ภัยซ่อนเร้นใน Microsoft 365: แบ็คดอร์ที่แอบใช้บริการของเราเอง

ภัยซ่อนเร้นใน Microsoft 365: แบ็คดอร์ที่แอบใช้บริการของเราเอง

ภัยซ่อนเร้นใน Microsoft 365: แบ็คดอร์ที่แอบใช้บริการของเราเอง

เมื่อภัยไม่ได้มาจากภายนอกอย่างที่คิด

เวลาพูดถึงการโจมตีทางไซเบอร์ หลายคนมักนึกถึงแฮกเกอร์ที่พยายามเจาะเข้ามาจากภายนอก ด้วยการส่งลิงก์แปลกๆ หรือใช้โดเมนที่ไม่น่าเชื่อถือ

แต่โลกไซเบอร์มันซับซ้อนกว่านั้นมาก

บางครั้ง ภัยร้ายกลับแฝงตัวอยู่ภายในระบบที่เราใช้งานอยู่ทุกวัน โดยที่เราไม่ทันสังเกต และนั่นคือสิ่งที่เกิดขึ้นกับ Microsoft 365 บริการที่เราพึ่งพาสำหรับการทำงาน การสื่อสาร และการเก็บข้อมูลจำนวนมาก

นี่ไม่ใช่การโจมตีแบบที่มองหาช่องโหว่ภายนอก แต่เป็นการใช้ประโยชน์จาก ฟังก์ชันการทำงานปกติ ของ Microsoft 365 นั่นเอง

กลไกการโจมตี: แบ็คดอร์ทำงานอย่างไร

เรื่องนี้ไม่ได้เกี่ยวกับช่องโหว่แบบ “รหัสผ่านง่ายๆ” หรือ “การตั้งค่าผิดพลาด” ทั่วไป แต่มันคือการใช้ เครื่องมือที่ถูกออกแบบมาให้ทำงาน ใน Microsoft 365 ให้กลายเป็นเครื่องมือในการโจมตี

เริ่มจากการที่ผู้ไม่หวังดีจะหาทางเข้าถึงบัญชีผู้ใช้ใดๆ ได้ก่อน อาจจะด้วยวิธีการฟิชชิ่ง หรือการขโมยรหัสผ่าน จากนั้น พวกเขาจะเริ่มสร้าง “ฐานลับ” ขึ้นมาในระบบ

ขั้นแรก ผู้โจมตีจะสร้าง SharePoint Online Site Collection ใหม่ขึ้นมา

นี่คือพื้นที่สำหรับเก็บไฟล์และข้อมูล ที่ดูเหมือนเป็นไซต์ SharePoint ทั่วไปในองค์กรของคุณ

ถัดมา พวกเขาจะสร้าง Azure Automation Account ขึ้นมา

นี่คือบริการของ Microsoft Azure ที่ช่วยให้เราสามารถสร้างสคริปต์ (ที่เรียกว่า Runbook) เพื่อทำงานต่างๆ แบบอัตโนมัติ เช่น การจัดการเซิร์ฟเวอร์ หรือการดึงข้อมูล

ที่สำคัญคือ Azure Automation Account นี้จะมาพร้อมกับ Managed Identity หรือ “บัญชีบริการแบบจัดการ” ซึ่งเป็นตัวตนที่ได้รับการยอมรับจาก Microsoft โดยอัตโนมัติ ทำให้มันสามารถเข้าถึงบริการอื่นๆ ของ Microsoft 365 ได้อย่างถูกกฎหมายภายใต้ขอบเขตสิทธิ์ที่ได้รับ

ผู้โจมตีจะให้สิทธิ์ที่จำเป็นกับ Managed Identity นี้ เพื่อให้มันสามารถทำสิ่งต่างๆ ใน SharePoint หรือบริการ M365 อื่นๆ ได้

จากนั้น พวกเขาก็จะเขียนสคริปต์ PowerShell Runbook ใส่เข้าไปใน Azure Automation

สคริปต์เหล่านี้คือ “คำสั่งลับ” ที่สามารถทำได้ทุกอย่างตามสิทธิ์ที่ Managed Identity ได้รับ เช่น

• แอบดูไฟล์ใน SharePoint
• ขโมยข้อมูลสำคัญ
• ส่งอีเมลจากบัญชีในองค์กร
• แม้แต่ปรับแต่งการตั้งค่าระบบบางอย่าง

การโจมตีลักษณะนี้เป็น แบ็คดอร์ที่เนียนมาก เพราะทุกกิจกรรมถูกดำเนินการโดยบริการของ Microsoft เอง ทำให้ยากต่อการตรวจจับด้วยระบบรักษาความปลอดภัยแบบเดิมๆ ที่มักจะมองหา IP แอดเดรสแปลกๆ หรือโดเมนที่น่าสงสัย

ทำไมมันถึงน่ากังวล?

ความน่ากลัวของแบ็คดอร์ลักษณะนี้คือมันซ่อนตัวอยู่ภายใน “ความน่าเชื่อถือ” ของระบบ Microsoft 365 เอง

มันผ่านด่านการตรวจสอบความปลอดภัยภายนอกได้ง่ายๆ เพราะเป็นการทำงานของบริการภายใน ที่ดูเหมือนเป็นกิจกรรมปกติ

การตรวจจับจึงต้องอาศัยการมองหาพฤติกรรมที่ผิดปกติภายในระบบ ซึ่งต้องใช้ความเข้าใจเชิงลึกและเครื่องมือที่เหมาะสม

หากไม่ป้องกันไว้แต่เนิ่นๆ ข้อมูลสำคัญอาจถูกขโมยออกไป หรือระบบอาจถูกควบคุมโดยไม่รู้ตัวเป็นระยะเวลานาน สร้างความเสียหายมหาศาล

มาตรการป้องกัน: ปิดประตูหลังก่อนถูกบุก

เพื่อปกป้ององค์กรจากภัยคุกคามรูปแบบนี้ การใส่ใจในรายละเอียดเล็กๆ น้อยๆ และการตั้งค่าที่รัดกุมเป็นสิ่งสำคัญ

1. การยืนยันตัวตนแบบหลายปัจจัย (MFA) ที่แข็งแกร่ง: นี่คือด่านแรกที่สำคัญที่สุด ช่วยป้องกันการเข้าถึงบัญชีเริ่มต้น แม้รหัสผ่านจะรั่วไหลก็ตาม
2. การให้สิทธิ์ขั้นต่ำ (Least Privilege): ให้สิทธิ์แก่ผู้ใช้ บัญชีบริการ และโดยเฉพาะ Managed Identity เท่าที่จำเป็นจริงๆ เท่านั้น หาก Managed Identity ไม่จำเป็นต้องมีสิทธิ์ในการสร้างไซต์ SharePoint หรืออ่านข้อมูลละเอียด ก็ไม่ควรให้
3. การตรวจสอบและเฝ้าระวังอย่างใกล้ชิด:
   • เฝ้าระวังการสร้าง Azure Automation Account ที่ไม่ได้รับอนุญาต
   • ตรวจสอบการสร้าง SharePoint Site Collection ใหม่ๆ และการเปลี่ยนแปลงสิทธิ์
   • ติดตามการลงทะเบียน Azure AD Application และการกำหนดสิทธิ์
   • สังเกตพฤติกรรมการทำงานที่ผิดปกติของบัญชีบริการ หรือกิจกรรมใน M365 ที่ดูไม่เข้าพวก เช่น มีการส่งออกข้อมูลปริมาณมากอย่างไม่สมเหตุสมผล

ภัยคุกคามไซเบอร์ไม่เคยหยุดนิ่ง การเข้าใจถึงกลไกการโจมตีใหม่ๆ และการปรับปรุงมาตรการป้องกันอย่างต่อเนื่อง จึงเป็นสิ่งจำเป็นในการรักษาความปลอดภัยของข้อมูลและระบบในยุคดิจิทัล