VA Scan คืออะไร ต่างจาก Pentest อย่างไร?

• Facebook
• Twitter
• Line

สวัสดีครับเพื่อน ๆ ชาว IT กลับมาพบกันอีกครั้งกับ Blog  ของ Cloud HM นะครับ เมื่อไม่กี่ Blog ที่ผ่านมาเราได้แนะนำในเรื่องของ Pen Testing กันไปแล้ว วันนี้เราจะมาแนะนำอีกตัวนึงที่เราทำควบคู่กัน บางท่านอาจจะเคยได้ยินกันมาบ้างแล้ว นั่นก็คือการทำ VA Scan ครับ

VA Scan คืออะไร?

Vulnerability Assessment เป็นการตรวจสอบอย่างเป็นระบบในเรื่องของการหาช่องโหว่ทางด้านความความปลอดภัย โดยจะใช้การประเมินว่าระบบของคุณจะสามารถโดนเจาะได้ผ่านทางไหนได้บ้าง ด้วยการโจมตีลักษณะใดได้บ้าง และก็จะแนะนำให้อุดช่องโหว่เหล่านั้นครับ

ตัวอย่างภัยคุกคามที่สามารถหลีกเลี่ยงไม่ให้เกิดขึ้นได้ด้วยการทำ VA Scan

1. SQL injection, XSS และการโจมตีแบบ Code Injection แบบอื่น ๆ
2. การปลอมแปลงสิทธิ์ในการเข้าถึงระบบให้สูงขึ้น
3. ใช้ Software ในการแก้ไข Setting ต่าง ๆ ให้ความปลอดภัยลดลง เช่น Software ที่สามารถเข้าไปเปลี่ยนการตั้งค่า ทำให้ Password Admin คาดเดาได้ง่าย

รูปแบบของการทำ VA Scan มีอะไรบ้าง?

Host Assessment – การประเมินความเสี่ยงในส่วนของ Server ที่มีความสำคัญ ซึ่งอาจจะเป็นเป้าหมายในการโจมตีได้หากไม่ได้รับการทดสอบอย่างเพียงพอ หรือไม่ได้ใช้ OS ที่มาจาก Image ที่เคยมีการทดสอบเรื่องของ VA มาแล้ว

Network and Wireless Assessment – การประเมินความเสี่ยงโดยมีการกำหนด Policy และนำไปปฏิบัติจริงเพื่อป้องกันไม่ให้มีการเข้าถึงโดยไม่ได้รับอนุญาตทั้งใน Private Network หรือ Public Network ที่สามารถเข้าถึงระบบได้

Database Assessment – การประเมินความเสี่ยงในเรื่องของ Database หรือระบบที่เกี่ยวข้องกับข้อมูล เช่น Big Data จะใช้การตรวจสอบจาก Database ปลอม หรือ Dev/Test Server ที่ความปลอดภัยหละหลวม หลังจากนั้นจะทำการจัดลำดับคววามสำคัญของข้อมูลใน Infra ขององค์กรให้

Application Scans – ใช้วิธีการระบุช่องโหว่ทางด้านความปลอดภัยใน Web Application และ Source Code โดยการ Scan แบบอัตโนมัติที่ Front-end หรือไม่ก็วิเคราะห์ที่ Source Code

ขั้นตอนการทำ VA Scan จะมีอยู่ด้วยกัน 4 ขั้นตอน คือทดสอบ (Testing) -> วิเคราะห์ (Analysis) -> ประเมิน (Assessment) -> แก้ไข (Remediation) -> วน Loop

1.  การระบุช่องโหว่ โดยใช้วิธีทดสอบจุดประสงค์ของขั้นตอนนี้คือการเตรียมรายการของช่องโหว่ใน Application ผู้ที่วิเคราหะ์จะทำการทดสอบความแข็งแรงของระบบ Security ของ Application, Server หรือระบบอื่น ๆ โดยใช้เครื่องมือในการ Scan ระบบให้โดยอัตโนมัติ หรือไม่ก็ทดสอบหรือประเมินด้วยตนเอง ซึ่งต้องใช้ข้อมูลจากการประกาศของ Vendor ที่มีการเก็บ Vulnerability Database ไว้ เพื่อช่วยให้ง่ายต่อการระบุช่องโหว่ที่เคยมีการเกิดขึ้นมาแล้ว

2. การวิเคราะห์ช่องโหว่และภัยคุกคามจุดประสงค์ของขั้นตอนนี้คือการหาสาเหตุหรือต้นตอที่เจอช่องโหว่มาจากข้อที่ 1
ซึ่งขั้นตอนนี้รวมไปถึงการระบุรายละเอียดของการทำงานของระบบว่ามีการตอบสนองต่อช่องโหว่อย่างไร และสาเหตุของการเกิดช่องโหว่ เช่น ปัญหานี้อาจเกิดจากการใช้งาน Software ที่เป็น Open Source ที่ใช้ Library Version เก่า ที่นี้เราจะสามารถเลื่อนขั้นตอนไปสู่การแก้ไขได้โดยการ Update Library ให้เป็น Version ใหม่ซะ ก็จะแก้ปัญหาได้นั่นเอง

3. การประเมินความเสี่ยงจุดประสงค์ของขั้นตอนนี้คือการจัดลำดับความสำคัญของช่องโหว่ โดยจะทำการระบุเป็น Rank หรือ Score ว่าช่องโหว่ไหนร้ายแรงกว่ากัน โดยอ้างอิงมาจากปัจจัยเหล่านี้ระบบที่ได้รับผลกระทบข้อมูลอะไรบ้างที่เป็นความเสี่ยงง่ายต่อการโจมตีความรุนแรงของการโจมตีความเสียหายที่อาจเกิดขึนจากช่องโหว่

4. การแก้ไขจุดประสงค์ของขั้นตอนสุดท้ายนี้คือ การอุดช่องโหว่ โดยส่วนใหญ่จะเป็นการร่วมมือกันระหว่างทีมงานที่ดูแลเรื่อง Security กับ ทีม Operation ซึ่งเป็นผู้ที่สามารถบอกได้ว่าการอุดช่องโหว่แบบใด ระดับไหนจะมีประสิทธิภาพสูงสุดโดยที่ไม่กระทบกับระบบปัจจุบัน หรืออาจจะกระทบน้อยลง
ขั้นตอนการแก้ไขส่วนใหญ่จะต้องดำเนินการประมาณนี้ครับมีการแนะนำให้มีการวางระบบ Security ใหม่, มาตรการต่าง ๆ รวมไปถึงการใช้เครื่องมือต่าง ๆมีการปรับปรุงวิธีการทำงานในส่วนของ Operation และการเปลี่ยนแปลงการตั้งค่าต่าง ๆมีการพัฒนาและการติดตั้งเพิ่มเติม โดยใช้ Patch ที่ออกใหม่มาสำหรับการแก้ไขอุดช่องโหว่

เครื่องที่นิยมใช้ในการทำ VA Scan มีอะไรบ้าง

เครื่องมือที่นิยมใช้ในการทำ VA Scan ส่วนใหญ่จะเป็นเครื่องมือที่ออกแบบมาให้สามารถ Scan ช่องโหว่ได้โดยอัตโนมัติ ไม่วาจะเป็นช่องโหว่ใหม่ หรือช่องโหว่ที่มีอยู่ที่ Application ของคุณอาจจะเป็นเป้าหมายในการโจมตี ชนิดของเครื่องมือมีอยู่หลากหลายรูปแบบ เช่น

Web Application Scanners ที่ใช้สำหรับทดสอบและจำลองการโจมตี
Protocol Scanners ที่ใช้หาช่องโหว่ที่เกี่ยวกับเรื่องของ Port และระบบ Network
Network Scanners ที่ใช้แสดงผลของระบบ Network เช่น IP ที่มีความผิดปกติ, การปลอม Packet ด้วยการ Spoof หรือ Packet แปลก ๆ ที่สร้างมาจาก IP Address เดียว เป็นต้น

สิ่งที่ควรทำที่สุดคือจะต้องมีการทำ VA Scan โดยสม่ำเสมอจะช่วยให้องค์กรสามารถอุดช่องโหว่ใหม่ ๆ ที่เกิดขึ้นได้อย่างรวดเร็ว และยังเป็นการป้องกันไม่ให้ธุรกิจสะดุด หรือเสียหายด้วยครับ

สำหรับเครื่องมือ VA Scan ที่นิยมใช้กัน จะมี Qualys, Nessus, Nexpose และก็เครื่องมืออื่น ๆ ครับ

ความแตกต่างของ VA Scan กับ Pentest มีอะไรบ้าง
ขอแยกความแตกต่างออกเป็นจุดประสงค์ของการทำแต่ละแบบนะครับ

จุดประสงค์ของการทำ VA Scan

การทำ VA Scan เป็นการใช้เทคโนโลยีในการ Scan แบบอัตโนมัติ ซึ่งจุดประสงคคือการหาช่องโหว่ภายใน OS และ Software ของบริษัทอื่น ๆ โดยการใช้คลังข้อมูลของช่องโหว่ที่มีบันทึกไว้อยู่แล้วในการหาช่องโหว่ว่าต้องแก้ไข อย่างไร ไม่ว่าจะเป็นการแนะนำให้อุดช่องโหว่โดยการ Update  Security Patch, การแก้ไขการตั้งค่าความปลอดภัยให้รัดกุมยิ่งขึ้น, Malware ที่มีอยู่, การแนะนำให้เปลี่ยน Password เนื่องจากสามารถคาดเดาได้ง่าย และอื่น ๆ อีกมากมาย

ซึ่งประสิทธิภาพของเครื่องมือที่ใช้ในการ Scan ก็ขึ้นอยู่กับคลังข้อมูลที่มีอยู่ของเครื่องมือเหล่านั้นเครื่องมือที่เป็นแบบ Opensource ก็สามารถที่จะใช้งานได้ในระดับนึง แต่อย่างที่รู้กันว่าถ้าไม่มีเงินมาสนับสนุนก็อาจจะช่องโหว่บางอย่างที่ทางทีมงานจะ Update ได้ไม่ทัน

เครื่องมือที่ใช้ในการทำ VA Scan ที่ดีควรที่จะมีประสิทธิภาพที่คลอบคลุม ไม่ว่าจะเป็นการ Update ข้อมูลของช่องโหว่อย่างรวดเร็ว มีความแม่นยำในการแสดงผลด้วย Report

จุดประสงค์ของการทำ Pen Test

การทำ Pen Test เป็นการจำลองแบบพิเศษโดนใช้เจ้าหน้าที่มีความเชี่ยวชาญและผ่านการอบรมในเรื่องของทำ Pen Testy มาแล้ว ซึ่งเค้าเหล่านั้นก็จะมีวิธีในการทำหลายขั้นตอนในการเจาะระบบ ไม่ว่าจะเป็น การสืบค้นข้อมูลของระบบ การเจาะเข้าระบบ และออกมาเป็น Report ให้เราว่ามีช่องโหว่อะไรบ้างที่ควรจะต้องไปอุดและแก้ไข

จุดประสงค์ของการทำ Pen Test คือการสำรวจช่องโหว่ในครั้งแรกว่าระบบของเราเป็นอย่างไร มีช่องโหว่อะไรบ้างที่ควรจะต้องแก้ไข

จากที่ได้บอกจุดประสงค์ของทั้ง 2 แบบไป VA Scan จะใช้การแสกนแบบอัตโนมัติในการดำเนินการตรวจสอบหาช่องโหว่ แต่การทำ Pen Test จะเป็นดำเนินการที่ใช้ทั้งแบบ Manual Test และ Automated Testing โดยประเมินจากความเสี่ยงของคุณจากภัยคุกคามต่าง ๆ ยิ่งมีการกระจายการทดสอบในหลาย ๆ วิธีเท่าไหร่ ผลลัพธ์ที่ได้คือ จะสามารถรู้ได้ว่าผู้ไม่หวังดีจะสามารถโจมตีเข้ามาในรูปแบบไหนได้บ้างนั่นเองครับ

สรุปง่าย ๆ คือ VA Scan เป็นสแกนเพื่อหาว่ามีช่องโหว่อะไรบ้าง และสามารถแก้ไขได้ในแบบไหนบ้างPen test ทำเพื่อ Scope ความเสี่ยงให้แคบลง และเป็นการหาทางแก้ไขช่องโหว่ที่ร้ายแรงจริง ๆ เพื่อที่จะอุดช่องโหว่ได้ทันการนั่นเอง

เราจำเป็นต้องทำ 2 อย่างเลยหรือไม่?

คำตอบ สั้น ๆ ง่าย ๆ คือ ใช่ครับ ควรที่จะทำทั้ง 2 อย่าง
VA Scan เหมาะที่ดำเนินการได้บ่อย ๆ ซึ่งบ่อยแค่ไหนก็ให้เทียบกับขนดขององค์กรของคุณก็ได้ครับยิ่งองค์กรมีขนาดใหญ่มาก การทำ Weekly Scan ก็จะให้ประสิทธิภาพที่ดีแต่ถ้าลด Size ลงมาหน่อย เช่น องค์กรที่มีพนักงานมากกว่า 500 คน ขึ้นไปที่ไม่ได้เป็นระดับองค์กรยักษ์ใหญ่แบบแรก การทำ Monthly Scan ก็จะช่วยให้สามารถ Update ช่องโหว่ใหม่ ๆ ได้ และสามารถที่จะจัดการ Patch ได้ทันการครับสำหรับองค์กรขนาดเล็กควรจะทำ VA Scan ไตรมาสละครั้ง ถือเป็นขั้นต่ำในการดำเนินการครับ

การทำ Penetration Testing ให้ดีที่สุดควรทำปีละครั้งครับ หรือว่าถ้ามีการเปลี่ยนแปลงระบบ เช่น มีการนำระบบใหม่เข้ามาใช้ หรือ Upgrade/Update Version ก็ควรที่จะพิจารณาในการดำเนินการครับ สำหรับองค์กรใหญ่ การจ้างทีมงานที่เชี่ยวชาญจากภายนอกมาทดสอบให้ดูจะเป็นการวัดผลที่ดีที่สุดครับ

เป็นอย่างไรกันบ้างครับสำหรับ Blog นี้ หวังว่าทุกท่านจะสามารถพิจารณาในเรื่องของ Security อย่างถี่ถ้วนและเหมาะสม จะช่วยเพิ่มความปลอดภัยให้ระบบของทุกท่านได้อย่างแน่นอนครับ สำหรับท่านใดที่สนใจบริการของ Cloud HM สามารถสอบถามรายละเอียด หรือติดต่อเพิ่มเติมได้ที่นี่นะครับ

— Cloud HM