Penetration Testing + Interest = Penetrest (My Journey)

Post นี้แนว def ครับ  เป็น basic เรื่องนึง ที่น่าสนใจครับ เกี่ยวกับการ tamper ข้อมูลครับ จากที่อ่านหนังสือ The Web Application Hacker's Handbook เกี่ยวกับเรื่อง tamper ตัวข้อมูล ใน ASP.NET (หรือตัว ViewState) ซึ่งจะเป็นค่าที่มีการ encode ด้วย base64  แต่ในกรณีที่ผู้โจมตีหรือไม่ประสงค์ดีสามารถ decode ตัว base64 ได้ ก็อาจจะสามารถรู้ข้อมูลที่ส่งผ่านระหว่าง client กับ server ได้ และก็จะสามารถแก้ไขข้อมูลของผู้ส่งได้เช่นกัน ทีนี้  ASP.NET เลยมีกระบวนการที่เรียกว่า MAC ย่อมาจาก Message Authentication Code มาเพื่อจัดการเรื่องนี้ เพราะ MAC เป็นกระบวนการที่จะช่วยยืนยันได้ว่า message ที่ส่งระหว่าง sender กับ receiver นั้นถูกต้องไหม ?  ดูรูปด้านล่างนะครับ  Ref : https://en.wikipedia.org/wiki/Message_authentication_code#Example 1. ดูในกรอบสีฟ้าด้านซ้ายก่อน จะเห็นว่า message ของผู้ส่ง จะถูกทำการ hash ด้วย ด้วย Key(K) ซึ่งเป็น private key ได้ออกมาเป็น MAC สีเขียว  2. การส่งจะส่งทั้ง message เดิม รวมไปกับ MAC  3. เมื่อมาถึงผู้รับ ในกรอบสีเหลืองด้านขวา จะ...

ใครที่ยังไม่ได้อ่านตอนแรก สามารถอ่านได้ที่ Patch Management และ Hardening คืออะไร/ ยังไง พร้อมวิธีการ ตอนที่  1 4. การ Maintenance      หลังจากที่เราทำการ implement เสร็จแล้ว ไม่ใช่ว่าจะจบกันเท่านี้ มันแค่เริ่มต้น It's just the beginning. ก็ต้องมีขั้นตอนในการที่ดูแล และ up-to-date ให้อุปกรณ์ในระบบไม่มีช่องโหว่ต่อไป รวมถึงปรับปรุง template ในการ hardening เป็นประจำด้วย จะกล่าวถึงต่อไปนะ โดยปกติที่ผมเคยทำมา จะมีการกำหนดให้คนนึงที่อาจจะเป็น Security Consult ของแต่ละ platform แต่ละแผนก ในการทำ subscribe ไปยัง vendor ต่างๆ ตามอุปกรณ์ที่ดูแลอยู่เพื่อรับข่าวสาร และได้รับ notification เวลามี security update เพื่อจะนำมาวิเคราะห์ดูว่าระบบที่เราดูแลอยู่นั้นมีช่องโหว่ใหม่ๆ ที่เกี่ยวกับอุปกรณ์ของเราเกิดขึ้นหรือไม่ ถ้ามีก็ต้องนำมาเข้าสู่กระบวนการดังที่กล่าวไปข้างต้น มีคนแล้วก็ต้องมี policy องค์กรก็ต้องมีการกำหนด policy ขึ้นมาเพื่อใช้ควบคุมระยะเวลาที่องค์กรยอมรับความเสี่ยงต่อช่องโหว่ในระดับต่างๆได้ ยกตัวอย่างให้เห็นภาพ ที่ผู้เขียนเคยทำมา เช่น ถ้ามีช่องโหว่เกิดขึ้นใหม่...

post นี้ก็เช่นเกียวกับโพสต์อื่นๆที่ ผู้เขียนเขียนขึ้นจากประสบการณ์การทำงานนะครับ ส่วนในเรื่องของ ISO27001 ทางผู้เขียนยังไม่รู้ครอบคลุมขนาดนั้น ขอยังไม่กล่าวถึง คงได้เขียนหลังจากสอบ CISSP ได้แล้ว (ตอนนี้ยังอยู่ในวงการ Pentest อยู่เลยจ้า) คืออะไร ? Patch Management และ Hardening  -  เป็นส่วนนึงของ configuration management process ใน ISO27001 และมาตรฐานทางด้านความปลอดถัยอื่นๆ ด้วย  ทำไมต้องมีการทำ patch และ hardening เรื่องของ Patch management จริงๆ ก็จะเกี่ยวข้องกับการทำ Hardening นะละ นั่นคือทำเพื่อปิดช่องโหว่ให้น้อยที่สุดเพื่อลดความเสี่ยงที่จะถูกโจมตีจากผู้ไม่ประสงค์ดี มันก็ไม่ดีใช่ไหมละ ถ้าระบบของเราโดนโจมตี ซึ่งอาจจะเป็นในแง่ของการขโมยข้อมูล หรือที่องค์กรส่วนใหญ่รับไม่ค่อยได้คือการโดน dos จนทำให้อุปกรณ์ไม่สามารถให้บริการต่อได้ ก็เรื่อง Availability ไง ในบางบริษัทที่มีการทำ transaction เกี่ยวกับเงินนี่ เขาคิดค่าเสียหายเป็นนาทีเลยนะ ล่มแค่ครึ่งชั่วโมงก็เสียหายหนักแล้ว กระบวนการการทำ Patch กับ hardening ก็จะมีดังนี้ คือ เขียน flow ให้ดูกันง่ายๆ อ่านคำอ...

สามารถอ่าน version ภาษาไทยได้ด้านล่างเช่นเคยครับ ขอบคุณครับ Firewall audit is part of many IT security Standard audit and compliance.  From my experience, auditor can assess and audit something like following (maybe more) 1. Patch Level or OS version -- > Latest version, vulnerable version or not. 2. Configuration and parameter  --> must follow hardening document , recommend parameter which should be configured.                 Hardening document is establish from security baseline and must be approved by all related parties such as IT Security, Network Security, Management level of company before publish to use etc.   3. Audit firewall change request form (sometime this activity is in rule validate) --> If customer organization is complied with ISO27001 or other security standard eg. PCI-DSS. They will audit firewall request document , it must be as same as current rul...

สามารถอ่าน version ภาษาไทยได้ด้านล่างเช่นเคยครับ Sometime it's call Firewall Rule Re-validate or Firewall Rule-base review . Firewall Rule review is part of Firewall audit process. Auditor will review Firewall Rule or ACLs on router that appropriate to network security no need rule will be removed for example permit ip any any : it's should not be placed in top of each segment of network. why ! firewall rule review From my experience, many organization will have firewall admin who is responsible for add, move, delete, modify rules but he never come back to see which rule is expired or no need, which rule can be merge or have to re-arrange sequence to improve performance and mitigate risk from attacker. what can we do 1. Duplicate object include host, ip, group, service must be removed. 2. Expired rule or no need rule must be removed. 3. Duplicate rule --> remove ^^ 4. There is rule that can be merge no bad impact to business...

ว่างจากอ่าน web app security ก็กลับมาต่อในตอนที่ 2 กัน   5.  Communications and operations management   แผนก Network จะมีงานในส่วนนี้เยอะเลยเพราะมันเป็นงาน operation ที่ต้องทำทุกวัน รวมถึงการที่เรามีการ implement process บางอย่างขึ้นมาเพื่อ control งาน operation อีกที เช่น การทำ patch management, hardening เพื่อให้อุปกรณ์เครือข่ายทั้งหมดมีความปลอดภัยเพียงพอ รวมถึงการ backup configuration ของอุปกรณ์ไว้ในกรณีฉุกเฉินด้วย ซึ่งผมจะเล่าการทำ patch management และ hardening ไปขยายรายละเอียดในอีกบทนึงต่อไปนะครับ 6.  Access control   - งานในส่วนนี้ก็จะเกี่ยวกับเรื่อง user management ซึ่งต้องคอยจัดเก็บและจัดการ user ของบุคลากรที่จะเข้าใช้ระบบ อุปกรณ์ต่างๆ โดยที่นี่จะมีการ validate user ของพนักงานทุกๆ 3 เดือน แต่เรื่องจุกจิก และยุ่งยากก็จะเกิดขึ้นเมื่ออุปกรณ์ network มีเป็นพัน เป็นหมื่นนี่ละ เพราะอุปกรณ์ของลูกค้าที่เรา provide service ให้นั้นในแต่ละ zone ก็จะมี user แตกต่างกัน และสิทธิ์ไม่เท่ากัน บางทีอยู่ใน zone เดียวกัน แต่สิทธิ์ไม่เท่ากันก็มี ความย...

Post นี้เขียนเรื่องงานที่ที่เกี่ยวกับ security ในอีกมุม คือด้าน policy and management ซึ่งเป็นประสบการณ์การทำงานและสิ่งที่เคยสัมผัสสมัยตอนที่ทำงานอยู่ที่บริษัทใหญ่แห่งนึง ในประเทศไทย เป็นระยะเวลา 4 ปีกว่า (ไม่ได้เขียนครอบคลุมเรื่อง ISO27001 ทั้งหมดนะครับ จะเขียนเฉพาะที่เกี่ยวกับงานในแผนกที่เคยทำโยงกับ ISO27001 เพื่อให้เห็นภาพว่างานเกี่ยวข้องยังไง) เกี่ยวกับงานที่จะเล่า              ณ ตอนนั้น เป็นพนักงานประจำ แต่ถูกส่งไปปฏิบัติงานเป็น outsource ให้แบงค์ใหญ่อันดับต้นๆ ถึง 2 แบงค์ โดยที่เ ป็น Security consult ของแผนก Network อธิบายนิดนึงคือทางบริษัทผม ให้ชื่อว่า บริษัท A จะมีพนักงานที่ไปประจำลูกค้าแต่ละแห่งแบ่งเป็นแผนก เช่น ทำ Server, Network, Application และอื่นๆ ซึ่งแต่ละทีมก็จะต้องรับผิดชอบหน้า เช่น Network ก็ดูแลอุปกรณ์ network cisco, hp, checkpoint, etc. ทั้งหมด ถ้าเป็น Server ก็จะดูเครื่อง Server Windows, Linux, Unix ประมาณนี้ ทีนี้หน้าที่อีกอย่างนึงของพนักงาน ก็คือต้องส่งมอบงานทั้งหมดตามมาตรฐานของ ISO27001...