ขั้นตอนนี้เป็นขั้นตอนสุดท้ายที่ควรจ

ขั้นตอนนี้เป็นขั้นตอนสุดท้ายที่ควรจะทําต่อจากขั้นตอนที่2เนื่องจากให้ผลลัพธ์ ที่ลึกซึ้งและละเอียดอ่อน กว่าการทํา Vulnerability Assessment หลักการของการทํา Pen-Test หรือ การลองเจาะระบบคล้ายกับการเจาะระบบของไวรัส หรือ แฮกเกอร์ (Ethical Simulated Hacking) ทําให้ผู้ดูแลระบบเกิดความตื่นตัวในการป้องกันระบบ ของตน เพราะผู้ตรวจสอบฯ สามารถเข้าไปถึงข้อมูลสําคัญๆ ในระบบโดยที่ผู้ตรวจสอบฯ ไม่มีUsername หรือ Password แต่อย่างใด อาศัยฝีมือในการเจาะระบบล้วนๆ เทคนิค การเจาะระบบแบ่งออกเป็นข้อย่อยดังนี้

a. Black-Box Penetration Testing

หมายถึง การเจาะระบบโดยไม่มีข้อมูลของระบบนั้นมาก่อน รู้เพียงตําแหน่งของ เป้าหมาย เช่น URL หรือ IP Address ของ Web site ทาง Penetration Tester ต้อง แสดงความสามารถในการเจาะระบบเข้ามา โดยอาจจะเป็นแบบ Double Blind Testing คือ ไม่บอกล่วงหน้าให้ทราบก่อนเจาะระบบ เพื่อตรวจสอบความพร้อมของ ผู้ดูแลระบบว่ามีการเตรียมพร้อมรับการโจมตีทุกรูปแบบทุกเวลาหรือไม่

b. White-Box Penetration Testing

หมายถึง การเจาะระบบจากภายในขององค์กร เช่น จากระบบ LAN ภายใน เป็นต้น เพื่อจําลองสถานการณ์ของไวรัส หรือ เวอร์ม ที่อาจแพร่กระจายอยู่ในองค์กร หรือ จําลองว่ามีผู้บุกรุกจากข้างในองค์กรเองก็ได้เช่นกัน การเจาะระบบแบบนี้จะให้ ผลลัพธ์ที่ชัดเจนกว่ามาก เพราะการเจาะระบบจากข้างในย่อมง่ายกว่าการเจาะระบบ จากข้างนอกระบบเครือข่าย

ในปัจจุบัน ธนาคารแห่งประเทศไทย (Bank of Thailand) ได้ประกาศให้High Risk Services ของธนาคารพาณิชย์ทุกแห่ง (เช่น Internet Banking) ต้องทํา “Penetration Testing” ก่อนให้บริการระบบแก่ผู้ใช้งานทั่วไป เพื่อพิสูจน์ระดับของความ ปลอดภัยที่ได้มาตรฐาน เช่น OWASP Web Application Security Standard เป็นต้น จะเห็นว่า ขั้นตอนในการตรวจสอบ ทั้ง 3 ขั้นตอน เป็นแนวทางที่ผู้ตรวจสอบระบบ สารสนเทศภายนอกนิยมนํามาใช้ขณะเดียวกันผู้ตรวจสอบระบบสารสนเทศภายใน ได้ มีการนํามาประยุกต์ใช้เช่นกัน กล่าวคือ การทําVulnerability Assessment นั้น สามารถ ทําได้โดยผู้ตรวจสอบระบบสารสนเทศภายใน โดยปกติแล้ว แนวทางการทํา Vulnerability Assessment ควรเปลี่ยนแนวทางเป็น Vulnerability Management โดยการหา Vulnerability Management Solution มาใช้แทนการทํา Vulnerability Assessment เพราะ Vulnerability Management สามารถตรวจสอบระบบได้ตลอด 24 ชั่วโมงแทนผู้ตรวจสอสําหรับการทํา Pen-test ภายใน แนะนําว่าให้จ้าง External IT Auditor มาทําจะดีกว่า เพราะถ้า

ผลลัพธ์ (ไทย) 1:

ขั้นตอนนี้เป็นขั้นตอนสุดท้ายที่ควรจะทําต่อจากขั้นตอนที่2เนื่องจากให้ผลลัพธ์ ที่ลึกซึ้งและละเอียดอ่อนกว่าการทําเสี่ยงประเมินหลักการของการทําปากกาทดสอบหรือการลองเจาะระบบคล้ายกับการเจาะระบบของไวรัสหรือแฮกเกอร์ (จริยธรรมจำลองแฮ็ค) ทําให้ผู้ดูแลระบบเกิดความตื่นตัวในการป้องกันระบบของตนเพราะผู้ตรวจสอบฯ สามารถเข้าไปถึงข้อมูลสําคัญ ๆ ในระบบโดยที่ผู้ตรวจสอบฯ ไม่มีUsername หรือรหัสผ่านแต่อย่างใดอาศัยฝีมือในการเจาะระบบล้วน ๆ เทคนิคการเจาะระบบแบ่งออกเป็นข้อย่อยดังนี้อ.กล่องดำบุกรุกหมายถึงการเจาะระบบโดยไม่มีข้อมูลของระบบนั้นมาก่อนรู้เพียงตําแหน่งของเป้าหมายเช่น URL หรือที่อยู่ IP นั้น ๆ เว็บไซต์ชนิดเจาะทดสอบต้องแสดงความสามารถในการเจาะระบบเข้ามาโดยอาจจะเป็นแบบตาบอดคู่ทดสอบคือไม่บอกล่วงหน้าให้ทราบก่อนเจาะระบบเพื่อตรวจสอบความพร้อมของผู้ดูแลระบบว่ามีการเตรียมพร้อมรับการโจมตีทุกรูปแบบทุกเวลาหรือไม่บีไวท์กล่องเจาะทดสอบหมายถึงการเจาะระบบจากภายในขององค์กรเช่นจากระบบ LAN ภายในเป็นต้นเพื่อจําลองสถานการณ์ของไวรัสหรือเวอร์มที่อาจแพร่กระจายอยู่ในองค์กรหรือจําลองว่ามีผู้บุกรุกจากข้างในองค์กรเองก็ได้เช่นกันการเจาะระบบแบบนี้จะให้ผลลัพธ์ที่ชัดเจนกว่ามากเพราะการเจาะระบบจากข้างในย่อมง่ายกว่าการเจาะระบบจากข้างนอกระบบเครือข่ายของธนาคารพาณิชย์ทุกแห่ง (เช่น Internet Banking) ต้องทํา "บุกรุก" ก่อนให้บริการระบบแก่ผู้ใช้งานทั่วไปเพื่อพิสูจน์ระดับของความปลอดภัยที่ได้มาตรฐานเช่น OWASP เว็บแอพลิเคชันความปลอดภัยมาตรฐานบริการความเสี่ยง ได้ประกาศให้High ธนาคารแห่งประเทศไทย (ธนาคารแห่งประเทศไทย) ในปัจจุบันเป็นต้นจะเห็นว่าขั้นตอนในการตรวจสอบทั้ง 3 ขั้นตอนเป็นแนวทางที่ผู้ตรวจสอบระบบสารสนเทศภายนอกนิยมนํามาใช้ขณะเดียวกันผู้ตรวจสอบระบบสารสนเทศภายในได้มีการนํามาประยุกต์ใช้เช่นกันกล่าวคือ การทําVulnerability ประเมินนั้นสามารถทําได้โดยผู้ตรวจสอบระบบสารสนเทศภายในโดยปกติแล้วแนวทางการทําเสี่ยงประเมินควรเปลี่ยนแนวทางเป็นโหว่จัดการโดยการหาโหว่จัดการโซลูชันมาใช้แทนการทําเสี่ยงประเมินเพราะช่องโหว่จัดการสามารถตรวจสอบระบบได้ตลอด 24 ชั่วโมงแทนผู้ตรวจสอสําหรับการทําปากกาทดสอบภายในแนะนําว่าให้จ้างภายนอกนั้นผู้ตรวจสอบบัญชีมาทําจะดีกว่าเพราะถ้า

ผลลัพธ์ (ไทย) 2:

ที่ลึกซึ้งและละเอียดอ่อนกว่าการทําการประเมินช่องโหว่หลักการของการทําปากกาทดสอบหรือ หรือแฮกเกอร์ (Hacking จริยธรรมจำลอง) ของตนเพราะผู้ตรวจสอบฯ สามารถเข้าไปถึงข้อมูลสําคัญ ๆ ในระบบโดยที่ผู้ตรวจสอบฯ ไม่มีชื่อผู้ใช้หรือรหัสผ่าน แต่อย่างใดอาศัยฝีมือในการเจาะระบบล้วนๆเทคนิค กล่องดำ Penetration Testing หมายถึง รู้เพียงตําแหน่งของเป้าหมายเช่น URL หรือที่อยู่ไอพีของเว็บไซต์ทาง Penetration Tester ต้องแสดงความสามารถในการเจาะระบบเข้ามาโดยอาจจะเป็นแบบดับเบิลตาบอดทดสอบคือไม่บอกล่วงหน้าให้ทราบก่อนเจาะระบบเพื่อตรวจสอบความ พร้อมของ กล่องสีขาว Penetration Testing หมายถึงการเจาะระบบจากภายในขององค์กรเช่นจากระบบ LAN ภายในเป็นต้นเพื่อจําลองสถานการณ์ของไวรัสหรือเวอร์มที่อาจแพร่กระจายอยู่ในองค์กรหรือ การเจาะระบบแบบนี้จะให้ผลลัพธ์ที่ชัดเจนกว่ามาก จากข้างนอกระบบเครือข่ายในปัจจุบันธนาคารแห่งประเทศไทย (ธนาคารแห่งประเทศไทย) ได้ประกาศให้บริการมีความเสี่ยงสูงของธนาคารพาณิชย์ทุกแห่ง (เช่น Internet Banking) ต้องทํา "Penetration Testing" เพื่อพิสูจน์ระดับของความปลอดภัยที่ได้มาตรฐานเช่น OWASP Web Application Security มาตรฐานเป็นต้นจะเห็นว่าขั้นตอนในการตรวจสอบทั้ง 3 ขั้นตอนเป็นแนวทางที่ผู้ตรวจสอบระบบ ได้มีการนํามาประยุกต์ใช้เช่นกันกล่าวคือการทําการประเมินช่องโหว่นั้นสามารถ โดยปกติแล้วแนวทางการทําการประเมินช่องโหว่ควรเปลี่ยนแนวทางเป็นจัดการช่องโหว่โดยการหาช่องโหว่โซลูชั่นการจัดการมาใช้แทนการทําการประเมินช่องโหว่เพราะการบริหารจัดการช่องโหว่สามารถตรวจสอบระบบได้ตลอด 24 ชั่วโมงแทนผู้ตรวจสอสําหรับการทําปากกาทดสอบ ภายในแนะนําว่าให้จ้างภายนอก IT Auditor มาทําจะดีกว่าเพราะถ้า

ผลลัพธ์ (ไทย) 3:

ขั้นตอนนี้เป็นขั้นตอนสุดท้ายที่ควรจะทําต่อจากขั้นตอนที่ 2 เนื่องจากให้ผลลัพธ์ที่ลึกซึ้งและละเอียดอ่อนกว่าการทําช่องโหว่การประเมินหลักการของการทําปากกาทดสอบค็อคการลองเจาะระบบคล้ายกับการเจาะระบบของไวรัสค็อค( จริยธรรม ) แฮ็ค ) ทําให้ผู้ดูแลระบบเกิดความตื่นตัวในการป้องกันระบบของตนเพราะผู้ตรวจสอบฯสามารถเข้าไปถึงข้อมูลสําคัญๆในระบบโดยที่ผู้ตรวจสอบฯไม่มีค็อคแต่อย่างใดอาศัยฝีมือในการเจาะระบบล้วนๆรหัสผ่านชื่อผู้ใช้การเจาะระบบแบ่งออกเป็นข้อย่อยดังนี้

A

เจาะทดสอบกล่องดำหมายถึงการเจาะระบบโดยไม่มีข้อมูลของระบบนั้นมาก่อนรู้เพียงตําแหน่งของเป้าหมายค็อคเช่น URL ที่อยู่ IP ของเว็บไซต์ทางการเจาะทดสอบต้องแสดงความสามารถในการเจาะระบบเข้ามาโดยอาจจะเป็นแบบดับเบิลตาบอดทดสอบความเพื่อตรวจสอบความพร้อมของผู้ดูแลระบบว่ามีการเตรียมพร้อมรับการโจมตีทุกรูปแบบทุกเวลาหรือไม่



กล่องสีขาวการทดสอบการเจาะพ.หมายถึงการเจาะระบบจากภายในขององค์กรเช่นจากระบบ LAN ภายในเป็นต้นเพื่อจําลองสถานการณ์ของไวรัสค็อคเวอร์มที่อาจแพร่กระจายอยู่ในองค์กรค็อคจําลองว่ามีผู้บุกรุกจากข้างในองค์กรเองก็ได้เช่นกัน