ทำไมต้องมีการทดสอบเจาะระบบ (Why Penetration Testing !!)

คุณเคยสงสัยหรือป่าว เวลามีคนบอกว่าทำงาน Pentest มันคืออะไร ทำไรวะ มีด้วยเหรอ ผมจะมาเล่าให้ฟังคร่าวๆ แบบคนทั่วไปฟังรู้เรื่อง

เหตุเกิดจากว่าผมจะเจอเป็นประจำเวลาเจอเพื่อน เจอคนรู้จักที่ไม่ได้ทำงานในสายนี้ มักมีคนถามว่า

"มึงทำงานไรวะ Pentest ไม่เคยได้ยิน"  หรือ

"เห็นบอกทำงานเจาะระบบช่วย hack เงินในเกมส์ให้หน่อย",

"เฮ้ย hack เงินแทงบอล ให้กูหน่อยดิ" ,

บางคนก็ถามว่า "ทำ pentest กรณีคนลืม password เหรอ" หรือ

"ทำไมต้องทำการทดสอบเจาะระบบ มันเป็นเรื่องผิดกฎหมายรึป่าว"

บางคนว่าเป็นงานโจรก็ยังมี ก็อธิบายกันไป ^^  ไม่ว่าอะไร เพราะผมก็ไม่ได้รู้มาก่อนเหมือนกัน

ก็เลยคิดว่าเขียน blog อันนี้ขึ้นมาเพื่อให้ผู้ที่ไม่รู้ได้ทราบแบบง่ายๆ เอาที่คนทั่วไปเข้าใจ

--------------------------------------------------------------------------------------------------------------------------

คือเมื่อ พูดถึงการรักษาความปลอดภัยทางคอมพิวเตอร์และเครือข่าย เกือบทุกคนน่าจะคุ้นเคยเฉพาะด้านการป้องกัน หรือ Defensive Security เช่นการใช้ไฟล์วอลล์, ips, ids, หรือการทำ ISO, policy อบรมให้ user มี awareness  อะไรประมาณนี้ 

แต่ในมุมกลับกัน ก็มีคนกลุ่มนึงที่ทำงานด้าน Offensive Security เป็นการทดสอบโจมตีระบบ แล้วเขาทำไปเพื่อ? ทำไมบริษัท องค์กรหลายแห่งต้องจ้างมาโจมตีระบบตัวเอง ก็เพราะว่า ทุกวันนี้ภัยร้ายหรือการโจมตีในโลก cyber มันเยอะขึ้นทุกวันนะสิ ยิ่งช่วงนี้ถ้าคุณเป็นคนติดตามข่าวหน่อยก็คงได้ยินเรื่องของ hacker บ่อยๆ ว่าไป hack กระทรวงนั่น องค์กรนี่ ทำให้บริษัทขาดทุน หรือเสียผลประโยชน์เป็นมูลค่ามหาศาล (อย่าง sony ไง ลองหาอ่านกันดู) 

ทีนี้ถามว่าองค์กรที่โดน hack เนี่ยเขาไม่มีการป้องกันทางด้าน cyber ใช่ไหม ป่าวเลย จริงๆแล้วมีนะละ ทั้ง Firewall, IPS, IDS, Mail security gateway หรือพวก proxy ทั้งหลาย ก็ใช้กันมาตั้งนาน เหมือนเป็น best practice ว่าต้องมีนะเพื่อป้องกันการโจมตี แต่เอาเข้าจริงแล้ว พอเจอการโจมตีจากคนที่มีทักษะสูงหน่อย ก็พวก hacker นะละ มันก็ป้องกันได้ไม่หมด ก็ได้แค่ลดความเสี่ยงลง เพราะอุปกรณ์พวกนี้ถึงจะพัฒนามาฉลาดเพียงใด แต่มันก็ทำงานตาม signature, pattern ซะเป็นส่วนใหญ่ แล้ว hacker ที่ไหนจะโจมตีในแบบที่ป้องกันได้ละ 55^^ ไม่มีหรอก 

นั่นละ ถึงต้องมีการจ้างคนที่มีทักษะด้านการโจมตี มาลองเจาะระบบดูว่า องค์กรมีความเสี่ยง หรือช่องโหว่ที่ hacker หรือผู้ไม่หวังดีสามารถใช้ในการโจมตีได้หรือไม่ เมื่อได้รายงานจากการทดสอบ ก็นำไปปรับปรุงแก้ไขช่องโหว่ที่มีอยู่ก่อนที่จะโดนโจมตีจริงๆ 

คราวนี้ก็คงเข้าใจแล้วว่าทำไมต้องทำ Pentest สั้นดีป่ะ (เนื้อนิดเดียว น้ำเยอะมาก ^^)

แต่แอบบอกนิดนึงว่า บางองค์กรก็ไม่ได้จ้างทำ Pentest เพราะกลัวโดน hack อย่างเดียวหรอกนะ คือต้องบอกว่าเนื่องจากมันเหมือน trend ของ IT ด้วยละ และอีกอย่างคือถ้าบริษัทไหนมี IT Audit ละก็คงพอทราบว่าจะต้องมี report การทำ Pentest หรือ ตรวจสอบหาช่องโหว่แนบเพื่อปิด Audit task ด้วย ก็ว่ากันไป ยิ่งถ้าเป็นพวกสถาบันการเงิน หรือเกี่ยวกับเงินๆทองๆ หรือมีธุรกรรมบน Internet นิ จำเป็นมากๆ (ไม่กล่าวถึงต่อนะ ยาว)

โดยที่การทดสอบที่ดี ควรจะทำตั้งแต่เป็น develop phase คือก่อนจะนำ web หรือ app ตัวใดมา production แก่ผู้ใช้งานทั่วไปใน internet ก็ควรจะทดสอบก่อนเลย 

ขั้นตอนและรายละเอียดในการตรวจสอบก็มีพอสมควรแต่จะไม่กล่าวถึงในบทนี้เนาะ