ป้องกัน Ransomware ไม่ได้ ถ้ายังไม่รู้ว่ามีเครื่องอะไรบ้าง
ransomware มักลงเครื่องที่ไม่มีใครดูแล ไม่มี EDR ไม่ส่ง log เข้า SIEM ทำไม asset inventory และ CAASM ถึงเป็นเงื่อนไขแรกของการป้องกัน ดูหน้าจอ CAASM ของ zcrCTEM
ป้องกัน Ransomware ไม่ได้ ถ้ายังไม่รู้ว่ามีเครื่องอะไรบ้าง
ลองนึกภาพห้องประชุมหลังเกิดเหตุ ทีมงานกำลังไล่ไทม์ไลน์ว่าคนร้ายเข้ามาทางไหน แล้วในที่สุดก็เจอ — เซิร์ฟเวอร์ตัวหนึ่งที่ตั้งไว้ตอนทำโปรเจกต์เมื่อสามปีก่อน โปรเจกต์จบไปนานแล้ว คนที่ตั้งก็ลาออกไปแล้ว แต่เครื่องยังเปิดอยู่ ไม่มีในทะเบียนทรัพย์สิน ไม่มี EDR ไม่ส่ง log เข้าที่ไหนเลย
คำถามที่ตอบยากที่สุดในห้องนั้นไม่ใช่ "ทำไมถึงโดน" แต่คือ "แล้วยังมีเครื่องแบบนี้อีกกี่ตัว"
ransomware ไม่ได้เลือกลงเครื่องที่คุณป้องกันไว้ดีที่สุด
เวลาพูดถึงการป้องกัน ransomware เรามักคิดถึงเครื่องมือ — EDR, SIEM, backup, MFA แล้วก็ตั้งคำถามว่าตัวไหนดีกว่ากัน แต่คำถามที่มาก่อนหน้านั้นคือ เครื่องมือพวกนี้ครอบคลุมเครื่องกี่เปอร์เซ็นต์ขององค์กร และรู้ตัวเลขนั้นได้ยังไง
เส้นทางที่คนร้ายใช้เข้ามาส่วนใหญ่ไม่ใช่อะไรที่ซับซ้อน — RDP ที่เปิดออกอินเทอร์เน็ต, VPN ที่ยังไม่ได้แพตช์, เว็บแอปเก่าที่ลืมปิด เป็นรูปแบบที่วนซ้ำมาหลายปีแล้ว จุดร่วมของมันไม่ใช่ช่องโหว่ตัวไหนเป็นพิเศษ แต่คือเครื่องเหล่านั้นมักเป็นเครื่องที่ไม่มีใครถือว่าเป็นของตัวเอง
เครื่องที่ไม่มีเจ้าของก็ไม่มีใครแพตช์ ไม่มีใครลง agent และเวลามันเริ่มมีพฤติกรรมแปลกๆ ก็ไม่มี log ให้ SIEM เห็น ไม่ใช่เพราะ SIEM ไม่เก่ง แต่เพราะไม่มีใครเคยต่อท่อ log จากเครื่องนั้นมาตั้งแต่แรก (ประเด็นนี้เขียนไว้ละเอียดใน วิธีส่ง log จาก EDR เข้า SIEM)
CAASM กับ EASM คนละงานกัน
สองคำนี้ชอบถูกใช้ปนกัน แต่มันมองจากคนละทิศ
EASM มองจากข้างนอกเข้ามา — สแกนหาว่าอะไรของคุณโผล่อยู่บนอินเทอร์เน็ตบ้าง โดเมนไหน IP ไหน พอร์ตไหนที่เปิดอยู่โดยที่คุณอาจไม่รู้ตัว (เขียนไว้แล้วที่นี่)
CAASM มองจากข้างในออกไป — เอาข้อมูลที่กระจายอยู่ตามระบบต่างๆ ที่คุณมีอยู่แล้ว มารวมเป็นทะเบียนเดียว แล้วตอบคำถามว่า เครื่องตัวนี้มีใครดูแล มีมาตรการอะไรครอบอยู่บ้าง และมาตรการไหนที่ควรจะมีแต่ไม่มี
งานที่ยากกว่าคืออย่างหลัง เพราะ "ครบ" ในความหมายของ CAASM ไม่ใช่แค่นับจำนวนเครื่องได้ถูก แต่คือรู้ว่าเครื่องแต่ละตัวขาดอะไร นี่คือส่วนที่ zcrCTEM ฝั่ง CAASM ถูกออกแบบมาทำ
หน้าตาจริงเป็นยังไง
ฝั่ง CAASM ของ zcrCTEM กระจายอยู่สามหน้า ตัว demo ใช้ข้อมูลตัวอย่าง จึงไม่ยกแถวหรือตัวเลขบนหน้าจอมาอ้าง สิ่งที่ควรรู้คือแต่ละหน้าเก็บอะไรไว้
หน้า Assets ที่มีคำอธิบายว่า "CAASM canonical inventory for tenant scope" เปิดด้วยการ์ดสรุปสามใบ คือจำนวน asset ทั้งหมด coverage gaps (asset ที่ยืนยันแล้วว่าขาด control อย่างน้อยหนึ่งอย่าง) และ critical risk (asset ที่คะแนนความเสี่ยงด้าน coverage ถึงเกณฑ์ที่ตั้งไว้ขึ้นไป) ถัดลงมาเป็นตารางที่กรองได้ตาม class, source, coverage และ gap แต่ละแถวคือหนึ่ง asset บอกตัวระบุ asset ประเภท และเครื่องมือที่รายงานถึงมัน สถานะของ control สามตัว (posture, vulnerability scan และ EDR agent) เกรดกับคะแนนความเสี่ยง สถานะ เช่น stale เห็นครั้งล่าสุดเมื่อไหร่ และปุ่มกำหนด tier ให้ asset
คอลัมน์ control คือหัวใจ control หนึ่งตัวขึ้นได้ทั้ง PRESENT, MISSING, UNKNOWN หรือ N/A และแต่ละแบบไม่ใช่เรื่องเดียวกัน MISSING คือยืนยันแล้วว่าไม่มี ส่วน UNKNOWN คือไม่มี source ไหนยืนยันได้ทั้งสองทาง "ยืนยันแล้วว่าขาด" กับ "ยืนยันไม่ได้" เป็นคนละปัญหา คอนโซลจึงแยกให้เห็น ไม่ได้รวมเป็น "ครอบคลุมแล้ว"
หน้า Coverage & Gaps สรุปข้อมูลชุดเดียวกันให้ ทั้ง EDR, vulnerability scan และ cloud posture ว่ามี asset กี่รายการที่ present, missing, unknown หรือ not applicable พร้อมรายการ gap ทั้งหมดที่พบ ระบุ control ที่ขาด เจ้าของ เห็นครั้งล่าสุดเมื่อไหร่ และมี ticket แล้วหรือยัง
หน้า Sync Health คือจุดตรวจความซื่อสัตย์ของระบบ แสดงทุก source แยกตามหมวด (EASM, dark web, CAASM) พร้อมสถานะ connected, degraded หรือ disconnected, stale และ not configured โดย source ที่ยังไม่ได้ตั้งค่าจะถูกระบุว่ายังไม่เคยรัน ไม่ใช่ว่าล้มเหลว connector ที่ยังไม่เคยตั้งค่าจึงบอกตรงๆ แทนที่จะรายงานว่าทุกอย่างเรียบร้อยดี และถ้า source ไหนหลุด ทำงานผิดปกติ หรือหยุดส่งข้อมูล zcrCTEM จะเตือนว่าภาพความเสี่ยงอาจมีจุดบอด ซึ่งสำคัญกว่าที่คิด เพราะ inventory ที่ผิดพลาดแบบเงียบๆ อันตรายกว่า inventory ที่ยอมรับว่าตัวเองยังไม่ครบ
ลองอ่านสองแถวต่อไปนี้ช้าๆ สองแถวนี้เป็นตัวอย่างสมมติที่แต่งขึ้นเพื่ออธิบาย ไม่ได้มาจาก demo
เซิร์ฟเวอร์ API ตัวหนึ่งที่คุณจัดไว้ tier เดียวกับโดเมนหลักของบริษัท เพิ่งถูกเห็นเมื่อไม่กี่นาทีที่แล้ว แปลว่ายังทำงานอยู่แน่ๆ แต่ EDR agent ขึ้น MISSING ส่วน vulnerability scan กับ posture ขึ้น UNKNOWN ทั้งคู่ — ไม่มี control สักตัวที่ยืนยันได้ว่าติดตั้งอยู่
อีกเครื่องมีคำว่า legacy อยู่ในชื่อ เห็นครั้งล่าสุดเมื่อ 2 วันก่อน และทั้งสาม control ขึ้น UNKNOWN หมด ชื่อมันบอกอยู่แล้วว่าเป็นของเก่า แต่เมื่อสองวันก่อนมันยังถูกตรวจพบอยู่ นี่คือเครื่องแบบเดียวกับที่เล่าไว้ตอนต้นบทความ
สถานะในสองแถวนี้แต่งขึ้น และของจริงขององค์กรคุณจะไม่เหมือนกันอยู่แล้ว ประเด็นคือคำถามที่ตารางนี้บังคับให้ตอบ — asset ที่คุณจัดชั้นไว้สูงสุด มีหลักฐานยืนยันไหมว่ามันถูกป้องกันจริง หรือที่ผ่านมาแค่สมมติเอาว่าน่าจะมี
ถ้าอยากเห็นภาพรวมว่า CAASM เป็นชิ้นหนึ่งของอะไร อ่านต่อได้ที่ CTEM คืออะไร
สัญญาณว่าเรื่องนี้ตรงกับองค์กรคุณ
- ตอบไม่ได้ทันทีว่าตอนนี้มีเซิร์ฟเวอร์ที่เข้าถึงได้จากอินเทอร์เน็ตกี่ตัว
- ทะเบียนทรัพย์สินหลักยังเป็นไฟล์ Excel ที่อัปเดตครั้งล่าสุดเกินหกเดือน
- มี EDR แล้ว แต่ตอบไม่ได้ว่าลงครบกี่เปอร์เซ็นต์ของเครื่องทั้งหมด
- เคยเจอเครื่องที่ไม่มีใครรู้ว่าเป็นของใคร แล้วปล่อยไว้เพราะกลัวปิดแล้วมีอะไรพัง
- มีระบบที่ทีมอื่นตั้งขึ้นมาเองบนคลาวด์ โดยที่ทีม security ไม่เคยเห็น
ถ้าเข้าข่ายเกินสองข้อ การซื้อเครื่องมือป้องกันเพิ่มยังไม่ใช่ก้าวถัดไปที่คุ้มที่สุด เพราะเครื่องมือใหม่ก็จะไปลงบนเครื่องชุดเดิมที่คุณรู้จักอยู่แล้ว ส่วนเครื่องที่ไม่รู้จักก็ยังไม่รู้จักเหมือนเดิม
สิ่งที่ asset inventory ทำไม่ได้ — พูดกันตรงๆ
ตรงนี้ต้องชัด: CAASM ไม่ได้หยุด ransomware
มันไม่ได้ตรวจจับการเข้ารหัสไฟล์ ไม่ได้ kill process ไม่ได้ isolate เครื่อง ไม่ได้ยุ่งกับ backup ของคุณเลย สิ่งที่มันทำคือบอกว่าคุณมีอะไรอยู่บ้าง และตรงไหนที่มาตรการยังไม่ครบ — เป็นงานก่อนเกิดเหตุ ไม่ใช่ตอนเกิดเหตุ
ส่วนการตรวจจับตอนที่มันเริ่มลงมือแล้ว เป็นงานคนละชั้น ซึ่งเขียนแยกไว้ที่ ตรวจจับ ransomware ด้วย SIEM
พูดให้แฟร์ ถ้าองค์กรคุณมี CMDB ที่ทีมดูแลจริงจังและอัปเดตตลอด คุณอาจไม่ต้องการเครื่องมือ CAASM แยกต่างหากเลย ปัญหาคือ CMDB จำนวนมากเป็นข้อมูลที่กรอกครั้งเดียวตอนตั้งระบบ แล้วไม่มีใครกลับไปแตะอีก
เริ่มจากตรงไหน
เริ่มจากคำถามเดียว — ถ้าวันนี้มีคนถามว่าองค์กรคุณมี asset ที่เข้าถึงได้จากอินเทอร์เน็ตกี่ตัว ตอบได้ภายในกี่นาที และตอบจากอะไร
ถ้าคำตอบคือ "ต้องไปถามหลายทีมก่อน" นั่นคือช่องว่างที่ต้องปิดก่อนอย่างอื่น ดู แพ็กเกจ zcrCTEM
ติดต่อทีมงาน
อยากรู้ว่าองค์กรคุณมี asset ที่ไม่มีใครดูแลอยู่กี่ตัว คุยกับทีมเราได้ฟรี ไม่มีค่าใช้จ่าย