Web Security

Arne Swinnen ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจากเบลเยี่ยม ได้รับเงินรางวัลจาก Facebook เป็นจำนวนสูงถึง $5,000 หรือประมาณ 177,000 บาท หลังค้นพบช่องโหว่ Brute Force รหัสผ่านบนหน้าล็อกอินของ Instagram จำนวน 2 รายการ โดยสาเหตุหลักเกิดจาก Password Policy และ Control ของ Facebook ไม่แข็งแกร่งเพียงพอ

Cisco ได้ออก Patch อุด 4 ช่องโหว่ทางด้าน Denial-of-Service (DoS) บนอุปกรณ์ Cisco Web Security Appliance (WSA) และอีก 1 ช่องโหว่ Cross Site Scripting ความรุนแรงปานกลางบน Cisco UCS Central Software

Magento ออก Patch อุดช่องโหว่ระดับ Critical ที่ทำให้แฮ็คเกอร์สามารถทำการ Execute โค้ด PHP บน Server ปลายทางผ่าน API ได้โดยที่ไม่จำเป็นต้องทำการยืนยันตัวตน (Remote Code Execution) โดยช่องโหว่นี้มีความรุนแรงระดับ 9.8 เต็ม 10

Google ประกาศเตรียมหยุดให้บริการโปรโตคอลสำหรับเข้ารหัสข้อมูลแบบ SSLv3 และ อัลกอริธึมการเข้ารหัสข้อมูลแบบ RC4 บน SMTP และ Gmail Server วันที่ 16 มิถุนายม 2016 ที่จะถึงนี้

TechTalkThai ขอเรียนเชิญผู้ที่สนใจทางด้าน Cyber Security เข้าร่วมฟัง TechTalk Webinar ในหัวข้อเรื่อง “มุ่งสู่ความเป็น Next-generation SOC โดย IBM Security ประเทศไทย” ในวันพุธที่ 22 มิถุนายน 2016 ผ่านทาง Live Webinar ฟรี ไม่มีค่าใช้จ่าย

Kaspersky Lab ผู้ให้บริการชั้นนำด้านระบบรักษาความปลอดภัย Endpoint ออกมาเตือนให้ระวังมิจฉาชีพบนอินเทอร์เน็ตหลอกขายตั๋วปลอม ลอตเตอรี่ลุ้นรางวัล หรือบริการต่างๆ ของการแข่งกีฬาโอลิมปิก 2016 ที่จะจัดขึ้นที่ประเทศบราซิลเดือนสิงหาคมนี้

สำหรับผู้ที่ไม่ได้เข้าฟัง TechTalk Webinar: รู้จักกับ Cyber Kill Chain การบุกรุกโจมตีไซเบอร์และวิธีรับมือโดยอาจารย์ปริญญา หอมเอนก ที่เพิ่งจัดไปเมื่อสัปดาห์ที่ผ่านมา บทความนี้ทีมงานจึงสรุปเนื้อหาจากเว็บไซต์ Dark Reading ที่อาจารย์แนะนำมาให้อ่านกันครับ ซึ่งแนวคิดของ Cyber Kill Chain นั้นง่ายมาก คือ การเจาะระบบเพื่อโจมตีส่วนใหญ่จะปฏิบัติตามลำดับขั้นตอนเป็นลูกโซ่ นั่นหมายความว่า ถ้าเราสามารถหยุดยั้งแค่ขั้นตอนใดขั้นตอนหนึ่งได้ ก็สามารถหยุดการโจมตีได้

เว็บไซต์นับว่าเป็นประตูบานแรกและบานสำคัญที่ใช้เชื่อมต่อลูกค้าเข้าด้วยกันกับองค์กร หลายองค์กรจึงตกแต่งเว็บไซต์ให้โดดเด่นและมีฟีเจอร์หลากหลาย เพื่อเป็นช่องทางในการประชาสัมพันธ์และให้บริการแก่ลูกค้า ผู้นำทางด้านธุรกิจย่อมทราบดีกว่าความเร็วในการส่งมอบข้อมูลและแสดงผลบนเว็บไซต์ย่อมมอบประสบการณ์อันแสนยอดเยี่ยมและความพึงพอใจให้แก่ลูกค้าได้เป็นอย่างดี

Phishing เป็นหนึ่งในวิธีการทำ Social Engineering หรือการหลอกลวงเพื่อให้เหยื่อปฏิบัติตามสิ่งที่แฮ็คเกอร์ต้องการ เช่น หลอกขโมยข้อมูลล็อกอิน หลอกให้เปิดเว็บที่ลิงค์ไปสู่เว็บไซต์ของแฮ็คเกอร์ หรือหลอกให้เปิดไฟล์ที่แฝงมัลแวร์มากับอีเมล เป็นต้น บทความนี้ Cloud Solutions Technology จึงได้นำเสนอ Infographic สรุป 6 วิธีการ Phishing ที่แฮ็คเกอร์นิยมใช้ในปัจจุบันพร้อมวิธีรับมือ เพื่อให้ทุกคนสามารถนำไปประยุกต์ใช้ในการป้องกันตนเองได้

อย่างที่ทุกท่านทราบดี โรงพยาบาลและหน่วยงานสาธารณสุขในปัจจุบันเริ่มตกเป็นเป้าหมายของ Ransomware มากขึ้นเรื่อยๆ เนื่องจากแฮ็คเกอร์ใช้ชีวิตคนไข้เป็นตัวประกัน ส่งผลให้โรงพยาบาลเหล่านั้นจำเป็นต้องจ่ายค่าไถ่แทบจะทันทีเพื่อแลกกับการปกป้องชีวิตคนไข้ ทาง Palo Alto Networks ผู้ให้บริการโซลูชัน Next-generation Firewall ชั้นนำของโลกจึงได้เสนอเทคนิคสำหรับช่วยลดผลกระทบและป้องกัน Ransomware มาทั้งหมด 8 ข้อ ดังนี้

ในปัจจุบันนี้ที่การโจมตีไซเบอร์และการเจาะระบบเพื่อขโมยข้อมูลเป็นสิ่งที่เกิดขึ้นไม่เว้นในแต่ละวัน หลายบริษัทเริ่มเปิดให้มี Bug Bounty Program เพื่อสนับสนุนให้แฮ็คเกอร์หรือนักวิจัยด้านความมั่นคงปลอดภัยรายงานช่องโหว่ที่ตนเองค้นพบเพื่อรับเงินรางวัล แทนที่จะนำช่องโหว่นั้นไปใช้โจมตีต่อ … ซึ่งไม่เว้นแม้แต่เว็บ 18+ สำหรับผู้ใหญ่

Facebook เปิดเผยซอร์สโค้ด Capture the Flag (CTF) แพลทฟอร์มสำหรับจัดแข่งขันการแฮ็ค เพื่อสนับสนุนให้นักศึกษา นักพัฒนาโปรแกรม และผู้เชี่ยวชาญด้าน IT Security สามารถเรียนรู้เกี่ยวกับ Cyber Security และการทำ Secure Coding ได้ โดยผู้ที่สนใจสามารถดาวน์โหลดโค้ด CTF ได้ผ่านทาง GitHub

DDoS ที่เป็นหนามยอกอกของวงการ IT มาอย่างต่อเนื่องเป็นระยะเวลานาน เริ่มกลายเป็นปัญหาที่ได้รับการแก้ไขกันอย่างจริงจังมากขึ้นเรื่อยๆ โดยงานวิจัยจาก Georgia Institute of Technology’s College of Computing ที่สามารถตรวจจับการโจมตี DDoS แบบ Low-Volume ได้รับเงินลงทุนจากกองทัพสหรัฐสูงถึง 2.9 ล้านเหรียญ หรือราวๆ 101.5 ล้านบาทไทย

WordPress แพลทฟอร์มมาตรฐานสำหรับสร้าง Blog ยอดนิยม ออกอัพเดทใหม่ล่าสุด เวอร์ชัน 4.5.2 อุดช่องโหว่ Reflected Cross-site Scriting และช่องโหว่ที่เกิดจาก Plupload ทาง WordPress แนะนำให้ผู้ดูแลระบบเว็บไซต์รีบอัพเดทโดยเร็ว

ปัจจุบันนี้ทราฟฟิคบนอินเทอร์เน็ตส่วนใหญ่มีเข้ารหัสข้อมูลโดยใช้ SSL/TLS ซึ่งช่วยป้องกันผู้ใช้จากการถูกดักฟัง หรือถูกโจมตีขณะเข้าถึงเว็บไซต์ อย่างไรก็ตาม แฮ็คเกอร์เองก็สามารถใช้ประโยชน์จาก SSL/TLS ในการซ่อนมัลแวร์หรือแฝงการโจมตีมากับทราฟฟิคที่เข้ารหัสด้วยเช่นกัน

เพื่อรับมือกับภัยคุกคาม DDoS Attack ที่นับวันจะทวีความรุนแรงมากยิ่งขึ้น FFIEC (Federal Financial Institutions Examination Council) หน่วยงานนานาชาติของสหรัฐฯ ที่ทำหน้าที่กำกับดูแลกฏระเบียบและมาตรฐานสำหรับสถานบันการเงิน ได้ออกแถลงการณ์ระบุว่า ธนาคารและสถาบันการเงินทุกแห่ง จำเป็นต้องเฝ้าระวังระบบเครือข่ายของตนจากการโจมตีแบบ DDoS และต้องมีการวางแผนกลยุทธ์สำหรับรับมือกับ DDoS เชิงรุก

TechTalkThai ขอเรียนเชิญผู้ที่สนใจทางด้าน Cyber Security เข้าร่วมฟัง TechTalk Webinar ในหัวข้อเรื่อง “รู้จักกับ Cyber Kill Chain การบุกรุกโจมตีไซเบอร์และวิธีใช้ Threat Intelligence ในการรับมือ” โดยอาจารย์ปริญญา หอมเอนก ประธานและผู้ก่อตั้ง ACIS Professional Center ในวันพฤหัสบดีที่ 12 พฤษภาคม 2016 ผ่านทาง Live Webinar ฟรี ไม่มีค่าใช้จ่าย รายละเอียดการบรรยาย หัวข้อ: รู้จักกับ Cyber Kill Chain การบุกรุกโจมตีไซเบอร์และวิธีใช้ Threat Intelligence ในการรับมือ ผู้บรรยาย: อาจารย์ปริญญา หอมเอนก ประธานและผู้ก่อตั้ง ACIS Professional Center วันเวลา: วันพฤหัสบดีที่ 12 พฤษภาคม 2016 เวลา 14.00 – 15.00 น. ช่องทางการบรรยาย: Cisco WebEx …

บางคนอาจเคยได้ยินคนสาย IT Security ภายในบริษัทคุยกับ Vendor ด้วยคำศัพท์แปลกๆ ฟังไม่ค่อยเข้าใจ ไม่ว่าจะเป็น Botnet รุมยิง DDoS ใส่ มัลแวร์แพร่กระจายด้วยวิธี Drive-by Download หรือหลบหลีกการตรวจจับด้วย Evasion Technique .. ไม่ต้องกังวลไป ทาง Sophos มีหลักสูตรเร่งรัดที่ช่วยปูพื้นฐานด้าน IT Security ให้แก่คุณได้ภายใน 1 ชั่วโมง

จบไปแล้วครับสำหรับงาน “Man in the Information Systems Security Day” หรือ MiSS Day งานสัมมนาด้าน Cyber Security ครั้งแรกของ IT Connect ในฐานะทีมงานประชาสัมพันธ์ (และโฆษก ?) TechTalkThai ขอเป็นตัวแทนทีมงาน IT Connect กล่าวขอบพระคุณทุกท่านที่เข้าร่วมงานสัมมนาเพื่อแลกเปลี่ยนความรู้ในครั้งนี้ รวมไปถึงท่านที่สนใจลงทะเบียนแต่ไม่สามารถเข้าร่วมงานได้ ท่านสามารถดาวน์โหลด Slides ของวิทยากรได้ด้านล่าง

Ryan Huber วิศวกรความมั่นคงปลอดภัยจาก Slack ค้นพบช่องโหว่ Zero-day ความรุนแรงสูงบน ImageMagick เครื่องมือยอดนิยมสำหรับปรับแต่งรูปภาพของผู้ใช้บนเว็บไซต์ ที่ช่วยให้แฮ็คเกอร์สามารถรันโค้ดโจมตีบน Web Server จากระยะไกลผ่านทางรูปภาพที่มี Malicious Code แฝงอยู่ได้