แผนที่โจมตีไซเบอร์บอกอะไรเรื่อง Ransomware ได้จริงไหม แล้ว zcrLog แสดงอะไรแทน
แผนที่โจมตีไซเบอร์ทั่วไปไม่รู้จักระบบคุณ ransomware ก็ไม่เคยขึ้นป้ายตรงๆ ดูวิธีอ่าน incident, MITRE technique และกฎตรวจจับใน zcrLog Threat Analysis ทดลองใช้ฟรี
เคยเห็นแผนที่โลกที่มีเส้นสีแดงพุ่งข้ามทวีปไปมา เขียนกำกับว่า "Live Cyber Attack Map" ไหมครับ ดูตื่นเต้นดี เหมือนฉากในหนังสายลับ แต่ถ้าถามตรง ๆ ว่ามันช่วยบอกได้ไหมว่าคืนนี้ใครในองค์กรคุณกำลังโดน brute force เข้า RDP อยู่ — คำตอบคือไม่ช่วยเลย เพราะแผนที่พวกนั้นแทบทั้งหมดแสดงทราฟฟิกรวมจาก honeypot และเซนเซอร์ทั่วโลก ไม่ใช่ข้อมูลของระบบคุณโดยเฉพาะ
ทีนี้ ransomware เองก็ไม่เคยขึ้นป้าย "Ransomware" ให้เห็นชัด ๆ บนแผนที่ไหนทั้งนั้น มันมาในรูปเหตุการณ์เล็ก ๆ ที่ต่อกันเป็นสาย: ลองรหัสผ่านซ้ำ ๆ (brute force) → เข้าไปควบคุมเครื่องอื่นในเครือข่าย (lateral movement) → ดึงข้อมูลออก (data exfiltration) → แล้วค่อยเข้ารหัสไฟล์ทั้งหมดในตอนท้าย กว่าจะรู้ตัวก็มักจะสายไปแล้ว บทความนี้เลยไม่พูดถึง "แผนที่โจมตี" แบบภาพสวย ๆ ที่ดูเพลิน ๆ แต่จะพาไปดู Threat Analysis ของ zcrLog ตัวจริงที่ทดลองใช้ฟรีได้ในเดโม — โดยไล่ดูว่าแต่ละแท็บวัดอะไร อ่านรวมกันยังไง และสายโจมตีของ ransomware หน้าตาเป็นแบบไหนเมื่อมองข้ามแท็บ
แผนที่โจมตีทั่วโลกทำอะไรได้จริง (และทำอะไรไม่ได้)
แผนที่แบบที่เห็นทั่วไปตามงานสัมมนาหรือบูธนิทรรศการ มักรวบรวมทราฟฟิกจาก honeypot และเซนเซอร์ที่กระจายอยู่หลายประเทศ แล้วแสดงเป็นเส้นพุ่งข้ามโลกแบบเรียลไทม์ มันสวย ดึงดูดสายตา และบอกภาพรวมกว้าง ๆ ได้ว่า "ตอนนี้โลกกำลังวุ่นวาย" — แต่มันไม่รู้จักองค์กรคุณ ไม่มี incident ID ให้สืบต่อ ไม่มีปุ่มให้คลิกดูรายละเอียดว่าใครโดนอะไร และที่สำคัญที่สุดคือมันไม่ใช่เครื่องมือปฏิบัติการ (operational tool) สำหรับทีม SOC — เป็นแค่ ambient display เอาไว้เปิดจอในห้องประชุมมากกว่า
สิ่งที่ทีมรักษาความปลอดภัยต้องการจริง ๆ ไม่ใช่ภาพรวมของโลก แต่คือคำถามเฉพาะเจาะจง: "ใครกำลังพยายามเข้าระบบของเราอยู่ตอนนี้ และมันไปถึงขั้นไหนแล้ว"
Threat Analysis ของ zcrLog หน้าตาเป็นยังไง
ในเมนู Threat Analysis ของ zcrLog มีอยู่ 5 แท็บย่อย ได้แก่ Threat Incidents, Detection Rules Management, Mitre Attack Panel, Attack Map และ IP Intelligence — ทั้ง 5 แท็บใช้ vocabulary การตรวจจับที่เชื่อมโยงกันอยู่บ้าง ส่วนสิ่งที่แต่ละแท็บดูนั้นคนละเรื่องกัน ได้แก่ ทราฟฟิกสด, บันทึก incident, เทคนิคของ ATT&CK, กฎตรวจจับ และการค้นดู IP ทีละตัว (ดูรายละเอียด zcrLog — Demo ตัวจริงต้องล็อกอินด้วยบัญชีเดโม demo / demo)
Attack Map — ทราฟฟิกที่แยกตามทิศทาง ประเภท และต้นทาง
หน้า Attack Map มีตัวเลือกช่วงเวลา และตัวเลขทุกตัวในหน้านี้ขึ้นอยู่กับช่วงเวลาที่คุณเลือก
ในช่วงเวลาที่เลือก หน้านี้สรุปทราฟฟิกไว้ให้ ทั้งจำนวน event รวม สัดส่วนขาเข้า (inbound) กับขาออก (outbound) จำนวนประเทศต้นทาง การแยกตามประเภทเหตุการณ์ (เช่น brute force และ scan) และประเทศต้นทางอันดับต้น ๆ พร้อมสัดส่วน ให้อ่านทั้งหมดนี้ประกอบกัน อย่าดูทีละตัว ช่วงเวลาที่เต็มไปด้วย connection ธรรมดาบอกอะไรได้น้อย แต่ brute force ที่พุ่งขึ้นจากประเทศเดียวอาจเป็นเบาะแสให้ตามต่อ ส่วนทราฟฟิกขาออกที่อธิบายไม่ได้ก็ควรกลับมามองอีกรอบ เพราะการดึงข้อมูลออกและการติดต่อกับ command-and-control มักไปทางขาออก
ทราฟฟิกเปลี่ยนตลอดเวลา สิ่งที่ควรดูจึงเป็นรูปร่างของสัดส่วน ไม่ใช่ตัวเลขตัวใดตัวหนึ่ง แผนที่ไม่ได้ติดป้ายว่าอันไหนคือ ransomware และนั่นคือประเด็นที่บทความนี้อยากชี้ให้เห็นพอดี: แผนที่ให้แค่ข้อมูลตั้งต้น ส่วน "รอยเท้า" ของมันต้องไปตามหาที่แท็บถัดไป
Threat Incidents — จุดที่ ransomware ทิ้งรอยเท้าไว้จริง
แท็บนี้คือหัวใจของบทความ ข้างในเป็นรายการ incident แถวละหนึ่งรายการ โดยมีช่องข้อมูลอย่าง incident ID, ประเภท, ความรุนแรง, สถานะ (เช่น เปิดอยู่หรือปิดแล้ว), จำนวน threat, ผู้ใช้ที่เกี่ยวข้อง, IP ต้นทางและปลายทาง รวมถึง MITRE tactic และ technique ที่ incident นั้นแมปไว้
ลองสังเกตชื่อประเภทเหตุการณ์ดู ในข้อมูลเดโม ชื่อเหล่านี้บอกพฤติกรรม เช่น brute force, lateral movement หรือ data exfiltration และไม่มีชื่อไหนเป็น "ransomware" ตรง ๆ เลย นี่แหละคือสิ่งที่คนเขียน playbook มือใหม่มักเข้าใจผิด: ransomware มักไม่ได้ถูกตรวจจับในฐานะ "ransomware" ตั้งแต่แรก ส่วนใหญ่จะโผล่มาในฐานะ brute force ที่สำเร็จ ตามด้วยการเคลื่อนที่ไปยัง remote service อื่น ถ้าเรียกตาม MITRE ATT&CK ก็คือ T1110 (Brute Force ในกลุ่ม Credential Access หรือ TA0006) ตามด้วย T1021 (Remote Services ในกลุ่ม Lateral Movement หรือ TA0008) ซึ่งตรงกับสายการโจมตี ransomware ที่พบได้บ่อยมากในโลกจริง: ไล่เดารหัสผ่าน RDP หรือ VPN ที่เปิดเผยต่ออินเทอร์เน็ต แล้วอาศัยมันเป็นทางเข้าไปยังเครื่องอื่น (เรื่องนี้เคยเขียนละเอียดไว้ใน RDP ที่เปิดสู่อินเทอร์เน็ตคือช่องโหว่ยอดฮิตของแก๊ง ransomware ถ้าอยากอ่านต่อ — และตรงกับที่ CISA ระบุไว้เองว่า RDP/VPN ที่เปิดเผยและถูก brute-force เป็นหนึ่งใน initial access vector หลักที่พบในคำแนะนำ #StopRansomware หลายฉบับ)
ลองดูตัวอย่างสมมติสามแบบ ที่แต่งขึ้นเพื่ออธิบายเท่านั้น ไม่ได้ดึงมาจากระบบจริงของใคร:
- incident ประเภท brute force ความรุนแรง Medium สถานะยังเปิดอยู่ — มีคนกำลังเดารหัสผ่านของบัญชีใดบัญชีหนึ่ง เป็นข้อต่อแรกสุดของสาย โดยทั่วไปจึงเป็นจังหวะที่ลงมือได้ด้วยต้นทุนต่ำ ลองดูว่าความพยายามมาจากไหนและเล็งไปที่อะไร (เช่น บริการ RDP หรือ VPN ที่เปิดออกอินเทอร์เน็ต) และมีรอบไหนเดาถูกไปแล้วหรือไม่
- incident ประเภท lateral movement ความรุนแรง High สถานะยังเปิดอยู่ — มีคนใช้จุดที่ยึดได้แล้วขยายไปยังเครื่องอื่น ทีมส่วนใหญ่มักจัดให้อยู่ต้น ๆ ของคิว เพราะขั้นที่ตามมา อย่างการดึงข้อมูลออกและการเข้ารหัสไฟล์ ย้อนกลับได้ยากกว่าขั้นนี้
- incident ประเภท malware ความรุนแรง High สถานะปิดแล้ว — สถานะปิดแปลว่า incident นี้ไม่ค้างเปิดอยู่แล้ว ไม่ได้แปลว่าต้นเหตุหายไปเสมอไป จึงควรเช็คด้วยว่าผู้ใช้และเครื่องที่เกี่ยวข้องถูกตรวจแล้วหรือยัง
ถ้าอ่านสองแถวแรกต่อกัน คือ brute force แล้วตามด้วย lateral movement ของผู้ใช้คนเดียวกัน นั่นคือช่วงเปิดฉากของสายโจมตี ransomware และของการบุกรุกอีกหลายแบบ สิ่งที่ทำให้ ransomware ต่างจากแบบอื่นคือขั้นสุดท้าย ซึ่งก็คือการเข้ารหัสไฟล์ โดยมักมีการดึงข้อมูลออกนำหน้า
Mitre Attack Panel — เห็นเป็นการ์ด ไม่ใช่ตารางแบบ matrix
หลายคนคุ้นกับ ATT&CK Matrix แบบตารางช่องสี่เหลี่ยม แต่หน้านี้ของ zcrLog แสดงผลเป็น การ์ดเทคนิค พร้อมบรรทัดสรุปด้านบนที่นับจำนวน technique และ event ที่ตรวจพบ
การ์ดแต่ละใบแทน technique หนึ่งตัว บนการ์ดมี ID และชื่อ (เช่น T1110 Brute Force หรือ T1021 Remote Services) ระดับความรุนแรงกับ risk score, tactic ที่ technique นั้นสังกัด, จำนวน event, host และ source ที่นับได้ และวิธีตรวจจับที่อยู่เบื้องหลัง นอกจากนี้แต่ละการ์ดยังลิงก์ไปยังหน้าอ้างอิงของ MITRE และแสดงช่วงเวลาที่พบ technique นั้น ทำให้สืบย้อนกลับไปดูได้ว่ากิจกรรมเกิดตอนไหน
ตรงนี้คือจุดที่ไล่จาก incident เดียวไปเห็นภาพที่กว้างขึ้น พอ incident แมปกับ technique ไหน ก็ให้ไปหาการ์ดของ technique นั้น การ์ดเป็นมุมมองแยกต่างหาก ไม่ได้เป็นรายละเอียดย่อยของ incident จึงควรอ่านตัวเลขบนการ์ดเป็นบริบทประกอบ ไม่ใช่ตัวเลขของ incident นั้นเอง technique ที่มีหลาย host อยู่เบื้องหลังมักชี้ไปที่ปัญหาที่กว้างกว่า technique ที่มี host เดียว ส่วนถ้าการ์ดของทั้ง T1110 และ T1021 โผล่ในช่วงเวลาเดียวกัน นั่นอาจเป็นรูปแบบสองขั้นจากหัวข้อก่อนหน้าก็ได้ แต่ดูจากการ์ดอย่างเดียวยังบอกไม่ได้ว่าเป็นเครื่องกลุ่มเดียวกันหรือเปล่า
Detection Rules Management — กฎที่ตั้งดักไว้ล่วงหน้า รวมกฎเฉพาะ ransomware
แท็บนี้มาพร้อมเทมเพลตกฎสำเร็จรูป เช่น brute force ผ่าน SSH, data exfiltration และ SQL injection ส่วนในรายการกฎ แต่ละกฎจะแสดงข้อมูลอย่างระดับความรุนแรง เงื่อนไขที่ใช้ตรวจ และสถานะ
ตัวที่ตรงกับหัวข้อบทความนี้ที่สุดคือกฎชื่อ Ransomware File Extension ดูจากชื่อแล้วเป็นกฎที่เฝ้าสัญญาณช่วงท้ายของสายโจมตี ransomware คือช่วงที่ไฟล์เริ่มถูกเปลี่ยนนามสกุลเป็นชุดใหม่จำนวนมากพร้อมกัน ซึ่งเป็นสัญญาณคลาสสิกของการเข้ารหัสไฟล์แบบ mass-encrypt กฎตัวนี้อยู่คนละปลายสายกับ technique อย่าง brute force และ remote services ข้างบน สองอย่างนั้นชี้ให้เห็นช่วงที่ถูกบุกเข้ามา ส่วนกฎตัวนี้ชี้ให้เห็นช่วงที่ความเสียหายเกิดขึ้นแล้ว จึงควรมีกฎทั้งสองปลาย
สำหรับแต่ละกฎ ให้ดูสามอย่าง คือ แจ้งเตือนแล้วรุนแรงระดับไหน ใช้เงื่อนไขอะไรตรวจ และสถานะเป็นอย่างไร
IP Intelligence — แท็บที่ห้า
แท็บสุดท้ายในกลุ่ม Threat Analysis คือ IP Intelligence เป็นเครื่องมือค้นหาข้อมูล IP แบบที่ต้องพิมพ์ใส่เอง (ไม่ได้เชื่อมอัตโนมัติกับ IP ที่เห็นในอีกสี่แท็บ)
ทำไม "เห็น" อย่างเดียวไม่พอ
ลองนึกภาพกล้องวงจรปิดหน้าบ้าน — มันเห็นคนเดินผ่านหน้าประตูตลอดเวลา แต่ถ้าไม่มีใครเชื่อมโยงว่าคนที่เดินผ่านเมื่อเช้ากับคนที่พยายามงัดหน้าต่างตอนเที่ยงคืนเป็นคนเดียวกัน กล้องนั้นก็แค่บันทึกภาพเฉย ๆ ไม่ได้ป้องกันอะไร แผนที่โจมตีก็เหมือนกัน — เห็นเฉย ๆ ไม่พอ ต้องเชื่อมจุดต่อจุดได้ด้วย
นี่คือเหตุผลที่ Threat Analysis ของ zcrLog ไม่ได้ทำแค่ "แสดงแผนที่" แต่ทำให้ทีม SOC ไล่ดูภาพรวมใน Attack Map สลับไปดูรายละเอียดใน Threat Incidents สลับไปเช็ค technique ที่เกี่ยวข้องใน Mitre Attack Panel และย้อนกลับไปเช็คว่ามีกฎใน Detection Rules Management เฝ้าจุดนั้นอยู่หรือยัง — ทั้งหมดอยู่ในคอนโซลเดียว (สลับแท็บเอง ไม่มีปุ่ม drill-down เชื่อมข้ามแท็บอัตโนมัติ) ไม่ต้องสลับไปมาระหว่างเครื่องมือ 4-5 ตัวคนละหน้าจอ ซึ่งเป็นสิ่งที่ zcrLog ออกแบบมาให้ทำได้ตั้งแต่ต้น ไม่ใช่ฟีเจอร์ที่แปะเสริมทีหลัง
เทียบให้เห็นภาพชัด ๆ
| หัวข้อ | แผนที่โจมตีสาธารณะทั่วไป | zcrLog Threat Analysis |
|---|
| ข้อมูลที่แสดง | ทราฟฟิกรวมจาก honeypot/เซนเซอร์ทั่วโลก ไม่เจาะจงองค์กรใด | เหตุการณ์ที่มี incident ID สืบต่อได้ |
| การระบุ ransomware | ไม่มี label ตรง ๆ ต้องอนุมานเอง | ไม่มี label ตรง ๆ เช่นกัน แต่ไล่หารูปแบบ T1110→T1021 ได้ทั้งในตาราง incident และการ์ด technique และมีกฎ Ransomware File Extension เฝ้าสัญญาณช่วงท้ายโดยเฉพาะ |
| คลิกสืบสวนต่อ | ทำไม่ได้ เป็นภาพนิ่งเพื่อความสวยงาม | สลับแท็บดู Attack Map, Threat Incidents, Mitre Attack Panel ได้ในคอนโซลเดียว (ไม่ใช่ drill-down อัตโนมัติ ต้องคลิกแท็บเอง) |
| กฎเฝ้าระวังสำเร็จรูป | ไม่มี | เทมเพลตสำเร็จรูปใน Detection Rules Management รวมถึงกฎสำหรับนามสกุลไฟล์ของ ransomware |
ถ้าอยากรู้ว่าองค์กรของคุณจะได้แผงแบบนี้ในราคาเท่าไหร่ ดูแพ็กเกจ zcrLog ทั้งหมด ได้เลย
สิ่งที่ควรเช็คตอนเปิดเดโมด้วยตัวเอง
ตัวอย่างแถวข้างบนเป็นตัวอย่างสมมติเพื่ออธิบาย ไม่ใช่ข้อมูลจากสภาพแวดล้อมจริง ส่วน Demo ตัวจริงต้องล็อกอินด้วยบัญชีเดโม (demo / demo) เวลาเปิดดูให้อ่านโครงสร้าง ไม่ใช่ตัวเลข ลองไล่ตามลำดับนี้
- ที่ Attack Map เลือกช่วงเวลา แล้วอ่านสัดส่วนขาเข้า/ขาออกร่วมกับสัดส่วนประเภทเหตุการณ์
- ที่ Threat Incidents เลือก incident สักรายการ ดูประเภท ความรุนแรง และสถานะ แล้วจดว่ามันแมปกับ MITRE technique ตัวไหน
- ที่ Mitre Attack Panel หาการ์ดของ technique นั้น แล้วดูว่าการ์ดนับ host และ source ไว้กี่ราย
- ที่ Detection Rules Management มองหากฎที่เฝ้าสัญญาณช่วงท้ายของสาย แล้วจดระดับความรุนแรง เงื่อนไข และสถานะของกฎนั้น
- ที่ IP Intelligence ค้นหา IP สักตัวจาก incident ที่เลือกไว้ แท็บนี้จะไม่ใส่ให้เอง
ไม่มีอะไรเชื่อมแท็บเหล่านี้เข้าหากันโดยอัตโนมัติ คุณเป็นคนต่อจุดเอง และนี่คือทักษะที่ควรฝึกไว้
หากอยากปูพื้นความเข้าใจเรื่อง MITRE ATT&CK ก่อนไปลองเดโม อ่านต่อได้ที่ MITRE ATT&CK คืออะไร หรือถ้าสนใจมุมการตั้งกฎตรวจจับ ransomware ใน SIEM แบบละเอียด มีบทความแยกต่างหากที่ ตั้งกฎตรวจจับ ransomware บน SIEM ต้องเริ่มตรงไหน พูดถึงเรื่องนี้โดยเฉพาะ
สรุป
แผนที่โจมตีที่ดูสวยงามบนจอใหญ่ในงานสัมมนาไม่ใช่เครื่องมือที่ช่วยหยุด ransomware ได้จริง เพราะมันไม่รู้จักระบบของคุณ และ ransomware เองก็ไม่เคยขึ้นป้ายบอกตัวเองตรง ๆ — มันซ่อนอยู่ในสายเหตุการณ์เล็ก ๆ อย่าง brute force ที่สำเร็จ ตามด้วยการเคลื่อนที่ไปยัง remote service สิ่งที่ต้องมีจริง ๆ คือระบบที่เห็นภาพรวม เชื่อมโยงไปดูรายละเอียดได้ และมีกฎเฝ้าระวังจุดที่มักเป็นปลายทางของการโจมตีไว้ล่วงหน้า — ซึ่งทั้งหมดนี้ทดลองดูของจริงได้ฟรีที่เดโมของ zcrLog ไม่ต้องเชื่อคำโฆษณา เปิดดูเองได้เลย
อยากคุยเรื่องความพร้อมรับมือ ransomware ขององค์กรคุณ ติดต่อเราได้ที่
แหล่งข้อมูลอ้างอิง
- CISA — #StopRansomware Guide และคำแนะนำ #StopRansomware รายกลุ่ม (เช่น Akira, Gunra) — ยืนยันว่า RDP/VPN ที่เปิดเผยและถูก brute-force เป็น initial access vector หลักที่พบซ้ำในหลายกลุ่ม ransomware
- MITRE ATT&CK — T1110 Brute Force และ T1021 Remote Services