អត្ថបទទី6 — អ្នកវាយប្រហារបានធ្វើកិច្ចការរបស់គេ។ ចុះអ្នកវិញ? "ហេគឃ័រ (Hackers) មិនទាយនោះទេ។ ពួកគេស្រាវជ្រាវ ហើយពួកគេដឹងពីប្រព័ន្ធរបស់អ្នកច្រើនជាងអ្វីដែលអ្នកបានគិតទៅទៀត។"
១. បរិបទទូទៅ
មុនពេលឧក្រិដ្ឋជនសាយប័រចាប់ផ្តើមការវាយប្រហារពួកគេចំណាយពេលយ៉ាងច្រើនក្នុងការធ្វើការស៊ើបការណ៍ (reconnaissance) — ប្រមូលព័ត៌មានអំពីគោលដៅ។ ពួកគេប្រើប្រាស់ឧបករណ៍ដែលមានជាសាធារណៈដើម្បីស្វែងរកប្រព័ន្ធរបស់អ្នកដែលភ្ជាប់ទៅកាន់អុីនធឺណិត។ ពួកគេស្វែងរកកំណែកម្មវិធី (software versions) ចាស់ៗ។ ពួកគេពិនិត្យមើល ថាតើគេហទំព័ររបស់អ្នកបានបង្ហាញព័ត៌មានអំពីឧបករណ៍ដែលអ្នកប្រើប្រាស់ដែរឬទេ។ ពួកគេស្វែងរកនៅលើ LinkedIn ដើម្បីយល់ពីរចនាសម្ព័ន្ធស្ថាប័នរបស់អ្នក និងកំណត់ថាតើនរណាខ្លះជាក្រុមព័ត៌មានវិទ្យា។ ពួកគេថែមទាំងអាចទូរស័ព្ទទៅកាន់ផ្នែកជំនួយ (helpdesk) របស់អ្នក ដោយក្លែងបន្លំជាបុគ្គលិកដើម្បីប្រមូលព័ត៌មានសម្រាប់ការចូលប្រើប្រាស់។
នៅពេលដែលពួកគេចាប់ផ្តើមធ្វើសកម្មភាព ពួកគេដឹងច្បាស់ថាទ្វារមួយណាដែលខ្សោយជាងគេ។ ហើយក្នុងករណីភាគច្រើន ទ្វារនោះគឺជាទ្វារដែលស្ថាប័នរបស់អ្នកបានភ្លេច — ប្រព័ន្ធដែលមិនបានធ្វើបច្ចុប្បន្នភាព (unpatched system) ទំព័រចូលប្រើ (login page) ដែលគេអាចមើលឃើញ គណនីក្លោដ (cloud account) ដែលរៀបចំខុស ឬឧបករណ៍ដែលដំណើរការកម្មវិធីហួសសម័យ។
ជាមធ្យមអ្នកវាយប្រហារចំណាយពេលពី 3 ទៅ 6 សប្តាហ៍ដើម្បីសិក្សាពីគោលដៅ មុនពេលចាប់ផ្តើមការវាយប្រហារ។ ស្ថាប័នដែលពួកគេវាយប្រហារ ច្រើនតែមិនចំណាយពេលសោះក្នុងការសិក្សាពីខ្លួនឯង តាមទស្សនៈរបស់អ្នកវាយប្រហារ។
២. ហេតុអ្វីបានជារឿងនេះមានសារៈសំខាន់ចំពោះស្ថាប័នរបស់អ្នក
ភាពមិនស៊ីគ្នានេះគឺច្បាស់ណាស់៖ អ្នកវាយប្រហារវិនិយោគពេលវេលាសិក្សាពីចំណុចខ្សោយរបស់អ្នក ខណៈពេលដែលស្ថាប័នភាគច្រើនវិនិយោគពេលវេលាតិចតួចបំផុតក្នុងការយល់ដឹងពីអ្វីដែលពួកគេបានបង្ហាញទៅកាន់ពិភពខាងក្រៅ។ ការគ្រប់គ្រងទ្រព្យសកម្ម គឺជួយបិទចន្លោះប្រហោងនេះ។ នៅពេលដែលអ្នកដឹងច្បាស់ថាអ្នកមានអ្វីខ្លះ អ្វីដែលត្រូវបានលាតត្រដាង និងអ្វីដែលហួសសម័យ អ្នកអាចស្វែងរក និងជួសជុលទ្វារដែលខ្សោយទាំងនោះ មុនពេលអ្នកវាយប្រហាររកវាឃើញសម្រាប់អ្នក។
៣. ការណែនាំ និងជំហានសម្រាប់ការអនុវត្ត
ជំហានទី 1 — ស្វែងរកស្ថាប័នរបស់អ្នកនៅលើ Google
ចាប់ផ្តើមជាមួយនឹងទម្រង់ដ៏សាមញ្ញបំផុតនៃការស៊ើបការណ៍ខ្លួនឯង។ ស្វែងរកឈ្មោះក្រុមហ៊ុនរបស់អ្នក
ដូមេន (domain) របស់អ្នក និងឈ្មោះថ្នាក់ដឹកនាំសំខាន់ៗនៅលើអុីនធឺណិត។ តើមានព័ត៌មានអ្វីខ្លះដែលត្រូវបានបង្ហាញជាសាធារណៈ? តើមានវេទិកាបច្ចេកវិទ្យាអ្វីខ្លះដែលត្រូវបានលើកឡើងនៅលើគេហទំព័ររបស់អ្នក? តើស្ថាប័នរបស់អ្នកបានលាតត្រដាងអ្វីខ្លះដោយមិនដឹងខ្លួន?
ជំហានទី 2 — ស្នើសុំការវាយតម្លៃចំណុចខ្សោយពីខាងក្រៅ
ស្នើសុំឱ្យអ្នកជំនាញសន្តិសុខសាយប័រធ្វើការវាយតម្លៃផ្នែកខាងក្រៅជាមូលដ្ឋាន — សម្លឹងមើលស្ថាប័នរបស់អ្នកពីខាងក្រៅ ដូចទៅនឹងរបៀបដែលអ្នកវាយប្រហារធ្វើដែរ។ នេះមិនចាំបាច់ជាការធ្វើតេស្តជ្រៀតចូលពេញលេញ (full penetration test) នោះទេ ត្រឹមតែការស្កេនជាមូលដ្ឋានលើទ្រព្យសកម្មដែលភ្ជាប់ទៅអ៊ីនធឺណិតរបស់អ្នក នឹងបង្ហាញពីរបកគំហើញដ៏សំខាន់ជាច្រើន។
ជំហានទី 3 — ពិនិត្យមើលអ្វីដែលការប្រកាសជ្រើសរើសបុគ្គលិករបស់អ្នកបានលាតត្រដាង
គួរឱ្យភ្ញាក់ផ្អើល ការប្រកាសការងារគឺជាឃ្លាំងមាសសម្រាប់អ្នកវាយប្រហារ។ ការប្រកាសដែលនិយាយថា "ត្រូវមានបទពិសោធន៍ជាមួយ SAP, Cisco ASA firewalls, និង AWS" ប្រាប់អ្នកវាយប្រហារយ៉ាងច្បាស់ពី បច្ចេកវិទ្យាដែលក្រុមហ៊ុនរបស់អ្នកកំពុងប្រើប្រាស់។ សូមពិនិត្យមើលការប្រកាសការងាររបស់អ្នកឡើងវិញដោយផ្តោតលើចំណុចនេះ។
ជំហានទី 4 — កំណត់អត្តសញ្ញាណទ្រព្យសកម្មដែលភ្ជាប់ទៅអ៊ីនធឺណិតរបស់អ្នក
ធ្វើការជាមួយក្រុមព័ត៌មានវិទ្យារបស់អ្នក ដើម្បីរាយនាមរាល់សេវាកម្ម ប្រព័ន្ធឬច្រកចូល (portal) ដែលអាចចូលប្រើបានពីអុីនធឺណិត — គេហទំព័រ ម៉ាស៊ីនមេអុីមែល (email servers), ច្រកចូល VPN, ច្រកចូលសម្រាប់អតិថិជន (customer portals), និងឧបករណ៍ចូលប្រើប្រាស់ពីចម្ងាយ (remote access tools)។ ទាំងនេះគឺជាទ្រព្យសកម្មដែលងាយរងគ្រោះបំផុតរបស់អ្នក ហើយទាមទារការយកចិត្តទុកដាក់ជាអាទិភាព។
៤. អនុសាសន៍សំខាន់សម្រាប់ថ្នាក់ដឹកនាំ
ស្នើសុំការធ្វើ "ការវាយតម្លៃតាមទស្សនៈរបស់អ្នកវាយប្រហារ (Attacker's View Assessment)" ប្រចាំឆ្នាំពីក្រុមហ៊ុនសន្តិសុខសាយប័រដែលមានកេរ្តិ៍ឈ្មោះ។ ការវាយតម្លៃនេះសម្លឹងមើលស្ថាប័នរបស់អ្នកក្នុងទម្រង់ដែលអ្នកវាយប្រហារនឹងធ្វើ — កំណត់អត្តសញ្ញាណអ្វីដែលអាចមើលឃើញ អ្វីដែលខ្សោយ និងអ្វីដែលត្រូវបានលាតត្រដាង។ របកគំហើញទាំងនេះគួរតែត្រូវបានបង្ហាញជូនដល់ថ្នាក់គ្រប់គ្រង មិនមែនត្រឹមតែក្រុមព័ត៌មានវិទ្យាប៉ុណ្ណោះទេ ពីព្រោះការសម្រេចចិត្តជាច្រើនដែលត្រូវការដើម្បីជួសជុលចន្លោះប្រហោងទាំងនោះ គឺជាការសម្រេចចិត្តកម្រិតថ្នាក់គ្រប់គ្រង។
សំណួរសម្រាប់ពិភាក្សា៖ តើអ្នកធ្លាប់ប្រើ Google ដើម្បីស្វែងរកក្រុមហ៊ុនខ្លួនឯង ដើម្បីមើលថាមានព័ត៌មានអ្វីខ្លះដែលត្រូវបានបង្ហាញជាសាធារណៈដែរឬទេ? តើមានអ្វីដែលធ្វើឱ្យអ្នកភ្ញាក់ផ្អើល?
@OUPNarith
