Vulnerability and Risk Management

บทความนี้เป็นสรุปบทสัมภาษณ์พิเศษจากผู้เชี่ยวชาญด้าน Security และด้านบริหาร 3 ท่านภายในงานสัมมนา Black Hat Asia 2016 ที่เพิ่งจบลงไปเมื่อวานนี้ ได้แก่ Freddy Tan, Business Development Director จาก Singtel / (ISC)2 Russell Bunker, Director – Asia Pacific จาก Barclay Simpson Meng-chow Kang, PhD, CISSP, CISA, Director of Information Security จาก Cisco / Board Director จาก (ISC)2 ในหัวข้อเรื่อง “Advancing Your Career as a Security Pro” ซึ่งเนื้อหาจะประกอบไปด้วยแนวโน้มทิศทางการทำงานด้าน Cyber Security ความสำคัญของ Certificate และการปรับแต่ง Resume …

Westcon Solutions บริษัทที่ปรึกษาด้านเน็ตเวิร์คและความมั่นคงปลอดภัย จัดงานสัมมนา Westcon Connect 2016 ภายใต้หัวข้อ “คุณตามทันหรือไม่กับการเปลี่ยนแปลงยุคดิจิทัล” เมื่อกลางเดือนมีนาคมที่ผ่านมา ซึ่งภายในงานมีการอัพเดทผลิตภัณฑ์และโซลูชันด้านระบบเครือข่ายและความมั่นคงปลอดภัยมากมาย รวมถึงมีการเสวนากลุ่มย่อยเรื่อง “ความมั่นคงปลอดภัยในยุค Internet of Things” สำหรับผู้ที่ไม่ได้ไปร่วมงาน หรือต้องการอัพเดทเทคโนโลยีใหม่ๆ สามารถอ่านบทความสรุปด้านล่างได้เลย

พอดีหนึ่งในทีมงาน TechTalkThai ได้มีโอกาสไปเข้าคอร์สอบรม Advanced Pentration Tester ของทาง ACIS Professional บริษัทที่ปรึกษาและศูนย์อบรมชื่อดังด้าน Security ของประเทศไทย เลยถือโอกาสเขียนรีวิวการเรียนการสอน เผื่อใครสนใจทางด้าน Ethical Hacking หรือต้องการมาสายทำ Penetration Testing และกำลังหาคอร์สอบรมภาษาไทยลงเรียนอยู่ จะได้เห็นภาพชัดๆ ขึ้นครับว่า คอร์ส Pen Test เหล่านี้เรียนอะไรกันบ้าง คุ้มค่าที่ลงเรียนไหม และจบคอร์สแล้วจะแฮ็ค เอ้ย ตรวจสอบช่องโหว่ของระบบเป็นไหม

Palo Alto Networks ได้ออกมาเปิดเผยถึง Malware ที่มีชื่อว่า AceDeceiver ซึ่งอาศัยช่องโหว่ในระบบ DRM ของ Apple โดยตรงในการโจมตี และถือว่าร้ายแรงกว่า Malware ก่อนหน้านี้ที่ใช้ Enterprise Certificate เป็นอย่างมาก อีกทั้งยังสามารถแพร่กระจายไปยัง Apple iOS Device ที่ไม่ได้มีการทำ Jailbreak ได้โดยไม่ต้องขออนุญาตผู้ใช้งานในการเปิด Permission หรือติดตั้งอะไรเลย

Git ระบบควบคุม Source Code สำหรับการพัฒนา Software ต่างๆ ได้ถูกพบช่องโหว่ร้ายแรงทางด้านความปลอดภัยด้วยกันถึง 2 จุดบน Git pre-2.7.1 ทั้งหมด ซึ่งรวมถึง 1.9 และ 1.7 ที่ใช้กันมายาวนาน โดยช่องโหว่นี้เปิดให้ผู้โจมตีสามารถโจมตีผ่านการ Push Repo ที่มีชื่อไฟล์ความยาวเกินกว่าที่กำหนด หรือรอให้ผู้ใช้งานทำงาน Pull Repo นี้ลงไป เพียงเท่านี้ก็สามารถโจมตี Git Server และ Git Client ได้แล้ว

สำหรับผู้ที่ใช้งาน VMware vRealize อยู่ วันนี้ทาง VMware ได้ออกมาประกาศออก Patch อุดช่องโหว่ Cross Site Scripting บนผลิตภัณฑ์ดังต่อไปนี้

หลังจากที่ปลายเดือนกุมภาพันธ์ที่ผ่านมา ได้มีการเปิดเผยถึงการโจมตี SSLv2 ด้วยการโจมตีที่มีชื่อเรียกว่า DROWN ทาง Juniper Networks ก็ได้เริ่มลงมือทำการตรวจสอบผลิตภัณฑ์ต่างๆ ของตน และเริ่มทะยอยเปิดวิธีป้องกันให้กับอุปกรณ์ต่างๆ ของตนในกลุ่มผลิตภัณฑ์ดังต่อไปนี้

ในรอบ Patch ล่าสุด Google ได้ออก Patch มาด้วยกันถึง 16 ชุด โดยหนึ่งในนั้นเป็นช่องโหว่ Remote Code Execution ที่เปิดให้ผู้โจมตีทำการเข้าควบคุม Android ของผู้ใช้งานได้ผ่านระบบ mediaserver บน Android

Information Security Forum (ISF) เป็นหน่วยงานอิสระ ไม่แสวงผลกำไรที่รวมกว่า 500 สมาชิกจากหลากหลายประเทศทั่วโลก โดยมีจุดประสงค์เพื่อพัฒนามาตรฐาน คู่มือแนะนำ และ Best Practices เชิงเทคนิคทางด้านความมั่นคงปลอดภัยของข้อมูล ออกรายงาน Threat Horizon 2017 ซึ่งเป็นสรุปแนวโน้ม 9 อันดับภัยคุกคามในปี 2017 ภายใต้ธีม “Danger Accelerate”

Rapid7 เป็นซอฟต์แวร์ด้านความมั่นคงปลอดภัยและวิเคราะห์ข้อมูลทางด้าน IT ถูกออกแบบมาเพื่อช่วยลดความเสี่ยงในการถูกเจาะระบบ ช่วยตรวจจับและรับมือการภัยคุกคาม และช่วยให้ฝ่าย IT ทำงานด้านความมั่นคงปลอดภัยได้อย่างเป็นระบบ เหล่านี้เพื่อเสริมความแข็งแกร่งให้แก่ระบบความมั่นคงปลอดภัยขององค์กรให้พร้อมรับมือการภัยคุกคามระดับสูงในยุคปัจจุบัน

Drupal ระบบ Content Management System (CMS) ที่ได้รับความนิยมเป็นอันดับ 2 ของโลก ได้ออก Critical Patch มาสำหรับ Drupal Core ซึ่งรองรับทั้งรุ่น 6.x, 7.x และ 8.x โดยอุดช่องโหว่ไปทั้งสิ้น 10 ช่องโหว่ โดยในช่องโหว่เหล่านี้มีช่องโหว่ที่ร้ายแรงด้วยกันถึง 5 ช่องโหว่เลยทีเดียว โดยรายการช่องโหว่ทั้งหมดมีดังต่อไปนี้

Palo Alto Networks ได้ออกมาเปิดเผยถึงช่องโหว่ 4 รายการ ซึ่งรวมถึงช่องโหว่ Remote Code Execution และ DDOS ในนั้นด้วย โดยระบบของ Palo Alto Networks ที่ถูกพบช่องโหว่พร้อมออก Patch มาให้อัพเดตกันอย่างเร่งด่วนมีดังนี้

นักวิจัยด้านความปลอดภัยจาก Google และ Red Hat ได้ตรวจพบบั๊ก Stack Buffer Overflow ใน GNU C Library (glibc) ที่ใช้ใน DNS Resolver บน Linux ซึ่งผู้โจมตีสามารถใช้ช่องโหว่ในส่วนนี้เพื่อเข้าควบคุมระบบ Linux ของผู้ใช้งานได้

VMware ได้ออก Patch ซ้ำสำหรับ vCenter เพื่อแก้ปัญหาที่เคยแก้ไปแล้วในเดือนตุลาคม 2015 ที่ผ่านมาอีกครั้ง หลังพบว่าการแก้ไขปัญหาครั้งนั้นยังคงมีช่องโหว่อยู่

12 กุมภาพันธ์ 2559 – กรุงเทพฯ – สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ ( องค์การมหาชน ) ( สพธอ. ) หรือ ETDA ( เอ็ตด้า ) กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร ดำเนินการโครงการ ThaiCERT GMS เพื่อสร้างความพร้อมการรับมือและป้องกันการโจมตีทางไซเบอร์ให้หน่วยงานสำคัญของประเทศ ตั้งเป้าติดตั้งอุปกรณ์เฝ้าระวังเพิ่มอีก 80 หน่วยงาน ครอบคลุม 240 เว็บไซต์ภายในปีนี้

SAP ได้ออก Patch รายเดือนกุมภาพันธ์ 2016 โดยอุดช่องโหว่รวมทั้งสิ้น 23 ช่องโหว่ โดยมี 13 ช่องโหว่ที่มีความอันตรายระดับสูง และแนะนำให้ผู้ใช้งาน Patch ทันทีเพื่อลดมีความเสี่ยงที่จะเกิดอันตรายขึ้นกับระบบ SAP ที่ใช้งานอยู่

Cisco ประกาศออก Patch อุดช่องโหว่ร้ายแรงสำหรับ Adaptive Security Appliance (ASA) ที่ผู้โจมตีสามารถทำ Remote Code Execution (RCE) จากการอาศัยช่องโหว่บน Internet Key Exchange (IKE) จนอุปกรณ์เกิด Heap Buffer Overflow ได้บนทั้งการใช้งานแบบ IPv4 และ IPv6 นั่นเอง

Microsoft ได้ประกาศออก Patch ของเดือนกุมภาพันธ์ 2016 โดยภายใน Patch รอบนี้มีด้วยกันทั้งสิ้น 13 ช่องโหว่ และ 6 ช่องโหว่ในนั้นเป็นช่องโหว่รายแรงที่เปิดให้ทำ Remote Code Execution (RCE) ได้ โดยมีรายละเอียดดังนี้

หลังจากที่ช่องโหว่ Hardcoded Password และช่องโหว่ VPN อาจถูกถอดรหัสได้ของ Juniper ScreenOS ที่ทำงานอยู่บน Juniper Netscreen ระบบ Firewall ที่เป็นที่แพร่หลายของ Juniper Networks มาก่อนได้ถูกเปิดเผยออกมา จน Juniper เองก็ได้ทำการอุดช่องโหว่เหล่านั้นและออก Patch มาให้ใช้งานกันแล้ว คราวนี้หน่วยงานรัฐของสหรัฐอเมริกาเองก็กำลังวุ่นอยู่กับประเด็นที่ว่า ปัจจุบันมีหน่วยงานรัฐแห่งไหนใช้งานระบบที่เคยมีช่องโหว่นี้บ้าง และเคยเกิดความเสียหายจากการถูกโจมตีด้วยช่องโหว่เหล่านี้หรือไม่

เต็มที่กับสูตรใช้งาน Kali Linux ในรูปแบบต่างๆ ตำรา Kali Linux Cookbook ฉบับนี้ครอบคลุมตั้งแต่การติดตั้ง Kali Linux และการตั้งค่า Virtual Environment สำหรับทดสอบเจาะระบบ รวมไปถึงสอนวิธีการแอบฟังและดักจับทราฟฟิคบนระบบเครือข่ายไร้สาย ทำบายพาสระบบ IDS และทดลองโจมตีเว็บแอพพลิเคชัน นอกจากนี้ยังสอนการสแกนพอร์ท การทำ Data Forensics และอื่นๆอีกมากมาย