.
ICT !"#$%&#'()&%)(*
+*,-&!.
(Network and Computer Security Specialist : NCS) (
$% 3
.F $% 1 ( $) 2553 )
J(K-"-,(
!
"# &)$)-+%
).#L$! 80 O 5 P)& 2550
&),&# $ (#F) 6) R))-J&S) -*&, *!$%
T 10210
. (02)141 6943, (02) 141 6944
(02) 143 8033
&X
Y!. www.mict.go.th
(K)))(
$%
&' ( ))
102 R)) ] ) -*&! *!! T 10110
. 0 2515 8323 !, 2651 0 2515 8342
$
**,&^) &_J_)KPJ,)`%_))$F -!,)F)*_)
&!.X,_)&JK(- ,R J, -,$%!( J)%
&J'&) () +%* #,&_a'(,&((F)#
_)#,&&$%",) ,_( $%)-,_',&!,&P$+% #,) +*, ).)X! $%R#+%)F*(&)(&+*,($& K_
+
J.JK^)!#+%!,+*,!)*
).)X!+%_##).J
-,*$%_',$%(_))$F ).)X!)F)$
+)(
#).$%(
J).)X!)F)J)&,$%JJ)!)
-!,O)F)X$#,)) !")`%X)+%J*-+%+$%_#K
J
)F) R)-(&).(J).)X!(,,( -+%+
+-,)$F,!,_#) R`-&,)$%,$&$%&
&!.
)XR_#+%+J!$+*,,)$F(,) ()F) b)+"$%$
)$%(-
J`JK^)$%J!&.&$%-
-!(!F
O&
( !(J)c& O&(_)+*, _ $_# )( ,$
P!(& ()F) O&(_)+*,J`^)%$%K'-
JK^)K
.
K),!)$)-+%
&)$)-+%
$+
,
#
$
# 1 .!/# !0 (Security Baselines)>>>>>>>>>> 1
1. &%)(
)].+*,-
d
! (Network Device and Operating
System Hardening)iiiiiiiiiiiiiiiiiiiiii.. 23
1.1 &%)(
)
d
!
-
d
!+*, (Operating System
and Network Operating System Hardening)iiiiiiiii.. 23
1.2 &%)(
)
+*,
(Network Hardening)iiiiiiiiiiiiiiiiiii.. 28
2. &%)(
)-+%-,*, (Server Application Hardening) iiiiiiiiiiiiiiiii.30
2.1 Web Serversiiiiiiiiiiiiiiiiiiiiiii.33
2.2 Email Serversiiiiiiiiiiiiiiiiiiiiiii34
2.3 FTP Serversiiiiiiiiiiiiiiiiiiiiiii...35
2.4 DNS Serveriiiiiiiiiiiiiiiiiiiiiiii36
2.5 DHCP Serversiiiiiiiiiiiiiiiiiiiiii..37
3. %&*-
(Design Principles) iiiiiiiii.37
])
$% 1iiiiiiiiiiiiiiiiiiiiiiiiii...41
,
#
$
# 2 $,!/#!0
$$!"@
(Network Security Policies)>>>>>>>>>>>>>>>>>>>>.. 43
1. )
()&%)( (Security Policies)iiiiiiiii.43
1.1 *)
()&)% (
(Types of Security Policies)iiiiiiiiiiiiiiiii57
1.2 *&#+%%) (The Role of Trust )iiiiiiiiii.58
1.3 *&
*R` (Types of Access Control)iii.59
2 )
()O&
(Confidentiality Policies)iiiiiii. 60
2.1 -
JK-s-())% (Graham-DenninModel)iiiiiii61
2.2 -
JK&
.-( (The Bell-LaPadula Model)i...62
3 )
()O& (Integrity Policies)iiiiiii.. 63
3.1 -
JK&
(Biba Integrity Model)iiiiii..64
3.2 -
JK&*.-&)
(Clark-Wilson Integrity Model)iiiiiiiiiiiiiii.. 66
4 )
" (Hybrid Policies)iiiiiiiiiiiiiiiiii 68
4.1 -
JKK-+J$) (Chinese Wall Model)iiiiiiii.68
4.2 )
()&%)(*
)
$%&
-. (Clinical Information Systems
Security Policy)iiiiiiiiiiiiiiiiiiiiii.71
])
$% 2iiiiiiiiiiiiiiiiiiiiiiiiii...76
,
#
$
# 3 Security Levels>>>>>>>>>>>>>>>>>>>>>>>>>...78
3.1 O&((
"_# (User Level)iiiiiiiii 78
3.1.1 J).!&!) (Authentication)iiiiiiiiiiiiii 78
3.1.2 )_)J)."_# (User Authentication Techniques)iii.80
3.1.3 )_)J).*&
(Message Authentication Techniques)iiiiiiiiiii 81
3.1.4 Public Key Certificateiiiiiiiiiiiiiiiiii..82
3.1.5 _#)J).-
CA-Hierarchyiiiiiiiiiii..82
3.2 O&((
d
! (Operational Level)iiiii..85
3.2.1 O&(#iiiiiiiiiiiii85
3.2.2 Pi
| iiiiiiiiiiiiiiiiiiiii86
3.2.3 !&$R% (( (Removable Media)iiiiiiiiii.88
3.3 O&((
. (Organization Level)iiiiii..88
3.3.1 -
(Design Documentation)iiiiiiii..88
3.3.2 ]O]
$%) (Modification Specification)iiii..89
3.3.3 ]
!&( (Security Specification)iiiiiii.90
3.3.4 ]
!-
(Formal Specification)iiiiiiii...90
3.3.5 Requirement Tracing - Informal Correspondenceiiiii90
3.3.6 Informal Argumentsiiiiiiiiiiiiiiiiiii.91
3.3.7 Formal Method: Proof Techniquesiiiiiiiiiiiii91
3.3.8 &) (Review)iiiiiiiiiiiiiiiiiii.92
3.3.9 &.&$% (Risk Assessment)iiiiiiiiii93
])
$% 3iiiiiiiiiiiiiiiiiiiiiiiiii...94
,
#
$
# 4 Intrusion Detection and Response>>>>>>>>>>>>>>>>>..96
4.1 Attacks and Malicious Systemiiiiiiiiiiiiiiiii..96
4.1.1 Denial-of-service (DoS) attacksiiiiiiiiiiiiii.96
4.1.2 E-mail Bombsiiiiiiiiiiiiiiiiiiiiii97
4.1.3 Macrosiiiiiiiiiiiiiiiiiiiiiiii...97
4.1.4 Redirect Bombsiiiiiiiiiiiiiiiiiiiii97
4.1.5 Remote Loginiiiiiiiiiiiiiiiiiiiiii97
4.1.6 SMTP session hijacking SMTPiiiiiiiiiiiiii...98
4.1.7 Source routingiiiiiiiiiiiiiiiiiiiii..98
4.1.8 Virusesiiiiiiiiiiiiiiiiiiiiiiiii98
4.2 Intrusion Detection Systemiiiiiiiiiiiiiiiiiii99
4.2.1 *
!&JJ
iiiiiiiiiiiii..99
4.2.2 *
!&JJ
(IDS)iiiiiiiiii..104
4.2.3 )$*
!&JJ
iiiiiiiiiiii.105
4.2.4 Snort IDPSiiiiiiiiiiiiiiiiiiiiiii108
4.3 Incident Responseiiiiiiiiiiiiiiiiiiiiii119
])
$% 4iiiiiiiiiiiiiiiiiiiiiiiiii 125
$
# 5 $$$$%!/0 (Designing Securities)>>>> 127
5.1 -
-!(!F€.&.
(Designing and Configuring Firewalls)iiiiiiiiiiiii..127
5.1.1 -
,*€.&.!O]K)iiiii...128
5.1.2 _# Access Control Lists (ACLs) _)K€.&.iii...130
5.1.3 _# iptables _)K€.&. iiiiiiiiiiii...132
,
#
5.1.4 _# iptables _)K€.&.-
Statefulliiiiiii..138
5.2 -
&(_)-)
(Designing Local Network Security)iiiiiiiiiiiiii..144
5.2.1 --XX!+%,)* (Packet Sniffer)iiiiiiii145
5.2.2 ARP SPOOFINGiiiiiiiiiiiiiiiiiiii.148
5.2.3 K)* ARP SPOOFINGiiiiiiiiiii..149
5.2.4 J!$* ARP SPOOFINGiiiiiiiiiiiiii..152
5.2.5 c)J!$* ARP SPOOFINGiiiiiiiiii152
5.3 Designing Remote Security Solutionsiiiiiiiiiiiiii154
5.3.1 K%)X! (Telnet)iiiiiiiiiiiiiiiiii..155
5.3.2 K% SSHiiiiiiiiiiiiiiiiiiiiiii156
5.3.3 K% FTPiiiiiiiiiiiiiiiiiiiiiii.157
])
$% 5iiiiiiiiiiiiiiiiiiiiiiiiii.165
$
# 6 $ !/# U0V@%!/0
(ICT Risk Management & Security Architecture)>>>>>>>>>>...167
6.1 &$% (ICT Risk Management)iiiiiiiiii...167
6.1.1 )&$% (Risk Identification)iiiiiiiiii.167
6.1.2 )&$% (Risk Assessment)iiiiiiiii..168
6.1.3 P._)&
&$% (Risk Control Strategies)iii169
6.2 Ra!*O&(
(Security Architecture)iiiiiiiiiiiiiiiiiiii.171
6.2.1 O&(*Y.€&.-*,iiiiiii171
6.2.2 O&(*
+*,-
].+*,iiiiiiiiiiiiiiiiiiii172
,
#
6.3 O&($%R*R`( (Operational Security)ii..173
6.3.1 K
Domain controller Server
(Windows Server 2000, 2003)iiiiiiiiiiiiii...174
6.3.2 K
Application Server
(Windows Server 2000, 2003)iiiiiiiiiiiiii225
6.3.3 K
Linux Redhat, Fedora Core Server Role: Generalii..259
6.4 Computer Forensicsiiiiiiiiiiiiiiiiiiiii.294
6.4.1 ‚*ƒ)iiiiiiiiiiiiiiiiiiiii.294
6.4.2 Chain of Custodyiiiiiiiiiiiiiiiiiiii295
6.4.3 &J#$&!*ƒ)iiiiiiiiiiiiiiiiii..295
6.4.4 %$%JK^)_)K Computer Forensicsiiiiiiiiii298
6.5 Encryption and Decryptioniiiiiiiiiiiiiiiiii..300
6.5.1 ** (Cryptography)iiiiiiiiiiiii.301
6.5.2 `_)**iiiiiiiiiiiiiii301
6.5.3 `-
s
( (Hybrid algorithms)iiiiiiiii...306
6.5.4 &&*'-J$_% #_)*iiiiiiiiiii...308
6.6 Secured Applicationsiiiiiiiiiiiiiiiiiiiii...316
6.6.1 !,-#)% --)&c)iiiiiiii...316
6.7 -
(iiiiiiiiiiiiiiiiiiiiiiiiiii.334
6.7.1 -
($% 6.7.1iiiiiiiiiiiiiiiiii.334
6.7.2 -
($% 6.7.2iiiiiiiiiiiiiiiiii.334
])
$% 6iiiiiiiiiiiiiiiiiiiiiiiiii.335
&! (. )). L]$iiii.iiiiiiiiiiiiiiiiiiiii337
&! J. J) iiiiiiiiiiiiiiiiiiiiiiii.338
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
1
บทที 1
มาตรฐานความมันคงปลอดภัย (Security Baselines)
Security Baselines คือ มาตรฐานทีระบุถึงข้ อกําหนดขันตํ
J าของการควบคุมด้ านความมัน คง
ปลอดภัย และมีความเหมาะสมกับองค์กรส่วนใหญ่ภายใต้ สภาวะปกติ ซึงโดยทัว ไปแล้ วมาตรฐานมัก
กล่าวถึงแบบอย่างทังในประเด็
J
นทางเทคนิค (Technical) เช่น การตังค่
J าของโปรแกรม เป็ นต้ น และ
ประเด็นทางการปฏิบตั ิงาน เช่น การปรับปรุงโปรแกรมทีใช้ กบั patch ต่างๆ จากผู้จําหน่ายอยูเ่ สมอ
เป็ นต้ น
ทังนี
J Jแนวคิดของ Security Baselines จะต้ องสามารถนําไปใช้ ได้ กบั ทุกรู ปแบบของ Hardware,
โปรแกรม, ระบบปฏิบตั ิการ และเครื อข่าย ซึง จะเป็ นการแนะนําข้ อกําหนดขันตํ
J าทางความมัน คงปลอดภัย
ที ถ้ าปฏิ บัติ ต ามแล้ ว จะสามารถลดช่ อ งโหว่ (Vulnerability) ที มี ต่ อ ภัย คุก คามต่ า งๆ (Threats) ได้
นอกจากนี Jยังไม่จําเป็ นต้ องมีการว่าจ้ างทีปรึ กษาด้ วยราคาสูงในการวิเคราะห์ความเสียง (Risk) ของ
สภาพแวดล้ อมทีเป็ นอยูเ่ พือทีจะกําหนดการควบคุมความมัน คงปลอดภัยทีเหมาะสมต่อการนําไปใช้ งาน
จริ งอีกด้ วย โดยเฉพาะกับธุรกิจแบบ Mom-and-Pop Business (ธุรกิจทีมีพนักงานน้ อยกว่า 10 คน และ
ธุร กิ จ ครอบครั ว) ที มักจะไม่มีบุค คลากรผู้เ ชี ยวชาญทางเทคโนโลยีส ารสนเทศเพือ ทํ า การรั บ รอง
(Assurance) ในขันตอนต่
J
างๆ ของ Computer Security
บางแนวคิดก็ให้ มีการนําเอา Security Baselines มาใช้ กับการดําเนินการทางอุตสาหกรรม
ทังหมด
J
โดยทีไม่ต้องสนใจในขันตอนของการวิ
J
เคราะห์ความเสียง บางแนวคิดก็ว่า Baselines เป็ นแค่
จุดเริ มต้ นของการยอมรับได้ ทีตําทีสดุ ในด้ านความมัน คงปลอดภัยต่อองค์กร โดยควรเพิมเติมขึ Jนตามเวลา
ทีได้ มีการใช้ งานระบบ, องค์ ความรู้ และงบประมาณทีได้ รับอนุญาต ซึงต้ องขึนJ อยู่กับความเสียงใน
สภาวะต่างๆ ด้ วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
2
เรือง
•
Security Baselines (มาตรฐานความมัน คงปลอดภัย)
•
Network Device and Operating System Hardening (การสร้ างความมัน คงปลอดภัย
บนอุปกรณ์เครื อข่าย และระบบปฏิบตั ิการ)
•
Server Application Hardening (การสร้ างความมัน คงปลอดภัยบนโปรแกรมเครื องแม่
ข่าย)
แนวคิด
•
Security Baselines คือ มาตรฐานทีระบุถึงข้ อกําหนดขันตํ
J าของการควบคุมด้ านความ
มัน คงปลอดภัย และมีความเหมาะสมกับองค์กรส่วนใหญ่ภายใต้ สภาวะปกติ
•
องค์กรสามารถหาหนทางทีเหมาะสมในการแก้ ไขปั ญหา หรื อประเด็นในการทํางานงาน
ต่างๆ โดยเลือกจาก Security Baselines ทีมีอยู่แล้ วได้ เช่น COBIT Framework, COSO,
ITIL, lSO/IEC 27001, 17799:2005, FIPS PUB 200, ISO/IEC 13335, lSO/IEC 154082005/Common Criteria /ITSEC, PRINCE2, PMBOK, TickIT, TOGAF8.1, lT Basellne
Protection Manual และ NIST 800-14 เป็ นต้ น
•
OS hardening ถือเป็ นข้ อตกลงในการกระทําต่างๆทีสามารถทําให้ เกิดความปลอดภัย
(secure) กับระบบปฏิบตั ิการได้
•
Network hardening มีความเกียวข้ องกับขันตอนต่
J
างๆในเรื องของความปลอดภัยทังJ
เครื อข่ายและอุปกรณ์ตา่ งๆ โดยจะประกอบด้ วยการรักษาความปลอดภัยของอุปกรณ์
ต่างๆทีม ีการกําหนด options แบบ “out of the box”
•
Server Application hardening เป็ นกระบวนการของการรักษาความปลอดภัยแก่
applications ทีมีการใช้ งานอยูบ่ นระบบเครื อข่าย ซึง ถือได้ วา่ เป็ นประเด็นพื Jนฐานหลักของ
ความมัน คงปลอดภัยบนระบบเครื อข่าย
•
สิง ทีควรคํานึงก็คือ การควบคุมผู้ใช้ นนจะต้
ั J องคํานึงถึงความพึงพอใจของผู้ใช้ เองด้ วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3
วัตถุประสงค์
•
อธิบายเกียวกับมาตรฐานความมัน คงปลอดภัยได้
•
อธิบาย Operating System Hardening ได้
•
อธิบาย Network Hardening ได้
•
อธิบาย Server Application Hardening ได้
ในการสร้ าง Security Baselines ให้ เหมาะสมจําเป็ นต้ องพิจารณาดังต่อไปนี J
•
เอกสารของ security baseline ทุกๆ ฉบับต้ องสามารถใช้ ได้ กบั hardware และ software
ทีใ ช้ อยู่
•
ทุกๆ “Best practices” ต้ องเป็ นการแนะนําทีสามารถใช้ ได้ กบั hardware/software ทีใช้
อยู่ และอาจมีการแนะนําอืนๆ เพิมเติมตามจุดมุง่ หมายของ Baselines นันๆ
J ได้
•
มีหวั ข้ อเฉพาะทีอาจนําไปใช้ กบั ส่วนย่อยต่างๆ ทีควรมีการให้ ความระมัดระวังเป็ นพิเศษ
อย่างเช่น Web server ทีมีการใช้ งานมาอย่างยาวนานก็มักเป็ นเป้าหมายทีน่าสนใจ
สําหรับผู้เจาะระบบ (Hackers)
•
ในการดําเนินการจริ งต้ องสังเกตจากอะไรก็ตามทีผ้ ดู แู ลระบบส่วนใหญ่มกั พูดและทํา เช่น
ว่า คุณต้ องการทีจะใช้ งาน FTP server อย่างง่ายๆ ด้ วยการใช้ “Warez” (Software ไม่
ถูกต้ องทังหลายรวมไปถึ
J
งทีมีการละเมิดลิขสิทธิxด้วย) ทีมีอยูท่ วั ไปบน Internet หรื อไม่? ถ้ า
คําตอบของคุณคือไม่ ก็ให้ ดําเนินการตามขันตอนที
J
ผ้ ดู แู ลระบบคนอืนใช้ ในการรักษาความ
ปลอดภัยบนเครื อง Server ของพวกเขาเอง
•
ต้ องนําไปปรับใช้ งานให้ เหมาะสมตามสภาพแวดล้ อมทีมีความจําเพาะของแต่ละองค์กรได้
โดยทัว ไปแล้ วการตรวจสอบความมัน คงปลอดภัยตามชุดมาตรฐานต่างๆ มักเป็ นการให้ แนวคิด
เกียวกับขันแรกในการระบุ
J
ถึงกฎระเบียบต่างๆ ตามทีต้องการ และนันJ ก็ถือได้ ว่าเป็ นเครื องมือทีทําให้
Baselines สามารถบังคับใช้ ได้ ด้วยตัวของมันเอง
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
4
ส่วนการนําคําแนะนําต่างๆของ Baselines ไปใช้ งานจริ งนันJ แนวคิดหนึงก็คือเราไม่สามารถนํา
กลับมาใช้ ซํ Jาๆ ได้ มากนัก ด้ วยเหตุที “ห้ ามหยุดตระเตรี ยมต่ อไปข้ างหน้ า” ในงานด้ านความมัน คง
ปลอดภัยนันJ ทําให้ ต้องให้ ความสําคัญกับการตรวจสอบและการตรวจสอบซํ Jาเมือมีการจัดตังอะไรก็
J
ตาม
ขึ Jนใหม่ เพือสร้ างความมัน ใจว่าจะไม่เกิดความผิดพลาดในทุกเครื อข่ายหรื อระบบทีเป็ นส่วนสําคัญยิง ซึง
นันก็
J หมายถึงการทํางานทีมีความมัน คงปลอดภัยสูงขึ Jนด้ วย ถึงอย่างนันก็
J เป็ นเรื องทีค่อนข้ างลําบาก
เนืองจากชุด Software ทัว ไปก็มกั จะบรรจุการทํางานทีจะไม่สามารถทํางานได้ ถ้าระบบของไฟล์ไม่มี
ความมัน คงปลอดภัยเพียงพอ ซึงโดยทัว ไปแล้ วผู้ใช้ ก็มกั จะไม่ได้ ทําการระบุถึงหน้ าทีโดยทัว ไปขอผู้ใช้ ใน
ระดับผู้ดแู ล (administrative) ไว้ ด้วยทําให้ เกิดปั ญหาตรงจุดนี Jได้ อย่างไรก็ตามองค์กรสามารถหาหนทาง
ทีเหมาะสมในการแก้ ไขปั ญหา หรื อประเด็นในการทํางานงานต่างๆ โดยเลือกจาก Security Baselines ที
มีอยู่แล้ วได้ เช่น COBIT Framework, COSO, ITIL, lSO/IEC 27001, 17799:2005, FIPS PUB 200,
ISO/IEC 13335, lSO/IEC 15408-2005/Common Criteria /ITSEC, PRINCE2, PMBOK, TickIT,
TOGAF8.1, lT Basellne Protection Manual และ NIST 800-14 เป็ นต้ น
COBIT
กรอบวิธีปฏิบตั ิ COBIT (Control Objective for Information and Related Technology) เป็ นรู ปแบบวิธีปฏิบตั ิที
ถูกพัฒนาขึ Jนโดยกลุม่ ความร่ วมมือทีชือว่า Information Systems Audit and Control Association (ISACA) ใช้
สําหรับองค์กรทีต้องการมุ่งสูก่ ารพัฒนาให้ ระบบเทคโนโลยีสารสนเทศมีความเป็ น “ไอทีภิบาล” หรื อ “IT
Governance” กล่าวคือ สามารถบริ หารจัดการระบบสารสนเทศขององค์กรให้ สามารถใช้ งานได้ อย่างมี
ประสิทธิภาพ มีความคุ้มค่ากับการลงทุน ดังนันJ กรอบวิธีปฏิบตั ินี Jจึงมีตวั วัดในระดับของการดําเนินการ
ในแต่ละกระบวนการ และได้ รับความนิยมใช้ กนั โดยแพร่หลายในกลุม่ ธุรกิจด้ านการเงินและการธนาคาร
สําหรับเนื Jอหาของกรอบวิธีปฏิบตั ิ COBIT เวอร์ ชนั 3 มีเนื Jอหาหลักๆ แบ่งเป็ น 4 ด้ านดังนี J
1. Planning and Organization (PO) ประกอบด้ วยวัตถุประสงค์จํานวน 10 ข้ อ
2. Acquisition and Implementation (AI) ประกอบด้ วยวัตถุประสงค์จํานวน 7 ข้ อ
3. Delivery and Support (DS) ประกอบด้ วยวัตถุประสงค์จํานวน 13 ข้ อ
4. Monitoring (M) ประกอบด้ วยวัตถุประสงค์จํานวน 4 ข้ อ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
5
กรอบวิธีปฏิบตั ิ COBIT นันJ แรกเริ มเดิมทีได้ รับการเผยแพร่ ในรู ปแบบของกระบวนการด้ าน
เทคโนโลยีสารสนเทศ (IT process) และใช้ เป็ นกรอบวิธีปฏิบตั ิเพือควบคุมกระบวนการด้ านเทคโนโลยี
สารสนเทศทีเชือมโยงกับความต้ องการทางธุรกิจ ขณะเดียวกันกรอบวิธีปฏิบตั ิ COBIT ก็ถกู นําไปใช้ เป็ น
แนวทางในการระบุการดําเนินงานทางธุรกิจแต่ละกระบวนการกับเจ้ าของกระบวนการด้ านเทคโนโลยี
สารสนเทศนันๆ
J เช่น กระบวนการพัฒนาแอพพลิเคชัน มีเจ้ าของกระบวนการคือผู้ทีเป็ นผู้ให้ requirement
แก่ผ้ พู ฒ
ั นาระบบและเป็ นผู้ใช้ งานโดยตรง แต่สําหรับภาครัฐอาจมีการจ้ างบริ ษัทรับจ้ างเหมาพัฒนา
แอพพลิเคชัน แต่กระนันJ เมือระบุผ้ ทู ีเป็ นเจ้ าของกระบวนการ การระบุก็จะต้ องระบุถึงหน่วยงานภาครัฐ
นันว่
J าเป็ นเจ้ าของกระบวนการพัฒนาแอพพลิเคชัน ไม่ใช่ผ้ รู ับเหมาการมีเจ้ าของกระบวนการทีชดั เจนทํา
ให้ การดําเนินการภายในต้ องมีความชัดเจนด้ วย ต้ องมีการกําหนดความต้ องการของระบบ โดยผู้เป็ น
เจ้ าของระบบ เช่น แอพพลิเคชัน นี Jมี requirement อะไรบ้ างทีพฒ
ั นาแล้ วต้ องสามารถสอดรับกับภารกิจ
ของหน่วยงานทีเป็ นเจ้ าของระบบ หรื อต้ องมีการกําหนดหัวข้ อ security requirement ไว้ เป็ นหัวข้ อหนึง
ใน Term of Reference (TOR) เพือกําหนดเป็ น requirement ให้ กับผู้รับเหมาในการพัฒนาว่า
แอพพลิเคชัน นี Jต้ องรองรับการกรอกข้ อมูลทีเ ป็ นการรันคําสัง ทางไกลเพือบุกรุกระบบ เป็ นต้ น
ดัง นันJ การมี เ จ้ าของกระบวนการหรื อ การที ส ามารถระบุ ไ ด้ ว่ า หน่ ว ยงานใดเป็ นเจ้ าของ
กระบวนการบ้ างการระบุดงั กล่าวจะช่วยให้ มีผ้ รู ับผิดชอบเป็ นเจ้ าของกระบวนการ และจะต้ องมีหน้ าที
ผูกพันกับกระบวนการนันJ ๆ ในการดูแลรั บผิดชอบและรั กษาความปลอดภัยของสารสนเทศในแต่ละ
กระบวนการภายหลัง ผู้พฒ
ั นา COBIT ได้ มีการเพิมเติมแนวทางปฏิบตั ิ (Management Guidelines)
เพือเสริ มสร้ างการให้ บริ การด้ านเทคโนโลยีสารสนเทศให้ มีคณ
ุ ภาพมากยิงขึ Jน เมือมีผ้ ใู ช้ กรอบวิธีปฏิบตั ิ
COBIT มากขึ Jน กลุม่ ผู้พฒ
ั นาจึงได้ มีการจัดทําเครื องมือช่วยในการบริ หารจัดการ เช่น บรรดา Checklist
ทีระบุไว้ ในกระบวนการต่างๆ ซึง จะช่วยในเรื องของการกําหนดตัวชี Jวัดและเป็ นการยกระดับในการพัฒนา
ตัวชี Jวัดเหล่านี Jสามารถคํานวณเป็ นตัวเลขทีสามารถวัดประสิทธิภาพและประสิทธิผลได้ อีกด้ วย (Metrics
and Maturity models) ด้ วยเหตุนี J COBIT จึงกลายเป็ นมาตรฐานหรื อกรอบวิธีปฏิบตั ิทีใช้ งานด้ านธุรกิจ
กัน อย่า งแพร่ ห ลายและถูก นํ า ไปประยุก ต์ ใ ช้ ม ากขึนJ ในด้ า นของการใช้ เ ป็ นกรอบวิธี ป ฏิ บัติ ง านด้ า น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
6
เทคโนโลยีสารสนเทศทีมีประสิทธิภาพและประสิทธิ ผลหรื อมีความคุ้มค่าในการใช้ งานระบบเทคโนโลยี
สารสนเทศ หรื อ IT Governance นัน เอง
กล่าวโดยสรุ ป กรอบวิธีปฏิบตั ิ COBIT สามารถอธิ บายเป็ นภาพกว้ างๆ โดยพิจารณาจาก
ระดับบนลงล่าง (Top-Down approach) หัวข้ อใหญ่ (Domains) -> กระบวนการต่างๆ (Processes) ->
กิจกรรมหรื อหน้ าทีงานต่างๆภายใต้ กระบวนการนันJ (Activities/Tasks) อย่างไรก็ตาม กรอบวิธีปฏิบตั ินี J
มุ่งเน้ นในการยกระดับประสิทธิ ภาพของระบบเทคโนโลยีสารสนเทศทีเป็ นส่วนผลักดันงานขององค์กร
มากกว่าความมุง่ เน้ นทางด้ านการรักษาความมัน คงปลอดภัยเ ท่ากับมาตรฐาน ISO/IEC 27001
แหล่ งข้ อมูลเพิมเติม
http://www.isaca.org/cobit
http://www.itgi.org/
http://www.sei.cmu.edu/cmmi
COSO
COSO ย่อ มาจาก ได้ รั บการจัด ทํ าและเผยแพร่ โ ดย Committee of Sponsoring
Organizations of the Treadway Commission กล่าวอีกนัยหนึง COSO เป็ นกรอบวิธีปฏิบตั ิทีจะช่วย
ส่งเสริ มให้ การตรวจสอบกิจการภายในองค์กรหรื อ Internal Control ให้ มีความเทียงตรงต่อหลักการและ
โปร่ งใสมากขึ Jน โดยเฉพาะอย่างยิงองค์กรด้ านการเงิน ซึงประเด็นทีกรอบวิธีปฏิบตั ิ COSO เน้ น ได้ แก่
เรื องของคุณภาพในการจัดทํางบการเงินซึงหมายถึง ความน่าเชือถือถูกต้ องและก็เป็ นไปตามหลักความ
จริ งนัน เอง และอีกสองส่วนสําคัญคือ จริ ยธรรมต่อการตรวจสอบภายในอย่างมีประสิทธิภาพหรื อการ
รายงานตามสิง ทีพบนัน เอง ผู้ตรวจสอบจะต้ องมีจริ ยธรรม รักษาจรรยาชีพของตน ไม่ใช่เอาหูไปนา เอาตา
ไปไร่ ไม่สนใจทีจะทําการตรวจสอบอย่างแท้ จริ ง เช่น กรณีทีเห็นว่างบการเงินมีกําไรผิดสังเกตแต่ก็มิได้
ทักท้ วง เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
7
เมือนํากรอบวิธีปฏิบตั ิ COSO ไปใช้ แล้ วจะช่วยในการลดความเสีย งต่อไปนี Jได้ กล่าวคือ
•
ความเสีย งเกียวกับมาตรการทีขาดการควบคุมอย่างเป็ นระบบ (Non-systematic
approach for controls)
•
มาตรการควบคุมทีไม่สมบูรณ์ (Incomplete control)
•
มาตรการควบคุมทีไ ม่มีประสิทธิภาพ (Inefficient controls)
•
การจัดทํารายงาน หรื อขันตอนปฏิ
J
บตั ิทีมีอยูไ่ ม่รัดกุมเพียงพอ อันเนืองมาจาก
ขาดมาตรการในการควบคุม (Inadequate processes and reporting due to a
lack of controls) COSO ประกอบด้ วยเนื Jอหาหลักๆ 4 ประเภท ดังนี J
1. Executive summary
2. Framework
3. Reporting to External parties
4. Evaluation tools
เนื Jอหาส่วนใหญ่จะเน้ นไปในด้ านของคุณภาพในการจัดทํารายงานงบการเงินและจรรยาบรรณ
แห่งวิชาชีพผู้ตรวจสอบ ทีผ้ ตู รวจสอบภายในต้ องเคร่ งครัดในการตรวจสอบเพือควบคุมทังสถานะทาง
J
การเงิ น และจริ ย ธรรมในการทํ างานของผู้บริ ห ารเพือป้องกันการเกิ ดคอรั บชันภายในองค์ กร โดย
เป้าหมายของการใช้ กรอบควบคุม COSO เพือทีจะปรับปรุ งวิธีการต่างๆ ทีใช้ ควบคุมผู้ประกอบการโดย
นําไปผนวกรวมกับระบบควบคุม/ตรวจสอบกิจการภายใน กรอบควบคุม COSO สามารถทําให้ ผ้ บู ริ หาร
อาวุโสจัดทําการควบคุมภายในให้ มขี ึ Jนในองค์กรเพือทีจะแน่ใจได้ ว่าองค์กรกําลังดําเนินงานอย่างเป็ นไป
ตามเป้าประสงค์ และองค์กรได้ มีการบริ หารจัดการความเสีย งในด้ านต่างๆ อย่างเหมาะสมแล้ ว หรื ออาจ
กล่าวได้ วา่ COSO จะช่วยเสริ มศักยภาพของการควบคุมตรวจสอบกิจการภายใน เพือให้ เข้ าใจถึงกรอบ
วิธีปฏิบตั ิของ COSO มากยิงขึ Jน ได้ มีการนําเสนอเป็ นภาพเปรี ยบเทียบเป็ นมิติระหว่างกรอบ COBIT และ
COSO โดยนํา COBIT Objective เป็ นตัวตังJ และภายในจะมีองค์ประกอบของกรอบCOSO บรรจุอยู่
องค์ประกอบของ COSO มี 5 องค์ประกอบหลัก ได้ แก่
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
8
1) การควบคุมสภาพแวดล้ อม
2) การประเมินความเสีย ง
3) การควบคุมการดําเนินงานหรื อกิจกรรมต่างๆ
4) สารสนเทศและการสือ สาร
5) การติดตามผล
องค์ประกอบทังJ 5 นี Jจะมีสอดแทรกไว้ ในแตล่ ะด้ านของ COBIT ซึงเริ มตังแต่
J การวางแผนและ
ริ เริ ม (Planning &Organize) การกําหนดความต้ องการและลงมือปฏิบตั ิ (Acquire and Implement)
การส่งมอบและให้ การสนับสนุน (Deliver and Support) การติดตามและประเมินผล (Monitor and
Evaluate)
แหล่ งข้ อมูลเพิมเติม
www.cpa2biz.com
ISO/IEC27001, ISO/IEC17799
มาตรฐานนี เJ ป็ นมาตรฐานสากลที มุ่ง เน้ น ด้ า นการรั ก ษาความมัน คงปลอดภัย ให้ กับ ระบบ
สารสนเทศขององค์ ก ร และใช้ เป็ นมาตรฐานอ้ างอิงเพือ เป็ นแนวทางในการเสริ มสร้ างความมันคง
ปลอดภัยให้ กบั ระบบสารสนเทศขององค์กรอย่างแพร่ หลาย โดยแบ่งเนื Jอหาออกเป็ น 11 หัวข้ อใหญ่ๆ
(Domain) ซึง แต่ละหัวข้ อประกอบด้ วยวัตถุประสงค์จํานวนแตกต่างกัน รวมแล้ วจํานวน 39 วัตถุประสงค์
(Control objectives) และภายใต้ วตั ถุประสงค์แต่ละข้ อประกอบด้ วยมาตรการในการรักษาความมัน คง
ปลอดภัยแตกต่างกัน รวมแล้ วจํานวน 133 ข้ อ (Controls) ซึงสามารถนําไปประยุกต์ใช้ เพือรักษาความ
มัน คงให้ กบั ระบบสารสนเทศขององค์กรได้
ก่อนจะมาเป็ นมาตรฐานสากลนี J มาตรฐาน ISO/IEC 27001 และ ISO/IEC 17799:2005 ได้ รับ
การแก้ ไขปรับปรุ งมาจากมาตรฐานเดิมทีชือว่า BS 7799-1 และ ISO/IEC 17799:2000 ตามลําดับ
มาตรฐานนี Jจะประกอบด้ วยเลขหมายในตระกูล 27000 อีกหลายเลขลําดับและองค์กรมาตรฐานสากลจะ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
9
พัฒนามาตรฐานตระกูล 27000 ออกมาในเร็ วๆ นี J ล่าสุดมาตรฐานทีเป็ นข้ อกําหนดหรื อ specification
ของการจัดทําระบบ ISMS ได้ ถูกตีพิมพ์และเผยแพร่ ในลําดับของ ISO/IEC 27001 เมือเดือนตุลาคม
2548 ซึง ทีมงานพัฒนามาตรฐานด้ านความมัน คงปลอดภัยสารสนเทศ ภายใต้ โครงการ ThaiCERT และ
ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์ แห่งชาติ ได้ จดั ทําและเผยแพร่ ไว้ บนเว็บไซต์ของโครงการ
เป็ นภาษาไทยแล้ ว และสามารถศึกษาได้ ตามลิ Jงค์ทีปรากฏในแหล่งข้ อมูลเพิมเติมความแตกต่างระหว่าง
มาตรฐานISO/IEC27001 กับ ISO/IEC17799-2005 สามารถอธิบายโดยย่อได้ ดงั นี J
มาตรฐาน ISO/IEC27001 ว่าด้ วยเรื องของข้ อกําหนดในการจัดทําระบบบริ หารจัดการความ
มัน คงปลอดภัยหรื อ ISMS ให้ กบั องค์กร มีหวั ข้ อทีเกียวข้ องได้ แก่
1. ขอบเขต (Scope)
2. ศัพท์เทคนิคและนิยาม (Terms and definitions)
3. โครงสร้ างของมาตรฐาน (Structure of this standard)
4. การประเมินความเสียงและการจัดการกับความเสียง ลด/ โอนย้ าย/ ยอมรับความเสียง
(Risk assessment and treatment)
มาตรฐาน ISO/IEC 27001 นี Jปั จจุบนั ได้ รับความนิยมอย่างแพร่ หลายเนืองจากประกอบด้ วย
วงจร Plan-Do-Check-Act และใช้ แนวทางการประเมินความเสีย งมาประกอบการพิจารณาหาวิธีการหรื อ
มาตรการเพือป้องกัน ลดความเสียง และรักษาทรัพย์สินสารสนเทศทีมีค่าขององค์กรให้ มีความมัน คง
ปลอดภัยในระดับทีเหมาะสม
สําหรับมาตรฐาน ISO/IEC 17799-2005 ว่าด้ วยเรื องของวิธีปฏิบตั ิทีจะนําไปสูร่ ะบบบริ หาร
จัดการความมัน คงปลอดภัยทีองค์กรได้ จดั ทําขึ Jน ซึงจะต้ องเป็ นไปตามข้ อกําหนดในมาตรฐาน ISO/IEC
27001รายละเอียดของมาตรฐานนี Jจะบอกถึงวิธีปฏิบตั ิในการลดความเสียงทีเกิดจากจุดอ่อนของระบบ
โดยแบ่งเป็ นหัวข้ อหลักทีเกียวข้ องกับระบบ และให้ แนวทางว่าผู้จดั ทําควรปฏิบตั ิอย่างไร ซึงผู้ใช้ สามารถ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
10
เพิมเติมมาตรการหรื อใช้ วิธีการทีมีความมัน คงปลอดภัยเพียงพอ หรื อเหมาะสมตามทีองค์กรได้ ประเมิน
ไว้ หวั ข้ อสําคัญหรื อ 11 โดเมนหลักในมาตรฐาน ISO/IEC 17799-2005 มีดงั นี J
1) นโยบายความมัน คงปลอดภัยขององค์กร (Security policy)
2) โครงสร้ างความมัน คงปลอดภัยภายในองค์กร (Organization of information
security)
3) การจัดหมวดหมูแ่ ละการควบคุมทรัพย์สนิ ขององค์กร (Asset management)
4) มาตรฐานของบุคลากรเพือสร้ างความมัน คงปลอดภัยให้ กับองค์กร (Human
resources security)
5) ความมัน คงปลอดภัยทางด้ านกายภาพและสิงแวดล้ อมขององค์กร (Physical
and environmental security)
6) การบริ หารจัดการด้ านการสือสารและการดําเนินงานของเครื อข่ายสารสนเทศ
ขององค์กร (Communications and operations management)
7) การควบคุมการเข้ าถึงระบบสารสนเทศขององค์กร (Access control)
8) การพัฒนาและดูแลระบบสารสนเทศ (Information systems acquisition,
development and maintenance)
9) การบริ หารจัดการเหตุการณ์ละเมิดความมัน คงปลอดภัย (Information security
incident management)
10) การบริ หารความต่อเนืองในการดําเนินงานขององค์กร (Business continuity
management)
11) การปฏิ บัติ ต ามข้ อ กํ า หนดทางด้ า นกฎหมายและบทลงโทษของการละเมิ ด
นโยบาย (Compliance)
นอกจากมาตรฐาน ISO/IEC 27001 นี Jจะเป็ นมาตรฐานสากลทีใช้ กนั อย่างแพร่ หลายแล้ ว ใน
ด้ านข้ อมูลเชิงลึกพบว่ามีบริ ษัทหรื อองค์กรทัว โลกทีผา่ นการรับรองตามมาตรฐานนี J ประมาณสองพันกว่า
รายแล้ ว ดังนันความพร้
J
อมใช้ ของมาตรฐานนี J และความสําคัญของการเป็ นมาตรฐานทีว่าด้ วยเรื องของ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
11
ความมัน คงปลอดภัยระบบเทคโนโลยีสารสนเทศ มาตรฐานนี Jจึงควรศึกษาและให้ ความสําคัญเป็ นอันดับ
ต้ นๆ
แหล่ งข้ อมูลเพิมเติม
http://www..iso27001security.com/html/iso17799.html
http://www.thaicert.nectec.or.th
ISO/IEC TR 13335
มาตรฐานนี J ย่อมาจาก Guidelines for the Management of IT Security ซึงเป็ น technical
report และมาตรฐาน ISO/IEC 27001 ได้ มีการอ้ างอิงมายังมาตรฐาน ISO/IEC 13335 ในเรื องของการ
จัดทํา technical report ซึงเริ มต้ นจากการระบุภยั คุกคาม จุดอ่อนหรื อช่องโหว่ของระบบเทคโนโลยี
สารสนเทศ แนวทางการประเมินความเสียงต่างๆ จนสามารถระบุแนวทางเพือลดความเสียงได้ สําหรับ
เนื Jอหาหลักของมาตรฐานนี Jจะแบ่งเป็ น 5 ส่วนสําคัญ ดังนี J
1. การบริ ห ารจั ด การหน้ าที ง านต่ า งๆของความมัน คงปลอดภัย ระบบเทคโนโลยี
สารสนเทศทีได้ รับการวางโครงร่ างไว้ รวมถึงจัดหาแนวคิดด้ านความมัน คงปลอดภัย
ให้ เ ป็ นไปตามโครงร่ างที ไ ด้ ตังJ ไว้ ทังJ รู ป แบบสารสนเทศและเทคโนโลยีที ใ ช้ ในการ
ติดต่อสือ สาร
2. การนําไปปฏิบตั ิและการบริ หารจัดการด้ านความมัน คงปลอดภัยต้ องได้ รับการจัดทํา
ด้ วยวิธีการทีเหมาะสมทีสดุ
3. เทคนิคสําหรับการบริ หารจัดการด้ านความมัน คงปลอดภัยต้ องได้ รับการจัดการให้ จาก
ผู้จดั ทําระบบเทคโนโลยีสารสนเทศ
4. ต้ องให้ แนวทางปฏิบตั ิสาํ หรับการเลือกวิธีการรักษาความมัน คงปลอดภัย ซึงพิจารณา
จากประเภทของระบบไอทีนนๆ
ั J รวมถึงความตระหนักด้ านความมัน คงปลอดภัยและ
ภัยคุกคามทีอาจมีขึ Jนในอนาคต
5. สารสนเทศทีอยูบ่ นระบบกรณีทีต้องมีการส่งผ่านสายสือ สาร ต้ องได้ รับการรักษาความ
มัน คงปลอดภัยในระหว่างการส่งและต้ องจัดให้ เครื อข่ายมีความมัน คงปลอดภัยด้ วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
12
แหล่ งข้ อมูลเพิมเติม
www.nist.org
http://csrc.nist.gov/publications
ISO/IEC 15408:2005/Common Criteria/ ITSEC
มาตรฐานนี Jได้ รับการพิมพ์เผยแพร่ โดย ISO/IEC JTC1 กลุม่ องค์กรทีให้ ความร่ วมมือกันจัดทํา
มาตรฐานกลางหรื อข้ อกําหนดร่วมทีเรี ยกว่า Common Criteria โดยส่วนใหญ่เป็ นองค์กรในกลุม่ ประเทศ
ยุโรป เป้าหมายในการร่างมาตรฐานกลางหรื อข้ อกําหนดร่ วมนี Jจัดทําขึ Jนเพือใช้ เป็ นเกณฑ์กลางในการวัด
ระดับความมัน คงปลอดภัยว่าระบบต่างๆ ทีจดั ทําขึ Jนเมือนํามาเปรี ยบเทียบกับเกณฑ์นี Jแล้ วระบบนันจะมี
J
ความมัน คงปลอดภัยอยูใ่ นระดับใด
ทังนี
J Jการทีมีตวั แทนองค์กรมาร่ วมกันกําหนดมาตรฐานกลางนี Jก็เพือความยุติธรรมในการสร้ าง
ข้ อกําหนดองค์กรต่างๆ ทีเข้ ามาร่วมกันดําเนินการในเรื องนี Jได้ แก่
• องค์กร Communication Security Establishment จากประเทศแคนาดา
• องค์กร Central Service of the Information จากประเทศฝรังเศส
• องค์กร Federal Office for Security in Information Technology จากประเทศ
เยอรมันนี
• องค์กร The Netherlands National Communications Security Agency จาก
ประเทศเนเธอร์ แลนด์
• องค์กร Communications-Electronics Security Group จากประเทศสหราช
อาณาจักรอังกฤษ และ
• องค์กร National Institute of Standards and Technology and National
Security Agency จากประเทศสหรัฐอเมริ กา
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
13
แหล่ งข้ อมูลเพิมเติม
www.iso.org
http://isotc.iso.ch/livelink/livelink/fetch/2000/2489/Ittf_Home/PubliclyAvailable
Standards.htm
ITIL
ITIL มาจากคําเต็มว่า IT Infrastructure Library ได้ รับการจัดทําเผยแพร่ โดยหน่วยงานรัฐบาล
คือ Central Computer and Telecommunications Agency หรื อ CCTA ซึงขณะนี Jกลายเป็ นองค์กร
The British Office of Government Commerce (OGC) แต่ก็มิได้ ประกาศบังคับว่าทุกองค์กรทีเกียวข้ อง
จะต้ องปฏิบตั ิตาม ITIL ซึงเป็ นแนวทางปฏิบตั ิ (Guidance) ทีว่าด้ วยเรื องเกียวกับโครงสร้ างพื Jนฐาน
เทคโนโลยีสารสนเทศแบ่งเป็ น 8 เรื อง ดังนี J
1. การบริ หารจัดการซอฟต์ แวร์ และทรั พย์ สินขององค์ กร (Software and Asset
Management)
2. การส่งมอบผลิตภัณฑ์หรื อบริ การทีได้ มาตรฐาน (Service Delivery)
3. คุณภาพของการบริ การหลังส่งมอบ (Service Support)
4. การวางแผนสําหรั บการบริ หารจัดการการให้ บริ การ (Planning to Implement
Service Management)
5. การบริ หารจัดการโครงสร้ างพื Jนฐานด้ านไอซีที (ICT Infrastructure Management)
6. การบริ หารจัดการแอพพลิเคชัน (Application Management)
7. การบริ หารจัดการด้ านความมัน คงปลอดภัย (Security Management)
8. มุมมองทางธุรกิจ (Business Perspective, Volume II)
แต่ ITIL ได้ ชือว่าเป็ นแนวทางปฏิบตั ิทีดีเยียม (best practice) ในการบริ หารจัดการด้ าน IT
Serviceให้ แก่ผ้ บู ริ โภคอย่างเปี ยมคุณภาพ แนวทางปฏิบตั ินี Jเหมาะกับองค์กร ไม่ว่าจะขนาดเล็กหรื อใหญ่
โดยเฉพาะอย่างยิง องค์กรทีเน้ นเรื องของการบริ การด้ าน IT Service
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
14
ITIL เป็ นแนวทางปฏิบตั ิปัจจุบนั ยังไม่สามารถขอใบรับรองได้ เนืองจากปั จจุบนั ITIL เป็ น
เอกสารอ้ างอิงสําหรับใช้ เป็ นแนวทางปฏิบตั ิ แต่ในอนาคตก็อาจมีการคัดเอาเฉพาะส่วนนี Jมาทําข้ อกําหนด
และมีการออกใบรับรองภายใต้ ชือ ISO 20000 (มาตรฐานการให้ บริ การด้ านสารสนเทศ)
แหล่ งข้ อมูลเพิมเติม
www.tso.co.uk/itil/
www.ogc.gov.uk
www.itil.co.uk
www.itsmf.com
FIPS PUB 200
มาตรฐาน FIPS PUB 200 ว่าด้ วยเรื องของข้ อกําหนดขันตํ
J าสําหรับความต้ องการด้ านความ
มัน คงปลอดภัย ซึงเป็ นภาคบังคับขององค์กรบริ หารจัดการสารสนเทศและระบบสารสนเทศกลางของ
ประเทศสหรัฐอเมริ กา ซึง ทุกองค์กรทีเป็ นหน่วยงานภาครัฐจะต้ องปฏิบตั ิตามข้ อกําหนดด้ านความมัน คง
ปลอดภัยนี Jเป็ นอย่างน้ อย โดยมาตรฐานนี Jจะมีการระบุประเภท ของระบบสารสนเทศต่างๆ และวิธีปฏิบตั ิ
ทีจําเป็ นสําหรับควบคุมเพือให้ เกิดความมัน คงปลอดภัยของสารสนเทศในระบบนันๆ
J
FIPS PUB 200 เป็ นมาตรฐานทีได้ รับการพิมพ์เผยแพร่ จากองค์กรกลางทีกํากับดูแลมาตรฐาน
ต่างๆ ของระบบประมวลผลสารสนเทศในประเทศสหรัฐอเมริ กา The Federal Information Processing
Standards (FIPS) มาตรฐานนี Jได้ รับการปรับปรุ งและพิมพ์เผยแพร่ ลา่ สุดเดือนมีนาคม 2006 และการที
FIPS PUB 200 ได้ รับการกําหนดให้ เป็ นมาตรฐานขันตํ
J าและองค์กรภาครัฐต้ องปฏิบตั ิตามเป็ นภาคบังคับ
เนืองมาจากรัฐบาลของประเทศสหรัฐอเมริ กา ต้ องการสนับสนุนเรื องความมัน คงปลอดภัย ดังนันJ จึงได้
บัญญัติกฎหมาย Federal Information Security Management Act (FISMA) ซึงส่งผลให้ หน่วยงาน
ต่างๆ ต้ องปฏิบตั ิตามโดยปริ ยาย สําหรับเนื Jอหาโดยสรุปของมาตรฐานนี J ได้ แก่
1. การระบุข้อกําหนดขันตํ
J าของระบบประมวลผลสารสนเทศขององค์กรกลางในประเทศ
สหรัฐอเมริ กา
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
15
2. การจัดทําข้ อกําหนดนี Jเพือสนับสนุนการพัฒนา
3. การลงมือปฏิบตั ิ
4. การดําเนินการเพือสร้ างความมัน คงปลอดภัยระบบสารสนเทศ โดยหน่วยงานสามารถ
คัดเลือกเฉพาะส่วนทีเกียวข้ องกับองค์กรของตนมาปฏิบตั ิตาม มาตรฐานนี Jจึงได้ มีการ
จัดทําแนวทางในการคัดเลือกและกําหนดมาตรการด้ านความมัน คงปลอดภัยทีจําเป็ น
และเหมาะสมสําหรับระบบประมวลผลสารสนเทศของแต่ละหน่วยงาน
มาตรฐานนี Jกล่าวได้ ว่าเป็ นข้ อกําหนดตามกฎ หรื อข้ อบังคับทีองค์กรภาครัฐหรื อองค์กรกลาง
ของรัฐบาลสหรัฐฯ ต้ องปฏิบตั ิตามให้ ได้ และมาตรฐานนี Jยังเป็ นเพียงข้ อกําหนดขันตํ
J าและไม่มีการให้
ใบรับรอง สําหรับมาตรฐานของระบบสารสนเทศทีต้องการความมัน คงปลอดภัยในระดับทีสงู กว่านี J จะมี
องค์กรอีกองค์กรหนึง ทีช่วยพัฒนามาตรฐานด้ านเทคโนโลยีตา่ งๆ และได้ จดั ทําไว้ เพือเสริ มสร้ างมาตรฐาน
ความมัน คงปลอดภัยทางด้ านเทคนิค หน่วยงานทีดแู ลในส่วนนี Jมีชือว่า (National Institute of Security
Technology หรื อ NIST) ดังนันระบบที
J
มีข้อมูลสารสนเทศทีต้องรักษาความลับ ความถูกต้ อง และความ
สมบูรณ์ของข้ อมูลในระดับสูงจําเป็ น จะต้ องใช้ มาตรฐานทีรัดกุมและเข้ มแข็งมากกว่ามาตรฐาน FIPS
PUB 200 นี J หรื ออาจต้ องอาศัยความเฉพาะด้ านทางเทคโนโลยีและใช้ มาตรฐานของ NIST เป็ นมาตรฐาน
หลัก ทังนี
J J ผู้ศกึ ษาจะได้ กล่าวถึงมาตรฐาน NIST โดยละเอียดต่อไป
แหล่ งข้ อมูลเพิมเติม
www.nist.org
http://csrc.nist.gov/publications
IT Baseline Protection Manual
มาตรฐาน IT Baseline Protection Manual หรื อเรี ยกย่อๆ ว่า IT BPM เป็ นหนังสือคู่มือที
แนะนําการรักษาความมัน คงปลอดภัยระบบอย่างมีมาตรฐาน แต่อาจกําหนดไว้ เป็ นมาตรฐานขันตํ
J า คูม่ ือ
นี Jพิมพ์เผยแพร่ โดย BSI ซึงเป็ นองค์กรกลางทีกํากับดูแลเรื องการรักษาความมัน คงปลอดภัยสารสนเทศ
โดยจะจัดทําเฉพาะระบบสารสนเทศทีมีใช้ ในองค์กรทัว ไป อาทิ ระบบสารสนเทศเกียวกับบุคลากรของ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
16
องค์กร ระบบสารสนเทศสําหรับสือสารด้ วยไปรษณีย์อิเล็กทรอนิกส์ เป็ นต้ น คู่มือนี Jจะให้ การแนะนําว่า
ระบบทียกตัวอย่างนี J ควรมีเกราะป้องกันหรื อวิธีการด้ านความมัน คงปลอดภัยอย่างน้ อยต้ องดําเนินการ
อย่างไรบ้ าง
หนังสือคู่มือนี Jแต่ละองค์กรอาจนําไปประยุกต์ใช้ ด้วยวัตถุประสงค์ทีแตกต่างกันออกไป เช่น
ต้ องการทีจะใช้ เป็ นเกณฑ์ระบุวา่ ความปลอดภัยขันตํ
J าขององค์กรคืออะไร องค์กรต้ องการใช้ เป็ นแนวทาง
ปฏิบตั ิด้านความมัน คงปลอดภัยทีดีระดับหนึง การปรับปรุ งความมัน คงปลอดภัยระบบข้ อมูลสารสนเทศ
หรื อบางองค์กรอาจต้ องการได้ รับใบรับรอง เป็ นต้ น
อย่างไรก็ดี หนังสือคู่มือนี J จะได้ รับการปรับปรุ งทุกๆ หกเดือน การจะปรับปรุ งในหัวข้ อใดจะ
ได้ รับความเห็นชอบจากการลงมติของกลุม่ ความร่ วมมือ หนังสือคู่มือนี Jมีความหนาถึง 2,300 หน้ าและ
เน้ นหนักด้ านเทคนิคเป็ นอย่างมาก เนื Jอหาประกอบด้ วย
1. ระบบต้ อ งมี ก ารบริ ห ารจัด การด้ า นความมัน คงปลอดภัย ตังJ แต่ ขันJ การออกแบบ
ประสานงานและติดตามสถานะของความมัน คงปลอดภัยของระบบทีเกียวกับหน้ าที
งานนันJ
2. ระบบต้ องมีการวิเคราะห์และจัดทําเป็ นเอกสารเกียวกับโครงสร้ างทีมีอยู่ของทรัพย์สิน
ทีเป็ นเทคโนโลยีสารสนเทศในองค์กร
3. ระบบต้ องได้ รับการประเมินถึงมาตรการและระบบบริ หารจัดการด้ านความมันคง
ปลอดภัยเดิมทีได้ จดั ทําไว้ แล้ วนันJ ว่ามีประสิทธิภาพเพียงพอและเหมาะสมแล้ วหรื อยัง
4. องค์กรต่างๆ สามารถนําโครงสร้ างของเครื อข่ายทีมีความมัน คงปลอดภัย ซึงได้
ออกแบบไว้ เหมาะสมแล้ วตามคูม่ ือนี Jมาเป็ นแนวทางในการจัดทําเครื อข่ายขององค์กร
5. ระบบต้ องได้ รับการดําเนินการปรับปรุ งแก้ ไขกรณีทีพบว่ามาตรการหรื อแนวทางการ
รักษาความมัน คงปลอดภัยเหล่านันไม่
J เพียงพอหรื อมีการดําเนินการบางอย่างทียงั ไม่
รัดกุม เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
17
แหล่ งข้ อมูลเพิมเติม
www.sei.cmu.edu/cmmi
www.iso.org
TOGAF 8.1
TOGAF มาจากคําเต็มว่า The Open Group Architecture Forum เป็ นกลุม่ องค์กรทีแบ่งปั น
ข้ อมูลความรู้ ค่ามาตรฐาน ต่างๆ ของสถาปั ตยกรรมทางด้ านฮาร์ ดแวร์ และซอฟต์แวร์ เพือให้
เครื องใช้ ไฟฟ้ า หรื อผลิตภัณฑ์อิเล็กทรอนิกส์ทีผลิตต่างค่าย ต่างบริ ษัท มีพื Jนฐานของสถาปั ตยกรรมด้ าน
ฮาร์ ดแวร์ และซอฟต์แวร์ ไปในทางเดียวกันมีความเข้ ากันได้ โดยอาศัยการประชุมหารื อระหว่างกลุม่ ผู้ผลิต
กลุม่ ผู้ใช้ กลุม่ ทีทดสอบ เพือลงความเห็นให้ ใช้ สถาปั ตยกรรมพื Jนฐานทีมีมาตรฐานเดียวกัน ทังนี
J J เพือให้
สามารถรองรับในเรื องของความเข้ ากันได้ ทงในด้
ั J านของความต้ องการทางธุรกิจ โครงสร ◌้างข้ อมูล
โครงสร้ างเกียวกับแอพพลิเคชัน และสถาปตั ยกรรมด้ านเทคโนโลยีต่างๆ เพือประโยชน์ในการพัฒนาต่อ
ยอดผลิตภัณฑ์อิเล็กทรอนิกส์ตา่ งๆ ซึง ในระยะหลังได้ มีการเสริ มเรื องของการรักษาความมัน คงปลอดภัย
ข้ อมูลมากขึ Jน
สถาปั ตยกรรมทีกลุ่มผู้ผลิตร่ วมกันปฏิบตั ิ ประกอบด้ วย Business Architecture, Data
Architecture, Applications Architecture, Technology Architecture เป็ นต้ น ปั จจุบนั TOGAF เป็ น
เครื องมือทีช่วยผู้ผลิตหรื อผู้ประกอบการในการจัดทําฮาร์ ดแวร์ และซอฟต์แวร์ ในเรื องของค่าใช้ จ่าย มีกลุม่
ความร่ วมมือเป็ นฐานช่วยสร้ างความสมบูรณ์ให้ กบั ผลิตภัณฑ์และเกิดผลิตภัณฑ์ใหม่ๆ ขึ Jน ผู้ผลิตทีมี
ความร่ วมมือกันได้ แก่ HP, IBM, HITACHI, NEC, Fujitsu, Capgimini เป็ นต้ น โดยกลุม่ ความร่ วมมือนี J
เริ มเกิดขึ Jนเมือปี 1995 ในระหว่างทีมีเวทีสําหรับการจัดทําระบบให้ กบั องค์กรด้ านความมัน คงทางทหาร
ของประเทศสหรัฐอเมริ กา หรื อ DoD (Department of Defense) และมีการแบ่งปั นข้ อมูลข่าวสารทีเป็ น
ความรู้และแนวทางระหว่างกัน นอกจากนี Jได้ มีการเผยแพร่ความรู้และข้ อกําหนดเหล่านันบนเว็
J
บไซต์ของ
กลุม่ ความร่วมมือนี Jด้ วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
18
สําหรับการให้ ใบรับรอง โดยตัวบุคคลแล้ ว สามารถสมัครเข้ ารับการอบรมและรับการทดสอบ
หากผ่านจะสามารถได้ ใบรับรองได้ สําหรับในนามองค์กรสามารถมีผลิตภัณฑ์/บริ การ ทีได้ รับการรับรอง
ว่าเป็ นผลิตภัณฑ์/บริ การ ภายใต้ การรับรองของ TOGAF เช่นกัน ขณะนี Jท่านทีสนใจอ่านมาตรฐาน
อุตสาหกรรมเปิ ดของ TOGAF สามารถดาวน์โหลดได้ จากเว็บไซต์ในลิ Jงก์ด้านล่างนี J ซึงมีตงแต่
ั J เวอร์ ชนั
TOGAF version 8 (Enterprise Edition) เผยแพร่เมือเดือนธันวาคม 2002 และปรับเป็ นเวอร์ ชนั 8.1 เมือ
เดือนธันวาคม 2003 สําหรับ TOGAF version 7 (Technical Edition) พิมพ์เผยแพร่ เมือเดือนธันวาคม
2001 จัดพิมพ์เกียวกับด้ านเทคนิค สําหรับ TOGAF version 8 จะเน้ นเรื องของสถาปั ตยกรรมทางเทคนิค
และใช้ วิธีพฒ
ั นาจากของเดิม สําหรับเวอร์ ชนั 9 ซึง น่าจะเผยแพร่ปี 2006 เป็ นอย่างช้ า จะมีการเพิมเติมใน
ประเด็นต่อไปนี Jด้ วย
• The enterprise, culture and stakeholders
• Enterprise architecture creation
• Enterprise architecture-based transformation
• Enterprise architecture deployment
• Enterprise architecture realisation
• Enterprise architecture management and governance
แหล่ งข้ อมูลเพิมเติม
www.opengroup.org
www.opengroup.org/architecturel
www.opengroup.org/togaf8-doc/arh
PRINCE2
PRINCE2 เป็ นเครื องมื อทีได้ รับการพัฒนาขึนJ เพือเป็ นการช่วยให้ ผ้ ูมีหน้ าทีเป็ น Project
Manager สามารถทํางานได้ สะดวกขึ Jน เครื องมือนี Jจะรวมสภาวะแวดล้ อมทางธุรกิจทีเกียวข้ องกับการ
จัดทําโครงการด้ านเทคโนโลยีสารสนเทศทีหลากหลาย และสามารถแจกแจงออกมาเป็ นกิจกรรมทีต้อง
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
19
กระทํา เพือช่วยในการบริ หารจัดการโครงการด้ านไอที ให้ สามารถดําเนินการได้ อย่างมีประสิทธิภาพและ
ประสิทธิผล และสิงทีเครื องมือ PRINCE2 นี Jได้ รวบรวมไว้ นนเป็
ั J นกิจกรรมทีเป็ นพื Jนฐานและสามารถ
ปรับแต่งให้ เหมาะสมกับเงือนไขต่างๆ ตามการบริ หารจัดการโครงการได้ ซึงอาจกล่าวได้ ว่า ผู้บริ หารทีใช้
เครื องมือนี Jจะสามารถบริ หารโครงการได้ สมั ฤทธิผลอย่างแน่นอนอย่างไรก็ดีเครื องมือดังกล่าวแม้ จะได้ รับ
การยอมรับว่าเป็ นเครื องมือทีใช้ กนั จนเป็ นทีนิยมและเกือบจะกลายเป็ นมาตรฐานของการบริ หารจัดการ
โครงการด้ านไอทีไปแล้ วก็ตามแต่ก็ไม่ได้ ประกาศให้ เป็ นมาตรฐานทีทกุ องค์กรควรต้ องนําไปใช้ เนืองด้ วย
ข้ อจํากัดในการประยุกต์ให้ เหมาะสมกับองค์กรซึง บางองค์กรทีมีขนาดใหญ่ก็จะสามารถใช้ งานเครื องมือ
นี Jได้ อย่างคุ้มค่า แต่หากไม่ใช่องค์กรขนาดใหญ่ก็อาจไม่ค้ มุ ทีจะนําเครื องมือนี Jไปประยุกต์ใช้
สําหรับเครื องมือ PRINCE2 ได้ จดั พิมพ์เผยแพร่ เป็ นครังJ แรกโดย the Central Computer and
Telecommunications Agency (CCTA) และได้ รับการนําไปพัฒนาต่อโดย British Office of
Government Commerce (OGC) และตีพิมพ์เป็ นภาษาอังกฤษเท่านันJ
แหล่ งข้ อมูลเพิมเติม
www.ogc.gov.uk
www.apmgroup.co.uk
PMBOK
PMBOK เป็ นแนวทางปฏิบตั ิของการบริ หารจัดการโครงการทีเป็ นองค์ความรู้ หรื อ Body of
Knowledge ย่อมาจาก A Guide to the Project Management Body of Knowledge แนวทางปฏิบตั ินี J
ได้ ถกู อธิบายไว้ วา่ เป็ นข้ อสรุปของความรู้ทีเกียวกับการบริ หารจัดการโครงการอย่างมืออาชีพ และเป็ นหนึง
ในมาตรฐานของสหรัฐอเมริ กาภายใต้ ชือว่า ANSI/PMI 99-001-2004
แม้ วา่ แนวทางปฏิบตั ิเกียวกับการบริ หารจัดการโครงการเป็ นเรื องทีหลายคนต่างให้ ความสนใจ
แต่เนืองจากการขาดแคลนเครื องมืออัตโนมัติทีจะสามารถนํามาช่วยอํานวยความสะดวกในการบริ หาร
จัดการกลุม่ ผู้เห็นความจําเป็ นของการบริ หารจัดการโครงการ โดยเฉพาะอย่างยิงโครงการเกียวกับระบบ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
20
เทคโนโลยีสารสนเทศซึงมีความซับซ้ อน มีความต้ องการทางธุรกิจทีต่างกัน สภาวแวดล้ อมทางธุรกิจ
ต่างกัน ความต้ องการในการจัดทําระบบจึงต่างกันไปด้ วย จึงกลายเป็ นเรื องยากทีจะจัดการนําความรู้
เหล่านี Jมารวมกัน
อย่างไรก็ตาม เมือเริ มจัดทําโครงการมากขึ Jน วิธีการบริ หารจัดการก็มากขึ Jนเป็ นลําดับ กลุม่ ผู้
เห็นความสําคัญจึงได้ รวบรวมองค์ความรู้เหล่านี Jขึ Jน และเริ มมีการนําไปใช้ และเห็นว่าสามารถใช้ งานได้ ดี
เหมาะกับการบริ หารจัดการโครงการโดยส่วนใหญ่ แม้ จะไม่ทงหมด
ัJ
แต่ก็สามารถรวบรวมเอากระบวนการ
ด้ านไอทีทีเป็ นพื Jนฐานมาใช้ ได้
แหล่ งข้ อมูลเพิมเติม
www.pmi.org
TickIT
TickIT เป็ นมาตรฐานกลุม่ อุตสาหกรรม และเป็ นกรอบสําหรับการให้ การรับรองระบบบริ หาร
จัดการคุณภาพสําหรับการพัฒนาซอฟต์แวร์ วัตถุประสงค์หลักของมาตรฐานนี Jคือต้ องการสร้ างหรื อ
ปรั บ ปรุ ง ในเรื อ งของระบบบริ ห ารจัด การคุ ณ ภาพสํ า หรั บ การพัฒ นาซอฟต์ แ วร์ ใ ห้ เป็ นไปอย่ า งมี
ประสิทธิ ภาพและประสิทธิ ผล และเป็ นไปตามระบบบริ หารจัดการคุณภาพ โดยกลุ่มเป้าหมายของ
มาตรฐาน TickIT ทีควรศึกษาและทําความเข้ าใจได้ แก่ กลุม่ ลูกค้ าผลิตภัณฑ์ซอฟต์แวร์ โดยเฉพาะอย่าง
ยิงระดับผู้บริ หารทีควรทราบว่าจะจัดทําข้ อกําหนดในการจัดซื Jอจัดจ้ างและระบุความต้ องการทีถกู ต้ อง
ให้ กบั ผู้ผลิตซอฟต์แวร์ ได้ อย่างไร เป็ นต้ น กลุม่ ต่อมาคือกลุม่ ผู้ให้ บริ การจัดหาซอฟต์แวร์ ต่างๆ ซึงเป็ นผู้ที
ต้ องพัฒนาระบบบริ หารจัดการคุณภาพสําหรับการพัฒนาซอฟต์แวร์ ของตนให้ ได้ มาตรฐานและมีการ
พัฒนาอย่างต่อเนือง นอกจากนี J กลุ่มผู้ตรวจสอบ (auditor) ควรให้ ความสนใจในมาตรฐานนี Jด้ วย
เนืองจากมาตรฐานนี Jสามารถให้ การรับรองได้ ซัพพลายเออร์ รวมถึงการรับรองคุณภาพและช่วยสร้ าง
กระบวนการพัฒนาอย่างต่อเนืองให้ กบั ผู้ผลิตซอฟต์แวร์
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
21
ทีมาหลักของการพัฒนามาตรฐาน TickIT มาจากกลุม่ อุตสาหกรรมชาวอังกฤษและสวีดิช โดย
บรรดาผู้พฒ
ั นาได้ จําลองสถานการณ์ในการพัฒนาระบบซอฟต์แวร์ โดยคํานึงถึงประเด็นเกียวกับ
1. อะไรคือคุณภาพในกระบวนการพัฒนาซอฟต์แวร์
2. การจะพัฒนาซอฟต์แวร์ ให้ ได้ คณ
ุ ภาพนันต้
J องทําอย่างไร และ
3. ระบบบริ หารจัดการต่างๆ ทีเกียวข้ องเพือให้ ได้ มาซึง คุณภาพเหล่านันต้
J องได้ รับการ
ปรับปรุงเพือรองรับการพัฒนาซอฟต์แวร์ อย่างมีคณ
ุ ภาพด้ วยวิธีการใดบ้ าง
แนวทาง TickIT เป็ นแนวทางพัฒนาคุณภาพ ซึงเสมือนกับระบบบริ หารจัดการคุณภาพ ISO
9001 ดังนันการพั
J
ฒนาซอฟต์แวร์ อย่างมีคณ
ุ ภาพซึงเป็ นข้ อกําหนดทางสัญญาสําหรับผู้ผลิตและจัดหา
ซอฟต์แวร์ ในตลาดหลักๆ ผลจากการระบุเป็ นข้ อกําหนดทําให้ การคํานึงถึงเรื องคุณภาพกลายเป็ นผล
พลอยได้ ของการพัฒนาซอฟต์แวร์ ให้ มีคุณภาพและกลายเป็ นข้ อกําหนดพื Jนฐาน และเป็ นแนวทางการ
ปรับปรุงคุณภาพและบริ การจัดส่งให้ ลกู ค้ าได้ อย่างเป็ นทีพอใจ
จากความเกียวข้ องดังกล่าวทําให้ องค์กรผู้ผลิตซอฟต์แวร์ ต้องพัฒนาความเชือมัน ทางการตลาด
แม้ ว่าจะมีการแบ่งช่วงสัญญาไปให้ บริ ษัทหรื อผู้รับเหมาอืนทําการผลิตซอฟต์แวร์ หรื อระบบเทคโนโลยี
สารสนเทศก็ตามสัญญามีผลผูกพันไปถึงบุคคลทีสามทีเข้ ามามีสว่ นร่ วมนี Jด้ วย จึงทําให้ ภาคการผลิต
ซอฟต์แวร์ ต้องได้ รับการรับรองคุณภาพจาก Certification Bodies (CB) นอกจากนี J ยังมีการพัฒนา
แนวทางปฏิบตั ิ TickIT ต่อยอด โดยผู้ตรวจสอบด้ านคุณภาพในการพัฒนาซอฟต์แวร์ และระบบ ประกอบ
กับผู้ผลิตซอฟต์แวร์ มืออาชีพต่างๆ และทังสองฝ่
J
ายได้ พิมพ์เผยแพร่ในเรื องของแนวทางปฏิบตั ิ TickIT เพือ
ประโยชน์ต่อผู้ใช้ ต่อไป สําหรับขันตอนปฏิ
J
บตั ิของ TickIT ทีได้ กลายเป็ นข้ อกําหนดในมาตรฐานสากล
ISO 9001:2000 ได้ มีการพิมพ์เผยแพร่วิธีปฏิบตั ิไว้ ใน TickIT Guide no. 5
แหล่ งข้ อมูลเพิมเติม
www.tickit.org
www.iso.org
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Note!!!
ท่านสามารถติดต่อขอซื Jอเอกสารข้ อกําหนดทีองค์กรต้ องทําเพือให้ ได้ มาตรฐาน ISO
(International Organization for Standardization) ได้ ที http://www.iso.org โดยเข้ าไปที
Products > ISO Standards > By TC > JTC 1 Information technology > SC 27
นอกจากนี Jในปั จจุบนั ยังมีมาตรฐานตัวใหม่คือ ISO 27003:2010 ซึงก็สามารถซื Jอได้ ทีเว็บไซต์
ทีสว่ น SC27 นี Jเช่นกัน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
22
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
23
จากนี Jในหัวข้ อย่อยถัดๆ ไปจะเป็ นการกล่าวถึงกระบวนการของ “Hardening” (การสร้ างความ
ทนทานต่อการโจมตี) ในหลากหลายรูปแบบ โดยเริ มจากในระดับของ OS/NOS ตังแต่
J การที application
server จะไม่มีความปลอดภัย (secure) ถ้ า OS ตัวทีนํามาใช้ งานนันไม่
J มีความปลอดภัย จากนันก็
J แสดง
ให้ เห็นถึง services ทัว ไปทีสามารถหาได้ บน Internet เช่น web, email และ ftp รวมถึงบริ การพื Jนฐานทีมี
การใช้ งานภายในอย่างเช่น DHCP และ directory services (ให้ บริ การข้ อมูลเกียวกับ ทรัพยากรทีมีอยู่
ในเครื อข่ายแก่ผ้ ใู ช้ รวมทังการควบคุ
J
มการเข้ าใช้ ทรัพยากรเหล่านันได้
J )
1. การสร้ างความมันคงปลอดภัยบนอุปกรณ์ เครือข่ าย และระบบปฏิบัตกิ าร
(Network Device and Operating System Hardening)
1.1 การสร้ างความมันคงปลอดภัยบนระบบปฏิบัตกิ ารและระบบปฏิบัตกิ ารเครือข่ าย
(Operating System and Network Operating System Hardening)
OS hardening ถือเป็ นข้ อตกลงในการกระทําต่างๆ ทีสามารถทําให้ เกิดความปลอดภัย
(secure) กับระบบปฏิบตั ิการได้ โดยจะกล่าวถึงการทําให้ OS ในระบบของ Windows และ UNIX มี
ความคงทนเพิมขึ Jน
•
Windows Resources
Microsoft Windows นันมี
J ทงเอกสาร
ัJ
guidelines เช่น “Gold Standard”
ของ SANS และเครื องมื อ อัต โนมัติ ต่างๆทีค ล้ า ยคลึงกับ Microsoft Baseline
Security Analyzer (MBSA) ซึงช่วยในการตรวจสอบให้ ตรงตาม baseline ได้ โดยที
ทังคู
J ไ่ ด้ มีรัฐบาลสหรัฐอเมริ กาเข้ ามามีสว่ นเกียวข้ องอยูด่ ้ วย
“Gold Standard” ได้ ถูกพัฒนาขึนJ โดยความร่ วมมือของ Center for
Internet Security, DISA, NSA, NIST, SANS และ GSA ซึงเมือ The US National
Security Agency ได้ ทําการตรวจทานเสร็ จ ก็ได้ มีการนําไปใช้ กบั Windows 2000 อยู่
ประมาณ 18 เดือน และทําให้ พบว่าผู้ทีนํา Gold Standard ไปใช้ มากกว่า 85% มี
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
24
ความพึง พอใจในการป้องกัน ไม่เพียงเท่านันJ FBI และ SANS ได้ มีการปรั บปรุ ง
รายการของ 10 อันดับช่องโหว่ (List of the Top 10 Windows vulnerabilities) เมือ
เดือนตุลาคม 2002 โดยรายการดังกล่าวมีความคล้ ายคลึงกับรายการทีอยู่บนระบบ
UNIX ซึงสามารถศึกษาได้ ที http://www.sans.org/top20/ นอกจากนี Jใน Website
ดัง กล่า วยังสามารถดูรายการของผู้จํ า นายรายต่า งๆ (vendors) ที มี การบรรจุตัว
ตรวจสอบช่องโหว่ตา่ งๆทีมีอยูใ่ นปั จจุบนั ได้ โดยไม่เสียค่าใช้ จ่ายอีกด้ วย
Microsoft Baseline Security Analyzer ถือเป็ นเครื องมือทีได้ รับการ
สนับสนุนโดยตรงจาก Microsoft เอง (Download ได้ ที http://technet.microsoft.com/thth/security/cc184924%28en-us%29.aspx) ซึงจะช่วยในการตรวจสอบด้ วยการ
ปรับปรุ ง security patches ใหม่ๆทีระบบปฏิบตั ิการไม่มีความปลอดภัย (insecure)
ตลอดจนการตังJ ค่าต่างๆบนโปรแกรมของ Microsoft ในขณะทีผลลัพธ์ ต่างๆทีได้
บางอย่ า งก็ มี ค วามขัด แย้ ง ในตอนเริ ม ต้ น กล่า วคื อ
MBSA มี ค วามละเอี ย ด
ค่อนข้ างมากเกินไปอีกทังเครื
J องมือนี Jก็ถือว่ามีช่องโหว่อยูด่ ้ วยเหมือนกัน เพราะ MBSA
ก็เหมือนกับการแจ้ งเตือนในสิงทีระบบของคุณควรมีการทําให้ ปลอดภัย และถ้ าคุณ
คิดว่าไม่มีความพร้ อมทีจะดูแลทังหมดนั
J
นJ ก็มีโปรแกรมอืนเป็ นทางเลือก เช่น Harden
NT ซึง เป็ นเครื อ มื อ ในการสร้ างต้ น แบบความปลอดภัย ที ส ามารถหาได้ ทัว ไปบน
Internet
ในการเพิ ม เติ มจาก Guidelines เหล่า นี J ก็ ส ามารถศึก ษาได้ จ ากหนัง สือ
หลายเล่มตัวอย่างเช่น Windows NT/2000 Network Security เขียนโดย E.Schultz,
Securing Windows Server 2008 เขียนโดย Aaron Tiensivu และหนังสือทีมีการ
แนะนํา checklist บน Windows รวมถึงรายละะเอียดของการตังค่
J าต่างๆ อย่าง Have
You Locked the Castle Gate เขียนโดย Brian Shea เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
•
25
UNIX/Linux Resources
สําหรั บ UNIX แล้ วต้ องถื อว่ามีเครื องมือต่างๆอยู่มากมายทีช่วยในการ
จัดการและตรวจสอบจากความร่ วมมือกันขององค์ กรต่า งๆตังJ เป็ น baselines ซึง
UNIX hardening script เริ มเขียนขึ JนครังJ แรกโดย Solaris ในชือของ Titan โดย
สามารถทํ า งานได้ บ น
FreeBSD และ Linux นอกจากนี ยJ ัง มี Bastille-Linux
(http://www.bastille-linux.org) ทีสามารถช่วยให้ ผ้ จู ดั การระบบสามารถจํากัดการ
ทํางานของระบบ Linux ได้ JASS (http://www.sun.com/blueprints/tools) และ
YASSP (http://www.yassp.org) ทีสามารถใช้ ในการอุดช่องโหว่ของระบบ Solaris
ได้ นอกจากนี Jยังสามารถค้ นได้ จากรายการ 10 อันดับช่องโหว่ UNIX FBI/SANS ที
http://www.sans.org/top20/
ในขันตอนของการจั
J
ดการบัญชีผ้ ใู ช้ (User accounts) นันโดยสรุ
J
ปแล้ วจะประกอบไปด้ วย
1. ลบรายการของบัญชีผ้ ใู ช้ ทีไม่ได้ ใช้ งานแล้ วออกเสมอ
2. มีการบังคับให้ ผ้ ใู ช้ ต้องใช้ รหัสผ่านทีดีเท่านันJ (Good password)
3. บังคับให้ ผ้ ใู ช้ มีรหัสผ่านทีไม่สมบูรณ์จะไม่สามารถใช้ งานได้
การเลือก Options ในการติดตังนั
J นถื
J อเป็ นส่วนสําคัญ ทีต้องถามตัวเองว่าได้ ทําการติดตังตาม
J
ค่าเริ มต้ น (Defaults) หรื อไม่ ซึงถ้ าคําตอบของคุณคือไม่ร้ ู ว่าอะไรคือค่าเริ มต้ น คุณก็ จําเป็ นทีจะต้ อง
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
26
จัดหาเครื องอะไหล่มาทําการติดตังระบบปฏิ
J
บตั ิการด้ วยสภาพแวดล้ อมทีเป็ นอยู่จริ ง และทําการสํารวจ
รายการของ Options ทีมีให้ ตดิ ตังว่
J ามีอะไรบ้ างทีแตกต่างไปจากเครื องทีใช้ งานอยูจ่ ริ ง
ในการตรวจสอบบริ การ (Service) ทีทํางานอยูน่ นั J บางครังJ ก็มีเพียงหนทางเดียวเท่านันJ โดยการ
ดึงจากรายการของ processes ทีกําลังทํางานอยู่ แล้ วทําการค้ นหาจาก file system ซึงน่าจะเจอ
directory ทีแสดงข้ อมูลเกียวกับ service นันว่
J ามาจากส่วนใด และก็น่าจะให้ แนวทางแก่ผ้ ดู ูแลด้ วยว่า
ผู้ใดทีทําการเรี ยก service นันJ
สําหรับการตังค่
J าของระบบปฏิบตั ิการนันJ ถ้ าระบบปฏิบตั ิการทีใช้ อนุญาตให้ เลือก Disk ทีจะใช้
เป็ น file system ได้ ก็ควรจะพิจารณาถึงประเภทของ access control, การเข้ ารหัส (encryption) และ
ลักษณะการทํางานอืนๆทีเกียวกับความเป็ นส่วนตัวของข้ อมูล (data privacy) ด้ วย ทังนี
J Jในการเลือก
option ของแต่ละ file system ก็ควรดําเนินการอย่างค่อยเป็ นค่อยไปเช่นกัน
การเพิม Attributes ทีสามารถกําหนดให้ UNIX file มีการกําหนดเกี ยวกับการอนุญาต
(permission) นันJ ควรประกอบด้ วย:
• Sticky: สําหรับการจัดการ directory นันต้
J องมีการกําหนดการอนุญาต รวมทังJ
ควรมีการจัดเก็บผู้ใช้ ทีได้ ทําการลบ file ของเขาไป เนืองจาก file ของผู้ใช้ คนอืน
อาจมีสว่ นติดต่อกับ directory นันด้
J วย
• Set user ID / Set group ID: อนุญาตให้ กระบวนการต่างๆสามารถนําเอา user
ID หรื อ group ID มากําหนดลงบน file ทีมีการทํางานอยู่ได้ แต่ถึงกระนันJ file ที
เกียวกับการอนุญาตนี Jก็ถือได้ วา่ เป็ นช่องโหว่ทีพร้ อมจะเกิดปั ญหาขึ Jนได้ เสมอ
ตัวอย่างของ File system ทีเกียวข้ องกับนโยบายต่างๆ (policies) ควรมีการบังคับดังต่อไปนี J:
• ไม่อนุญาตให้ ผ้ ใู ช้ มีสทิ ธิxในการบันทึกลง system directories หรื อสามารถแบ่งปั น
(shared) ข้ อมูลของ directories ได้ เนืองจากผู้ใช้ ไม่มีความจําเป็ นต้ องปรับปรุ ง
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
27
อะไรในส่วนนี J นอกจากนี Jก็ต้องระวัง Software บางตัวทีอาจจะเข้ ามาเขียนข้ อมูล
ลงใน C:\WINDOWS\SYSTEM32 ซึงด้ วยเหตุนี Jทําให้ บางองค์กรอาจไม่ได้ มีการ
ปิ ด (lock down) directories ทังหมดอย่
J
างสมบูรณ์จริ งๆ
• จัดเตรี ยม home directory สําหรับแต่ละผู้ใช้ โดยให้ มีการจัดการเกียวกับการ
ควบคุมการเข้ าถึงของ file ให้ เหมาะสมกับการทํางานขององค์กร ทังนี
J Jหมายความ
ว่าในบางองค์กรอาจต้ องกําหนดให้ ผ้ ใู ช้ ทกุ คนจะไม่มีสิทxิแม้ แต่เข้ าอ่าน directory
ยกเว้ นผู้ทีเป็ นเจ้ าของ directory นันเท่
J านันJ
• ต้ องแน่ใจว่า Directories ทีมีการแบ่งปั นข้ อมูลกันนันจะต้
J องไม่สามารถเข้ าใช้ งาน
จากทุกๆคน ยกเว้ นแต่ผ้ ูทีมีการกําหนดสิทธิx (authorized) ในการเข้ าใช้ งานได้
เท่านันJ
Note!
Patch คือ การจัดการเกียวกับปั ญหาทีพบใน software หรื อข้ อมูล ซึง patch อาจมี
การเพิ ม features อื น มาให้ ด้ ว ย แต่ โ ดยทัว ไปแล้ ว มัก จะเป็ นการ ซ่ อ มแซมแก้ ไ ขส่ว นที
บกพร่องเสียมากกว่า
Hotfix คือ patch file ขนาดเล็กทีโดยทัว ไปจะเป็ นการจัดการในประเด็นเฉพาะอย่าง
แค่ 1 หรื อ 2 ประเด็นเท่านันJ โดย Hotfixes ถือเป็ นการพัฒนาและแก้ ไขในกรอบเวลาสันๆ
J
(short timeframe) ด้ วยการทดสอบเพียงเล็กน้ อยเท่านันเมื
J อเทียบกับ service packs
Service pack (หรื อ Update pack) เป็ นการรวบรวม patch ต่างๆ ซึงได้ มีการ
ทดสอบด้ วยกระบวนการพิเศษต่างๆ เพือการควบคุมทีมีคณ
ุ ภาพ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
28
1.2 การสร้ างความมันคงปลอดภัยบนระบบเครือข่ าย (Network Hardening)
Network hardening มีความเกียวข้ องกับขันตอนต่
J
างๆ ในเรื องของความปลอดภัยทังJ
เครื อข่ายและอุปกรณ์ ต่างๆ โดยจะประกอบด้ วยการรั กษาความปลอดภัยของอุปกรณ์ ต่างๆ ทีมีการ
กําหนด options แบบ “out of the box” (การทีไม่ทําตามแบบเดิมๆ ทีมีมา) ซึงโดยทัว ไปแล้ วมักจะไม่
ค่อยปลอดภัย นัก รวมถึง การกํ าหนดค่าแบบจํ าเพาะสําหรั บอุปกรณ์ แต่ละชิ นJ ให้ ตรงกับความมันคง
ปลอดภัยตามความต้ องการต่างๆ (requirements) ขององค์กร
ผลิตภัณฑ์ต่างๆ ของ OS/NOS จะมี software-based ทีได้ เก็บเป็ น code อยู่บน hard
disks ของ server ซึงโดยทัว ไปจะทําการ updated ผ่านทาง software updates ทีมากับ CD หรื อ
สามารถ downloaded ได้ จาก web site ของผู้จําหน่าย และในการติดตังJ OS update ก็มกั เป็ นการ
ติดตังโปรแกรมอื
J
นๆ หรื อองค์ประกอบอืนๆทีเกียวกับตัว OS เอง ทังนี
J Jในการติดตังดั
J งกล่าวจะเป็ นการ
คัดลอก code ลงบน disk ทีใช้ งานอยู่จริ งเพือเปลียนแปลงการตังค่
J าบางอย่างและปรับปรุ งให้ เครื อง
server มีสภาพพร้ อมใช้ งาน
อุปกรณ์ เครื อข่ายจะมี Code ของโปรแกรมและกลไกการควบคุมข้ อมูลทีเก็บอยู่ในสิงที
เรี ยกว่า “firmware” ซึงหมายถึงการรวมกันของทังJ software และ hardware และก็เช่นด้ วยกับ OS
updates ทีการ updates อุปกรณ์ เครื อข่ายก็มักได้ มาจาก web site อย่างไรก็ตามในการ updates
อุปกรณ์เครื อข่ายนี Jก็เป็ นอะไรทีมากกว่า แค่การบันทึกข้ อมูลลงบน hard disk แต่การ code สําหรับ
อุปกรณ์เครื อข่ายนันโดยทั
J
ว ไปแล้ วจะต้ องมีการเขียนลงที ROM (read only memory) chips ด้ วย
โปรแกรมในการปรับปรุง firmware แบบพิเศษ
ทังนี
J Jควรให้ อปุ กรณ์เครื อข่ายทีใช้ งานอยู่เป็ น Firmware ใน versions ล่าสุดเท่าทีจะทําได้
ซึงก็จะเป็ นการลดช่องโหว่ต่างๆ ทีมีอยู่ให้ เหลือน้ อยทีสดุ เท่าทีจะทําได้ ด้วย โดยควรมัน ตรวจสอบการ
updates จาก websites ของผู้จําหน่ายอุปกรณ์เครื อข่ายทีใช้ อยู่นนเอง
ั J นอกจากนี Jควรจําไว้ เสมอว่า
จะต้ องทําการตรวจสอบก่อนทีจะนําไปใช้ งานกับสภาพแวดล้ อมจริ งเสมอ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
29
ในการตังค่
J า (Configuration) เกียวกับ options บนอุปกรณ์ตา่ งๆ นันJ ประเด็นทีเป็ นหัวใจ
อย่างหนึง ก็คือรหัสผ่าน (passwords) ทีใช้ สาํ หรับการเข้ าถึงในระดับ administrative กับอุปกณ์ต่างๆ ไม่
ว่าจะเป็ น switches, routers หรื ออุปกณ์เครื อข่ายอืน ซึงโดยทัว ไปแล้ วอุปกรณ์เหล่านี Jมักจะมีการตังค่
J า
password เริ มต้ นในการใช้ งานครังJ แรกมาให้ อยูแ่ ล้ ว (มักทราบได้ จากคู่มือทีมีมากับอุกรณ์นนๆ)
ั J ในจุดนี J
ขอให้ ทําการเปลียน password นันโดยเร็
J
วทีสดุ (ASAP: As Soon As Possible) มิเช่นนันแล้
J วผู้โจมตี
ต่างๆจะสามารถเข้ ามาจัดการกับอุปกรณ์ ของคุณได้ อย่างง่ายดายด้ วยทางเข้ าตามปกติ (front door)
เหมือนกับว่าเป็ นผู้มีสทิ ธิxคนหนึง ทันที
เมือจะทําการปรับแต่ง (Configuring) เครื องมือบนเครื อข่าย ถ้ าเป็ นไปได้ ควรดําเนินการ
ตามมาตรฐานต่า งๆ ที ไ ด้ กํ า หนดกับ เครื อ ข่า ยของคุณ ไว้ อ ยู่แ ล้ ว ตัว อย่า งเช่ น ถ้ า องค์ ก รของคุณ มี
มาตรฐานทีจําเพาะมากับผู้จําหน่ายและรู ปแบบของเครื อข่ายอยู่แล้ ว ในการปรับตังค่
J า process แต่ละ
ส่วนก็ทําให้ คล้ ายคลึงกับ การปรับตังค่
J า process ทีได้ ทํามาแล้ วให้ มากทีสดุ ซึง ในสถานการณ์เหล่านี Jสิง
ทีดีทีสดุ ไม่ใช่การจดจําแนวทางเดิมๆ กลับมาใช้ ซําJ ๆ แต่ควรจัดทําเอกสารทีสรุ ปขันตอนต่
J
างๆในการ
ปรับตังค่
J าอุปรณ์แต่ละประเภท และก็ให้ ดําเนินการตามในแต่ละครังJ ทีทําการติดตังอุ
J ปกรณ์ทีจําเป็ นนันๆ
J
ซํ Jาเดิม
ถ้ าอุปกรณ์ทีใช้ อยูส่ ามารทําการ Print out ข้ อมูลในการตังค่
J าต่างๆออกมาก็ ก็ควรทีจะทํา
และจัดเก็บไว้ เป็ น file ในทีทีจัดไว้ เฉพาะ และอาจพิจารณาถึงการทําสําเนาแล้ วจัดเก็บไว้ แบบ offsite
(แยกเก็ บไว้ เป็ นสําเนาในส่วนทีไม่ได้ มีการใช้ งานประจํ า) ทังJ นีสJ ิงนี Jถื อได้ ว่ามีประโยชน์อย่างยิงเมือ
อุปกรณ์ทํางานผิดพลาดและจําเป็ นต้ องทําการคืนค่าต่างๆให้ เหมือนเดิม
สุดท้ ายแล้ วมีสงิ ทีต้องไม่ลมื เมือทําการตังค่
J าส่วนใหม่ของเครื องมือในเครื อข่ายอันได้ แก่:
• ถ้ าคุณไม่มีความจําเป็ นอะไรทีจะต้ องใช้ งาน SNMP กับอุปกรณ์ก็ควรจะปิ ดการ
ใช้ งานนี J
• แต่ถ้าคุณจําเป็ นต้ องใช้ งาน SNMP กับอุปกรณ์ก็ควรทําการเปลียน community
name ด้ วย
• ในการติดตังJ router นันคุ
J ณต้ องมัน ใจว่าได้ ทําการปฏิเสธ packets ขาเข้ า
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
30
(inbound) ทีมาจาก source address บนเครื อข่ายภายใน หรื อ packets ขา
ออก (outbound)ทีมาจาก source address ทีไม่ไ ด้ อยู่บ นเครื อข่ายภายใน
ทังหมด
J
เนืองจาก packets เหล่านี Jถือได้ วา่ เป็ นการหลอกลวงหรื อการโจมตีอย่าง
ชัดเจนทีสดุ
• ทําการตรวจสอบในส่วนของการผลิตว่ามีความพิเศษอะไรทีเกี ยวข้ องกับของ
แนะนําด้ านความมัน คงปลอดภัยของอุปกรณ์นนๆหรื
ั J อไม่ อย่างเช่น Cisco ได้ มี
การเตรี ยมการชี แJ นะ(hints) ไว้ ที
http://www.cisco.com/univercd/
cc/td/doc/cisintwk/ics/cs003.htm เป็ นต้ น
• ถ้ าอุปกรณ์ทีใช้ อยูส่ ามารถทําการปรับตังค่
J าได้ โดยผ่าน Web-browser และยังมี
ส่วนของ interface ทีสามารถปรับแต่งได้ อย่างง่ายดายแล้ ว (อุปกรณ์สว่ นใหญ่
ในปั จจุบนั ก็มกั จะเป็ นเช่นนัน)
J ก็ควรพิจารณาถึงการตังกฏ
J (rule) ของ firewall
ให้ ปฏิเสธทุกการเชือมต่อทีมีการเรี ยกใช้ งานมายังอุปกรณ์นี Jทาง port 80 (หรื อ
443) เว้ นเสียแต่วา่ มากจากต้ นทางทีไว้ ใจได้ จริ งๆ
2. การสร้ างความมันคงปลอดภัยบนโปรแกรมเครืองแม่ ข่าย (Server Application
Hardening)
Server Application hardening เป็ นกระบวนการของการรั กษาความปลอดภัย แก่
applications ทีมีการใช้ งานอยู่บนระบบเครื อข่าย ซึงถือได้ ว่าเป็ นประเด็นพื Jนฐานหลักของความมัน คง
ปลอดภัยบนระบบเครื อข่าย เนืองจาก applications ทีมีการใช้ งานอยู่นนมี
ั J ความแตกต่างกันไปในแต่ละ
เครื อข่าย ซึง เหตุนี Jเองทีถือได้ วา่ เป็ นเรื องทีคอ่ นข้ างลําบากในการติดตาม (track) ว่าได้ ทําการติดตังอะไร
J
ไปแล้ วบ้ าง โดยเฉพาะอย่างยิงเมือ security baseline ทีออกมาล่าสุดในแต่ละมาตรฐานก็มีการแนะนําที
เป็ นของตัวเอง แต่ถึงแม้ ว่าจะทําได้ ลําบากเพียงใดขันตอนนี
J
Jก็ถือได้ ว่าเป็ นสิงจําเป็ นทีควรกระทํากับทุก
เครื อข่าย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
31
ด้ วยความยากลําบากของการติดตามและปรับปรุง applications ทังหมดนี
J
Jเอง ทีทําให้ เป็ นการ
ดีกว่าถ้ าระบบปฏิบตั ิการ (OS) ทีองค์กรใช้ งานอยูส่ ว่ นทีมีการทํางานได้ อย่างโดดเด่นขึ Jนมาตามทีรายการ
ของ SANS/FBI Top 20 Vulnerability ได้ กล่าวไว้ ทงั J Windows (เช่น IIS: Internet Information
Services-โปรแกรมเกียวกับ Web server, SQL Server) และ UNIX (เช่น Apache, sendmail, SSH)
ทังนี
J Jตัวอย่างทีเห็นได้ ชัดเจนก็เช่นวัตถุประสงค์หลักของ Security+ ทีให้ ความสําคัญเกียวกับ
การสร้ างความมัน คงแก่ network applications มากกว่าการทํางานบนระบบส่วนบุคคล (standalone
system) ทีไม่ได้ มีการเชือมต่อผ่านระบบเครื อข่ายแต่อย่างใด
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Note!
Well Known Ports
ด้ วยเหตุที Network application มีการติดต่อสือสารกับโปรแกรมอืนผ่านทางเครื อข่าย
ด้ วยช่องทางทีม กั จะเป็ นทีร้ ูจกั กันดีอยูแ่ ล้ ว อย่างเช่น TCP/IP applications อาจมีการใช้ port ที
เป็ นทีร้ ู จกั อยู่แล้ ว (well-known port) ในช่วงระหว่าง 0-1023 หรื ออาจใช้ port ทีมีค่าสูงมากๆ
ตังแต่
J 65,535 เป็ นต้ น
ในโลกของระบบทีมีผ้ ใู ช้ อยู่หลากหลายนันJ Internet ได้ มีการพัฒนาให้ ผ้ ใู ช้ ทีมีสิทธิxของ
administrative เท่านันที
J สามารถเริ มการทํางานของ server applications ได้ โดยผ่านทางการ
รับรองการรองขอต่างๆ นันด้
J วย well-known port หมายเลขตําเพียงเท่านันเอง
J ซึงทําให้ ไม่ยาก
นักทีบุคคลอืนจะสามารถควบคุมการเข้ าถึงแล้ วทําการเปิ ด services เอง รวมถึงการลด
ความสามารถของผู้ใช้ ด้วยการหลอก (spoof) โปรแกรม Server และละเมิดความมันคง
ปลอดภัยต่างๆ ทีมีอยู่
ทุกวันนี Jการใช้ port หมายเลยตําไม่ได้ มีผลดีตอ่ ความมัน คงปลอดภัยเลย ผู้ใช้ สว่ นใหญ่
จึงเริ มทําการควบคุมในระดับ administrative ผ่านทางเครื องของตนเองเท่านันและนั
J
นก็
J ทําให้
สามารถปิ ดการทํางานของ services ได้ ดีกว่าด้ วย นอกจากนี J port หมายเลขตําก็ ได้ ถูก
กําหนดการใช้ งานไปหมดแล้ ว ทําให้ ในปั จจุบนั network services ทีออกมาใหม่จํานวนมาก
มักใช้ port ทีมีหมายเลขสูงๆ เพือทําให้ ไม่ไปซํ Jากับหมายเลข port ทีมีการใช้ อยู่แล้ วกับ
services อืนๆ ด้ วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
32
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
33
2.1 Web Servers
Web Servers ถือเป็ นส่วนสําคัญทีบริ ษัทส่วนใหญ่จะใช้ ในการนําเสนอตัวเองให้ โลก
ภายนอกได้ ร้ ูจกั และ web site เหล่านี Jยังเป็ นส่วนทีใครๆก็สามารถเข้ าถึงได้ โดยไม่จําเป็ นต้ องทําการร้ อง
ของสิทธิx (authorization) ในการเข้ าใช้ แต่อย่างใด
Web servers จะยอมรับการเรี ยกใช้ HTTP ทาง port 80 และ HTTPS ทาง port 443 ซึง
สามารถทําการเปลียนหมายเลข port นี Jตามต้ องการ แต่ก็ต้องทําความเข้ าใจก่อนว่าผู้เข้ าชม (visitors)
Web site ของคุณต้ องรับทราบถึงหมายเลข port ทีเลือกใช้ นนด้
ั J วย มิเช่นนันก็
J จะไม่สามารถค้ นหาและ
เข้ าใช้ งานได้
Guidelines ทัว ไปสําหรับการรักษาความปลอดภัยของ web servers มักจะประกอบไป
ด้ วย
•
ใช้ web server สําหรับการบริ การ web เท่านันJ
•
ไม่ให้ Web server ทํางานเหมือนกับว่าเป็ นระบบทีมี root หรื อ ผู้ใช้ ระดับ admin
•
ทําการลบทุก Demo applications เนืองจากพวกนี Jมักจะมีการจัดเตรี ยมส่วนทีมี
การแอบแฝง bugs ไว้ และถือได้ ว่าเป็ นช่องทางทีน่าสนใจสําหรับผู้โจมตีเป็ น
อย่างยิง
•
คอยระวัง Packages ของ client ทีคล้ ายคลึงกับ front page ทีได้ ติดตังJ scripts
ไว้ บน server
•
ไม่เปิ ดใช้ งาน (หรื อไม่ทําการติดตัง)J การทํางานของ Server ทุกอย่างทีไม่มีความ
จําเป็ นสําหรับคุณ
•
ปิ ด Automatic listing (การให้ แสดง file ทีอยู่ใน folder นัน)
J ของ File ใน
directories ทีไม่ได้ มีการบรรจุ default HTML page ไว้ ซึงสิงนี Jจะช่วยให้ ไม่ต้อง
เปิ ดเผย files อืนๆบนระบบของคุณ และก็เป็ นการลดความเสีย งได้ อีกด้ วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
•
34
ตรวจสอบ File permissions ของทุกส่วนใน directories ของ web servers ให้
เป็ นไปอย่างถูกต้ อง
•
หลีกเลียงการสร้ างระบบ directories เช่น \WINDOWS หรื อ /etc ใหสามารถ
เข้ าถึงได้ ผา่ นทาง web server, FTP server และ server อืนๆทีไม่จําเป็ นด้ วย
•
ไม่อนุญาตให้ ผ้ ใู ช้ ทําการติดตังJ CGI (Common Gateway Interfaces) scripts
แบบสุม่ หรื อโปรแกรมต่างๆได้ เอง ซึง นันอาจมี
J
โอกาสผิดพลาดโดยไม่ตงใจได้
ัJ
สงู
•
ในระยะยาวแล้ ว ก็ ค วรมี ก ารตรวจตราทุก ๆ Scripts จาก Internet อย่า ง
ระมัดระวังก่อนทีจะทําการติดตังเสมอ
J
2.2 Email Servers
Email servers ถือเป็ นเครื องมือหนึง ทีมีความสําคัญในการสือ สารทังภายในและภายนอก
J
ด้ วย e-mail ระหว่าง Server ทางฝั งผู้สง่ และผู้รับผ่านทาง TCP port 25 (SMTP) จากนันก็
J อนุญาตให้
clients สามารถตรวจสอบ e-mail boxes และเรี ยก e-mail มาอ่านบนเครื องของตนเองได้ จาก Email
servers โดยใช้ port 110 (POP3) หรื อ port 143 (IMAP) หรื อทังคู
J ่
สําหรับ Client ทีอยู่หลัง firewall แล้ วจะสามารถเรี ยก e-mail จาก mail server บน
Internet ได้ โดยต้ องเปิ ด port ขาออกหมายเลข 110 หรื อ 143 บน firewall ส่วน Client ด้ านนอกของ
firewall ก็จะสามารถเรี ยก e-mail จาก Server ภายในระบบเครื อข่ายของคุณเองได้ โดยเปิ ด port ขาเข้ า
หมายเลข 110 หรื อ143 บน firewall ของคุณด้ วย
เช่นเดียวกับ Web servers และ servers พื Jนฐานอืนๆ ที email server software ก็เป็ น
แหล่งของช่องโหว่ทีร้ ูจกั กันเป็ นอย่างดี ด้ วยมี email servers ไม่มากนักทีจะไม่เคยตกเป็ นเหยือของ Bug
ในด้ านความมันคงปลอดภัย ดังนันJ จึงเป็ นการดีทีสดุ ทีจะคอยติดตามการแจ้ งถึงช่องโหว่ทีพบรวมถึง
patches ทีออกมา เพือให้ มนั ใจได้ วา่ คุณได้ ทําการปิ ดทุกช่องโหว่เท่าทีจะสามารถทําได้ แล้ ว
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
35
2.3 FTP Servers
FTP servers ได้ ถกู ใช้ ในการแลกเปลีย นข้ อมูลทังเฉพาะภายในกั
J
นเอง และระหว่างภายใน
กับภายนอก โดย FTP จะใช้ port 20 และ21 ในการเชือมต่อต่อมูลและการควบคุม ดังนันJ port เหล่านี Jจึง
จําเป็ นที firewall ของคุณจะต้ องเปิ ดไว้ เพือให้ ข้อมูลสามารถส่งผ่านกันได้ ระหว่างภายในกับภายนอก ทํา
ให้ ไม่ว่าคุณจะใช้ application servers ตัวใดก็ตามก็ควรทีจะมัน ปรับปรุ ง patches อยู่เสมอรวมถึงการ
ขอคํ า ปรึ ก ษาจากผู้จํ าหน่า ยและเอกสารจากชุม ชนของผู้ใ ช้ ง านเหมื อนกัน เพือ เป็ นการปรั บแต่ง ให้
Software ทีใช้ อยู่มีความปลอดภัยทีทนั ต่อเหตุการณ์ อยู่เสมอ ทังนี
J Jการรักษาความปลอดภัยแก่ FTP
server ควรพิจารณาดังต่อไปนี J
•
การพิสูจน์ ทราบตัวตน (Authentication) ของผู้ใช้ นนั J ต้ องมีการจํากัดขอบเขตการ
เข้ าถึงของผู้ใช้ ให้ เข้ าจัดการได้ เฉพาะในส่วนทีจําเป็ นจริ งๆเท่านันJ กล่าวคือถ้ าสามารถ
ทําได้ คณ
ุ ควรหลีกเลีย งการเข้ าใช้ งานโดยทีไม่ต้องใช้ รหัสผ่าน (Anonymous) และก็ใช้
FTP ทีมีความปลอดภัย เช่น S/FTP เพือหลีกเลียงการส่งผ่าน passwords ผ่าน
เครื อข่ายในรูปแบบของข้ อความทีไม่ถกู เข้ ารหัส (cleartext) ซึง การใช้ โปรโตคอลแบบ
ดังเดิมของ FTP อาจทําให้ มีปัญหาในการถูกดักจับ (sniffing) password และข้ อมูล
รวมถึง man-in-the-middle attacks ด้ วย
•
ระมัดระวังในการจัดการ File permissions บนเครื อง Server โดยต้ องให้ แน่ใจว่าผู้ใช้
ทุกคนจะสามารถเข้ าถึงได้ เฉพาะ file ทีผ้ ใู ช้ นนๆต้
ั J องการใช้ งานจริ งๆ เท่านันJ
•
ทําการจํากัดการ Uploads ให้ สามารถทําได้ เฉพาะผู้ใช้ ทีจําเป็ นเท่านันJ โดยอาจเป็ น
การลดจํานวนของบัญชีผ้ ใู ช้ ในลงถ้ า Server ของคุณสามารถทําการ Uploads ได้ โดย
ทีไม่ต้องผ่านการตรวจสอบสิทธิx (unauthorized)
•
ควรลดค่าของ Disk quotas สําหรับให้ ผ้ ใู ช้ สามารถทําการ upload ได้ เท่าทีจําเป็ น
เท่านันJ เนืองจากส่วนนี Jมักเสียงต่อการทํา DoS (Denial of Service) บน FTP server
ของคุณด้ วยการอัดข้ อมูลใส่ disk space
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
•
36
ถ้ าคุณได้ ทําการเปิ ด FTP server และ web server บนเครื องเดียวกันแล้ ว นันถื
J อเป็ น
สิงทีไม่สมควรเป็ นอย่างยิง เนืองด้ วยไม่ควรมีการเข้ าถึง FTP server ได้ โดยใช้
directories ทีเกียวกับ web server เช่น scripts และ HTML pages เป็ นต้ น
2.4 DNS Server
DNS servers จะใช้ ในการจัดเตรี ยมข้ อมูลของ domain name service ให้ แก่ clients ที
ต้ องการจับคู่ระหว่าง hostnames กับ IP addresses ซึง DNS จะใช้ การสือสารทังJ TCP และ UDP ด้ วย
port 53 กับ clients และ nameservers เครื องอืนๆบนเครือข่ายทังภายในและภายนอก
J
โดยทัว ไปแล้ วมักเป็ นการใช้ UNIX DNS software อย่าง BIND (Berkeley Internet
Name Domain) ทีมีประวัติเกียวกับประเด็นด้ านความมัน คงปลอดภัยอยู่มากมาย (มากกว่า DNS
servers อืนๆ) ดังนันจึ
J งควรทําให้ software บน DNS server มีการ updates อยู่อย่างสมําเสมอ รวมถึง
พิจารณาเกียวกับการกระทําทีจะทําให้ DNS server แข็งแกร่งขึ Jนดังนี J
• มัน ติดตาม Guidelines สําหรับการปรับแต่ง DNS servers ให้ มีความปลอดภัย
จากทังผู
J ้ จําหน่ายและกลุม่ ชุมชนต่างๆ ซึงสิงเหล่านี Jสามารถช่วยในการทีจะต้ อง
พบเจอกับ spoofing และ DNS cache poisoning (การบรรจุข้อมูลทีไม่ถกู ต้ องลง
ใน DNS cache เพือให้ เกิดการ redirect ไปยัง non-legitimate sites)
• การสัง ให้ DNS server ทํางานจากผู้ใช้ ทีไม่มีสิทธิx อาจเกิดขึ Jนผ่านทางการทํา
buffer overflow แต่กระนันผู
J ้ โจมตีจะต้ องไม่สามารถสัง ให้ code ทํางานด้ วยสิทธิx
ของ administrative ได้
• จํากัดพื Jนทีการถ่ายโอนข้ อมูลเฉพาะ (เช่นพวกข้ อมูลการ updates DNS) ออกจาก
primary name server ของคุณเอง ด้ วย secondary name servers เพือลดช่อง
โหว่ของการถูกทํา DoS และความเสีย งอืนๆทีอาจมีเข้ ามา
• จัดการกับ DNS servers ทีมากเกินความจําเป็ นในเครื อข่ายของคุณเอง โดยไม่ทํา
ให้ ข้อมูล DNS ในเครื อข่ายมีปัญหา
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
37
• ติดตังJ Secondary DNS server ไว้ ในบริ เวณทีหา่ งออกไป ทังในด้
J านของสายทีใช้
เชือมต่อและความห่างทางกายภาพ เพือป้องกันความผิดพลาด (fault tolerance)
2.5 DHCP Servers
Dynamic Host Configuration Protocol (DHCP) servers เป็ นการใช้ งานเพือกําหนด
และกระจายข้ อมูลการปรับแต่ง host ไปยังเครื อง clients ทีได้ มีการร้ องขอมา โดย DHCP server แต่ละ
เครื องจะมีการตังค่
J าตามแต่ละองค์กรอันได้ แก่ช่วงของ addresses ทีสามารถแจกจ่ายได้ (อาจจะเป็ น
การตังJ static IP addresses ทีจะมอบให้ กบั MAC address ในส่วนจําเพาะเมือมีการร้ องขอมา) รวมถึง
ข้ อมูลการปรับแต่งบางอย่าง เช่น gateway ทีใช้ ในการออกจากเครื อข่ายหรื อไปยัง DNS server เป็ นต้ น
เป็ นไปได้ มากว่า DHCP servers จะถูกโจมตีด้วยการทํา DoS และ spoofing ซึงการ
Spoofing นันทํ
J าได้ โดยผู้โจมตีจะจัดเตรี ยมข้ อมูลของ bogus DNS server (DNS server ปลอม) แล้ ว
ส่งไปยังเครื อง clients เพือชักนําให้ มายัง bogus sites ได้ โดยตรงทีมีหน้ าตาเหมือนกับ common sites
จากนันก็
J มกั จะให้ กรอกข้ อมูลเกียวกับบัตรเครดิตหรื อข้ อมูลส่วนตัวทีมีกบั common sites นันJ (มักรู้จกั กัน
ในชือของการโจมตีแบบ Pharming) ด้ วยความเสีย งของ DNS ดังทีได้ กล่าวมานี Jจึงขอแนะนําว่าคุณไม่ทํา
การแจกจ่าย (hand out) ข้ อมูลเกียวกับ DNS ผ่านทาง DHCP แต่ให้ ทําการปรับตังค่
J าของ DNS ในแบบ
static บนเครื อง client แต่ละเครื องเอง
3. หลักการทัวไปของการออกแบบ (Design Principles)
การออกแบบถือว่ามีสว่ นสําคัญอย่างมากเนืองจากการออกแบบทีดีจะต้ องตรงกับนโยบายของ
การรักษาความมัน คงปลอดภัย และไม่ขดั ขวางการทํางานปกติ ในหัวข้ อนี Jจึงเป็ นการแนะนําหลักการใน
การออกแบบ (Design Principles) ซึง หลักการในการออกแบบนันมี
J พื Jนฐานสําคัญ 2 ข้ ออันได้ แก่
•
ทําให้ สามารถเข้ าใจได้ ง่าย (Simplicity) นันคื
J อเมือทีการออกแบบระบบทีไม่
ยุ่ง ยากซับ ซ้ อ นแล้ ว จะทํ า ให้ บุค คลสามารถทํ า ความเข้ า ใจได้ ง่ า ย (Easy to
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
38
understand), โอกาสผิดพลาดตํา (Less to go wrong) และทําให้ หลงลืมหรื อ
ผิดประเด็นได้ ยาก (Fewer possible inconsistencies)
•
ให้ มี ก ารจํ า กั ด ขอบเขตให้ ตํ า ที สุด เท่ า ที ยัง สามารถทํ า งานได้ (Restriction
minimizes) กล่าวคือให้ สทิ ธิxกบั ผู้ใช้ งานหรื อการในงานข้ ามกันในแต่ละระบบให้
มีสทิ ธิxในการจัดการให้ น้อยทีสดุ เท่าทียงั สามารถดําเนินงานตามปกติไปได้ โดย
จะแบ่ ง เป็ นให้ ข อบเขตการเข้ า ถึ ง ข้ อ มูล ให้ ตํ า ที สุด เท่ า ที จํ า เป็ น (Minimize
access) และขัด ขวางการสือ สารให้ เ หลื อ ตํ า ที สุด เท่า ที จํ า เป็ น (Inhibit
communication)
จากทังJ 2 ข้ อข้ างต้ นสามารถแจกแจงอย่างระเอียดได้ ทงหมด
ัJ
8 ข้ อดังนี J
First.
Least Privilege Principles
การให้ สทิ ธิxแก่ผ้ ใู ช้ เท่าทีจําเป็ นในการทํางานให้ สาํ เร็ จเท่านันJ
Second.
Fail-Safe Defaults Principles
กิจกรรมใดๆ ทีไม่ได้ ระบุไว้ ให้ ถือว่าไม่อนุญาตทังหมด
J
(Defaults denies)
Third.
Economy of Mechanism Principles
ออกแบบระบบให้ ตรงไปตรงมาให้ มากทีสดุ (KISS: Keep It as Simple as
possible) กล่าวคือ ไม่นํ ากลไกต่างๆมาใช้ อย่างฟุ่ มเฟื อย ให้ เ ลือ กมาใช้ เ ท่า ที
จําเป็ นเท่านันJ
Fourth.
Complete Mediation Principles
ให้ สามารถทําการตรวจสอบในทุกๆส่วนการทํางานเท่าทีจะเป็ นไปได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Fifth.
39
Open Design Principles
ห้ ามออกแบบให้ ความปลอดภัยอยู่ทีรูปแบบ (Algorithms) ในการออกแบบ
ตัวอย่างเช่น ในระบบการเข้ ารหัสต่างๆนันความปลอดภั
J
ยอยู่ทีกุญแจ (Key) ไม่ใช่
อยูท่ ีวิธีการใช้ งานกุญแจ เป็ นต้ น
Sixth.
Separation of Privilege Principles
ไม่ ใ ห้ อ ภิ สิท ธิx ต กอยู่กับ ใครหรื อ สิ ง ใดเพี ย งอย่า งเดี ย ว โดยยิ ง ระบบที มี
ความสําคัญมากเท่าไรยิงควรให้ สิทธิx การใช้ งานต้ องขึนJ อยู่กับหลายบุคคลหรื อ
หลายสิง ตัวอย่างเช่น การจะเปิ ดตู้เซฟใหญ่ของธนาคาร A สาขา B ต้ องใช้ กุญแจ
ของผู้จดั การสาขาและผู้ตรวจสอบจากส่วนกลาง หรื อการเข้ าใช้ งานห้ องเซิร์ฟเวอร์
ของกระทรวงกลาโหมจํ า เป็ นต้ อ งใช้ ทังJ การสแกนลายนิ วJ มื อ บัต รผ่ า น และ
รหัสผ่าน เป็ นต้ น
Seventh. Least Common Mechanism Principles
พยายามให้ มีการใช้ กลไกในรู ปแบบทีเหมือนหรื อคล้ ายคลึงกันในส่วนต่างๆ
ให้ น้อยทีสดุ เท่าทีจะทําได้ ทังนี
J Jเป็ นเพราะถ้ ามีการใช้ กลไกในรู แบบทีซํ Jาๆกันแล้ ว
เมือกลไกทีมีการใช้ ซํ Jากันมากนันเกิ
J ดความผิดพลาดหรื อถูกโจมตีได้ ง่ายในขณะนันJ
ระบบทังหมดก็
J
จะเสมือนว่าขาดการป้องกันไปทังระบบทั
J
นที
Eighth.
Psychological Acceptability Principles
ต้ องคํานึงถึงหลักการทางจิตวิทยาของผู้ใช้ (Users) กล่าวคือ ให้ การป้องกัน
มีผลกระทบต่อการทํางานของผู้ใช้ ให้ น้อยทีสดุ ตัวอย่างเช่น การติดตังกล่
J องวงจร
ปิ ดไว้ ทีด้านหลังของพนักงานยอมช่วยให้ สามารถควบคุมการทํางานได้ เป็ นอย่างดี
แต่จะมีผลกระทบต่อสภาวะจิตใจของพนักงานเป็ นอย่างมาก เนืองจากถูกจับตา
มองอยูต่ ลอดเวลา ซึง อาจทําให้ ผลของงานแย่กว่าทีควรจะเป็ น เป็ นต้ น
สิ งที ควรคํ านึงก็คือ การควบคุมผูใ้ ช้นนั0 จะต้องคํ านึงถึงความพึงพอใจของผูใ้ ช้เองด้วย เพราะ
หากผู้ดูแลระบบยึ ดหลักผู้คุมกฎที เข้มงวดเกิ นไป เคร่ งครัดเกิ นเหตุ ตัง0 กฏชนิ ดที ปลอดภัยเต็มร้ อย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
40
Monitor ผูใ้ ช้แบบไม่ให้คลาดสายตาและจับผิ ดกันทุกวิ นาที ก็อาจสร้างความรํ าคาญหรื อเป็ นอุปสรรคใน
การปฏิ บตั ิ งานของผูใ้ ช้ก็ได้ เพราะฉะนัน0 การอบรมผู้ใช้ให้รับรู้ ถึงกฎและกติ กา และตระหนักว่าข้อมู ล
ใดบ้างสําคัญทีค วรปกปิ ด โดยการปล่อยข้อมูลที สําคัญให้รัวไหลอาจสร้างความเสียหายให้กบั องค์ กรได้
อย่างไรบ้าง ตลอดจนสร้างจิ ตสํานึกทีด ีในการเป็ นพนักงาน จากนัน0 จึ งใช้ Software เป็ นเครี องมื อควบคุม
แบบพอประมาณให้อิสระกับผูใ้ ช้บ้างตามสมควร แต่ให้แลกมาด้วยความรู้ สึกรับผิ ดชอบต่อข้อมู ลของ
ผูใ้ ช้แทน ทัง0 หมดนีจ0 ะทําให้ผดู้ ูแลระบบเครื อข่ายไม่ตอ้ งเป็ นไม้เบือ ไม้เมากับบุคลากรทัง0 องค์กรไป
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
บรรณานุกรมท้ ายบทที 1
[1]. เอกสารฝึ กอบรม หลักสูตรผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและ
คอมพิวเตอร์ ระดับที 3 (NCS 3) รุ่นที 1
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
41
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
42
บันทึก (Note)
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
43
(Network and Computer Security Specialist: NCS) ระดับที 3
บทที 2
นโยบายด้ านความมันคงปลอดภัยทางระบบเครื อข่ าย
(Network Security Policies)
1. นโยบายด้ านความมันคงปลอดภัย (Security Policies)
Security policy (นโยบายทางความมัน คงปลอดภัย) เป็ นการนิยามถึงคําว่า “secure”
สําหรั บระบบหนึงๆ หรื อกลุ่มของระบบหลายระบบ โดยนโยบายทางความมันคงปลอดภัยนี L
สามารถเป็ นได้ ทังL ลัก ษณะที ไ ม่ เ ป็ นทางการ (Informal)
หรื อ ลัก ษณะทางคณิ ต ศาสตร์
(Mathematical) ซึง หลังจากทีได้ ทําการระบุนโยบายทางความมัน คงปลอดภัยอย่างชัดเจนดีแล้ ว
ก็ต้องทําการขยายไปยังส่วนของ “trust” และส่วนต่างๆ ทีมีความสัมพันธ์ กบั นโยบายทางความ
มัน คงปลอดภัยทังหลาย
L
ทังนี
L Lโดยทัว ไปแล้ วจะแจกแจงไว้ ตามประเภทของ Policy models
เรือง
•
Security Policies (นโยบายด้ านความมัน คงปลอดภัย)
•
Basic component of Information Technology Security (องค์ประกอบพื Lนฐาน
ของความมัน คงปลอดภัยทางเทคโนโลยีสารสนเทศ)
•
Policy, Mechanism and Assurance (นโยบาย, กลไก และการรับรอง)
•
Types of Security Policies (ประเภทของนโยบายด้ านความมัน คงปลอดภัย)
•
The Role of Trust (บทบาทของความเชือมัน )
•
Types of Access Control (ประเภทของการควบคุมการเข้ าถึง)
•
Confidentiality Policies (นโยบายด้ านการรักษาความลับ)
•
Integrity Policies (นโยบายด้ านการรักษาความคงสภาพ)
•
Hybrid Policies (นโยบายผสม)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
44
(Network and Computer Security Specialist: NCS) ระดับที 3
แนวคิด
•
Security policy (นโยบายทางความมัน คงปลอดภัย) เป็ นการนิยามถึงคําว่า
“secure” สําหรับระบบหนึงๆหรื อกลุ่มของระบบหลายระบบ โดยนโยบายทาง
ความมันคงปลอดภัยนีสL ามารถเป็ นได้ ทงั L ลักษณะทีไม่เป็ นทางการ (Informal)
หรื อลักษณะทางคณิตศาสตร์ (Mathematical)
•
การรักษาความลับของข้ อมูล หมายถึง การทําให้ ข้อมูลสามารถเข้ าถึงหรื อเปิ ดเผย
ได้ เฉพาะผู้ทีได้ รับอนุญาตเท่านันL
•
การรักษาความถูกต้ องและสมบูรณ์ ของข้ อมูล หมายถึง การทําให้ ข้อมูลมีความ
น่าเชือถือได้ ซึงประกอบด้ วย 2 ส่วนคือ ข้ อมูลนันไม่
L ได้ ถกู แก้ ไขหรื อเปลียนแปลง
จากแหล่งทีมาเดิม ส่วนทีสองคือ ความน่าเชือถือของแหล่งทีมา
•
การรั ก ษาไว้ ซึ ง ความพร้ อมต่ อ การใช้ งาน หมายถึ ง การให้ ผ้ ูที ไ ด้ รั บ อนุญ าต
สามารถเข้ าถึงข้ อมูลหรื อทรัพยากรได้ เมือ ต้ องการ
•
ความเป็ นส่วนบุคคล (Privacy) คือ ข้ อมูลทีองค์กรรวบรวม จัดเก็บ และใช้ งานนันL
ควรถูกใช้ เพือจุดประสงค์ทีเจ้ าของข้ อมูลระบุตอนทีเก็บรวบรวมเท่านันL
•
การระบุตวั ตน (Identification) คือ ระบบสารสนเทศนันจะต้
L องสามารถระบุตวั ตน
ของผู้ใช้ แต่ละคนทีใช้ งานระบบได้
•
การพิสจู น์ทราบตัวตน (Authentication) จะเกิดขึ Lนเมือระบบควบคุมพิสจู น์วา่ ผู้ใช้
ใช่คนทีผ้ ใู ช้ บอกหรื อไม่
•
การอนุญาตใช้ งาน (Authorization) หลังจากทีสามารถพิสูจน์ ทราบตัวตนแล้ ว
ขันตอนต่
L
อไปก็จะเป็ น การตรวจสอบสิทธิcของผู้ใช้ หรื อเครื องลูกข่าย (Client) นันL
ว่าได้ มีการกําหนดสิทธิcให้ ใช้ งานระบบได้ ในระดับไหน
•
การตรวจสอบได้ (Accountability) เป็ นการรับรองว่าทุกๆกิจกรรมหรื อเหตุการณ์
ทีเกิดขึ Lนนันสามารถตรวจสอบได้
L
วา่ เกิดขึ Lนเพราะใครหรื อกระบวนการ (Process)
ไหน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
45
(Network and Computer Security Specialist: NCS) ระดับที 3
•
Security
policy
จะพิ จ ารณาจุ ด ที ต รงกั บ ปั ญหาในทุ ก ๆส่ ว นทั งL ทาง
Confidentiality, Integrity และ Availability ซึง ด้ วยการสนใจไปที Confidentiality
จะเรี ยกว่า Confidentiality policy ส่วนในกรณีสนใจไปที Integrity จะถูกเรี ยกว่า
Integrity policy
•
บทบาทของความเชือมันถื อเป็ นตัวชีขL าดในความเข้ าใจเกียวกับธรรมชาติของ
Computer security
•
Security policy อาจมีการใช้ access controls ได้ อยู่ 2 ประเภทได้ แก่ alone โดย
จะขึ Lนอยู่กับการระบุตวั ตน (Identity) ของผู้ใช้ และต้ องเป็ นสิงทีรับทราบกันได้
อย่างกว้ างขวาง หรื อ combination โดยจะขึ Lนอยู่กับคําสัง (Fiat) และการระบุ
ตัวตน (Identity)
•
กลไก หมายถึง วิธีการ, เครื องมือ หรื อกระบวนการต่างๆทีใช้ บงั คับ เพือให้ เป็ นไป
ตามทีนโยบายได้ ระบุไว้
•
การรับรอง หมายถึง ระดับความมัน ใจ (Confidence) ของสิงทีมีอยู่จริ ง (Entity)
โดยวัดจากความน่าไว้ วางใจ (Trustworthy) ทีเชื อมันตามหลักฐานทีปรากฏ
(Evidence) เพือให้ ได้ มาซึง กลไกทีตรงกับนโยบาย
วัตถุประสงค์
•
อธิบายถึงนโยบายด้ านความมัน คงปลอดภัยได้
•
อธิบายองค์ประกอบพื Lนฐานของความมัน คงปลอดภัยทางเทคโนโลยีสารสนเทศ
ได้
•
อธิบายความสัมพันธ์ระหว่างนโยบาย, กลไก และการรับรองได้
•
อธิบายประเภทของนโยบายด้ านความมัน คงปลอดภัยได้
•
อธิบายถึงบทบาทของความเชือมัน ได้
•
อธิบายประเภทของการควบคุมการเข้ าถึงได้
•
อธิบายเกียวกับแบบจําลองเกรแฮม-เดนนิงได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
46
(Network and Computer Security Specialist: NCS) ระดับที 3
•
อธิบายเกียวกับแบบจําลองความลับเบลล์-ลาพาดูลาได้
•
อธิบายเกียวกับแบบจําลองความคงสภาพบิบาได้
•
อธิบายเกียวกับแบบจําลองความคงสภาพของคลาร์ ค-วิลสันได้
•
อธิบายเกียวกับแบบจําลองกําแพงเมืองจีนได้
•
อธิบายเกียวกับการสร้ าง Hybrid Policies (นโยบายผสม) ได้
การพิจารณาเกียวกับระบบคอมพิวเตอร์ ให้ เป็ น Finite-state (สภาวะที ชั ด เจน) กับ
กลุม่ ของการเปลีย นแปลงฟั งก์ชนั ให้ เป็ นการเปลีย นแปลงสถาวะ (State) ได้ ดงั นี L
Security policy คื อ ถ้อยแถลงที #เป็ นการแบ่งระหว่างสถาวะของระบบที #อยู่ในรู ปของ
Authorized หรื อ secure และสถาวะของ unauthorized หรื อ nonsecure
Secure system คื อระบบที #เ ริ# มต้นใน Authorized state และไม่ สามารถเข้า สู่
Unauthorized state ได้
เมือทําการพิจารณา Finite-state ในรู ปที 2.1 ซึงเป็ นการพิจารณา 4 states และ 5
transition โดยการแบ่งสถาวะของ Security policy ไปเป็ น Set ของ Authorized states A= {s1,
s2} และ Set ของ Unauthorized states UA= {s3, s4} ซึงระบบนี Lถือว่าไม่ปลอดภัย เนืองจากแม้
ระบบจะทําการเริ มที Authorized state แต่มนั ก็ สามารถไปสู่ Unauthorized state ได้ เช่นกัน
อย่างไรก็ตามถ้ า t3 ไม่สามารถเกิดขึ Lนได้ ในระบบใด ระบบนันก็
L จะถือว่าปลอดภัย โดยโอกาสทีจะ
เกิด t3 ก็คือความเสีย ง (Risk) นันเอง
L
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
47
(Network and Computer Security Specialist: NCS) ระดับที 3
t1
s1
t2
s2
t4
s3
t5
s4
t3
รูปที 2.1 A simple Finite-state machine
การล้มเหลวของความมัน# คงปลอดภัย (Breach of security) จะเกิ ดขึBนเมื #อระบบเข้าสู่
unauthorized states
เราจะสามารถป้ องกัน ความเสี ย งที มี อ ยู่ไ ด้ อ ย่ า งไร คํ า ตอบก็ คื อ การป้ องกัน ด้ ว ย
องค์ ประกอบพืนL ฐานทังL 3 ด้ านได้ แก่ ความลับ (Confidentiality), ความคงสภาพ (Integrity)
และความพร้ อมใช้ งาน (Availability)
•
ความลับ (Confidentiality)
การรักษาความลับของข้ อมูล หมายถึง การทําให้ ข้อมูลสามารถเข้ าถึงหรื อเปิ ดเผยได้
เฉพาะผู้ทีได้ รับอนุญาตเท่านันL เนืองจากข้ อมูลบางอย่างมีความสําคัญและจําเป็ นต้ องเก็บไว้ เป็ น
ความลับ เพราะถ้ าถูกเปิ ดเผยอาจมีผลเสียหรื อเป็ นอันตรายต่อเจ้ าของได้
ความต้ องการในการรั กษาความลับของข้ อมูลนันL เริ มจากด้ านการทหารทีต้องการ
ปกปิ ดข้ อมูลเกียวกับกองทัพไม่ให้ ฝ่ายตรงข้ ามทราบ เช่น ทีตงหน่
ั L วยทหาร แผนการโจมตี จํานวน
กําลังพล และอาวุธทีใช้ เป็ นต้ น ต่อมาหลักการนี Lได้ มีการประยุกต์ใช้ กับทางด้ านธุรกิจเช่นกัน
ดังเช่นบริ ษัทผู้ผลิตสินค้ าอาจต้ องการทีจะเก็บข้ อมูลเกียวกับการออกแบบผลิตภัณฑ์ของตัวเอง
ให้ เป็ นความลับ เพราะถ้ าถูกขโมยไปหรื อถูกเปิ ดเผย บริ ษัทคู่แข่งอาจนําไปเลียนแบบได้ ง่าย อีก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
48
(Network and Computer Security Specialist: NCS) ระดับที 3
ตัวอย่างหนึง คือ องค์กรจําเป็ นทีจะต้ องเก็บข้ อมูลส่วนตัวของพนักงานหรื อข้ อมูลลูกค้ าของตัวเอง
เป็ นความลับ เพราะถ้ าเปิ ดเผยอาจเป็ นการละเมิดสิทธิสว่ นบุคคลได้
กลไกหนึงที ใช้ ในการรั กษาความลับ คือ การเข้ ารหัส ข้ อ มูล (Cryptography หรื อ
Encryption) ซึงเป็ นการจัดข้ อมูลให้ อยู่ในรู ปแบบทีไม่สามารถอ่านหรื อเข้ าใจได้ ถ้าไม่ร้ ู วิธีการ
และคีย์ในการเข้ าหรื อถอดรหัส โดยกุญแจ (Key) หรื อรหัสผ่าน (Password) เป็ นกุญแจทีใช้
สําหรับการเข้ าและถอดรหัสข้ อมูลได้ อย่างไรก็ตามการรักษาคีย์หรื อรหัสผ่านก็เป็ นอีกปั ญหา
หนึง ทีเพิมขึ Lนมาในกลไกควบคุมการเข้ าถึง
ตัวอย่างทีเห็นได้ ชดั ในปั จจุบนั เช่น ในการซื Lอขายสินค้ าบนอินเทอร์ เน็ตหรื ออีคอมเมิร์ซ
วิธีจ่ายเงินทีเป็ นทีนิยมมากทีสดุ วิธีหนึงคือ การใช้ บตั รเครดิต โดยผู้ใช้ ต้องกรอกหมายเลขบัตร
และวันหมดอายุในแบบฟอร์ มสัง ซื Lอผ่านทางเว็บ หลังจากนันเมื
L อลูกค้ ายืนยันการสัง ซื Lอ ข้ อมูลนี Lก็
จะถูกส่งจากเครื องของลูกค้ าไปยังเซิร์ฟเวอร์ ของบริ ษัทผ่านทางเครื อข่ายอินเทอร์ เน็ต ซึงใน
ระหว่างทีข้อมูลเดินทางผ่านอินเทอร์ เน็ตนันต้
L องผ่านหลายจุด ในแต่ละจุดทีข้อมูลส่งผ่านนันไม่
L มี
การรับรองความปลอดภัยของข้ อมูลเลย ถ้ าข้ อมูลนี Lถูกขโมยไปอย่างง่ายดายก็แสดงว่าข้ อมูลนี L
ขาดการรักษาความลับของข้ อมูล อย่างไรก็ตามโดยส่วนใหญ่ในการสัง ซื Lอสินค้ านันข้
L อมูลทีรับส่ง
ระหว่างเครื องลูกข่ายและเซิร์ฟเวอร์ นนจุ
ั L ถกู เข้ ารหัสไว้ โดยใช้ คีย์หรื อรหัสผ่าน ดังนันL คนอืนก็จะ
ไม่สามารถอ่า นข้ อ มูลนี ไL ด้ ถ้ า ไม่มี คีย์ ห รื อ รหัส ผ่า น แต่ถ้า บุคคลอืน สามารถขโมยคีย์ ไ ด้ แ ละ
สามารถถอดรหัสข้ อมูลในการสัง ซื Lอได้ ก็แสดงว่าความลับของข้ อมูลถูกทําลายหรื อถูกเปิ ดเผย
(Compromised) ทําให้ ข้อมูลนันไม่
L มีความปลอดภัย
การเข้ ารหัสข้ อมูลเป็ นการปกป้องความลับของข้ อมูลในระหว่างการส่งผ่านเครื อข่ายที
ไม่มีความปลอดภัย นอกจากนี Lยังมีกลไกอืนของระบบทีใช้ สําหรับปกป้องความลับของข้ อมูลที
จัดเก็บไว้ ในระบบ นัน คือ กลไกควบคุมการเข้ าถึง (Access Control) กลไกการควบคุมนี Lจะ
พิสจู น์ทราบตัวตนของผู้ทีเข้ ามาใช้ งานระบบว่าเป็ นผู้ทีได้ รับอนุญาตหรื อไม่ ซึง วิธีการทีนิยมมาก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
49
(Network and Computer Security Specialist: NCS) ระดับที 3
ทีสดุ คือ “การล็อกอินเข้ าสูร่ ะบบ” โดยกลไกนี Lจะแตกต่างจากการเข้ ารหัสข้ อมูล เนืองจากข้ อมูล
อาจถูกอ่านได้ ถ้ากลไกนี Lไม่ทํางานหรื อทํางานผิดพลาด หรื อการหลีกเลียงการใช้ งานกลไกนี L
ดังนันข้
L อดีข้อเสียของทังสองกลไกจะเป็
L
นคนละจุดกัน กลไกการควบคุมการเข้ าถึงนันเป็
L นการ
ปกป้องทังระบบ
L
ส่วนการเข้ ารหัสข้ อมูลนันเป็
L นการรักษาความลับของข้ อมูลนันๆ
L อย่างไรก็ตาม
ถ้ ากลไกควบคุมการเข้ าถึงระบบทํางานผิดพลาดหรื อล้ มเหลว ข้ อมูลทีจดั เก็บในระบบนันก็
L จะอยู่
ในสภาพทีไ ม่ปลอดภัยเช่นกัน อย่างไรก็ตามทังสองวิ
L
ธีนี Lสามารถใช้ งานพร้ อมกันได้
การรักษาความลับของข้ อมูลนันยั
L งรวมถึงการรักษาไว้ ซึงการมีอยู่ของข้ อมูล ซึงบาง
กรณียงั มีความสําคัญมากกว่าเนื Lอข้ อมูลเสียอีก ยกตัวอย่างเช่น การได้ ร้ ูข้อมูลทีวา่ ผลการสํารวจ
ความนิยมของนักการเมืองคนหนึง สูงมาก ข้ อมูลนี Lอาจมีความสําคัญน้ อยกว่าข้ อมูลทีว่า ผลการ
สํารวจความคิดเห็นนี Lได้ จากการสํารวจความคิดเห็นจากสมาชิกของพรรคหรื อกลุม่ ผู้ทีสนับสนุน
ผู้สมัครนันL เป็ นส่วนใหญ่ หรื ออีกอย่างหนึงคือ ข้ อมูลทีว่า รั ฐบาลมีรูปแบบในการละเมิดสิทธิ
มนุษยชนของประชาชนอย่างไร อาจมีความสําคัญน้ อยกว่าข้ อมูลทีว่า รัฐบาลได้ ละเมิดสิทธิ
มนุษยชนของประชาชนตัวเอง ทังนี
L Lกลไกควบคุมการเข้ าถึงบางครังL ก็เป็ นการปกปิ ดไว้ ซงึ การมีอยู่
ของข้ อมูล เพือเป็ นการป้องกันความลับของข้ อมูลอีกชันหนึ
L ง กล่าวคือ ถ้ าไม่ร้ ู ว่าข้ อมูลนันมี
L อยู่ก็
จะไม่มีความพยายามทีจะขโมยข้ อมูลนันเกิ
L ดขึ Lน
การซ่อ นหรื อ ปกปิ ดทรั พ ยากรก็ เ ป็ นอี ก มุม หนึง ของการรั ก ษาความลับ ของข้ อ มูล
ยกตัว อย่างเช่ น องค์ ก รอาจต้ องการที จะปกปิ ดข้ อ มูล เกี ยวกับโครงสร้ างของระบบหรื อการ
ปรับแต่งของระบบทีองค์กรนันใช้
L งานอยู่ หรื อการปกปิ ดไม่ให้ ทราบว่าองค์กรใช้ อปุ กรณ์เฉพาะ
ใดบ้ าง เพราะมันอาจถูกใช้ โดยทีไม่ได้ รับอนุญาตหรื อใช้ ในทางทีไม่เหมาะสมก็ได้ กลไกการ
ควบคุมการเข้ าถึงอาจใช้ เพือการปกป้องทรัพยากรเหล่านี Lได้ เช่นกัน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
50
(Network and Computer Security Specialist: NCS) ระดับที 3
•
ความคงสภาพ (Integrity)
การรั ก ษาความถูก ต้ อ งและสมบูร ณ์ ข องข้ อ มูล หมายถึ ง การทํ า ให้ ข้ อ มูล มี ค วาม
น่าเชือถือได้ ซึง ประกอบด้ วย 2 ส่วนคือ ข้ อมูลนันไม่
L ได้ ถกู แก้ ไขหรื อเปลียนแปลงจากแหล่งทีมา
เดิม ส่วนทีสองคือ ความน่าเชือถือของแหล่งทีมา ตัวอย่างเช่น หนังสือพิมพ์รายงานข่าวว่าอาจมี
การก่ อ การร้ ายเกิ ด ขึ นL ซึ ง ข่ า วนี อL าจรั ว มาจากสํ า นัก ข่ า วกรองของรั ฐ บาล แต่ เ นื อ งจาก
หนังสือพิมพ์ได้ ขา่ วมาด้ วยวิธีการทีผิด จึงรายงานว่าข่าวนี Lได้ มาจากแหล่งอืน เนื Lอข่าวทีตีพิมพ์ไป
นันยั
L งคงสภาพเดิมจากแหล่งทีมา ซึงเป็ นการรักษาความคงสภาพของข้ อมูล แต่แหล่งข้ อมูลที
ได้ มานันเปลี
L ย นไป ดังนันL ความคงสภาพของข้ อมูลนี Lก็จะถูกกทําลายไปเช่นกัน
กลไกในการรักษาความคงสภาพของข้ อมูลนันประกอบด้
L
วย 2 ส่วนคือ
• การป้ องกั น (Prevention)
เป็ นความพยามยามที จ ะแก้ ไขหรื อ
เปลียนแปลงข้ อมูลโดยผู้ทีไม่ได้ รับอนุญาต ตัวอย่างเช่น องค์กรหนึงใช้
ระบบงานบัญชี ถ้ ามีพนักงานคนหนึงได้ เจาะเข้ าระบบ และแก้ ไขเงิ น
โบนัสของตัวเอง
• การตรวจสอบ (Detection)
เป็ นความพยายามที จ ะแก้ ไขหรื อ
เปลี ย นแปลงข้ อมู ล โดยผู้ ที ไ ด้ รั บ อนุ ญ าตแต่ พ ยายามแก้ ไขข้ อมู ล
นอกเหนือขอบเขตทีตวั เองมีสิทธิc ตัวอย่างเช่น องค์กรหนึงใช้ ระบบงาน
บัญชี โดยผู้ดูแลระบบบัญชีของบริ ษัทเองซึงได้ รับอนุญาตให้ ใช้ งาน
ระบบ แต่ได้ ดําเนินการแก้ ไขข้ อมูลโดยการโอนเงินเข้ าบัญชีตวั เองและ
พยายามปกปิ ดการกระทํานี L
กลไกในการป้องกันนี Lมีจดุ มุง่ หมายเพือรักษาความคงสภาพของข้ อมูล ซึง ทําได้ โดยการ
ป้องกันความพยายามทีจะเปลียนแปลงข้ อมูลโดยไม่ได้ รับอนุญาต หรื อความพยายามทีจะ
เปลี ย นแปลงข้ อมู ล ในรู ป แบบที ไ ม่ ถู ก ต้ องหรื อ ได้ รั บ อนุ ญ าต โดยใช้ การพิ สู จ น์ ต ัว ตน
(Authentication) และ การควบคุมการเข้าถึง (Access Control) จะเป็ นกลไกทีใช้ สําหรับการ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
51
(Network and Computer Security Specialist: NCS) ระดับที 3
ป้องกันการบุกรุกประเภทแรกได้ เป็ นอย่างดี ส่วนการป้องกันความพยายามจากผู้ทีได้ รับอนุญาต
นันต้
L องใช้ กลไกการตรวจสอบสิ ทธิG (Authorization) และกลไกอืนๆ เพิมขึ Lนมา
ทังนี
L Lกลไกในการตรวจสอบความคงสภาพของข้ อมูล (Integrity Detection) นันไม่
L ใช่
กลไกในการรักษาให้ ข้อมูลคงสภาพเดิม แต่เป็ นกลไกทีตรวจสอบว่าข้ อมูลยังคงมีความเชือถือได้
อยู่หรื อไม่ ซึงสามารถทําได้ โดยการตรวจเช็คและวิเคราะห์เหตุการณ์ ต่างๆ ทีเกิดขึ Lนในระบบ
หมายรวมถึงทังที
L เกิ ดจากระบบเองและผู้ใช้ งานระบบด้ วย เพือตรวจสอบว่ามีปัญหาเกิ ดขึนL
หรื อไม่ หรื ออาจจะตรวจสอบและวิเคราะห์ข้อมูลว่ามีคณ
ุ สมบัติทีสําคัญหรื อทีคาดหวังไว้ ยงั คง
สภาพเดิมอยูห่ รื อไม่ และกลไกนี Lอาจมีรายงานด้ วยว่าส่วนไหนของข้ อมูลหรื อไฟล์มีการแก้ ไขหรื อ
อาจรายงานว่าทังไฟล์
L นนถู
ั L กเปลีย นไปจากสภาพเดิมโดยสิ Lนเชิง
การทํางานของการรักษาความคงสภาพของข้ อมูลนันแตกต่
L
างจากการรักษาความลับ
ของข้ อมูลมาก การรักษาความลับของข้ อมูลนันเป็
L นการตรวจสอบว่าข้ อมูลถูกขโมยหรื อไม่ แต่
การรักษาความคงสภาพของข้ อมูลนันเกี
L ยวกับการรักษาความถูกต้ องของข้ อมูลและการรักษา
ความน่าเชือถือของข้ อมูลด้ วยแหล่งทีมาของข้ อมูล (ข้ อมูลได้ มาอย่างไรและจากใคร) ข้ อมูลถูก
ป้องกันดีแค่ไหนก่อนทีจะมาถึงปลายทาง และข้ อมูลถูกป้องกันอย่างไรในระหว่างทีจดั เก็บอยู่ใน
ระบบนันL ซึงทังหมดนี
L
Lเป็ นผลกระทบต่อความคงสภาพของข้ อมูลทังสิ
L Lน ดังนันL การตรวจสอบ
ความคงสภาพของข้ อมูลนันเป็
L นสิง ทีกระทําได้ ยาก เนืองจากมันจะขึ Lนอยู่กบั สมมติฐานเกียวกับ
แหล่งทีมาและความน่าเชือถือของแหล่งทีมานันL ซึง เป็ นจุดหนึง ทีมกั จะถูกมองข้ ามบ่อย
•
ความพร้ อมใช้ งาน (Availability)
การรักษาไว้ ซึงความพร้ อมต่อการใช้ งาน หมายถึง การให้ ผ้ ูทีได้ รับอนุญาตสามารถ
เข้ าถึงข้ อมูลหรื อทรัพยากรได้ เมือต้ องการ ความพร้ อมใช้ งานเป็ นส่วนหนึงของความมัน คงของ
ระบบ (Reliability) เนืองจากการทีระบบไม่พร้ อมใช้ งานก็จะแย่พอๆกับการทีไม่มีระบบเลย ส่วน
หนึงของความพร้ อมใช้ งานทีเกี ยวข้ องกับการรั กษาความปลอดภัยคือ อาจมีผ้ ูไม่ประสงค์ ดี
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
52
(Network and Computer Security Specialist: NCS) ระดับที 3
พยายามทีจะทําให้ ไม่สามารถเข้ า ถึงข้ อมูล ได้ โดยการทําให้ ระบบไม่สามารถใช้ งานได้ การ
ออกแบบระบบนันส่
L วนใหญ่จะใช้ ข้อมูลทางด้ านสถิติเกียวกับรูปแบบหรื อพฤติกรรมในการใช้ งาน
ระบบของผู้ใช้ ระบบจะถูกออกแบบเพือให้ เหมาะสมกับสภาพแวดล้ อมดังกล่าว ดังนันL กลไกใน
การรั กษาความพร้ อมใช้ งานนันL จะทํางานในกรณี ทีระบบไม่ได้ ทํางานในสภาพทีปกติหรื อ ที
ออกแบบไว้ ซึง ถ้ ากลไกนี Lไม่ทํางานส่วนใหญ่ระบบจะล่มหรื อไม่พร้ อมใช้ งาน
ยกตัวอย่างเช่น ธนาคารแห่งหนึง เก็บข้ อมูลบัญชีลกู ค้ าไว้ ในฐานข้ อมูลโดยใช้ เซิร์ฟเวอร์
2 เครื องทํางานโหลดบาลานซิง (Load balancing) ซึง กันและกัน โดยเมือลูกค้ าต้ องการทีจะฝาก
ถอน โอนเงิน หรื อธุรกรรมอืนๆ ก็จะต้ องเข้ ามาเช็คข้ อมูลทีเซิร์ฟเวอร์ นี Lก่อน เมือเซิร์ฟเวอร์ หนึงไม่
ทํางานอีกเซิร์ฟเวอร์ หนึง ก็จะทํางานแทน แต่ถ้าธนาคารมีแค่เซิร์ฟเวอร์ เดียวและถ้ าเซิร์ฟเวอร์ นนั L
ไม่ทํางาน ซึงอาจจะถูกโจมตีหรื อเซิร์ฟเวอร์ ลม่ เสียเอง ความพร้ อมใช้ งานของข้ อมูลก็จะขาดไป
ซึง ทําให้ ข้อมูลไม่มีความปลอดภัยด้ านความพร้ อมการใช้ งาน
ความพยายามทีจะทําลายความพร้ อมใช้ งานจะเรี ยกว่า การโจมตีแบบปฏิเสธการ
ให้ บริ การ (Denial of Service: DoS) ซึง เป็ นการโจมตีทีอาจตรวจจับได้ ยากทีสดุ เนืองจากในการ
วิเคราะห์ ต้องพิจารณาว่าอะไรทีเป็ นความพยายามทีทําให้ ระบบใช้ งานไม่ได้ หรื อเป็ นเพียง
เหตุการณ์ทีเกิดจากการใช้ งานปกติ ซึง การวิเคราะห์นนจะอาศั
ัL
ยหลักการทางด้ านสถิตเิ ข้ ามาช่วย
ในการวิเคราะห์ และสภาวะแวดล้ อมการทํางานของแต่ละระบบก็แตกต่างกันไปด้ วย ทําให้ การ
วิเคราะห์เพือตัดสินว่าเป็ นการโจมตีแบบปฏิเสธการให้ บริ การหรื อไม่นนยากยิ
ัL
งขึ Lนไปอีก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
53
(Network and Computer Security Specialist: NCS) ระดับที 3
“คุณต้องทําการชัง# นํBาหนักความสําคัญให้ดีว่าองค์กรของคุณเน้นไปที #
การรักษาความลับของข้อมูลหรื อความสามารถในการพร้อมใช้งาน
เพราะในความเป็ นจริ งแล้วเป็ นไปได้ยากทีจ# ะทําให้ทงัB สองอย่างนีเB กิ ดขึBนอย่างเท่าๆ กัน”
และนอกจากองค์ประกอบทังL 3 ด้ านทีได้ กล่าวมาแล้ ว ยังมีแนวคิดเกียวกับการรักษา
ความมัน คงปลอดภัยอืนๆ อีก ดังต่อไปนี L
•
ความเป็ นส่ วนบุคคล (Privacy)
ข้ อมูลทีองค์กรรวบรวม จัดเก็บ และใช้ งานนันควรถู
L
กใช้ เพือจุดประสงค์ทีเจ้ าของข้ อมูล
ระบุตอนทีเก็บรวบรวมเท่านันL แต่ถ้าใช้ เพือจุดประสงค์อืนก็ แสดงว่าเป็ นการละเมิดสิทธิc ส่วน
บุคคลของเจ้ าของข้ อมูลนันL บางองค์กรใช้ ข้อมูลส่วนบุคคลในทางทีผ ิด หรื อบางทีอาจขายข้ อมูล
เหล่า นี ใL ห้ กับ บุค คลหรื อ องค์ ก รอื น โดยที เ จ้ า ของข้ อ มูล ไม่รั บ รู้ ปั จ จุบัน ข้ อ มูล ส่ว นบุค คลนันL
สามารถค้ นหาและรวบรวมได้ จากหลายๆ แหล่ง และเมือรวบรวมได้ แล้ วอาจถูกใช้ ในทางที
เจ้ าของนันไม่
L เห็นด้ วยหรื อไม่พึงประสงค์ หลายๆ คนก็เริ มให้ ความสําคัญกับกิจกรรมประเภทนี L
แล้ ว และได้ แต่เพียงหวังว่ารัฐบาลจะมีมาตรการในการควบคุมสิทธิcสว่ นบุคคลนี L
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
54
(Network and Computer Security Specialist: NCS) ระดับที 3
•
การระบุตัวตน (Identification)
ระบบสารสนเทศนันจะต้
L
องสามารถระบุตวั ตนของผู้ใช้ แต่ละคนทีใช้ งานระบบได้ การ
ระบุตวั ตนเป็ นขันแรกในการที
L
จะสามารถเข้ าถึงข้ อมูลทีมีชนั L ความลับ และเป็ นพื Lนฐานสําหรับ
ขันตอนต่
L
อไปคือ การพิสจู น์ทราบตัวตน (Authentication) และการพิสจู น์สิทธิc (Authorization)
เมือใช้ การระบุตวั ตนและการพิสจู น์ทราบตัวตนร่ วมกันเป็ นส่วนสําคัญในการสร้ างระดับในการ
เข้ าถึงระบบ หรื อการอนุญาตสิทธิcมากน้ อยแค่ไหนในการใช้ งานระบบ รูปแบบของการระบุตวั ตน
ทีนิยมใช้ ในระบบคอมพิวเตอร์ มากทีสดุ ก็โดยการใช้ ชือผู้ใช้ (Username)
•
การพิสจู น์ ทราบตัวตน (Authentication)
การพิสจู น์ทราบตัวตนนันเกิ
L ดขึ Lนเมือระบบควบคุมพิสจู น์ว่าผู้ใช้ ใช่คนทีผ้ ใู ช้ บอกหรื อไม่
เช่น ถ้ าผู้ใช้ ระบุชือผู้ใช้ แล้ วก็ต้องสามารถระบุรหัสผ่านทีค่กู บั ยูสเซอร์ นนได้
ั L หรื ออีกตัวอย่างหนึง
คือ การใช้ ใบรับรองอิเล็กทรอนิกส์ในการสร้ างการเชือมต่อแบบ SSL (Secure Socket Layer)
เพือ พิสจู น์วา่ เซิร์ฟเวอร์ ทีเชือมต่ออยูน่ นใช่
ั L เครื องทีต้องการเชือมต่อจริ งๆ
•
การอนุญาตใช้ งาน (Authorization)
หลังจากทีสามารถพิสจู น์ทราบตัวตนแล้ ว ขันตอนต่
L
อไปคือ การตรวจสอบสิทธิcของผู้ใช้
หรื อเครื องลูกข่าย (Client) นันว่
L าได้ มีการกําหนดสิทธิcให้ ใช้ งานระบบได้ ในระดับไหน ซึงสิทธิcนนั L
ประกอบด้ วย การเข้ าถึ งหรื อ อ่าน การแก้ ไข หรื อการลบข้ อมูล เช่น การใช้ ACL (Access
Control
List)
หรื อ การจัด กลุ่ม ของผู้ใ ช้ ในระบบ เช่ น กลุ่ม ผู้ ใช้ ในระดับ ผู้ดูแ ลระบบ
(Administrators หรื อ Root) นันมี
L สิทธิc สงู สุดหรื อสามารถทําอะไรก็ได้ ในระบบ แต่ถ้าเป็ นผู้ใช้
ทัว ไปก็จะมีสทิ ธิcทีตําลงมาแล้ วแต่จะกําหนด อีกตัวอย่างหนึงคือ ระบบฐานข้ อมูลหลังจากระบบ
พิสูจน์ ทราบตัวตนแล้ วขันL ตอนต่อไปก็ เป็ นการตรวจสอบสิทธิc ว่าผู้ใช้ คนนันL มีสิทธิc ในการอ่าน
เขียน สร้ าง และลบหรื อไม่
•
การตรวจสอบได้ (Accountability)
ความสามารถในการตรวจสอบการใช้ งานระบบได้ ก็เป็ นอีกส่วนทีสาํ คัญเพราะเป็ นการ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
55
(Network and Computer Security Specialist: NCS) ระดับที 3
รับรองว่าทุกๆ กิจกรรมหรื อเหตุการณ์ทีเกิดขึ Lนนันสามารถตรวจสอบได้
L
ว่าเกิดขึ Lนเพราะใครหรื อ
กระบวนการ (Process) ไหน ยกตัวอย่างเช่น การเก็บบันทึก (Logs) เกียวกับกิจกรรมต่างๆของ
ผู้ใช้ งานแต่ละคนทีมีการใช้ งานระบบ เป็ นต้ น
ทังนี
L Lหนทางหนึงทีสําคัญในการก่อให้ เกิด CIA อย่างครบถ้ วนก็คือ การใช้ นโยบาย
(Policy) เป็ นหลักการในการควบคุม จัดการให้ ร ะบบเกิ ด ความปลอดภัยมากทีสุด , กลไก
(Mechanism) เป็ นเครื องมือหรื อวิธีปฏิบตั ิในการจัดการให้ ระบบเกิดความปลอดภัยมากทีสดุ
และการรั บรอง (Assurance) เป็ นกระบวนการในการทํ า ให้ ทงั L นโยบายและกลไกมี ความ
สอดคล้ องกัน โดยเมือมองในภาพรวมของการรักษาความปลอดภัยจะเป็ นดังรูปที 2.2
รูปที 2.2 แสดงภาพรวมของความปลอดภัยทางสารสนเทศ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
56
(Network and Computer Security Specialist: NCS) ระดับที 3
จากรู ปที 2.2 จะเห็นว่าความเสียง (Risk) หรื อก็คือ ช่องโหว่ (Vulnerability) และภัย
คุกคาม (Threat) จะทําการโจมตีมายังองค์ประกอบหลักทังL 3 ในความปลอดภัยของทรัพยากร
ทังหลาย
L
(Assets) ซึงก็คือ ความลับ (Confidentiality), ความคงสภาพ (Integrity) และความ
พร้ อมใช้ (Availability) โดยเจ้ าของทรั พยากรสามารถนําการบริ หารจัดการความปลอดภัย
(Security Management) ตัวอย่างเช่น นโยบาย, กฎหมาย และมาตรฐานความปลอดภัย เป็ น
ต้ น มาใช้ กําหนดการกระบวนการในทางปฏิบัติด้านปลอดภัย (Security Implementation)
ตัวอย่างเช่น ความปลอดภัยในระบบเครื อข่าย, ความปลอดภัยทางกายภาพ และการเข้ ารหัส
เป็ นต้ น ซึงสิงเหล่านี Lจะเป็ นตัวช่วยปกป้องทรัพยากรจากความเสียงทังหลายที
L
เข้ ามาโจมตีในมี
ผลกระทบน้ อยทีสดุ หรื อไม่มีผลกระทบเลย
ทังนี
L LทังL 3 ส่วนมีความสัมพันธ์กนั คือนโยบายจะถูกกําหนดออกมาก่อน จากนันทํ
L าการ
เลือกกลไกทีจะมาควบคุมกระบวนการต่างๆ ในทางปฏิบตั ิ โดยการเลือกนันใช้
L การรับรองเป็ น
กระบวนการในการบอกว่าต้ องเป็ นอย่างไร ซึง ความสัมพันธ์จะเป็ นไปตามรู ปที 2.3 ตัวอย่างเช่น
มีก ารกํ าหนดว่าในห้ อ งทํ า งาน A ทังL ห้ อ งห้ า มมี ก ารใช้ ค อมพิว เตอร์ เ ล่น เกมออนไลน์ เ ป็ น
“นโยบาย” จากนันทํ
L าการสํารวจลักษณะการใช้ งานคอมพิวเตอร์ ในห้ องนันว่
L าจําเป็ นต้ องใช้ งาน
อะไรบ้ างตลอดจนลักษณะของผู้ใช้ งานทังL หมดจากนันทดลองนํ
L
าวิธีต่างๆมาใช้ บังคับเพือให้
สนับสนุนนโยบายโดยทีไม่คดั ต่อการทํางานตามปกติส่วนนี Lเป็ น “การรับรอง” จากนันเมื
L อได้
ทดลองทังหมดแล้
L
ววิธีทีดีทีสดุ คือการปิ ดพอร์ ต (Port) 49 ซึงเป็ นพอร์ ตทีใช้ ในการล็อกอินเข้ าสู่
ระบบเพือปกป้องการเข้ าใช้ งานเกมออนไลน์ แต่ผ้ ใู ช้ ยงั สามารถใช้ งานโปรแกรมต่างๆภายใน
เครื องตลอดจนใช้ งานเว็บไซต์ทวั ไปทีไม่มีการล็อกอินได้ ตามปกติ ซึง ในส่วนทีทําการปิ ดพอร์ ตนี Lก็
คือ “กลไก” หรื ออาจสรุ ปสันๆ
L ว่า นโยบายคือ What, กลไกคือ How, และการรั บรองคือ
Process Thinking
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
57
(Network and Computer Security Specialist: NCS) ระดับที 3
รูปที 2.3 แสดงภาพความสัมพันธ์ระหว่าง นโยบาย กลไก และการรับรอง
Security mechanism คื อ entity หรื อกระบวนการที #ใช้ในการบังคับบางส่วนของ
Security Policy
Security model คื อ model ที #นํานโยบายหรื อกลุ่มของนโยบายกลับมานําเสนออี ก
ครังB
อย่างไรก็ตามในบทนี Lจะเป็ นการกล่าวเน้ นที Security policy เท่านันL
1.1 ประเภทของนโยบายด้ านความมันคงปลอดภัย (Types of Security
Policies)
Security
policy
จะพิ จ ารณาจุ ด ที ต รงกั บ ปั ญหาในทุก ๆ ส่ ว นทังL ทาง
Confidentiality, Integrity และ Availability ซึง ด้ วยการสนใจไปที Confidentiality จะต้ องทําการ
ระบุสถาวะต่างๆ ทีเกียวกับการรัวL ไหลของข้ อมูลไปยังผู้รับทีไม่มีสทิ ธิc ไม่เพียงเท่านันแต่
L ยงั รวมไป
ถึงการปิ ดบังการส่งผ่านของข้ อมูลโดยให้ ไม่มีการรัวไหลอีกด้ วย และในบางครังL นโยบายก็ต้อง
สามารถเปลียนแปลงการพิสจู น์ทราบตัวตนได้ ทําให้ ต้องประกอบด้ วยส่วนประกอบชัวคราว
อย่างเช่น บุคคลทีทํางานในบริ ษัทอาจมีการได้ รับสิทธิcให้ เข้ าใช้ งานข้ อมูลส่วนตัวซึงจะต้ องมีการ
สร้ างข้ อตกลงร่ ว มกั น เกี ย วกั บ การไม่ เ ปิ ดเผย (Nondisclosure
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
agreement) แต่ เ มื อ
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
58
(Network and Computer Security Specialist: NCS) ระดับที 3
Nondisclosure agreement นันหมดอายุ
L
ลง บุคคลนันก็
L ต้องไม่สามารถเข้ าถึงข้ อมูลได้ อีก เป็ น
ต้ น จากทีกล่าวมานโยบายทีมีเกณฑ์แบบนี Lมักเรี ยกกันว่า Confidentiality policy
ในกรณีสนใจไปที Integrity นโยบายจะระบุถึงหนทางในการได้ รับสิทธิcในข้ อมูลที
อาจทําการเปลีย นแปลงได้ โดยสิง (entity) ทีได้ รับสิทธิcนนั L โดย Authorization อาจเป็ นการได้ รับ
จากทังความสั
L
มพันธ์ ทีหลากหลายและอิทธิพลจากภายนอก อย่างเช่น ในการจัดการต่างๆจะมี
หลักการทีเรี ยกว่า “Separation of duties” คือการห้ ามมิให้ entity ใดๆสามารถดําเนินการใดๆ
ได้ ด้วยตนเองทังหมด
L
เป็ นต้ น ซึง ใน Security policy ส่วนนี Lจะเป็ นการบรรยายถึงเงือนไขและวิธี
ในการทําให้ ข้อมูลสามารถเปลีย นแปลงไปได้ และถูกเรี ยกว่า Integrity policy
Military security policy (หรื อ governmental security policy) เป็ นนโยบาย
ทางความมัน# คงปลอดภัยทีไ# ด้พฒ
ั นาขึBน โดยเน้นทีก# ารจัดเตรี ยมในด้านของ Confidentiality
Commercial security policy คื อ นโยบายทางความมัน# คงปลอดภัยที #ได้
พัฒนาขึBน โดยเน้นทีก# ารจัดเตรี ยมในด้านของ Integrity
1.2 บทบาทของความเชือมัน (The Role of Trust )
บทบาทของความเชือมัน ถือเป็ นตัวชีขL าดในความเข้ าใจเกียวกับธรรมชาติของ
Computer security เลยก็ ว่า ได้ เนือ งด้ วยไม่ว่าจะเป็ นการจัด ทําหรื อปรั บปรุ งระบบด้ ว ย
Hardware หรื อ software ก็เป็ นกระบวนการทีต้องใช้ ความเชือมัน ทีมีอยูใ่ น entity นันๆด้
L วยสิงที
เป็ นพื นL ฐานทีสุดคือ การคาดคะเน (Assumption) อย่างเช่น เมือ ทําการลง patch ใหม่นันL
หมายถึงคาดคะเนแล้ วว่า เชือมัน ว่า patch ถูกส่งมาโดยไม่ถูกแก้ ไข เชือมัน ว่าผู้จําหน่ายได้
ตรวจสอบมาอย่างดีแล้ ว เชือมัน ว่าสภาพแวดล้ อมทีใช้ อยู่นนั L เหมือนกับทีผ้ ูจําหน่ายใช้ และ
เชือมัน ว่า patch นันได้
L ถกู ติดตังอย่
L างถูกต้ องแล้ ว เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
59
(Network and Computer Security Specialist: NCS) ระดับที 3
สิ ง สํ า คัญ ก็ คื อ ทุก ๆ นโยบาย กลไก หรื อ การกระทํ า ที เ กี ย วกับ ความมัน คง
ปลอดภัยและใช้ การคาดคะเนนันL ถ้ าเกิดการคาดคะเนไม่ถกู ต้ องขึ Lนมาผู้วิเคราะห์, นักออกแบบ
หรื อผู้ใช้ พึงระลึกไว้ เสมอว่าต้ องทําลายโครงสร้ างทีอยู่เหนือขึ Lนไปจากสิงทีคาดคะเนผิดนันด้
L วย
เสมอ เพือเป็ นการข้ ามออกจากการคาดคะเนทีไม่ได้ การรับประกันและทําให้ ความผิดพลาดนันL
ได้ สิ Lนสุดลงอย่างแท้ จริ ง
1.3 ประเภทของการควบคุมการเข้ าถึง (Types of Access Control)
Security policy อาจมีการใช้ access controls ได้ อยู่ 2 ประเภทได้ แก่ alone
โดยจะขึนL อยู่กับ การระบุตัว ตน (Identity) ของผู้ใ ช้ แ ละต้ อ งเป็ นสิง ที รั บ ทราบกัน ได้ อ ย่า ง
กว้ างขวาง หรื อ combination โดยจะขึ Lนอยูก่ บั คําสัง (Fiat) และการระบุตวั ตน (Identity) ซึงทังคู
L ่
จะต้ องไม่มีความเกียวข้ องกัน ทังนี
L Lในแต่ละ access control จะตังมาจากเจ้
L
าของระบบเองและ
มีไว้ เพือใช้ ในการตรวจสอบทีแม้ แต่เจ้ าของก็ต้องอยู่ในการควบคุมทีตงขึ
ั L Lนมานันด้
L วย อย่างไรก็
ตามเป้าหมายของการควบคุมก็คือให้ ผ้ ทู ีทําการสร้ างสิงใดขึ Lนก็ตาม (อาจหมายถึง File หรื อ
Information ในนันก็
L ได้ ) ผู้นนจะสามารถควบคุ
ัL
มการแพร่กระจายของสิง นันได้
L
ในแบบแรก เป็ นการควบคุมการเข้ าถึงข้ อมูลด้ วยหลักฐานทีพิสจู น์ได้ ของผู้ใช้
ระบบคนนันเอง
L ด้ วยกฎต่างๆ เพือ บอกหรื อพิสจู น์วา่ ผู้ทีจะเข้ าถึงข้ อมูลนันเป็
L นบุคคลคนนันL
จริ งๆ และ ในการเข้ าถึงนันL ผู้ทีเป็ นเจ้ าของข้ อมูลจะมีสทิ ธิสงู สุดในข้ อมูลและสามารถกําหนด
สิทธิในข้ อมูลทีตนเองเป็ นเจ้ าของว่าจะอนุญาตให้ บคุ คลอืนเข้ ามาทําการกับข้ อมูลนันมากน้
L
อย
เพียงใด เช่น การอ่าน เขียน หรื อไม่ยินยอมให้ สามารถใช้ งานก็ได้ เป็ นต้ น และเราเรี ยกกาควบคุม
การเข้ าแบบนี Lว่า Discretionary Access Control (DAC) หรื อ Identity-Based Access
Control (IBAC)
ส่วนแบบทีสองนันเรี
L ยกว่า Mandatory Access Control (MAC) หรื อ RuleBased Access Control (RBAC) ซึงเป็ นการกําหนดการเข้ าถึงข้ อมูลของแต่ละคนด้ วยการ
จัดลําดับชันL (Classify) ของผู้ใช้ งานและลําดับชันL ความสําคัญของข้ อมูล ซึงความสัมพันธ์
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
60
(Network and Computer Security Specialist: NCS) ระดับที 3
ระหว่างข้ อมูลกับผู้ใช้ งานนันขึ
L นL กับลําดับชันL ของแต่ละฝ่ าย โดยความสัมพันธ์ นนจะบอกถึ
ัL
ง
ความสามารถในการเข้ าถึงข้ อมูลทีแตกต่างกันไปตามลําดับชันความสํ
L
าคัญ
Originator controlled access control (ORCON หรื อ ORGCON) เป็ นการ
ควบคุมการเข้ าถึงทีเจ้ าของทีสร้ างสิงนันL (หรื ออาจหมายถึงข้ อมูลทีบรรจุอยู่ก็ได้ ) เท่านันL จึงจะ
ทําการกําหนดสิทธิcได้ และผู้ทีได้ รับสิทธิcมาก็ต้องไม่สามารถให้ สทิ ธิcตอ่ ได้
2. นโยบายด้ านการรักษาความลับ (Confidentiality Policies)
Confidentiality Policy หรื อบางครังL ก็เรี ยกกันว่า Information flow policy จะเน้ นที
การป้องกันด้ านการรักษาความลับ โดยป้องกันการเปิ ดเผยข้ อมูลทีไม่ได้ รับสิทธิc (Unauthorized)
และรองลงมาคือการเปลียนแปลงข้ อมูลทีไม่ได้ รับสิทธิc ตัวอย่างเช่น ทหารเรื อต้ องเก็บรักษา
ความลับของข้ อมูลทีเกียวกับการเดินทางของกองเรื อรบทีมีอยู่ ซึงถ้ าข้ อมูลมีการเปลียนแลง
ระบบและงานเอกสารต่างๆก็ควรทีจะถูกเปลียนแปลงไปด้ วย แต่ถ้าศัตรู ลว่ งรู้ ถึงวันเวลาในการ
แล่นเรื อรบ เรื อรบนันก็
L อาจถูกลงจมได้ และเนืองด้ วยช่องทางในการสือสารทางการทหารทีมีอยู่
มากมาย จึงทําให้ สภาพพร้ อมใช้ ไม่ได้ เป็ นปั ญหาแต่อย่างใด
ในด้ านของภาครัฐแล้ ว จะครอบคลุมถึงการป้องกันความเป็ นส่วนตัว (Privacy) ของ
ประชากรที มี จํ า นวนมาก อย่างเช่ น ในสหรั ฐ อเมริ ก านันL พระราชบัญ ญัติ ค วามเป็ นส่ว นตัว
(Privacy Act) จะระบุให้ ข้อมูลชือจริ งของบุคคลจะต้ องถูกเก็บอย่างเป็ นความลับ หรื อข้ อมูลการ
คืนภาษี ถือเป็ นความลับตามกฎหมายและจะมีได้ ทีกรมสรรพากรเท่านันL เว้ นเสียแต่ว่าได้ รับสิทธิc
ทางกฎหมายตามคําสัง ศาล เป็ นต้ น และด้ วยหลักการของสิทธิ พิเศษ (Executive privilege)
และการเป็ นระบบทีไม่ได้ อยูใ่ นระดับทางการทหารแล้ ว แนะนําว่าผู้ทีทํางานอยู่ในภาครัฐจําเป็ น
ที จ ะต้ อ งกํ า หนดขอบเขตการกระจายของเอกสารและข้ อ มูล ต่า งๆไว้ อ ย่า งชัด เจน รวมถึ ง
แบบจํ า ลองภาครั ฐ ที เ ป็ นตั ว แทนของนโยบายต่ า งๆซึ ง เหมาะสมตามความต้ องการ
(Requirements) ของแต่ละหน่วยงาน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
61
(Network and Computer Security Specialist: NCS) ระดับที 3
2.1 แบบจําลองเกรแฮม-เดนนิง (Graham-Denning Model)
แบบจําลองเกรแฮม-เดนนิง เป็ นแบบจําลองควบคุมการเข้ าถึงโดยทัว ไป ซึงเป็ น
แบบจําลองความมัน คงปลอดภัยทีแสดงให้ เห็นว่า Subject และObject ควรจะถูกกําหนดและ
เลิกการกําหนดหรื อลบทิ Lงอย่างไร รวมถึงการกําหนดสิทธิcในการเข้ าถึงโดยเฉพาะด้ วย
•
Subject (S: set of all subjects) Entity ทีสามารถกระทํา/ปฏิบตั ิการบน
Entity อืน ได้ เช่น ผู้ใช้ กระบวนการ หรื อผู้กระทํา เป็ นต้ น
Object (O: set of all objects) เช่น กระบวนการ ไฟล์ อุปกรณ์ตา่ ง ๆ
• Right (R: set of all rights) สิทธิc การกระทํา หรื อการปฏิบตั ิที Subject
•
ได้ รับการอนุญาต หรื อไม่ได้ รับอนุญาตให้ ทํากับ Object
แบบจําลองนีเL น้ นทีประเด็นความมัน คงปลอดภัยทีเกียวข้ องกับการกําหนดชุด
ของสิทธิcพื Lนฐานทีบคุ คลสามารถทํางานเกียวกับความมัน คงต่อวัตถุได้ อย่างไร ซึง แบบจําลองมี
กฎการป้องกันพื Lนฐานอยู่ 8 ประการ ดังนี L
1) จะสร้ างหรื อกําหนด Object อย่างมีความมัน คงปลอดภัยได้ อย่างไร
2) จะกําหนด Subject อย่างมีความมัน คงปลอดภัยได้ อย่างไร
3) จะลบ Object อย่างมีความมัน คงปลอดภัยได้ อย่างไร
4) จะยกเลิกหรื อลบ Subject อย่างมีความมัน คงปลอดภัยได้ อย่างไร
5) จะทําให้ การเข้ าถึงเพืออ่าน (Read) มีความมัน คงปลอดภัยได้ อย่างไร
6) จะทําให้ การเข้ าถึงเพือการให้ สิทธิc (Grant) มีความมัน คงปลอดภัยได้
อย่างไร
7) จะทําให้ การเข้ าถึงเพือลบ (Delete) มีความมัน คงปลอดภัยได้ อย่างไร
8) จะทําให้ การเข้ าถึงเพือการถ่ายโอน (Transfer) มีความมัน คงปลอดภัย
ได้ อย่างไร
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
62
(Network and Computer Security Specialist: NCS) ระดับที 3
2.2 แบบจําลองความลับเบลล์ -ลาพาดูลา (The Bell-LaPadula Model)
แบบจําลองความลับเบลล์-ลาพาดูลา สามารถเรี ยกได้ อีกอย่างว่า แบบจําลอง
หลายระดับ ซึงคิดขึนL โดยเบลล์ และ ลาพาดูลา สํา หรั บการควบคุมการเข้ าถึ งในโปรแกรม
ประยุกต์ของรัฐบาลและทหาร โดยในโปรแกรมประยุกต์ดงั กล่าว Subject และ Object มักจะถูก
กําหนดให้ อยู่ในระดับความมัน คงทีต่างกัน Subject จะสามารถเข้ าถึง Object ในระดับทีถูก
กํ าหนดโดยระดับ ความมัน คงของตัว เอง อย่างเช่น ต่อไปนี เL ป็ นข้ อ กํ า หนดของการเข้ าถึ ง 2
ประการ “บุคลากรทีไม่ได้ ถูกจัดกลุ่มไม่สามารถอ่านข้ อมูลในระดับความลับ (Secret)” และ
“ข้ อมูลทีลบั มากไม่สามารถถูกเขียนลงในไฟล์ทีอยูใ่ นระดับไม่ถกู แบ่งกลุม่ (Unclassified)”
แบบจําลองเบลล์-ลาพาดูลาสนับสนุนการควบคุมการเข้ าถึงทีสําคัญโดยการ
พิจารณาสิทธิcของการเข้ าถึงจากระดับความมัน คงทีเกียวข้ องกับ Subject และ Object และมัน
ยังสนับสนุนการควบคุมการเข้ าถึงแบบอาศัยการตัดสินใจโดยการตรวจสอบสิทธิcการเข้ าถึงจาก
ตารางการเข้ าถึง
ตารางที 2.1 ตัวอย่างของ The basic confidentiality classification
แบบจํ า ลองความลับ เบลล์-ลาพาดูลา ได้ กําหนดกฎความมัน คงปลอดภัยซึง
ประกอบด้ วยกฎหลัก 3 ประการคือ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
63
(Network and Computer Security Specialist: NCS) ระดับที 3
1. Simple security rule (no read up)
กฎความมัน คงพื Lนฐาน (ไม่มกี ารอ่านขึ Lน)
Subject ไม่สามารถอ่านข้ อมูลในระดับทีสงู กว่า
2. *-property rule หรื อ Star property rule (no write down)
กฎคุณสมบัติดาว (ไม่มีการเขียนลง)
Subject ไม่สามารถเขียนข้ อมูลในระดับทีตํากว่า
3. Strong star property rule (กฎคุณสมบัติดาวแบบเข้ มข้ น)
Subject สามารถอ่าน/เขียน – ในระดับเดียวกันเท่านันL
3. นโยบายด้ านการรักษาความคงสภาพ (Integrity Policies)
ความแตกต่างในความต้ องการทางการค้ ากับความต้ องการทางการทหารก็คือการเน้ น
ไปทีการรัษาความคงสภาพของขอ้ มลู นันเอง
L ด้ วยความต้ องการ 5 ประการได้ แก่
1) ผู้ใช้ จะต้ องไม่เขียน (แก้ ไขเปลียนแปลง) โปรแกรม แต่ต้องจะสามารถเข้ าใช้
งานโปรแกรมและฐานข้ อมูลจริ งได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
64
(Network and Computer Security Specialist: NCS) ระดับที 3
2) ผู้เขียนโปรแกรมจะสามารถพัฒนาและทดสอบโปรแกรมได้ บนระบบทีไม่ได้
ใช้ งานจริ ง ซึง ถ้ าต้ องการเข้ าถึงข้ อมูลทีใช้ งานจริ ง พวกเขาจะต้ องได้ รับข้ อมูล
เฉพาะในส่วนทีต้องใช้ จริ งเท่านันL และก็ต้องเป็ นไปเพือการพัฒนาระบบ
3) ข้ อมูลเฉพาะในส่วนทีต้องใช้ จริ ง นอกจากทําเพือการพัฒนาระบบเท่านันแล้
L ว
การพัฒนาระบบดังกล่าวจะต้ องเป็ นไปเพือการผลิตระบบทีออกมาใช้ งาน
จริ งเท่านันL
4) ข้ อ มูล เฉพาะในส่วนทีต้ อ งใช้ จ ริ ง ดัง กล่าวต้ อ งมี ก ารควบคุมและสามารถ
ตรวจสอบได้
5) ผู้จัดการและผู้ตรวจสอบต้ องสามารถเข้ าถึงได้ ทงระบบที
ัL
ใช้ งานและระบบ
บันทึกการใช้ งานทีถกู สร้ างขึ Lนมาได้
ในระบบควบคุมรายการสินค้ าอาจยังทํางานได้ อย่างถูกต้ องถ้ าข้ อมูลนันได้
L มีการนํา
ออกด้ วยการจัดการอย่างไรก็ตาม แต่มกั จะทํางานได้ ไม่ถกู ต้ องถ้ าข้ อมูลสามารถเปลีย นแปลงใน
ลัก ษณะของการสุ่ ม ได้ ดัง นั นL ในกรณี นี จL ะเห็ น ว่ า การรั ก ษาความคงสภาพของข้ อมู ล มี
ความสําคัญกว่าการรั กษาความลับของข้ อมูล ซึงนันL ก็ คื อจุดประสงค์ ทีสําคัญของ Integrity
Policies เนืองด้ วยในวงการธุรกิจการค้ าและอุตสาหกรรมนันL เกียวข้ องกับความถูกต้ องมากกว่า
การระวังในการถูกเปิ ดเผย
3.1 แบบจําลองความคงสภาพบิบา (Biba Integrity Model)
แบบจําลองบิบา หรื อแบบจําลองความคงสภาพบิบา พัฒนาโดย เคนเนธ เจ บิ
บา ในปี 1977 เป็ นระบบการส่ง ถ่ า ยขันL ของระบบตามนโยบายความมัน คงปลอดภัย ทาง
คอมพิวเตอร์ ซึงกล่าวถึงชุดของกฎการควบคุมการเข้ าถึงทีออกแบบเพือความคงสภาพของ
ข้ อมูล โดยข้ อมูลและ Subject จะถูกจัดกลุม่ ตามระดับของความคงสภาพ ทังนี
L Lแบบจําลองได้
ถูกออกแบบให้ Subject อาจไม่สามารถทําลายข้ อมูลในระดับทีสงู กว่า หรื อถูกทําลายข้ อมูลจาก
ระดับทีตํากว่า Subject ได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
65
(Network and Computer Security Specialist: NCS) ระดับที 3
โดยทัว ไปแล้ วการรักษาความคงสภาพของข้ อมูลจะมีเป้าหมายอยู่ 3 ประการ
ได้ แก่
•
•
ป้องกันการแก้ ไขข้ อมูลโดยกลุม่ ทีไม่มสี ทิ ธิc (unauthorized parties)
ป้องกันการแก้ ไขข้ อมูลทีไ ม่เหมาะสม จากกลุ่มทีมี สิทธิc (authorized
parties)
•
การรักษาความถูกต้ องตรงกันทังภายในและภายนอก
L
(เช่น ข้ อมูลที
สะท้ อนสภาพความเป็ นจริ งของโลก)
แบบจํ า ลองความมัน คงปลอดภัยนี เL น้ นที ค วามคงสภาพของข้ อ มูล มากกว่า
ความลับของข้ อมูลและมีลกั ษณะ “ไม่มีการอ่านลง ไม่มีการเขี ยนขึBน”
ในแบบจําลองบิบา ผู้ใช้ สามารถสร้ างเนื Lอทีในระดับของตนเองและระดับทีตํากว่า
เท่านันL (พระอาจเขียนหนังสือธรรมะซึงอ่านโดยคนสามัญ แต่ไม่ใช่ให้ อ่านโดยพระทีมีระดับสูง
กว่า)
ในทางกลับกัน ผู้ใช้ สามารถอ่านเนือL หาทีระดับของตนเองและระดับทีสูงกว่า
เท่านันL (พระอาจอ่านหนังสือธรรมะซึงเขียนโดยพระทีมีระดับสูงกว่า แต่ไม่ควรอ่านแผ่นพับที
เขียนโดยบุคคลสามัญทีตํากว่า)
แบบจําลองบิบา ได้ กําหนดชุดของกฎความมัน คงคล้ ายกับแบบจําลองเบลล์-ลา
พาดูลา แต่กฎเหล่านี Lจะกลับกับกฎของเบลล์-ลาพาดูลา ดังนี L
• กฎเกณฑ์ค วามคงสภาพพืนL ฐานกล่าวว่า Subject ในระดับความคง
สภาพทีกําหนดให้ ไม่ควรอ่าน Object จากระดับความคงสภาพทีตํากว่า
(no read down: ไม่มีการอ่านลง)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
66
(Network and Computer Security Specialist: NCS) ระดับที 3
• กฎเกณฑ์ความคงสภาพมีดาว (The *-Integrity Axiom states) กล่าวว่า
Subject ในระดับความคงสภาพทีกําหนดให้ ต้ องไม่เขียนไปยัง Object
ในระดับความคงสภาพทีสงู กว่า (no write up: ไม่มีการเขียนขึ Lน)
3.2 แบบจําลองความคงสภาพของคลาร์ ค-วิลสัน (Clark-Wilson Integrity Model)
แบบจําลองความคงสภาพของคลาร์ ค-วิลสัน มีพื Lนฐานของการระบุและวิเคราะห์
นโยบายความถูกต้ องสําหรับระบบคอมพิวเตอร์ โดยแบบจําลองนี Lจะคํานึงถึงความถูกต้ องของ
สารสนเทศ ซึง จะทําการป้องกันความเสือมของข้ อมูลในระบบ อันเกิดจากความผิดพลาด หรื อ
ความมุง่ ร้ ายโดยตังใจ
L นโยบายความคงสภาพจะกล่าวถึงการทีข้อมูลในระบบควรจะมีความถูก
ต้ องในทุกๆ สถานะของระบบ โดยในแบบจําลองจะกําหนด กฎการบังคับ และกฎการรับรองไว้
ทังนี
L โL ดยพื Lนฐานของแบบจําลองแล้ วจะมีกฎการบังคับและกฎการรับรองของ
แบบจําลอง เพือกําหนดข้ อมูลและกระบวนการทีเป็ นพื Lนฐานของนโยบายความคงสภาพ และ
แกนของแบบจําลองจะขึ Lนอยูก่ บั แนวคิดทางการติดต่อ
• การติด ต่อทีมีรูปแบบทีดี เป็ นชุด ของการปฏิบตั ิเ พือเปลีย นระบบจาก
สภาพทีมีความถูกต้ องตรงกัน (consistent state) ไปสูส่ ภาพทีมีถกู ต้ อง
ตรงกันอีกขันหนึ
L ง
• ในแบบจํ า ลองนีนL โยบายความคงสภาพจะเน้ นทีค วามถูก ต้ องของการ
ติดต่อ
•
ตามหลักการของการแบ่งหน้ าที จะต้ องให้ ผ้ รู ับรองและผู้นําไปใช้ เป็ น
คนละ entity กัน
โดยแบบจํ า ลองนี จL ะประกอบด้ วยองค์ ป ระกอบพื นL ฐานที แ ทนข้ อมู ล และ
กระบวนการทีจะปฏิบตั ิกบั ข้ อมูลเหล่านันได้
L แก่
•
CDIs: Constrained Data Items
ข้ อมูลทีมีข้อจํากัด คือ ข้ อมูลจะต้ องถูกควบคุมความถูกต้ อง
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
67
(Network and Computer Security Specialist: NCS) ระดับที 3
•
UDIs: Unconstrained Data Items
ข้ อมูลทีไม่มขี ้ อจํากัด คือ ข้ อมูลไม่ต้องถูกควบคุมความถูกต้ อง
•
IVPs: Integrity Verification Procedures
กระบวนการตรวจสอบความคงสภาพ เป็ น กระบวนการทดสอบความ
สอดคล้ องของข้ อจํากัดในความถูกต้ องของข้ อมูลทีมีข้อจํากัด
•
TPs: Transaction Procedures
กระบวนการการติดต่อ เป็ น กระบวนการทีนําระบบจากขันที
L ถกู ต้ องไป
ยังขันที
L ถกู ต้ องอีกขันหนึ
L ง
และมี ก ฎในการรั บ รอง (Certification
Rule:
CR) และกฎในการบัง คับ
(Enforcement Rule: ER) ดังต่อไปนี L
CR1: เมือ IVP ใดทํางาน ต้ องมัน ใจว่า CDIs ได้ อยูใ่ นสภาพทีเหมาะสมแล้ ว
CR2: สําหรับบางการรวมกันของกลุม่ CDIs นันL TP ต้ องสามารถส่ง CDIs
เหล่านันจากสภาพที
L
เหมาะสมไปยังสภาพอืนทีเหมาะสมเช่นกัน
CR3: การอนุญาตเกียวกับความสัมพันธ์ ต่างๆ ต้ องตรงกับความต้ องการที
เป็ นไปตามหลักการของการกระจายหน้ าทีรับผิดชอบ (Separation
of duty)
CR4: ทุกๆ TPs ต้ องมีการเพิมเติมข้ อมูลทีสามารถนํามาปฏิบตั ิแล้ วสร้ างได้
เป็ น CDI ใหม่เท่านันL
CR5: ทุกๆ TP ทีเป็ นการรับเข้ ามาจาก UDI อาจมีการกระทําเฉพาะการ
แปลงทีเหมาะสมเท่านันL หรื อไม่มีการแปลงใดๆในทุกๆค่าทีเป็ นไปได้
ของ UDI รวมถึงปฏิเสธการแปลงจาก UDI ไปสู่ CDI
ER1: ระบบต้ องคงความสัมพันธ์ ในการรับรอง และต้ องแน่ใจว่าเฉพาะ TPs
ทีมีการรับรองเท่านันที
L จะสามารถทํางานโยกย้ าย CDI ได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
68
(Network and Computer Security Specialist: NCS) ระดับที 3
ER2: ระบบต้ องมีการรวมผู้ใช้ ด้วยแต่ละ TP และกลุม่ ของ CDIs ซึง TP อาจ
เข้ าถึง CDIs เหล่านันเพื
L อผลในการรวมผู้ใช้ เท่านันL และถ้ าผู้ใช้ ไม่ได้
อยู่ในการรวมกันจาก TP และ CDI นันL TP จะไม่สามารถเข้ าถึง CDI
เพือใช้ งานได้
ER3: ระบบต้ องมีการพิสจู น์ทราบตัวตนกับทุกผู้ใช้ ทีจะดําเนินการด้ วย TP
ER4: มีแต่ TP ทีมีการรับรองเท่านันที
L อาจเปลียนแปลงรายการของ entities
ด้ วย TP ได้ และก็มีแต่ TP ทีไม่มีการรับรองหรื อ entity ในกลุม่ จาก
TP เท่านันที
L อาจได้ รับสิทธิcเข้ าใช้ งาน
4. นโยบายผสม (Hybrid Policies)
มี เ พี ย งไม่ กี อ งค์ ก รเท่ า นั นL ที กํ า จั ด วัต ถุ ป ระสงค์ ด้ านความมั น คงปลอดภัย ทาง
Confidentiality หรื อ Integrity แต่เพียงอย่าง ซึง โดยทัว ไปแล้ วเป็ นลักษณะของการผสมกันทังคู
L ่
4.1 แบบจําลองกําแพงเมืองจีน (Chinese Wall Model)
แบบจํ า ลองกํ า แพงเมื อ งจี น มี อี ก ชื อ หนึ ง ว่ า แบบจํ า ลองบริ ว เวอร์ แ ละแนช
(Brewer and Nash model) ถูกสร้ างขึ Lนเพือควบคุมการเข้ าถึงความมัน คงสารสนเทศซึง
สามารถเปลียนแปลงเองได้ อย่างไม่คงที (dynamically) ซึงแบบจําลองความมัน คงปลอดภัยนี L
ถูกออกแบบเพือทําให้ มีการควบคุมทีลดผลประโยชน์ทบั ซ้ อน (ความขัดแย้ งทางผลประโยชน์) ใน
องค์กรทีเกียวกับการค้ า และในแบบจําลองนี Lจะไม่มีข้อมูลทีไหลระหว่าง Subject และ Object
อันก่อให้ เกิดผลประโยชน์ทบั ซ้ อน
Objects ของฐานข้อมูล คือข้อมูลทีม# ี ความสัมพันธ์ กบั บริ ษัท
Company dataset (CD) จะบรรจุถึงวัตถุประสงค์ ต่างๆ (Objects) ที #
สัมพันธ์ กบั แต่ละบริ ษัท
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
69
(Network and Computer Security Specialist: NCS) ระดับที 3
Conflict of interest (COI) class จะบรรจุไปด้วย Dataset ของบริ ษัทใน
การแข่งขัน
รูปที 2.4 แสดงตัวอย่างของ The Chinese wall model database
จากรูปที 2.4 เป็ นตัวอย่างทีแสดงให้ เห็นถึง 2 COI class โดยกําแพงหนึง เป็ น
ธนาคารทีบรรจุด้วย 3 CDs ส่วนอีกกําแพงเป็ นบริ ษัทนํ Lามันทีบรรจุด้วย 4 CDs ซึงบุคคลอาจมี
การเข้ าถึง CD ได้ เพียงหนึงในแต่ละ COI เท่านันL เช่นว่าสามารถเข้ าถึง Citibank’s CD และ
ARCO’s CD ได้ แต่ต้องไม่ใช่ Citibank’s CD และ Bank of America’s CD
แบบจําลองกําแพงเมืองจีน ได้ กําหนดเงือนไขทางความมัน คงปลอดภัยด้ วยกัน 3
ประการคือ
• CW-Simple Security Condition, Preliminary Version
เงือนไขทางความมัน คง กําแพงเมืองจีนพื Lนฐานขันเบื
L Lองต้ น
Subject จะสามารถอ่าน Object ได้ ถ้ าเป็ นจริ งดังต่อไปนี Lแม้ เพียง
ข้ อเดียว
- เป็ นตัวเดียวกับ Object O´ เช่น Subject มีการเข้ าถึงแล้ วไปยัง
O´ และ CD(O´) = CD(O)
- สําหรับทุก Objects O´ ทีเมือ O´
COI(O)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
PR(S) แล้ วทําให้ COI(O´)
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
70
(Network and Computer Security Specialist: NCS) ระดับที 3
• CW-Simple Security Condition
เงือนไขทางความมัน คงกําแพงเมืองจีนพื Lนฐาน
Subject จะสามารถอ่าน Object ได้ ถ้ าเป็ นไปตามนี Lแม้ เพียงข้ อ
เดียว
- เป็ นตัวเดียวกับ Object O´ เช่น Subject มีการเข้ าถึงแล้ วไปยัง
O´ และ CD(O´) = CD(O)
- สําหรับทุก Objects O´ ทีเมือ O´
PR(S) แล้ วทําให้ COI(O´)
COI(O)
- O เป็ นข้ อมูลสาธารณะ (sanitized object)
• CW-*-Property
คุณสมบัติของกําแพงเมืองจีนดาว
Subject S อาจทําการเขียนไปยัง Object O ได้ ถ้ าเป็ นไปตาม
เงือนไขต่อไปนี Lแม้ เพียงข้ อเดียว
- CW-Simple Security Condition ยินยอมให้ S อ่านไปยัง O ได้
- สําหรับทุกข้ อมูลสาธารณะ Objects O´ ทีเมือ S สามารถอ่าน
O´ แล้ วทําให้ CD(O´) = CD(O)
ทังL นี สL ามารถนํ า แบบจํ า ลองกํ า แพงเมื อ งจี น ไปใช้ คู่ ไ ด้ กั บ ทังL แบบจํ า ลอง
ความลับเบลล์-ลาพาดูลา (Bell-LaPadula and Chinese Wall Models) เมือต้ องการเน้ นที
ความลับ มากขึนL และแบบจํ า ลองความคงสภาพของคลาร์ ค -วิ ล สัน (Clark-Wilson and
Chinese Wall Model) เมือต้ องการเน้ นทีความคงสภาพมากขึ Lน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
71
(Network and Computer Security Specialist: NCS) ระดับที 3
4.2 นโยบายด้ านความมันคงปลอดภัยของระบบสารสนเทศเกียวกับ
การแพทย์ (Clinical Information Systems Security Policy)
ในการบันทึกทางการแพทย์ตา่ งๆนันL มีความต้ องการนโยบายทีเน้ นทังการรั
L
กษา
ความลับและการรักษาความคงสภาพ ซึงในความแตกต่างอย่างมากมายของตัวแทนหุ้นส่วน
ต่า งๆ มัก ทํ า ให้ ค วามขัด แย้ ง ทางผลประโยชน์ แ ต่นันL ก็ ไ ม่ถื อ ว่า เป็ นปั ญ หาที วิ ก ฤติ (Critical
problem) การรักษาความลับของผู้ป่วย, การพิสจู น์ทราบตัวตนของทังการบั
L
นทึกและการเข้ าไป
สร้ างข้ อมูลส่วนบุคคลในบันทึกเหล่านันL รวมถึงการรับรองว่าบันทึกจะไม่เปลียนแปลงอย่างไม่
ถูกต้ องต่างหากทีถือเป็ นปั ญหาทีวิกฤติ โดย Anderson ได้ นําเสนอแบบจําลองทีให้ ความสนใจ
ทังความลั
L
บและความคงสภาพเพือปกป้องความเป็ นส่วนตัวของคนไข้ และการบันทึกข้ อมูลอย่าง
ถูกต้ อง
ผูป้ ่ วย คือ Subject ของบันทึกต่างๆทางการแพทย์ หรื อตัวแทนสําหรับบุคคล
ทีไ# ด้รบั ความยิ นยอมมาอย่างถูกต้อง
Personal health information คื อ ข้อมูลที #เกี #ยวกับสุขภาพของผูป้ ่ วยหรื อ
การรักษาทีส# ามารถระบุตวั ตนของผูป้ ่ วยได้
Clinician คื อ ผู้ใ ห้การรักษาพยาบาลมื อ อาชี พที #มีการเข้าถึ ง Personal
health information ซึ# งเป็ นไปตามงานของเขาหรื อเธอ
โดยมีหลักการอย่างคร่าวๆ ดังต่อไปนี L
•
ต้ องมีการกําหนดว่า Clinician ใด ทีสามารถทําการอ่านหรื อเขียน บน
Personal health information ใด
•
•
ต้ องไม่มีการเปิ ดเผยข้ อมูลเรื องของการให้ สิทธิc หรื อดําเนินการใดๆอัน
เป็ นเห็นให้ บคุ คลทัว ไปรับทราบถึงการให้ สทธิc
Clinician ต้ องแจ้ ง Personal health information แก่ผ้ ปู ่ วย และห้ ามนํา
Personal health information ไปเปิ ดเผยไม่ว่ากรณีใดๆโดยไม่ได้ รับ
อนุญาตจากผู้ป่วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
72
(Network and Computer Security Specialist: NCS) ระดับที 3
•
ต้ อ งไม่ ทํ า การลบ Personal
health
information ที ผ่ า นมาแล้ ว
เว้ นเสียแต่วา่ มันได้ หมดอายุตามทีได้ กําหนดไว้ แล้ วจริ งๆ (โดยทัว ไปแล้ ว
จะมีการกําหนดอายุไว้ ที 8 ปี )
•
ต้ องมีการบันทึก Logfile แยกออกมาเพือใช้ ในการตรวจสอบย้ อนหลังได้
•
ระบบคอมพิวเตอร์ ทงหมดต้
ัL
องถูกบังคับใช้ อย่างเป็ นไปตามหลักการที
กําหนด และต้ องมีการประเมินการบังคับใช้ โดยผู้ตรวจสอบอิสระ
ทังL นี สL ามารถนํ า แบบจํ า ลองความคงสภาพของคลาร์ ค-วิ ล สัน ไปใช้ คู่ กั บ
แบบจํ าลองความลับเบลล์-ลาพาดูลา (Bell-LaPadula and Clark-Wilson Models) เมือ
ต้ องการทังการรั
L
กษาความลับและการรักษาความคงสภาพ
ในการเขียนนโยบายยังสามารถศึกษาจากตัวแบบนโยบายทางความมัน คงปลอดภัยได้
จากเว็บไซต์ตา่ งๆ เช่น
http://www.securitydocs.com/security_policies/sample_policies และ
http://www.sans.org/resources/policies ดังรูปที 2.5 เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
73
(Network and Computer Security Specialist: NCS) ระดับที 3
รูปที 2.5 แสดงภาพตัวอย่างของเว็บไซต์แนะนําการเขียนนโยบาย
อย่างไรก็ ตามสุดท้ายก็ต้องทํ าความเข้าใจให้ชดั เจนว่านโยบาย (Policy) ไม่สามารถ
ห้ามไม่ให้เกิ ดการละเมิ ดความมัน# คงปลอดภัยได้ แต่สิ#งทีห# า้ มได้จริ งก็คือกลไก (Mechanism) ที #
ผ่านการรับรอง (Assurance) ทีม# ี ระดับความมัน# ใจ (Confidence) สูงแล้วเท่านันB ทีส# ามารถห้าม
ไม่ให้เกิ ดการละเมิ ดความมัน# คงปลอดภัยได้
• กลไก (Mechanism)
กลไก หมายถึง วิธีการ, เครื องมือ หรื อกระบวนการต่างๆทีใช้ บงั คับ เพือให้ เป็ นไป
ตามทีนโยบายได้ ระบุไว้ เช่น ทําการติดตังกล่
L องวงจรปิ ดไว้ โดยให้ เห็นทุกส่วนของห้ องเซิร์ฟเวอร์
เพื อ ให้ เ ป็ นไปตามนโยบายที ไ ม่ต้ อ งการให้ มี ก ารนํ า อุป กรณ์ ต ลอดจนข้ อมูล ไปโดยไม่ไ ด้ รั บ
อนุญาตและสามารถใช้ เป็ นหลักฐานทางกฎหมาย เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
74
(Network and Computer Security Specialist: NCS) ระดับที 3
• การรั บรอง (Assurance)
การรับรอง หมายถึง ระดับความมัน ใจ (Confidence) ของสิงทีมีอยู่จริ ง (Entity)
โดยวัดจากความน่าไว้ วางใจ (Trustworthy) ทีเชือมัน ตามหลักฐานทีปรากฏ (Evidence) เพือให้
ได้ มาซึง กลไกทีตรงกับนโยบาย หรื อกล่าวให้ เข้ าใจง่ายๆคือ กระบวนการทีทําให้ ได้ มาซึงกลไกที
เหมาะสมทีสดุ ในการทําให้ เป็ นไปตามนโยบายทีมี (ระบบทีเหมาะสม คือ ระบบทีตอบสนอง
ความต้ องการได้ อย่ า งครบถ้ ว น ไม่ ใช่ ระบบที สมบู ร ณ์ ดี เ ยี ย ม) ทังL นี สL ามารถสรุ ป
กระบวนการของการรับรองได้ ดังรูปที 2.6
รูปที 2.6 แสดงภาพกระบวนการของการรับรอง
-
Specification
การระบุรายละเอียด คือ ทําการวิเคราะห์ความต้ องการ (Requirements
analysis) จากนโยบาย (Policy) ในขันตอนของการเขี
L
ยนนโยบายก่อนหน้ านี L และ
เรี ย บเรี ย งให้ อยู่ ใ นรู ป ของรายการของจุ ด มุ่ ง หมาย (Statement of desired
functionality) เป็ นข้ อๆเพือสะดวกในการออกแบบในขันตอนต่
L
อไป
-
Design
การออกแบบ คื อ ทํ า การออกแบบระบบทังL หมด ว่ า ต้ อ งใช้ วิ ธ การ,
เครื อ งมื อ หรื อ กระบวนการใดๆ ที ส ามารถทํ า ให้ ระบบทังL หมดเป็ นไปตาม
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
75
(Network and Computer Security Specialist: NCS) ระดับที 3
รายละเอี ย ดที ไ ด้ จ ากขันL ตอนก่ อ นหน้ า นี L ให้ ต รงหรื อ ใกล้ เ คี ย งมากที สุด โดยมี
ผลกระทบต่อการทํางานปกติให้ น้อยทีสดุ
-
Implementation
การปรับใช้ ในทางปฏิบตั ิ คือ การจัดสรรโปรแกรมหรื อระบบการทํางานจริ ง ที
ตรงตามแบบของระบบทีได้ จากการออกแบบในขันตอนก่
L
อนหน้ านี L
จากรูปที 2.6 จะเห็นว่านอกจากขันตอนทั
L
งL 3 ของการรับรองตามทีได้ กล่าวมาแล้ ว ยังมี
ขันตอนก่
L
อนหน้ าก็คือการวิเคราะห์ถึงภัยคุกคาม (Threats) ทีอาจจะเกิดขึ Lน จากนันนํ
L ามาเขียน
เป็ นนโยบาย (Policy) จึงเข้ าสูก่ ระบวนการของการรับรอง และสุดท้ ายเมือได้ สิงทีเหมาะสมทีสดุ
แก่ระบบนันจากขั
L
นตอนการปรั
L
บใช้ ในทางปฏิบตั ิแล้ วก็ทําการนําไปใช้ งานจริ ง (Operation) ซึง
ถือเป็ นขันL ตอนในส่วนของกลไก (Mechanism) แล้ วจึงกลับไปสู่ขนั L ตอนการวิเคราะห์ ถึงภัย
คุกคามอีกครังL ทังนี
L Lจะเห็นว่ากระบวนการทังหมดนั
L
นไม่
L มีวนั สิ Lนสุด เนืองจากในความเป็ นจริ ง
แล้ วย่อมมีภยั คุกคามใหม่ๆอยูเ่ สมอทําให้ ต้องมีการสร้ างหรื อปรับปรุงนโยบายอยูเ่ ป็ นเนืองๆ ด้ วย
เช่นกัน และเมือมีนโยบายแล้ วก็ต้องทําการหากลไกทีจะนํามาใช้ งานจริ ง โดยผ่านกระบวนการ
การรับรองอยูเ่ สมอเช่นกัน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
76
(Network and Computer Security Specialist: NCS) ระดับที 3
บรรณานุกรมท้ ายบทที 2
[1]. เอกสารฝึ กอบรม หลักสูตรผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและ
คอมพิวเตอร์ ระดับที 3 (NCS 3) รุ่นที 1
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
77
(Network and Computer Security Specialist: NCS) ระดับที 3
บันทึก (Note)
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
78
บทที 3
ระดับการรั กษาความปลอดภัย
Security Levels
ในบทนี Fจะแบ่งการรักษาความปลอดภัยเป็ น 3 ระดับ ได้ แก่ ระดับผู้ใช้ (User Level)
ระดับปฏิบตั ิการ (Operation Level) และระดับองค์กร (Organization Level) โดยการแบ่งนี F
จะแบ่งระดับตามกลุม่ บุคคลทีเกียวข้ องกับการทํางานของโครงข่าย)
3.1 การรักษาความปลอดภัยระดับผู้ใช้ (User Level)
3.1.1 การพิสจู น์ ตัวตน (Authentication)
การพิสจู น์ตวั ตน คือกระบวนการแสดงหลักฐาน(Identity) และตรวจสอบ
ความถูกต้ องของหลักฐานของบุคคลหรื อคอมพิวเตอร์ เพือให้ ทราบว่าบุคคลหรื อคอมพิวเตอร์
ทีกล่าวอ้ างนันเป็
F นตัวจริ งหรื อไม่ ขันตอนการพิ
F
สจู น์ตวั ตนแบ่งออกเป็ น 2 ขันตอน
F
ได้ แก่ “การ
ระบุตวั ตน” และ “การพิสจู น์ตวั ตน”
การระบุตวั ตน (Identification) คือขันF ตอนทีบุคคลหรื อคอมพิวเตอร์ แสดง
หลักฐานว่าตนเองคือใคร เช่น สมชายป้อน Username และ Password บนหน้ าจอล็อกอิน
ของเว็บไซต์ www.hotmail.com หรื อยกตัวอย่างการระบุตวั ตนของคอมพิวเตอร์ ได้ แก่ เครื อง
Notebook ใช้ คา่ MAC Address ของตัวเองเพือขอเชือมต่อเข้ าสู่ Access Point ทีผ้ ดู รู ะบบตังF
ค่า MAC Address Filtering ไว้
การพิสจู น์ตวั ตน (Authentication) คือขันตอนการตรวจสอบหลั
F
กฐาน เพือ
พิ สูจ น์ ว่ า บุ ค คลหรื อ คอมพิ ว เตอร์ ที แ สดงตนเองนั นF (ขอพิ สูจ น์ ตัว ตน) เป็ นบุ ค คลหรื อ
คอมพิวเตอร์ ทีกล่าวอ้ างจริ งหรื อไม่ เช่น เครื องเซิร์ฟเวอร์ ของ www.hotmail.com ได้ ตรวจสอบ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
79
ว่า ผู้ใ ช้ ส มชายที ก ล่า วอ้ า งนันF เป็ นตัว จริ ง หรื อ ไม่ โดยการนํ า ค่า Password ที ส่ง มาจาก
บราวเซอร์ ไปทดสอบหรื อเปรี ยบเทียบกับรหัสผ่านในฐานข้ อมูลผู้ใช้ ของ hotmail
แต่อย่างไรก็ตาม การแสดงตนนันสามารถบ่
F
งบอกได้ เพียงว่าผู้ติดต่อเป็ นใคร
ซึงไม่เพียงพอต่อระบบทีต้องการความปลอดภัย หากผู้ทีแสดงตัวนันเป็
F นการแสดงตนแบบ
หลอกๆ หรื อ Fake Identification ซึงอาจจะได้ มาจากการเดา หรื อการดักจับ หรื อขโมยมา
จากเจ้ าของข้ อมูลจริ งโดยผู้บกุ รุ ก ดังนันF การตรวจสอบ (Verify) ความเป็ นตัวตนจริ งๆ ของทังF
ผู้รับและผู้สง่ จึงเป็ นสิง ทีหลีกเลีย งไม่ได้ เลย
การพิสจู น์ตวั ตน (Authentication) โดยส่วนมากการทําการพิสจู น์นี Fจะถูกใช้
งานในสองลักษณะคือ การพิสจู น์ตวั ผู้ใช้ (User Authentication) และการพิสจู น์ข้อมูลทีส่ง
(Message Authentication) ความแตกต่างระหว่างการพิสจู น์ทงสองแบบสามารถแสดงได้
ัF
ดงั
ตัวอย่างต่อไปนี F
ในระบบ DRM (Digital Right Management) ซึงเป็ นระบบทีจดั การเรื องสือ
ดิจิตอลให้ มีความปลอดภัย หากผู้ใช้ งานโครงข่ายชื อ อลิส (ALICE) ติดต่อเข้ ามาทีเครื อง
บริ การมัลติมีเดีย (Multimedia Server) และทําการดาวน์โหลดเพลงหนึง ไฟล์ เครื องบริ การนันF
ต้ องทําการตรวจสอบให้ ได้ ว่าการติดต่อนันมาจากอลิ
F
ส ผู้ซึงได้ ลงทะเบียนไว้ อย่างถูกต้ องและ
อนุญาตให้ ดาวน์โหลดข้ อมูลได้ จากเครื องบริ การจริ ง ซึงทําให้ สว่ นนี Fเรี ยกว่า การพิสจู น์ตวั ผู้ใช้
(User Authentication) หลังจากทีทําการพิสจู น์เสร็ จเรี ยบร้ อยแล้ ว เครื องบริ การได้ รับการร้ อง
ขอจากอลิสอีกครังF เพือทําการซื Fอเพลงอืนๆ ในระบบและร้ องขอให้ มีการส่งราคาเพือรอการ
จ่ายเงินผ่านระบบธนาคารอิเล็กทรอนิกส์ โดยการโอนเงิน อลิสจําเป็ นต้ องทําการตรวจสอบว่า
เลขบัญชี ทีต้องการโอนค่าซือF เพลงไปให้ เป็ นเลขบัญชี จริ งๆ โดยการทําการพิสูจน์ ข้อความ
(Message Authentication) ในการตรวจสอบทีดีข้อความทีได้ รับควรสามารถระบุชี Fได้ ว่ามา
จากผู้สง่ คนใด และพิสจู น์ได้ วา่ มาจากผู้สง่ คนนันจริ
F งๆ ซึง การทําการตรวจสอบทังสอบแบบนั
F
นF
สามารถทําได้ ด้วยกระบวนการทีเรี ยกว่า Cryptographic Algorithm
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
80
3.1.2 เทคนิคในการพิสจู น์ ผ้ ใู ช้ (User Authentication Techniques)
การทีจะพิสจู น์ว่าคู่เชือมต่อนันเป็
F นตัวจริ งหรื อไม่คือการพิสจู น์การยอมรับ
รหัสลับ (Secret Key) อันเดียวกัน และการยอมรับนี Fต้ องไม่ถกู ผู้อืนลักลอบ หรื อทําซํ Fาได้ ซึง
กระบวนการต่างๆ เหล่านี Fสามารถทําได้ ด้วยวิธีการทาง Cryptography ซึง มีหลายวิธี
ปั ญ หาของการทํ าการพิ สูจ น์ คื อ การส่ง รหัส ลับ เพื อ พิสูจน์ นนั F ต้ องมีก าร
แลกเปลีย นกันระหว่างปลายทางก่อนทีการเชือมต่อจะเกิดขึ Fนจริ ง ซึง ในความเป็ นจริ งไม่ใช่เรือง
ง่ายนักทีจะทําให้ ปลอดภัยจริ งๆ การทีจะได้ มาซึงรหัสลับของผู้บุกรุ กนันF สามารถกระทําได้
หลายวิธี ทังF การดักจับการส่ง ข้ อมูล เดารหัส ลับ ในบางครั งF การแลกเปลีย นรหัสอาจจะใช้
ตัวกลางอืนในการส่งได้ เช่น เอกสาร แผ่นซีดี เป็ นต้ น แต่ทงั F นีทF งั F นันF วิธีการเหล่านีอF าจจะ
สามารถถูกโจรกรรมได้ ด้วยวิธีการอืนๆ อีกเช่นกัน อีกปั ญหาหนึง คือเรื องของการใช้ รหัสในกรณี
ทีต้องติดต่อกับบุคคลหลายๆ บุคคล การทีจะใช้ รหัสลับชุดเดียวกันในการติดต่อกับทุกคนก็
เป็ นความเสียง แต่จะให้ ใช้ หลายๆ ชุดรหัสลับก็จะเป็ นความซับซ้ อนของผู้ใช้ และผู้ตรวจสอบ
เช่นกัน ดังนันการจั
F
ดการรหัสลับจึงเป็ นสิง จําเป็ น
การใช้ งานกระบวนการเข้ ารหั ส ด้ วยรหั ส สาธารณะ (Public Key
Cryptography) เป็ นการรักษาความปลอดภัยของข้ อมูลระหว่างการส่งข้ ามเครื อข่ายวิธีหนึงที
นิย มใช้ กัน อยู่ในปั จจุบัน การเข้ ารหัส แบบคู่ร หัส กุญแจนี จF ะมี ความปลอดภัย มากกว่าการ
เข้ ารหัสข้ อมูลแบบธรรมดา แต่ก็ไม่ได้ หมายความว่าการเข้ ารหัสแบบคูร่ หัสกุญแจนี Fจะเป็ นวิธีที
เหมาะสมทีสดุ ของวิธีการเข้ ารหัส ทังนี
F Fขึ Fนอยูก่ บั ประเภทงานของแต่ละองค์กรหรื อบุคคล
การเข้ ารหัสโดยใช้ กญ
ุ แจสาธารณะ ประกอบไปด้ วยกุญแจ 2 ชนิด ทีต้องใช้
คูก่ นั เสมอในการเข้ ารหัสและถอดรหัสคือ
•
กุญแจสาธารณะ (public key) เป็ นกุญแจทีผ้ สู ร้ างจะส่งออกไป
ให้ ผ้ ใู ช้ อืนๆ ทราบหรื อเปิ ดเผยได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
•
81
กุญแจส่วนตัว (private key) เป็ นกุญแจทีผ้ สู ร้ างจะเก็บไว้ โดยไม่
เปิ ดเผยให้ คนอืนรู้
กระบวนการของการเข้ ารหัสแบบคูร่ หัสกุญแจ มีดงั นี F
1. ผู้ใช้ แต่ละคนจะสร้ างคูร่ หัสกุญแจของตัวเองขึ Fนมา เพือใช้ สาํ หรับการเข้ ารหัสและการ
ถอดรหัส
2. กุญแจสาธารณะจะถูกส่งออกไปยังผู้ใช้ คนอืนๆ แต่กญ
ุ แจส่วนตัวจะถูกเก็บทีตนเอง
3. เมือจะส่งข้ อมูลออกไปหาผู้ใช้ คนใด ข้ อมูลทีส่งจะถูกเข้ ารหัสด้ วยกุญแจสาธารณะ
ก่อนถูกส่งออกไป
4. เมือผู้รับได้ รับข้ อความแล้ วจะใช้ กญ
ุ แจส่วนตัวซึง เป็ นคูร่ หัสกันถอดรหัสออกมา
อย่างไรก็ ตาม วิธีการเข้ ารหัสด้ วยรหัสสาธารณะนันF ก็ มีข้อด้ อยอยู่ อันดับแรกคือ
ความซับซ้ อนของกระบวนการ (Algorithm) ทีใช้ นนต้
ั F องสูงมาก ซึงปั ญหาจะอยู่ทีฮาร์ ดแวร์ ทีมี
กํ า ลัง การทํ า งานที ตํ า กว่ า จะไม่ ส ามารถทํ า งานได้ เช่ น อุป กรณ์ พ กพาต่ า งๆ (Portable
Devices) หรื อ สมาร์ ทการ์ ด (Smart Card) และข้ อด้ อยอีกข้ อหนึงคือเรื องของการทํางาน
ทีมากขึ Fนทีเกินออกมาเพือรองรับการจัดการเรื องของการเก็บรหัสสาธารณะของผู้ใช้ งานใน
ระบบ
3.1.3 เทคนิคในการพิสจู น์ ข้อความ (Message Authentication Techniques)
ในการทําการพิสจู น์ข้อความนันมี
F หลายวิธีด้วยกัน วิธีทีง่ายทีสดุ คือการเข้ ารหัส
ด้ วยรหัสสมมาตร (Symmetric Key Cryptography) ในการทีจะประกันในความถูกต้ องทังF
ข้ อความและการพิสูจน์ได้ ว่าเป็ นข้ อความจริ งของข้ อความทีไม่ได้ มีการเข้ ารหัสก่อนส่งนันF
ผู้รับจําเป็ นต้ องมีข้อมูลเพิมเติมทีถกู เพิมเข้ าไปโดยผู้สง่ เพือใช้ สาํ หรับการตรวจสอบ ซึง ข้ อมูลที
ใส่เข้ าไปนี Fอาจจะเป็ นการตรวจสอบแบบผลรวมแบบเข้ ารหัส (Cryptographic Checksum)
หรื อรหัสการพิสจู น์ข้อความ (Message Authentication Code หรื อ MAC) รู ปแบบหรื อ
โพรโตคอลในการสร้ าง MAC นันถู
F กสร้ างมาจากรหัสลับ (Secret Key) ทีร้ ูกนั เฉพาะผู้รับและผู้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
82
ส่งเท่านันF การสร้ างจะสร้ างด้ วยกระบวนการเข้ ารหัส (Cryptography Algorithm) แบบต่างๆ
ซึงทฤษฎีการสร้ างนันจะคล้
F
ายกับการสร้ างของฟั งก์ ชันแฮช (Hash) ทีเป็ นการทํางานทาง
คณิตศาสตร์ ทีจะได้ ผลลัพธ์ ทีมีความยาวคงทีไม่ว่าข้ อมูลทีเข้ ามาจะมีขนาดเท่าไหร่ ก็ตาม ซึง
โดยมากแล้ วความยาวของผลลัพธ์มกั จะสันกว่
F าข้ อมูลทีเข้ ามา ยกตัวอย่างการทําฟั งก์ชนั แฮช
อย่างง่ายคือ การนําข้ อมูลกลายๆไบท์ (Byte) มาทําการเอ็กครู ซีพ-ออ (XOR) กันทุกไบท์ให้
เหลือเท่ากับขนาด 1 ไบท์ แต่กระบวนการทําฟั งก์ชนั แฮชนันไม่
F เหมาะกับการทําการพิสจู น์ซะ
ทีเดียว เนืองจากว่าการสร้ างข้ อมูลดิบเพือให้ ได้ คา่ ผลลัพธ์เดียวกันนันไม่
F ยากมากนัก
3.1.4 Public Key Certificate
ส่วนทีสําคัญทีสดุ ของโพรโตคอล x.509 จะประกอบไปด้ วยโครงสร้ างทีใช้ ใน
การสสร้ างใบรับประกันแบบรหัสสาธารณะ หรื อ Public Key Certificates องค์กรทางด้ านการ
ออกใบรับประกันนี Fเรี ยกว่า Certification Authority หรื อ CA ซึงองค์กรนี Fเป็ นองค์กรทีมีความ
น่าเชือถือเป็ นอย่างมาก หน้ าทีคือการกําหนดชือเฉพาะให้ กบั ทุกผู้ใช้ งาน และทําการกระจาย
ใบรับประกันทีถกู กํากับความถูกต้ อง หรื อไซน์ (Signed) ไปพร้ อมๆกับชือผู้ใช้ (User Name)
และรหัสสาธารณะของผู้ใช้ คนนันF (User’s Public Key) ในการไซน์ (Signed) กํากับความถูก
ต้ องจะถูกสร้ างมาโดยใช้ รหัสการตรวจสอบลับขององค์กร CA ร่ วมกับใบรับประกันขององค์กร
CA เอง ซึงใบรับประกันขององค์กรนันสามารถที
F
จะออกเองได้ หรื อถูกออกให้ โดยองค์กรออก
ใบประกันทีอยูใ่ นระดับทีสงู กว่า ซึงการแบ่งระดับจะถูกวางเป็ นระดับทีเรี ยกว่า Hierarchy of
CAs โดยทีจดุ บนสุดเรี ยกว่า Master CA และล่างสุดคือตัวผู้ใช้ นนั เอง
3.1.5 การใช้ งานการพิสจู น์ แบบ CA-Hierarchy
หากว่าผู้ใช้ ระบบชือ อลิส (Alice) ต้ องการติดต่อกับผู้ใช้ อีกคนชือบ๊ อบ อลิส
จําเป็ นต้ องไปดูใบรับประกันของบ๊ อบทีอยูใ่ นฐานข้ อมูล จากนันF อลิสจะทําการตรวจสอบว่าใบ
รับประกันของบ๊ อบถูกต้ องหรื อไม่ ถ้ าหากบ๊ อบและอลิสใช้ ใบรับประกันทีมาจาก CA เดียวกัน
การพิสจู น์ความถูกต้ องของใบรับประกันก็จะง่ายขึ Fน แต่หากทังคู
F ่ได้ ทําใบประกันจาก CA คน
ละทีกนั การพิสจู น์ก็จะซับซ้ อนขึ Fนเนืองมาจากการตรวจสอบต้ องเป็ นไปตามระดับโครงสร้ างที
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
83
คล้ ายกับต้ นไม้ นนเอง
ัF
การขึ Fนทะเบียนของ CA จะมีขนสู
ั F งสุดในแต่ละสาย เรี ยกว่า Master CA
และไล่ลงมาตามลําดับ การตรวจสอบใบรับประกันนันF อลิสจะต้ องตรวจสอบไล่จากระดับขันF
ทีเธออยูไ่ ปจนถึงระดับทีตําทีสดุ ทีถือเป็ นสายร่วมกันของทังสองฝ่
F
าย
โพรโตคอลในการทําการพิสจู น์ (Authentication Protocol) มาตรฐาน x.509
นันF ได้ นิยามโพรโตคอลในการตรวจสอบออกเป็ นหลายลําดับขันF ทีจํ าเป็ นต้ องแตกต่างกัน
ออกไป หากอลิสต้ องการทีจะติ ดต่อกับบ๊ อบ เธอต้ องพยายามเอาใบรั บประกัน และรหัส
สาธารณะมาจากฐานข้ อมูลให้ ได้ ซึงขันตอนการตรวจสอบต่
F
อจากนี Fสามารถทําได้ 3 รู ปแบบ
คือ โพรโตคอลทางเดียว (One Way Protocol) โพรโตคอลสองทาง (Two Way Protocol) และ
โพรโตคอลสามทาง (Three Way Protocol)
การควบคุมการเข้ าถึง (Access Control) นันF เป็ นการควบคุมสิทธิ}การใช้ งาน
ของผู้ใช้ บนเครื องเครื อข่าย ซึงการออกแบบการบริ หารจัดการการเข้ าถึงระบบนันF มีหลาย
รูปแบบด้ วยกัน แต่อย่างไรก็ตาม รูปแบบเหล่านี Fจะถูกออกแบบตามหลักการพื Fนฐานดังนี F
1. ระบบการควบคุมการเข้ าถึงจะจํากัดการทํางานของข้ อมูลและ
ทรัพยากรต่างๆภายในเครื องทีต้องการการปกป้อง
2. เป้าหมายคือการควบคุมการทํางานของผู้ใช้ เพือไม่ก่อให้ เกิดความ
เสียหายกับข้ อมูลและทรัพยากร
3. การควบคุมจะต้ องเป็ นการทํางานทีฝังอยูใ่ นระบบปฏิบตั ิการ
และ
ระบบการบริ หารฐานข้ อมูล
4. การทํางานนันต้
F องเกิดจากผู้ต้องการกระทํา (Subject) ขอเข้ ากระทํา
การใดกับสิง ทีถกู กระทํา (Object)
การควบคุมการเข้ าถึงระบบนันสามารถเขี
F
ยนออกมาในรู ปแบบจําลองพื Fนฐาน
โดยสามารถแบ่งออกได้ เป็ น 2 กลุม่ ดังนี F
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
84
1. Discretionary Access Control Models หรื อ DAC การเข้ าถึงในระบบ
แบบจําลอง DAC นันF การทํางานจะอยู่บนพื Fนฐานของาการแสดงตัวของ
ผู้กระทําหรื อของผู้ใช้ (Subject’s Identity) การแสดงตัวของสิงทีถกู ใช้
(Object’s Identity) และการได้ รับอนุญาต (Permission) เมือมีการร้ อง
ขอเข้ ามาในระบบ กลไกในการควบคุมจะทําการตรวจสอบสิทธิ} ทีได้ รับ
อนุญาตของผู้ขอทันที โดยกลไกนี Fจะเป็ นแบบส่งต่อความสามารถเอง โดย
ผู้กระทําจะได้ รับการส่งต่อการอนุญาตในการใช้ งานสิง ทีถกู กระทํา
ข้ อดีของแบบจําลอง DAC คือ การกําหนดการเข้ าถึงระบบให้ กบั
ผู้กระทํานันเป็
F นไปอย่างยืดหยุน่ ในแง่ของการสร้ างนโยบายการใช้ งาน อีก
ทังการทํ
F
างานของแบบจําลองนี Fจะไม่ยึดติดกับระบบปฏิบตั ิการ กล่าวคือ
สามารถนําไปใช้ ได้ กบั ระบบปฏิบตั ิการใดก็ได้ ส่วนข้ อเสียคือจะไม่มีการ
ควบคุม การไหลของข้ อมูล ซึงอาจจะทํา ให้ ถูก กระทํา Trojan Horses
Attack ได้
2. Mandatory Access Control Models หรือ MAC แบบจําลองแบบ MAC
นันF เป็ นระบบควบคุมทีอิงกับระบบปฏิบตั ิการเนืองจากว่าระบบปฏิบตั ิการ
นันๆ
F ต้ องมีความสามารถโดยตรงในการกําหนดการเข้ าถึงของตัว Object
เอง เช่น การอ่านเขียนไฟล์ การเปิ ดปิ ดการใช้ งานเครื อข่ายผ่านเครื อง
บริ การ ในทางปฏิบตั ิแล้ วแบบจําลอง MAC จะถือว่า Subject เป็ นโปรเสซ
(Process) หรื อเทร็ ด (Thread) และไม่ว่าจะเป็ น Subject หรื อ Object ก็
ตามในแบบจําลอง MAC นี F ทังF 2 ส่วนจําเป็ นต้ องมีเซตของการอนุญาต
การทํางานกํากับอยู่ เมือ Subject ต้ องการทีจะเข้ าถึง Object การพิสจู น์
กฎต่ า งๆจะทํ า งานโดยส่ ว นที เ รี ยกว่ า เคอเนล (Kernal)
ของ
ระบบปฏิบตั ิการ และการทํางานไม่วา่ จะเป็ นของ Object หรื อ Subject จะ
ถูกตรวจสอบการทํางานเช่นเดียวกัน ซึง Object ก็จะเปลีย นจากข้ อมูลการ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
85
ใช้ งานเครื อ ข่ า ย ไปเป็ นตารางและกระบวนการทํ า งานที เ รี ยกว่ า
Procedure ในตารางฐานข้ อมูลนัน เอง
ซึง จะเห็นได้ ว่า การทํางานของแบบจําลอง MAC นันF จะเป็ นการ
ทํางานแบบการควบคุมของส่วนกลาง (Centrally Control) ซึงจะถูก
ควบคุ ม โดยผู้ ดู แ ลนโยบายความปลอดภั ย (Security
Policy
Administrator) ซึงผู้ใช้ งานจะไม่สามารถทําการปรับปรุ งแก้ ไขนโยบาย
ต่างๆได้ ซึง ต่างจากการทํางานของแบบจําลอง DAC ทีสามารถให้ ผ้ ใู ช้ เป็ น
คนกําหนดบริ หารงานนโยบายความปลอดภัยของตัวเองได้ จะเห็นได้ ว่า
แบบจํ าลองแบบ MAC นันF จะช่วยให้ การควบคุมระบบความปลอดภัย
ขนาดใหญ่ง่ายดายขึ Fน แบบจําลอง MAC นันได้
F ถูกนําไปใช้ ในระบบ SE
Linux และ Mandatory Integrity Control ของระบบปฏิบัติก าร
ไมโครซอฟท์วินโดว์วิสต้ า (Microsoft Windows Vista)
3.2 การรักษาความปลอดภัยระดับปฏิบัตกิ าร (Operational Level)
การรักษาความปลอดภัยในระดับปฏิบตั ิการนันF จะเป็ นเรื องของการตังค่
F าของเครื อง
บริ การ โดยจะกําหนดในเรื องวิธีการการรักษาความปลอดภัยและการบริ หารจัดการสิทธิ}ต่างๆ
บนเครื องบริ การ ทังนี
F Fการรักษาความปลอดภัยในระดับปฏิบตั ิการนันจํ
F าเป็ นต้ องคํานึงถึงการ
ปฏิบตั ิการทีระดับตัวเครื อง รวมถึงการสูญหาย และเสียหายของเครื องอีกด้ วย
3.2.1 การรักษาความปลอดภัยเชิงกายภาพ (Physical Security)
การรักษาความปลอดภัยเชิงกายภาพ หมายถึง การป้องกันการเข้ าถึงระบบ
คอมพิวเตอร์ และเครื อข่ายในทางกายภาพ สามารถแบ่งออกได้ เป็ น 2 กลุม่ กลุม่ ทีหนึง คือกลุม่
ทีเป็ นสาเหตุทาํ ให้ เครื องสูญหาย
และกลุม่ ทีสองคือกลุม่ ทีเป็ นสาเหตุทําให้ เครื องไม่สามารถ
ทํางานได้ หรื อชํารุด
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
86
กลุ่มที ทําให้ เครื อ งสูญหายนันF เป็ นกลุ่ม ทีเกิ ด จากความประมาทของผู้ดูแ ล
ระบบเป็ นส่วนใหญ่ การทีทําให้ เครื องสูญหายได้ อาจเกิดจากการทีการรักษาความปลอดภัย
ของสถานทีเก็บเครื องบริ การหรื อโครงข่ายไม่ได้ มาตรฐานเพียงพอ เครื องบริ การควรจะถูกแยก
ออกเป็ นส่วนของระบบเอง เพือให้ ง่ายต่อการดูแลรักษาและความปลอดภัย โดยพื Fนทีดงั กล่าว
นันควรที
F
จะต้ องมีการจํากัดสิทธิ}การใช้ งานในพื Fนทีนนๆ
ั F เช่น ห้ องเครื องบริ การอาจจะมีการใส่
กุญจาหรื อประตูอตั โนมัติ เป็ นต้ น และทุกครังF ทีมีการใช้ งานควรจะมีการเก็บบันทึกประวัติ
การเข้ าออกจากพื Fนที หรื อบางทีอาจจะมีการติดกล้ องวีดีโอวงจงปิ ดเลยทีเดียว
กลุ่มทีทําให้ เครื องไม่สามารถทํางานได้ หรื อชํารุ ด สาเหตุสามารถเกิ ดขึนF ได้
หลายสาเหตุ ไม่ว่าจะเกิ ดจากระบบการทํางานเองหรื อ ภัยธรรมชาติก็ตาม สาเหตุต่างๆ
เหล่านี Fมีทงสาเหตุ
ัF
ทีควบคุมได้ และควบคุมไม่ได้ เช่น นํ Fาท่วม ไฟฟ้ าดับ เป็ นสิงทีเราควบคุม
ไม่ได้ แต่การทํางานของเครื องจนเครื องร้ อนเกิ นไป ขณะทีอุปกรณ์ ทําความเย็นไม่สามารถ
ทํางานได้ ปกติ เป็ นสิง ทีควบคุมได้ ดังนันF การวางแผนทีดีจึงเป็ นสิงทีจําเป็ น ซึงแผนนี Fเรี ยกว่า
Physical Security Plan โดยการวางนโยบายควรจะประกอบด้ วยสิง เหล่านี F
1. ข้ อกําหนดของทรัพยากรทีต้องการจะปกป้อง (Description of physical
assets)
2. ข้ อกําหนดของขอบเขตพื Fนทีทีต้องการจะปกป้อง (Description of physical
area)
3. ข้ อกําหนดของขอบเขตความปลอดภัย
4. ทรี ด (Threats)
5. วิธีการป้องกันเชิ งกายภาพ (Physical Security Defense) และการ
วิเคราะห์ต้นทุน (Cost Analysis)
3.2.2 การบริหารสิทธิR (Privilege Management)
การบริ หารสิทธิ} เป็ นวิธีการทีทําการบริ หารความสามารถในการทํางานให้ กับ
ผู้ใช้ ต่างๆ โดยจะทําการกําหนดสิทธิ}จากการควบคุมการเข้ าถึงระบบ เพือทีนําไปตรวจสอบ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
87
สําหรับการตัดสินใจว่าการกระทําบางอย่างของผู้ใช้ นนั F สามารถกระทําได้ หรื อไม่ ซึงสิงทีเข้ า
มาเกียวข้ องได้ แก่คําต่อไปนี F
1. บทบาท (Roles) คือชุดของการกําหนดความสัมพันธ์กนั ระหว่างผู้ใช้ งานแต่ละคนกับ
ความสามารถในการทํางานภายในองค์กร เช่น ผู้ใช้ A เป็ นผู้จดั การของแผนก ดังนันF
บทบาทขององค์กรคือ Manager นัน เอง
2. การแต่งตังF ตัวแทน (Delegations) คือการทีสิทธิ} การใช้ งานนันF ๆ ถูกอนุญาตจาก
บุคคลหนึงให้ ถ่ายทอดไปยังอีกคนหนึงได้ หรื ออีกในหนึงเรี ยกว่า การแกร้ นท์ สิทธิ}
(Grant)
3. การแสดงตนทัว ไป (General Identity) และข้ อมูลกลุม่ (Group Information)
ความสามารถในการทํางานของการบริ การการบริ หารสิทธิ}นนั F เป็ นการอธิบาย
ความสัมพันธ์ระหว่างชือผู้ใช้ กบั บทบาททีได้ รับในองค์การในการกระทําการใดๆ ซึงการจํากัด
สิทธิ}นนจํ
ั F าเป็ นต้ องทํางานร่ วมกับระบบการพิสจู น์ (Authorization System) เช่น ผู้มีบทบาท
เป็ นเจ้ าหน้ าที (Staff) จะถูกจํากัดหน้ าทีและสิทธิ}ทีตายตัวภายในองค์กร โดยระบบตรวจสอบ
จะจํากัดหน้ าทีของผู้ใช้ ทรัพยากรทีตา่ งกันออกไป และในขณะทีทรัพยากรทีมีต้องสามารถถูก
ใช้ งานตามความจํ าเป็ นของหลายๆบทบาทในองค์ กร ซึงสิงต่างๆเหล่า นีถF ูกเรี ยกว่า สิท ธิ}
และวิ ธี ก ารใช้ สิ ท ธิ} จ ะถูก เรี ย กว่ า ความสามารถในการทํ า งาน (Function)
ความสัมพันธ์ระหว่างสิทธิ}และความสามารถในการทํางานนันจะถู
F กกําหนดจากการอ้ างอิงจาก
ความต้ องการของระบบส่วนนอกทีติดต่อกับผู้ใช้ ดังนันF การบริ หารสิทธิ}จึงเป็ นสิงจําเป็ นอย่าง
(Privilege)
มาก
ระบบการบริ หารสิทธิ}นนอนุ
ั F ญาตให้ มีการใช้ งานแหล่งเก็บข้ อมูลและการซ่อม
บํารุงของระบบการตรวจสอบทีมีความวุน่ วายพร้ อมกับอนุญาตให้ มีการกระจายทรัพยากรตาม
ความต้ องการ ซึง ข้ อมูลทีผ้ ใู ช้ ต้องการนันในปั
F
จจุบนั มีการเก็บในทีต่างๆกัน โดยไม่มีอ้างอิงถึง
ตําแหน่ง ดังนันF สิง ทีสามารถเกิดขึ Fนได้ คือการเกิดความซํ Fาซ้ อนของข้ อมูลทีมี ซึงอาจจะมีผล
ทําให้ การกํ าหนดสิทธิ} ทีต่างกันออกไปเป็ นสาเหตุของความสับสนในระบบได้ ดังนันF การ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
88
กําหนดสิทธิ}จะจํากัดวงในการพิจารณาเพียงในพื Fนทีสว่ นการทํางานเดียวกันเท่านันF เมือระบบ
บริ หารสิทธิ}มคี วามสามารถในการจํากัดวงดังนันการกํ
F
าหนดสิทธิ}การใช้ งานให้ กบั ผู้ใช้ งานและ
กลุม่ ผู้ใช้ จะต้ องสามารถทําได้ โดยระบบบริ หารสิทธิ}เช่นเดียวกัน
3.2.3 ตัวกลางทีถอดออกได้ (Removable Media)
อุปกรณ์ทีถอดออกได้ มกั เป็ นอุปกรณ์ทีไม่วา่ ผู้ใช้ คนใดจะได้ รับการอนุญาตให้ มี
การเขียนลงไป ซึง อุปกรณ์เหล่านี Fเองอาจจะเป็ นสาเหตุของความไม่ปลอดภัยอย่างสูง ในการ
ทํางานกับเครื องทีมีการจํากัดการทํางานและต้ องการความปลอดภัยทีสงู อุปกรณ์เหล่านี Fไม่
ควรจะได้ รับอนุญาตให้ มีการทํางานในส่วนของระบบ ซึงหากหลีกเลียงไม่ได้ จําเป็ นต้ องหา
วิธีการแบ่งส่วนการใช้ งานออกไปทีอืน ใช้ กระบวนการบางอย่างทีผ่านการตรวจสอบอย่าง
ถูกต้ อง แล้ วค่อยนําข้ อมูลทีจําเป็ นเข้ ามาในระบบหลักอย่างถูกวิธีและปลอดภัยต่อไป โดย
ส่วนมากผู้ดแู ลระบบจะทําการยกเลิกการทํางานในส่วนนี Fออกไป
3.3 การรักษาความปลอดภัยระดับองค์ กร (Organization Level)
ในระดับองค์กรนันจะครอบคลุ
F
มเรื องการออกแบบและการทําเอกสารตามมาตรฐาน
ต่างๆ ทางด้ านการรักษาความปลอดภัยทีจะเป็ นตัวกําหนด และบ่งชี Fการทํางานให้ กบั ระดับ
ปฏิบตั ิการและระดับผู้ใช้ งาน
3.3.1 เอกสารการออกแบบ (Design Documentation)
ในภาวการณ์ ปัจจุบนั เอกสารเป็ นสิงสําคัญสําหรับการทํางานในแทบทุกเรื อง
แม้ ว่าเอกสารจะไม่ใช่สิงทีมีประสิทธิ ภาพทีสุดแต่ก็ขาดไม่ได้ ในการทํางาน โดยเฉพาะการ
ทํางานด้ านรักษาความปลอดภัย ซึงเอกสารส่วนมากเป็ นการกําหนดคุณลักษณะทีต้องการ
ของระบบ การออกแบบอาจจะเป็ นทางการ กึงทางการ หรื อไม่เป็ นทางการก็ได้ เอกสารทีเป็ น
ทางการย่อมเป็ นเอกสารทีสามารถใช้ ในการรับรองระบบเพือความน่าเชือถือของตัวระบบเอง
สําหรับการทํางานระดับสูงๆ ได้ ในการวิเคราะห์ด้านความปลอดภัย ข้ อมูลทีจําเป็ นต้ องมีการ
กําหนดคุณลักษณะนันแบ่
F งออกได้ เป็ น 3 ประเภทด้ วยกัน คือ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
89
1. ความสามารถในการรักษาความปลอดภัย (Security Functions) เป็ นการ
อธิ บายระดับสูงทีเป็ นการบังคับการทํางานของระบบ และการตรวจสอบการ
ทํางาน ข้ อมูลเหล่านี Fต้ องบ่งบอกถึงรายละเอียดและวิธีการคร่ าวๆ ทีจะใช้ ใน
การรักษาความปลอดภัย
2. การเชือมต่อภายนอก (External Interfaces) เป็ นการอธิบายสิทธิ}การอนุญาต
ความสามารถในการใช้ งานอุปกรณ์ตอ่ ภายนอกของผู้ใช้ ระบบ ซึงจะต้ องมีการ
กําหนดข้ อมูล และคุณสมบัติของการต่อเชื อม ซึงระดับความเข้ มข้ นในการ
รักษาความปลอดภัยนันอยู
F ท่ กี ารใช้ งานระบบ
3. การออกแบบภายในระบบ (Internal Design) จะแบ่งการอธิบายเป็ นสองส่วน
คือ High-level เป็ นการอธิ บายชันF สูงเกียวกับการอ้ างอิงข้ อมูลภายในระบบ
(System Addressing) รวมถึงการอ้ างอิงการใช้ งานในเชิงสถาปั ตยกรรมอีก
ด้ วย โดยการอธิบายจะเป็ นการทํางานในเชิงระหว่างชันการทํ
F
างานในแต่ละชันF
การทํางานภายในระบบเอง เช่น ระหว่างโปรแกรมบริ การกับระบบปฏิบตั ิการ
หรื อระหว่างระบบปฏิบตั ิการกับอุปกรณ์ เป็ นต้ น ส่วน Low-level Description
นันF เป็ นการกํ าหนดและอธิ บ ายถึงการเชื อ มต่อ และโครงสร้ างข้ อมูล (Data
Structure) ทังหมดของระบบ
F
3.3.2 คุณลักษณะการปรับเปลียน (Modification Specification)
ในกรณีทีระบบรักษาความปลอดภัยใหม่นนต้
ั F องถูกสร้ างมาจากระบบรุ่ นก่อน
คุณลักษณะทีมีอยูจ่ ะเป็ นของเก่าไปแล้ ว หรื ออาจจะเป็ นของตังแต่
F เริ มมีการตังระบบขึ
F
Fนมาซึง
อาจจะไม่มีความปลอดภัยเลย หรื อมีไม่พอต่อความต้ องการในปั จจุบนั คุณลักษณะการ
ปรับเปลียนเป็ นเอกสารทีต้องมีการเขียนขึ Fนเพืออธิบายถึงความต้ องการในเปลียนแปลงส่วน
ใดบ้ าง ซึงเวลาและต้ นทุนทีใช้ อาจจะมีค่ามากพอทีจะเป็ นปั จจัยหนึงในการคํานวณต้ นทุน
เนืองจากต้ องมีการศึกษาของเก่าและหาวิธีใหม่ๆ ทีเป็ นไปได้ มาใช้ ในการปรับปรุงของเก่า การ
อธิบายจะเป็ นลักษณะวิธีการเปลียนหรื อปรับปรุ งชุดทํางาน ความสามารถ หรื ออุปกรณ์จาก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
90
ของเก่าอย่างไร ของใหม่ทีใส่เข้ าไปเพิมเป็ นอย่างไร มีความสามารถใดบ้ าง หรื ออาจจะรวมถึง
การระบุถึงการเอาชุดทํางาน หรื ออุปกรณ์บางตัวออกจากระบบ
3.3.3 คุณสมบัติความปลอดภัย (Security Specification)
เมือมีการออกแบบ หรื อกําหนดคุณลักษณะทังภายนอกและภายในของระบบ
F
อย่างพอเพียงในทุกๆ ด้ านแล้ ว การทําเอกสารของสิงทีขาดไปอาจจะถูกกระทําในกรณี นี F
เนืองจากการออกแบบทังภายนอกและภายในระบบจะออกแบบตามความต้
F
องการการใช้ งาน
ของระบบนันF เอง วิ ธีก ารหนึง ที เป็ นทีนิ ย มใช้ คือ การกํ า หนดเพิม โดยเริ ม จากการวิเ คราะห์
คุณสมบัติความปลอดภัยทีมีอยู่ก่อนว่าเพียงพอจริ งหรื อไม่ หลังจากนันให้
F ดวู ่า คุณสมบัตินนั F
ครอบคลุมความปลอดภัยถึงระดับการรักษาความปลอดภัย
3.3.4 คุณสมบัติแบบทางการ (Formal Specification)
คุณสมบัติทีกล่าวมาแล้ วข้ างต้ นนันF สามารถออกแบบและเขียนออกมาอย่างไม่
เป็ นทางการ กึงทางการ หรื ออย่างเป็ นทางการ ก็ได้ กล่าวคือ การใช้ ภาษาทัว ไปตามแต่องค์กร
จะใช้ นนถื
ั F อว่าเป็ นภาษาอย่างไม่เป็ นทางการ ส่วนแบบกึงทางการนันจะเป็
F
นการใช้ ภาษาทัว ไป
เฉพาะในบางส่วน ส่วนแบบทางการนันจะเป็
F
นการเขียนด้ วยภาษาทีเป็ นทางการจริ งๆ ซึงจะ
อยู่ในรู ปแบบทีถูกนิยามไว้ ดี และถูกต้ องตามหลักการ ซึงในการเขียนแบบทางการนันจะมี
F
ผู้ตรวจสอบหรื อใช้ เครื องมือในการตรวจสอบ เพือให้ ผ้ ูเขียนคุณสมบัติได้ ทําการตรวจก่อน
นําไปใช้ งานจริ ง ซึง การเขียนลักษณะนี Fอาจจะช่วยให้ การกําหนดคุณสมบัติเป็ นไปอย่างรัดกุม
มากยิงขึ Fน แต่ความสมบูรณ์และความถูกต้ องของเอกสารต้ องอยูอ่ ย่างครบถ้ วน
3.3.5 Requirement Tracing และ Informal Correspondence
Requirement Tracing เป็ นกระบวนการการแสดงการกําหนดคุณลักษณะ
ความต้ องการทีถกู ตอบสนองไปแล้ ว โดยการกําหนดคุณลักษณะจากการออกแบบทังภายนอก
F
และภายใน ส่วน Informal Correspondence หรื อ Representation Correspondence นันF
เป็ นกระบวนการแสดงคุณสมบัติทีมีในระดับเดียวกันในแต่ละชันF ของการกําหนดคุณสมบัติ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
91
ดังนันการใช้
F
ทงสองวิ
ัF
ธีนนสามารถสร้
ัF
างความเชือมัน (Confidence) ให้ การกําหนดคุณสมบัติ
สามารถสร้ างความสมบูร ณ์ แ ละการใช้ ง านของส่ว นประกอบของระบบความปลอดภัย ที
ต้ องการของระบบให้ ทํางานได้
ในการออกแบบเอกสารนันF สามารถแบ่งการออกแบบได้ เป็ นส่วนๆ ได้ แ ก่
Security Requirement, External function Specification และ Internal design
Specification
นอกจากนี ยF ั ง มี ก ารแนบอี ก ส่ ว นที เ พิ ม เติ ม ขึ นF มาจากข้ อกํ า หนดคื อ
Implementation Code เป็ นส่วนของการแสดงโปรแกรมทีถกู เขียนขึ Fน
3.3.6 Informal Arguments
วิธีการ Informal Argument Tracing นันเป็
F นตัวกําหนดอุปกรณ์ ชุดทํางาน
และความสามารถในการทํา งาน เพือ ให้ ค รอบคลุม ถึงความต้ องการของระบบ แต่วิ ธีการ
ดังกล่าวนันไม่
F ได้ ระบุประสิทธิภาพทีครอบคลุมถึงซึงวิธีการ Informal Arguments นันเป็
F น
วิธีการทางคณิตศาสตร์ ทีช่วยในการวิเคราะห์
ในการกําหนด ทรี ด (Threat) นันF สามารถทําด้ วยวิธีการทีเรี ยกว่า Protection
Profile และ Security Targets ซึงจะเป็ นการนิยาม Threat ทีเกี ยวข้ องในระบบ และ
วัตถุประสงค์ในการรักษาความปลอดภัยทีต้องการ ดังนันใน
F Protection Profile เองจะมีความ
ขัดแย้ งกันระหว่าง Threat กับวัตถุประสงค์ทีต้องการเกิดขึ Fนมาว่าเพียงพอหรื อไม่ในการป้องกัน
Security Targets เป็ นการบ่งบอกกลไกทีใช้ ในการติดตังระบบความปลอดภั
F
ยลงไป และ
วิธีการวัดว่าการติดตังนั
F นทํ
F างานได้ มีประสิทธิภาพตามความต้ องการหรื อไม่
3.3.7 Formal Method: Proof Techniques
การสร้ างคุณลักษณะแบบทางการอันหนึงนันจํ
F าเป็ นต้ องใช้ ค่าใช้ จ่ายราคาสูง
ดังนันผู
F ้ กําหนดคุณลักษณะส่วนมากจะใช้ เครื องมืออัตโนมัติช่วยในการกําหนดคุณลักษณะ
เช่น Proof0based Technology หรื อ Model Checker การทํา Requirement Tracing
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
92
สําหรับการกําหนดคุณสมบัติแบบทางการนันจะทํ
F
าการตรวจสอบทีคุณสมบัติทีกําหนดตาม
ความต้ องการ ซึง ในการตรวจสอบแบบทางการนันF ผู้ตรวจสอบอาจจะใช้ วิธีการตรวจสอบแบบ
ไม่เป็ นทางการมาทําการช่วยตรวจสอบก่อนได้
กระบวนการพิสจู น์แบบทางการนันเป็
F นเทคนิคสําหรับใช้ ในการตรวจสอบทัว ไป
วิธีการนี Fจะทํางานโดยยึดหลักการทางตรรกศาสตร์ เช่น Predicate Calculus ในบางครังF จะถูก
เรี ยกว่า Proof Checker เพือเป็ นการบ่งบอกว่าผู้ใช้ ได้ ทําการพิสจู น์ และเครื องมือทีใช้ นนั F
สามารถทําให้ ขนตอนการพิ
ัF
สจู น์ต่างๆ นันบรรลุ
F
เป้าหมายทีต้องการ Proof Technologies นันF
ถูกออกแบบมาให้ ผ้ ใู ดก็ได้ สามารถทําการแสดงคุณลักษณะทีเป็ นไปตามคุณสมบัติทีเป็ น เช่น
แสดงคุณสมบัติทางความปลอดภัย เทคโนโลยีการพิสจู น์บางวิธีจะใช้ เครื องมือทีแยกออกมา
จากเครื องมือทีใช้ ในการกํ าหนดสําหรั บสร้ างสูตรทีสามารถนําไปพิสูจน์ ข้อกําหนดอืนๆ ซึง
เครื องมือในการสร้ างสูตรนี Fจะนําคุณลักษณะทีกําหนดขึ Fนและคุณลักษณะของคุณสมบัติของ
สิง ทีกําหนดขึ Fนไปเป็ นข้ อมูลในการสร้ าง
3.3.8 การทบทวน (Review)
กลไกสําหรับการสร้ างความเป็ นเอกฉันท์บนหลักฐานการประกันคุณภาพนันถื
F อ
เป็ นสิงสําคัญ เมือวิธีการประกันคุณภาพนันF ถูกใช้ สําหรั บหลักฐานทีอยู่ในรู ปแบบทีไม่เป็ น
ทางการเป็ นปกติ ซึงวิธีการทบทวนแบบทางการนันสามารถทํ
F
าให้ การประกันคุณภาพประสพ
ความสําเร็ จสูง ในการทบทวนทีมีประสิทธิ ภาพนันประกอบด้
F
วย โครงร่ างการทบทวน การ
จัดการความขัดแย้ ง และความสมบูรณ์ของการทํางาน
ผู้ทีทําหน้ าทีทบทวนคุณสมบัตินนั F จําเป็ นต้ องได้ รับโครงร่ างเพือเป็ นแนวทาง
สําหรับการทบทวนทังเอกสาร
F
เนืองจากเอกสารทีต่างกัน วิธีการก็จะไม่เหมือนกันเลย เช่น
โครงร่ า งการทบทวนอาจจะสัง ให้ ผ้ ูท บทวนตังF เป้ าหมายไปที ก ารตรวจความถูก ต้ อ งของ
ข้ อกําหนดเฉพาะส่วนของเอกสาร ซึงจะสามารถเพิมความระมัดระวังของผู้ตรวจทานมาก
ยิงขึ Fน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
93
ผู้ทีทําหน้ าทีในการทบทวนนันบางคนอาจจะมี
F
ความเชียวชาญในเรื องทีตา่ งๆกันออกไป ดังนันF
ผู้ทีทําการทบทวนจําเป็ นต้ องเลือกให้ ตรงกับงานทีต้องการคือ จะให้ ตรวจความแข็งแรงของการ
กําหนดคุณลักษณะ หรื อความสามารถในการแก้ ไขข้ อขัดแย้ งของข้ อกําหนดทีม ีนนั เอง
3.3.9 การวิเคราะห์ ความเสียง (Risk Assessment)
การทําการวิเคราะห์ความเสียงนันF หมายถึง การวิเคราะห์สิงทีจะก่อให้ เกิ ด
ปั ญหากับระบบทีเรี ยกว่า Threat และ Vulnerabilities ซึงผลจากทังสองปั
F
จจัยนี Fจะทําให้ เกิด
ความเสียหายต่อข้ อมูลไม่ว่าจะเป็ นการชํารุ ด หรื อสูญหายก็ตาม ซึงการวิเคราะห์จําเป็ นต้ อง
พิจารณาถึงประเภทของ Threat และ Vulnerabilities ทีสามารถเกิดขึ Fนได้ สิงทีควบคุมการ
เกิดของทังสองปั
F
จจัย และการวิเคราะห์ถึงปั ญหา วิธีการแก้ ไข และต้ นทุนในการแก้ ปัญหาด้ วย
ในการกําหนดการเข้ าถึงของความเสีย งนันF สามารถทําได้ ตามขันตอนดั
F
งต่อไปนี F
1. การระบุเป้าหมายของความเสียง เช่น อุปกรณ์ หรื อทรัพยากรส่วนใดบ้ างใน
ระบบ
2. การกําหนด Vulnerabilities เช่น ความผิดพลาดภายใน การโจมตีแบบต่างๆ
ภัยธรรมชาติ เป็ นต้ น
3. การประเมินสถานการณ์ทีสามารถเกิดความเสีย งต่างๆได้
4. การคํานวณความเสียหายทีเกิดในหนึง ช่วยเวลาสนใจ
5. การสํารวจการควบคุมทีใช้ งานในปั จจุบนั เพือทําการประเมินความสามารถ
6. การลดของความเสีย งหากมีการปรับปรุง
การวิเคราะห์ความเสียงนันเป็
F นกระบวนการทีทีมผู้ออกแบบระบบรักษาความ
ปลอดภัย ต้ องคํานึงถึงระบบภัยในองค์กรเพือสามารถนําข้ อมูลทีวิเคราะห์ได้ นนั F มาทําการ
ออกแบบระบบต่ อ ไป ในการออกแบบเรื อ งการป้ องกั น ความเสี ย งนันF ควรจะมี ก ารทํ า
ตลอดเวลา เนืองจากทุกวันนี Fเรามีความเสียงเพิมขึ Fนทุกๆ วัน ไม่ว่าจะเป็ นจากผู้บุกรุ ก ไวรัส
เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
94
บรรณานุกรมท้ ายบทที 3
[1]. เอกสารฝึ กอบรม หลักสูตรผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและ
คอมพิวเตอร์ ระดับที 3 (NCS 3) รุ่นที 1
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
95
บันทึก (Note)
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
96
(Network and Computer Security Specialist: NCS) ระดับที 3
บทที 4
Intrusion Detection and Response
4.1 Attacks and Malicious System
รูปแบบการโจมตีสามารถแบ่งได้ ดงั ต่อไปนี G
4.1.1 Denial-f-service (DoS) attacks
เป็ นปั ญหารู้กนั อย่างกว้ างขวาง แต่เป็ นการยากทีจะป้องกัน โดยแฮกเกอร์ จะทํา
ให้ เซิร์ฟเวอร์ ทํางานช้ าลงและหยุดการทํางานของเซิร์ฟเวอร์ ซึงการโจมตีจะใช้ ทรัพยากรของ
เครื องนันๆ
G เพือจํากัดผู้ใช้ งานจริ ง รูปแบบของการโจมตี DoS นันมี
G หลากหลายจําแนกได้ ดงั นี G
•
SYN flood attack แฮกเกอร์ จะทําการร้ องขอไปยังเซิร์ฟเวอร์ เมือ
เซิร์ฟเวอร์ ทําการตอบกลับเซิร์ฟเวอร์ จะไม่สามารถหาระบบทีท ําการร้ อง
ขอในเวลาขณะนันได้
G เซิร์ฟเวอร์ ก็จะทําการเก็บข้ อมูลําหรับการร้ องขอ
เอาไว้ โดยการทําซํ Gามากๆ โดยเซิร์ฟเวอร์ ไม่สามารถตอบกลับการร้ อง
ขอได้ การทํางานของเซิร์ฟเวอร์ จะช้ าลง ซึงการโจมตีเช่นนี Gจะทําสําเร็ จ
ได้ จากเครื อง PC ทีทํางานช้ าและเชือมต่อด้ วยโมเด็ม ซึงเป็ นตัวอย่าง
ของ asymmetric Dos attack
•
การใช้ ทรัพยากรในเครื องเซิร์ฟเวอร์ โจมตีตวั เซิร์ฟเวอร์ เอง โดยแฮกเกอร์
จะใช้ การปลอมแปลง UDP แพ็กเก็ตเพือเชือมต่อ echo service ของ
หนึง ระบบในเครื อข่ายนันG เพือโจมตีการบริ การในระบบอืนๆ ซึงมีผลต่อ
bandwidth ของเครื อข่ายเมือมีการใช้ งานจํานวนมากทําให้ เกิดการ
ล่าช้ าหรื อละทิ Gงการเข้ าถึงจากผู้ใช้ อืนๆ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
97
(Network and Computer Security Specialist: NCS) ระดับที 3
•
การบริ โภค Bandwidth โดยแฮกเกอร์ ใช้ งาน Bandwidth ทังหมดโดย
G
การสร้ างแพ็กเก็ตขนาดใหญ่ ทีเชือมต่อไปยังเครื อข่ายโดยตรง ซึงแฮก
เกอร์ ไม่ต้องการให้ เกิดเพียงส่วนเดียว แต่ต้องการให้ เกิดผลเช่นเดียวกัน
นี Gให้ เกิดขึ Gนในหลายส่วนทีแตกต่างกันในระบบเครื อข่าย
4.1.2 E-mail Bombs
แฮกเกอร์ ส่งอีเมลล์จํานวนมากๆ เข้ ามาในเวลาเดียวกัน ทําให้ เกิดการทํางาน
หนักในส่วนของอีเมลล์เซิร์ฟเวอร์ และระบบเครื อข่าย จนกระทัง เซิร์ฟเวอร์ ไม่สามารถรับอีเมลล์
ได้ อีก วิธีการนี Gสามารถใช้ ในการโจมตีสว่ นบุคคลโดยส่งอีเมลล์เข้ ามามากๆ และทําให้ ระบบ
ของบุคคลนันช้
G าลง
4.1.3 Macros
โดย Macros เป็ นสคริ ป ไฟล์ ซึง ประกอบด้ ว ยคํ า สัง ใช้ ง านแอปพลิเ คชัน ที
สามารถทํางานทีซับซ้ อนให้ ง่ายขึ Gนหรื อทํางานได้ โดยอัตโนมัติ ซึงแฮกเกอร์ จะทําการเขียน
Macros ขึ Gนมาเองและสามารถทํางานได้ ด้วยแอปพลิเคชัน ทีสามารถควบคุมได้ โดย Macros
สามารถใช้ ทําลายหรื อสร้ างความเสียหายให้ กบั คอมพิวเตอร์
4.1.4 Redirect Bombs
ผู้บุกรุ กใช้ ICMP เพือการโจมตีหรื อเปลียนทิศทางการส่งข้ อมูลแพ็กเก็ตจาก
เซิร์ฟเวอร์ ไปยังเราท์เตอร์ อืนๆ ทีไ ม่สามารถแจกจ่ายแพ็กเก็ตได้ จึงทําให้ ระบบเต็มไปด้ วยแพ็ก
เก็ตนําไปสูก่ าร Misrouted packet ซึง วิธีการนี Gเป็ นชนิดของ denial-of-service attack
4.1.5 Remote Login
คุณสามารถพยายามล็อกอินเข้ าสู่คอมพิวเตอร์ ของคุณโดยใช้ SSH, Telnet
และ windows Terminal Services ถ้ าแฮกเกอร์ สามารถเชือมต่อกับคอมพิวเตอร์ ของคุณ โดย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
98
(Network and Computer Security Specialist: NCS) ระดับที 3
แฮกเกอร์ จะทําให้ สงิ ทีเป็ นไปได้ คือ เข้ าไปดูไฟล์ข้อมูล ขโมยข้ อมูลทีสาํ คัญ หรื อติดตังโปรแกรม
G
ทีสามารถทําอันตรายต่อเครื องคอมพิวเตอร์ ของคุณ
4.1.6 SMTP session hijacking SMTP
ใช้ ใ นการส่ง อี เ มลล์ บ นอิ น เตอร์ เ น็ ต ซึง ผู้บุก รุ ก จะเข้ า ไปยัง รายการอี เ มลล์
แอดเดรสและส่งอีเมลล์ขยะไปยังผู้ใช้ หลายๆคน โดยใช้ SMTP เซิร์ฟเวอร์ ทีไม่นา่ สงสัยวิธีการนี G
ทําให้ มีความเป็ นไปได้ ทีจะติดตามผู้สง่ อีเมลล์ทีแท้ จริ ง ซึงในบางอีเมลล์สง่ มาพร้ อมกับลิงค์
ของเว็ บ ไซต์ ถ้ า ผู้ใ ช้ บัง เอิ ญ คลิbก ลิง ค์ นันG ซึง อาจเป็ นการยอมรั บ คุก กี ทG ี ช่ ว ยให้ ส ามารถทํ า
backdoors เข้ ามายังคอมพิวเตอร์ ได้
4.1.7 Source routing
แพ็กเก็ตทีสง่ ไปมาในอินเตอร์ เน็ต สามารถส่งไปยังปลายทางโดยใช้ เราท์เตอร์
ต่อไปในเส้ นทาง โดยแหล่งทีมาของแพ็กเก็ตจะกําหนดเส้ นทางทีแพ็กเก็ตจะต้ องไป ดังนันผู
G ้
บุกรุกจะทําแพ็กเก็ตขึ Gนมา ประกอบด้ วยข้ อมูลประสงค์ร้ายซ่อนไว้ คกู่ บั แพ็กเก็ตจริ งหรื อส่งจาก
ภายในเครื อข่ายขององค์กร ซึง ไฟร์ วอลล์ทกุ แบบสามารถตรวจจับ Source routing ได้
4.1.8 Viruses
วิธีนี Gเป็ นภัยคุกคามคอมพิวเตอร์ ทีมีมากทีสดุ ซึงไวรัสคือโปรแกรมขนาดเล็กที
ติดตังตั
G วเองเข้ ากับโปรแกรมอืนๆ ได้ เช่น ตารางจัดการงาน หรื อเอกสาร เมือโปรแกรมเปิ ดใช้
ไวรั สก็ จะทํา การเรี ยกใช้ ตัวเองและจะติด ต่อ ไปยัง ระบบอื นๆ โดยใช้ โ พรโตคอลของระบบ
เครื อข่าย ซึง ทําให้ เกิดความเสียหายอย่างมากมาย เพราะมันสามารถติดต่อไปได้ ทวั ทุกระบบ
ภายในเครื อข่าย นอกจากนี Gไวรัสสามารถใช้ อีเมลล์ในการส่งตัวเองไปยังส่วนอืนๆ และสามารถ
ลบข้ อมูลในฮาร์ ดดิสก์ได้ อีกด้ วย
สิง เหล่านี Gสามารถป้องกันได้ ด้วยไฟร์ วอลล์และยังมีบางสิง ทียากหรื อเป็ นไปไม่ได้ ทีจะกรองด้ วย
ไฟร์ วอลล์ เช่น อีเมลล์ขยะสามารถผ่านไฟร์ วอลล์ได้ ดังนันG จึงควรติดตังG Antivirus ภายใน
เครื องคอมพิวเตอร์ ด้วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
99
(Network and Computer Security Specialist: NCS) ระดับที 3
4.2 Intrusion Detection and Response
ในบทนี Gจะกล่าวถึงระบบตรวจจับการบุกรุก หรื อ Intrusion Detection System (IDS)
ซึง เป็ นระบบรักษาความปลอดภัยสารสนเทศพื Gนฐานทีทกุ องค์กรควรติดตังไว้
G IDS จะสามารถ
ค้ นหาสิงผิดปกติในเครื อข่ายหรื อในระบบทีอาจจะเป็ นการบุกรุ ก เพือลดความเสียหายทีอาจ
เกิดขึ Gนกับระบบและองค์กร ในหัวข้ อทีจะกล่าวถึงได้ แก่ หลักการของ IDS ชนิดของ IDS วิธี
หรื อกลไกในการตรวจจับ เทคโนโลยีของ IDS การออกแบบเพือติดตังในระบบ
G
รวมทังวิ
G ธีการ
ติดตังและใช้
G
งาน Snort IDS ซึง เป็ น IDS ทีเป็ นทีนิยมในปั จจุบนั
4.2.1 หลักการของระบบตรวจจับการบุกรุ ก
ระบบตรวจจับการบุกรุก (Intrusion Detection System: IDS) เป็ นชุดฮาร์ ดแวร์
หรื อ ซอฟท์ แ วร์ ทีทํ า หน้ า ที ค อยเฝ้ าระวัง และตรวจจับ สิง ผิ ด ปกติ ที อ าจเป็ นการบุก รุ ก หรื อ
พฤติกรรมทีเป็ นการละเมิดมาตรการรักษาความปลอดภัยสารสนเทศ ทังที
G เกิดขึนG บนระบบ
คอมพิวเตอร์ และในเครื อข่าย (network) ซึงเหตุการณ์ ผิดปกติทางด้ านความปลอดภัย
สารสนเทศ (incident) ดังกล่าว อาจเกิดจากการแพร่กระจายของไวรัสคอมพิวเตอร์ การเข้ าถึง
ระบบโดยมิได้ รับอนุญาตจากผู้ใช้ งานจากอินเตอร์ เน็ต การกระทําของผู้ใช้ งานระบบทีเป็ นการ
ละเมิดมาตรการรักษาความปลอดภัยสารสนเทศ เช่น การพยายามเข้ าถึงข้ อมูลทีตนไม่มีสิทธิ
หรื อการพยายามเพิมสิทธิในการใช้ งานระบบ เป็ นต้ น
• การใช้ งาน IDS
IDS ถูกใช้ งานเพือค้ นหาการเหตุการณ์ทีเป็ นไปได้ วา่ จะเป็ นการบุกรุ กจากผู้
ไม่ประสงค์ดีเป็ นหลัก สามารถตรวจจับการโจมตีเมือมีผ้ บู กุ รุ กสามารถเข้ าถึงระบบได้ สําเร็ จ
ผ่านทางช่องโหว่ต่างๆ ของระบบ เมือพบการบุกรุ กดังกล่าว IDS จะส่งสัญญาณเตือน (alert)
ไปยังผู้ดแู ลระบบเพือให้ ดําเนินการตรวจสอบและยับยังการบุ
G
กรุ กนันต่
G อไป การติดตังG IDS จึง
ช่วยในการลดระดับความรุนแรงของความเสียหายต่อทรัพย์สนิ ขององค์กรได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
100
(Network and Computer Security Specialist: NCS) ระดับที 3
นอกจากนี G IDS ยังสามารถบันทึก log ของเหตุการณ์ผิดปกติได้ อย่างครบถ้ วน เพือใช้ ในการ
นํามาวิเคราะห์พิสูจน์ หาต้ นเหตุ เลือกวิธีการจัดการกับเหตุการณ์ ผิดปกตินนั G และเก็บเป็ น
หลักฐานสําคัญทีจะแสดงการบุกรุกได้
การตังค่
G าหรื อกํ าหนด rule ของ IDS จําเป็ นต้ องทําให้ สอดคล้ องกับ
นโยบายความปลอดภัยขององค์กร เช่น ให้ มีความสอดคล้ องกับ rule ของ firewall เพือให้
IDS ตรวจจับสิง ผิดปกติได้ ตรงกับความต้ องการ
ตัวอย่างของความสามารถของ IDS
-
ตรวจจับการคัดลอกฐานข้ อมูลขนาดใหญ่จากเซิร์ฟเวอร์ (server)
ไปยังเครื องลูกข่าย (Client) ของพนักงาน
-
ตรวจจับการทํา port scan ทังที
G ทําโดยผู้บกุ รุ ก และจาก malware
ต่างๆ เช่น worm
-
ตรวจจับการทําโจมตีทีช่องโหว่ของ NetBIOS ของระบบปฏิบตั ิการ
Windows
นอกจากทีจะใช้ IDS ในการตรวจจับการบุกรุ ก และช่วยการจัดการกับ
เหตุการณ์ผิดปกติตา่ งๆแล้ ว IDS ยังมีประโยชน์ในด้ านอืนๆอีกได้ แก่
• การตรวจสอบความถูกต้ องของ Security policy
เนืองจาก IDS เป็ นอุปกรณ์ดา่ นที 2 ต่อจาก firewall ทีสามารถตรวจจับการ
บุกรุกได้ ดังนันในบางครั
G
งG ข้ อมูลจาก IDS สามารถบ่งบอกการตังค่
G ากฎในด้ านความปลอดภัย
(Rule) ของ ไฟลวอลล์ (Firewall) ทีผิดพลาดได้ เช่น พบ traffic ทีควรป้องกัน (Block) แต่ได้
ไม่ได้ ตงค่
ั G า กฎในด้ านความปลอดภัย (Rule) ทีไฟลวอลล์ (Firewall) เพือให้ ป้องกัน (Block)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
101
(Network and Computer Security Specialist: NCS) ระดับที 3
• บันทึกภัยคุกคามขององค์ กร
เนือ งจาก IDS จะบันทึกเหตุก ารณ์ ผิดปกติ การโจมตี ของภัยคุก คาม
(threat) ต่างๆทีตรวจจับได้ เอาไว้ ด้วย ทําให้ สามารถนําข้ อมูลเหล่านี Gไปวิเคราะห์ ทําเป็ นสถิติ
ศึกษารูปแบบการโจมตี เพือทีจะนํามาใช้ หายุทวิธีในการป้องกัน และพัฒนาระบบรักษาความ
ปลอดภัยสารสนเทศได้ ตอ่ ไป ข้ อมูลเหล่านี Gยังทําให้ ผ้ บู ริ หารได้ ทําความเข้ าใจถึงความเสีย งของ
องค์กรจากภัยคุกคามด้ านคอมพิวเตอร์ ด้วย
• ลดการกระทําผิดต่ อ Securlty policy
หากมีการประกาศใช้ งาน IDS ผู้ใช้ งานระบบทัว ไปจะเกิดความระมัดระวัง
ในการใช้ งานระบบ หรื อความกลัวในการกระทําผิด เพราะการกระทําใดๆบนระบบจะถูกจับตา
มองโดย IDS ตลอดเวลา ทําให้ การละเมิดต่อ security policy ลดน้ อยลง
• รูปแบบการตรวจจับของ IDS
กลไลในการตรวจจับสิง ผิดปกติของ IDS แบ่งออกได้ เป็ น 3 รูปแบบ ได้ แก่
• Signature-Based Detection
ใช้ วิธีการเปรี ยบเทียบลักษณะของข้ อมูลทุก packet ทีผ่านเข้ ามากับ
ฐานข้ อมูลของสิงผิดปกติ (Signature database) เพือตรวจหาการบุกรุ ก ลักษณะคล้ ายกับ
โปรแกรม anti-virus คําว่า signature หมายถึงรูปแบบของภัยคุกคามทีเกิดขึ Gนมาแล้ ว เมือพบ
packet ทีมีลกั ษณะตรงกับ signature IDS จะทําการบันทึกเหตุการณ์ และแจ้ งเตือนทันที
ตัวอย่างของ signature ได้ แก่
-
การพยายาม telnet เข้ ายังเครื อง server ด้ วย username เป็ น root
ซึง เป็ นการละเมิดต่อ security policy
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
102
(Network and Computer Security Specialist: NCS) ระดับที 3
-
Email ทีมี subject เป็ น “Free pictures!” และมีไฟล์แนบเป็ น
“freepics.exe” ซึง เป็ นลักษณะของ malware
-
การพบ log ของ OS ทีระบบบันทึกเข้ ามาใหม่เป็ น code หมายเลข
645 ซึ ง หมายถึ ง การ
disable ระบบตรวจสอบของเครื อ ง
(auditing)
Signature-Based detection มีความสามารถในการตรวจจับการบุกรุ กทีเคย
เกิดขึ Gนมาแล้ วและมีข้อมูลในฐานข้ อมูลได้ ดีมาก แต่ไม่สามารถทีจะตรวจจับการบุกรุ กทีพึง
เกิดขึ Gนและยังไม่ได้ ผลิตเป็ น signature นอกจากนี Gการดัดแปลงรูปแบบการบุกรุกให้ ตา่ งออกไป
จากเดิมเพียงเล็กน้ อยก็สามารถหลบหลีกการตรวจจับ IDS ประเภทนี Gได้ เช่น หากผู้บกุ รุ กใช้
malware ส่ง มากับ email ตามตัว อย่า งด้ า นบน แต่เ ปลี ย นชื อ ไฟล์ แ นบจากเดิ ม เป็ น
“freepics2.exe” ก็มีความเป็ นไปได้ สงู ทีจะทําให้ IDS ตรวจจับไม่ได้
Signature-Based detection เป็ นรู ปแบบกลไลการตรวจจับทีง่ายทีสดุ เพราะ
ใช้ วิธีการเปรี ยบเทียบกับข้ อมูล signature ในฐานข้ อมูลเท่านันG จึงไม่สามารถทําความเข้ าใจ
ลักษณะการรับส่งข้ อมูลในระดับ network หรื อ application protocol ได้ ไม่สามารถจดจํา
state ของการรับส่งได้ ไม่สามารถจดจําการ request ข้ อมูลก่อนหน้ า ขณะทีกําลังตรวจสอบ
request ปั จจุบนั ทําให้ ไม่สามารถตรวจจับการบุกรุกทีซบั ซ้ อนได้
•
Anomaly-Based Detection
Anomaly-based detection ใช้ วิธีการหาเหตุการณ์ ทีเบียงเบนไปจาก
เหตุการณ์ปกติ ในการตรวจจับ ซึงการทํางานเป็ นการเปรี ยบเทียบเชิงสถิติ ดังนันการใช้
G
งาน
IDS ประเภทนี Gจําเป็ นต้ องให้ IDS เรี ยนรู้ ลักษณะ traffic ปกติก่อนในช่วงระยะเวลาหนึง
(training period) เพือใช้ สร้ างฐานข้ อมูลทีเรี ยกว่า profile จากนันจึ
G งจะเริ มใช้ งานได้ profile
จะเก็บค่าเหตุการณ์ของระบบทีอยู่ในสภาวะปกติ เช่น user, host, bandwidth, การเชือมต่อ
เป็ นต้ น ยกตัวอย่างเช่น profile ของเครื อข่ายบอกว่าปกติแล้ วมีการรับส่งข้ อมูลประเภท web ที
Internet gateway คิดเป็ น 20% ของ bandwidth ในช่วงเวลาทํางานปกติ ทันทีที IDS พบว่า
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
103
(Network and Computer Security Specialist: NCS) ระดับที 3
มีการรับส่งข้ อมูลประเภท web ที Internet gateway เกินค่า threshold ทีคาดไว้ จะมีการส่ง
แจ้ งเตือนไปยังผู้ดแู ลระบบทันที
นอกจากนี Gยังสามารถปรับเปลีย น profile ให้ ตรวจจับตามทีต้องการได้ เช่น
กําหนดจํานวน email ทีรับส่งใน 1 วันต่อ 1 ผู้ใช้ งาน หรื อ จํานวนการ login เข้ า server ทังที
G สําเร็ จและไม่สําเร็ จต่อวัน หรื อ ระดับการทํางานของ CPU ของเครื อง server เป็ นต้ น และ
เนืองจาก IDS ประเภทนี Gไม่จําเป็ นต้ องอัพเดท signature เหมือน signature-based IDS ทําให้
สามารถตรวจจับการบุก รุ ก แบบ zero-day attack ได้ ยกตัวอย่า ง เช่ น มี การบุกรุ กจาก
malware ชนิดใหม่ ทีทําให้ เกิดการใช้ งาน CPU อย่างมาก มีการส่ง email จํานวนมาก สร้ าง
network connection จํานวนมากในระยะเวลาอันสันG ซึง ทําให้ เกิดเหตุการณ์ทีเบียงเบนไปจาก
เหตุการณ์ปกติอย่างชัดเจน
ปั ญหาของวิธีการตรวจจับวิธีนีคG ือ ความถูกต้ องของ profile เนืองจาก
รู ป แบบของการรั บ ส่ง ข้ อ มูล มี ค วามซับ ซ้ อ นมากขึ นG เรื อ ยๆ ในบางองค์ ก รที มี ก ารใช้ งาน
หลากหลาย application หลาย protocol ยิงทําให้ ยากในการปรับจูน profile ทําให้ เกิดปั ญหา
ของการเกิด false positive จํานวนมาก ยกตัวอย่างเช่น ในการทํางานบํารุงรักษาระบบปกติจะ
มีการสํารองข้ อมูล (backup) ซึงจะมีการส่งไฟล์ขนาดใหญ่ เดือนละ 1 ครังG ซึงเป็ นไปได้ ว่า
ขณะที IDS กําลังเรี ยนรู้ พฤติกรรมปกติเพือทํา profile ไม่ได้ เห็นเหตุการณ์นี G ทําให้ IDS แจ้ ง
เตือนการ backup ข้ อมูลนี Gว่าเป็ นเหตุการณ์ผิดปกติได้
•
Stateful Protocol Analysis
การตรวจจับแบบ Stateful Protocol Analysis เป็ นการตรวจจับหาสิงปกติ
บน protocol เฉพาะนันG ๆ โดยการเปรี ย บเที ยบกับ protocol profile ที ถูก จัด ทํา ไว้ แล้ ว
Stateful Protocol Analysis ต่างจาก Anomaly-based detection ตรงที profile ถูกสร้ างขึ Gนไว้
แล้ วจาก vendor แต่ละรายทีใช้ protocol นันๆ
G ในการรับส่งข้ อมูล ไม่ได้ เกิดจากการเรี ยนรู้
ลักษณะพฤติกรรมปกติของเครื อข่ายหรื อเครื องบนเครื องข่าย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
104
(Network and Computer Security Specialist: NCS) ระดับที 3
คําว่า stateful นันหมายความว่
G
า IDS จะสามารถจดจํา request ก่อนหน้ า
ของการรับส่งข้ อมูลได้ ทําให้ IDS เข้ าใจและติดตาม state ของ network, transport, และ
application protocol ได้ ยกตัวอย่างเช่น FTP stateful protocol-based profile จะสามารถ
ตรวจจับสิง ผิดปกติหรื อการบุกรุ กบนการรับส่งผ่าน FTP ได้ โดยละเอียด สามารถตรวจจับการ
รั บ ส่ง ข้ อ มูล โดยไม่ไ ด้ ผ่านการ authentication ได้ เนือ งจาก IDS จะสามารถจดจํ า
authentication state ของทุก session ไว้ ได้ หรื อสามารถตรวจจับการรับส่งข้ อมูลไปยังเครื อง
อืนหลังจาก authentication สําเร็ จจากเครื องอีกเครื องหนึง ได้ (FTP bounce attack)
ความสามารถในการจดจํากระบวนการ authentication และการติดตาม
session ของ authenticator ทําให้ ข้อมูลจาก IDS ประเภทนี Gช่วยในการตรวจสอบ incident ได้
อย่างมาก
ข้ อจํากัดของการตรวจจับประเภทนี Gคือ รายละเอียดหรื อ specification ของ
protocol ต่างๆมักไม่มีความสมบูรณ์ทําให้ ไม่สามารถสร้ าง profile ทีสมบูรณ์ได้ การตรวจจับ
จึงได้ ผลทีไม่ถกู ต้ อง และเมือมีการเปลีย นแปลงปรับปรุ ง protocol จําเป็ นต้ อง update profile
ที IDS ด้ วย นอกจากนี G IDS ประเภทนี Gจําเป็ นต้ องใช้ hardware ทีมี specification สูง เพราะ
ต้ องใช้ ในการคํานวณทีซบั ซ้ อน ทําให้ มีราคาทีแพง
4.2.2 ประเภทของระบบตรวจจับการบุกรุ ก (IDS)
สามารถแบ่งชนิดของ IDS ได้ ดงั นี G
• Network-based IDS
เป็ น IDS ทีถกู ติดตังในลั
G กษณะขวาง network traffic บริ เวณจุดทีเป็ น
ทางเข้ าหรื อทางออกของ network segment ทีต้องการตรวจจับ เพือให้ อปุ กรณ์ IDS สามารถ
มองเห็นข้ อมูลทีเข้ าออกทังหมดและวิ
G
เคราะห์พฤติกรรมการรับส่งข้ อมูลทังในระดั
G
บ network
layer และ application layer
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
105
(Network and Computer Security Specialist: NCS) ระดับที 3
• Host-based IDS
IDS ชนิดนี Gจะเป็ น software ทีติดตังอยู
G ่บน server ทีมีความสําคัญ เพือ
ตรวจจับเหตุการณ์หรื อพฤติกรรมผิดปกติทีเกิดขึ Gนเฉพาะ server นันG เช่น การ login เข้ าระบบ
ผิดซํ GากันหลายครังG การเข้ าระบบในช่วงเวลาทีไม่ใช่เวลาทํางานปกติ หรื อการส่งไฟล์ขนาด
ใหญ่ออกไปยังเครื องคอมพิวเตอร์ อืน เป็ นต้ น โดยทัว ไปแล้ วเหตุการณ์ ที Host-based IDS
สามารถเฝ้ าระวังได้ ได้ แก่ network traffic (ของ server นี Gเท่านัน),
G system log, running
process, application activity, การเข้ าถึงและการเปลีย นแปลงของไฟล์ การเปลียนแปลงของ
ค่า configuration ของระบบ
• Network Behavior Analysis IDS
ใช้ ตรวจหา network traffic flow ทีผิดปกติ เช่น การโจมตีแบบ Denial of
Service (DoS), การเข้ ามาของ malware, การกระทําผิดต่อมาตรการรักษาความปลอดภัย
สารสนเทศ เช่น มีการรับส่งข้ อมูลระหว่าง server โดยทีไม่ได้ รับอนุญาต เป็ นต้ น โดยทัว ไปจะ
ติดตังเพื
G อเฝ้ าระวัง traffic flow ในเครื อข่ายภายในขององค์กร หรื อระหว่างองค์กรกับภายนอก
• Wireless IDS
ใช้ เฝ้ าระวัง wireless network traffic เพือวิเคราะห์การรับส่งข้ อมูลผ่าน
protocol ของ wireless ใน network layer โดยเฉพาะ อาทิเช่น การเข้ าถึงโดยไม่ได้ รับอนุญาต
, rogue access point, การพยายามโจมตีค้นหา WEP key เป็ นต้ น และไม่มีวตั ปุ ระสงค์ใน
การตรวจจับหาสิง ผิดปกติทีเกิดขึ Gนใน layer ทีสงู กว่าเช่น transport หรื อ application
4.2.3 เทคโนโลยีของระบบตรวจจับการบุกรุ ก
ภายในหัวข้ อนี Gจะอธิบายถึงเทคโนโลยีของระบบตรวจจับการบุกรุ กโดยทัว ไป
ซึง จะถูกใช้ ใน IDS ทุกชนิด
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
106
(Network and Computer Security Specialist: NCS) ระดับที 3
•
ส่ วนประกอบของระบบ IDS
โดยทัว ไประบบ IDS จะประกอบไปด้ วย:
•
Sensor หรือ Agent
Sensor หรื อ Agent เป็ นส่วนทีใช้ ในการเฝ้ าระวัง (monitor) และ วิเคราะห์
(analyse) ข้ อมูล เมือพบสิงผิดปกติหรื อการบุกรุ ก จะสามารถส่งสัญญาณเตือนไปยังผู้ดูแล
ระบบและบันทึกข้ อมูลเหตุการณ์นนไว้
ั G โดย sensor จะเป็ นคําทีใช้ กบั Network-based IDS,
wireless IDS และ network behavior analysis IDS โดย sensor จะถูกนําไปติดตังใน
G
เครื อข่ายในลักษณะขวาง traffic ซึง ในทางปฏิบตั ิ จะตังค่
G ากําหนดให้ network switch ทําการ
คัดลอก (mirror) traffic จากทุก port หรื อจาก port ที firewall ต่อเชือมอยู่ ออกมาให้ IDS
เพือเฝ้ ามองข้ อมูลทุกๆ packet ทีผ่านเข้ าออก network segment นันG และ sensor จะส่ง raw
network traffic ทีเฝ้ ามองอยู่ไปเก็บไว้ ที management server และตัวเองจะสามารถเก็บ
ข้ อมูลนี Gไว้ ในระยะเวลาหนึง ด้ วย
สําหรับคําว่า agent จะใช้ กบั host-based IDS เป็ น software ทีติดตังลง
G
ในเครื องคอมพิวเตอร์
•
Management Server
Management server เป็ นอุปกรณ์ ทีทําหน้ าทีเป็ นจุดศูนย์กลางสําหรับ
บริ หารจัดการ sensor และ agent ทีติดตังในระบบ
G
ทําหน้ าทีรับข้ อมูลจาก sensor และ agent
หลายๆตัว และนํามาวิเคราะห์หาการบุกรุ กแบบในภาพรวม ที sensor ไม่สามารถทําได้
(correlation) มีทงแบบ
ัG
hardware appliance และ software ทีติดตังบน
G
server ทัว ไป
สําหรับในองค์กรขนาดเล็กทีมี sensor หรื อ agent จํ านวนไม่มาก ไม่จําเป็ นต้ องติดตังG
Management Server ก็ได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
107
(Network and Computer Security Specialist: NCS) ระดับที 3
•
Database Server
Database server ใช้ ในการเก็บข้ อมูลที sensor หรื อ agent ส่งมาให้
Management server เพือให้ การค้ นหาข้ อมูลทําได้ เร็ วขึ Gน และสามารถบริ หารจัดการข้ อมูลได้
ดีขึ Gน
•
Console
เป็ นโปรแกรมทีทําหน้ าทีให้ แก่ผ้ ดู แู ลระบบเข้ ามาบริ หารจัดการ IDS รวมทังG
แสดงข้ อมูลในระบบ การแจ้ งเตือนการบุกรุก ออกรายงาน ปั จจุบนั มักมีรูปแบบเป็ นแบบ webbased
•
IDS Network Architecture
การเชือมต่อส่วนประกอบต่างๆ ของระบบ IDS สามารถทําได้ 2 วิธี คือ
เชือมต่อผ่านทาง Management Network หรื อ ผ่านทางเครื อข่ายหลัก (Production Network)
ขององค์กร Management Network (หรื อ Out of Band network) เป็ นเครื อข่ายเฉพาะทีถกู
สร้ างขึ Gนมาซ้ อนกับเครื อข่ายหลัก (Inband network) ขององค์กร มีวตั ถุประสงค์เพือใช้ ในการ
บริ หารจัดการอุปกรณ์เครื อข่าย และอุปกรณ์รักษาความปลอดภัย ให้ มีความปลอดภัย เพราะ
จะทําให้ ข้อมูล management เหล่านี Gจะไม่วิงปะปนไปกับข้ อมูลทัว ไปในเครื อข่ายหลักของ
องค์กร และยังช่วยให้ ไม่ไปกิน bandwidth ของเครื อข่ายหลักอีกด้ วย Management Network
มักถูกจัดสร้ างขึนG ในองค์กรขนาดใหญ่ ทีเครื อข่ายหลักขององค์ กรมีขนาดใหญ่ มีการรับส่ง
ข้ อมูลจํานวนมากตลอดเวลา และการ Management Network จําเป็ นต้ องใช้ เงินทุนในการ
สร้ างพอสมควร
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
108
(Network and Computer Security Specialist: NCS) ระดับที 3
ในกรณี ทีให้ อุปกรณ์ IDS แต่ละส่วนเชื อมต่อกันหรื อส่งข้ อมูลหากันผ่าน
Management Network จําเป็ นต้ องเพิม LAN card ทีอปุ กรณ์ IDS เพิมอีก 1 ใบ เรี ยกว่า
Management Interface เพือใช้ เชือมต่อเข้ ากับ Management Network โดยเฉพาะ
ข้ อดีในการใช้ Management Network คือช่วยให้ การรับส่งข้ อมูลทีเป็ น alert
หรื อ incident log เป็ นไปอย่างปลอดภัย เพราะจะไม่มีบคุ คลใดสามารถเข้ าถึง network วงนี G
ได้ นอกจากนี Gยังเป็ นการซ่อนอุปกรณ์ IDS ให้ ไม่สามารถเข้ าถึงได้ ง่าย กรณีทีเครื อข่ายหลักล่ม
ไม่ว่าจะเกิดจากการขัดข้ องของอุปกรณ์ หรื อถูกโจมตี (เช่น DDoS หรื อ worm) ก็ จะไม่มี
ผลกระทบต่อ Management Network และยังช่วยในเรื องการบริ หารจัดการ network
bandwidth ทีมีอยู่อย่างจํากัดขององค์กรด้ วย แต่ทงนี
ั G Gต้ องมองด้ านงบประมาณในการลงทุน
สร้ างด้ วย
สําหรับกรณีทีไม่มีการใช้ Management Network สามารถเชือมต่ออุปกรณ์
IDS ผ่านทางเครื อข่ายหลักขององค์กรได้ อย่างปลอดภัยผ่านทางการใช้ VLAN (Virtual Local
Area Network) โดยต้ องสร้ าง VLAN เฉพาะขึ Gนมาเพือให้ IDS ได้ สง่ ข้ อมูลหากัน แต่จะยังได้
ความปลอดภัยไม่เท่ากับการสร้ าง Management Network เนืองจากมักเกิดข้ อผิดพลาดใน
การจัดทําและตังค่
G า VLAN เป็ นผลทําให้ สามารถให้ บลุ คลอืนเข้ าถึงได้ หรื อทําให้ ข้อมูลอืนวิง
เข้ ามาปะปนได้
4.2.4 Snort IDPS
Snort เป็ น IDPS (Intrusion Detection and Prevension system) ประเภท
network-based IDS ทีเป็ นทีนิยมมาก เนืองจากเป็ น free open source และทํางานได้ ดี
ทีเดียว เข้ าข่ายทีว่าถูกและดี สามารถติดตังได้
G บนหลาย platform เช่น Windows, Redhat 5,
Ubantu 9, Solaris 10, SUSE 10 เป็ นต้ น สามารถทํางานเป็ น IPS ได้ ในตัว
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
109
(Network and Computer Security Specialist: NCS) ระดับที 3
Martin Roesch และผู้ก่อตังบริ
G ษัท Sourcefire เป็ นผู้พฒ
ั นาและนําออกมาให้ download ไป
ใช้ งานได้ ฟรี ในปี 1998
Snort ใช้ signature-based detection ผสมกับ protocol analysis ในการ
ตรวจจับสิงผิดปกติในเครื อข่าย เช่น การโจมตีแบบ buffer overflow, การ scan port, CGI
attack, การโจมตีทีช่องโหว่ของ SMB, การพยายามหา OS fingerprint เป็ นต้ น สามารถแก้ ไข
ปรับปรุง rule ทีใช้ ในการตรวจจับได้ ง่าย มี rule สําเร็ จรูป และ plug-in ให้ download เพือเพิม
ความสามารถอยูเ่ รื อยๆ
เมือพบเหตุการณ์ทีอาจเป็ นการบุกรุ ก Snort สามารถแจ้ งเตือนผู้ดแู ลระบบได้
ทันทีแบบ real-time สามารถส่ง alert ในรู ปแบบของ syslog, UNIX socket, WinPopup หรื อ
เป็ น file format ตามทีผ้ ใู ช้ งานกําหนดเองได้ นอกจาก snort จะเป็ น IDPS ยังถูกใช้ งานเป็ น
packet sniffer และ packet logger ซึง ใช้ ในการแก้ ไขปั ญหาในเครื อข่ายอีกด้ วย
รูปที 4.1 Web site ของ snort (www.snort.org)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
110
(Network and Computer Security Specialist: NCS) ระดับที 3
การออกแบบเพือติดตังG snort
เนืองจาก snort เป็ น network-based IDS จึงสามารถออกแบบการติดตังตั
G ว sensor
ได้ 2 วิธี คือ Inline และ passive
• Inline
สําหรับการติดตังใน
G mode นี G ทําให้ ในอุปกรณ์ทีเป็ น IDSP หรื อ IPS เท่านันG
ซึง snort เป็ น IDPS จึงสามารถติดตังแบบ
G
Inline ได้ โดยอุปกรณ์จะต้ องวางขวาง network
traffic เหมือนกับการติดตังG firewall การติดตังรูG ปแบบนี Gทําในกรณีทีต้องการหยุดการโจมตี
โดยการ block network traffic โดยปกติจดุ ทีติดตังมั
G กเป็ นหลัง firewall เพือให้ IDPS sensor
เห็น traffic ทังหมดที
G
เข้ าออก network segment นันๆ
G และเป็ น traffic ทีผ่านการกรองจาก
firewall มาแล้ ว
• Passive
การติดตังแบบ
G
passive จะใช้ วิธีคดั ลอก (mirror) network traffic จริ งมาให้
IDS ตรวจจับ ซึง หมายความว่า จะไม่มี network traffic จริ งๆผ่านตัว IDS sensor
passive sensor นิยมใช้ เพือการตรวจจับความผิดปกติของ network segment หลักของ
องค์กร เช่น ใน DMZ หรื อใน server zone ต่างๆ เป็ นต้ น
การติดตังแบบ
G
passive สามารถทําให้ หลายวิธี ได้ แก่
Spanning port: เรี ยกอีกอย่างว่า mirror port ทําได้ โดยการตังค่
G าให้ LAN
switch ทําการคัดลอก traffic ทังหมดที
G
ผ่านตัวมันออกมาที spanning port และให้
IDS ต่อเชือมเข้ ากับ port ๆ นี G การใช้ เทคนิค spanning port ทําได้ ง่ายไม่ต้องมี
อุปกรณ์อืนเพิม แต่ในความเป็ นจริ ง switch ที IDS จะต่อเชือมมักเป็ น switch ทีมี
network traffic ผ่านเข้ าออกจํานวนมาก การ mirror traffic ทังหมดออกมาที
G
port ๆ
เดียวมักทําให้ การทํา spaning port หยุดชะงักชัว คราว หรื อ อาจทําให้ switch hang
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
111
(Network and Computer Security Specialist: NCS) ระดับที 3
ได้ นอกจากนี Gโดยทัว ไป switch จะสามารถทํา spanning port ออกมาที port ๆ
เดียวเท่านันG ซึง อาจไม่เพียงพอกับความต้ องการเนืองจากบางครังG ยังมีความจําเป็ นที
ต้ องใช้ การ spanning port กับ network monitoring tool อืน หรื อ network
forensics tool หรื อแม้ กระทังG IDS ตัวอืน ในกรณีทีมี traffic จํานวนมากผ่าน
switch และต้ องใช้ เทคคนิค spanning port เท่านันG แนะนําให้ mirror เฉพาะ port ที
firewall หรื อ gateway ต่ออยู่
Network Tap: เป็ นการใช้ อุปกรณ์ เรี ยกว่า network tap เพือคัดลอก
network traffic จาก port ใด port หนึงมาให้ IDS ทางกายภาพ ซึงในการติดตังG
อุปกรณ์ tap นี Gจะต้ องเกิด downtime ขึ Gน
IDS Load Balancer: เป็ นการใช้ อปุ กรณ์เรี ยกว่า IDS load balancer ใน
การรวม network traffic ไม่ว่าจาก spanning port ต่างๆ หรื อ network tap เข้ ามา
เพือส่งต่อไปให้ IDS ตัวเดียวหรื อหลายๆตัวตรวจจับหาสิง ผิดปกติ
การทํางานของ IDS load balancer ทําให้ หลายแบบผ่านการตัง ค่า rule ดังนี G
- ส่ง traffic ทังหมดที
G
รวบรวมมาให้ ยงั IDS sensor หลายตัว ซึง แต่ละตัวจะ
ทําหน้ าทีตรวจจับในรูปแบบทีตา่ งกัน
- แบ่ง traffic ตามปริ มาณให้ IDS แต่ละตัวช่วยกันตรวจจับ ซึงสําหรับวิธีนี G
ทําให้ ผลการตรวจจับแย่กว่าปกติ เนืองจากอาจเกิดเหตุการณ์ที traffic
การบุกรุกถูกแบ่งออกไปให้ IDS 2 ตัว ทําให้ IDS วิเคราะห์ผิดพลาด
- แบ่ง traffic ตาม IP address หรื อ protocol หรื อ ลักษณะ traffic เฉพาะ
อืนๆ เช่น ตัด web traffic ออกมาให้ IDS sensor ตัวที 1 เท่านันG ซึง จะทํา
ให้ การตรวจจับทําให้ ละเอียดยิงขึ Gน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
112
(Network and Computer Security Specialist: NCS) ระดับที 3
การติดตังG snort
เมือทราบจุดทีต้องการติดตังG snort sensor แล้ ว ขันตอนต่
G
อไปเป็ นการเตรี ยมเครื อง
คอมพิวเตอร์ download snort software และ install ซึงในทีนี Gจะใช้ Linux Ubuntu เป็ น
Operating System
• Hardware specification
เครื องคอมพิวเตอร์ ทีจะใช้ ในการติดตังG snort sensor ไม่จําเป็ นต้ องมี spec ทีสงู แต่
ขอให้ มี LAN card อย่างน้ อย 2 ใบ และมี harddisk สําหรับเก็บข้ อมูล network traffic ในจุด
ทีจะนําไปติดตังอย่
G างน้ อยได้ 2 สัปดาห์ สําหรับในองค์กรขนาดใหญ่ควรใช้ เครื องทีเป็ นแบบ
rack เพือให้ สามารถติดตังบน
G ตู้ rack ได้ เกิดความเป็ นระเบียบเรี ยบร้ อย
• Operating System และ โปรแกรมสนับสนุน
ให้ ติดตังG Linux Ubuntu 9 (www.ubuntu.com) บน VMware พร้ อม โปรแกรม ดังนี G
- Libpcab library (ftp://ftp.ee.lbl.gov/libpcap.tar.Z)
- Libnet library
- BASE
- Barnyard
- Apache
- C Compiler ทีมากับ OS หรื ออาจจะพิจารณาใช้ GNU C
(ftp://ftp.gnu.org/gnu/gcc/)
- MySQL
- Utility ทีใช้ สาํ หรับขยายไฟล์ เช่น GZIP (ftp://ftp.gnu.org/gnu/gzip/)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
113
(Network and Computer Security Specialist: NCS) ระดับที 3
• Download Snort และ โปรแกรมเสริม
-
Download Snort จาก http://www.snort.org ไฟล์ชือ snort2.8.4.1.tar.gz
-
Download libnet-1.0.2a.tar.gz ซึง เป็ น network API ทําให้ snort
สามารถเข้ าถึง protocol ต่างๆ ได้
-
Download BASE 1.4.3.1.tar.gz ซึง เป็ นโปรแกรมเสริ มช่วยในการค้ นหา
และวิเคราะห์ alert ของ snort
-
Download adodb4991.tar.gz ซึง เป็ นโปรแกรม utility ทีท ําให้ โปรแกรม
PHP สามารถติดต่อกับฐานข้ อมูลหลายๆ ยีห้อได้
ติดตังG
1. สร้ าง Virtual Machine ใหม่สาํ หรับติดตังG Ubuntu
- 512 MB RAM
- 12 GB Disk
- Eth0: host only network
- Eth1: bridged to host interface
- No sound device, printer or accessories
2. ติดตังG Ubuntu 9 โดยใช้ default setting ทังหมด
G
จากนันให้
G reboot เครื อง
1 ครังG
- สร้ าง user ใหม่สาํ หรับใช้ ติดตังG snort
3. เข้ าเมนู System> Administration > Synaptic Package Manager. ให้
คลิbกปุ่ ม reload เพือ updated รายการ packages จากให้ กดเลือกติดตังG
software ดังนี G:
- libpcap0.8-dev
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
114
(Network and Computer Security Specialist: NCS) ระดับที 3
- libmysqlclient15-dev
- mysql-client-5.0
- mysql-server-5.0
- bison
- flex
- apache2
- libapache2-mod-php5
- php5-gd
- php5-mysql
- libtool
- libpcre3-dev
- php-pear
- vim
- ssh
4. ติดตังเครื
G องมือของ VMware จาก perl script ทีเมนู Virtual Machine >
Install VMWare Tools. เมือ disk mount ไปที Desktop แล้ ว ให้ เปิ ด
terminal ด้ วยสิทธิของ root แล้ ว un-tar และ run *.pl script สามารถหา
ข้ อมูลเพิมเติมได้ ที http://www.vmware.com/support/ws55/doc/ws_
newguest_tools_linux.html
การ run คําสัง ต่างใน Ubuntu ควรใช้ สิทธิ root ทุกครังG เพือไม่ให้
ผู้ใช้ งานปกติสามารถเข้ ามาแก้ ไขปรับเปลียนโปรแกรมเหล่านี Gได้ ในอนาคต
ซึง สามารถทําได้ โดยพิมพ์ sudo นําหน้ าคําสัง ยกตัวอย่าง เช่น ถ้ าต้ องการ
เปลีย น password ของ root (ซึง ตอนนี G login เป็ น root อยูแ่ ล้ ว) ให้ พิมพ์
>sudo passwd
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
115
(Network and Computer Security Specialist: NCS) ระดับที 3
5. ติดตังG libnet โดย
>cd /usr/local
>tar zxvf /home/bubba/Desktop/libnet1.0.2a.tar.gz
>cd Libnet-1.0.2a
>./configure && make && make install
6. ติดตังG snort โดย
>cd /usr/local
>tar zxvf /home/bubba/Desktop/snort2.8.4.1.tar.gz
>cd snort-2.8.4.1
>./configure --enable-targetbased && make &&
make install
7. ปรับแต่ง environment ของ snort ได้ แก่ การตังG home directory การ
ติดตังG rule การสร้ าง snort user เป็ นต้ น โดย
>mkdir /etc/snort
>mkdir /var/log/snort
>cd /etc/snort
>tar zxvf /home/bubba/Desktop/snortrulessnapshot-CURRENT_s.tar.gz –C /etc/snort
>cp etc/* /etc/snort
>groupadd snort
>useradd -g snort snort
>chown snort:snort /var/log/snort
>touch /var/log/snort/alert
>chown snort:snort /var/log/snort/alert
>chmod 600 /var/log/snort/alert
>cp
/etc/snort/so_rules/precompiled/Ubuntu6.01.1
/i386/2.8.4/*.so
/usr/local/lib/snort_dynamicrule
>mv /usr/local/lib/snort_dynamicrule
/usr/local/lib /snort_dynamicrules
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
116
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
8. แก้ ไข snort.conf ซึง เป็ นไฟล์ทีเก็บค่า configuration ของ snort โดย
>vim /etc/snort/snort.conf
จากนันG ให้ หาบรรทัด ที มี RULE_PATH
ให้ เปลี ย นค่ า ตั ว แปลเป็ น
/etc/snort/rulesหาบรรทัด ทีเป็ น output และใส่ # เพือ comment บรรทัดที output นันมี
G ค่า
เป็ น ON หา output log_unified และให้ เพิมข้ อความด้ านล่าง ดังนี G
output unified2:filename snort.log, limit=128
9. ติดตังG MySQL เพือใช้ เก็บข้ อมูล traffic และ alert ซึงโดยปกติ snort
สามารถเก็ บข้ อมูล เหล่านีไG ว้ ในตัวได้ เอง แต่เพือความง่ายต่อการค้ นหา
event ต่างๆ และง่ายต่อการ export ข้ อมูลหรื อ share ข้ อมูลให้ โปรแกรม
เสริ มอืนๆ ของ snort จึงควรเก็บข้ อมูลในฐานข้ อมูล MySQL
$mysql -p
$create database snort;
$grant CREATE, INSERT, SELECT, DELETE,
UPDATE on snort.* to
$snort@localhost;
$SET
PASSWORD
FOR
snort@localhost=PASSWORD(‘password’);
$exit
$cd /usr/local/snort-2.8.4.1/schemas
$mysql -p < create_mysql snort
Now we will check to see that the Snort
database has been correctly
installed:
$mysql -p
• SHOW DATABASES; There should be 4 rows
• use snort
• SHOW TABLES; There should be 16 rows
10. ติดตังG Snort GUI
ขันตอนนี
G
Gเป็ นการติดตังG web environment โดยเริ มจากติดตังG
adodb และ BASE ดังนี G
ที CLI ด้ วยสิทธิของ root:
$cd /var/www
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
117
(Network and Computer Security Specialist: NCS) ระดับที 3
$tar zxvf
/home/bubba/Desktop/adodb4991.tgz
$tar zxvf /home/bubba/Desktop/base1.4.3.1.tar.gz
$ vim /etc/php5/apache2/php.ini
หา error_reporting และตังค่
G า: error_reporting = E_ALL &~E_NOTICE
หา “Dynamic Extensions” เพิมข้ อความต่อท้ ายดังนี G :
• extension=mysql.so
• extension=gd.so
$vim /etc/apache2/apache2.conf
ทีบรรทัดล่างสุดของไฟล์ ให้ ใส่ server name
<your servername.domain>
$/etc/init.d/apache2 restart
เปิ ด browser ไปที http://localhost/base-1.4.3.1
• กด “continue”
• Path ของ adodb คือ /var/www/adodb
• Database Name=snort, Database Host=localhost, Database
User=snort, Database Password=password
• Admin User Name=snort, Password=password, Full
Name=snort
• กด “Create BASE AG”
11. ติดตังG Barnyard
Barnyard ถูกพัฒนาขึ Gนมาเพือทํา output processing ทําให้ Snort
ไม่ต้องเสียเวลาในการทํางานด้ านนี G ทําให้ วิเคราะห์ packet ทีเข้ ามาได้ เร็ วขึ Gน
จาก usr/local:
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
118
(Network and Computer Security Specialist: NCS) ระดับที 3
$tar zxvf /home/bubba/Desktop/barnyard21.5.tar.gz
$cd barnyard2-1.5
$./configure --with-mysql && make && make
install
$cp etc/barnyard2.conf /etc/snort
$vim /etc/snort/barnyard2.conf
หา “thor”และแทน “thor” ด้ วย “localhost”
หา config interface และตรวจสอบว่าได้ ใช้ eth0
หา output database แก้ ไขที mysql line to read: output database: alert,
mysql, user=snort password=password dbname=snort host=localhost
12. Start Snort และ Barnyard
$snort -c /etc/snort/snort/conf -i eth1
เปิ ด CLI อีกจอ
$ls -la /var/log/snort
หา 10 digit suffix ใน snort.log หากมีมากกว่า 1 ไฟล์ ให้ เอาไฟล์ลา่ สุด
$vim /var/log/snort/barnyard.waldo
เพิมข้ อความด้ านล่างแล้ ว save และ exit:
• /var/log/snort
• snort.log
• <เลข 10 digit ทีได้ มาจากด้ านบน>
• 0
Start barnyard:
$/usr/local/bin/barnyard2 -c
/etc/snort/barnyard2.conf –G /etc/snort/genmsg.map -S /etc/snort/sid-msg.map -d
/var/log/snort –f snort.log -w
/var/log/snort/barnyard.waldo
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
119
(Network and Computer Security Specialist: NCS) ระดับที 3
13. ทดสอบ Snort
ให้ ลองทดสอบ Snort โดยการสร้ าง rule ในไฟล์ local.rules ซึงเป็ นไฟล์ที
อนุญาตให้ ผ้ ดู แู ลระบบสามารถสร้ าง rule เพิมได้ เองโดยให้ เริ มที SID (Snort ID) ที
1,000,000-1,999,999
เปิ ด CLI อันใหม่
$vim /etc/snort/rules/local.rules
เพิม “alert tcp any any <> any 80 (msg: "Test web activity";
sid:1000001;)” save และ exit
Restart Snort
เปิ ด web browser แล้ วเข้ า web อะไรก็ได้
ที CLI กด [ctrl] + c
ไปที http://localhost/base-1.4.3.1 และหา event การเข้ า web เมือกี G
ถ้ าพบ event ทีมี SID 1000001 แปลว่า snort ทํางานสําเร็ จ
$vim /etc/snort/rules/local.rules
disable “Test web activity” rule
4.3 Incident Response
กล่ าวนํา
คําว่า “incident หรื อ เกิดเหตุการณ์ทีเกียวข้ องกับความมัน คงปลอดภัย” เป็ นคําที
เห็นกันได้ บอ่ ย ๆ แต่ความหมายทีแท้ จริ งนันคื
G ออะไร
Incident คือเหตุการณ์ (event) ทีไม่พึงประสงค์ หรื อ กลุ่มของเหตุการณ์ ซึงมี
ผลกระทบต่อความปลอดภัย หรื อ ความสามารถขององค์ กรในการดําเนินธุรกิ จ คําจํากัด
ความดังกล่าวยังได้ นําไปยังคําอีกหนึง คําคือ “เหตุการณ์ (event)” ซึงหมายถึง การเกิดขึ Gนหรื อ
การเปลีย นแปลงที ส ามารถสัง เกตได้ สามารถทํ า เป็ นลายลัก ษณ์ อัก ษร ตรวจสอบ และ
วิเคราะห์ได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
120
(Network and Computer Security Specialist: NCS) ระดับที 3
เหตุการณ์ความปลอดภัยทางคอมพิวเตอร์ ได้ รวมถึง
-
ไวรั สและการโจมตีจากซอฟท์แวร์ ทีไม่ประสงค์ดีอืนๆ (Virus and other
malicious code attacks)
-
การโจมตีจากแฮกเกอร์ (Hacker attack)
-
การโจมตีจากผู้ก่อการร้ าย (Terrorist attack)
-
การโจมตีจากบุคคลภายในองค์กร (Insider attack)
-
ความผิดพลาดของพนักงาน (Employee error)
-
ข้ อ ผิ ด พลาดของซอฟต์ แ วร์ หรื อ ฮาร์ ด แวร์ (Hardware or software
malfunction)
บทนี Gจะกล่าวถึงขันตอนทั
G
ว ไปในการจัดการกับเหตุการณ์ทีเกียวข้ องกับความมัน คง
ปลอดภัย
• Incident Response Team
ในการจัดการกับเหตุการณ์ทเี กียวข้ องกับความมัน คงปลอดภัย จําเป็ นต้ องได้ รับ
ความร่วมมือกันจากหลายส่วนงาน เพือทีจะสามารถทําให้ ระบบกลับมาใช้ งานตามปกติได้ เร็ ว
ทีสดุ ลดความเสียหายให้ มากทีสดุ นอกจากนันยั
G งสามารถช่วยในการวางแผนและเตรี ยมการ
เพือป้องกันได้ อีกด้ วย
หน่วยงานทีเกียวข้ องกับการจัดการกับเหตุการณ์ทเี กียวข้ องกับความมัน คงปลอดภัย มีดงั นี G
-
หน่วยงานรักษาความปลอดภัยสารสนเทศ
-
หน่วยงานดูแลระบบ (System administration)
-
หน่วยงานดูแลเครื อข่าย (Network administration)
-
Helpdesk
-
หน่วยงานดูแลเครื องของผู้ใช้ งาน
-
หน่วยงานตรวจสอบภายใน
-
หน่วยงานทางด้ านกฎหมาย
-
หน่วยงานทางด้ านทรัพยากรบุคคล
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
121
(Network and Computer Security Specialist: NCS) ระดับที 3
กระบวนการในการจัดการเหตุการณ์ ท เี กียวข้ องกับความมันคงปลอดภัย
กระบวนการ (Process) ในการจัดการเหตุการณ์ทเี กียวข้ องกับความมัน คงปลอดภัย
สามารถแบ่งออกได้ เป็ น 6 ขันตอนหลั
G
ก ดังนี G
รับแจ้ งเหตุการณ์
เป็ นกระบวนการรับแจ้ งเหตุการณ์ ทังจากทางผู
G
้ ใช้ งาน ผู้ดแู ลระบบ ซึงเมือได้ รับแจ้ ง
มาแล้ ว ต้ องมีการวิเคราะห์ในเบื Gองต้ นว่าเหตุการณ์ดงั กล่าวเป็ น incident หรื อไม่ จากนันให้
G
ลําดับความสําคัญ ระดับความเสีย ง และจัดเตรี ยมข้ อมูลเพือใช้ ตอ่ ในขันตอนต่
G
อๆไป
การแจ้ งเตือน
ก่อนทีจะมีการจัดการกับเหตุการณ์ จะต้ องมีการแจ้ งเตือนไปทีหน่วยงานทีเกียวข้ อง
ซึง การแจ้ งเตือนนี Gอาจทําโดยระบบอัตโนมัติจากโปรแกรมทีใช้ ตรวจจับสิง ผิดปกติในระบบ เช่น
Firewall, Network monitoring หรื อ IDS/IPS แต่อย่างไรก็ตามคนยังคงเป็ นผู้ทีตดั สินใจ ว่า
เหตุการณ์ทีเกิดขึ Gน เป็ น incident หรื อไม่ ข้ อเสียทีสาํ คัญของโปรแกรมทีใช้ ตรวจจับสิงผิดปกติ
หรื อเฝ้ าระวัง คือมักจะเกิดความผิดพลาด (false-positive) มาก
การรับมือ/จัดการ
เมือทราบแล้ วว่าเหตุการณ์ดงั กล่าว (event) เป็ นเหตุการณ์ทีเกียวข้ องกับความมัน คง
ปลอดภัย (incident) จริ ง ทีมทีจดั การกับเหตุการณ์จะต้ องลงมือแก้ ไขปั ญหาอย่างรวดเร็ วและ
อย่า งถูก ต้ อ ง เป็ นขันG เป็ นตอนเพื อลดผลกระทบต่อ ธุ ร กิ จ ขององค์ ก รให้ ไ ด้ ม ากทีสุด ซึง ใน
ขันตอนนี
G
Gแบ่งออกเป็ นขันตอนย่
G
อย 3 ขันตอน
G
ได้ แก่
1. ตีกรอบ/ปิ ดล้ อม
เป็ นการระงับการแพร่ ขยายของผลกระทบทีกําลังเกิดขึ Gน เช่น หากพบว่ามี
การติดไวรัสที server หนึง สิงทีต้องทําคือ ให้ ถอดสาย LAN ออกจากเครื องนันก่
G อน
เพือป้องกันไม่ให้ ไวรั สแพร่ กระจายต่อ แต่ในความเป็ นจริ งอาจยากกว่าทีคิดหาก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
122
(Network and Computer Security Specialist: NCS) ระดับที 3
server ตัวนันเป็
G น web server ทีให้ บริ การ Internet banking เราก็ไม่สามารถทีจะ
ดึงสาย LAN ออกได้ ทนั ที จะต้ องใช้ วิธีอืนทีสง่ ผลกระทบต่อธุรกิจน้ อยทีสดุ
2. วิเคราะห์
วิเคราะห์ incident อย่างละเอียดและมากทีสดุ จาก log ทีเกิดขึ Gนจาก
อุปกรณ์ ต่างๆ เพือให้ สามารถแก้ ไขปั ญหาได้ ตรงจุด และในบางครั งG อาจต้ องให้
ผู้บริ หารเป็ นผู้ตดั สินใจในการเลือกวิธีการแก้ ไขปั ญหา นอกจากนี Gผู้วิเคราะห์ต้องมี
การบันทึกข้ อมูล หลักฐานต่างๆทีใช้ ในการวิเคราะห์อย่างละเอียดพอ แต่เป็ นไปตาม
กฎของ chain of custody เพือให้ หลักฐานไม่ถกู เปลียนแปลงระหว่างการวิเคราะห์
ซึงเป็ นผลทําให้ การวิเคราะห์แม่นยําและได้ รับความเชือถือยอมรับ และในบางกรณี
อาจต้ องส่งให้ หน่วยงานทางด้ านนิติวิทยาศาสตร์ ทางด้ านคอมพิวเตอร์ (Computer
Forensic) ช่วยทําการวิเคราะห์ร่วมด้ วย
ข้ อมูลทีต้องมีการบันทึก ประกอบด้ วยข้ อมูลดังต่อไปนี G
-
ใคร
-
ทําอะไร
-
ทีไหน
-
เมือไหร่
-
เพราะอะไร
-
อย่างไร
3. แกะรอย
เพือค้ นหาต้ นตอของ incident ทีเกิดขึ Gน ซึงรวมถึง IP ของเครื องต้ นทาง,
domain name, MAC address หรื อ hostname ซึง วิธีทีใช้ ในการแกะรอยมีได้ หลาย
รู ปแบบขึ Gนอยู่กบั incident ทีเกิดขึ Gน โดยมากเราจะเริ มการแกะรอยได้ ที log ของ
อุปกรณ์ตา่ งๆ เช่น firewall, router, หรื อ IDS
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
123
(Network and Computer Security Specialist: NCS) ระดับที 3
การทีจะแกะรอยการบุกรุ กไปจนถึงต้ นตอได้ นนั G ส่วนใหญ่มกั ต้ องขอความ
ร่วมมือจากหลายฝ่ ายทีดแู ลอุปกรณ์ระหว่างทางจากต้ นตอ จนถึงจุดหมายหรื อเครือง
ทีถกู โจมตี ซึง ในหลายครังG ต้ องมีผ้ ใู ห้ บริ การ Internet (ISP) มาร่ วมด้ วย ซึงในจุดนี Gจะ
ทําให้ ระยะเวลาในการวิเคราะห์นานมากขึ Gน
การแกะรอย สามารถแบ่งออกได้ เป็ น 2 รูปแบบด้ วยกัน ได้ แก่
-
แบบโดยตรง คือการโจมตียงั ไม่หยุด ผู้ตรวจสอบสามารถวิเคราะห์
เหตุการณ์ ได้ แบบ real time ทําให้ ได้ ข้อมูลในการวิเคราะห์ ที
สมบูรณ์มาก แต่อย่างไรก็ตามโปรดอย่าลืมว่า IP ต้ นทางทีเห็นอยู่
นันอาจถู
G
กปลอมแปลงมาได้ (spoofed)
-
แบบทางอ้ อม ซึงตรงข้ ามกัน การโจมตีได้ หยุดไปแล้ ว ผู้ตรวจสอบ
จะต้ องนํา log จากอุปกรณ์ ต่างๆมาประติดประต่อกันเพือค้ นหา
วิธีการโจมตีเอง และสิง ทีสาํ คัญคือ นาฬกิ าของอุปกรณ์และ server
ต่างๆต้ องตรงกัน เพือให้ สามารถจัดลําดับเหตุการณ์ได้ ถกู ต้ อง
ติดตามผล
การติดตามผลเป็ นขันตอนที
G
สําคัญ มีจุดประสงค์เพือให้ มีการพัฒนาการจัดการกับ
incident ให้ ดียิงขึ Gน โดยแบ่งออกได้ เป็ น 2 ขันตอน
G
ได้ แก่
1. ซ่อมแซม และ กู้คืน
ระบบที ถูก บุก รุ ก จะต้ อ งได้ รั บ การกู้คื น (restore) จากข้ อ มูล สํา รองที
น่าเชือถือ เพือให้ มนั ใจได้ ว่าจะไม่มีร่องรอย หรื อโปรแกรมของ hacker หลงเหลืออยู่
สิง ทีสาํ คัญของขันตอนนี
G
Gคือ ต้ องรวดเร็ ว และทําระบบให้ กลับมาเหมือนเดิมทีสดุ
2. ป้องกัน
เพือให้ ไม่เกิ ด incident แบบเดิมซําG ขึนG อีก จะต้ องมีการวางแผนแก้ ไข
ปรับปรุ ง การควบคุมหรื อการป้องกัน และลงมือทําให้ เร็ วทีสดุ ไม่ว่าจะเป็ นการลง
patch หรื อ upgrade ระบบก็ตาม นอกจากนียG งั ต้ องมีการปรับเปลียนแก้ ไขระบบ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
124
(Network and Computer Security Specialist: NCS) ระดับที 3
ตรวจจับสิงผิดปกติให้ ดียิงขึ Gน ไม่ว่าเป็ น firewall IDS/IPS network monitoring หรื อ
ระบบตรวจจับไวรัส
บทสรุ ป
บทนี Gกล่าวถึงวิธีการในการจัดการและรับมือกับเหตุการณ์ทีเกียวข้ องกับความมัน คง
ปลอดภัย (incident) ซึง ได้ แก่
1. รับแจ้ ง
2. แจ้ งเตือน
3. รับมือ/จัดการ: ตีกรอบ, วิเคราะห์, แกะรอย
4. การติดตามผล: ซ่อมแซมและกู้คืน, ป้องกัน
โดยมีวตั ถุประสงค์เพือทําให้ การทํางานของธุรกิจกลับมาเป็ นปกติให้ เร็ วทีสดุ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
125
(Network and Computer Security Specialist: NCS) ระดับที 3
บรรณานุกรมท้ ายบทที 4
[1]. เอกสารฝึ กอบรม หลักสูตรผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและ
คอมพิวเตอร์ ระดับที 3 (NCS3) รุ่นที 1
[2]. ธวัชชัย ชมศิริ, ปลอดภัยของระบบเครื อข่ายคอมพิวเตอร์ , มกราคม 2553
[3]. สานนท์ ฉิมมณี, ตําราเรี ยนรู้เครื อข่ายคอมพิวเตอร์ ด้วยอูบนุ ตูและซิสโก้ , มกราคม 2553
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
126
(Network and Computer Security Specialist: NCS) ระดับที 3
บันทึก (Note)
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
127
บทที 5
การออกแบบระบบการรั กษาความปลอดภัย
(Designing Securities)
ในบทนี Gจะกล่าวถึงเรื องเกียวกับการออกแบบและการติดตังระบบการรั
G
กษาความ
ปลอดภัยต่างๆ
5.1 การออกแบบและติดตัง( ไฟร์ วอลล์ (Designing and Configuring
Firewalls)
ไฟร์ วอลล์ (Firewall) หากจะแปลตรงตัวจะแปลว่ากําแพงไฟ แต่แท้ ทีจริ งแล้ วอุปกรณ์
ไฟร์ วอลล์ทําหน้ าทีเป็ นเสมือนกําแพงทีมีไว้ เพือป้องกันไฟ ส่วนสาเหตุทีทําไมสัญลักษณ์ของ
ไฟร์ วอลล์จึงเป็ นกําแพงอิฐสีส้ม เนืองจากว่าสิงปลูกสร้ างต่างๆ มักจะนิยมทําด้ วยอิฐเพือแยก
ส่วนต่างๆ ของสิง ปลูกสร้ างออกจากกัน เพือทีว่าในเวลาทีเกิดไฟไหม้ ไฟจะได้ ไม่ลกุ ลามไปถึง
สิงก่อสร้ างในส่วนอืนๆ ตามศัพท์บญ
ั ญัติจะแปลไฟร์ วอลล์ว่าเป็ นด่านกันการบุกรุ ก อุปกรณ์
ไฟร์ วอลล์สามารถแบ่งได้ เป็ นสองประเภทได้ แก่ แบบซอฟต์แวร์ หรื อแบบฮาร์ ดแวร์ ในระบบ
เครื อข่าย ทังสองแบบนี
G
Gทําหน้ าทีเป็ นตัวกรองข้ อมูลสือ สารระหว่างเขตต่างๆ ก า ร อ อ ก แ บ บ
นโยบายของไฟร์ วอลล์ จะต้ องสัมพันธ์กบั พอร์ ต (Port) ทีสาํ คัญดัง ตารางที 5.1
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
หมายเลขพอร์ ต
โปรโตคอล
128
ICMP / TCP / UDP
7
Echo
ICMP
20
File Transfer [Default Data] (FTP)
TCP
21
File Transfer [Control] (FTP)
TCP
22
Secure Shell (SSH)
TCP / UDP
23
Telnet
TCP
25
Simple Mail Transfer Protocol (SMTP)
TCP
53
Domain Name Services (DNS)
UDP / TCP
80
Hypertext Transfer Protocol (HTTP)
TCP
110
Post Office Protocol Version 3 (POP3)
TCP
143
Internet Message Access Protocol (IMAP) TCP / UDP
161
Simple Network Management Protocol UDP
(SNMP)
443
HTTPS
TCP
3306
MYSQL
TCP / UDP
ตารางที 5.1 แสดงค่า Well-know Port
5.1.1 การแบ่ งประเภทของไฟร์ วอลล์ ตามลักษณะการทํางาน
การแบ่งประเภทตามการทํางานของไฟร์ วอลล์โดยทัว ไปจะถูกแบ่งออกเป็ น 3
ประเภทคือ Network Level Firewall, Circuit-Level Firewall และ Application Level
Firewall
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
129
• Network Level Firewall
เรี ยกอีกอย่างว่า Packet Filter โดยจะพิจารณาจากข้ อมูลในส่วนทีอยู่ใน
เฮดเดอร์ (header) ของแพ็กเก็ตทีผ่านเข้ ามา เทียบกับกฎ (rules) ทีกําหนดไว้ และตัดสินว่า
ควรจะทิ Gง (drop) แพ็กเก็ตนันไปหรื
G
อว่าจะยอม (accept) ให้ แพ็กเก็ตนันผ่
G านไปได้ ซึงมี
หลักการทํางานเหมือนกับเร้ าเตอร์ โดยทัว ไปเพียงแต่เป็ นการหาเส้ นทางและส่งต่อ (route)
อย่างมีเงือนไข การทํางานของไฟร์ วอลล์ประเทนี Gจะอยูต่ งั แต่เลเยอร์ ทีสามถึงสี
การกรองข้ อมูลในเลเยอร์ สาม (Internet layer) จะพิจารณาจากฟิ ลด์ (filed) ต่างๆ ดังนี G
-
ไอพีต้นทาง
-
ไอพีปลายทาง
-
ชนิดของโปรโตคอล (TCP UDP และ ICMP)
การกรองข้ อมูลในเลเยอร์ สี (Transport layer) จะพิจารณาจากฟิ ลด์ (filed) ต่างๆ ดังนี G
-
พอร์ ตต้ นทาง
-
พอร์ ตปลายทาง
-
แฟล็ก (Flag ซึง จะมีเฉพาะในเฮดเดอร์ ของแพ็กเก็ต TCP)
-
ชนิดของ ICMP message (ในแพ็กเก็ต ICMP)
ซึง พอร์ ตของทรานสปอร์ ตเลเยอร์ คือทังG TCP และ UDP นันจะเป็
G
นสิงทีบอกถึงแอพ
พลิเคชันทีแพ็กเก็ตนันต้
G องการติดต่อด้ วยเช่น พอร์ ต 22 หมายถึง SSH, พอร์ ต 23 หมายถึง
Telnet เป็ นต้ น ดังนันเมื
G อ Packet Filter พิจารณาเฮดเดอร์ จึงทําให้ สามารถควบคุมแพ็กเก็ต
ทีมาจากทีต่างๆ และมีลกั ษณะต่างๆ (ดูได้ จากแฟล็กของแพ็กเก็ต หรื อ ชนิดของ ICMP ใน
แพ็กเก็ต ICMP) ได้ Packet Filtering สามารถอิมพลีเมนต์ (implement) ได้ จาก 2 แพล็ต
ฟอร์ ม คือ
1. เราเตอร์ ทีมีความสามารถในการทํา Packet Filtering (ซึงมีในเราเตอร์ สว่ น
ใหญ่อยูแ่ ล้ ว)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
130
2. คอมพิวเตอร์ ทีทําหน้ าทีเป็ นเราเตอร์ อย่างเช่น ลีนกุ ซ์เซิร์ฟเวอร์ ซึงสามารถ
ใช้ iptables ในการทํา Packet Filtering
5.1.2 การใช้ Access Control Lists (ACLs) ในการทําไฟร์ วอลล์
ในหัวข้ อนี Gจะกล่าวถึงการกําหนดนโยบาย (Policy) ทีนิยมใช้ กนั ในกรณีทีใช้ เรา
เตอร์ ของซิสโก้ ทําหน้ าทีของไฟล์วอลล์แบบ Packet filtering แนวคิดอย่างง่ายก็คือ เปิ ดเฉพาะ
พอร์ ต (Port) ทีจําเป็ นต้ องใช้ งานเท่านันG ส่วนพอร์ ตทีเหลือก็ให้ ปิดบริ การทังหมด
G
นโยบายในการเปิ ดพอร์ ตบริการในกรณีท ีไม่ มีเซิร์ฟเวอร์ อยู่ภายใน
Internet
192.168.1.2/24
192.168.1.3/24
F0/0:
192.168.1.1/24
รูปที 5.1 แสดงระบบเครื อข่าย
Router#conf t
Router(config)#access-list 102 permit tcp any any range 20 23
Router(config)#access-list 102 permit tcp any any eq 25
Router(config)#access-list 102 permit tcp any any eq 53
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
131
Router(config)#access-list 102 permit tcp any any eq 80
Router(config)#access-list 102 permit tcp any any eq 110
Router(config)#access-list 102 permit tcp any any eq 143
Router(config)#access-list 102 permit tcp any any eq 443
Router(config)#access-list 102 permit udp any any eq 53
Router(config)#access-list 102 permit udp any any eq 161
Router(config)#access-list 102 permit tcp any any eq 3306
Router(config)#access-list 102 permit icmp any any echo
Router(config)#access-list 102 deny ip any any
Router(config)#interface FastEthernet 0/0
Router(config-if)#ip access-group 102 in
นโยบายในการเปิ ดพอร์ ตบริการในกรณีท มี ีเซิร์ฟเวอร์ อยู่ภายใน
Web / FTP Server
203.144.8.2/24
Internet
DNS Server
203.144.8.3/24
Mail Server
203.144.8.4/24
eth2:
192.168.2.1/24
รูปที 5.2 แสดงระบบเครื อข่าย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
132
ในตัวอย่างนี Gจะมีเซิร์ฟเวอร์ (Server) อยูภ่ ายในเพือให้ บริ การดังรูปที
Router(config)#access-list 104 permit tcp host 203.144.8.2 eq 80 any
<สําหรับ Web Server>
Router(config)#access-list 104 permit tcp host 203.144.8.2 any
<สําหรับ FTP Server ไม่กําหนดพอร์ ตเพราะ FTP ไม่ใช่แค่ TCP 20-21>
Router(config)#access-list 104 permit tcp host 203.144.8. eq 53 any
<สําหรับ DNS Server : tcp>
Router(config)#access-list 104 permit udp host 203.144.8.196 eq 53 any
<สําหรับ DNS Server : udp >
Router(config)#access-list 104 permit tcp host 203.144.8.197 eq 25 any
<สําหรับ SMTP>
Router(config)#access-list 104 permit tcp host 203.144.8.197 eq 110 any
<สําหรับ pop3>
Router(config)#access-list 104 permit tcp host 203.144.8.197 eq 143 any
<สําหรับ imap>
Router(config)#access-list 104 deny ip any any
Router(config)#int f0
Router(config-if)#ip access-group 104 in
5.1.3 การใช้ iptables ในการทําไฟร์ วอลล์
ในบทนี Gจะเรี ยกการกําหนดนโยบาย (Policy) ผ่านการใช้ งาน iptable ว่าเป็ นกฎ
(rule) โดยทัว ไปใน iptables จะมีอยู่ 3 ตาราง ได้ แก่ ตาราง filter, nat และ mangle
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
133
[table]
ความหมาย
Filter
เป็ นตารางปริ ยาย (default table) ซึงจะมีให้ เลือกใช้ ได้ สาม
ส่วนคือ INPUT, FORWARD และ OUTPUT
Nat
เป็ นตารางที ใ ช้ เพื อ แปลงไอพี แ อดเดรสตามวิ ธี ก ารของ
โปรโตคอล Network Address Translation (NAT) ซึงจะมีให้
เลือกใช้ ได้ สามส่วนคือ , PREROUTING, POSTROUTING
และ OUTPUT
Mangle
เป็ นตารางทีใช้ สาํ หรับแพ็กเก็ตแบบพิเศษ (special packet)
ตารางที 5.2 แสดงความหมายของตารางใน iptable
แต่ในบทนี Gจะกล่าวถึงเฉพาะตารางแบบ filter ซึงในตารางนี Gจะมีนโยบาย (policy)
อยู่ 3 ส่วน คือ INPUT, FORWARD และ OUTPUT
Incoming Packet
Outgoing Packet
Routing
decision
Input Filter
Forward Filter
Local
Process
Output Filter
รูปที 5.3 แสดงลําดับการทํางานของตาราง filter ใน iptable
รูปแบบการใช้ งานมีดงั นี G
iptables [-t table] command [match] [target/jump]
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
134
[table] หมายถึง การระบุถึงตารางทีต้องการจะใช้ งาน
[filter table]
ความหมาย
INPUT
แพ็กเก็ตทีวิงเข้ ามายังลีนกุ ซ์เซิร์ฟเวอร์ จะต้ องผ่านนโยบายหรื อ
กฏของ input filter ก่อน
FORWARD
แพ็กเก็ตทีวิงผ่านลีนกุ ซ์เซิร์ฟเวอร์ จะต้ องผ่านนโยบายหรื อกฏ
ของ forward filterก่อน
OUTPUT
แพ็กเก็ตทีวิงออกจากลีนกุ ซ์เซิร์ฟเวอร์ จะต้ องผ่านนโยบายหรื อ
กฏของ output filter ก่อน
ตารางที 5.3 แสดงความหมายการเลือกใช้ ตาราง filter
G งไม่ต้องระบุการ
หมายเหตุ เนืองจากตาราง filter เป็ นตารางปริ ยาย (default table) ดังนันจึ
เรี ยกใช้ ดงั ตัวอย่างในหัวข้ อ 5.3.1
command หมายถึง คําสัง ทีใช้ ในการกําหนดให้ iptable ทํางานตามนโยบาย (policy)
command ความหมาย
-A
เพิมกฎ (rule) ใหม่ตอ่ ท้ าย chain เดิม (A = Append)
-D
ลบกฎ (rule) ทีระบุออกจาก chain โดยต้ องระบุถึงกฎ (D = Delete)
-l
เพิมกฎ (rule) ใหม่โดยแทรกไปอยูใ่ นตําแหน่งทีระบุใน chain
จะต่างจาก – A ทีไม่ต้องต่อท้ าย chain เดิม (I = Insert)
-R
การแทนกฎเดิมตามตําแหน่งทีระบุ ด้ วยกฎใหม่ (R = Replace)
-L
แสดงกฎต่างใน chain ทีกําหนดไป (L = List)
-F
เพือลบกฎเดิมทังหมดออก
G
(F =Flush)
-Z
เพือใช้ ในการรี เซ็ตค่า byte Counter ให้ เป็ นศูนย์ สําหรับทุกกฎใน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
135
chain ทีระบุ
-N
เพือสร้ าง chain ขึ Gนมาใหม่ (N = New)
-P
เพือเปลีย นค่า default policy ของ chain ถ้ าแพ็กเก็ตไม่ตรง (match)
กับกฎใดๆ เลย แพ็กเก็ตนันจะถู
G กตัดสินโดยค่า default policy ของ
chain นันๆ
G
-E
เพือเปลีย นชือของ chain ใหม่ (E = Edit)
ตารางที 5.4 แสดงความหมายการเลือกใช้ ตาราง filter
[Match] หมายถึง การระบุถึงพารามิเตอร์ ซงึ เป็ นออบชัน (Option)
[match]
ความหมาย
- p [! ] protocol
การกําหนดโปรโตคอล อย่างเช่น TCP,UDP, ICMP
- s [! ] address การกําหนดไอพีแอดเดรสต้ นทาง ( s = source)
[/mask]
/mask
หมายถึ ง CIDR อย่ า งเช่ น /24
หมายถึ ง
255.255.255.0
- - sport [! ] [port การกําหนดหมายเลขพอร์ ตของต้ นทาง อย่างเช่น - [:port] ]
sport www, - - sport 1024: 2000
- d [! ] address การกํ า หนดไอพี แ อดเดรสปลายทาง
[/mask]
(
d
=
destination )
- - dport [! ] [port การกําหนดหมายเลขพอร์ ตของปลายทาง อย่างเช่น - [:port] ]
dport www, - - dport 1024: 2000
-F
เพือลบกฎเดิมทังหมดออก
G
(F =Flush)
-Z
เพือ ใช้ ในการรี เซ็ตค่า byte Counter ให้ เป็ นศูนย์ สําหรับ
ทุกกฎใน chain ทีระบุ
-N
เพือสร้ าง chain ขึ Gนมาใหม่ (N = New)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
-P
136
เพือเปลีย นค่า default policy ของ chain ถ้ าแพ็กเก็ตไม่
ตรง (match) กับกฎใดๆ เลย แพ็กเก็ตนันจะถู
G
กตัดสิน
โดยค่า default policy ของ chain นันๆ
G
-E
เพือเปลีย นชือของ chain ใหม่ (E = Edit)
ตารางที 5.5 แสดงความหมายการเลือกใช้ พารามิเตอร์ ของตาราง filter
การดูนโยบาย (Policy) หรือกฏ (Rule)
iptables –L
ใช้ –L ในการดูกฎทีกําหนดไว้
ตัวอย่างที 1 เป็ นการแสดงนโยบาย/กฏ ทีกําหนดไว้ ซึงเริ มต้ นจะไม่มีกฎใดๆ ถูกกําหนดไว้ ใน
ทังสามส่
G
วน
sanon@sanonlaptop:~$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source
destination
Chain FORWARD (policy ACCEPT)
target prot opt source
destination
Chain OUTPUT (policy ACCEPT)
target prot opt source
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
destination
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
137
การเพิมนโยบายหรือกฏ
iptables –A
ใช้ –A ในการเพิมกฎ
ตัวอย่างที 1 เป็ นการปฎิเสธไม่ให้ แพ็กเก็ตทีมีหมายเลขไอพีต้นทาง 10.10.2.2 วิงผ่านเข้ ามายัง
ลีนกุ ซ์เซิร์ฟเวอร์
iptables –A INPUT –s 10.10.2.2 –j DROP
-A
เป็ นการเพิมกฎต่อท้ าย
INPUT เป็ นการระบุวา่ เป็ นกฎทีใช้ ในส่วนของ INPUT
-s
เป็ นการระบุหมายเลขไอพีต้นทาง
-j
เป็ นการระบุไปยังการกระทําทีต้องการ
DROP เป็ นการปฎิเสธไม่ให้ แพ็กเก็ตผ่าน ซึง คือการโยนแพ็กเก็ตทิ Gงนันเอง
G
ตัวอย่างที 2 เป็ นการปฎิเสธไม่ให้ แพ็กเก็ตทีมีหมายเลขไอพีต้นทาง 10.10.2.2 และต้ องการใช้
WWW ของลีนกุ ซ์เซิร์ฟเวอร์ สามารถวิงผ่านเข้ ามายังลีนกุ ซ์เซิร์ฟเวอร์ ได้
(นั G น ค ว า ม
หมายความว่าถ้ าเป็ นแพ็กเก็ตทีมีหมายเลขไอพีต้นทางเท่กบั 10.10.2.2 และต้ องการใช้ บริ การ
อืน อย่างเช่น Telnet ก็จะไม่ถูกปฎิเสธด้ วยกฎข้ อนี)G นอกจากนี Gจะมีข้อความ ICMP ตอบ
กลับไปยังต้ นทางว่า “Could not open connection to the host, on port 80: Connect
failed.”
iptables –A INPUT –s 10.10.2.2 –p tcp –dport 80 j REJECT
-A
เป็ นการเพิมกฎต่อท้ าย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
138
INPUT เป็ นการระบุวา่ เป็ นกฎทีใช้ ในส่วนของ INPUT
-s
เป็ นการระบุหมายเลขไอพีต้นทาง
-p
เป็ นการระบุโปรโตคอล
-d
เป็ นการระบุหมายเลขพอร์ ตปลายทาง
REJECT เป็ นการปฎิเสธไม่ให้ แพ็กเก็ตผ่าน แต่มีการส่ง ICMP แพ็กเก็ตกลับไปยังต้ น
ทาง
การลบนโยบายหรือกฏ
iptables –D
ใช้ –D ในการเลือกลบกฎ
iptables –F
ใช้ –F ในการลบกฎทังหมด
G
ตัวอย่างที 1 เป็ นการลบกฎของ การปฎิเสธไม่ให้ แพ็กเก็ตทีมีหมายเลขไอพีต้นทาง 10.10.2.2
วิงผ่านเข้ ามายังลีนกุ ซ์เซิร์ฟเวอร์
iptables –D INPUT –s 10.10.2.2 –j DROP
ตัวอย่างที 2 เป็ นการลบกฎของ การปฎิเสธไม่ให้ แพ็กเก็ตทีมีหมายเลขไอพีต้นทาง 10.10.2.2
และต้ องการใช้ WWW ของลีนกุ ซ์เซิร์ฟเวอร์ สามารถวิงผ่านเข้ ามายังลีนกุ ซ์เซิร์ฟเวอร์ ได้
iptables –D INPUT –s 10.10.2.2 –p tcp –dport 80 j REJECT
5.1.4 การใช้ iptables ในการทําไฟร์ วอลล์ แบบ Statefull
การทํางาน ไฟร์ วอลล์แบบ statefull ก็คือ การตรวจสอบและติดตามแพ็กเก็ต
แบบ Stateful Packet Inspection (SPI) ทําให้ เป็ นการยากทีผ้ บู กุ รุ ก (Hacker / Cracker) จะ
ทําการสวมรอยหรื อปลอมตัวผ่านเข้ ามาในระบบ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
139
ตัวอย่าง
1) อนุญาตให้ แพ็กเกตทีเกี ยวข้ องกับการเชื อมต่อทีมีอยู่แล้ วเท่านันG จะ
สามารถผ่านเข้ ามาภายในได้
2) อนุญ าตให้ บริ ก าร FTP
192.168.4.0/24
ที ม าจากต้ น ทางใด ๆ มายัง ปลายทาง
สามารถผ่ า นเข้ ามาภายในได้ พร้ อมทังG มี ก าร
ตรวจสอบแฟล็ก SYN
3) อนุญาตให้ บริ การ FTP การเชื อมต่อทีมีอยู่แล้ วเท่านันG สามารถผ่าน
ออกไปภายนอกได้
Source
Destination
Service
Port
Action
Any
Drop
Any
Accept
INPUT Filter
Any
192.168.4.0/24 new
connection
Any
192.168.4.0/24 established,
related
OUTPUT Filter
192.168.4.0/24 any
FTP
21
Accept
192.168.4.0/24 any
SSH
22
Accept
192.168.4.0/24 any
Telnet
23
Accept
192.168.4.0/24 any
HTTP
80
Accept
ตารางที 5.6 แสดงนโยบาย
iptables -A INPUT -m state --state NEW -j DROP
# แพ็กเกตใหม่ซงึ ไม่เกียวข้ องกับการเชือมต่อทีมีอยูแ่ ล้ วจะไม่อนุญาตให้ ผา่ น Input Filter
effect to new session of ping, telent, ftp, ssh and other cann’t connect see detail in
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
140
G:\book\ubuntu_cisco_networking\ubuntu_cisco_b5_4\part2_security_ch11\log_iptab
les\telnet_log
iptables -A INPUT -m state --state NEW -i eth0 -j DROP
# แพ็กเกตใหม่ซงึ ไม่เกียวข้ องกับการเชือมต่อทีมีอยูแ่ ล้ วจะไม่อนุญาตให้ ผา่ น Input Filter
iptables -A OUTPUT -o eth1 -s 192.168.4.0/24 -d 0/0 -j ACCEPT
# แพ็กเกตทีมาจาก 192.168.4.0/24 ไปยังปลายทางใดๆ จะสามารถผ่าน Output Filter ของ
อินเตอร์
เฟซ eth1 ได้
iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
# แพ็กเกตทีเกียวข้ องกับการเชือมต่อทีมีอยูแ่ ล้ ว จะสามารถผ่าน Input Filter ได้
iptables -A INPUT -i eth1 -p tcp --tcp-flags ALL SYN -s 0/0 -d 192.168.4.0/24 --dport
21 -j
ACCEPT
# แพ็กเกตแบบ TCP ทีมาจากต้ นทางใดๆ ไปยังปลายทาง192.168.4.0/24 โดยใช้ พอรต์ 21
จะสามารถ
ผ่าน Input Filter ของอินเตอร์ เฟซ eth1 ได้ และมีการตรวจสอบแฟล็ก SYN
iptables -A OUTPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
# แพ็กเกตทีเกียวข้ องกับการเชือมต่อทีมีอยูแ่ ล้ ว จะสามารถผ่าน Output Filter ได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
141
แบบฝึ กหัด
เว็บเซิร์ฟเวอร์
sonetigc
10.10.4.8/24
Ethernet Switch
10.10.4.9/24
รูปที 5.4 แสดงการเชือมต่อของระบบเครื อข่ายคอมพิวเตอร์
1. จากรู ปที 5.4 ต้ องการให้ เครื อง 10.10.4.9 ไม่สามารถแสดงหน้ าเว็บเพ็จของเว็บ
เซิร์ฟเวอร์ 10.10.4.8 ได้
sanon@sonetigc:~$ ifconfig
eth0
Link encap:Ethernet HWaddr 00:11:25:B2:37:91
inet addr:10.10.4.8 Bcast:10.10.255.255 Mask:255.255.0.0
inet6 addr: fe80::211:25ff:feb2:3791/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:110 errors:0 dropped:0 overruns:0 frame:0
TX packets:31 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:7926 (7.7 KiB) TX bytes:4467 (4.3 KiB)
Base address:0x7000 Memory:d0220000-d0240000
sanon@sonetigc:~$ sudo iptables -L
Password:
Chain INPUT (policy ACCEPT)
target prot opt source
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
destination
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
142
Chain FORWARD (policy ACCEPT)
target prot opt source
DROP
0 -- anywhere
destination
anywhere
Chain OUTPUT (policy ACCEPT)
target prot opt source
destination
sanon@sonetigc:~$ sudo iptables -A OUTPUT -p tcp --dport 80 -j REJECT
sanon@sonetigc:~$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source
destination
Chain FORWARD (policy ACCEPT)
target prot opt source
DROP
0 -- anywhere
destination
anywhere
Chain OUTPUT (policy ACCEPT)
target prot opt source
REJECT tcp -- anywhere
destination
anywhere
tcp dpt:www reject-with icmp-
port-unreachable
2. จากรู ปที 5.4 ต้ องการให้ เครื อง 10.10.4.9 ไม่สามารถแสดงหน้ าเว็บเพ็จของเว็บ
เซิร์ฟเวอร์ 10.10.4.8 ได้ แตให้ มีข้อความปรากฎกลับไปดังนี G “Unable to connect”
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
143
sanon@sonetigc:~$ sudo iptables -F
sanon@sonetigc:~$ sudo iptables -A INPUT -p tcp -s 10.10.4.9 --dport 80 -j REJECT
sanon@sonetigc:~$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source
destination
REJECT tcp -- testdesktop.local anywhere
tcp dpt:www reject-with icmp-
port-unreachable
Chain FORWARD (policy ACCEPT)
target prot opt source
destination
Chain OUTPUT (policy ACCEPT)
target prot opt source
destination
sanon@sonetigc:~$
3. จากรู ปที 5.4 ต้ องการให้ เครื อง 10.10.4.9 ไม่สามารถ telnet มายังเว็บเซิร์ฟเวอร์
10.10.4.8 ได้
sanon@sonetigc:~$ ps -ef | grep telnet
113
6965 5170 0 17:45 ?
00:00:00 in.telnetd: 10.10.4.9
sanon 7018 6007 0 17:46 pts/0 00:00:00 grep telnet"
แสดงให้ ดวู า่ ก่อนกําหนดกฎสามารถ Telnet ได้
sanon@sonetigc:~$ sudo iptables -A INPUT -p tcp -s 10.10.4.9 --dport 23 -j DROP
sanon@sonetigc:~$ sudo iptables -L
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
144
Chain INPUT (policy ACCEPT)
target prot opt source
REJECT
destination
tcp -- 10.10.4.9
anywhere
tcp dpt:www reject-with icmp-
port-unreachable
DROP
tcp -- 10.10.4.9
anywhere
tcp dpt:telnet
Chain FORWARD (policy ACCEPT)
target prot opt source
destination
Chain OUTPUT (policy ACCEPT)
target prot opt source
destination
sanon@sonetigc:~$
ผลลัพธ์ทีเครื อง 10.10.4.9 แสดงข้ อความว่า
“cannot login "Connecting to 10.10.4.8 ....Could not open connection to the host, on
port 23:Connect failed"
5.2 การออกแบบระบบความปลอดภัยในแลน (Designing Local
Network Security)
ในสมัยก่อนการดักจับแพ็กเก็ต (Packet) ในวงแลน (LAN) สามารถทําได้ โดยง่าย
เนืองจากจุดศูนย์กลางของการเชือมต่อคอมพิวเตอร์ เข้ าด้ วยกันจะใช้ ฮบั (Hub) อุปกรณ์ฮบั จะ
ทํางานในเลเยอร์ ที 1 ดังนันแพ็
G กเก็ตทีเกิดจากเครื องคอมพิวเตอร์ ทีเชือมต่ออยู่กบั ฮับจึงส่งถึง
กันหมด นี Gจึงเป็ นสาเหตุให้ คอมพิวเตอร์ ทีใช้ โปรแกรมประเภทการจับแพ็กเก็ตหรื อทีเรี ยกกันว่า
Sniffer ซึงต่ออยู่กบั เครื อข่ายผ่านฮับ จะสามารถจับแพ็กเก็ตทังหมดในเครื
G
อข่ายนันได้
G แต่ใน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
145
ปั จจุบนั นี Gอุปกรณ์ฮบั ถูกแทนทีด้วยอุปกรณ์สวิทซ์ (Ethernet Switch) ซึง ทํางานในเลเยอร์ ทีสอง
ซึงการส่งข้ อมูลภายในสวิทซ์จะใช้ ตารางบริ จด์ (Bridge Table) เพือแมปปิ ง (Mapping)
ระหว่างพอร์ ต (port) ของสวิทซ์และค่า Mac Address ของเครื องคอมพิวเตอร์ ทีต่ออยู่กับ
พอร์ ตของสวิทซ์ มีผลทําให้ การส่งแพ็กเก็ตจะส่งระหว่างกันเพียงแค่ต้นทางกับปลายทางใน
กรณีทีเป็ นการส่งแบบ Unicast ดังนันจึ
G งทําให้ คอมพิวเตอร์ ทีใช้ โปรแกรม Sniffer (อย่างเช่น
โปรแกรม Sniffer pro, Wireshark) ไม่สามารถดักจับแพ็กเก็ตของคอมพิวเตอร์ ในเครื อข่าย
เดียวกันได้ นี Gจึงเป็ นเหตุผลหนึงของการเกิดวิธีการทีเรี ยกว่า ARP Spoofing ซึงจะกล่าวต่อใน
หัวข้ อถัดไป
5.2.1 การแกะแพ็กเก็ตเพืออ่ านข้ อมูล (Packet Sniffer)
โดยทัว ไปเราสามารถดักจับแพ็กเก็ตและแกะอ่านได้ ใช้ โปรแกรม Sniffer ทําให้
ข้ อมูลในแพ็กเก็ตทีเป็ นความลับอย่างเช่น รหัสผ่านถูกเปิ ดเผยได้ ดังเช่น ตัวอย่างในรูปที 5.1
FTP Client
192.168.14.22 / 24
FTP Server
192.168.14.8 / 24
Hub
Sniffer Computer
192.168.14.2 / 24
รูปที 5.5 แสดงการเชือมต่อของระบบเครื อข่ายคอมพิวเตอร์
คอมพิวเตอร์ ทงหมดถู
ัG
กเชือมต่อด้ วยกันโดยใช้ ฮบั (Hub) FTP Client ต้ องการ
ใช้ บริ การ FTP จากเซิร์ฟเวอร์ FTP จึงมีการส่งแพ็กเก็ตทีเป็ นข้ อมูลในการล็อคอิน (Login) ซึง
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
146
ประกอบไปด้ วยยูสเซอร์ เนม (Username) และรหัสผ่าน (Password) ไปยังเซิร์ฟเวอร์ ใน
ขณะเดียวกันคอมพิวเตอร์ อีกตัวหนึง ซึง เชือมต่อกับฮับได้ เปิ ดโปรแกรม sniffer และสามารถดัก
จับแพ็กเก็ต พร้ อมทังแกะข้
G
อมูลในแพ็เก็ตอ่านได้ ทงยู
ั G สเซอร์ เนม และรหัสผ่าน ดังปรากฏในรู ป
ที 5.6 และ 5.7 ตามลําดับ
ข้ อมูลทีแกะได้
รูปที 5.6 แสดงข้ อมูลของแพ็กเก็ตในลําดับที 6 ซึง เป็ นข้ อมูลของยูสเซอร์ เนม
ในรูปที 5.6 แสดงข้ อมูลของแพ็กเก็ตในลําดับที 6 ซึง เป็ นข้ อมูลของยูสเซอร์ เนม
ทีใช้ ในการล็อคอินจาก FTP Client มายัง FTP Server เราจะพบว่ายูสเซอร์ เนมทีใช้ คือ peter
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
147
ข้ อมูลทีแกะได้
รูปที 5.7 แสดงข้ อมูลของแพ็กเก็ตในลําดับที 9 ซึง เป็ นข้ อมูลของรหัสผ่าน
ในรู ปที 5.7 แสดงข้ อมูลของแพ็กเก็ตในลําดับที 9 ซึงเป็ นข้ อมูลของรหัสผ่านที
ใช้ ในการล็อคอินจาก FTP Client มายัง FTP Server เราจะพบว่ารหัสผ่านทีใช้ คือ peter01
ดังนันG โปรโตคอล FTP, Telnet ซึงเป็ นโปรโตคอลพื Gนฐานซึงไม่มีการเข้ ารหัส (Encryption) จึง
ควรทีจะหลีกเลียงในการใช้ งาน เราจึงควรใช้ โปรโตคอลทีมีการเข้ ารหัส อย่างเช่น SSH แทน
Telnet เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
148
5.2.2 ARP SPOOFING
การโจมตีในแลน (LAN) ในปั จจุบนั นี Gจะใช้ การโจมตีแบบ ARP Spoof หรื อ
เรี ยกอีกชือว่า ARP Poision โดยอาศัยจุดอ่อนของโปรโตคอล ARP นันคื
G อ เริ มต้ นเครื องของผู้
โจมตี (Hacker / Cracker) การส่งค่าแพ็กเก็ต ARP ปลอมไปหลอกให้ เครื องเหยือเข้ าใจผิดคิด
ว่าหมายเลข MAC address ของเครื องผู้โจมตีเป็ นหมายเลข MAC address ของเครื องเกย
เวย (Gateway) ของแลน ดังนันG แพ็กเก็ตข้ อมูลของเครื องเหยือทีจะออกนอกวงแลนผ่านเกย
เวย์เพือท่องอินเตอร์ เน็ต ก็จะไหลผ่านเครื องของผู้โจมตี ซึงวิธีการดังกล่าวจัดว่าเป็ นรู ปแบบ
การโจมตีของ Man-In-The–Middle (MITM) เพืออ่านข้ อมูลทีรับส่งระหว่างเครื องเหยือและ
server ปลายทาง
ในตําราเล่มนี Gจะขอเรี ยกคอมพิวเตอร์ ทีตกเป็ นเป้าหมายของการโจมตีหรื อดัก
จับแพ็ กเก็ ต ว่าเป็ นคอมพิวเตอร์ เ หยือ (Victim Computer) และคอมพิว เตอร์ ปลายทางที
คอมพิว เตอร์ เ หยื อ ต้ องการที จ ะติ ด ต่อ ด้ ว ยจะถูกเรี ยกว่า คอมพิ ว เตอร์ ปลายทาง (Target
Computer) ซึงอาจจะเป็ นเซิร์ฟเวอร์ หรื อเราเตอร์ เกตเวย์ (Gateway) สําหรับคอมพิวเตอร์ ที
ต้ องการจะดักจับแพ็กเก็ตระหว่าง Victim และ Target จะถูกเรี ยกว่า Sniffer Computer
หลักการของวิธีค่อนข้ างง่ายนี Gก็คือ การหลอกให้ Victim เข้ าใจผิดว่าค่า Mac
Address ของ Sniffer Computer เป็ นค่า Mac Address ของ Target Computer เพียงแค่นี G
แพ็กเก็ตทีส่งจาก Victim Computer ก็จะไหลผ่านมาที Sniffer Computer ก่อนทังหมด
G
จากนันG Sniffer Computer ก็จะค่อยส่งแพ็กเก็ตเหล่านี Gต่อไปให้ กบั Target Computer ซึง
วิธีการนี Gจัดเป็ นรู ปแบบทีเรี ยกว่า Man In The Middle (MITM) ดังนันการดั
G
กจับแพ็กเก็ตเพือ
แกะดูข้อมูลอย่างเช่น รหัสผ่าน (password) จึงเกิดขึ Gนได้ รวมถึงการปลอมแปลงแพ็กเก็ตและ
โจมตี Target Computer ต่อในลําดับถัดไป ซึง ถือเป็ นอาชาญกรรมทางคอมพิวเตอร์
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
149
5.2.3 กลไกการทํางานของ ARP SPOOFING
กลไกการทํางานของ ARP Spoofing คือ การอาศัยจุดอ่อนของโปรโตคอล ARP
นันคื
G อว่า เมือใดก็ตามทีมีแพ็กเก็ต ARP reply ถูกส่งเข้ ามาทีคอมพิวเตอร์ ไม่ว่าจะส่งมาจาก
ใครก็ตาม เครื องคอมพิวเตอร์ ทีได้ รับแพ็กเก็ตนี Gจะทําการปรับปรุงค่าตาราง ARP (ARP Table)
ของตัวมันเอง โดยอัพเดต (update) Mac Address และค่า IP Address โดยไม่มีการ
ตรวจสอบใดๆ สมมุตอิ ย่างเช่น ในรูปที 5.8
Switch
IP
: 192.168.1.3/24
MAC : 00:0f:fe:de:fb:d8
Target Computer
IP
: 192.168.1.1/24
MAC : 00:0f:fe:df:23:1e
Sniffer
Computer
Victim
Computer
IP
: 192.168.1.2/24
MAC : 70-5a-b6-05-3b-b4
รูปที 5.4 แสดงการเชือมต่อของระบบเครื อข่ายคอมพิวเตอร์
รูปที 5.8 แสดงระบบเครื อข่ายเริ มต้ น คอมพิวเตอร์ Victim ส่งแพ็กเก็ต ARP request
ดังลําดับทีสองในรู ปที 5.8 ออก ไปเพือค้ นหาค่า Mac Address ของคอมพิวเตอร์ Target (ซึง
ในตัวอย่างนี G คอมพิวเตอร์ Target เป็ นเกตเวย์ของคอมพิวเตอร์ Victim) จากนันคอมพิ
G
วเตอร์
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
150
Target ทําการส่งแพ็กเก็ต ARP Reply กลับไปยังคอมพิวเตอร์ Victim ทําให้ คอมพิวเตอร์
Victim สามารถสร้ างตาราง ARP ของมันได้ ดงั ตารางที 5.7
รูปที 5.9 แสดงลําดับแพ็กเก็ตเพือ สร้ างตาราง ARP ของคอมพิวเตอร์ Victim โดยเริ มต้ น
Victim ส่งแพ็กเก็ต ARP request ออกไปในลําดับทีสอง
จากนันคอมพิ
G
วเตอร์ Target ส่ง ARP reply กลับมายัง Victim ในลําดับทีสาม
ตาราง ARP (ARP Table)
ของ Victim Computer
Victim Computer
IP address
MAC Address
192.168.1.1 00:0f:fe:df:23:1e
ตาราง ARP (ARP Table)
ของ Target Computer
Target Computer
IP address
MAC Address
192.168.1.2 00:0f:fe:de:fb:d8
ตารางที 5.7 แสดง ARP Table ก่อนถูกหลอกค่า Mac Address
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
151
คอมพิวเตอร์ Victim และ คอมพิวเตอร์ Target มีคา่ ตาราง ARP ตามตารางที 5.7 ซึง
เป็ นค่าทีถกู ต้ องทังคู
G ่ ถัดมาคอมพิวเตอร์ Sniffer ต้ องการจะหลอก คอมพิวเตอร์ Victim ว่าตัว
มันเป็ น คอมพิวเตอร์ Target มันจะทําการส่งแพ็กเก็ต ARP Reply ไปยัง คอมพิวเตอร์ Victim
โดยแพ็กเก็ต ARP Reply เป็ นดังรูปที 5.9
รูปที 5.10 แสดง ARP Table ก่อนถูกหลอกค่า Mac Address
เมือคอมพิวเตอร์ Victim ได้ รับแพ็กเก็ ต ARP Reply จากคอมพิวเตอร์ Sniffer
คอมพิวเตอร์ Victim ก็จะทําการอัพเด็ต (Update) ตาราง ARP ของมันดังตารางที 5.8 โดย
ปราศจากการตรวจสอบใดๆ นั นG หมายความว่ า คอมพิ ว เตอร์ Sniffer สามารถหลอก
คอมพิวเตอร์ Victim ได้ สาํ เร็ จ
ตาราง ARP (ARP Table)
ของ Victim Computer
ตาราง ARP (ARP Table)
ของ Target Computer
Victim Computer
Target Computer
IP address
MAC Address
192.168.1.1 00:0f:fe:de:fb:d8
IP address
MAC Address
192.168.1.2 00:0f:fe:de:fb:d8
ตารางที 5.8 แสดง ARP Table หลังจากถูกหลอกค่า Mac Address
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
152
5.2.4 การโจมตีของ ARP SPOOFING
นอกจากกลไกการทํางานของ ARP Spoofing จะหลอกให้ คอมพิวเตอร์ Victim
ส่งแพ็กเก็ตมาหาคอมพิวเตอร์ Sniffer ได้ แล้ ว ยังมีการนําหลักการนี Gไปใช้ ประยุกต์ในการโจมตี
เครื อง Victim อย่างเช่น ให้ ไม่สามารถเล่นอินเตอร์ เน็ตได้ โดยการส่งแพ็กเก็ต ARP ไปหลอก
เครื องของเหยือ ให้ เข้ าใจผิดคิดว่าหมายเลข MAC address ทีอาจจะสร้ างหลอกๆ ขึ Gนมาเอง
เป็ นหมายเลข MAC address ของเครื องเกยเวย (Gateway) ของแลน ดังนันG แพ็กเก็ตของ
เครื องเหยือทีต้องการจะออกนอกวงแลนผ่านเกยเวย์เพือท่องอินเตอร์ เน็ต ก็จะไหลไปไม่ถึง
เครื องเกตเวย มีผลให้ เครื องคอมพิวเตอร์ ในวงแลนไม่สามารถออกนอกวงแลนได้ โปรแกรม
ประเภทนี Gได้ ถูกนําไปใช้ ในหอพัก เพือทําให้ เครื องคอมพิวเตอร์ อืน ในหอพักซึงอยู่ในวงแลน
เดียวกันไม่สามารถท่องอินเตอร์ เน็ตได้ และก็จะมีเพียงเครื องของผู้โจมตี เท่านันที
G สามารถออก
นอกวงแลนเพือท่องอินเตอร์ เน็ตได้ ซึง ถือเป็ นการกระทําของผู้ทีมีความรู้แต่คณ
ุ ธรรมไม่สงู ตาม
การศึกษา
5.2.5 การป้องกันการโจมตีของ ARP SPOOFING
จากหัวข้ อทีผ่านมาเรารู้ ว่า ARP Spoofing ใช้ หลักการส่งแพ็กเก็ต ARP ปลอม
มาหลอกปรับปรุงค่าของหมายเลข MAC address ของเครื องเกตเวย์ในตาราง ARP ของเครื อง
ของเหยือ ดังนันเราเพี
G
ยงแค่ทําการกําหนดค่า MAC address ของเกตเวย์ในตาราง ARP
โดยตรงก็จะสามารถแก้ ปัญหานี Gได้ โดยง่าย
สําหรับเครืองระบบปฏิบัตกิ ารวินโดวส์ (Windows)
ให้ ใช้ คําสัง ดังนี G เพือกําหนดค่าของ IP Address กับ MAC Address
arp –s <IP address of Gateway> <MAC address of Gateway>
ในกรณีทีต้องการลบค่าทีกําหนดไว้ ให้ ใช้ คําสัง ดังนี G
arp –d
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
153
ในรู ป ที 5.11 หมายเลขไอพี แ อดเดรสและ MAC แอดเดรสของเกยเวย์ คื อ
192.168.14.22 และ 00-23-4d-0d-77-67 ตามลําดับ โดยใช้ คําสัง arp -s
รูปที 5.11 แสดงการกําหนดค่า MAC address เองเพือป้องกันการโจมตีแบบ ARP Spoofing
ในรู ปที 5.12 แสดงการเคลีย ร์ ค่า หมายเลขไอพี แอดเดรสและหมายเลข MAC
แอดเดรสในตาราง ARP โดยใช้ คําสัง arp –d
รูปที 5.12 แสดงการเคลียร์ คา่ ในตาราง ARP
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
154
สําหรับเครืองระบบปฎิบัติการลีนุกซ์ (Linux)
ใช้ คําสัง arp –s เหมือนกันเพียงแต่ว่าค่าหมายเลขแอดเดรส MAC จะต้ องใช้
เครื องหมายโคลอน “ : “ แทนเครื องหมายขีดกลาง “ – “ ในตัวอย่างข้ างต้ นนี Gจะใช้ คําสัง ดังนี G
arp –s 192.168.14.22 00:23:4d:0d:77:67
5.3 Designing Remote Security Solutions
โปรโตคอล AAA ประกอบไปด้ วยสามส่วน มีรายละเอียดดังนี G
ขัน( ตอนการตรวจสอบความถูกต้ อง (Authentication) คือการพิสจู น์ทราบตัวตน
เนืองจากการระบุตวั บุคคลนันจะต้
G
องใช้ กระบวนการพิสจู น์ ทราบตัวตนเพือให้ ทราบว่าเป็ น
บุคคลผู้นนจริ
ั G งหรื อไม่ ตัวอย่างเช่น การล็อกอินเข้ าสูเ่ ซิร์ฟเวอร์ ลนี กุ ซ์ ผู้ใช้ งาน (user) จะต้ องใช้
username และ password เพือเป็ นการพิสจู น์ทราบว่าเป็ นผู้ใช้ คนนันจริ
G งๆ
ขัน( ตอนการจัดการบัญชี (Account) คือการบันทึกข้ อมูลต่างๆ เกียวกับเวลาของ
การใช้ งาน อย่างเช่น เวลาเริ มต้ นของการล็อคอินและการบันทึกเวลาการหยุดใช้ งาน ส่วนใหญ่
จะนํามาใช้ ในการคิดค่าใช้ จ่ายในการใช้ ระบบ อย่างเช่น การคิดค่าบริ การแบบบัตรเติมเงิน
ขัน( ตอนการอนุ ญาตตามสิทธิ (Authorrization) คือการอนุญาติให้ เข้ าใช้ งานและ
ระดับสิทธิในการเข้ าถึง กล่าวคือหลังจากทีได้ มีการพิสจู น์ทราบตัวตน (Authentication) แล้ ว
เมือระบบได้ ตรวจสอบว่าผู้ใช้ นี Gมีอยูจ่ ริ ง ก็จะมีการให้ สทิ ธิ“แก่ผ้ ใู ช้ นนั G ซึ ง การให้ สิ ท ธิ“ ส ามารถ
แบ่งเป็ นหลายระดับได้ ตัวอย่างเช่น ผู้ใช้ นี Gมีอยู่จริ ง ก็จะมีการให้ สิทธิ“แก่ผ้ ใู ช้ นนั G ซึงการให้ สิทธิ“
สามารถแบ่งเป็ นหลายระดับได้ ตัวอย่างเช่น ผู้ใช้ ทีล็อกอินเข้ าเซิร์ฟเวอร์ ลีนกุ ซ์ หากเป็ นผู้ใช้
ระดับสูงสุด อย่างเช่น root ก็จะสามารถเปลียนแปลง/แก้ ไขข้ อมูลได้ ทงหมด
ัG
หากเป็ นผู้ใช้ ที
เป็ นยูสเซอร์ ทวั ไปอาจจะแก้ ไขข้ อมูลได้ เฉพาะในไดเรกทอรี โฮมของตัวเองเท่านันG
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
155
ในหัว ข้ อ ต่อ ไปนีจG ะกล่าวถึง วิธี การและคํ าสังของล็อ คอิ นหรื อเชื อ มต่อระบบจาก
ระยะไกล (Remote Sercurity) ได้ แก่ Radius และโปรโตคอล Telnet, SSH และ FTP
Radius ย่อมาจาก Remote Authentication Dial-In User Service ซึงเป็ น
โปรโตคอลสํา หรั บ การตรวจสอบความถูก ต้ อ ง การอนุญ าต และการจัดการบัญ ชี (AAA)
ระหว่างเซิร์ฟเวอร์ และเครื องลูกข่าย โปรโตคอลดังกล่าวจะถูกใช้ เมือเครื องลูกข่าย AAA dialup ล็อกอินหรื อล็อกเอาต์ จากเซิร์ฟเวอร์ การเข้ าใช้ เครื อข่าย โดยทัวไปแล้ ว ผู้ให้ บริ การ
อินเทอร์ เน็ต (ISP) จะใช้ เซิร์ฟเวอร์ RADIUS เพือดําเนินงาน AAA
5.3.1 คําสังเทลเน็ต (Telnet)
เป็ นโปรแกรมทีใช้ เพือการล็อคอิน (Login) เข้ าไปยังคอมพิวเตอร์ เครื องอืน
(Remote Login) บนระบบเครื อข่ายคอมพิวเตอร์ ก่อนทีจะเทลเน็ต (telnet) ไปยังคอมพิวเตอร์
เครื องอืนได้ นนั G จะต้ องมีบญ
ั ชีรายชือยูสเซอร์ (user account) บนคอมพิวเตอร์ เครื องอืนก่อน
เริ มต้ นเมือมีการเชือมต่อกับคอมพิวเตอร์ เครื องอืนแล้ วก็จะต้ องทําการล็อคอินโดยใส่ยสู -เซอร์
(user) และรหัสผ่าน (password) เพือเข้ าสูค่ อมพิวเตอร์ ของเครื องอืนนันเอง
G ผู้ทีมีสิทธิในการ
เพิมผู้ใช้ งานคือ root โดยใช้ คําสัง adduser สําหรับรูปแบบของการใช้ เทลเน็ต (telnet) คือ
$ telnet hostname (ชือหรื อไอพีแอดเดรสของคอมพิวเตอร์ )
ตัวอย่าง
c:\> telnet rsu.ac.th
# เป็ นการเปลีย นไปใช้ คอมพิวเตอร์ ชือ
rsu.ac.th
$ telnet 203.4.4.4
# เป็ นการเปลีย นไปใช้ คอมพิวเตอร์ ทีมี IP
เท่ากับ 203.4.4.4
$ telnet localhost
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
# เป็ นใช้ คอมพิวเตอร์ เครื องตัวเอง
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
$ exit
156
# ใช้ เพือทําการออกจากการเทลเน็ต
ตัวอย่าง
sanon@sonetigc:~$ exit
logout
Connection to 192.168.14.88 closed.
harry@rsu:~$
5.3.2 คําสัง SSH
ssh (Secure Shell) เป็ นโปรแกรมทีใช้ เพือการล็อกอิน (Login) เข้ าไปยัง
คอมพิวเตอร์ เครื องอืน (Remote Login) บนระบบเครื อข่ายคอมพิวเตอร์ เหมือนกับการเทลเน็ต
(telnet) แต่ว่ามีการเข้ ารหัส (Encryption) เพือรักษาความปลอดภัยในการ remote login จึง
นิยมใช้ กนั มากในปั จจุบนั รูปแบบของการใช้ งานของ ssh มีดงั นี G
$ ssh hostname (ชือ หรื อ ip address ของเซิร์ฟเวอร์ )
sanon@sonetigc:~$ ssh 192.168.14.88
The authenticity of host '192.168.14.88 (192.168.14.88)' can't be established.
RSA key fingerprint is b4:9d:8e:cd:3a:0b:5a:d2:4f:08:16:73:63:e0:cb:83.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.14.88' (RSA) to the list of known hosts.
[email protected]'s password:xxxxxx
Linux sonetigc 2.6.20-16-generic #2 SMP Thu Jun 7 20:19:32 UTC 2007 i686
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
157
The programs included with the Ubuntu system are free software; the exact
distribution terms for each program are described in the individual files in
/usr/share/doc/*/copyright.
Ubuntu comes with ABSOLUTELY NO WARRANTY, to the extent permitted by
applicable law.
Last login: Sun Jul 15 12:17:34 2007
sanon@sonetigc:~$
5.3.3 คําสัง FTP
FTP เป็ นคําสัง ทีใช้ ถ่ายโอนไฟล์ข้อมูลจากคอมพิวเตอร์ เครื องหนึง ไปยังอีก
คอมพิวเตอร์ อีกเครื องหนึง ซึงมีทงการ
ั G upload และ download โดยการติดต่อกับโฮสต์ (host)
ทีเปิ ดให้ บริ การ FTP (ซึง จะถูกเรี ยกว่า FTP server) นันจะต้
G องมีการสร้ างยูสเซอร์ (User) และ
รหัสผ่าน (Password) ทีโฮสต์นนก่
ั G อน ในกรณีที FTP server เปิ ดให้ บริ การแบบสาธารณะ
(Public) ก็จะนิยมใช้ ยสู เซอร์ ทีเป็ น anonymous ส่วนรหัสผ่านของยูสเซอร์ anonymous นันG
อาจจะใช้ เป็ น E-mail ของผู้ทีจะเชือมต่อเข้ ามา (connect) และโปรแกรมส่วนใหญ่ก็จะอยู่ใน
ไดเรกทอรี ชื อ pub
ftp> help
ของ FTP
server
คํ า สัง ftp
ที ใ ช้ บ่ อ ยๆ มี ดั ง ต่ อ ไปนี G
# ใช้ เพือต้ องการดูคําสัง ทีมีอยูใ่ นคําสัง ftp
ftp> open hostname หรื อ ip address # ใช้ เพือต้ องการ connect ไปยังโฮสต์ (host)
ทีต้องการ
ftp> close
# ใช้ เพือต้ องการ disconnect ออกจาก host ทีใช้ งานอยู่
ftp> bye หรื อ quit
# ใช้ เพือต้ องการออกจากคําสัง ftp
ftp> ls หรี อ dir
# ใช้ เพือแสดงชือไฟล์ทีมีอยูใ่ น current directory ของ host
นันG dir ใช้ ในกรณีที FTP server เป็ น window
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
158
ftp> cd
# ใช้ เพือเปลีย น directory
ftp> get
# ใช้ เพือดาวน์โหลด (download) ทีละไฟล์จากโฮสต์ (host)
ปลายทางมายังเครื องของเรานันเอง
G (local host)
ftp> mget
# ใช้ เพือดาวน์โหลดทีละหลายๆไฟล์
ftp> recv
# ใช้ เพือดาวน์โหลดไฟล์ทีละไฟล์เหมือน get
ftp> put
# ใช้ เพืออัพโหลด (upload) ไฟล์ทีละไฟล์จาก local host ไป
เก็บยังโฮสต์ปลายทาง
ftp> mput
# ใช้ เพืออัพโหลดไฟล์ทีละหลายๆไฟล์
ftp> send
# ใช้ เพืออัพโหลดทีละไฟล์เหมือน put
ftp> delete
# ใช้ เพือลบไฟล์
ftp> mdelete
# ใช้ เพือลบทีละหลายๆ ไฟล์
ตัวอย่างเพิมเติมที 1 การใช้ คําสัง ftp
คอมพิวเตอร์ A
วินโดวส์ (window)
ftp client
10.10.1.89/24
Ethernet Switch
คอมพิวเตอร์ B
อูบนุ ตู (ubuntu)
ftp server
10.10.1.88/24
LAN cable: Straight-Through
Cable cCCa
รูปที 5.13 แสดงการเชือมต่อของระบบเครื อข่ายคอมพิวเตอร์
ตัวอย่างเพิมเติมที 2 การใช้ คําสัง get จากรู ปที 5.13 คอมพิวเตอร์ A ได้ ทําการ ftp ไปยัง
คอมพิวเตอร์ B
D:\temp>ftp 10.10.1.88
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
159
# คอมพิวเตอร์ A ได้ ทําการเปิ ดขอใช้ บริ การ ftp สังเกตว่ายังเป็ น Command prompt แบบ
วินโดวส์ (window) อยู่
Connected to 10.10.1.88.
220 (vsFTPd 1.1.3)
User (10.10.1.88:(none)): sanon # ใส่ชือยูสเซอร์ เพือทําการล็อคอิน (login)
331 Please specify the password.
Password: xxxx
# ใส่รหัสผ่าน (password)
230 Login successful. Have fun. # แสดงให้ ทราบว่าการล็อกอิน (login)
สําหรับบริ การ ftp สําเร็ จ
ftp> pwd
# ใช้ คําสัง แบบยูนิกซ์เพราะว่า FTP server เป็ นระบบ
ยูนิกซ์
257 "/home/sanon"
ftp> cd /var/www/html
250 Directory successfully changed.
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
check.php
chpwd.php
config.php
contact.php
index.php
index.php.bak
index1.php
index_vgroup.php
index_vgroup_down.php
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
160
indexlinkdown.php
..
..
usage.php
226 Directory send OK.
ftp: 769 bytes received in 0.06Seconds 1.82Kbytes/sec.
ftp> mget indexlinkdown.php
200 Switching to ASCII mode.
mget indexlinkdown.php? y
200 PORT command successful. Consider using PASV.
150 Opening BINARY mode data connection for indexlinkdown.php (11025 bytes).
226 File send OK.
ftp: 11025 bytes received in 0.00Seconds 11025000.00Kbytes/sec.
ftp> mget index*.*
200 Switching to ASCII mode.
mget index.php? y
200 PORT command successful. Consider using PASV.
150 Opening BINARY mode data connection for index.php (11733 bytes).
226 File send OK.
ftp: 11733 bytes received in 0.00Seconds 11733000.00Kbytes/sec.
mget index.php.bak? y
200 PORT command successful. Consider using PASV.
150 Opening BINARY mode data connection for index.php.bak (12374 bytes).
226 File send OK.
ftp: 12374 bytes received in 0.03Seconds 41.47Kbytes/sec.
mget index1.php? y
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
161
200 PORT command successful. Consider using PASV.
150 Opening BINARY mode data connection for index1.php (11733 bytes).
226 File send OK.
ftp: 11733 bytes received in 0.00Seconds 11733000.00Kbytes/sec.
200 PORT command successful. Consider using PASV.
150 Opening BINARY mode data connection for index_original.php (10864 bytes).
226 File send OK.
ftp: 10864 bytes received in 0.02Seconds 543.20Kbytes/sec.
mget index_vgroup.php? n
mget index_vgroup_down.php? n
mget indexlinkdown.php? y
200 PORT command successful. Consider using PASV.
150 Opening BINARY mode data connection for indexlinkdown.php (11025 bytes).
226 File send OK.
ftp: 11025 bytes received in 0.00Seconds 11025000.00Kbytes/sec.
ftp>
ftp>
ftp> pwd
257 "/var/www/html"
ftp> bye # ใช้ bye เพือ logout ออกจาก FTP server กลับไปยังทีคอมพิวเตอร์ ซึงเป็ น FTP
client
221 Goodbye.
D:\temp> # กลับมายังคอมพิวเตอร์ A เรี ยบร้ อยแล้ ว สังเกตว่ากลับมาเป็ น Command
prompt แบบวินโดวส์ (window) เหมือนตอนแรก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
D:\temp\dir
# เป็ นไฟล์ข้อมูลที get มาจาก FTP server
Volume in drive D has no label.
Volume Serial Number is 10A4-F399
Directory of D:\temp\index_igc
08/17/2007 11:53 AM <DIR>
.
08/17/2007 11:53 AM <DIR>
..
08/17/2007 11:45 AM
11,025 indexlinkdown.php
08/17/2007 11:45 AM
12,374 index.php.bak
08/17/2007 11:45 AM
10,934 index_down.php
08/17/2007 11:45 AM
10,864 index_original.php
08/17/2007 11:45 AM
10,963 index_original1.php
08/17/2007 11:45 AM
11,733 index1.php
08/17/2007 11:45 AM
11,694 index_inter_down.php
08/17/2007 11:57 AM
11,771 index.php
8 File(s)
91,358 bytes
2 Dir(s) 13,108,355,072 bytes free
ตัวอย่างเพิมเติมที 3 การใช้ คาํ สัง put จากรูปที 5.13 คอมพิวเตอร์ A ได้ ทําการ ftp ไปยัง
คอมพิวเตอร์ B
D:\temp>ftp
ftp> 10.10.1.88
Invalid command.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
162
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
163
ftp> open 10.10.1.88
Connected to 10.10.1.88.
220 (vsFTPd 1.1.3)
User (10.10.1.88:(none)): sanon
331 Please specify the password.
Password:xxxx
230 Login successful. Have fun.
ftp>
ftp> pwd
257 "/home/sanon"
# เมือ login ด้ วย sanon ผ่านแล้ วจะเข้ ามาที home/sanon
ftp> ls
# ใช้ คําสัง ls จะพบว่าใน home/sanon ไม่มีข้อมูลอยู่
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
226 Directory send OK.
ftp> put index.php # ใช้ คําสัง put เพือ upload ไฟล์ข้อมูล index.php ไปยัง ftp
server ที home/sanon
200 PORT command successful. Consider using PASV.
150 Ok to send data.
226 File receive OK.
ftp: 11771 bytes sent in 0.00Seconds 11771000.00Kbytes/sec.
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
index.php
# ใช้ คําสัง ls ดูจะพบว่าใน home/sanon มีไฟล์
ข้ อมูล index.php อยู่
226 Directory send OK.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
ftp: 11 bytes received in 0.00Seconds 11000.00Kbytes/sec.
ftp> cp index.php index_inter_up.php
Invalid command.
# ใช้ คําสัง cp เหมือนใน unix ไม่ได้
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
index.php
226 Directory send OK.
ftp: 11 bytes received in 0.00Seconds 11000.00Kbytes/sec.
ftp> bye
221 Goodbye.
D:\temp\index_igc>
# กลับมายังคอมพิวเตอร์ A เรี ยบร้ อยแล้ ว
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
164
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
165
บรรณานุกรมท้ ายบทที 5
[1]. เอกสารฝึ กอบรม หลักสูตรผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและ
คอมพิวเตอร์ ระดับที 3 (NCS3) รุ่นที 1
[2]. ธวัชชัย ชมศิริ, ปลอดภัยของระบบเครื อข่ายคอมพิวเตอร์ , มกราคม 2553
[3]. สานนท์ ฉิมมณี, ตําราเรี ยนรู้เครื อข่ายคอมพิวเตอร์ ด้วยอูบนุ ตูและซิสโก้ , มกราคม 2553
[4]. Man in the Middle attack (การโจมตีแบบคนกลาง),
http://www.viruscom2.com/hacker/man-in-the-middle-attack.html, 04/03/2553
[5]. Linux 2.4 Stateful Firewall : IPTABLESย : ภูวดล ดานระหา, ThaiCERT: Thai
Computer Emergency Response Team ศูนย์ประสาน งานการรักษาความปลอดภัย
คอมพิวเตอร์ 3 ธันวาคม 2544.
http://www.thaicert.nectec.or.th/paper/firewall/iptables.php
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
166
บันทึก (Note)
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
167
(Network and Computer Security Specialist: NCS) ระดับที 3
บทที 6
การบริหารความเสียง และ
สถาปั ตยกรรมของการรั กษาความปลอดภัย
(ICT Risk Management & Security Architecture)
6.1 การบริหารความเสียง (ICT Risk Management)
ความเสียง หมายถึง ภัยคุกคามทีอาจจะเกิดขึ Jน หรื อโอกาสทีจะเป็ นไปได้ กบั ระบบ
เครื อข่ายขององค์กร แม้ วา่ องค์กรนันจะมี
J นโยบายด้ านความปลอดภัยหรื อไม่มีก็ตาม สําหรับ
องค์กรทีไม่มีนโยบายความปลอดภัยเครื อข่ายแล้ วจะมีโอกาสได้ รับความเสียงทีสงู กว่าองค์กร
ทีมีการกําหนดนโยบาย ดังนันเพื
J อเป็ นการลดหรื อบรรเทาความเสียงต่อระบบเครื อข่ายของ
องค์กร ได้ มีกระบวนการทีเรี ยกว่าการบริ หารความเสีย งเกิดขึ Jน กระบวนการบริ หารความเสียง
มีกระบวนการย่อย 2 ขันตอนสํ
J
าหรับใช้ บริ หารความเสีย ง คือ
1. การค้ นหาและประเมินความเสีย ง (Risk Identification & Assessment)
2. การควบคุมความเสีย ง (Risk Control)
โดยทัว ไปแล้ ว การบริ หารความเสียงเป็ นกระบวนการประเมินความเสียงต่อระบบ
เครื อข่ายสารสนเทศขององค์กร และพิจารณาว่าความเสีย งเหล่านันจะถู
J กควบคุมหรื อบรรเทา
อย่างไร
6.1.1 การค้ นหาความเสียง (Risk Identification)
ขันตอนการตรวจสอบตั
J
วเองถือเป็ นกระบวนการแรกสําหรับการค้ นหาความ
เสีย ง ดังนันสํ
J าหรับการค้ นหาความเสีย งมีขนตอนการพิ
ัJ
จารณาดังนี J
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
168
(Network and Computer Security Specialist: NCS) ระดับที 3
• การสร้ างรายการสิ น ทรั พ ย์ ส ารสนเทศ ประกอบด้ วย คน
กระบวนการ ข้ อมูล ซอฟต์แวร์ ฮาร์ ดแวร์ และระบบเครื อข่าย
• การจัดแบ่งสินทรัพย์เป็ นหมวดหมูอ่ ย่างมีความหมาย
• การกําหนดมูลค่าของแต่ละสินทรัพย์ของสารสนเทศ การพิจารณา
เพือกํ าหนดมูลค่าสินทรั พย์ ทีมีมูลค่ามากทีสุดสามารถกระทําได้
ดังนี J
-
พิจารณาสินทรัพย์สารสนเทศใดมีความสําคัญทีสดุ ต่อ
ความสําเร็ จขององค์กร
-
พิจารณาสินทรัพย์สารสนเทศใดก่อให้ เกิดกําไรสูงสุด
-
พิจารณาสินทรัพย์สารสนเทศใดแพงทีสดุ ในการทดแทน
-
พิจารณาสินทรัพย์สารสนเทศใดแพงทีสดุ ในการป้องกัน
-
พิจารณาสินทรัพย์สารสนเทศใดทําความเสียหายมาก
ทีสดุ หรื อทําให้ เป็ นหนี Jมากทีสดุ ถ้ าเกิดการสูญหาย หรื อ
ถูกลักขโมย
• การค้ นหาภัยคุกคามทีมีตอ่ สินทรัพย์
• การค้ นหาสินทรั พย์ ทีมีจุด อ่อน โดยการค้ นหาการคุก คามทีมีต่อ
สินทรัพย์หนึง ๆ
6.1.2 การประเมินความเสียง (Risk Assessment)
การประเมินค่าความเสียงสามารถประเมินได้ จากความเป็ นไปได้ ทีจะเกิ ด
จุดอ่อน คูณด้ วยมูลค่าสินทรัพย์สารสนเทศ และลบด้ วยเปอร์ เซ็นต์ของการลดความเสียง บวก
ด้ วยความไม่แน่นอนของการรู้ จุดอ่อน เพือเพิมประสิทธิ ภาพในการประเมินความเสียง ค่า
ความเป็ นไปได้ ทีจะเกิดจุดอ่อนได้ ถกู กําหนดโดยกาถามคําถามดังต่อไปนี J
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
169
(Network and Computer Security Specialist: NCS) ระดับที 3
• การคุ ก คามแบบใดที เ ป็ นอัน ตรายต่ อ สิ น ทรั พ ย์ ข ององค์ ก รใน
สิง แวดล้ อมทีกําหนด
• การคุกคามแบบใดทีเป็ นอันตรายมากทีสดุ ต่อสินทรัพย์สารสนเทศ
ขององค์กร
• จํ านวนเงิ น เท่าไรทีต้ องเสีย ในการฟื Jน ฟูระบบจากการถูก โจมตี ที
สําเร็ จ
• การคุกคามแบบใดทีต้องใช้ จํานวนเงินมากทีสดุ ในการป้องกัน
สําหรับค่าความไม่แน่นอนผู้ทําการประเมินสามารถประมาณการได้ จากการตัดสินใจ
และจากประสบการณ์
6.1.3 กลยุทธ์ ในการควบคุมความเสียง (Risk Control Strategies)
กลยุทธ์พื Jนฐานสําหรับการควบคุมความเสียงสามารถพิจารณาแบ่งได้ เป็ น 4
กลยุทธ์ คือ
1.
การหลีกเลียง (Avoidance) เป็ นกลยุทธ์ สําหรับการควบคุมความ
เสีย งทีพยายามป้องกันการโจมตีช่องโหว่ วิธีนี Jได้ รับความนิยม เนืองจากเป็ นการหา
หนทางการหลีกเลีย งมากกว่าจะจัดการกับมันหลังจากพบว่าการคุกคามได้ ทําความ
เสียหายให้ กบั ระบบ เทคนิคทีใช้ สาํ หรับการหลีกเลีย ง ได้ แก่
1. การประยุกต์ใช้ นโยบาย เช่ย การกําหนดให้ ใช้ รหัสลับสําหรับเข้ า
ใช้ ระบบ
2. การประยุกต์การฝึ กอบรมและการศึกษา
3. การต่อสู้การคุมคามทีมีต่อสินทรัพย์ขององค์กรและกําจัด (ถ้ าทํา
ได้ ) ภัยทีจะคุกคามต่อระบบ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
170
(Network and Computer Security Specialist: NCS) ระดับที 3
4. การติดตังJ เครื องป้องกันและควบคุมความปลอดภัยด้ วยวิธีทาง
เทคนิคช่วย
2. การถ่ ายโอน (Transference) เป็ นกลยุทธ์ ทีอาศัยความพยายามเพือ
ทํา การย้ ายความเสีย งไปสู่สินทรั พ ย์ อื น กระบวนการอืน หรื อ องค์ ก รอืน สํา หรั บ
เทคนิคการถ่ายโอนความเสีย งไปยังพื Jนทีอืนอาจทําได้ ดงั นี J
• การทบทวนถึงวิธีการเสนอการบริ การ
• การพิจารณาแบบจําลองวิธีการต่อสู้
• การจ้ างองค์กรอืนๆดําเนินการ
• การซื Jอประกันภัย
• การทําข้ อตกลงกับผู้ให้ บริ การมาเป็ นผู้จดั บริ การ
3.
การบรรเทา (Mitigation) เป็ นกลยุทธ์ การลดผลกระทบหรื อความ
เสียหายทีเกิดจากการโจมตีช่องโหว่ของระบบ กลยุทธ์ นีปJ ระกอบด้ วยแผนงาน 3
แบบคือ
• แผนการฟื นJ ฟูจากหายนะจากภัยต่างๆ
• แผนการตอบสนองต่อเหตุการณ์ทีเกิดขึ Jนทันที
• แผนการทีทําให้ ธุรกิจดําเนินการอย่างต่อเนือง
4. การยอมรั บ (Acceptance) เป็ นกลยุทธ์ การทําความเข้ าใจถึงผลทีจะ
ตามมาและยอมรับต่อความเสีย งทีเกิดขึ Jนโดยปราศจากการควบคุมหรื อการบรรเทา
อย่างไรก็ตามกลยุทธ์ดงั กล่าวควรจะดําเนินเมือองค์กรได้ ทําสิง ต่อไปนี J
• การพิจารณาระดับของความเสีย งทีมีตอ่ สินทรัพย์สารสนเทศ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
171
(Network and Computer Security Specialist: NCS) ระดับที 3
• การประเมินความเป็ นไปได้ ของการโจมตี และความน่าจะเป็ นของ
ความสําเร็ จของการโจมตีช่องโหว่ โดยคิดเป็ นอัตราการเกิดการ
โจมตีตอ่ ปี
• การประมาณความเสียหายทีจะเกิดขึ Jนของการโจมตี
• การวิเคราะห์ความคุ้มค่าอย่างรอบคอบ
• การประเมินการควบคุมโดยใช้ รายงานการศึกษาความเป็ นไปได้ ที
เหมาะสม
• การตัดสินใจว่าหน้ าทีหลัก การให้ บริ การ ข้ อมูลสารสนเทศ หรื อ
สินทรัพย์ไม่ค้ มุ กับการทีจะลงทุนเพือการป้องกัน
6.2 สถาปั ตยกรรมของการรั กษาความปลอดภัย
(Security Architecture)
สามารถแบ่งออกเป็ นสองส่วนหลักๆ ได้ แก่ การรักษาความปลอดภัยของเซิร์ฟเวอร์
และลูกข่าย อย่างเช่น Web Server และการรักษาความปลอดภัยของระบบเครื อข่ายและ
อุปกรณ์เครื อข่าย อย่างเช่น Router
6.2.1 การรักษาความปลอดภัยของเซิร์ฟเวอร์ และลูกข่ าย
ผู้บกุ รุ กหรื อแฮกเกอร์ (Hacker / Cracker) มักจะโจมตีเซิร์ฟเวอร์ (Server)
โดยมีจดุ ประสงค์หลักๆ สองประการ ประการแรกคือ เกียวข้ องกับข้ อมูล นันคื
J อต้ องการข้ อมูลที
สําคัญหรื อเปลียนแปลงข้ อมูลทีอยู่ในเซิร์ฟเวอร์ หรื อคอมพิวเตอร์ ลกู ข่าย (Client) อย่างเช่น
การเปลีย นแปลงข้ อมูลของบัตรเติมเงิน ส่วนประการทีสอง เกียวข้ องกับการบริ การ นันคื
J อ การ
โจมตีเครื องเซิร์ฟเวอร์ เพือไม่ให้ สามารถให้ บริ การได้ หรื อทําให้ ประสิทธิ ภาพลดลง (DoS:
Denial of Service) เป็ นต้ น วิธีการทีแฮกเกอร์ ใช้ ในการเข้ าถึงและการป้องกันมีดงั ต่อไปนี J
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
172
(Network and Computer Security Specialist: NCS) ระดับที 3
1. การเข้ าถึงเซิร์ฟเวอร์ ท ีไม่ ได้ ป้องกัน หมายถึงเซิร์ฟเวอร์ ทีใช้ รหัสผ่านว่าง
เปล่า รหัสผ่านดีฟอลต์ หรื อตังรหั
J สผ่านง่ายเกินไปเป็ นช่องทางทีแฮกเกอร์ จะรี โมต (Telnet,
SSH)ผ่านเน็ตเวิร์กเข้ ามาควบคุมระบบได้ ผู้ดแู ลเซิร์ฟเวอร์ ควรใส่ใจในเรื องของการตังรหั
J สผ่าน
เช่น ควรตังรหั
J สให้ มีความซับซ้ อนโดยใช้ ตวั อักษรผสมกับตัวเลขและอักขระพิเศษ ให้ มีความ
ยาวพอสมควร
2. การเข้ าถึงเซิร์ฟเวอร์ ท ีมีช่องโหว่ ช่องโหว่ของเซิร์ฟเวอร์ มกั จะเกิดจาก
ช่องโหว่ของระบบปฏิบตั ิการ หรื อช่องโหว่ของ Application (โปรแกรมทีรันบนเซิร์ฟเวอร์ )
3. การโจมตี เ ซิ ร์ ฟเวอร์ เพื อไม่ ให้ สามารถใช้ การได้ หรื อทํ า ให้
ประสิทธิภาพด้ อยลง อย่างเช่น การโจมตีแบบ DoS (Denial of Service) เป็ นการโจมตี
เพือไม่ให้ เซิร์ฟเวอร์ สามารถให้ บริ การได้ หรื ออาจจะทําให้ เซิร์ฟเวอร์ มีประสิทธิภาพด้ อยลง
4. การเข้ าถึงคอมพิวเตอร์ ลูกข่ าย เพือขโมย/แก้ ไข/ทําลายข้ อมูลผู้ใช้
ภายในองค์ กร ในอดีตนันการโจมตี
J
มกั จะมุ่งเน้ นไปทีเซิร์ฟเวอร์ แต่ปัจจุบนั แฮกเกอร์ หนั มา
สนใจการโจมตี Client มากขึ Jน เพือขโมยข้ อมูลหรื อเพือโจมตีแบบ DoS ให้ คอมพิวเตอร์ อืนใช้
งานไม่ได้ เช่น การใช้ การโจมตีแบบ ARP Spoofing ทีสามารถตัดการสือสารของคอมพิวเตอร์
อืนๆภายในระบบ LAN เดียวกัน ทําให้ เครื องทีถกู โจมตีไม่สามารถใช้ อินเตอร์ เนตได้
6.2.2 การรักษาความปลอดภัยของระบบเครือข่ ายและอุปกรณ์ เครือข่ าย
หลังจากที ได้ มีก ฏเพื อควบคุมการบัน ทึกการใช้ ง านระบบเครื อข่า ย ทํา ให้
รูปแบบการโจมตีระบบเครื อข่ายภายในเริ มมีการเปลียนไปอย่างเช่น การทีผ้ บู กุ รุ ก (Hakcer /
Cracker) พยายามทีจะเข้ าใช้ งานเครื อข่ายโดยไม่ต้องผ่านการ Authentication เช่น การ
ปลอมแปลงค่าหมายเลข Mac Address ทีระบบอนุญาติให้ ผา่ นได้ เป็ นต้ น ดังนันจึ
J งควรมีการ
ป้องกันด้ วยวิธีเพิมเติมดังต่อไปนี J
• ป้องกันการโจมตีด้วยวิธีการปลอม MAC Address
• ป้องกันการโจมตีแบบ ARP Spoof/Poisoning
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
173
(Network and Computer Security Specialist: NCS) ระดับที 3
• ป้องกันการโจมตีโดยใช้ Rogue DHCP
• เพิมความปลอดภัยให้ กบ
ั ระบบ LAN, Wireless LAN
6.3 การรั กษาความปลอดภัยทีสามารถเข้ าถึงได้
(Operational Security)
บทนี Jจะกล่าวถึงการเพิมระดับความปลอดภัย หรื อสร้ างความแข็งแกร่ง (Hardening)
ให้ แก่ server และอุปกรณ์ เครื อข่ายต่างๆ โดยการปรั บค่า configuration ต่างๆ ของ
ระบบปฏิบตั ิการ (Operating System: OS) ให้ เป็ นไปอย่างเหมาะสม เนืองจากค่าทีถกู กําหนด
มาจากผู้ผลิต (default) เป็ นค่าทีทําให้ ระบบทํางานได้ เท่านันJ แต่ไม่ได้ มีจุดประสงค์ให้ มีความ
ปลอดภัย ทําให้ คา่ default ต่างๆ เหล่านี Jกลายเป็ นช่องโหว่ให้ แก่เหล่า hacker สามารถเข้ าถึง
ระบบได้
Security baseline หมายถึง ข้ อกําหนดพื Jนฐานทางเทคนิคทีจะทําให้ ระบบมีความ
ปลอดภัยเพียงพอ ซึง baseline ของแต่ละระบบก็จะไม่เหมือนกัน ระบบทีดูแลเรื องการเงิน
ต้ องมีการปรับค่าให้ มีความปลอดภัยทีสงู ขึ Jนมากกว่า ระบบทีให้ บริ การข้ อมูลข่าวสารเท่านันJ
นอกจากนี Jเราต้ องมีการปรับเปลียนปรับปรุ ง baseline ไปตามกาลเวลา เนืองจาก OS แต่
ละเวอร์ ชนั มีความแตกต่างกัน รวมไปถึงเทคนิคการ hack ก็เปลีย นไปด้ วย
การจัดทํา security baseline ส่วนใหญ่จะจะแบ่งออกเป็ น template ตาม OS ต่างๆ ซึงในบท
นี J จะแสดง security baseline ของ OS ดังนี J
• MS Windows server – Domain Controller
• MS Windows server – Application Server
• Linux Redhat
• Cisco Router/Switch
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
174
(Network and Computer Security Specialist: NCS) ระดับที 3
บทนี Jกล่าวถึงวิธีการเพิมความแข็งแกร่ งให้ แก่ server และ อุปกรณ์เครื อข่าย หรื อที
เรี ยกว่าการ hardening โดยการนําเสนอตัวอย่างของ security baseline ของ OS บาง OS ซึง
ในทางปฏิบตั ิ security baseline จะต้ องถูกอัฟเดทให้ เหมาะสมและทันสมัยอยู่เสมอ เพือให้
ทันต่อ OS เวอร์ ชนั ใหม่ๆ รวมถึงการบุกรุกโจมตีแบบใหม่ๆ ด้ วย
6.3.1 สําหรับ Domain Controller Server (Windows Server 2000, 2003)
Microsoft Windows Server 2003 Security
Server Role : Domain Controller
STEP 1 :: General Configuration
1.1 Verify that all disk partitions are formatted with NTFS
1.2 Install latest service packs and critical patches
1.3 Install anti-virus software and updates
1.4 Install personal firewall
1.5 Backup System Configuration and Local/Domain Security Policy
1.6 Manage User Account
1.6.1 Disable or delete unnecessary accounts
1.6.2 Add New user and assign as a member of administrators group
1.6.3 Log off Administrator
1.6.4 Log on new user created in 1.6.2
1.6.5 Rename Administrator account at Security Option\Rename administrator
account.
1.6.6 Add New user and assign as a member of administrators group
1.6.7 Disable Administrator account at Security Option\Administrator account
status
1.7 Disable the autorun feature on the CD-ROM drive
1.7.1Run the Registry Editor (REGEDIT.EXE).
1.7.2 Navigate to
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
175
(Network and Computer Security Specialist: NCS) ระดับที 3
1.7.3 Double-click the Autorun value, and type 0 for its value. (If it's not there,
create it by
selecting Edit -> New -> DWORD Value, and typing "Autorun" for its name.)
1.7.4 You may have to log out and then log back in for this change to take effect.
1.8 Disable the Administrative Share
1.8.1Run the Registry Editor (REGEDIT.EXE).
1.8.2 Navigate to
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
LanManServer\Parameters
1.8.3 Double-click the AutoShareServer value, and type 0 for its value. (If it's not
there, create it by selecting Edit -> New -> DWORD Value, and typing "Auto" for its
name.)
1.8.4 You may have to log out and then log back in for this change to take effect.
1.9 Disable all unnecessary shares
Note:
-
You can import an appropriate security template to configure the setting in STEP2
and STEP3 automatically. However you have to review STEP2 and STEP3 in
manual again.
Security Templates ::
Enterprise Client (EC)
Specialized Security – Limited Functionality
(SSLF)
EC-DomainController.inf
SSLF-DomainController.inf
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
176
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
STEP 2 :: Account Policies
2.1 Password Policy
24 passwords
remembered
Specialized Security –
Limited Functionality
(SSLF)
24 passwords
remembered
42 days
42 days
1 day
1 day
12 characters
14 characters
Enabled
Enabled
Disabled
Disabled
Enterprise Client
(EC)
Setting
2.1.1 Enforce password
history
2.1.2 Maximum password
age
2.1.3 Minimum password age
2.1.4 Minimum password
length
2.1.5 Password must meet
complexity requirements
2.1.6 Store passwords using
reversible encryption
2.2 Account Lockout Policy
Setting
2.2.1 Account lockout
duration
2.2.2 Account lockout
threshold
2.2.3 Reset account lockout
counter after
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
30 minutes
15 minutes
20 invalid login attempts
10 invalid login attempts
30 minutes
15 minutes
177
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
2.3 Kerberos Policy
Enterprise Client
(EC)
Setting
2.3.1 Enforce user logon
restrictions
2.3.2 Maximum lifetime for
service ticket
2.3.3 Maximum lifetime for user
ticket
2.3.4 Maximum lifetime for user
ticket Renewal
2.3.5 Maximum tolerance for
computer clock synchronization
Specialized Security –
Limited Functionality
(SSLF)
Enabled
Enabled
600 minutes
600 minutes
10 hours
10 hours
7 days
7 days
5 minutes
5 minutes
STEP 3 :: Local Policies
3.1 Audit Policy
Setting
Enterprise Client
(EC)
3.1.1 Audit account logon events
3.1.2 Audit account management
3.1.3 Audit directory service access
3.1.4 Audit logon events
3.1.5 Audit object access
3.1.6 Audit policy change
3.1.7 Audit privilege use
3.1.8 Audit process tracking
3.1.9 Audit system events
Success, Failure
Success, Failure
Failure
Success, Failure
Success, Failure
Success
Failure
No auditing
Success
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Specialized Security –
Limited Functionality
(SSLF)
Success, Failure
Success, Failure
Failure
Success, Failure
Success, Failure
Success
Failure
No auditing
Success
178
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Enterprise Client
(EC)
Administrators, Users,
Power Users, Backup
Operators
Specialized Security – Limited
Functionality (SSLF)
Administrators, Authenticated
Users, ENTERPRISE DOMAIN
CONTROLLERS
3.2.2 Act as part of the
operating system
Not Defined
No one
3.2.3 Add workstations
to domain
Administrators
Administrators
3.2.4 Adjust memory
quotas for a process
Administrators,
NETWORK SERVICE,
LOCAL SERVICE
Administrators, NETWORK
SERVICE, LOCAL SERVICE
3.2.5 Allow log on
locally
Administrators, Users,
Backup Operators,
Power Users
Administrators
3.2.6 Allow log on
through Terminal
Services
Administrators and
Remote Desktop Users
Administrators
3.2.7 Back up files and
directories
Administrators, Backup
Operators
Administrators
3.2.8 Bypass traverse
checking
Administrators, Users,
Backup Operators,
Power Users
Authenticated Users
3.2.9 Change the
system time
Administrators,
Administrators,
LOCAL SERVICE, Power
LOCAL SERVICE
Users
3.2.10 Create a
pagefile
Administrators
Setting
3.2.1 Access this
computer from the
network
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Administrators
179
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Enterprise Client
(EC)
Setting
Specialized Security – Limited
Functionality (SSLF)
3.2.11 Create a token
object
Not Defined
No one
3.2.12 Create global
objects
Administrators,
SERVICE
Administrators, SERVICE
3.2.13 Create permanent
shared objects
Not Defined
No one
3.2.14 Debug programs
Administrators
No one
ANONYMOUS
LOGON; Guests;
Support_388945a0; all
NON-Operating
System service
accounts
ANONYMOUS LOGON; Guests;
Support_388945a0; all NONOperating System service
accounts
3.2.16 Deny logon as a
batch job
Guests;
Support_388945a0
Guests; Support_388945a0;
3.2.17 Deny logon as a
service
Not Defined
No one
3.2.18 Deny logon locally
Guests;
Support_388945a0;
Guests; Support_388945a0;
3.2.19 Deny logon
through Terminal
Services
Guests
Guests
3.2.20 Enable computer
and user accounts to be
trusted for delegation
Administrators
Administrators
3.2.15 Deny access to
this computer from the
Network
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
180
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Enterprise Client
(EC)
Setting
Specialized Security – Limited
Functionality (SSLF)
3.2.21 Force shutdown
from a remote system
Administrators
Administrators
3.2.22 Generate security
audits
NETWORK SERVICE,
LOCAL SERVICE
NETWORK SERVICE, LOCAL
SERVICE
3.2.23 Impersonate a
client after authentication
Administrators,
SERVICE
Administrators, SERVICE
3.2.24 Increase
scheduling priority
Administrators
Administrators
3.2.25 Load and unload
device drivers
Administrators
Administrators
3.2.26 Lock pages in
memory
Not Defined
No one
3.2.27 Log on as a batch
job
LOCAL SERVICE
LOCAL SERVICE
3.2.28 Log on as a
service
NETWORK SERVICE
NETWORK SERVICE
3.2.29 Manage auditing
and security log
Administrators
Administrators
3.2.30 Modify firmware
environment values
Administrators
Administrators
3.2.31 Perform volume
maintenance tasks
Administrators
Administrators
Administrators, Power
Users
Administrators
3.2.32 Profile single
process
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
181
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Enterprise Client
(EC)
Setting
3.2.33 Profile system
performance
Administrators
Specialized Security – Limited
Functionality (SSLF)
Administrators
3.2.34 Remove computer Administrators, Power
from docking station
Users
Administrators
3.2.35 Replace a process LOCAL SERVICE,
level token
NETWORK SERVICE
LOCAL SERVICE, NETWORK
SERVICE
3.2.36 Restore files and
directories
Administrators,
Backup Operators
Administrators
3.2.37 Shut down the
system
Administrators,
Backup Operators,
Power Users
Administrators
3.2.38 Synchronize
directory service data
Not Defined
No one
3.2.39 Take ownership of
files or other objects
Administrators
Administrators
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
182
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Enterprise Client
(EC)
Setting
3.3.1 Accounts:
Administrator account
status
Specialized Security – Limited
Functionality (SSLF)
Disabled
Disabled
Enabled
Enabled
Disabled
Disabled
Note :
-
-
If Administrator
account can be
renamed and
disabled as
recommendatio
n in STEP 1
General
Configuration [
1.6.5 and 1.6.6
]
If Administrator
account can not
be renamed
and disabled as
recommendatio
n in STEP 1
General
Configuration [
1.6.5 and 1.6.6
]
3.3.2 Accounts: Guest
account status
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
183
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Enterprise Client
(EC)
Setting
3.3.3 Accounts: Limit
local account use of
blank passwords to
console logon only
3.3.4 Accounts: Rename
administrator account
3.3.5 Accounts: Rename
guest account
Specialized Security – Limited
Functionality (SSLF)
Enabled
Enabled
Administrator
Administrator
Guest
Guest
3.3.6 Audit: Audit the
access of global system
Objects
Disabled
Disabled
3.3.7 Audit: Audit the use
of Backup and Restore
privilege
Disabled
Disabled
Disabled
Disabled
Not Defined
Not Defined
Not Defined
Not Defined
3.3.8 Audit: Shut down
system immediately if
unable to log security
audits
3.3.9 DCOM: Machine
Access Restrictions in
Security Descriptor
Definition Language
(SDDL) syntax
3.3.10 DCOM: Machine
Launch Restrictions in
Security Descriptor
Definition Language
(SDDL) syntax
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
184
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Enterprise Client
(EC)
Setting
Specialized Security – Limited
Functionality (SSLF)
3.3.11 Devices: Allow
undock without having to
log on
Disabled
Disabled
3.3.12 Devices: Allowed
to format and eject
removable media
Administrators
Administrators
3.3.13 Devices: Prevent
users from installing
printer drivers
Enabled
Enabled
3.3.14 Devices: Restrict
CD-ROM access to
locally logged-on user
only
Disabled
Enabled
3.3.15 Devices: Restrict
floppy access to locally
logged-on user only
Disabled
Enabled
Warn but allow
installation
Do not allow installation
Disabled
Disabled
Not Defined
Require signing
Disabled
Disabled
3.3.16 Devices: Unsigned
driver installatio Behavior
3.3.17 Domain Controller:
Allow server operators to
schedule tasks
3.3.18 Domain Controller:
LDAP server signing
requirements
3.3.19 Domain Controller:
Refuse machine account
password change
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
185
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality (SSLF)
3.3.20 Domain Member:
Digitally encrypt or sign
secure channel data (always)
Enabled
Enabled
3.3.21 Domain Member:
Digitally encrypt secure
channel data (when possible)
Enabled
Enabled
3.3.22 Domain Member:
Digitally sign secure channel
data (when possible)
Enabled
Enabled
3.3.23 Domain Member:
Disable machine account
password changes
Disabled
Disabled
3.3.24 Domain Member:
Maximum machine account
password age
30 days
30 days
3.3.25 Domain Member:
Require strong
(Windows 2000, Windows XP,
or Windows Server
2003) session key
Enabled
Enabled
3.3.26 Interactive logon:
Display user information when
the session is locked
Do not display user
information
Do not display user
information
3.3.27 Interactive logon: Do
not display last user name
Enabled
Enabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
186
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
3.3.28 Interactive logon: Do not
require CTRL+ALT+DEL
Enterprise Client
(EC)
Specialized Security –
Limited Functionality (SSLF)
Disabled
Disabled
3.3.29 Interactive logon: Message
See Appendix A
text for users attempting to log on
See Appendix A
3.3.30 Interactive logon: Message “Login
title for users attempting to log on Notification”
“Login Notification”
3.3.31 Interactive logon: Number
of previous logons to cache (in
case domain controller is not
available)
0
0
3.3.32 Interactive logon: Prompt
user to change password before
expiration
14 days
14 days
3.3.33 Interactive logon: Require
Domain Controller authentication
to unlock Workstation
Enabled
Enabled
3.3.34 Interactive logon: Require
smart card
Disabled
Disabled
3.3.35 Interactive logon: Smart
card removal Behavior
Lock Workstation Lock Workstation
3.3.36 Microsoft network client:
Digitally sign communications
(always)
Enabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enabled
187
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Enterprise Client
(EC)
Specialized Security –
Limited Functionality (SSLF)
3.3.37 Microsoft network client:
Digitally sign communications (if
server agrees)
Enabled
Enabled
3.3.38 Microsoft network client:
Send unencrypted password to
third-party SMB servers
Disabled
Disabled
3.3.39 Microsoft network server:
Amount of idle time required
before suspending session
15 minutes
15 minutes
3.3.40 Microsoft network server:
Digitally sign communications
(always)
Enabled
Enabled
3.3.41 Microsoft network server:
Digitally sign communications (if
client agrees)
Enabled
Enabled
3.3.42 Microsoft network server:
Disconnect clients when logon
hours expire
Enabled
Enabled
3.3.43 Network access: Allow
anonymous SID/NAME translation
Disabled
Disabled
3.3.44 Network access: Do not
allow anonymous enumeration of
SAM accounts
Enabled
Enabled
3.3.45 Network access: Do not
allow anonymous enumeration of
SAM accounts and shares
Enabled
Enabled
Setting
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
188
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality (SSLF)
3.3.46 Network access: Do
not allow storage of
credentials or .NET
Passports for network
authentication
Enabled
Enabled
3.3.47 Network access: Let
Everyone permissions apply
to anonymous users
Disabled
Disabled
3.3.48 Named Pipes that
can be accessed
Anonymously
COMNAP, COMNODE,
SQL\QUERY,
SPOOLSS, LLSRPC,
netlogon, lsarpc, samr,
browser
COMNAP, COMNODE,
SQL\QUERY,
SPOOLSS, LLSRPC,
netlogon, lsarpc, samr,
browser
System\
CurrentControlSet\
Control\
Product Options;
System\
CurrentControlSet\
Control\
Product Options;
System\
CurrentControlSet\
Control\
System\
CurrentControlSet\
Control\
Server Applications;
Server Applications;
Software\Microsoft\
Software\Microsoft\
Windows NT\Current
Windows NT\Current
Version
Version
3.3.49 Remotely accessible
registry paths
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
189
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality (SSLF)
3.3.50 Remotely accessible
Default Value
registry paths and sub-paths
Default Value
3.3.51 Restrict anonymous
access to Named Pipes and
Shares
Enabled
Enabled
3.3.52 Shares that can be
accessed Anonymously
None
None
3.3.53 Sharing and security
model for local Accounts
Classic—local users
authenticate as
themselves
Classic—local users
authenticate as themselves
3.3.54 Network security: Do
not store LAN Manager
hash value on next assword
Change
Enabled
Enabled
3.3.55 Network security:
Force logoff when
logon hours expire
Enabled
Enabled
3.3.56 Network security:
Send NTLMv2
LAN Manager authentication response only\refuse
level
LM
Send NTLMv2 response
only\refuse LM & NTLM
3.3.57 Network security:
LDAP client signing
Requirements
Negotiate signing
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Negotiate signing
190
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
3.3 Security Options
Enterprise Client
(EC)
Specialized Security –
Limited Functionality (SSLF)
3.3.58 Network security: Minimum
session security for NTLM SSP
based (including secure RPC)
clients
Enabled all
settings
Enabled all settings
3.3.59 Network security: Minimum
session security for NTLM SSP
based (including secure RPC)
servers
Enabled all
settings
Enabled all settings
3.3.60 Recovery console: Allow
automatic administrative logon
Disabled
Disabled
3.3.61 Recovery console: Allow
floppy copy and access to all
drives and all folders
Enabled
Disabled
3.3.62 Shutdown: Allow system to
be shut down without having to
log on
Disabled
Disabled
3.3.63 Shutdown: Clear virtual
memory page File
Disabled
Disabled
3.3.64 System cryptography:
Force strong key protection for
user keys stored on the computer
User is prompted
User must enter a password
when the key is
each time they use a key
first used
3.3.65 System cryptography: Use
FIPS compliant algorithms for
encryption, hashing, and signing
Disabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enabled
191
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
3.3 Security Options
Enterprise Client
(EC)
3.3.66 System objects: Default
owner for objects created by
members of the Administrators
group
Object creator
3.3.67 System objects: Require
case insensitivity for non-Windows Enabled
Specialized Security –
Limited Functionality (SSLF)
Object creator
Enabled
Subsystems
3.3.68 System objects: Strengthen
default permissions of internal
Enabled
system objects (for example,
Symbolic Links)
Enabled
3.3.69 System settings: Optional
subsystems
None
None
3.3.70 System settings: Use
Certificate Rules on Windows
Executables for Software
Restriction Policies
Disabled
Enabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
192
(Network and Computer Security Specialist: NCS) ระดับที 3
STEP 4 :: Logs
Event Log
Enterprise Client
Specialized Security –
Setting
(EC)
Limited Functionality (SSLF)
4.1 Maximum application log size 16384 KB
16384 KB
4.2 Maximum security log size
81920 KB
81920 KB
4.3 Maximum system log size
16384 KB
16384 KB
4.4 Prevent local guests group
Enabled
Enabled
from accessing application log
4.5 Prevent local guests group
Enabled
Enabled
from accessing security log
4.6 Prevent local guests group
Enabled
Enabled
from accessing system log
4.7 Retain application log
Not Defined
Not Defined
4.8 Retain security log
Not Defined
Not Defined
4.9 Retain system log
Not Defined
Not Defined
4.10 Retention method for
As needed
As needed
application log
4.11 Retention method for
As needed
As needed
security log
4.12 Retention method for system As needed
As needed
log
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
193
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
STEP 5 :: System Services
5.1 Note the Old Startup Configuration for services
Setting
Automatic
5.1 Alerter
5.2 Application Layer Gateway
Service
5.3 Application Management
5.4 ASP.NET State Services
5.5 Automatic Updates
5.6 Background Intelligent
Transfer Service
5.7 Certificate Services
5.8 Client Service for NetWare
5.9 Clipbook
5.10 Cluster Service
5.11 COM+ Event System
5.12 COM+ System
Application
5.13 Computer Browser
5.14 Cryptographic Services
5.15 DHCP Client
5.16 DHCP Server
5.17 Distributed File System
5.18 Distributed Link Tracking
Client
5.19 Distributed Link Tracking
Server
5.20 Distributed Transaction
Coordinator
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Manual
Disabled
194
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.21 DNS Client
5.22 DNS Server
5.23 Error Reporting Service
5.24 Event Log
5.25 Fax Service
5.26 File Replication Service
5.27 File Server for Macintosh
5.28 FTP Publishing Service
5.29 Help and Support
5.30 HTTP SSL
5.31 Human Interface Device
Access
5.32 IAS Jet Database Access
5.33 IIS Admin Service
5.34 IMAPI CDROM Burning
Service
5.35 Indexing Service
5.36 Internet Authentication
Service
5.37 Intersite Messaging
5.38 IP Version 6 Helper
Service
5.39 IPSEC Services
5.40 Kerberos Key Distribution
Center
5.41 License Logging
5.42 Logical Disk Manager
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
195
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.43 Logical Disk Manager
Administrative Service
5.44 Message Queuing
5.45 Message Queuing Down
Level Clients
5.46 Message Queuing
Triggers
5.47 Messenger
5.48 Microsoft POP3 Service
5.49 MSSQL$UDDI
5.50 MSSQLServerADHelper
5.51 Microsoft Software
Shadow Copy Provider
5.52 .NET Framework Support
Service
5.52 Net Logon
5.53 NetMeeting Remote
Desktop Sharing
5.54 Network Connections
5.55 Network DDE
5.56 Network DDE DSDM
5.57 Network Location
Awareness(NLA)
5.58 Network News Transfer
Protocol (NNTP)
5.59 NTLM Security Support
Provider
5.60 Performance Logs and
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
196
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
Alerts
5.61 Plug and Play
5.62 Portable Media Serial
Number Service
5.63 Print Server for Macintosh
5.64 Print Spooler
5.65 Protected Storage
5.66 QoS RSVP
5.67 Remote Access Auto
Connection Manager
5.68 Remote Access
Connection Manager
5.69 Remote Administration
Service
5.70 Remote Desktop Help
Session Manager
5.71 Remote Installation
5.72 Remote Procedure Call
(RPC)
5.73 Remote Procedure Call
(RPC) Locator
5.74 Remote Registry
5.75 Remote Server Manager
5.76 Remote Server Monitor
5.77 Remote Storage
Notification
5.78 Remote Storage Server
5.79 Removable Storage
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
197
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.80 Resultant Set of Policy
Provider
5.81 Routing and Remote
Access
5.82 SAP
5.83 Secondary Logon
5.84 Security Accounts
Manager
5.85 Server
5.86 Shell Hardware Detection
5.87 Simple Mail Transfer
Protocol (SMTP)
5.88 Simple TCP/IP Services
5.89 Single Instance Storage
Groveler
5.90 Smart Card
5.91 SNMP Service
5.92 SNMP Trap Service
5.93 Special Administration
Console Helper
5.94 SQLAgent$* (*UDDI or
WebDB)
5.95 System Event Notification
5.96 Task Scheduler
5.97 TCP/IP NetBIOS Helper
5.98 TCP/IP Print Server
5.99 Telephony
5.100 Telnet
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
198
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.101 Terminal Services
5.102 Terminal Services
Licensing
5.103 Terminal Service Session
Discovery
5.104 Themes
5.105 Trivial FTP Daemon
5.106 Uninterruptible Power
Supply
5.107 Upload Manager
5.108 Virtual Disk Service
5.109 Volume Shadow Copy
5.110 WebClient
5.111 Web Element Manager
5.112 Windows Audio
5.113 Windows Firewall/
Internet Connection Sharing
(ICS)
5.114 Windows Image
Acquisition(WIA)
5.115 Windows Installer
5.116 Windows Internet Name
Service (WINS)
5.117 Windows Management
Instrumentation
5.118 Windows Management
Instrumentation Driver
Extensions
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
199
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.119 Windows Media Services
5.120 Windows System
Resource Manager
5.121 Windows Time
5.122 WinHTTP Web Proxy
Auto-Discovery Service
5.123 Wireless Configuration
5.124 WMI Performance
Adapter
5.125 Workstation
5.126 World Wide Web
Publishing Service
Automatic
Manual
Disabled
5.2 Set the recommended startup configuration for services
Setting
5.1 Alerter
5.2 Application Layer Gateway
Service
5.3 Application Management
5.4 ASP.NET State Services
5.5 Automatic Updates
5.6 Background Intelligent
Transfer Service
5.7 Certificate Services
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Disabled
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Manual
Manual
Disabled
Disabled
Automatic
Disabled
Disabled
Automatic
Manual
Manual
Disabled
Disabled
Enterprise Client
(EC)
200
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.8 Client Service for NetWare
5.9 Clipbook
5.10 Cluster Service
5.11 COM+ Event System
5.12 COM+ System Application
5.13 Computer Browser
5.14 Cryptographic Services
5.15 DHCP Client
5.16 DHCP Server
5.17 Distributed File System
5.18 Distributed Link Tracking
Client
5.19 Distributed Link Tracking
Server
5.20 Distributed Transaction
Coordinator
5.21 DNS Client
5.22 DNS Server
5.23 Error Reporting Service
5.24 Event Log
5.25 Fax Service
5.26 File Replication Service
5.27 File Server for Macintosh
5.28 FTP Publishing Service
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Manual
Manual
Disabled
Disabled
Automatic
Automatic
Automatic
Automatic
Automatic
Automatic
Disabled, unless Disabled, unless
acting as a DHCP acting as a DHCP
server
server
Automatic
Automatic
Enterprise Client
(EC)
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Automatic
Automatic
Disabled
Automatic
Disabled
Automatic
Disabled
Disabled
Automatic
Automatic
Disabled
Automatic
Disabled
Automatic
Disabled
Disabled
201
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.29 Help and Support
5.30 HTTP SSL
5.31 Human Interface Device
Access
5.32 IAS Jet Database Access
5.33 IIS Admin Service
5.34 IMAPI CDROM Burning
Service
5.35 Indexing Service
5.36 Internet Authentication
Service
5.37 Intersite Messaging
5.38 IP Version 6 Helper Service
5.39 IPSEC Services
5.40 Kerberos Key Distribution
Center
5.41 License Logging
5.42 Logical Disk Manager
5.43 Logical Disk Manager
Administrative Service
5.44 Message Queuing
5.45 Message Queuing Down
Level Clients
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Disabled
Disabled
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Enterprise Client
(EC)
Automatic, if
using SMTP for
intersite
replication
Disabled
Automatic
Disabled
Automatic
Automatic
Automatic
Disabled
Manual
Disabled
Manual
Manual
Manual
Disabled
Disabled
Disabled
Disabled
Automatic, if using
SMTP for intersite
replication
202
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Disabled
Disabled, unless
using a UPS
Disabled
Disabled
Disabled
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Disabled, unless using
a UPS
Disabled
Disabled
Disabled
Manual
Manual
Disabled
Disabled
Automatic
Automatic
Disabled
Disabled
5.54 Network Connections
Manual
Manual
5.55 Network DDE
Disabled
Disabled
5.56 Network DDE DSDM
Disabled
Disabled
Manual
Manual
Disabled
Disabled
Automatic
Automatic
Manual
Manual
Automatic
Automatic
Setting
5.46 Message Queuing Triggers
5.47 Messenger
5.48 Microsoft POP3 Service
5.49 MSSQL$UDDI
5.50 MSSQLServerADHelper
5.51 Microsoft Software Shadow
Copy Provider
5.52 .NET Framework Support
Service
5.52 Net Logon
5.53 NetMeeting Remote
Desktop Sharing
5.57 Network Location
Awareness(NLA)
5.58 Network News Transfer
Protocol (NNTP)
5.59 NTLM Security Support
Provider
5.60 Performance Logs and
Alerts
5.61 Plug and Play
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enterprise Client
(EC)
203
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Disabled
Disabled
Disabled
Automatic
Not Applicable
Disabled
Disabled
Automatic
Not Applicable
Disabled
Disabled
Disabled
Disabled
Manual
Manual
Disabled
Disabled
Disabled
Disabled
Automatic
Automatic
Disabled
Disabled
5.74 Remote Registry
Automatic
Automatic
5.75 Remote Server Manager
5.76 Remote Server Monitor
5.77 Remote Storage Notification
5.78 Remote Storage Server
5.79 Removable Storage
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Setting
5.62 Portable Media Serial
Number Service
5.63 Print Server for Macintosh
5.64 Print Spooler
5.65 Protected Storage
5.66 QoS RSVP
5.67 Remote Access Auto
Connection Manager
5.68 Remote Access Connection
Manager
5.69 Remote Administration
Service
5.70 Remote Desktop Help
Session Manager
5.71 Remote Installation
5.72 Remote Procedure Call
(RPC)
5.73 Remote Procedure Call
(RPC) Locator
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
204
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.80 Resultant Set of Policy
Provider
5.81 Routing and Remote
Access
5.82 SAP
5.83 Secondary Logon
5.84 Security Accounts Manager
5.85 Server
5.86 Shell Hardware Detection
5.87 Simple Mail Transfer
Protocol (SMTP)
5.88 Simple TCP/IP Services
5.89 Single Instance Storage
Groveler
5.90 Smart Card
5.91 SNMP Service
5.92 SNMP Trap Service
5.93 Special Administration
Console Helper
5.94 SQLAgent$* (*UDDI or
WebDB)
5.95 System Event Notification
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
Automatic
Automatic
Disabled
Disabled
Disabled
Disabled
Automatic
Automatic
Disabled
Automatic, if
using SMTP for
replication
Disabled
Disabled
Disabled
Automatic
Automatic
Disabled
Disabled
Disabled
Automatic, if
using smart cards
Disabled unless
required in your
network
Disabled
Automatic, if using
smart cards
Disabled unless
required in your
network
Disabled
Disabled
Disabled
Disabled
Disabled
Automatic
Automatic
Automatic, if using
SMTP for replication
Disabled
205
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.96 Task Scheduler
5.97 TCP/IP NetBIOS Helper
5.98 TCP/IP Print Server
5.99 Telephony
5.100 Telnet
5.101 Terminal Services
5.102 Terminal Services
Licensing
5.103 Terminal Service Session
Discovery
5.104 Themes
5.105 Trivial FTP Daemon
5.106 Uninterruptible Power
Supply
5.107 Upload Manager
5.108 Virtual Disk Service
5.109 Volume Shadow Copy
5.110 WebClient
5.111 Web Element Manager
5.112 Windows Audio
5.113 Windows Firewall/Internet
Connection Sharing (ICS)
5.114 Windows Image
Acquisition(WIA)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Manual
Automatic
Disabled
Disabled
Disabled
Automatic
Specialized Security –
Limited Functionality
(SSLF)
Manual
Automatic
Disabled
Disabled
Disabled
Automatic
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Automatic, if
using a UPS;
Otherwise,
Disabled
Disabled
Disabled
Manual
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Enterprise Client
(EC)
Automatic, if using a
UPS; Otherwise,
Disabled
Disabled
Disabled
Manual
Disabled
Disabled
Disabled
206
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.115 Windows Installer
5.116 Windows Internet Name
Service (WINS)
5.117 Windows Management
Instrumentation
5.118 Windows Management
Instrumentation Driver
Extensions
5.119 Windows Media Services
5.120 Windows System
Resource Manager
5.121 Windows Time
5.122 WinHTTP Web Proxy AutoDiscovery Service
5.123 Wireless Configuration
5.124 WMI Performance Adapter
5.125 Workstation
5.126 World Wide Web
Publishing Service
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enterprise Client
(EC)
Manual
Disabled, unless
the domain
controllers is
hosting a WINNS
Server
Specialized Security –
Limited Functionality
(SSLF)
Manual
Disabled, unless the
domain controllers is
hosting a WINNS
Server
Automatic
Automatic
Manual
Manual
Disabled
Disabled
Disabled
Disabled
Automatic
Automatic
Disabled
Disabled
Disabled
Manual
Automatic
Disabled
Manual
Automatic
Disabled
Disabled
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
207
(Network and Computer Security Specialist: NCS) ระดับที 3
Optional ::
PacketFiltering -- Domain Controller
:IPSec Policy Definition
netsh ipsec static add policy name="Packet Filters - DC" description="Server
Hardening Policy" assign=no
:IPSec Filter List Definitions
netsh ipsec static add filterlist name="CIFS/SMB Server" description="Server
Hardening"
netsh ipsec static add filterlist name="DNS Server" description="Server Hardening"
netsh ipsec static add filterlist name="LDAP Server" description="Server Hardening"
netsh ipsec static add filterlist name="GC Server" description="Server Hardening"
netsh ipsec static add filterlist name="Kerberos Server" description="Server
Hardening"
netsh ipsec static add filterlist name="NetBIOS Server" description="Server
Hardening"
netsh ipsec static add filterlist name="NTP Server" description="Server Hardening"
netsh ipsec static add filterlist name="RPC Server" description="Server Hardening"
netsh ipsec static add filterlist name="Predefined RPC Range Server"
description="Server Hardening"
netsh ipsec static add filterlist name="Terminal Server" description="Server
Hardening"
netsh ipsec static add filterlist name="DC Communications" description="Server
Hardening"
netsh ipsec static add filterlist name="ICMP" description="Server Hardening"
netsh ipsec static add filterlist name="Monitoring" description="Server Hardening"
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
208
(Network and Computer Security Specialist: NCS) ระดับที 3
netsh ipsec static add filterlist name="ALL Inbound Traffic" description="Server
Hardening"
:IPSec Filter Action Definitions
netsh ipsec static add filteraction name=SecPermit description="Allows Traffic to
Pass" action=permit
netsh ipsec static add filteraction name=Block description="Blocks Traffic"
action=block
:IPSec Filter Definitions
netsh ipsec static add filter filterlist="CIFS/SMB Server" srcaddr=any dstaddr=me
description="CIFS/SMB Server Traffic" protocol=TCP srcport=0 dstport=445
netsh ipsec static add filter filterlist="CIFS/SMB Server" srcaddr=any dstaddr=me
description="CIFS/SMB Server Traffic" protocol=UDP srcport=0 dstport=445
netsh ipsec static add filter filterlist="DNS Server" srcaddr=any dstaddr=me
description="DNS Server Traffic" protocol=TCP srcport=0 dstport=53
netsh ipsec static add filter filterlist="DNS Server" srcaddr=any dstaddr=me
description="DNS Server Traffic" protocol=UDP srcport=0 dstport=53
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57901
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57902
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57903
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57904
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57905
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
209
(Network and Computer Security Specialist: NCS) ระดับที 3
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57906
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57907
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57908
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57909
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57910
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57911
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57912
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57913
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57914
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57915
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57916
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57917
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57918
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57919
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
210
(Network and Computer Security Specialist: NCS) ระดับที 3
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57920
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57921
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57922
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57923
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57924
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57925
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57926
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57927
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57928
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57929
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57930
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57931
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57932
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57933
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
211
(Network and Computer Security Specialist: NCS) ระดับที 3
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57934
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57935
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57936
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57937
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57938
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57939
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57940
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57941
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57942
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57943
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57944
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57945
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57946
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57947
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
212
(Network and Computer Security Specialist: NCS) ระดับที 3
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57948
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57949
netsh ipsec static add filter filterlist="Predefined RPC Range Server" srcaddr=any
dstaddr=me description="RPC Ports IN" protocol=TCP srcport=0 dstport=57950
netsh ipsec static add filter filterlist="GC Server" srcaddr=any dstaddr=me
description="GC Server Traffic" protocol=TCP srcport=0 dstport=3268
netsh ipsec static add filter filterlist="GC Server" srcaddr=any dstaddr=me
description="GC Server Traffic" protocol=TCP srcport=0 dstport=3269
netsh ipsec static add filter filterlist="Kerberos Server" srcaddr=any dstaddr=me
description="Kerberos Server Traffic" protocol=TCP srcport=0 dstport=88
netsh ipsec static add filter filterlist="Kerberos Server" srcaddr=any dstaddr=me
description="Kerberos Server Traffic" protocol=UDP srcport=0 dstport=88
netsh ipsec static add filter filterlist="LDAP Server" srcaddr=any dstaddr=me
description="LDAP Server Traffic" protocol=TCP srcport=0 dstport=389
netsh ipsec static add filter filterlist="LDAP Server" srcaddr=any dstaddr=me
description="LDAP Server Traffic" protocol=UDP srcport=0 dstport=389
netsh ipsec static add filter filterlist="LDAP Server" srcaddr=any dstaddr=me
description="LDAP Server Traffic" protocol=TCP srcport=0 dstport=636
netsh ipsec static add filter filterlist="LDAP Server" srcaddr=any dstaddr=me
description="LDAP Server Traffic" protocol=UDP srcport=0 dstport=636
netsh ipsec static add filter filterlist="NetBIOS Server" srcaddr=any dstaddr=me
description="NetBIOS Server Traffic" protocol=TCP srcport=0 dstport=137
netsh ipsec static add filter filterlist="NetBIOS Server" srcaddr=any dstaddr=me
description="NetBIOS Server Traffic" protocol=UDP srcport=0 dstport=137
netsh ipsec static add filter filterlist="NetBIOS Server" srcaddr=any dstaddr=me
description="NetBIOS Server Traffic" protocol=TCP srcport=0 dstport=138
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
213
(Network and Computer Security Specialist: NCS) ระดับที 3
netsh ipsec static add filter filterlist="NetBIOS Server" srcaddr=any dstaddr=me
description="NetBIOS Server Traffic" protocol=UDP srcport=0 dstport=138
netsh ipsec static add filter filterlist="NetBIOS Server" srcaddr=any dstaddr=me
description="NetBIOS Server Traffic" protocol=TCP srcport=0 dstport=139
netsh ipsec static add filter filterlist="NetBIOS Server" srcaddr=any dstaddr=me
description="NetBIOS Server Traffic" protocol=UDP srcport=0 dstport=139
netsh ipsec static add filter filterlist="NTP Server" srcaddr=any dstaddr=me
description="NTP Server Traffic" protocol=TCP srcport=0 dstport=123
netsh ipsec static add filter filterlist="NTP Server" srcaddr=any dstaddr=me
description="NTP Server Traffic" protocol=UDP srcport=0 dstport=123
netsh ipsec static add filter filterlist="RPC Server" srcaddr=any dstaddr=me
description="RPC Server Traffic" protocol=TCP srcport=0 dstport=135
netsh ipsec static add filter filterlist="RPC Server" srcaddr=any dstaddr=me
description="RPC Server Traffic" protocol=UDP srcport=0 dstport=135
netsh ipsec static add filter filterlist="Terminal Server" srcaddr=any dstaddr=me
description="Terminal Server Traffic" protocol=TCP srcport=0 dstport=3389
netsh ipsec static add filter filterlist="ICMP" srcaddr=any dstaddr=me
description="ICMP Traffic" protocol=ICMP srcport=0 dstport=0
netsh ipsec static add filter filterlist="ALL Inbound Traffic" srcaddr=any dstaddr=me
description="ALL Inbound Traffic" protocol=any srcport=0 dstport=0
REM NOTE: IP Address or server names of Domain Controllers must be hardcoded
into the dstaddr of the Domain Member filters defined below
netsh ipsec static add filter filterlist="DC Communications" srcaddr=me
dstaddr=<Insert DC #1> description="Traffic to Domain Controller" protocol=any
srcport=0 dstport=0
netsh ipsec static add filter filterlist="DC Communications" srcaddr=me
dstaddr=<Insert DC #2> description="Traffic to Domain Controller" protocol=any
srcport=0 dstport=0
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
214
(Network and Computer Security Specialist: NCS) ระดับที 3
REM NOTE: IP Address or server name of Monitoring server must be hardcoded
into Monitoring filter defined below
netsh ipsec static add filter filterlist="Monitoring" srcaddr=<Insert MOM Server>
dstaddr=me description="Monitoring Traffic" protocol=any srcport=0 dstport=0
:IPSec Rule Definitions
netsh ipsec static add rule name="CIFS/SMB Server" policy="Packet Filters - DC"
filterlist="CIFS/SMB Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="DNS Server Rule" policy="Packet Filters - DC"
filterlist="DNS Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="GC Server Rule" policy="Packet Filters - DC"
filterlist="GC Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="Kerberos Server Rule" policy="Packet Filters - DC"
filterlist="Kerberos Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="LDAP Server Rule" policy="Packet Filters - DC"
filterlist="LDAP Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="NetBIOS Server Rule" policy="Packet Filters - DC"
filterlist="NetBIOS Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="NTP Server Rule" policy="Packet Filters - DC"
filterlist="NTP Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="RPC Server" policy="Packet Filters - DC"
filterlist="RPC Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="Predefined RPC Range Server Rule"
policy="Packet Filters - DC" filterlist="Predefined RPC Range Server" kerberos=yes
filteraction=SecPermit
netsh ipsec static add rule name="Terminal Server Rule" policy="Packet Filters - DC"
filterlist="Terminal Server" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="DC Communications Rule" policy="Packet Filters DC" filterlist="DC Communications" kerberos=yes filteraction=SecPermit
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
215
(Network and Computer Security Specialist: NCS) ระดับที 3
netsh ipsec static add rule name="ICMP Rule" policy="Packet Filters - DC"
filterlist="ICMP" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="Monitoring Rule" policy="Packet Filters - DC"
filterlist="Monitoring" kerberos=yes filteraction=SecPermit
netsh ipsec static add rule name="ALL Inbound Traffic Rule" policy="Packet Filters DC" filterlist="ALL Inbound Traffic" kerberos=yes filteraction=Block
Domain Controller Security Recommendations
You must take the following security measures to secure and prevent attacks against
Windows Server 2003 Domain Controllers :
• Provide physical security
• Leave domain controller computer accounts in the Domain
Controllers OU
• Increase the security of stored password
- Do not implement protocols that require passwords to be
stored in a reversibly encrypted format or digest
authentication for Web applications
- Disable LAN Manager(LM) hash values in the Active
Directory database
- Enable password complexity at the domain
English uppercase letters
A, B, C, … Z
English lowercase letters
a, b, c, … z
Westernized Arabic numerals
1, 2, … 9
Nonalphanumeric characters
!, @, #, spaces,
characters that can be
produced only by
pressing the Alt key,
and so on
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
216
(Network and Computer Security Specialist: NCS) ระดับที 3
• Eliminate nonessential services
• Develop the baseline domain controller settings in a security
template
• Apply the security template in a separate GPO linked to the Domain
Controllers OU
• Protect against the failure of a domain controller
- By performing regular backups of your domain controller
- By implementing at least two domain controllers for each
domain
• Secure built-in accounts and groups
• Enable auditing and increase log size settings
• Store baseline security templates in a central, secure location
• Restrict who can manage and link GPOs
• Secure Active Directory communications
- Implementing SMB Signing
- Disabling Anonymous Connections
- Implementing IPSec filters to limit traffic accepted by
domain controllers
• Limit which users can authenticate at the domain controller console
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
217
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
APPENDIX ::
Additional Registry Entries
Security Consideration for Network Attacks
You can add the registry values in the following table to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Param
eters\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Specialized
Enterprise Client Security – Limited
(EC)
Functionality
(SSLF)
EnableICMPRedirect
DWORD
0
0
SynAttackProtect
DWORD
1
1
EnableDeadGWDetect
DWORD
0
0
KeepAliveTime
DWORD
300,000
300,000
DisableIPSourceRouting
DWORD
2
2
TcpMaxConnectResponseRet
DWORD
ransmissions
2
2
TcpMaxDataRetransmissions
DWORD
3
3
PerformRouterDiscovery
DWORD
0
0
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
218
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Configure NetBIOS Name Release Security : Allow the computer to ignore NetBIOS
name release requests except from WINS Servers
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Netbt\Param
eters\
subkey.
TCP/IP Registry Entry Recommendations
Enterprise
Specialized Security
Registry Entry
Format
Client
– Limited
(EC)
Functionality (SSLF)
MSS:
(NoNameReleaseOnDeman
d) Allow the computer to
ignore NetBIOS name
release requests except
from WINS servers
DWORD
1
1
Disable Auto Generation of 8.3 File Names : Enable the computer to stop
generating 8.3 style filenames
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\FileSystem\
subkey.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
219
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS:
(NtfsDisable8dot3NameCre
ation) Enable the computer
to stop generating 8.3 style
filenames (recommended)
DWORD
0
Specialized Security
– Limited
Functionality (SSLF)
1
Disable Autorun : Disable Autorun for all drives
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Policies\Explorer\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
MSS:
(NoDriveTypeAutoRun)
Disable Autorun for all
drives (recommended)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Format
Enterprise Client
(EC)
Specialized Security
– Limited
Functionality (SSLF)
DWORD
0xFF
0xFF
220
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Make Screensaver Password Protection Immediate : The time in seconds before the
screen saver grace period expires (0 recommended)
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
Winlogon\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS:
(ScreenSaverGracePeriod)
The time in seconds before
the screen saver grace
period expires (0
recommended)
String
0
Specialized Security
– Limited
Functionality (SSLF)
0
Security Log Near Capacity Warning : Percentage threshold for the security event
log at which the system will generate a warning
Note: If you configure log settings to Overwrite events as needed or Overwrite
events older than x days, this event will not be generated.
You can add this registry value to the security template file in the
HKEY_LOCAL_MACHINE\
SYSTEM\CurrentControlSet\Services\Eventlog\Security\ subkey.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
221
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS: (WarningLevel)
Percentage threshold for
the security event log at
which the system will
generate a warning
DWORD
90
Specialized Security
– Limited
Functionality (SSLF)
90
Enable Safe DLL Search Order : Enable Safe DLL Search mode (recommended)
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Control\Session
Manager\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
MSS:
(SafeDllSearchMode)
Enable Safe DLL search
mode (recommended)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Format
Enterprise Client
(EC)
Specialized Security
– Limited
Functionality (SSLF)
DWORD
1
1
222
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Automatic Reboot : Allow Windows to automatically restart after a system crach
This entry, when enabled, permits a server to automatically reboot after a fatal crash.
It is enabled by default, which is undesirable on highly secure servers.
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\CrashControl\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
Specialized Security
– Limited
Functionality (SSLF)
1
0
MSS: (AutoReboot) Allow
Windows to automatically
restart after a system crash DWORD
(recommended except for
highly secure environments)
Automatic Logon : Enable Automatic Logon
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
Winlogon\ subkey.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
223
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
TCP/IP Registry Entry Recommendations
Registry Entry
Format
MSS: (AutoAdminLogon)
Enable Automatic Logon DWORD
(not recommended)
Enterprise Client
(EC)
Specialized Security
– Limited
Functionality (SSLF)
0
0
Administratrative Shares : Enable Administrative Shares
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RasMan\Para
meters\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS: (AutoShareWks)
Enable Administrative
Shares (recommended
except for highly secure
environments)
DWORD
1
Specialized Security
– Limited
Functionality (SSLF)
0
Disable Saved Passwords : Prevent the dial-up password from being saved
You can add this registry value to the template file in the
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
224
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanSere\
Parameters\ subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS:
(DisableSavePassword)
Prevent the dial-up
password from being
saved (recommended)
DWORD
1
Specialized Security
– Limited
Functionality (SSLF)
1
Enable IPSec to protect Kerberos RSVP Traffic : Enable NoDefaultExempt for IPSec
Filtering
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IPSEC\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS: (NoDefaultExempt)
Enable NoDefaultExempt
for IPSec Filtering
(recommended)
DWORD
3
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Specialized Security
– Limited
Functionality (SSLF)
3
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
225
(Network and Computer Security Specialist: NCS) ระดับที 3
Appendix A
Use statement below for Security Option\Interactive logon: Message text for users
attempting to log on.
“Any access to the ICT computer system or data must be authorized and shall
comply with the ICT policies, regulations, criteria and/or memorandum regarding IT
Security (“IT Rules”). Any breach of IT Rules will be punished and is subject to
criminal prosecution. ICT may monitor, intercept, record, read, copy, or capture and
disclose any use of the computer system or data stored in any type of media by the
users.”
6.3.2 สําหรับ Application Server (Windows Server 2000, 2003)
Microsoft Windows Server 2003 Security
STEP 1 :: General Configuration
1.1 Verify that all disk partitions are formatted with NTFS
1.2 Install latest service packs and critical patches
1.3 Install anti-virus software and updates
1.4 Install personal firewall
1.5 Backup System Configuration and Local Security Policy
1.6 Manage User Account
1.6.1 Disable or delete unnecessary accounts
1.6.2 Add New user and assign as a member of administrators group
1.6.3 Log off Administrator
1.6.4 Log on new user created in 1.6.2
1.6.5 Rename Administrator account at Security Option\Rename administrator
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
226
(Network and Computer Security Specialist: NCS) ระดับที 3
account.
1.6.6 Add New user and assign as a member of administrators group
1.6.7 Disable Administrator account at Security Option\Administrator account
status
1.7 Disable the autorun feature on the CD-ROM drive
1.7.1Run the Registry Editor (REGEDIT.EXE).
1.7.2 Navigate to
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom.
1.7.3 Double-click the Autorun value, and type 0 for its value. (If it's not there,
create it by
selecting Edit -> New -> DWORD Value, and typing "Autorun" for its
name.)
1.7.4 You may have to log out and then log back in for this change to take
effect.
1.8 Disable the Administrative Share
1.8.1Run the Registry Editor (REGEDIT.EXE).
1.8.2 Navigate to
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
LanManServer\Parameters
1.8.3 Double-click the AutoShareServer value, and type 0 for its value. (If it's
not there,
create it by selecting Edit -> New -> DWORD Value, and typing "Auto" for
its name.)
1.8.4 You may have to log out and then log back in for this change to take
effect.
1.9 Disable all unnecessary shares
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
227
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
STEP 2 : Account Policies
2.1 Password Policy
24 passwords
remembered
42 days
1 day
12 characters
Specialized Security
– Limited
Functionality (SSLF)
24 passwords
remembered
42 days
1 day
14 characters
Enabled
Enabled
Disabled
Disabled
Enterprise Client
(EC)
Setting
2.1.1 Enforce password history
2.1.2 Maximum password age
2.1.3 Minimum password age
2.1.4 Minimum password length
2.1.5 Password must meet complexity
Requirements
2.1.6 Store passwords using reversible
Encryption
2.2 Account Lockout Policy
Setting
2.2.1 Account lockout duration
Enterprise Client
(EC)
30 minutes
20 invalid login
2.2.2 Account lockout threshold
attempts
2.2.3 Reset account lockout counter after 30 minutes
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Specialized Security
– Limited
Functionality (SSLF)
15 minutes
10 invalid login
attempts
15 minutes
228
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
STEP 3 :: Local Policies
3.1 Audit Policy
Enterprise Client
(EC)
Setting
3.1.1 Audit account logon events
3.1.2 Audit account management
3.1.3 Audit directory service access
3.1.4 Audit logon events
3.1.5 Audit object access
3.1.6 Audit policy change
3.1.7 Audit privilege use
3.1.8 Audit process tracking
3.1.9 Audit system events
Success, Failure
Success, Failure
Failure
Success, Failure
Success, Failure
Success
Failure
No auditing
Success
Specialized Security
– Limited
Functionality (SSLF)
Success, Failure
Success, Failure
Failure
Success, Failure
Success, Failure
Success
Failure
No auditing
Success
3.2 User Rights Assignment
Setting
Enterprise Client
(EC)
3.2.1 Access this computer from
the network
Administrators, Users,
Power Users, Backup
Operators
3.2.2 Act as part of the operating
system
Not Defined
3.2.3 Add workstations to domain Administrators
3.2.4 Adjust memory quotas for a
process
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Administrators,
NETWORK SERVICE,
LOCAL SERVICE
Specialized Security –
Limited Functionality
(SSLF)
Administrators,
Authenticated Users,
ENTERPRISE DOMAIN
CONTROLLERS
No one
Administrators
Administrators,
NETWORK SERVICE,
LOCAL SERVICE
229
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.2.5 Allow log on locally
Administrators, Users,
Backup Operators,
Power Users
3.2.6 Allow log on through
Terminal Services
Administrators and
Administrators
Remote Desktop Users
3.2.7 Back up files and
directories
Administrators,
Backup Operators
Administrators
3.2.8 Bypass traverse checking
Administrators, Users,
Backup Operators,
Power Users
Authenticated Users
3.2.9 Change the system time
Administrators,
LOCAL SERVICE,
Power Users
Administrators,
LOCAL SERVICE
3.2.10 Create a pagefile
Administrators
Administrators
3.2.11 Create a token object
Not Defined
No one
3.2.12 Create global objects
Administrators,
SERVICE
Administrators,
SERVICE
3.2.13 Create permanent shared
objects
Not Defined
No one
3.2.14 Debug programs
Administrators
No one
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Administrators
230
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Specialized Security –
Limited Functionality
(SSLF)
Setting
Enterprise Client
(EC)
3.2.15 Deny access to this
computer from the network
ANONYMOUS LOGON;
Guests;
Support_388945a0; all
NON-Operating System
service accounts
ANONYMOUS LOGON;
Guests;
Support_388945a0; all
NON-Operating System
service accounts
3.2.16 Deny logon as a
batch job
Guests;
Support_388945a0
Guests;
Support_388945a0;
3.2.17 Deny logon as a
service
Not Defined
No one
3.2.18 Deny logon locally
Guests;
Support_388945a0;
Guests;
Support_388945a0;
3.2.19 Deny logon through
Terminal Services
Guests
Guests
3.2.20 Enable computer
and user accounts to be
trusted for delegation
Administrators
Administrators
3.2.21 Force shutdown from
Administrators
a remote system
Administrators
3.2.22 Generate security
audits
NETWORK SERVICE,
LOCAL SERVICE
NETWORK SERVICE,
LOCAL SERVICE
3.2.23 Impersonate a client
after authentication
Administrators, SERVICE Administrators, SERVICE
3.2.24 Increase scheduling
priority
Administrators
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Administrators
231
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.2.25 Load and unload
device drivers
Administrators
Administrators
3.2.26 Lock pages in
memory
Not Defined
No one
3.2.27 Log on as a batch
job
LOCAL SERVICE
LOCAL SERVICE
3.2.28 Log on as a service
NETWORK SERVICE
NETWORK SERVICE
3.2.29 Manage auditing and
Administrators
security log
Administrators
3.2.30 Modify firmware
environment values
Administrators
Administrators
3.2.31 Perform volume
maintenance tasks
Administrators
Administrators
3.2.32 Profile single
process
Administrators, Power
Users
Administrators
3.2.33 Profile system
performance
Administrators
Administrators
3.2.34 Remove computer
from docking station
Administrators, Power
Users
Administrators
3.2.35 Replace a process
level token
LOCAL SERVICE,
NETWORK SERVICE
LOCAL SERVICE,
NETWORK SERVICE
3.2.36 Restore files and
directories
Administrators, Backup
Operators
Administrators
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
232
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.2 User Rights Assignment
Enterprise Client
(EC)
Setting
Specialized Security –
Limited Functionality
(SSLF)
3.2.37 Shut down the
system
Administrators, Backup
Operators, Power Users
Administrators
3.2.38 Synchronize
directory service data
Not Defined
No one
3.2.39 Take ownership of
files or other objects
Administrators
Administrators
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.3.1 Accounts: Administrator
account status
Note :
-
-
If Administrator account
can be renamed and
disabled as
recommendation in STEP
1 General Configuration
[ 1.6.5 and 1.6.6 ]
If Administrator account
can not be renamed and
disabled as
recommendation in STEP
1 General Configuration [
1.6.5 and 1.6.6 ]
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Disabled
Disabled
Enabled
Enabled
233
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
3.3.2 Accounts: Guest account
status
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Disabled
Enabled
Enabled
Administrator
Administrator
Guest
Guest
3.3.6 Audit: Audit the access of
global system objects
Disabled
Disabled
3.3.7 Audit: Audit the use of
Backup and Restore privilege
Disabled
Disabled
Disabled
Disabled
Not Defined
Not Defined
3.3.10 DCOM: Machine Launch
Restrictions in Security Descriptor
Definition Language (SDDL) syntax
Not Defined
Not Defined
3.3.11 Devices: Allow undock
without having to log on
Disabled
Disabled
3.3.3 Accounts: Limit local account
use of blank passwords to console
logon only
3.3.4 Accounts: Rename
administrator account
3.3.5 Accounts: Rename guest
account
3.3.8 Audit: Shut down system
immediately if unable to log
security audits
3.3.9 DCOM: Machine Access
Restrictions in Security Descriptor
Definition Language (SDDL)
syntax
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
234
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.3.12 Devices: Allowed to format
and eject removable media
Administrators
Administrators
3.3.13 Devices: Prevent users from
installing printer drivers
Enabled
Enabled
3.3.14 Devices: Restrict CD-ROM
access to locally logged-on user
only
Disabled
Enabled
3.3.15 Devices: Restrict floppy
access to locally logged-on user
only
Disabled
Enabled
Warn but allow
installation
Do not allow installation
Disabled
Disabled
Not Defined
Require signing
Disabled
Disabled
3.3.16 Devices: Unsigned driver
installation behavior
3.3.17 Domain Controller: Allow
server operators to schedule tasks
3.3.18 Domain Controller: LDAP
server signing requirements
3.3.19 Domain Controller: Refuse
machine account password
change
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
235
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.3.20 Domain Member: Digitally
encrypt or sign secure channel
data (always)
Enabled
Enabled
3.3.21 Domain Member: Digitally
encrypt secure channel data
(when possible)
Enabled
Enabled
3.3.22 Domain Member: Digitally
sign secure channel data (when
possible)
Enabled
Enabled
3.3.23 Domain Member: Disable
machine account password
changes
Disabled
Disabled
3.3.24 Domain Member: Maximum
30 days
machine account password age
30 days
3.3.25 Domain Member: Require
strong (Windows 2000,
Windows XP, or Windows Server
2003) session key
Enabled
Enabled
3.3.26 Interactive logon: Display
Do not display user
user information when the session
information
is locked
Do not display user
information
3.3.27 Interactive logon: Do not
display last user name
Enabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enabled
236
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Enterprise Client
(EC)
Setting
Specialized Security –
Limited Functionality
(SSLF)
3.3.28 Interactive logon: Do not
require CTRL+ALT+DEL
Disabled
Disabled
3.3.29 Interactive logon: Message
text for users attempting to log on
See Appendix A
See Appendix A
3.3.30 Interactive logon: Message
title for users attempting to log on
“Login Notification”
“Login Notification”
3.3.31 Interactive logon: Number
of previous logons to cache (in
case domain controller is not
available)
0
0
3.3.32 Interactive logon: Prompt
user to change password before
expiration
14 days
14 days
3.3.33 Interactive logon: Require
Domain Controller authentication
to unlock workstation
Enabled
Enabled
3.3.34 Interactive logon: Require
smart card
Disabled
Disabled
3.3.35 Interactive logon: Smart
card removal behavior
Lock Workstation
Lock Workstation
3.3.36 Microsoft network client:
Digitally sign communications
(always)
Enabled
Enabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
237
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.3.37 Microsoft network client: Digitally
Enabled
sign communications (if server agrees)
Enabled
3.3.38 Microsoft network client: Send
unencrypted password to third-party
SMB servers
Disabled
Disabled
3.3.39 Microsoft network server:
Amount of idle time required before
suspending session
15 minutes
15 minutes
3.3.40 Microsoft network server:
Digitally sign communications (always)
Enabled
Enabled
3.3.41 Microsoft network server:
Digitally sign communications (if client
agrees)
Enabled
Enabled
3.3.42 Microsoft network server:
Disconnect clients when logon hours
expire
Enabled
Enabled
3.3.43 Network access: Allow
anonymous SID/NAME translation
Disabled
Disabled
3.3.44 Network access: Do not allow
anonymous enumeration of SAM
accounts
Enabled
Enabled
3.3.45 Network access: Do not allow
anonymous enumeration of SAM
accounts and shares
Enabled
Enabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
238
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.3.46 Network access: Do not
allow storage of credentials or .NET
Enabled
Passports for network
authentication
Enabled
3.3.47 Network access: Let
Everyone permissions apply to
anonymous users
Disabled
Disabled
COMNAP, COMNODE, COMNAP, COMNODE,
3.3.48 Named Pipes that can be
accessed anonymously
SQL\QUERY,
SQL\QUERY,
SPOOLSS, LLSRPC,
SPOOLSS, LLSRPC,
netlogon, lsarpc, samr, netlogon, lsarpc, samr,
browser
browser
System\
CurrentControlSet\
Control\
Product Options;
System\
CurrentControlSet\
Control\
Product Options;
System\
3.3.49 Remotely accessible registry CurrentControlSet\
paths
Control\
System\
CurrentControlSet\
Control\
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Server Applications;
Server Applications;
Software\Microsoft\
Software\Microsoft\
Windows NT\Current
Windows NT\Current
Version
Version
239
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.3.50 Remotely accessible registry
Default Value
paths and sub-paths
Default Value
3.3.51 Restrict anonymous access
to Named Pipes and Shares
Enabled
Enabled
None
None
3.3.53 Sharing and security model
for local accounts
Classic—local users
authenticate as
themselves
Classic—local users
authenticate as
themselves
3.3.54 Network security: Do not
store LAN Manager hash value on
next password change
Enabled
Enabled
3.3.55 Network security: Force
logoff when logon hours expire
Enabled
Enabled
3.3.56 Network security: LAN
Manager authentication level
Send NTLMv2
response only\refuse
LM
Send NTLMv2
response only\refuse
LM & NTLM
3.3.57 Network security: LDAP
client signing requirements
Negotiate signing
Negotiate signing
3.3.58 Network security: Minimum
session security for NTLM SSP
based (including secure RPC)
clients
Enabled all settings
Enabled all settings
3.3.52 Shares that can be accessed
anonymously
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
240
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
3.3.59 Network security: Minimum
session security for NTLM SSP based
(including secure RPC) servers
Enabled all
settings
Enabled all settings
3.3.60 Recovery console: Allow
automatic administrative logon
Disabled
Disabled
3.3.61 Recovery console: Allow floppy
copy and access to all drives and all
folders
Enabled
Disabled
3.3.62 Shutdown: Allow system to be
shutdown without having to log on
Disabled
Disabled
3.3.63 Shutdown: Clear virtual memory
page file
Disabled
Disabled
3.3.64 System cryptography: Force
strong key protection for user keys
stored on the computer
User is prompted
when the key is
first used
User must enter a
password each time
they use a key
3.3.65 System cryptography: Use FIPS
compliant algorithms for encryption,
hashing, and signing
Disabled
Enabled
3.3.66 System objects: Default owner
for objects created by members of the
Administrators group
Object creator
Object creator
3.3.67 System objects: Require case
insensitivity for non-Windows
subsystems
Enabled
Enabled
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
241
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.3 Security Options
Enterprise Client
(EC)
Setting
Specialized Security –
Limited Functionality
(SSLF)
3.3.68 System objects: Strengthen
default permissions of internal system
objects (for example, Symbolic Links)
Enabled
Enabled
3.3.69 System settings: Optional
subsystems
None
None
3.3.70 System settings: Use Certificate
Rules on Windows Executables for
Software Restriction Policies
Disabled
Enabled
STEP 4 :: Logs
Event Log
Setting
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
4.1 Maximum application log size
16,384 KB
16,384 KB
4.2 Maximum security log size
81,920 KB
81,920 KB
4.3 Maximum system log size
16,384 KB
16,384 KB
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
242
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
STEP 5 :: System Services
5.1 Note the Old Startup Configuration for services
Setting
5.1 Alerter
5.2 Application Layer Gateway
Service
5.3 Application Management
5.4 Automatic Updates
5.5 Background Intelligent
Transfer Service
5.6 Clipbook
5.7 COM+ Event System
5.8 COM+ System Application
5.9 Computer Browser
5.10 Cryptographic Services
5.11 DHCP Client
5.12 Distributed File System
5.13 Distributed Link Tracking
Client
5.14 Distributed Link Tracking
Server
5.15 Distributed Transaction
Coordinator
5.16 DNS Client
5.17 Error Reporting Service
5.18 Event Log
5.19 File Replication Service
5.20 Help and Support
5.21 HTTP SSL
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
243
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.22 Human Interface Device
Access
5.23 IMAPI CDROM Burning
Service
5..24 Indexing Service
5.25 Intersite Messaging
5.26 IPSEC Services
5.27 Kerberos Key Distribution
Center
5.28 License Logging
5.29 Logical Disk Manager
5.30 Logical Disk Manager
Administrative Service
5.31 Messenger
5.32 Microsoft Software Shadow
Copy Provider
5.33 Net Logon
5.34 NetMeeting Remote Desktop
Sharing
5.35 Network Connections
5.36 Network DDE
5.37 Network DDE DSDM
5.38 Network Location
Awareness(NLA)
5.39 NTLM Security Support
Provider
5.40 Performance Logs and
Alerts
5.41 Plug and Play
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
244
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.42 Portable Media Serial
Number Service
5.43 Print Spooler
5.44 Protected Storage
5.45 Remote Access Auto
Connection Manager
5.46 Remote Access Connection
Manager
5.47 Remote Desktop Help
Session Manager
5.48 Remote Procedure Call
(RPC)
5.49 Remote Procedure Call
(RPC) Locator
5.50 Remote Registry
5.51 Removable Storage
5.52 Resultant Set of Policy
Provider
5.53 Routing and Remote Access
5.54 Secondary Logon
5.55 Security Accounts Manager
5.56 Server
5.57 Shell Hardware Detection
5.58 Smart Card
5.59 Special Administration
Console Helper
5.60 System Event Notification
5.61 Task Scheduler
5.62 TCP/IP NetBIOS Helper
5.63 Telephony
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
245
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.64 Telnet
5.65 Terminal Services
5.66 Terminal Service Session
Discovery
5.67 Themes
5.68 Uninterruptible Power
Supply
5.69 Virtual Disk Service
5.70 Volume Shadow Copy
5.71 WebClient
5.72 Windows Audio
5.73 Windows Firewall/Internet
Connection Sharing (ICS)
5.74 Windows Image
Acquisition(WIA)
5.75 Windows Installer
5.76 Windows Management
Instrumentation
5.77 Windows Management
Instrumentation Driver Extensions
5.78 Windows Time
5.79 WinHTTP Web Proxy AutoDiscovery Service
5.80 Wireless Configuration
5.81 WMI Performance Adapter
5.82 Workstation
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Automatic
Manual
Disabled
246
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
5.2 Set the recommended startup configuration for services
Setting
5.1 Alerter
5.2 Application Layer Gateway
Service
5.3 Application Management
5.4 Automatic Updates
5.5 Background Intelligent
Transfer Service
5.6 Clipbook
5.7 COM+ Event System
5.8 COM+ System Application
5.9 Computer Browser
5.10 Cryptographic Services
5.11 DHCP Client
5.12 Distributed File System
5.13 Distributed Link Tracking
Client
5.14 Distributed Link Tracking
Server
5.15 Distributed Transaction
Coordinator
5.16 DNS Client
5.17 Error Reporting Service
5.18 Event Log
5.19 File Replication Service
5.20 Help and Support
5.21 HTTP SSL
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Disabled
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Manual
Manual
Disabled
Automatic
Disabled
Automatic
Manual
Manual
Disabled
Manual
Disabled
Automatic
Automatic
Automatic
Automatic
Disabled
Manual
Disabled
Automatic
Automatic
Automatic
Automatic
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Automatic
Disabled
Automatic
Automatic
Disabled
Disabled
Automatic
Disabled
Automatic
Automatic
Disabled
Disabled
Enterprise Client
(EC)
247
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.22 Human Interface Device
Access
5.23 IMAPI CDROM Burning
Service
5.24 Indexing Service
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
Disabled
Disabled
Disabled
Disabled
Disabled
Automatic, if using
SMTP for intersite
replication
Automatic
Disabled
Automatic, if using SMTP
for intersite replication
Automatic
Automatic
Disabled
Manual
Disabled
Manual
Manual
Manual
5.31 Messenger
Disabled, unless
using a UPS
Disabled, unless using a
UPS
5.32 Microsoft Software Shadow
Copy Provider
Manual
Manual
5.33 Net Logon
Automatic
Automatic
5.25 Intersite Messaging
5.26 IPSEC Services
5.27 Kerberos Key Distribution
Center
5.28 License Logging
5.29 Logical Disk Manager
5.30 Logical Disk Manager
Administrative Service
Automatic
5.34 NetMeeting Remote Desktop
Disabled
Sharing
Disabled
5.35 Network Connections
5.36 Network DDE
Manual
Disabled
Manual
Disabled
5.37 Network DDE DSDM
Disabled
Disabled
5.38 Network Loction
Awareness(NLA)
Manual
Manual
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
248
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.39 NTLM Security Support
Provider
5.40 Performance Logs and
Alerts
5.41 Plug and Play
5.42 Portable Media Serial
Number Service
5.43 Print Spooler
5.44 Protected Storage
5.45 Remote Access Auto
Connection Manager
5.46 Remote Access Connection
Manager
5.47 Remote Desktop Help
Session Manager
5.48 Remote Procedure Call
(RPC)
5.49 Remote Procedure Call
(RPC) Locator
5.50 Remote Registry
5.51 Removable Storage
5.52 Resultant Set of Policy
Provider
5.53 Routing and Remote Access
5.54 Secondary Logon
5.55 Security Accounts Manager
5.56 Server
5.57 Shell Hardware Detection
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
Automatic
Automatic
Manual
Manual
Automatic
Automatic
Disabled
Disabled
Disabled
Automatic
Disabled
Automatic
Disabled
Disabled
Disabled
Disabled
Disabled
Disabled
Automatic
Automatic
Disabled
Disabled
Automatic
Disabled
Automatic
Disabled
Automatic
Automatic
Disabled
Disabled
Automatic
Automatic
Disabled
Disabled
Disabled
Automatic
Automatic
Disabled
249
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.58 Smart Card
5.59 Special Administration
Console Helper
5.60 System Event Notification
5.61 Task Scheduler
5.62 TCP/IP NetBIOS Helper
5.63 Telephony
5.64 Telnet
5.65 Terminal Services
5.66 Terminal Service Session
Discovery
5.67 Themes
5.68 Uninterruptible Power
Supply
5.69 Virtual Disk Service
5.70 Volume Shadow Copy
5.71 WebClient
5.72 Windows Audio
Automatic, if using
smart cards
Specialized Security –
Limited Functionality
(SSLF)
Automatic, if using smart
cards
Disabled
Disabled
Automatic
Manual
Automatic
Disabled
Disabled
Automatic
Automatic
Manual
Automatic
Disabled
Disabled
Automatic
Disabled
Disabled
Disabled
Automatic, if using
a UPS; Otherwise,
Disabled
Disabled
Manual
Disabled
Disabled
Disabled
Enterprise Client
(EC)
Automatic, if using a UPS;
Otherwise, Disabled
Disabled
Manual
Disabled
Disabled
5.73 Windows Firewall/Internet
Connection Sharing (ICS)
Disabled
Disabled
5.74 Windows Image
Acquisition(WIA)
Disabled
Disabled
5.75 Windows Installer
Manual
Manual
5.76 Windows Management
Instrumentation
Automatic
Automatic
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
250
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Setting
5.77 Windows Management
Instrumentation Driver
Extensions
5.78 Windows Time
5.79 WinHTTP Web Proxy AutoDiscovery Service
5.80 Wireless Configuration
5.81 WMI Performance Adapter
5.82 Workstation
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Enterprise Client
(EC)
Specialized Security –
Limited Functionality
(SSLF)
Manual
Manual
Automatic
Automatic
Disabled
Disabled
Disabled
Manual
Automatic
Disabled
Manual
Automatic
251
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
APPENDIX ::
Additional Registry Entries
Security Consideration for Network Attacks
You can add the registry values in the following table to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\
subkey.
TCP/IP Registry Entry Recommendations
Specialized Security
– Limited
Functionality (SSLF)
Registry Entry
Format
Enterprise Client
(EC)
EnableICMPRedirect
DWORD
0
0
SynAttackProtect
DWORD
1
1
EnableDeadGWDetect
DWORD
0
0
KeepAliveTime
DWORD
300,000
300,000
DisableIPSourceRouting
DWORD
2
2
DWORD
2
2
DWORD
3
3
DWORD
0
0
TcpMaxConnectResponse
Retransmissions
TcpMaxDataRetransmissio
ns
PerformRouterDiscovery
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
252
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Configure NetBIOS Name Release Security : Allow the computer to ignore NetBIOS name
release requests except from WINS Servers
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Netbt\Parameters\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS:
(NoNameReleaseOnDema
nd) Allow the computer to
ignore NetBIOS name
release requests except
from WINS servers
DWORD
1
Specialized Security
– Limited
Functionality (SSLF)
1
Disable Auto Generation of 8.3 File Names : Enable the computer to stop generating 8.3
style filenames
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\FileSystem\
subkey.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
253
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS:
(NtfsDisable8dot3NameCre
ation) Enable the computer
to stop generating 8.3 style
filenames (recommended)
DWORD
0
Specialized Security
– Limited
Functionality (SSLF)
1
Disable Autorun : Disable Autorun for all drives
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policie
s\Explorer\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
MSS:
(NoDriveTypeAutoRun)
Disable Autorun for all
drives (recommended)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Format
Enterprise Client
(EC)
Specialized Security
– Limited
Functionality (SSLF)
DWORD
0xFF
0xFF
254
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Make Screensaver Password Protection Immediate : The time in seconds before the
screen saver grace period expires (0 recommended)
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
Winlogon\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS:
(ScreenSaverGracePeriod)
The time in seconds before
the screen saver grace
period expires (0
recommended)
String
0
Specialized Security
– Limited
Functionality (SSLF)
0
Security Log Near Capacity Warning : Percentage threshold for the security event log at
which the system will generate a warning
Note: If you configure log settings to Overwrite events as needed or Overwrite events older
than x days, this event will not be generated.
You can add this registry value to the security template file in the
HKEY_LOCAL_MACHINE\
SYSTEM\CurrentControlSet\Services\Eventlog\Security\
subkey.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
255
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS: (WarningLevel)
Percentage threshold for the
security event log at which
the system will generate a
warning
DWORD
90
Specialized Security
– Limited
Functionality (SSLF)
90
Enable Safe DLL Search Order : Enable Safe DLL Search mode (recommended)
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Control\Session Manager\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
MSS: (SafeDllSearchMode)
Enable Safe DLL search
mode (recommended)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Format
Enterprise Client
(EC)
Specialized Security
– Limited
Functionality (SSLF)
DWORD
1
1
256
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Automatic Reboot : Allow Windows to automatically restart after a system crach
This entry, when enabled, permits a server to automatically reboot after a fatal crash. It is
enabled by default, which is undesirable on highly secure servers.
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\CrashControl\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS: (AutoReboot) Allow
Windows to automatically
restart after a system crash
(recommended except for
highly secure
environments)
DWORD
1
Specialized Security
– Limited
Functionality (SSLF)
0
Automatic Logon : Enable Automatic Logon
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
Winlogon\
subkey.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
257
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
Specialized
Security – Limited
Functionality
(SSLF)
MSS: (AutoAdminLogon)
Enable Automatic Logon (not
recommended)
DWORD
0
0
Administratrative Shares : Enable Administrative Shares
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RasMan\Parameter
s\
subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
Specialized
Security – Limited
Functionality
(SSLF)
MSS: (AutoShareWks) Enable
Administrative Shares
(recommended except for
highly secure environments)
DWORD
1
0
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
258
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Disable Saved Passwords : Prevent the dial-up password from being saved
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\
Parameters\ subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS:
(DisableSavePassword)
Prevent the dial-up password
from being saved
(recommended)
DWORD
1
Specialized Security
– Limited
Functionality (SSLF)
1
Enable IPSec to protect Kerberos RSVP Traffic : Enable NoDefaultExempt for IPSec
Filtering
You can add this registry value to the template file in the
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IPSEC\ subkey.
TCP/IP Registry Entry Recommendations
Registry Entry
Format
Enterprise Client
(EC)
MSS: (NoDefaultExempt)
Enable NoDefaultExempt for
IPSec Filtering
(recommended)
DWORD
3
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Specialized Security
– Limited
Functionality (SSLF)
3
259
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
Appendix A
Use statement below for Security Option\Interactive logon: Message text for users
attempting to log on.
“Any access to the ICT computer system or data must be authorized and shall comply with
the ICT policies, regulations, criteria and/or memorandum regarding IT Security (“IT Rules”).
Any breach of IT Rules will be punished and is subject to criminal prosecution. ICT may
monitor, intercept, record, read, copy, or capture and disclose any use of the computer
system or data stored in any type of media by the users.”
6.3.3 สําหรับ Linux Redhat, Fedora Core Server Role: General
Red Hat Enterprise Linux and Fedora Core 1, 2, 3 & 4
Recommendation
Before performing the following step it is strongly recommended that administrators make
backup copies of critical configuration files that may get modified.
Action:
Create the shell script for back up file as below:
#!/bin/sh
ext=`date '+%Y%m%d-%H:%M:%S'`
for file in /etc/.login
/etc/X11/gdm/gdm.conf
/etc/cron.d/at.allow /etc/cron.d/at.deny
/etc/cron.d/cron.allow
/etc/cron.d/cron.deny
/etc/default/cron
/etc/default/inetinit \
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
\
\
\
260
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
/etc/default/init
/etc/default/keyserv
/etc/default/login /etc/default/passwd
/etc/default/syslogd
/etc/dt/config/*/Xresources
/etc/dt/config/*/sys.resources
/etc/dt/config/Xconfig
/etc/dt/config/Xservers
/etc/ftpd/banner.msg
/etc/ftpd/ftpaccess
/etc/ftpd/ftpusers
/etc/hosts.allow
/etc/hosts.deny
/etc/init.d/netconfig /etc/issue
/etc/mail/sendmail.cf /etc/motd
/etc/pam.conf
/etc/passwd
/etc/profile
/etc/rmmount.conf
/etc/security/audit_class
/etc/security/audit_control
/etc/security/audit_event
/etc/security/audit_startup
/etc/security/audit_user
/etc/security/policy.conf
/etc/shadow
/etc/ssh/ssh_config
/etc/ssh/sshd_config
/etc/syslog.conf
/etc/system
/usr/openwin/lib/app-defaults/XScreenSaver
do
[ -f $file ] && cp -p $file $file-preICT-$ext
done
mkdir -p -m 0700 /var/spool/cron/crontabs-preICT-$ext
cd /var/spool/cron/crontabs
tar cf - * | (cd ../crontabs-preICT-$ext; tar xfp -)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
\
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
1. Patches, Packages and Initial Lockdown
1.1. Apply latest OS Patches
1.2. Validate your system before making changes
1.3. Configure SSH
Action :
unalias cp rm mv
cd /etc/ssh
cp ssh_config ssh_config.tmp
awk '/^#? *Protocol/ { print "Protocol 2"; next };
{ print }' ssh_config.tmp > ssh_config
if [ "`egrep -l ^Protocol ssh_config`" == "" ]; then
echo 'Protocol 2' >> ssh_config
fi
rm ssh_config.tmp
Manually edit /etc/ssh/ssh_config to put “Protocol 2” under the “Host*” entry.
cp sshd_config sshd_config.tmp
awk '/^#? *Protocol/ { print "Protocol 2"; next };
/^#? *X11Forwarding/ \
{ print "X11Forwarding yes"; next };
/^#? *IgnoreRhosts/ \
{ print "IgnoreRhosts yes"; next };
/^#? *RhostsAuthentication/ \
{ print " RhostsAuthentication no"; next };
/^#? *RhostsRSAAuthentication/ \
{ print "RhostsRSAAuthentication no"; next };
/^#? *HostbasedAuthentication/ \
{ print "HostbasedAuthentication no"; next };
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
261
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
/^#? *PermitRootLogin/ \
{ print "PermitRootLogin no"; next };
/^#? *PermitEmptyPasswords/ \
{ print "PermitEmptyPasswords no"; next };
/^#? *Banner/ \
{ print "Banner /etc/issue.net"; next };
{print}' sshd_config.tmp > sshd_config
rm sshd_config.tmp
1.4. Enable System Accounting
Install Package sysstat
Action – Red Hat Enterprise Linux:
up2date –i sysstat
Action –Fedora Core:
yum install sysstat
1.5. Remove unnecessary software package
Action :
Use chkconfig command
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
262
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
263
(Network and Computer Security Specialist: NCS) ระดับที 3
2. Minimize xinetd network services
You will need to unalias the mv and cp commands as some commands overwrite files and
you may be prompted numerous times about overwriting these files: unalias mv cp
2.1. Disable standard services
Note: Bastille configuration does not cover all of these services
Action:
cd /etc/xinetd.d
for FILE in chargen chargen-udp cups-lpd cups daytime \
daytime-udp echo echo-udp eklogin finger gssftp imap \
imaps ipop2 ipop3 krb5-telnet klogin kshell ktalk ntalk \
pop3s rexec rlogin rsh rsync servers services sgi_fam \
talk telnet tftp time time-udp vsftpd wu-ftpd
do
chkconfig ${FILE} off
done
2.2. Configure TCP Wrappers and firewall to limit access
If there is no reason to allow unlimited network access to this server, then perform the
action below.
Action:
Deny access to this server from all networks:
echo "ALL: ALL" > /etc/hosts.deny
To allow access from the authorized networks, refer to the hosts.allow man page and
enter the service and the network in /etc/hosts.allow. At a minimum, you need to allow
localhost traffic. The following script will create a sample hosts.allow file that will allow
access to the locally connected networks:
printf "ALL: localhost" > /etc/hosts.allow
for I in `ifconfig | grep "inet addr" | cut -f2 -d: |
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
cut -f1-3 -d"." | grep -v ^127 | sort -n`; do
printf ", $I." >> /etc/hosts.allow;
done
echo >> /etc/hosts.allow
2.3. Disable telnet
Action : chkconfig telnet off
2.4. Disable FTP
Action – Red Hat Enterprise Linux 2.1: chkconfig wu-ftpd off
Action – Red Hat Enterprise Linux 3 / 4: chkconfig vsftpd off
Action – Fedora Core 1 / 2 / 3 / 4: chkconfig vsftpd off
2.5. Disable rlogin/rsh/rcp
Action:
chkconfig shell off
chkconfig rsh off
chkconfig login off
chkconfig rlogin off
2.6. Disable TFTPServer
Action:
chkconfig tftp off
2.7. Disable IMAP
Action:
chkconfig imaps off
2.8. Disable POP
Action:
chkconfig pop3s off
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
264
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3. Minimize boot services
3.1. Set Daemon umask
Action:
cd /etc/init.d
awk '($1=="umask") { if ($2 < "027") { $2="027";} }; \
{ print }' functions-preICT > functions
if [ `grep -c umask functions` -eq 0 ]; then
echo "umask 027" >> functions
fi
3.2. Disable xinetd
Action:
cd /etc/xinetd.d
if [ `find . -type f | \
xargs awk '($1=="disable" && $3=="no") {print}'\
| wc -l` -eq 0 ]; then
echo "Disabling xinetd"
chkconfig --level 12345 xinetd off
fi
3.3. Disable sendmail Server
Action:
cd /etc/sysconfig
if [ `grep -ci "daemon=no" sendmail` -ne 0 ]; then
cat <<END_ENTRIES > sendmail
DAEMON=no
QUEUE=1h
END_ENTRIES
chown root:root sendmail
chmod 644 sendmail
chkconfig sendmail off
fi
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
265
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.4. Disable GUI Login
Action:
sed -e 's/id:5:initdefault:/id:3:initdefault:/' \
< /etc/inittab-preICT > /etc/inittab
chown root:root /etc/inittab
chmod 0600 /etc/inittab
3.5. Disable X Font Server
Action:
chkconfig xfs off
3.6. Disable standard boot services
Action:
for FILE in apmd canna FreeWnn gpm hpoj innd irda isdn \
kdcrotate lvs mars-nwe oki4daemon privoxy rstatd \
rusersd rwalld rwhod spamassassin wine; do
service $FILE stop
chkconfig $FILE off
done
for FILE in nfs nfslock autofs ypbind ypserv yppasswdd \
portmap smb netfs lpd apache httpd tux snmpd \
named postgresql mysqld webmin kudzu squid cups \
ip6tables iptables pcmcia bluetooth mDNSResponder; do
service $FILE stop
chkconfig $FILE off
done
for USERID in rpc rpcuser lp apache http httpd named dns \
mysql postgres squid news netdump; do
usermod -L -s /sbin/nologin $USERID
done
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
266
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.7. Disable SMB (Windows File Sharing) Processes
Action:
chkconfig smb off
3.8. Disable NFS Server process
Action:
chkconfig --level 345 nfs off
3.9. Disable NFS client processes
Action:
chkconfig --level 345 nfslock off
chkconfig --level 345 autofs off
3.10. Disable NIS client processes
Action:
chkconfig ypbind off
3.11. Disable NIS Server processes
Action:
chkconfig ypserv off
chkconfig yppasswdd off
3.12. Disable RPC Portmap process
Action:
chkconfig --level 345 portmap off
3.13. Disable netfs script
If this machine is not sharing files via the NFS, Novell Netware or Windows File
Sharing protocols, then proceed with the actions below.
Action:
chkconfig --level 345 netfs off
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
267
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
268
(Network and Computer Security Specialist: NCS) ระดับที 3
3.14. Disable Printer Daemon
Action:
chkconfig cups off
chkconfig hpoj off
chkconfig lpd off
3.15. Disable Web Server processes
Action:
chkconfig apache off
chkconfig httpd off
chkconfig tux off
3.16. Disable SNMP
If hosts are not at this site remotely monitored by a tool (e.g., HP Open View, MRTG,
Cricket) that relies on SNMP, then proceed with the actions below.
Action:
chkconfig snmpd off
3.17. Disable DNS Server
Action:
chkconfig named off
3.18. Disable SQL Server processes
Action:
chkconfig postgresql off
chkconfig mysqld off
3.19. Disable Webmin
Action:
rpm -e webmin
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
3.20. Disable Squid Cache Server.
Action:
chkconfig squid off
3.21. Disable Kudzu Hardware Detection
Action:
chkconfig --level 345 kudzu off
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
269
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
4. Kernel Tuning
4.1. Network Parameter Modifications
Action:
cat /etc/sysctl.conf
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4.tcp_syncookies=1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
END_SCRIPT
chown root:root /etc/sysctl.conf
chmod 0600 /etc/sysctl.conf
4.2. Additional Network Parameter Modifications
Action:
cat /etc/sysctl.conf
net.ipv4.ip_forward = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
END_SCRIPT
chown root:root /etc/sysctl.conf
chmod 0600 /etc/sysctl.conf
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
270
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
5. Logging
5.1. Capture messages send to syslog AUTHPRIV facility
Action:
if [ `grep -v '^#' /etc/syslog.conf | grep -c 'authpriv'` -eq 0 ]; then
echo -e "authpriv.*\t\t\t\t/var/log/secure" >> /etc/syslog.conf
fi
touch /var/log/secure
chown root:root /var/log/secure
chmod 600 /var/log/secure
5.2. Turn on additional logging for FTP daemon
Action:
if [ -f /etc/ftpaccess ]; then
cd /etc/xinetd.d
awk '/server_args/ \
{ print " server_args = -l -a -d" ; next };
{ print }' wu-ftpd-preICT > wu-ftpd
chown root:root wu-ftpd
chmod 644 wu-ftpd
fi
if [ -f /etc/vsftpd.conf ]; then
FILE="/etc/vsftpd.conf"
else
FILE="/etc/vsftpd/vsftpd.conf"
fi
if [ -f $FILE ]; then
awk '/^#?xferlog_std_format/ \
{ print "xferlog_std_format=NO"; next };
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
271
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
/^#?log_ftp_protocol/ \
{ print "log_ftp_protocol=YES"; next };
{ print }' ${FILE}-preICT > ${FILE}
if [ `egrep -c log_ftp_protocol ${FILE}` == 0 ]; then
echo "log_ftp_protocol=YES" >> ${FILE}
fi
chmod 0600 $FILE
chown root:root $FILE
fi
5.3. Confirm permissions on system log files
Action:
cd /var/log
chmod o-rwx boot.log* cron* dmesg ksyms* httpd/* \
maillog* messages* news/* pgsql rpmpkgs* samba/* sa/* \
scrollkeeper.log secure* spooler* squid/* vbox/* wtmp
chmod o-rx boot.log* cron* maillog* messages* pgsql \
secure* spooler* squid/* sa/*
chmod g-w boot.log* cron* dmesg httpd/* ksyms* \
maillog* messages* pgsql rpmpkgs* samba/* sa/* \
scrollkeeper.log secure* spooler*
chmod g-rx boot.log* cron* maillog* messages* pgsql \
secure* spooler*
chmod o-w gdm/ httpd/ news/ samba/ squid/ sa/ vbox/
chmod o-rx httpd/ samba/ squid/ sa/
chmod g-w gdm/ httpd/ news/ samba/ squid/ sa/ vbox/
chmod g-rx httpd/ samba/ sa/
chmod u-x kernel syslog loginlog
chown -R root:root .
chgrp utmp wtmp
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
272
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
273
(Network and Computer Security Specialist: NCS) ระดับที 3
[ -e news ] && chown -R news:news news
[ -e pgsql ] && chown postgres:postgres pgsql
chown -R squid:squid squid
5.4. Configure syslogd to send logs to a remote LogHost
Action:
In the script below, replace loghost with the proper name (FQDN, if necessary) of
your loghost.
kern.warning;*.err;authpriv.none\t@loghost\n\
*.info;mail.none;authpriv.none;cron.none\t@loghost\n\
*.emerg\t@loghost\n\
local7.*\t@loghost\n" >> /etc/syslog.conf
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
6. File/Directory Permissions/Access
6.1. Add ‘nodev’ option to appropriate partitions in /etc/fstab
Action:
cp -p /etc/fstab /etc/fstab.tmp
awk '($3 ~ /^ext[23]$/ && $2 != "/") \
{ $4 = $4 ",nodev" }; \
{ print }' /etc/fstab.tmp > /etc/fstab
chown root:root /etc/fstab
chmod 0644 /etc/fstab
rm -f /etc/fstab.tmp
6.2. Add 'nosuid' and 'nodev' Option For Removable Media In /etc/fstab
Action:
cp -p /etc/fstab /etc/fstab.tmp
awk '($2 ~ /^\/m.*\/(floppy|cdrom)$/) && \
($4 !~ /,nodev,nosuid/) \
{ $4 = $4 "nodev,nosuid" }; \
{ print }' /etc/fstab.tmp > /etc/fstab
chown root:root /etc/fstab
chmod 0644 /etc/fstab
rm -f /etc/fstab.tmp
Additional Action – Red Hat Enterprise Linux 3 / 4 and Fedora Core 3 / 4 :
chattr +i /etc/fstab
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
274
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
275
(Network and Computer Security Specialist: NCS) ระดับที 3
6.3. Disable User-Mounted Removable File Systems
If there is not a mission-critical reason to allow unprivileged users to mount CD-ROMs
and
floppy disk file systems on this system, then perform the action below.
Action:
cd /etc/security
awk '($1 == "<console>") && ($3 !~ \
/sound|fb|kbd|joystick|v4l|mainboard|gpm|scanner/) \
{ $1 = "#<console>" }; \
{ print }' console.perms-preICT > console.perms
chown root:root console.perms
chmod 0600 console.perms
6.4. Verify passwd, shadow, and group File Permissions
Action:
cd /etc
chown root:root passwd shadow group
chmod 644 passwd group
chmod 400 shadow
6.5. World-Writable Directories Should Have Their Sticky Bit Set
Action:
commands:
for PART in `awk '($3 == "ext2" || $3 == "ext3") \
{ print $2 }' /etc/fstab`; do
find $PART -xdev -type d \
\( -perm -0002 -a ! -perm -1000 \) -print
done
There should be no entries returned.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
276
(Network and Computer Security Specialist: NCS) ระดับที 3
6.6. Find Unauthorized World-Writable Files
Action:
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {
print $2 }'`; do
find $PART -xdev -type f \
\( -perm -0002 -a ! -perm -1000 \) -print
Done
There should be no entries returned. If grub.conf shows up, its permissions will be
adjusted in step 7 System Access, Authentication, and Authorization (Set LILO/GRUB
Password)
6.7. Find Unauthorized SUID/SGID System Executables
Action:
Administrators who wish to obtain a list of the set-UID and set-GID programs
currently
installed on the system may run the following commands:
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {
print $2 }'`; do
find $PART \( -perm -04000 -o -perm -02000 \) \
-type f -xdev -print
Done
6.8. Find All Unowned Files
Action:
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {
print $2 }'`; do
find $PART -nouser -o -nogroup -print
done
There should be no entries returned.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
277
(Network and Computer Security Specialist: NCS) ระดับที 3
6.9. Disable USB Devices (AKA Hotplugger)
If there is not a mission-critical reason to allow use of PCMCIA or USB-based devices
on this
System, then perform the action below.
Action:
rpm -e pcmcia-cs
rpm -e kernel-pcmcia-cs
# All versions except RHEL 4 and Fedora Core 4:
rpm -e hotplug
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
7. System Access, Authentication, and Authorization
1. Remove .rhosts Support In PAM Configuration Files
Action:
for FILE in /etc/pam.d/*; do
grep -v rhosts_auth $FILE > ${FILE}.tmp
mv -f ${FILE}.tmp $FILE
chown root:root $FILE
chmod 644 $FILE
done
2. Create ftpusers Files
Action:
for NAME in `cut -d: -f1 /etc/passwd`; do
if [ `id -u $NAME` -lt 500 ]; then
echo $NAME >> /etc/ftpusers
fi
done
chown root:root /etc/ftpusers
chmod 600 /etc/ftpusers
if [ -e /etc/vsftpd.conf ] || \
[ -e /etc/vsftpd/vsftpd.conf ]; then
rm -f /etc/vsftpd.ftpusers
cp -fp /etc/ftpusers /etc/vsftpd.ftpusers
fi
3. Prevent X Server From Listening On Port 6000/tcp
Action:
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
278
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
if [ -e /etc/X11/xdm/Xservers ]; then
cd /etc/X11/xdm
awk '($1 !~ /^#/ && $3 == "/usr/X11R6X") \
{ $3 = $3 " -nolisten tcp" };
{ print }' Xservers-preICT > Xservers
chown root:root Xservers
chmod 444 Xservers
fi
if [ -e /etc/X11/gdm/gdm.conf ]; then
cd /etc/X11/gdm
awk -F= '($2 ~ /\/X$/) \
{ printf("%s -nolisten tcp\n", $0); next };
{ print }' gdm.conf-preICT > gdm.conf
chown root:root gdm.conf
chmod 644 gdm.conf
fi
if [ -d /etc/X11/xinit ]; then
cd /etc/X11/xinit
if [ -e xserverrc ]; then
awk '/X/ && !/^#/ \
{ print $0 " :0 -nolisten tcp \$@"; next }; \
{ print }' xserverrc-preICT > xserverrc
else
cat <<END > xserverrc
#!/bin/bash
exec X :0 -nolisten tcp \$@
END
fi
chown root:root xserverrc
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
279
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
280
(Network and Computer Security Specialist: NCS) ระดับที 3
chmod 755 xserverrc
fi
4. Restrict at/cron To Authorized Users
Action:
cd /etc/
rm -f cron.deny at.deny
echo root > cron.allow
echo root > at.allow
chown root:root cron.allow at.allow
chmod 400 cron.allow at.allow
5. Restrict Permissions On crontab Files
Action:
chown root:root /etc/crontab
chmod 400 /etc/crontab
chown -R root:root /var/spool/cron
chmod -R go-rwx /var/spool/cron
cd /etc
ls | grep cron | grep -v preICT | xargs chown -R root:root
ls | grep cron | grep -v preICT | xargs chmod -R go-rwx
6. Configure xinetd Access Control
Action:
Insert the following line into the "defaults" block in /etc/xinetd.conf:
only_from = <net>/<num_bits> <net>/<num_bits>
where each <net>/<num_bits> combination represents one network block in use by
your
organization. For example:
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
281
(Network and Computer Security Specialist: NCS) ระดับที 3
only_from = 192.168.1.0/24
would restrict connections to only the 192.168.1.0/24 network, with the netmask
255.255.255.0.
Note: There are two <TAB>'s between the only_from and the = in the above lines.
7. Restrict Root Logins To System Console
Action:
for i in `seq 1 6`; do
echo tty$i >> /etc/securetty
done
for i in `seq 1 11`; do
echo vc/$i >> /etc/securetty
done
echo console >> /etc/securetty
chown root:root /etc/securetty
chmod 400 /etc/securetty
8. Set LILO/GRUB Password
Action (if you have an /etc/lilo.conf file):
1. Add the following lines to the beginning of /etc/lilo.conf
restricted
password=<password>
Replace <password> with an appropriate password for your organization.
2. Execute the following commands as root:
chown root:root /etc/lilo.conf
chmod 600 /etc/lilo.conf
lilo
Action (if you have an /etc/grub.conf file):
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
282
(Network and Computer Security Specialist: NCS) ระดับที 3
1. Add this line to /etc/grub.conf before the first uncommented line.
password <password>
Replace <password> with an appropriate password for your organization.
2. Execute the following commands as root:
chown root:root /etc/grub.conf
chmod 600 /etc/grub.conf
9. Require Authentication For Single-User Mode
Action:
cd /etc
if [ "`grep -l sulogin inittab`" = "" ]; then
awk '{ print }; /^id:[0123456sS]:initdefault:/ \
{ print "~~:S:wait:/sbin/sulogin" }' \
inittab > inittab.tmp
mv -f inittab.tmp inittab
chown root:root inittab
chmod 644 inittab
fi
10 Restrict NFS Client Requests To Privileged Ports
Action:
Add the secure option to all entries in the /etc/exports file. The following Perl code
will perform this action automatically.
if [ -s /etc/exports ]; then
perl -i.orig -pe \
'next if (/^\s*#/ || /^\s*$/);
($res, @hst) = split(" ");
foreach $ent (@hst) {
undef(%set);
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
283
(Network and Computer Security Specialist: NCS) ระดับที 3
($optlist) = $ent =~ /\((.*?)\)/;
foreach $opt (split(/,/, $optlist)) {
$set{$opt} = 1;
}
delete($set{"insecure"});
$set{"secure"} = 1;
$ent =~ s/\(.*?\)//;
$ent .= "(" . join(",", keys(%set)) . ")";
}
$hst[0] = "(secure)" unless (@hst);
$_ = "$res\t" . join(" ", @hst) . "\n";' \
/etc/exports
fi
11. Only Enable syslog To Accept Messages If Absolutely Necessary
If this machine is a log server, or does it need to receive Syslog messages via the
network from other systems, then perform the action below.
Action:
Read syslog manpage for the -l, -r and -s options.
Edit /etc/init.d/syslog and look for the line that says:
SYSLOGD_OPTIONS="-m 0"
and add the entries that are appropriate for your site. An example entry would look
like this:
SYSLOGD="-m 0 -l loghost -r -s mydomain.com"
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
8. User Accounts and Environment
1. Block System Accounts
Action:
for NAME in `cut -d: -f1 /etc/passwd`; do
MyUID=`id -u $NAME`
if [ $MyUID -lt 500 -a $NAME != 'root' ]; then
usermod -L -s /sbin/nologin $NAME
fi
done
2. Verify That There Are No Accounts With Empty Password Fields
Action:
The command:
awk -F: '($2 == "") { print $1 }' /etc/shadow
should return no lines of output.
3. Set Account Expiration Parameters On Active Accounts
Action:
cd /etc
awk '($1 ~ /^PASS_MAX_DAYS/) { $2="90" }
($1 ~ /^PASS_MIN_DAYS/) { $2="7" }
($1 ~ /^PASS_WARN_AGE/) { $2="28" }
($1 ~ /^PASS_MIN_LEN/) { $2="6" }
{ print } ' login.defs-preICT > login.defs
chown root:root login.defs
chmod 640 login.defs
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
284
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
285
(Network and Computer Security Specialist: NCS) ระดับที 3
useradd -D -f 7
for NAME in `cut -d: -f1 /etc/passwd`; do
uid=`id -u $NAME`
if [ $uid -ge 500 -a $uid != 65534 ]; then
chage -m 7 -M 90 -W 28 -I 7 $NAME
fi
done
4. Verify No Legacy '+' Entries Exist In passwd, shadow, And group Files
Action:
The command:
grep ^+: /etc/passwd /etc/shadow /etc/group
should return no lines of output.
5. Verify That No UID 0 Accounts Exist Other Than Root
Action:
The command:
awk -F: '($3 == 0) { print $1 }' /etc/passwd
should return only the word "root".
6. No '.' or Group/World-Writable Directory In Root's $PATH
Action:
The automated testing tool supplied with this baseline will alert the administrator if
action is required.
To find ‘.’ in $PATH:
echo $PATH | egrep '(^|:)(\.|:|$)'
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
To find group- or world-writable directories in $PATH:
find `echo $PATH | tr ':' ' '` -type d \
\( -perm -002 -o -perm -020 \) -ls
These commands should produce no output.
7. User Home Directories Should Be Mode 750 or More Restrictive
Action:
for DIR in \
`awk -F: '($3 >= 500) { print $6 }' /etc/passwd`; do
chmod g-w $DIR
chmod o-rwx $DIR
done
8. No User Dot-Files Should Be World-Writable
Action:
for DIR in \
`awk -F: '($3 >= 500) { print $6 }' /etc/passwd`; do
for FILE in $DIR/.[A-Za-z0-9]*; do
if [ ! -h "$FILE" -a -f "$FILE" ]; then
chmod go-w "$FILE"
fi
done
done
9. Remove User .netrc Files
Action:
find / -name .netrc
for DIR in `cut -f6 -d: /etc/passwd`; do
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
286
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
287
(Network and Computer Security Specialist: NCS) ระดับที 3
if [ -e $DIR/.netrc ]; then
echo "Removing $DIR/.netrc"
rm -f $DIR/.netrc
fi
done
Remarks:
.netrc files may contain unencrypted passwords which may be used to attack other
systems. While the above modifications are relatively benign, making global
modifications to user home directories without alerting the user community can result
in unexpected outages and unhappy users. If the first command returns any results,
carefully evaluate the ramifications of removing those files before executing the
remaining commands as you may end up impacting an application that has not had
time to revise its architecture to a more secure design.
10. Set Default umask For Users
Action:
cd /etc
for FILE in profile csh.login csh.cshrc bashrc; do
if ! egrep -q 'umask.*77' $FILE ; then
echo "umask 077" >> $FILE
fi
chown root:root $FILE
chmod 444 $FILE
done
cd /root
for FILE in .bash_profile .bashrc .cshrc .tcshrc; do
if ! egrep -q 'umask.*77' $FILE ; then
echo "umask 077" >> $FILE # See description
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
288
(Network and Computer Security Specialist: NCS) ระดับที 3
fi
chown root:root $FILE
done
11. Disable Core Dumps
If you don’t have developers who need to debug crashed programs or send low-level
debugging
information to software developers/vendors, then perform the action below.
Action:
cd /etc/security
cat <<END_ENTRIES >> limits.conf
* soft core 0
* hard core 0
END_ENTRIES
12. Limit Access To The Root Account From su
Action:
WARNING: If you do not have immediate physical access to the server, ensure you
have a user in the wheel group before running the below script. Failure to do so will
prevent you from using su to become root.
cd /etc/pam.d/
awk '($1=="#auth" && $2=="required" && \
$3=="/lib/security/$ISA/pam_wheel.so") \
{ print "auth required
/lib/security/$ISA/pam_wheel.so use_uid"; next };
{ print }' /etc/pam.d-preICT/su > su
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
289
(Network and Computer Security Specialist: NCS) ระดับที 3
9. Warning Banners
1 Create Warnings For Network And Physical Access Services
Action:
1.1 Edit the banner currently in /etc/issue – this was created by Bastille and may
need to be hanged for your Enterprise. Leave the words “its owner” as this will be
replaced in the next step with the name of your organization.
1.2 Create banners for console access:
unalias cp mv
cd /etc
# Remove OS indicators from banners
for FILE in issue motd; do
cp -f ${FILE} ${FILE}.tmp
egrep -vi "redhat|kernel|fedora" ${FILE}.tmp > ${FILE}
rm -f ${FILE}.tmp
done
COMPANYNAME="ICT"
cp -f issue issue.tmp
sed -e "s/its owner/${ COMPANYNAME }/g" issue.tmp > issue
rm -f issue.tmp
if [ "`grep -i authorized /etc/issue`" == "" ]; then
echo " Please see Appendix A " >> /etc/issue
fi
if [ "`grep -i authorized /etc/motd`" == "" ]; then
echo " Please see Appendix A " >> /etc/motd
fi
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
1.3 Create banners for network access:
cp -fp /etc/issue /etc/issue.net
if [ "`grep -i authorized /etc/issue.net`" == "" ]; then
echo " Please see Appendix A " >> /etc/issue.net
fi
1.4 Protect banner:
chown root:root /etc/motd /etc/issue /etc/issue.net
chmod 644 /etc/motd /etc/issue /etc/issue.net
2. Create Warnings For GUI-Based Logins
Action:
if [ -e /etc/X11/xdm/Xresources ]; then
cd /etc/X11/xdm
awk '/xlogin*greeting:/ \
{ print "xlogin*greeting: Authorized uses only"; next };
{ print }' Xresources-preICT > Xresources
chown root:root Xresources
chmod 644 Xresources
fi
if [ -e /etc/X11/xdm/kdmrc ]; then
cd /etc/X11/xdm
awk '/GreetString=/ \
{ print "GreetString=Authorized uses only"; next };
{ print }' kdmrc-preICT > kdmrc
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
290
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
chown root:root kdmrc
chmod 644 kdmrc
fi
if [ -e /etc/X11/gdm/gdm.conf ]; then
cd /etc/X11/gdm
cp -pf gdm.conf gdm.conf.tmp
awk '/^Greeter=/ && /gdmgreeter/ \
{ printf("#%s\n", $0); next };
/^#Greeter=/ && /gdmlogin/ \
{ $1 = "Greeter=gdmlogin" }; /Welcome=/ \
{ print "Welcome=Authorized uses only"; next };
{ print }' gdm.conf.tmp > gdm.conf
rm -f gdm.conf.tmp
chown root:root gdm.conf
chmod 644 gdm.conf
fi
3. Create "authorized only" Banners For vsftpd, If Applicable
Action:
cd /etc
if [ -d vsftpd ]; then
cd vsftpd
fi
if [ -e vsftpd.conf ]; then
echo "ftpd_banner= use word in Appendix A" >> vsftpd.conf
fi
4. Reboot
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
291
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
292
(Network and Computer Security Specialist: NCS) ระดับที 3
Action:
init 6
10. Anti-Virus Consideration
11. Remove Backup Files
Action:
When you are certain your changes are successful, remove the backup files as they
will
have insecure contents and/or permissions/ownerships. By leaving these files on
your
system, an attacker can use the backup files as if they were the originals thereby
defeating
much of your efforts.
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
293
(Network and Computer Security Specialist: NCS) ระดับที 3
Appendix A
Use statement below for Warning banners.
“Any access to the ICT computer system or data must be authorized and shall comply with
the ICT policies, regulations, criteria and/or memorandum regarding IT Security (“IT Rules”).
Any breach of IT Rules will be punished and is subject to criminal prosecution. ICT may
monitor, intercept, record, read, copy, or capture and disclose any use of the computer
system or data stored in any type of media by the users.”
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
294
(Network and Computer Security Specialist: NCS) ระดับที 3
6.4 Computer Forensics
อาชญากรรมทางคอมพิวเตอร์ เป็ นอาชญากรรมทีถกู ยกระดับจากสภาพแวดล้ อมทาง
กายภาพมาเป็ นสภาพแวดล้ อมทางอิเล็กทรอนิกส์ซึงจับต้ องได้ ยาก ทําให้ วิธีการสืบสวนทีเคย
ใช้ ไม่ได้ ขึ Jนอยู่กับกฎเกณฑ์และข้ อบังคับแบบเดิม ตัวอย่างเช่น ระดับความสามารถในการ
ขโมยของ แต่เดิมนันจะขึ
J
Jนอยู่กับขนาดของสิงของนันทางกายภาพ
J
และข้ อจํากัดของผู้ขโมย
รวมถึงการเข้ าถึงสถานทีและจํานวนซึงสามารถนําไปได้ แต่ปัจจุบนั ผู้ขโมยสามารถดาวน์
โหลดข้ อมูลทังหมดโดยมิ
J
ต้องเข้ าถึงสถานทีนนั J หรื อไม่ต้องมีการยกอะไรเลย
6.4.1 กฎของหลักฐาน
ก่อนทีจะเจาะลึกถึงกระบวนการสืบสวนและพิสจู น์หลักฐานทางคอมพิวเตอร์
นันจํ
J าเป็ นว่าผู้สบื สวนจะต้ องเข้ าใจอย่างถ่องแท้ ถึงกฎของหลักฐาน การยืนหลักฐานประเภท
ใดเพือดําเนินการทางกฎหมายตามปรกตินบั เป็ นปั ญหาสําคัญ แต่เมือคอมพิวเตอร์ เข้ ามา
เกียวข้ อง ปั ญหาต่าง ๆ ก็เพิมขึ Jน ความรู้ พิเศษมีความจําเป็ นเพือทีจะค้ นหาและเก็บรวบรวม
หลักฐาน และการดูแลพิเศษมีความจําเป็ นเพือทีจะรักษาและเคลือนย้ ายหลักฐาน หลักฐาน
ในกรณีอาชญากรรมทางคอมพิวเตอร์ อาจจะแตกต่างจากรู ปแบบดังเดิ
J มของหลักฐานตราบ
เท่าทีหลักฐานทีเกียวข้ องกับคอมพิวเตอร์ นนไม่
ั J สามารถจับต้ องได้ กล่าวคืออยู่ในรู ปของคลืน
อิเล็กทรอนิกส์ หรื อคลืน แม่เหล็ก
ก่อนทีหลักฐานจะสามารถนํามาแสดงในกรณี ต่างๆ จะต้ องมีความสมบูรณ์
เกียวข้ อง และสําคัญต่อเรื องนันๆ
J และจะต้ องแสดงสอดคล้ องกับกฎของหลักฐาน สิงใดก็
ตามทีได้ มาตามกฎหมายทังทางตรงและทางอ้
J
อมซึง มีแนวโน้ มทีจะพิสจู น์ว่าบุคคลอาจจะต้ อง
รับผิดชอบต่อการกระทําความผิดทางอาญาสามารถนํามาแสดงได้ ตามกฎหมาย การพิสจู น์
อาจจะรวมถึงการให้ ปากคําของพยานหรื อการนําเสนอหลักฐานทีเป็ นลายลักษณ์ อกั ษรหรื อ
หลักฐานทางกายภาพ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
295
(Network and Computer Security Specialist: NCS) ระดับที 3
จากคําจํากัดความ “หลักฐาน” คือประเภทต่างๆ ของข้ อพิสจู น์หรื อการสืบสวน
เหตุการณ์ ซึงได้ มีการนําเสนอตามกฎหมายในการพิจารณาคดี โดย the act of the parties
และผ่านสือ ของหลักฐาน ได้ แก่ บันทึก เอกสาร สิง ของ และอืนๆ เพือวัตถุประสงค์ของการโน้ ม
น้ าวความเชือของศาลและลูกขุนเกียวกับข้ อโต้ แย้ งของบุคคลเหล่านันJ หากกล่าวอย่างสันๆ
J
หลัก ฐานคื อ สิง ซึ ง เสนอในศาลเพื อ พิ สูจ น์ ค วามจริ ง หรื อ เท็ จ ของข้ อ เท็ จ จริ ง ในเหตุก ารณ์
ในตอนนีจJ ะกล่าวถึงกฎของหลักฐานแต่ละข้ อทีเกี ยวข้ องกับการสืบสวนอาชญากรรมทาง
คอมพิวเตอร์
6.4.2 Chain of Custody
เมือได้ ยึดหลักฐานมาแล้ ว ขันJ ตอนต่อไปคือการเก็บดูแลรั กษาหลักฐานนันJ
เพือให้ หลักฐานไม่ถกู เปลียนแปลงโดยมิชอบ ซึงผู้ทีเกียวข้ องทุกคนจะต้ องปฏิบตั ิตามหน้ าที
ความรับผิดชอบอย่างเคร่งครัด โดย Chain of Custody จะแสดงถึง
•
ใครเป็ นผู้ได้ รับหลักฐาน
•
หลักฐานเป็ นอะไรบ้ าง
•
ได้ รับหลักฐานทีไหนและเมือไหร่
•
ใครเป็ นผู้รักษาความปลอดภัยหลักฐาน
•
ใครเป็ นผู้รับผิดชอบและควบคุมกระบวนการเก็บหลักฐาน
6.4.3 วงจรชีวิตของหลักฐาน
วงจรชีวิตของหลักฐานเริ มขึ Jนตังแต่
J การค้ นหาและเก็บหลักฐาน ไปจนถึงการ
คืนหลักฐานให้ แก่เจ้ าของหรื อผู้เสียหาย วงจรชีวิตมีดงั นี J
1. การเก็บและตรวจสอบหลักฐาน
2. การวิเคราะห์
3. การเก็บรักษาและขนย้ าย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
296
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
4. การใช้ ในศาล
5. การคืนให้ แก่เจ้ าของ
การเก็บและตรวจสอบหลักฐาน
วิเคราะห์
เก็บรักษา
และขนย้ าย
คืนให้ แก่เจ้ าของ
ใช้ ในศาล
รูปที 6 รูปวงจรชีวิตของหลักฐาน
1. การเก็บและตรวจสอบหลักฐาน
ขณะได้ รั บ หรื อ เก็ บ หลัก ฐาน ต้ อ งเขี ย นกํ า กับ ข้ อ มูล ของหลัก ฐานไว้ ที
หลักฐานอย่างถูกวิธี (ซึงจะอธิบายต่อไปด้ านล่าง) จดบันทึกรายละเอียดต่างๆ ของ
หลัก ฐานลงในสมุด จดบันทึก เช่น ลัก ษณะของหลักฐาน เจ้ า ของหลักฐาน ผู้พ บ
หลักฐาน วัน เวลา สถานทีทีพบหลักฐาน รุ่ น model สถานทีผลิต serial number
และทีสาํ คัญทีสดุ คือลักษณะการเสียหายของหลักฐาน เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
297
(Network and Computer Security Specialist: NCS) ระดับที 3
การเขียน/ทําเครื องหมายกํากับหลักฐาน ทําได้ ดงั นี J
• เขี ย นลงที ตัว หลัก ฐาน หากไม่เ ป็ นการทํ า ให้ ห ลัก ฐานเกิ ด ความ
เสี ย หาย โดยเขี ย น วัน หมายเลขคดี และลงชื อ ผู้เ ก็ บ หลัก ฐาน
จากนันให้
J เก็บหลักฐานลงในกล่องหรื อถุงทีปิดได้ มิดชิด และเขียน
กํากับทีกล่องหรื อถุงเหมือนกับทีเขียนลงทีหลักฐาน
• กรณี ทีไม่สามารถเขียนลงทีตัวหลักฐานได้ ให้ เก็ บหลักฐานลงใน
กล่องหรื อ ถุงทีปิ ดได้ มิดชิ ด และเขี ยนกํ า กับถึ ง วัน หมายเลขคดี
และลงชือผู้เก็บหลักฐาน ทีกล่องหรื อถุงแทน
• กล่องหรื อถุงต้ องติดเทปกาวเฉพาะให้ เรี ยบร้ อย และลงชือทับส่วนที
เป็ นเทปต่อเนืองมายังบนตัวกล่องหรื อถุง เพือให้ สามารถตรวจสอบ
ได้ วา่ กล่องหรื อถุงถูกเปิ ดหรื อไม่
• ในการเขี ย นกับ กับ ที ตัว หลัก ฐาน และการบรรจุล งกล่อ งหรื อ ถุง
จะต้ อ งทํ า อย่า งระมัด ระวัง ที สุด เพื อ ไม่ใ ห้ เ กิ ด ความเสีย หายต่ อ
หลักฐาน
2. การวิเคราะห์
ในขันJ ตอนนีจJ ะเป็ นการวิเคราะห์ หลักฐาน ซึงต้ องมีการใช้ เครื องมือและ
โปรแกรมทีได้ รับความน่าเชือถือ หรื อได้ รับการรับรองในชันศาล
J
เช่น Encase เป็ นต้ น
ในขันตอนนี
J
Jจะใช้ เวลาค่อนข้ างมาก ผลลัพท์ทีได้ จากขันตอนนี
J
Jจะใช้ เป็ นส่วนสําคัญ
ขณะขึ Jนศาล
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
298
(Network and Computer Security Specialist: NCS) ระดับที 3
3. การเก็บรักษาและขนย้ าย
หลักฐานทังหมดจะต้
J
องถูกห่อและจัดเก็บอย่างดีในภาชนะบรรจุทีมิดชิด
ป้องกัน การปนเปื อน ความร้ อน ความเย็ นจัด ความชื นJ นํ าJ สนามแม่เ หล็ก การ
สัน สะเทือน หรื อสภาพแวดล้ อมใดๆ ทีอาจก่อให้ เกิดความเสียหายต่อหลักฐานได้
เพือให้ หลักฐานคงอยู่ในรู ปแบบเดิมมากทีสุดขณะทีขึ JนในชันJ ศาล และคืนกลับยัง
เจ้ าของ
ยกตัวอย่างเช่น hard disk ควรถูกบรรจุในถุงซิบทีปิดสนิท ปราศจากไฟฟ้ า
สถิต บรรจุลงในกล่องกระดาษของ hard disk แล้ วบรรจุลงในกล่องโฟม และปิ ดเทป
ทีกล่องให้ เรี ยบร้ อย และเขียนระบุเตือนไม่ให้ นําเข้ าบริ เวณทีมีสนามแม่เหล็กรบกวน
จากนันJ จึงขนส่งหลักฐานไปเก็ บในสถานทีทีอนญาตเฉพาะบุคคลทีมีสิทธิ ในการ
เข้ าถึงเท่านันJ หากหลักฐานมีขนาดใหญ่มากจนไม่สามารถขนย้ ายมาก การวิเคราะห์
จะต้ องดําเนินการทีบริ เวณนันแทน
J
4. การใช้ ในศาล
หลักฐานทีต้องนํามาใช้ ในศาลต้ องได้ รับการขนส่ง และดูแลอย่างดีตาม
มาตรฐาน Chain of Custody จนกว่าจะสิ Jนสุดในชันศาล
J
และพร้ อมทีจะส่งกลับคืน
เจ้ าของ
5. การคืนให้ แก่ เจ้ าของ
การคืนหลักฐานสูเ่ จ้ าของจะต้ องดําเนินตามคําตัดสินของศาล
6.4.4 สิงทีจาํ เป็ นในการทํา Computer Forensics
อุปกรณ์ทีจําเป็ นต้ องมีในการทํา Computer Forensics อย่างน้ อยมีดงั นี J
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
299
(Network and Computer Security Specialist: NCS) ระดับที 3
•
เครื องคอมพิวเตอร์ ความเร็ วสูง เรี ยกว่า F.R.E.D หรื อเป็ น server
ธรรมดาซักตัวนึงก็ได้ ใช้ ในการลงโปรแกรมทีใช้ พิสจู น์หลักฐาน
•
อุปกรณ์ ทีใช้ ในการคัดลอกข้ อมูลจากสือบันทึกข้ อมูลเก็บหลักฐานอยู่
เช่น harddisk, thumb drive, CD, Floppy disk, SD card เป็ นต้ น
•
โปรแกรมทีใช้ ในการพิสจู น์หลักฐาน เช่น Encase หรื อ FTK (Forensic
Tool Kit)
•
สือบันทึกข้ อมูล เช่น Harddisk เปล่า ทีจะใช้ ในการคัดลอกข้ อมูลแบบ
bit by bit จาก Harddisk ต้ นฉบับทีมีหลักฐานอยู่
รูปที 6.1 อุปกรณ์ทีใช้ ในการคัดลอกข้ อมูล
จากสือ บันทึกข้ อมูลเก็บหลักฐาน ImageMASSter
บทสรุ ป
บทนี Jกล่าวถึงกระบวนการสําคัญต่างๆ ทีใช้ ในการทํา computer forensics ได้ แก่
Chain of Custody และวงจรชีวิตของหลักฐาน ซึงช่วยให้ สามารถทําการพิสจู น์หลักฐานได้
ถูกต้ องตามมาตรฐาน สามารถนําหลักฐานทางคอมพิวเตอร์ เหล่านี Jขึ Jนใช้ ในชันศาลได้
J
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
300
(Network and Computer Security Specialist: NCS) ระดับที 3
6.5 Encryption and Decryption
หัวข้ อนี Jมีจดุ ประสงค์เพือให้ ความรู้ พื Jนฐานเกียวกับการป้องกันข้ อมูลสารสนเทศโดย
การเข้ ารหัสข้ อมูล รวมทังครอบคลุ
J
มถึงอัลกอริ ทมึ ทีใช้ ในการเข้ ารหัสทีสาํ คัญ และเป็ นทีนิยม
จุดประสงค์ทีสาํ คัญ 3 ประการของการเข้ ารหัสข้ อมูล ได้ แก่
1. เพือทําให้ ข้อมูลเป็ นความลับ (Confidentiality) ป้องกันไม่ให้ ผ้ ทู ีไม่มสี ทิ ธิ£ในการ
เข้ าถึงข้ อมูลสามารถเข้ าถึงข้ อมูลได้
2. เพื อทํ าให้ ส ามารถตรวจสอบความถูก ต้ อ งสมบูรณ์ ของข้ อมูลได้ (Integrity)
กล่าวคือ ข้ อมูลทีผ้ รู ับ (Receiver) ได้ รับจากผู้สง่ (Sender) จะต้ องไม่มีการสูญ
หายหรื อถูกเปลีย นแปลงแก้ ไขใดๆ ระหว่างทางทีข้อมูลเดินทาง
3. เพื อ ให้ สามารถพิ สู จ น์ ตั ว ตนของผู้ ส่ ง ข้ อมู ล ได้ (Authentication/Nonrepudiation) ว่าใครคือผู้สง่ ข้ อมูล หรื อในทางตรงกันข้ าม ก็คือเพือป้องกันการ
แอบอ้ างได้
ประวัติ ค วามเป็ นมาในการเข้ า รหัส ข้ อ มูล นันJ เริ ม มาตังJ แต่ ใ นสมัย ของยุค ก่ อ น
ประวัติศาสตร์ ประมาณ1900 ปี ก่อนคริ สตศักราช เมือชาวอียิปต์ได้ คิดค้ นการใช้ ตวั อักษรครังJ
แรกของโลกทีเรี ยกว่า hieroglyphics ซึงในสมัยนันถื
J อว่าการเข้ ารหัสไม่จําเป็ นต้ องซ่อนข้ อมูล
แต่อย่างใด เนืองจากมีเพียงไม่กีคนเท่านันที
J สามารถอ่านออกเขียนได้ ต่อมาเมือผู้คนสามารถ
สือสารกันทางการเขียนอ่านมากขึ Jน การเข้ ารหัสจึงถูกพัฒนาให้ มีการซ่อนข้ อมูลอย่างง่ายๆ
เช่น ในสมัยของ Julius Caesar (50 ปี ก่อนคริ สตศักราช) ได้ มีการใช้ วิธีเลือนลําดับของ
ตัวอักษรในการเข้ ารหัสสารลับขณะทําการรบ
อย่างไรก็ ดี การเข้ ารหัสพึงจะได้ รับความนิยมในช่วงปี ค.ศ. 1960s นีเอง เมือ
ความก้ าวหน้ าทางคอมพิวเตอร์ เข้ ามามีสว่ นในการสือสารข้ อมูลมากขึ Jน ทําให้ ไม่ว่าหน่วยงาน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
301
(Network and Computer Security Specialist: NCS) ระดับที 3
ของรัฐบาล หน่วยงานเอกชน ทหาร ตํารวจ โรงพยาบาล จําเป็ นต้ องนําการเข้ ารหัสข้ อมูลเข้ า
มาใช้ ในการรั ก ษาความลับ ของข้ อ มูล มากขึนJ โดยองค์ ก รกลางทางด้ า นมาตรฐานและ
เทคโนโลยีของสหรัฐอเมริ กา National Institute of Standard and Technology หรื อ NIST ได้
ยกการเข้ ารหัสทีเรี ยกว่า DES (Data Encryption Standard) ซึง คิดค้ นโดย IBM เป็ นมาตรฐาน
ในการเข้ ารหัสเป็ นครังJ แรก ในปี ค.ศ. 1977
หลังจากนันJ การเข้ ารหัสแบบต่างๆ ก็ถกู พัฒนาและคิดข้ นขึ Jนใหม่อีกมากมายหลาย
แบบ ไม่วา่ จะเป็ น 3DES, AES, RSA, Blowfish, MD5, หรื อ SHA1 ซึง จะได้ อธิบายต่อในหัวข้ อ
ไป
6.5.1 การเข้ ารหัสข้ อมูล (Cryptography)
การเข้ ารหัสข้ อมูลโดยพื Jนฐานแล้ วจะเกียวข้ องกับวิธีการทางคณิตศาสตร์ เพือ
ใช้ ในการป้องกันข้ อมูลหรื อข้ อความตังต้
J นทีต้องการส่งไปถึงผู้รับ ข้ อมูลตังต้
J นจะถูกแปรเปลียน
ไปสู่ข้อมูลหรื อข้ อความอีกรู ปแบบหนึงทีไม่สามารถอ่านเข้ าใจได้ โดยใครก็ตามทีไม่มีกุญแจ
สําหรั บเปิ ดดูข้อมูลนันJ เราเรี ยกกระบวนการในการแปรรู ปของข้ อมูลตังต้
J นว่า "การเข้ ารหัส
ข้ อมูล" (Encryption) และกระบวนการในการแปลงข้ อความทีไม่สามารถอ่าน และทําความ
เข้ าใจให้ กลับไปสูข่ ้ อความดังเดิ
J ม ว่าการถอดรหัสข้ อมูล (Decryption)
6.5.2 อัลกอริทึมในการเข้ ารหัสข้ อมูล
อัลกอริ ทมึ ในการเข้ ารหัสข้ อมูลมี 2 ประเภทหลัก คือ
1. อัลกอริ ทึมแบบสมมาตร (Symmetric key algorithms) อัลกอริ ทมึ
แบบนี Jจะใช้ กญ
ุ แจทีเรี ยกว่า กุญแจลับ (Secret key) ซึงมีเพียงหนึงเดียวเพือใช้ ในการเข้ าและ
ถอดรหัสข้ อความ (plain text) ทีส่งไป อัลกอริ ทึมยังสามารถแบ่งย่อยออกเป็ น 2 ประเภท
ได้ แก่ แบบบล็อค (Block Algorithms) ซึง จะทําการเข้ ารหัสทีละบล็อค (1 บล็อคประกอบด้ วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
302
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
หลายไบต์ เช่น 64 ไบต์ เป็ นต้ น) และแบบสตรี ม (Stream Algorithms) ซึงจะทําการเข้ ารหัสที
ละไบต์อลั กอริ ทมึ แบบนี Jจะใช้ กญ
ุ แจทีเรี ยกว่า กุญแจลับ (Secret key) ซึง มีเพียงหนึงเดียวเพือ
ใช้ ในการเข้ าและถอดรหัสข้ อความทีสง่ ไป อัลกอริ ทึมยังสามารถแบ่งย่อยออกเป็ น 2 ประเภท
ได้ แก่ แบบบล็อค (Block Algorithms) ซึง จะทําการเข้ ารหัสทีละบล็อค (1 บล็อคประกอบด้ วย
หลายไบต์ เช่น 64 ไบต์ เป็ นต้ น) และแบบสตรี ม (Stream Algorithms) ซึงจะทําการเข้ ารหัสที
ละไบต์
Same key
Secure channel
Insecure channel
Encrypt
Plain text
Decrypt
Cipher text
Plain text
รูปที 6.2 การเข้ ารหัสโดยใช้ อลั กอริ ทมึ แบบสมมาตร
ข้ อดีของการเข้ ารหัสโดยใช้ อัลกอริ ทึมแบบสมมาตร คือ มีความเร็ วในการ
เข้ ารหัสและถอดรหัสทีเร็ วมาก อย่างไรก็ตามอัลกอริ ทึมแบบสมมาตรก็ มีข้อเสียทีสําคัญ 3
ประการ
• ในการใช้ งานอัลกอริ ทึมนี J สองกลุ่มทีต้องการแลกเปลียนข้ อมูลกัน
(เช่น องค์กร ก และ ข) จําเป็ นต้ องแลกเปลียนกุญแจลับกันก่อน (ซึง
อาจหมายถึงส่งมอบกุญแจลับให้ กับอีกกลุ่มหนึง) การแลกเปลียน
กุญแจนันอาจทํ
J
าได้ อย่างยุง่ ยากและไม่สะดวก
• ทังสองกลุ
J
ม่ ต้ องรักษากุญแจลับนันไว้
J เป็ นอย่างดี ห้ ามเปิ ดเผยให้ ผ้ อู ืน
ล่วงรู้ โดยเด็ดขาด หากมีผ้ อู ืนมาล่วงรู้ หรื อได้ รับกุญแจลับนี J ผู้นนจะ
ัJ
สามารถเข้ าถึงข้ อมูลลับได้ ทนั ที
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
303
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
• สํา หรั บ สองกลุ่ม ที ต้ อ งการติ ด ต่อ กัน จํ า เป็ นต้ อ งใช้ กุญ แจลับ เป็ น
จํ า นวน 1 กุ ญ แจเพื อ ติ ด ต่ อ กัน สมมติ ว่ า มี ผ้ ู ที ต้ อ งติ ด ต่ อ กัน เป็ น
จํานวน n กลุม่ จํานวนกุญแจลับทังหมดที
J
ต้องแลกเปลียนกันคิดเป็ น
จํานวนทังหมด
J
C2n หรื อเท่ากับ n(n-1)/2 กุญแจ ซึงทําให้ เกิดกุญแจ
ลับ นีขJ ึนJ อย่า งมากมาย ยากต่อการบริ ห ารจัด การและรั ก ษาความ
ปลอดภัย
2. อัลกอริ ทึมแบบอสมมาตร (Asymmetric key algorithms) อัลกอริ ทึม
นี Jจะใช้ กุญแจสองตัวเพือทํางาน ตัวหนึงใช้ ในการเข้ ารหัสและอีกตัวหนึงใช้ ในการถอดรหัส
ข้ อมูลทีเข้ ารหัสมาโดยกุญแจตัวแรก อัลกอริ ทึมกลุม่ สําคัญในแบบอสมมาตรนี Jคือ อัลกอริ ทึม
แบบกุญแจสาธารณะ (Public keys Algorithms) ซึงใช้ กุญแจทีเรี ยกกันว่า กุญแจสาธารณะ
(Public keys) ในการเข้ ารหัสและใช้ กุญแจทีเรี ยกกันว่า กุญแจส่วนตัว (Private keys) ในการ
ถอดรหัสข้ อมูลนันJ กุญแจสาธารณะนี Jสามารถส่งมอบให้ กับผู้อืนได้ เช่น เพือนร่ วมงานทีเรา
ต้ องการติดต่อด้ วย หรื อแม้ กระทัง วางไว้ บนเว็บไซต์เพือให้ ผ้ อู ืนสามารถดาวน์โหลดไปใช้ งานได้
สําหรับกุญแจส่วนตัวนันต้
J องเก็บไว้ กบั ผู้เป็ นเจ้ าของกุญแจส่วนตัวเท่านันและห้
J
ามเปิ ดเผยให้
ผู้อืนทราบโดยเด็ดขาด
Receiver’s public key
Receiver’s private key
Decrypt
Encrypt
Plain text
Cipher text
รูปที 6.3 การเข้ ารหัสโดยใช้ อลั กอริ ทมึ แบบอสมมาตร
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
Plain text
304
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
(Network and Computer Security Specialist: NCS) ระดับที 3
อัลกอริ ทึมแบบกุญแจสาธารณะยังสามารถประยุกต์ใช้ ได้ กบั การลงลายมือ
ชืออิเล็กทรอนิกส์ หรื อ digital signature (ซึงเปรี ยบเสมือนการลงลายมือชือของเราทีใช้ กับ
เอกสารสํานักงานทัว ไป) การลงลายมือชือนี Jจะเป็ นการพิสจู น์ความเป็ นเจ้ าของและสามารถ
ใช้ ได้ กบั การทําธุรกรรมต่างๆ บนอินเทอร์ เน็ต เช่น การซื Jอสินค้ า เป็ นต้ น วิธีการใช้ งานคือ ผู้เป็ น
เจ้ าของกุญแจส่วนตัวลงลายมือชือของตนกับข้ อความทีต้องการส่งไปด้ วยกุญแจส่วนตัว แล้ ว
จึงส่งข้ อความนันไปให้
J
กับผู้รับ เมือได้ รับข้ อความทีลงลายมือชือมา ผู้รับสามารถใช้ กุญแจ
สาธารณะ (ทีเป็ นคู่ของกุญแจส่วนตัวนันJ ) เพือตรวจสอบว่าเป็ นข้ อความทีมาจากผู้ส่งนันJ
หรื อไม่
จากรูปการใช้ งานลายมือชืออิเล็กทรอนิกส์ ผู้สง่ จะใช้ private key ของตนใน
การ hashing ข้ อมูลทีต้องการส่งเพือให้ ได้ digital signature ออกมา จากนันJ ก็จะทําการแปะ
digital signature นี Jเข้ าไปกับข้ อมูลทีต้องการส่ง เมือข้ อมูลทีมี digital signature มาถึงยัง
ผู้รับ ผู้รับจะแยกเอา digital signature ออกจากข้ อมูล จากนันก็
J ใช้ public key ของผู้สง่ ใน
การ hashing ข้ อมูลออกมาเป็ น digital signature อีกอันเพือนํามาเปรี ยบเทียบกับ digital
signature ทีแกะออกมาจากข้ อมูลเพือตรวจสอบว่าเป็ นคูก่ นั หรื อไม่ หากเป็ นคู่กนั ก็มนั ใจได้ ว่า
มาจากผู้สง่ ทีถกู ต้ องแน่นอน (Authencity)
Sender
Receiver
Sender’s public key
Sender’s private key
hashing
verify
hashing
+
Plain text
Signature
+
Plain text
=
รูปที 6.4 การใช้ งาน ลายมือชืออิเล็กทรอนิกส์
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
305
(Network and Computer Security Specialist: NCS) ระดับที 3
ในการใช้ ง านทัว ไปสามารถรวมการเข้ า รหัส ข้ อ มูล และการทํ า digital
signature เข้ าด้ วยกันได้ เพือรักษาความลับของข้ อมูลและเพือพิสจู น์ตวั ตนของผู้สง่ ได้ พร้ อมกัน
โดยใช้ public key ของผู้รับในการเข้ ารหัส และใช้ private key ของผู้สง่ ในการทํา digital
signature ซึงโปรแกรมทีใช้ ในการทําแบบนี Jทีนิยมมากคือโปรแกรม PGP (Pretty Good
Privacy) และหากเป็ นโปรแกรมดาว์โหลดฟรี คือโปรแกรม GPG (Gnu PG)
อัลกอริ ทึมแบบกุญแจสาธารณะ (ซึงเป็ นแบบอสมมาตร) ช่วยแก้ ไขข้ อเสีย
ของแบบสมมาตรได้ ทงหมด
ัJ
โดยประการแรกผู้ใช้ ทีถือกุญแจส่วนตัวและต้ องการให้ บคุ คลอืนที
ตนติดต่อด้ วยส่งเอกสารหรื อข้ อความทีเข้ ารหัสมาหาตน สามารถเผยแพร่กญ
ุ แจสาธารณะของ
ตนไว้ บนเว็บไซต์หรื อในทีสาธารณะซึงผู้อืนสามารถเข้ ามาดาวน์โหลดไปใช้ งานได้ วิธีการใช้
งานคือให้ บุคคลอืนทีมาดาวน์ โหลดกุญแจไปนันJ ทําการเข้ ารหัสข้ อความทีต้องการส่งด้ วย
กุญแจสาธารณะ แล้ วจึงส่งข้ อความทีเข้ ารหัสไปให้ กบั ผู้เป็ นเจ้ าของกุญแจสาธารณะ โดยวิธีนี J
จะไม่มีผ้ อู ืนสามารถเปิ ดดูข้อความทีเข้ ารหัสนันได้
J ยกเว้ นผู้ทีถือกุญแจส่วนตัว (ทีเป็ นคู่ของ
กุญแจสาธารณะนัน)
J จึงจะสามารถเปิ ดข้ อความนี Jดูได้
การเผยแพร่กญ
ุ แจสาธารณะในสถานทีตา่ งๆ ได้ ทําให้ ลดความยุ่งยากในการ
แลกเปลีย นกุญแจกันซึง เป็ นปั ญหาข้ อแรกของการเข้ ารหัสแบบสมมาตร สําหรับปั ญหาทีว่าทังJ
สองกลุม่ จะต้ องรักษากุญแจลับไว้ เป็ นอย่างดีนนั J วิธีการของกุญแจสาธารณะจะทําให้ ผ้ ทู ีต้อง
รับผิดชอบเหลือเพียงผู้เดียว กล่าวคือ ผู้ถือกุญแจส่วนตัว ซึง ห้ ามให้ ผ้ อู ืนล่วงรู้โดยเด็ดขาด
สําหรับปั ญหาทีสามทีว่าจํานวนกุญแจลับทีจําเป็ นต้ องใช้ มีมากมายเกินไป วิธีการของกุญแจ
สาธาณะจะใช้ จํานวนกุญแจทีประหยัดกว่า เนืองจากกุญแจสาธารณะ 1 กุญแจของกลุ่มๆ
หนึง จะสามารถเผยแพร่ให้ กบั กีกลุม่ ก็ได้ ทีเราต้ องการติดต่อด้ วย (แทนทีจะเป็ น 1 กุญแจลับต่อ
สองกลุม่ ทีต้องการติดต่อกัน) ดังนันถ้
J ามีกลุ่มทีต้องติดต่อกันจํานวน n กลุ่ม จํานวนกุญแจ
ส่วนตัวทีต้องระวังรักษาก็คือ n กุญแจ ซึง จะเห็นได้ วา่ ลดลงไปได้ เป็ นจํานวนมาก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
306
(Network and Computer Security Specialist: NCS) ระดับที 3
ข้ อเสียทีสําคัญของระบบกุญแจสาธารณะทีสําคัญคือ ต้ องใช้ เวลาในการ
คํานวณการเข้ าและถอดรหัส เมือเทียบกับระบบกุญแจสมมาตร และอาจใช้ เวลาเป็ นพันเท่า
ของเวลาทีใช้ โดยระบบกุญแจสมมาตร
6.5.3 อัลกอริทึมแบบไฮบริด (Hybrid algorithms)
สําหรั บอัลกอริ ทึมนี Jเป็ นการรวมข้ อดีในของสมมาตร และอสมมาตร เข้ า
ด้ วยกัน โดยการใช้ การเข้ ารหัสแบบสมมาตร ในการเข้ ารหัสข้ อมูล เพือให้ เกิดความรวดเร็ วใน
การเข้ ารหัสข้ อมูล และใช้ การเข้ ารหัสแบบอสมมาตรการเข้ ารหัสกุญแจลับ เพือส่งกุญแจลับไป
ยังผู้รับได้ ง่าย แก้ ไขปั ญหาเรื องการบริ หารจัดการและแจกจ่ายกุญแจลับให้ มีความง่ายและ
ปลอดภัย
1. ความแข็งแกร่ งของอัลกอริทึมสําหรับการเข้ ารหัส
ความแข็งแกร่งของอัลกอริ ทึมหมายถึงความยากในการทีผ้ บู กุ รุ กจะสามารถ
ถอดรหัสข้ อมูลได้ โดยปราศจากกุญแจทีใช้ ในการเข้ ารหัส ซึง จะขึ Jนอยูก่ บั ปั จจัยดังนี J
• การเก็บกุญแจเข้ ารหัสไว้ อย่างเป็ นความลับ ผู้เป็ นเจ้ าของกุญแจลับหรือ
ส่วนตัวต้ องระมัดระวังไม่ให้ กญ
ุ แจสูญหายหรื อล่วงรู้โดยผู้อืน
• ความยาวของกุญแจเข้ ารหัส ปกติกุญแจเข้ ารหัสจะมีความยาวเป็ นบิต
ยิงจํ า นวนบิตของกุญแจยิ งมาก ยิ งทํา ให้ ก ารเดาเพื อสุ่ม หากุญแจที
ถูกต้ องเป็ นไปได้ ยากยิงขึ Jน (เช่น กุญแจขนาด 1 บิต จะสามารถแทน
ตัวเลขได้ 2 ค่าคือ 0 กับ 1 กุญแจขนาด 2 บิต จะเป็ นไปได้ 4 ค่าคือ 0,
1, 2, 3 เป็ นต้ น)
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
307
(Network and Computer Security Specialist: NCS) ระดับที 3
• ความไม่เกรงกลัวต่อการศึกษาหรื อดูอลั กอริ ทึมเพือหารู ปแบบของการ
เข้ ารหัสอัลกอริ ทึมทีดีต้องเปิ ดให้ ผ้ รู ้ ู ทําการศึกษาในรายละเอียดได้ โดย
ไม่เกรงว่าผู้ศกึ ษาจะสามารถจับรูปแบบของการเข้ ารหัสได้
• การมีประตูลบั ในอัลกอริ ทมึ อัลกอริ ทึมทีดีต้องไม่แฝงไว้ ด้วยประตูลบั ที
สามารถใช้ เป็ นทางเข้ าไปสูอ่ ลั กอริ ทึม แล้ วอาจใช้ เพือทําการถอดรหัส
ข้ อมูลได้ ประตูลบั นี Jทําให้ ไม่จําเป็ นต้ องใช้ กญ
ุ แจในการถอดรหัส
• ความไม่เกรงกลัวต่อปั ญหาการหาความสัมพันธ์ ในข้ อมูลทีได้ รับ เมือผู้
บุกรุกทราบข้ อมูลบางอย่างทีเป็ นข้ อมูลตังต้
J นซึงยังไม่ได้ เข้ ารหัสรวมทังJ
มีข้อมูลทีเข้ ารหัสแล้ ว (ของข้ อมูลตังต้
J นนัน)
J ผู้บกุ รุ กอาจจะสามารถหา
ความสัมพันธ์ ระหว่างข้ อความทังJ สองนันJ ได้ ซึงจะเป็ นวิธีการในการ
ถอดรหัสข้ อมูลได้ ปั ญหานี Jเรี ยกกันว่า Known plaintext attack (คําว่า
plaintext หมายถึงข้ อความตังต้
J นทียงั ไม่ได้ ผา่ นการเข้ ารหัส)
คุณสมบัติของข้ อความตังต้
J น คุณสมบัตินี Jอาจใช้ เป็ นช่องทางในการถอดรหัสข้ อมูล
ได้ อัลกอริ ทมึ ทีดีต้องไม่ใช้ คณ
ุ สมบัติของข้ อความเป็ นกลไกในการเข้ ารหัสข้ อมูล
คําแนะนําในการเลือกใช้ อลั กอริ ทึมคือให้ ใช้ อลั กอริ ทึมทีได้ มีการใช้ งานมาเป็ นระยะ
เวลานานแล้ ว ทังนี
J Jเนืองจากหากปั ญหาของอัลกอริ ทมึ นี Jมีจริ ง ก็คงเกิดขึ Jนมานานแล้ วและก็คง
เป็ นทีทราบกันแล้ ว นัน คืออย่างน้ อยทีสดุ จวบจนกระทัง ถึงปั จจุบนั ก็ยงั ไม่มีการบุกรุ กทีทําให้
อัลกอริ ทมึ นันไม่
J สามารถใช้ งานได้ อย่างปลอดภัยเป็ นทีประจักษ์ ดังนันจึ
J งไม่ควรใช้ อลั กอริ ทึม
ใหม่ๆ ทีเพิงได้ มีการนําเสนอกันสูส่ าธารณะ เพราะอาจมีช่องโหว่แฝงอยู่และยังไม่เป็ นทีทราบ
ในขณะนี J
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
308
(Network and Computer Security Specialist: NCS) ระดับที 3
6.5.4 ความยาวของกุญแจทีใช้ ในการเข้ ารหัส
ความยาวของกุญแจเข้ ารหัสมีหน่วยนับเป็ นบิต หนึงบิตในคอมพิวเตอร์ เป็ น
ตัวเลขฐานสองทีประกอบด้ วยค่า 0 และ 1 กุญแจทีมีความยาว 1 บิต ตัวเลขทีเป็ นไปได้ เพือ
แทนกุญแจนันJ จึงอาจมีคา่ เป็ น 0 หรื อ 1 กุญแจทีมีความยาว 2 บิต ตัวเลขทีเป็ นไปได้ จึงเป็ น 0,
1, 2 และ 3 ตามลําดับ กุญแจทีมีความยาว 3 บิต ตัวเลขทีเป็ นไปได้ จะอยู่ระหว่าง 0 ถึง 7
ดังนันเมื
J อเพิมความยาวของกุญแจทุกๆ 1 บิต ค่าทีเป็ นไปได้ ของกุญแจจะเพิมขึนJ เป็ นสอง
เท่าตัว หรื อจํานวนกุญแจทีเป็ นไปได้ จะเพิมขึ Jนเป็ น 2 เท่าตัวนัน เอง
ฉะนันจะเห็
J
นได้ ว่ากุญแจยิงมีความยาวมาก โอกาสทีผ้ บู กุ รุ กจะสามารถคาด
เดากุญแจทีตรงกับหมายเลขทีถกู ต้ องของกุญแจจะยิงยากมากขึ Jนตามลําดับ ในการทีผ้ บู กุ รุ ก
ลองผิดลองถูกกับกุญแจโดยใช้ กุญแจทีมีหมายเลขต่างๆ กัน เพือหวังทีจะพบกุญแจทีถกู ต้ อง
และสามารถใช้ ถอดรหัสข้ อมูลได้ การลองผิดลองถูกนี Jเราเรี ยกกันว่า Key search หรื อการ
ค้ นหากุญแจนัน เอง ทฤษฎีได้ กล่าวไว้ วา่ การลองผิดลองถูกนี Jโดยเฉลีย จะต้ องทดลองกับกุญแจ
เป็ นจํานวนครึงหนึง ของกุญแจทังหมดก่
J
อนทีจะพบกุญแจทีถกู ต้ อง
ความยาวของกุญแจทีมีขนาดเหมาะสมจึงขึ Jนอยู่กับความเร็ วในการค้ นหา
กุญแจของผู้บกุ รุ กและระยะเวลาทีต้องการให้ ข้อมูลมีความปลอดภัย ตัวอย่างเช่น ถ้ าผู้บกุ รุ ก
สามารถลองผิดลองถูกกับกุญแจเป็ นจํานวน 10 กุญแจภายในหนึงวินาทีแล้ ว กุญแจทีมีความ
ยาว 40 บิต จะสามารถป้องกันข้ อมูลไว้ ได้ 3,484 ปี ถ้ าผู้บุกรุ กสามารถลองได้ เป็ นจํานวน 1
ล้ านกุญแจในหนึงวินาที (เทคโนโลยีปัจจุบนั สามารถทําได้ ) กุญแจทีมีความยาว 40 บิตจะ
สามารถป้องกันข้ อมูลไว้ ได้ เพียง 13 วันเท่านันJ (ซึง อาจไม่เพียงพอสําหรับในบางลักษณะงาน)
ด้ วยเทคโนโลยีในปั จจุบนั หากผู้บกุ รุ กสามารถทดลองได้ เป็ นจํานวน 1,000 ล้ านกุญแจในหนึง
วินาที กุญแจขนาด 128 บิตจะสามารถป้องกันข้ อมูลไว้ ได้ 1022 ปี ดังนันJ ด้ วยลักษณะงาน
ทัว ไปกุญแจขนาด 128 บิตจะพอเพียงต่อการรักษาความลับของข้ อมูลเอาไว้ ได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
309
(Network and Computer Security Specialist: NCS) ระดับที 3
1. อัลกอริ ทึมสําหรั บการเข้ ารหัสแบบสมมาตร อัลกอริ ทึมสําหรับการ
เข้ ารหัสแบบสมมาตรในปั จจุบนั มีเป็ นจํานวนมาก ข้ างล่างนี Jจะนําเสนอเพียงจํานวน
หนึง ซึง เป็ นอัลกอริ ทมึ ทีเป็ นทีร ้ ูจกั กันดีในวงการของการเข้ ารหัสข้ อมูล
•
อัลกอริ ทมึ DES ย่อมาจาก Data Encryption Standard อัลกอริ ทึม
นี Jได้ รับการรับรองโดยรัฐบาลสหรัฐอเมริ กาในปี ค.ศ. 1977 ให้ เป็ น
มาตรฐานการเข้ ารหัสข้ อมูลสําหรับหน่วยงานของรัฐทังหมด
J
ในปี
1981 อัลกอริ ทึมยังได้ รับการกําหนดให้ เป็ นมาตรฐานการเข้ ารหัส
ข้ อมูลในระดับนานาชาติตามมาตรฐาน ANSI (American National
Standards) อีกด้ วย
DES เป็ นอัลกอริ ทมึ แบบบล็อกซึง ใช้ กญ
ุ แจทีมีขนาดความ
ยาว 56 บิ ต และเป็ นอัล กอริ ทึม ที มี ค วามแข็ ง แกร่ ง แต่เ นื อ งด้ ว ย
ขนาดความยาวของกุญแจทีมีขนาดเพียง 56 บิต ซึงในปั จจุบนั ถือ
ได้ ว่า สันJ เกิ น ไป ผู้บุก รุ ก อาจใช้ วิ ธี ก ารลองผิ ด ลองถูก เพื อ ค้ น หา
กุญแจทีถกู ต้ องสําหรับการถอดรหัสได้
ในปี 1998 ได้ มีการสร้ างเครื องคอมพิวเตอร์ พิเศษขึ Jนมาซึงมีมลู ค่า 250,000 เหรี ยญ
สหรัฐ เพือใช้ ในการค้ นหากุญแจทีถูกต้ องของการเข้ ารหัสข้ อมูลหนึงๆ ด้ วย DES และพบว่า
เครื องคอมพิวเตอร์ นี Jสามารถค้ นหากุญแจทีถกู ต้ องได้ ภายในระยะเวลาไม่ถึงหนึง วัน
•
อัลกอริ ทึม Triple-DES เป็ นอัลกอริ ทึมทีเสริ มความปลอดภัยของ
DES ให้ มีความแข็งแกร่งมากขึ Jนโดยใช้ อลั กอริ ทึม DES เป็ นจํานวน
สามครังJ เพือทําการเข้ ารหัส แต่ละครังJ จะใช้ กุญแจในการเข้ ารหัสที
แตกต่างกัน ดังนันจึ
J งเปรี ยบเสมือนการใช้ กุญแจเข้ ารหัสทีมีความ
ยาวเท่ากับ 56*3 = 168 บิต Triple-DES ได้ ถกู ใช้ งานกับสถาบัน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
310
(Network and Computer Security Specialist: NCS) ระดับที 3
ทางการเงิ น อย่า งแพร่ หลาย รวมทังJ ใช้ งานกับ โปรแกรม Secure
Shell (ssh) ด้ วย
การใช้ อัล กอริ ทึ ม DES
เพื อ เข้ า รหัส เป็ นจํ า นวนสองครั งJ ด้ วยกุ ญ แจสองตัว
(56*2=112 บิต) ยังถือได้ วา่ ไม่ปลอดภัยอย่างพอเพียง
•
อัลกอริ ทมึ Blowfish เป็ นอัลกอริ ทึมทีมีความรวดเร็ วในการทํางาน
มีขนาดเล็กกระทัดรั ด และใช้ การเข้ ารหัสแบบบล็อค ผู้พัฒนาคือ
Bruce Schneier อัลกอริ ทึมสามารถใช้ กุญแจทีมีขนาดความยาว
ตังแต่
J ไม่มากนักไปจนถึงขนาด 448 บิต ซึงทําให้ เกิดความยืดหยุ่น
สูงในการเลือกใช้ กุญแจ รวมทังอั
J ลกอริ ทึมยังได้ รับการออกแบบมา
ให้ ทํางานอย่างเหมาะสมกับหน่วยประมวลผลขนาด 32 หรื อ 64
บิต Blowfish ได้ เปิ ดเผยสูส่ าธารณะและไม่ได้ มีการจดสิทธิบตั รใดๆ
นอกจากนันยั
J งใช้ ในโปรแกรม SSH และอืน ๆ
•
อัลกอริ ทึม IDEA ย่อมาจาก International Data Encryption
Algorithm อัลกอริ ทมึ นี Jได้ รับการพัฒนาในประเทศสวิสเซอร์ แลนด์ที
เมือง Zarich โดย James L. Massey และ Xuejia Lai และได้ รับ
การตีพิมพ์ เผยแพร่ ในปี ค.ศ. 1990 อัลกอริ ทึมใช้ กุญแจทีมีขนาด
128 บิ ต และได้ รั บ การใช้ งานกับ โปรแกรมยอดฮิ ต สํ า หรั บ การ
เข้ า รหัส และลงลายมือ ชื ออิ เ ล็กทรอนิก ส์ ในระบบอี เมล์ ที มีชื อ ว่า
PGP ต่อมา IDEA ได้ รับการจดสิทธิ บตั รทางด้ านซอฟต์แวร์ โดย
บริ ษัท Ascom-Tech AG ในประเทศสวิสเซอร์ แลนด์ ซึงทําให้ การ
นําไปใช้ ในงานต่างๆ เริ มลดลง ทังนี
J Jเนืองจากติดปั ญหาเรื องลิขสิทธิ£
นัน เอง
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
311
(Network and Computer Security Specialist: NCS) ระดับที 3
•
อัลกอริ ทึม RC4 อัลกอริ ทึมนี Jเป็ นอัลกอริ ทึมแบบสตรี ม (ทํางานกับ
ข้ อมูลทีละไบต์) ซึง ได้ รับการพัฒนาขึ Jนมาโดย Ronald Riverst และ
ถูกเก็บเป็ นความลับทางการค้ าโดยบริ ษัท RSA Data Security ใน
ภายหลังอัลกอริ ทมึ นี Jได้ รับการเปิ ดเผยใน Usenet เมือปี ค.ศ. 1994
และเป็ นทีทราบกันว่าเป็ นอัลกอริ ทมึ ทีมีความแข็งแกร่ งโดยสามารถ
ใช้ ขนาดความยาวของกุญแจทีมีขนาดตังแต่
J 1 บิตไปจนกระทัง ถึง
ขนาด 2048 บิต
•
อัลกอริ ทึม Rijndael หรื อ AES อัลกอริ ทึมนี Jได้ รับการพัฒนาโดย
Joan Daemen และ Vincent Rijmen ในปี 2000 อัลกอริ ทึมได้ รับ
การคัดเลือกโดยหน่วยงาน National Institute of Standard and
Technology (NIST) ของสหรั ฐอเมริ กาให้ เป็ นมาตรฐานในการ
เข้ ารหัสชันJ สูง ของประเทศ อัล กอริ ทึม มี ความเร็ ว สูงและมี ขนาด
กะทัดรัดโดยสามารถใช้ กุญแจทีมีความยาวขนาด 128, 192 และ
256 บิต
•
อัลกอริ ทึม One-time Pads อัลกอริ ทึมนี Jได้ รับการยอมรับว่าเป็ น
อัลกอริ ทึมทีไม่มีใครสามารถเจาะความแข็งแกร่ งของอัลกอริ ทึมได้
อัลกอริ ทึมใช้ กุญ แจทีมีขนาดความยาวซึงอาจจะมากกว่าขนาด
ความยาวของข้ อความทีต้องการเข้ ารหัส กุญแจจะถูกสร้ างออกมา
แบบสุม่ และโดยปกติจะถูกใช้ งานแค่เพียงครังJ เดียวแล้ วทิ Jงไป แต่ละ
ไบต์ของข้ อความทีต้องการส่งไปจะถูกเข้ าและถอดรหัสโดยหนึง ไบต์
(ชนิ ด ไบต์ ต่อไบต์ ) ของกุญ แจที ถูก สร้ างขึนJ มาใช้ ง าน เนื อ งจาก
กุญแจทีถกู ใช้ งานแต่ละครังJ จะไม่ซํ Jากันและถูกสร้ างขึ Jนมาแบบสุ่ม
จึ ง เป็ นการยากที จ ะค้ นหากุ ญ แจที ถู ก ต้ องได้ ข้ อจํ า กั ด ของ
อัลกอริ ทึมนี J คือขนาดของกุญแจทีอาจมีขนาดยาวกว่าข้ อความที
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
312
(Network and Computer Security Specialist: NCS) ระดับที 3
ต้ องการส่ง ซึงส่งผลให้ การส่งมอบกุญแจทีมีขนาดใหญ่ ทําได้ ไ ม่
สะดวกนัก รวมทังการสร้
J
างกุญแจให้ มีความสุม่ สูงไม่ใช่เป็ นสิงทีทํา
ได้ ง่ า ยนัก อย่า งไรก็ ต ามอัล กอริ ทึม นี กJ ็ ยัง มี ก ารใช้ งานในระบบ
เครื อข่ายทีต้องการความปลอดภัยสูง
•
อัลกอริ ทึม RSA
ได้ รับการพัฒนาขึ Jนทีมหาวิทยาลัย MIT ในปี
1977 โดยศาสตราจารย์ 3 คน ซึงประกอบด้ วย Ronald Rivest,
Adi Shamir และ Leonard Adleman ชือของอัลกอริ ทึมได้ รับการ
ตังชื
J อตามตัวอักษรตัวแรกของนามสกุลของศาสตราจารย์ทงสาม
ัJ
คน อัล กอริ ทึ ม นี สJ ามารถใช้ ในการเข้ า รหัส ข้ อ มูล รวมทังJ การลง
ลายมือชืออิเล็กทรอนิกส์ด้วย
•
อัล กอริ ทึม DSS ย่อ มาจาก Digital Signature Standard
อัลกอริ ทมึ นี Jได้ รับการพัฒนาขึ Jนมาโดย National Security Agency
ในประเทศสหรัฐอเมริ กาและได้ รับการรับรองโดย NIST ให้ เป็ น
มาตรฐานกลางสําหรับการลงลายมือชืออิเล็กทรอนิกส์ในประเทศ
สหรัฐอเมริ กา
•
อัลกอริ ทึมสําหรับสร้ างเมสเซสไดเจสต์ (Message Digest) หรื อ
เรี ยกสันๆ
J ว่าไดเจสต์ แปลว่าข้ อความสรุปจากเนื Jอหาข้ อความตังต้
J น
โดยปกติ ข้ อความสรุ ป จะมี ค วามยาวน้ อยกว่ า ความยาวของ
ข้ อความตังต้
J นมาก จุดประสงค์สาํ คัญของอัลกอริ ทมึ นี Jคือ การสร้ าง
ข้ อความสรุ ป ที ส ามารถใช้ เป็ นตัว แทนของข้ อความตั งJ ต้ นได้
โดยทัว ไปข้ อความสรุ ปจะมีความยาวอยู่ระหว่าง 128 ถึง 256 บิต
และจะไม่ขึ Jนกับขนาดความยาวของข้ อความตังต้
J น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
313
(Network and Computer Security Specialist: NCS) ระดับที 3
คุณสมบัติทีสาํ คัญของอัลกอริ ทมึ สําหรับสร้ างไดเจสต์มีดงั นี J
ทุกๆ บิตของไดเจสต์ จะขึนJ อยู่กับทุกบิตของข้ อความตังJ ต้ น ถ้ าบิ ตใดบิตหนึงของ
ข้ อความตังต้
J นเกิดการเปลีย นแปลง เช่น ถูกแก้ ไข ทุกๆ บิตของไดเจสต์จะมีโอกาสร้ อยละ 50 ที
จะแปรเปลีย นค่าไปด้ วย ซึง หมายถึงว่า 0 เปลีย นค่าเป็ น 1 และ 1 เปลีย น เป็ น 0
คุณสมบัติข้อนี Jสามารถอธิ บายได้ ว่าการเปลียนแปลงแก้ ไขข้ อความตังต้
J นโดยผู้ไม่
ประสงค์ ดี แ ม้ ว่า อาจแก้ ไ ขเพี ย งเล็กน้ อ ยก็ ต าม เช่ น เพี ย ง 1 บิ ต เท่า นันJ ก็ จ ะส่ง ผลให้ ผ้ ูรั บ
ข้ อความทราบว่าข้ อความทีตนได้ รับไม่ใช่ข้อความตังต้
J น (โดยการนําข้ อความทีตนได้ รับเข้ า
อัลกอริ ทมึ เพือทําการคํานวณหาไดเจสต์ออกมา แล้ วจึงเปรี ยบเทียบไดเจสต์ทีคํานวณได้ กบั ได
เจสต์ทีสง่ มาให้ ด้วย ถ้ าต่างกัน แสดงว่าข้ อความทีได้ รับนันถู
J กเปลีย นแปลงแก้ ไข)
โอกาสทีข้อความตังต้
J น 2 ข้ อความใดๆ ทีมีความแตกต่างกัน จะสามารถคํานวณได้
ค่าไดเจสต์เดียวกันมีโอกาสน้ อยมาก
คุณสมบัติข้อนี Jทําให้ แน่ใจได้ ว่า เมือผู้ไม่ประสงค์ดีทําการแก้ ไขข้ อความตังต้
J น ผู้รับ
ข้ อความทีถกู แก้ ไขไปแล้ วนันจะสามารถตรวจพบได้
J
ถึงความผิดปกติทีเกิดขึ Jนอย่างแน่นอน
อย่างไรก็ ต ามในทางทฤษฎี แ ล้ ว มี โ อกาสที ข้ อความ 2 ข้ อ ความที แตกต่า งกัน จะสามารถ
คํานวณแล้ วได้ ค่า ไดเจสต์ เ ดีย วกัน ปั ญหานีเJ รี ย กกันว่า การชนกัน ของไดเจสต์ (Collision)
อัลกอริ ทึมสําหรับสร้ างไดเจสต์ทีดีควรจะมีโอกาสน้ อยมากๆ ทีจะก่อให้ เกิดปั ญหาการชนกัน
ของไดเจสต์
อัลกอริ ทมึ สําหรับสร้ างไดเจสต์ยอดนิยมมีดงั นี J
• อัลกอริ ทมึ MD2 ผู้พฒ
ั นาคือ Ronald Rivest อัลกอริ ทมึ นี Jเชือกันว่ามีความ
แข็งแกร่ งทีสดุ ในบรรดาอัลกอริ ทึมต่างๆ ที Rivest พัฒนาขึ Jนมา (ความ
แข็ ง แกร่ ง พิ จ ารณาได้ จ ากคุณ สมบัติ ส ามประการข้ า งต้ น ) ข้ อ เสีย ของ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
314
(Network and Computer Security Specialist: NCS) ระดับที 3
อัลกอริ ทมึ นี Jคือใช้ เวลามากในการคํานวณไดเจสต์หนึงๆ MD2 จึงไม่ค่อยได้
มีการใช้ งานกันมากนัก MD2 สร้ างไดเจสต์ทีมีความยาว 128 บิต
• อัลกอริ ทึม MD4
ผู้พัฒนาคือ Rivest เช่นเดียวกับ MD2 อัลกอริ ทึมนี J
พัฒนาขึ Jนมาเพือแก้ ปัญหาความล่าช้ าในการคํานวณของ MD2 อย่างไรก็
ตามในภายหลังได้ พบว่าอัลกอริ ทึมมีข้อบกพร่ องทีเกียวข้ องกับคุณสมบัติ
ข้ อทีสามโดยตรง กล่าวคือปั ญหาการชนกันของไดเจสต์มีโอกาสเกิดขึ Jนได้
ไม่น้อย ซึงผู้บกุ รุ กอาจใช้ ประโยชน์จากจุดอ่อนนี Jเพือทําการแก้ ไขข้ อความ
ตังต้
J นทีสง่ มาให้ ได้ MD4 ผลิตไดเจสต์ทีมีขนาด 128 บิต
• อัลกอริ ทึม MD5
Rivest เป็ นผู้พฒ
ั นาเช่นกันโดยพัฒนาต่อจาก MD4
เพื อ ให้ มี ค วามปลอดภัย ที สูง ขึ นJ ถึ ง แม้ จะเป็ นที นิ ย มใช้ งานกั น อย่ า ง
แพร่ หลาย ทว่าในปี 1996 ก็ มีผ้ พู บจุดบกพร่ องของ MD5 (เช่นเดียวกับ
MD4) จึงทําให้ ความนิยมเริ มลดลง MD5 ผลิตไดเจสต์ทีมีขนาด 128 บิต
• อัลกอริ ทึม SHA ย่อจาก Secure Hash Algorithm อัลกอริ ทึม SHA ได้ รับ
แนวคิดในการพัฒนามาจาก MD4 และได้ รับการพัฒนาขึ Jนมาเพือใช้ งาน
ร่วมกับอัลกอริ ทมึ DSS (ซึง ใช้ ในการลงลายมือชืออิเล็กทรอนิกส์) หลังจาก
ทีได้ มีการตีพิมพ์เผยแพร่ อลั กอริ ทึมนี Jได้ ไม่นาน NIST ก็ประกาศตามมาว่า
อัลกอริ ทมึ จําเป็ นต้ องได้ รับการแก้ ไขเพิมเติมเล็กน้ อยเพือให้ สามารถใช้ งาน
ได้ อย่างเหมาะสม SHA สร้ างไดเจสต์ทีมีขนาด 160 บิต
• อัลกอริ ทึม SHA-1 เป็ นอัลกอริ ทึมทีแก้ ไขเพิมเติมเล็กน้ อยจาก SHA การ
แก้ ไขเพิมเติมนี Jเป็ นทีเชือกันว่าทําให้ อลั กอริ ทึม SHA-1 มีความปลอดภัยที
สูงขึ Jน SHA-1 สร้ างไดเจสต์ทีมีขนาด 160 บิต
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
315
(Network and Computer Security Specialist: NCS) ระดับที 3
• อัลกอริ ทึม SHA-256, SHA-384 และ SHA-512 NIST เป็ นผู้นําเสนอ
อัลกอริ ทึมทังสามนี
J
Jในปี 2001 เพือใช้ งานร่ วมกับอัลกอริ ทึม AES (ซึงเป็ น
อัลกอริ ทมึ ในการเข้ ารหัสแบบสมมาตร) อัลกอริ ทึมเหล่านี Jสร้ างไดเจสต์ทีมี
ขนาด 256, 384 และ 512 บิต ตามลําดับ
นอกจากอัลกอริ ทึมสําหรับการสร้ างไดเจสต์ทีกล่าวถึงไปแล้ วนันJ อัลกอริ ทึมสําหรับ
การเข้ ารหัสแบบสมมาตร เช่น DES สามารถใช้ ในการสร้ างไดเจสต์เช่นกัน วิธีการใช้ งาน
อัลกอริ ทึมแบบสมมาตรเพือสร้ างไดเจสต์คือ ให้ เลือกกุญแจลับสําหรับการเข้ ารหัสขึ Jนมา 1
กุญแจโดยวิธีการเลือกแบบสุม่ และต่อมาใช้ กญ
ุ แจนี Jเพือเข้ ารหัสข้ อความตังต้
J น แล้ วใช้ เฉพาะ
บล็อกสุดท้ ายทีเข้ ารหัสแล้ วเพือเป็ นไดเจสต์ของข้ อความทังหมด
J
(ไม่รวมบล็อคอืนๆ ทีเข้ ารหัส
แล้ ว) อัลกอริ ทมึ แบบสมมาตรสามารถสร้ างไดเจสต์ทีมีคณ
ุ ภาพดี แต่ข้อเสียคือต้ องใช้ เวลาใน
การคํานวณไดเจสต์มาก
ไดเจสต์เป็ นเครื องมือทีสาํ คัญทีสามารถใช้ ในการตรวจสอบว่าไฟล์ในระบบทีใช้ งานมี
การเปลีย นแปลงแก้ ไขหรื อไม่ (ไม่วา่ จะโดยเจตนาหรื อไม่ก็ตาม) บางครังJ การเปลีย นแปลงแก้ ไข
อาจถูกกระทําโดยผู้ทีไม่มีสิทธิ£ เช่น ผู้บุกรุ ก เป็ นต้ น วิธีการใช้ ไดเจสต์เพือตรวจสอบไฟล์ใน
ระบบคือให้ เลือกใช้ อลั กอริ ทึมหนึง เช่น MD5 เพือสร้ างไดเจสต์ของไฟล์ในระบบและเก็บได
เจสต์ นนั J ไว้ อีกทีหนึงนอกระบบ ภายหลังจากระยะเวลาหนึงทีกําหนดไว้ เช่น 1 เดือน ก็ มา
คํานวณไดเจสต์ของไฟล์เดิมอีกครังJ หนึง แล้ วเปรี ยบเทียบไดเจสต์ใหม่นี Jกับไดเจสต์ทีเก็บไว้ นอก
ระบบว่าตรงกันหรื อไม่ ถ้ าตรงกัน ก็แสดงว่าไฟล์ในระบบยังเป็ นปกติเช่นเดิม
ไดเจสต์ยงั เป็ นส่วนหนึงของการลงลายมือชืออิเล็กทรอนิกส์ กล่าวคือการลงลายมือ
ชืออิเล็กทรอนิกส์ในปั จจุบนั จะใช้ การลงลายมือชือกับไดเจสต์ของข้ อความตังต้
J นแทนการลง
ลายมือชือกับข้ อความตังต้
J นทังข้
J อความ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
316
(Network and Computer Security Specialist: NCS) ระดับที 3
บทสรุ ป
บทความนี Jได้ ให้ ความรู้ พื Jนฐานสําหรับการเข้ ารหัสข้ อมูล โดยกล่าวถึงจุดประสงค์ 3
ประการของการเข้ ารหัสข้ อมูล อัลกอริ ทึมในการเข้ ารหัสแบบสมมาตรและอสมมาตรในแบบ
ต่ า งๆ ที แ พร่ ห ลายอยู่ใ นปั จจุ บัน การพิ จ ารณาความแข็ ง แกร่ ง หรื อ ความปลอดภัย ของ
อัลกอริ ทมึ ทีเลือกใช้ งาน รวมทังอั
J ลกอริ ทมึ สําหรับการสร้ างเมสเซสไดเจสต์ สําหรับความรู้ ทาง
เทคนิคในรายละเอียดของอัลกอริ ทมึ รวมทังเทคนิ
J
คในการเข้ ารหัสชันสู
J ง
6.6 Secured Applications
บทนี Jจะกล่าวถึงวิธีการสร้ างความปลอดภัยให้ แก่แอพพลิเคชัน (application) ซึงจะ
เน้ นไปทาง web application เป็ นส่วนใหญ่ เนืองจากแนวโน้ มในการพัฒนาแอพพลิเคชัน ใน
ปั จจุบนั ได้ เปลีย นจาก client-server มาเป็ น web application เกือบทังหมด
J
เนืองจากสะดวก
ต่อการใช้ งาน ซึง นัน หมายถึงผู้ไม่ประสงค์ดีก็สามารถเข้ าถึงได้ ง่ายด้ วยเช่นกัน
6.6.1 ภัยคุกคามต่ อแอพพลิเคชันและแนวทางป้องกัน
ปั จจุบนั การโจมตีหรื อการเจาะระบบ (Hack) ได้ เปลียนรู ปแบบจากการเจาะ
เข้ าทางเครื อข่าย มาเป็ นการเจาะที web application แทน เนืองจากการป้องกันทางด้ าน
เครื อ ข่า ยมี ค วามก้ าวหน้ า ขึนJ อย่า งมาก มี อุป กรณ์ รั ก ษาความปลอดภัย ให้ ใ ช้ เพื อ ป้ องกัน
เครื อข่ายมากมาย เช่น Firwall, IPS, IDS รวมถึง switch หรื อ router เองก็มี feature ที
สามารถป้องกันการเข้ าถึงเครื อข่ายโดยมิชอบได้ ด้วย
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
317
(Network and Computer Security Specialist: NCS) ระดับที 3
รูปที 6.5 แนวโน้ มของช่องโหว่
ตามสถิติ เหล่า hacker ได้ เปลีย นมาเจาะระบบผ่านทาง web application มากกว่า
75% จากรู ปแบบการเจาะทังหมด
J
เนืองจากผู้พฒ
ั นาแอพพลิเคชัน ส่วนใหญ่ยงั ไม่มีความรู้ ใน
การพัฒนาโปรแกรมให้ มีความปลอดภัย อีกทังยั
J งไม่ทราบเทคนิคที hacker ใช้ ในการเจาะ
ดังนันในบทนี
J
Jจะกล่าวถึงช่องโหว่ และภัยคุกคามต่อ web application เป็ นหลัก ซึงสามารถ
จัดเรี ยงช่องโหว่ดงั กล่าวตามระดับความเสียงสูงสุด 10 ระดับ ที OWASP (Open Web
Application Security Project) ซึงเป็ นองค์กรกลางไม่หวังผลกําไร ทีมีจุดประสงค์เพือให้
ความรู้ในการรักษาความปลอดภัยของ web application ได้ ประกาศไว้ ดงั นี J
อันดับ 1 Cross-site scripting
Cross-site scripting หรื อเรี ยกสันๆว่
J า XSS เป็ นการโจมตีโดย hacker จะเขียน
โปรแกรม script ซึง โดยมากเป็ น javascript เข้ าไปฝั งไว้ บนหน้ า web page ทีรับข้ อความจาก
ผู้ใช้ งาน เช่น หน้ าของ web board เป็ นต้ น เมือผู้ใช้ งานคลิ¦กเข้ ามายังหน้ าทีมี script ฝั งอยู่นี J
โปรแกรม script จะทํางานตามที hacker ได้ โปรแกรมเอาไว้ เช่น ขโมย cookie หรื อ ขโมย
username password เป็ นต้ น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
318
(Network and Computer Security Specialist: NCS) ระดับที 3
ช่องโหว่ในลักษณะ Cross-Site Scripting นี J จะเห็นได้ บอ่ ยๆ ใน Search Engine ทีมี
การทวน Search Keyword ทีเราป้อนลงไป หรื อใน Web Site ทีมีการทวน String ของข้ อมูลที
เราป้อนลงไป ในลักษณะของ error message หรื อ รูปแบบของ Web Form ทีมีการทวนข้ อมูล
หลังจากทีเราคีย์เข้ าไปในตอนแรก และ พวก Web Board ทีอนุญาตให้ User สามารถเข้ ามา
POST ข้ อมูลได้ เป็ นต้ น
เมือ Hacker พบว่า Web Site มีช่องโหว่ให้ สามารถทํา Cross-Site Scripting ได้
Hacker ก็จะเขียน Script ทีสามารถดูดข้ อมูลส่วนตัว ของเราทีเก็บไว้ ในเครื องเราเองใน
ลักษณะทีเป็ น Cookie ส่งกลับไปหา Hacker ให้ Hacker สามารถดูข้อมูลของเราได้ อย่าง
ง่ายดาย หรื อ ส่งพวก Malicious Script แปลกๆ มา Run บนยังเครื องเราตามที Hacker
ต้ องการก็สามารถทีจะทําได้ หาก Web Browser ของเรานันJ อนุญาตให้ Run Script ต่างๆได้
เช่น JAVA Script เป็ นต้ น
การป้องกัน Cross-Site Scripting ทําได้ โดย
• การทํา input validation หรื อการตรวจสอบข้ อความทีผ้ ใู ช้ งานกรอกเข้ ามา ไม่ว่าทังJ
รู ปแบบ ความยาว และ business logic โดยต้ องทําทังที
J ฝัง client และ ฝั ง server
ซึงการตรวจสอบ ควรใช้ แบบ white list นัน คือรับอักขระทีเป็ นไปได้ เท่านันJ เช่น ใน
หน้ าทีขอข้ อมูลทีอยู่ของผู้ใช้ งาน ใน input textbox ของบ้ านเลขที ก็รับเฉพาะทีเป็ น
ตัวเลข เครื องหมาย / และ เครื องหมาย -เท่านันJ เป็ นต้ น ทังนี
J Jอักขระพิเศษที hacker
สามารถนํามาใช้ เขียน script ได้ ได้ แก่ `< ” > ’ / \ ; & * ( ) % ! + { } [ ] | ดังนันควร
J
เขียนโปรแกรมไม่ให้ รับอักขระดังกล่าวเข้ ามาประมวลผล
• การทํา Output Encoding โดยการ encode ข้ อความทีจะปรากฏออกไปยังหน้ า
web page ให้ เป็ นข้ อความ text เท่านันJ และควรกําหนดรู ปแบบของการ encode
เช่น ISO8859-1 หรื อ UTF8 เป็ นต้ น เพือป้องกันไม่ให้ web application แปล script
ที hacker ใส่เข้ ามาเพือแสดงผลหรื อประมวลผล
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
319
(Network and Computer Security Specialist: NCS) ระดับที 3
• ตรวจสอบ log ของ web application อย่างสมําเสมอว่ามีการใส่ข้อมูลทีผิดปกติ เช่น
เป็ นโปรแกรม script เข้ ามาหรื อไม่
• กรณีทีเป็ น java application ผู้พฒ
ั นาแอพพลิเคชัน ควรนํา struts มาใช้ ในการเขียน
โปรแกรม เนืองจาก struts จะมีการทํา output encoding ให้ อตั โนมัติ
• กรณีทีเป็ น .Net application ควรใช้ Microsoft Anti-XSS library มาใช้ ซึง ไม่เสียเงิน
• สําหรับ PHP application ควรใช้ OWASP PHP Anti-XSS library มาใช้ และ output
ทีจะออกแสดงผลต้ องใช้ htmlentitiles() หรื อ htmlspecialchars() ทุกครังJ
อันดับ 2 Injection flaw
เป็ นช่องโหว่ของหน้ า web page ทีสามารถรับข้ อความจากผู้ใช้ งานได้ โดย hacker
จะป้อนข้ อมูลในลักษณะทีเป็ นชุดคําสัง หรื อการดึงข้ อมูล เพือดึงข้ อมูลออกจากฐานข้ อมูล
หรื อแม้ กระทัง เปลีย นแปลงข้ อมูลในฐานข้ อมูล
ตัวอย่าง Injection flaw ทีเป็ นทีนิยมคือ SQL injection ทําได้ โดยการเขียน SQL
command เข้ าไปในช่องทีรับข้ อความของหน้ า web page เพือดึงข้ อมูล (query) ออกจาก
ฐานข้ อมูล เช่น ข้ อมูล username password ข้ อมูลส่วนบุคคล หรื อเลขบัตรเครดิต เป็ นต้ น
ตัวอย่าง
หากผู้พฒ
ั นาโปรแกรม เขียนโปรแกรมในการพิสจู น์ตวั ตนของผู้ใช้ งานทีหน้ า login ดังนี J
strQty = "SELECT * FROM Users WHERE Username='" + txtUser.Text + "' AND
Password='" + txtPasswd.Text +"'";
หากผู้ใช้ งานป้อนข้ อมูล username คือ john และ password คือ abc123 โปรแกรมจะส่ง
SQL command ไปตรวจสอบทีฐานข้ อมูล ดังนี J
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
320
(Network and Computer Security Specialist: NCS) ระดับที 3
SELECT * FROM Users WHERE Username='john' AND Password='abc123';
ซึงหาก username และ password ทีป้อนเข้ ามา match กัน จะมีการ return TRUE พร้ อม
ข้ อมูลของ john ออกจากฐานข้ อมูล และซึง มีผลทําให้ สามารถผ่านหน้ า login เข้ าไปได้
หาก hacker ใส่ username เป็ น ‘or 1=1-- และ password ใส่อะไรก็ ได้ จะได้ SQL
command เป็ น
SELECT * FROM Users WHERE Username=''or 1=1--' AND Password='xxx';
หมายความว่ามีการใส่ username เป็ น ว่างๆ และตามด้ วย statement or 1=1 (หรื อ
1=1) ซึง เป็ นจริ งเสมอ ฐานข้ อมูลจะ return TRUE กลับมาเหมือนกัน ทําให้ สามารถผ่านหน้ า
login เข้ าไปได้ ส่วน – เป็ นคําสัง SQL ของ oracle database แปลว่า ไม่ต้องสนใจชุดคําสัง อัน
ทีตามมา (หรื อเป็ นการ comment) ซึงในความเป็ นจริ ง hacker จะพยายามใส่ SQL
command เพือดึงข้ อมูลออกจากฐานข้ อมูล เพือขโมยข้ อมูลทีตนสนใจ รวมทังสามาถแก้
J
ไข
เปลียนแปลงข้ อมูลในฐานข้ อมูลได้ จากการใช้ คําสัง อืนๆ เช่น INSERT UPDATE DROP หรื อ
DELETE นอกจาก SQL injection แล้ ว ยังมี injection flaw รู ปแบอืนๆ อีก เช่น LDAP
injection เป็ นการส่งชุดคําสัง ในการ query ข้ อมูลผู้ใช้ งานออกจาก LDAP เป็ นต้ น
การแก้ ปัญหาของ Injection flaw ทําได้ โดย
• การทํา input validation หรื อการตรวจสอบข้ อความทีผ้ ใู ช้ งานกรอกเข้ ามา ไม่ว่าทังJ
รู ปแบบ ความยาว และ business logic โดยต้ องทําทังที
J ฝัง client และ ฝั ง server
ซึงการตรวจสอบ ควรใช้ แบบ white list นัน คือรับอักขระทีเป็ นไปได้ เท่านันJ เช่น ใน
หน้ าทีขอข้ อมูลทีอยู่ของผู้ใช้ งาน ใน input textbox ของบ้ านเลขที ก็รับเฉพาะทีเป็ น
ตัวเลข เครื องหมาย / และ เครื องหมาย -เท่านันJ เป็ นต้ น ทังนี
J Jอักขระพิเศษที hacker
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
321
(Network and Computer Security Specialist: NCS) ระดับที 3
สามารถนํามาใช้ เขียน script ได้ ได้ แก่ `< ” > ’ / \ ; & * ( ) % ! + { } [ ] | ดังนันควร
J
เขียนโปรแกรมไม่ให้ รับอักขระดังกล่าวเข้ ามาประมวลผล
• การทํา Output Encoding โดยการ encode ข้ อความทีจะปรากฏออกไปยังหน้ า
web page ให้ เป็ นข้ อความ text เท่านันJ และควรกําหนดรู ปแบบของการ encode
เช่น ISO8859-1 หรื อ UTF8 เป็ นต้ น เพือป้องกันไม่ให้ web application แปล script
ที hacker ใส่เข้ ามาเพือแสดงผลหรื อประมวลผล
• กําหนดสิทธิของการที web application ติดต่อกับฐานข้ อมูลให้ น้อยทีสดุ
• ตรวจสอบ log ของ web application อย่างสมําเสมอว่ามีการใส่ข้อมูลทีผิดปกติ เช่น
เป็ น SQL command เข้ ามาหรื อไม่
• อย่ารับค่าจากผู้ใช้ งานแล้ วนําไปใช้ ตอ่ ใน SQL command โดยตรง (dynamic query
interfaces)
• ตรวจสอบหน้ า error page ต่างๆ ว่ามีข้อมูลทีเป็ นการบอกใบ้ ให้ hacker นําไป
หาทางเข้ าสูร่ ะบบได้ หรื อไม่
• ควรใช้ store procedure
• กรณี ที เ ป็ น
java
application
ผู้พัฒ นาแอพพลิ เ คชั น ควรใช้
class
PreparedStatement เพือเตรี ยมชุดคําสัง SQL
อันดับ 3 Malicious File Execution
ช่องโหว่นี Jพบได้ ทวั ไปใน web application ทีมีหน้ าให้ upload file เข้ ามาได้ และไม่มี
การตรวจสอบไฟล์ทีรับเข้ ามาอย่างดีพอ
Hacker จะใช้ ช่องโหว่ดงั กล่าวในการส่งโปรแกรม หรื อ script เข้ าไปแทน เช่น อาจส่ง
ไฟล์ php ทีสามารถรันคําสัง ของ OS ได้ เข้ าไป จากนันก็
J เข้ า URL ทีคิดว่ามีไฟล์ทีถกู upload
เข้ าไปอยู่ ทําให้ hacker ได้ หน้ า web page ทีสามารถเข้ าถึง web server OS ได้ ทนั ที
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
322
(Network and Computer Security Specialist: NCS) ระดับที 3
นอกจากนี J hacker ยังสามารถ upload file ขนาดใหญ่เข้ าไปใน server ทําให้ ไปกิน
เนื Jอทีของ harddisk ได้ ด้วย
รูปที 6.6 Upload หน้ าทีสามารถรัน command ของ OS เข้ าไป
การป้องกัน Malicious File Execution ทําได้ โดย
• การทํา input validation เพือตรวจสอบเนื Jอหาของไฟล์ทีรับเข้ ามา รวมทังJ ชนิด และ
ขนาดของไฟล์
• ใช้ โค้ ดอ้ างอิงกับไฟล์ที upload เข้ ามา แทนทีจะเรี ยกใช้ ไฟล์จากชือไฟล์โดยตรง
• ไฟล์ที upload เข้ ามาต้ องไม่ถกู เก็บที web root ต้ องเก็บใน directory เฉพาะทีได้
สิทธิน้อยทีสดุ
• ต้ องเปลีย นสิทธิของไฟล์ที upload เข้ ามาเป็ นอ่านหรื อเขียนได้ เท่านันJ ห้ ามรัน
• ป้องกันการเรี ยกใช้ ไฟล์โดยตรงจากการใส่ URL อ้ างไปที path หรื อ ไฟล์ต่างโดยการ
กําหนดที htaccess
• ใช้ chroot jail เพือแยกแอพพลิเคชัน ออกจากส่วนอืนๆ ของ OS
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
323
(Network and Computer Security Specialist: NCS) ระดับที 3
อันดับ 4 Insecure Direct Object Reference
Direct object reference เกิดขึ Jนเมือผู้พฒ
ั นาโปรแกรมใช้ การอ้ างอิงตัวแปรต่างๆ ไป
ที object โดยตรง เช่น ไฟล์ directory record หรื อ key ในฐานข้ อมูล
ตัวอย่างที 1 ในการแสดงผลหน้ า web page หนึง hacker สังเกตที URL ว่าเป็ น
http://www.xyzbank.com/default.aspx?content=business_deposit.htm
hacker สามารถลองเปลีย น URL เป็ น
http:// www.xyzbank.com/default.aspx?content=../boot.ini
ทําให้ hacker สามารถเห็นข้ อมูลใน system file ของ web server ได้
ตัวอย่างที 2 ในการแสดงผลหน้ า web page หนึง hacker สังเกตที URL ว่าเป็ น
http://www.attacked.com/resource.php?userID=123
hacker สามารถลองเปลีย น URL เป็ น
http://www.attacked.com/resource.php?userID=124
เพือลองดูข้อมูลของผู้ใช้ งานคนอืน
การป้องกัน Insecure Direct Object Reference ทําได้ โดย
• หลีกเลีย งการอ้ างอิงโดยตรงไปที ไฟล์ หรื อ primary key ของฐานข้ อมูล ที URL
• ใช้ โค้ ดอ้ างอิงกับไฟล์ทีจะอ้ างอิง แทนทีจะใช้ เป็ นชือไฟล์โดยตรง
• ทําการตรวจสอบการอ้ างอิงไปยัง object ทุกครังJ โดยใช้ หลักการของการยอมรับค่าที
เป็ นไปได้ เท่านันJ เพือป้องกัน hack แก้ ไขค่าเอง
อันดับ 5 Cross Site Request Forgery (CSFR)
การโจมตีแบบ Cross Site Request Forgery ยังไม่มีหลักฐานว่าเคยเกิดขึ Jนจริ ง แต่
ว่าสามารถทําได้ สาํ เร็ จในการทดสอบ ซึง มีความเสีย งสูงเทียบเท่า Cross-Site Scripting ทําให้
CSFR ถูกจัดอยูใ่ นอันดับที 5
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
324
(Network and Computer Security Specialist: NCS) ระดับที 3
Cross Site Request Forgery เป็ นการโจมตีไปยัง browser ของผู้ใช้ งานทีได้ login
เข้ าระบบใดๆ ไปแล้ ว แล้ วบังคับให้ browser ของคนนันส่
J งชุดคําสัง หรื อ request ไปที web
application ทีมีช่องโหว่ เพือกระทําการตามที hacker ต้ องการ
ยกตัวอย่างเช่น hacker พบช่องโหว่ใน web application ซื Jอขายหุ้นผ่าน Internet
เจ้ าหนึง hacker จึงวางโปรแกรม script ทีใช้ โอนเงินของธนาคารหนึงเข้ าบัญชีตวั เองไว้ ทีหน้ า
web page นันJ เมือเหยือเข้ ามายังหน้ า web page ของ web ซื Jอขายหุ้นทีมี script ฝั งอยู่
พร้ อมทังได้
J login เข้ ามาทํารายการ Internet banking ของธนาคารทีตรงกับโปแกรม script ที
hacker วางไว้ พอดี โปรแกรม script จะบังคับให้ browser ของเหยือส่ง request ไปยัง web
Internet banking เพือโอนเงินเข้ าบัญชีของ hacker
จากตัวอย่างจะเห็นได้ วา่ เหตุการณ์ดงั กล่าวอาจเกิดได้ ยาก แต่ไม่ใช่วา่ จะไม่มีโอกาส
เกิดเลย แต่หากเกิดขึ Jนแล้ ว จะทําให้ เกิดความเสียหายได้ มาก
CSFR และ Cross Site Scripting ทํางานในลักษณะเหมือนกัน ต่างกันตรงที Cross Site
Script จะใช้ ความเชือใจ (trust) ของผู้ใช้ งานทีมีต่อ web application นันๆ
J ในการโจมตี
เนืองจากผู้ใช้ งานเชือว่า web application นันมี
J ความปลอดภัย จึงเปิ ดหน้ า web และกด link
ต่างๆ ได้ อย่างสนิทใจ
ส่วน CSFR จะใช้ ความเชือใจของ web application ทีมีต่อผู้ใช้ งานในการโจมตี
เนืองจาก หากผู้ใช้ งานสามารถ login เข้ าสูร่ ะบบได้ web application จะเชือใจว่าเป็ นผู้ใช้ งาน
ทีมีสิทธิทีถกู ต้ องในการเข้ าใช้ งาน ดังนันหาก
J
browser ของผู้ใช้ งานส่งคําสัง ใดๆก็ตามมาให้
web application ประมวลผล web application ก็ทําให้ ทงหมดทุ
ัJ
กคําสัง
การป้องกัน CSFR ได้ แก่
• เหมือนกับการป้องกัน Cross Site Scripting
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
325
(Network and Computer Security Specialist: NCS) ระดับที 3
• ใช้ custom random token กับทุก form และ URL เพือไม่รับการ request จาก
browser ทีใช้ session token ทีไม่ถกู ต้ อง
• ทุกครังJ ทีจะมีการทํา transaction ทีมีมลู ค่าสูงหรื อมีการรับส่งข้ อมูลทีเป็ นความลับสูง
ต้ องมีการพิสจู น์ตวั ตนใหม่ทกุ ครังJ ก่อน (re-authenticate)
อันดับ 6 Information Leakage And Inproper Error Handling
ในหลายครังJ เราจะพบว่ามีข้อมูลเกียวกับการทํางานภายใน หรื อการตังค่
J าต่างๆ ของ
Applications ปรากฏออกมาพร้ อมกับการแสดงหน้ า Error ซึงทําให้ hacker รู้ ถึงยีห้อ Web
application, ภาษาทีใช้ ในการเขียนโปรแกรม, Web server OS, ชนิดของฐานข้ อมูล หรื อแม้
กระทังJ query statement ทีทําให้ ร้ ู ถึงชือตาราง หรื อชือคอลัมน์ในฐานข้ อมูล ซึงข้ อมูลเหล่านี J
จะช่วย hacker อย่างมากในการหา hack tool ทีเหมาะสมในการบุกรุกระบบหรื อ application
ดังกล่าว
รูปที 6.7 ตัวอย่าง Error Messsage ของ web application
ทีแสดงข้ อมูลเทคโนโลยีทีใช้ และการทํางานภายใน
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
326
(Network and Computer Security Specialist: NCS) ระดับที 3
นอกจากนันJ การโต้ ตอบกับผู้ใช้ งานอย่างไม่ถูกต้ องโดยให้ ข้อมูลแก่ผ้ ูใช้ งานมาก
เกินไป ก็ทําให้ เป็ นจุดอ่อนของระบบได้ ตัวอย่าง เช่น
รูปที 6.8 ตัวอย่างการตอบโต้ ผ้ ใู ช้ งานด้ วยข้ อความทีไม่ปลอดภัย
จากรู ปจะเห็นว่าเมือผู้ใช้ งานใส่ password ผิด แอพพลิเคชันแสดงข้ อความบอก
ผู้ใช้ งาน ว่า password ไม่ถกู ต้ อง “Login Failed – Invalid Password” และเมือผู้ใช้ งานใส่
username ผิด แอพพลิเคชัน ก็จะบอกว่า username ไม่ถกู ต้ อง “Login Failed – Invalid
Username” ซึง ถื อ เป็ นการบอกใบ้ ใ ห้ hacker รู้ ว่า username ที ตนลองใส่เ ข้ า ไปเป็ น
username ที ถูก ต้ อ ง/มี ใ นระบบหรื อ ยัง ทํ า ให้ ช่ ว ยย่ น ระยะในการเดา username และ
password ได้ มาก
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
327
(Network and Computer Security Specialist: NCS) ระดับที 3
อันดับ 7 Broken Authentication and Session Management
การพิสจู น์ตวั ตนในการเข้ าใช้ งานระบบ ถือเป็ นจุดทีสําคัญมากในการรักษาความ
ปลอดภัย ระบบต้ องอนุญาตให้ ผ้ ทู ีมีสทิ ธิเท่านันในการเข้
J
าใช้ งานระบบ ดังนันการออกแบบและ
J
พัฒนาหน้ า login จึงเป็ นสิง ทีต้องให้ ความสําคัญอย่างยิง นอกจากนี Jการป้องกัน session ให้ มี
ความแข็งแรงปลอดภัย จะช่วยให้ hacker ไม่สามารถยึด session ของผู้ใช้ หรื อทีเรี ยกว่า
session hijacking ได้
การพิสจู น์ตวั ตน (Authentication) ของ web application สามารถทําได้ หลาย
รูปแบบ เช่น
• HTTP Basic เป็ นรู ปแบบการการพิสูจน์ ตัวตนแบบพืนJ ฐาน คือใช้ username
password ในการพิสูจน์ ตัวตนกับระบบปฏิบัติก าร (Operation System) เช่ น
Windows หรื อ UNIX โดย username และ password จะถูกส่งผ่านเครื อข่ายโดยไม่
มีการเข้ ารหัสลับ (clear text)
• HTTP Digest เป็ นการพิสจู น์ตวั ตนโดยใช้ username password เหมือนกัน แต่มี
การ hash password ก่อน และส่งไปเฉพาะ hash ของ password ทําให้ ไม่มีการ
ส่งผ่าน password จริ งๆผ่านไปในเครื อข่าย และใช้ รูปแบบ challenge – response
ในการทํางาน การพิสจู น์ตวั ตนแบบนี Jใช้ กบั Windows 2000 Server ขึ Jนไป
• Integrated Authentication (NTLM) เป็ นการพิสจู น์ตวั ตนของ web application ที
ทํางานบน Microsoft IIS server เท่านันJ โดยจะทํางานโดยใช้ NTLM เหมือนกับการ
ทําการพิสจู น์ตวั ตนบน Intranet กับ Windows Domain Controller ทัว ไป
• Form-based เป็ นรู ปแบบของการพิสจู น์ตวั ตนทีเป็ นทีนิยมมากทีสดุ คือเขียน web
application ให้ มีหน้ า login เป็ นของตัวเอง และการพิสจู น์ตวั ตนที application เอง
หรื อส่งผ่านไปการพิสจู น์ตวั ตนที LDAP ก็ได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
328
(Network and Computer Security Specialist: NCS) ระดับที 3
• Federate Authentication (SSO) เป็ นการพิสจู น์ตวั ตนแบบครังJ เดียว ซึงเป็ นทีนิยม
ในองค์กรขนาดใหญ่ทีมี application จํานวนมากซึงทําเป็ นผลทําให้ ผ้ ใู ช้ งานต้ องจํา
password จํานวนมากตามไปด้ วย แต่หากได้ มีการติดตังระบบ
J
SSO หรื อ Single
Sign On แล้ ว ผู้ใช้ งานจะ login เพียงครังJ เดียวก็จะสามารถเข้ าใช้ งาน application
ต่างๆ ทีตนมีสทิ ธิได้ ทงหมด
ัJ
โดยไม่ต้องมีการ login อีก ช่วยลดภาระของ help desk
ในเรื องการ reset password เนืองจากผู้ใช้ งานลืม password ได้ อย่างมาก
• PKI หรื อ Public Key Infrastructure เป็ นการใช้ public-private key และ
certificate ช่วยในการพิสจู น์ตวั ตน
• 2 Factor Authentication เป็ นการพิสูจ น์ ตัว ตนโดยใช้ การรวมกันของหลักการ
มากกว่า 2 หลักการ ขึ Jนไป ซึง หลักการดังกล่าว คือ
1. What you remember เช่น password ทีเราตังกั
J น แล้ วต้ องจําไว้
2. What you have เช่น อุปกรณ์เสริ มต่างๆ อาทิ token หรื อ smard card
3. What your are คือการใช้ พิสจู น์ตวั ตนแบบ biometric เช่น ใช้ ลายนิ Jวมือ
รูปแบบฝ่ ามือ การเปล่งเสียง หรื อ เรตินา่
ดังนันJ เราอาจใช้ What you remember ร่ วมกับ What you have โดยการ
ใช้ password ร่วมกับการใช้ token ในการพิสจู น์ตวั ตน เป็ นต้ น
รูปที 6.9 ตัวอย่าง Token โดยเราจะใช้ เลขบนหน้ าจอทีจะเปลีย นไปทุก 1 นาที
ใส่ตอ่ ท้ าย password ปกติของเรา ทําให้ password ของเรายาวขึ Jน
และเปลีย นไปทุกครังJ ทีทําการ login
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
329
(Network and Computer Security Specialist: NCS) ระดับที 3
รูปที 6.10 ตัวอย่างลายนิ Jวมือ ซึง จะใช้ ขององค์ประกอบต่างๆ
ในลายนิ Jวมือ เช่น ลักษณะหลัก (มัดหวาย ก้ นหอย โค้ ง)
ส่วนตัด ส่วนขาด และอืนๆ เพือให้ แยกความแตกต่างของแต่ละนิ Jวได้
เราจําเป็ นทีต้องเลือกใช้ วิธีการพิสจู น์ตวั ตน อย่างเหมาะสม ตามระดับความสําคัญ
และระดับความลับของข้ อมูลในระบบ เช่น ในหน้ า web page ทีใช้ ในการโอนเงิน ควรใช้ twofactor authention ร่วมด้ วยทุกครังJ
เมือผู้ใช้ งาน login เข้ ามาได้ สําเร็ จสมบูรณ์ application จะสร้ าง session สําหรับ
ผู้ใช้ งานขึ Jน เพือให้ การรับส่งข้ อมูลของผู้ใช้ งานกับ application เป็ นไปอย่างถูกต้ องไม่ปะปน
กับข้ อมูลของผู้อืน และทําให้ application สามารถจดจําการกระทําและข้ อมูลของผู้ใช้ งานที
เกิดขึ Jนในแต่ละหน้ า web page ไว้ ได้ เช่น ในการสมัครสมาชิกหรื อกรอกแบบสอบถาม ที
ประกอบด้ วยหลายๆ หน้ า ข้ อมูลทีผ้ ใู ช้ กรอกลงไป เช่น ชือ ทีอยู่ ความคิดเห็นในเรื องต่างๆ จะ
ถูกเก็บลงใน session ก่อนทีจะถูกเก็บลงในฐานข้ อมูล ทําให้ ระหว่างการกรอกข้ อมูล ลูกค้ า
สามารถกด Back กลับไปดูข้อมูลทีตนกรอกในหน้ า web ทีผา่ นมาได้
ซึง หากเป็ นหน้ าทีใช้ ในการโอนเงิน hacker สามารถทีจะขโมย session หรื อทีเรี ยกว่า
session hijacking เพือให้ ตนได้ session และหน้ า web page ของเหยือมา เพือทําให้ ตน
สามารถโอนเงินของเหยือให้ ตนเองได้
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
330
(Network and Computer Security Specialist: NCS) ระดับที 3
การป้องกันทําได้ โดย
• เลือกใช้ การพิสจู น์ตวั ตนทีแข็งแรงกับ
-
การทําธุรกรรมทีมีจํานวนเงินมูลค่าสูง
-
การเข้ าถึงข้ อมูลส่วนบุคคล
-
การเข้ าถึงระบบทีมีความเสีย งสูง
-
การเข้ าถึงส่วนทีเป็ นส่วนการจัดการบริ หาร application หรื อส่วนของ
ผู้ดแู ลระบบ
• ให้ กําหนด Autocomplete = off เพือไม่ให้ มีเก็บข้ อมูลทีเคยกรอกไว้
• หน้ าเปลีย น password ต้ องให้ มีการกรอก password ปั จจุบนั ด้ วย
• ทุกครังJ ทีจะมีการทํา transaction ทีมีมลู ค่าสูงหรื อมีการรับส่งข้ อมูลทีเป็ นความลับสูง
ต้ องมีการพิสจู น์ตวั ตนใหม่ทกุ ครังJ ก่อน (re-authenticate)
• ใช้ password policy ทีเข้ มงวด เช่น password ต้ องประกอบด้ วยอักษรพิมพ์เล็ก
อักษรพิมพ์ใหญ่ ตัวเลข และอักขระพิเศษ ความยาวไม่น้อยกว่า 8 ตัวอักษร และต้ อง
บังคับให้ มีการเปลีย น password อย่างน้ อยทุก 90 วัน เป็ นต้ น
• ใช้ https ทีหน้ า login เสมอ และควรใช้ ในหน้ าอืนๆทีเหลือด้ วยถ้ าเป็ นไปได้
• ต้ องมีการกําหนดอายุของ session (session timeout) เพือให้ ผ้ ใู ช้ งาน logout ของ
จากระบบโดยอัตโนมัติ เมือไม่ได้ ใช้ ระบบเป็ นระยะเวลาหนึง ปกติควรอยูร่ ะหว่าง 1530 นาที
• Web application ทีดีต้องมีปมุ่ logout ทุกหน้ า
• เมือ login สําเร็ จแล้ ว ต้ องสร้ าง session ใหม่ให้ ทุกครังJ และ application ต้ อง
ปฏิเสธ request ทีมีค่า session ID ทีไม่ถกู ต้ อง ไม่คล้ องจองกับ session ID ก่อน
หน้ า
• ต้ องมีการเข้ ารหัส cookie
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
331
(Network and Computer Security Specialist: NCS) ระดับที 3
อันดับ 8 Insecure Cryptographic Storage
การละเลยการเข้ ารหัสลับกับข้ อมูลทีสําคัญ เช่น password, PIN, หมายเลขบัตร
เครดิต มักพบเห็นได้ ทวั ไป และเป็ นช่องโหว่สาํ คัญทีช่วยให้ hacker ทีสามารถเข้ าถึงฐานข้ อมูล
ได้ แล้ ว สามารถคัดลอกข้ อมูลเหล่านี Jออกไปได้ โดยง่าย
ถึงแม้ จะมีการเข้ ารหัสลับแล้ ว แต่การออกแบบทีไม่ถูกต้ อง การเลือกใช้ อลั กอรึ ทึม
การเข้ ารหัสลับทีไม่แข็งแรงหรื อไม่เหมาะสม หรื อบ่อยครังJ ทีโปรแกรมเมอร์ มกั hard code
password/key ลงใน source code เพือง่ายต่อการพัฒนา ก็ยงั ทําให้ ไม่สามารถป้องกันข้ อมูล
สําคัญได้
ข้ อแนะนําในการเข้ ารหัสลับ มีดงั นี J
• ข้ อมูลทีควรจะถูกเข้ ารหัสลับต้ องมีการเข้ ารหัสลับ เช่น password, PIN, หมายเลข
บัตรเครดิต, หมายเลขบัตรประชาชน, ประวัติคนไข้ เป็ นต้ น
• การเข้ ารหัสลับทีดีต้องเริ มตังแต่
J การออกแบบ อย่า hardcode key ลงใน source
code ขันตอนการเข้
J
ารหัสลับต้ องเริ มต้ นตังแต่
J การสร้ างข้ อมูล ขันตอนการถอดรหั
J
ส
ลับเพือแก้ ไขข้ อมูลหรื ออ่านข้ อมูล
• หน้ า database adiminstration ต้ องยากต่อการเข้ าถึง และ password ในการเข้ า
บริ หารจัดการฐานข้ อมูลต้ องแข็งแรงเพียงพอ
• เลือกใช้ อลั กอรึ ทึมการเข้ ารหัสลับทีแข็งแรงเท่านันJ เช่น 3DES, AES, SHA-256,
RSA อย่าใช้ อลั กอรึทมึ ทีพฒ
ั นาขึ Jนเอง
• เก็บ private key อย่าปลอดภัย ยากต่อการเข้ าถึง ไม่สง่ private key ผ่านเครื อข่ายที
ไม่มีการเข้ ารหัสลับ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
332
(Network and Computer Security Specialist: NCS) ระดับที 3
อันดับ 9 Insecure Communications
การรั บส่งข้ อมูลผ่านเครื อข่ายปั จจุบนั ใช้ โปรโตคอล TCP/IP เกือบทังหมด
J
web
application ส่วนใหญ่ใช้ โปรโตคอล HTTP ในการเชือมต่อกับ browser ของผู้ใช้ งาน ซึง
โปรโตคอลเหล่านีเJ ป็ นโปรโตคอลทีไม่มีการเข้ ารหัสลับ ข้ อมูลทังJ หมดทีถูกส่งผ่านอยู่ในรู ป
cleartext ซึง ง่ายต่อการอ่านข้ อมูลมาก
การเข้ ารหัสลับช่องทางการสือสาร เป็ นการป้องกัน hacker ทีใช้ โปแกรมอ่านข้ อมูล
จากเครื อข่าย เช่น sniffer ให้ ไม่สามารถนําข้ อมูลทีอา่ นได้ ไปใช้ ได้ โดยง่าย ดังนันJ ควรใช้ SSL
(https) กับหน้ า login ทุกครังJ เพือเข้ ารหัส username และ password และควรใช้ SSL กับ
web application ทีสง่ ผ่านข้ อมูลทีเป็ นความลับ เช่น Internet Banking, web application ที
ใช้ ในโรงพยาบาล, web application ของหน่วยงานราชการต่างๆ เช่น กรมสรรพากร
กระทรวงกลาโหม กระทรวงมหาดไทย เป็ นต้ น
นอกจากนี J web application ทีใช้ ภายในองค์กร ทีอยู่ใน Intranet ก็ควรทีจะใช้ SSL
เช่นกัน เพือป้องกันผู้ไม่หวังดีภายในองค์กรเอง นอกจากนี Jช่องทางทีใช้ ในการสือสารระหว่าง
server ภายใน เช่น ระหว่าง web server กับ web application server หรื อ ระหว่าง web
application server กับ database server ก็ควรทีจะมีการเข้ ารหัสลับเช่นกัน
ปั จจุบันธนาคารแห่งประเทศไทย ได้ ออกกฎข้ อบังคับ ให้ ทุกธนาคารใช้ SSL กับ
Internet banking ในทุกหน้ า และแนะนําให้ ทําการเข้ ารหัสลับช่องทางการสือสารแบบ endto-end คือตังแต่
J browser ของผู้ใช้ งาน (end user) ไปจนถึงฐานข้ อมูล (back end server)
อันดับ 10 Failure to Restrict URL Access
หลายครังJ ที hacker ทดลองใส่ URL โดยเปลีย น path ไปเรื อยๆ จนสุดท้ ายสามารถที
จะเข้ าถึง path หรื อ directory ทีอยู่ภายใน web server ได้ โดยเฉพาะอย่างยิง path สําหรับ
ผู้ดแู ลระบบ เช่น
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
333
(Network and Computer Security Specialist: NCS) ระดับที 3
ตัวอย่างที 1
URL ปกติ: http://www.abc.com
Hacker ลองใส่ URL เป็ น: http://www.abc.com/admin/index.jsp แล้ วสามารถเข้ าหน้ า
สําหรับผู้ดแู ลระบบได้
ตัวอย่างที 2
URL ปกติ: http://www.abc.com/getUserProfile.jsp?item=xyz
Hacker ลองใส่ URL เป็ น:
http://www.abc.com/getUserProfile.jsp?item=../../../etc/passwd แล้ วสามารถเปิ ดไฟล์
password ของเครื อง web server ดูได้
การป้องกัน
• การให้ สทิ ธิในการเข้ าถึง path ต่างๆ ต้ องทําอย่างเข้ มงวด path ทีเป็ น directory ของ
system file ต่างๆ เช่น /bin, /sbin, /etc, windows/system32 ต้ องกําหนดสิทธิอย่าง
เหมาะสม ซึง การกําหนดสิทธิเหล่านี J ทําได้ ทงที
ั J web server (เช่น IIS, Apache) และ
ที OS ของ web server
• ต้ องมีการทดสอบเจาะระบบจากผู้เชียวชาญ (penetration testing) อย่างสมําเสมอ
และทุกครังJ ทีมีการขึ Jน web application ใหม่ เพือหาช่องโหว่ทีเป็ นไปได้ ทงหมดแล้
ัJ
ว
หาแนวทางป้องกัน
• Web site หรื อ path ของผู้ดูแลระบบ ต้ องทําให้ เดาได้ ยาก หรื อ ไม่ให้ มีการเข้ า
บริ หารจัดการระบบ/application ผ่านทาง Internet
บทสรุ ป
เนืองจากภัยคุกคามปั จจุบนั ได้ เปลียนจากการบุกรุ กผ่านทางเครื อข่าย ไปเป็ นทาง
application แทน โดยเฉพาะอย่างยิง web application ทีเปิ ดให้ ใครก็ได้ บน Internet สามารถ
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
334
(Network and Computer Security Specialist: NCS) ระดับที 3
เข้ าถึงได้ อย่างง่ายดาย จึงมีความจําเป็ นอย่างยิงทีต้องเรี ยนรู้ ช่องโหว่ของ web applicastion
และเทคนิคทีใช้ ในการป้องกันหรื อปิ ดช่องโหว่เหล่านันJ ไม่ว่าจะเป็ นการทํา Input validation,
การเข้ ารหัสลับ, การกําหนดสิทธิในการเข้ าถึง การใช้ secure library เพือใช้ ฟังก์ชนั ใหม่ๆ เพือ
เพิมความปลอดภัยให้ แก่ application
แบบฝึ กหัดที 6.7.1 (LAB 1): การเข้ ารหัสโดยโปรแกรม PGP
1. ติดตังโปรแกรม
J
PGP ลงในเครื อง
2. ในขณะทีโปรแกรมกําลังถูกติดตังJ ให้ สร้ าง private key และ public key ของตนเอง
(ช่วงทีโปรแกรม pop-up หน้ าให้ กําหนด password)
3. ให้ แลก public key กับเพือน
4. เปิ ดโปรแกรม PGP และ Import public key ของเพือนเข้ าไป
5. ทดลองเข้ ารหัสไฟล์อะไรก็ได้ โดยเลือก key ของเพือนมาเข้ ารหัส
6. ลองส่งให้ เพือนทดลองเปิ ดไฟล์
7. ลองส่งให้ คนอืนลองเปิ ดไฟล์
แบบฝึ กหัดที 6.7.2 (LAB 2): การเข้ ารหัสโดยโปรแกรม Truecrypt
1. ติดตังโปรแกรม
J
truecrypt ลงในเครื อง
2. ทดลองใช้ งาน เช่น ลองเข้ ารหัสไฟล์ทีอยู่ใน thumb drive หรื อ ลองเข้ ารหัส thumb
drive ทังตั
J ว
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
335
(Network and Computer Security Specialist: NCS) ระดับที 3
บรรณานุกรมท้ ายบทที 6
[1]. เอกสารฝึ กอบรม หลักสูตรผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและ
คอมพิวเตอร์ ระดับที 3 (NCS 3) รุ่นที 1
[2]. ธวัชชัย ชมศิริ, ปลอดภัยของระบบเครื อข่ายคอมพิวเตอร์ , มกราคม 2553
[3]. สานนท์ ฉิมมณี, ตําราเรี ยนรู้เครื อข่ายคอมพิวเตอร์ ด้วยอูบนุ ตูและซิสโก้ , มกราคม 2553
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
ผู้เชียวชาญด้ านความมัน คงปลอดภัยของระบบเครื อข่ายและคอมพิวเตอร์
336
(Network and Computer Security Specialist: NCS) ระดับที 3
บันทึก (Note)
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
โครงการเสริ มสร้ างศักยภาพบุคลากร ICT ไทย
(Network and Computer Security Specialist: NCS) ; 3
337
Dedicated To: lPrecious love of mom m. Laddan
lmmmm.mm.mmmm Nattayan
. >
; EF
G=>
@HIFJ
>
;<<>
>;?
F;<<>
>;?
- Supervisor Network Engineer ;H;@O (NEC) P
3 Q > CCNA, CCDA, CCDP CCIE () C
V
(<=
>>@H;
NEC)
- W=
XYH;Z
XY (Software
House) P
5 Q
- W
WV
? = ;
? =?
> >
<
<;
;
?
>G
FJ G
;
> P
1 Q
- _WW@P
W
WV
G=>
@HIFJ >
;<<>
>;? F
;<< > >;? G
; > P W
?HG
; `
>
; ;
=a
!"#$%
&'
>
;<<>
>;? F;<<>
>;? G
;
>
< . >
; GW
b
1. Internet Traffic Classification to Improve QoS for Supporting Real-time Application
2. Load Balancing to Improve QoS for Supporting Real-time Application
3. Active Probing to Evaluate End-to-End Capacity
>iW [email protected]
<=
>>
?=
@
= ICT C;
(Network and Computer Security Specialist: NCS) ; 3
338
( ) 1. 2543 q 2546
;
?
>FJ >
;
?
> (Ys>=>)
F;
?
> G
;
t?
>
2547
=
?
G
;
>@<;t
t
2548 q 2549
;
?
>G
FJ >
;<<>
>;?
F?=?
> G
;
=H?
>
2. 2551 q _WW@ W
WV
G
;
>
2549 q 2551
?=vw=
>V
==
;<<>
>;?
x (>;.)
>V
=
Z
;
?
>;<<G
(>;.)
2548 q 2549
W
<>;@
2547 q 2548
=
=
H; =
<= (;?C;) WV
=
3. &(
1. W
WV
Information System Security, Information Technology
Architecture, Introduction to Multimedia Technology, Introduction to E-Business
2. ;z=H
=
Z
;<<>
>;?>
=
C;
3. ;
=G=> Security Awareness: Total Security Solution, Security
Awareness and Introduction to Hacking, Mail Hosting, =
i
?
{=
(OC), G=> Introduction to Web Design, <=
=W;V
P
KM, Bandwidth Management Basic to Network System, G=>
Introduction to Information and Communication Technology, e-Meeting System
[The paperless logic solution] V
=
;V
<= NetSupport
4. vw=>==
` Robolab
5. ;
World Robot Olympiad 2004, 2005
<=
>>
?=
@
= ICT C;