ຄວາມປອດໄພໄຊເບີປະເມີນຊ່ອງໂຫວ່ ແລະ ທົດສອບເຈາະລະບົບ
ສະແກນ ແລະ ທົດສອບລະບົບ, ເວັບໄຊ ແລະ ເຄືອຂ່າຍ ເພື່ອພົບຊ່ອງໂຫວ່ກ່ອນຄົນອື່ນ, ລາຍງານລຽງຕາມສິ່ງທີ່ຕ້ອງແກ້ກ່ອນ.
ບັນຫາທີ່ເຮົາພົບເລື້ອຍໜ້າງານ
ອົງກອນສ່ວນໃຫຍ່ບໍ່ມີລາຍການທີ່ຄົບວ່າມີເຊີບເວີ, ກ້ອງ, NVR ຫຼື ເວັບໄຊໃດທີ່ເປີດອອກອິນເຕີເນັດ. ຜູ້ໂຈມຕີມີ: ເຄື່ອງມືອັດຕະໂນມັດຂອງເຂົາສະແກນທົ່ວອິນເຕີເນັດທຸກມື້ ຫາຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກກັນແລ້ວ.
ປະເມີນຊ່ອງໂຫວ່ (VA)
ສະແກນອັດຕະໂນມັດທັງພາຍໃນ ແລະ ພາຍນອກ ເພື່ອຫາ Software ເກົ່າ, Patch ທີ່ຂາດ, ການຕັ້ງຄ່າບໍ່ປອດໄພ ແລະ Service ທີ່ເປີດໂດຍບໍ່ຈຳເປັນ. ຜົນຖືກຈັດລຳດັບດ້ວຍ CVSS ບວກບໍລິບົດທຸລະກິດ. ຊ່ອງໂຫວ່ "ປານກາງ" ໃນເຊີບເວີທີ່ເປີດອອກນອກ ອາດອັນຕະລາຍກວ່າ "ຮ້າຍແຮງ" ໃນເຄື່ອງທີ່ຢູ່ຫຼັງສາມຊັ້ນ Firewall. VA ຄວນເຮັດ ເປັນປະຈຳ: ຢ່າງໜ້ອຍທຸກໄຕມາດ ແລະ ຫຼັງການປ່ຽນແປງໃຫຍ່.
ສິ່ງທີ່ພວກເຮົາພົບເລື້ອຍທີ່ສຸດໃນການສະແກນພາຍນອກ: NVR ແລະ ກ້ອງທີ່ເປີດ Port ອອກອິນເຕີເນັດ ເພື່ອໃຫ້ເຈົ້າຂອງເບິ່ງຈາກມືຖື, ພ້ອມ Firmware ເກົ່າຫຼາຍປີ.
ທົດສອບເຈາະລະບົບ (Pentest)
ຜູ້ທົດສອບທີ່ມີປະສົບການ ພະຍາຍາມ ໃຊ້ຊ່ອງໂຫວ່ແທ້ ພາຍໃນຂອບເຂດທີ່ຕົກລົງ ເພື່ອສະແດງວ່າຜູ້ໂຈມຕີໄປໄດ້ໄກປານໃດ: ເວັບແອັບ (ອີງ OWASP), ເຄືອຂ່າຍພາຍນອກ/ພາຍໃນ, Wi-Fi ຫຼື Active Directory. ທຸກເທື່ອ ຕ້ອງມີ ໜັງສືອະນຸຍາດ ແລະ ຂອບເຂດ (Rules of Engagement) ທີ່ລົງນາມກ່ອນເລີ່ມ. ບໍ່ມີໜັງສື ພວກເຮົາບໍ່ເລີ່ມ.
ລາຍງານທີ່ເອົາໄປແກ້ໄດ້
ສອງສ່ວນ: ສະຫຼຸບສຳລັບຜູ້ບໍລິຫານເປັນພາສາທຸລະກິດ ແລະ ລາຍລະອຽດເຕັກນິກພ້ອມວິທີແກ້ ສຳລັບທີມ IT. ແກ້ແລ້ວ ພວກເຮົາທົດສອບຊ້ຳ (Retest) ເພື່ອຢືນຢັນ.
ສິ່ງທີ່ລະບົບເຮັດໄດ້
ສະແກນພາຍນອກ ແລະ ພາຍໃນ
ຫາທຸກອຸປະກອນ ແລະ Service ທີ່ເປີດຢູ່, ລວມທັງສິ່ງທີ່ລືມໄປແລ້ວ.
ທົດສອບເວັບແອັບ OWASP
Injection, ການຢືນຢັນຕົວຕົນ, ການຄຸມສິດ ແລະ ອື່ນໆ.
ທົດສອບ Active Directory
ຫາເສັ້ນທາງຍົກສິດທີ່ຜູ້ໂຈມຕີມັກໃຊ້.
ລຽງຕາມຄວາມສ່ຽງແທ້
CVSS ບວກບໍລິບົດທຸລະກິດ, ແກ້ສິ່ງສຳຄັນກ່ອນ.
ລາຍງານສອງລະດັບ
ສຳລັບຜູ້ບໍລິຫານ ແລະ ສຳລັບທີມເຕັກນິກ.
ທົດສອບຊ້ຳ
ຢືນຢັນວ່າແກ້ແລ້ວແທ້.
ແບບລະບົບ ແລະ ຂັ້ນຕອນຕິດຕັ້ງ
- 1
ຕົກລົງຂອບເຂດ, ເປົ້າໝາຍ ແລະ ລົງນາມໜັງສືອະນຸຍາດ
- 2
ເກັບຂໍ້ມູນ ແລະ ຊອກຫາສິນຊັບ
- 3
ສະແກນ ແລະ ກວດຢືນຢັນດ້ວຍຄົນ ເພື່ອຕັດຜົນປອມອອກ
- 4
ທົດສອບເຈາະລະບົບຕາມຂອບເຂດ (ສຳລັບ Pentest)
- 5
ລາຍງານ, ນຳສະເໜີ ແລະ ແນະນຳວິທີແກ້
- 6
ທົດສອບຊ້ຳຫຼັງແກ້
ໃຊ້ຢູ່ໃສໄດ້ແດ່
- ທະນາຄານ ກ່ອນເປີດ Mobile Banking ຫຼື ລະບົບຊຳລະເງິນໃໝ່
- ອົງການລັດ ທີ່ມີເວັບໄຊ ແລະ ບໍລິການອອນລາຍ
- ບໍລິສັດ ກ່ອນ ຫຼື ຫຼັງ ການຄວບລວມກິດຈະການ ຫຼື ການກວດສອບ
- ອົງກອນທີ່ຢາກຮູ້ສະພາບຄວາມປອດໄພແທ້ ກ່ອນວາງງົບປີໜ້າ
ຂະໜາດລະບົບທີ່ພົບເລື້ອຍ
ສະແກນພາຍນອກ
ເໝາະສຳລັບ: IP ສາທາລະນະ ແລະ ເວັບໄຊ
- ສະແກນຊ່ອງໂຫວ່ພາຍນອກ
- ກວດ SSL/TLS ແລະ ການຕັ້ງຄ່າ
- ລາຍງານ ແລະ ວິທີແກ້
ປະເມີນເຕັມ
ເໝາະສຳລັບ: ເຄືອຂ່າຍພາຍໃນ ແລະ ພາຍນອກ
- ສະແກນພາຍໃນແບບມີບັນຊີ (Authenticated)
- ກວດການຕັ້ງຄ່າ AD ແລະ Firewall
- ສະແກນຊ້ຳທຸກໄຕມາດ (ທາງເລືອກ)
ທົດສອບເຈາະລະບົບ
ເໝາະສຳລັບ: ລະບົບສຳຄັນ ຫຼື ກ່ອນເປີດໃຊ້
- Pentest ເວັບ/ແອັບ/ເຄືອຂ່າຍ ຕາມຂອບເຂດ
- ນຳສະເໜີຜົນຕໍ່ຜູ້ບໍລິຫານ
- ທົດສອບຊ້ຳ 1 ເທື່ອ
ຍີ່ຫໍ້ທີ່ເຮົາຈັດຫາ & ຕິດຕັ້ງ
ຊື່ຍີ່ຫໍ້ ແລະ ເຄື່ອງໝາຍການຄ້າທັງໝົດ ເປັນກຳມະສິດຂອງເຈົ້າຂອງ. ການກ່າວເຖິງຊື່ ບໍ່ໄດ້ໝາຍຄວາມວ່າພວກເຮົາເປັນຕົວແທນຢ່າງເປັນທາງການ ເວັ້ນເສຍແຕ່ຈະລະບຸໄວ້ຢ່າງຊັດເຈນ. ພວກເຮົາຈັດຫາສິນຄ້າຜ່ານຊ່ອງທາງຈັດຈຳໜ່າຍທີ່ຖືກຕ້ອງ.
ຄຳຖາມທີ່ພົບເລື້ອຍ
VA ກັບ Pentest ຕ່າງກັນແນວໃດ?
VA ກວ້າງ ແລະ ອັດຕະໂນມັດ: ບອກວ່າມີຊ່ອງໂຫວ່ຫຍັງແດ່. Pentest ເລິກ ແລະ ໃຊ້ຄົນ: ພິສູດວ່າໃຊ້ໂຈມຕີໄດ້ແທ້ບໍ ແລະ ເສຍຫາຍໄດ້ຫຼາຍປານໃດ. ຖ້າບໍ່ເຄີຍເຮັດທັງສອງ ເລີ່ມຈາກ VA.
ການທົດສອບຈະເຮັດໃຫ້ລະບົບລົ້ມບໍ?
ຄວາມສ່ຽງຕ່ຳ ແຕ່ບໍ່ແມ່ນສູນ. ພວກເຮົາຕົກລົງຊ່ວງເວລາ, ບໍ່ໃຊ້ເຕັກນິກທີ່ທຳລາຍລະບົບ ແລະ ມີເບີຕິດຕໍ່ສຸກເສີນຂອງທັງສອງຝ່າຍຕະຫຼອດການທົດສອບ.
ຄວນເຮັດເລື້ອຍປານໃດ?
VA ຢ່າງໜ້ອຍທຸກໄຕມາດ. Pentest ປີລະເທື່ອ ແລະ ທຸກເທື່ອທີ່ມີລະບົບສຳຄັນໃໝ່ເປີດໃຊ້.
ຄູ່ມືທີ່ກ່ຽວຂ້ອງ
Vulnerability Assessment ຫຼື Penetration Test: ຄວນເຮັດອັນໃດກ່ອນ
ສອງບໍລິການທີ່ມັກຖືກຂາຍປົນກັນ. ຄວາມແຕກຕ່າງແທ້, ເປັນຫຍັງອົງກອນສ່ວນຫຼາຍຄວນເລີ່ມຈາກ VA, ວິທີກຳນົດຂອບເຂດ ແລະ ວິທີແຍກລາຍງານທີ່ດີອອກຈາກຜົນສະແກນທີ່ພິມອອກມາ.
Checklist ປ້ອງກັນ Ransomware: ຕັດເສັ້ນທາງໂຈມຕີແຕ່ລະຂັ້ນ
Ransomware ບໍ່ໄດ້ເກີດຂຶ້ນໃນນາທີດຽວ. ນີ້ແມ່ນລາຍການກວດທີ່ຈັດຕາມຂັ້ນຕອນທີ່ຜູ້ໂຈມຕີໃຊ້ແທ້, ພ້ອມສິ່ງທີ່ຄວນເຮັດໃນຊົ່ວໂມງທຳອິດ.
ໂຊລູຊັນທີ່ກ່ຽວຂ້ອງ
ຄວາມປອດໄພໄຊເບີ
Firewall ລຸ້ນໃໝ່ (Next-Generation Firewall)Firewall ທີ່ຮູ້ວ່າແມ່ນແອັບຫຍັງ ແລະ ໃຜໃຊ້, ມີ IPS, ກັ່ນຕອງເວັບ, ກວດ HTTPS ແລະ VPN. ເລືອກຂະໜາດຕາມຕົວເລກທີ່ເປີດທຸກຟັງຊັນ.
ການເຂົ້າເຖິງທາງໄກຢ່າງປອດໄພ (VPN/ZTNA)ໃຫ້ພະນັກງານ ແລະ ຜູ້ຮັບເໝົາເຂົ້າລະບົບຈາກທຸກບ່ອນ ຜ່ານ VPN ຫຼື ZTNA ທີ່ມີ MFA, ເຫັນສະເພາະສິ່ງທີ່ຕ້ອງໃຊ້.
ປ້ອງກັນເຄື່ອງລູກຂ່າຍ ແລະ EDREDR ທີ່ເບິ່ງພຶດຕິກຳ ບໍ່ແມ່ນແຕ່ລາຍຊື່ໄວຣັສ. ຢຸດແຮນຊັມແວກາງທາງ ແລະ ຕັດເຄື່ອງທີ່ຕິດເຊື້ອອອກຈາກເຄືອຂ່າຍໄດ້ທັນທີ.
ຄວາມປອດໄພອີເມວກັນຟິດຊິງ, ອີເມວປອມເປັນຜູ້ບໍລິຫານ ຫຼື ຄູ່ຄ້າ (BEC) ແລະ ໄຟລ໌ອັນຕະລາຍ ດ້ວຍການກັ່ນຕອງ, SPF/DKIM/DMARC ແລະ Sandbox.
Zero Trust ແລະ ຄວບຄຸມການເຂົ້າເຄືອຂ່າຍ (NAC)ກວດທຸກຄົນ ແລະ ທຸກອຸປະກອນກ່ອນເຂົ້າເຄືອຂ່າຍ ດ້ວຍ 802.1X ແລະ NAC. ສຽບສາຍແລນໄດ້ ບໍ່ໄດ້ໝາຍຄວາມວ່າເຂົ້າເຊີບເວີໄດ້.
ເຝົ້າລະວັງຄວາມປອດໄພ SOC / SIEMລວມ Log ຈາກ Firewall, ເຊີບເວີ ແລະ ເຄື່ອງລູກຂ່າຍ ເຂົ້າ SIEM ບ່ອນດຽວ ພ້ອມຄົນເບິ່ງແຈ້ງເຕືອນ ແລະ ຂັ້ນຕອນຮັບມືເຫດ.ສົ່ງແຜນຜັງອາຄານ ຫຼື ຮູບໜ້າງານສອງສາມຮູບມາໃຫ້ເຮົາ
ເຮົາຈະຖາມລາຍລະອຽດເພີ່ມ ແລ້ວສົ່ງແບບລະບົບເບື້ອງຕົ້ນໃຫ້. ປຶກສາຄັ້ງທຳອິດຟຣີ ເປັນພາສາລາວ, ໄທ ຫຼື ອັງກິດ ທາງ WhatsApp ຫຼື ເພຈ Facebook.