การป้องกันอุปกรณ์

วัตถุประสงค์การเรียนรู้ 4.1.A: ระบุประเภทของอุปกรณ์คอมพิวเตอร์

• 4.1.A.1 คอมพิวเตอร์เซิร์ฟเวอร์คืออุปกรณ์ที่ให้บริการหนึ่งหรือหลายอย่างแก่คอมพิวเตอร์อื่น ๆ (เช่น DNS, DHCP, FTP) คอมพิวเตอร์เครื่องใดก็สามารถเป็นเซิร์ฟเวอร์ได้ และในสภาพแวดล้อมระดับองค์กร เซิร์ฟเวอร์มักจะมีความสามารถในการประมวลผลและความจุในการจัดเก็บข้อมูลมากกว่าคอมพิวเตอร์ส่วนบุคคล
• 4.1.A.2 คอมพิวเตอร์ส่วนบุคคลคืออุปกรณ์ที่ออกแบบมาเพื่อใช้โดยบุคคลเดียวเพื่อการทำงานหรือความบันเทิง (เช่น การพิมพ์เอกสาร, การออกแบบกราฟิก, การท่องเว็บ, และการผลิตหรือรับชมสื่อ) รวมถึงคอมพิวเตอร์เดสก์ท็อป แล็ปท็อป และโน้ตบุ๊ค
• 4.1.A.3 คอมพิวเตอร์พกพา (หรือเรียกว่าคอมพิวเตอร์มือถือ หรืออุปกรณ์สารสนเทศ) มีขนาดเล็กกว่าคอมพิวเตอร์ส่วนบุคคลและใช้พลังงานจากแบตเตอรี่ รวมถึงแท็บเล็ต สมาร์ทโฟน และเทคโนโลยีสวมใส่ เช่น นาฬิกาอัจฉริยะ
• 4.1.A.4 คอมพิวเตอร์ฝังตัวคืออุปกรณ์ที่เป็นส่วนหนึ่งของเครื่องจักร อุปกรณ์ฝังตัวจะมีชุดคำสั่งเฉพาะสำหรับการเชื่อมต่อเข้ากับส่วนประกอบพิเศษของเครื่องจักรที่ฝังอยู่ คอมพิวเตอร์ฝังตัวมักจะมีความเร็วต่ำกว่าและมีราคาถูกกว่าคอมพิวเตอร์ทั่วไป และมีพื้นที่จัดเก็บข้อมูลน้อยมาก
• 4.1.A.5 อุปกรณ์ในชีวิตประจำวันที่มีคอมพิวเตอร์ฝังตัวมัก被称为 Internet of Things (IoT) devices คอมพิวเตอร์ฝังตัวพบได้ในยานพาหนะ (เช่น รถยนต์, เรือ, เครื่องบิน), อุปกรณ์ที่ดำเนินการโครงสร้างพื้นฐานสำคัญ (เช่น การเปิด-ปิดเบรกเกอร์ในสถานีไฟฟ้าแรงสูง และปั๊มในระบบบำบัดน้ำ), อุปกรณ์ทางการแพทย์ (เช่น ปั๊มหยดน้ำ, เครื่อง MRI, จังหวะหัวใจเทียม, และปั๊มอินซูลิน), และอุปกรณ์ในชีวิตประจำวัน เช่น เครื่องซักผ้า, เครื่องชงกาแฟ, และเทอร์โมสตัท

วัตถุประสงค์การเรียนรู้ 4.1.B: ระบุประเภทของมัลแวร์ที่ใช้ในการโจมตีทางไซเบอร์

• 4.1.B.1 มัลแวร์คือซอฟต์แวร์ที่เป็นอันตรายที่สามารถทำลายหรือทำให้เสียหายต่ออุปกรณ์หรือเครือข่าย หรือเปิดโอกาสให้ผู้โจมตีเข้าถึงอุปกรณ์และข้อมูลบนอุปกรณ์นั้นได้
• 4.1.B.2 มัลแวร์มักใช้เป็นเครื่องมือเพื่อให้ผู้โจมตีบรรลุเป้าหมายหลักของตน มีมัลแวร์หลายประเภท เช่น:
  • ไวรัสคือมัลแวร์ที่ต้องถูกเปิดใช้งานโดยผู้ใช้通过开展หรือเปิดไฟล์
  • เวิร์มกระจายจากคอมพิวเตอร์หนึ่งไปยังอีกเครื่องหนึ่งโดยไม่ต้องมีการกระทำจากมนุษย์
  • Trojan คือมัลแวร์ที่ถูกฝังอยู่ในซอฟต์แวร์อื่น ๆ ที่ดู无害 Remote access trojans (RATs) เปิดโอกาสให้ผู้โจมตีเข้าถึงระบบเป้าหมายจากระยะไกล
  • Ransomware จะเข้ารหัสไฟล์ของอุปกรณ์ ทำให้ผู้ใช้ไม่สามารถเข้าถึงไฟล์บนอุปกรณ์ได้ โดยปกติแล้ว Ransomware จะแสดงหน้าจอให้ผู้ใช้กรอกค่าไถ่และสัญญาว่าจะมอบกุญแจถอดรหัสให้กับผู้ใช้หากชำระภายในกำหนดเวลา
  • Spyware จะติดตามการกระทำของผู้ใช้บนคอมพิวเตอร์และส่งข้อมูลกลับไปยังผู้โจมตี
  • Keylogger คือซอฟต์แวร์หรือฮาร์ดแวร์ที่บันทึกการกดแป้นพิมพ์ของผู้ใช้และส่งข้อมูลกลับไปยังผู้โจมตี ผู้โจมตีมักจะดึงชื่อผู้ใช้และรหัสผ่านออกจากข้อมูลของ keylogger ได้
  • Logic bombs ถูกตั้งไว้เพื่อกระตุ้นผลลัพธ์เฉพาะเมื่อเงื่อนไขที่กำหนดเป็นจริง; เงื่อนไขอาจรวมถึงเวลาและวันที่, ประเภทหรือเวอร์ชันของระบบปฏิบัติการ, ชุดอักขระที่คอมพิวเตอร์กำลังใช้ ฯลฯ
  • Rootkit คือมัลแวร์ที่มีความซับซ้อนซึ่งแทรกเข้าสู่ระบบปฏิบัติการของคอมพิวเตอร์เป้าหมายและสามารถควบคุมเกือบทุกด้านของระบบ รวมถึงการทำให้อัตโนมัติตัวเองไม่ปรากฏต่อการตรวจจับ
• 4.1.B.3 แม้มัลแวร์ส่วนใหญ่จะเป็นไฟล์หรือกลุ่มไฟล์ แต่ Fileless malware คือโค้ดที่เป็นอันตรายที่อาศัยอยู่ใน RAM และใช้โปรแกรมที่ถูกติดตั้งอยู่แล้วบนอุปกรณ์เพื่อทำลายมัน

วัตถุประสงค์การเรียนรู้ 4.1.C: อธิบายวิธีการที่ผู้โจมตี可以利用ความเปราะบางทั่วไปของอุปกรณ์เพื่อก่อให้เกิดความสูญเสีย ความเสียหาย การหยุดชะงัก หรือการทำลาย

• 4.1.C.1 ผู้โจมตีสามารถสร้างช่องโหว่ exploitation สำหรับจุดอ่อนที่ทราบแล้วในซอฟต์แวร์ (รวมถึงระบบปฏิบัติการ) อุปกรณ์ที่มีซอฟต์แวร์ไม่ได้รับการอัปเดตเพื่อปิดช่องโหว่จะเสี่ยงต่อ exploitation เหล่านี้ ซึ่งอาจทำให้ผู้โจมตีสามารถทำให้ระบบล่ม ดูการกระทำของผู้ใช้ เปิดหรือปิดบริการหรือส่วนประกอบต่างๆ บนอุปกรณ์ (เช่น การเปิดกล้องเว็บแคมหรือไมโครโฟน) หรือแม้แต่ยึดควบคุมอุปกรณ์เพื่อออกคำสั่งของตนเอง รวมถึงคำสั่งเพื่อขโมยหรือทำลายข้อมูลบนอุปกรณ์
• 4.1.C.2 ผู้โจมตีสามารถใช้ประโยชน์จากข้อกำหนดการยืนยันตัวตนที่อ่อนแอโดยการเดารหัสผ่านของผู้ใช้หรือใช้เทคนิคทางสังคมวิทยา (social engineering) เพื่อให้ผู้ใช้เปิดเผยรหัสผ่านของตน
• 4.1.C.3 เมื่อระบบไม่มีรหัสผ่านสำหรับ basic input output system (BIOS) หรือ unified extensible firmware interface (UEFI) ผู้โจมตีสามารถบูตคอมพิวเตอร์เข้าสู่โหมดพิเศษ (เช่น “recovery mode”) ที่ให้สิทธิ์ระดับสูงแก่พวกเขา โดยไม่มีการป้องกัน BIOS หรือ UEFI ผู้โจมตีสามารถโหลดระบบปฏิบัติการของตนเองลงบนอุปกรณ์จากไดรฟ์ภายนอกและใช้เครื่องมือเฉพาะเจาะจงในการแก้ไขหรือสร้างโปรไฟล์ผู้ใช้ใหม่ รวมถึงการเปลี่ยนรหัสผ่านของผู้ใช้
• 4.1.C.4 ผู้โจมตีสามารถโหลดมัลแวร์ลงบนไดรฟ์ภายนอก และหากเปิดใช้งาน autorun แล้ว อุปกรณ์จะรันมัลแวร์เมื่อเสียบไดรฟ์ภายนอกเข้าไป
• 4.1.C.5 ผู้โจมตีสามารถใช้พอร์ตที่เปิดอยู่เพื่อเชื่อมต่อกับอุปกรณ์
• 4.1.C.6 ผู้โจมตีสามารถส่งข้อมูลที่เป็นอันตรายไปยังอุปกรณ์เพื่อยึดครองหรือขัดขวางการทำงาน และอุปกรณ์ที่ไม่มีไฟวอลล์ (หรือมีไฟวอลล์ที่ตั้งค่าผิดพลาด) จะไม่สามารถกรองข้อมูลที่เป็นอันตรายเหล่านี้ได้
• 4.1.C.7 ผู้โจมตีมักพยายามติดตั้งมัลแวร์บนอุปกรณ์เพื่อยึดครองหรือขัดขวางการทำงาน อุปกรณ์ที่ขาดซอฟต์แวร์ป้องกันมัลแวร์จะมีความเสี่ยงต่อการโจมตีประเภทนี้มากกว่า

วัตถุประสงค์การเรียนรู้ 4.1.D: ประเมินและบันทึกความเสี่ยงจากช่องโหว่ของอุปกรณ์

• 4.1.D.1 ความเสี่ยงจากช่องโหว่ของอุปกรณ์อาจมาจากการเข้าถึงโดยไม่ได้รับอนุญาตหรือมัลแวร์ที่อนุญาตให้ผู้โจมตีปลอมตัวเป็นผู้ใช้ที่ได้รับอนุญาต ควบคุมอุปกรณ์จากระยะไกล เข้ารหัสไดรฟ์ของอุปกรณ์เพื่อเรียกค่าไถ่ข้อมูล หรือลบความจำของอุปกรณ์ ทำให้ข้อมูลหายหรือทำให้อุปกรณ์ใช้งานไม่ได้ ระดับความเสี่ยงจะแตกต่างกันไปตามความสำคัญของอุปกรณ์ บริการที่อุปกรณ์ให้บริการ หรือข้อมูลที่เก็บรักษาไว้
• 4.1.D.2 ความเสี่ยงสูงจากช่องโหว่ของอุปกรณ์เกี่ยวข้องกับการถูกทำลายข้อมูลสำคัญหรือกระบวนการสำคัญอย่างมีนัยสำคัญ
  • ตัวอย่างประกอบสำหรับ 4.1.D.2:
    • องค์กรไม่ได้ติดตั้งการอัปเดตล่าสุดสำหรับเซิร์ฟเวอร์อีเมลซึ่งรวมถึงการปิดช่องโหว่สำหรับจุดอ่อนที่ทราบแล้วที่มีระดับวิกฤต
• 4.1.D.3 ความเสี่ยงปานกลางจากช่องโหว่ของอุปกรณ์อาจเกิดขึ้นจากข้อกำหนดการยืนยันตัวตนที่อ่อนแอหรือจากช่องโหว่ที่จะถูกนำไปใช้ประโยชน์น้อยกว่า
  • ตัวอย่างประกอบสำหรับ 4.1.D.3:
    • โรงงานบำบัดน้ำมีระบบฝังตัวควบคุมปั๊มน้ำ ปั๊มสามารถเข้าถึงจากระยะไกลผ่านชื่อผู้ใช้และรหัสผ่านสำหรับการจัดการระยะไกลสำหรับโรงงาน แต่อุปกรณ์ไม่ต้องการการยืนยันตัวตนหลายขั้นตอน (MFA)
• 4.1.D.4 ความเสี่ยงต่ำจากช่องโหว่ของอุปกรณ์มักเกี่ยวข้องกับช่องโหว่ที่จะมีผลกระทบเล็กน้อยหากถูกนำไปใช้ประโยชน์
  • ตัวอย่างประกอบสำหรับ 4.1.D.4:
    • แล็ปท็อปของพนักงานมีพอร์ต telnet 23 เปิดอยู่

วัตถุประสงค์การเรียนรู้ 4.2.A: อธิบายเหตุผลที่ใช้ฟังก์ชันแฮช (หรือเรียกว่า hash outputs, checksums, message digests, หรือ digests) ในการจัดเก็บรหัสผ่าน

• 4.2.A.1 ฟังก์ชันแฮชแบบคริปโตกราฟิก (หรือเรียกว่าฟังก์ชัน message digest) เป็นอัลกอริทึมทางคณิตศาสตร์ที่รับข้อมูลแบบไบนารีที่มีความยาวตามใจ欲takes และประมวลผลตามชุดคำสั่งที่กำหนด แล้วผลลัพธ์ออกมาเป็นสาย字符串แบบไบนERTY ที่มีความยาวคงที่เรียกว่าแฮช (หรือ checksum หรือ message digest) ฟังก์ชันแฮชแบบคริปโตกราฟิกที่มีชื่อเสียง ได้แก่:
  • MD5
  • SHA-1, SHA-256, SHA-512 (SHA ย่อมาจาก Secure Hash Algorithm)
  • NTHash
  • RIPEMD-160
• 4.2.A.2 แฮชขนาด n บิต มี $2^n$ ผลลัพธ์ที่เป็นไปได้ จำนวนอินพุตมีจำนวนไม่จำกัด ดังนั้นจึงหลีกเลี่ยงไม่ได้ว่าอินพุตที่แตกต่างกันสองค่าจะสร้างแฮชเดียวกัน สิ่งนี้เรียกว่า collision
• 4.2.A.3 ฟังก์ชันแฮชแบบคริปโตกราฟิกมีคุณสมบัติดังนี้:
  • แฮชมีความต้านทานต่อ collision; ทำได้ยากที่จะหาอินพุตที่แตกต่างกันสองค่าให้กับฟังก์ชันแฮชเดียวกันที่สร้างผลลัพธ์เหมือนกัน
  • แฮชมีความต้านทานต่อ pre-image;给定一个哈希，很难找出产生该哈希的输入。给定一个哈希值，几乎不可能反推出生成该哈希值的原始输入。
  • แฮชสามารถทำซ้ำได้; อินพุตเดียวกันจะสร้างแฮชเสมอ
  • แฮชมีความยาวคงที่; ความยาวเป็นบิตของแฮชสำหรับฟังก์ชันแฮชเฉพาะจะมีค่าคงที่ไม่ว่าขนาดของอินพุตจะเป็นอย่างไร
• 4.2.A.4 ผู้โจมตีพยายามทำลายความปลอดภัยของฟังก์ชันแฮชโดยการบังคับให้เกิด collision ในผลลัพธ์ หากมีอัลกอริทึมที่มีประสิทธิภาพในการบังคับให้เกิด collision สำหรับฟังก์ชันแฮชเฉพาะ ฟังก์ชันแฮชนั้นจะถูกเลิกใช้ (ไม่ใช้ในสถานการณ์ที่ต้องการความปลอดภัย) MD5 และ SHA1 เป็นตัวอย่างของฟังก์ชันแฮชที่ถูกเลิกใช้
• 4.2.A.5 บริการยืนยันตัวตนด้วยรหัสผ่านไม่ควรจัดเก็บรหัสผ่านในรูปแบบ plain text เพื่อไม่ให้ผู้โจมตีที่เข้าถึง user:password directory สามารถรู้รหัสผ่านของผู้ใช้ทุกคนได้ทันที แทนที่จะใช้วิธีนั้น รหัสผ่านของผู้ใช้ควรถูกแปลงเป็นแฮชและเก็บแฮชไว้ในฐานข้อมูล เมื่อผู้ใช้กรอกรหัสผ่าน ระบบจะสร้างแฮชและเปรียบเทียบกับแฮชที่เก็บไว้ หากแฮชตรงกัน ผู้ใช้นั้นจะผ่านการยืนยันตัวตน
• 4.2.A.6 หากผู้ใช้สองคนมีรหัสผ่านเหมือนกัน แฮชของรหัสผ่านทั้งสองจะเหมือนกันในโฟลเดอร์ user:password เพื่อป้องกันสิ่งนี้ จะมีการแฮชบิตสุ่มจำนวนเล็กน้อย (ซึ่งเรียกว่า salt) เข้ากับรหัสผ่านของผู้ใช้เพื่อสร้างแฮช Salt ของแต่ละผู้ใช้อาจไม่ซ้ำกัน ดังนั้น แม้ผู้ใช้สองคนจะมีรหัสผ่านเหมือนกัน แต่他们会จะมีรหัสผ่านแฮชต่างกันเนื่องจากมี salt ที่แตกต่างกัน

จุดประสงค์การเรียนรู้ 4.2.B: อธิบายการโจมตีรหัสผ่าน如何利用ความอ่อนแอของระบบ

• 4.2.B.1 หากผู้โจมตีสามารถเข้าถึงรหัสผ่านของผู้ใช้ที่ถูกต้องตามกฎหมายได้ และองค์กรของผู้ใช้ไม่ได้เปิดใช้งาน MFA หรือการป้องกันยืนยันตัวตนอื่นๆ ผู้โจมตีก็สามารถดำเนินการภายในองค์กรนั้นด้วยสิทธิ์และการเข้าถึงทั้งหมดที่มีอยู่สำหรับผู้ใช้ดังกล่าว
• 4.2.B.2 การโจมตีรหัสผ่านสามารถจำแนกเป็นแบบออนไลน์หรือแบบออฟไลน์ได้
  • การโจมตีรหัสผ่านแบบออนไลน์พยายามใช้ชุดข้อมูล user:password ในหน้าเว็บยืนยันตัวตนที่ทำงานอยู่
  • การโจมตีรหัสผ่านแบบออฟไลน์ได้จับฐานข้อมูล user:password มาแล้วและสามารถรันการโจมตีต่อฐานข้อมูลนั้นบนคอมพิวเตอร์ของตนเอง วิธีนี้จะข้ามการป้องกันล็อคบัญชีที่อาจถูกตั้งค่าไว้
• 4.2.B.3 ผู้ใช้จำนวนมากนำรหัสผ่านเดิม (หรือคำแปรผันของรหัสผ่านเดียวกัน) ไปใช้กับบริการและบัญชีทั้งหมดที่ตนเองมีอยู่ แม้ว่าจะมีคำเตือนไม่ให้ทำเช่นนั้นก็ตาม เมื่อฐานข้อมูลผู้ใช้ขององค์กรถูกขโมย ชื่อผู้ใช้ อีเมล และรหัสผ่านจะถูกขายให้ผู้โจมตีหรือโพสต์บนอินเทอร์เน็ต ผู้โจมตีมักเริ่มการพยายามเข้าถึงบัญชีโดยการใช้ชื่อผู้ใช้และรหัสผ่านที่ถูกขโมยหรือรั่วไหลของบุคคลเป้าหมาย
• 4.2.B.4 ผู้ใช้จำนวนมากตั้งรหัสผ่านที่คาดเดาง่าย และผู้โจมตีจะพยายามเดารหัสผ่านทั่วไปสำหรับบัญชีของผู้ใช้ การพ่นรหัสผ่าน (Password spraying) คือการโจมตีที่ผู้โจมตีพยายามใช้รหัสผ่านทั่วไปต่อบัญชีผู้ใช้ที่แตกต่างกันหลายบัญชี
• 4.2.B.5 บางบริการและอุปกรณ์ (เช่น สวิตช์, เร้าเตอร์, และอุปกรณ์ IoT) ถูกกำหนดค่าล่วงหน้าด้วยผู้ใช้และรหัสผ่านผู้ดูแลระบบเริ่มต้น Credential stuffing คือการโจมตีที่ผู้โจมตีพยายามเข้าถึงบริการหรือเหล่านี้โดยใช้รหัสประจำตัวเริ่มต้นทั่วไปหรือรหัสประจำตัวบัญชีที่ถูกขโมยมา
• 4.2.B.6 การโจมตีรหัสผ่านแบบออฟไลน์ใช้เครื่องมือแฮชครา๊กอัตโนมัติในการแฮชรหัสผ่านที่เป็นไปได้และเปรียบเทียบมันกับแฮชที่ถูกจับไว้ แม้แฮชจะไม่สามารถย้อนกลับได้ แต่ผู้โจมตีสามารถใช้เครื่องมือเหล่านี้ในการแฮชรหัสผ่านที่เป็นไปได้จำนวนมากและเปรียบเทียบกับแฮชเป้าหมาย หากผู้โจมตีพบแฮชที่ตรงกัน พวกเขาสามารถใช้รหัสผ่านที่สร้างแฮชนั้นเข้าสู่บัญชีผู้ใช้ การโจมตีแบบออฟไลน์ประกอบด้วย:
  • การโจมตี Brute force ซึ่งผู้โจมตีใช้เครื่องมืออัตโนมัติทดสอบรหัสผ่านที่เป็นไปได้ทั้งหมดที่ผู้ใช้อาจมี
  • การโจมตี Dictionary ซึ่งผู้โจมตีใช้เครื่องมืออัตโนมัติทดสอบรายการรหัสผ่านทั่วไป
• 4.2.B.7 การโจมตี Rainbow table ใช้รายการรหัสผ่านทั่วไปเพื่อสร้างตาราง rainbow ตาราง rainbow เป็นตารางที่contains รหัสน่าจะเป็นไปได้ทั้งหมดและแฮชของมัน จากนั้นตารางจะถูกเรียงลำดับตามแฮช และผู้โจมตีจะใช้เครื่องมืออัตโนมัติค้นหาในรายการแฮชเพื่อหาแฮชที่ถูกจับไว้ หากแฮชตรงกัน แสดงว่าผู้โจมตีได้พบรหัสผ่านที่สร้างแฮชเดียวกัน และรหัสผ่านนั้นจะทำให้ผู้โจมตีเข้าสู่บัญชีผู้ใช้ได้

จุดประสงค์การเรียนรู้ 4.2.C: กำหนดประเภทของการยืนยันตัวตนที่ใช้เพื่อยืนยันตัวตนผู้ใช้

• 4.2.C.1 กลไกการยืนยันตัวตนคือมาตรการควบคุมทางเทคนิคที่ยืนยันตัวตนผู้ใช้เพื่อให้แน่ใจว่าเฉพาะผู้ใช้ที่ได้รับอนุญาตเท่านั้นที่จะเข้าถึงระบบ หลักฐานที่ผู้ใช้ให้เพื่อยืนยันตัวตนตัวเองเรียกว่าปัจจัย (factor) ปัจจัยการยืนยันตัวตนทั่วไป ได้แก่:
  • สิ่งที่ผู้ใช้รู้ (ปัจจัยความรู้)
  • สิ่งที่ผู้ใช้มี (ปัจจัยการถือครอง)
  • สิ่งที่ผู้ใช้เป็น (ปัจจัยชีวภาพ)
  • สถานที่ที่ผู้ใช้อยู่ (ปัจจัยสถานที่)
• 4.2.C.2 ปัจจัยความรู้สามารถเป็นรหัสผ่าน, PIN, หรือคำตอบสำหรับคำถามท้าทายที่เลือกไว้ล่วงหน้า เพื่อให้ปัจจัยรู้มีประสิทธิภาพ ต้องเป็นสิ่งที่ผู้โจมตีคาดเดาง่ายๆ ไม่ได้ อย่างไรก็ตาม ปัจจัยรู้ที่ผู้โจมตีคิดออกยากก็อาจทำให้ผู้ใช้จดจำได้ยากขึ้นเช่นกัน
• 4.2.C.3 ปัจจัยการถือครองคือวัตถุที่ผู้ใช้มีซึ่งเป็นเอกลักษณ์ต่อตัว mereka เช่น บัตรเข้า, บัตรธนาคาร, โทรศัพท์มือถือ, หรือ Token ยืนยันตัวตน ยิ่งผู้โจมตียากต่อการได้รับวัตถุนั้น (หรือสำเนา) ปัจจัยการถือครองยิ่งปลอดภัยมาก
• 4.2.C.4 ปัจจัยชีวภาพวัดลักษณะของร่างกายมนุษย์และอาจรวมถึงลายนิ้วมือ, ลายฝ่ามือ, การจดจำใบหน้า, การสแกนตาหรือจอประสาทตา, หรือการระบุเสียง ปัจจัยชีวภาพยากต่อการเลียนแบบสำหรับผู้โจมตีเพราะเป็นเอกลักษณ์ต่อแต่ละบุคคล
• 4.2.C.5 ปัจจัยสถานที่ใช้ข้อมูลเกี่ยวกับสัญญาณ Wi-Fi, ข้อมูล GPS, การตั้งค่าเขตเวลา, และแม้แต่ข้อมูล IP เพื่อตัดสินตำแหน่ง สามารถกำหนดกฎสำหรับการอนุญาตหรือปฏิเสธการเข้าถึงโดยอาศัยปัจจัยสถานที่ได้
• 4.2.C.6 การยืนยันตัวตนหลายปัจจัย (MFA) คือเมื่อระบบใช้มากกว่าหนึ่งปัจจัยในการยืนยันตัวตน MFA ปลอดภัยกว่าการยืนยันตัวตนแบบเดียวเพราะต้องการให้ผู้用户提供อย่างน้อยสองปัจจัยการยืนยันตัวตนที่แยกออกจากกัน

จุดประสงค์การเรียนรู้ 4.2.D: ตั้งค่าการเข้าสู่ระบบเพื่อให้เครื่องมีความปลอดภัยมากขึ้น

• 4.2.D.1 การกำหนดความซับซ้อนของรหัสผ่านเป็นการตั้งค่าการเข้าสู่ระบบที่สามารถปรับได้ เมื่อเปิดใช้งาน ผู้ที่ตั้งรหัสผ่านใหม่ต้องรวมอักขระอย่างน้อยหนึ่งจากแต่ละเซตอักขระ รหัสผ่านที่มีอักขระจากทุกเซตอักขระยากต่อการแฮกกว่ารหัสผ่านที่ใช้เพียงอักขระจากเซตใดเซตหนึ่งหรือสองเซต เซตอักขระหลักที่มักจำเป็นคือ:
  • ตัวอักษรพิมพ์ใหญ่ (A–Z)
  • ตัวอักษรพิมพ์เล็ก (a–z)
  • Numeric digits (0–9)
  • ตัวอักษรพิเศษ (!"#$%&'()*+,-./:;<=>?@ [ \ ] ^_`{|}~)
• 4.2.D.2 การกำหนดความยาวรหัสผ่านขั้นต่ำเป็นค่าการตั้งค่าการเข้าสู่ระบบที่ปรับแต่งได้ หมายความว่าผู้ใช้ต้องมีตัวอักษรอย่างน้อยจำนวนหนึ่งในการตั้งรหัสผ่าน รหัสผ่านที่ยาวและซับซ้อนมากขึ้น จะทำให้เครื่องมือดิจิทัลใช้เวลานานขึ้นในการแกะรหัสผ่าน
• 4.2.D.3 การกำหนดอายุสูงสุดของรหัสผ่านเป็นค่าการตั้งค่าการเข้าสู่ระบบที่ปรับแต่งได้ เมื่อมีการตั้งค่าแล้ว ผู้ใช้จะได้รับคำเตือนให้เปลี่ยนรหัสผ่านหลังจากผ่านไปหลายวันนับจากวันที่เปลี่ยนล่าสุด โดยทั่วไปคือทุก 90 หรือ 120 วัน หากรหัสผ่านของผู้ใช้ถูกขโมย การเปลี่ยนรหัสผ่านอาจช่วยป้องกันผู้ไม่หวังดีจากการเข้าถึงบัญชีผู้ใช้ อย่างไรก็ตาม มาตรฐานระดับประเทศบางแห่งแนะนำให้องค์กรไม่บังคับให้ผู้ใช้เปลี่ยนรหัสผ่านตามช่วงเวลาที่กำหนดไว้ เพื่อป้องกันการเกิดรูปแบบรหัสผ่านซ้ำๆ ของผู้ใช้ (เช่น PasswordFall2028)
• 4.2.D.4 การกำหนดให้ระบบเก็บรหัสผ่านเดิมของผู้ใช้จำนวนหนึ่งไว้เป็นค่าการตั้งค่าการเข้าสู่ระบบที่ปรับแต่งได้ ซึ่งช่วยป้องกันไม่ให้ผู้ใช้ใช้รหัสผ่านเดิมอีกครั้ง องค์กรจำนวนมากจะเก็บรหัสผ่านเก่า 5–10 ครั้งของผู้ใช้เพื่อป้องกันการนำกลับมาใช้ใหม่
• 4.2.D.5 การกำหนดระยะเวลาล็อกเอาท์หลังจากรายงานการพยายามเข้าสู่ระบบผิดพลาดจำนวนหนึ่งเป็นค่าการตั้งค่าการเข้าสู่ระบบที่ปรับแต่งได้ ซึ่งช่วยป้องกันผู้ไม่หวังดีจากการสุ่มลองใส่รหัสผ่านผิดอย่างต่อเนื่อง องค์กรعديدแห่งจะล็อกบัญชีผู้ใช้หลังจากมีการพยายามเข้าสู่ระบบผิดพลาด 3–5 ครั้ง ระยะเวลาการล็อกเอาท์จะแตกต่างกันไป

วัตถุประสงค์การเรียนรู้ 4.3.A: ระบุการควบคุมด้านการจัดการที่เกี่ยวข้องกับความปลอดภัยของอุปกรณ์

• 4.3.A.1 นโยบายการใช้ที่ยอมรับได้จะอธิบายขอบเขตของกิจกรรมที่อนุญาต ห้าม หรือต้องทำโดยผู้ใช้บนอุปกรณ์ที่เป็นเจ้าของขององค์กร และอาจรวมถึง:
  • การห้ามผู้ใช้เข้าถึงเว็บไซต์เฉพาะหรือประเภทของเว็บไซต์ (เช่น สื่อสังคมออนไลน์หรือเกม)
  • การบังคับให้ผู้ใช้รักษาซอฟต์แวร์ให้ทันสมัย
  • การอนุญาตให้ผู้เชื่อมต่อกับอุปกรณ์ต่อพ่วง
  • การห้ามผู้ใช้เชื่อมต่อกับไดรฟ์ภายนอกหรือสื่อจัดเก็บข้อมูล
• 4.3.A.2 นโยบายรหัสผ่านจะรายละเอียดข้อกำหนดสำหรับรหัสผ่านของผู้ใช้ภายในองค์กร และอาจรวมถึง:
  • ความยาวรหัสผ่านขั้นต่ำหรือสูงสุด
  • ระยะเวลาขั้นต่ำหรือสูงสุดที่ผู้ใช้สามารถรักษารหัสผ่านเดิมได้
  • การห้ามใช้รหัสผ่านซ้ำ
  • กฎเกณฑ์สำหรับการสร้างรหัสผ่าน (เช่น ห้ามใช้คำในพจนานุกรมและข้อกำหนดชุดตัวอักษร)
  • คำแนะนำให้ใช้เครื่องมือจัดการรหัสผ่านที่ปลอดภัยแทนการจดรหัสผ่านลงกระดาษ
• 4.3.A.3 นโยบายการติดตั้งซอฟต์แวร์จะอธิบายว่าผู้ใช้สามารถติดตั้งซอฟต์แวร์ใด (ถ้ามี) บนอุปกรณ์ของตน และมักจะมีกระบวนการที่ผู้ใช้สามารถขอซอฟต์แวร์เฉพาะทางที่ต้องการสำหรับบทบาทการทำงาน และอาจรวมถึง:
  • การห้ามผู้ใช้ติดตั้งซอฟต์แวร์บนอุปกรณ์
  • กระบวนการที่ผู้ใช้สามารถขอซอฟต์แวร์ใหม่ที่จำเป็นสำหรับบทบาทการทำงาน
  • รายการซอฟต์แวร์ที่ได้รับการอนุมัติสำหรับผู้ใช้งาน

วัตถุประสงค์การเรียนรู้ 4.3.B: อธิบายว่าซอฟต์แวร์ป้องกันมัลแวร์สามารถทำให้ปลอดภัยของอุปกรณ์ดีขึ้นได้อย่างไร

• 4.3.B.1 ซอฟต์แวร์ป้องกันมัลแวร์ (บางครั้งเรียกว่าซอฟต์แวร์แอนตี้ไวรัส) มีเครื่องมือในการกักกันและลบมัลแวร์ที่สามารถทำลาย spy หรือทำลายระบบ มัลแวร์มีตัวบ่งชี้ที่ทำให้ตรวจจับได้ ซึ่งตัวบ่งชี้นี้เรียกว่าลายเซ็น
• 4.3.B.2 ซอฟต์แวร์ป้องกันมัลแวร์มีฐานข้อมูลลายเซ็นมัลแวร์它将定期扫描设备上的文件并检查是否有任何文件与数据库中的任何签名匹配。如果有匹配，软件将隔离并删除恶意文件。

วัตถุประสงค์การเรียนรู้ 4.3.C: อธิบายว่าทำไมการรักษาการอัปเดตระบบปฏิบัติการและซอฟต์แวร์ของอุปกรณ์จึงทำให้ปลอดภัยขึ้น

• 4.3.C.1 เมื่อพบช่องโหว่ในระบบปฏิบัติการและซอฟต์แวร์ ผู้ผลิตหรือองค์กรที่ดูแลระบบปฏิบัติการจะแก้ไขและส่งการอัปเดต การอัปเดตขนาดเล็กเรียกว่าแพตช์
• 4.3.C.2 การมั่นใจว่าระบบปฏิบัติการและแอปพลิเคชันซอฟต์แวร์ของคอมพิวเตอร์ได้รับการอัปเดตเป็นเวอร์ชันล่าสุดจะช่วยป้องกันผู้ไม่หวังดีจากการใช้ประโยชน์จากช่องโหว่ที่ถูกทราบแล้ว

วัตถุประสงค์การเรียนรู้ 4.3.D: ตั้งค่าไฟร์วอลล์แบบโฮสต์

• 4.3.D.1 ไฟร์วอลล์แบบโฮสต์อนุญาตหรือปฏิเสธการรับส่งข้อมูลเข้าหรือออกจากอุปกรณ์เดียว ซึ่งให้การป้องกันชั้นเพิ่มเติมในกรณีที่โฮสต์เชื่อมต่อกับเครือข่ายที่ถูก攻破แล้ว
• 4.3.D.2 ไฟร์วอลล์แบบโฮสต์เป็นซอฟต์แวร์ที่ทำงานบนอุปกรณ์และปฏิบัติตามชุดกฎ (ACL) เหมือนกับไฟร์วอลล์แบบเครือข่าย กฎหมายไฟร์วอลล์จะถูกนำไปใช้ตามลำดับ โดยใช้กฎแรกที่ตรงกัน
• 4.3.D.3 ไฟร์วอลล์แบบโฮสต์ยังสามารถปิดกั้นประเภทการรับส่งข้อมูลออกที่ระบุไว้ ไฟร์วอลล์แบบโฮสต์ควรปิดกั้นพอร์ตหรือบริการที่ไม่จำเป็นสำหรับอุปกรณ์ที่กำหนดเสมอ
  • ตัวอย่างประกอบสำหรับ 4.3.D.3:
    • ไฟร์วอลล์แบบโฮสต์ถูกตั้งค่าให้ปิดกั้นการรับส่งข้อมูล FTP แบบออก ซึ่งช่วยป้องกันผู้ไม่หวังดีที่มีสิทธิ์เข้าถึงระยะไกลจากโฮสต์จากการใช้ FTP เพื่อดึงไฟล์ออกไปยังเซิร์ฟเวอร์ของผู้ไม่หวังดี
• 4.3.D.4 กฎสำหรับไฟร์วอลล์แบบโฮสต์สามารถอนุญาตหรือปฏิเสธการรับส่งข้อมูลبناءตามพอร์ตต้นทางหรือปลายทาง หรือที่อยู่ IP บริการ โปรโตคอล หรือแอปพลิเคชัน

วัตถุประสงค์การเรียนรู้ 4.4.A: อธิบายวิธีการตรวจจับการโจมตีต่ออุปกรณ์

• 4.4.A.1 กระบวนการและค่าการตั้งค่าของระบบ การพยายามเข้าสู่ระบบ การพยายามดาวน์โหลดไฟล์ และการกระทำของผู้ใช้จะถูกบันทึกโดยระบบคอมพิวเตอร์ บันทึกเหล่านี้สามารถใช้เพื่อสร้างสถานการณ์ที่นำไปสู่และระหว่างเหตุการณ์ไซเบอร์
• 4.4.A.2 สัญญาณการถูกบุกรุก (IoC) คือหลักฐานที่บ่งชี้ว่าผู้โจมตีได้เข้าควบคุมอุปกรณ์หรือเครือข่ายแล้ว
• 4.4.A.3 บันทึกการยืนยันตัวตน (หรือ auth logs) บันทึกทุกครั้งที่พยายามเข้าสู่ระบบบนระบบคอมพิวเตอร์ การวิเคราะห์บันทึกการยืนยันตัวตนสามารถเปิดเผยการโจมตีที่พยายามเกิดขึ้นได้
• 4.4.A.4 สัญญาณการถูกบุกรุกแบบ Host-based จะถูกค้นพบเมื่อวิเคราะห์บันทึกและตั้งค่าการกำหนดค่า สัญญาณต่างๆ เช่น ตัวอย่างต่อไปนี้ สามารถพบได้ในบันทึกการยืนยันตัวตน บันทึกกิจกรรมของผู้ใช้ และไฟล์การกำหนดค่าระบบ:
  • ไฟล์ที่ไม่ปกติถูกสร้างหรือแก้ไข
  • กระบวนการหรือบริการที่ไม่คาดคิด
  • การเปลี่ยนแปลงการตั้งค่าระบบโดยไม่ได้รับอนุญาต
  • การติดตั้งหรืออัปเดตซอฟต์แวร์โดยไม่ได้รับอนุญาต
• 4.4.A.5 สัญญาณการถูกบุกรุกแบบ File-based จะถูกค้นพบเมื่อวิเคราะห์ไฟล์บนอุปกรณ์ สัญญาณมักพบในไฟล์ที่รันได้และอาจประกอบด้วย:
  • ไฟล์ที่มีค่าแฮชตรงกับมัลแวร์ที่รู้จัก
  • ชื่อไฟล์ที่ทราบกันดีว่าเป็นการสร้างโดยมัลแวร์บางชนิด
  • เส้นทางไฟล์ที่เกี่ยวข้องกับกิจกรรมที่เป็นอันตราย
• 4.4.A.6 สัญญาณการถูกบุกรุกแบบ Behavior-based จะถูกค้นพบเมื่อวิเคราะห์บันทึก สัญญาณสามารถพบได้ในบันทึกการยืนยันตัวตนและบันทึกการเข้าถึงและอาจประกอบด้วย:
  • ความพยายามเข้าสู่ระบบล้มเหลวหลายครั้ง
  • เวลาหรือสถานที่เข้าสู่ระบบที่ไม่ปกติ
  • ความพยายามเข้าถึงข้อมูลสำคัญโดยไม่ได้รับอนุญาต
  • ความพยายามยกระดับสิทธิ์ผู้ใช้ในระบบ

วัตถุประสงค์การเรียนรู้ 4.4.B: กำหนดมาตรการสำหรับการตรวจจับการโจมตีต่ออุปกรณ์

• 4.4.B.1 ประสิทธิภาพเป็นเกณฑ์ในการกำหนดวิธีการตรวจจับ เครื่องมือตรวจจับใช้หน่วยความจำและกำลังประมวลผลของระบบและอาจส่งผลต่อประสิทธิภาพของอุปกรณ์ เครื่องมือตรวจจับแบบ Anomaly ใช้ทรัพยากรระบบมากกว่าเครื่องมือแบบ Signature การตรวจจับแบบ Signature เป็นทางเลือกที่ดีกว่าสำหรับอุปกรณ์ที่มีทรัพยากรระบบไม่สูงมากนัก อุปกรณ์ฝังตัวจำนวนมากไม่มีทรัพยากรระบบเพียงพอที่จะรันเครื่องมือตรวจจับใดๆ บนอุปกรณ์ได้
• 4.4.B.2 ต้นทุนเป็นเกณฑ์ในการกำหนดวิธีการองค์กรที่ซื้อซอฟต์แวร์ตรวจจับต้องพิจารณาต้นทุนในการซื้อใบอนุญาตซอฟต์แวร์ให้เพียงพอต่อจำนวนอุปกรณ์ที่ต้องการตรวจสอบ บางองค์กรซื้อบริการตรวจจับและตอบสนองจุดปลาย (EDR) จากผู้ขายภายนอก แม้ว่าจะมีราคาแพง แต่บริการเหล่านี้ให้แนวทางที่ครอบคลุมและเป็นเอกภาพในการตรวจจับภัยคุกคามสำหรับอุปกรณ์ขององค์กร โดยทั่วไปจะรวมแพลตฟอร์มแจ้งเตือนแบบรวมศูนย์สำหรับการตรวจสอบการโจมตีที่อาจเกิดขึ้นต่ออุปกรณ์
• 4.4.B.3 ระดับความไวต่อความเสี่ยงหรือความสำคัญของอุปกรณ์เป็นเกณฑ์ในการกำหนดวิธีการอุปกรณ์ที่จัดเก็บหรือประมวลผลข้อมูลสำคัญหรือให้บริการที่สำคัญมีแนวโน้มจะถูกโจมตีมากกว่าและจะได้รับประโยชน์จากโมเดลตรวจจับแบบผสมผสานเพื่อให้ความป้องกันสูงสุดเท่าที่จะเป็นไปได้

วัตถุประสงค์การเรียนรู้ 4.4.C: ประเมินผลกระทบของวิธีการตรวจจับอุปกรณ์

• 4.4.C.1 ความเร็วและประสิทธิภาพเป็นปัจจัยในการประเมินผลกระทบของวิธีการตรวจจับ โดยทั่วไปการตรวจจับแบบ Signature จะเร็วกว่าการตรวจจับแบบ Anomaly และผลนี้ยิ่งชัดเจนขึ้นเมื่ออยู่ในอุปกรณ์ซึ่งมักขาดกำลังประมวลผลที่จะรันเครื่องมือตรวจจับแบบ Anomaly ได้อย่างมีประสิทธิภาพ การนำเครื่องมือตรวจจับที่ใช้ทรัพยากรสูงมาติดตั้งบนอุปกรณ์อาจทำให้ประสิทธิภาพของอุปกรณ์ลดลง
• 4.4.C.2 ระยะของการโจมตีเป็นปัจจัยในการประเมินผลกระทบของวิธีการตรวจจับ เพื่อดำเนินการบนอุปกรณ์ ผู้โจมตีต้องผ่านด่านการป้องกัน การยับยั้ง และการตรวจจับที่ประกอบด้วยความปลอดภัยชั้นฟิสิกส์หรือเครือข่ายก่อน การตรวจจับและหยุดยั้งการโจมตีในระดับอุปกรณ์สามารถป้องกันไม่ให้ผู้โจมตีเข้าถึงข้อมูลสำคัญหรือรบกวนบริการสำคัญได้
• 4.4.C.3 ผลบวกเท็จเปรียบเทียบกับความสะดวกในการหลบเลี่ยงการตรวจจับเป็นปัจจัยในการประเมินผลกระทบของวิธีการตรวจจับ เครื่องมือตรวจจับระดับอุปกรณ์ส่วนใหญ่เป็นแบบ Signature และการตรวจจับแบบ Signature มีอัตราผลบวกต่ำ อย่างไรก็ตาม การตรวจจับแบบ Signature ถูกผู้โจมตีหลบเลี่ยงได้ง่ายกว่า

วัตถุประสงค์การเรียนรู้ 4.4.D: ใช้เทคนิคการตรวจจับเพื่อระบุสัญญาณของการโจมตีรหัสผ่านโดยการวิเคราะห์ไฟล์บันทึก

• 4.4.D.1 การโจมตีรหัสผ่านออนไลน์สามารถตรวจจับได้ในบันทึกการยืนยันตัวตน ผู้ใช้รายหนึ่งพยายามใส่รหัสผ่านผิดหลายครั้งคือสัญญาณของการโจมตีรหัสผ่านออนไลน์ หากฐานข้อมูลแฮชรหัสผ่านผู้ใช้ถูกบุกรุก รหัสผ่านผู้ใช้ทั้งหมดในฐานข้อมูลควร被视为ไม่ปลอดภัยและควรบังคับให้ผู้ใช้อุทิศเปลี่ยนรหัสผ่านทั้งหมด
• 4.4.D.2 หากผู้ใช้ที่มีสิทธิ์เข้าสู่ระบบจากสถานที่หรือที่อยู่ IP ที่ต่างจากความคาดหวัง หรือในช่วงเวลาที่ต่างจากปกติ อาจเป็นสัญญาณว่ารหัสผ่านของผู้使用该被 compromised
• 4.4.D.3 สัญญาณของการพ่นรหัสผ่าน (Password Spraying) คือผู้ใช้หลายคนพยายามเข้าสู่ระบบภายในเวลาไม่กี่วินาทีจากที่อยู่ IP เดียวกันหรือจากที่อยู่ IP ที่ผิดปกติ
• 4.4.D.4 สัญญาณของการเติมข้อมูลประจำตัว (Credential Stuffing) คือการลองใช้ชุดข้อมูลประจำตัวผู้ใช้:รหัสผ่านเริ่มต้นหลายชุดบนอุปกรณ์ในลำดับรวดเร็ว มักมาจากที่อยู่ IP เดียวกัน
• 4.4.D.5 การโจมตีรหัสผ่านออฟไลน์ไม่สามารถตรวจจับได้ เพราะการโจมตีเกิดขึ้นบนคอมพิวเตอร์ของผู้โจมตี