รายการนะครับ เอสโซ่ นี้ เป็น ส่วน ของ ชิลล์ ชิลล์ สกิล
ตี้ นะ ครับ วันนี้จะ พูด ถึง เรื่องของ เพน เทส และ
ประสบการ ณ ์ จริงจริง เอพ พิ โซด นี้ก็ เป็น เอพ พิ โซด ที่ เ
หมือน จะ บ่น ก็ว่า ได้ นะ ครับ คือ ด้วย ความ ที่ ล่าสุด มี แบบ
ผมมี ไป ส่วน หนึ่ง ของของ บริษัท เออ ที่ นึง แล้วกัน แล้วก็ ทีนี้
เค้า ก็มี เรื่องของ เพน เทส จูเนียร์ เข้ามา
เป็นเน็ตจูเนียร์เนี่ย ทําผลงานออกมาได้ค่อนข้างไม่ค่อยโอเคสักเท่าไหร่
โดยที่มีการพูดถึงในเรื่องของผลการบินที่ส่งมาให้ทีมเดฟ ซึ่งเผอิญตัวของไอ้เดฟที่ว่าเนี่ย
มันหมายถึงว่าแอพพลิเคชั่นที่ว่ามันถูกเคยถูกโจมตีมาก่อนนะครับ แล้วผมก็เข้าไปอินเตอร์
ช่วยในเรื่องของการจัดการ insident ให้ทีนี้ พอ
เป็นการรีเทสติ้ง คือมันมี park นึงอ่ะนะ ในตัวของ internet
คือเรื่องของตัวเออ action take นะครับ เป็นเป็นการทําเพื่อ
Improvement ก็ปรากฎว่า เป็นส่วนของการที่ให้เข้ามาทํารีเทสเรื่องของเพื่อจะดูว่าโอเค
ตัวของแอพพลิเคชั่นมีช่องโหว่อยู่ไหมนะครับ ซึ่งพอ
ทําไปแล้วมีการรีพอร์ตเข้ามาแล้วก็ ค่อนข้างจะยึดโยงไปที่เรื่องของตัว
แอปพลิเคชันในที่นี้ก็ได้เป็นพวก money assessment to
ต่างต่างเช่นตัวของ nextus อ่า หรือตัวของเบิร์ด week เอง
หรือจะเป็นตัวของ accodex เองก็แล้วแต่นะครับ
ก็มีการสแกนเข้ามาแล้วก็บอกผลซึ่งมีข้อนึงบอกว่า เป็นตัวของ
นะครับ ก็คือเป็นแบบ clinical เลยให้เป็น critical เลย
ซึ่งผมก็อ่านแล้วก็เฮ้ย ทําไมให้เป็น crisistical
มันตรวจสอบอะไรแล้วยังนะ เราก็เลยได้ทําการส่งไปนะครับ
ตอบหรือถามไปทางฝั่งของคนที่ทําเป็น test ว่า เอ้ย อันนี้คุณทํา
เพนเทสต์เนี่ย คุณยึดจากผล หรือว่าคุณวิเคราะห์ด้วย
ถ้าคุณวิเคราะห์ด้วยทําไมข้อนี้สุดท้ายเป็น critical
มันมีความแตกต่างกันยังไงกับตัวของพฤติกรรม การทํางาน ปกติกับตัวของที่ว่า
ถ้า det say เข้าผ่านผ่านหนึ่งนะครับ
ผมไม่สามารถบอกได้แล้วกันนะว่ามันเป็นประมาณไหน แต่ว่าก็เป็นผ่านที่เรียกว่า
ถ้าชื่อมันดู save นะครับ แต่ว่าจริงจริงแล้วเราพอเราดูแล้วเนี่ย
มันเหมือนเป็นพฤติกรรม การทํางาน ปกติมากกว่า
ก็เลยเป็นคําถามกลับไปว่าอะไร แล้วคุณตรวจสอบมั้ยว่าการทํางาน
ปกติกับตัวของ request ที่คุณบอกว่าคุณเข้า sensitive
information sensitive part ได้เนี่ย
มันมีความแตกต่างกันยังไง เขาก็ไม่ตอบ
เขาก็พยายามจะยื้อไปที่เรื่องอื่นเรื่องของ lab of อะไรอ่ะ แล็ป off
auditation หรืออะไรอย่างเงี้ยนะครับ
ซึ่งผมก็ถามย้ําซ้ําไปอีกครั้งว่า request ปกติกับ request
ที่คุณเรียกเนี่ยไปที่ผาดผ่านนั้นเนี่ย มันมีความแตกต่างกันไหม ถ้าตัวของ
pickation มันทํางานที่เหมือนกัน แล้วทําไมคุณให้ engritical เขา
ก็เอาแมวออมมันกลับมาว่า เออ อย่างไรก็ตามถ้าสมมุติคุณคิดว่า
เป็นโลเดี๋ยวเราหลับเป็นโลว์ให้ผมก็ถามย้ําไปว่า อ้าว
แล้วตอนแรกที่คุณประเมินน่ะ คุณประเมินยังไงคุณได้ให้ข้อมูลหลักฐานไหมว่ามันการ
request ปกติกับการ request ที่คุณบอกว่าคุณเข้าเซนซิทีฟผ่านได้เนี่ย
มันมีความแตกต่างกันยังไง คุณให้ข้อมูลได้ไหม
ซึ่งเขาก็ไม่ตอบครับ ก็ก็วนไป เรื่องเดิมก็วนอยู่ในนั้น
จนกระทั่งผมอะ ถ้างั้นผมขอ request
เปลี่ยนคนละกันในการทําแบรนด์คือในตัวของการทําเป็น test เองครับ
สิ่งหนึ่งที่ผมคิดว่า เป็นสําคัญเลย
คือการที่เราต้องประเมิน ตัวของความเ 4
ยงได้อย่างเหมาะสมการประเมินความเ4 ยงได้อย่างเหมาะสมมันก็ต้องว่าไปด้วยตัวของ
ค่าของผลกระทบที่เกิดขึ้นค่าของความยากง่ายในการโจมตีความ เป็นไปได้ที่จะเกิดการโจมตีนะครับ
ประเด็นคือพอมันตีความแบบนั้นไม่ได้หมายถึงว่าประเมินออกมาไม่ได้มันก็ตอบไม่ได้หรอก มันคือความเ 4
ยงแล้วคุณไปให้เป็นคริติคอล หรือให้เป็นคุณเป็นโลว์
ไปเลยเนี่ย โดยที่ไม่มีหลักการเหตุและผลเนี่ยอันเนี่ย
ผมว่ามันมันไม่ดีสักเท่าไหร่นะครับ ในมุมเนี้ย
ผมก็บอกทางลูกค้าแหละว่าเออแบบเฮ้ย ถ้าคือต่อให้ตัวของแอปพลิเคชันนั้นมีการถูกโจมตีมาก่อนหน้านี้ถูกแฮกไปก่อนหน้านี้แต่มันไม่ได้หมายความว่าการทําเป็นเทสต์ทุกทุกครั้งกับตัวของแอปพลิเคชันนั้นนั้นมันจะไม่สีเขียวนะครับ
คือเค้าอาจจะแก้ไข จนกระทั่งว่าแอปพลิเคชันมันดีแล้วก็ได้แต่กลับกันคุณดันไปใช้ตัวของวีเอทูในการสแกนแล้วคุณก็มาบอกว่า
เออ นี่มันมีแอปพลิเคชัน มีช่วงเวิร์ลที่ค่อนข้างรุนแรง
นู่นนี่นั่นอะไรอย่างเงี้ย โดยที่ไม่มีหลักการเหตุและผล
ผมว่ามันไร้สาระไปหน่อยคือดังนั้นผมก็ตอบไปอย่างชัดเจนแหละว่า เออ ถ้าสมมติว่าคุณไม่สามารถที่
ให้ได้อย่างเหมาะสมว่าเพราะอะไร หรือคุณบอกว่าโอเค
อันนี้เป็นฟอลต์ไม่เป็นความผิดพลาดของเค้าเอง ถ้าเค้าไม่ตอบ
ผมก็ขอรีเควสให้เปลี่ยนคนทํา เพราะผมมองว่ามันไม่มีประโยชน์กับทีมแอพทีมแอพควรจะได้ผลการเป็นทีเอสที่เหมาะสมมากกว่านี้ไม่ใช่เพียงแค่การเอาผลลัพธ์จากตัวของเครื่องมือมาสแกนเพราะอย่างเคยเคยพูดถึงนะครับว่าตัวของทําวีเอเพนเทสกับวีเอกับเพ็นเทสมีความแตกต่างกัน
ผลการทําก็แตกต่างกัน การวิเคราะห์ก็แตกต่างกันทุกอย่างมันมีความแตกต่างกันในดีเทลทั้งหมดเลยนะครับ
ดังนั้นเนี่ย การทําวีเอแล้วก็บอกเป็นผมเป็นเทสต์
ผมยอมรับไม่ได้ ถ้าพูดตามตรงดังนั้นเนี้ยผมก็เลยคิดว่าไม่เหมาะสมครับ
แล้วก็เลยมองว่า เป็นส่วนที่เค้าควรจะต้องปรับปรุงและแก้ไข
ไม่ว่าจะเป็นคนที่ปฏิบัติงานเองจะบอกว่าเค้าเป็นจูเนียร์แล้วผิดพลาดไม่ได้เลยก็ไม่ถูกยิ่งเป็นจูเนียร์ มันก็ยิ่งจะบอกได้แหละว่าคือเค้าควรจะผิดพลาดได้
และควรเค้าจะปรับปรุงให้ดีขึ้น ไม่ใช่อาศัย
ว่า โอเค ฉันอยู่ เพ็ นที เอส ทีม แล้วฉัน ทําเพ็ นที ชุ่ย อะไร
มาก็ ได้ อันนั้น ผมไม่ เห็น ด้วย นะ ครับ ก็ เรียก ว่า
เป็น ประสบการ ณ ์ อันนึง ละกัน นะ ครับ ที่ ผมคิดว่า เป็น
ส่วน ที่ ต้องเอามาใช้ในการประเมินตัวของช่วงโหวดต่างต่างให้เหมาะสมมากขึ้น
การให้เหตุและผลที่เหมาะสมจะนําไปสู่เรื่องของ การให้ priority
หรือความสําคัญในการฟิกช่องโหว่ในหลายหลายอย่างอย่างเหมาะสมมากกว่านะครับ โอเค episode นี้ประมาณนี้ครับ
ขอบคุณทุกท่านเข้ามาติดต่อขอบพระคุณใหม่สําหรับวันนี้ลากันไปก่อน สวัสดีครับ