Security Incident (เหตุการณ์ความปลอดภัย) คืออะไร?
Security Incident คือ เหตุการณ์ที่มีผลกระทบหรือเป็นภัยคุกคามต่อ ความลับ (Confidentiality), ความสมบูรณ์ (Integrity), หรือ ความพร้อมใช้งาน (Availability) ของระบบสารสนเทศ เครือข่าย หรือข้อมูล รวมถึงการฝ่าฝืนนโยบาย กฎระเบียบ หรือกฎหมายที่เกี่ยวข้อง
ตาม NIST SP 800-61 Rev. 2 (Computer Security Incident Handling Guide):
"An occurrence that actually or potentially jeopardizes the confidentiality, integrity, or availability of an information system or the information the system processes, stores, or transmits, or that constitutes a violation or imminent threat of violation of security policies, security procedures, or acceptable use policies."
ประเภท Security Incidents (ที่พบบ่อย)
| ประเภท | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| Unauthorized Access / Compromise | การเข้าถึงระบบ/ข้อมูลโดยไม่ได้รับอนุญาต | Stolen Credentials, Exploited Vulnerability, SSH Brute-force, VPN Unauthorized Login |
| Malware / Ransomware | ซอฟต์แวร์อันตรายทำลาย/เข้ารหัส/ขโมยข้อมูล | Ransomware (LockBit, BlackCat), Trojan (Emotet, TrickBot), Crypto-miner, Wiper |
| Phishing / Social Engineering | หลอกลวงผู้ใช้เปิดเผยข้อมูล/รันโค้ด | Credential Phishing, Spear Phishing, Whaling, Smishing, Vishing, Business Email Compromise (BEC) |
| Denial of Service (DoS/DDoS) | ทำให้บริการไม่พร้อมใช้งาน | Volumetric (UDP Flood), Protocol (SYN Flood), Application Layer (HTTP Flood), Ransom DDoS |
| Data Breach / Leakage | ข้อมูลลับรั่วไหลออกนอกองค์กร | Misconfigured S3 Bucket, Lost Device, Insider Theft, Supply Chain Breach, GitHub Secrets Leak |
| Insider Threat | บุคลากรภายในทำลาย/ขโมยข้อมูล | Disgruntled Employee, Negligent User, Compromised Insider, Third-party Vendor |
| Web Application Attack | โจมตีช่องโหว่แอปเว็บ | SQLi, XSS, RCE, SSRF, API Abuse, Broken Access Control (OWASP Top 10) |
| Man-in-the-Middle (MitM) | สอดแนม/แก้ไขการสื่อสาร | ARP Spoofing, DNS Spoofing, TLS Stripping, Rogue AP, Evil Twin |
| Credential Theft / Stuffing | ขโมย/ใช้ Credentials ที่รั่วไหล | Keylogging, Pass-the-Hash, Golden Ticket, Credential Stuffing (Reuse breached passwords) |
| Supply Chain / Third-party | โจมตีผ่านพันธมิตร/ซอฟต์แวร์協力廠商 | SolarWinds, Kaseya, Log4j (Log4Shell), Dependency Confusion |
Network Incident vs Security Incident
- Network Incident: กีดกั้นที่ระดับเครือข่าย (Link Down, High Latency, Packet Loss, BGP Hijack, Routing Loop) → อาจไม่ใช่ Security Incident (เช่น Hardware Failure, Fiber Cut)
- Security Incident: มีเจตนาหรือผลกระทบด้านความปลอดภัย → ต้องการ Incident Response Process
- Overlap: DDoS, BGP Hijack (Malicious), DNS Cache Poisoning เป็นทั้ง Network และ Security Incident
Incident Response (IR) Lifecycle (ตาม NIST SP 800-61)
- Preparation (การเตรียมพร้อม): IR Plan, Playbooks, Team (CSIRT/SOC), Tools (SIEM, EDR, Forensics), Training, Threat Intelligence, Communication Plan
- Detection & Analysis (การตรวจจับและวิเคราะห์): Alerts (SIEM, EDR, User Report, Threat Intel), Triage (False Positive?), Evidence Collection, Impact/Scope Assessment, Indicator of Compromise (IOC) Extraction
- Containment, Eradication & Recovery (การควบคุม กำจัด และกู้คืน):
- Containment: Short-term (Isolate Network, Block IOC, Disable Account) & Long-term (Patch, Rebuild, Harden)
- Eradication: Remove Malware, Close Vulnerability, Remove Persistence, Rotate All Compromised Credentials
- Recovery: Restore from Clean Backup, Verify Integrity, Monitor for Re-infection, Restore Business Operations
- Post-Incident Activity (กิจกรรมหลังเหตุการณ์): Root Cause Analysis (RCA), Lessons Learned Meeting, Update IR Plan/Playbooks/Controls, Metrics (MTTD, MTTR, MTTC), Reporting (Internal, Regulatory, Law Enforcement, Customers)
ตัวชี้วัดสำคัญ (Key Metrics)
- MTTD (Mean Time to Detect): เวลาเฉลี่ยในการตรวจพบ
- MTTR (Mean Time to Respond/Recover): เวลาเฉลี่ยในการตอบสนอง/กู้คืน
- MTTC (Mean Time to Contain): เวลาเฉลี่ยในการควบคุม
- Number of Incidents by Severity/Type
- Recurrence Rate
การรายงานเหตุการณ์ (Reporting)
- ภายในองค์กร: Management, Legal, Compliance, PR, Affected Parties
- นอกองค์กร (ตามกฎหมาย): PDPA (72 hrs), GDPR (72 hrs), SEC (4 business days for material), Industry-specific (Banking, Healthcare, Energy), Law Enforcement (CERT/CSIRT)
- Threat Intelligence Sharing: ISAC/ISAO, Vendor, Peers (TLP:AMBER/RED)
สรุป
Security Incident คือ เหตุการณ์ที่ส่งผลเสียต่อ CIA Triad หรือฝ่าฝืนนโยบาย การจัดการต้องมี IR Plan ที่เป็นทางการ ทีม CSIRT/SOC ที่ฝึกฝน เครื่องมือ Visibility (SIEM/EDR/NDR) และกระบวนการ Post-Incident Improvement การแยก Network Incident (Availability-focused) และ Security Incident (Malicious/Impact-focused) ช่วยให้จัดสรรทรัพยากรได้ถูกต้อง
