🔍 Network Security Vulnerabilities คืออะไร?
Network Vulnerability = จุดอ่อน/ข้อบกพร่องใน ซอฟต์แวร์, ฮาร์ดแวร์, หรือ กระบวนการองค์กร ที่อาจถูกใช้ประโยชน์ (Exploit) เพื่อขโมยข้อมูล รบกวนบริการ หรือเข้าควบคุมระบบ
📂 ประเภทช่องโหว่เครือข่ายหลัก (4 Categories)
| หมวดหมู่ | คำอธิบาย | ตัวอย่าง | ผลกระทบ |
|---|
| 1. Hardware Vulnerabilities | ข้อบกพร่องทางกายภาพ/เฟิร์มแวร์ของอุปกรณ์เครือข่าย | CPU Spectre/Meltdown, Router Firmware Bugs, Switch ASIC Flaws, IoT Device Hardcoded Credentials, BIOS/UEFI Vulnerabilities | Persistent, Hard to Patch, Physical Access Risk |
| 2. Software Vulnerabilities | บั๊กในโค้ดของ OS, Firmware, Application, Protocol Stack | Buffer Overflow, SQLi, RCE (Log4Shell, EternalBlue, PrintNightmare), CVE-2024-xxxx, Zero-day | Remote Exploit, Wormable, High Impact |
| 3. Configuration/Process Vulnerabilities | การตั้งค่าผิด/ไม่ปลอดภัย หรือ กระบวนการขาดหาย | Default Credentials, Open Ports, Flat Network (No Segmentation), Weak Crypto (TLS 1.0, WEP), No MFA, Excessive Privileges, No Patch Process | Common, Preventable, High Exposure |
| 4. Human Vulnerabilities | พฤติกรรม/ความรู้ของผู้ใช้และผู้ดูแล | Phishing, Social Engineering, Weak Passwords, Credential Reuse, Misdelivery, Shadow IT, Insider Threat | Initial Access Vector #1 |
🎯 ช่องโหว่ที่พบบ่อยที่สุด (Top Network Vulnerabilities 2024)
- Unpatched Systems (Known Exploited Vulnerabilities - KEV) - CISA KEV Catalog
- Weak/Stolen Credentials - Password Spraying, Credential Stuffing, Default Passwords
- Misconfigured Cloud/Network Services - Open S3, Security Groups, Public RDP/SSH, Exposed Database
- Phishing / Social Engineering - Business Email Compromise, MFA Fatigue, QRishing
- Insufficient Network Segmentation - Flat Network, No DMZ, No Zero Trust
- Outdated/Unsupported Software - EOL OS (Win Server 2012, CentOS 7), Legacy Apps
- Weak Encryption / Certificate Issues - Expired Certs, Self-signed, TLS 1.0/1.1, Weak Ciphers
- Exposed Management Interfaces - RDP, SSH, Telnet, HTTP, RMI, JMX, Docker API, K8s API
- Supply Chain / Third-party Risk - Compromised Library, Vendor Breach, Malicious Update
- Insufficient Logging/Monitoring - No SIEM, Short Retention, No Alerting
🔄 วงจรชีวิตช่องโหว่ (Vulnerability Lifecycle)
Discovery → Disclosure (Responsible/Full) → CVE Assignment → Patch Development
→ Patch Release → Exploit Development (PoC/Weaponized) → In-the-Wild Attacks
→ Detection (Scanner/EDR/NDR) → Remediation (Patch/Mitigate/Accept) → Verification
🛠️ Vulnerability Management Process (กระบวนการจัดการช่องโหว่)
- Discover (Asset Inventory) - รู้ว่ามีอะไรบ้าง (Agent, Scan, API, CMDB)
- Assess (Scan & Prioritize) - Credentialed Scan + Threat Context (EPSS, KEV, Asset Value)
- Remediate (Patch/Configure/Mitigate) - Patch, Config Change, Compensating Control, WAF Rule, Network Block
- Verify (Rescan/Validation) - ยืนยันว่าช่องโหว่หายจริง
- Report & Improve - Metrics (MTTR, Coverage, Risk Score), Continuous Improvement
Risk-based Prioritization (ไม่ใช่แค่ CVSS)
Risk Score = CVSS × EPSS × Asset Criticality × Threat Intel (KEV, Exploit Available) × Compensating Controls
- CISA KEV (Known Exploited Vulnerabilities) = Patch ทันที (72 hrs)
- EPSS (Exploit Prediction Scoring System) = ความน่าจะเป็นถูก Exploit ใน 30 วัน
- Asset Criticality = Internet-facing > Crown Jewels > Internal > Isolated
🔬 เครื่องมือสแกนช่องโหว่ (Vulnerability Scanners)
| ประเภท | เครื่องมือ | คุณสมบัติ |
|---|
| Enterprise/Commercial | Tenable.io/SC, Qualys VMDR, Rapid7 InsightVM, Tenable Nessus Professional | Comprehensive, Agent+Scan, Compliance, Reporting, Integration |
| Cloud-Native | AWS Inspector, Azure Defender/ASC, GCP Security Command Center, Wiz, Orca, Prisma Cloud | Agentless, Cloud Context, Container/Serverless |
| Open Source | OpenVAS/GVM, Nuclei, Trivy, Grype, Clair, OpenSCAP, Lynis | Free, Extensible, CI/CD Integration, Container Focus |
| Network-specific | Nmap (Port/Service), Masscan (Fast), Zmap (Internet-wide), Naabu (Port Scanner) | Network Mapping, Service Enumeration |
🌐 Network-specific Vulnerabilities (เฉพาะเครือข่าย)
| ช่องโหว่ | คำอธิบาย | การป้องกัน |
|---|
| Routing Protocol Attacks | BGP Hijacking, OSPF/IS-IS Spoofing, RIP Attacks | RPKI, BGPsec, MD5/SHA Auth, Prefix Filtering |
| Switching/Layer 2 Attacks | VLAN Hopping, MAC Flooding, STP Manipulation, ARP Spoofing, DHCP Spoofing/Starvation | Port Security, BPDU Guard, Root Guard, DAI, DHCP Snooping, Private VLAN |
| Wireless Vulnerabilities | KRACK (WPA2), Dragonblood (WPA3), Evil Twin, Rogue AP, WPS PIN Brute Force | WPA3, Disable WPS, 802.1X/EAP-TLS, WIPS, Certificate-based Auth |
| DNS Vulnerabilities | Cache Poisoning, Hijacking, Tunneling, DGA, NXDOMAIN Attack | DNSSEC, DoH/DoT, RPZ, Response Rate Limiting, Monitoring |
| VPN/Remote Access | Split Tunneling, Weak Auth, Vulnerable VPN Gateway (Pulse, FortiGate, Citrix CVEs) | ZTNA, MFA, Posture Check, Cert-based Auth, Patch Gateway |
| DDoS Vulnerabilities | Reflection/Amplification (DNS, NTP, Memcached, CLDAP), Application Layer (HTTP Flood) | DDoS Protection (Cloudflare, AWS Shield, Azure DDoS), Rate Limiting, Anycast |
📊 เมตริกและ KPIs
| KPI | Target |
|---|
| Vulnerability Scan Coverage | > 95% of Assets |
| Mean Time to Remediate (MTTR) | Critical: < 72 hrs, High: < 30 days |
| Patch Compliance Rate | > 95% (Critical/High) |
| % Assets with Agent | > 90% |
| Open Critical/High Vulns > 30 days | 0 (Zero Tolerance) |
| Risk Score Reduction (Quarterly) | > 20% |
🛡️ Compensating Controls (เมื่อ Patch ไม่ได้ทันที)
- Virtual Patching / WAF Rules - บล็อก Exploit Pattern ที่ WAF/IPS
- Network Segmentation / Micro-segmentation - จำกัด Blast Radius
- Disable Vulnerable Service/Feature - ถ้าไม่จำเป็น
- Enhanced Monitoring - SIEM Rules, NDR, EDR สำหรับ Asset นั้น
- Application Allowlisting - บล็อก Execution ที่ไม่ได้รับอนุญาต
- Network Access Control (NAC) - Quarantine Non-compliant Devices
⚠️ Vulnerability ≠ Exploit ≠ Threat
| คำศัพท์ | ความหมาย | ตัวอย่าง |
|---|
| Vulnerability (ช่องโหว่) | จุดอ่อนในระบบ (CVE-2021-44228 Log4Shell) | Log4j ไม่ validate input |
| Exploit (โค้ดใช้ประโยชน์) | โค้ด/เทคนิคที่ใช้ช่องโหว่ (PoC, Weaponized Exploit) | JNDI Injection Payload |
| Threat (ภัยคุกคาม) | ผู้กระทำ/เหตุการณ์ที่อาจใช้ Exploit (APT Group, Ransomware Gang) | APT41 ใช้ Log4Shell โจมตี |
| Risk (ความเสี่ยง) | ความน่าจะเป็น × ผลกระทบ (Likelihood × Impact) | High: Internet-facing Log4j Server |
📋 Vulnerability Response Playbook (แนวทางปฏิบัติ)
- Critical KEV (CISA): Emergency Patch → 72 hrs → Isolate if Cannot Patch → WAF Rule → Incident Response if Exploited
- High/Internet-facing: Patch → 7-14 days → Compensating Controls
- Internal/Non-critical: Patch → 30-90 days → Next Maintenance Window
- Zero-day (No Patch): Threat Intel → IOC Hunting → Compensating Controls → Vendor Workaround → Patch ASAP
สรุป
Network Vulnerabilities = Hardware + Software + Configuration + Human
จัดการด้วย Risk-based Vulnerability Management: Discover → Assess (Context-aware) → Remediate (Patch/Mitigate) → Verify → Report
Key Tools: Tenable/Qualys/Rapid7 (Enterprise), Nuclei/Trivy (Cloud/Container), Nmap (Network), OpenVAS (Open Source)
Focus: CISA KEV + Internet-facing + Crown Jewels + Exploit Available = Patch First
Culture: Patch Tuesday → Patch Now (Automation, DevSecOps, Immutable Infrastructure)
