แกะรอยภัยไซเบอร์: พลังของข้อมูลจาก “คน” ที่ทีม CTI มักมองข้าม
โลกของการล่าภัยคุกคามไซเบอร์ (Threat Hunting) ไม่ได้มีแค่เรื่องของโค้ด, IP address หรือมัลแวร์ที่ซับซ้อนเท่านั้น
เบื้องหลังทุกการโจมตี ย่อมมี มนุษย์ เป็นผู้บงการ ซึ่งการเข้าใจความคิด แรงจูงใจ และพฤติกรรมของพวกเขา คือกุญแจสำคัญที่จะช่วยให้องค์กรก้าวล้ำหน้าผู้ไม่หวังดีได้เสมอ
ทำไมข้อมูลจาก “คน” จึงสำคัญในยุคดิจิทัล
ทีมข่าวกรองภัยคุกคาม (CTI) ส่วนใหญ่มักพึ่งพาข้อมูลทางเทคนิคเป็นหลัก เช่น การวิเคราะห์ช่องโหว่ (Vulnerability Assessment), ข้อมูลจากแหล่งเปิด (OSINT) หรือข้อมูล Log ต่าง ๆ
แน่นอนว่าข้อมูลเหล่านี้มีค่ามหาศาล แต่พวกมันมักจะบอกเราเพียงว่า “อะไรเกิดขึ้น” หรือ “อย่างไร”
สิ่งที่ข้อมูลทางเทคนิคขาดไปคือคำตอบสำหรับคำถามที่ว่า “ทำไม” และ “ใคร” คือผู้อยู่เบื้องหลังอย่างแท้จริง การรู้เพียงแค่ Indicator of Compromise (IOC) นั้นไม่เพียงพออีกต่อไป
เพื่อให้การป้องกันมีประสิทธิภาพสูงสุด เราจำเป็นต้องเข้าใจ แรงจูงใจ, เป้าหมาย และ กลยุทธ์ ที่ซ่อนอยู่เบื้องหลังการโจมตีแต่ละครั้ง
ข้อมูลเชิงลึกเหล่านี้มักจะมาจาก การสังเกตพฤติกรรมมนุษย์ นี่คือจุดที่ HUMINT (Human Intelligence) หรือการข่าวกรองจากแหล่งข่าวบุคคล เข้ามามีบทบาทสำคัญ แม้ในโลกไซเบอร์
ทำความรู้จักกับ Digital Passive HUMINT
เมื่อพูดถึง HUMINT หลายคนอาจนึกถึงภาพสายลับในภาพยนตร์ แต่ในบริบทของการล่าภัยคุกคามไซเบอร์ เรากำลังพูดถึง Digital Passive HUMINT ซึ่งไม่เกี่ยวกับการสอดแนมทางกายภาพ หรือการจัดตั้งสายลับ
Digital Passive HUMINT คือการ รวบรวมข้อมูลเชิงลึก จากการสังเกตการสนทนา พฤติกรรม และปฏิสัมพันธ์ของบุคคลใน แพลตฟอร์มดิจิทัลสาธารณะ ที่เข้าถึงได้โดยชอบธรรม
แหล่งข้อมูลเหล่านี้รวมถึง ฟอรัมเฉพาะทาง, เว็บไซต์ Dark Web ที่ผู้ไม่หวังดีใช้แลกเปลี่ยนข้อมูล, กลุ่มสนทนาบนโซเชียลมีเดีย หรือแม้แต่บอร์ดประกาศที่ใช้ซื้อขายข้อมูล
การวิเคราะห์ข้อมูลจากแหล่งเหล่านี้ช่วยให้เราเข้าใจว่า กลุ่มแฮกเกอร์กำลังวางแผนอะไร, เครื่องมือใหม่ ๆ ที่กำลังจะนำมาใช้คืออะไร, ช่องโหว่ใดที่กำลังเป็นที่สนใจ หรือแม้กระทั่งความสัมพันธ์และโครงสร้างภายในของกลุ่มคนเหล่านี้
ข้อมูลที่ได้จาก Digital Passive HUMINT ไม่ใช่แค่ข้อมูลดิบ แต่เป็น ข้อมูลที่มีบริบทเชิงลึก ซึ่งสามารถบ่งบอกถึง เจตนา และ แนวโน้ม ของภัยคุกคามได้ล่วงหน้า
วิธีผสาน Digital Passive HUMINT เข้ากับงาน CTI
การนำ Digital Passive HUMINT มาใช้ในทีม CTI ไม่ได้ซับซ้อนอย่างที่คิด สิ่งสำคัญคือการมี มุมมองที่กว้างขึ้น ในการรวบรวมข้อมูล
เริ่มจากการ ระบุแพลตฟอร์มสำคัญ ที่กลุ่มผู้โจมตีหรือผู้ไม่หวังดีมีแนวโน้มจะรวมตัวกันและพูดคุยกัน จากนั้นทำการ เฝ้าติดตามการสนทนา อย่างละเอียด
สิ่งที่ต้องมองหาคือ กลยุทธ์และเทคนิคใหม่ ๆ (TTPs), การพูดคุยเกี่ยวกับ ช่องโหว่ หรือ เครื่องมือ ที่กำลังได้รับความสนใจ, เป้าหมายที่เป็นไปได้ และแม้กระทั่ง ความไม่พอใจ ที่อาจนำไปสู่การโจมตีในอนาคต
การวิเคราะห์ภาษาที่ใช้ น้ำเสียง และอารมณ์ในข้อความ ยังช่วยให้เราประเมิน ความสามารถ และ ความมั่นใจ ของผู้ไม่หวังดีได้อีกด้วย
เมื่อได้ข้อมูลเหล่านี้แล้ว ให้นำไป เชื่อมโยงกับข้อมูลทางเทคนิค ที่มีอยู่ เพื่อสร้างภาพรวมของภัยคุกคามที่สมบูรณ์แบบและแม่นยำยิ่งขึ้น
ประโยชน์ที่คุณจะได้รับ
การผสมผสาน Digital Passive HUMINT เข้ากับโปรแกรม CTI จะช่วยให้องค์กรของคุณมีความได้เปรียบอย่างมาก
สามารถ ตรวจจับภัยคุกคามที่กำลังจะเกิดขึ้น ได้ตั้งแต่เนิ่น ๆ ทำให้มีเวลาเตรียมพร้อมรับมือ
ช่วยให้การ ระบุตัวตนของผู้โจมตี (Attribution) มีความชัดเจนมากขึ้น เพราะเข้าใจถึงแรงจูงใจที่แท้จริง
ที่สำคัญที่สุดคือ สามารถนำข้อมูลเชิงลึกเหล่านี้ไปใช้ ปรับปรุงการป้องกัน ขององค์กรให้มีประสิทธิภาพและตรงจุดมากขึ้น โดยไม่ต้องรอให้เกิดเหตุการณ์ขึ้นก่อน
การมองข้ามมิติของ “คน” ในโลกไซเบอร์อาจทำให้คุณพลาดข้อมูลสำคัญไปอย่างน่าเสียดาย ลองเปิดใจและให้ความสำคัญกับพลังของ Digital Passive HUMINT เพื่อยกระดับความสามารถในการป้องกันภัยคุกคามของคุณให้ไปอีกขั้น