THE
home / book-notes / purple-book
สรุปหนังสือทีละบท: The Purple Book on Cyber Security Sudhansu M Nayak · 152 หน้า · 9 บท หนังสือแนะนำเทคโนโลยี Security ฝั่งองค์กร เขียนให้มือใหม่สาย Sales, Pre-sales และ Delivery ผมสรุปเป็นภาษาไทย พร้อมคำศัพท์และวิธีนำไปใช้จริง
by John (พุทธัง อินทรโมฬี) #book-notes #cybersecurity
CH 01 p.8-10 Cybersecurity, Information Security
พื้นฐาน: Cybersecurity กับ Information Security บทเปิดสั้น ๆ ที่วางคำนิยามหลักของทั้งเล่ม และอธิบายว่าทำไมหนังสือชื่อ Purple: สีม่วงมาจากการผสมสีแดง (ฝ่ายโจมตี) กับสีน้ำเงิน (ฝ่ายป้องกัน)
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย Cybersecurity การปกป้องระบบคอมพิวเตอร์ เครือข่าย และอุปกรณ์ที่ต่ออินเทอร์เน็ต จากการโจมตี การขโมย และความเสียหายทางดิจิทัล Information Security การปกป้องข้อมูลทุกรูปแบบ ทั้งดิจิทัลและกายภาพ หนังสือสรุปเป็นสูตร InfoSec = Cyber + Physical Use case สถานการณ์ที่กำหนดไว้ล่วงหน้าว่าเหตุแบบไหนถือว่าผิดปกติ ต้องตรวจจับ สืบสวน หรือตอบสนองอย่างไร มีกฎ เกณฑ์ หรือค่า Threshold ชัดเจน Red Team / Blue Team Red คือทีมจำลองการโจมตี Blue คือทีมป้องกัน Purple Teaming ให้ Red กับ Blue ทำงานร่วมกัน Blue เปิดระบบให้ Red ทดสอบ แล้วช่วยกันหาจุดอ่อนและวางวิธีแก้
ประเด็นที่ควรจำ 01 Cybersecurity เป็นส่วนย่อยของ Information Security ไม่ใช่คำเดียวกัน 02 ลูกค้าองค์กรเลือกเครื่องมือจาก Use case ที่มันตรวจจับได้ 03 เป้าหมายของ Purple Team คือปิดช่องว่างระหว่างสิ่งที่ฝ่ายโจมตีทำได้ กับสิ่งที่ฝ่ายป้องกันมองเห็น // นำไปใช้จริง
ถ้าเคยใช้ Metasploit มาแล้ว นั่นคือฝั่ง Red ขั้นต่อไปที่ทำให้กลายเป็น Purple คือรัน Exploit ใน Lab แล้วเปิดดู Log ฝั่งเหยื่อ (Windows Event Log หรือ auth.log) ว่าเห็นร่องรอยอะไรบ้าง แล้วเขียนเป็น Use case 1 ข้อ เช่น "มีการเปิด Reverse shell ออกไปยัง IP ภายนอก"
ข้อสังเกต: คำนำบอกว่าผู้เขียนใช้ OpenAI ช่วยตอบคำถามในหนังสือ เนื้อหาจึงเหมาะเป็นภาพรวมเริ่มต้น บางจุดควรเช็กกับแหล่งอ้างอิงหลักอีกครั้ง จุดที่ผิดผมหมายเหตุไว้ในบทนั้น ๆ
บทที่ 02 →
CH 02 p.11-25 Endpoint Security - Antivirus
Endpoint Security: Antivirus และ EDR Endpoint คืออุปกรณ์ปลายทางที่ต่อเข้าเครือข่าย เช่น คอมพิวเตอร์ มือถือ แท็บเล็ต และ IoT หนังสือเรียกว่าเป็นด่านสุดท้ายของการป้องกัน บทนี้ยังเป็นต้นแบบของโครง Sales, Pre-sales, Delivery ที่บทอื่นใช้ซ้ำ
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย Virus มัลแวร์ที่เกาะไปกับโปรแกรมปกติ แล้วแพร่ต่อในเครื่อง Trojan ปลอมตัวเป็นโปรแกรมปกติเพื่อเข้าถึงเครื่องโดยไม่ได้รับอนุญาต มักใช้ขโมยรหัสผ่าน Worm แพร่จากเครื่องหนึ่งไปอีกเครื่องผ่านเครือข่ายได้เอง ไม่ต้องเกาะโปรแกรมอื่น Spyware แอบเก็บข้อมูลผู้ใช้ เช่น ประวัติเว็บ รหัสผ่าน โดยเจ้าของไม่รู้ตัว Malware signature ลายนิ้วมือของมัลแวร์ เช่น ชื่อไฟล์หรือรูปแบบโค้ด AV เทียบไฟล์กับฐานข้อมูลนี้ EDR Endpoint Detection and Response ตรวจจับและตอบสนองบน Endpoint เกินกว่าแค่สแกนไฟล์ L1 / L2 / L3 L1 คัดกรอง Alert และส่งต่อ, L2 สืบสวนเชิงลึก วิเคราะห์มัลแวร์ ล่าภัย, L3 ออกแบบสถาปัตยกรรมและเป็นผู้เชี่ยวชาญสูงสุด
ประเด็นที่ควรจำ 01 AV มี 5 แบบ: Traditional (ใช้ Signature), Real-time, Behaviour-based, Cloud-based และ Endpoint AV 02 Sizing ต้องดู 8 เรื่อง: จำนวนเครื่อง, ภัยที่เจอ, ประสิทธิภาพ, ทรัพยากร, การขยาย, ระดับความปลอดภัย, การเข้ารหัส และกฎเรื่องที่เก็บข้อมูล (Data residency) 03 ระบบซับซ้อนอาจใช้เวลาปรับจูน 6-9 เดือน ต้องตกลงกับลูกค้าล่วงหน้าว่าถ้าเกินเวลาใครรับค่าใช้จ่าย 04 เจ้าของเทคโนโลยีมักเก็บเงินล่วงหน้า 100% ผู้ให้บริการจึงควรตกลงแบบ 100% ล่วงหน้า หรือ Back-to-back (ลูกค้าจ่ายก่อน แล้วค่อยจ่ายต่อผ่าน Distributor) เพื่อไม่ให้กระแสเงินสดติดลบ 05 ไม่มี Vendor ไหนรับประกันเวลาแก้ปัญหาได้แม่นยำ เพราะ 4 เหตุผล: เหตุการณ์ซับซ้อน, ภัยเปลี่ยนตลอด, ระบบพึ่งพากัน, ข้อมูลไม่ครบ จึงควรเขียนเงื่อนไขค่าปรับในสัญญาให้รัดกุม 06 งานประจำ: รายวันสแกนและดู Log, รายสัปดาห์ประเมินช่องโหว่และอบรมพนักงาน, รายเดือนทบทวน Incident และประเมินความเสี่ยง // นำไปใช้จริง
Payload ที่สร้างด้วย msfvenom เป็นของที่ AV และ EDR ต้องจับอยู่แล้ว ลองเปิด Windows Defender ใน VM แล้วดูว่าไฟล์ไหนโดนจับด้วย Signature ไฟล์ไหนโดนจับจากพฤติกรรม จะเห็นความต่างของ AV แต่ละแบบชัดขึ้น เรื่องเก็บเงินล่วงหน้า 100% กับค่าปรับในสัญญา เอาไปใช้กับใบเสนอราคา ThaiRegPro ได้
ข้อสังเกต: ข้อ Make in India ในหนังสือ ถ้าใช้ในไทย ให้เทียบกับ PDPA และข้อกำหนดเรื่องที่เก็บข้อมูลของลูกค้าแต่ละราย
← บทที่ 01 บทที่ 03 →
CH 03 p.26-40 Endpoint Security - Mobile
Mobile Security: EMM, MDM และ MTD ความปลอดภัยของมือถือและแท็บเล็ตในองค์กร หัวใจของบทคือการแยกเครื่องมือ 3 ตัวที่คนมักสับสน และตารางเปรียบเทียบ 20 ข้อ
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย MDM Mobile Device Management จัดการตัวเครื่อง: ล็อกหรือลบข้อมูลระยะไกล บังคับรหัสผ่าน เข้ารหัส VPN EMM Enterprise Mobility Management ใหญ่กว่า MDM รวมการจัดการแอป (MAM) ข้อมูล และแยกข้อมูลส่วนตัวกับงานออกจากกัน (Containerise) MTD Mobile Threat Defense เน้นตรวจจับภัย: แอปอันตราย, Phishing, Man-in-the-Middle, เครื่องที่ Jailbreak หรือ Root MAM Mobile Application Management ควบคุมการติดตั้งและการเข้าถึงแอปตามนโยบายองค์กร
ประเด็นที่ควรจำ 01 จำง่าย: MDM คุม "เครื่อง", EMM คุม "เครื่อง + แอป + ข้อมูล", MTD ตรวจ "ภัย" 02 องค์กรส่วนใหญ่ใช้ EMM หรือ MDM คู่กับ MTD เพราะ MDM ไม่ได้ตรวจจับภัยเอง 03 ประเภท: EMM แบบเต็มหรือเฉพาะส่วน, MDM แบบ On-premises หรือ Cloud, MTD แบบ Real-time หรือ On-demand 04 ปัญหาที่พบบ่อย: ผู้ใช้ไม่ยอมใช้ (User adoption), กินแบตเตอรี่, รองรับ iOS/Android/ChromeOS ไม่ครบ // นำไปใช้จริง
ถ้าทีมใช้มือถือส่วนตัวตอบแชตลูกค้า TikTok Shop หรือ Shopee นี่คือกรณี BYOD (Bring Your Own Device) ที่ EMM แบบแยกพื้นที่ข้อมูลงานออกจากข้อมูลส่วนตัวเหมาะที่สุด
← บทที่ 02 บทที่ 04 →
CH 04 p.41-59 Network Security - NGFW
Network Security: Next Generation Firewall Firewall คือด่านกั้นระหว่างเครือข่ายภายในกับอินเทอร์เน็ต NGFW เพิ่มความสามารถที่ Firewall แบบเดิมทำไม่ได้ และบทนี้ปูพื้นเรื่องการแบ่งเครือข่ายกับแนวคิด Zero Trust
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย Network Segmentation แบ่งเครือข่ายเป็นส่วนย่อย เช่น แยกฝ่าย HR การเงิน และ R&D ทำได้ด้วย VLAN, VPN, Firewall Micro-segmentation แบ่งละเอียดลงถึงระดับแอปหรือ Workload แต่ละตัว จำกัดการลามของภัย ZTNA Zero Trust Network Access ไม่เชื่อใครเลย ("never trust, always verify") ตรวจตัวตนและอุปกรณ์ทุกครั้งก่อนให้เข้าถึง DPI Deep Packet Inspection ตรวจทั้ง Header และ Payload ของแพ็กเก็ต ไม่ใช่แค่ที่อยู่ต้นทางปลายทาง Stateful Firewall จำสถานะของแต่ละการเชื่อมต่อ (IP, Port, Established/Closed) เพื่อตัดสินใจกับแพ็กเก็ตถัดไป IPS / UTM IPS ตรวจและบล็อกภัยแบบ Real-time ส่วน UTM รวม Firewall, IPS, AV, Anti-spam ในกล่องเดียว เหมาะกับองค์กรเล็กถึงกลาง SSL/TLS Inspection ถอดรหัสทราฟฟิกที่เข้ารหัสมาตรวจ เพราะมัลแวร์สามารถซ่อนในช่องทาง HTTPS ได้
ประเด็นที่ควรจำ 01 NGFW = Firewall + DPI + Application Control + User Identity + IPS 02 NGFW มี 5 แบบ: Stateful, Application-aware, Threat Prevention, Identity-aware, SSL/TLS Inspection 03 Cloud NGFW ต้องเข้าใจ Shared Responsibility Matrix ของผู้ให้บริการ Cloud ให้ชัด หนังสือเรียกว่าเป็น "หลุมดำ" ของงบบานปลาย 04 อย่าลืมอุปกรณ์ Passive เช่น สายแลนและขาแร็ก ซึ่งอาจต้องสั่งจาก Vendor อื่น 05 DPI ทำให้เห็นข้อมูลละเอียด จึงต้องคิดเรื่องความเป็นส่วนตัวของผู้ใช้ด้วย // นำไปใช้จริง
ใช้ Lab CCNA เดิมได้เลย: VLAN ที่ทำใน Packet Tracer คือ Network Segmentation ขั้นพื้นฐาน ส่วน ACL บน Router คือ Firewall แบบดั้งเดิมที่ยังไม่มี DPI ลองวาดเทียบให้เห็นว่า NGFW เพิ่มอะไรขึ้นมา
← บทที่ 03 บทที่ 05 →
CH 05 p.60-75 Web Security - WAF
Web Security: Web Application Firewall WAF ตรวจทราฟฟิก HTTP ก่อนถึงเว็บแอป แล้วบล็อกคำขอที่เป็นอันตราย บทนี้มีตัวอย่างโค้ดการโจมตีเว็บ 3 แบบหลัก ซึ่งเป็นบทที่ลงลึกเชิงเทคนิคที่สุดในเล่ม
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย SQL Injection ใส่โค้ด SQL ผ่านช่องกรอกข้อมูล ทำให้ฐานข้อมูลรันคำสั่งที่ผู้โจมตีต้องการ XSS Cross-site Scripting ฝังสคริปต์ในหน้าเว็บที่คนอื่นเปิด มี 3 แบบ: Persistent (เก็บบน Server), Reflected (สะท้อนกลับทันที), DOM-based (ฝั่ง JavaScript) CSRF Cross-site Request Forgery หลอกให้เบราว์เซอร์ของเหยื่อส่งคำขอแทน เช่น เปลี่ยนรหัสผ่าน ป้องกันด้วย CSRF token หรือ Cookie แบบ SameSite URL parameter ข้อมูลหลัง ? ใน URL เช่น ?q=shoes เป็นช่องทางโจมตีถ้าไม่ตรวจสอบ Rate limiting จำกัดจำนวนคำขอต่อช่วงเวลา กัน DoS และ Brute-force IP reputation / Bot detection บล็อก IP ที่มีประวัติไม่ดี และแยกบอทออกจากคนจริง
ประเด็นที่ควรจำ 01 WAF มี 2 แบบ: Network-based (ติดที่ขอบเครือข่าย เหมาะกับ Data center) และ Application-based (ฝังในแอป เหมาะกับ Cloud) 02 วิธีป้องกัน SQL Injection ที่ถูกต้องคือ Prepared statement ไม่ใช่การพึ่ง WAF อย่างเดียว 03 WAF ช่วยด้าน Compliance เช่น PCI DSS และ GDPR 04 WAF มีจุดบอด ไม่ได้กันทุกการโจมตี ต้องอัปเดตกฎสม่ำเสมอ ตัวอย่างจากหนังสือ: SQL Injection sql
-- query ปกติ
SELECT * FROM products WHERE name = '$search_term'
-- ผู้โจมตีกรอก: ' OR '1'='1
SELECT * FROM products WHERE name = '' OR '1'='1'
-- 1=1 เป็นจริงเสมอ ได้ข้อมูลทุกแถว // นำไปใช้จริง
thairegpro.com อยู่บน Cloudflare อยู่แล้ว ซึ่งมี WAF, Rate limiting และ Bot protection ให้เปิดใช้ได้ ลองเข้าไปดูหน้า Security Events ว่ามีคำขอแบบไหนถูกบล็อก จะเห็นการโจมตีจริงที่บทนี้อธิบาย ฝั่ง Lab ลองทดสอบกับ DVWA ในเครื่องตัวเอง
ข้อสังเกต: หนังสือเขียนว่า Network-based WAF ทำงานที่ "network layer (layer 7)" ซึ่งปนกันอยู่ Network layer คือ Layer 3 ส่วน WAF ทั้งสองแบบทำงานที่ Layer 7 (Application) ต่างกันแค่จุดที่ติดตั้ง
← บทที่ 04 บทที่ 06 →
CH 06 p.76-91 Network Security - DNS Security
DNS Security DNS คือสมุดโทรศัพท์ของอินเทอร์เน็ต แปลงชื่อโดเมนเป็น IP เมื่อ DNS ถูกโจมตี ผู้ใช้อาจถูกพาไปเว็บปลอมโดยไม่รู้ตัว บทนี้ไล่องค์ประกอบความปลอดภัยของ DNS 7 ข้อ
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย DNSSEC เพิ่มลายเซ็นดิจิทัลให้ข้อมูล DNS เพื่อยืนยันว่าข้อมูลไม่ถูกปลอมแปลง DNS Firewall / Filtering บล็อกการเข้าถึงโดเมนอันตราย เช่น Malware และ Phishing ทำได้ที่ Firewall, Router หรือ Public DNS Recursive DNS Server ที่ไปถามต่อจนได้คำตอบแทน Client แบบ Open ตอบทุกคน แบบ Closed ตอบเฉพาะที่อนุญาต Cache poisoning ยัดข้อมูลปลอมลง Cache ของ DNS ให้ชื่อเว็บชี้ไป IP ของผู้โจมตี DoH / DoT DNS over HTTPS / over TLS เข้ารหัสคำถาม DNS กันการดักฟัง BIND, DHCP, IPAM BIND คือซอฟต์แวร์ DNS Server, DHCP แจก IP อัตโนมัติ, IPAM จัดการการใช้ IP ทั้งองค์กร
ประเด็นที่ควรจำ 01 องค์ประกอบ 7 ข้อ: DNSSEC, DNS Firewall, Filtering, Recursive DNS ที่ปลอดภัย, Encrypted DNS, Monitoring/Logging, อัปเดตซอฟต์แวร์ 02 ระวัง DNS Filtering บล็อกโดเมนดี ๆ ไปด้วย ต้องสมดุลระหว่างความปลอดภัยกับการใช้งาน 03 Log ของ DNS เป็นแหล่งข้อมูลชั้นดีในการตรวจจับเครื่องที่ติดมัลแวร์และพยายามติดต่อออกไปข้างนอก // นำไปใช้จริง
ทดลองง่ายที่สุด: รัน nslookup หรือ dig กับโดเมนของตัวเอง ดู A, MX, TXT record แล้วเปิด DNSSEC บน Cloudflare ให้ thairegpro.com ได้ในไม่กี่คลิก
← บทที่ 05 บทที่ 07 →
CH 07 p.92-106 Cloud Access Security Broker
CASB: ตัวกลางคุมการใช้ Cloud CASB อยู่ระหว่างผู้ใช้กับบริการ Cloud เพื่อบังคับนโยบายความปลอดภัย มี 4 เป้าหมาย: ความปลอดภัย, Compliance, การมองเห็น และ Data governance
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย CASB Cloud Access Security Broker เห็นว่าใครเข้าข้อมูลอะไร เมื่อไร จากที่ไหน และบังคับนโยบาย เช่น เข้ารหัส DLP, MFA MFA ยืนยันตัวตนหลายปัจจัย: สิ่งที่รู้ (รหัสผ่าน), สิ่งที่มี (มือถือ, Token), สิ่งที่เป็น (ลายนิ้วมือ, ใบหน้า) HIPAA กฎหมายสหรัฐฯ คุ้มครองข้อมูลสุขภาพ (PHI) GDPR กฎของ EU คุ้มครองข้อมูลส่วนบุคคล มีสิทธิ์ที่จะถูกลืม ใช้กับองค์กรทั่วโลกที่ประมวลผลข้อมูลคน EU PCI DSS มาตรฐานความปลอดภัยของข้อมูลบัตรชำระเงิน API ช่องทางให้ซอฟต์แวร์ 2 ตัวคุยกัน CASB แบบ API-based ใช้ API ของบริการ Cloud ในการตรวจ
ประเด็นที่ควรจำ 01 CASB มี 5 แบบ: API-based, Agent-based, Hybrid, Cloud-native, Network-based 02 ความเสี่ยงหลักคือกระทบการทำงานของผู้ใช้ ทำให้คนไม่อยากใช้ และราคาสูง 03 Governance ของ CASB เริ่มจากนโยบายว่าบริการ Cloud ไหนอนุญาตให้ใช้ แล้วใช้ Role-based access control คุมสิทธิ์ // นำไปใช้จริง
บทนี้ตรงกับเป้าหมายสาย GRC ที่สุด เพราะเน้น Compliance ในไทยให้เทียบ GDPR กับ PDPA และเริ่มจากของใกล้ตัว: เปิด MFA ให้บัญชี Google, Cloudflare และ n8n ที่ใช้อยู่ทั้งหมด
← บทที่ 06 บทที่ 08 →
CH 08 p.107-118 Database Activity Monitoring
DAM: เฝ้าดูกิจกรรมในฐานข้อมูล DAM บันทึกและวิเคราะห์ทุกกิจกรรมในฐานข้อมูลแบบ Real-time เพื่อจับการเข้าถึงที่ไม่ได้รับอนุญาตและการขโมยข้อมูล บทนี้ไม่มีส่วนอธิบายพื้นฐานยาว เข้าสู่ Sales cue เกือบทันที
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย DAM Database Activity Monitoring เก็บข้อมูลจาก Log ฐานข้อมูลและ Log ระบบ วิเคราะห์ แล้วแจ้งเตือน (อย่าสับสนกับ Digital Asset Management ที่ย่อว่า DAM เหมือนกัน) Privileged user ผู้ใช้สิทธิ์สูง เช่น DBA เป็นกลุ่มที่ DAM ต้องเฝ้าดูมากที่สุด Data retention นโยบายว่าเก็บข้อมูลและ Log ไว้นานเท่าไร ต้องทบทวนเป็นประจำ
ประเด็นที่ควรจำ 01 ประโยชน์ 4 ข้อ: มองเห็นทุกกิจกรรมจากจุดเดียว, ช่วย Compliance (PCI DSS, HIPAA, GDPR), แจ้งเตือนทันที, ใช้ ML จับพฤติกรรมแปลก 02 Sizing ขึ้นกับขนาดฐานข้อมูล จำนวน Transaction และการเชื่อมกับเครื่องมืออื่น เช่น SIEM 03 งานประจำรวมถึงทบทวนสิทธิ์ผู้ใช้ ตรวจการ Replicate ข้อมูล และทดสอบการกู้คืนข้อมูล // นำไปใช้จริง
ฐานข้อมูล PostgreSQL ของระบบ PO ที่ใช้ n8n คือที่ฝึกที่ดี เริ่มจากเปิด log_connections และ pgaudit ดูว่าใครอ่านหรือแก้ตารางไหน แล้วส่ง Log เข้า Metabase ทำ Dashboard เล็ก ๆ ก็คือ DAM ฉบับทำเอง
ข้อสังเกต: หัวข้อ Governance ท้ายบทนี้ในหนังสือพิมพ์ชื่อผิดเป็น "Governance of EMM, MDM, or MTD solution" ซึ่งคัดลอกมาจากบทที่ 3
← บทที่ 07 บทที่ 09 →
CH 09 p.119-151 Managed Security Services
Managed Security Services และ SOC บทที่ยาวที่สุดในเล่ม ว่าด้วยการจ้างผู้ให้บริการภายนอกดูแลความปลอดภัย การออกแบบ SOC การประเมินขนาด SIEM และ Playbook รับมือเหตุการณ์ 10 แบบ
คำศัพท์สำคัญ คำ ความหมายแบบเข้าใจง่าย MSS / MSSP บริการ Security แบบครบชุดจากภายนอก: Monitoring, ตรวจจับ, ตอบสนอง, ดูแลอุปกรณ์ MDR Managed Detection and Response เน้นตรวจจับและตอบสนองโดยเฉพาะ ปรับตามลูกค้ามากกว่า และแพงกว่า MSS SOC / NG-SOC ศูนย์ปฏิบัติการความปลอดภัย NG-SOC ใช้ AI, ML, Automation และทำงานเชิงรุก (Threat hunting) มากกว่า SIEM รวบรวม Log จากทุกอุปกรณ์มาวิเคราะห์และหาความสัมพันธ์ (Correlation) ในที่เดียว SOAR Orchestration + Automation + Response ทำงานตอบสนองซ้ำ ๆ ให้อัตโนมัติ ลดความผิดพลาดของคน UEBA สร้าง Baseline พฤติกรรมปกติของผู้ใช้และอุปกรณ์ แล้วใช้ ML จับสิ่งที่ผิดปกติ เหมาะกับ Insider threat CTI Cyber Threat Intelligence ข้อมูลข่าวกรองภัยคุกคาม จาก OSINT และแหล่งอื่น EPS Events Per Second จำนวนเหตุการณ์ต่อวินาที เป็นหน่วยหลักในการคิดไลเซนส์ SIEM
ประเด็นที่ควรจำ 01 SOC ต้องมี 7 องค์ประกอบ: SIEM, Threat intelligence, เครื่องมือจัดการช่องโหว่, แผน Incident response, ทีม Analyst, การสนับสนุนจากผู้บริหาร, การปรับปรุงต่อเนื่อง 02 หนังสืออ้างตัวเลข 1 Analyst ต่อ 1,000-2,000 อุปกรณ์ โดยระบุว่ามาจาก SANS ใช้เป็นจุดตั้งต้นได้ แต่ควรปรับตามความเสี่ยงและปริมาณ Incident จริง 03 ไลเซนส์ SIEM คิดจาก ปริมาณข้อมูล, ระยะเวลาเก็บ Log, Compliance, Use case และความซับซ้อนของระบบ 04 Firewall รุ่นเดียวกัน ให้ EPS ต่างกันในแต่ละลูกค้า เพราะการตั้งค่าต่างกัน จึงต้องคุยรายละเอียด Config กับลูกค้าก่อน Sizing 05 SOC ควรมี Playbook 10 แบบ: Ransomware, Data breach, DDoS, Phishing, APT, Malware, Insider, Network intrusion, Third-party risk, Communication 06 Playbook Ransomware 7 ขั้น: ประเมิน, กักกัน, กู้จาก Backup, สืบสวน, แจ้งผู้เกี่ยวข้อง, แก้ไขจุดอ่อน, สื่อสารต่อเนื่อง ตาราง EPS โดยประมาณจากหนังสือ eps-benchmark
Windows Domain Server ~35-40 EPS
Proxy ~12-15 EPS
Exchange Server ~3-5 EPS
Windows App Server (HA) ~1-2 EPS
DB Server (HA) ~1-2 EPS
DNS Server < 1 EPS
Linux Server < 0.5 EPS
Firewall หลักร้อย-หลักพัน EPS // นำไปใช้จริง
บทนี้พูดถึงงาน SOC เกือบทุกส่วน ฝึกได้โดยตั้ง Wazuh หรือ Splunk Free ใน Home Lab แล้วยิงการโจมตีด้วย Metasploit จากอีก VM ดูว่า SIEM เห็น Event อะไร นับ EPS จริงของเครื่อง Lab เทียบกับตาราง แล้วเขียน Playbook ของตัวเอง 1 แบบ
← บทที่ 08 จบเล่ม