ห่วงโซ่การโจมตี & MITRE ATT&CK

01ทำไมต้องมีแผนที่การโจมตี Why model attacks

ตีสองครึ่งในห้อง SOC นักวิเคราะห์เวรดึกเห็นแจ้งเตือนสามอย่างที่ดูไม่เกี่ยวกัน อีเมลแปลกถึงฝ่ายบุคคลเมื่อบ่าย บัญชีหนึ่งล็อกอินจากที่ไม่คุ้นตอนเที่ยงคืน และมีการคัดลอกไฟล์ก้อนใหญ่ออกไปเมื่อครู่ สามเหตุการณ์นี้ ถ้ามองแยกกันก็เป็นแค่สัญญาณจาง ๆ แต่ถ้าวางลงบน “แผนที่” เดียวกัน มันต่อกันเป็นเส้นเรื่องเดียว คือการบุกรุกที่กำลังดำเนินอยู่

นี่คือเหตุผลที่เราต้องมีกรอบความคิด (framework) สำหรับอธิบายการโจมตี กรอบพวกนี้ไม่ใช่เครื่องมือหรือซอฟต์แวร์ แต่เป็น วิธีจัดระเบียบความคิด ให้คนทั้งทีม และคนทั้งวงการทั่วโลก พูดถึงการโจมตีด้วยภาษาเดียวกัน

ลองนึกถึงพยากรณ์อากาศ ถ้านักอุตุฯ คนหนึ่งบอกว่า “ลมแรง” อีกคนบอก “ฝนจะตก” เราก็ได้แค่ภาพเสี้ยว ๆ แต่พอมีศัพท์กลางอย่าง “หย่อมความกดอากาศต่ำ” ทุกคนเห็นภาพเดียวกันและเตรียมรับมือได้ กรอบการโจมตีทำหน้าที่แบบนั้นให้งานความปลอดภัย

กรอบที่เราจะรู้จักในบทนี้ตอบคำถามคนละข้อ และเสริมกันได้

• Cyber Kill Chain ตอบว่า “การโจมตีเดินผ่านขั้นใหญ่ ๆ อะไรบ้าง” มองเป็นโซ่ที่ตัดได้
• MITRE ATT&CK ตอบว่า “ในแต่ละขั้น คนร้ายใช้วิธีจริงอะไรบ้าง” เป็นคลังพฤติกรรมที่ละเอียดมาก
• Pyramid of Pain ตอบว่า “เราควรไล่ตรวจจับอะไร ถึงจะทำให้คนร้ายเจ็บที่สุด”
• Diamond Model ตอบว่า “เหตุการณ์หนึ่งครั้ง มีองค์ประกอบอะไรบ้างที่ต้องเชื่อมโยง”

ศัพท์น่ารู้: TTP

ย่อมาจาก Tactics, Techniques, and Procedures แปลเป็นไทยง่าย ๆ ว่า “เป้าหมาย วิธีการ และขั้นตอนลงมือ” ของคนร้าย เป็นคำที่จะเจอบ่อยมากในบทนี้และในงานข่าวกรองภัยคุกคาม (threat intelligence)

02Cyber Kill Chain: การโจมตีเป็นโซ่ The Cyber Kill Chain

แนวคิด Cyber Kill Chain มาจากบริษัท Lockheed Martin ในเอกสารปี 2011 ของ Eric Hutchins, Michael Cloppert และ Rohan Amin ชื่อ “Intelligence-Driven Computer Network Defense” เขายืมคำว่า kill chain จากศัพท์ทหารที่หมายถึงลำดับขั้นของการโจมตีเป้าหมาย มาอธิบายการบุกรุกไซเบอร์ว่าเดินเป็นเจ็ดขั้นต่อกัน

หัวใจของแนวคิดนี้คือข้อสังเกตง่าย ๆ ข้อเดียว คนร้ายต้องทำสำเร็จ ทุกขั้นเรียงตามลำดับ จึงจะบรรลุเป้าหมาย ส่วนฝ่ายป้องกันขอแค่ตัดได้ขั้นใดขั้นหนึ่ง การโจมตีทั้งสายก็สะดุด เอกสารต้นฉบับเขียนไว้ตรง ๆ ว่า “การป้องกันเพียงจุดเดียวก็ตัดโซ่และหยุดผู้บุกรุกได้”

มาดูแต่ละขั้นผ่านเรื่องที่คุ้นเคย สมมุติคนร้ายเล็งเป้าไปที่บริษัทแห่งหนึ่ง

1. Reconnaissance: สอดแนม

   คนร้ายหาข้อมูลเป้าหมายจากแหล่งเปิด เช่น ชื่อและอีเมลพนักงานจากโซเชียล เทคโนโลยีที่บริษัทใช้ ใครเป็นฝ่ายบัญชี เหมือนโจรที่มายืนสังเกตบ้านอยู่หลายวันก่อนลงมือ

2. Weaponization: ประกอบอาวุธ

   คนร้ายเตรียมสิ่งที่จะใช้โจมตี เช่น เอกสารหลอกที่ฝังกับดักไว้ ขั้นนี้เกิดในเครื่องของคนร้ายล้วน ๆ เราจึงมองไม่เห็นเลย

3. Delivery: ส่งมอบ

   ส่งไปถึงเหยื่อ ทางที่พบบ่อยคืออีเมลฟิชชิง (ดู CASE-003) แต่ก็อาจเป็นเว็บที่ถูกวางกับดัก หรือแฟลชไดรฟ์ที่แกล้งทำหล่นไว้

4. Exploitation: เจาะ

   เมื่อเหยื่อเปิดไฟล์หรือกดลิงก์ โค้ดของคนร้ายก็เริ่มทำงาน โดยอาศัยช่องโหว่ในโปรแกรม หรืออาศัยการหลอกให้ผู้ใช้กดอนุญาตเอง

5. Installation: ฝังตัว

   คนร้ายติดตั้งประตูหลัง (backdoor) เพื่อกลับเข้ามาได้เรื่อย ๆ แม้เหยื่อจะปิดเครื่องแล้วเปิดใหม่ (ทบทวนมัลแวร์ได้ที่ CASE-002)

6. Command & Control: บังคับบัญชา

   มัลแวร์เปิดสายติดต่อกลับไปหาเซิร์ฟเวอร์ของคนร้าย (เรียกว่า C2) เพื่อรอรับคำสั่งและส่งข้อมูลออก เหมือนสายลับที่แอบรายงานกลับฐาน

7. Actions on Objectives: ลงมือตามเป้า

   ถึงขั้นสุดท้าย คนร้ายทำสิ่งที่ตั้งใจมาตั้งแต่แรก เช่น ขโมยข้อมูลลูกค้า เข้ารหัสไฟล์เรียกค่าไถ่ หรือใช้บริษัทนี้เป็นสะพานไปโจมตีคู่ค้าต่อ

03ตัดโซ่ได้ทุกขั้น Courses of action

เอกสารต้นฉบับไม่ได้แค่เสนอขั้นตอน แต่ยังเสนอ “ตารางทางเลือกการรับมือ” (courses of action matrix) คือในแต่ละขั้นของโซ่ ฝ่ายป้องกันมีหกวิธีให้เลือกทำกับคนร้าย

หกวิธีนั้นคือ ตรวจจับ (detect) ให้รู้ว่ากำลังเกิด ปฏิเสธ (deny) กันไม่ให้เกิด ขัดขวาง (disrupt) ทำให้สะดุดกลางคัน บั่นทอน (degrade) ทำให้ช้าหรือได้ผลน้อยลง ลวง (deceive) ป้อนข้อมูลลวงให้หลงทาง และ ทำลาย (destroy) ทำให้เครื่องมือของคนร้ายใช้ไม่ได้ เมื่อเอาหกวิธีมาคูณกับเจ็ดขั้น ก็ได้ตารางที่ช่วยให้ทีมเห็นว่าตัวเองมีเกราะชั้นไหนบ้าง และโหว่ตรงไหน

สังเกตว่าแนวคิดนี้คือ Defense in depth หรือการวางเกราะหลายชั้น ที่เราเจอมาตั้งแต่ CASE-002 นั่นเอง เพียงแต่ตอนนี้เรามีกรอบที่ช่วยจัดวางเกราะให้ครบทุกขั้น ไม่ใช่กองรวมกันไว้ขั้นเดียว ยิ่งคนร้ายต้องผ่านด่านมากเท่าไร เขายิ่งต้องลงแรงมาก เสี่ยงถูกจับมาก และมีโอกาสพลาดมากขึ้นเท่านั้น

ศัพท์น่ารู้: ย้ายเกราะไปทางซ้าย (Shift left)

ยิ่งเราตัดโซ่ได้ในขั้นต้น ๆ (ซ้ายมือของภาพ) ความเสียหายยิ่งน้อย เพราะคนร้ายยังไม่ทันเข้าถึงอะไร การลงทุนกับการกรองอีเมลและการอัปเดต จึงคุ้มกว่าการไปไล่กู้ข้อมูลตอนถูกเข้ารหัสไปแล้ว

04ข้อจำกัดของ Kill Chain Where it falls short

Kill Chain เป็นกรอบที่ทรงพลังและเข้าใจง่าย แต่มันถูกออกแบบในปี 2011 เพื่ออธิบายการโจมตีแบบที่เริ่มด้วยการเจาะเข้ามาจากข้างนอกเป็นหลัก เมื่อโลกเปลี่ยน ข้อจำกัดก็เริ่มโผล่

ข้อวิจารณ์ที่ได้ยินบ่อยมีสามข้อ หนึ่ง มันเน้นภัยจากภายนอก ไม่ค่อยครอบคลุมภัยจากคนในหรือบัญชีที่ถูกยึด สอง มันเป็นเส้นตรงเกินไป ขณะที่การโจมตีจริงมักวนลูป เช่น เจาะเครื่องหนึ่ง แล้วเริ่มสอดแนมใหม่เพื่อหาเครื่องถัดไป สาม สามขั้นแรก (สอดแนม ประกอบอาวุธ ส่งมอบ) เกิดนอกสายตาเราเกือบทั้งหมด ด่านที่ลงมือได้จริงจึงกระจุกอยู่ช่วงหลัง

ข้อจำกัดเหล่านี้ไม่ได้ทำให้ Kill Chain ไร้ค่า มันยังเป็นภาษากลางที่ดีสำหรับเล่าภาพรวม แต่มันเปิดช่องให้เกิดกรอบที่ละเอียดกว่า โดยเฉพาะกรอบที่อธิบายได้ว่า “พอเข้ามาในบ้านแล้ว คนร้ายทำอะไรต่อได้บ้าง” และนั่นคือที่มาของ MITRE ATT&CK

05MITRE ATT&CK: คลังพฤติกรรมคนร้าย What ATT&CK is

MITRE เป็นองค์กรไม่แสวงกำไรในสหรัฐฯ ที่ทำงานวิจัยให้ภาครัฐ ในปี 2013 ทีมของเขาเริ่มเก็บบันทึกอย่างเป็นระบบว่า กลุ่มคนร้ายในโลกจริงใช้ “วิธีการ” อะไรบ้างหลังเจาะเข้าระบบได้ แล้วเผยแพร่เป็นฐานความรู้สาธารณะชื่อ ATT&CK ย่อมาจาก Adversarial Tactics, Techniques, and Common Knowledge

ถ้า Kill Chain คือ “โครงเรื่องเจ็ดบท” ATT&CK ก็คือ “สารานุกรม” ที่ลงลึกว่าในแต่ละบท คนร้ายมีกี่วิธีให้เลือกเล่น และแต่ละวิธีเคยถูกกลุ่มไหนใช้จริง มันต่างจาก Kill Chain ตรงที่ไม่ได้บังคับว่าต้องเรียงเป็นเส้นตรง แต่เป็นตารางใหญ่ที่คนร้ายหยิบใช้ขั้นไหนก่อนก็ได้ วนกลับมาใช้ซ้ำก็ได้

ATT&CK จัดระเบียบด้วยคำสามระดับ ซ้อนกันจากกว้างไปแคบ

Tactic: เป้าหมาย (ทำไป “เพื่ออะไร”)

จุดประสงค์ของคนร้ายในช่วงหนึ่ง เช่น “อยากฝังตัวให้อยู่ยาว” (Persistence) หรือ “อยากขโมยรหัสผ่าน” (Credential Access) เป็นหัวคอลัมน์ของเมทริกซ์

Technique: วิธีการ (ทำ “อย่างไร”)

วิธีที่ใช้บรรลุเป้าหมายนั้น เช่น เพื่อฝังตัว คนร้ายอาจตั้งให้โปรแกรมทำงานตอนเปิดเครื่อง หรือสร้างบัญชีผู้ใช้ใหม่ เทคนิคแต่ละตัวมีรหัส เช่น T1566 และหลายตัวยังแตกเป็นเทคนิคย่อยอีก

Procedure: ขั้นตอนลงมือ (กลุ่มนี้ “ทำจริงแบบไหน”)

รายละเอียดว่ากลุ่มคนร้ายกลุ่มหนึ่งลงมือทำเทคนิคนั้นด้วยขั้นตอนอะไร เป็นของจริงที่สังเกตได้จากเหตุการณ์ที่เคยเกิดขึ้น

ATT&CK ปรับปรุงเวอร์ชันเรื่อย ๆ ตามพฤติกรรมคนร้ายที่เปลี่ยนไป เวอร์ชันล่าสุดในเวลาที่เขียนบทนี้คือ ATT&CK v20 (เผยแพร่ตุลาคม 2026) ซึ่งฝั่ง Enterprise มี tactic ทั้งหมด 15 หมวด จุดที่ควรรู้คือ ของพวกนี้ไม่ได้ตายตัว เช่น เวอร์ชัน 19 เพิ่งแยกหมวดเดิมที่ชื่อ Defense Evasion ออกเป็นสองหมวดใหม่ ดังนั้นถ้าไปอ่านเอกสารเก่า จำนวนและชื่อหมวดอาจไม่ตรงกับปัจจุบัน

06อ่านเมทริกซ์ ATT&CK ให้เป็น Tactics & techniques

หน้าตาของ ATT&CK คือตารางใหญ่ หัวคอลัมน์แต่ละอันคือ tactic หนึ่งหมวด เรียงคร่าว ๆ ตามลำดับที่การโจมตีมักดำเนิน ใต้คอลัมน์แต่ละอันคือรายการ technique ที่ใช้บรรลุ tactic นั้น ภาพข้างล่างย่อให้เหลือเฉพาะ tactic ทั้ง 15 หมวดฝั่ง Enterprise พร้อมตัวอย่างเทคนิคใต้บางหมวด

ประโยชน์ที่จับต้องได้ของ ATT&CK คือมันให้ “รหัสกลาง” กับทุกพฤติกรรม เวลาบริษัทความปลอดภัยเขียนรายงานการโจมตี หรือเครื่องมือตรวจจับออกกฎใหม่ เขาอ้างถึงหมายเลขเทคนิคเดียวกัน เช่น T1566 ทีมทั่วโลกจึงเทียบเคียงและแลกเปลี่ยนกันได้ทันที ไม่ต้องมานั่งเดาว่าแต่ละคนหมายถึงอย่างเดียวกันไหม

ลองวางเหตุการณ์จริงลงบนเมทริกซ์

ATT&CK ดีที่สุดเวลาเอามาวาด “เส้นทาง” ของการโจมตีครั้งหนึ่ง ภาพถัดไปวางเหตุการณ์ที่ได้รับการบันทึกไว้อย่างดี ลงบนลำดับ tactic เพื่อให้เห็นว่าคนร้ายเดินจากหมวดไหนไปหมวดไหน

07Pyramid of Pain: ตรวจจับให้คนร้ายเจ็บ The Pyramid of Pain

พอเราตรวจจับพฤติกรรมคนร้ายได้แล้ว คำถามต่อมาคือ “ควรตรวจจับที่อะไร” นักวิจัยชื่อ David Bianco ตอบคำถามนี้ไว้ในปี 2013 ด้วยภาพพีระมิดที่เรียบง่ายแต่ลึกซึ้ง ชื่อ Pyramid of Pain

แกนหลักคือ ร่องรอยของคนร้าย (เรียกรวมว่า indicators) แต่ละชนิดมีค่าไม่เท่ากัน วัดจากว่า ถ้าเราตรวจจับมันได้ คนร้ายจะเจ็บแค่ไหน ยิ่งสิ่งนั้นเปลี่ยนยากสำหรับคนร้าย การที่เราตรวจจับมันได้ก็ยิ่งทำให้เขาเจ็บ เพราะเขาต้องลงทุนเปลี่ยนวิธีทำงานใหม่ทั้งหมด

ฐานพีระมิดเปลี่ยนง่ายจนแทบไร้ค่า ค่าแฮชของไฟล์เปลี่ยนแค่บิตเดียวในไฟล์ก็กลายเป็นค่าใหม่ทั้งก้อน หมายเลข IP สลับผ่านบริการบังหน้าได้ในไม่กี่วินาที การเอาแต่ไล่บล็อก IP และแฮช จึงเหมือนตีตุ่นที่โผล่ไม่หยุด

ตรงข้ามกับยอดพีระมิด ถ้าเราตรวจจับได้ถึงระดับ พฤติกรรม เช่น จับรูปแบบว่าคนร้ายชอบขโมยรหัสผ่านด้วยวิธีหนึ่งเสมอ แล้วไต่ต่อด้วยอีกวิธีหนึ่ง คนร้ายจะต้องเปลี่ยน “วิธีทำงาน” ทั้งหมด ซึ่งแพงและใช้เวลา นี่คือเหตุผลที่ ATT&CK สำคัญ เพราะมันช่วยให้เราไล่ตรวจจับที่ระดับ TTP ตรงยอดพีระมิด ไม่ใช่แค่ไล่บล็อกร่องรอยที่ฐาน

08Diamond Model: เชื่อมจุดของเหตุการณ์ The Diamond Model

กรอบสุดท้ายมองคนละมุมกับที่ผ่านมา Kill Chain และ ATT&CK มองว่าการโจมตี “เดินอย่างไร” ส่วน Diamond Model ซึ่งเสนอโดย Sergio Caltagirone, Andrew Pendergast และ Christopher Betz ในปี 2013 มองว่าเหตุการณ์ ครั้งหนึ่ง ประกอบด้วยองค์ประกอบอะไรบ้าง และองค์ประกอบพวกนั้นโยงกันอย่างไร

ทุกเหตุการณ์มีสี่มุมหลัก วางเป็นรูปข้าวหลามตัด ผู้โจมตี (adversary) คือใครเป็นคนทำ ความสามารถ (capability) คือใช้เครื่องมือหรือเทคนิคอะไร โครงสร้างพื้นฐาน (infrastructure) คือใช้อะไรเป็นช่องทาง เช่น เซิร์ฟเวอร์ C2 หรือโดเมน และ เหยื่อ (victim) คือใครถูกโจมตี

พลังของมันอยู่ที่การ “สาวไปหามุมอื่น” เช่น ทีมเจอว่ามัลแวร์ในเครื่องหนึ่งติดต่อกับโดเมนแปลก ๆ (โครงสร้างพื้นฐาน) จากโดเมนนั้น อาจสืบต่อว่าเคยถูกกลุ่มไหนใช้ (ผู้โจมตี) แล้วพบว่าองค์กรอื่นที่ติดต่อโดเมนเดียวกัน ก็น่าจะเป็นเหยื่ออีกราย (เหยื่อ) เครื่องมือเดียวกันที่พบ (ความสามารถ) ก็ช่วยยืนยันว่าเป็นฝีมือกลุ่มเดิม Diamond Model จึงเป็นเครื่องมือของงานข่าวกรองภัยคุกคาม ที่ช่วยต่อจิ๊กซอว์จากเหตุการณ์กระจัดกระจายให้กลายเป็นภาพของ “แคมเปญ” เดียว

กรอบทั้งสามไม่ได้แข่งกัน แต่ซ้อนกันได้สวยงาม Diamond Model อธิบายองค์ประกอบของเหตุการณ์ Kill Chain บอกว่าเหตุการณ์นั้นอยู่ขั้นไหนของการโจมตี และ ATT&CK ระบุว่าใช้เทคนิคอะไร ในงานจริง นักวิเคราะห์ใช้ทั้งสามพร้อมกัน

09ทีม SOC เอาไปใช้อย่างไร How SOC teams use these

กรอบเหล่านี้ไม่ได้มีไว้ท่องสอบ แต่คือเครื่องมือทำงานประจำวันของทีมเฝ้าระบบ หรือ SOC (Security Operations Center) ที่เราจะเจอเต็ม ๆ ใน CASE-017 มาดูกันว่าเขาเอาไปใช้ตรงไหนบ้าง

1. เป็นภาษากลางเวลาสืบเหตุ

   แทนที่จะเล่าว่า “มีอีเมลแปลก แล้วก็มีไฟล์แปลก” นักวิเคราะห์พูดด้วยรหัสเทคนิค ATT&CK ที่ทุกคนเข้าใจตรงกัน รายงานจึงกระชับและส่งต่อกันได้ไม่ตกหล่น

2. หาจุดบอดด้วย “แผนที่ความครอบคลุม”

   ทีมเอาเมทริกซ์ ATT&CK มาระบายสี ว่าเทคนิคไหนเรามีวิธีตรวจจับแล้ว เทคนิคไหนยังมองไม่เห็น ช่องว่างที่เหลือคือสิ่งที่ต้องไปสร้างการตรวจจับเพิ่ม เครื่องมือที่นิยมใช้วาดแผนที่นี้ชื่อ ATT&CK Navigator

3. ไล่ล่าภัยเชิงรุก (Threat hunting)

   แทนที่จะนั่งรอแจ้งเตือน ทีมตั้งสมมุติฐานจากพฤติกรรมใน ATT&CK เช่น “ถ้ามีคนพยายามขโมยรหัสด้วยวิธีนี้ จะทิ้งร่องรอยแบบไหน” แล้วออกไปค้นหาร่องรอยนั้นในระบบเอง

4. จำลองการโจมตีเพื่อซ้อมรับมือ

   ทีมสีแดง (red team) จำลองพฤติกรรมของกลุ่มคนร้ายจริงตามเทคนิคใน ATT&CK ส่วนทีมสีน้ำเงิน (blue team) ฝั่งป้องกันก็ได้ซ้อมจับ เป็นการทดสอบว่าเกราะที่วางไว้ตัดโซ่ได้จริงไหม

5. ใช้ Pyramid of Pain จัดลำดับความสำคัญ

   เวลาต้องเลือกว่าจะทุ่มแรงไปสร้างการตรวจจับอะไรก่อน ทีมเล็งไปที่ระดับบนของพีระมิด เพราะทำแล้วคนร้ายเจ็บนานกว่าการไล่บล็อก IP ที่เปลี่ยนรายวัน

สรุปให้เห็นภาพรวม Kill Chain ช่วยเล่าเรื่อง ATT&CK ช่วยลงรายละเอียดและหาจุดบอด Pyramid of Pain ช่วยจัดลำดับว่าควรตรวจจับอะไรก่อน และ Diamond Model ช่วยต่อจิ๊กซอว์ให้เห็นผู้อยู่เบื้องหลัง ทั้งหมดนี้เปลี่ยนงานป้องกันจากการ “รับมือเป็นเหตุ ๆ” ให้กลายเป็นการ “เข้าใจคู่ต่อสู้อย่างเป็นระบบ” ซึ่งก็คือหัวใจของคำว่ารู้เขา รู้เรา นั่นเอง

10สรุปให้จำ Recap

กรอบการโจมตีคือแว่นที่ช่วยให้เรามองเหตุการณ์วุ่นวายเป็นเส้นเรื่องที่อ่านออก

• Cyber Kill Chain มองการโจมตีเป็นเจ็ดขั้นต่อกัน คนร้ายต้องผ่านครบ เราขอตัดได้ขั้นเดียวก็พอ
• ตารางทางเลือกการรับมือ (ตรวจจับ ปฏิเสธ ขัดขวาง บั่นทอน ลวง ทำลาย) ช่วยวางเกราะให้ครบทุกขั้น
• MITRE ATT&CK คือคลังพฤติกรรมจริง จัดด้วย tactic (เป้าหมาย) → technique (วิธี) → procedure (ขั้นตอนลงมือ)
• Pyramid of Pain บอกว่าตรวจจับที่ระดับพฤติกรรม (TTP) ทำให้คนร้ายเจ็บกว่าการไล่บล็อก IP และแฮช
• Diamond Model เชื่อมสี่มุม (ผู้โจมตี ความสามารถ โครงสร้างพื้นฐาน เหยื่อ) ช่วยสาวไปหาภาพรวมของแคมเปญ
• ทีม SOC ใช้กรอบเหล่านี้เป็น ภาษากลาง หาจุดบอด ไล่ล่าภัยเชิงรุก และซ้อมรับมือ

ลองทบทวนดู