Sun Tzu ได้ระบุไว้ใน "Art of War" (หนังสือศิลปะสงครามจีนโบราณ) ว่า " หากคุณรู้จักศัตรูและรู้จักตัวเอง คุณไม่ต้องกลัวผลลัพธ์ของร้อยการรบ" วลีโบราณนี้ยังใช้ได้ในวันนี้เพื่อวาดภาพการต่อสู้ระหว่างผู้เชี่ยวชาญความปลอดภัยข้อมูลและแฮกเกอร์ เพื่อดำเนินการใดๆ ในระบบป้องกันของเรา ต้องรู้ว่าแฮกเกอร์กระทำอย่างไร และนั่นคือเหตุผลที่ต้องรู้จัก Cyber Kill Chain! นี่แน่นอนจะเป็นหินมิลสำคัญ หากคุณพยายามป้องกันระบบของคุณอย่างจริงจัง เพราะใบรับรองความปลอดภัยทางไซเบอร์จะไม่มีประโยชน์ หากคุณไม่รู้พื้นฐาน! มาเริ่มกันเลย!
Cyber Kill Chain คืออะไร?
สามารถนิยามได้ว่าเป็นรายการลำดับขั้นตอน (ordered list of phases) ของการโจมตีทางไซเบอร์ เริ่มจากขั้นตอนแรกสุดของการวางแผน และยืดเยื้อจนถึงการสิ้นสุดของการโจมตี ดังนั้น เราสามารถพูดได้ว่า Cyber Kill Chain ให้ภาพรวมแบบนก (bird's eye view) ของกลยุทธ์การแฮก Cyber Kill Chain คล้ายกับแนวคิดที่ Lockheed Martin เสนอ ในโมเดลของเขาก็อธิบายขั้นตอนของการโจมตีที่มีเป้าหมาย (targeted attack)
อ่านเพิ่มเติม : ความปลอดภัยทางไซเบอร์กำลังดีขึ้นหรือแย่ลง?
หากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์สามารถแยกวิเคราะห์ได้ว่าผู้บุกรุกเข้ามาในเครือข่ายและ exploit ช่องโหว่อย่างไร พวกเขาสามารถนำไปใช้เพื่อปกป้องเครือข่ายขององค์กรได้เช่นกัน
ขั้นตอนของ Cyber Kill Chain
มี 7 ขั้นตอนใน Cyber Kill Chain และแต่ละขั้นมีข้อดีของตัวเอง! โซ่นี้คล้ายกับการปล้นบ้านทั่วไป ผู้โจมตีสำรวจระบบก่อนพยายามเจาะเข้า หลังเสร็จแล้ว ผ่านอีกไม่กี่ขั้นตอนก่อนการปล้นจริง! มาเริ่มต้นและรู้จักขั้นตอนเหล่านี้!
1. Reconnaissance (การสำรวจข้อมูล)
สิ่งแรกที่จำเป็นสำหรับการโจมตีคือการระบุและทำรายการเป้าหมาย (shortlist a target) สิ่งนี้ขึ้นอยู่กับแรงจูงใจของผู้โจมตี สำหรับเขา เหยื่ออาจเป็นใครก็ได้ องค์กร ชุมชน หรือแม้แต่บุคคล เหตุผลคือ เป้าหมายคือคนที่มีข้อมูลที่ถือว่ามีค่าตามมุมมองของผู้โจมตี! ก่อนอื่น เขารวบรวมข้อมูลมากที่สุดเท่าที่จะทำได้เกี่ยวกับเหยื่อ เมื่อทำเสร็จ เขาค้นหาช่องโหว่เพื่อ exploit และบุกเครือข่าย เนื่องจากองค์กรขนาดใหญ่มีชั้นความปลอดภัยหลายชั้น และมีผู้เชี่ยวชาญที่มีใบรับรองความปลอดภัยทางไซเบอร์ อาจใช้เวลามาก อย่างไรก็ตาม ยิ่งผู้โจมตีได้ความรู้เกี่ยวกับเป้าหมายมาก ยิ่งอันตราย
2. Weaponization (การสร้างอาวุธ)
ตอนนี้ ในขั้นตอนที่สอง ผู้โจมตีปรับโครงสร้างมัลแวร์ใหม่ (re-engineers) โดยใช้เทคนิคขั้นสูงบางอย่างที่เหมาะกับวัตถุประสงค์ของเขา ขึ้นอยู่กับแรงจูงใจของผู้โจมตี มัลแวร์ exploit ช่องโหว่ที่ไม่รู้จัก (unknown to security experts) เพื่อเอาชนะการป้องกันเครือข่ายของเหยื่อ นอกจากนี้ ด้วยวิธีขั้นสูง เขาลดโอกาสการตรวจจับผ่านโปรโตคอลความปลอดภัยมาตรฐาน
3. Delivery (การส่งมอบ)
ในจุดนี้ ผู้โจมตีรู้เหยื่อของเขาแล้วอย่างลึกซึ้ง ทั้งที่เขาต้องทำคือส่งโค้ดอันตรายไปให้เขา สามวิธีที่นิยมที่สุดคือ ไฟล์แนบอีเมล (email attachments) เว็บไซต์ที่หลอกล่อ (websites that lure him) หรือผ่านอุปกรณ์ถอดได้ (removable device) การส่งผ่านและสุดท้ายคือการส่งมอบบรรจุภัณฑ์ของเขาเป็นขั้นตอนต่อไป แต่ความพยายามเหล่านี้มีผลลัพธ์ และผู้โจมตีก็ถูก fingerprint แบบดิจิทัลเช่นกัน ดังนั้น หากระบบความปลอดภัยของเหยื่อมีประสิทธิภาพพอ เขาจะรู้เกี่ยวกับพฤติกรรมผิดปกติในเครือข่ายและดำเนินการที่จำเป็น การสำรองข้อมูล (backups) และเพิ่มชั้นความปลอดภัย (security layer) จะช่วยแน่นอน
อ่านเพิ่มเติม: Microsoft Security Essentials: The Dark Horse Of Cybersecurity
4. Exploitation (การ exploit)
ในขั้นตอนนี้ ช่องโหว่บนเครือข่ายหรือระบบจะถูก exploit อย่างไรก็ตาม ความสามารถด้านการป้องกันที่ปรับแต่งตามความต้องการขององค์กร จำเป็นต้องมี เพื่อหยุด exploits ในขั้นตอนนี้ ทันทีที่ผู้โจมตีไปถึงจุดอ่อน เขาเริ่ม exploit ผ่านโค้ดสคริปต์ที่ซ่อนตัวใต้สภาพแวดล้อมการทำงานของเหยื่อ
5. Installation (การติดตั้ง)
ในนี้ remote access backdoor ถูกติดตั้งบนระบบเหยื่อ สิ่งนี้อนุญาตให้ผู้โจมตีสร้างความต่อเนื่อง (continuity) ภายในสภาพแวดล้อมของโฮสต์ การปรับใช้ "Host-Based Intrusion Prevention System" อาจมีประโยชน์บ้าง! มันสำคัญมากที่จะเข้าใจแรงจูงใจของมัลแวร์ แทนที่จะกระทำตอบโต้มัน ผู้ป้องกันต้องดำเนินการที่จำเป็นก่อนขั้นตอนนี้เพื่อหลีกเลี่ยงการรั่วไหลข้อมูล!
6. Command and Control (การสั่งการและควบคุม)
นี่คือโอกาสสุดท้ายในการดำเนินการ (สำหรับผู้ป้องกัน) โดยการกีดกันช่องทาง Command and Control ด้วยการทำเช่นนี้ ศัตรูไม่สามารถออกคำสั่งได้ และดังนั้นผู้ป้องกันสามารถป้องกันผลกระทบของพวกเขาได้ อย่าลืมว่า มัลแวร์นادرที่จะเป็นอัตโนมัติ ปกติแล้วเป็นแบบแมนนวล (manual) แนวทางปฏิบัติทั่วไปที่ผู้บุกรุกปฏิบัติคือ การสร้างการควบคุมสถานีทำงานหลายแห่ง เพื่อรวบรวมข้อมูลโดยไม่ถูกสังเกต ดังนั้น ควรมีเครื่องมือที่เหมาะสมช่วยป้องกันจากสิ่งเดียวกัน!
7. Actions on Objectives (การดำเนินการบนเป้าหมาย)
อย่าลืมเลยว่า ยิ่งใครมีการเข้าถึงระบบของคุณมากเท่านี้ นานเท่านี้ ผลลัพธ์อาจจะไม่อยู่ในความอดทนได้ พรรคที่ได้รับผลกระทบต้องตรวจจับภัยคุกคามอย่างรวดเร็ว ยิ่งไปกว่านั้น ปรับใช้เครื่องมือและผู้เชี่ยวชาญที่จะช่วยพวกเขาในระยะยาว คุณควรแน่ใจว่าคุณไม่ได้ตามหลังในสิ่งใดที่จำเป็นสำหรับความปลอดภัยข้อมูลของคุณ เพราะถ้าคุณทำ ไม่มีใครจะช่วยคุณได้!
อ่านเพิ่มเติม: Threat Intelligence: มือช่วยระบุภัยคุกคามด้านความปลอดภัย
แต่ถ้าคุณคิดว่านี่คือสิ่งที่ทุกผู้โจมตีปฏิบัติ คุณเข้าใจผิดแน่นอน! ทุกการโจมตีเป็นเอกลักษณ์ (unique) และอาจเพิ่มหรือลบขั้นตอนของ Cyber Kill Chain เพื่อให้ประสบความสำเร็จ! ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์กล่าวว่าพวกเขาหวังว่าทุกผู้โจมตีปฏิบัติตามนี้ เพื่อว่าพรรคป้องกันอาจได้เวลาและโอกาสมากในการปกป้องตัวเอง! พวกเขายังสื่อสารว่าพวกเขาต้องติดตามข่าวความปลอดภัยทางไซเบอร์เพื่ออยู่ในหน้าเดียวกัน!
การตอบโจมตี (Counterattacking) Cyber Kill Chain เพื่อประโยชน์ของเรา
มักเห็นว่าผู้เชี่ยวชาญด้านความปลอดภัยข้อมูล ถูกขวัญใจ (intimidated) โดยความซับซ้อนของการโจมตีใดๆ มากกว่าจะโฟกัสที่แต่ละขั้นตอนของการโจมตี การทำเช่นนี้จะช่วยให้พวกเขาเข้าใจว่า การโจมตีไม่มีอันใดเกิดขึ้นในชั่วข้ามือ (in a jiffy) มันใช้เวลา! และหากเราระมัดระวังพอ เราสามารถหยุดการโจมตีก่อนที่มันจะเริ่มต้น
จำไว้เสมอ จัดการกับการโจมตีทางไซเบอร์เป็น continuum (ต่อเนื่อง) ไม่ใช่ incident (เหตุการณ์) และอาจจะทำให้คุณสามารถระบุและหยุดพวกมันได้! คุณคิดอย่างไร? บอกเราในส่วนความคิดเห็นด้านล่าง!
