1. No category

How to be CERT
บรรยายโดย
ดร.โกเมน พิบูลย์โรจน์
1
ความกว ้างใหญ่ไพศาลของอินเทอร์เน็ ต
้
มีผู ้ใชงานทั
่วโลก ประมาณ 2,400 ล ้านคน ในปี 2555
เพิม
่ จาก 75 ล ้านคน ในปี 2539
 ประเทศไทย มีประชากรอินเทอร์เน็ ต 20 ล ้านuser
 อัตราเพิม
่ – เพิม
่ เป็ นสองเท่า ทุกๆสามปี
้ ้อมูล เพิม
 การเรียกใชข
่ ขึน
้ สองเท่าทุกๆ 20 เดือน
 การผลิตข่าวสารในโลกของข ้อมูล ปี ละ 40 ล ้านล ้านล ้าน
ตัวอักษร
 การค ้นหาข ้อมูลผ่าน Google เดือนละ 3,000 ล ้านครัง
้
ั คม) มีสมาชก
ิ กว่า 800 ล ้านคน
 (เว็บสง

Information Warfare
2
2
จานวนประชากรในโลกอินเทอร์เน็ ต
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
China
Indea
Facebook
USA
My Space
Indonesia
Brazil
Twitter
Google+
Orkut
3
A Different Internet

Armies may cease to march

Stock may lose a hundred points

Businesses may be bankrupted

Individuals may lose their social identity

Threats not from novice teenagers, but purposeful military, political,
and criminal organizations
4
Purpose of Intelligence



1. Identify the need for action
2. Provide the insight and context for deciding among
courses of action
3. Provide information on the effectiveness of pursuing the
selected course of action
5
Change of View
6
Content / Context of Intelligence



7
What is Cyber Intelligence?
Operators/Groups
Victims
Internet
Behavior
Opportunities
Stimuli/Motives
Intrusions/Responses
Threats/Counters
Vulnerabilities/Fixes
8
Strategic Intelligence Analysis

Provides “Big Picture” assessment

Trend Analysis

Sector Threat assessments

Potential Damage assessments

Categorization of Attacks and Attackers

Identification of Anomalies
9
Tactical Intelligence Analysis

Linking element between macro- and micro-level
analysis

Cluster and pattern analysis

Temporal patterns

Profiling

Analysis of intrusion methods

Commonality of targets

Reinforces and compliments Strategic Analytic efforts
10
Using CERT/CC Data
•
•
•
•
•
•
•
Year 2010 - 21,756 Incidents
16,129 Probes/Scans
2,912 Information Requests
261 Hoaxes, false alarms, vul reports, unknown
2454 Incidents with substantive impact on target
Profiled 639 incidents, all active during July-Sept 2010
Many different dimensions for analysis and
trend generation (analysis work is ongoing)
11
Immediate Data Observations
Sept
October
Ports
r
ob
e
O
ct
pt
Se
gu
s
t
50
40
30
20
10
0
Au
Generic attack tools adapted
to specific targets
August
Year 2000
Ju

July
ly
Shifts in operating systems
involved in incidents
June
ne

Shifts in services used in
incidents
600
500
400
300
200
100
0
Ju

Increasing diversity of ports
used in incidents
Incidents
Incidents Active

Increasing trend of incidents
per month
(some incidents carry over
between months)
Ports in Incidents

Year 2000
12
Service Shifts
60
50
DNS
HTTP
FTP
RPC
email
IRC
40
30
20
10
0
June
August
13
Weekly Incidents
70
60
50
40
30
20
10
0
14
9/
16
/0
0
9/
9/
00
9/
2/
00
8/
26
/0
0
8/
19
/0
0
8/
12
/0
0
8/
5/
00
7/
29
/0
0
7/
22
/0
0
7/
15
/0
0
7/
8/
00
7/
1/
00
6/
24
/0
0
Weekly Incidents by Target
70
60
50
40
30
user
org
misc
isp
intl
gov
fin
edu
eat
com
20
10
0
15
Monthly Incidents by Target
250
User
Com
eat
edu
fin
gov
intl
isp
misc
org
200
150
100
50
0
July
August
September
16
9/
16
/0
0
9/
9/
00
9/
2/
00
8/
26
/0
0
8/
19
/0
0
8/
12
/0
0
8/
5/
00
7/
29
/0
0
7/
22
/0
0
7/
15
/0
0
7/
8/
00
7/
1/
00
6/
24
/0
0
Weekly Incidents by OS
70
60
50
40
30
unknown
Un
So
NT
MO
misc
LX
IR
20
10
0
17
Monthly Incidents by Operating
System
120
100
UNKNOWN
IR
LX
misc
MO
NT
So
Un
80
60
40
20
0
July
Aug
Sep
18
9/
16
/0
0
9/
9/
00
9/
2/
00
8/
26
/0
0
8/
19
/0
0
8/
12
/0
0
8/
5/
00
7/
29
/0
0
7/
22
/0
0
7/
15
/0
0
7/
8/
00
7/
1/
00
6/
24
/0
0
Weekly Incidents by Impact
70
60
50
40
30
Distort
Disrupt
disclosure
Destruct
Deception
20
10
0
19
Monthly Incidents by Impact
180
160
140
120
Deception
Destruct
Disclosure
Disrupt
Distort
100
80
60
40
20
0
July
August
September
20
Drivers for Weekly Incidents
Independence
Day
DefCon
Labor
Day
70
60
Advisory/
Alert
50
40
30
20
10
0
New
Toolkits
21
Operational Intelligence Analysis

Overlaps with Tactical Analysis

Technical assessments of intrusion methods

Specific investigation of intruders

Identification of vulnerabilities to support
mitigation

Attribution
22
Example: Signed Defacement


Defaced Health-care web site in India
"This site has been hacked by ISI ( Kashmir is ours), we
want a hospital in Kashmir" and signed by Mujahideen-uldawat.

Post-dates activity by Pakistani Hackers Club

Level of activity is not significant

Claim of identity may be significant
23
Example: Coordinated
Automated Attack
Probe
Victim
Compromise
& Coopt
Probe
Victim2
• Remote, fast-acting
Identity
• Adapts existing tools
• Limited deployment
• Sophisticated reporters
24
A Problem Too Big

Cannot remain technical specialty

Cannot remain localized activity

Cannot remain responsive to incidents

Cannot remain centrally controlled or performed

Distributed, ongoing, multifaceted problem demands
distributed, ongoing, multifaceted strategy
25
Cyber Intelligence Products

Fused analysis reports

Demographics and situational awareness

In-depth studies

Technology of intelligence
26
Anatomy of Hack
หาข้อมูล
Foot printing
หาเป้ าหมาย
Scanning
ทาให้เซิร์ฟเวอร์หรื อ
ระบบปฏิเสธการให้บริ การ
Denial of Service
ลบร่ องรอย ,
พรางตัว
Covering tracks
หารายละเอียดต่างๆ
ในการเจาะระบบ
Enumeration
ทาให้ได้รับสิ ทธิในการเข้าสู่
ระบบ
Gaining Access
ขโมยข้อมูลผูอ้ ื่นหรื อข้อมูล
ที่ตอ้ งการ
Pilfering
ยกระดับให้เป็ นผูด้ ูแล
ระบบ
Gaining Root
สร้างประตูลบั
Creating back doors
27
Security Process
Vender
developer
Hardening
Improve
Prepare /
Prevent
CIRCLE
Detect/
capture
Response /
Recovery
28
Vendor / Developer
Hole,
Bug
Patch release
Upgrade
Default installation
Hardening
Data
Physical
Host
Logical
Network
Policy
Internet
Prepare / Prevent
 File
+ directory
 Process
 Kernel
 Performance
 Network
 Disaster
Recovery
 User
Confidential
 Procedure
 Log book
 Contacts
 Test Environment
 Policy
Detect / Capture
Analysis
Monitor info
IDS
Alarm process
Policy

Audit
 Sniffer
 SMS, Pager
 Firewall
 Antivirus
software

Response / Recovery
 Analysis
 Law
enforcement
 Forensics
 Policy
 Containment
 Auto-Response
System
 PR
 Incident Response  Policy Team
 Back up
Improve
Patch
Process
Training
Knowledge
Policy
base
Causes of Security Problem
 Technology
 Lack of
security
feature
 Bug, hole,
no patch
 No standard
 Hard to up-todate
Process
Design for
security
Role +
Responsibility
Audit, track
Disaster plans
Stay up-to-date
People
Lack of knowledge
Lack of
commitment
Lack of good
communication
Human error
35
องค์กรต้องทำอะไร
1. การเตรียมการทาง Security
2. การดาเนินงานขององค์กรอย่างมี Security
้
3. มีวน
ิ ัยในการใชงาน
อย่างมี Security
4. การแก ้ไขและรับมือกับเหตุการณ์ทาง Security
36
กำรจ ัดทำ Computer Security Policy
ในองค์กร
Non-Technical
Tool
Technical
Tool
Tool
Availability
Cost
Performance
Security
Policy
37
ใครต ้องทาอะไรบ ้างในองค์กร
3
Bring
the
analysis
result
Policy
and
Procedure
4
CEO
1
USER
System
Admin.
Work together
Security
Specialist
2
38
หำกเกิดเหตุกำรณ์ละเมิดควำมมน
่ ั คงปลอดภ ัย
คอมพิวเตอร์ สงิ่ ทีต
่ ำรวจต้องเข้ำไปสอบสวน
เพือ
่ เก็ บข้อมูลมำวิเครำะห์ หรือดำเนินกำรต่อ
มีด ังนี้
39
ี หำย
Check list สำหร ับผูเ้ สย
ื่ ผูแ
1. ชอ
้ จ้ง__________________________
เบอร์โทรติดต่อ _____________________
ว ัน/เวลำ _________________________
่ Spam, Hacking,
2. ประเภทของเหตุกำรณ์ (เชน
Web defacement, etc.)
3.
4.
5.
6.
เวลำเกิดเหตุ (มีกำรเทียบก ับค่ำเวลำมำตรฐำนหรือไม่)
ตรวจจ ับเหตุกำรณ์ได้อย่ำงไร
เวลำตรวจพบ(มีกำรเทียบก ับค่ำเวลำมำตรฐำนหรือไม่)
้
ผลกระทบทีจ
่ ะเกิดขึน
40
กำรตรวจสอบคอมพิวเตอร์ของ
ผูส
้ อบสวน
่ ั อะไร
1. ใช ้ Hardware & Software & OS เวอร์ชน
2. หมำยเลข IP ของเครือ
่ ง และ IP ของ Network ที่
ถูกโจมตี
่ Token
3. รูปแบบของ Network ทีถ
่ ก
ู โจมตี (เชน
Ring, FDDI)
ั ของ Modem และรุน
4. หมำยเลขโทรศพท์
่ ของ
Modem
5. ผลกระทบทีม
่ ต
ี อ
่ ระบบ Network หรือกำรดำเนิน
ธุรกิจ
41
กำรตรวจสอบคอมพิวเตอร์ของ
ผูส
้ อบสวน
6. ข้อมูลทีม
่ อ
ี ยูใ่ นเครือ
่ ง (มีระด ับควำมสำค ัญ
มำก, น้อย)
7. สถำนทีอ
่ ยูข
่ องเครือ
่ งคอมพิวเตอร์
8. กำรร ักษำควำมปลอดภ ัยของสถำนทีน
่ น
ั้
9. ผูด
้ แ
ู ลร ับผิดชอบเครือ
่ งคอมพิวเตอร์
10. สภำพปัจจุบ ันของคอมพิวเตอร์เมือ
่ เข้ำไป
ตรวจสอบ
42
กำรตรวจสอบและเก็บข้อมูล
ฝ่ำยผูบ
้ ก
ุ รุก(Hacker)
1.
2.
3.
4.
5.
6.
้ บ้ำง
มีเหตุกำรณ์อะไรเกิดขึน
แหล่งทีม
่ ำ
สำเหตุกำรมุง
่ ร้ำย
มีกำรทำให้หยุดกำรใชง้ ำนหรือไม่ (DDOS)
ี หำยหรือไม่
มีกำรทำลำยข้อมูล หรือทำให้เสย
มีกำรบ่งชวี้ ำ
่ มำจำกภำยใน หรือภำยนอก
หรือไม่
43
กำรตรวจสอบและเก็บข้อมูล
ฝ่ำยผูด
้ แ
ู ลเครือ
่ งคอมพิวเตอร์
1. มีกำรต ัดกำรกำรติดต่อหรือไม่ (ถอดสำย
LAN)
2. มีกำรตรวจสอบบ ันทึกล็ อก (Log) หรือไม่
3. มีกำรอนุญำตให้ remote access หรือ local
access หรือไม่
4. มีกำรเปลีย
่ นแปลงต่ำงๆ ของ Firewall, IDS
หรือไม่
5. ใครเป็นผูแ
้ จ้งเหตุ
ั
6. ข้อมูลอืน
่ ๆ ทีน
่ ำ
่ สงสย
44
กำรตรวจสอบ Software หรือ
่ นเกีย
Tools ต่ำงๆ ทีม
่ ส
ี ว
่ วข้อง
1. มีกำรติดตงั้ Software & Tools ในกำร
ตรวจสอบจำกบุคคลที3
่ หรือไม่
2. มีกำรตรวจสอบ Network หรือไม่
3. มีกำรถูกด ักข้อมูลหรือไม่ (Sniffing)
4. ระบบกำรตรวจจ ับไวร ัส
45
กำรตรวจสอบจำกพยำนทีส
่ ำมำรถ
ให้ขอ
้ มูลเพิม
่ เติม
1.
2.
3.
4.
ผูด
้ แ
ู ลระบบ (System administrator)
ผูใ้ ชร้ ะบบ (users)
ผูด
้ แ
ู ลเครือข่ำย (Network administrator)
ผูร้ ับผิดชอบเกีย
่ วก ับเครือข่ำย (Site
Incident Response Manager/Officer)
5. ผูร้ ับมือก ับเหตุกำรณ์ควำมปลอดภ ัย
คอมพิวเตอร์ (Incident Response
Team/Officer)
46
กำรตรวจสอบเพือ
่ เก็บข้อมูลเพิม
่ เติม
ตำมแนวทำงกำรสอบสวน
1. สอบถำม/สวน ผูบ
้ ริหำรสำรสนเทศ (CIO)
2. สอบถำม/สวน ผูไ้ ด้ร ับแจ้งเตือนเหตุกำรณ์ท ี่
้
เกิดขึน
3. สอบถำม/สวน พน ักงำนผูไ้ ด้ร ับทรำบ
เหตุกำรณ์ หำกมีขอ
้ มูลทีร่ ว่ ั ไหลออกมำ
4. สอบถำม/สวน หน่วยงำนทีม
่ ห
ี น้ำที่
ั ันธ์ หรือแจ้งเหตุกำรณ์ออกไปย ัง
ประชำสมพ
ภำยนอก
47
กำรสอบสวนผูด
้ แ
ู ลระบบ
(คำถำมทีค
่ วรถำม)
ร ับทรำบเหตุกำรณ์ผด
ิ ปกติหรือไม่
มีจำนวนผูใ้ ชใ้ นระบบกีค
่ น
มีกำรอนุญำติให้เข้ำถึงระบบจำกภำยนอกหรือไม่
บ ันทึก หรือเครือ
่ งให้บริกำร (Server) ทีท
่ ำหน้ำที่
ิ ธิภำพ หรือควำมจุอย่ำงไร
เก็บ Log มีประสท
 ระบบมีกำรป้องก ันควำมปลอดภ ัยหรือไม่อย่ำงไร
 มีกำรทำ Hardening หรือไม่




48
กำรสอบสวนผูจ
้ ัดกำรระบบ (เนือ
่ งจำก
บำงครงได้
ั้
ขอ
้ มูลสำค ัญโดยไม่ได้คำดหมำย)
 ข้อมูลและ Application มีควำมสำค ัญ ควำม
อ่อนไหวต่อองค์กรหรือไม่ อย่ำงไร
่ นต ัวเฉพำะใดๆ หรือไม่ ทีค
 มีประเด็นสว
่ วร
ระม ัดระว ัง
 มีกำรอนุญำติหรือดำเนินกำรตรวจสอบระบบ
โดยกำรจ้ำงจำกภำยนอกหรือไม่
(Penetration Test)
 ประเด็นควำมข ัดแย้งต่ำงๆ ในหน่วยงำน
49
Incident Response

กำรร ับมือ ก ับเหตุกำรณ์ควำมปลอดภ ัยคอมพิวเตอร์
50
กำรร ับมือก ับเหตุกำรณ์ควำมปลอดภ ัย
คอมพิวเตอร์ (1)
1. เตรียมกำรและวำงแผน
Before
2. ติดต่อผูท
้ เี่ กีย
่ วข้อง
3. พิสจ
ู น์ทรำบเหตุกำรณ์
4. ร ับมือก ับเหตุกำรณ์
5. กำรปฏิบ ัติหล ังเหตุกำรณ์
During
After
51
1. ขนเตรี
ั้
ยมกำรและวำงแผนแบ่ง
่ น
ควำมสำค ัญเป็น 2 สว
1.1 ตงเป
ั้ ้ ำหมำยหรือว ัตถุประสงค์ของกำรร ับมือก ับ
เหตุกำรณ์
ร ับทรำบ
ประเมิน
ป้องก ัน
กำหนด
ขอบเขต
ฟื้ นฟู
แก้ไข
ตำมจ ับ
52
1.2 ตงล
ั้ ำด ับควำมสำค ัญ,ควำมเร่งด่วน
(กำหนด level) ในกำรป้องก ัน
1
2
3
4
5
53
2. ติดต่อผูเ้ กีย
่ วข้อง







Chief Executive Officer (CEO) , เจ้ำนำย ,ห ัวหน้ำ
(BOSS)
ิ ใจ (รำยชอ
ื่ ) เชน
่ ปิ ดระบบ หยุดทำ
ผูม
้ อ
ี ำนำจในกำรต ัดสน
กำร หรือลบข้อมูล
System administrator
CERT (Computer Emergency Response Team)
Site ต่ำงๆ ทีเ่ กีย
่ วข้อง และมีผลกระทบ
ื่ สำรในองค์กร
แจ้งข่ำว และติดต่อสอ
ั ันธ์และแถลงข่ำวสูภ
่ ำยนอก
ประชำสมพ
54
3. กำรพิสจ
ู น์ทรำบเหตุกำรณ์ (อำกำร)
่ เครือ
Crash, hang เชน
่ งหยุดทำงำน
ั เชน
่
 Account น่ำสงสย
[email protected]
ั เชน
่
 New file ทีน
่ ำ
่ สงสย
Iloveyou.exe , Nakedwife,
Myparty.com
่
 File เกีย
่ วก ับ account เปลีย
่ นไป เชน
กำรเปลีย
่ น file นอกเวลำทำกำร

55
3. กำรพิสจ
ู น์ทรำบเหตุกำรณ์ (ต่อ)
 ขนำดและว ันทีข
่ อง
file เปลีย
่ น
 กำรเปลีย
่ นแปลงข้อมูลในระบบ
บ ันทึกข้อมูล logfile
 ข้อมูลเดิมเปลีย
่ นแปลง หรือ
ข้อมูลหำย
้ ลง
 ระบบหยุดทำงำนหรือระบบชำ
56
3. กำรพิสจ
ู น์ทรำบเหตุกำรณ์ (ต่อ)

ี หำยและขอบเขต
ประเมินควำมเสย
ปัจจ ัยภำยใน
ปัจจ ัยภำยนอก
กีแ
่ ห่ง,กีเ่ ครือ
่ ง
เข้ำมำอย่ำงไร
ข้อมูลล ับ, ไม่ล ับ
ื่ มวลชน
น ักข่ำว, สอ
เวลำ
ผลกระทบ
จำนวนบุคลำกร
ตำรวจ, ทนำย
57
4. กำรร ับมือก ับเหตุกำรณ์
ติดต่อและแลกเปลีย
่ นข้อมูล
 ปกป้องหล ักฐำนและบ ันทึก
เหตุกำรณ์
 ป้องก ันไม่ให้เหตุกำรณ์ลก
ุ ลำม
 กำจ ัดเหตุกำรณ์
 ฟื้ นฟู
 ติดตำมเหตุกำรณ์

58
กำรติดต่อและแลกเปลีย
่ นข้อมูล
•
•
•
•
ติดต่อผูเ้ กีย
่ วข้อง
ให้ขอ
้ มูลทีเ่ หมำะสมก ับบุคคล
ั
ให้ขอ
้ มูลทีช
่ ดเจนเป
็ นจริงและถูกต้อง
้ ำษำเหมำะสมก ับผูร้ ับ
ใชภ
59
กำรปกป้องหล ักฐำนและบ ันทึกเหตุกำรณ์
- ถือเสมือนเหตุกำรณ์ควำมปลอดภ ัย
คอมพิวเตอร์เป็นคดีฆำตกรรม
- อย่ำเคลือ
่ นย้ำยอุปกรณ์หรือเปลีย
่ นแปลง file
ใดๆ บนเครือ
่ งเป็นอ ันขำด
- อย่ำทำกำร format เครือ
่ งโดยท ันที เพรำะจะ
เป็นกำรทำลำยหล ักฐำนทงหมด
ั้
- รอผูม
้ ค
ี วำมสำมำรถและร ับผิดชอบมำ
ดำเนินกำร
60
ป้องก ันและจำก ัดไม่ให้เหตุกำรณ์ลก
ุ ลำม




ปิ ดกำรให้บริกำร (shut down system)
่ ควำม
กำจ ัดสำเหตุของเหตุกำรณ์ เชน
ล่อแหลม
ของระบบ
ี่ งของระบบ
ตรวจสอบควำมเสย
เฝ้ำดูเพือ
่ เก็บข้อมูลและหำแนวทำงในกำร
แก้ไข
61
ฟื้ นฟูเหตุกำรณ์ (recovery system)



เปิ ดให้บริกำรตำมปกติ
ดำเนินกำรให้ลดควำมตืน
่ ตระหนก
่ กำรชแ
ี้ จงให้ user หรือ
 ในองค์กร เชน
พน ักงำนทรำบ
ั ันธ์
่ กำรประชำสมพ
 นอกองค์กร เชน
ื่ ต่ำงๆ
กำรแก้ขำ
่ วตำมสอ
62
กำรติดตำมเหตุกำรณ์


ิ โดย
้ อย่ำงใกล้ชด
ติดตำมเหตุกำรณ์ทเี่ กิดขึน
ั ษฐำนไว้กอ
สนนิ
่ นว่ำ ย ังมีรอยรวอยู
่ั
ใ่ นระบบ
เขียนรำยงำนเหตุกำรณ์เพือ
่ เป็นประโยชน์ใน
อนำคต
What, อะไร
Where data problem
When , เมือ
่ ไหร่
come from?
ข้อมูลกำรแก้ปญ
ั หำ
How to recovery
แก้ปญ
ั หำอย่ำงไร
Study case
บทเรียน
How to take
action?
กำรร ับมืออย่ำงไร
Damage
ี หำย
ควำมเสย
63
5. หล ังเหตุกำรณ์ควำมปลอดภ ัยคอมพิวเตอร์

ิ้ ในระบบทีม
ี่ ง
ตรวจสอบอุปกรณ์ทก
ุ ชน
่ ค
ี วำมเสย
SWITCH
ROUTER
• ตรวจสอบระบบและฝังกำรวำงระบบในองค์กร
(network infrastructure)
64
5. หล ังเหตุกำรณ์ควำมปลอดภ ัย
คอมพิวเตอร์ (ต่อ)
• นำบทเรียนทีไ่ ด้มำแก้ไขแผนกำรร ักษำควำมปลอดภ ัย
- แก้ไข Policy ในองค์กรให้ร ัดกุม
- revise policy
้
- กำหนดมำตรกำรต่ำงๆ เพิม
่ ขึน
65
คำจำก ัดควำมและหน้ำทีข
่ อง CERT
CERT
Computer Emergency Response Team
An organization or a team that
provides, to defined constituency,
services and support for both
preventing and responding the
computer security incidents.
66
ขอบข่ำยกำรให้บริกำรของ CERT
หน้ำทีห
่ ล ัก
1. ร ับมือก ับเหตุกำรณ์ควำมปลอดภ ัยคอมพิวเตอร์
หน้ำทีท
่ ว่ ั ไป
1. แจ้งประกำศเตือน
2. วิเครำะห์และตอบสนองต่อควำมอ่อนแอของระบบ
3. วิเครำะห์เหตุกำรณ์ควำมปลอดภ ัยคอมพิวเตอร์ตำ่ งๆ
้
ทีถ
่ ก
ู ทำขึน
4. อบรมและเผยแพร่ควำมรู ้
67
ขอบข่ำยกำรให้บริกำรของ CERT(ต่อ)
5. ติดตำมเหตุกำรณ์ควำมปลอดภ ัยคอมพิวเตอร์
6. ตรวจจ ับกำรบุกรุก
7. ตรวจสอบและให้กำรทดสอบระบบ
8. ทีป
่ รึกษำทำงควำมปลอดภ ัย
ี่ งของระบบ
9. วิเครำะห์ควำมเสย
10. พ ัฒนำผลิตภ ัณฑ์ควำมปลอดภ ัยคอมพิวเตอร์
่ ยเหลือ
11. ให้ควำมร่วมมือและชว
12. ประสำนงำน
68
รูปแบบกำรดำเนินงำนโครงกำรจ ัดตงศู
ั้ นย์ประสำนงำน
กำรร ักษำควำมปลอดภ ัยคอมพิวเตอร์แห่งชำติ
์
สำน ักงำนร ัฐบำลอิเล็กทรอนิกส(สรอ.)
ด้ำนนโยบำย
ด้ำนเทคนิค
สภำควำมมนคงแห่
่ั
งชำติ
(NSC)
ประสำนงำน
ประสำนงำน
มหำวิทยำล ัยต่ำงๆ
คณะกรรมกำรเทคโนโลยี
สำรสนเทศแห่งชำติ (NITC)
สำน ักงำนตำรวจแห่งชำติ
ประสำนงำน
CERT
ประสำนงำน
ISP
69
รูปแบบของกำรร ับมือก ับเหตุกำรณ์ควำม
ปลอดภ ัยคอมพิวเตอร์
ทำง E-Mail
1
ผูถ
้ ก
ู ละเมิด
2
3
กระบวนกำรร ับแจ้ง
เหตุกำรณ์
กระบวนกำรยืนย ัน
เหตุกำรณ์
ั
ทำงโทรศพท์
5
ประสำนงำนและให้คำแนะนำ
่ น่วยงำนทีเ่ กีย
ไปสูห
่ วข้อง
NO
4
กระบวนกำรตรวจขอบข่ำย
YES
6
- วิเครำะห์เหตุกำรณ์
่ ยเหลือทำงเทคนิค
- ให้ควำมชว
- ประสำนงำนและตอบสนอง
70
กำรตรวจสอบกระบวนกำรแจ้งเหตุ
เพือ
่ พิสจ
ู น์ต ัวตน
ทีอ
่ ยู.่ ......................................................
ื่ -นำมสกุล............................................
ชอ
ื่ องค์กร...............................................
ชอ
ั .............. โทรสำร................
เบอร์โทรศพท์
อีเมล์ (E-mail) ..........................................
ประเภทขององค์กร (ร ัฐ , เอกชน, สว่ นต ัว)
71
รำยละเอียดของเหตุกำรณ์
ื่ Host และ IP address
ชอ
หน้ำทีข
่ อง Host
เวลำ และย่ำนเวลำ
รำยละเอียดของเหตุกำรณ์ (log file ว ันที่ เวลำ)
Log file
ว ันทีแ
่ ละเวลำ
Version ของซอฟต์แวร์
Patch
้
ผลทีเ่ กิดขึน
72
CERT ก ับหน่วยงำนของท่ำน
CEO
ผูถ
้ ก
ู บุกรุก
SIRM = Site Incident Response Manager
ิ ใจเกีย
ผูม
้ อ
ี ำนำจต ัดสน
่ วก ับ
เครือข่ำยได้ท ันที
SIRO = Site Incident Response Officer
CERT
ต้องมี Two way communication
good contact
ผูป
้ ฏิบ ัติกำร
ั ทท
ต้องมีเบอร์โทรศพท์
ี่ ำงำน, ทีบ
่ ำ้ น,
เบอร์มอ
ื ถือ, เพจเจอร์, E-Mail
73
ั
้ อ
ทงหมดนี
ั้
ต
้ งอำศย
ควำมร่วมมืออย่ำงจริงจ ัง
74
...ขอบคุณ...
Thank you for your attention.
75