Chamnan Longlum
30 April 2015
การบริหารความเสี่ยงของระบบเทคโนโลยีสารสนเทศ วัตถุประสงคนี้คือการหาขอมูลหรือคุณลักษณะของระบบในดานความปลอดภัยของข้อมูล ไม่ว่าจะเป็นเครื่องแม่ข่าย(Server) หรืออุปกรณ์เน็ตเวิร์ค
โดยผลลัพธที่ไดคือปญหาความปลอดภัยในระบบและแนวทางในการแกไขปญหาตางๆ โดยจะแบ่งเป็นสองส่วนหลักๆคือ Penetration Testing และ Vulnerability risk assessment
Penetration Testing
คือการทดสอบเจาะระบบโดยแฮคเกอร์ ซึ่งการทำpenetration testing (เรียกย่อๆว่า Pentest) จะเป็นการเจาะระบบที่ผู้ผลิตยังไม่เจอช่องโหว่นี้มาก่อนและยังไม่เผยแพร่สู่สาธารณะ
โดยในส่วนของการpentestนั้นจะแบ่งได้สองแบบคือ
- Extenal Network Penetration Test หรือ บางทีจะเรียกว่า Black Box Penetration คือการที่แฮคเกอร์จะทำตัวเสมือนผู้บุก โดยจะทำการเจาะระบบผ่านระบบอินเตอร์เน็ต
โดยแฮกเกอร์จะรู้แค่ URL หรือ IP ของเป้าหมายเท่านั้น
ขอเสียของการทํา Extenal Network Penetration Test คือการเจาะระบบจากภายนอก อาจไมสามารถเจาะเขาระบบได เพราะขอมูลมีนอย หรือผูทดสอบระบบมีความสามารถไมมากพอ
และผลลัพธที่ไดไมไดบงบอกวาระบบยอยตางๆ ที่ทํางานรวมกันในระบบทดสอบ มีชองโหวมากนอยเพียงใด
- Internal Network Penetration Test หรือ White Box โดยที่แฮกเกอร์จะทำตัวเสมือนพนักงานบริษัท หรือบุคคลภายนอก(outsource)ที่เข้ามาใช้งานภายในระบบ
พยายามเจาะระบบจากเครือข่ายภายในเพื่อลักลอบข้อมูลสำคัญในระบบต่าง
ข้อเสีย การทำInternal Network Penetration Test จะใหผลลัพธคือความปลอดภัยของระบบยอยตางๆ แตไมสามารถระบุปญหาในกรณีที่มแฮกเกอรโจมตีจากภายนอกได้
Vulnerability assessment
จะเป็นการทดสอบตามช่องโหว่ที่เปิดเผยสู่สาธารณะแล้ว โดยอาจจะทำผ่านโปรแกรมเฉพาะทางเพื่อทำการเช็คช่องโหว่ต่างๆที่มีในระบบเช่น Nessus Vulnerability scanner
OpenVAS ,Acunetix Vulnerability scanner ,NeXpose โดยผลที่ได้จะมีความน่าเชื่อถือค่อนข้างสูง
