APT: แฟ้ม Sandworm & Lazarus

01APT คืออะไร What “APT” means

บ่ายวันที่ 23 ธันวาคม 2015 สองวันก่อนคริสต์มาส ในห้องควบคุมของบริษัทไฟฟ้าแห่งหนึ่งทางตะวันตกของยูเครน เจ้าหน้าที่เห็นเคอร์เซอร์บนจอขยับไปเองเหมือนมีใครจับเมาส์อยู่ แล้วมันก็ไล่กดตัดไฟสถานีย่อยทีละแห่ง ต่อหน้าต่อตาเขา

เหตุการณ์นี้ถูกเล่าซ้ำในรายงานสอบสวนและสื่อทั่วโลก เพราะมันเป็นครั้งแรก ๆ ที่โลกได้เห็นชัด ๆ ว่าการโจมตีทางไซเบอร์ทำให้ไฟในบ้านคนจริง ๆ ดับได้ และที่น่าคิดกว่านั้นคือ ผู้โจมตีไม่ได้เพิ่งเข้ามาในวันนั้น นักวิจัยพบว่าพวกเขาแอบอยู่ในระบบมาหลายเดือน ค่อย ๆ ศึกษาว่าแต่ละปุ่มทำอะไร ก่อนจะเลือกวันลงมือ

นี่แหละคือภาพของสิ่งที่วงการเรียกว่า ภัยคุกคามขั้นสูงแบบฝังตัวนาน (Advanced Persistent Threat หรือ APT) คำนี้ไม่ได้หมายถึงมัลแวร์ตัวใดตัวหนึ่ง แต่หมายถึง ผู้โจมตี ประเภทหนึ่ง คือทีมที่มีทั้งฝีมือ ความอดทน และเจตนาชัดเจน ลองถอดคำทีละตัวดู

มีจุดที่คนมักเข้าใจผิดอยู่ข้อหนึ่ง “ขั้นสูง” ไม่ได้แปลว่าทุกขั้นต้องใช้ของล้ำ ๆ เสมอไป กลุ่ม APT หลายกลุ่มเริ่มจากอีเมลหลอกธรรมดา หรือช่องโหว่เก่าที่มีแพตช์มาเป็นปีแล้ว ความ “ขั้นสูง” อยู่ที่ การวางแผนทั้งกระบวน มากกว่า คือรู้ว่าอยากได้อะไร เลือกประตูที่เปิดง่ายที่สุด แล้วค่อย ๆ เดินไปถึงเป้าโดยไม่ให้ใครรู้ตัว

ข่าวดีซ่อนอยู่ในประโยคนั้นเอง ถ้าประตูแรกมักเป็นเรื่องพื้นฐาน การปิดประตูพื้นฐานให้ดีก็ทำให้งานของพวกเขายากขึ้นมากแล้ว

ศัพท์น่ารู้: ผู้โจมตี (Threat actor) และกลุ่ม APT

Threat actor คือ “ใคร” ที่อยู่เบื้องหลังการโจมตี จะเป็นคนเดียว แก๊ง หรือหน่วยงานก็ได้ ส่วนกลุ่ม APT คือ threat actor ที่นักวิจัยติดตามมาต่อเนื่อง เห็นรูปแบบการทำงานซ้ำ ๆ จนจัดเป็นกลุ่มเดียวกันได้ และมักถูกเชื่อมโยงกับรัฐใดรัฐหนึ่ง

02ต่างจากอาชญากรฉวยโอกาสอย่างไร APT vs opportunistic crime

ลองนึกภาพหมู่บ้านจัดสรรสักแห่ง ขโมยแบบแรกเดินไล่บิดลูกบิดประตูทุกหลังในซอยตอนตีสาม หลังไหนลืมล็อก ก็เข้าไปหยิบของแล้วรีบออก มันไม่สนใจว่าเป็นบ้านใคร ขอแค่เข้าได้ง่ายและได้ของคุ้มเวลา

ขโมยแบบที่สองต่างออกไปลิบลับ มันเช่าห้องฝั่งตรงข้ามบ้านหลังเดียวที่มันสนใจ เฝ้าดูเป็นเดือนว่าใครเข้าออกกี่โมง รปภ.เปลี่ยนกะตอนไหน แม่บ้านใช้กุญแจสำรองดอกไหน แล้วเมื่อได้เข้าไปแล้ว มันก็ไม่รีบออก มันอยู่ต่อ ฟัง ดู และจดทุกอย่าง

แบบแรกคือ อาชญากรฉวยโอกาส (opportunistic) ซึ่งเป็นภัยส่วนใหญ่ที่คนทั่วไปเจอ เช่นฟิชชิงหว่านแหหรือแรนซัมแวร์ที่ยิงหาเครื่องที่ไม่อัปเดต ส่วนแบบที่สองคือหน้าตาของ APT ที่ เลือกเป้าแบบเจาะจง (targeted)

ความต่างนี้สำคัญกับฝ่ายป้องกันมาก เพราะมันเปลี่ยนคำถามที่เราต้องถาม สำหรับอาชญากรฉวยโอกาส คำถามคือ “เราล็อกประตูแน่นกว่าบ้านข้าง ๆ หรือยัง” ถ้าแน่นกว่า มันมักจะข้ามไปหาบ้านที่ง่ายกว่า แต่สำหรับ APT คำถามเปลี่ยนเป็น “ถ้าเขาตั้งใจจะเข้าให้ได้ เราจะ รู้ตัวเร็วแค่ไหน และ จำกัดความเสียหาย ได้แค่ไหน” เพราะทีมที่มีเวลาไม่จำกัด สุดท้ายมักหาทางเข้าเจอสักทาง

นี่คือเหตุผลที่องค์กรซึ่งอาจตกเป็นเป้าของ APT ลงทุนกับการตรวจจับและการรับมือ ไม่ใช่แค่การป้องกันชั้นนอก แต่สำหรับคนทั่วไป ไม่ต้องตื่นตระหนก ภัยที่เราเจอบ่อยที่สุดยังเป็นแบบฉวยโอกาส ซึ่งกันได้ด้วยนิสัยพื้นฐานที่เรียนกันมาตลอดหลักสูตร และที่น่าคิดคือ นิสัยเดียวกันนั้นก็ทำให้เราไม่กลายเป็น “ประตูหลัง” ที่ APT ใช้เดินเข้าองค์กรที่เราทำงานอยู่ด้วย

ศัพท์น่ารู้: รัฐหนุนหลัง (State-sponsored / State-backed)

ใช้เรียกกลุ่มที่นักวิจัยหรือรัฐบาลประเมินว่าทำงานให้ ทำงานร่วมกับ หรือได้รับการสนับสนุนจากรัฐบาลของประเทศหนึ่ง เป็นข้อสรุปจากการสืบสวน ไม่ใช่สิ่งที่ประเทศนั้นยอมรับ ส่วนใหญ่ประเทศที่ถูกกล่าวหาจะปฏิเสธ

03ใครทำ? ศิลปะของการระบุตัวผู้โจมตี Attribution

ในโลกจริง ขโมยทิ้งรอยนิ้วมือ ในโลกไซเบอร์ ผู้โจมตีทิ้ง “รอย” เหมือนกัน แต่รอยพวกนั้นปลอมได้ ยืมได้ และลบได้ การบอกว่าการโจมตีครั้งหนึ่งเป็นฝีมือใคร จึงเป็นงานที่ยากและต้องใช้ความระมัดระวังที่สุดงานหนึ่งในวงการ เรียกว่า การระบุตัวผู้โจมตี (attribution)

นักวิจัยไม่ได้ตัดสินจากหลักฐานชิ้นเดียว แต่ค่อย ๆ ซ้อนหลักฐานหลายชั้นเข้าด้วยกัน คล้ายนักสืบที่ต่อจิ๊กซอว์ทีละชิ้น หลักฐานที่พบบ่อยแบ่งได้คร่าว ๆ สี่กลุ่ม

• รอยทางเทคนิค: โครงสร้างพื้นฐานที่ใช้ซ้ำ เช่นเซิร์ฟเวอร์หรือโดเมนที่เคยโผล่ในเหตุการณ์อื่น หรือโค้ดที่คล้ายของเดิมจนเห็นว่ามาจากมือเดียวกัน
• พฤติกรรม: วิธีทำงานซ้ำ ๆ ที่วงการเรียกว่า TTP เหมือนลายมือที่เปลี่ยนยาก ต่อให้เปลี่ยนเครื่องมือ นิสัยการทำงานก็ยังติดมา
• บริบท: ใครได้ประโยชน์ เป้าหมายตรงกับผลประโยชน์ของใคร จังหวะเวลาสอดคล้องกับเหตุการณ์การเมืองหรือไม่
• ข่าวกรองที่ไม่เปิดเผย: รัฐบาลอาจมีข้อมูลจากหน่วยข่าวกรองที่สาธารณะไม่เห็น ข้อสรุปของรัฐบาลจึงบางครั้งมั่นใจกว่าที่หลักฐานสาธารณะรองรับได้

เพราะไม่มีหลักฐานชิ้นไหนชี้ขาดได้เอง รายงานที่ดีจึงบอก ระดับความมั่นใจ ไว้เสมอ เช่นมั่นใจต่ำ ปานกลาง หรือสูง และเราในฐานะผู้อ่านก็ควรอ่านให้เป็น ประโยคแบบ “นักวิจัยประเมินว่า…” หรือ “รัฐบาลสหรัฐฯ ระบุว่า…” ไม่เท่ากับคำตัดสินของศาล บทนี้จึงใช้ภาษาแบบนั้นตลอด เพราะนั่นคือสิ่งที่เรารู้ได้จริง

ความยุ่งอีกเรื่องคือ ชื่อ บริษัทความปลอดภัยแต่ละแห่งติดตามกลุ่มเดียวกันจากข้อมูลคนละชุด จึงตั้งชื่อเรียกของตัวเอง กลุ่มที่สื่อเรียกว่า Sandworm จึงมีชื่ออื่นอีกเพียบ ตัวอย่างเช่น Microsoft ตั้งชื่อตามสภาพอากาศ โดยใช้ “Blizzard” กับกลุ่มที่โยงกับรัสเซีย และ “Sleet” กับกลุ่มที่โยงกับเกาหลีเหนือ ขณะที่ Mandiant ใช้ตัวเลข APT ตามลำดับ

ศัพท์น่ารู้: TTP (Tactics, Techniques, Procedures)

“ลายมือ” ของผู้โจมตี ได้แก่เป้าหมายแต่ละช่วง (tactics) วิธีที่ใช้ไปถึงเป้า (techniques) และขั้นตอนเฉพาะตัวของกลุ่ม (procedures) ฝ่ายป้องกันใช้ TTP ทั้งเพื่อระบุตัว และเพื่อวางระบบตรวจจับ ซึ่งเราเรียนแบบละเอียดในบท กรอบการโจมตี

04แฟ้ม Sandworm Case file: Sandworm

ชื่อ Sandworm มาจากนิยายวิทยาศาสตร์เรื่อง Dune บริษัทข่าวกรองภัย iSight Partners ตั้งชื่อนี้ในปี 2014 หลังพบว่าผู้โจมตีอ้างถึงนิยายเรื่องนี้ในร่องรอยที่ทิ้งไว้ ตั้งแต่นั้นมา กลุ่มนี้กลายเป็นหนึ่งในกลุ่มที่ถูกพูดถึงมากที่สุดในโลก ด้วยเหตุผลที่ไม่น่าภูมิใจนัก คือผลงานที่ถูกระบุว่าเป็นของกลุ่มนี้มักเป็นการ ทำลายและก่อกวน มากกว่าการแอบขโมยข้อมูลเงียบ ๆ

รัฐบาลสหรัฐฯ อังกฤษ และพันธมิตรหลายประเทศระบุว่า Sandworm คือหน่วย 74455 ของหน่วยข่าวกรองทหารรัสเซีย (GRU) ส่วนรัสเซียปฏิเสธข้อกล่าวหาเหล่านี้มาตลอด ไทม์ไลน์ด้านล่างรวบรวมเฉพาะเหตุการณ์ที่มีรายงานสาธารณะและการระบุตัวจากรัฐบาลหรือนักวิจัยหลายฝ่าย

สิ่งที่ทำให้แฟ้มนี้สำคัญกับวงการ ไม่ใช่แค่ความเสียหาย แต่คือการ ข้ามเส้น เหตุไฟดับปี 2015 และ 2016 แสดงให้เห็นว่าระบบควบคุมทางอุตสาหกรรม เช่นระบบจ่ายไฟ ไม่ได้อยู่นอกสนามรบไซเบอร์อีกต่อไป หลังจากนั้นหน่วยงานด้านพลังงานทั่วโลกต่างหันมาทบทวนว่าเครือข่ายสำนักงานกับเครือข่ายควบคุมของตัวเองแยกกันจริงหรือเปล่า

และเหตุการณ์ปี 2022 ก็มีอีกด้านที่ควรจำ คือครั้งนี้ฝ่ายป้องกันชนะ ทีมรับมือเหตุของยูเครนทำงานร่วมกับบริษัทความปลอดภัยจนตรวจพบและหยุดการโจมตีได้ก่อนไฟจะดับ หลักฐานว่าการเฝ้าระวังและความร่วมมือที่ดีได้ผลจริง แม้คู่ต่อสู้จะเป็นกลุ่มระดับนี้

05แฟ้ม Lazarus Case file: Lazarus

ถ้า Sandworm เป็นภาพของการทำลาย Lazarus ก็เป็นภาพของสิ่งที่แปลกกว่านั้น คือกลุ่มที่นักวิจัยและรัฐบาลหลายประเทศเชื่อมโยงกับรัฐ แต่หลายครั้งมีเป้าหมายเป็น เงิน รัฐบาลสหรัฐฯ ระบุว่ากิจกรรมเหล่านี้เป็นของหน่วยงานที่เชื่อมโยงกับรัฐบาลเกาหลีเหนือ ขณะที่เกาหลีเหนือปฏิเสธและเรียกข้อกล่าวหาว่าเป็นการใส่ร้าย

“Lazarus” ในปัจจุบันจึงใช้กันเหมือนเป็นร่มใหญ่ ครอบหลายทีมย่อยที่บางบริษัทแยกชื่อออกไปอีก เช่นทีมที่เน้นการเงินโดยเฉพาะ หรือทีมที่เน้นวงการคริปโต เวลาอ่านข่าว เราจึงอาจเห็นชื่อย่อยเหล่านี้แทนคำว่า Lazarus ตรง ๆ

เหตุการณ์ Sony ปี 2014 เกิดขึ้นช่วงก่อนหนังตลกที่ล้อผู้นำเกาหลีเหนือจะเข้าฉาย ไฟล์ภายในจำนวนมากถูกปล่อยสู่สาธารณะ และระบบของบริษัทถูกทำลายจนต้องกลับไปใช้วิธีทำงานแบบออฟไลน์อยู่พักใหญ่ FBI ประกาศในเดือนธันวาคมปีนั้นว่าเกาหลีเหนืออยู่เบื้องหลัง ส่วน WannaCry ปี 2017 ที่ระบาดไปถึงโรงพยาบาลในอังกฤษ รัฐบาลสหรัฐฯ และอังกฤษออกมาระบุในปลายปีเดียวกันว่าเป็นฝีมือเกาหลีเหนือเช่นกัน

ช่วงหลัง เป้าหมายขยับมาที่ คริปโต อย่างชัดเจน กรณี Bybit เมื่อกุมภาพันธ์ 2025 ถูกรายงานว่าเป็นการขโมยคริปโตครั้งใหญ่ที่สุดเท่าที่เคยมีมา FBI ออกประกาศไม่กี่วันหลังเกิดเหตุ ระบุว่าเป็นฝีมือกลุ่มที่ FBI เรียกว่า TraderTraitor ของเกาหลีเหนือ รายงานข่าวยังเล่าตรงกันว่ากลุ่มเหล่านี้ชอบเริ่มจาก คน เช่นข้อเสนองานปลอมที่ส่งถึงนักพัฒนา หรือการเข้าทางผู้ให้บริการที่เหยื่อไว้ใจ มากกว่าจะพังประตูหน้าตรง ๆ

ศัพท์น่ารู้: การโจมตีที่มุ่งเงิน (Financially motivated) ของกลุ่มที่รัฐหนุนหลัง

ปกติเราคิดว่ากลุ่มที่รัฐหนุนหลังมุ่งข่าวกรองหรือการก่อกวน แต่กรณี Lazarus ทำให้เส้นนี้พร่า คณะผู้เชี่ยวชาญของสหประชาชาติรายงานต่อเนื่องหลายปีว่าเงินจากการขโมยทางไซเบอร์เป็นแหล่งรายได้สำคัญของเกาหลีเหนือ องค์กรการเงินและคริปโตจึงต้องคิดเผื่อว่าคู่ต่อสู้อาจมีทรัพยากรระดับรัฐ ไม่ใช่แค่แก๊งโจรทั่วไป

06วงจรการฝังตัวนาน The long-dwell lifecycle

ถึงแต่ละกลุ่มจะมีลายมือต่างกัน แต่ถ้าถอยออกมามองจากระยะไกล การโจมตีแบบ APT ส่วนใหญ่เดินตามโครงคล้าย ๆ กัน นักวิจัยใช้หลายโมเดลอธิบายโครงนี้ เช่น Cyber Kill Chain และ MITRE ATT&CK ซึ่งเราเรียนแบบละเอียดในบท กรอบการโจมตี ส่วนตรงนี้ขอสรุปเป็นห้าขั้นระดับแนวคิด เพื่อให้เห็นภาพรวมก่อน

ขั้นที่น่ากลัวที่สุดไม่ใช่ขั้นแรกหรือขั้นสุดท้าย แต่คือ ช่วงกลาง ที่ผู้โจมตีอยู่ในระบบแล้วแต่ยังไม่มีใครรู้ เวลาช่วงนี้วงการเรียกว่า ระยะฝังตัว (dwell time) ระหว่างนั้นเขาเดินดูได้ทั่ว เก็บรหัสผ่านไปเรื่อย ๆ และวางแผนว่าวันลงมือจะทำอะไร เหมือนในเหตุไฟดับที่ยูเครน ที่ผู้โจมตีมีเวลาหลายเดือนเรียนรู้ระบบก่อนกดปุ่มจริง

APT ยังชอบ กลมกลืน มากกว่าจะโดดเด่น หลายกลุ่มใช้บัญชีจริงที่ขโมยมา และใช้เครื่องมือที่ระบบมีอยู่แล้ว ทำให้สิ่งที่เขาทำดูคล้ายงานปกติของแอดมิน วงการเรียกแนวทางนี้ว่า living off the land การจับจึงยากกว่าการไล่หาไฟล์มัลแวร์ที่รู้จักแล้ว ฝ่ายป้องกันต้องมองหา พฤติกรรมที่ผิดที่ผิดเวลา แทน เช่นบัญชีฝ่ายบัญชีที่จู่ ๆ ล็อกอินเข้าเซิร์ฟเวอร์ตอนตีสาม หรือเครื่องที่ส่งข้อมูลก้อนใหญ่ออกไปยังที่ที่ไม่เคยติดต่อมาก่อน

และอย่าลืมตัว P ใน APT ถ้าถูกไล่ออก กลุ่มเหล่านี้มักพยายามกลับเข้ามาใหม่ทางอื่น การรับมือที่ดีจึงไม่จบแค่ “ลบมัลแวร์ออกแล้ว” แต่ต้องหาให้ครบว่าเขาทิ้งทางกลับไว้ที่ไหนบ้าง และปิดช่องที่ใช้เข้ามาตั้งแต่ต้นด้วย

ข่าวดีคือ ตัวเลขภาพรวมขยับไปทางที่ดีขึ้น รายงาน M-Trends ที่ Mandiant ออกทุกปีจากงานสอบสวนเหตุจริง แสดงว่าค่ากลางของระยะฝังตัวลดลงจากหลายร้อยวันเมื่อราวสิบกว่าปีก่อน เหลือระดับสัปดาห์ในรายงานช่วงหลัง ส่วนหนึ่งเพราะองค์กรเก็บ log และมีทีมเฝ้าระวังกันมากขึ้น แปลว่าการลงทุนฝั่งตรวจจับได้ผลจริง

ศัพท์น่ารู้: ระยะฝังตัว (Dwell time)

เวลาตั้งแต่ผู้โจมตีเข้ามาในระบบได้ครั้งแรก จนถึงวันที่องค์กรตรวจพบ ยิ่งสั้น ผู้โจมตียิ่งมีเวลาน้อยในการขยายวงและลงมือ เป้าหมายหลักของงานตรวจจับคือย่นเวลานี้ให้สั้นที่สุด

07ทำไมเว็บนี้ใช้ชื่อ Sandworm Lazarus Why we borrow these names

ถึงตรงนี้หลายคนอาจสงสัยว่า ในเมื่อสองกลุ่มนี้ถูกระบุว่าอยู่เบื้องหลังเหตุที่ทำให้ไฟดับ โรงพยาบาลวุ่น และเงินหายไปหลายพันล้าน ทำไมเว็บสอนความปลอดภัยถึงเอาชื่อมาตั้ง

คำตอบตรง ๆ คือ เพื่อเตือนความจำ ไม่ใช่เพื่อยกย่อง ชื่อสองชื่อนี้คือสองหน้าของภัยไซเบอร์ระดับร้ายแรงที่สุดที่โลกเคยเห็น หน้าหนึ่งคือการทำลายโครงสร้างพื้นฐานที่คนธรรมดาพึ่งพาทุกวัน อีกหน้าคือการปล้นเงินแบบเป็นระบบในระดับประเทศ ทุกครั้งที่เห็นชื่อเว็บ เราอยากให้นึกขึ้นได้ว่า สิ่งที่เรียนอยู่ไม่ใช่เกมหรือการประกวดฝีมือ แต่เป็นเรื่องที่ผลกระทบตกอยู่กับคนจริง ๆ

บางคนดูหนังแฮกเกอร์แล้วรู้สึกว่ากลุ่มแบบนี้ “เท่” แต่ถ้าลองนึกถึงคนที่นั่งในบ้านมืด ๆ กลางฤดูหนาวของยูเครน หรือพยาบาลที่ต้องเลื่อนนัดผู้ป่วยเพราะเครื่องในโรงพยาบาลเปิดไม่ได้ช่วง WannaCry ความเท่นั้นก็หายไปหมด เว็บนี้เลือกยืนอีกฝั่งอย่างชัดเจน คือฝั่งคนที่เรียนรู้วิธีคิดของผู้โจมตี เพื่อปิดทางของพวกเขา

08ฝ่ายป้องกันจับและชะลอ APT อย่างไร Detecting and slowing APTs

สู้กับคู่ต่อสู้ที่อดทน ต้องใช้ความอดทนเหมือนกัน ไม่มีเครื่องมือวิเศษชิ้นเดียวที่กัน APT ได้ สิ่งที่ได้ผลคือ หลายชั้นที่ทำงานร่วมกัน บางชั้นทำให้เข้ายาก บางชั้นทำให้เดินต่อยาก และบางชั้นทำให้ถูกเห็นเร็ว ตารางด้านล่างแสดงว่ามาตรการแต่ละอย่างช่วยในขั้นไหนของวงจรเป็นหลัก

ถ้าแปลงตารางเป็นงานที่องค์กรลงมือทำได้จริง จะได้หกเรื่องหลักนี้ เรียงจากพื้นฐานไปหาขั้นสูง

1. แพตช์ให้เร็ว โดยเฉพาะของที่หันหน้าออกอินเทอร์เน็ต

   ประตูแรกของ APT จำนวนมากคือช่องโหว่ที่มีแพตช์แล้วแต่ยังไม่ได้ลง เช่นอุปกรณ์ VPN ไฟร์วอลล์ และเซิร์ฟเวอร์ที่เปิดสู่ภายนอก ทำบัญชีอุปกรณ์ให้ครบ จัดลำดับตามความเสี่ยง และติดตามประกาศช่องโหว่ที่ถูกใช้โจมตีจริงจากหน่วยงานอย่าง CISA ทุกสัปดาห์ เครื่องที่ไม่มีใครรู้ว่ามีอยู่ คือเครื่องที่ไม่มีใครแพตช์

2. เก็บ log ให้พอ และมีคนดูจริง

   จะจับคนที่พยายามกลมกลืนได้ ต้องมีบันทึกให้ย้อนดู ทั้งการล็อกอิน การใช้สิทธิ์แอดมิน การเปลี่ยนแปลงระบบ และการรับส่งข้อมูลในเครือข่าย เก็บไว้นานพอ เพราะ APT อาจอยู่มาก่อนเราเห็นหลายเดือน แล้วรวมไว้ที่ศูนย์กลางให้ทีม SOC เฝ้าดูได้ log ที่เก็บแต่ไม่มีใครเปิด ช่วยได้แค่ตอนชันสูตรหลังเกิดเรื่อง

3. ใช้ข่าวกรองภัยคุกคาม (threat intelligence)

   รายงานสาธารณะจากหน่วยงานรัฐและบริษัทความปลอดภัย บอกว่ากลุ่มที่สนใจอุตสาหกรรมของเรามักเข้าทางไหนและทำอะไรต่อ ฝ่ายป้องกันเอาข้อมูลนี้ไปจัดลำดับว่าควรแพตช์อะไรก่อน และควรเขียนกฎตรวจจับพฤติกรรมแบบไหน ใช้ภาษาเดียวกันผ่านกรอบอย่าง MITRE ATT&CK แล้วจะเทียบได้ว่าระบบของเรามองเห็นเทคนิคไหน และยังตาบอดตรงไหน

4. แบ่งโซนเครือข่าย และให้สิทธิ์เท่าที่จำเป็น

   ถ้าเครื่องในฝ่ายการตลาดเดินไปถึงระบบควบคุมโรงงานหรือระบบโอนเงินได้ตรง ๆ การเจาะเครื่องเดียวก็เท่ากับได้ทั้งองค์กร แยกโซนสำคัญออกจากกัน คุมทางเดินระหว่างโซน แยกบัญชีแอดมินออกจากบัญชีใช้งานประจำวัน และเปิด MFA ที่ทนต่อฟิชชิงให้บัญชีสิทธิ์สูง ทุกกำแพงที่เพิ่มขึ้นคือเวลาที่ผู้โจมตีต้องเสีย และคือโอกาสที่เราจะเห็นเขา

5. ล่าภัยเชิงรุก (threat hunting)

   แทนที่จะรอให้ระบบเตือน นักล่าภัยตั้งสมมติฐานก่อน เช่น “ถ้ามีคนใช้บัญชีแอดมินที่ถูกขโมยมาอยู่ในเครือข่ายเรา เราจะเห็นร่องรอยอะไรใน log” แล้วลงไปค้นหาจริง ถึงไม่เจออะไร ก็มักได้ช่องว่างของการมองเห็นที่ต้องอุด และได้กฎตรวจจับใหม่ไว้ใช้ครั้งต่อไป

6. ซ้อมแผนรับมือ และเตรียมสำรองที่แยกขาด

   วันที่เจอ APT จริง ไม่ใช่วันที่ควรเริ่มคิดว่าใครต้องโทรหาใคร เขียนแผน รับมือเหตุการณ์ ซ้อมเป็นประจำ เตรียมช่องทางสื่อสารสำรองเผื่อระบบหลักถูกยึด และเก็บสำเนาสำรองที่แยกจากเครือข่ายและทดสอบกู้คืนแล้วจริง บทเรียนจาก NotPetya คือองค์กรที่ฟื้นได้เร็ว คือองค์กรที่มีของพวกนี้พร้อมก่อนเกิดเหตุ

7. อย่าเตือนผู้โจมตีให้รู้ตัวก่อนพร้อม

   เมื่อเจอร่องรอย อย่ารีบลบไฟล์หรือรีเซ็ตทีละเครื่องตามอารมณ์ เพราะอาจทำให้เขารู้ตัวแล้วเปลี่ยนทางหนี หรือรีบลงมือทำลาย ให้เก็บหลักฐาน ประเมินขอบเขตให้ครบ แล้วไล่ออกพร้อมกันตามแผน โดยทำงานร่วมกับทีมรับมือเหตุและหน่วยงานที่เกี่ยวข้อง

สำหรับเราแต่ละคน บทบาทอาจดูเล็ก แต่สำคัญกว่าที่คิด APT จำนวนมากเริ่มจาก คนหนึ่งคน ในองค์กร คนที่เปิดไฟล์แนบ คนที่ตอบรับข้อเสนองานปลอม หรือคนที่ใช้รหัสผ่านซ้ำกับเว็บที่เคยรั่ว การรายงานอีเมลแปลก ๆ ให้ฝ่ายไอทีแทนที่จะลบทิ้งเงียบ ๆ อาจเป็นสัญญาณแรกที่ทำให้ทั้งองค์กรรอด

ศัพท์น่ารู้: ล่าภัย (Threat hunting) กับ ข่าวกรองภัยคุกคาม (Threat intelligence)

ข่าวกรองภัยคุกคามคือข้อมูลที่ผ่านการวิเคราะห์แล้วว่าใครกำลังโจมตีใคร ด้วยวิธีไหน ส่วนการล่าภัยคือการเอาความรู้นั้นมาค้นหาเชิงรุกในระบบของเราเอง ว่ามีร่องรอยแบบนั้นซ่อนอยู่หรือเปล่า แทนที่จะรอให้สัญญาณเตือนดังขึ้นเอง

09สรุปให้จำ Recap

แฟ้มของสองกลุ่มนี้ยาวกว่าที่เล่าในบทเดียวมาก แต่ถ้าจำได้แค่หกข้อ ให้จำหกข้อนี้

• APT คือผู้โจมตี ไม่ใช่มัลแวร์ ทีมที่มีฝีมือ เป้าหมาย และความอดทน มักถูกเชื่อมโยงกับรัฐ
• อาชญากรฉวยโอกาสหาบ้านที่ง่าย APT เลือกบ้านก่อน คำถามจึงเปลี่ยนจาก “กันได้ไหม” เป็น “รู้ตัวเร็วแค่ไหน”
• การระบุตัวคือการประเมิน ซ้อนหลักฐานหลายชั้น มีระดับความมั่นใจ และอาจเจอธงปลอม อ่านข่าวด้วยใจเป็นกลาง
• Sandworm = การทำลายโครงสร้างพื้นฐาน, Lazarus = การปล้นเงินระดับรัฐ ตามที่รัฐบาลและนักวิจัยหลายฝ่ายระบุ
• ศัตรูตัวจริงคือระยะฝังตัว ยิ่งเขาอยู่นานโดยไม่มีใครเห็น ความเสียหายยิ่งมาก งานตรวจจับคือย่นเวลานี้
• ป้องกันหลายชั้น แพตช์ MFA log + SOC ข่าวกรองภัย แบ่งโซน ล่าภัย และแผนรับมือที่ซ้อมแล้ว

ลองทบทวนดู