ความปลอดภัยไซเบอร์ประเมินช่องโหว่และทดสอบเจาะระบบ
สแกนและทดสอบระบบ เว็บไซต์ และเครือข่าย เพื่อเจอช่องโหว่ก่อนคนอื่น รายงานเรียงตามสิ่งที่ต้องแก้ก่อน
ปัญหาที่เราเจอบ่อยหน้างาน
องค์กรส่วนใหญ่ไม่มีรายการที่ครบว่ามีเซิร์ฟเวอร์ กล้อง NVR หรือเว็บไซต์ไหนเปิดออกอินเทอร์เน็ต แต่ผู้โจมตีมี เครื่องมืออัตโนมัติของเขาสแกนทั่วอินเทอร์เน็ตทุกวันเพื่อหาช่องโหว่ที่รู้กันอยู่แล้ว
ประเมินช่องโหว่ (VA)
สแกนอัตโนมัติทั้งภายในและภายนอก เพื่อหาซอฟต์แวร์เก่า Patch ที่ขาด การตั้งค่าไม่ปลอดภัย และ Service ที่เปิดโดยไม่จำเป็น ผลถูกจัดลำดับด้วย CVSS บวกบริบทธุรกิจ ช่องโหว่ระดับ "ปานกลาง" บนเซิร์ฟเวอร์ที่เปิดออกภายนอก อาจอันตรายกว่าระดับ "ร้ายแรง" บนเครื่องที่อยู่หลัง Firewall สามชั้น VA ควรทำ เป็นประจำ อย่างน้อยทุกไตรมาสและหลังการเปลี่ยนแปลงใหญ่
สิ่งที่เราเจอบ่อยที่สุดในการสแกนภายนอก: NVR และกล้องที่เปิดพอร์ตออกอินเทอร์เน็ต เพื่อให้เจ้าของดูจากมือถือ พร้อม Firmware ที่เก่าหลายปี
ทดสอบเจาะระบบ (Pentest)
ผู้ทดสอบที่มีประสบการณ์พยายาม ใช้ช่องโหว่จริง ภายในขอบเขตที่ตกลง เพื่อแสดงว่าผู้โจมตีไปได้ไกลแค่ไหน ทั้งเว็บแอป (อิง OWASP) เครือข่ายภายนอก/ภายใน Wi-Fi หรือ Active Directory ทุกครั้งต้องมี หนังสืออนุญาตและขอบเขต (Rules of Engagement) ที่ลงนามก่อนเริ่ม ไม่มีหนังสือ เราไม่เริ่ม
รายงานที่เอาไปแก้ได้
สองส่วน: สรุปสำหรับผู้บริหารเป็นภาษาธุรกิจ และรายละเอียดเทคนิคพร้อมวิธีแก้สำหรับทีม IT แก้แล้วเราทดสอบซ้ำ (Retest) เพื่อยืนยัน
สิ่งที่ระบบทำได้
สแกนภายนอกและภายใน
หาทุกอุปกรณ์และ Service ที่เปิดอยู่ รวมถึงสิ่งที่ลืมไปแล้ว
ทดสอบเว็บแอป OWASP
Injection การยืนยันตัวตน การควบคุมสิทธิ์ และอื่น ๆ
ทดสอบ Active Directory
หาเส้นทางยกระดับสิทธิ์ที่ผู้โจมตีชอบใช้
เรียงตามความเสี่ยงจริง
CVSS บวกบริบทธุรกิจ แก้สิ่งสำคัญก่อน
รายงานสองระดับ
สำหรับผู้บริหารและสำหรับทีมเทคนิค
ทดสอบซ้ำ
ยืนยันว่าแก้แล้วจริง
แบบระบบและขั้นตอนติดตั้ง
- 1
ตกลงขอบเขต เป้าหมาย และลงนามหนังสืออนุญาต
- 2
เก็บข้อมูลและค้นหาทรัพย์สิน
- 3
สแกนและตรวจยืนยันด้วยคนเพื่อตัดผลหลอกออก
- 4
ทดสอบเจาะระบบตามขอบเขต (สำหรับ Pentest)
- 5
รายงาน นำเสนอ และแนะนำวิธีแก้
- 6
ทดสอบซ้ำหลังแก้
ใช้ที่ไหนได้บ้าง
- ธนาคารก่อนเปิด Mobile Banking หรือระบบชำระเงินใหม่
- หน่วยงานรัฐที่มีเว็บไซต์และบริการออนไลน์
- บริษัทก่อนหรือหลังการควบรวมกิจการหรือการตรวจสอบ
- องค์กรที่อยากรู้สถานะความปลอดภัยจริงก่อนวางงบปีหน้า
ขนาดระบบที่พบบ่อย
สแกนภายนอก
เหมาะสำหรับ: IP สาธารณะและเว็บไซต์
- สแกนช่องโหว่ภายนอก
- ตรวจ SSL/TLS และการตั้งค่า
- รายงานและวิธีแก้
ประเมินเต็มรูปแบบ
เหมาะสำหรับ: เครือข่ายภายในและภายนอก
- สแกนภายในแบบมีบัญชี (Authenticated)
- ตรวจการตั้งค่า AD และ Firewall
- สแกนซ้ำทุกไตรมาส (ตัวเลือก)
ทดสอบเจาะระบบ
เหมาะสำหรับ: ระบบสำคัญหรือก่อนเปิดใช้
- Pentest เว็บ/แอป/เครือข่าย ตามขอบเขต
- นำเสนอผลต่อผู้บริหาร
- ทดสอบซ้ำ 1 ครั้ง
แบรนด์ที่เราจัดหา & ติดตั้ง
ชื่อแบรนด์และเครื่องหมายการค้าทั้งหมดเป็นของเจ้าของแต่ละราย การกล่าวถึงไม่ได้หมายความว่าเป็นตัวแทนอย่างเป็นทางการ เว้นแต่ระบุไว้ชัดเจน เราจัดหาสินค้าผ่านช่องทางจัดจำหน่ายที่ถูกต้อง
คำถามที่พบบ่อย
VA กับ Pentest ต่างกันอย่างไร?
VA กว้างและอัตโนมัติ บอกว่ามีช่องโหว่อะไรบ้าง Pentest ลึกและใช้คน พิสูจน์ว่าโจมตีได้จริงไหมและเสียหายได้แค่ไหน ถ้าไม่เคยทำทั้งสองอย่าง เริ่มจาก VA
การทดสอบจะทำให้ระบบล่มไหม?
ความเสี่ยงต่ำแต่ไม่ใช่ศูนย์ เราตกลงช่วงเวลา ไม่ใช้เทคนิคที่ทำลาย และมีเบอร์ติดต่อฉุกเฉินของทั้งสองฝ่ายตลอดการทดสอบ
ควรทำบ่อยแค่ไหน?
VA อย่างน้อยทุกไตรมาส Pentest ปีละครั้ง และทุกครั้งที่มีระบบสำคัญใหม่เปิดใช้
คู่มือที่เกี่ยวข้อง
Vulnerability Assessment หรือ Penetration Test: ควรทำอะไรก่อน
สองบริการที่มักถูกขายปนกัน ความต่างที่แท้จริง ทำไมองค์กรส่วนใหญ่ควรเริ่มจาก VA วิธีกำหนดขอบเขต และวิธีแยกรายงานที่ดีออกจากผลสแกนที่พิมพ์ออกมา
Checklist ป้องกัน Ransomware: ตัดเส้นทางโจมตีทีละขั้น
Ransomware ไม่ได้เกิดขึ้นในนาทีเดียว นี่คือรายการตรวจที่จัดตามขั้นตอนที่ผู้โจมตีใช้จริง พร้อมสิ่งที่ควรทำในชั่วโมงแรก
โซลูชันที่เกี่ยวข้อง
ความปลอดภัยไซเบอร์
ไฟร์วอลล์รุ่นใหม่ (Next-Generation Firewall)Firewall ที่รู้ว่าเป็นแอปอะไรและใครใช้ มี IPS กรองเว็บ ตรวจ HTTPS และ VPN เลือกขนาดจากตัวเลขตอนเปิดทุกฟีเจอร์
การเข้าถึงระยะไกลอย่างปลอดภัย (VPN/ZTNA)ให้พนักงานและผู้รับเหมาเข้าระบบจากทุกที่ ผ่าน VPN หรือ ZTNA ที่มี MFA และเห็นเฉพาะสิ่งที่ต้องใช้
ป้องกันเครื่องลูกข่ายและ EDREDR ที่ดูพฤติกรรม ไม่ใช่แค่รายชื่อไวรัส หยุดแรนซัมแวร์กลางทาง และตัดเครื่องที่ติดเชื้อออกจากเครือข่ายได้ทันที
ความปลอดภัยอีเมลกันฟิชชิง อีเมลปลอมเป็นผู้บริหารหรือคู่ค้า (BEC) และไฟล์อันตราย ด้วยการกรอง SPF/DKIM/DMARC และ Sandbox
Zero Trust และควบคุมการเข้าเครือข่าย (NAC)ตรวจทุกคนและทุกอุปกรณ์ก่อนเข้าเครือข่ายด้วย 802.1X และ NAC เสียบสายแลนได้ ไม่ได้แปลว่าเข้าเซิร์ฟเวอร์ได้
เฝ้าระวังความปลอดภัย SOC / SIEMรวม Log จาก Firewall เซิร์ฟเวอร์ และเครื่องลูกข่ายเข้า SIEM ที่เดียว พร้อมคนดูแจ้งเตือนและขั้นตอนรับมือเหตุส่งแปลนอาคาร หรือรูปหน้างานสักสองสามรูปมาให้เรา
เราจะถามรายละเอียดเพิ่ม แล้วส่งแบบระบบเบื้องต้นให้ ปรึกษาครั้งแรกฟรี เป็นภาษาลาว ไทย หรืออังกฤษ ทาง WhatsApp หรือเพจ Facebook