Web Security

Web Application Firewall, Web Filtering, URL Filtering

เจาะลึก Snoc กับบริการ Cloud สำหรับป้องกัน DDoS โดยเฉพาะ ที่ทุกองค์กรควรให้ความสนใจ

เมื่อเว็บไซต์ได้กลายเป็นช่องทางหลักในการติดต่อลูกค้าสำหรับหลายๆ ธุรกิจองค์กร จนสามารถสร้างรายได้, เพิ่มยอดขาย หรือสร้างภาพลักษณ์ต่างๆ ได้อย่างมากมาย ความสำคัญของเว็บไซต์จึงได้ถูกยกระดับขึ้นมาเป็นอย่างมากในช่วงหลายปีที่ผ่านมา

Read More »

ไทยติด 1 ใน 5 ประเทศแหล่งกำเนิด DDoS Attack

รายงานภัยคุกคามแบบ DDoS ประจำไตรมาสที่ 2 ปี 2015 โดย Incapsula* ผู้ให้บริการโซลูชันการป้องกันการโจมตีแบบ DDoS ชั้นนำของโลก ระบุ ประเทศไทยติดอันดับ 1 ใน 5 ประเทศที่เป็นต้นกำเนิดของการโจมตีแบบ DDoS ทั่วโลก โดยตามหลังประเทศจีน เวียดนาม สหรัฐอเมริกา และบราซิล * Incapsula เป็นบริษัทในเครือของ Imperva ผู้ให้บริการระบบรักษาความปลอดภัยของเว็บไซต์, ฐานข้อมูล และระบบไฟล์

Read More »

พบช่องโหว่บน Whitelist ของ NoScript เสี่ยงถูกรัน Malicious Code โดยไม่รู้ตัว

Linus Sarud และ Matthew Bryant นักวิจัยด้านความปลอดภัยได้ค้นพบช่องโหว่ใหญ่บน NoScript ปลั๊กอินยอดนิยมบน Firefox ที่ป้องกันไม่ให้เว็บเบราเซอร์รันโค้ดหรือสคริปต์ต่างๆ เช่น JavaScript, Java, Flash รวมทั้งป้องกันไม่ให้เว็บเบราเซอร์ดาวน์โหลดปลั๊กอินอื่นมาติดตั้งนอกจากปลั๊กอินที่ถูกระบุว่าเชื่อถือได้ พบช่องโหว่บน Whitelist ของ NoScript Bryant พบช่องโหว่บน Whitelist ของ NoScript ที่ระบุเว็บไซต์ที่อนุญาตให้รันสคริปต์บนเว็บเบราเซอร์ได้ ซึ่ง Whitelist ดังกล่าวจะยินยอมให้ Subdomain ของเว็บไซต์นั้นๆรันสคริปต์ได้ด้วยเช่นกัน หลังจากตรวจสอบโดเมนที่เชื่อถือได้แล้ว Bryant พบว่า หนึ่งในนั้น คือ โดเมน zendcdn.net หมดอายุไปนานแล้ว Bryant จึงซื้อชื่อโดเมนนี้ในราถาเพียง $11 หรือประมาณ 340 บาท แล้วสร้าง Subdomain เพื่อแอบใส่โค้ด JavaScript ลงไป จากนั้นทดลองรันเว็บเบราเซอร์ พบว่า NoScript ปล่อยให้สคริปต์นั้นรันโดยที่ไม่ได้บล็อคหรือแจ้งเตือนใดๆ จุดนี้เอง ทำให้เสี่ยงต่อการถูกแฮ็คเกอร์แอบใส่โค้ดแปลกปลอมเพื่อรันบนเว็บเบราเซอร์ของผู้ใช้งานทั่วไปโดยไม่รู้ตัวได้ สามารถฝังสคริปต์ผ่านทาง Google Cloud Storage Sarud …

Read More »

Cisco ออกแพทช์อุดช่องโหว่ Default SSH Keys

Cisco ผู้ให้บริการโซลูชันระบบเครือข่ายครบวงจร ได้ประกาศอัพเดท Security Patch ใหม่เพื่ออุดช่องโหว่ร้ายแรง 2 รายการที่ปรากฏบนโซลูชัน Virtualization ประกอบด้วย Web Security Virtual Appliance (WSAv), Email Security Virtual Appliance (ESAv) และ Content Security Virtual Appliance (SMAv)

Read More »

Kaspersky Lab จดสิทธิบัตรเทคโนโลยี Light Agent สำหรับปกป้อง Virtual Machine

Kaspersky Lab ผู้ให้บริการโซลูชันด้านความปลอดภัยชั้นนำของโลก ได้ประกาศจดสิทธิบัตรสถาปัตยกรรมด้านความปลอดภัยสำหรับ Virtual Machine (VM) โดยเฉพาะ เรียกว่าเทคโนโลยี Light Agent ซึ่งช่วยป้องกันภัยคุกคามบนโลกไซเบอร์ได้หลากหลายรูปแบบ และมีจุดเด่นที่สำคัญ คือ ส่งผลกระทบต่อประสิทธิภาพของเครื่องน้อยมากเสมือนไม่มี Agent ติดตั้งอยู่เลย

Read More »

ผลทดสอบ Proxy ฟรี เกือบ 80% ไม่รองรับ HTTPS

หลายบริษัทอาจมีความจำเป็นต้องใช้งาน Web Proxy ด้วยเหตุผลต่างๆ ซึ่งปัจจุบันนี้ก็มี Proxy ฟรีให้เลือกใช้บริการมากมาย Christian Haschek นักพัฒนาชาวเวียนนาได้ทำการทดสอบบริการ Proxy ฟรีทั่วโลก พบว่า Proxy ฟรีเหล่านั้นไม่ได้ปลอดภัยทั้งหมด บางอันมีการแอบแฝงโฆษณา และที่สำคัญคือ คือ เกือบ 80% ไม่รองรับโปรโตคอล HTTPS ที่เริ่มใช้งานแพร่หลายกันในขณะนี้

Read More »

Let’s Encrypt: โปรเจ็คท์ SSL/TLS Certificate เตรียมให้บริการฟรี

Let’s Encrypt เป็นโปรเจ็คท์ที่ก่อตั้งโดยบริษัทด้านเทคโนโลยียักษ์ใหญ่หลายเจ้า ได้แก่ Electronic Frontier Foundation (EFF), Mozilla, Cisco, Akamai, IdenTrust และทีมนักวิจัยจากมหาวิทยาลัยมิชิแกน โดยมีจุดประสงค์เพื่อออก SSL/TLS Certificate ให้ทุกคนใช้งานได้ฟรี เพื่อสนับสนุนการเข้ารหัสข้อมูลของเว็บไซต์

Read More »

รู้จักกับ 3 สิ่ง ที่จะรับมือการโจมตีระบบไอทีในยุคออนไลน์

ด้วยการเติบโตอย่างก้าวกระโดดของการนำเทคโนโลยีสารสนเทศหรือ IT มาใช้ในการดำเนินธุรกิจในปัจจุบัน ไม่ว่าจะเป็นระบบ ERP, CRM, Email, Database หรืออื่นๆ อีกมากมาย ก็ทำให้ระบบ IT ขององค์กรตกเป็นเป้าประสงค์ร้ายมากขึ้นเรื่อยๆ จนแนวโน้มของการโจมตีระบบเครือข่ายองค์กรนั้นมีการเติบโตขึ้นอย่างรวดเร็วในช่วงปีที่ผ่านมา ทั้งการโจมตีแบบ Targeted Attack ที่ใช้เทคนิคสลับซับซ้อนในการโจมตีระบบเครือข่ายจนประสบผลสำเร็จ หรือการแพร่ระบาดของ Ransomware ที่สร้างความปวดหัวให้กับผู้ดูแลระบบในครึ่งปีที่ผ่านมานี้

Read More »

OpenSSL แพทช์ใหม่ อุดช่องโหว่ Logjam

OpenSSL Project ได้ประกาศออกแพทช์อัพเดท Library ที่เกี่ยวของกับการเข้ารหัสข้อมูล (Open-source Cryptographic Library) เพื่ออุดช่องโหว่ที่ค้นพบในตลอดช่วงเวลาที่ผ่านมา หนึ่งในนั้นคือ LogJam (CVE 2015-4000) ซ่องโหว่ที่ช่วยให้ผู้ไม่ประสงค์ดีสามารถโจมตีแบบ Man-in-the-Middle โดยการแอบดักฟังและแก้ไขข้อมูลที่เข้ารหัสระหว่างเครื่องคอมพิวเตอร์ได้ “LogJam เป็นช่องโหว่บนโปรโตคอล TLS ที่ช่วยให้แฮ็คเกอร์สามารถโจมตีแบบ Man-in-the-Middle ได้ ด้วยการดาวน์เกรดการเชื่อมต่อ TLS ที่ใช้อัลกอริธึมสำหรับแลกเปลี่ยนกุญแจเข้ารหัสแบบ Diffie-Hellman ให้กลายเป็นการเข้ารหัสแบบ 512-bit Export-grade” — OpenSSL Project อธิบายใน Advisory เมื่อวันพฤหัสบดีที่ผ่านมา อ่านรายละเอียดช่องโหว่ Logjam ได้ที่นี่ OpenSSL ได้ทำการเสริมการป้องกันให้แก่ TLS Client ด้วยการบังคับให้ปฏิเสธการทำ Handshake ด้วยการเข้ารหัสแบบ Diffie-Hellman ที่มีความยาวสั้นกว่า 768 bits ซึ่งการจำกัดความยาวนี้จะถูกปรับให้เพิ่มขึ้นเป็น 1024 bits ในอนาคต เพื่อให้การเข้ารหัสมีความแข็งแรงมากยิ่งขึ้น สำหรับผู้ที่ใช้งาน OpenSSL แนะนำว่าให้อัพเกรด OpenSSL เป็นเวอร์ชัน 1.0.2b …

Read More »

WatchGuard เปิดตัว Next-Generation Firewall รุ่นใหม่ ตอบโจทย์การเข้ารหัสข้อมูลมากขึ้น

ในงาน Infosecurity Europe 2015 ที่จัดขึ้นเมื่อไม่กี่วันที่ผ่านมา WatchGuard Technologies ผู้นำทางด้าน Multi-function Firewall ได้ประกาศเปิดตัว Firewall รุ่นใหม่โดยเน้นเรื่องการประมวลผลทราฟฟิคที่เข้ารหัส (HTTPS) สำหรับธุรกิจขนาดเล็กและขนาดการ (SMB) โดยเฉพาะ ประกอบด้วย Firebox M200 และ M300

Read More »

Facebook เสริมฟีเจอร์เข้ารหัสการแจ้งเตือนผ่านอีเมลล์

Facebook กำลังอยู่ในขั้นตอนทดสอบการใช้งานฟีเจอร์ด้านความปลอดภัยใหม่ล่าสุด โดยผู้ใช้งาน Facebook สามารถระบุ OpenPGP Public Key สำหรับใช้เข้ารหัสใน Profile ของตนเอง และเลือกที่จะเข้ารหัสการแจ้งเตือน (Notification) ผ่านทางอีเมลล์ที่ส่งโดย Facebook ได้

Read More »

สรุปรายงานความปลอดภัยของระบบอินเตอร์เน็ตไตรมาสแรกปี 2015 โดย Akamai

Akamai หนึ่งในผู้ให้บริการ Cloud Services และ Content Delivery Network ขนาดใหญ่ที่สุดของโลก เปิดเผยรายงานการโจมตีระบบอินเตอร์เน็ตในไตรมาสแรกของปี 2015 พบว่าการโจมตีแบบ DDoS มีปริมาณมากขึ้นกว่าปีที่ผ่านมาถึง 2 เท่า โดยการโจมตีส่วนใหญ่นิยมใช้โปรโตคอล SSDP

Read More »

3 ปัจจัยสำคัญในการเลือกใช้ Next-Generation Firewall

Next-Generation Firewall ถือว่าเป็นหนึ่งในอุปกรณ์ที่สำคัญที่สุดในการป้องกันระบบเครือข่าย เนื่องจากมีฟีเจอร์ให้เลือกใช้มากมาย และตอบโจทย์การควบคุมการทำงานของผู้ใช้ในปัจจุบัน ซึ่ง Vendor หลายเจ้าได้ออกแบบไฟร์วอลล์ไม่เพียงแค่สำหรับการใช้งานในองค์กรขนาดใหญ่เท่านั้น แต่ยังสำหรับการใช้งานในบริษัทขนาดกลางซึ่งมีงบประมาณจำกัด Cisco ผู้ให้บริการโซลูชันด้านเครือข่ายและความปลอดภัยแบบครบวงจรได้ให้ทริคสำหรับการเลือกซื้อ Next-Generation Firewall ดังต่อไปนี้

Read More »

LogJam HTTPS-Crippling Attack ช่องโหว่ใหม่ในการเข้ารหัส

หลายหมื่นเว็บไซต์ เซิฟเวอร์อีเมลล์ และเซอร์วิสบนระบบอินเตอร์เน็ตที่ใช้ HTTPS กำลังตกเป็นเป้าหมายของแฮ็คเกอร์ เนื่องจากช่องโหว่ในการเข้ารหัสรูปแบบใหม่ เรียกว่า LogJam ช่วยให้ผู้ไม่ประสงค์ดีสามารถโจมตีแบบ Man-in-the-Middle โดยการแอบดักฟังและแก้ไขข้อมูลที่เข้ารหัสระหว่างเครื่องคอมพิวเตอร์ได้

Read More »

สไลด์งานสัมมนาการจัดทำเว็บไซต์อย่างไรให้มั่นคงปลอดภัยด้วยมาตรฐาน Website Security Standard Seminar

บริษัท ดาต้าวัน เอเชีย (ประเทศไทย) จำกัด ขอขอบคุณทุกท่านที่ให้ความสนใจเข้าร่วมงาน “การจัดทำเว็บไซต์อย่างไรให้มั่นคงปลอดภัยด้วยมาตรฐาน” Website Security Standard (WSS) เมื่อวันที่ 7 พฤษภาคม 2558 ณ สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน) ที่ผ่านมาในครั้งนี้ โดยได้รับการตอบรับจากทุกๆ ท่านที่เข้าร่วมงานสัมมนาเป็นอย่างดี

Read More »

พบบั๊ค Address Spoofing บน Safari เปิดโอกาสให้ Phishing ได้

David Leo แฮ็คเกอร์ชื่อดังได้แสดงวิธีการโจมตีช่องโหว่ Address Spoofing บนเว็บเบราเซอร์ Safari ซึ่งช่วยให้แฮ็คเกอร์สามารถหลอกเหยื่อด้วยการโจมตีแบบ Phishing ได้ โดยเหยื่อจะคิดว่าตนเองกำลังเข้าถึงเว็บไซต์ที่ต้องการอยู่ แต่ที่จริงแล้วไม่ใช่ สามารถทดสอบช่องโหว่ได้ที่นี่: http://www.deusen.co.uk/items/iwhere.9500182225526788/

Read More »

เผยข้อมูล DDoS ไตรมาสแรก พบการโจมตีขนาด 100 Gbps มากกว่า 25 ครั้ง

Arbor Networks ผู้ให้บริการโซลูชันในการป้องกัน DDoS ได้เปิดเผยผลสรุปการตรวจจับ DDoS Attack ในไตรมาสแรกของปี 2015 ค้นพบว่า มีการโจมตีขนาดใหญ่เกินกว่า 100 Gbps มากกว่า 25 ครั้งทั่วโลก และพบการโจมตีรุนแรงที่สุดสูงถึง 334 Gbps บน ISP เจ้าหนึ่งในภูมิภาคเอเชีย

Read More »

WordPress ยังคงเจอช่องโหว่ XSS อย่างต่อเนื่อง

จากที่ไม่กี่วันก่อน WordPress ได้อัพเดทแพทช์เวอร์ชัน 4.1.2 เพื่ออุดช่องโหว่ XSS ไปนั้น ในวันนี้ WordPress เวอร์ชันล่าสุด 4.2 ซึ่งเพิ่งเริ่มให้บริการเมื่อวันพฤหัสบดีที่ผ่านมา ก็ถูกค้นพบว่ามีช่องโหว่ XSS ที่เปิดโอกาสให้แฮ็คเกอร์สามารถยิง Javascript เข้ามาในช่อง Comment ของ WordPress เพื่อโจมตีเว็บไซต์ได้

Read More »

Radware เปิดตัว Hybrid Cloud WAF Service

ในงาน RSA Conference 2015 ที่ผ่านมา Radware บริษัทชั้นนำด้าน Application Delivery และ Security สำหรับระบบ Virtual และ Cloud ได้เปิดตัว Web Application Firewall แบบใหม่ ที่ตอบโจทย์ทั้งการป้องกันเว็บแอพพลิเคชันบนออฟฟิสและบนระบบคลาวด์ เรียกว่า Hybird Cloud WAF Service

Read More »

100,000 ร้านค้าออนไลน์เสี่ยงต่อการถูกโจมตีช่องโหว่บน Magento

Ars Technica เว็บไซต์ IT ชื่อดัง ระบุ มีการค้นพบช่องโหว่ร้ายแรงบน Magento ระบบบริหารจัดการเนื้อหา (Content Management System; CMS) สำหรับเว็บไซต์ E-Commerce ซึ่งอาจเสี่ยงถูกแฮ็คเกอร์โจมตีเพื่อขโมยข้อมูลลูกค้าและข้อมูลบัตรเครดิตได้

Read More »