ถอดรหัสการโจมตีทางไซเบอร์: ทำความรู้จักสองเครื่องมือสำคัญที่นักความปลอดภัยต้องรู้

ในโลกดิจิทัลที่ภัยคุกคามเปลี่ยนแปลงอยู่ตลอดเวลา การทำความเข้าใจว่าผู้ไม่หวังดีดำเนินการอย่างไร ถือเป็นหัวใจสำคัญของการป้องกัน

หากปราศจากความเข้าใจที่ชัดเจน การป้องกันก็อาจไร้ทิศทาง ไม่ต่างจากการพยายามสู้กับศัตรูที่เราไม่รู้จัก

โชคดีที่มีกรอบการทำงานสองรูปแบบหลัก ที่ช่วยให้เรามองเห็นภาพการโจมตีได้ชัดเจนขึ้น นั่นคือ Cyber Kill Chain และ MITRE ATT&CK

แต่ละแบบมีจุดเด่นและมุมมองที่แตกต่างกัน แต่ล้วนมีเป้าหมายเดียวกันคือ เสริมสร้างความสามารถในการป้องกันของเรา

มาดูกันว่าสองเครื่องมือนี้ช่วยให้เราเข้าใจโลกของแฮกเกอร์ได้อย่างไร

ทำความเข้าใจโมเดล Cyber Kill Chain: ขั้นตอนสู่การโจมตี

Cyber Kill Chain พัฒนาโดย Lockheed Martin

เป็นเสมือนแผนที่ที่บอกเล่าลำดับขั้นตอนการโจมตีของผู้บุกรุกตั้งแต่ต้นจนจบ

โมเดลนี้ประกอบด้วยเจ็ดขั้นตอนเชิงเส้นตรงที่ต่อเนื่องกัน ซึ่งอธิบายถึงวิวัฒนาการของการโจมตี

ตั้งแต่การสอดแนม (Reconnaissance) ไปจนถึงการบรรลุเป้าหมาย (Actions on Objectives)

ขั้นแรกคือการ สอดแนม ที่ผู้โจมตีรวบรวมข้อมูล

จากนั้นเข้าสู่การ สร้างอาวุธ เพื่อเตรียมการโจมตี

ตามด้วยการ ส่งมอบ อาวุธเหล่านั้นไปยังเป้าหมาย

เมื่อส่งถึงแล้ว ก็จะใช้ช่องโหว่ในการ ใช้ประโยชน์ (Exploitation)

จากนั้นก็ ติดตั้ง มัลแวร์หรือ backdoor เพื่อเข้าควบคุม

และตั้งระบบ ควบคุมและสั่งการ (Command & Control)

สุดท้ายคือการ ดำเนินการตามวัตถุประสงค์ ซึ่งเป็นเป้าหมายสูงสุดของการโจมตี

กรอบนี้มีประโยชน์อย่างยิ่งสำหรับการป้องกันเชิงรุก ช่วยให้ทีมรักษาความปลอดภัยสามารถระบุและขัดขวางการโจมตีในระยะเริ่มต้นได้

ก่อนที่ความเสียหายจะเกิดขึ้น

แต่จุดที่อาจเป็นข้อจำกัดคือ Cyber Kill Chain ให้รายละเอียดเกี่ยวกับขั้นตอนก่อนการบุกรุกและการบุกรุกเริ่มต้นได้ดี

แต่สำหรับกิจกรรมที่เกิดขึ้นหลังจากผู้โจมตีเข้าถึงระบบได้แล้ว รายละเอียดอาจมีไม่มากนัก

เจาะลึก MITRE ATT&CK: คู่มือกลยุทธ์และเทคนิคของผู้บุกรุก

อีกหนึ่งกรอบการทำงานที่ทรงพลังคือ MITRE ATT&CK

ซึ่งเป็นฐานข้อมูลที่ครอบคลุม กลยุทธ์ (Tactics) และ เทคนิค (Techniques) ที่ผู้โจมตีใช้ในการโจมตีระบบคอมพิวเตอร์

แตกต่างจาก Cyber Kill Chain ที่เน้นลำดับขั้นตอน

ATT&CK มุ่งเน้นไปที่ วิธีการ ที่ผู้โจมตีใช้

โดยจัดโครงสร้างเป็นเมทริกซ์ที่เข้าใจง่าย

แต่ละกลยุทธ์ (เช่น การเข้าถึงเริ่มต้น, การคงอยู่, การยกระดับสิทธิ์) จะมีเทคนิคย่อยๆ จำนวนมากที่อธิบายการกระทำเฉพาะเจาะจงของผู้โจมตี

เช่น เทคนิคสำหรับการขโมยข้อมูลรับรอง หรือการเคลื่อนย้ายภายในเครือข่าย

ความละเอียดของ ATT&CK ทำให้เป็นเครื่องมือที่ยอดเยี่ยมสำหรับการ ล่าภัยคุกคาม (Threat Hunting) การ ตอบสนองเหตุการณ์ (Incident Response) และการประเมินความปลอดภัยขององค์กร

ช่วยให้ทีมรักษาความปลอดภัยเข้าใจพฤติกรรมของภัยคุกคามขั้นสูง และสามารถสร้างการป้องกันที่แม่นยำยิ่งขึ้น

กรอบนี้มีการอัปเดตอย่างสม่ำเสมอ

สะท้อนให้เห็นถึงเทคนิคการโจมตีใหม่ๆ ที่เกิดขึ้นตลอดเวลา

ทำให้เป็นแหล่งข้อมูลที่มีค่าสำหรับผู้เชี่ยวชาญด้านความปลอดภัยทั่วโลก

ความแตกต่างที่เติมเต็ม: เลือกใช้อย่างไรให้เกิดประโยชน์สูงสุด

ทั้ง Cyber Kill Chain และ MITRE ATT&CK แม้จะมีจุดโฟกัสที่แตกต่างกัน แต่ไม่ได้เป็นคู่แข่งกัน

กลับกัน มันสามารถเสริมซึ่งกันและกันได้อย่างลงตัว

Cyber Kill Chain มอบมุมมองที่กว้าง

เป็นภาพรวมของ “เรื่องราว” การโจมตีทั้งหมด

จากจุดเริ่มต้นไปจนถึงจุดสิ้นสุด ให้เราเห็นว่าการโจมตีมีลำดับขั้นอย่างไร

ส่วน MITRE ATT&CK ลงลึกในรายละเอียดของ “วิธีการ”

อธิบายเทคนิคเฉพาะที่ผู้โจมตีใช้ในแต่ละขั้นตอนของ Kill Chain

ลองนึกภาพว่าในขั้นตอน “ใช้ประโยชน์ (Exploitation)” ของ Cyber Kill Chain

ทีมงานสามารถใช้ ATT&CK เพื่อระบุเทคนิคการใช้ประโยชน์เฉพาะ เช่น การโจมตีช่องโหว่ซอฟต์แวร์ หรือการใช้ประโยชน์จากโค้ดที่ไม่ปลอดภัย

การนำทั้งสองกรอบมาใช้ร่วมกัน

ช่วยให้องค์กรมีมุมมองที่ครอบคลุม ทั้งภาพรวมใหญ่ของเส้นทางการโจมตี และรายละเอียดปลีกย่อยของเทคนิคที่ใช้

สามารถสร้างกลยุทธ์การป้องกันที่แข็งแกร่งและตอบสนองต่อเหตุการณ์ได้อย่างมีประสิทธิภาพ

การทำความเข้าใจกรอบการทำงานเหล่านี้

จะช่วยให้องค์กรต่างๆ สามารถสร้างเกราะป้องกันที่แข็งแกร่งและยืดหยุ่น

พร้อมรับมือกับภัยคุกคามทางไซเบอร์ที่ซับซ้อนขึ้นทุกวัน

เป็นการวางรากฐานสำคัญสำหรับการรักษาความปลอดภัยในโลกที่เชื่อมโยงถึงกันนี้อย่างแท้จริง