Web Security

บางคนอาจมีนิสัยเสีย เช่น ชอบผลัดวันประกันพรุ่ง ชอบนั่งกัดเล็บ หรืออยู่ไม่สุข เหล่านี้ อาจไม่ได้ส่งผลกระทบอะไรต่อองค์กรมากนัก แต่นิสัยเสียทางด้าน IT Security อาจก่อให้เกิดหายนะแก่องค์กรได้เลยทีเดียว ไม่ว่าจะเป็นการปล่อยให้องค์กรมีช่องโหว่จนถูกแฮ็ค การถูกโจมตีรูปแบบเดิมๆ ซ้ำๆ จนข้อมูลถูกขโมยออกไปเป็นจำนวนมาก บทความนี้จึงรวบรวม 5 นิสัยเสียของด้าน Security ที่จำเป็นต้องแก้ไขอย่างเร่งด่วน เพื่อให้ระบบขององค์กรมีความมั่นคงปลอดภัย

Ransomware หรือมัลแวร์เรียกค่าไถ่กลายมาเป็นภัยคุกคามที่พบได้ทั่วไปในชีวิตประจำวัน เป้าหมายในตอนนี้ไม่ได้มีเพียงแค่บุคคลทั่วไปที่ใช้คอมพิวเตอร์เท่านั้น แต่หน่วยงานขนาดใหญ่ เช่น โรงพยาบาล ก็เริ่มตกเป็นเป้าหมายบ่อยขึ้นแล้วเช่นกัน คำถามคือ เราจะทำอย่างไรจึงจะสามารถป้องกัน และแก้ปัญหาหลังจากที่ติด Ransomware ได้

หลายท่านคงทราบข่าวเรื่อง Panama Papers กันแล้ว ที่ข้อมูลเอกสารลับกว่า 11.5 ล้านฉบับ รั่วไหลออกจากบริษัท Mossack Fonseca ไปเมื่อไม่กี่วันที่ผ่านมา ส่วนหนึ่งของเอกสารเหล่านี้เป็นเอกสารการทำธุรกรรมลับหรือเอกสารทุจริตของผู้มีชื่อเสียงและนักธุรกิจชั้นนำจากทั่วโลก ในไทยเองก็มีหลุดมาถึง 21 คน ซึ่งจนถึงตอนนี้ยังไม่ทราบว่าใครเป็นผู้อยู่เบื้องหลังเหตุการณ์ดังกล่าว

Forcepoint (Raytheon + Websense) ผู้ให้บริการโซลูชันด้าน Cyber Security แบบครบวงจร เปิดตัวครั้งแรกในประเทศไทยเมื่อเดือนมีนาคมที่ผ่านมา ระบุ พร้อมตอบสนองความต้องการของกลุ่มลูกค้าในประเทศไทยตั้งแต่ระดับ SME ไปจนถึงองค์กรขนาดใหญ่ ตอบรับกระแสการทำเทคโนโลยีเข้ามาสนับสนุนธุรกิจในองค์กรหรือ Digital Transfromation

มีการตรวจพบช่องโหว่ระดับร้ายแรงบน Flash Player รุ่น 21.0.0.197 และรุ่นก่อนหน้านั้นทั้งหมดบน Windows, Macintosh, Linux, Chrome OS และปัจจุบันมีรายงานการโจมตีอย่างหนักหน่วงบน Windows 7 และ Windows XP แล้ว ส่งผลให้ผู้โจมตีสามารถเข้าควบคุมเครื่องที่ถูกโจมตีได้ทันที

บทความนี้เป็นสรุปบทสัมภาษณ์พิเศษจากผู้เชี่ยวชาญด้าน Security และด้านบริหาร 3 ท่านภายในงานสัมมนา Black Hat Asia 2016 ที่เพิ่งจบลงไปเมื่อวานนี้ ได้แก่ Freddy Tan, Business Development Director จาก Singtel / (ISC)2 Russell Bunker, Director – Asia Pacific จาก Barclay Simpson Meng-chow Kang, PhD, CISSP, CISA, Director of Information Security จาก Cisco / Board Director จาก (ISC)2 ในหัวข้อเรื่อง “Advancing Your Career as a Security Pro” ซึ่งเนื้อหาจะประกอบไปด้วยแนวโน้มทิศทางการทำงานด้าน Cyber Security ความสำคัญของ Certificate และการปรับแต่ง Resume …

Palo Alto Networks ผู้ให้บริการแพลทฟอร์มด้านความมั่นคงปลอดภัยชั้นนำของโลก ประกาศเปิดตัว “Traps” ระบบ Advanced Endpoint Protection ครั้งแรกในประเทศไทย เน้นป้องกันภัยคุกคามระดับสูงที่มุ่งโจมตีอุปกรณ์ปลายทาง เช่น เซิร์ฟเวอร์ PC หรือโน๊ตบุ๊ค ไม่ว่าจะเป็น Unknown Malware, Zero-day Exploits และ Ransomware

Amazon ผู้ให้บริการร้านค้าออนไลน์ที่ใหญ่ที่สุดในโลก เตรียมพร้อมให้บริการการพิสูจน์ตัวตนโดยใช้การ Selfie แทนรหัสผ่าน นั่นคือ ลูกค้าจำเป็นต้องถ่ายวิดีโอตนเองเพื่อยืนยันตัวตนผ่านใบหน้าก่อนทำการซื้อสินค้า

พอดีหนึ่งในทีมงาน TechTalkThai ได้มีโอกาสไปเข้าคอร์สอบรม Advanced Pentration Tester ของทาง ACIS Professional บริษัทที่ปรึกษาและศูนย์อบรมชื่อดังด้าน Security ของประเทศไทย เลยถือโอกาสเขียนรีวิวการเรียนการสอน เผื่อใครสนใจทางด้าน Ethical Hacking หรือต้องการมาสายทำ Penetration Testing และกำลังหาคอร์สอบรมภาษาไทยลงเรียนอยู่ จะได้เห็นภาพชัดๆ ขึ้นครับว่า คอร์ส Pen Test เหล่านี้เรียนอะไรกันบ้าง คุ้มค่าที่ลงเรียนไหม และจบคอร์สแล้วจะแฮ็ค เอ้ย ตรวจสอบช่องโหว่ของระบบเป็นไหม

SpiderLabs ทีมนักเจาะระบบของ Trustwave ออกมาเปิดเผยถึง Malvertising Campaign ใหม่ ที่ใช้ช่องทางโฆษณาบนเว็บไซต์ชื่อดังอย่าง The New York Times, BBC, MSN, AOL และอื่นๆ ในการแพร่กระจาย Ransomware หรือมัลแวร์เรียกค่าไถ่ไปยังเครื่องของเหยื่อที่หลงกดลิงค์โฆษณาเหล่านั้น

VMware ออกแพทช์อัพเดทเพื่ออุดช่องโหว่ Cross-site Scripting 2 รายการบน vRealize Cloud Software หลาย Edition ซึ่งช่วยให้แฮ็คเกอร์สามารถโจมตีแบบ Stored XSS เพื่อฝังสคริปต์หรือโค้ดบางอย่างลงบนเครื่องเซิฟเวอร์ของเหยื่อได้

Symantec ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยชั้นนำ ออกมาประกาศแจ้งเตือนช่องโหว่ความรุนแรงสูงบนระบบ ซอฟต์แวร์ Endpoint Protection (SEP) ของตนเอง แนะนำให้ผู้ใช้อัพเดทแพทช์โดยเร็ว

การโจมตีด้วยการเผยแพร่ Trojan หรือ Ransomware ผ่านทาง Ads Network นั้นดูจะกลายเป็นการโจมตีที่ได้ผลอย่างรุนแรงขึ้นเรื่อยๆ โดยในครั้งนี้ระบบ Adverts ที่ติดตั้งอยู่ใน msn.com, nytimes.com, aol.com, nfl.com, theweathernetwork.com, thehill.com, zerohedge.com และเว็บอื่นๆ อีกมากมายที่มีผู้เข้าชมรวมกันหลายล้านคนต่อวันนั้น ได้เป็นโฆษณาที่จะโจมตีผู้อ่านด้วย Angler Exploit Kit เพื่อฝัง Ransomware ต่อไป

The Hacker News เว็บข่าวด้าน Security ชื่อดังได้ออกมาเปิดเผยช่องโหว่ Password Reset Vulnerability บน Facebook สู่สาธารณะ หลังจากที่ทีม Facebook ได้รับแจ้งช่องโหว่และทำการแพทช์เป็นที่เรียบร้อย กลับถูกทีมงาน Facebook ลบโพสต์ดังกล่าวทิ้งไปอย่างเงียบๆ (อ่านรายละเอียดช่องโหว่ Facebook ได้ด่านล่าง) [Updated] ล่าสุด ทาง Facebook ได้ทำการ Restore โพสต์ที่ลบทิ้งไปให้กลับมาเข้าถึงได้เหมือนเดิมแล้ว

Burp Suite เป็นเครื่องมือชื่อดังสำหรับการทดสอบความมั่นคงปลอดภัยของเว็บไซต์ โดยคอร์สอบรมที่จะพูดถึงนี้ จะเน้นที่การใช้เครื่องมือดังกล่าวในการตรวจสอบและประเมินช่องโหว่ของเว็บไซต์ ไม่ได้เป็นคอร์สสอนแฮ็คเว็บแต่อย่างใด อย่างไรก็ตาม คอร์สนี้จะกล่าวถึงการโจมตีเว็บไซต์รูปแบบต่างๆ เพื่อให้เข้าใจหลักการประเมินช่องโหว่ ที่สำคัญคือ คอร์สอบรมนี้ฟรี ไม่มีค่าใช้จ่าย

กระทรวงกลาโหมของสหรัฐฯ ประกาศ Cyber Bug Bounty Program ภายใต้ชื่อ “Hack the Pentagon” เพื่อเป็นการเชิญชวนให้แฮ็คเกอร์หรือผู้ที่สนใจด้าน Security เข้ามาค้นหาช่องโหว่หรือเจาะระบบเครือข่ายของเพนตากอน รวมไปถึงเว็บไซต์ที่อยู่ภายใต้การกำกับดูแลของกระทรวงกลาโหม ซึ่งผู้ที่ประสบความสำเร็จจะได้รับเงินรางวัลจำนวนมหาศาลจากรัฐบาลสหรัฐฯ

เว็บไซต์ NakedSecurity ของ Sophos ได้ออกมาเล่าถึงเรื่องราวของ Malware ตระกูล Troj/PHPRansm-B ที่ทำการโจมตีเว็บไซต์ต่างๆ ที่ใช้ PHP โดยเฉพาะ CMS ชื่อดังอย่าง WordPress, Drupal และ Joomla โดยการโจมตีผ่านการฝังไฟล์ index.php ที่ทำหน้าที่โจมตีและเรียกค่าไถ่ดังต่อไปนี้ลงไปยังเว็บที่ใช้ PHP

DROWN Attack นับว่าเป็นช่องโหว่ความรุนแรงสูงล่าสุดบน OpenSSL ซึ่งส่งผลกระทบต่อเว็บไซต์และบริการอีเมลที่ใช้โปรโตคอลการเข้ารหัสแบบเก่า คือ SSLv2 กว่า 11 ล้านเครื่องทั่วโลก ช่องโหว่นี้ช่วยให้แฮ็คเกอร์สามารถถอดรหัสการเชื่อมต่อแบบ HTTPS เพื่อขโมยดูข้อมูลที่สำคัญ เช่น รหัสผ่านหรือข้อมูลบัตรเครดิตได้ ที่สำคัญคือ เป็นการโจมตีที่ใช้ต้นทุนต่ำ และใช้เวลาโจมตีสำเร็จได้เพียงไม่กี่ชั่วโมง

Blue Coat ผู้ให้บริการโซลูชัน Web & Cloud Security ชั้นนำของโลก ประกาศเปิดตัวผลิตภัณฑ์ใหม่ Blue Coat Advanced Secure Gateway (ASG) ภายในงาน BKK Channel Partner Update ที่เพิ่งจัดไปเมื่อกลางเดือนกุมภาพันธ์ที่ผ่านมา ซึ่งเป็นการรวมโซลูชัน ProxySG และ Content Analysis System (CAS) เข้าด้วยกัน และเสริมกำลังด้วยระบบ Static Code Analysis สำหรับตรวจจับ Zero-day Attacks และ Advanced Theats แบบเรียลไทม์

Rapid7 เป็นซอฟต์แวร์ด้านความมั่นคงปลอดภัยและวิเคราะห์ข้อมูลทางด้าน IT ถูกออกแบบมาเพื่อช่วยลดความเสี่ยงในการถูกเจาะระบบ ช่วยตรวจจับและรับมือการภัยคุกคาม และช่วยให้ฝ่าย IT ทำงานด้านความมั่นคงปลอดภัยได้อย่างเป็นระบบ เหล่านี้เพื่อเสริมความแข็งแกร่งให้แก่ระบบความมั่นคงปลอดภัยขององค์กรให้พร้อมรับมือการภัยคุกคามระดับสูงในยุคปัจจุบัน