Use Case (กรณีการใช้งาน) ในด้านความปลอดภัยเครือข่าย คือ สถานการณ์หรือรูปแบบการโจมตี/ภัยคุกคามที่ระบบรักษาความปลอดภัย (เช่น SIEM, Firewall, IDS/IPS) ถูกออกแบบมาเพื่อตรวจจับ ป้องกัน หรือตอบสนอง
Use Case หลักใน Network Security
1. การตรวจจับการเข้าถึงผิดปกติ (Anomalous Access Detection)
- Login จากสถานที่/อุปกรณ์ที่ไม่เคยใช้
- Brute-force attack (พยายามรหัสผ่านหลายครั้ง)
- การใช้ VPN จากภูมิศาสตร์ที่ผิดปกติ
2. การขโมยข้อมูล (Data Exfiltration)
- การส่งข้อมูลขนาดใหญ่ไปยัง IP ภายนอก
- การเชื่อมต่อกับ Cloud Storage ที่ไม่ได้รับอนุญาต
- DNS Tunneling
3. มัลแวร์และ Ransomware
- การเชื่อมต่อ C2 (Command & Control) Server
- การเข้ารหัสไฟล์จำนวนมากในเวลาสั้น
- Lateral Movement ภายในเครือข่าย
4. ภัยคุกคามจากภายใน (Insider Threat)
- การเข้าถึงข้อมูลไว้ระดับสูงโดยไม่มีหน้าที่
- การดาวน์โหลดข้อมูลจำนวนมากก่อนลาออก
- การใช้สิทธิ์ Admin อย่างไม่เหมาะสม
5. การโจมตี Web Application
- SQL Injection, XSS, Path Traversal
- การสแกนช่องโหว่ (Vulnerability Scanning)
- Credential Stuffing
Use Case ใน SIEM/QRadar
- QRadar Use Case Manager ใช้สร้างกฎ (Rules) ที่แมปกับ MITRE ATT&CK Framework
- รวมหลาย Event ให้กลายเป็น Offense เดียว เพื่อลด False Positive
- ตัวอย่าง: VPN Login จากประเทศเสี่ยง + Failed Login > 5 ครั้ง = High Priority Offense
ขั้นตอนสร้าง Use Case
- ระบุ Business Risk และ Threat Scenario
- กำหนด Data Sources (Log จาก Firewall, AD, Proxy, EDR, Cloud)
- สร้าง Correlation Rules (เงื่อนไข Trigger)
- ทดสอบและปรับแต่ง (Tuning) เพื่อลด Noise
- กำหนด Response Playbook (ขั้นตอนการตอบสนอง)
Use Case ที่ดีต้อง เฉพาะเจาะจง (Specific), วัดได้ (Measurable), และตอบสนองได้ (Actionable)
