-
รู้เขารู้เรา
รบร้อยครั้ง ชนะร้อยครั้ง
― ซุนวู -
รู้เขารู้เรา
รบร้อยครั้ง ชนะร้อยครั้ง
― ซุนวู
-
KNOW YOUR ENEMIESBY PENETRATION TESTING -
KNOW YOUR ENEMIESBY PENETRATION TESTING
ในการดำเนินงานขององค์กรในบัจจุบันนั้น เทคโนโลยีมีความจำเป็นในการขับเคลื่อนให้การดำเนินงานเป็นไปอย่างมีประสิทธิภาพมากที่สุด ดังนั้นเพื่อให้ข้อมูลในการดำเนินงานขององค์กรมีความปลอดภัยมากที่สุด บริษัท มายด์เทอร่า จำกัด มีบริการตรวจหาช่องโหว่ ( Vulnerability Assessment) ในระบบขององค์กรของท่าน เพื่อให้ท่านทราบถึงช่องทางที่ผู้โจมตีหรือแฮกเกอร์ (Hacker) มีโอกาสเข้ามาถึงข้อมูลในองค์กรของท่านและเพื่อให้ท่านสามารถเตรียมการวางแผนรับมือได้ทันท่วงที พร้อมด้วยบริการทดสอบเจาะระบบ (PenTest) เพื่อให้ท่านทราบถึงวิธีการที่แฮกเกอร์ (Hacker) สามารถใช้ในการโจมตีท่านได้ แสดงถึงรายละเอียดในการโจมตีในขั้นตอนต่างๆ เพื่อให้ท่านแน่ใจว่าช่องทางต่างๆ ที่เป็นช่องโหว่นั้นสามารถโจมตีได้จริง
และยังแสดงถึงผลกระทบของการโจมตีแบบต่างๆ เพื่อให้ท่านได้เตรียมการป้องกันได้อย่างดี
PENETRATION TESTING VALUE PACKAGE
-
INTERTHREATให้บริการตรวจจับภัยคุกคามที่มาจากทางอินเตอร์เน็ต เช่น ไวรัส โทรจัน สปายแวร์
รวมไปถึงแฮกเกอร์ที่พยายามเจาะระบบที่ให้บริการอยู่บนอินเตอร์เน็ตขององค์กร
เป้าหมายคือ เครื่อง Server ต่างๆ ขององค์กรที่สามารถเข้าใช้งานได้จากอินเตอร์เน็ต
ไม่ว่าจะเป็น FTP Server, Mail Server, Web Server หรือ DNS Server
โดยใช้วิธีการ External Black Box Pentest ซึ่งวิธีนี้จะเป็นการทดสอบโดยที่ผู้เชี่ยวชาญ
จะไม่รู้ต่างๆ ข้อมูลของระบบ หรืออาจจะรู้แค่ IP Address หรือ Domain Name เท่านั้น
และใช้วิธี External VA คือการใช้เครื่องมือสแกนจากอินเตอร์เน็ตด้วย เมื่อทดสอบเสร็จแล้ว
ก็จะมี Report เกี่ยวกับช่องโหว่ที่ค้นพบพร้อมทั้งวิธีการแก้ไขช่องโหว่นั้นๆ เพื่อให้ผู้ดูแลระบบ
จะได้นำไปแก้ไขปิดช่องโหว่นั้นเสีย และเมื่อผู้ดูแลระบบแก้ไขเสร็จเรียบร้อยแล้ว
ทางผู้เชี่ยวชาญก็จะทำการทดสอบเจาะระบบดูอีกครั้งว่าช่องโหว่นั้นยังเหลือ
และมีความเสี่ยงอยู่หรือไม่มีประโยชน์คือ ได้รู้วิธีหรือช่องโหว่ที่อาจจะถูกแฮกเกอร์
ใช้เข้ามาโจมตีระบบขององค์กรได้ -
INTERTHREATให้บริการตรวจจับภัยคุกคามที่มาจากทางอินเตอร์เน็ต เช่น ไวรัส โทรจัน สปายแวร์
รวมไปถึงแฮกเกอร์ที่พยายามเจาะระบบที่ให้บริการอยู่บนอินเตอร์เน็ตขององค์กร
เป้าหมายคือ เครื่อง Server ต่างๆ ขององค์กรที่สามารถเข้าใช้งานได้จากอินเตอร์เน็ต
ไม่ว่าจะเป็น FTP Server, Mail Server, Web Server หรือ DNS Server
โดยใช้วิธีการ External Black Box Pentest ซึ่งวิธีนี้จะเป็นการทดสอบโดยที่ผู้เชี่ยวชาญ
จะไม่รู้ต่างๆ ข้อมูลของระบบ หรืออาจจะรู้แค่ IP Address หรือ Domain Name เท่านั้น
และใช้วิธี External VA คือการใช้เครื่องมือสแกนจากอินเตอร์เน็ตด้วย เมื่อทดสอบเสร็จแล้ว
ก็จะมี Report เกี่ยวกับช่องโหว่ที่ค้นพบพร้อมทั้งวิธีการแก้ไขช่องโหว่นั้นๆ เพื่อให้ผู้ดูแลระบบ
จะได้นำไปแก้ไขปิดช่องโหว่นั้นเสีย และเมื่อผู้ดูแลระบบแก้ไขเสร็จเรียบร้อยแล้ว
ทางผู้เชี่ยวชาญก็จะทำการทดสอบเจาะระบบดูอีกครั้งว่าช่องโหว่นั้นยังเหลือ
และมีความเสี่ยงอยู่หรือไม่มีประโยชน์คือ ได้รู้วิธีหรือช่องโหว่ที่อาจจะถูกแฮกเกอร์
ใช้เข้ามาโจมตีระบบขององค์กรได้
-
INSIDERTHREATเป็นแพ็คเกจที่ให้บริการตรวจจับภัยคุกคามที่อาจจะเกิดขึ้นภายในองค์กรเองอันตรายส่วนใหญ่
มักเกิดจาก Network หรือระบบที่ใช้งานภายใน เช่น FTP Server, Mail Server หรือ
Web Server และพนักงานขององค์กร ซึ่งสามารถป้องกันได้ยาก
เราใช้วิธี Internal Grey-box โดยทางผู้เชี่ยวชาญจะมี User สำหรับการใช้งานในสิทธิ์ต่างๆ
ของระบบที่จะทดสอบ เช่น ผู้เชี่ยวชาญจะลองอัพเกรดสิทธิ์จาก User ทั่วไปให้กลายเป็น
Admin ผู้มีสิทธิ์จัดการทุกอย่างในระบบ และใช้เทคนิค Social Engineering ต่างๆ
เช่น Phishing ในรูปแบบต่างๆ และเทคนิค Internal VA คือ ใช้เครื่องมือสแกนหาช่องโหว่
จากภายใน เมื่อทดสอบเสร็จแล้วก็จะมี Report เกี่ยวกับช่องโหว่ที่ค้นพบพร้อมทั้งวิธีการแก้ไข
ช่องโหว่นั้นๆ เพื่อให้ผู้ดูแลระบบจะได้นำไปแก้ไขปิดช่องโหว่นั้นเสีย และเมื่อผู้ดูแลระบบแก้ไข
เสร็จเรียบร้อยแล้ว ทางผู้เชี่ยวชาญก็จะทำการทดสอบเจาะระบบดูอีกครั้งว่าช่องโหว่นั้นยังเหลือ
และมีความเสี่ยงอยู่หรือไม่ประโยชน์คือ ช่วยลดภัยคุกคามที่อาจเกิดขึ้นกับระบบที่ใช้งาน
ภายในและจากพนักงานขององค์กร -
INSIDERTHREATเป็นแพ็คเกจที่ให้บริการตรวจจับภัยคุกคามที่อาจจะเกิดขึ้นภายในองค์กรเองอันตรายส่วนใหญ่
มักเกิดจาก Network หรือระบบที่ใช้งานภายใน เช่น FTP Server, Mail Server หรือ
Web Server และพนักงานขององค์กร ซึ่งสามารถป้องกันได้ยาก
เราใช้วิธี Internal Grey-box โดยทางผู้เชี่ยวชาญจะมี User สำหรับการใช้งานในสิทธิ์ต่างๆ
ของระบบที่จะทดสอบ เช่น ผู้เชี่ยวชาญจะลองอัพเกรดสิทธิ์จาก User ทั่วไปให้กลายเป็น
Admin ผู้มีสิทธิ์จัดการทุกอย่างในระบบ และใช้เทคนิค Social Engineering ต่างๆ
เช่น Phishing ในรูปแบบต่างๆ และเทคนิค Internal VA คือ ใช้เครื่องมือสแกนหาช่องโหว่
จากภายใน เมื่อทดสอบเสร็จแล้วก็จะมี Report เกี่ยวกับช่องโหว่ที่ค้นพบพร้อมทั้งวิธีการแก้ไข
ช่องโหว่นั้นๆ เพื่อให้ผู้ดูแลระบบจะได้นำไปแก้ไขปิดช่องโหว่นั้นเสีย และเมื่อผู้ดูแลระบบแก้ไข
เสร็จเรียบร้อยแล้ว ทางผู้เชี่ยวชาญก็จะทำการทดสอบเจาะระบบดูอีกครั้งว่าช่องโหว่นั้นยังเหลือ
และมีความเสี่ยงอยู่หรือไม่ประโยชน์คือ ช่วยลดภัยคุกคามที่อาจเกิดขึ้นกับระบบที่ใช้งาน
ภายในและจากพนักงานขององค์กร
-
B4PUBLISHแพ็คเกจนี้ให้บริการเกี่ยวกับการหาช่องโหว่ WebApplication ที่ถูกพัฒนาขึ้นมาใหม่เพื่อใช้งาน
ขององค์กร แต่ก่อนที่จะนำไปใช้งานจริง จะต้องมีการทดสอบหาช่องโหว่ที่มีและทำการแก้ไข
ก่อนที่จะนำ Application นั้นไปใช้งาน เพื่อลดความเสี่ยงจากการถูกแฮกเกอร์โจมตี
ซึ่งอาจส่งผลกระทบต่อความน่าเชื่อถือขององค์กรได้
เทคนิคที่ใช้คือ Internal Black-box and Grey-box Pentest on UAT เป็นเทคนิคที่ใช้
ทั้งกลยุทธ์ Black box คือ การโจมตีแบบแฮกเกอร์จริงๆ และกลยุทธ์ Grey-box คือ การโจมตี
โดยที่มี User สำหรับเข้าใช้งานส่วนต่างๆ ของระบบ ทั้งนี้การทดสอบจะทำการทดสอบบน
ระบบ UAT ซึ่งเป็นระบบที่เสมือนระบบที่ใช้งานจริง คือ มีสภาพแวดล้อมเหมือนกำลังใช้งานจริง
ไม่ว่าจะเป็น Resource หรือ User จึงมั่นใจได้ว่าการทดสอบจะไม่ส่งผลกระทบใดๆ ต่อองค์กร
พร้อมทั้งใช้ Internal Source Code VA คือ การสแกนดู Source Code ทุกๆ บรรทัดของ
Application ซึ่งจะทำให้เห็นว่าการเขียน Code ของโปรแกรมเมอร์นั้นมีช่องโหว่หรือไม่ประโยชน์คือ ช่วยปิดช่องโหว่และลดความเสี่ยงที่จะถูก
แฮกเกอร์โจมตีผ่านทาง Application ได้ -
B4PUBLISHแพ็คเกจนี้ให้บริการเกี่ยวกับการหาช่องโหว่ WebApplication ที่ถูกพัฒนาขึ้นมาใหม่เพื่อใช้งาน
ขององค์กร แต่ก่อนที่จะนำไปใช้งานจริง จะต้องมีการทดสอบหาช่องโหว่ที่มีและทำการแก้ไข
ก่อนที่จะนำ Application นั้นไปใช้งาน เพื่อลดความเสี่ยงจากการถูกแฮกเกอร์โจมตี
ซึ่งอาจส่งผลกระทบต่อความน่าเชื่อถือขององค์กรได้
เทคนิคที่ใช้คือ Internal Black-box and Grey-box Pentest on UAT เป็นเทคนิคที่ใช้
ทั้งกลยุทธ์ Black box คือ การโจมตีแบบแฮกเกอร์จริงๆ และกลยุทธ์ Grey-box คือ การโจมตี
โดยที่มี User สำหรับเข้าใช้งานส่วนต่างๆ ของระบบ ทั้งนี้การทดสอบจะทำการทดสอบบน
ระบบ UAT ซึ่งเป็นระบบที่เสมือนระบบที่ใช้งานจริง คือ มีสภาพแวดล้อมเหมือนกำลังใช้งานจริง
ไม่ว่าจะเป็น Resource หรือ User จึงมั่นใจได้ว่าการทดสอบจะไม่ส่งผลกระทบใดๆ ต่อองค์กร
พร้อมทั้งใช้ Internal Source Code VA คือ การสแกนดู Source Code ทุกๆ บรรทัดของ
Application ซึ่งจะทำให้เห็นว่าการเขียน Code ของโปรแกรมเมอร์นั้นมีช่องโหว่หรือไม่ประโยชน์คือ ช่วยปิดช่องโหว่และลดความเสี่ยงที่จะถูก
แฮกเกอร์โจมตีผ่านทาง Application ได้
-
SEMEASUREเนื่องจากการโจมตีมีแบบใหม่ๆ เกิดขึ้นทุกวัน และมีการพัฒนาให้ตรวจจับได้ยากยิ่งขึ้น
ทำให้อุปกรณ์ Security Control ต่างๆ ขององค์กร เช่น Firewall, IDS และ IPS
และถึงแม้ Firewall บางชนิดที่สามารถป้องกันไวรัสได้ แต่ก็ยังไม่มี Firewall ชนิดใด
ที่สามารถตรวจสอบไวรัสได้ทุกๆ โปรโตคอล ถ้าหากไม่มีการดูแลรักษาอย่างสม่ำเสมอ
วิธีการทดสอบเราจะทดสอบโดย External VA คือ การทดสอบเจาะไปยังระบบภายใน
โดยผ่านอุปกรณ์ Security Control และ Internal VA คือ การทดสอบโดยไม่มีอุปกรณ์
Security Control วางกั้นอยู่เลย ซึ่งการทดสอบด้วยวิธีนี้จะทำให้ได้ผลเปรียบเทียบ
ข้อดีข้อเสียของการมีอุปกรณ์ Security Controlประโยชน์คือ ช่วยดูแลรักษาอุปกรณ์ Security Control
ขององค์กรให้สามารถทำงานได้อย่างเต็มประสิทธิภาพ -
SEMEASUREเนื่องจากการโจมตีมีแบบใหม่ๆ เกิดขึ้นทุกวัน และมีการพัฒนาให้ตรวจจับได้ยากยิ่งขึ้น
ทำให้อุปกรณ์ Security Control ต่างๆ ขององค์กร เช่น Firewall, IDS และ IPS
และถึงแม้ Firewall บางชนิดที่สามารถป้องกันไวรัสได้ แต่ก็ยังไม่มี Firewall ชนิดใด
ที่สามารถตรวจสอบไวรัสได้ทุกๆ โปรโตคอล ถ้าหากไม่มีการดูแลรักษาอย่างสม่ำเสมอ
วิธีการทดสอบเราจะทดสอบโดย External VA คือ การทดสอบเจาะไปยังระบบภายใน
โดยผ่านอุปกรณ์ Security Control และ Internal VA คือ การทดสอบโดยไม่มีอุปกรณ์
Security Control วางกั้นอยู่เลย ซึ่งการทดสอบด้วยวิธีนี้จะทำให้ได้ผลเปรียบเทียบ
ข้อดีข้อเสียของการมีอุปกรณ์ Security Controlประโยชน์คือ ช่วยดูแลรักษาอุปกรณ์ Security Control
ขององค์กรให้สามารถทำงานได้อย่างเต็มประสิทธิภาพ
Recent Comments