Cybersecurity

วันพุธที่ผ่านมา Google ได้ประกาศเปิดตัว Cloud Key Management Service เวอร์ชันเบต้า เพื่อช่วยให้ลูกค้าของ Google Cloud Platform สามารถบริหารจัดการกุญแจที่ใช้เข้ารหัสข้อมูลได้ง่ายยิ่งขึ้น

แต่อาจเป็นปัญหาด้านความมั่นคงปลอดภัย ทีมนักวิจัยจาก National Institute of Informatics (NII) ประกาศการค้นพบวิธีดึงลายนิ้วมือออกจากรูปภาพที่ถ่ายจากระยะไกลได้มากถึง 3 เมตร ซึ่งการค้นพบนี้อาจส่งผลกระบทบต่อการพิสูจน์ตัวตนแบบ Biomatrics ซึ่งนิยมใช้ลายนิ้วมือในการยืนยันตัวตนในปัจจุบัน

Microsoft ออกแพทช์อัปเดตระบบปฏิบัติการ Windows ประจำเดือนมกราคม 2017 ประกอบด้วย 4 Security Bulletins สำหรับอุดช่องโหว่รวม 4 รายการ ซึ่ง 2 Bulletins พบบน MS Office และ Adobe Flash Player มีความรุนแรงระดับ Critical และอีก 2 Bulletins พบบน Edge และ Local Security Authority Subsystem Service มีความรุนแรงระดับ Important

ปี 2016 ที่ผ่านมาจะเห็นว่ามีภัยคุกคามแบบใหม่ๆ เกิดขึ้นมากมาย ส่งผลให้ตลาดด้าน Security เติบโตอย่างรวดเร็ว ทาง Gartner คาดการณ์ว่าตลาด Cybersecurity จะพุ่งทะลุ 3.5 ล้านล้านบาทในปี 2019 ถึงแม้ว่าแต่ละ Vendor จะออกโซลูชันด้าน Security ที่มีฟีเจอร์มาให้เลือกใช้มากมาย แต่สิ่งที่ลูกค้าต้องการจริงๆ ยังคงเป็นประเด็น 3 ข้อพื้นฐาน คือ

หลังจากที่ WordPress 4.7 ได้มีการโหลดใช้งานไปแล้วเกินกว่า 10 ล้านครั้ง ทางทีมงาน WordPress ก็ได้ทำการประกาศเปิดตัว WordPress 4.7.1 เพื่ออุดช่องโหว่สำคัญ 8 ประการ รวมถึงแก้ปัญหาเรื่อง PHPMailer ด้วยเช่นกัน

ในยุค Digital Economy นี้ หลายองค์กรมีการนำเทคโนโลยีเข้ามาสนับสนุนธุรกิจของตนมากขึ้น หนึ่งในการเปลี่ยนแปลงที่เห็นชัดที่สุดคือการให้บริการลูกค้าออนไลน์ ซึ่งส่วนใหญ่มักกระทำผ่านเว็บแอพพลิเคชัน เช่น การชำระค่าบริการออนไลน์ การซื้อของออนไลน์ หรือการให้บริการ Content ออนไลน์ เป็นต้น กล่าวได้ว่า เว็บแอพพลิเคชันกลายเป็นหน้าบ้านอันแสนสำคัญสำหรับองค์กร

สุดสัปดาห์ที่ผ่านมา ข้อมูลส่วนบุคคลของผู้ใช้กว่า 3.3 ล้านคนจากฐานข้อมูลของ Sanrio เจ้าของลิขสิทธิ์ Hello Kitty รั่วไหลสู่สาธารณะ คาดสาเหตุมาจากปัญหาการตั้งค่าไม่มั่นคงปลอดภัยขณะติดตั้ง MongoDB ที่ค้นพบโดย Chris Vickery

Viljami Kuosmanen นักพัฒนาเว็บชาวฟินแลนด์ ออกมาแจ้งเตือนถึงการนำโปรไฟล์ Autofill บนเบราเซอร์ที่ช่วยกรอกข้อมูลโดยอัตโนมัติ ไปใช้โจมตีแบบ Phishing เพื่อหลอกขโมยข้อมูลส่วนบุคคลโดยที่ผู้ใช้ไม่รู้ตัวได้

สำหรับผู้เริ่มต้นที่ต้องการศึกษาการใช้ Kali Linux ในการทดสอบเจาะระบบและเรียนรู้การใช้เครื่องมือต่างๆ สามารถลงคอร์ส Kali Linux Hacking Lab for Beginners บน Udemy ได้ฟรี ช่วงนี้เท่านั้น

ในช่วงเวลาหลายปีที่ผ่านมาปฏิเสธไม่ได้ว่าระบบ SIEM (Security Information and Event Management) เป็นระบบที่อยู่คู่กับศูนย์เฝ้าระวังด้านความมั่นคงปลอดภัย (Security Operation Center) นั้น เป็นเทคโนโลยีที่สำคัญที่ทุกองค์กรต้องมี แต่เนื่องด้วยภัยคุกคามไซเบอร์และอุปกรณ์ทางด้านฮาร์ดแวร์/ซอฟต์แวร์นั้นได้เปลี่ยนแปลงรูปแบบไปมากในปัจจุบัน จึงทำให้ระบบ SIEM ที่เคยมีประสิทธิภาพสูง ไม่สามารถตรวจจับภัยคุกคามที่ถูกปรับปรุงให้มีรูปแบบใหม่ๆ และมีความซับซ้อนมากขึ้นได้

ในยุค Digital Economy ที่ Public Cloud กลายเป็นตัวเลือกอันดับต้นๆ ของการนำเทคโนโลยีเข้าสนับสนุนธุรกิจขององค์กร ด้วยคุณสมบัติการขยายระบบได้อย่างอิสระ CapEx ที่ต่ำ สามารถเชื่อมต่อจากที่ไหนก็ได้ในโลก และส่งมอบบริการให้แก่ลูกค้าได้อย่างรวดเร็ว ทำให้องค์กรขนาดใหญ่หันมาใช้บริการของ Public Cloud กันมากขึ้น

การทำ Compliance นั้นได้กลายเป็นหนึ่งในสิ่งที่จำเป็นต่อธุรกิจขนาดใหญ่ในประเทศไทยในหลากหลายอุตสาหกรรม ทั้งในมุมของการตอบโจทย์ความต้องการทางธุรกิจที่ต้องการยกมาตรฐานภายในองค์กรเพื่อให้คู่ค้าและลูกค้าเกิดความเชื่อมั่น รวมถึงการนำ Compliance ต่างๆ มาใช้เป็นทิศทางในการควบคุมกระบวนการการทำงาน แต่ก็เป็นที่รู้กันดีว่าที่ผ่านมาการทำ Compliance นั้นมักจะเป็นงานหนักขององค์กรเสมอ ในบทความนี้จึงมุ่งเน้นนำเสนอการนำเทคโนโลยี Big Data Analytics มาช่วยในการทำ Compliance ตามมาตรฐานต่างๆ ได้อย่างง่ายดายและปลอดภัยตามแนวทางดังต่อไปนี้

หลังจากการมาของ BYOD ที่ผู้ใช้งานต่างพกพาอุปกรณ์ Mobile มาใช้เพื่อการทำงาน ต่อจากนี้ไปองค์กรเองก็จะต้องเริ่มรับมือกับการมาของอุปกรณ์ Internet of Things (IoT) จำนวนมหาศาลที่กำลังจะเกิดขึ้นภายในระบบเครือข่ายขององค์กร และแน่นอนว่าความปลอดภัยนั้นก็เป็นประเด็นที่สำคัญเป็นอย่างมาก หลังจากในปี 2016 ที่ผ่านมานั้นมีข่าวการโจมตีทั้งอุปกรณ์ Mobile และ IoT ขนาดใหญ่ และลุกลามไปถึงการเกิดเหตุการณ์ DDoS ครั้งใหญ่ที่สุดในประวัติศาสตร์ขึ้นมา

Security Awareness Training เป็นสิ่งสำคัญสำหรับทุกองค์กรในการปูพื้นฐานความและสร้างความตระหนักด้าน Cyber Security ให้แก่พนักงาน อย่างไรก็ตาม หลายองค์กรอาจประสบปัญหาการอบรมไม่มีประสิทธิผล ไม่ว่าจะเป็น เกิดความรู้สึกเบื่อหน่าย ไม่มีส่วนร่วมในการอบรม หรือเลวร้ายที่สุดคือไม่สนใจฟัง ทางเว็บ CSO Online จึงได้ออกคำแนะนำ 7 ประการเพื่อให้ Security Awareness Training มีความน่าสนใจและได้ประสิทธิภาพมากยิ่งขึ้น

FBI เคยให้คำแนะนำว่า เหยื่อควรจ่ายค่าไถ่ถ้าต้องการได้ไฟล์กลับคืนมา ถ้าไม่ได้สำรองข้อมูลไว้ … อย่างไรก็ตาม ไม่ได้สิ่งใดการันตีว่าถ้าจ่ายค่าไถ่ไปแล้ว แฮ็คเกอร์จะปลดรหัสไฟล์ให้จริง สิ่งยืนยันมีเพียงความเชื่อใจระหว่างเหยื่อกับแฮ็คเกอร์เท่านั้น … ซึ่งใช้ไม่ได้ผลกับ KillDisk Ranswomare

MalwareHunterTeam ออกมาเปิดถึง Ransomware ตัวใหม่ ชื่อว่า FireCrypt ซึ่งนอกจากจะเข้ารหัสไฟล์ข้อมูลของเหยื่อแล้ว ยังพยายามโจมตีแบบ DDoS ไปยังเป้าหมาย URL ที่ได้ Hardcode ไว้ในซอร์สโค้ดอีกด้วย

เรื่องแปลกๆ มักเกิดขึ้นในวงการ IT อยู่เสมอ และในครั้งนี้เองก็เป็นคราวของชายหนุ่มคนหนึ่งจาก Florida ที่ได้ฟ้อง Verizon Wireless เรียกร้องค่าเสียหายถึง 72 ล้านเหรียญหรือราวๆ 2,500 ล้านบาท ฐาน Verizon เป็นต้นเหตุให้เขาสามารถปลอมแปลงเป็นผู้อื่นได้

เมื่อบ่ายวันอังคารที่ผ่านมา (ตามเวลาท้องถิ่น) แฮ็คเกอร์นาม “Kuroi’SH” ได้แฮ็คโดเมนของ Google ประเทศบราซิล พร้อมเปลี่ยนหน้าเว็บไซต์ใหม่ ด้านแฮ็คเกอร์ระบุ ต้องการโชว์ให้โลกเห็นว่าไม่มีสิ่งใดที่มั่นคงปลอดภัย 100%

Hacker ผู้ที่ใช้ชื่อใน Twitter ว่า CyberZeist ได้อ้างว่าตนเองสามารถแฮ็คเว็บไซต์ของ FBI ที่ fbi.gov ได้สำเร็จ และนำข้อมูลของเจ้าหน้าที่ FBI 155 คนมาเปิดเผย พร้อมเล่าถึงเทคโนโลยีที่ใช้ภายในระบบเว็บไซต์ของ FBI ด้วย

Victor Gevers ผู้ร่วมก่อตั้งของ GDI Foundation ได้ออกมาเปิดเผยถึงกรณีการที่มีผู้ร้ายชื่อ Harak1r1 ได้ทำการโจมตี MongoDB ที่ไม่ได้ถูกตั้งค่าให้ทำงานอย่างปลอดภัยบน Internet ก่อนจะทำการสับเปลี่ยนข้อมูลภายใน MongoDB และเรียกค่าไถ่เจ้าของฐานข้อมูลนั้น