ACIS Article

Information Security Management Framework (ISMF) ขั้นตอนที่ 7 "Managed Security Services (MSS) / Real-time Monitoring using IDS/IPS"
by A.Pinya Hom-anek, GCFW, CISSP, CISA
ACIS Professional Team
E-mail:

หลังจากที่เราได้จัดการกับระบบความปลอดภัยข้อมูลคอมพิวเตอร์อย่างเป็นขั้นตอนด้วย Information Security Management Framework (ISMF) จาก ISMF ขั้นตอนที่ 1 จนถึง ISMF ขั้นตอนที่ 6 แล้วนั้น เราพบว่าช่องโหว่ของระบบที่ถูกค้นพบขึ้นใหม่ (New Vulnerability) เกิดขึ้นอยู่ตลอดเวลา เพราะทางกลุ่ม Black Hat Hacker มีความพยายามในการทำ Research & Development (R&D) เพื่อที่จะค้นพบช่องโหว่ใหม่ๆ ของระบบปฏิบัติการหรือโปรแกรมประยุกต์ที่เรานิยมใช้ เมื่อบรรดา Black Hat Hacker หรือ Hacker ฝ่ายอธรรมได้ค้นพบช่องโหว่ใหม่ๆ ก็จะมีการรายงานผ่านทาง Security Web Site ต่างๆ ที่เกี่ยวข้องกับด้าน Vulnerability Report เช่น www.securityfocus.com จากนั้นก็จะมีการพัฒนาโปรแกรมที่ใช้ในการเจาะช่องโหว่ที่เพิ่งถูกค้นพบ ซึ่งเราเรียกว่า "Exploit"

Exploit ส่วนใหญ่จะเป็น Secure Code โปรแกรมภาษา C ที่สามารถทำงานได้บน Linux Platform และหลังจากที่ Exploit ถูก Upload ให้บรรดา Black Hat Hacker ได้ลองใช้งานกันสักระยะหนึ่งก็จะมีพัฒนาการต่อเป็น Virus ออกมา และ Virus ก็จะพัฒนาเป็น Version ต่างๆ เช่น Bagle.A, Bagle.B, Bagle.H, Bagle.Q ไปเรื่อยๆ จนกว่าบริษัทที่ผลิต Anti-Virus จะตรวจพบ

วงจรการพัฒนา Exploit/Virus ของ Black Hat Hacker ดูได้ดังรูป

ดังนั้นแม้ว่าเราจะจัดการกับระบบความปลอดภัยข้อมูลคอมพิวเตอร์ตามขั้นตอน ISMF จาก 1 ถึง 6 แล้ว เมื่อเวลาผ่านไประบบก็มีโอกาสที่จะเกิด Vulnerability ใหม่ๆ อยู่ตลอดเวลา และ เราก็ต้องคอยตามลง Patch หรือ Hotfix ต่างๆ ให้กับระบบอย่างทันท่วงที เรียกว่า วัดกันที่ความเร็วว่าใครจะรู้ข่าวก่อนกัน ถ้าเรารู้ข่าวช่องโหว่ใหม่ แล้วรีบทำการปิดช่องโหว่เสียก่อนโอกาสที่จะติด Virus หรือโดน Hack ก็จะน้อยลง แต่ถ้าเราละเลยไม่สนใจข่าวสารเรื่องการค้นพบ Vulnerability ใหม่ๆ หรือรู้ข่าวแต่ยังนิ่งนอนใจไม่ลง Patch ให้กับระบบ โอกาสที่จะถูกจู่โจมโดย Hacker หรือ Virus ก็จะมีมากขึ้น

จากปัญหาข้างต้น เราพบว่าเมื่อเวลาผ่านไป เราต้องกลับไปทำ ISMF ในขั้นตอนทั้ง 6 อีกเป็นระยะๆ เรียกว่าเป็น "Continuous Process" ที่หยุดไม่ได้ ดังนั้นเราจึงต้องคอยศึกษาและติดตามข้อมูลข่าวสารด้าน Information Security อยู่ตลอดเวลา ซึ่งต้องเสียทั้งกำลังคนและทรัพยากรต่างๆ ในองค์กรพอสมควร ตลอดจนต้องมีการเฝ้าระวังการจู่โจมจาก Hacker หรือ Virus โดยระบบ IDS/IPS และ ยังต้องมีเจ้าหน้าที่ดูแลวิเคราะห์ Log และ สถานการณ์ต่างๆ ที่เกิดขึ้นจากอุปกรณ์ IDS/IPS ตลอดจน Firewall Log, Network Device Log และ Host Log เช่น Windows 2000 Log หรือ Unix/Linux SysLog เป็นต้น

การเฝ้าระวังโดยการวิเคราะห์ Log ด้วยบุคลากรภายในองค์กรของเราเองนั้น นอกจากจะใช้เวลาค่อนข้างมากแล้วยังต้องการผู้เชี่ยวชาญที่แยกแยะระหว่าง Fault Alarm กับ Real Attack Alarm ซึ่งผู้เชี่ยวชาญต้องมีความชำนาญเป็นพิเศษด้านการวิเคราะห์การบุกรุกระบบ (Intrusion Analyst) ตลอดจนในปัจจุบันค่าตัวของบุคลากรที่มีความเชี่ยวชาญดังกล่าวก็ค่อนข้างสูงอยู่พอสมควร

จากปัญหาดังกล่าวจึงเกิดแนวคิดในการ "Outsource" ด้านการจัดการระบบรักษาความปลอดภัยซึ่งเรียกว่า "Managed Security Services" หรือ "MSS" การจัดจ้าง Outsource ด้าน Security โดยเฉพาะ เป็นแนวคิดที่ต้องการให้ Outsource มาช่วยในการจัดการบริหารความเสี่ยง และ ช่วยลดความเสี่ยงให้กับระบบโดยรวม (Risk Management & Risk Mitigation)

บริษัทที่ให้บริการ Outsource Security เราเรียกว่า MSSP หรือ Managed Security Service Provider ควรมีการให้บริการครอบคลุมในห้วข้อต่างๆ ดังนี้

บริหารจัดการ และ เฝ้าระวัง (Managing and Monitoring) Network Perimeter Security ที่ External Firewall, Border Router, IDS/IPS, VPN ตลอดจน Server ในบริเวณ DMZ
บริหารจัดการ Vulnerability ให้กับระบบขององค์กรอย่างต่อเนื่อง เช่น การทำ Vulnerability Assessment และ Penetration Testing รายเดือน เป็นต้น
เฝ้าระวัง Internal Network จาก Virus และ Hacker ตลอดจน Internal Firewall and Server Farm ภายในระบบ LAN ขององค์กร
รับปรึกษาปัญหาเวลาเกิด Security Breach Incident, รับแก้ปัญหาในลักษณะ Incident Response และ Digital Forensic
บริหารจัดการ Centralized Log Management และ Centralized Patch Management อย่างเป็นระบบ
บริการแจ้งข่าวสารความเคลื่อนไหวด้าน Information Security โดยเฉพาะเรื่อง New Vulnerability/Exploit และ New Virus ให้ทราบในลักษณะวันต่อวัน (Day by Day report)

การเลือก MSSP จึงเป็นหัวใจสำคัญ สำหรับผู้บริหารระบบต้องมีการกำหนด SLA (Services Level Agreement) ให้ชัดเจนใน RFP (Request for Proposal) โดยควรมีรายละเอียดให้มากที่สุดเท่าที่จะทำได้ เช่น ขอบเขตในการให้บริการของ MSSP, ระยะเวลาในการให้บริการ และ การตอบสนองของ MSSP, ค่าใช้จ่ายที่เกิดขึ้นในแต่ละเดือน ตลอดจนความรับผิดชอบของ MSSP ในแง่กฎหมายและบทปรับหาก MSSP ปฏิบัติไม่ได้ตาม SLA ที่ได้ตกลงกันไว้ใน Contact เป็นต้น

การ Outsource Security นั้นจะช่วยลดต้นทุนให้ักับองค์กรในด้านของอัตรากำลังของบุคลากรผู้เชี่ยวชาญ ตลอดจน Hardware และ Software ต่างๆ ที่ลงทุนโดย MSSP และ องค์กรยังได้รับข่าวสารใหม่ๆ ด้าน Information Security เช่น การค้นพบ Vulnerability และ Virus ใหม่ๆ เพื่อที่องค์กรจะได้เตรียมตัวรับความเสี่ยงที่อาจเกิดขึ้น นอกจากนี้ MSSP ควรจะมีผู้เชี่ยวชาญ หรือ Security Expert คอยให้คำปรึกษา และ คอยเตือนภัยทางอินเตอร์เน็ตให้องค์กรทราบอยู่ตลอดเวลา

สำหรับปัญหาจากการ Outsource Security ที่เราควรคำนึงถึงก็มีเช่นกัน กล่าวคือ ถ้าสัญญาที่ทำกับ MSSP ไม่รัดกุมพอก็จะทำให้เกิดปัญหาในการปฏิบัติได้ ตลอดจนปัญหาในการเลือก MSSP ที่ไม่มีความเชี่ยวชาญเพียงพอก็อาจทำให้ไม่คุ้มค่าในการลงทุนกับการ Outsource Security ในกรณีที่เกิดปัญหาแล้ว MSSP ไม่สามารถแนะนำหรือให้คำปรึกษาได้ตามที่องค์กรคาดหวังว่าจะได้รับจาก MSSP เป็นต้น

กล่าวสรุปโดยรวม ข้อดีในการจ้าง MSSP ก็ยังมีมากกว่าข้อเสียที่ได้กล่าวมาแล้ว การตกลงทำงานร่วมกันกับ MSSP ในลักษณะที่ช่วยเหลือซึ่งกันและกัน โดยงานที่เป็นลักษณะที่ต้องใช้ความสามารถเฉพาะทางก็มอบให้ MSSP เป็นผู้จัดการให้ ส่วนองค์กรมีหน้าที่ในการ Audit ตรวจสอบ MSSP ว่ามีการปฏิบัติตาม SLA หรือไม่ จะทำให้ไม่เกิดปัญหาในระยะยาวจากการจัดจ้าง MSSP และ เป็นการบริหารความเสี่ยงด้าน IT ที่ถูกหลักการเป็นไปตามยุคสมัยของความนิยมในเรื่อง "IT Outsourcing"

จาก : หนังสือ eLeader Thailand
ประจำเดือน เดือนพฤษภาคม 2547
Update Information : 25 เมษายน 2547