ทำความเข้าใจ SRAN Security Center อย่างถูกต้อง

อุปกรณ์ SRAN Security Center หลายคนมักจะคิดว่าเราเพียงเป็น IDS/IPS (Intrusion Detection & Prevention System) เนื่องจากอุปกรณ์สามารถติดตั้งแบบ In-line และแบบ Passive ได้ในตัวอุปกรณ์เอง แต่ในความเป็นจริงแล้ว IDS/IPS เป็นเพียงเทคโนโลยีหนึ่งที่เรานำมาใช้งาน เป็นเพียงองค์ประกอบส่วนหนึ่งใน SRAN Security Center

เทคโนโลยี SRAN Security Center ดังต่อไปนี้

1. เทคโนโลยี Network Analysis คือรวบรวมเหตุการณ์ที่เกิดขึ้นบนระบบเครือข่าย ทำการวิเคราะห์ Bandwidth , Application Protocol ตามลำดับชั้นเครือข่ายคอมพิวเตอร์ ตั้งแต่ Link Internet (Border Network) ลงสู่เครือข่าย LAN และเครื่องคอมพิวเตอร์ในแต่ละเครื่อง (endpoint) ซึ่งเป็นเหตุการณ์ปกติที่ใช้งานกันทั่วไป

2. เทคโนโลยี IDS/IPS ใช้ในการเฝ้าสังเกตการ เหตุการณ์ที่ผิดปกติที่เกิดขึ้นบนระบบเครือข่าย (Threat Data Traffic) โดยเรียนรู้จากฐานข้อมูลความผิดปกติที่เกิดขึ้นบนระบบเครือข่าย และการวิเคราะห์จากสถิติการใช้งานที่ผิดปกติ

3. เทคโนโลยี VA/VM (Vulnerability Assessment & Management) เพื่อใช้ในการประเมินความเสี่ยงระบบเครือข่าย หาช่องโหว่ และออกรายงานผลความเสี่ยงพร้อมวิธีการปิดช่องโหว่ที่เกิดขึ้น

4. เทคโนโลยี Log Compliance เป็นการเก็บบันทึกข้อมูลจราจร (Data Traffic Archive) ที่เกิดขึ้นบนระบบเครือข่าย ทำการเปรียบเทียบเหตุการณ์ที่เกิดขึ้นจัดให้สอดคล้องกับมาตรฐานมั่นคงปลอด ภัยข้อมูลสารสนเทศ (Correlation Log) ในตัว พร้อมทั้งจัดทำข้อมูลที่เก็บบันทึกป้องกันไม่ให้เกิดการแก้ไขหรือเปลี่ยน แปลงได้ โดยการทำ Data Hashing ในตัวอุปกรณ์เอง

ซึ่งการ Correlation Log จะเกิดจากการเก็บบันทึกข้อมูลสารสนเทศ ตามเหตุการณ์ปกติ (Normal Data Traffic) เพื่อเก็บบันทึกข้อมูลไว้มากกว่า 90 วัน และ เหตุการณ์ไม่ปกติ (Threat Data Traffic) เพื่อทำการเปรียบเทียบตาม ISO 17799 และ พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ตาม มาตรา 5 - 12 ซึ่งออกรายงานผล ให้เราทราบถึงภัยคุกคามตามมาตราต่างๆ ที่อาจเกิดขึ้น (Self Assessment) ก่อนภัยนั้นจะมาเยือนถึงเราได้

ล่าสุดเราได้จัดทำเทคโนโลยี Hybrid เพื่อสร้างส่วนผสมสำคัญให้กับอุปกรณ์ SRAN Security Center เพื่อให้รองรับการรับ syslog หรือ SNMP Trap จากเครื่องแม่ข่ายที่สำคัญ ได้แก่ อุปกรณ์ Domain Controller , Proxy หรือ Gateway ของระบบได้อีกด้วย เป็นครั้งแรกในเมืองไทยที่ได้เปิดตัวเทคโนโลยีระบบรักษาความมั่นคงปลอดภัยข้อมูลสารสนเทศ นี้สู่สายตานานาชาติ ที่งาน CeBIT เยอรมันนี ซึ่งสามารถอ่านเพิ่มเติมเทคโนโลยีนี้ได้้ที่ http://www.sran.net/archives/200 จะสามารถทำ Hybrid Log Recorder ได้ในรุ่น SR - L ขึ้นไป จะเป็น Plug-in หนึ่งที่อำนวยความสะดวกให้แก่ผู้ใช้งาน และครบถ้วนด้านการเก็บบันทึกข้อมูลให้มีความแม่นยำมากขึ้นอีกด้วย

การผสมผสานเทคโนโลยีทั้ง 4 จึงเกิดขึ้นในอุปกรณ์เดียว โดยมีภาระกิจหลักคือ เฝ้าระวัง (Monitoring) วิเคราะห์ (Analysis) และเก็บบันทึก (Recorder)

เฝ้าระวัง เหตุการณ์ที่ไม่ปกติ (Threat Data Traffic)

วิเคราะห์ ข้อมูลจราจร พร้อมทำการจัดเปรียบเทียบตามมาตราฐาน (Compliance)

เก็บบันทึกข้อมูลจราจร หรือตามศัพท์ที่เรียกว่า "Data Archive" ซึ่งเกิดจากการไหลเวียนข้อมูลสารสนเทศ ตามเส้นทางลำเลียงข้อมูลจราจร ตามหลักการที่เรียกว่า 3 in 3 out และนำข้อมูลที่เก็บบันทึกจัดทำ Data Hashing เพื่อยืนยันการไม่เปลี่ยนแปลงของข้อมูลต่อไป ภาระกิจนี้เป็นการทำงานหลักของอุปกรณ์ SRAN Security Center ที่เกิดขึ้นตลอดเวลาเมื่อเริ่มเปิดเครื่อง และเชื่อมต่อ อุปกรณ์ SRAN บนระบบเครือข่าย (Network) ใช้งานจนเป็นวัฐจักร หรือ ระบบที่มีความต่อเนื่องคงที่ (System)่

SRAN Security Center เป็นอุปกรณ์ที่ขจัดปัญหา 4 ประการ ประกอบด้วย

1 ขจัดปัญหาในการติดตั้งระบบ (Implementation) ถูกออกแบบให้สะดวกในการใช้งาน ติดตั้งโดยไม่ต้องข้องเกี่ยวการค่า Config ระบบเดิม ไม่มีผลกระทบกับระบบเครือข่าย (ขอย้ำว่าการติดตั้ง SRAN ให้ถูกต้อง ควรติดตั้งแบบ Passive mode กับ Switch) เนื่องจากว่าเราไม่ได้ถูกออกแบบเป็นระบบ IPS (Intrusion Prevention System) โดยเฉพาะ ดังนั้นการติดตั้งแบบ in-line เพื่อให้ SRAN เป็นระบบป้องกันด้วยนั้นควรติดตั้งบนเครือข่ายขนาดเล็ก ที่มีเครื่อง client ไม่เกิน 200 เครื่อง และให้ดูขนาด Throughput , Concurrent Session เป็นหลัก ซึ่งควรหารุ่นที่เหมาะสม ถึงสามารถติดตั้งแบบ In-line ได้ ซึ่งสามารถอ่านรายละเอียดในแต่ละรุ่นได้จาก เอกสารคุณสมบัติ SRAN (USM) SecurityCenter ในแต่ละรุ่น

ดังนั้นทั้งการติดตั้งแบบ in-line และ passive mode ก็ดี ทำให้การติดตั้ง SRAN ใช้เวลาไม่เกิน 2 นาทิในการติดตั้ง และไม่จำเป็นต้องเป็นผู้เชี่ยวชาญก็สามารถใช้งานได้ หลังการติดตั้งหากติดตั้งเหมาะสมกับรุ่นต่างๆ ก็จะทำให้ไม่มีปัญหาหลังการใช้งานได้

2. ขจัดปัญหาขนาดการจัดเก็บข้อมูล (Storage) เนื่องจาก Log ที่เกิดขึ้นทำการ Correlation จากเทคโนโลยี Network Analysis และ IDS/IPS ซึ่งทำให้ Log ที่เก็บบันทึก มีขนาดไม่ใหญ่ และมีการกรองแล้ว อยู่ได้เกิน 90 วันตามที่กฏหมายกำหนดได้ โดยใช้หลักการ Chain of Event เป็นหลักในการพิจารณา ว่า Who , What , Where , When , Why (How) โดยพิจารณาตาม Application Protocol ที่สำคัญได้แก่ Web , Mail , Chat , FTP , P2P

เพื่อรักษาหลักฐานและจัดเก็บบันทึกข้อมูลจราจร (Data Archive) ที่เกิดขึ้น

สามารถอ่านเพิ่มเติมได้ที่ http://www.sran.net/archives/205

ทั้งหมดนี้เป็นการพิจารณาการไหลเวียน ตามเส้นทางลำเลียงข้อมูลจราจร ตามหลักการที่เรียกว่า 3 in 3 out

การรักษาและบันทึกข้อมูลจราจร นี้เรียกว่า "Chain of Custody" ตามหลัก Computer/Network Forensic นั้นเอง และนี้คือ สาระสำคัญของ พ.ร.บ. ว่าด้วยการกระทำความผิดทางคอมพิวเตอร์ ปี 2550 ที่ประกาศใช้ ซึ่งเพียงพอแล้วสำหรับการเก็บบันทึกข้อมูลจราจร

และการทำ Data Archive นี้อุปกรณ์ SRAN Security Center ได้จัดเก็บบันทึกข้อมูลจราจร (Log Data Traffic) ให้ยืนยันความถูกต้องใน Log ที่จัดเก็บ และไม่สามารถแก้ไขข้อมูลได้ โดยการทำ Data Hashing โดยใช้ Algorithm MD5 ยืนยันค่า Log ที่เก็บไว้เป็นรายวัน จึงทำให้ Log ที่อุปกรณ์ SRAN จัดเก็บเป็นไปตามหลักที่กฏหมายไทย ได้เขียนขึ้น ครอบคุมโดยไม่ต้องใช้เทคโนโลยีอื่นเสริมจำนวนมากมาย เพียงอยู่ในอุปกรณ์เดียว และพร้อมใช้งานได้ทันที

3. ขจัดปัญหาการออกแบบ (Design) เนื่องจากเสร็จสิ้นอยู่ในอุปกรณ์เดียว จึงช่วยลดความซับซ้อนในการจัดหาเทคโนโลยีเพื่อใช้งานได้จริง อุปกรณ์ SRAN Security Center ประหยัดเวลาไปได้ ซึ่งทำให้ งบประมาณในการจัดหาอุปกรณ์ มีความคุ้มค่ามากขึ้น

4. ขจัดปัญหาลิขสิทธิรายอุปกรณ์ (License) ที่เป็นค่าใช้จ่ายที่ซ้อนเร้น เนื่องจากอุปกรณ์เก็บบันทึกข้อมูลจราจร ที่สามารถจัดเปรียบเทียบเหตุการณ์ (Correlation) ตามมาตราฐานต่างๆ (Compliance) ที่เรียกว่าว่าเทคโนโลยี SIEM (Security Information Event Management) โดยปกติจะมีค่าใช้จ่าย License ตามอุปกรณ์ (Devices) ที่ส่ง Log แต่อุปกรณ์ SRAN Security Center ไม่ได้คิดค่า License ตามอุปกรณ์ที่ส่ง Log จึงทำให้ลดค่าใช้จ่ายจำนวนมากเมื่อมีการติดตั้งและใช้งานจริงบนระบบเครือ ข่าย

จงจำไว้เสมอว่า การที่สร้างองค์กรของเราให้ปลอดภัยทางด้านไอทีแล้วนั้น ต้องเดินทางไปพร้อมกัน 3 ด้าน นั้นคือ ด้านเทคโนโลยี (Technology) ด้านคน (People) และด้านกระบวนการ (Process) มีเทคโนโลยีที่ดีและทันสมัย โดยมีคนเป็นผู้ใช้ และควบคุมเทคโนโลยี และมีกระบวน (Process) สร้างเป็นนโยบายรักษาความมั่นคงปลอดภัยข้อมูลสารสนเทศ (Security Policy) เป็นการควบคุมคนอีกชั้น หรืออาจจะกล่าวได้ว่า "นโยบายด้านความมั่นคง ปลอดภัยข้อมูลจะเป็นตัว คุมพฤติกรรมการทำงานคนในองค์กร เพื่อให้ คนใช้เทคโนโลยีอย่างถูกต้อง เหมาะสม อย่างมี สติ และปัญญา"

เทคโนโลยีด้านความปลอดภัยข้อมูลสารสนเทศ ต้องลดความซับซ้อนในการออกแบบ และการติดตั้ง ดูและรักษาได้ง่าย ตลอดระยะเวลา ทีม SRAN Dev ได้ทำการพัฒนาอุปกรณ์ SRAN Security Center แก้ไขหาจุดบกพร่อง ตลอดเวลา 4 ปี เรามั่นใจในคุณสมบัติทางเทคโนโลยีที่เราพัฒนาขึ้น เพราะเราเชื่อว่าไม่มีเทคโนโลยีใดที่สามารถป้องกันภัยคุกคามที่ระบบสารสนเทศ ได้ 100% แต่เราสามารถรู้ทันปัญหา ,ภัยคุกคามต่างๆ พร้อมรับมือและแก้ไขได้ อย่างทันเวลา จากอุปกรณ์ตัวนี้ ในชื่อ SRAN Security Center

นนทวรรธนะ สาระมาน
Nontawattana Saraman

29/02/51

เกียรติศักดิ์ทหารเสือ

มโนมอบพระผู้ ......สถิตย์อยู่ยอดสวรรค์
แขนถวายให้ทรงธรรม์ ..... พระผ่านเผ้าเจ้าชีวา
ดวงใจให้ขวัญจิต ..... ยอดชีวิตและมารดา
เกียรติศักดิ์รักของข้า .....ชาติชายแท้แก่ตนเอง
มโนมอบพระผู้ .....เสวยสวรรค์
แขนมอบถวายทรงธรรม์ .....เทอดหล้า
ดวงใจมอบเมียขวัญ .....และแม่
เกียรติศักดิ์รักข้า .... มอบไว้แก่ตัว

เพลงประกอบละครเวทีเรื่อง "เกียรติศักดิ์ทหารเสือ" ของ ศักดิ์เกษม หุตาคม หรือ "อิงอร" เมื่อประมาณ พ.ศ. ๒๔๙๐-๒๔๙๕ ขับร้องโดย สันติ ลุนเผ่ ประพันธ์ทำนองโดย สง่า อารัมภีร และสุนทรียา ณ เวียงกาญจน์ โดยใช้คำร้องจากโคลงพระราชนิพนธ์ของพระบาทสมเด็จพระมงกุฎเกล้าเจ้าอยู่หัว

ไม่อยากโยงกับการบ้านการเมือง ณ เวลานี้ นะครับ เพียงแค่่อยากฟังเพลงนี้ เพราะความไพเราะ และเพื่อเคารพต่อ ชาติ ศาสนา และพระมหากษัตริย์ อันรวมเป็นประเทศของเรา เมืองไทยของเราได้จนถึงทุกวันนี้

ท้ิงท้ายด้วยเพลงใต้ร่มธงไทย ของหลวงวิจิตรวาทการ

Get this widget | Track details | eSnips Social DNA

นนทวรรธนะ สาระมาน
Nontawattana Saraman

แนวทางการสร้างเครือข่ายตื่นรู้ Energetic Network ตอนที่ 1

เมื่อวันที่ 24 มกราคม 2550 ผมได้ร่วมสัมนากับทาง สำนักงานส่งเสริมอุตสาหกรรมซอฟต์แวร์แห่งชาติ (SIPA) ในหัวข้อการใช้โอเพนซอร์สกับภาครัฐ ตัวผมได้บรรยายหัวข้อซอฟต์แวร์โอเพนซอร์สกับความมั่นคงปลอดภัยของข้อมูลในภาครัฐ ให้กับตัวแทนในแต่ละกระทรวงได้รับฟัง ซึ่งเป็นที่แรกที่ได้กล่าวถึงแนวคิดเครือข่ายตื่นรู้ หรือที่เรียกเป็นภาษาอังกฤษที่เรียกว่า Energetic Network หลังการบรรยายเสร็จสิ้นได้มี ผู้สนใจจำนวนมาก ผมจึงถือโอกาสนี้มาเรียบเรียงการบรรยายในครั้งนั้นเป็นการเขียนบทความในครั้งนี้ ซึ่งบางท่านคงได้รับอ่านบทคามนี้มาบ้างแล้วจากนิตยสารบางเล่มที่จำหน่ายในปัจจุบัน

1. สาระสำคัญของ พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ปี พ.ศ. 2550
เมื่อมีการประกาศใช้ พ.ร.บ. ว่าด้วยการกระทำผิดทางคอมพิวเตอร์ขึ้น โดยการประกาศนี้มีโครงสร้างดังนี้

- คำนิยาม ชนิดการใช้งานคอมพิวเตอร์ ที่ใช้ใน พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ฯ

- หมวดที่ 1 ความผิดเกี่ยวกับคอมพิวเตอร์

- หมวดที่ 2 พนักงานเจ้าหน้าที่

ในส่วนคำนิยาม อยู่ใน มาตรา 3 ซึ่งให้ความหมายและคำจำกัดความ ระบบคอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ ข้อมูลจราจรคอมพิวเตอร์ , ผู้ให้บริการ ซึ่งประกอบด้วย ผู้ให้บริการแก่ผู้อื่นในการเข้าสู่อินเตอร์เน็ท , ผู้ให้บริการเก็บรักษาคอมพิวเตอร์เพื่อประโยชน์กับบุคคลอื่น และ ผู้ใช้บริการ

หมวดที่ 1 ความผิดเกี่ยวกับคอมพิวเตอร์ ประกอบด้วยมาตรา 5 ,6,7,8,9,10,12 และ การใช้คอมพิวเตอร์ในการกระทำผิด ได้แก่ มาตรา 11,13,14,15,16

หมวดที่ 2 พนักงานเจ้าหน้าที่ ซึ่งในมาตรา 26 ผู้ให้บริการต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ (ที่ได้ระบุไว้ในมาตรา 3) ไว้ไม่น้อยกว่า 90 วัน ซึ่งชนิดของผู้ให้บริการประกอบด้วย 4 ประเภทได้แก่

- ผู้ประกอบกิจการโทรคมนาคม

- ผู้ให้บริการเข้าถึงระบบเครือข่ายคอมพิวเตอร์ ได้แก่ ISP , หน่วยงานราชการ , บริษัท , สถาบันการศึกษา , ผู้ให้บริการในการเข้าถึงระบบเครือข่ายในหอพัก , ร้านอาหาร , โรงแรม

- ผู้ให้บริการเช่าระบบคอมพิวเตอร์ หรือที่เรียกว่า Hosting Services Provider

- ผู้ให้บริการร้านอินเตอร์เน็ท

โดยมีประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ ปี 2550 ซึ่งมีสาระสำคัญกล่าวว่า "ข้อมูลจราจรทางคอมพิวเตอร์นับเป็นพยานหลักฐานสำคัญในการดำเนินคดี อันเป็นประโยชน์อย่างยิ่งต่อการสืบสวน สอบสวน เพื่อนำตัวผู้กระทำความผิดมาลงโทษ จึงสมควรกำหนดให้ผู้ให้บริการมีหน้าที่ในการเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ดังกล่าว" ซึ่งระบบเก็บรักษาความลับของข้อมูลที่จัดเก็บ มีการกำหนดชั้นความลับในการเข้าถึงข้อมูลดังกล่าว เพื่อรักษาความน่าเชื่อถือของข้อมูล และไม่ให้ผู้ดูแลระบบสามารถแก้ไขข้อมูลที่เก็บรักษาไว้ เช่น การเก็บไว้ใน Centralized Log Server หรือการทำ Data Archiving หรือ Data Hashing

แนวทางการสืบหาผู้กระทำผิด (Chain of Event) ตาม พ.ร.บ. คอมพิวเตอร์

1. Who ใคร

2. What ทำอะไร

3. Where ที่ไหน

4. When เวลาใด

5. Why อย่างไร

เนื่องจากรับส่งข้อมูลผ่านเครือข่ายคอมพิวเตอร์ เป็น Real Time ไม่สามารถดูย้อนหลังได้ การที่จะสามารถดูย้อนหลังได้ ต้องมีการเก็บบันทึกข้อมูล ที่เรียกว่า Log และเพื่อเก็บรักษาข้อมูลดังกล่าว

และป้องกันไม่ให้หลักฐานข้อมูลนั้นเปลี่ยนแปลงได้ จึงควรมีการทำ Chain of Custody คือเก็บบันทึกรักษาข้อมูลจราจรขึ้น และนี้เองคือสาระสำคัญของการออกกฏหมายฉบับนี้เพื่อป้องปราบ และเก็บบันทึกหลักฐาน เพื่อสืบสวนสอบสวน หาผู้กระทำผิดมาลงโทษ ดังนั้นการจัดหาเทคโนโลยีเพื่อเก็บรักษาหลักฐานข้อมูล เป็นเรื่องที่ซับซ้อน เราจึงมีแนวคิดเพื่อจัดหาเทคโนโลยีมาแก้ไขปัญหา และลดความซับซ้อนนี้ขึ้น เรียกว่า " การสร้างเครือข่ายตื่นรู้ "

2. คำนิยามการสร้างเครือข่ายตื่นรู้ องค์ประกอบสำคัญในด้านความมั่นคงปลอดภัยทางข้อมูลสารสนเทศ คือ เทคโนโลยี คน และ กระบวนการ สิ่งที่สามารถ ควบคุมได้ง่ายที่สุดคือ เรื่องเทคโนโลยี ถึงแม้จะไม่มีเทคโนโลยีใดทที่ทำงานแทนคนได้หมด และไม่มีเทคโนโลยีใดที่ป้องกันภัยคุกคามได้สมบูรณ์แบบ หากเราควบคุมเทคโนโลยีที่นำมาใช้ได้ และรู้ทันปัญหาที่เกิดขึ้น ประหยัดงบประมาณในการทุน ใช้ได้อย่างคุ้มค่า เราก็สามารถนำส่วนที่ต้องลงทุนทางเทคโนโลยีที่เหลือใช้ มาอบรมเจ้าหน้าที่พนักงานให้เกิดองค์ความรู้ และ จัดหากระบวนการเพื่อสร้างมาตรฐานด้านความมั่นคงปลอดภัยทางข้อมูลสารสนเทศ ได้อย่างมีทิศทางมากขึ้น ดังนั้นในการสร้างเครือข่ายตื่นรู้จึงเป็นการ สรุปการจัดหาเทคโนโลยี มารองรับเครือข่ายคอมพิวเตอร์ เพื่อจัดหาเทคโนโลยีด้านความมั่นคงปลอดภัยทางข้อมูล สมบูรณ์แบบ ที่เราสามารถระบุตัวตนของผู้ใช้งาน ระบุลักษณะการใช้งาน และบันทึกข้อมูลการใช้งานตามความเหมาะสมที่เกิดขึ้น สามารถยืนยันหลักฐานเพื่อใช้ในการสืบสวนสอบสวนหาผู้กระทำผิดทางคอมพิวเตอร์ ทั้งในองค์กร และนอกองค์กรได้อย่างมีความสะดวกมากขึ้น มีประสิทธิภาพ และมีประสิทธิผลตามมา

3. จุดประสงค์การสร้างเครือข่ายตื่นรู้
3.1 ลดค่าใช้จ่ายในการนำเทคโนโลยีด้านความปลอดภัยข้อมูล มาใช้เพื่อรองรับกับ พ.ร.บ. ว่าด้วยการกระทำผิดทางคอมพิวเตอร์

3.2 เพื่อทราบถึงที่มาที่ไปของภัยคุกคามที่อาจเกิดขึ้นภายในองค์กร

3.3 เพื่อระบุตัวตนการใช้งาน และเก็บบันทึกประวัติพฤติกรรมการใช้งานบนเครือข่ายคอมพิวเตอร์

3.4 เพื่อจัดทำเป็นโครงสร้างในการออกแบบเครือข่ายให้ปลอดภัยอย่างยั้งยืน


4. องค์ประกอบ เครือข่ายตื่นรู้ (Energetic Network)

4.1 การจัดเก็บคลังข้อมูล (Inventory)

4.2 การระบุตัวตน (Identity)

4.3 การเฝ้าระวังและวิเคราะห์ผล (Monitoring & Analysis)

4.4 การควบคุม (Control)

4.5 การจัดเก็บเหตุการณ์เพื่อเปรียบเทียบตามมาตรฐาน (Compliance)

พบกันตอนหน้า จะอธิบายรายละเอียดในแ่ต่ละส่วน และแนวทางปฏิบัติ

นนทวรรธนะ สาระมาน
Nontawattana Saraman
หัวหน้าทีมพัฒนาวิจัยเทคโนโลยี SRAN

บรรยายซอฟต์แวร์โอเพนซอร์สกับความมั่นคงปลอดภัยของข้อมูลในภาครัฐ

สำนักงานส่งเสริมอุตสาหกรรมซอฟต์แวร์แห่งชาติ (SIPA) จัดงานสัมมนา “แผนส่งเสริมการใช้ซอฟต์แวร์โอเพนซอร์สในภาครัฐ” สำหรับองค์กรธุรกิจหรือหน่วยงานราชการ โดยงานนี้จะจัดในวันนี้ 24 มกราคม 2551 ที่จะถึงนี้ ที่ห้องบอลรูมl โรงแรมดิเอ็มเมอรัลด์

นายนนทวรรธนะ สาระมาน หัวหน้าทีมพัฒนาระบบ SRAN ได้กล่าวบรรยายหัวข้อซอฟต์แวร์โอเพนซอร์สกับความมั่นคงปลอดภัยของข้อมูลในภาครัฐ ได้กล่าวถึงการทำเครือข่ายตื่นรู้ (Energetic Network) ซึ่งเป็นแนวคิดใหม่ ที่นำ Open Source มาใช้ประยุกต์กับระบบรักษาความปลอดภัยทางข้อมูล ไม่ว่าเป็นการทำ การเก็บคลังข้อมูล (Inventory), การระบุตัวตน (Identity) , การเฝ้าระวังและวิเคราะห์ผล (Monitoring & Analysis) , การควบคุมข้อมูล (Controlled) , และการเปรียบเทียบตามมาตราฐาน (Compliance) อย่างเป็นรูปธรรมและลดความซับซ้อนของเทคโนโลยีได้

และ SRAN ได้มีการจัดบูธให้ความรู้เทคโนโลยีด้านความปลอดภัยข้อมูลเพื่อรองรับกับ พ.ร.บ. ว่าด้วยการกระทำผิดทางคอมพิวเตอร์อีกด้วย

นนทวรรธนะ สาระมาน
Nontawattana Saraman

บรรยายการหาเทคโนโลยีมารองรับ พ.ร.บ. คอมพ์ฯ ที่กรมชลประทาน

วันที่ 11 มกราคม 2551 ได้บรรยายการหาเทคโนโลยีมารองรับ พ.ร.บ. คอมพ์ฯ โดยใช้ระบบ SRAN Security Center ทางเลือกใหม่ในการเก็บบันทึกข้อมูลจราจร ให้สอดคล้องกับ พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ให้กับ พนักงานที่ดูแลระบบไอที ทั่วประเทศของกรมชลประทาน บรรยายที่สำนักงานใหญ่กรมชลประทาน
ในการบรรยายในครั้งนี้ พูดถึง การเก็บ Log ตาม พ.ร.บ ตามความจำเป็นและพอเพียง
1. สาระสำคัญในการเก็บบันทึกข้อมูลจราจร (Log) เพื่อระบุตัวตน ใคร ทำอะไร ที่ไหน อย่างไร เวลาใด
2. เทคโนโลยีที่ใช้ให้สอดคล้องกับ พ.ร.บ คอมพิวเตอร์ และใช้งบประมาณแบบพอเพียง สะดวกในการใช้งาน ลดความซับซ้อน
2. ใช้เทคนิค NBA (Network Behaviors Analysis) และเทคนิค Flow Collector บนระบบ SRAN เพื่อจับเพื่อดูพฤติกรรมการใช้งานของเครื่อง Client ที่ออกสู่อินเตอร์เน็ท (ส่วนใหญ่ภัยคุกคาม ที่มีผลกระทบกับ กฏหมายฉบับนี้มักเกิดจากการใช้งานอินเตอร์เน็ท) ทั้งที่เป็นข้อมูลปกติ และข้อมูลไม่ปกติ พร้อมทั้งการทำ Data Hashing การจัดทำ NTP (Time Server) และการยืนยันความไม่เปลี่ยนแปลงข้อมูลจราจรที่เก็บบันทึกไว้
3. ใช้ syslog server เก็บ Log เฉพาะ เครื่องแม่ข่ายที่สำคัญ และอุปกรณ์ที่สำคัญ
เพื่อรองรับใน มาตรา 3 และ มาตรา 26
4. อธิบายแนวคิด Hybrid Log Recorder นับได้ว่าเป็นที่แรกที่ได้บรรยายแนวคิดนี้

นนทวรรธนะ สาระมาน
Nontawattana Saraman

บรรยายการหาเทคโนโลยีมารองรับ พ.ร.บ. คอมพ์ฯ ที่กรมชลประทาน

 

วันที่ 11 มกราคม 2551 ได้บรรยายการหาเทคโนโลยีมารองรับ พ.ร.บ. คอมพ์ฯ โดยใช้ระบบ SRAN Security Center ทางเลือกใหม่ในการเก็บบันทึกข้อมูลจราจร ให้สอดคล้องกับ พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ให้กับ พนักงานที่ดูแลระบบไอที ทั่วประเทศของกรมชลประทาน บรรยายที่สำนักงานใหญ่กรมชลประทาน

ในการบรรยายในครั้งนี้ พูดถึง การเก็บ Log ตาม พ.ร.บ ตามความจำเป็นและพอเพียง
1. สาระสำคัญในการเก็บบันทึกข้อมูลจราจร (Log) เพื่อระบุตัวตน ใคร ทำอะไร ที่ไหน อย่างไร เวลาใด
2. เทคโนโลยีที่ใช้ให้สอดคล้องกับ พ.ร.บ คอมพิวเตอร์ และใช้งบประมาณแบบพอเพียง สะดวกในการใช้งาน ลดความซับซ้อน
2. ใช้เทคนิค NBA (Network Behaviors Analysis) และเทคนิค Flow Collector บนระบบ SRAN เพื่อจับเพื่อดูพฤติกรรมการใช้งานของเครื่อง Client ที่ออกสู่อินเตอร์เน็ท (ส่วนใหญ่ภัยคุกคาม ที่มีผลกระทบกับ กฏหมายฉบับนี้มักเกิดจากการใช้งานอินเตอร์เน็ท) ทั้งที่เป็นข้อมูลปกติ และข้อมูลไม่ปกติ พร้อมทั้งการทำ Data Hashing การจัดทำ NTP (Time Server) และการยืนยันความไม่เปลี่ยนแปลงข้อมูลจราจรที่เก็บบันทึกไว้
3. ใช้ syslog server เก็บ Log เฉพาะ เครื่องแม่ข่ายที่สำคัญ และอุปกรณ์ที่สำคัญ
เพื่อรองรับใน มาตรา 3 และ มาตรา 26
4. อธิบายแนวคิด Hybrid Log Recorder นับได้ว่าเป็นที่แรกที่ได้บรรยายแนวคิดนี้

ภัยคุกคามที่มองไม่ Invisible Threat

หลังปีใหม่ไม่กี่วัน ผมได้จัดข้อมูลในคอมพิวเตอร์ใหม่ ได้พบบทความที่ได้เขียนไว้ เมื่อหลายปีและคิดว่ายังคงได้สาระความรู้อยู่ในยุคปัจจุบันจึงนะมาให้อ่านกัน
ภัยคุกคามที่มองไม่ (Invisible Threat)
ภัยคุกคามเป็นเรื่องต้องระวังอยู่ตลอดเวลา พูดง่ายๆว่าต้องมีสติในการใช้งาน ครั้งนี้ผมจะกล่าวถึงภัยคุกคามชนิดหนึ่ง ที่มองด้วยตาเปล่าไม่เห็น เป็นภัยคุกคามบนระบบคอมพิวเตอร์นี้เองครับ และเป็นศัพท์เทคนิคที่หลายคนยังสับสนอยู่ว่าคืออะไรกันแน่ “Root Kit” โดยผมแบ่งหัวข้อไว้ดังนี้
1.ชนิดของ Rootkit
2.การตรวจหา rootkit
3.การกำจัด rootkit
4.ความแตกต่างของ Rootkit ไวรัสคอมพิวเตอร์และเวิร์ม
5. rootkit ที่ดาวน์โหลดได้ในอินเทอร์เน็ต

1. ชนิดของ rootkit
rootkit มีสามแบบด้วยกันคือ rootkit ในระดับ kernel, library และ application ในระดับ kernel rootkit เพิ่มโค้ดและ/หรือแทนที่บางส่วนของโค้ดของ kernel ด้วยโค้ดที่แก้ไขแล้วเพื่อช่วยในการซ่อน backdoor ในระบบคอมพิวเตอร์ มักทำโดยการเพิ่มโค้ดใหม่เข้าไปใน kernel ผ่านทาง device driver หรือ loadable module เช่น Loadable Kernel Modules ในลีนุกซ์หรือ device drivers ในไมโครซอฟท์วินโดวส์ โดยทั่วไป kernel rootkit จะ แก้ไขหรือแทนที่ system calls ด้วยเวอร์ชั่นที่ซ่อนข้อมูลเกี่ยวกับผู้โจมตี ส่วน rootkit ในระดับ application อาจแทนที่ไฟล์ไบนารีของ application ด้วยไฟล์ปลอมที่ซ่อนโทรจันไว้ หรืออาจแก้ไขการทำงานของ application โดยใช้ hook, patch, inject code หรือวิธีอื่น ๆ rootkit ในระดับ kernel อาจมีอันตรายมากเนื่องจากตรวจพบได้ยากถ้าไม่ได้ใช้ซอฟท์แวร์ที่เหมาะสมเพื่อค้นหา

ตัวอย่าง
* Rootkit.com มีตัวอย่างของ rootkits จำนวนมาก
* Sony BMG ใช้ XCP (Extended Copy Protection) DRM ของ First 4 Internet

2. การตรวจหา rootkit
มีข้อจำกัดสำหรับโปรแกรมใด ๆ ที่พยายามตรวจหา rootkit ในขณะที่ rootkit กำลังทำงานอยู่ในระบบที่สงสัย rootkit เป็นชุดของโปรแกรมที่แก้ไขเครื่องมือและ library ที่ทุกโปรแกรมต้องใช้ rootkit บางตัวแก้ไข kernel ที่ทำงานอยู่ (ผ่านทาง loadable modules ในลีนุกซ์ และรูปแบบอื่น ๆ ในยูนิกซ์ ผ่านทาง VxD ซึ่งเป็น virtual external driver ในแพลตฟอร์มวินโดวส์ของไมโครซอฟท์) ปัญหาเบื้องต้นในการตรวจจับ rootkit คือเราไม่สามารถให้ความเชื่อถือระบบปฏิบัติการที่กำลังทำงานอยู่ได้ พูดในอีกแง่หนึ่งคือ การกระทำเช่นการดูรายชื่อโปรเซสที่กำลังทำงาน หรือรายชื่อไฟล์ทุกไฟล์ในไดเร็กทอรีหนึ่ง เราไม่สามารถเชื่อถือได้ว่ามันได้ทำงานอย่างที่ผู้ออกแบบตั้งใจให้เป็น ในปัจจุบันโปรแกรมตรวจ rootkit ที่ทำงานใน live system เป็นเพียงวิธีเดียวที่ได้ผลเนื่องจาก rootkit ยังไม่ได้รับการพัฒนาให้ซ่อนตัวมันอย่างเต็มที่

วิธีที่ดีและน่าเชื่อถือที่สุดสำหรับการตรวจหา rootkit คือการปิดคอมพิวเตอร์ที่สงสัยว่าถูกติดตั้ง rootkit แล้วจึงตรวจพื้นที่เก็บข้อมูลโดยการบู๊ต (boot) จากสื่ออื่น (เช่น rescue CD-ROM, USB flash drive) rootkit ที่ไม่ได้ทำงานอยู่จะไม่สามารถซ่อนตัวเองได้ และโปรแกรมแอนตี้ไวรัสจะสามารถค้นหา rootkit ที่ติดตั้งผ่านทาง OS calls มาตรฐาน (ซึ่งน่าจะถูกแก้ไขโดย rootkit) และ query ในระดับต่ำ ซึ่งยังน่าเชื่อถือได้ rootkit พยายามป้องกันจากการค้นพบโดยการเฝ้าดูโปรเซสที่ทำงานอยู่และหยุดกิจกรรมของพวกมันจนกระทั่งการสแกนเสร็จสิ้น เนื่องจาก rootkit scanner ไม่สามารถค้นหา malware ที่ไม่มีระบบซ่อนตัวเองได้

ผู้ผลิตภัณฑ์ด้านความปลอดภัยได้แก้ไขปัญหาโดยการรวมระบบตรวจจับ rootkit ลงไปในผลิตภัณฑ์แอนตี้ไวรัสแบบดั้งเดิม ถ้า rootkit ตัดสินใจที่จะซ่อนตัวเองในระหว่างขั้นตอนการสแกน มันจะถูกตรวจพบโดยซอฟท์แวร์ตรวจจับการซ่อนตัวเอง แต่ถ้ามันตัดสินใจที่จะยกเลิกการโหลดเข้าสู่ระบบ แอนตี้ไวรัสแบบดั้งเดิมก็สามารถค้นหาพบได้โดยการตรวจจาก fingerprint การป้องกันที่ใช้ทั้งสองวิธีแบบนี้อาจบังคับผู้โจมตีให้ใช้ระบบตอบโต้การโจมตี (เรียกว่า retro routines) ในโค้ดของ rootkit ที่จะบังคับให้ลบซอฟท์แวร์ด้านความปลอดภัยออกจากหน่วยความจำ ทำให้โปรแกรมแอนตี้ไวรัสไม่สามารถทำงานได้ เช่นเดียวกันกับไวรัสคอมพิวเตอร์

มีหลายโปรแกรมที่สามารถตรวจจับ rootkit ในระบบยูนิกซ์มีโปรแกรมสองตัวที่นิยมใช้คือ chkrootkit และ rkhunter สำหรับแพลตฟอร์มวินโดวส์ มีโปรแกรมฟรีสำหรับใช้ส่วนบุคคลชื่อ Blacklight เป็นเวอร์ชั่นเบต้าในเว็บไซต์ของ F-Secure อีกโปรแกรมหนึ่งคือ Rootkit Revealer จาก Sysinternals มันจะตรวจจับ rootkit ที่มีทั้งหมดในปัจจุบันโดยการเปรียบเทียบผลที่ได้จากระบบปฏิบัติการกับผลที่ได้จากการอ่านดิสก์ อย่างไรก็ตามrootkit บางตัวใช้การเพิ่มโปรแกรมเหล่านี้เข้าไปในรายการของไฟล์ที่มันไม่ได้ซ่อนไว้ ดังนั้นเมื่อ rootkit ทำให้ไม่เกิดความแตกต่างระหว่างรายการไฟล์ทั้งสองรายการ โปรแกรมตรวจจับจึงไม่รายงานความผิดปกติ อย่างไรก็ตามการเปลี่ยนชื่อไฟล์ rootkitrevealer.exe เป็นชื่อแบบสุ่มสามารถเอาชนะฟีเจอร์นี้ของ rootkit ได้ ในรีลีสล่าสุดของ Rkdetector และ Rootkit Revealer มีฟีเจอร์ที่เปลี่ยนชื่อไฟล์อยู่แล้วดังนั้นจึงไม่จำเป็นต้องเปลี่ยนชื่อไฟล์ด้วยตัวคุณเองอีกต่อไป

Chkrootkit
http://www.chkrootkit.org/
Rkhunter
http://www.rootkit.nl/
Blacklight
http://www.f-secure.com/blacklight/
Rootkit Revealer
http://www.sysinternals.com/Utilities/RootkitRevealer.html
Rkdtector
http://www.rootkitdetector.com/

หลักการป้องกันไว้ดีกว่าแก้ยังใช้ได้เสมอ ถ้าคุณเชื่อในความถูกต้องของแผ่นติดตั้งของระบบ คุณสามารถใช้การเข้ารหัสเพื่อเฝ้าดูความถูกต้องของระบบ โดยการทำ fingerprinting ไฟล์ระบบทันทีหลังจากมีการติดตั้งระบบใหม่ ๆ และทำอีกครั้งเมื่อมีการเปลี่ยนแปลงไฟล์ระบบ (เช่น การติดตั้งซอฟท์แวร์ใหม่) ทำให้คุณรู้ได้เมื่อมีการเปลี่ยนแปลงที่เป็นอันตรายกับไฟล์ระบบของคุณ ในขั้นตอนการทำ fingerprint จะมีการใช้ cryptographic hash function เพื่อสร้างตัวเลขที่มีความยาวจำกัด มีเอกลักษณ์เฉพาะขึ้นอยู่กับทุกบิตของข้อมูลที่มีในไฟล์ที่ทำ fingerprint คุณสามารถตรวจจับการเปลี่ยนแปลงใด ๆ กับไฟล์เหล่านี้ที่คุณไม่ได้ทำ โดยการคำนวณและเปรียบเทียบค่า hash (หรือ fingerprint) ของไฟล์เป็นระยะ ๆ

3. การกำจัด rootkit
มีความคิดที่เชื่อว่าการกำจัด rootkit ออกจากระบบไม่สามารถทำได้ ถึงแม้จะรู้ถึงลักษณะที่แท้จริงและองค์ประกอบของ rootkit ก็ตาม การใช้เวลาและความพยายามของผู้ดูแลระบบโดยใช้ทักษะหรือประสบการณ์ที่จำเป็นเพื่อการติดตั้งระบบปฏิบัติการใหม่ตั้งแต่ต้นเป็นทางเลือกที่ดีกว่า

Rootkit Question
http://forums.spywareinfo.com/lofiversion/index.php/t52360.html

มีวิธีการลบ rootkit โดยการใช้ filesystem driver เมื่อระบบกำลังทำงานอยู่ Rkdetector v2.0 ใช้วิธีลบไฟล์ที่ซ่อนอยู่เมื่อระบบกำลังทำงานอยู่โดยใช้ NTFS และ FAT32 filesystem driver ของมันเอง หลังจากลบไฟล์และระบบบู๊ตขึ้นมาใหม่แล้ว ไฟล์ของ rootkit จะไม่สามารถโหลดขึ้นมาได้เพราะข้อมูลที่มีอยู่เสียหายไปแล้ว

4. ความแตกต่างของ Rootkit ไวรัสคอมพิวเตอร์และเวิร์ม
ความแตกต่างหลัก ๆ ของไวรัสคอมพิวเตอร์และ rootkit คือการแพร่กระจาย ไวรัสคอมพิวเตอร์เหมือน rootkit ตรงที่พวกมันแก้ไขซอฟท์แวร์ที่เป็นองค์ประกอบหลักของระบบ โดยการใส่โค้ดที่พยายามซ่อนการติดตั้ง และช่วยเพิ่มฟีเจอร์หรือ service บางอย่างให้กับผู้โจมตี (เป็น payload ของไวรัส)

ในกรณีของ rootkit payload อาจพยายามรักษาความถูกต้องสมบูรณ์ของ rootkit (การพยายามควบคุมระบบ)เช่น ทุกครั้งที่ผู้ใช้ใช้คำสั่ง ps ที่เป็นของ rootkit มันอาจตรวจ copy ของ init และ inetd ในระบบเพื่อให้แน่ใจว่าระบบยังคงถูกควบคุมโดย rootkit อยู่ และอาจติดตั้ง rootkit ลงในระบบอีกครั้งตามความจำเป็น ส่วนที่เหลือของ payload มีไว้เพื่อตรวจให้แน่ใจว่าผู้บุกรุกยังคงควบคุมระบบอยู่ โดยทั่วไปรวมถึงการมี backdoor ในรูปแบบของ username /password ที่สามารถเข้าสู่ระบบได้ command-line switch ที่ซ่อนไว้ หรือ environment variable พิเศษซึ่งสามารถหลบหลีกระบบ access control policy ของโปรแกรมที่ไม่ได้ถูกแก้ไขโดย rootkit ได้ rootkit บางตัวอาจเพิ่มการตรวจ port knocking เข้าไปใน network daemon (services) เช่น inetd หรือ sshd

port knocking วิธีการเปิดพอร์ตในไฟร์วอลล์โดยการสร้างความพยายามในการเชื่อมโยงเข้าไปที่พอร์ตที่ปิดอยู่ตามที่กำหนดไว้ หลังจากที่ได้รับความพยายามในการเชื่อมโยงตามลำดับที่ถูกต้องมาแล้ว จะมีการแก้ไขข้อบังคับของไฟร์วอลล์อนุญาตให้โฮสต์นั้นสามารถเชื่อมโยงกับพอร์ตนั้นได้)

ไวรัสคอมพิวเตอร์อาจมี payload แบบใดก็ได้ อย่างไรก็ตาม ไวรัสคอมพิวเตอร์อาจพยายามแพร่กระจายไปยังระบบอื่นอีกด้วย ส่วน rootkit นั้นโดยทั่วไปแล้วจะจำกัดอยู่ที่การควบระบบเพียงระบบเดียวเท่านั้น

โปรแกรมหนึ่งหรือชุดโปรแกรมที่พยายามสแกนเครือข่ายเพื่อหาระบบที่มีช่องโหว่ โจมตีช่องโหว่และบุกรุกเข้าระบบเหล่านั้นโดยอัตโนมัติ เรียกว่า หนอนคอมพิวเตอร์ (computer worm) รูปแบบอื่น ๆ ของหนอนคอมพิวเตอร์อาจทำงานในลักษณะ passive เช่น ดักจับข้อมูล username และ password และใช้ข้อมูลนี้เพื่อบุกรุกแอคเคาท์ ติดตั้งสำเนาของตัวมันเองลงไปในแต่ละแอคเคาท์ (และมักส่งข้อมูลแอคเคาท์กลับมายังผู้บุกรุกผ่านทาง covert channel)

covert channel หมายถึงช่องการสื่อสารใด ๆ (channel) ที่สามารถถูกใช้ประโยชน์โดยโปรเซสหนึ่ง เพื่อส่งผ่านข้อมูลข่าวสารในลักษณะที่ละเมิดข้อกำหนดในการรักษาความปลอดภัยของระบบ

นอกจากนี้ยังมีซอฟท์แวร์มุ่งร้ายแบบ hybrid หนอนอินเทอร์เน็ตอาจติดตั้ง rootkit และ rootkit อาจทำมีสำเนาของหนอนอินเทอร์เน็ต, packet sniffer หรือ pot scanner หนึ่งตัวหรือมากกว่า นอกจากนี้ยังมีหนอนอินเทอร์เน็ตที่แพร่กระจายผ่านอีเมล ที่โจมตีแพลตฟอร์มไมโครซอฟท์วินโดวส์โดยเฉพาะ ที่มักเรียกกันว่าไวรัส ดังนั้นคำเหล่านี้จึงมักใช้คาบเกี่ยวกัน และถูกเหมารวมได้ง่าย

5. rootkit ที่ดาวน์โหลดได้ในอินเทอร์เน็ต
rootkit ก็เหมือนกับซอฟท์แวร์อื่น ๆ ที่ใช้โดยผู้โจมตี มีเครื่องมือหลายตัวที่ใช้ร่วมกันหลายคน และหาได้ง่ายในอินเทอร์เน็ต ไม่ใช่เรื่องแปลกที่จะพบระบบที่ถูกบุกรุกที่ถูกติดตั้ง rootkit ซับซ้อนที่สามารถหาได้ในอินเทอร์เน็ต แต่ซ่อนหนอนอินเทอร์เน็ตที่ไม่ซับซ้อน หรือเครื่องมือที่ดูเหมือนจะเขียนโดยโปรแกรมเมอร์ที่ไม่มีประสบการณ์

rootkit ส่วนใหญ่ที่หาได้ในอินเทอร์เน็ตมักสร้างเป็นโปรแกรมพิสูจน์ความคิด (proof of concept) เพื่อทดลองแนวคิดใหม่ในการซ่อนสิ่งที่ต้องการในระบบคอมพิวเตอร์ อย่างก็ตามเนื่องจากเป็นการทดลอง พวกเขาจึงมักจะไม่ได้ทำให้ rootkit สามารถซ่อนตัวได้อย่างสมบูรณ์ เมื่อใช้ rootkit เพื่อการโจมตีจึงอาจมีประสิทธิภาพมาก แต่อย่างไรก็ตาม เมื่อ rootkit ถูกค้นพบ เช่น โดยการเริ่มต้นระบบปฏิบัติการจากสื่อที่เชื่อถือได้ เช่น ซีดี จึงมักแสดงให้เห็นถึงร่องรอยของ rootkit เหล่านี้ เช่น มีไฟล์ที่ชื่อ rootkit ในไดเร็กทอรีทั่ว ๆ ไปในระบบคอมพิวเตอร์นั้น


นายนนทวรรธนะ สาระมาน
Nontawattana Saraman
ทีมพัฒนาวิจัย SRAN