Continuous Vulnerability Scanning คืออะไร?
Continuous Vulnerability Scanning คือการสแกนหาช่องโหว่ (Vulnerabilities) บนเครือข่าย ระบบ แอปพลิเคชัน และอุปกรณ์ อย่างต่อเนื่อง (24/7 หรือความถี่สูง) แทนที่จะเป็นการสแกนครั้งละครั้ง (Point-in-time/Periodic) เพื่อลด Window of Exposure (ช่วงเวลาที่โจรกลับ) ให้น้อยที่สุด
ทำไมต้อง Continuous? (Value Proposition)
| มิติ | Periodic (Quarterly/Monthly) | Continuous |
|---|
| Time to Detect | 30-90+ วัน | ชั่วโมง-วัน (Near Real-time) |
| Window of Exposure | กว้าง (Attackers มีเวลามาก) | แคบมาก (Remediate ก่อนโจมตี) |
| New Asset Coverage | พลาด Shadow IT, Cloud Resources ใหม่ | Auto-discovery จับทุก Asset ใหม่ |
| Compliance Evidence | Snapshot จุดเดียว | Continuous Evidence (Audit Ready) |
| Risk Prioritization | Static CVSS | Dynamic: EPSS, KEV, Threat Intel, Asset Criticality |
| Remediation Tracking | Manual, Spreadsheet | Automated Ticketing, SLA Tracking, Verification Re-scan |
เครื่องมือสแกนช่องโหว่ยอดนิยม (Vulnerability Scanners)
| เครื่องมือ | ประเภท | จุดเด่น |
|---|
| Tenable Nessus / Tenable.io | Commercial (Agent/Network) | Plugin มากที่สุด (>180k), Compliance, IT/OT/Cloud, Predictive Prioritization (VPR) |
| Qualys VMDR | Cloud-native (Agent/Scanner) | No Hardware, Continuous, Patch Integration, Asset Inventory, Certifiable |
| Rapid7 InsightVM / Nexpose | Commercial (Agent/Network) | Real-time Risk Score, Remediation Projects, Automation, Attacker Analytics |
| OpenVAS / Greenbone (GVM) | Open Source (Network) | Free, >53k NVTs, Kali Linux Built-in, API, Reports, Feed Updates |
| Nuclei | Open Source (Template-based) | Fast, YAML Templates, Community-driven, CI/CD Integration, Bug Bounty Ready |
| Microsoft Defender Vulnerability Management | Built-in (MDE/MDVM) | Agentless (MDE Sensor), Exposure Score, Secure Score, Integrated |
| Wiz / Orca / Lacework | CNAPP (Cloud-Native) | Agentless Cloud Scan, Graph-based, Container/IaC/Identity |
OpenVAS / Greenbone Community Edition (รายละเอียด)
- Architecture: Scanner (OpenVAS) + Manager (GVMD) + Feed (NVTs/SCAP/CERT) + Web UI (GSA) + CLI (GVMD/GVM-CLI)
- NVTs (Network Vulnerability Tests): >53,000+ (Daily Feed Updates)
- Scan Types: Full & Fast, Full & Deep, Log-in (Credentialed), Web App, Compliance (CIS, PCI), SCAP
- Features: Scheduling, Report Formats (PDF, XML, HTML, CSV), Alerting, Ticketing (Jira, Email), API/REST
- Use Case: Internal Network Scan, Compliance Baseline, Pre-prod Testing, Education/Lab
- Limitations: No Official Support, UI ค่อนข้าง Complex, Resource Heavy, No SaaS/Cloud-native
ประเภทการสแกนช่องโหว่ (Types of Vulnerability Scans)
| ประเภท | คำอธิบาย | Use Case |
|---|
| Network-based | สแกนจากเครือข่าย (Ports, Services, OS, Config) | External/Internal Perimeter, DMZ, Cloud VPC |
| Host-based / Agent-based | Agent บน Host (Registry, File System, Patch Level, Config) | Workstations, Servers, Containers (Host View) |
| Wireless | Wi-Fi Config, Encryption, Rogue AP, Client Vulns | WLAN Security Assessment |
| Application / Web App | DAST/SAST/IAST (OWASP Top 10, Business Logic) | SDLC, Pre-deploy, Production |
| Database | DB Config, Permissions, Patches, Sensitive Data | Crown Jewels Protection |
| Container / Image | Base Image, Packages, Config, Secrets, Dockerfile | CI/CD Pipeline, Registry, Runtime |
| Cloud / Infrastructure | CSPM, IAM, Network, Storage, Serverless, K8s | AWS/Azure/GCP, Multi-cloud |
Continuous Vulnerability Management (CVM) Lifecycle
- Discover: Asset Inventory (Active/Passive/Cloud API/AD/MDM) - Continuous
- Assess: Continuous Scanning (Scheduled + Event-driven: New Asset, New CVE, Config Change)
- Prioritize: Risk-based (CVSS + EPSS + CISA KEV + Threat Intel + Asset Criticality + Exploitability + Compensating Controls)
- Remediate: Patch, Config Change, Mitigation (WAF Rule, Segmentation), Accept Risk (Documented)
- Verify: Re-scan Targeted, Automated Verification, Close Ticket
- Report & Improve: KPIs (MTTR, Coverage, Aging, Risk Reduction), Trend, Board Reporting
Continuous Security Monitoring (CSM) vs Continuous Vulnerability Scanning
- CSM (NIST 800-137): กว้างกว่า - รวม Vuln Scanning + Config Compliance + Threat Detection + Situational Awareness + Security Control Effectiveness
- Continuous Vuln Scanning: Focus ช่องโหว่ (CVE, Misconfig) เป็น Subset ของ CSM
ทำไม Information Security ต้องเป็น Continuous Process?
- Threat Landscape เปลี่ยนแปลงทุกวัน (New CVEs, Exploits, TTPs, Ransomware Groups)
- IT Environment เปลี่ยนแปลงตลอด (Cloud, Containers, Remote Work, Shadow IT, M&A)
- Attackers Automated - ใช้ Bot/Scanner/Exploit Framework สแกน/โจมตี 24/7
- Compliance ต้องการ Evidence ตลอด (Continuous Compliance / Continuous Audit)
- Risk Management ต้องการ Real-time Data เพื่อตัดสินใจ (Risk Appetite, Investment, Insurance)
Metrics สำหรับ Continuous Vulnerability Program
- Scan Coverage: % Assets Scanned (Target > 95%)
- Scan Frequency: Critical Assets Daily, High Weekly, Medium Monthly
- Mean Time to Detect (MTTD): < 24 hrs สำหรับ Critical/KEV
- Mean Time to Remediate (MTTR): Critical < 72 hrs, High < 7 days, Medium < 30 days
- Vulnerability Aging: % Vulns > 30/60/90 days
- Risk Score Trend: Organization Risk Score ลดลงตามเวลา
- Exception Rate: % Accepted Risk (Target < 5%)
สรุป: คุณค่าหลัก (Core Value)
Continuous Network Security Scanning = Reduced Window of Exposure + Risk-based Prioritization + Automated Remediation Loop + Continuous Compliance = Proactive Security Posture แทนที่จะเป็น Reactive
