การสแกนช่องโหว่เทียบกับการทดสอบเจาะระบบ

การรักษาความปลอดภัยเชิงรับจะตอบสนองหลังจากเกิดการโจมตี ส่วนการรักษาความปลอดภัยเชิงรุกจะค้นหาและแก้ไขจุดอ่อนก่อนที่ผู้โจมตีจะใช้ประโยชน์ได้ แนวทางเชิงรุกที่ส่งเสริมกันสองประการคือ การสแกนช่องโหว่และ การทดสอบเจาะระบบ ทั้งสองอย่างช่วยระบุจุดอ่อนด้านความปลอดภัย แต่แตกต่างกันอย่างมากในขอบเขต วิธีการ ข้อกำหนดด้านการอนุญาต ระดับความเสี่ยง และสิ่งที่ส่งมอบให้องค์กร การทำความเข้าใจความแตกต่างเหล่านี้เป็นสิ่งสำคัญสำหรับผู้เข้าสอบ Security+ และการสื่อสารกับผู้มีส่วนได้ส่วนเสียเกี่ยวกับสิ่งที่แต่ละกิจกรรมสามารถ — และไม่สามารถ — บอกเกี่ยวกับสถานะความปลอดภัยของคุณได้

การสแกนช่องโหว่เป็นกระบวนการอัตโนมัติที่ตรวจสอบระบบเทียบกับฐานข้อมูลช่องโหว่ที่ทราบแล้ว เครื่องมือสแกนจะเปรียบเทียบหมายเลขรุ่น การตั้งค่า และลายเซ็นซอฟต์แวร์กับฐานข้อมูล CVE และคำแนะนำจากผู้จำหน่าย เพื่อระบุจุดอ่อนที่อาจมีอยู่ โดยทั่วไปการสแกนเป็นแบบ ไม่รบกวนระบบ — ระบุว่าช่องโหว่น่าจะมีอยู่โดยอาศัยรุ่นหรือการตั้งค่า แต่โดยทั่วไปจะไม่พยายามใช้ประโยชน์จากช่องโหว่นั้น การสแกนสามารถทำเป็นประจำ (รายวัน, รายสัปดาห์ หรืออย่างต่อเนื่อง) และทำในวงกว้างกับระบบหลายพันระบบได้ การสแกนเป็นข้อกำหนดด้านการปฏิบัติตามมาตรฐาน PCI-DSS (การสแกนภายนอกทุกไตรมาสโดย ASV) และกรอบมาตรฐานอื่น ๆ อีกมากมาย

การทดสอบเจาะระบบ (การทดสอบแบบ pen test) คือความพยายามที่มีโครงสร้างและมุ่งเป้าหมายเพื่อเจาะระบบ โดยใช้เทคนิคเดียวกับที่ Attacker จะใช้ ต่างจากการสแกน การทดสอบเจาะระบบจะ ใช้ประโยชน์จากช่องโหว่ โดยตรงเพื่อยืนยันว่าช่องโหว่นั้นมีอยู่จริงและสามารถใช้โจมตีได้ ไม่ใช่เพียงมีอยู่ในทางทฤษฎีเท่านั้น ผู้ทดสอบจะแสดงผลกระทบที่เกิดขึ้นจริง เช่น สามารถเข้าถึงสิทธิ์ระดับสูงได้หรือไม่ สามารถนำข้อมูลออกไปได้หรือไม่ หรือสามารถเคลื่อนย้ายจากระบบหนึ่งไปยังอีกระบบหนึ่งได้หรือไม่ การทดสอบเจาะระบบจึงเป็นหลักฐานยืนยันความสามารถในการใช้ประโยชน์จากช่องโหว่ ซึ่งช่วยผลักดันให้ต้องเร่งดำเนินการ Remediation และมักค้นพบเส้นทางการโจมตีที่ซับซ้อนหลายขั้นตอนซึ่งเครื่องมือสแกนอัตโนมัติไม่สามารถระบุได้

การทดสอบเจาะระบบโดยไม่ได้รับอนุญาตถือเป็นสิ่งผิดกฎหมาย โดยเข้าข่ายการเข้าถึงโดยไม่ได้รับอนุญาตตามกฎหมายอย่าง CFAA (Computer Fraud and Abuse Act) ใน US ก่อนเริ่มการทดสอบเจาะระบบทุกครั้ง ต้องมีการลงนามในเอกสาร Rules of Engagement (RoE) ซึ่งกำหนดขอบเขต (ระบบใดบ้าง ช่วง IP ใดบ้าง และโดเมนใดบ้าง) ช่วงเวลา (เวลาทำการหรือนอกเวลาทำการ) การกระทำที่ห้ามดำเนินการ (ห้ามโจมตีทางกายภาพ และห้ามทำ DoS กับระบบที่ใช้งานจริง) ผู้ติดต่อกรณีฉุกเฉิน และลายเซ็นยืนยันการอนุญาต จดหมายยืนยันการได้รับอนุญาต ที่ทีมทดสอบพกติดตัวไว้จะใช้เป็นหลักฐานยืนยันการอนุญาตหากเจ้าหน้าที่ Security ตรวจพบ ห้ามเริ่มการทดสอบโดยไม่มีการอนุญาตเป็นลายลักษณ์อักษรที่ครบถ้วน

การทดสอบเจาะระบบแบ่งประเภทตามปริมาณข้อมูลที่ผู้ทดสอบมีเกี่ยวกับ Target การทดสอบแบบ Black box ไม่มีข้อมูลล่วงหน้า ผู้ทดสอบจะเริ่มต้นเช่นเดียวกับ Attacker จากภายนอก โดยใช้ OSINT และการสแกนเพื่อค้นหา Target วิธีนี้สมจริงที่สุด แต่อาจพลาดช่องโหว่ภายใน การทดสอบแบบ White box ให้ข้อมูลครบถ้วน เช่น แผนผังเครือข่าย ซอร์สโค้ด และ Credentials ทำให้ทดสอบได้อย่างละเอียดแต่สมจริงน้อยกว่า ส่วนการทดสอบแบบ Gray box ให้ข้อมูลบางส่วน (เช่น บัญชีผู้ใช้ทั่วไป) และจำลองสถานการณ์ที่ผู้โจมตีภายในถูกเจาะระบบหรือ Credentials ถูกขโมย การทดสอบในสถานการณ์จริงส่วนใหญ่มักเป็นแบบ Gray box หรือ Black box

การทดสอบเจาะระบบอาจมองจากจุดยืนของผู้โจมตีที่แตกต่างกัน การทดสอบ จากภายนอก จำลอง Attacker บนอินเทอร์เน็ตที่ไม่มีสิทธิ์เข้าถึงภายใน โดยทดสอบการป้องกันขอบเขต ระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต และความปลอดภัยของอีเมล การทดสอบ ภายใน จำลองภัยคุกคามที่อยู่ภายในเครือข่ายแล้ว (เช่น พนักงานที่ถูกเจาะระบบหรือมัลแวร์ที่ใช้เป็นจุดเปลี่ยนเส้นทาง) โดยทดสอบการควบคุมการเคลื่อนย้ายภายในเครือข่าย ความปลอดภัยของแอปพลิเคชันภายใน และการเสริมความปลอดภัยของ Active Directory องค์กรส่วนใหญ่จะได้รับประโยชน์จากการทดสอบทั้งสองมุมมอง การละเมิดระบบจริงจำนวนมากเริ่มจาก Attacker ภายนอกที่เข้าถึงระบบได้ในเบื้องต้น แล้วเคลื่อนย้ายเข้ามาภายใน ทำให้การทดสอบทั้งสองประเภทควบคู่กันมีคุณค่ามากกว่าการทดสอบเพียงประเภทเดียว

เครื่องมือสแกนช่องโหว่ไม่ได้สมบูรณ์แบบ ผลบวกลวง คือกรณีที่เครื่องมือสแกนรายงานว่ามีช่องโหว่ทั้งที่ไม่มีอยู่จริง อาจเกิดจากหมายเลขรุ่นดูเหมือนมีช่องโหว่ แต่แพตช์ได้รับการปรับปรุงย้อนกลับไปยังรุ่นนั้นแล้ว ผลบวกลวงทำให้สิ้นเปลืองทรัพยากรในการดำเนินการ Remediation และลดความน่าเชื่อถือของผลลัพธ์จากเครื่องมือสแกน ผลลบลวง คือกรณีที่มีช่องโหว่จริงแต่เครื่องมือสแกนตรวจไม่พบ เช่น ช่องโหว่นั้นต้องยืนยันตัวตนแต่การสแกนไม่ได้ยืนยันตัวตน หรือช่องโหว่นั้นเพิ่งค้นพบและยังไม่มีอยู่ในฐานข้อมูล การสแกนแบบมี Credentials ช่วยลดทั้งผลบวกลวงและผลลบลวงได้อย่างมากเมื่อเทียบกับการสแกนที่ไม่มีการยืนยันตัวตน

โปรแกรม Security สมัยใหม่ถือว่าการจัดการช่องโหว่เป็นกระบวนการต่อเนื่อง ไม่ใช่เหตุการณ์ที่เกิดขึ้นเป็นครั้งคราว การสแกนอย่างต่อเนื่อง จะค้นพบช่องโหว่ใหม่ทันทีที่เกิดขึ้น (รวมถึงเมื่อมีการเผยแพร่ CVE ใหม่) แทนที่จะรอรอบเวลาการสแกนตาม Schedule ถัดไป วงจรการจัดการช่องโหว่ประกอบด้วย การค้นหา การจัดลำดับความสำคัญ (ตามคะแนน CVSS และบริบททางธุรกิจ) การดำเนินการ Remediation (ติดตั้งแพตช์ ปรับ Config หรือยอมรับความเสี่ยง) การตรวจสอบ (สแกนซ้ำเพื่อยืนยันการ Fix) และการจัดทำรายงาน การผสานรวม การจัดการแพตช์ ทำให้ช่องโหว่ที่ค้นพบส่งผลให้เกิดเวิร์กโฟลว์การติดตั้งแพตช์อัตโนมัติ SLA กำหนดว่าต้องดำเนินการ Remediation ช่องโหว่ที่มีระดับความรุนแรงต่างกันภายในเวลาเท่าใด (เช่น Critical: 24 ชั่วโมง และ High: 7 วัน)

การทดสอบเจาะระบบสิ้นสุดด้วยรายงานฉบับสมบูรณ์ ซึ่งเป็นสิ่งที่ต้องส่งมอบหลัก โดยทั่วไปจะประกอบด้วย บทสรุปสำหรับผู้บริหารสำหรับผู้บริหารที่ไม่ใช่สาย Technical (การประเมิน RISK โดยรวม ผลกระทบทางธุรกิจ และ Findings สำคัญ) ส่วน Findings ทาง Technical (Description ช่องโหว่โดยละเอียด ภาพหน้าจอที่เป็น Evidence และขั้นตอนการทำซ้ำ) และ แผนงาน Remediation พร้อมคำแนะนำที่จัดลำดับความสำคัญแล้ว โดยทั่วไป Findings จะได้รับการจัดระดับ RISK (Critical/High/Medium/Low) โดยใช้คะแนน CVSS ร่วมกับบริบททางธุรกิจ รายงานการทดสอบเจาะระบบที่ดีช่วยให้ลูกค้าทำซ้ำและตรวจสอบ Findings ทุกข้อได้ รวมทั้งเข้าใจอย่างชัดเจนว่าต้องดำเนินการ Remediation ใดบ้าง

โปรแกรม Bug Bounty จ่ายค่าตอบแทนให้ผู้วิจัยด้านความปลอดภัยภายนอกเพื่อค้นหาและเปิดเผยช่องโหว่ในระบบขององค์กรอย่างมีความรับผิดชอบ แพลตฟอร์มอย่าง HackerOne, บักคราวด์ และอินทิกริตี เชื่อมโยงองค์กรกับผู้วิจัยด้านความปลอดภัยหลายพันคนทั่วโลก Bug Bounty ให้การทดสอบจากภายนอกอย่างต่อเนื่องและในวงกว้าง โดยจ่ายเงินเฉพาะ Findings ที่ผ่านการตรวจสอบแล้ว โปรแกรมเหล่านี้ช่วยเสริมการทดสอบเจาะระบบภายในด้วยมุมมองที่หลากหลายจากผู้วิจัย และช่วยให้มีการทดสอบอย่างต่อเนื่องระหว่างการประเมินอย่างเป็นทางการ Findings ระดับ Critical โดยทั่วไปมีค่าตอบแทน $500-50,000+ ขึ้นอยู่กับความรุนแรงและโปรแกรม องค์กรจะกำหนดขอบเขตและ Rules ในลักษณะเดียวกับ Rules of Engagement ของการทดสอบเจาะระบบ

สำหรับการสอบ Security+ ควรเข้าใจความแตกต่างสำคัญอย่างชัดเจน การสแกนช่องโหว่: ทำงานอัตโนมัติ ไม่ทำลายระบบ ครอบคลุมกว้าง ระบุช่องโหว่ที่อาจมีอยู่ ไม่ยืนยันความสามารถในการใช้ประโยชน์จากช่องโหว่ ทำบ่อยหรืออย่างต่อเนื่อง และดำเนินการโดยบุคลากรภายในองค์กร การทดสอบเจาะระบบ: ดำเนินการด้วยมือ (หรือกึ่งอัตโนมัติ) อาจรบกวนการทำงาน ครอบคลุมเชิงลึกและเจาะจง ยืนยันความสามารถในการใช้ประโยชน์จริงและผลกระทบในสถานการณ์จริง ดำเนินการเป็นระยะ (รายไตรมาสหรือรายปี) และโดยทั่วไปต้องใช้ความเชี่ยวชาญเฉพาะจากภายนอกพร้อมการอนุญาตอย่างเป็นทางการ ทั้งสองอย่างช่วยเสริมกัน การสแกนให้ความครอบคลุมกว้าง ส่วนการทดสอบเจาะระบบให้ความลึก โปรแกรม Security ที่มีวุฒิภาวะจึงใช้ทั้งสองอย่างเป็นประจำ

ทดสอบความเข้าใจแนวคิดของ CompTIA Security+ (SY0-701) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า การสแกนช่องโหว่ ทำงานอัตโนมัติ ทำเป็นประจำ และไม่รบกวนระบบ โดยระบุช่องโหว่ที่อาจมีอยู่โดยไม่ใช้ประโยชน์จากช่องโหว่ ขณะที่ การทดสอบเจาะระบบ ดำเนินการด้วยมือ มุ่งเป้าหมาย และใช้ประโยชน์จากช่องโหว่อย่างจริงจังเพื่อพิสูจน์ผลกระทบและเส้นทางการโจมตีที่เกิดขึ้นจริง ทั้งสองแบบต้องได้รับการอนุญาตอย่างเหมาะสมผ่านเอกสาร Rules of Engagement และ การสแกนแบบมี Credentials ช่วยลดผลบวกลวงและผลลบลวงได้อย่างมากเมื่อเทียบกับการสแกนที่ไม่ได้ยืนยันตัวตน บทถัดไป เราจะสำรวจเครื่องมือสแกนทั่วไป ได้แก่ Nessus, OpenVAS และ Nmap