สวัสดีครับ กลับมาอีกครั้งกับชิวๆ ซีเคียวริตี้ บาย สเต็ป เพลย์กา
ผม สุเมธ จิตต์ ภักดีบดินทร์ ดําเนินรายการนะครับ
เอพพิโซดนี้จะเป็นเอพพิโซดของชิลล์ ชิลล์ สกิลตี้นะครับ จริงจริง
หัวข้อวันนี้อาจจะเป็นตัวของเฟอร์นิ 10 เดย์ก็ได้นะ
แต่ว่าผมคิดว่าอะมันน่าจะประจวบเหมาะกับตัวของ ถ้าพูดตรงตรงคือช่วงนี้งานเยอะครับ
ก็เลยไม่หัวข้ออื่นแล้วพึ่งไปได้คุยกับทางฝั่งของลูกค้ามา ในในส่วนนี้อะนะ ก็ก็เลยคิดว่า
เออ เอามาเล่าสู่กัน ฟังกันดีกว่านะครับ
ยังมีหลายประเด็นที่ เราสามารถทําได้กับตัวของดีเอ็นเอนะครับ
คือโอเค ขอเล่าเพิ่มเติมก่อนละกัน คือด้วยว่ากุฏิเนี่ยองค์กรต่างต่างครับก็จะมีตัวของดีเอ็นเอเซิร์ฟเวอร์ที่ใช้ในการรีโซฟอิ้งถูกไหมครับ
ซึ่งเพราะว่าตัวของในองค์กรองค์กรก็จะมีตัวของเครื่องชื่อเครื่องต่างต่างถูกมั้ยครับ ทีนี้เวลาที่ตัวของเซิร์ฟเวอร์จะเข้าตัวของเครื่องต่างต่างเค้าก็จะมีเรื่องของการรีโซวิ่งตัวของชื่อถูกมั้ยครับ
เช่นเดียวกันในส่วน ของตัวการพยายามเข้าไปที่อินเทอร์เน็ต
ต่างต่างก็จะมีการใช้งานตัวของดีเอ็นเอเซิร์ฟเวอร์เช่นเดียวกัน ประเด็นคือในส่วนของตัวดีเอ็นเอชตรงส่วนนี้ครับ
เรามักจะมีเรื่องของการสร้างล็อกขึ้นมา มีการเก็บล็อกขึ้นมา
แต่มักจะไม่ค่อยมีคนมอนิเตอร์สักเท่าไหร่ หรือไม่มีการทํายูสเคสในส่วนของการมอนิเตอร์ของทางฝั่งของดีไอเอสสักเท่าไหร่นะครับ
นั่นคือจุดที่ทําให้เออ ผมคิดว่าโอเคหัวข้อนี้น่าจะเป็นส่วนหนึ่งที่เอามาพูดได้นะครับ
พาร์ทแรกเลยครับ ถ้าพูดตามตรงคือ use case
แรกที่เราน่าจะทําได้ในลักษณะของการ detect พฤติกรรมผิดปกติ
ก็คือเรื่องของการ detect bly communitition นะครับ
ก่อนจะไปต่อมากกว่านี้นะครับ เดี๋ยวผมขอเล่าในเรื่องของตัว
blind commission ก่อนละกันว่ามันคืออะไรนะครับ
ตัวของ bry communizetion เนี่ย ถ้าพูดตามตรงก็คือเรื่องของการโจมตีที่เป็นลักษณะของ
การอินเจ็ค หรือการสั่งให้มีการทํางานเป็นเชิงคําสั่งในตัวของวินโดว์ในตัวของรีลุคแล้วให้ดําเนินการอย่างที่ต้องการถูกมั้ยครับ
แต่ว่าในส่วนนี้เนี่ย ส่วนของการโจมตีอะครับ
มันจะไม่เห็นข้อมูล ถ้าเป็นปลายคอมมูนิเคชั่น
คือถ้าเป็นคอมมูนิเคชั่นเนี่ยเราจะเห็นเลยว่า เอ้ย
ถ้าสมมติเราอินเจคคําสั่งพี่ดูดี เข้าไปเราจะเห็น response กลับมา
นะครับ ว่า เอ่อ มีการ
ใช้งานอยู่ที่ผาดไหนนะครับ ณ ตอนนี้ถ้าสมมติตัวของบราวน์คอมมิคชั่นเนี่ย
เราจะไม่เห็นนะครับ เราจะสามารถตรวจสอบได้โดยใช้พวกสลีปหรืออีกแบบนึงที่เค้ามักจะทํากันคือลักษณะที่ตัวของทางฝั่ง
เออ ผู้โชคดีพยายามบังคับ ให้ตัวของแอพพลิเคชั่นดําเนินการในการโดเมนเพื่อให้ตัวของทางฝั่งแฮกเกอร์สามารถที่จะรู้ได้ว่า
อ๋อ โอเค ตัวของทางแอพพลิเคชั่นมันมีการตอบสนองกับตัวของโดเมนนี้นะนะครับ
ดังนั้นเนี่ย มันจะเป็นตัวบ่งบอกว่า
การทําบราวน์คอมมิทชั่นนั้นสําเร็จนั่นเองนะครับ ซึ่งในจุดนี้ครับ
ถ้าเราดูจากตัวของการทดสอบแบบนี้นะครับ ที่เราจะ3ารถดูได้จากส่วนของระบบแบบนี้เนี่ย
คือเรื่องของการที่ดีเอ็นเอมีการพยายามตัวของโดเมนที่เป็นทางฝั่งของเทกเตอร์ควบคุมอยู่นะครับ พวกที่เป็นซีทูคอมมานด์หรือตัวที่เป็นใช้ในการทําพวก
Blind commission อย่างเช่นตัวของเบิร์บ
collaborator นะครับ หรือตัวของพวกดีเอ็นเอซีเอ็น
หรืออะไรก็แล้วแต่พวกนั้นนะครับ ซึ่งถ้าเป็นแบบนั้นเนี่ย
มันหมายความว่าเราสามารถตรวจสอบได้เลยว่า การโจมตีนี้มันเกิดขึ้นในระบบองค์กรของเราหรือไม่
รายการดนตรีนี้สําเร็จหรือไม่นั่นเองนะครับ เพราะว่าในในกรณีของถ้าพูดตรงตรงคือ
บราวน์คอมมิวนิชั่นเนี่ย ถ้าเราดูที่ตัวของแอสเซทของตัวเว็บแอพพลิเคชั่นเองเนี่ย
เราอาจจะไม่เห็นเรื่องของพฤติกรรม เอิ่ม
หรือว่าเรื่องเรื่องของตัวการทํางานนะครับว่าการโจมตีด้านซัคเซสหรือไม่นะครับ แต่ถ้าเราไปเช็คตัวที่ดีเอ็นเอสล็อกนะครับ
เราจะ 3ารถรู้ได้ว่า อ๋อ โอเค ตัวของเครื่องเซิร์ฟเวอร์ใดก็แล้วแต่เนี่ย
มีการพยายามที่จะรีโซคไปที่ตัวของซีทูเซิร์ฟเวอร์หรือไม่นะครับ แล้วโดยเฉพาะถ้าเป็นตัวของซีทูเซิร์ฟเวอร์ก็ขออภัยซีทูโดเมนนะครับ
ที่เป็นโดเมนของ ทางที่มักจะใช้ในการทําบราวน์คอมมิทชั่นอยู่แล้วเนี่ย
เราก็จะยิ่งรู้ได้เลยว่า อ๋อ โอเคมันน่าจะมีแอปพลิเคชันสักตัวของเรา
นี่แหละที่น่าจะนะครับ ใช้คําว่าน่าจะถูกโจมตีและโจมตีสําเร็จด้วยนะครับ
ซึ่งถ้าถ้าพูดตรงตรงคือการทําในบราวน์คอมมานดิชั้นในส่วนนี้อะครับ มันสามารถดีเทคได้จากตัวของเดียร์ล็อก
ถ้าเราทําการมอนิเตอร์นะครับ อันนี้คือส่วนหนึ่งนะครับ
ส่วนที่2 คือเรื่องของ ลักษณะที่ว่าถ้าเป็น การ ที่
เซอร์ เวอร์ ใดใด ก็แล้วแต่ นะ ครับ ซี ทู เซิร์ฟเวอร์ ใดใด
แล้วแต่ ภายใน องค์กร ของ เราเอง นี่แหละ มีความ พยายาม ที่ จะ
ทําการ รีโซ ตัวของ ดีเอ็นเอ นะ ครับ ที่ เป็น พวก คอม มายด์
คอนโทรล เซิร์ฟเวอร์ นะ ครับ จะ คล้าย คล้ายกับ กร ณ ี ของ ตัว
บราวน์ คอมมิว นิ ชั่น แต่ เนี่ย จะ เป็น คล้ายคล้าย กร
ณ ี ที่ ว่า ถ้า สมมติ ตัวของ เทเล็คเตอร์ เนี่ย สามารถ ควบคุม
ได้แล้ว นะ ครับ แล้วก็ พยายามจะ ตัวของ โดเมน นะ ครับ ที่ เป็น
ไอโอซี ของ เทรด แอค เตอร์ กลุ่มใด กลุ่ม หนึ่ง นะ ครับ ก็จะ
ทําให้เรา 3 ารถรู้ ได้ว่า เออ เนี่ย มันเกิด เหตุการ ณ ์ โจมตี
เกิดขึ้น แล้ว นะ นะ ครับ หมายถึงว่าเครื่องอาจจะถูกคุมไว้ไปแล้วรึเปล่านะครับ
ภาพถัดมาที่เป็นไปได้ครับ เรื่องคือเรื่องของตัวที่เป็นเทรด
humanting ครับ คือในบางครั้งเองเนี่ยเมื่อเวลาเราเจอว่าตัวของเครื่องเราถูกโครงไม้อะครับ
สิ่งหนึ่งที่เรามักจะเจอกันคือเรื่องของการติดต่อไปที่ตัวของ commycroom
เซิร์ฟเวอร์ถูกมั้ยครับ ทีนี้เนี่ยการติดต่อไปที่ commy
control เซิร์ฟเวอร์มันก็จะมีเรื่องของตัว
i o c ก็คือ i p หรือเป็นโดเมนนะครับ
ซึ่งถ้าสมมุติว่าเรามีตัวของดีเน็ตล็อคอยู่นะครับ แล้วก็เกิดเหตุดังกล่าวที่เกิดขึ้นเนี่ย
มันจะทําให้จริงจริงแล้วเนี่ยเราสามารถที่ เอาตัวของดีเอสล็อกในส่วนเนี้ยมาทําเช็คทันได้ว่า
เอ้ย มันมีเครื่องไหนบ้างที่พยายามติดต่อไปที่ตัวของซีทูเซิร์ฟเวอร์เหล่านั้นนะครับ
ซึ่งเมื่อเราเจอเราก็จะรู้ว่า อ๋อ โอเค น่าจะมีหลายหลายเครื่อง
ไม่ใช่แค่เครื่องเรียนแล้วที่น่าจะถูกคอมมานไมซ์นะครับ อันนี้ก็เป็นอีกประโยชน์นึงของตัวเอง
ไนท์ล็อค ซึ่งยูสเคสนี้เนี่ยก็อย่างที่บอกบอกเหมือนกันว่าอาจจะไม่ค่อยมีคนคิดถึงสักเท่าไหร่นะครับ
ภาพต่อมาคือเรื่องของที่เป็นลักษณะ เรสเตอร์มูฟเมนต์นะครับ
ตัวของเรตัลมูฟเมนต์ที่เรามักจะเคยเจอกันคือการพยายามจะเข้าถึงตัวของเครื่องต่างต่างเพิ่มเติม หลังจากที่ตัวของ ted racker
เนี่ยสามารถเข้ามาที่ตัวของเครื่องใดเครื่องหนึ่งภายในองค์กรได้แล้วนะครับ ซึ่งในใน part
นี้เนี่ยตัวของทางฝั่ง d n s หรอกนะครับ จะ3ารถ
มาดูได้ว่าถ้าเกิดตัวของเครื่องเซิร์ฟเวอร์นะครับ ใดใดนะครับ มันมีการพยายาม
resoving ตัวของ โดเมนจํานวนมากมากนะครับ
ในช่วงระยะเวลาอันสั้นอันเนี้ย ถือว่ามันค่อนข้างผิดปกตินะครับ
เพราะถ้าพูดตามตรงเนี่ยคือตัวของสมมุติ sover ตัวนึง
มีการพยายามติดต่อไปที่ตัวของ server อีกตัวนึงอะ อันเนี้ย
dovid เราเข้าใจได้ถูกมั้ยครับว่าจะมี
การพยายาม resolve เอ่อ ตัวของ domain หรือตัวของชื่อเครื่อง
ซึ่งจริงจริงแล้วเนี่ย ในในส่วนเนี้ยมันมันก็จะไม่เยอะมาก
ถูกมั้ยครับ มันก็จะมีแบบแค่ระดับนึงเท่านั้นเอง
แต่ถ้าสมมุติเกิดเจอลักษณะของการทํา innovation
ในยกตัวอย่างเช่นนะครับ ในตัวของพวกแบบ how ที่มีการทํา
ทั้งตัวของเอ่อ ระบบเลยเนี่ยนะครับ
คือทั้งตัวของทั้ง user ทั้งตัวของเครื่องตัวของกรุ๊ปต่างต่างในช่วงระยะเวลาอันสั้นเนี่ย
ในตัวของเครื่องเรื่องของ การพยายาม resoving name
และก็พยายามเรื่องของการเข้าถึงตัวของเครื่องปลายทางเนี่ย มันจะทําให้เกิดประเด็นในส่วนของตัว
การทํา d s resolving ค่อนข้างจํานวนมหาศาลถูกมั้ยครับ
ซึ่งปกติมันไม่เคยเกิดขึ้นหรอก ถ้าถ้ามันไม่เกิดลักษณะของ
innovation แบบนี้นะครับ ดังนั้นเนี่ย
การทํางานส่วนนี้ครับ เราก็สามารถนํามาใช้ use case
เพื่อจะ detect เรื่องของการทํา piamental moment ของตัว trader
ที่ 3 ารถเข้าถึงเครื่องใดเครื่องหนึ่งได้แล้ว
นั่นเองนะครับ ก็อันนี้เป็นตัวอย่างครับ
สําหรับตัวของ use case ต่างต่างนะครับ ที่
3ารถที่จะเป็นไปได้ที่เราใช้ตัวของ distrop นะครับ
ซึ่งก็อย่างที่ผมแจ้งครับ มีทั้งเรื่องของ
การพยายามทําเป็นโพแอคทีฟ คือหาลักษณะ
ของเครื่องที่น่าจะถูกโจมตีนะครับ หรือตัวของกรณีที่เป็นเรื่องของ
brand communication ที่เป็นการตรวจสอบด้วย
ว่า เออโจมตีแล้วซัคเซสหรือไม่นะครับ
หรือถ้าเป็นเรื่องของเทรด harding คือเราถูกโจมตีอยู่แล้วเราอยากจะเจอด้วยว่า
เออ มีเครื่องอื่นเครื่องไหนที่มีการถูกโจมตีด้วยมั้ย
แล้วเราไม่เห็นนะครับ หรือถ้าเป็นกรณี
อย่างเช่นกรณีของการทํา innovation
ภายในหรือการทําเป็นห้อง moment เนี่ย เราก็จะเห็นได้จากตัวของ
develop เช่นเดียวกันนะครับ ทั้งหมดทั้งมวลในส่วนนี้เนี่ย
ถ้าพูดทางตรงคือองค์กรหลายหลายองค์กร เองเท่าที่ผมไปคุยมาเนี่ย
ไม่ค่อยได้มีการใช้งานตัวของ death lock
ในพาร์ทนี้ในการทํางานซัก ไหลนะครับ
มักจะเป็นลักษณะของการทํางานที่เป็นเชิงของ เออ
การเก็บหลอกออดิทธรรมดามากกว่า ซึ่งอันที่พูดตรงตรงผมไม่คิดว่ามันจะดีนะครับ
ผมคิดว่ามันมีประโยชน์มากกว่านั้นมากมาก อย่างที่ยูสเคสที่ผมแจ้งไปก่อนหน้านี้นะครับ
ดังนั้นก็ฝากไว้นะครับ หากใครที่เป็นสต็อกของแต่ละองค์กร
ต่างต่างก็อาจจะนําไปประยุกต์ใช้นะครับ ในเรื่องของการทํายูสเคสใหม่ใหม่
หรือการพยายามรีเทคพฤติกรรมที่ผิด ปกติเพิ่มเติมอีกทีนึงนั่นเองนะครับ
โอเคก็ประมาณนี้นะครับ ขอบคุณทุกท่านเข้ามาติดต้อนรับคุณใหม่สําหรับวันนี้
ลากันไปก่อน สวัสดีครับ