เชิญร่วมงานสัมมนา Rethink & Rebuild your Cyber Security Plan โดย AMR Asia

สรุป OWASP Top 10 Internet of Things ปี 2018 (ภาษาไทย)

OWASP (Open Web Application Security Project) องค์กรไม่แสวงหาผลกำไรที่เน้นวิจัยทางด้าน Web Application Security ออกเอกสาร OWASP Top 10 ทางด้าน Internet of Things ฉบับปี 2018 เพื่อให้ผู้ผลิตและนักพัฒนาที่สนใจทางด้าน IoT Security ได้ดาวน์โหลดไปศึกษาฟรีๆ ครับ

OWASP Internet of Things Project ถูกออกแบบมาเพื่อช่วยผู้ผลิต นักพัฒนา และผู้บริโภคเข้าใจประเด็นด้านความมั่นคงปลอดภัยที่เกี่ยวข้องกับ Internet of Things (IoT) ได้ดียิ่งขึ้น และช่วยให้ผู้ใช้ในบริบทต่างๆ สามารถตัดสินใจเกี่ยวกับความมั่นคงปลอดภัยเมื่อทำการสร้าง วางระบบ หรือประเมินเทคโนโลยี IoT ได้ดีขึ้นกว่าเดิม ซึ่ง OWASP Top 10 Internet of Things ปี 2018 ประกอบด้วยความเสี่ยงทั้งหมด 10 ประการที่มักเจอบนระบบ IoT ซึ่งสามารถสรุปได้ ดังนี้

1. รหัสผ่านอ่อนแอเกินไป คาดเดาได้ง่าย หรือถูกฮาร์ดโค้ดไว้

ใช้ Credentials ที่ง่ายต่อการถูก Brute Force, พบได้ทั่วไปในสาธารณะ หรือไม่สามารถเปลี่ยนแปลงได้ รวมไปถึง Backdoors ในเฟิร์มแวร์หรือซอฟต์แวร์ Client ที่ให้สิทธิ์ในการเข้าถึงแบบ Unauthorized Access บนระบบที่วางไว้

2. Network Services ที่ไม่มั่นคงปลอดภัย

Network Services ที่ไม่จำเป็นหรือไม่มั่นคงปลอดภัยที่รันอยู่บนตัวอุปกรณ์เอง โดยเฉพาะ Services ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต ซึ่งก่อให้เกิดปัญหาด้านการักษาความลับ ความถูกต้อง หรือความพร้อมในการให้บริการของข้อมูล (CIA) หรือก่อให้เกิดการเข้าควบคุมจากระยะไกลได้โดยไม่ได้รับอนุญาต

3. Ecosystem Interfaces ที่ไม่มั่นคงปลอดภัย

Web, Backend API, Cloud หรือ Mobile Interfaces บน Ecosystem ภายนอกอุปกรณ์ที่ก่อให้เกิดปัญหาด้านความมั่นคงปลอดภัยกับอุปกรณ์หรือส่วนประกอบที่เกี่ยวข้อง ปัญหาทั่วไปที่พบ ได้แก่ ไม่มีการพิสูจน์ตัวตนหรือการกำหนดสิทธิ์ในการเข้าถึง, ไม่มีการเข้ารหัสหรือใช้การเข้ารหัสที่ไม่แข็งแกร่งเพียงพอ และไม่มีการกรอก Input และ Output

4. การขาดกลไกในการอัปเดตอย่างมั่นคงปลอดภัย

การขาดความสามารถในการอัปเดตอุปกรณ์อย่างมั่นคงปลอดภัย ซึ่งรวมไปถึง ไม่มีการตรวจสอบเฟิร์มแวร์บนอุปกรณ์, ไม่มีการส่งมอบเฟิร์มแวร์อย่างมั่นคงปลอดภัย (ไม่เข้ารหัสบนช่องทางที่ส่ง), ไม่มีกลไกในการป้องกันการ Rollback และไม่มีการแจ้งเตือนเมื่อมีการเปลี่ยนแปลงที่เกี่ยวข้องกับความมั่นคงปลอดภัยจากการอัปเดต

5. การใช้ส่วนประกอบที่ไม่มั่นคงปลอดภัยหรือล้าสมัย

การใช้ส่วนประกอบของซอฟต์แวร์หรือไลบราลี่ที่ล้าสมัย (เลิกใช้ไปแล้ว) หรือไม่มั่นคงปลอดภัย ซึ่งอาจก่อให้เกิดปัญหาด้านความมั่นคงปลอดภัยแก่อุปกรณ์ รวมไปถึงการปรับแต่งแพลตฟอร์มระบบปฏิบัติการอย่างไม่มั่นคงปลอดภัย และการใช้ส่วนประกอบของซอฟต์แวร์และฮาร์ดแวร์ของผู้อื่นที่ได้มาจาก Supply Chain ที่ไม่มั่นคงปลอดภัย

6. การปกป้องความเป็นส่วนบุคคลไม่เพียงพอ

ข้อมูลส่วนบุคคลของผู้ใช้ที่ถูกจัดเก็บบนอุปกรณ์หรือบน Ecosystem ถูกนำไปใช้อย่างไม่มั่นคงปลอดภัย ไม่เหมาะสม หรือไม่ได้รับอนุญาต

7. การจัดเก็บและรับส่งข้อมูลอย่างไม่มั่นคงปลอดภัย

ไม่มีการเข้ารหัสข้อมูลหรือการควบคุมการเข้าถึงข้อมูลสำคัญในทุกๆ ที่ภายใน Ecosystem ไม่ว่าจะเป็นขณะถูกจัดเก็บ (At rest), ขณะรับส่ง (In transit) หรือขณะประมวลผล (Processing)

8. การขาดการบริหารจัดการอุปกรณ์

การขาดการสนับสนุนด้านความมั่นคงปลอดภัยบนอุปกรณ์ที่ใช้งานบนสายการผลิต ไม่ว่าจะเป็น Asset Management, Update Management, Secure Decommissioning, Systems Monitoring และ Response Capabilities

9. การตั้งค่าจากโรงงานที่ไม่มั่นคงปลอดภัย

อุปกรณ์หรือระบบถูกส่งมาโดยใช้การตั้งค่าจากโรงงาน (Default Settings) ที่ไม่มั่นคงปลอดภัย หรือไม่ยอมให้ผู้ประกอบการแก้ไขการตั้งค่าเพื่อทำให้ระบบมีความมั่นคงปลอดภัยมากยิ่งขึ้น

10. การขาดการเสริมแกร่งให้แก่อุปกรณ์ทางด้านกายภาพ

ไม่มีมาตรการเสริมแกร่งให้แก่อุปกรณ์ทางด้านกายภาพ (Physical Hardening) ซึ่งช่วยให้แฮ็กเกอร์สามารถทราบถึงข้อมูลสำคัญ ส่งผลให้สามารถทำการโจมตีจากระยะไกลหรือเข้าควบคุมอุปกรณ์จากภายในได้ในอนาคต

คลิกเพื่อดูรูปขนาดใหญ่ (Credit: OWASP.org)

ผมพยายามแปลเป็นภาษาไทยให้เข้าใจง่ายๆ สำหรับผู้ที่ต้องการอ่าน OWASP Top 10 Internet of Things ปี 2018 ฉบับเต็มภาษาอังกฤษ รวมไปถึงหลักการและเหตุผล กระบวนการจัดทำเพื่อให้ได้มาซึ่งเอกสารดังกล่าว สามารถดูรายละเอียดเพิ่มเติมได้ที่: https://www.owasp.org/index.php/OWASP_Internet_of_Things_Project

About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

สรุปงานสัมมนา Veritas เตรียมองค์กรให้พร้อมรับมือจากภัยคุกคามและการโจมตีจาก Ransomware

ปัจจุบันหากถามว่าภัยคุกคามทางไซเบอร์ใดน่ากลัวที่สุดสำหรับองค์กร Ransomware คงเป็นชื่อแรกๆ ที่ปรากฎขึ้นมาแน่นอน แม้ว่า Ransomware เกิดขึ้นมาหลายปีแล้ว แต่ยังมีแนวโน้มที่จะเกิดขึ้นอย่างไม่หยุดยั้ง ด้วยเหตุนี้ทาง Veritas ผู้นำโซลูชันด้าน Data Protection จึงได้จัดงานสัมมนาเพื่อให้ความรู้ว่าองค์กรควรปฏิบัติตัวอย่างไรถึงจะยังดำเนินธุรกิจต่อไปได้ แม้จะถูก …

Asia Cab เสนอบริการแท็กซี่ระดับ VIP ในราคาที่เข้าถึงได้อย่างมั่นใจ สร้างประสบการณ์ใหม่ในการเดินทางด้วยเทคโนโลยี

การส่งมอบประสบการณ์ที่ดีแก่ลูกค้าและพนักงานนั้นถือเป็นเทรนด์หลักของการทำธุรกิจสมัยใหม่ในปี 2020 เลยทีเดียว และ Asia Cab ผู้ให้กำเนิด CABB บริการแท็กซี่ระดับ VIP เองก็ถือเป็นที่น่าจับตามองไม่น้อยจากการนำเสนอบริการมาตรฐานระดับสูงพร้อมเอกลักษณ์ที่โดดเด่น อีกทั้งยังมีการผสานเทคโนโลยีที่หลากหลายเพื่อส่งมอบประสบการณ์ที่ดีที่สุดในการเดินทางสำหรับผู้โดยสารและผู้ขับขี่ ในบทความนี้เราจะแนะนำให้ทุกท่านได้รู้จักกับ CABB กันอย่างเจาะลึก …