้ เรายังสามารถ บอกตำแหน่งของห่วงโซ่ และปลายทาง (endpoint) เหล่านี้ได้ โดยใช้การวิเคราะห์แบบพิเศษ” ซิติเซ่นแล็บพบว่ามีรัฐบาล 21 แห่งที่ใช้หรือเคยใช้ RCS ได้แก่ อาเซอร์ไบจาน โคลอมเบีย อียิปต์ เอธิโอเปีย ฮังการี อิตาลี คาซัคสถาน เกาหลี มาเลเซีย เม็กซิโก โมร็อกโก ไนจีเรีย โอมาน ปานามา โปแลนด์ ซาอุดีอาระเบีย ซูดาน ไทย ตุรกี สหรัฐอาหรับเอมิเรตส์ และ อุซเบกิสถาน 

ภาพแสดงประเทศลูกค้าของสปายแวร์ RCS 



นักวิจัยได้ชี้ว่าในประเทศที่กล่าวข้างต้นนี้ มีเก้าประเทศที่มีดัชนีชี้วัดประชาธิปไตย (จัดขึ้นโดยนิตยสารดิ อีโคโนมิสต์ ปีค.ศ.2012) ในอันดับต่ำสุด นอกจากนี้ประเทศอียิปต์และตุรกียังมีปัญหาการประท้วงในประเทศอีกด้วย หลังจากมีรายงานที่ซิติเซ่นแล็บเผยแพร่ออกมา 


บริษัท Hacking Team ได้แถลงว่าซอฟท์แวร์ของตนมีจุดประสงค์เพื่อต่อสู้กับอาชญากรรมและการก่อการร้ายเท่านั้น และจะไม่ขายให้กับประเทศที่ถูกจำกัดสิทธิ์หรือขึ้นบัญชีดำโดย สหภาพยุโรป อเมริกา และนาโต้ อย่างไรก็ตามซิติเซ่นแล็บได้โต้แย้งในประเด็นนี้ และยกตัวอย่างมาประกอบ โดยกล่าวถึงกิจกรรมจากปลายทางของ RCS ในอาเซอร์ไบจาน ในระหว่างเดือนมิถุนายนและพฤศจิกายนปีที่แล้ว และชี้แนะว่าเทคนิคคล้าย ๆ กันนี้อาจใช้เพื่อจารกรรมข้อมูลจากนักข่าวสืบสวน Khadija Ismayilova ก่อนการเลือกตั้งระดับชาติ นอกจากนี้ องค์การเพื่อสิทธิมนุษยชน ฮิวแมนไรท์วอทช์ได้รายงานว่า การวิจารณ์รัฐบาลคาซัคสถานได้จางหายไป ในขณะที่ปลายทางของ RCS ได้ทำงานอยู่ในประเทศ ส่วนกิจกรรมของ RCS ในอิตาลีที่เป็นต้นกำเนิดของ RCS พบว่ามีความเข้มข้นมาก นักวิจัยจากซิติเซ่นแล็บได้กล่าวสรุปการค้นพบว่า การบุกรุกระบบโดยใช้สปายแวร์ส่วนใหญ่เหล่านี้อาจได้รับการรับรองทางกฏหมาย และสังเกตเห็นถึงการร่วมมือกันระหว่างบริษัทที่ขายโปรแกรมโจมตีช่องโหว่ซอฟท์แวร์ (exploit kit) และบริษัทที่ขายโทรจันที่ขโมยข้อมูลผู้ใช้ และกล่าวเพิ่มเติมว่าการบุกรุกในลักษณะนี้ “ไม่เหมาะสม” และ “ไม่รับผิดชอบ” อย่างยิ่ง 


รายการของปลายทาง RCS ในประเทศต่าง ๆ 

Endpoint IP    ประเทศ    พบครั้งแรก    พบครั้งสุดท้าย     
109.235.193.83    อาเซอร์ไบจาน    6/2/2013    11/26/2013     
190.242.96.49    โคลอมเบีย    10/21/2013    1/7/2014     
41.33.151.150    อียิปต์    3/10/2013    10/29/2013     
216.118.232.xxx    เอธิโอเปีย    11/18/2013    2/3/2014     
81.183.229.xxx    ฮังการี    6/16/2012    ยังทำงานอยู่     
2.228.65.226    อีตาลี    10/26/2012    ยังทำงานอยู่     
82.104.200.51    อีตาลี    9/17/2012    12/2/2013     
88.33.54.xxx    อีตาลี    6/4/2012    ยังทำงานอยู่     
95.228.202.xxx    อีตาลี    9/18/2012    ยังทำงานอยู่     
95.228.202.xxx    อีตาลี    9/17/2012    ยังทำงานอยู่     
95.228.202.xxx    อีตาลี    9/18/2012    ยังทำงานอยู่     
95.228.202.xxx    อีตาลี    9/18/2012    ยังทำงานอยู่     
95.228.202.xxx    อีตาลี    9/17/2012    ยังทำงานอยู่     
95.228.202.xxx    อีตาลี    9/15/2012    ยังทำงานอยู่     
89.218.88.xxx    คาซัคสถาน    8/21/2013    ยังทำงานอยู่     
211.51.14.129    เกาหลี    8/26/2012    1/7/2014     
203.217.178.xxx    มาเลเซีย    5/28/2012    ยังทำงานอยู่     
189.177.47.xxx    เม็กซิโก    1/30/2014    ยังทำงานอยู่     
189.177.65.13    เม็กซิโก    11/13/2013    12/10/2013     
189.177.74.147    เม็กซิโก    11/1/2013    11/1/2013     
201.157.43.60    เม็กซิโก    10/13/2013    1/7/2014     
200.67.230.2    เม็กซิโก    5/25/2012    ยังทำงานอยู่     
41.248.248.xxx    เม็กซิโก    6/3/2012    ยังทำงานอยู่     
41.248.248.xxx    เม็กซิโก    7/25/2012    ยังทำงานอยู่     
41.248.248.xxx    เม็กซิโก    6/12/2012    ยังทำงานอยู่     
41.248.248.xxx    เม็กซิโก    5/27/2012    ยังทำงานอยู่     
81.192.5.xxx    เม็กซิโก    7/25/2012    ยังทำงานอยู่     
62.251.188.xxx    เม็กซิโก    5/31/2012    ยังทำงานอยู่     
197.210.255.178    ไนจีเรีย    9/15/2013    10/21/2013     
95.49.xxx.xxx53    โปแลนด์    8/10/2012    ยังทำงานอยู่     
37.242.13.10    ซาอุดิอาระเบีย    1/7/2014    1/7/2014     
62.149.88.20    ซาอุดิอาระเบีย    6/5/2012    7/2/2013     
41.78.109.91    ซูดาน    12/14/2012    1/12/2014     
203.149.47.xxx    ไทย    10/4/2013    ยังทำงานอยู่     
95.9.71.180    ตุรกี    11/13/2013    11/19/2013     
81.95.226.134    อุซเบกิสถาน    8/7/2013    9/2/2013     
81.95.224.10    อุซเบกิสถาน    1/22/2013    1/26/2013     
217.29.123.184    อุซเบกิสถาน    7/21/2013    9/16/2013    


SRAN Dev Team
02/2557

อ่านรายละเอียดเพิ่มเติมได้จาก 

https://citizenlab.org/2014/02/mapping-hacking-teams-untraceable-spyware/ 
https://citizenlab.org/2014/02/hacking-team-targeting-ethiopian-journalists/ ข้อมูลอ้างอิงจาก http://www.scmagazineuk.com/21-governments-have-used-untraceable-spyware/article/334346/ http://www.spiegel.de/netzwelt/web/software-von-hacking-team-dient-der-hatz-auf-dissidenten-a-954027.html

การป้องกัน DDoS/DoS สำหรับเว็บไซต์สาธารณะ

การป้องกัน DDoS/DoS สำหรับเว็บไซต์
เรื่อง DDoS/DoS เป็นเรื่องป้องกันยากแต่เราสามารถลดความเสี่ยงได้ ซึ่งทางทีมงานเราได้คิดค้นเทคนิคเรียกว่า
SRAN i[n] Block เป็นบริการหนึ่งของบริษัทโกลบอลเทคโนโลยี อินทรีเกรดเทค (www.gbtech.co.th) จัดทำขึ้นมาเพื่อวัถตุประสงค์ป้องกันเว็บไซต์ในประเทศไทยให้ปลอดภัยจากภัยคุกคามทางไซเบอร์ อีกทั้งเสริมประสิทธิภาพให้เว็บไซต์ที่ใช้บริการมีการเข้าถึงข้อมูลได้อย่างรวดเร็ว ด้วยนิยามที่ว่า “Fast and Secure” โดยการให้บริการผ่านระบบคลาวด์คอมพิวติ้ง (Cloud Computing) โดยผู้ใช้งานไม่ต้องลงทุนด้านฮาร์ดแวร์และซอฟต์แวร์ และใช้งานได้ทุกระบบปฏิบัติการ ไม่ต้องเปลี่ยนค่าโค้ดของเว็บไซต์ เพียงแค่ปรับเปลี่ยนค่าดีเอ็นเอส (DNS) ในเครื่องเว็บเซิร์ฟเวอร์ ใช้เวลาไม่เกิน 10 นาที เว็บไซต์ของหน่วยงานท่านก็จะมีความมั่นคงปลอดภัยทางข้อมูลมากขึ้น หลีกเลี่ยงภัยคุกคามที่เข้าถึงเว็บไซต์ได้อย่างมีประสิทธิภาพ ประหยัดงบประมาณในการลงทุนป้องกันภัยเป็นลักษณะ Cloud Computer
ส่วนติดตั้งที่ Site งานเราจะใช้ร่วมกับอุปกรณ์ Net Optics รุ่น iBypass รวมเรียกบริการว่า

ด้วยเทคโนโลยีเครือข่ายอัจฉริยะที่ทางทีมงาน SRAN ได้พัฒนาขึ้นจะทำให้เว็บไซต์ที่ใช้บริการ iBlock สามารถหยุดยั้งภัยคุกคามที่เกิดขึ้นจากการโจมตีผ่านช่องทางเว็บแอฟลิเคชั่น (Web Application hacking) ไม่ว่าเป็นการโจมตีที่พยายามเข้าถึงระบบฐานข้อมูล , การโจมตี DDoS/DoS และอื่นๆ รวมมากกว่า 1,000 รูปแบบการโจมตี รวมถึงมีการให้บริการเสริมเพื่อทำการปิดกั้นการเข้าถึงข้อมูลด้วยชุดไอพีแอดเดรสแบบอำพรางตนเอง (Tor Network)  ซึ่งทำให้เว็บไซต์ของหน่วยงานมีความปลอดภัยจากนักโจมตีระบบมากขึ้น 

ภาพแสดงขั้นตอนการทำงานของ IN Block Services

ขั้นตอนที่ 1 ก่อนใช้บริการ SRAN IN Block เว็บไซต์ทั่วไปได้ถูกออกแบบมาให้มีการติดต่อสื่อสารแบบ Client – Server กล่าวคือมีการติดต่อผ่านอินเทอร์เน็ตแล้วเข้าเยี่ยมชมเนื้อหาบนเว็บไซต์ได้โดยตรง  เมื่อมีการจดทะเบียนชื่อโดเมนแนม และค่าไอพีแอดเดรสที่ได้จากผู้ให้บริการอินเทอร์เน็ต (ISP : Internet Services Provider) ซึ่งเป็นการติดต่อสื่อสารเว็บไซต์ทั่วไปโดยผู้ใช้งานจะสามารถเรียกข้อมูลได้โดยตรงโดยที่ไม่สามารถแยกแยะได้ว่าผู้ใช้งานดังกล่าวติดเชื้อหรือมีลักษณะถึงการโจมตีเว็บไซต์ เจาะระบบข้อมูล ซึ่งจะเห็นได้ว่าวิธีนี้ไม่ได้ช่วยในการป้องกันภัยที่อาจเกิดขึ้น ต่อมาได้มีการคิดค้นวิธีการป้องกันโดยนำเอาอุปกรณ์ป้องกันหรือเรียกว่า Web Application Firewall ที่เป็นฮาร์ดแวร์ Appliance มาติดตั้งอยู่หน้าเว็บไซต์ซึ่งกรณีนี้จะทำให้ผู้ใช้งานต้องลงทุนในการติดตั้งและซื้ออุปกรณ์มาป้องกันภัยด้วยงบประมาณสูง เป็นเหตุผลให้เกิดบริการ SRAN IN Block ขึ้นมาเพื่อให้เว็บไซต์มีความปลอดภัยและเข้าถึงข้อมูลรวดเร็ว อีกทั้งประหยัดงบประมาณไม่ต้องลงทุนซื้อฮาร์ดแวร์และซอฟต์แวร์

ขั้นตอนที่ 2 เมื่อใช้บริการ SRAN IN Block ผู้ให้บริการเว็บไซต์ต้องทำการเปลี่ยนค่า DNS ในเครื่องเว็บเซิร์ฟเวอร์ เพื่อชี้ค่าไปที่ SRAN IN Block Center ซึ่งจัดทำบนระบบคลาวด์คอมพิวติ้ง (Cloud Computing) เมื่อมีการอัพเดทค่า DNS ใหม่ ผู้ใช้งานทั่วไปเมื่อเปิดหน้าเว็บเพจที่ใช้บริการ SRAN IN Block ก็จะเข้าถึงข้อมูลได้อย่างปกติ แต่เพิ่มการป้องกันภัยและมีความรวดเร็วขึ้น “Fast and Secure”

ขั้นตอนที่ 3 ด้วยคุณสมบัติในการป้องกันการโจมตีระบบ (Web Application Firewall) , การอำพรางค่าไอพีแอดเดรสเพื่อวัตถุประสงค์โจมตีเว็บไซต์ ก็จะไม่สามารถทำได้โดยสะดวก ด้วยเทคโนโลยี SRAN IN Block จะทำให้ลดความเสี่ยงที่จะเกิดขึ้นต่อเว็บไซต์หน่วยงานของท่านได้ และมีการจัดเก็บค่า Log File เพื่อให้สอดคล้องกับกับกฎหมายในประเทศไทยตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์อีกด้วย

I[N] block จะทำให้เว็บไซต์และโดเมนของคุณปลอดภัยขึ้นด้วยคุณสมบัติดังต่อไปนี้

  1. ระบบรักษาความมั่นคงปลอดภัยทางข้อมูล (Web Application Security) โดยมีรูปแบบการป้องกันตามมาตรฐาน OWASP และรูปแบบการโจมตีมากกว่า 1,000 รายการ ซึ่งมีการโจมตีหลักๆ ที่เป็นภัยอันตรายต่อเว็บไซต์ดังนี้
  • การป้องกันการโจมตีลักษณะ XSS (Cross site scripting)
  • การป้องกันการโจมตีลักษณะ
  • การป้องกันการโจมตีลักษณะ RFI (Remote Files Inclusion) และการยิงโค้ด Exploit ที่มีผลกระทบต่อระบบ
  • การป้องกันการใส่ค่า character in request ที่ส่งผลกระทบต่อระบบเว็บไซต์
  • การป้องกันการพยายามเข้าถึงระบบโดยการสุ่มเดารหัสผ่าน (Brute Force Password)
  • การป้องกันการโจมตีชนิด DDoS/DoS
  • การป้องกันจากการใช้เครื่องมือตรวจสอบช่องโหว่(Security Scanner)
  • การป้องกันสแปมและบอทเน็ตในการเข้ามาสร้างความเสียหายแก่เว็บไซต์
  • มีความสามารถตรวจจับ bot/crawler ที่เข้ามาสอดแนมข้อมูลในเว็บไซต์และแยกประเภทของบอทได้ว่ามีที่มาจากที่ไหน
  1. ระบบป้องกันไอพีแอดเดรสที่ใช้ในการอำพรางตัวตน

เป็นฟังชั่นหนึ่งที่ช่วยลดความเสี่ยงจากนักโจมตีระบบที่มักจะต้องอำพรางค่าไอพีแอดเดรสของตนเองเพื่อทำการเจาะระบบ ทาง SRAN iBlock จึงจัดทำระบบ “IP Reputation” เพื่อทำการคัดกรองค่าไอพีแอดเดรสที่เคยมีประวัติการโจมตี ไม่ว่าเป็น ดังนี้

  • ไอพีที่เข้าบัญชีดำ ที่ติดในฐานข้อมูลกับหน่วยงานกลางที่เฝ้าระวังการโจมตี
  • ไอพีจากการใช้โปรแกรมทอร์เน็ตเวิร์ค (Tor network)
  • ไอพีที่เปิดมาใช้ค่าพร็อกซี่เซิร์ฟเวอร์ที่เปิดใช้แบบสาธารณะ จะมีการอัพเดทข้อมูลทุกวัน (Daily update)
  1. ระบบ CDN (Content Delivery Network)

มีการวางระบบ เครือข่ายอัจฉริยะ จะติดตั้งระบบ ทำการเก็บค่าเรียกใช้งานหากมีการเรียกซ้ำก็สามารถเข้าถึงข้อมูลได้ทันที อีกทั้งยังตั้งระบบ SRAN iBlock อยู่ในประเทศที่สำคัญตามจุดต่างๆ ที่มีผู้ใช้บริการทั่วโลก ได้แก่ประเทศญี่ปุ่น ประเทศอังกฤษ ประเทศสหรัฐอเมริกา ประเทศสิงค์โปรและประเทศไทย เพื่อเพิ่มความเร็วในการเรียกดูเนื้อหาเว็บไซต์ในจุดที่ใกล้ที่สุด ของผู้ใช้งานเยี่ยมเข้าชมเว็บไซต์

  1. ระบบจัดเก็บบันทึกข้อมูลจราจร (Log Files)

มีการจัดเก็บ บันทึกข้อมูลจราจรหรือ ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์พร้อมทั้งสามารถสืบค้นหาข้อมูลลักษณะพฤติกรรมค่าไอพีแอดเดรส เพื่อใช้ในการหาผู้กระทำความผิดได้อย่างสะดวกและรวดเร็ว
โดยข้อมูลใน Log file สามารถบอกค่าได้ทั้ง 5W คือ Who , What , Where , When , Why ประกอบด้วย

  • วันเวลา(When)
  • ค่าไอพีแอดเดรส (Who)
  • สถานที่ ได้แก่ ชื่อผู้ให้บริการ ชื่อสถานที่ของค่าไอพีแอดเดรส ผ่านเทคนิค และการระบุพิกัดตำแหน่งผ่านแผนที่ภูมิสารสนเทศ (Where)
  • ค่าการเรียกค่าในเว็บไซต์ GET / POST และลักษณะการโจมตีเว็บไซต์ (What)
  • ลักษณะการโจมตีเว็บไซต์เมื่อเทียบฐานข้อมูลช่องโหว่ และภัยคุกคามที่จะเกิดขึ้นต่อเว็บไซต์ที่ใช้บริการ(Why)


    ตัวอย่างการบริการ

    1. ตัวอย่างการแสดงค่า Log file ของเว็บ www.gbtech.co.th ที่ใช้บริการ SRAN In Block
       


       ภาพตัวอย่างการแสดงค่า Log file การเข้าถึงข้อมูลเว็บไซต์ทั้งการเข้าถึงข้อมูลที่ปกติไม่มีการโจมตีและการพบการโจมตี ซึ่งค่าที่แสดงใน Log สามารถระบุได้ 5W

      Who
      What
      IPAddress
      ค่าGET/POST ที่ URL path
      Where
      สถานที่ชื่อ ISP, ชื่อหน่วยงาน ชื่อเมืองและชื่อประเทศ
      When
      เวลา
      Why
      ลักษณะการโจมตีเว็บไซต์เมื่อเทียบฐานข้อมูลช่องโหว่และภัยคุกคามที่จะเกิดขึ้นต่อเว็บไซต์ที่ใช้บริการ
    2. ตัวอย่างการปิดกั้นการเข้าถึงเว็บไซต์จากการโจมตี ด้วยการโจมตี SQL injection
      ตัวอย่างนี้เป็นข้อมูลจริงที่เกิดขึ้นกับเว็บไซต์ที่ใช้บริการ SRAN IN Block ได้แก่เว็บไซต์ www.gbtech.co.th เมื่อมีการเรียกข้อมูลที่มีลักษณะเป็นการโจมตีระบบ จากตัวอย่างในภาพจะเห็นว่านักโจมตีระบบใช้เทคนิคที่นิยมโจมตีเว็บไซต์หน่วยงานราชการในประเทศไทยคือการโจมตีแบบ “SQL injection” เมื่อนักโจมตีระบบใช้ชุดคำสั่งป้อนเข้าใส่ช่อง URL ในบราวเซอร์ ดังนี้ http://www.gbtech.co.th/site/html/search.php?lang=1-15UnION/**/SElecT%201,2,3,4… เมื่อคำสั่งเข้าสู่เว็บไซต์ที่ใช้บริการ SRAN IN Block จะปรากฏข้อความแจ้งเตือนไปยังนักโจมตีระบบ โดยมีข้อความที่หน้าจอ โดยมีทั้งภาษาไทยและอังกฤษว่า ภาษาอังกฤษ “You are not authorized to access this page. The system detected a possible attempt to compromise security.” ภาษาไทย “ขออภัยที่ไม่สามารถให้คุณเข้าเยี่ยมชมเว็บไซต์ได้ เพราะการเรียกข้อมูลของคุณอาจส่งผลต่อความปลอดภัยเว็บไซต์และมีความเสี่ยงต่อการกระทำความผิดตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์”


       ภาพแสดงหน้าจอเมื่อมีการโจมตีเว็บไซต์ผู้ใช้บริการจะมีการปิดกั้นและขึ้นข้อความเตือน เมื่อมีการโจมตีที่ตรงตามเงื่อนไขก็จะพบว่า นักโจมตีระบบจะไม่สามารถเข้าถึงหน้าเพจและข้อมูลในเว็บไซต์ในลักษณะการเรียกข้อมูลนี้ได้ และในหน้าบริการจัดการ SRAN IN Block ก็จะพบ Log file ที่เห็นที่มาของการโจมตีดังนี้

       ภาพ Log file ที่พบการโจมตีระบบซึ่งจะสามารถระบุวันเวลา ค่าไอพีแอดเดรสนักโจมตีระบบ ระบบปฏิบัติการของนักโจมตีระบบ และ ชนิดบราวเซอร์ที่ใช้ในการโจมตีระบบและสามารถใช้เป็นหลักฐานในการดำเนินคดีความได้

    3. ตัวอย่างการปิดกั้นการเข้าถึงเว็บไซต์จากการโจมตี Remote Exploit ผ่านช่องโหว่ของ WordPress
      เนื่องจาก WordPress เป็น CMS (Content Management System) ที่คนไทยและทั่วโลกนิยมใช้กันในการจัดทำเป็นเว็บไซต์หน่วยงานเพื่อเผยแพร่ข้อมูลกันเป็นจำนวนมาก ตัวอย่างการโจมตี “Virtual just in Time Patch : TimThumb Remote Code Execution Vulnerability Exploit attempt” ซึ่ง TimThumb เป็น Plugins หนึ่งของ WordPress เข้าโจมตีที่ http://www.gbtech.co.th/wp-content/themes/TheCorporation/timthumb.php?src=http%3A%2F%2Fimg.youtube.com.agmcmortgage.com%2Fbad.php ก็จะพบหน้าแจ้งเตือนไปยังนักโจมตีระบบและระงับการเข้าถึงข้อมูลเว็บไซต์

       ภาพหน้าจอแจ้งเตือนต่อนักโจมตีระบบเมื่อมีการพยายามโจมตีระบบด้วยการใส่โค้ดผ่านช่องโหว่ WordPress

      แสดงค่าใน Log file จะพบวันเวลา และค่าไอพีแอดเดรสของนักโจมตีระบบ

       ภาพ Log file ที่พบการโจมตีระบบซึ่งจะสามารถระบุวันเวลา ค่าไอพีแอดเดรสนักโจมตีระบบ ระบบปฏิบัติการของนักโจมตีระบบ และ ชนิดบราวเซอร์ที่ใช้ในการโจมตีระบบได้

    4. ตัวอย่างการค้นหาข้อมูลการโจมตีจาก Log file
      เมื่อผู้ใช้บริการ SRAN IN Block Services ต้องการค้นหาว่ามีค่าไอพีแอดเดรสของนักโจมตีระบบเว็บไซต์เกิดขึ้นเมื่อวันเวลาใดและเหตุการณ์อะไรนั้น สามารถค้นหาได้ผ่านระบบสืบค้นซึ่งจะทำให้สืบหาการกระทำความผิดทางเทคโนโลยีได้อย่างสะดวกและรวดเร็วขึ้น
    5. ตัวอย่างการค้นหา การโจมตีชนิด Cross Site Scripting

       ภาพตัวอย่างการค้นหาความพยายามที่โจมตีเว็บไซต์ชนิด Cross site Scripting

    6. ต้วอย่างการแสดงผลภาพรวมการโจมตีผ่านแผนที่ภูมิสารสนเทศ


       ภาพการแสดงแผนที่การโจมตีจะทำให้ผู้ใช้บริการทราบว่าเว็บไซต์ของหน่วยงานเรานั้นถูกโจมตีจากประเทศใดบ้างซึ่งหากสีเข้มพบว่ามีการโจมตีสูงจากภาพพบว่าเว็บไซต์ www.gbtech.co.th ถูกโจมตีจากประเทศไทยเป็นจำนวน 2,373 ครั้ง ข้อมูลของวันที่ 18 มิถุนายน 2556

    7. รายงานภาพรวมการโจมตีเว็บไซต์ที่ใช้บริการ SRAN IN Block

       ภาพลำดับการโจมตีเว็บไซต์ด้วยเทคนิคต่างๆ 20 อันดับโดยวัดค่าจากจำนวนครั้งที่โจมตีจากมากไปน้อย

    8. การป้องการเข้าถึงข้อมูลเว็บไซต์จากการอำพรางค่าไอพีแอดเดรส 

       ภาพเมื่อทำการเปิดโปรแกรม Tor network เพื่อจะทำการอำพรางไอพีแอดเดรสของตนเอง จากภาพจะได้ค่า IP คือ 173.254.216.69 และเมื่อทำการเปิดเว็บไซต์ www.gbtech.co.th ก็จะถูกปิดกั้นและขึ้นข้อความเตือนเนื่องจากมีการอำพรางไอพีแอดเดรส

      ปัจจุบันทั้งหมดอยู่ในบริการเรียกว่า

       ที่ทางกลุ่ม SRAN Dev นำเสนอเพื่อเป็นทางเลือกหนึ่งในสินค้าบริการจากประเทศไทย