เหตุการณ์ไซเบอร์ (Cybersecurity Incident) และการตอบสนอง (Incident Response - IR) คืออะไร?
Incident Response คือกระบวนการมีโครงสร้างสำหรับจัดการเหตุการณ์ความปลอดภัยไซเบอร์ เพื่อลดผลกระทบ ฟื้นฟูการทำงาน และป้องกันไม่ให้เกิดซ้ำ มาตรฐานหลักมี 3 แบบ คือ NIST SP 800-61 Rev.2, SANS Institute, และ ISO/IEC 27035
เปรียบเทียบลำดับขั้นตอน (Phases) ของมาตรฐานหลัก
| ลำดับ | NIST SP 800-61 Rev.2 (4 Phases) | SANS Institute (6 Steps) | ISO/IEC 27035 (5 Phases) |
|---|---|---|---|
| 1 | Preparation (การเตรียมพร้อม) | Preparation | Plan and Prepare (วางแผนและเตรียมพร้อม) |
| 2 | Detection and Analysis (การตรวจจับและการวิเคราะห์) | Identification | Detection and Reporting (การตรวจจับและรายงาน) |
| 3 | Containment, Eradication, and Recovery (การควบคุม กำจัด และการฟื้นฟู) | Containment | Assessment and Decision (การประเมินและตัดสินใจ) |
| 4 | Eradication | ||
| 5 | Recovery | Responses (การตอบสนอง - Containment, Eradication, Recovery) | |
| 6 | Post-Incident Activity (กิจกรรมหลังเหตุการณ์) | Lessons Learned | Lessons Learned (บทเรียนรู้) |
รายละเอียดแต่ละขั้นตอน (รายละเอียดตาม NIST 4 Phases)
Phase 1: Preparation (การเตรียมพร้อม) - สำคัญที่สุด
- จัดตั้ง CSIRT (Computer Security Incident Response Team) กำหนดบทบาท/หน้าที่/หนทางรายงาน
- พัฒนา IR Plan, Playbooks, Runbooks สำหรับแต่ละประเภทเหตุการณ์ (Ransomware, Phishing, Data Breach, DDoS, Insider Threat)
- เตรียมเครื่องมือ: SIEM, EDR, Network Traffic Analysis, Forensic Tools, Sandbox, Threat Intelligence Feeds
- จัดทำ Asset Inventory, Network Diagram, Data Flow Diagram, Baseline Configurations
- ฝึกอบรมทีม IR, IT Staff, End-users (Tabletop Exercise, Red Team/Blue Team, Purple Team) เป็นประจำ
- สร้าง Communication Plan (Internal: Exec, Legal, HR, PR / External: Law Enforcement, Regulators, Customers, Media)
- จัดทำ Evidence Handling Procedures (Chain of Custody, Hashing, Write-blockers)
Phase 2: Detection and Analysis (การตรวจจับและการวิเคราะห์)
- แหล่งข้อมูล (Sources): SIEM Alerts, EDR Alerts, IDS/IPS, Firewall Logs, User Reports, Threat Intel, Vulnerability Scans, Dark Web Monitoring
- Triage (การคัดแยก): จัดลำดับความสำคัญ (Severity/Priority) ด้วย CVSS, MITRE ATT&CK Mapping, Business Impact
- Analysis: Root Cause Analysis, Attack Vector, Scope (Systems, Accounts, Data affected), Indicators of Compromise (IoCs: IP, Hash, Domain, URL, Registry, Mutex)
- Documentation: บันทึกรายละเอียดทุกอย่าง (Timeline, Actions, Evidence, Decisions) ใน Ticketing System (Jira, ServiceNow, TheHive)
Phase 3: Containment, Eradication, and Recovery (การควบคุม กำจัด และการฟื้นฟู)
Containment (การควบคุม) - ทำทันทีที่ยืนยันเหตุการณ์
- Short-term: Isolate Network (VLAN Quarantine, Block IP at Firewall), Disable Compromised Accounts, Stop Malicious Processes, Snapshot VMs/Disks for Forensics
- Long-term: Apply Temporary Fixes (WAF Rules, Disable Vulnerable Services), Prepare Clean Environment for Recovery
- พิจารณา: Evidence Preservation vs. Operational Continuity (Risk-based Decision)
Eradication (การกำจัด)
- กำจัด Root Cause: Remove Malware, Close Vulnerabilities (Patch/Config Change), Remove Unauthorized Access (Backdoors, Rogue Accounts, SSH Keys), Rotate All Compromised Credentials (Passwords, API Keys, Certificates, Tokens)
- Verify: Re-scan, Re-assess เพื่อยืนยันว่ากำจัดสิ่งร้ายครบถ้วน
Recovery (การฟื้นฟู)
- Restore Systems จาก Backup ที่สะอาด (Verified Clean, Tested)
- Rebuild Systems (Infrastructure as Code, Golden Images) แทนการ Clean Infected Hosts
- Monitor Closely (Enhanced Logging, Additional Sensors) ช่วง 30-90 วัน (Post-Incident Monitoring)
- Validate Business Functions ก่อนกลับสู่ Production ปกติ
Phase 4: Post-Incident Activity (กิจกรรมหลังเหตุการณ์)
- Root Cause Analysis (RCA): 5 Whys, Fishbone Diagram, Fault Tree Analysis
- Lessons Learned Meeting: ภายใน 1-2 สัปดาห์ รวม Stakeholders ทุกฝ่าย What went well? What failed? What to improve?
- Update Artifacts: IR Plan, Playbooks, Runbooks, Detection Rules (SIEM/EDR), Blocklists, Architecture, Policies
- Metrics & Reporting: MTTR (Mean Time To Respond/Recover), MTTD (Mean Time To Detect), Cost, Data Lost, Recurrence Rate
- Threat Intelligence Sharing: แชร์ IoCs, TTPs ให้ ISAC/ISAO, Peers, Vendors (TLP:AMBER/WHITE)
- Legal/Regulatory Notification: PDPA (72 hrs), SEC, Industry-specific (HIPAA, PCI-DSS)
ตัวชี้วัดประสิทธิภาพ (KPIs) ของ IR
- MTTD (Mean Time To Detect): เวลาเฉลี่ยในการตรวจจับ
- MTTA (Mean Time To Acknowledge): เวลาเฉลี่ยในการรับทราบ/มอบหมาย
- MTTR (Mean Time To Respond/Recover/Resolve): เวลาเฉลี่ยในการตอบสนอง/ฟื้นฟู/แก้ไข
- Incident Volume by Severity/Type: แนวโน้มเหตุการณ์
- Recurrence Rate: เปอร์เซ็นต์เหตุการณ์ซ้ำแบบเดิม
เครื่องมือและแพลตฟอร์มสนับสนุน (IR Tools & Platforms)
- Case Management: TheHive, Cortex XSOAR, Splunk SOAR, ServiceNow SecOps, Jira Service Management
- Forensics: Velociraptor, KAPE, Autopsy, Volatility, FTK Imager, Magnet AXIOM
- Memory/Network Analysis: Zeek (Bro), Wireshark, Arkime (Moloch), NetworkMiner
- Threat Intel: MISP, OpenCTI, AlienVault OTX, VirusTotal, Hybrid Analysis
สรุป
ลำดับขั้นตอนมาตรฐานคือ Preparation → Detection & Analysis → Containment → Eradication → Recovery → Post-Incident Activity (Lessons Learned) จุดสำคัญคือ Preparation ต้องทำก่อนเกิดเหตุการณ์ และ Lessons Learned ต้องนำกลับไปปรับปรุง Preparation เป็นวัฏจักรต่อเนื่อง (Continuous Improvement) องค์กรควรปรับแต่ง Playbooks ให้เข้ากับบริบท ธุรกิจ และภัยคุกคามที่เผชิญจริง
