Ransomware Attack — วิธีตรวจจับด้วย SIEM ก่อนสาย
ตรวจจับ Ransomware ด้วย SIEM ก่อนไฟล์ถูกเข้ารหัส ไล่ตาม Kill Chain ทีละขั้น พร้อม 7 Detection Rules เช่น RDP Brute Force, PowerShell และการลบ Shadow Copy
Ransomware Attack — วิธีตรวจจับด้วย SIEM ก่อนสาย
Ransomware เป็นภัยคุกคามร้ายแรงต่อองค์กรไทยในตอนนี้ — หลายองค์กรต้องจ่ายค่าไถ่หลายล้านบาทเพราะตรวจจับไม่ทัน บทความนี้จะสอนวิธี ใช้ SIEM ตรวจจับ Ransomware ก่อนที่จะสายเกินไป
Ransomware โจมตีอย่างไร?
แฮกเกอร์ใช้ Ransomware Kill Chain ที่มีขั้นตอนชัดเจน — SIEM สามารถตรวจจับได้ ทุกขั้นตอน ถ้าตั้งค่าถูก:
| ขั้นตอน | กิจกรรม | Log ที่ตรวจจับได้ |
|---|
| 1. Initial Access | Phishing Email, RDP Brute Force | Email Log, Event ID 4625 |
| 2. Execution | รัน Payload, PowerShell | Event ID 4688, Sysmon |
| 3. Persistence | สร้าง Service, เพิ่ม Scheduled Task | Event ID 7045, 4698 |
| 4. Privilege Escalation | ได้ Admin, DCSync | Event ID 4672, 4662 |
| 5. Lateral Movement | PsExec, RDP ย้ายเครื่อง | Event ID 4624 (Type 3) |
| 6. Exfiltration | ส่งข้อมูลออก | Firewall Log, DNS Log |
| 7. Encryption | เข้ารหัสไฟล์ทั้งหมด | File Audit Log, SIEM Alert |
7 Detection Rules สำหรับ Ransomware
Rule 1: RDP Brute Force
Condition: Event ID 4625 (Failed Login) > 20 ครั้ง ใน 5 นาที
+ Login Type = 10 (Remote Desktop)
Severity: HIGH
Action: Block IP + Alert ทันที
Rule 2: Suspicious PowerShell
Condition: Event ID 4688 (Process Creation)
+ CommandLine contains: "-enc", "IEX", "DownloadString", "Invoke-"
Severity: CRITICAL
Action: Alert SOC + Kill Process
Rule 3: New Service Created
Condition: Event ID 7045 (New Service Installed)
+ Service Name ไม่อยู่ใน Whitelist
Severity: HIGH
Action: Alert + ตรวจสอบ
Rule 4: Mass File Encryption
Condition: File Audit Log แสดง:
+ File Rename > 100 ไฟล์ ใน 1 นาที
+ Extension เปลี่ยนเป็น .encrypted, .locked, .crypto
Severity: CRITICAL
Action: Alert + Isolate Host ทันที
Rule 5: Shadow Copy Deletion
Condition: Event ID 4688
+ CommandLine contains: "vssadmin delete shadows"
Severity: CRITICAL
Action: Alert ทันที — Ransomware กำลังลบ Backup!
Rule 6: Unusual Outbound Traffic
Condition: Firewall Log แสดง:
+ Outbound Data > 1GB ใน 1 ชั่วโมง
+ Destination = ประเทศที่ไม่เคยติดต่อ (Russia, North Korea, Iran)
Severity: HIGH
Action: Block + Alert
Rule 7: Domain Admin Login ผิดปกติ
Condition: Event ID 4624 (Login Success)
+ Username = Domain Admin
+ Source IP ไม่ใช่ Admin Workstation ปกติ
Severity: CRITICAL
Action: Alert ทันที
Incident Response — ทำอะไรเมื่อตรวจจับ Ransomware
- Isolate — ตัดเครือข่ายเครื่องที่ติดเชื้อทันที
- Contain — ปิด RDP, เปลี่ยน Admin Password ทุกตัว
- Investigate — ใช้ SIEM ค้นหาว่าเข้ามาทางไหน
- Eradicate — ลบ Malware, ปิดช่องโหว่
- Recover — Restore จาก Backup
- Report — รายงานตาม พ.ร.บ. คอมฯ
⭐ zcrLog ตรวจจับ Ransomware ได้
zcrLog มี Detection Rules สำเร็จรูปสำหรับ Ransomware:
- ✅ Sigma Rules — ตรวจจับ Ransomware pattern ที่รู้จัก
- ✅ AI Rule Generation — สร้าง Rule ใหม่อัตโนมัติ
- ✅ MITRE ATT&CK Mapping — แสดงขั้นตอนการโจมตี
- ✅ Alert ผ่าน LINE, Microsoft Teams — แจ้งเตือนทันทีวินาที
- ✅ Attack Map — แสดงแหล่งที่มาของการโจมตี
📖 อ่านเพิ่มเติม: MITRE ATT&CK คืออะไร?
🎯 ดูรายละเอียด zcrLog →
📞 ปรึกษาฟรี
บทความที่เกี่ยวข้อง
อ่านต่อเพื่อเปรียบเทียบแนวทางและลงรายละเอียดที่เกี่ยวข้อง:
ผลิตภัณฑ์ที่เกี่ยวข้อง
อ่านรายละเอียด zcrLog เพื่อดูขอบเขตการใช้งาน ดูราคาที่เผยแพร่ได้ที่หน้าราคา และสิ่งที่ต้องเตรียมก่อนคุยกับพาร์ทเนอร์