Wednesday, July 24, 2024
More
    Homeบทความทั่วไปนักแฮกเกอร์ตัวจริงแนะวิธีป้องกันภัยไซเบอร์ไทย

    นักแฮกเกอร์ตัวจริงแนะวิธีป้องกันภัยไซเบอร์ไทย

    ข้อมูลถอดความจากเพจทีเอ็นเอ็น เทค ออริจินัลส์(TNN TechOriginals)  จากการล้วงลึกเหลี่ยมเล่ห์แฮกเกอร์ทั้งหลาย

    เกรกอรี พิกเค็ทท์ (Gregory Pickett) ผู้ก่อตั้งไซเบอร์ซีเคียวริตี้ โอปอเรชั่นส์ ฟอร์ เฮลไฟร์ ซีเคียวริตี้

    แฮกเกอร์ตัวจริงคนหนึ่ง ได้ยอมออกมาเปิดเผยเคล็ดลับวิธีรับมือภัยไซเบอร์ให้กับคนไทยและแนะนำวิธีป้องกันภัยไซเบอร์ด้วย

    เกรกอรี พิกเค็ทท์ เริ่มแนะนำตัวเองง่าย ๆ ว่า ผมเป็นแฮกเกอร์ เป็นพวกชอบทำลายข้าวของ แต่จะเน้นเรื่องระบบความปลอดภัย ผมเป็นแฮกเกอร์สายเทา หมายความว่า บางคร้้งผมก็ได้รับเชิญ แต่ก็ไม่เสมอไป

    การได้รับเชิญหมายถึงเช่น อาจจะมีคนขอว่า “คุณลองแฮกเข้าระบบให้หน่อยได้ไหม?” ซึ่งจะดำเนินการโดยใช้วิธีเพนเทรชั่น เทสต์(Penetration Test-วิธีประเมินความเสี่ยงด้วยการเจาะเข้าระบบเพื่อค้นหาช่องโหว่) โดยจะมีข้อปฏิบัติรวมอยู่ด้วย

    ส่วนการไม่ถูกเชิญก็เหมือนกับผมไปค้นหาด้วยตัวเองโดยทั่วไปจะเป็นข้อมูลที่ถูกเปิดเผยสาธารณะอยู่แล้ว มักเป็นพื้นที่ของลูกค้าที่เชื้อเชิญให้ทุกคนเข้ามาเยี่ยมชม  ซึ่งในกรณีของผมก็คือการมองหาทางเจาะเข้าไปนั่นเอง

    การเป็นแฮกเกอร์จริงยากไหม?
    เกรกอรี พิกเค็ทท์ ตอบว่า ทั้งยากและไม่ยาก อาศัยการทำงานอย่างหนัก ไม่เหมือนในหนัง คุณต้องอยากรู้อยากเห็นมากถึงขั้นที่เรียกว่าหลงใหล คลั่งไคล้ ผมมองว่าต้องมีทักษะในการแก้ปัญหาได้อย่างรวดเร็วด้วย เพราะคุณจะต้องเจอกับปัญหาที่ต้องแก้ไขครั้งแล้วครั้งเล่า

    หากว่าคุณรับมือกับจุดนี้ได้และเป็นคนชอบความท้าทาย ผมคิดว่าสิ่งต่อไปที่ควรจะมีคือทักษะการเขียนโค้ด ผมไม่คิดว่าตัวเองเป็นโปรแกรมเมอร์ผมแค่อ่านโค้ด แต่ถ้าคุณสามารถทำได้ก็จะเป็นประโยชน์มากทีเดียว

    มองภาพรวมความปลอดภัยทางไซเบอร์ไทยอย่างไร?

    เกรกอรี อธิบายว่า ผมสแกนเครือข่ายในไทยและเก็บรวบรวมข้อมูล ซึ่งแน่นอนว่าทั้งหมดถูกดำเนินการบนพื้นที่สาธารณะ เมื่อผมได้ทดสอบกับหลายๆระบบของไทย ที่ส่วนใหญ่เป็นโครงสร้างพื้นฐานที่สำคัญ ก็เริ่มพบกับข้อผิดพลาดแบบเดิมซ้ำ ๆ

    ย้ำอีกครั้งว่านี่คือข้อผิดพลาดที่ผมรู้สึกว่าสามารถปรับปรุงได้ และทำให้เห็นว่าองค์กรไหนควรพัฒนาอะไร องค์กรไหนควรปรับปรุงยังไง คุณอาจจะบอกว่ามันเป็นจุดอ่อน แต่ผมกลับมองว่าเป็นจุดที่พัฒนาได้

    จุดอ่อนไซเบอร์ไทยอยู่ตรงไหน?
    เกรกอรี่ พิกเค็ทท์ บอกว่า ผมพบว่ามี 3 จุดที่เราควรโฟกัส อย่างแรกคือแนวทางที่มุ่งเน้นการแก้ปัญหาเป็นหลัก ทุกคนตื่นตัวกับไฟร์วอลส์ (Firewalls-ซอฟต์แวร์หรือฮาร์ดแวร์ที่ทำหน้าที่ตรวจสอบข้อมูลเข้า-ออก) และการป้องกันที่ปลายทาง และผลักดันให้บริษัทหันมาปรับใช้ไฟร์วอลส์หรือแก้ปัญหากันที่ปลายเหตุ

    ประเด็นต่อมาคือการพึ่งพาระบบตรวจสอบที่มากเกินไปโดยเฉพาะในปัจจุบันที่มีการใช้กระบวนการที่เรียกว่า วีเอพีที(VAPT-กระบวนการค้นหาช่องโหว่และตรวจสอบจุดอ่อน) ซึ่งเป็นอีกหนึ่งระบบตรวจสอบ

    ระบบเหล่านี้ใช้หลักการคาดเดา และหลาย ๆ ครั้งการคาดเดามักเกิดความผิดพลาด ให้ลองนึกถึงการซื้อสลากกินแบ่ง คนจำนวนมหาศาลต่างคาดเดากันเข้ามา มีเพียงไม่กี่คนเท่านั้นที่จะเดาถูก

    อย่างที่สาม คือความเข้าใจจากการพึ่งพาเครื่องมือเป็นหลัก ความจริงแล้วเครื่องมือควรเป็นตัวช่วยในการจัดเก็บข้อมูล แต่ก็เริ่มมีเครื่องมือหลายๆชนิด พยายามทำตัวเป็นประโยชน์มากขึ้น อาจมาในรูปแบบของการเสนอไอเดียในการนำข้อมูลที่เก็บได้มาใช้งานและมักมาพร้อมกับข้อสรุปอีกด้วย ทั้งนี้ก็เป็นแค่การคาดเดา ซึ่งบ่อยครั้งก็เป็นการคาดเดาที่ผิดพลาด เช่นเดียวกับการไว้วางใจมากเกินไปที่จะให้เครื่องมือเหล่านี้ทำหน้าที่คิดแทนและหาคำตอบให้กับเรา หรือแม้กระทั่งบอกวิธีจัดการกับข้อมูลที่เก็บได้

    ควรต้องจัดการปัญหาอย่างไร?
    เกรกอรี กล่าวว่า ผมคงตอบว่าให้“ตรวจเช็กงานของคุณเอง” เปลี่ยนจากใช้ระบบทดสอบหรือการทำ VAPT มาเน้นการทดสอบระบบความปลอดภัยของคุณจริง ๆเพราะด้วยวิธีนี้ เราจะเปลี่ยนจากการคาดเดาซึ่งเป็นวิธีที่ระบบทดสอบมาเป็น หากทุกคนที่มีส่วนเกี่ยวข้องในการสร้างระบบสำหรับใช้งานตามบริษัทต่าง ๆ หันมาร่วมมือกับตรวจเช็กงานกันมากขึ้นปัญหานี้จะคลี่คลายไปได้เยอะเลย

    จุดแข็งของความปลอดภัยทางไซเบอร์ไทย?  
    เกรกอรี่ เผยว่า ผมคิดว่าที่ไทยมีความสนใจในเรื่องนี้พอสมควร ถ้ามองในระดับประชากรทั่วไป ที่นี่มีการสนับสนุนเรื่องนี้มากกว่าที่อื่น ๆ มาก สำหรับที่ไทยคือทุกคนมีความตื่นตัวกับเรื่องนี้ ซึ่งผมมองว่าถ้าขาดจุดนี้ไป เราคงไปไม่ถึงไหนแน่ ๆ

    การที่ไทยมีข้อนี้จึงถือว่าได้เปรียบพอสมควร สำนักงานคณะกรรมการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.-NCSA) ถือเป็นจุดเริ่มต้นที่ดีเลย ผมได้พูดคุยกับทีมงานที่นั่น ซึ่งเหมือนจะมีการรณรงค์ให้ทุกคนได้มีส่วนร่วม ผมคิดว่านี่คือสิ่งที่เราต้องการจริง ๆ การได้ช่วยส่งเสริมให้ทุกคนมีส่วนร่วมและเป็นอะไรที่เราอยากทำจริง ๆ ได้ให้ความรู้คนอื่น ๆ และช่วยสนับสนุนให้ทุกคนได้เข้าศึกษาเรื่องนี้ในโรงเรียน ปัจจุบันภาครัฐก็มีดำเนินงานในด้านนี้อยู่ไม่น้อยและทำได้ค่อนข้างดีเลยในเรื่องของการรณรงค์ให้ทุกคนมีส่วนร่วม

    คำแนะนำรับมือภัยไซเบอร์

     เกรกอรี่ให้คำแนะนำว่า ผมคิดว่าขึ้นอยู่กับมุมมองส่วนบุคคล ไม่ว่าคุณจะเป็นสายไอที หรือแค่มีสมาร์ทโฟนหรือแล็ปท็อป อย่าลืมตรวจสอบให้แน่ใจว่ามันปลอดภัยอย่างที่คิดจริง ๆ ลองถามเพื่อน ๆ ของคุณบางทีเพื่อนของคุณอาจรู้รหัสปลดล็อกสมาร์ทโฟนของคุณก็ได้ เหมือนที่ผมรู้รหัสของภรรยา นั่นก็เพราะเธอไม่ได้ป้องกันให้ดี ผมเห็นบ่อยจนจำได้แล้ว

    สมาร์ทโฟนคือจุดเริ่มต้นของความสะดวกสบาย ที่เริ่มกลายเป็นความเสี่ยง

    หากลองสังเกตดูจะพบว่าเราเก็บข้อมูลแทบทั้งหมดอยู่ในสมาร์ทโฟน เพื่อออกแบบแอปพลิเคชันปลอมมาในหลากหลายรูปแบบ หน้าตาอาจจะเป็นเกม แต่เบื้องลึกอาจแฝงโทรจัน(Trojan-โปรแกรมที่ออกแบบมาเพื่อลักลอบข้อมูลจากคอมพิวเตอร์)มาด้วยก็ได้

    อีกเรื่องที่อยากเสริมสำหรับสมาร์ทโฟนคือผมไม่ได้หมายถึงให้ทุกคนเลิกใช้มัน เพียงแต่เวลาใช้รหัสผ่าน OTP สำหรับธนาคาร ก็อยากให้ลองใส่ไว้ในสมาร์ทโฟนคนละเครื่อง เพราะจะปลอดภัยขึ้น เนื่องจากอยู่นอกระยะที่โทรจันเองสามารถลอบเก็บข้อมูลได้

    การมาของ AI ส่งผลอย่างไรต่อวงการแฮกเกอร์?

    เกรกอรี่ กล่าวว่า ผมคิดว่าผลกระทบที่ชัดเจนที่สุดคงหนีไม่พ้นวิศวกรรมสังคม ซึ่งเป็นการจูงใจ พูดคุย และขอให้ทำบางสิ่งให้ แสร้งทำเป็นเหมือนคนรู้จักหรือคนใกล้ชิดที่คุณไว้ใจ สิ่งที่เจนเนอเรทีฟ เอไอ(generative AI) ทำ คือการคัดสรรคำตอบที่ดีที่สุดที่เคยถูกเขียนขึ้นมา แล้วเอามาแปลงเป็นข้อความเสียงหรือแม้กระทั่งวิดีโอของคนที่คุณรู้จัก คราวนี้จึงออกมาเป็นชุดข้อมูลที่น่าเชื่อถือและดีที่สุดให้คุณได้ยินเสมือนว่ามาจากเพื่อน เพื่อนบ้าน หรือเพื่อนร่วมงานที่คุณไว้ใจจริง ๆ มันยอดเยี่ยมกว่าที่คน ๆ เดียวจะทำได้เสียอีก มันเป็นเรื่องใหญ่มาก

    AI ทำให้ขโมยข้อมูลง่ายขึ้น!?  

    นักแฮกเกอร์  กล่าวว่า  เดี๋ยวมันจะได้ทำได้ดีกว่านี้แน่นอน คิดว่าในเรื่องของวิศวกรรมสังคมมันจะทำได้ดียิ่งขึ้น ผมหมายถึงไม่มีทางเลยที่ผมจะดูเป็นคนไทย หรือแม้แต่พูดให้ได้สำเนียงที่ใกล้เคียง เพราะด้วยคำที่ผมใช้ หรือบางเรื่องที่ผมพูด แต่สำหรับเอไอ มันทำได้แล้

    วิธีป้องกันตัวเองทางไซเบอร์?

    เกรกอรี่ กล่าวว่า ผมว่าพวกเขาคงไม่อยากได้ยินเท่าไหร่ แต่ก็ขอย้อนไปเรื่องสมาร์ทโฟนเช่นเดิม พยายามอย่าเก็บข้อมูลไว้ในที่เดียว แยกมันออกจากกัน ส่วนหนึ่งเก็บไว้อีกเครื่อง ข้อมูลสำคัญ ๆ แยกไว้ในอีกเครื่อง เพราะภัยที่น่ากลัวที่สุดคือสมาร์ทโฟนเครื่องที่คุณพกพาอยู่ ดังนั้นจงอย่าเก็บข้อมูลทั้งหมดไว้ในเครื่องเดียว

    ความปลอดภัยทางไซเบอร์ในองค์กรต้องเน้นเรื่องอะไร? 

    ความกังวลของผมยังคงเป็นเรื่องระบบตรวจสอบที่เราพึ่งพาสิ่งเหล่านี้จนเกินไปในการคาดเดาผลลัพธ์ ซึ่งมักเป็นผลลัพธ์ที่ผิดซะส่วนใหญ่ คุณต้องตัดสินใจและเช็กงานของตัวเอง ต้องทำมากกว่าแค่การคาดเดา หรือใช้ระบบตรวจสอบ

    คุณต้องคอยติดตามและทดสอบอย่างจริงจัง ถ้าหากคุณเริ่มคิดจะตรวจสอบอย่างจริงจัง ไม่มีผู้บริหารหรือบุคคลระดับสูงจะมาทำให้คุณ ตัวคุณเท่านั้นที่ต้องเริ่มลงมือเอง จะเป็นความท้าทายที่ยิ่งใหญ่มาก ๆ เนื่องจากขัดกับความเป็นไทยอย่างสิ้นเชิง แต่จงมั่นใจได้เลยว่าพวกคุณมีความสามารถมากพอ แค่รอให้เริ่มลงมือทำเท่านั้น.

    ขอขอบคุณข้อมูลจาก: เพจ TNN Tech Originals

    1/7/2567

    RELATED ARTICLES
    - Advertisment -

    Most Popular

    Recent Comments