ในหน้านี้
เราเคยเห็น "รายงาน Penetration Test" 200 หน้า ที่ทั้งหมดเป็นผล Export จากเครื่องมือสแกน ไม่มีใครตรวจ ไม่มีการจัดลำดับ และไม่มีคำอธิบายว่าอะไรสำคัญต่อธุรกิจ องค์กรจ่ายเงินค่า Pentest แต่ได้ VA คุณภาพต่ำ ก่อนจ้างใคร ให้เข้าใจว่าสองอย่างนี้ตอบคำถามต่างกัน
สองคำถาม
Vulnerability Assessment (VA) ตอบว่า มีจุดอ่อนอะไรบ้าง อยู่ตรงไหน ใช้เครื่องมือสแกนทุก IP และระบบในขอบเขต เพื่อหาช่องโหว่ที่รู้จัก (CVE) การตั้งค่าผิด และ Software ที่หมดอายุ แล้วผู้เชี่ยวชาญตรวจผลเพื่อตัด False Positive ออก
Penetration Test ตอบว่า ผู้โจมตีที่มีฝีมือไปได้ไกลแค่ไหน ผู้ทดสอบโจมตีจริงภายใต้การอนุญาตเป็นลายลักษณ์อักษร เชื่อมจุดอ่อนเล็กๆ เข้าด้วยกัน (เช่น รหัส Default ในกล้อง + Network ที่ไม่แยก + บัญชี Service ที่มีสิทธิ์เกิน) เพื่อพิสูจน์ว่าไปถึงข้อมูลสำคัญได้จริง
| VA | Pentest | |
|---|---|---|
| วิธีการ | สแกนอัตโนมัติ + คนตรวจสอบ | คนนำ ใช้เครื่องมือช่วย |
| ขอบเขต | กว้าง: ทุก IP/ระบบ | แคบแต่ลึก |
| ความถี่ที่สมเหตุสมผล | ทุกเดือนหรือทุกไตรมาส | ปีละครั้ง หรือหลังการเปลี่ยนแปลงใหญ่ |
| ได้อะไร | รายการช่องโหว่เรียงตามความรุนแรง | เส้นทางการโจมตีพร้อมหลักฐาน |
| False Positive | มี ต้องตรวจ | น้อย เพราะพิสูจน์แล้ว |
ทำไมควรเริ่มจาก VA
ถ้า VA พบ Firmware Firewall ที่มีช่องโหว่ร้ายแรง RDP เปิดสู่อินเทอร์เน็ต และ NVR ที่ยังใช้ admin/12345 การจ้าง Pentester มาหาสิ่งเดียวกันคือการเสียเงิน เขาจะเข้ามาได้ในวันแรก และคุณจะไม่ได้เรียนรู้อะไรที่เครื่องสแกนบอกไม่ได้
ลำดับที่เราแนะนำสำหรับองค์กรส่วนใหญ่
- VA ภายนอก (ทุก IP สาธารณะ) และภายใน
- แก้ Critical และ High
- สแกนซ้ำเพื่อยืนยัน
- ทำ VA เป็นประจำและติดตามแนวโน้ม
- เมื่อพื้นฐานแน่นแล้วจึงจ้าง Pentest ตอนนี้ Pentest จะพบสิ่งที่สแกนไม่เห็น เช่น ข้อผิดพลาดทาง Logic ในแอป สิทธิ์ที่ตั้งผิดใน Active Directory และเส้นทางที่เชื่อมหลายจุดอ่อนเข้าด้วยกัน
ประเภทของ Pentest
- External: จากอินเทอร์เน็ต เป้าหมายคือ Firewall, VPN, เว็บไซต์, Mail Server
- Internal: สมมติว่าผู้โจมตีมีเครื่องหนึ่งใน Network แล้ว (เช่น Laptop พนักงานที่ติดมัลแวร์) สำหรับ Ransomware นี่มักเป็นการทดสอบที่ให้ข้อมูลมากที่สุด
- Web Application / API: ตามแนวทาง OWASP สำคัญสำหรับธนาคารและธุรกิจที่มีแอปให้ลูกค้า
- Wireless: Wi-Fi พนักงานและแขก แขกเข้าถึง Network ภายในได้หรือไม่
- Social Engineering: Phishing หรือการเข้าอาคาร
ข้อมูลที่ให้ผู้ทดสอบ: Black-box (ไม่รู้อะไรเลย), Grey-box (บัญชีผู้ใช้ทั่วไปและแผนผังบางส่วน), White-box (เอกสารและ Source Code) ถ้างบจำกัด Grey-box ให้ผลดีที่สุด เพราะผู้ทดสอบไม่ต้องเสียวันที่คุณจ่ายเงินไปกับการเดาสิ่งที่คุณบอกได้
ก่อนเริ่ม
- ขอบเขตเป็นลายลักษณ์อักษร: IP, Domain, แอป และสิ่งที่ห้ามแตะ ในโรงงานและเหมือง ระบบควบคุมการผลิต (PLC, SCADA) มักอยู่ในรายการห้ามหรือทดสอบแบบ Passive เท่านั้น เพราะการสแกนแบบปกติทำให้อุปกรณ์เก่าค้างได้
- หนังสืออนุญาต ลงนามโดยผู้มีอำนาจ ถ้าระบบอยู่กับผู้ให้บริการ Cloud หรือ Hosting ให้ตรวจนโยบายของเขาก่อน
- ช่วงเวลาและผู้ติดต่อฉุกเฉิน ทั้งสองฝ่าย ถ้าระบบล่มระหว่างทดสอบ ใครสั่งหยุดและใครแก้
- Backup ระบบสำคัญก่อน
- สัญญารักษาความลับ และการลบข้อมูลที่ผู้ทดสอบอาจเห็นหรือเก็บไป
ข้อมูลที่ควรส่งให้ผู้ให้บริการเพื่อขอใบเสนอราคา
คำขอที่ชัดเจนทำให้ได้ใบเสนอราคาที่เทียบกันได้ แทนที่จะได้ข้อเสนอสามฉบับที่วางเทียบกันไม่ได้ ให้ระบุ
- จำนวน IP สาธารณะและ Domain และใครเป็นผู้ Host แต่ละรายการ
- จำนวนคร่าวๆ ของ Server ภายใน PC อุปกรณ์เครือข่าย และกล้อง แยกตามไซต์
- Web Application และ API ที่อยู่ในขอบเขต และแต่ละตัวมีบทบาทผู้ใช้กี่แบบ
- ต้องการทดสอบแบบ Black-box, Grey-box หรือ White-box
- ระบบที่ห้ามแตะ และช่วงเวลาที่อนุญาตให้ทดสอบ
- ต้องการให้รวมการทดสอบซ้ำหลังแก้ไขหรือไม่
- ใครเป็นผู้รับรายงาน และบทสรุปควรเป็นภาษาอะไร
ผู้ให้บริการที่เห็นรายการนี้แล้วยังไม่ถามอะไรเพิ่มเลย มีแนวโน้มจะแค่รัน Scanner แล้วพิมพ์ผลออกมา
รายงานที่ดี และสิ่งที่ต้องทำหลังได้รับ
รายงานที่ดีมีบทสรุปสองหน้าสำหรับผู้บริหาร ทุกข้อค้นพบมีหลักฐาน ผลกระทบต่อธุรกิจ ระดับความรุนแรง และวิธีแก้ที่ละเอียดพอให้ทีม IT ทำตามได้ ถ้ารายงานบอกแค่ "Update to latest version" ทุกข้อ นั่นคือผลสแกน
กำหนดเป้าหมายเวลาแก้และติดตาม
| ระดับ | เป้าหมายตัวอย่าง |
|---|---|
| Critical | 7 วัน |
| High | 30 วัน |
| Medium | 90 วัน |
| Low | รอบบำรุงรักษาตามแผน |
คะแนน CVSS บอกความรุนแรงทางเทคนิค ไม่ใช่ความเสี่ยงของคุณ ให้จัดลำดับช่องโหว่บนระบบที่เปิดสู่อินเทอร์เน็ต และช่องโหว่ที่มีรายงานว่ากำลังถูกใช้โจมตีจริง (เช่น อยู่ในรายการ CISA KEV) ก่อน แม้คะแนนจะต่ำกว่าข้ออื่น แล้ว ทดสอบซ้ำ เพื่อยืนยัน
ตัวอย่างการคัดลำดับ: ห้าข้อจากการสแกนครั้งแรก
นี่คือวิธีที่เราจะเรียงลำดับผลที่พบบ่อยจากการสแกนภายนอกและภายในครั้งแรก ตัวเลขเป็นตัวอย่าง ไม่ได้มาจากลูกค้าจริง
| สิ่งที่พบ | CVSS | อยู่ที่ไหน | มีการโจมตีจริงแล้ว? | ลำดับของเรา |
|---|---|---|---|---|
| Firmware ของ VPN Gateway ที่มีช่องโหว่รันโค้ดจากระยะไกลที่ประกาศแล้ว | 9.8 | เปิดสู่อินเทอร์เน็ต | ใช่ | 1 แก้ภายในสัปดาห์นี้ |
| RDP เปิดสู่อินเทอร์เน็ตบน Server บัญชี | ไม่มี (เป็นเรื่องการเปิดเผย) | เปิดสู่อินเทอร์เน็ต | ถูกโจมตีบ่อย | 2 ปิดวันนี้ ให้ผู้ใช้ใช้ VPN |
| NVR ยังใช้รหัสผ่านเริ่มต้น | ไม่มี (เป็นเรื่องการตั้งค่า) | ภายใน | ถูกใช้ประโยชน์บ่อย | 3 เปลี่ยนรหัส และย้ายไป VLAN กล้อง |
| TLS รุ่นเก่าบน Web Server ของ Intranet | 5.3 | ภายใน | ไม่ | 4 รอบปิดปรับปรุงถัดไป |
| Windows Update ที่ขาดบน PC ห้องแล็บ คะแนนสูง | 8.8 | ภายใน แยกอยู่ | ไม่ | 5 รอบ Patch ปกติ |
สังเกตว่าคะแนน CVSS สูงสุดไม่ได้มาก่อนโดยอัตโนมัติ และสองในสามอันดับแรกไม่มีคะแนน CVSS เลย Scanner รายงาน CVSS 3.1 และใช้ CVSS 4.0 มากขึ้นเรื่อยๆ ส่วน EPSS ของ FIRST ให้ค่าความน่าจะเป็นที่ช่องโหว่จะถูกโจมตีในเร็วๆ นี้ ใช้ทั้งสองอย่างควบคู่กับรายการ CISA KEV และความรู้ของคุณเองว่าอะไรเปิดสู่ภายนอกอยู่
สแกนแบบมีบัญชี (Authenticated) เจอมากกว่าเยอะ
การสแกนโดยไม่มี Credential เห็นแค่สิ่งที่คนแปลกหน้าในเครือข่ายเห็น คือพอร์ตที่เปิดและ Banner ถ้าให้ Scanner มีบัญชีแบบอ่านอย่างเดียวบนเครื่อง Windows และ Linux มันจะแสดง Patch ที่ขาด การตั้งค่าในเครื่องที่อ่อน และซอฟต์แวร์ที่ล้าสมัยได้ครบกว่ามาก สำหรับ VA ภายใน การสแกนแบบมีบัญชีคือทางเลือกปกติ สร้างบัญชีเฉพาะสำหรับงานนี้ จำกัดว่าเข้าได้จากที่ไหน และปิดบัญชีไว้ระหว่างรอบสแกน
อุปกรณ์ที่มักถูกลืม
การสแกนมักรวมแค่ Server และ PC จุดอ่อนที่เราเจอบ่อยอยู่ที่อื่น ได้แก่ กล้อง CCTV และ NVR เครื่องพิมพ์ UPS และ PDU ที่มี Network Card เครื่องสแกนนิ้ว Controller ของ Wi-Fi และหน้า Admin ของ Switch อุปกรณ์เหล่านี้ส่วนใหญ่ไม่เคยอัปเดต Firmware ตั้งแต่วันติดตั้ง
เลือกผู้ให้บริการ
- ขอ ตัวอย่างรายงาน ที่ลบข้อมูลลูกค้าแล้ว บอกได้มากกว่าใบเสนอทุกหน้า
- ถาม วิธีการ: อ้างอิงมาตรฐานไหน (OWASP, PTES) ส่วนไหนเป็นงานมือ ส่วนไหนเป็นเครื่องมือ
- ถามว่า ใครเป็นผู้ทดสอบจริง คุณสมบัติและประสบการณ์กับระบบคล้ายของคุณ
- ทดสอบซ้ำ รวมอยู่ในราคาหรือไม่
- ข้อมูล: เก็บไว้ที่ไหน และลบเมื่อไร
สิ่งที่ต่างไปในสภาพของลาว
- ยืนยัน IP สาธารณะกับ ISP หลายสำนักงานอยู่หลัง Router ที่ ISP ดูแล บางครั้งเป็น IP แบบ Dynamic หรือใช้ร่วมกัน การสแกน IP ที่ตอนนี้เป็นของคนอื่นเป็นสิ่งที่ยอมรับไม่ได้ จึงต้องขอรายการปัจจุบันเป็นลายลักษณ์อักษร
- ระบบที่ฝากไว้ที่อื่น เว็บไซต์และอีเมลมักอยู่กับบริษัท Hosting ในไทย สิงคโปร์ หรือไกลกว่านั้น ต้องได้รับอนุญาตเป็นลายลักษณ์อักษรจากผู้ให้บริการก่อนทดสอบ
- จังหวะเวลา เลี่ยงช่วงปิดบัญชีสิ้นเดือนของธนาคารและฝ่ายบัญชี และช่วงผลิตเร่งด่วนของโรงงานและเหมือง การสแกนภายในอาจทำให้ Switch และเครื่องพิมพ์รุ่นเก่าช้าลง ให้เริ่มนอกเวลางาน
- ภาษา บทสรุปผู้บริหารควรอ่านได้เป็นภาษาลาวหรือไทย ส่วนรายละเอียดทางเทคนิคเป็นภาษาอังกฤษสำหรับทีม IT ได้
- การเปลี่ยนคน ข้อที่พบมักค้างเพราะคนที่รับรายงานลาออกไปแล้ว ให้มอบแต่ละข้อให้ตำแหน่ง ไม่ใช่ให้ชื่อคน และเก็บตารางติดตามไว้กับผู้บริหาร IT
ส่งรายการ IP สาธารณะมาให้เรา
จุดเริ่มที่ง่ายที่สุดคือ VA ภายนอก คุณส่งรายการ IP สาธารณะและ Domain พร้อมหนังสืออนุญาต เราสแกน ตรวจผลด้วยคน และส่งรายการสิ่งที่ต้องแก้ก่อน เรียงตามความเสี่ยงจริง ไม่ใช่แค่คะแนน CVSS
- #vulnerability-assessment
- #penetration-testing
- #pentest
- #cvss
- #security-testing
