BayNewsletter_5

Page 1


EDITOR’S NOTE & QUESTIONAIRE

สวัสดีป 2009 สำหรับทานผูติดตาม Bay Newsletter หวังวาจะเปนปที่ทุกทานไดรับ ประสบการณใหมๆ ที่ดีที่ไดเพิ่มพูน ความรูความเขาใจในสิ่งที่ทานปฏิบัติและเปน ประโยชนในอนาคต สำหรับปนี้เราไดปรับปรุงรูปแบบใหมีสีสันและนาอานยิ่งขึ้น โดย ยังคงเนนเนื้อหาที่เปนประโยชนตอแนวโนมทางดานไอทีของป ทั้งนี้ เราไดแนบแบบสอบถามเกี่ยวกับ การจัดทำ Newsletter มาในโอกาสนี้ดวย หวังเปนอยางยิ่งวาจะไดรับคำแนะนำจากทาน เนือ้ หา Business Continuity Management (BCM) ในภาคตอฉบับนี้ คงชวยใหทา นไดประเมินความ พรอมขององคกรในการจัดเตรียม BCM ทีต่ รงตามมาตรฐาน ซึง่ เทคโนโลยีทรี่ องรับการจัดเตรียม BCM นั้นมีการจัดเตรียมไดหลายระบบ และเหมาะสมกับองคกรแตกตางกันไป หากทานตองการทราบขอมูล เพิ่มเติมสามารถติดตอทีมงานเพื่อรับคำปรึกษาไดโดยตรง z

2 l Bay Computing Newsletter l 5rd Issue

นิดา ตั้งวงศศิริ, ผูจัดการทั่วไป


CONTENTS & NEWS UPDATE

01 13

Anniversary Bay Computing th

Bay Computing ฉลองครบรอบ 13 ป บนเสนทางอันยาวนานและ ประสบการณที่มากกวาในธุรกิจดานไอทีดวยความมุงมั่นและตั้งใจ นำเสนอโซลูชนั ทีส่ รางสรรคเพือ่ เปนผนู ำทางดาน Security อยางแทจริง

02 เบย รวมงาน WUNCA ครัง้ ที่ 20

เบย คอมพิวติ้ง รวมงานการดำเนินกิจกรรมบนเครือขายสารสนเทศ เพือ่ การศึกษา (WUNCA) ครัง้ ที่ 20" จังหวัดหนองคาย เมือ่ วันที่ 14-17 มกราคม ทีผ่ า นมาไมนานนี้ โซลูชนั ทีเ่ รานำเสนอมงุ เนนตอบสนองความ ตองการแกสถาบันการศึกษา ไมวาจะเปน โซลูชัน IP Management, Bandwidth Mangement, Proxy หรือ Anti-Virus ซึง่ ทีมงานไดเก็บภาพ บรรยากาศของงานมาฝากทุกทาน

03 Bay Website New Look

เยี่ยมชมเว็บไซตของ เบย คอมพิวติ้ง โฉมใหมไดแลววันนี้ ที่ http://www. baycoms.com เรามีบริการทางดานไอที ซีเคียวริตี้ ทีต่ รงตามความตองการขององคกรทัง้ SME และ Enterprise ดวยทีมงานที่มีประสิทธิภาพและมี ความรูความชำนาญในทุกโซลูชันที่นำเสนอ

04 CDIC Cyber Defense Initiative Conference

หลายๆ ทานที่ไปรวมงาน CDIC ซึ่งเปนงานสัมมนาที่มุงเนนทางดาน Security คงไดมีโอกาสแวะเวียนมาเยี่ยมบูธของ เบย ในวันที่ 25-26 พฤศจิกายน ทีผ่ า นมา ซึง่ เบยไดมโี อกาสรวมนำเสนอโซลูชนั ตางๆ ทีต่ รงกับ Trend ของเทคโนโลยีในปจจุบนั ไมวา จะเปน User Authentication, Log Management, IP Management หรือ Load Balance และ Web Application สำหรับ Trend ในปนหี้ ลายๆ ทานคงไดทราบถึงความสำคัญ ของมาตรฐานตางๆ ในโลกเทคโนโลยีที่พัฒนาอยางตอเนื่อง ซึ่งองคกร ระดับใหญหรือหนวยงานราชการจะมงุ สรางมาตรฐานแกองคกรดวยการ Certified Standard ทีต่ รงตอ Business Line ของตัวเอง เชน ISO 27001, COBIT หรือ PCI DSS เปนตน ตองการทราบขอมูลหรือสนใจติดตอสอบถาม Consult Service เกีย่ วกับ มาตรฐานตางๆ ไดที่ ทีม Professional Customer Support เบย คอมพิวติง้ ไดแลววันนี้

01

03

02

04

02 EDITOR’s NOTE & QUESTIONNAIRE 03 CONTENTS & NEWS UPDATE 04 COVER STORY Business Continuity Technology ตอนที่ 2

06 IT GREEN คุณพรอมเตรียมรับกระแส ไอทีสเี ขียว (Green IT) แลวหรือยัง?

08 SOLUTION UPDATE แนวทางการปฏิบัติที่เหมาะสม สำหรับการจัดการขอมูล Log ตอนที่ 3 (ตอบจบ)

13 SOLUTION UPDATE เสริมมาตรการความปลอดภัยไอทีดวย ISO 27001:2005 ตอนที่ 3 “คำจำกัดความ” Bay Computing Newsletter l 5rd Issue l 3


COVER STORY

Business Continuity Technology ตอนที่ 2 z โดย อวิรท ุ ธ เลีย้ งศิริ Enterprise Solution Manager, Bay Computing

จากตอนทีแ่ ลวเราไดกลาวถึง Availability ในแงมุมตางๆ ไปแลว ในตอนนี้ เราจะ กลับมาดูการประยุกตใช และเทคโนโลยีทสี่ ามารถ นำมาใชเพื่อเพิ่มความมั่นคงใหกับระบบงานของ องคกรตอไป

สาเหตุของปญหา Downtime LAN/WAN Equip <1%

Client <1%

Planned Downtime 30%

Environment 5%

กระบวนการในการออกแบบ แผนการทำ Business Continuity

People 15% Hardware 10%

Application Availability and Monitoring : การ ทำ Application Availability คือการตรวจสอบ และใหบริการ Application อยางตอเนือ่ ง ในทุกๆ สถานการณ Performance Monitoring : การทำ Performance Monitoring เปนการตรวจวัดประสิทธิภาพการให บริการและทำงานของ Application และ System Data Backup and Archival : การทำสำรอง และสำเนาของขอมูล Disaster Recovery : การกขู อ มูลจากเหตุวบิ ตั ภิ ยั Data and System Rollback : การกคู นื ขอมูล และระบบกลับคืนสภาพเดิม

Software 40%

จะเห็นวา สาเหตุหลักของการเกิด Downtime สูงสุด 3 อันดับแรก คือ ปญหาของ Software 40%, การ Downtime ทีว่ างแผนลวงหนา 30% และขอผิดพลาด ทีเ่ กิดจากคน 15% เมื่อเราทราบถึงสาเหตุหลักๆ แลว เราจะสามารถ วางแผนเพือ่ ปองกันและลดปญหาลงไดระดับหนึง่ แตปญ  หาทีเ่ กิดจากปจจัยอืน่ ๆ หลายครัง้ เปนสิง่ ที่ ปองกันไมไดเชนกัน ดังนัน้ การวางแผนเตรียมพรอม จึงยังเปนสิง่ ทีจ่ ำเปน โดยเมือ่ เริม่ วางแผนเพือ่ เตรียม Business Continuity จึงควรเริม่ ดวยคำถามพืน้ ฐาน เลยคื อ “อะไรคื อ จุ ด ประสงค ห ลั ก ของการทำ Business Continuity” ซึ่งจะตอบถึงเทคโนโลยีที่ จะใช และระดับการลงทุนไดในทีส่ ดุ โดยประเภท ของการตอบโจทยนแี้ บงไดเปนหลายๆ ดาน คือ System Availability : การทำ System Availability เปนการเพิ่มเสถียรภาพใหแกระบบโดยรวม แต ไมไดเนนในระดับของ Application Data Availability : การทำ Data Availability เปนการเพิม่ เสถียรภาพใหกบั ขอมูล โดยใหสามารถ เขาถึงไดจากทุกสถานทีแ่ ละทุกสถานการณ 4 l Bay Computing Newsletter l 5rd Issue

แผนการคงความตอเนื่องของธุรกิจ (Business Continuity Plan : BCP) จะตองประกอบไปดวย สาระสำคัญอยางนอย ดังตอไปนี้ Business Continuity Planning (BCP) เกีย่ วของ กับการ Maintain การกลับไปดำเนินงาน (Resuming) และการกูคืนของธุรกิจ ไมใชเพียงการกูคืนสภาพ ของเทคโนโลยีเทานั้น กระบวนการออกแบบแผน ตองทำในระดับของ ทัว่ ทัง้ องคกร ไมใชเพียงหนาทีข่ องเทคโนโลยี หรือ ฝายบริหารเทานั้น การทำ Business Impact Analysis และ Risk Assessment อยางทะลุปรุโปรงเปนพืน้ ฐานทีส่ ำคัญ ของ BCP ที่ดี ความมีประสิทธิภาพของ BCP จะสามารถ ตรวจวัดไดจากการทดสอบ และฝกซอมเทานัน้

แผน BCP และผลการทดสอบ ควรเปนหนาทีข่ อง ผูตรวจสอบอิสระ และถูกนำเสนอเพื่อตรวจทาน โดยผูบริหารระดับสูง แผน BCP ควรถูกปรับปรุงอยางสม่ำเสมอ เพือ่ สะทอนถึงและตอบสนองตอความเปลี่ยนแปลง ภายในองคกร หรือผใู หบริการทีใ่ หบริการแกองคกร ขัน ้ ตอนการออกแบบแผน Business Continuity 1. Business Impact Analysis 2. Risk Assessment 3. Risk Management 4. Other Policies, Standards and Processes 5. Risk Monitoring

Business Impact Analysis

ขัน้ ตอนการทำ Business Impact Analysis (BIA) หรือการวิเคราะหถึงผลกระทบที่เกิดขึ้นกับธุรกิจ เปนขั้นตอนแรกในการออกแบบ BCP ซึ่งควรจะ ประกอบดวยสิง่ เหลานี้ คือ การระบุถึงความเปนไปไดของผลกระทบ ใน กรณีที่เกิดเหตุการณที่ไมสามารถควบคุมได หรือ ไมสามารถระบุลวงหนาได เกิดขึ้นกับความคงอยู ของธุรกิจและลูกคาของธุรกิจ คำนึงถึงทุกแผนก ทุกสวน และหนาทีข่ องธุรกิจ ไมเพียงแคการประมวลผลขอมูลเทานัน้ ประมาณการณถึงเวลามากที่สุด ที่ยอมใหเกิด downtime และระดับทีย่ อมรับไดของการสูญเสีย ขอมูล การปฏิบตั งิ าน และความสูญเสียทางการเงิน

Risk Assessment

Risk Assessment หรือ การประเมินความเสี่ยง เปนขั้นตอนที่ 2 ในการสรางแผน BCP โดยควร จะ ประกอบไปดวยสิง่ เหลานี้ คือ การจัดลำดับความสำคัญ (Prioritizing) ของ ความเปนไปไดทสี่ ง ผลตอการดำเนินการของธุรกิจ โดยเรียงตามลำดับความรายแรง และโอกาสทีจ่ ะ เกิดขึ้นไดของเหตุการณนั้นๆ ทำ Gap Analysis โดยเปรียบเทียบกับ BCP ป จ จุ บั น และถ า มี ควรระบุ ว า สิ่ ง ใดบ า งที่ ต อ ง


COVER STORY กำหนด Recovery Time และ Recovery Point Objective (RTO, RPO) การวิเคราะหถึงภัยคุกคาม โดยใชพื้นฐานจาก ผลกระทบทีจ่ ะเกิดกับองคกร ลูกคา และเศรษฐกิจ ภายนอก ไมใชจากลักษณะหรือคุณสมบัตขิ องภัย คุกคามนั้นๆ

Risk Management

Risk Management เปนขั้นตอนของการพัฒนา BCP ที่เขียนขึ้น และทำในระดับทั่วองคกร ซึ่ง องคกรตองทำใหแนใจวา BCP มีสิ่งตางๆ เหลานี้ เขียนขึน้ และมีรายละเอียด เพือ่ ใหบคุ ลากรใน หลายๆ กลมุ สามารถนำไปปฏิบตั แิ ละใชงานไดใน เวลาไมนานเกินไป มีการระบุอยางชัดเจนวา เหตุการณใดบางจึง ควรรีบนำแผนนี้ไปใชและปฏิบัติ มีการระบุอยางชัดเจนวา กระบวนการทีต่ อ งทำ เมือ่ เกิดเหตุขดั ของขึน้ คืออะไรบาง มี ค วามยื ด หยุ น พอเพื่ อ จะตอบสนองต อ ภั ย คุกคาม ที่ไมไดคาดการณไวลวงหนา และความ เปลี่ยนแปลงที่เกิดขึ้นภายในองคกรเอง หลังการ กำหนดแผน ทำการโฟกัสไปยังการปฏิบัติงานที่ทำใหธุรกิจ กลับมาดำเนินการตอได ในเหตุการณทสี่ ถานทีแ่ ละ สิง่ อำนวยความสะดวก (Facility) หรือ Function ของธุรกิจไมสามารถดำเนินตอไดมากกวา มีประสิทธิภาพในการลดความไมตอเนื่องของ การใหบริการ และความสูญเสียในรูปตัวเงิน

Other Policies, Standards and Processes

เปนการนำแผน BCP มาเปรียบเทียบ และคำนึงถึง ผลกระทบที่ อ าจส ง ผลต อ กฎ นโยบาย และ มาตรฐานที่ อ งค ก รจำเป น ต อ งปฏิ บั ติ ต าม เช น มาตรฐาน ISO หรือ GLBA เปนตน ซึ่งประกอบ ไปดวย System Development Life Cycles นโยบายการทำ Change Control Data Synchronization Procedures แผนการฝกอบรมบุคลากร และ แผนการสือ่ สาร ในองคกร นโยบายการรับประกัน หรือ ทำประกัน องคกรภาครัฐ, สื่อ และนโยบายในการสื่อสาร กับชุมชนขององคกร Security

Risk Monitoring

การทำ Risk Monitoring เปนกระบวนการในการ

คอยตรวจสอบประสิทธิภาพ และปรับปรุงแผน BCP โดยประกอบดวยสิ่งเหลานี้ คือ ทำการทดสอบแผน BCP อยางนอยปละ 1 ครั้ง นำสงแผน BCP ใหกับผูตรวจสอบอิสระทำการ Review หรือใหคำแนะนำ ทำการปรับปรุงแผน BCP โดยยึดถือตามการ เปลีย่ นแปลงทีเ่ กิดขึน้ กับบุคลากร และสภาพแวดลอม ทัง้ ภายในและภายนอก

เทคโนโลยีทน ี่ ย ิ มใชในการทำ Business Continuity

เราจะมาดู ใ นรายละเอี ย ดของการเลื อ กใช เทคโนโลยีเพื่อความเหมาะสม โดยสามารถสรุป อยางงายๆ ดังตารางตอไปนี้

ภาพแสดงปญหาของการใชงาน Microsoft Cluster โดยทั่วไป

อยางแนนอน ไมเกิดเหตุการณ ที่หา Tape ไมพบ หรือ Tape วางเปลา อีกตอไป เทคโนโลยี ที่ เ ป น ที่ นิ ย มใน ปจจุบัน ทั้งสภาพแวดลอมที่ ใช ระบบปฏิบัติการ Windows และระบบปฏิบตั กิ าร Unix/Linux คื อ การทำ Cluster ซึ่ ง เป น เทคโนโลยีที่มีความเหมาะสม กับการทำงานที่ตองการความ จากแผนภาพดานบน พอจะสรุปไดวา เทคโนโลยี หลักๆ ทีน่ ยิ มใชกนั ในปจจุบนั ประกอบไปดวย Backup Replication-Failover Clustering Continuous Availability โดยแตละเทคโนโลยีกม็ คี วามเหมาะสมและตนทุน ในการดูแลและจัดหาแตกตางกันไป ขึ้นอยูกับ การประเมินความตองการตามกระบวนการที่ได กลาวมาแลวขางตน การสำรองขอมูล หรือ Backup เปนวิธีการและ เทคโนโลยีทมี่ กี ารใชงานมาตอเนือ่ งยาวนาน และ ยังถือวามีความสำคัญในปจจุบนั แตกเ็ ปนวิธกี าร งายๆ ที่หลายๆ คนยังคงมองขาม การกำหนด กระบวนการขั้ น ตอนอย า งเหมาะสมเป น สิ่ ง ที่ สำคัญทีส่ ดุ เพือ่ ใหการ Backup สัมฤทธิผล รวมถึง การทดสอบกูคืนขอมูล (Restore) ขอมูลอยาง สม่ำเสมอ เปนอีกสิ่งที่พึงกระทำ เพื่อใหมั่นใจวา เมือ่ เกิดเหตุขดั ของ จะสามารถกคู นื (Restore) ได

ต อ เนื่ อ งในระดั บ หนึ่ ง เนื่ อ งจากระหว า งการ Failover จาก Node หนึ่งไปยังอีก Node หนึ่ง จะเกิดความขาดชวงกัน โดยเฉพาะความตอเนือ่ ง ในระดั บ Session และ Transaction ของ Application ที่ทำงานอยูบน Cluster ตัวอยางเชน ระบบปฏิบัติการ Microsoft Windows Cluster มีขอ เสียทีพ่ อจะสรุปเปนแผนภาพทางดานบน โดยจะเห็นวาขอเสียหลักของ Microsoft Windows Cluster คือ จำเปนตองใช Application License ถึง 2 ชุด และมีความไมตอ เนือ่ งของ Session และ Transaction ในหนวยความจำระหวาง Node เมือ่ เกิดเหตุการณ failover ขึน้ และความเสีย่ งทีเ่ กิด จากการใช Disk ที่แชรภายนอกทำใหตองเพิ่ม ตนทุนและเปนจุดทีเ่ สีย่ งตอการเปนตนเหตุใหเกิด ขอผิดพลาดได (Single Point of Failure) ในตอนตอไป เราจะมาลงรายละเอียดในสวน ของแนวโนมเทคโนโลยีของการทำ Business Continuity อืน่ ๆ และการประยุกตใชเพือ่ ใหเกิด ประโยชนสูงสุดสำหรับแตละ Application Bay Computing Newsletter l 5rd Issue l 5


IT GREEN

คุณพรอมเตรียมรับกระแส ไอทีสเี ขียว (Green IT) แลวหรือยัง? z โดย เทรนด ไมโคร

กระแสไอทีสเี ขียว กำลังเริม่ เปนทีก่ ลาวขานกันอยางมากในทุกๆ วงการทีม่ ไี อทีเปนสวนเกีย่ วของ หัวขอดังกลาวไดรบั การตอบรับอยางกวางขวางทัง้ ในมุมมองของผผู ลิตและผบู ริโภค และยัง ไดรับการตอบรับอยางดีในสังคมดวย เนื่องจากในทุกวันนี้คนสวนใหญเริ่มตื่นตัวกันมากขึ้นในเรื่อง ของการอนุรักษพลังงานและอนุรักษสิ่งแวดลอม และเริ่มมีการรณรงคเพื่อปกปองสิ่งแวดลอมที่ได รับการตอบรับเปนอยางดี ไมวา จะเปนแนวคิดพลังงานสีเขียว หรือถุงผาลดโลกรอน หันกลับมามองใน โลกไอทีของเราบาง เปนที่ทราบกันดีในหมูนักอนุรักษวา โลกไอทีกอใหเกิดมลภาวะสูง ไมวาจะเปน ในสวนของการผลิตหรือขยะไอที ที่นับวันจะมีแตเพิ่มขึ้นอยางรวดเร็ว (อันเนื่องจากอายุการใชงานที่ สั้นลง) และรวมถึงดานการใชพลังงานที่นับวาสิ้นเปลืองพอสมควร จึงเปนที่มาของ ไอทีสีเขียว ที่กำลังไดรับการกลาวขานถึงอยางกวางขวางนี่เอง

6 l Bay Computing Newsletter l 5rd Issue


IT GREEN เรามาลองดูกนั วาเราจะชวยลดภาระขององคกร และลดมลภาวะ ทีเ่ กิดขึน้ จากอุตสาหกรรมไอทีในองคกรของเราไดอยางไรบาง ในปจจุบันมีการนำเสนอแนวทางหลายทางที่สามารถนำมา ประยุกตใช ไมวาจะเปนในแงของการใชผลิตภัณฑไอทีที่ได รับเครื่องหมาย Energy Star หรือเลือกใชผลิตภัณฑที่ทำ จากวัสดุ Recycle (ทั้งหีบหอและตัวผลิตภัณฑ) แตในวันนี้ ผเู ขียนจะขอนำเสนออีกเทคโนโลยีหนึง่ ทีเ่ รียกวา Consolidation and Virtualization ทัง้ 2 เทคโนโลยีนไี้ ดมกี ารกลาวถึงมาเปนระยะเวลาหลายป แตเพิง่ จะเริม่ มีการนำมาประยุกตใชรวมกันเมือ่ ไมกปี่ ท ผี่ า นมา โดยเทคโนโลยี Consolidation นัน้ มีการแนะนำใหมกี ารรวม เซิรฟ เวอรทใี่ ชอยใู นองคกรทีม่ อี ยเู ปนจำนวนมาก (สังเกตจาก จำนวน Rack) ใหเหลือนอยลง ซึง่ จะชวยประหยัดไดทงั้ พืน้ ที,่ อุณหภูมิ (เซิรฟ เวอร 1 ตัวจะสรางความรอนประมาณ 10oC 35oC ในขณะที่ตูเย็นที่ใชตามบานทั่วไปก็สรางความรอน ประมาณ 32oC เพราะฉะนั้ น อย า แปลกใจว า ทำไมห อ ง เซิรฟเวอรถึงตองเย็นมาก) และรวมถึงสวนที่สำคัญที่สุดคือ ปริมาณการใชกระแสไฟฟา (เซิรฟ เวอร 1 ตัว จะใชกระแสไฟฟา อยทู ปี่ ระมาณ 670W ในขณะทีท่ วี ี LCD 52" ใชกระแสไฟฟา เพียง 290W เทานัน้ ) ทางผผู ลิตเซิรฟ เวอรทงั้ หลายจึงไดมกี าร แนะนำผลิตภัณฑที่เรียกวา Blade Server ออกมา ภายใต แนวคิดทีว่ า องคกรสามารถลดจำนวนเซิรฟ เวอรทใี่ ชในองคกร ใหเหลือนอยทีส่ ดุ โดยทีย่ งั ไดประสิทธิภาพการทำงานเทาเดิม โดย Blade Server นั้ น สามารถจำลองการทำงานของ เซิรฟ เวอรทวั่ ๆ ไปไดตงั้ แต 4 เซิรฟ เวอร จนถึง 32 เซิรฟ เวอร ใหทำงานไดบนตัว Blade Server แคเพียงเครือ่ งเดียวเทานัน้ นอกจากช ว ยประหยั ด พื้ น ที่ ที่ ต อ งการใช แ ล ว ยั ง ช ว ยลด ปริมาณความรอนที่เกิดขึ้น และที่สำคัญลดปริมาณการใช กระแสไฟฟาไดอยางมากอีกดวย (จาก 4 x 290W = 1,160W เหลือเพียง 950W เทานัน้ ) สวนของเทคโนโลยี Virtualization นัน้ มีในตลาดมาเปนเวลา นานแลว แตเพิง่ ไดรบั การตอบรับจากผผู ลิตซอฟตแวรมากขึน้ ในชวง 2 ปทผี่ า นมานีเ้ อง แมกระทัง่ ทางไมโครซอฟทเองก็มี เปาหมายที่จะขยายตลาดดาน Virtualization ใหมากยิ่งขึ้น การทำ Virtualization นั้น เกิดมาจากแนวคิดที่มีการวิจัย พบวา โดยปกติเซิรฟ เวอรทใี่ ชงานอยนู นั้ ทำงานในระดับปกติ อยเู พียงแค 10-20 เปอรเซ็นต ของประสิทธิภาพของทัง้ หมด และใน 1 เซิรฟ เวอรกท็ ำงานแคเพียงหนาทีเ่ ดียว โดยมีเหตุผล วาการใหเซิรฟเวอรทำงานมากกวาหนึ่งงานขึ้นไป อาจทำให ประสิทธิภาพของการทำงานลดลงและเสีย่ งตอการเกิด single point of failure อีกดวย แตปญ  หาทีส่ ำคัญทีไ่ มมกี ารแนะนำ ใหตดิ ตัง้ ซอฟตแวรหลายๆ ตัวลงบนเซิรฟ เวอรตวั เดียวก็คอื ปญหา ดานการจัดการทรัพยากรระบบ (Resource Management) ซึง่ ปญหาดังกลาวเกิดขึน้ จากตัวระบบปฏิบตั กิ ารนัน่ เอง จึงมี การนำเทคโนโลยี Virtualization มาแกปญ  หาดังกลาว โดยที่

ตั ว Virtualization Software จะเข า มาทำหน า ที่ บ ริ ห าร ทรัพยากรระบบแทน จึงทำใหเซิรฟ เวอรสามารถทำงานตางๆ ไดมากขึน้ โดยสามารถทำใหใชทรัพยากรทีม่ อี ยไู ดเพิม่ ขึน้ ถึง 80 เปอรเซ็นต และลดความตองการดานตัวอุปกรณไดถึง อัตราสวน 10:1 เลยทีเดียว

CPU

Memory

NIC

Disk

จาก 2 แนวคิดขางตน ทำใหเกิดแนวขึน้ ทีจ่ ะลดขนาดเซิรฟ เวอร ที่ ใ ช ใ นองค ก รด ว ยการทำ server consolidation and virtualization เกิดขึ้น โดยการรวมเซิรฟเวอรจำนวนมากที่มี อยลู งสรู ะบบ Blade Server และใช Virtualization ในการเพิม่ ประสิทธิผลในการทำงานใหมากทีส่ ดุ (Maximum Utilization) แนวความคิดนีเ้ ริม่ มีการพูดถึงกันมากขึน้ อยางแพรหลาย แต ยังติดปญหาในสวนของการลงทุนตัง้ ตน (Initial Cost) ซึง่ เปน จำนวนเงินที่สูงมาก แตถาเทียบกับผลลัพธที่ไดในระยะยาว ไมวา จะเปนเรือ่ งของการลดความรอน ปริมาณการใชกระแส ไฟฟา รวมถึงการดูแลรักษา และขยะที่จะเกิดขึ้นในอนาคต (เมือ่ คุณหันมาใช blade server ก็จะเหลือขยะเพียงชิน้ เดียว ในอี ก 5 ป ข า งหน า ) และขณะนี้ แนวคิ ด นี้ ก็ ไ ด ถู ก นำไป พิจารณาในหลายๆ องคกรเพื่อที่จะนำมาใชกับองคกร เพื่อ ลดจำนวนเซิรฟ เวอรทใี่ ชอยเู ปนจำนวนมากอีกดวย สนใจรับเอกสารเกี่ยวกับประโยชนในการใช Virtualization เพิ่มเติม หรือ ขอรับ Software Trail เพือ่ ทดลองใช กรุณาติดตอ

คุณมทินา สหวัฒน / Product Marketing Manager Bay Computing Co., Ltd. โทร. 0-2962-2223 ตอ 612 หรือ อีเมล : matina@baycoms.com เพื่อแจงความประสงคในการรับ InterScan Web Security Virtual Appliance (IWSVA) หรือ InterScan Mail Security Virtual Appliance (IMSVA) หรือ ทั้ง IWSVA กับ IMSVA

Bay Computing Newsletter l 5rd Issue l 7


SOLUTION UPDATE ในฉบับทีแ่ ลว เราไดทราบถึง “ความตองการทัว่ ไป” ซึง่ เปนปจจัยแรก จากทัง้ หมด 5 ปจจัยทีอ่ งคกรตอง คำนึงถึงในการสรางโครงสรางพื้นฐานของระบบการจัดการ Log ดังนั้น ในฉบับนี้เราจะมาทำความเขาใจกับ 4 ปจจัยที่ เหลือกันตอ

II. การตรวจจับและการสราง Log (Log Generation and capture)

1. จัดเตรียมใหมก ี ารรวบรวมขอมูล จากแหลงตางๆ จากการที่ อ งค ก รส ว นใหญ มั ก จะมี ร ะบบต า งๆ ที่ มี ค วาม หลากหลายแตกตางกันออกไป ดังนั้น โครงสรางพื้นฐาน ของ Log Management จึงควรรองรับการเก็บรวบรวมขอมูล (collection) จากระบบรักษาความปลอดภัย ระบบปฏิบตั กิ าร และแอพพลิเคชันทุกๆ ชนิดทีอ่ งคกรใชอยู แตมนั ไมเสมอไป ที่จะรองรับอุปกรณหรือแอพพลิเคชันไดทุกชนิด เทคโนโลยี SIEM (Security Information and Event Management) จึง ควรจัดเตรียมไวเปนหนทางสะดวกในการเพิ่มการสนับสนุน อุปกรณรนุ เกา (legacy) และแอพพลิเคชันทีอ่ งคกรพัฒนาขึน้ เฉพาะของแตละองคกรดวย

2. รองรับการเก็บรวบรวมขอมูล ปริมาณมากๆ ได สำหรับเทคโนโลยี SIEM นัน้ ความสามารถในการประมวลผล ขอมูล Log จะถูกจัดระดับ (rate) โดยจำนวนของเหตุการณ (event) ที่สามารถประมวลผลไดภายในเวลาที่กำหนด ซึ่ง ปกติเราวัดกันโดยมีหนวยเปน EPS (Events Per Second) สำหรับแพลตฟอรมของ Log Management ทีด่ นี นั้ ควรจะ สามารถจัดการไดดที งั้ กับปริมาณงานปกติ (typical volume) และปริมาณงานหนาแนนสูงสุด (peak volume) ไมวา Log นั้นๆ จะมาจากแหลงใดก็ตาม ความสามารถดังกลาวยัง รวมไปถึงความสามารถในการรองรับสถานการณตา งๆ ทัง้ ที่ ตั้งใจใหเกิดขึ้นและไมไดตั้งใจใหเกิดขึ้นดวย เชน การแพร กระจายของมั ล แวร การสแกนหาช อ งโหว ต า งๆ การทำ Penetration Test ที่อาจจะเปนสาเหตุใหเกิดการสราง Log เปนจำนวนมากภายในชวงเวลาสั้นๆ 3. รวบรวมขอมูลไดอยางถูกตอง เทคโนโลยี SIEM ไดรบั การออกแบบมาโดยตัง้ อยบู นพืน้ ฐาน ของระบบฐานขอมูลเชิงสัมพันธ (relational database system หรือ RDBS) ซึง่ จะวิเคราะหแจงสวนขอความ Log เพือ่ ทีจ่ ะ

แนวทางการปฏิบต ั ท ิ เี่ หมาะสม สำหรับการจัดการขอมูล Log ตอนที่ 3

“Infrastructure Requirements” z โดย ภูรท ิ ตั ทองปรีชา

ใสขอมูลลงในคอลัมนตามโครงสรางที่กำหนด ดวยวิธีการนี้ เปนไปไดวา ขอมูลจะถูกเขียนลงไปในฐานขอมูลอยางไมถกู ตอง หรืออาจถึงขัน้ ขอมูลสูญหายไปเลยก็ได นัน่ เปนเพราะขอความ Log จากระบบและอุปกรณจำนวนมากทัว่ ทัง้ องคกรมีรปู แบบ ฟอรแมตที่ไมเหมือนกัน และมักไมถูกตองตรงกับรูปแบบ โครงสรางของ RDBS ตัวอยางเชน ไฟรวอลลทถี่ กู อัพเกรด อาจมีฟอรแมตของขอความ Log ของไฟรวอลลเปลีย่ นไป ทำใหระบบ RDBS ทีเ่ คยออกแบบ ไวในแพลตฟอรม SIEM จัดการกับฟอรแมตแบบใหมไดยาก และ อาจเกิดความสับสนหรือตกหลนบางขอมูลได และหากขอความ Log แบบใหมมขี อ มูลแตกตางจากเวอรชนั กอนหนา ก็เทากับวา ขอมูลที่ถูกรวบรวมมานั้น แทนที่จะถูกเขียนลงในคอลัมน A เหมือนเวอรชนั กอนหนา ก็อาจถูกนำไปเขียนลงในคอลัมน B ได เปนตน นอกจากนีห้ ากขอความ Log แบบใหมมขี อ มูลเพิม่ ขึน้ จากทีเ่ คยมีในเวอรชนั กอนหนา ก็จะทำใหคอลัมนไมสอดคลอง กันและขอมูลอาจจะถูกตัดทิง้ ไปดวย 8 l Bay Computing Newsletter l 5rd Issue


SOLUTION UPDATE

อีกปจจัยทีค่ วรระลึกถึงในการเก็บรวบรวมขอมูลใหถกู ตองคือ วิธที เี่ ทคโนโลยี SIEM ใชจดั การกับ การพุช (pushing) ของ ขอความจากอุปกรณตางประเภท โดยอุปกรณที่เปนยูนิกซ จำนวนมากจะใชโพรโตคอล UDP (User Datagram Protocol) เพือ่ สงขอความทีร่ วมถึงขอมูล Log ดวย โดยเทคโนโลยี UDP push ผสู ง จะไมตรวจสอบวาขอความสงถึงปลายทางหรือไม จึงไมมกี ารแจงกลับหากสงไมได ดวยเหตุนี้ เทคโนโลยี SIEM ตองรวบรวมใหถูกตองและจับทุกขอความ UDP แมแตชวงที่ มีปริมาณการสงสูงสุด ไมอยางนัน้ ขอความดังกลาวจะหายไป แบบถาวร

III. การเก็บขอมูล Log และอุปกรณ จัดเก็บ (Log retention and storage)

1. สนับสนุนกลยุทธ ILM (Information Lifecycle Management) ดวยวิธีการ ทีข่ อ  มูลจะถูกจัดเก็บในสตอเรจทีแ่ บงระดับชัน ้ ตามความตองการใชงานของขอมูล โครงสรางพืน้ ฐานสำหรับ Log Management ควรครอบคลุม ถึงระบบจัดเก็บขอมูลที่แบงเปนระดับชั้นเอาไวดวย เพื่อให องคกรสามารถจัดการใชงานระบบสตอเรจไดทงั้ แบบ On-line, Off-line, Near-line และแบบ Off-line ซึง่ นอกจากจะเปนการ ใชสอื่ บันทึกขอมูลไดอยางถูกตอง คมุ คา และไดประสิทธิภาพ สูงสุดแลว ยังจะชวยใหเกิดระดับของการเขาถึงขอมูลทีแ่ ตกตาง กันไดอกี ดวย ตัวอยางเชน On-line Storage : ขอมูลจะถูกเก็บอยใู นระบบสตอเรจแบบ เน็ตเวิรก (Networked Storage Systems) ทีม่ ปี ระสิทธิภาพ สูง มีระยะเวลาการเขาถึงขอมูล (Access times) เพียงไมกี่ เสีย้ ววินาทีเทานัน้ ทัง้ นีเ้ พือ่ ใหผใู ชทมี่ อี ยจู ำนวนมากสามารถ เขาถึงขอมูลไดตลอดเวลา Near-line Storage : ขอมูลจะถูกเก็บอยูในระบบสตอเรจ ยอย (Storage subsystem) ที่มีระยะเวลาการเขาถึงขอมูล ในระดับวินาที สำหรับความตองการเขาถึงขอมูลทีไ่ มบอ ยนัก ของผู ใ ช ง านจำนวนไม ม ากที่ มี ห น า ที่ เ ข า ใช ง านในส ว นนี้ (dedicated users) และนานๆ ครัง้ ถึงจะเขามาใชงาน

Off-line Storage : ขอมูลจะถูกเก็บเอาไวในดิสกและเทป ทีถ่ กู เก็บเอาไวในหองเก็บขอมูล (data library) ซึง่ คอมพิวเตอร ใดๆ จะไมสามารถเขาถึงขอมูลในสวนนี้ได จนกวาจะมีการ เชือ่ มตอ (mount) ใหสามารถใชงานไดเสียกอน สำหรับระยะเวลาในการเก็บขอมูลทีเ่ ปน Production, Back-up และ Archive นั้น จะขึ้นอยูกับนโยบายของแตละองคกรที่ จะแตกตางกันออกไป อยางไรก็ตาม คำแนะนำตาม RSA Recommended Best Practices ไดระบุเอาไววา ระยะเวลา ในการเก็บสำรองขอมูลทีเ่ หมาะสมสำหรับ Production Data ก็คอื ไมควรนอยกวา 1 ปบวกกับอีก 1 ไตรมาส หรือเทากับ 15 เดือนนัน่ เอง ซึง่ ระยะเวลาในการออนไลนเอาไว 15 เดือน นี้จะชวยทำใหแนใจไดวา การใชประโยชนจากขอมูลจะยัง คงสมบูรณและสามารถเขาถึงไดอยตู ลอดรอบการตรวจสอบ (Audit Cycle) ทั้งจากภายในและภายนอกองคกร RSA Recommended Best Practices ไดแนะนำเอาไวดว ย วา สำหรับ Back-up Data นั้นควรจะเก็บอยูใน Near-line Storage ในระยะเวลาเทาๆ กับ Production Data ทัง้ นีเ้ พือ่ ใหแนใจวา Back-up Data จะสามารถพรอมใชงานไดทันที หาก Production Data เกิดความเสียหายหรือไมสามารถ ใชงานได ซึง่ จุดประสงคเดียวของการแบ็กอัพขอมูล Log คือ ตองสามารถกคู นื ขอมูลไดเมือ่ ตองการ 2. ใชกลยุทธการบริหารจัดการตามชวงอายุ ตัง้ แตเกิดจนตาย กับขอมูล Log โครงสรางพื้นฐานควรจะสนับสนุนการบริหารจัดการขอมูล Log ตลอดชวงอายุการใชงาน นั่นหมายถึง มีการบังคับใช นโยบายการเก็บขอมูลขององคกรอยางอัตโนมัติ ตัวอยางเชน มันควรงายในการกำหนดใหแพลตฟอรม SIEM สามารถเก็บ ขอมูล Log แตละประเภทเอาไวโดยมีระยะเวลาในการเก็บที่ แตกตางกันออกไป รวมทัง้ การอนุญาตใหเลือกจัดเก็บขอมูล Log จากแอพพลิเคชันที่แตกตางกันในชวงเวลาตางกันได แพลตฟอรมดังกลาวควรยอมใหผดู แู ลระบบสามารถโยกยาย Log จากสตอเรจระดับหนึง่ ไปยังสตอเรจอีกระดับหนึง่ ได เชน ยายจากสตอเรจแบบ On-line ไปสตอเรจแบบ Near-line และ สามารถลบขอมูล Log ที่ตรงกับเงื่อนไขได สวนการขยาย Bay Computing Newsletter l 5rd Issue l 9


SOLUTION UPDATE ระยะเวลาการจัดเก็บจากเดือนเปนปตอ งมีการจัดการทีง่ า ยไม ยงุ ยาก 3. สามารถคนหาขอมูลไดอยางรวดเร็ว ไมวา จะ เก็บอยท ู ไี่ หน (On-line, Near-line, Off-line) โครงสรางพื้นฐานของ Log Management ควรจะสามารถ เติบโตเพือ่ รองรับขอมูล Log ปริมาณมากๆ ในวันขางหนาได พรอมกับตองมีเครือ่ งมือคนหาและเรียกดูขอ มูล Log ไดอยาง รวดเร็ว ซึง่ จะทำใหขอ มูลดังกลาวมีประโยชนอยางมาก และ ผใู ชงานของระบบไดผลิตผลมากขึน้ การเรียกดูขอ มูล Log ทีจ่ ดั เก็บไวไดอยางรวดเร็ว ถูกทำใหงา ย ขึ้นได ดวยโครงสรางพื้นฐานที่มีลักษณะดังตอไปนี้ เก็บขอมูล Log แบบ On-line และ Near-line : เพราะ การเรี ย กข อ มู ล Log จากสื่ อ สตอเรจบางชนิ ด อาจช า ได ตัวอยางเชน การโหลด archived log จากเทปแทนการเรียก โดยตรงจากไฟล On-line log จัดการขอมูลจากสวนกลาง : ดวยวิธกี ารเขาถึงสตอเรจ แบบไซโล การเรียกดูขอ มูลจะถูกทำใหชา เพราะขอมูลทัง้ หมด ไมสามารถคนหาไดภายในครัง้ เดียว ตองคนหาทามกลางขอมูล Log ทีถ่ กู จัดเก็บกระจายอยใู นระบบสตอเรจทีห่ ลากหลาย อยาใชฐานขอมูลเชิงสัมพันธ (Relational Database) : เพราะฐานข อ มู ล เชิ ง สั ม พั น ธ จ ะค น หาข อ มู ล ที่ ใ หญ ข นาด เพตะไบตไดชา มาก เนือ่ งจากตองรวม (merge) องคประกอบ ตางๆ ของขอมูลที่หลากหลายเขาไวดวยกันในแถว (rows) หรือตาราง (tables) ทำใหระบบไมสามารถเขาถึงองคประกอบ ตางๆ ของขอมูลได จัดเตรียมสตอเรจแบบระดับชั้น : การโยกยายขอมูลที่ มีการใชงานไมบอ ยนักออกจากระบบสตอเรจหลัก ทำใหงา ย สำหรับผูใชในการคนหาขอมูลที่ตองการไดเร็วขึ้น

10 l Bay Computing Newsletter l 5rd Issue

4. มีระบบจัดการทีด ่ เี มือ ่ เลิกใชขอ  มูลแลว เมือ่ ขอมูล Log ไมมคี วามจำเปนตองใชอกี ตอไป แพลตฟอรม ที่ดีควรมีระบบที่งายและเชื่อถือไดในการจัดการกับขอมูล ดังกลาว องคกรควรสามารถตัง้ คำสัง่ ยายขอมูล Log ทัง้ หมด ที่เขามากอนหนาวันและเวลาที่กำหนดไปไวที่อื่น แตการลบ ขอมูลแบบถาวรเปนการลบทีไ่ มเหมาะสม เพราะไฟลทถี่ กู ลบ อาจจำเปนตองถูกกูคืนหรือสรางใหมเพื่อใชงานในกรณีที่มี การฟองรอง

IV. การวิเคราะห Log (Log Analysis)

1. มองเห็นภาพรวมของทั้งองคกร โครงสรางพื้นฐานของระบบควรมีอินเทอรเฟซแบบกราฟก (Graphical User Interface : GUI) ทีช่ ว ยใหสามารถตรวจสอบ และวิเคราะหขอมูล Log ทั้งหมดที่รวบรวมมาจากระบบ อุปกรณ และแอพพลิเคชันตางๆ ที่กระจายอยูทั่วเครือขาย ขององคกรได ดวยการมองเห็นภาพรวมของขอมูล Log นีจ้ ะ ทำใหองคกรเห็นภาพสถานะดานความปลอดภัยเกี่ยวกับ ทาทีและการรวมมือขององคกรได นอกจากนีเ้ หตุการณตา งๆ ที่เกิดขึ้นทั้งในอดีตและที่กำลังเกิดขึ้นในปจจุบันก็ควรถูกนำ มาแสดงดวย 2. ตรวจจับเหตุการณผิดปกติแบบอาศัยความ สัมพันธทขี่ อ  มูลมีตอ  กัน องคกรตองมีความพรอมในการระบุถึงเหตุการณตางๆ ที่มี ความสำคัญได เชน เหตุการณทเี่ กิดขณะนัน้ หรือปญหาใน การดำเนินการดานตางๆ ที่จำเปนตองมีการตอบสนองหรือ แกไขในลักษณะใดลักษณะหนึง่ เปนตน การตรวจสอบแตละ Log ทีเ่ ขามาอยางอิสระตอกันเปนเรือ่ งทีย่ งุ ยาก สูญเปลา และ ทำใหระบบที่ใชอยูแทบไมมีประโยชนอันใดเลย เพราะการ โจมตีมักจะเกี่ยวของกับทรัพยสินหลายๆ ชิ้นหรือหลายๆ เหตุการณ ถาคุณเพียงเฝาดูแตละอุปกรณหรือวิเคราะห เหตุการณที่เกิดขึ้นแยกกัน กิจกรรมเดี่ยวๆ ที่เกิดขึ้นอาจดู เหมือนไมไดเปนภัยคุกคามทั้งที่กิจกรรมนั้นเปนภัยคุกคาม นัน่ เพราะกิจกรรมนัน้ สัมพันธกบั กิจกรรมอืน่ ๆ ทีก่ ำลังเกิดขึน้


SOLUTION UPDATE ในเวลาเดี ย วกั น สำหรั บ ป ญ หาอื่ น ๆ จะเกี่ ย วกั บ การที่ มี เหตุการณจำนวนมากถูกตรวจพบจากหลากหลายอุปกรณ เพราะเปนการยากที่จะแยกแยะเหตุการณที่สำคัญออกจาก เหตุการณปกตินั่นเอง ดังนัน้ เพือ่ แยกแยะเหตุการณทไี่ มเกีย่ วของออกไปและสามารถ ระบุเหตุการณทมี่ คี วามสำคัญจริงๆ ได โครงสรางพืน้ ฐานของ Log Management จะตองมีความสามารถในการดำเนินการ เกีย่ วกับความสัมพันธของเหตุการณ (Event Correlation) ได ไมวา จะเปนการคนหารูปแบบของเหตุการณ หรือการมองหา ความสัมพันธระหวางขอมูล Log ที่เขามาตั้งแต 2 รายการ ขึน้ ไป ซึง่ โครงสรางดังกลาวจะเปนประโยชนอยางยิง่ ในการชวย ลดความผิดพลาดในลักษณะ false positive (ความผิดพลาด ทีร่ ะบบพิจารณาใหเปนเหตุการณทสี่ ำคัญทัง้ ทีใ่ นความเปนจริง ไมใช) ลงได ปกติความสัมพันธของเหตุการณสว นใหญจะเปนความสัมพันธ ตามกฎที่ Log ตางๆ ที่ไดจากแหลงเดียวหรือหลายแหลง สัมพันธกบั คุณคาของ Log เชน เวลาบันทึก (time stamp), หมายเลขไอพีแอดเดรส และประเภทของเหตุการณ ความ สัมพันธของเหตุการณสามารถแสดงในลักษณะอื่นไดดวย เชน การใชวิธีการทางสถิติหรือเครื่องมือที่ชวยใหมองเห็น (virtualization tools) 3. สรางระบบการเตือนภัยทีค่ รอบคลุมทุกประเภท ของการโจมตีและการฝาฝน ระบบเตือนภัยควรถูกสรางขึ้นเพื่อชี้วาเหตุการณใดหรือชุด ของเหตุการณใดจำเปนตองไดรบั การตรวจสอบ และตองไมใช แคเพียงแจงเตือนเมื่อเกิดการโจมตีที่เห็นแจมแจง แตตอง แจงเตือนเหตุลักลอบตางๆ ที่เกิดขึ้นบนเครือขายไดทุกที่ทุก เวลา ซึง่ สวนใหญผโู จมตีทชี่ ่ำชองจะไมแฮกเขาไปในเครือขาย ขององคกรทัง้ หมดในครัง้ เดียว แตจะโจมตีอยางชาๆ ทีเ่ รียกวา “Low and Slow attack” โดยการทดลองเจาะพอรตทีไ่ มคอ ย ไดใช แลวเวนชวงเปนวันหรือสัปดาหแลวคอยทดลองเจาะ ใหม จนกระทั่งหาชองโหวพบ โครงสรางพื้นฐานควรจะสามารถเตือนองคกรใหรูถึงความ เปนไปไดในการบุกรุกตั้งแตขณะที่เกิดเหตุการณเลยทีเดียว ไมวาเหตุการณนั้นๆ จะเปนเหตุการณที่เปนภัยตอนโยบาย ดานความปลอดภัยขององคกร หรือเปนภัยตอขอกำหนดดาน กฎหมายหรือมาตรฐานตางๆ ที่มีการกำหนดเอาไวก็ตาม ระบบการเตือนภัยควรจัดเตรียมวิธีที่มีประสิทธิภาพในการ ลำดับความสำคัญของเหตุการณที่เปนการละเมิดหรือการ บุกรุกใดๆ ทีจ่ ะเกิดขึน้ ได อยางไรก็ตาม ถาระบบการเตือนภัย ของคุณแจงเตือนเหตุการณตางๆ จนมากเกินความจำเปน แลว มันก็อาจจะทำใหผูดูแลระบบหมดความสนใจในสิ่งที่ ระบบเตือนก็เปนได

4. จัดเตรียมระบบพืน ้ ฐานอัตโนมัติ แพลตฟอรมที่ดีควรจะมีความสามารถในการเรียนรูลักษณะ การดำเนินการตามปกติขององคกรได และยกระดับการ เตือนภัยไดหากคาตัวแปรปกติถูกฝาฝน คุณสมบัติดังกลาว ถือวามีประโยชนอยางมากในการปองการโจมตีแบบ Zero-day Attack ซึ่งเปนการโจมตีที่ยังไมมีใครทราบแนวทางในการ ตรวจจับและแกปญหาที่ถูกวิธี 5. จัดเตรียมรายงานใหอต ั โนมัตแิ ละปรับเปลีย ่ นได การรายงานเปนการสรุปกิจกรรมสำคัญๆ ที่เกิดในชวงเวลา ต า งๆ ซึ่ ง จะมี ก ารบั น ทึ ก ข อ มู ล ที่ มี ร ายละเอี ย ดเกี่ ย วกั บ เหตุการณทผี่ ดิ ปกติสำหรับการวิเคราะห (forensic analysis) หรือการประเมินในเชิงที่เปนหลักฐานในการดำเนินการทาง กฎหมายได และแนนอนวาแพลตฟอรมที่ดีควรจะสามารถ รับมือกับความตองการการใชประโยชนจากรายงานทั้งใน ระยะสัน้ และระยะยาวไดดพี อๆ กันดวย การทำใหการสรางรายงานเปนเรือ่ งทีง่ า ยขึน้ นัน้ แพลตฟอรม ที่ดีควรจะจัดเตรียมรายงานชนิดตางๆ เอาไวใหผูใชงานได เลือกใชอยางหลากหลายพอสมควร และควรจะมีเครื่องมือ ในการสรางรายงานที่สามารถปรับแตงไดตามความตองการ (custom report) ของผใู ชงานแตละคนดวย แนนอนวาองคกร แตละแหงนั้นยอมจะมีความตองการที่ไมเหมือนกัน ดังนั้น ที ม งานที่ ดำเนิ น การด า นความปลอดภั ย และปฎิ บั ติ ต าม ขอกำหนดตางๆ นั้น ควรจะสามารถสรางรายงานที่ดีและมี ความหมายตอองคกรของตัวเองไดดวย 6. สนับสนุนการบริหารจัดการเหตุการณ ความสามารถทีจ่ ะตองพิจารณาสำหรับเทคโนโลยี SIEM นัน้ รวมไปถึงความสามารถในการลำดับความสำคัญดวย นั่น หมายถึงเหตุการณตา งๆ ทีเ่ กิดขึน้ จะถูกเรียงลำดับและจัดกลมุ แยกแยะประเภท ซึง่ จะทำใหการทำงานเปนเรือ่ งทีง่ า ยขึน้ Bay Computing Newsletter l 5rd Issue l 11


SOLUTION UPDATE และยังคงความถูกตองของขอมูลไดตลอดวัฏจักร ตั้งแตถูก สรางขึน้ จนกระทัง่ ถึงเวลาทีเ่ ลิกใช โดยทัว่ ไปแลว ขอมูล Log จะตองมีความสมบูรณ (integrity) และจะตองมีความนาเชือ่ ถือพอ เพือ่ ใหแนใจวาองคกรสามารถ มองเห็นภาพของกิจกรรมตางๆ ทีเ่ กีย่ วของกับสภาพแวดลอม ดานไอทีไดอยางถูกตองชัดเจน เพือ่ ใหสามารถตรวจสอบและ ประเมินพฤติกรรมของพนักงานไดอยางถูกตองและตรงกับ ความเปนจริงไดนนั่ เอง หาไมแลวขอมูลนัน้ ก็จะไมมคี า อันใดเลย 2. ควบคุมการเขาถึงขอมูล โครงสรางพืน้ ฐานทีด่ คี วรมีระบบการกำหนดสิทธิ (Authorized Assignment) ที่มีประสิทธิภาพ เพื่อปองกันมิใหผูใชงาน สามารถเขาถึงขอมูลทีพ่ วกเขาไมมสี ทิ ธิจะเขาถึงไดดว ย เรือ่ ง ดังกลาวถือเปนเรือ่ งสำคัญสูงสุดอีกประการหนึง่ สำหรับ Log Management ดวยเหมือนกัน ปจจัยสำคัญอีกประการหนึ่งที่จะสงผลกระทบตอการบริหาร จัดการกับเหตุการณทเี่ กิดขึน้ คือ การมีระบบ Vulnerability and Asset Management (VAM) ดวยการผนวกขอมูลเกี่ยวกับ องคกรและจุดออนทีม่ เี ขาดวยกันนัน้ ทำใหแพลตฟอรม SIEM สามารถชวยลดตนทุนตางๆ ในการจัดการกับเหตุการณทเี่ กิด ขึน้ ได ระบบ VAM สามารถปรับปรุงการตรวจจับความผิดพลาด ในลักษณะ false positive ลงได และชวยใหการตัดสินใจ กระทำการใดๆ ตอเหตุการณนนั้ ๆ มีการคำนึงถึงสถานะของ ทรัพยสนิ ขององคกรกอนทีจ่ ะทำการตัดสินใจดวยเสมอ 7. มีการกลัน ่ กรองขอมูล โครงสรางพืน้ ฐานควรจะสามารถทำใหแนใจไดวา นักวิเคราะห สามารถหาขอมูลทีพ่ วกเขาตองการไดอยางรวดเร็ว และขอมูล ที่ไดมีความนาเชื่อถือพอดวย พวกเขาควรจะสามารถคนหา ขอมูล Log ทั้งหมดไดดวยการใชคุณสมบัติการเขาถึง ที่ สามารถกำหนดได (definable attribute) และสิง่ ทีส่ ำคัญอีก ประการหนึ่งก็คือ การกลั่นกรองเหตุการณดวย “บัญชีจับ ตามอง” (watchlist) ที่จะสามารถตรวจสอบการดำเนินการ ใดๆ ของผใู ชงานทีอ่ ยใู นระบบ (specific user action) หรือ ภัยคุกคามตางๆ ทีก่ ำหนดเอาไว (security threat) หรือการ โจมตีจากแหลงทีม่ งุ ราย (malicious address) หรือการโจมตี ใดๆ ทีจ่ ะมีผลตอพอรตใดๆ (specific port) ในระบบของเราดวย

V. การปกปองและการรักษาความ ปลอดภัยของ Log (Log Security and Protection)

1. ปกปองบรูณาการของขอมูลตลอดวัฎจักร การใชงาน โครงสรางพืน้ ฐานทีด่ คี วรจะทำใหแนใจวาขอมูลจะถูกปกปอง จากการเปลีย่ นแปลงแกไขทีไ่ มมสี ทิ ธิ (unauthorized alteration)

12 l Bay Computing Newsletter l 5rd Issue

3. ดูแลรักษาระบบอยางตอเนือ ่ ง แพลตฟอรมสำหรับ Log Management ทีด่ คี วรจจะสามารถ ทำใหแนใจไดวา จะไมมีการสะดุดในภารกิจการเก็บขอมูล Log ซึง่ ในเรือ่ งนี้ องคกรควรจะมีการดูแลรักษาและอัพเกรด ระบบอยางสม่ำเสมอ เพือ่ ใหระบบทีอ่ อกแบบมาอยางดีแลว สามารถทำงานไดอยางตอเนื่องตลอดไปนั่นเอง

บทสรุป

ในสภาพแวดลอมทีเ่ ต็มไปดวยภัยคุกคามทัง้ จากภายในและ ภายนอกองคกร อีกทั้งเต็มไปดวยขอกำหนดตางๆ ที่จะตอง ปฏิบัติตามกฎหมายอยางเชนทุกวันนี้ ความจำเปนในการ พัฒนาแนวทางปฏิบัติที่เหมาะสม (Best Practice) สำหรับ Log Management นัน้ ก็จะยังคงเปนหัวขอทีม่ คี วามสำคัญ มากขึ้นเรื่อยๆ ตอไป และในการจัดเตรียมความตองการ สำหรับโครงสรางพื้นฐานที่มีประสิทธิภาพนั้น บทความชิ้นนี้ นาจะชวยใหองคกรตางๆ สามารถตระหนักและเห็นถึงความ สำคัญในการปฏิบัติตามขั้นตอนที่ถูกตองได และจะตอง สามารถสรางกลยุทธดา นเทคโนโลยีทจี่ ะเปนการวางรากฐาน ที่ดีแกการบริหารจัดการความเสี่ยงจากเหตุการณไมคาดฝน และภัยคุกคามที่จะเกิดขึ้นในอนาคตไดดวย เบย คอมพิวติง้ ผเู ชีย่ วชาญใน Solution Log Management เรายึดหลักแนวทางปฏิบัติที่เหมาะสม เพื่อใหเกิดประโยชน สูงสุดจากการจัดเก็บขอมูลอยางเต็มที่ (Best Practice) ขอมูล จราจรทางคอมพิวเตอรทที่ า นมีอยอู าจเพิม่ มูลคามหาศาลให แก อ งค ก รของท า น สามารถช ว ยองค ก รลดต น ทุ น หาก จัดเก็บอยางมีประสิทธิภาพและมีการนำไปวิเคราะหใหเกิด ประโยชน สนใจปรึกษาทีมงานเพื่อสอบถามขอมูลเกี่ยวกับ Best Practice ไดที่ หมายเลข 0-2962-2223


SOLUTION UPDATE

เสริมมาตรการความปลอดภัยไอทีดวย ISO 27001:2005 ตอนที่ 3

“คำจำกัดความ”

z โดย ภัคณัฏฐ โพธิท ์ องบวรภัค, Senior Network and Security Engineer, บริษทั เบย คอมพิวติง้ จำกัด

กลับมาพบกันอีกครัง้ นะครับ สำหรับเรือ่ ง ISO 27001:2005 มาตรฐานเกี่ยวกับ ระบบบริหารความมัน่ คงปลอดภัยของสารสนเทศ ในฉบับนีจ้ ะพูดถึงคำจำกัดความทีม่ กั พบบอยๆ ตอ จากตอนที่แลว เพื่อชวยใหเราศึกษามาตรฐาน ISO 27001:2005 ไดอยางเขาใจมากขึน้ Information Security Event : เปนเหตุการณ ที่บงบอกวาความปลอดภัยในระบบ บริการ หรือ ระบบเครือขายมีชองโหว หรือมีการละเมิดการ ปฏิ บั ติ ต ามนโยบาย หรื อ ระบบป อ งกั น ความ ปลอดภัยไมทำงานตามปกติ Information Security Incident : เปนเหตุการณ ที่เกิดขึ้นจากระบบ บริการ หรือระบบเครือขายมี ชองโหว ซึ่งทำใหขอมูลขององคกรหรือบริษัทไมมี ความปลอดภัย หรือทำใหการดำเนินธุรกิจของ องคกรมีปญหา Information Security Management System (ISMS) : เปนสวนหนึ่งในแผนการบริหารองคกร หรือบริษทั ประกอบดวย นโยบายตางๆ ขัน้ ตอนการ ดำเนินการ การวางแผน แนวทางปฏิบตั ิ การปฏิบตั ิ อยางตอเนือ่ ง กฎเกณฑ ความรับผิดชอบในหนาที่ ทรัพยากร และโครงสราง ที่ใชในการปองกันและ คมุ ครองขอมูล และยังรวมถึงสวนประกอบตางๆ ที่ องคกรใชในการจัดการและควบคุมความเสี่ยง

Information Security Policy : เปนนโยบายดาน ความมั่นคงปลอดภัยขอมูลที่มีการประกาศจาก ผูบริหารขององคกรหรือบริษัท เพื่อใหพนักงาน รั บ ทราบในเรื่ อ งการรั ก ษาความปลอดภั ย ของ ขอมูล และใชในการดำเนินการดูแลระบบและ ปรับปรุงระบบ ISMS Integrity : การคมุ ครองความถูกตองของขอมูล มีความหมายวา การปองกันความถูกตองและ ครบถวนของขอมูลและขั้นตอนในการดำเนินการ และจัดการ Management Review : มีวัตถุประสงคเพื่อ ประเมินผลภาพรวมของประสิทธิภาพ ISMS ของ องคกร และแกไขปรังปรุงในจุดทีเ่ กิดปญหา

Owner : คือ บุคคลหรือคณะบุคคลทีอ่ งคกรหรือ บริษทั แตงตัง้ ใหมหี นาทีค่ วามรับผิดชอบตอสินทรัพย หรือกลุมของสินทรัพย แตไมไดรวมถึงการเปน เจาของในทางกฎหมาย Asset Owner มีหนาที่ รับผิดชอบตอความปลอดภัยของสินทรัพยและ ดูแลใหสนิ ทรัพยสามารถใชในการดำเนินธุรกิจของ องคกรหรือบริษัท PDCA Model : ยอมาจาก Plan-Do-CheckAct ใน ISO 27001 วาไววา ในทุกๆ การดำเนินการ ของ ISMS ใช PDCA Model เป น ตั ว จั ด การ ประกอบดวย Plan (การวางแผนในการจัดทำ ISMS), Do (การดำเนินการจัดทำ ปฏิบตั ิ และดูแล ISMS), Check (การเฝาดูแล ตรวจสอบ และ พิจารณา ISMS) และ Act (การปรับปรุง ISMS) Policy : นโยบายที่ประกาศจากผูบริหารของ องคกรหรือบริษัท เพื่อใหพนักงานรับทราบและ ปฏิบัติไปในทิศทางเดียวกัน Preventive Actions : เปนขั้นตอนการปองกัน หลีกเลีย่ ง และดำเนินการกับปญหาหรือเหตุการณ ที่อาจจะเกิดขึ้น กอนที่ปญหาจะเกิดขึ้นกับองคกร หรือบริษัท Procedure : ตัวควบคุมขัน้ ตอนการดำเนินงาน หรือการปฏิบัติงาน ประกอบดวย การทำงานที่ Bay Computing Newsletter l 5rd Issue l 13


SOLUTION UPDATE ไดแก 1. การยอมรับความเสีย่ ง (Accept the Risk), 2. การหลีกเลีย่ งความเสีย่ ง (Avoid the Risk) 3. การโอนถายความเสีย่ ง (Transfer the Risk) และ 4. การลดความเสีย่ ง (Reduce the Risk) Standard : เปนเอกสารทีป่ ระกอบดวยกฎเกณฑ ทีใ่ ชในการควบคุมบุคคลในการพัฒนาและจัดการ วัตถุดิบ ผลผลิต บริการ เทคโนโลยี ภาระหนาที่ ขั้นตอนปฏิบัติ และระบบ

สอดคลองกันระหวาง Input และ Output โดยทัว่ ไป รูปแบบของ Procedure จะเปน Flow Diagram โดยเนือ้ หาใน Procedure อาจจะไมลงรายละเอียด มากหรือลงรายละเอียดแบบละเอียดก็ได Procedure จะแสดงให เ ห็ น ว า งานในส ว นไหนทำเสร็ จ แล ว ทำเสร็จไดอยางไร ใครเปนคนทำ และอยใู นสถานะ ไหน และยังบอกไดวาใครเปนผูมีอำนาจสั่งการ และผูที่รับผิดชอบ วัตถุดิบอะไรบางที่ตองใชและ จัดหาในการดำเนินงาน เอกสารอะไรบางที่ตอง ใชในการดำเนินงาน Process : ขัน้ ตอนในการดำเนินงานทีม่ กี ารนำ Input มาใชงาน และเปลีย่ นแปลงเปน Output Process Approach : เปนกลยุทธทางการ บริหารทีใ่ ชในการควบคุมการดำเนินการของ ISMS Record : สือ่ กลางซึง่ บันทึกเหตุการณทเี่ กิดขึน้ วาเกิดเหตุการณอะไรขึ้นบางในองคกร Requirement : ความตองการ ความคาดหวัง หรือขอผูกมัด ตามสภาพการณขององคกรหรือ บริษัทลูกคา หรือบริษัทคูคา Residual Risk : เปนความเสี่ยงที่ยังเหลืออยู หลังจากมีการทำ Risk Treatment เชน การยอมรับ ความเสีย่ ง การเลีย่ งความเสีย่ ง การถายโอนความ เสีย่ ง การทำใหความเสีย่ งนอยลง Risk : นิยามของความเสีย่ ง อันประกอบไปดวย 3 แนวคิดคือ 1. เลือกเหตุการณที่คิดวานาจะมี ผลกระทบมาประมวลผล 2. ตั้งคำถามไวสัก 2 คำถาม วาเหตุการณผดิ ปกติใดทีม่ คี วามเปนไปได 14 l Bay Computing Newsletter l 5rd Issue

ที่อาจจะเกิดขึ้นในอนาคต และผลกระทบทางลบ ทีจ่ ะเกิดขึน้ จากเหตุการณดงั กลาวเปนอยางไร ถา ผลของความเสีย่ งสูงแสดงวา ความเปนไปไดทจี่ ะ เกิดเหตุการณดงั กลาวสูง และผลกระทบทีต่ ามมา จะสูงเชนเดียวกัน และ 3. นิยามของความเสีย่ ง จะ เปนการมองถึงเหตุการณที่อาจเกิดขึ้นในอนาคต และความกังวลถึงผลกระทบทีจ่ ะเกิดขึน้ Risk Acceptance : เปนสวนประกอบในขัน้ ตอน การทำ Risk Treatment ความหมายคือ องคกร หรือบริษทั สามารถดำเนินธุรกิจตอไดแมวา จะเกิด เหตุการณซึ่งเปนเหตุการณที่ผิดปกติ Risk Analysis : เปนการนำเอาขอมูลมาใชเพือ่ บงชี้หาสาเหตุของการเกิดความเสี่ยง การโจมตี หรือเหตุการณอันตรายที่มีผลกระทบตอองคกร หรือบริษัท Risk Assessment : ประกอบดวยเทคนิค 2 อยาง คือ Risk Analysis และ Risk Evaluation Risk Evaluation : เปนการเปรียบเทียบคาความ เสีย่ งกับเกณฑความเสีย่ ง Risk Management : เปนขั้นตอนที่ประกอบ ไปดวยกิจกรรมตางๆ ทีอ่ งคกรหรือบริษทั ใชในการ จัดการและควบคุมความเสี่ยง ประกอบไปดวย 4 ขั้นตอน ไดแก 1. Risk Assessment 2. Risk Acceptance 3. Risk Treatment และ 4. Risk Communication Risk Treatment : เปนขั้นตอนในการตัดสินใจ กับความเสีย่ งขององคกรหรือบริษทั แบงเปน 4 แบบ

Statement of Applicability : เปนเอกสารที่ ประกอบไปดวยวัตปุ ระสงคและตัวควบคุมตางๆ ที่ องคกรหรือบริษทั เลือกใช กอนทีจ่ ะจัดทำ Statement of Applicability องคกรหรือบริษัทจะตองจัดทำ สวนประกอบตางๆ ดังนีก้ อ น เพือ่ จัดทำ Statement of Applicability สำหรับองคกรหรือบริษัทนั้นๆ ตามแนวทางการดำเนินธุรกิจของแตละบริษัท 1. Risk Assessment 2. Risk Treatment 3. ทำความเขาใจกฎหมายหรือขอบังคับทีเ่ กีย่ วของ 4. ศึกษารายละเอียดในสัญญาตางๆ 5. ทบทวนโครงสรางขององคกรหรือบริษัท และ แนวทางการดำเนินธุรกิจของบริษัท Third Party : บุคคลหรือบริษัทภายนอกที่ไมมี ความเกี่ยวพันกับองคกรหรือบริษัท Threat : เหตุการณทอี่ าจจะเกิดขึน้ เมือ่ เหตุการณ เกิดขึน้ เหตุการณดงั กลาวอาจจะเปนเหตุการณที่ ไมตอ งการใหเกิดขึน้ เพราะเหตุการณดงั กลาวอาจ สงผลกระทบรายแรงตอระบบหรือองคกรหรือบริษทั Vulnerability : ชองโหวทเี่ กิดขึน้ กับสินทรัพยหรือ กลมุ ของสินทรัพย และอาจถูกโจมตีการ Treat ได หลายแบบ ทุกทานคงไดทำความเขาใจกันไปแลวนะครับ ในสวนของความหมายของคำตางๆ ที่ใชใน ISO 27001:2005 มาตรฐานเกีย่ วกับระบบบริหาร ความมั่นคงปลอดภัยของสารสนเทศกันแลว นะครับ เพราะเปนสวนหนึ่งที่สำคัญในการ ใชงานตัวมาตรฐาน สำหรับในฉบับหนา เรา จะมาทำความเข า ใจในส ว นอื่ น ๆ ในตั ว มาตรฐานกันเพิม่ เติม ฉบับนีค้ งตองลากันกอน และกลับมาพบกันใหมกับ ISO 27001:2005 ในตอนที่ 4 ครับ


Bay Computing Newsletter l 5rd Issue l 15


SOLUTION UPDATE

16 l Bay Computing Newsletter l 5rd Issue


Turn static files into dynamic content formats.

Create a flipbook
Issuu converts static files into: digital portfolios, online yearbooks, online catalogs, digital photo albums and more. Sign up and create your flipbook.