Retired Signature ใน Network Security (IPS/IDS) คืออะไร?

Retired Signature (ลายเซ็นที่เกษียณ) คืออะไร?

ในระบบ IPS/IDS (Intrusion Prevention/Detection System) Signature คือรูปแบบหรือลายนิ้วมือของการโจมตีที่รู้จักแล้ว เมื่อ Signature ถูกตั้งค่าเป็น Retired หมายถึง:

• IPS/IDS จะ ไม่โหลด Signature นั้นเข้าหน่วยความจำ เพื่อสแกนทราฟฟิก
• ไม่สร้าง Alert/Event เมื่อเจอรูปแบบการโจมตีนั้น
• ผู้ดูแลระบบสามารถ Unretire (ยกเลิกการเกษียณ) ได้เมื่อต้องการใช้งานอีกครั้ง

ทำไมต้อง Retired Signature?

1. ลดการใช้ทรัพยากร (Resource Optimization): Signature มากเกินไปทำให้ CPU/Memory สูง
2. ลด False Positives: Signature เก่า/ไม่เกี่ยวข้องอาจสร้างการแจ้งเตือนผิด
3. Signature หมดอายุ (Obsolete): โจมตีประเภทนั้นไม่พบแล้ว หรือมี Signature ใหม่ที่ดีกว่าแทนที่
4. Performance Tuning: ปรับให้ IPS/IDS ทำงานเร็วขึ้น

Signature ใน IDS/IPS คืออะไร?

เป็น รูปแบบ (Pattern) หรือโค้ดที่ระบุลักษณะการโจมตี เช่น:

• Byte sequence ในทราฟฟิกเครือข่าย (เช่น `GET /cgi-bin/../../etc/passwd`)
• String/Regex ใน Payload
• การผสมผสานของ Header flags, Port, Protocol
• พฤติกรรมที่ผิดปกติ (Anomaly-based)

Cisco IPS Signature

Cisco ใช้ Signature ในการตรวจจับการบุกรุกเครือข่าย สามารถดาวน์โหลด Signature ใหม่ล่าสุดจาก Cisco Signature Server ผ่าน Cisco.com account ผ่านเมนู Device Management > Cisco Services & Support

Signature Engine

เป็นส่วนประมวลผลที่รองรับหลายประเภท Signature ประกอบด้วย:

• Parser: แยกวิเคราะห์โปรโตคอล/รูปแบบข้อมูล
• Inspector: ตรวจสอบเนื้อหาตามเงื่อนไขของ Signature

แต่ละ Engine มี Parameters ที่ปรับแต่งได้ (เช่น Offset, Depth, Regex)

IPS Signature-based Detection vs Anomaly-based

ข้อจำกัดของ Signature-based IDS/IPS

• ไม่ตรวจจับการโจมตีที่ใช้ Credentials ที่ถูกต้อง (Valid Credentials) เช่น Password แอดมินอ่อนแอ
• ไม่เห็นการโจมตีใน Encrypted Traffic (HTTPS) หากไม่ทำ SSL Decryption
• ต้องอัปเดต Signature Database อย่างสม่ำเสมอ

แนวทางปฏิบัติที่ดี (Best Practices)

• Review Signature Status เป็นระยะ (Enable/Disable/Retire)
• ปรับ Severity ให้สอดคล้องกับความเสี่ยงขององค์กร
• สร้าง Custom Signature สำหรับภัยคุกคามเฉพาะองค์กร
• รวมใช้ร่วมกับ Anomaly-based และ Behavioral Analysis
• ทดสอบ Signature ใหม่ในโหมด Monitor ก่อนเปิด Block