ข้ามไปเนื้อหา

home / roadmap

Roadmap: ใบเซอร์และเครื่องมือสาย Security

รวมจากอินโฟกราฟิก 2 ภาพที่แชร์กันบ่อย ภาพแรกเทียบเครื่องมือปี 2016 กับ 2026 ภาพที่สองเรียงใบเซอร์เป็น 5 ระดับ ผมตรวจชื่อใบเซอร์ทุกใบแล้ว จุดที่ภาพเขียนผิดแก้ไว้ในช่องหมายเหตุ

$ diff toolkit-2016 toolkit-2026

เครื่องมือ 2016 vs 2026

เปลี่ยนจากการรันเครื่องมือทีละตัวกับเป้าหมายทีละเป้า มาเป็นการต่อเครื่องมือหลายตัวเป็นสายพานแล้วให้รันเองต่อเนื่อง พื้นฐานที่ต้องเข้าใจยังเหมือนเดิม คือ Network, Web และวิธีที่ระบบพัง

งาน20162026ผม
Recon / หาเป้าหมาย Nmap, Manual recon Subfinder, Amass, httpx, Naabu, Waybackurls, Attack Surface Management
Web Burp Suite, SQLmap, Nikto, OWASP Top 10 Burp Suite Pro, Katana, ffuf, Arjun, API Security แผน: DVWA + Burp
สแกนช่องโหว่ Nikto Nuclei, Continuous Security Testing
Exploit Metasploit, Manual exploitation AI-assisted pentesting Metasploit ✓
Password / Wi-Fi Hydra, John the Ripper, Aircrack-ng -
Network Wireshark - ใช้คู่กับ Lab CCNA
Automation - Python, Docker, GitHub, DevSecOps มีพื้นจาก n8n + PostgreSQL
Cloud - Cloud Security
ส่งงาน PDF reports Bug bounty, รายงานต่อเนื่องแทนรายงานปีละครั้ง

// ตัวอย่างสายพาน Recon ปี 2026 (ใช้กับระบบที่ได้รับอนุญาตเท่านั้น)

subfinder -d example.com -silent | httpx -silent | nuclei -severity medium,high

หาซับโดเมน แล้วเช็กว่าตัวไหนเปิดเว็บอยู่ แล้วสแกนช่องโหว่ด้วย Template ทั้งหมดในคำสั่งเดียว งานที่ปี 2016 ทำทีละขั้นด้วยมือ

$ cat cert-roadmap.txt

ใบเซอร์ 5 ระดับ

พื้นฐานOffensiveDefensiveManagement / GRC
01

Beginner

ปูพื้น IT และ Security
Google Cybersecurity

Google Cybersecurity Certificate

Google / Coursera

Tech+

CompTIA Tech+

CompTIA

ภาพใช้ชื่อ ITF+ ซึ่ง CompTIA เปลี่ยนเป็น Tech+ แล้ว

A+

CompTIA A+

CompTIA

CCNA กำลังทำ

Cisco Certified Network Associate

Cisco

กำลังทำ Lab Packet Tracer

02

Intermediate

เริ่มเลือกสาย
Network+

CompTIA Network+

CompTIA

Security+ ตัวเลือกถัดไป

CompTIA Security+

CompTIA

ใบที่บริษัทและหน่วยงานรัฐรู้จักมากที่สุดในระดับนี้

CySA+

CompTIA CySA+

CompTIA

eJPT

Junior Penetration Tester

INE

03

Advanced

ลงลึกและใช้งานจริง
OSCP

OffSec Certified Professional

OffSec

OSWA

OffSec Web Assessor

OffSec

ภาพเขียนว่า Wi-Fi ซึ่งผิด OSWA คือ Web ใบด้าน Wi-Fi คือ OSWP

CISSP

Certified Information Systems Security Professional

ISC2

ต้องมีประสบการณ์ 5 ปี ถ้ายังไม่ถึงสอบเป็น Associate of ISC2 ได้

CISM

Certified Information Security Manager

ISACA

ใบสายบริหาร ต้องมีประสบการณ์ 5 ปี

04

Expert

เฉพาะทางขั้นสูง
OSWE

OffSec Web Expert

OffSec

OSEP

OffSec Experienced Pentester

OffSec

ภาพเขียนว่า Privilege Escalation ที่จริงเน้นการหลบ AV/EDR และเจาะระบบองค์กร

OSCE3

OffSec Certified Expert 3

OffSec

OSCE ตัวเดิมเลิกไปแล้ว ตอนนี้ได้ OSCE3 เมื่อผ่าน OSWE + OSEP + OSED

GIAC

เช่น GCIH, GPEN

GIAC / SANS

05

Master

ระดับผู้เชี่ยวชาญและผู้นำ
OSED

OffSec Exploit Developer

OffSec

GXPN

GIAC Exploit Researcher and Advanced Penetration Tester

GIAC / SANS

CISSP-ISSAP

Information Systems Security Architecture

ISC2

ใบสายปฏิบัติที่อยู่ในภาพ 2026

ไม่อยู่ใน Roadmap 5 ระดับ แต่คนในสาย Pentest พูดถึงกันมาก เพราะสอบด้วยการเจาะระบบจริงหลายวันและส่งรายงาน

ใบผู้ออกลักษณะ
PNPTTCM Securityสอบเจาะระบบจริง 5 วัน แล้วเขียนรายงานและนำเสนอ
CPTSHack The Boxสอบเจาะระบบจริงหลายวัน เน้นรายงานระดับมืออาชีพ
CRTOZero-Point Securityสาย Red Team ใช้ C2 และหลบการตรวจจับ

$ ls ./paths

เลือกตามเป้าหมาย

ภาพ Roadmap เรียงตามความยาก แต่ไม่ได้บอกว่าแต่ละใบอยู่สายไหน ถ้าสอบไล่ทุกใบจะเสียเวลาและเงินกับใบที่ไม่ได้ใช้ ผมเลยแยกเป็น 3 สาย

Pentest / Red Team

  1. CCNA หรือ Network+
  2. Security+
  3. eJPT
  4. PNPT หรือ CPTS
  5. OSCP
  6. OSWE / OSEP

Kali, Burp Suite, Nmap → ProjectDiscovery (Subfinder, httpx, Nuclei), ffuf

SOC / Blue Team

  1. CCNA หรือ Network+
  2. Security+
  3. CySA+
  4. GIAC (GCIH)
  5. CISSP

Wireshark, SIEM (Wazuh / Splunk), SOAR, Python

GRC / Security Management

เส้นทางของผม
  1. CCNA (กำลังทำ)
  2. Security+
  3. ISO 27001 Lead Implementer หรือ Auditor
  4. CISM หรือ Associate of ISC2
  5. CISSP เมื่อประสบการณ์ครบ 5 ปี

Risk register, Policy, Audit, PDPA / ISO 27001 / NIST CSF ใช้ Excel และ Automation ช่วยเก็บหลักฐาน

ISO 27001 Lead Implementer / Auditor ไม่อยู่ในภาพ ผมเพิ่มเข้าสาย GRC เพราะงานจริงในไทยต้องใช้

$ whoami --progress

ผมอยู่ตรงไหน

  • ทำแล้ว Lab Metasploit (เครื่องมือฝั่ง 2016)
  • กำลังทำ ป.ตรี Cybersecurity ที่ PIM และ Lab CCNA
  • ตัวเลือกถัดไป CompTIA Security+ ใช้ได้ทั้งสาย SOC และ GRC
  • เป้าหมาย GRC → Security Consultant → CISO

งาน Automation ที่ทำอยู่แล้ว (n8n, PostgreSQL) ตรงกับคอลัมน์ 2026 มากกว่าที่คิด สาย GRC ยุคนี้ใช้ Automation เก็บหลักฐาน Compliance แทนการทำมือ ดู To-Do ทั้งหมด →