Hash Value ช่วยสืบสวน Network Security อย่างไร
- ระบุมัลแวร์: ใช้ลายเซ็น (Signatures) จาก Hash Values ระบุมัลแวร์ที่รู้จัก
- ยืนยันความสมบูรณ์ไฟล์: ตรวจสอบว่าไฟล์ไม่ถูกแก้ไข/เปลี่ยนแปลง (Confidentiality/Integrity)
- เข้ารหัส Encryption Keys: ใช้ในการปกป้องคีย์เข้ารหัส
เครื่องมือ 3 อย่าง สำหรับการโจมตี (DoS/DDoS)
- TCP SYN Floods
- Buffer Overflows
- Smurf Attacks
ทุกอย่างส่งข้อมูลมากเกินไป จนเป้าหมายทำงานไม่ได้ Ping Sweeps ใช้ระบุเครื่องเป้าหมาย
Alert Classification: False Negative
False Negative = ระบบความปลอดภัย ไม่ตรวจพบ Exploit ที่เกิดขึ้นจริง Cybersecurity Analyst ใช้ Security Onion ตรวจสอบ Alerts
Port Number สำหรับ NTP DDoS Attack
UDP Port 123 ใช้โดย NTP (Network Time Protocol) โจมตีผ่านช่องโหว่ Server/Client บน Port 123
Hash Values สำหรับ Production Files
Hash Value = Fingerprint ของไฟล์ อัลกอริทึมเข้ารหัสสร้างค่า Hash จากเนื้อหาเอกสาร ค่า Hash นี้ Unique ต่อเอกสารนั้นๆ
Analysis Tools 3 ตัว ใน Security Onion
Security Onion = Linux Distro สำหรับ Network Security Monitoring & Log Management เครื่องมือรวม: Snort, Suricata, Bro (Zeek), ELSA
เครื่องมือที่มาพร้อม Security Onion
Security Onion Solutions, LLC พัฒนา Platform ฟรี/โอเพนซอร์ส: Threat Hunting, NSM, Log Management เครื่องมือ: Suricata, Zeek, Wazuh, Elastic Stack และอื่นๆ
Trojan Horse ประเภทไหน ใช้เครื่องเหยื่อ โจมตีเครื่องอื่น
DoS Trojan Horse ใช้เครื่องเหยื่อเป็นแหล่งปล่อยโจมตีเครื่องอื่น ทำให้ Network Traffic ช้าหรือหยุด
Alert Classification: True Positive
True Positive = Alert ระบุถูกต้องว่า Exploit เกิดขึ้นจริง IDS/IPS Signature ยิงถูก จราจรผิดกฎถูกตรวจพบ > Alarm ทำงาน
Tool ที่ Alert Records เชื่อม ELSA Search
Sguil Alert Records เชื่อม ELSA (Enterprise Log Search and Archive) โดยตรง Pivot จาก Sguil ไป ELSA ได้
Alert Classification ที่เสียเวลาผู้วิเคราะห์
False Positive = เหตุการณ์ปกติถูกจัดว่าเป็น Threat ทำให้ Analyst สืบสวนเปล่า Regex pattern matching ต้องตรวจสอบ
IPv6 ส่ง Optional Network Layer Info อย่างไร
ใช้ Extension Headers (ไม่ได้อยู่ใน IPv6 Header หลัก แต่อยู่แยกก่อน Payload)
Windows Log บันทึกเหตุการณ์อะไร
Security Logs บันทึก: Login Attempts, File/Object Access Operations
3 ประเภท Access Attacks
- Access Attacks (เข้าถึงโดยไม่ได้รับอนุญาต)
- Reconnaissance (สำรวจข้อมูล)
- Denial-of-Service (ปฏิเสธบริการ)
