BayNewsletter_8 by Bay Computing

Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

EDITOR’S NOTE & CONTENTS

ปจจัยรอบดานในการดำเนินธุรกิจ สงผลใหทุกองคกรทั่วโลกใหความสำคัญกับ ความปลอดภัยของขอมูลที่สำคัญขององคกร อาทิเชน ขอมูลทางดานการเงิน ขอมูลลูกคา รวมถึงขอมูลทรัพยสินสำคัญอื่นๆ เนื้อหาใน Newsletter ฉบับนี้ จึงรวบรวมเรือ่ งราวเกีย่ วกับ Guardium ผลิตภัณฑ Database Security อันดับหนึง่ ทีเ่ ปนเสมือน ผรู กั ษาความปลอดภัยของขอมูล คอยสังเกตพฤติกรรมทีน่ า สงสัยของทัง้ บุคคลภายในและภายนอก องคกร โดยตัวแทนจากประเทศสหรัฐอเมริกาเขาเยีย่ มลูกคา พรอมดวยทีมงานเบย เพือ่ แนะนำ ผลิตภัณฑและแลกเปลีย่ นประสบการณของลูกคา Guardium ทัว่ โลก นอกจากนี้ Bay Computing มีความยินดีเรียนเชิญทุกทานทีส่ นใจ เขารวมงาน “โครงการอบรม ดานความปลอดภัยขอมูลเกี่ยวกับคอมพิวเตอร 2552” (The 9 th - Cyber Defense Initiative Conference 2009 : CDIC) ในวันที่ 10-11 พฤศจิกายน 2552 ณ หองบอลลูม ศูนยประชุม แห ง ชาติ สิ ริ กิ ติ์ ซึ่ ง ภายในงานจะมี ก ารจั ด ประชุ ม สั ม มนาและการออกบู ธ นิ ท รรศการจาก บริษทั ไอทีชนั้ นำมากมาย อยาลืมแวะไปรวมกิจกรรมทีบ่ ธู ของ เบย คอมพิวติง้ นะคะ z

นิดา ตัง้ วงศศริ ,ิ ผจู ดั การทัว่ ไป

2 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

NEWS UPDATE

Bay Computing Newsletter l 8th Issue l 3 Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SUCCESS STORY

ทีโอที

เสริมศักยภาพความปลอดภัย และประสิทธิภาพการใชงานอินเทอรเน็ต ดวยระบบ ISAACS จากเบย คอมพิวติง้ ของแผนแมบทดานไอที ซึ่งไดรับการสนับสนุนจากฝาย บริหารและบอรดเปนอยางดี รวมถึงมีการประกาศเปนคำสัง่ ใหพนักงานทัง้ ในสวนกลางและสวนภูมภิ าครับทราบ และมี การรณรงคใหทกุ คนตระหนักถึงความสำคัญและปฏิบตั ติ าม”

มากกวาแคความปลอดภัย

คุณกิตติพงศ เตมียะประดิษฐ รองกรรมการผจู ดั การใหญ สายงานประสิทธิผลองคกร บริษทั ทีโอที จำกัด (มหาชน)

สำหรับผใู หบริการสือ่ สารโทรคมนาคมรายใหญ ซึ่งใหบริการที่ครบวงจร ทั้งบริการดานเสียง อินเทอรเน็ต ขอมูล มัลติมเี ดีย คอนเท็นต และบริการอืน่ ๆ เพื่อตอบสนองความตองการของลูกคาทุกกลุม ไมวา จะเป น ลู ก ค า ทั่ ว ไป หรื อ ลู ก ค า ธุ ร กิ จ รวมไปถึ ง การ ใหบริการเพือ่ สาธารณประโยชนอยาง “ทีโอที” การรักษา ความปลอดภัยของขอมูลถือเปนนโยบายหลักที่ทาง องคกรใหความสำคัญเปนอยางมาก คุณกิตติพงศ เตมียะประดิษฐ รองกรรมการผจู ดั การใหญ สายงานประสิทธิผลองคกร บริษทั ทีโอที จำกัด (มหาชน) ซึ่ ง รั บ ผิ ด ชอบดู แ ลระบบไอที ใ นส ว นของระบบแบ็ ก ออฟฟศ ซึ่งประกอบดวย ระบบบิลลิ่ง ระบบซีอารเอ็ม ระบบ SAP และระบบดาตาแวรเฮาส กลาววา “ทางทีโอทีถือวานโยบายดานการรักษาความปลอดภัย ดานไอทีภายในองคกรเปนเรือ่ งทีส่ ำคัญ เพราะหากขอมูล สำคัญอยางขอมูลลูกคาหรือขอมูลทางการเงินมีการ รัว่ ไหลหรือถูกแฮกขอมูลออกไป ก็จะสงผลเสียตอธุรกิจ ทั้งในเรื่องของภาพลักษณและความไวเนื้อเชื่อใจของ ลูกคาที่มีตอองคกร หรือหากขอมูลในดาตาแวรเฮาส เสียหาย ก็จะสงผลทำใหผบู ริหารไมสามารถนำขอมูลไป วิเคราะหเพือ่ ประกอบการตัดสินใจไดอยางมีประสิทธิภาพ ดังนัน้ ทางทีโอทีจงึ กำหนดใหเรือ่ ง IT Security เปนสวนหนึง่

นอกจากระบบรักษาความปลอดภัยหลักอยาง Firewall, IDS, IPS ที่ทางทีโอทีนำมาใชปกปองขอมูลที่สำคัญของ องคกรแลว ทางทีโอทียังไดนำระบบ ISAACS (Internet Service And Authentication Control System) ของบริษทั เบย คอมพิวติง้ จำกัด มาใชควบคุมการใชงานอินเทอรเน็ต ขององคกรดวย โดยระบบควบคุมการใชงานอินเทอรเน็ต ISAACS เปนระบบยืนยันตัวตน (Identity) ที่ออกแบบมาเพื่อปองกัน การใชงานอินเทอรเน็ตโดยไมไดรับอนุญาต ทำใหองคกรสามารถให บริการอินเทอรเน็ตแกพนักงานไดอยางถูกตองตามพระราชบัญญัติ วาดวยการกระทำความผิดเกีย่ วกับคอมพิวเตอร พ.ศ. 2550 ประกอบดวย ระบบจัดการ bandwidth ระบบจัดเก็บ Log และระบบยืนยันตัวตน (Authentication) คุณสมชัย เอือ้ ปยฉัตร ผจู ดั การฝายเทคโนโลยีสารสนเทศ บริษทั ทีโอที จำกัด (มหาชน) กลาวถึงประเด็นสำคัญที่ทางทีโอทีนำระบบควบคุม การใชงานอินเทอรเน็ตมาใชวา “ประเด็นแรกคือ เรื่องความปลอดภัย ประเด็นที่ 2 คือ เรือ่ งการปฏิบตั ติ าม พ.ร.บ. วาดวยการกระทำความผิด ทางคอมพิวเตอร พ.ศ. 2550” เนื่องจากทีโอที ถือเปนผูใหบริการ อินเทอรเน็ต (ISP) รายหนึง่ ซึง่ ใหบริการอินเทอรเน็ตทัง้ กับผใู ชภายใน องคกรและลูกคาภายนอก “นอกจากนี้สิ่งที่เราไดเพิ่มคือ เราสามารถ ควบคุม bandwidth หรือทราฟฟกการใชอนิ เทอรเน็ตได ทำใหยสู เซอร มีการใชงานอินเทอรเน็ตทีถ่ กู ตองขึน้ ไมไปดาวนโหลดไฟลหรือเขาเว็บไซต ทีไ่ มปลอดภัย ฉะนัน้ ภายในเครือขายเองก็จะมีความปลอดภัยมากขึน้ ”

ตอบทุกโจทยสำหรับองคกรขนาดใหญ

สำหรับเกณฑในการพิจารณาเลือกใชระบบควบคุมการใชงานอินเทอรเน็ต สำหรับองคกรที่มีผูใชจำนวนมากอยางทีโอทีนั้น คุณสมชัยอธิบายวา “เกณฑพจิ ารณาคือ ตองตอบความตองการของเราได หนึง่ คือ ระบบตอง สามารถเก็บ Log ไดตามที่ พ.ร.บ. ทัง้ ในแงของทรานสแอ็กชัน ในแงของ สตอเรจ วาตองใชขนาดเทาใดจึงจะรองรับปริมาณทราฟฟกที่ตองเก็บ

4 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SUCCESS STORY

คุณสมบัตเิ บือ ้ งตนของระบบ ISAACS ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓

ควบคุมสิทธิก์ ารเขาใชอนิ เทอรเน็ต ควบคุมปริมาณและความเร็วในการใชงาน (Bandwidth) เปนรายคน หรือรายกลมุ แสดงปริมาณการใชงาน เพือ่ การออกนโยบาย หรือจัดเก็บคาใชจา ย ตรวจหาและควบคุมการใชงานทีไ่ มเหมาะสม เชน Bit Torrent Drill-down รายละเอียดการใชงาน ไดแบบเรียลไทมและยอนหลัง แจงเตือนการกระทำทีผ่ ดิ ปกติในระบบ (Alert) ตรวจสอบการยืนยันตัวบุคคลกับระบบฐานขอมูลภายนอกชนิดตางๆ ไดหลากหลายรูปแบบ ระบบมีความยืดหยนุ สามารถปรับแตงใหสอดคลองกับความตองการ

บันทึกไวไดตามระยะเวลาที่ พ.ร.บ. กำหนด โดยประเมินจากปริมาณทราฟฟกของยูสเซอร ของเราทีม่ เี ปนหมืน่ ซึง่ ตองเก็บทุกวันทุกวินาทีทมี่ ที ราฟฟกผานเขา-ออก และไหนๆ เราซือ้ คุณสมชัย เอือ้ ปยฉัตร ผจู ดั การฝายเทคโนโลยีสารสนเทศ ระบบพวกนีม้ าแลว อีกคุณสมบัตหิ นึง่ ทีร่ ะบบตองรองรับคือ ตองสามารถควบคุมทราฟฟกได บริ ษทั ทีโอที จำกัด (มหาชน) เพือ่ จัดสรรปริมาณและความเร็วในการใชงาน (Bandwidth) ใหแตละคนหรือแตละกลมุ ไดอยาง เหมาะสม ทราฟฟกไหนไมจำเปนก็ปด เชน Bit Torrent ซึ่งกิน bandwidth แทบทั้งหมด ขององคกร จากเดิมที่ bandwidth เต็มเร็ว อินเทอรเน็ตชา คนทีจ่ ะทำงาน เขาระบบไมได ซึง่ กระทบกับงานหลักของเรา” ความคม ุ คา..คำตอบสุดทาย “แตเมื่อนำระบบนี้มาควบคุม bandwidth ทำใหตอนนี้ไมมีปญหาเขา อินเทอรเน็ตไมได คนทีท่ ำงานก็สามารถใชงานไดอยางทีต่ อ งการ นอกจากนี้ ระบบยังชวยใหเรามี bandwidth เพียงพอ ไมตอ งเสียคาใชจา ยในการ เพิม่ bandwidth โดยปจจุบนั เรามี bandwidth ทีร่ บั ไดถงึ 400 Mbps แตเราสามารถบริหารจัดการใหใชแค 100-200 Mbps ได เนื่องจาก เมือ่ ปด Bit Torrent แลว ทราฟฟกหายไปถึง 70-80 เปอรเซ็นตเลยทีเดียว และไวรัสยังนอยลงอยางเห็นไดชัดอีกดวย ดานผูดูแลระบบก็ทำงาน งายขึ้น ไมตองมานั่งคอยรับโทรศัพทและแกปญหาเน็ตเวิรก ซึ่งแบ็ก ออฟฟศทัว่ ประเทศแจงเขามา”

สำหรับการตัดสินใจ

บริการเหนือระดับ

เนือ่ งจากทีโอที เปนหนวยงานภาครัฐ ดังนัน้ การจัดซือ้ ระบบตางๆ จึงตอง มีการเขียน TOR และจัดซื้อผานระบบ e-Auction โดยทีโอทีจะเนน ผลิตภัณฑทมี่ ชี อื่ เสียงอันดับ 1-2 ในตลาด สำหรับระบบควบคุมการใช อินเทอรเน็ตนัน้ ทางเบย คอมพิวติง้ สามารถนำเสนอระบบทีถ่ กู ตองตาม สเปก และราคาสามารถแขงขันกับรายอืน่ ได จึงไดรบั เลือกใหเปนผตู ดิ ตัง้ ระบบนีใ้ หกบั ทีโอที ซึง่ เบยกไ็ มทำใหทโี อทีผดิ หวัง ดวยทีมงานทีม่ คี วาม เชีย่ วชาญ และการบริการทีเ่ ต็มที่ จึงสามารถติดตัง้ ระบบควบคุมการใช งานอินเทอรเน็ต ซึง่ เปนระบบทีม่ คี วามซับซอนคอนขางมาก ทัง้ จากการ กำหนดคาใหกบั อุปกรณทหี่ ลากหลายและตองปรับจูนใหเขากับหนาจอที่ มีกวาหมืน่ หนาจอของระบบตางๆ ของทีโอที ไดอยางประสบความสำเร็จ

เรื่องการรักษาความปลอดภัย นับวันยิ่งมีความสำคัญ มากขึน้ สิง่ ตางๆ ทีม่ ใี นปจจุบนั ก็อาจลาสมัย ดังนัน้ เรา ตองเตรียมตัวใหพรอม แตดวยสภาพเศรษฐกิจที่ชะลอ เชนในปจจุบนั ทีม่ กี ารลดงบประมาณในทุกดาน รวมถึง ดานไอที การจะตัดสินใจลงทุนระบบอะไรเพิม่ นัน้ เปนเรือ่ ง ทีต่ อ งพิจารณากันอยางรอบคอบ ซึง่ คุณกิตติพงศไดให แงคดิ สำหรับเรือ่ งนีว้ า “สำหรับทีโอที เรายังคงยึดตามแผน แมบทดานการรักษาความปลอดภัยที่วางไวถึงป 2556 ซึ่งเปนแผนระยะยาว และในแตละป เราจะมีการเสนอ ขอซือ้ อุปกรณหรือซอฟตแวรทจี่ ำเปนเขามา โดยเฉพาะใน สภาวะเศรษฐกิจแบบนี้ ทำใหเราตองจัดสรรงบประมาณ ตามความจำเปน โดยพิจารณาจากความคมุ คาเปนสำคัญ และตองมีความรวมมือกับพารตเนอรและเลือกใชทลู สทดี่ ี เพราะถาเรามีทลู สทดี่ ี เราก็สามารถลดจำนวนคนลงได ขณะที่เรายังสามารถทำงานไดอยางมีประสิทธิภาพ  หาเรือ่ ง ซึง่ จำเปนกับเราซึง่ เปนหนวยงานภาครัฐทีม่ กั มีปญ การขาดแคลนบุคลากร อยางระบบ ISAACS ของเบย ผมยอมรับวาเราพึงพอใจในระดับหนึง่ เนือ่ งจากคอนขาง ไดประโยชนทคี่ มุ คา ระบบนีช้ ว ยเราไดเยอะ เพราะเรามี บุคลากรดานซีเคียวริตี้แค 3-4 คน แตสามารถดูแล องคกรไดทวั่ ประเทศ”

คุณกิตติพงศ กลาวถึงความประทับใจที่ไดรับจากการใหบริการของ เบย คอมพิวติง้ วา “เบยมศี กั ยภาพทางดานผเู ชีย่ วชาญดานเทคโนโลยี และใหบริการทีด่ แี ละเต็มที่ แคโทรศัพทไปแจงปญหาก็มที มี งานเขามา แกไขระบบใหอยางรวดเร็ว ขณะทีบ่ างรายมีทมี ซัพพอรตนอย ทำใหไม  หาใหเราไดอยางทันการณ ซึง่ เราพึงพอใจในเรือ่ งนี”้ สามารถเขามาแกปญ

“การทีเ่ รามีบคุ ลากรทีม่ คี วามสามารถ จริงใจ และจริงจัง กับงาน ไดรบั ความรวมมือจากผขู าย และไดรบั นโยบาย สนับสนุนจากผบู ริหารระดับสูง ทำใหงานทุกอยางราบรืน่ ” คุณกิตติพงศกลาวสรุปถึงองคประกอบสำคัญทีท่ ำใหการ ติดตัง้ ระบบประสบความสำเร็จ Bay Computing Newsletter l 8th Issue l 5

Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

IT SECURITY

ทิปความปลอดภัยในสังคมออนไลน สำหรับธุรกิจขนาดเล็ก เครือขายสังคมออนไลน เปนเว็บไซตที่ถูกออกแบบมาเพื่อใหผูใชงานไดมีสวนรวมในการใชงานเว็บไซต (Human Interaction) โดยเปดโอกาสใหผูใชงานสามารถติดตอกับผูอื่น แลกเปลี่ยนประสบการณ ขอมูล ความคิดเห็น ซึ่งเว็บไซตเหลานี้สามารถขามขอบเขตระหวางการติดตอเชิงสังคมทั่วไปกับธุรกิจ เพราะเปนการ อนุญาตใหผคู นจากทุกแหงในโลกใบนีส้ ามารถเขามาสเู ครือขายของตนและติดตอสือ่ สารกันได

z โดย เทรนด ไมโคร

เครือขายทัง้ หมดนีก้ อ ตัวขึน้ ไดอยางงายดาย นัน่ คือ ผใู ชงานสามารถสรางเครือขายของ Contacts ภายใตความเชือ่ ใจ ซึง่ กันและกัน นอกจากนี้ ผใู ชงานสามารถสรางหัวขอและเนือ้ หาตางๆ (Contents) เพือ่ ใหกลมุ เพือ่ นของตนไดเขามา เยี่ยมชม ในทางกลับกันผูใชงานก็สามารถเขาไปเยี่ยมชมหัวขอและเนื้อหาที่เพื่อนสรางขึ้นไดดวย ซึ่งปกติแลว หัวขอและเนือ้ หาจะมีความหลากหลาย เชน รูปภาพกิจกรรมในวันหยุด สิง่ ทีต่ นสนใจ ขาวสารลาสุด ความคิดเห็น และขอเสนอแนะ รวมถึงขอมูลสวนบุคคลทีส่ ำคัญตางๆ ในขณะที่แนวโนมการกอกวนและมุงรายที่มีเพิ่มขึ้น ทั้ง จากเพื่อนในกลุม contacts หนึ่งหรือมากกวาหนึ่งที่ หักหลังกันเอง หรือจากความพยายามเขามาควบคุม ระบบโดยไมไดรับอนุญาต (Compromised) ซึ่งเปน สิง่ ทีส่ ามารถเกิดขึน้ ไดเมือ่ มีบางคนทีพ่ ยายามเพิม่ หรือไดรบั สิทธิในการควบคุม account ของคุณ คุณเพิม่ ชือ่ ผตู ดิ ตอโดยเขาใจผิดวาเปนคนทีร่ จู กั เขามา ในเครือขายของตน คุณเพิ่มชื่อผูติดตอที่คิดวาไวใจไดเขามาในเครือขาย ของตน ทัง้ ทีค่ วามจริงแลวเปนคนทีไ่ วใจไมได การตั้ ง ค า ระบบป อ งกั น ความเป น ส ว นตั ว ไม ดี พ อ จนเปนเหตุใหขอ มูลหลุดไปยังผทู ไี่ มเกีย่ วของ ผลกระทบของรอยรั่ ว เหล า นี้ เริ่ ม จากการที่ ข อ มู ล สวนบุคคลหลุดรอดออกไปแลวสรางความอับอายใน เชิงบุคคล ไปจนถึงระดับธุรกิจ โดยตัวอยางงายๆ ใน การรั่วไหลของขอมูลสวนบุคคลที่มีการเขียน (Post) ขอความสวนตัวใหกับเพื่อนในเครือขายสังคมออนไลน โดยพรรณนาถึงแผนในการสรางความประทับใจกับแฟน ของตนเรื่องการขอเธอแตงงาน แตโชคไมดีที่การลง ข อ ความนั้ น ทุ ก คนสามารถเห็ น ได รวมถึ ง แฟนของ เคาดวย ดังนัน้ หากพิจารณาในเชิงธุรกิจทีข่ อ มูลสำคัญ ทางธุ ร กิ จ รั่ ว ไหล หรื อ ข อ ความที่ ตำหนิ ผู บ ริ ห ารหรื อ เพื่ อ นร ว มงานอย า งรุ น แรงที่ รั่ ว ไหลออกไป ย อ มส ง ผลกระทบตอภาพลักษณขององคกรอยางแนนอน 6 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

IT SECURITY

เมือ่ พิจารณาถึงความเปนไปไดทฐี่ านขอมูล Contacts ที่ อยูบนเครือขายสังคมออนไลนเหลานี้จะเปนแหลงที่ ผูไมประสงคดีตองการนำไปใชงาน อยางแรกก็คงเปน การนำมาใชเปนชองทางการโฆษณา ถัดมาก็เพือ่ รวบรวม ขอมูลสวนตัวของแตละ Contact เชน อีเมล เบอรโทรศัพท เปนตน และอยางที่สามเปนความพยายามในการทำ Phishing หรือติดตั้งมัลแวร เพื่อสรางชองทางใหเหลา แฮกเกอรสามารถเขารวบรวมขอมูลตางๆ โดยเฉพาะ หากมีการเก็บขอมูลของพนักงานไว แลวนำไปใชดำเนินการ อยางอืน่ ตอไป เชน การเจาะ Login และรหัสผาน การ หลอกลวง (Social Engineering) เพือ่ ใหไดขอ มูลสวนตัว ของบุคคลนัน้ หรือผทู เี่ กีย่ วของเพิม่ ขึน้ เปนตน ซึง่ ในสวน ที่แฮกเกอรสามารถติดตั้งมัลแวรไดบนเครื่องของคุณ นัน่ หมายถึง แฮกเกอรจะสามารถเพิม่ สิทธิใหตนเองในการ เขาสรู ะบบและควบคุมระบบทัง้ หมด รวมทัง้ ขโมยขอมูล ที่ เ ป น ความลั บ ทุ ก อย า งผ า นเครื่ อ งมื อ ที่ เ ก็ บ ข อ มู ล ที่ พิมพบนแปนพิมพ (Keyloggers) ไวทงั้ หมด ตัวอยางเมื่อเร็วๆ นี้ของภัยคุกคามที่มุงเปาไปที่สังคม ออนไลน นัน่ คือ KOOBFACE ซึง่ เปนมัลแวรรปู แบบใหม ที่สามารถทำงานและแพรกระจายผานเครือขายสังคม ออนไลนไดสำเร็จ ในขณะทีม่ ลั แวรรปู แบบเดิมๆ ไมสามารถ ทำได โดย 1 ปทผี่ า นมานับตัง้ แตพบ KOOBFACE ตัวแรก มัลแวรก็ทวีความแข็งแกรงขึ้นจนสามารถขยายมาถึง เครือขายสังคมออนไลนไดในทีส่ ดุ และคงแพรกระจายได ในเวลาไมนกั ซึง่ หากตองการศึกษารายละเอียดเกีย่ วกับ ภัยคุกคามนี้ สามารถศึกษาเพิม่ เติมไดที่ http://us.trendmicro.com/us/trendwatch/researchand-analysis/index.html

สำหรับธุรกิจขนาดเล็กอยาเพิ่งสิ้นหวัง เพราะมีขั้นตอน งายๆ ที่จะปองกันตนเองและพนักงานของตน นำมา ฝากกัน ดังนี้ ประการแรก ตองวางนโยบายในการใชงานเครือขาย สังคมออนไลนในชวงเวลางาน และตองสรางความรคู วาม เขาใจในเรือ่ งของความเสีย่ งในการใชอนิ เทอรเน็ตทัว่ ๆ ไป และวิธกี ารใชอนิ เทอรเน็ตทีป่ ลอดภัย และทีส่ ำคัญจะตอง ทำใหพนักงานตระหนักถึงขอมูลและรูปภาพขององคกร ทีจ่ ะนำไปเปดเผยไวในเครือขายสังคมออนไลน เรือ่ งถัดมา คือ การติดตัง้ ซอฟตแวรรกั ษาความปลอดภัย บนเครือ่ งคอมพิวเตอรทงั้ เครือ่ งพีซแี ละแลปทอปทุกเครือ่ ง และต อ งมั่ น ใจว า มี ขั้ น ตอนในการบริ ห ารจั ด การที่ ดี เพียงพอ ตลอดจนมีการอัพเดตระบบและความปลอดภัย ใหทนั สมัยอยเู สมอ สุดทาย จะตองมั่นใจวาสามารถบังคับใชนโยบายที่ วางไว รวมถึงจำกัดการใชงานอินเทอรเน็ตทีเ่ ปนอันตราย และไมเกีย่ วของกับการทำงานในชวงเวลางานได เพราะ ไมใชเพียงแตจะสรางความปลอดภัยใหกบั ระบบโดยรวม แตยงั ชวยเพิม่ ศักยภาพในการทำงานของพนักงานได อีกดวย ซึง่ จำเปนตองมี URL Filtering ชวยในการ จัดการในเรือ่ งนี้ และหากมีแลปทอปทีต่ อ งนำไป ใชงานภายนอก ก็ตอ งมัน่ ใจวาระบบทีม่ เี พียงพอ ในการรักษาความปลอดภัยได สามารถอานทิป ขอมูล และคำแนะนำเพิม่ เติมได จาก Trend Micro Threat Resource Centre ที่ http://us.trendmicro.com/us/trendwatch/ Bay Computing Newsletter l 8th Issue l 7

Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

ISMS STANDARD

เสริมมาตรการความปลอดภัยไอที ดวย ISO 27001:2005 ตอนที่ 6

“Annex A”

z โดย ภัคณัฏฐ โพธิท ์ องบวรภัค, Senior Network and Security Engineer, บริษทั เบย คอมพิวติง้ จำกัด

สวัสดีทา นผอู า นทุกทาน พบกันในตอนที่ 6 ของ ISO 27001:2005 มาตรฐานความปลอดภัย ขอมูลสารสนเทศ ซึง่ เนือ้ หากำลังทวีความเขมขนขึน้ เปนลำดับ สำหรับตอนที่ 1 ถึงตอนที่ 5 ได กลาวถึง Introduction, Definitions และ Section 4-8 สวนตอนที่ 6 นีจ้ ะกลาวถึง Annex A ซึง่ ไดแก ภาคผนวกที่รวบรวมเอาตัวควบคุมตางๆ ไว เพื่อใหแตละองคกรเลือกนำไปใชตามความเหมาะสม เรา มาเขาเรือ่ งกันเลยดีกวานะครับ เพือ่ ไมใหเสียเวลา ตัวควบคุมใน Annex A แตกตางจากใน Section 4-8 ตรงที่ใน Section 4-8 บังคับใหตองมีการจัดทำทุกตัว สวนใน Annex A เราสามารถเลือกไมทำไดใน บางขอ ในกรณีทอี่ งคกรไมไดมีการดำเนินธุรกิจทีเ่ กีย่ วของในตัวควบคุมขอนัน้ ๆ ครับ และ Annex A คือ สวนหนึง่ ของเอกสารทีต่ อ งจัดทำขึน้ ทีเ่ รียกวา SoA หรือ Statement of Applicability ซึง่ เปนการประกาศ นโยบายวาจะนำเอาตัวควบคุมใดบางมาใชกบั องคกรของเรา เนือ้ หาของ Annex A มีอยู 11 ขอ โดยจะ เริม่ จากขอ 5 สำหรับฉบับนีเ้ ราจะมาดูรายละเอียดในขอ 5 ถึงขอ 7 กันกอนนะครับ

A.6.1.1 การใหความสำคัญของผูบริหารและ กำหนดใหมีการบริหารจัดการทางดานความ มัน่ คงปลอดภัย (Management commitment to information security) ตัวควบคุม : ระดับบริหารตองมีความตืน่ ตัวอยางสูง ในการทีจ่ ะสนับสนุนการรักษาความปลอดภัยของ ขอมูลสารสนเทศภายในองคกร วาสามารถดำเนิน ไปไดอยางประสบความสำเร็จและถูกทิศทาง มีการ มงุ เสนอขอพิจารณา มีการแตงตัง้ ผทู ไี่ ดรบั มอบหมาย อยางชัดเจน และมีประกาศผรู บั ผิดชอบในการดูแล เรื่องการรักษาความปลอดภัยขอมูลใหรับทราบ

A.5 นโยบายความมัน ่ คง ปลอดภัย (Security policy)

อนุมัติโดยระดับบริหารและประกาศใชอยางเปน ทางการ และมีการสือ่ สารใหทางพนักงานทัง้ หมด รับทราบ รวมถึงบริษทั หรือผมู สี ว นเกีย่ วของกับทาง องคกร

A.5.1 นโยบายความมัน่ คงปลอดภัย สารสนเทศสำหรับองคกร (Information security policy)

A.5.1.2 การทบทวนนโยบายความมั่นคง ปลอดภัยสารสนเทศ (Review of the information security policy) ตัวควบคุม : นโยบายการรักษาความปลอดภัย ขอมูลสารสนเทศจะตองมีการทบทวนในระหวาง ขัน้ ตอนการจัดทำ หรือเมือ่ มีการแกไขเปลีย่ นแปลง ตองแนใจวา นโยบายการรักษาความปลอดภัย ขอมูลสารสนเทศมีความเหมาะสมเพียงพอและมี ประสิทธิผล

A.6.1.2 การประสานงานความมัน่ คงปลอดภัย ภายในองคกร (Information security co-ordination) ตัวควบคุม : กิจกรรมดานการรักษาความปลอดภัย ขอมูลสารสนเทศตองมีการดำเนินงานโดยมีตวั แทน ของหนวยงานตางๆ ขององคกรทีม่ บี ทบาทหนาที่ และการทำงานที่เกี่ยวของ

นโยบายด า นการรั ก ษาความปลอดภั ย ข อ มู ล สารสนเทศ

วั ต ถุ ป ระสงค : มีการกำหนดแนวทางในการ บริหารจัดการและสนับสนุนนโยบายการรักษา ความปลอดภัยขอมูลสารสนเทศ ใหสอดคลองกับ ความตองการในการดำเนินธุรกิจขององคกรและ สอดคลองกับขอกฎหมายและขอกำหนดตางๆ A.5.1.1 เอกสารนโยบายความมัน่ คงปลอดภัย สารสนเทศที่เปนลายลักษณอักษร (Information security policy document) ตัวควบคุม : นโยบายการรักษาความปลอดภัย ขอมูลสารสนเทศ จะตองไดรบั การ

A.6 โครงสรางทางดานความ มัน่ คงปลอดภัยสำหรับองคกร (Organization of information security) A.6.1 โครงสรางทางดาน ความปลอดภัยภายในองคกร (Internal organization)

วัตถุประสงค : มีการบริหารจัดการการรักษา ความปลอดภัยขอมูลสารสนเทศภายในองคกร

A.6.1.3 การกำหนดหนาที่ความรับผิดชอบ ทางดานความมัน่ คงปลอดภัย (Allocation of information security responsibilities) ตัวควบคุม : หนาที่ความรับผิดชอบในดานการ รักษาความปลอดภัยขอมูลสารสนเทศตองมีการ กำหนดอยางชัดเจน A.6.1.4 กระบวนการในการอนุมัติการใชงาน อุปกรณประมวลผลสารสนเทศ (Authorization process for information processing facilities) ตัวควบคุม : ขัน้ ตอนในการอนุมตั สิ ำหรับการใชงาน สิ่งอำนวยความสะดวกสารสนเทศใหม จะตองมี การจัดเตรียมและจัดทำ A.6.1.5 การลงนามมิใหเปดเผยความลับของ องคกร (Confidentiality agreements) ตัวควบคุม : มีการกำหนดขอตกลงและปองกัน สำหรั บ ข อ มู ล ที่ เ ป น ความลั บ และไม ส ามารถ

8 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

ISMS STANDARD เปดเผยได ทีม่ ผี ลกระทบตอองคกร และตองมีการ บงชีแ้ ละทบทวนอยเู สมอ A.6.1.6 การมีรายชือ่ และขอมูลสำหรับติดตอ กับหนวยงานอืน่ (Contact with authorities) ตัวควบคุม : ตองมีรายชือ่ และขอมูลสำหรับติดตอ กั บ หน ว ยงานอื่ น ๆ เพื่ อ ใช สำหรั บ การติ ด ต อ ประสานงานทางดานความมัน่ คงปลอดภัยในกรณี ที่มีความจำเปน A.6.1.7 การมีรายชือ่ และขอมูลสำหรับการติดตอ กับกลมุ ทีม่ คี วามสนใจเปนพิเศษในเรือ่ งเดียวกัน (Contact with special interest groups) ตัวควบคุม : ตองมีรายชื่อและขอมูลสำหรับการ ติดตอกับกลุมตางๆ ที่มีความสนใจพิเศษในเรื่อง เดี ย วกั น กลุ ม ที่ มี ค วามสนใจด า นความมั่ น คง ปลอดภัยสารสนเทศ หรือสมาคมตางๆ ทีอ่ งคกรมี สวนเกีย่ วของ A.6.1.8 การทบทวนดานความมัน่ คงปลอดภัย สำหรับสารสนเทศโดยผูตรวจสอบอิสระ (Independent review of information security) ตัวควบคุม : องคกรจะตองเขาถึงการจัดการและ จัดทำการปองกันความปลอดภัยขอมูลสารสนเทศ เชน วัตปุ ระสงคในการควบคุม ตัวควบคุม นโยบาย ขั้นตอน และขอปฏิบัติ สำหรับการปองกันความ ปลอดภัยขอมูลสารสนเทศ และตองมีการทบทวน อยางเปนกลางในขั้นตอนการจัดเตรียม และเมื่อ มีการเปลีย่ นแปลงแกไข

A.6.2 โครงสรางทางดานความ มัน ่ คงปลอดภัยทีเ่ กีย ่ วของกับลูกคา หรือหนวยงานภายนอก (External parties)

วัตถุประสงค : เพื่อบำรุงรักษาความปลอดภัย ขอมูลสารสนเทศขององคกร และสิง่ อำนวยความ สะดวกตางๆ ที่ถูกเขาถึง ประมวลผล และการ ติดตอสือ่ สารกับลูกคาหรือหนวยงานภายนอก A.6.2.1 การประเมินความเสีย่ งของการเขาถึง ส า ร ส น เ ท ศ โ ด ย ห น ว ย ง า น ภ า ย น อ ก (Identification of risks related to external parties) ตัวควบคุม : ตองกำหนดใหมีการประเมินความ เสี่ยงอันเกิดจากการเขาถึงสารสนเทศ หรือสิ่ง อำนวยความสะดวกตางๆ ทีใ่ ชในการประมวลผล โดยหนวยงานภายนอก และกำหนดมาตรการ รองรับหรือแกไขที่เหมาะสมกอนที่จะอนุญาตให สามารถเขาถึงได

A.6.2.2 การระบุขอกำหนดสำหรับลูกคาหรือ ผใู ชบริการทีเ่ กีย่ วของกับความมัน่ คงปลอดภัย สำหรับสารสนเทศขององคกร (Addressing security when dealing with customers) ตัวควบคุม : ตองระบุขอกำหนดทางดานความ มัน่ คงปลอดภัยสำหรับสารสนเทศขององคกร เมือ่ มีความจำเปนตองใหลูกคาหรือผูใชบริการเขาถึง สารสนเทศหรือทรัพยสินสารสนเทศขององคกร กอนที่จะอนุญาตใหสามารถเขาถึงได A.6.2.3 การระบุและจัดทำขอกำหนดสำหรับ หนวยงานภายนอกทีเ่ กีย่ วของกับความมัน่ คง ปลอดภัยสำหรับสารสนเทศขององคกร (Addressing security in third party agreements) ตัวควบคุม : ตองระบุและจัดทำขอกำหนดหรือ ขอตกลงทีเ่ กีย่ วของกับความมัน่ คงปลอดภัยสำหรับ สารสนเทศระหวางองคกรและหนวยงานภายนอก เมื่ อ มี ค วามจำเป น ต อ งให ห น ว ยงานนั้ น เข า ถึ ง สารสนเทศหรืออุปกรณประมวลผลสารสนเทศของ องคกร กอนทีจ่ ะอนุญาตใหสามารถเขาถึงได

A.7 การบริหารจัดการ ทรัพยสน ิ ขององคกร (Asset management)

A.7.1.3 การใชงานทรัพยสินที่เหมาะสม (Acceptable use of assets) ตัวควบคุม : ตองจัดทำกฎระเบียบ หรือหลักเกณฑ เปนลายลักษณอกั ษรสำหรับการใชงานสารสนเทศ และทรั พ ย สิ น ที่ เ กี่ ย วข อ งกั บ การประมวลผล สารสนเทศอย า งเหมาะสม เพื่ อ ป อ งกั น ความ เสี ย หายต อ ทรั พ ย สิ น เหล า นั้ น อั น เกิ ด จากการ ขาดความระมัดระวัง ขาดการดูแล และเอาใจใส เปนตน

A.7.2 การจัดหมวดหมส ู ารสนเทศ (Information classification)

A.7.1 หนาทีค ่ วามรับผิดชอบตอ ทรัพยสน ิ ขององคกร (Responsibility for assets)

วัตถุประสงค : เพือ่ ปองกันทรัพยสนิ ขององคกรจาก ความเสียหายที่อาจเกิดขึ้นได A.7.1.1 การจัดทำบัญชีทรัพยสนิ (Inventory of assets) ตัวควบคุม : ตองมีการจัดทำและปรับปรุงแกไขบัญชี ทรัพยสนิ ทีม่ คี วามสำคัญตอองคกรใหถกู ตองอยเู สมอ

A.7.1.2 การระบุผูเปนเจาของทรัพยสิน (Ownership of assets) ตัวควบคุม : ตองมีการระบุผเู ปนเจาของสารสนเทศ แตละชนิด และทรัพยสนิ ทีเ่ กีย่ วของกับการประมวลผล สารสนเทศตามที่กำหนดไวในบัญชีทรัพยสิน

วัตถุประสงค : เพื่อกำหนดระดับของการปองกัน สารสนเทศขององคกรอยางเหมาะสม A.7.2.1 การจัดหมวดหมทู รัพยสนิ สารสนเทศ (Classification guidelines) ตัวควบคุม : ตองจัดใหมีกระบวนการในการจัด หมวดหมูของทรัพยสินสารสนเทศตามระดับชั้น ความลับ คุณคา ขอกำหนดทางกฎหมาย และ ระดับความสำคัญที่มีตอองคกร ทั้งนี้ เพื่อจะได หาวิธีปองกันไดอยางเหมาะสม A.7.2.2 การจัดทำปายชื่อ และการจัดการ ทรัพยสินสารสนเทศ (Information labeling and handling) ตัวควบคุม : ตองมีขั้นตอนในการปฏิบัติในการ จัดทำปายชื่อและการจัดการทรัพยสินสารสนเทศ ที่ไดจัดหมวดหมูไวแลว

สำหรับฉบับนี้เราไดกลาวถึงบทหนึ่งใน ISO 27001:2005 ในสวนของ Annex A ซึ่งเปนตัว ควบคุมหนึ่งที่นำมาใชในการจัดทำ SoA (Statement of Applicability) และใชในการควบคุม ตรวจสอบองคกร เพื่อใหสามารถดำเนินกิจกรรมเกี่ยวกับ ISO 27001:2005 มาตรฐานความ ปลอดภัยขอมูลสารสนเทศ โดยกลาวถึงหัวขอ 5 ถึงขอ 7 ในฉบับหนาเราจะกลาวถึงสวนทีเ่ หลือ กันตอนะครับ สำหรับฉบับนี้คงตองขอลากันกอน พบกันใหมฉบับหนา สวัสดีครับ Bay Computing Newsletter l 8th Issue l 9

Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

TECHNOLOGY UPDATE

Virtualization Technology Fundamental Part II z โดย อวิรท ุ ธ เลีย้ งศิริ Enterprise Solution Manager, บริษทั เบย คอมพิวติง้ จำกัด

ปจจุบนั แนวโนมทางเทคโนโลยีเสมือน (Virtualization Technology) กำลังเปนแนวโนมใหมทใี่ นหลายๆ สาขา ของเทคโนโลยีสารสนเทศ กำลังนำไปปรับใช โดยบทความนี้จะนำเสนอภาพรวมของเทคโนโลยีเสมือน เพือ่ ใหเขาใจถึงทีม่ า ลักษณะพิเศษ และประโยชนทจี่ ะไดรบั สำหรับการศึกษาเพิม่ เติม หรือ นำเทคโนโลยีมาปรับใช กับการทำงานตอไป ภาพแสดงการทำงานของ เทคโนโลยี Virtualization

ตัวอยางของประโยชนทไี่ ดรบั จากการทำ Virtualization 1. Server consolidation โดยลดจำนวนเครือ่ งลง เพือ่ ให เกิดประสิทธิภาพสูงขึน้ 2. Green-IT initiative ลดปริมาณการใชพลังงานไฟฟา ทัง้ ในสวนของการประมวลผล และการทำความเย็น 3. เพิม่ Availability ของฮารดแวรและแอพพลิเคชัน 4. Utility computing สามารถเพิม่ ประสิทธิภาพของระบบ ไดตามตองการ และเมือ่ ตองการ เทคโนโลยี Virtualization ทีค่ วรจับตา 1. Virtual Appliance 2. Data center virtualization หรือ Cloud computing

Virtual Appliance

เทคโนโลยีใหมทนี่ ำการทำ Virtualization มาประยุกตใชใน การสราง Appliance เสมือนขึน้ โดยใช Server Hardware ทีห่ าไดทวั่ ไป โดยตัดปญหาเรือ่ งการติดตัง้ ระบบปฏิบตั กิ าร (Operating System) ลดเวลา และการบริหารจัดการที่ ติดตามมา เชน Patch, Configuration, Maintenance เปนตน โดยการทำงานคือ จะมีเลเยอรทที่ ำหนาทีท่ ำให Server Hardware ทีร่ องรับ และตรงตามขอกำหนดของ แตละเวนเดอร ซึ่งแตกตางกันไปในแตละยี่หอ ใหถูก จำลองเปน Server Hardware Virtual Platform เดียวกัน ในแงของผผู ลิต Appliance เอง คือ ทำใหผผู ลิต Appliance ไมจำเปนตองออกแบบและปรับ แตงซอฟตแวรใหรองรับฮารดแวรทหี่ ลากหลาย แตใหรองรับ เพียง Virtual Platform เดียว ทำใหไดประสิทธิภาพสูงกวา ลดเวลาในการคิดคนพัฒนา ลดปญหาในการใหบริการและซัพพอรต เพราะผลิต เพียงแคซอฟตแวร ไมจำเปนตองบริหารจัดการ inventory ของฮารดแวร ประหยัดคาใชจา ยยิง่ ขึน้ ในแงของผใู ชกไ็ ดประโยชนเชนกัน คือ ดวยการทีไ่ ดใชเซิรฟ เวอรเดิมทีม่ อี ยเู ดิม หรือหาไดงา ย ทัว่ ไปในตลาด แกไข ซอมแซม ปรับแตงไดงา ย โดยไมตอ ง

10 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

TECHNOLOGY UPDATE หวงเรือ่ งการรับประกันของผผู ลิต Appliance แบบเดิมๆ เพราะสามารถใชบริการของผูคา เซิรฟ เวอรตา งๆ เชน IBM, HP, Dell ไดอยาง เต็มที่ ซึง่ ปจจุบนั สวนใหญกจ็ ะรับประกัน 3 ป ทำใหประหยัดคาใชจา ยในการเตรียม stand-by Appliance หรือการซื้อ warranty ราคาสูง จากผูผลิต Appliance แบบเดิม ซึ่งภายใน ก็เปนเพียงฮารดแวรแบบเซิรฟ เวอรทวั่ ไป แกไขปญหาที่เกิดทั้งในแงฮารดแวรและ ซอฟตแวรไดเร็ว ในกรณีตอ งสราง Appliance ใหม ก็เพียงแคบตู เซิรฟ เวอรนนั้ ๆ ดวย CD หรือ DVD ทีไ่ ดรบั มาจากผผู ลิต และติดตัง้ ซอฟตแวร ทัง้ หมดตามขัน้ ตอนทีก่ ำหนด โดยใชเวลาทัว่ ไป ไมเกิน 10 นาที จากนั้นเซิรฟเวอรนั้นๆ ก็จะ สามารถทำงานไดเปนปกติอีกครั้ง ทำใหลด เวลาดาวนไทมเปนอยางมาก สามารถเพิม่ Scalability ไดงา ย โดย Appliance แบบเดิมนัน้ จะถูก lock เรือ่ งของการคอนฟก ฮารดแวร (hardware configuration) เชน CPU และ Memory เปนตน ทำใหประสิทธิภาพใน การทำงานถูกจำกัดที่รุนนั้นๆ แตในกรณีของ Virtual Appliance การทีส่ ามารถเลือกฮารดแวร ไดเอง ทำใหสามารถปรับเปลี่ยนฮารดแวรได งายกวา รวมถึงสามารถปรับเพิม่ ความสามารถ ไดเอง เชน เพิม่ หนวยความจำ (RAM) หรือพืน้ ที่ จัดเก็บ (Storage หรือ HDD) เปนตน ปจจุบนั ผผู ลิตเทคโนโลยี Virtualization หลายๆ แหง กำลังอยูในชวงของการผลักดันใหเทคโนโลยี Virtual Appliance เปนที่ยอมรับมากขึ้น ซึ่ง ประกอบดวย VMWare และ Novell SUSE Linux และผูผลิต Appliance บางราย เชน Symantec และ Trend Micro ก็ไดเลิกผลิต Appliance แบบเดิมๆ และนำเทคโนโลยี Virtual Appliance มาใชกบั ผลิตภัณฑในตลาด

Virtual Datacenter/ Cloud Computing

เป น เทคโนโลยี ที่ อ อกมารองรั บ คอนเซ็ ป ต “SAAS” หรือ Software As A Service ซึง่ เปน การเปลี่ ย นแปลงแนวคิ ด ในการใช ง าน ซอฟตแวรและแอพพลิเคชันจากเดิม โดยมองวา การบริหารจัดการดาตาเซ็นเตอร โดยการใช บริการจากผูใหบริการภายนอก และใชงาน

ระบบผานเครือขายแทน ทำใหสามารถเนน การบริหารจัดการไอทีในดานอื่นที่เกี่ยวของ โดยตรงกับธุรกิจไดดกี วา Cloud computing เปนแบบอยางของการทำ ใหเกิดความสะดวก สามารถเขาถึงเครือขายได เมือ่ ตองการ (on-demand network access) เพื่อเขาถึงทรัพยากรในการประมวลผลกลาง เชน Network, Server, Storage, Application และ Services ซึง่ สามารถเพิม่ ขยายไดรวดเร็ว และใชการบริหารจัดการหรือเกีย่ วของจากผใู ห บริการนอยมาก โดยการให บ ริ ก ารในลั ก ษณะนี้ มี ทั้ ง เป น ลักษณะใหบริการภายใน (Internal/Private) ภายนอก (External / Internet / Public) และ แบบผสม (Hybrid) มาตรฐานทีเ่ กีย่ วของกับ Virtual Datacenter และ Cloud Computing ประกอบดวย Application a. Communications (HTTP, XMPP) b. Security (OAuth, OpenID, SSL/TLS) c. Syndication (Atom) Client a. Browsers (AJAX) b. Offline (HTML) Implementations a. Virtualization (OVF) Platform a. Solution stacks (LAMP) Service a. Data (XML, JSON) b. Web Services (REST, SOAP) Storage a. SNIA Cloud Data Management Interface ประโยชนทไี่ ดรบั คือ สามารถเพิ่มความสามารถของระบบได ไมจำกัด ตราบเทาทีผ่ ใู หบริการสามารถรองรับได ไมจำเปนตองมีความรหู รือรับรถู งึ การทำงาน เบือ้ งหลัง สามารถเนนไปทีก่ ารใชระบบใหเกิด ประโยชนสูงสุด โดยไมตองกังวลในสวนของ Service Management และ Provisioning

การใชงานเทคโนโลยี Virtualization ใน อนาคต สิง่ ทีส่ ามารถยืนยันไดในขณะนีค้ อื รูปแบบของซอฟตแวรและแอพพลิเคชันใน อนาคต จะมีการเชือ่ มโยงกันระหวางแตละชิน้ ของเซอรวสิ เขาหากัน และมีการทำงานประสาน กันมากขึ้นเรื่อยๆ เชน เมื่อตองการภาพและ ขอมูลเกี่ยวกับแผนที่บนเว็บไซตของบริษัท ก็สามารถเชือ่ มโยงไปยัง maps.google.com เพือ่ ใชบริการ “นำทาง” “แสดงแผนที”่ และอืน่ ๆ ทีเ่ กีย่ วของได เปนตน โดย Gartner กลาววา ใน อนาคต Cloud Computing จะเปนสิง่ ทีม่ คี วาม สำคัญ เทียบเทากับ E-Business ในปจจุบนั การใชงานทรัพยากรในการประมวลผลจะ เพิ่มการทำงานในแบบเสมือนมากขึ้นเรื่อยๆ จนกระทัง่ การติดตัง้ หรือใชงานซอฟตแวรแบบ เดิมๆ จะลดนอยลง เหลือเพียงการบริหาร จัดการ “Image” ของระบบปฏิบตั กิ ารตางๆ และ การทีร่ ะบบสามารถ migrate “Image” เหลานัน้ ไดอยางอิสระ จะทำใหดาวนไทมอันเกิดจาก ฮารดแวรลดนอยลง การศึกษาและเรียนรเู ทคโนโลยีทจี่ ะเปนสิง่ สำคัญในอนาคตอันใกลนี้ เปนสิง่ จำเปนที่ ทุกทานพึงตระหนักและเตรียมตัว รวมถึงใช ประโยชนจากเทคโนโลยีใหมอยางเหมาะสม เมือ่ ถึงเวลาทีถ่ กู ตอง ทีม่ า 1 www.vmware.com 2 www.citrix.com 3 www.wikipedia.org Bay Computing Newsletter l 8th Issue l 11

Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SOLUTION UPDATE

Guardium 7

การบริการจัดการความปลอดภัยของฐานขอมูล และวงจรการปฏิบัติตามขอบังคับตางๆ องคกรระดับโลกนับพันแหง ไดใหความไววางใจตอ Guardium ในการรักษาความปลอดภัยขอมูลทีส่ ำคัญๆ ขององคกร ซึง่ เรา ไดจดั เตรียมโซลูชนั ทีแ่ ข็งแกรงและงายตอการใชงาน เพือ่ ปกปองขอมูล ทางดานการเงิน ขอมูลอีอารพี ขอมูลเกีย่ วกับลูกคา ขอมูลผถู อื บัตรเครดิต รวมไปถึงทรัพยสนิ ทางปญญาอืน่ ๆ ขององคกรของคุณ แพลตฟอรมความปลอดภัยระดับองคกรของเราสามารถปองกันพฤติกรรม ทีน่ า สงสัย หรือกิจกรรมใดๆ ทีก่ ระทำโดยไมไดรบั สิทธิหรือไมมสี ทิ ธิได ซึง่ พฤติกรรมหรือกิจกรรมดังกลาว อาจจะกระทำโดยคนในองคกรเองหรือ แฮกเกอรจากภายนอกก็ได แพลตฟอรมของเราสามารถสอดสองดูแล (monitoring) ไมใหเกิดการฉอฉลหรือกลโกงใดๆ ทีก่ ระทำโดยผใู ชงาน แอพพลิเคชันตางๆ ขององคกร ไมวาแอพพลิเคชันนั้นจะเปน Oracle

E-Business Suite, PeopleSoft, SAP หรือเปน แอพพลิเคชันอืน่ ๆ ทีอ่ งคกรพัฒนาขึน้ มาใชเอง ในเวลาเดียวกัน โซลูชนั ของเราสามารถปรับให ประสิทธิภาพในการดำเนินงานสูงขึ้นได ดวย สถาปตยกรรมมัลติเทียร (multi-tier architecture) ทีท่ ำใหแอพพลิเคชันและโครงสรางพืน้ ฐานทาง ดานฐานขอมูลภายในองคกรของคุณมีความ เป น อั ต โนมั ติ และมี ค วามสอดคล อ งกั บ กฎระเบียบหรือขอบังคับ (compliance) ของ หนวยงานตางๆ เปนอยางดี โดยผานการบริหาร จัดการจากศูนยกลางเปนหลัก

โซลูชนั ทีค่ รบวงจร

ด ว ยพื้ น ฐานของการ ทำงานบนคอนโซลที่ ครบวงจร และคลั ง ข อ มู ล ที่ อ ยู เ บื้ อ งหลั ง Guardium เสนอโมดูล ที่ผนึกกำลังและทำงาน รวมกัน เพือ่ การบริหาร จัดการความปลอดภัย ของฐานขอมูลทั้งหมด รวมไปถึงบริหารจัดการ วงจรการปฏิ บั ติ ต าม ขอบังคับตางๆ ดวย

Guardium 7 เปนโซลูชนั ทีจ่ ะสามารถแกไขปญหาความปลอดภัยของฐานขอมูลและวงจรการปฏิบตั ติ ามกฎระเบียบหรือ นโยบายตางๆ (compliance lifecycle) ไดดว ยเว็บคอนโซลทีท่ ำงานไดอยางครอบคลุมและครบวงจร รวมไปถึงระบบคลังขอมูล เบือ้ งหลัง (back-end data store) และการทำงานอัตโนมัตแิ บบเวิรก โฟลว (workflow automation) ซึง่ ชวยใหคณ ุ สามารถ : ระบุตำแหนงและจัดกลมุ ขอมูลทีม่ คี วามออนไหว ภายในฐานขอมูลขององคกรคุณได เขาถึงชองโหวหรือจุดออนทางดานฐานขอมูล รวมไปถึงความบกพรองหรือผิดพลาดในการกำหนดคา Configuration ตางๆ ดวย แนใจไดวา คา Configuration ตางๆ ถูกเก็บไวเปนความลับ โดยเฉพาะอยางยิง่ เมือ่ มีการเปลีย่ นแปลงคาตางๆ 12 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SOLUTION UPDATE จั ด เตรี ย มระดั บ การมองเห็ น และการ เขาถึงทุกทรานสแอ็กชันของฐานขอมูล เพือ่ เขาถึงแพลตฟอรมและโพรโตคอลตางๆ ได อยางปลอดภัย ดวยวิธี tamper-proof audit trail ทีร่ องรับการแบงระดับการเขาถึงตามหนาที่ รับผิดชอบ สอดสองดูแลและบังคับใชนโยบาย โดย เฉพาะในแงของการเขาถึงขอมูลทีอ่ อ นไหว การ ดำเนินการของผูใชงานที่ไดรับสิทธิบางอยาง การควบคุมการเปลีย่ นแปลง กิจกรรมของผใู ช งานทัว่ ไป และกรณีพเิ ศษดานความเปลอดภัย เชน การล็อกอินลมเหลว เปนตน ทำใหกระบวนการตรวจสอบการปฏิบตั ติ าม กฎระเบียบหรือนโยบายตางๆ (compliance auditing process) เปนไปอยางอัตโนมัติ โดย รวมไปถึงการแจกจายรายงานใหทีมงาน การ ยกระดับรายงานดวยรายงานทีก่ ำหนดลวงหนา (pre-configured reports) สำหรับ SOX, PCI-DSS และความเปนสวนตัวของขอมูล (data privacy) สรางคลังในการตรวจสอบแบบรวมศูนย (centralized audit repository) เพือ่ ประโยชน ทางดานการรายงานการปฏิบตั ติ ามกฎระเบียบ หรือนโยบายขององคกร การปรับปรุงประสิทธิภาพ การสืบสวนสอบสวนไปจนกระทั่งถึงการใช ประโยชนในกรณีทถี่ งึ กับตองขึน้ โรงขึน้ ศาล ปรับขนาดไดงายดาย ตั้งแตการปกปอง ฐานขอมูลแบบเดีย่ วๆ (single database) ไปจนถึง การปกปองฐานขอมูลนับพันๆ ในดาตาเซนเตอร แบบกระจาย (distributed data centers) ทีอ่ ยู ทัว่ โลก

สำรวจและจัดกลม ุ

เคยผานการควบรวมกิจการมากอน หรือองคกร ทีม่ รี ะบบดัง้ เดิมทีต่ กทอดกันมาอยางยาวนาน (legacy systems) จนกระทั่งหาตัวผูพัฒนา ระบบดังกลาวไมพบแลว หรือแมแตในกรณีที่ ดีกวานั้นมาก นั่นคือในระบบที่มีพัฒนาการ อยางตอเนือ่ งทัง้ โครงสรางของแอพพลิเคชันและ ฐานขอมูล เพื่อสนับสนุนความตองการใหมๆ ทางธุรกิจนั้น ก็ยังอาจจะทำใหนโยบายความ ปลอดภัยทีไ่ มมแี รงสนับสนุนมากพอ กลายเปน เรื่องที่ถูกมองขามไปได และเปนสาเหตุให ขอมูลทีส่ ำคัญถูกปลอยทิง้ ไวโดยไมไดรบั ความ คมุ ครองในทีส่ ดุ

ดวย Guardium นัน้ คุณสามารถใชคณ ุ สมบัตใิ น การสำรวจฐานขอมูลแบบอัตโนมัติ (database auto-discovery) และคุณสมบัติการจัดกลุม ขอมูล (information classification) เพือ่ ระบุวา ขอมูลทีม่ คี วามสำคัญอยทู ใี่ ดบาง จากนัน้ ก็ใช เครื่องหมายหรือปายที่สามารถปรับแตงได (customizable classification labels) เพือ่ บังคับ ใชนโยบายดานความปลอดภัยอยางอัตโนมัติ ซึง่ จะเปนการแบงระดับความสำคัญของขอมูล ไปในตั ว และวิ ธี ก ารดั ง กล า วก็ จ ะเป น การ รั บ ประกั น ว า ผู ใ ช ง านที่ มี สิ ท ธิ เ ท า นั้ น ที่ จ ะ สามารถดูหรือแกไขขอมูลทีส่ ำคัญดังกลาวได

องคกรตางๆ พบวา เปนเรือ่ งยากมากทีจ่ ะ :

คุณสามารถกำหนดใหการคนหาหรือสำรวจ หาขอมูลที่สำคัญนั้นทำงานเปนระยะๆ ตาม เวลาที่กำหนด (regular basis) ไดดวย เพื่อ ปองกันเซิรฟเวอรบางตัวที่ทำงานในแบบที่เรา ไมไดตองการ อีกทั้งเปนการทำใหแนใจวาจะ ไมมขี อ มูลใดๆ ทีส่ ำคัญถูกลืมหรือตกหลนไปดวย

จัดทำแผนผังหรือรายละเอียดของดาตาเบส เซิรฟ เวอรทมี่ ขี อ มูลทีส่ ำคัญๆ อยไู ดอยางสมบูรณ และเห็นภาพไดอยางชัดเจน รวมทั้งเปนเรื่อง ยากดวย ที่จะเขาใจวามีการเขาถึงดาตาเบส เซิรฟเวอรดังกลาวมาจากแหลงใดบาง (เชน จากแอพพลิเคชันธุรกิจ จากการประมวลผล แบตช จากการคิวรีข่ อ มูลโดยตรง จากผพู ฒ ั นา แอพพลิเคชัน หรือจากผดู แู ลระบบ เปนตน) รักษาความปลอดภัยใหกบั ขอมูลและบริหาร จัดการความเสีย่ ง ในเมือ่ ไมรหู รือไมตระหนักถึง ระดับความสำคัญหรือความออนไหวของขอมูล ทีเ่ ก็บอยอู ยางแทจริง แนใจไดวาทุกอยางเปนไปตามกฎระเบียบ และนโยบาย ในเมื่ อ ยั ง ไม เ ป น ที่ ชั ด เจนว า ขอมูลใดอยภู ายใตการบังคับหรือการดูแลของ กฎระเบียบและนโยบายใดบาง

ประเมิน และสรางความแข็งแกรง

ประเมินจุดออน คากำหนด และพฤติกรรม การประเมินความปลอดภัยของฐานขอมูลนั้น Guardium จะสแกนโครงสร า งฐานข อ มู ล ทั้งหมดของคุณเพื่อหาจุดออน และจัดเตรียม การประเมินสถานการณความปลอดภัยของ ฐานขอมูลของคุณในโอกาสตอไป โดยการใช ทัง้ ขอมูลแบบเรียลไทมและขอมูลในอดีต

กำหนดตำแหนง จัดกลมุ และเพิม่ ความ ปลอดภัยใหขอมูลที่ออนไหว ในขณะที่องคกรตางๆ ไดสรางและคงไวซึ่ง อัตราการเพิม่ ขึน้ ของปริมาณขอมูลดิจติ อลนัน้ พวกเขาพบวาเปนเรื่องที่ยากขึ้นเรื่อยๆ ที่จะ กำหนดตำแหนง (locate) และแยกแยะหรือ จัดกลุม (classify) ขอมูลที่มีความสำคัญๆ หรือขอมูลทีม่ คี วามออนไหวตอความปลอดภัย (sensitive information) ไดอยางแมนยำ เรื่องดังกลาวเปนเรื่องที่ทาทายสำหรับองคกร เปนจำนวนมาก โดยเฉพาะอยางยิ่งองคกรที่ Bay Computing Newsletter l 8th Issue l 13 Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SOLUTION UPDATE Guardium จะจัดเตรียมไลบรารี่ที่ครอบคลุม และสมบูรณแบบของการทดสอบทีก่ ำหนดคา เอาไวลว งหนา (a comprehensive library of preconfigured tests) โดยตั้งอยูบนแนวทาง ปฏิบตั ทิ ดี่ ที สี่ ดุ ของธุรกิจ (industry best practices) นัน้ ๆ เชนเดียวกับความไมมนั่ คงเฉพาะแพลตฟอรม (platform-specific vulnerabilities) ที่มีการ อั พ เดตอย า งสม่ำ เสมอผ า นบริ ก ารบอกรั บ สมาชิก (subscription service) ของ Guardium ซึ่งคุณสามารถปรับแตงการทดสอบใหตรงกับ ความตองการที่เฉพาะเจาะจงได ในขณะที่ โมดูลสำหรับการประเมิน จะทำเครื่องหมาย (flags) ช อ งโหว ที่ เ กี่ ย วกั บ การปฏิ บั ติ ต าม กฎระเบียบตางๆ ดวย เชน การเขาถึงโดยไมมี สิทธิ เปนตน ทั้งนี้ เพื่อเก็บรักษาหรือสงวน (reserved) ตารางฐานขอมูล (database table) ของ Oracle EBS และ SAP เพือ่ ใหเปนไปตาม ขอกำหนดของ SOX and PCI-DSS นัน่ เอง การประเมินจะถูกแบงออกเปน 2 ประเภท กวางๆ ดวยกัน นัน่ คือ : การทดสอบจุดออนและคา Configuration ตางๆ เพือ่ มองหาชองโหวตา งๆ เชน การขาด การอัพเดตแพตช และการกำหนดสิทธิอยาง ไมถกู ตอง เปนตน การทดสอบดานพฤติกรรม เพื่อระบุจุด บกพรองบนพื้นฐานของการเขาถึงและจัดการ ฐานขอมูล เชน จำนวนครั้งที่มีการ ล็อกอินผิดพลาด คำสั่งตางๆ ที่

มีการสัง่ จากไคลเอ็นต หรือการล็อกอินหลังเวลา เลิกงาน เปนตน ทั้งนี้ โดยการสอดสองดูแล ทราฟฟกฐานขอมูลแบบเรียลไทมนนั่ เอง นอกจากนี้ เพื่อที่จะจัดทำรายงานตางๆ ที่มี รายละเอียดและเรียกดูไดงา ย โมดูลสำหรับการ ประเมินยังไดจดั ทำการดรายงานความสมบูรณ ของความปลอดภัย (security health report card) ดวยตัวชีว้ ดั แบบถวงน้ำหนัก (weighted metrics) ซึง่ ตัง้ อยบู นพืน้ ฐานของแนวทางในการ ดำเนินการที่ดีที่สุด และเปนการแนะนำแผน ปฏิบตั กิ ารทีแ่ ข็งแกรง เพือ่ เพิม่ ระดับความมัน่ คง ใหกบั ฐานขอมูล ควบคุมคากำหนด และติดตามการเปลี่ยนแปลง เมื่ อ คุ ณ ได อิ ม พลี เ มนต ก ารดำเนิ น การหรื อ ปฏิบตั กิ ารทีแ่ นะนำ (recommended actions) ซึ่ ง จั ด ทำขึ้ น มาจากการประเมิ น จุ ด อ อ น (vulnerability assessment) นัน้ ในตอนนีค้ ณ ุ สามารถกำหนดขอบเขตคากำหนดทีป่ ลอดภัย (secured configuration baseline) ไดแลว ซึง่ ดวยการใชระบบตรวจสอบการเปลี่ยนแปลง (change audit system) ของ Guardium นัน้ คุณ สามารถสอดสองดูแลความเปลี่ยนแปลงใดๆ ทีเ่ กิดภายในขอบเขตดังกลาวได และมัน่ ใจได ว า การเปลี่ ย นแปลงที่ เ กิ ด ขึ้ น จะไม ไ ด อ ยู นอกเหนือนโยบายและกระบวนการควบคุม การเปลีย่ นแปลงดวย

สอดสองดูแลและบังคับใช

สอดสองดูแลและบังคับใชนโยบายเพือ ่ ความปลอดภั ย ของฐานข อ มู ล และ ควบคุมการเปลี่ยนแปลง Guardium จะจัดเตรียมนโยบายการเขาถึงแบบ เรียลไทม เพือ่ ปองกันการดำเนินการใดๆ ทีไ่ มมี สิทธิหรือเปนที่นาสงสัยของแอ็กเคานตฐาน ขอมูลทีม่ สี ทิ ธิพเิ ศษ เชนเดียวกับการโจมตีจาก ผู ใ ช ง านที่ ไ ม ซื่ อ ตรง หรื อ จากผู บุ ก รุ ก จาก ภายนอกก็ตาม คุณสามารถระบุตัวผูใชงาน แอพพลิเคชันที่เปลี่ยนแปลงฐานขอมูลโดยที่ ไมมีสิทธิได ผานแอพพลิเคชันแบบมัลติเทียร (multi-tier applications) ทีเ่ ขาถึงฐานขอมูลผาน แอ็กเคานตบริการทั่วไป เชน Oracle EBS, PeopleSoft, Siebel, SAP และระบบทีป่ รับแตง ไดอื่นๆ ที่อยูบนแอพพลิเคชันเซิรฟเวอร เชน IBM WebSphere, BEA WebLogic และ Oracle AS เปนตน โซลูชันดังกลาว สามารถบริหารจัดการโดย พนั ก งานฝ า ยความปลอดภั ย ของข อ มู ล (information security personnel) โดยทีไ่ มตอ ง ไปเกีย่ วของกับผบู ริหารฐานขอมูล (database administrators) แตอยางใด คุณสามารถ กำหนดนโยบายการเขาถึงที่จำกัดการเขาถึง ตารางทีเ่ ฉพาะเจาะจง (specific tables) ได โดย ตัง้ อยบู นพืน้ ฐานของสิง่ ตางๆ เชน การล็อกอิน เขาสโู อเอส ไอพี แมคแอดเดร็ส แอพพลิเคชัน ต น ทาง ช ว งเวลาในแต ล ะวั น โพรโตคอล เครือขาย และชนิดของคำสัง่ เอสคิวแอล เปนตน วิเคราะหทราฟฟก ของฐานขอมูลทัง้ หมดอยางตอเนือ ่ ง Guardium สามารถสอดสองดูแลการดำเนิน กิ จ กรรมใดๆ ของฐานข อ มู ล ทั้ ง หมดแบบ เรียลไทมไดอยางตอเนือ่ ง โดยใชการวิเคราะห เชิงภาษา (linguistic analysis) เพือ่ ดักจับการ เขาถึงทีไ่ มมสี ทิ ธิ โดยอาศัยขอมูลทีอ่ ยแู วดลอม (contextual information) หรือบริบทรอบขาง นัน่ เอง ซึง่ ขอมูลดังกลาวจะใหรายละเอียดไดวา ใคร ทำอะไร ทีไ่ หน เมือ่ ไร และอยางไร ในแตละ เอสคิวแอล ทรานสแอ็กชัน (SQL transaction) ได ซึ่งวิธีการที่เปนเทคนิคเฉพาะตัวนี้เชนนี้ จะชวยลดผลบวกลวง (false positives) และ

14 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SOLUTION UPDATE ผลลบลวง (false negatives) ได ในขณะที่ จะเปนการจัดเตรียมระดับของการควบคุมใน แบบใหมที่ไมเคยมีมากอนได ซึ่งจะตางจาก วิ ธี ก ารแบบเดิ ม ที่ จ ะมองหาเพี ย งรู ป แบบ (pattern) หรือเครื่องหมาย (signature) ที่มี การกำหนดเอาไวแลวเทานัน้ กำ ห น ด ข อ บ เ ข ต เ พื่ อ ต ร ว จ จั บ พฤติกรรมที่ผิดที่ผิดทางและกำหนด นโยบายเพือ ่ ความเปนอัตโนมัติ โดยการกำหนดขอบเขตและการระบุ ทั้ ง กระบวนการทางธุ ร กิ จ ตามปกติ แ ละสิ่ ง ที่ ดูเหมือนจะเปนกิจกรรมที่ไมปกติ ระบบจะ แนะนำนโยบายที่คุณสามารถใชเพื่อปองกัน การจโู จมอยาง SQL Injection ไดโดยอัตโนมัติ ในขณะที่คุณสามารถเพิ่มนโยบายเพื่อการ ปรับแตง (custom policies) เขาไปไดอยาง งายดาย ผานดรอปดาวนเมนูที่ชาญฉลาด (intuitive drop-down menus) ความปลอดภัยแบบเรียลไทมเชิงรุก Guardium ไดจัดเตรียมคลังของสวนควบคุม แบบเรียลไทม (arsenal of real-time controls) เพือ่ ตอบสนองตอพฤติกรรมทีไ่ มมสี ทิ ธิหรือผิดที่ ผิดทางไดอยางเชิงรุก การดำเนินการโดยตั้ง อยูบนพื้นฐานของนโยบาย (policy-based actions) สามารถรวมการเตือนความปลอดภัย แบบเรียลไทมได โดยการใช SMTP, SNMP หรือ Syslog เปนตน รวมไปถึงสามารถสะกัดกั้น (ผานการรีเซต TCP หรือเทคนิคของไฟรวอลลใน ระดับ In-line Data) และยอมใหมกี ารล็อกอิน โดยสมบูรณดว ย นอกจากนี้ ยังรวมไปถึงการ ดำเนินการตามความตองการ เชน การล็อก แอ็กเคานตโดยอัตโนมัติ การปดพอรตวีพีเอ็น และการประสานการทำงานรวมกับระบบไอดีเอส หรือไอพีเอสทีอ่ ยรู อบขาง (Perimeter IDS/IPS) เปนตน

ติดตอกับผใู ชในสวนของธุรกิจ (business user interface) และการทำงานแบบอัตโนมัติดวย เวิรก โฟลว (workflow automation) เพือ่ วิเคราะห และแกปญ  หาความไมปลอดภัยทีเ่ กิดขึน้ รวมดวย สวนควบคุมทีเ่ ปนกราฟก (graphical dashboard) เพือ่ การติดตามตัวชีว้ ดั ทีส่ ำคัญๆ เชน จำนวน ครัง้ ทีเ่ กิดเหตุการณตา งๆ ระดับของความรุนแรง และระยะเวลาทีเ่ กิดเหตุการณขนึ้ เปนตน

ตรวจสอบและรายงานผล

ติดตามรองรอยกิจกรรมตางๆ Guardium สรางรองรอยกิจกรรมตางๆ ของ ฐานข อ มู ล ทั้ ง หมด ซึ่ ง จะถู ก วิ เ คราะห แ ละ คัดกรองตามนัยทีม่ ี (contextually analyzed and filtered) แบบเรียลไทมอยางตอเนือ่ ง เพือ่ เสริมความแข็งแกรงใหสวนควบคุมที่ทำงาน เชิงรุก (proactive controls) และสรางขอมูลที่ เฉพาะเจาะจงทีเ่ ปนทีต่ อ งการของผตู รวจสอบ รายงานผลการดำเนินงาน (resulting reports) จะแสดงใหเห็นถึงการปฏิบัติตามกฎระเบียบ โดยจะมีการจัดเตรียมโปรไฟลทมี่ รี ายละเอียด เกี่ยวกับกิจกรรมของฐานขอมูลทั้งหมด เชน การล็อกอินที่ลมเหลว การยกระดับสิทธิ การ เปลี่ยนแปลงแผนงาน การเขาถึงในชวงนอก เวลางาน การเขาถึงจากแอพพลิเคชันทีไ่ มมสี ทิ ธิ และการเขาถึงตารางทีม่ คี วามออนไหว เปนตน ตัวอยางเชน ระบบจะสอดสองดูแลสิ่งตางๆ เหลานี้ :

ขอยกเวนดานความปลอดภัย เชน คำสั่ง เอสคิวแอลที่ผิดพลาด และล็อกอินลมเหลว เปนตน คำสัง่ DDL เชน Create, Drop หรือ Alter ที่ ทำกับตาราง ซึง่ เปนการเปลีย่ นโครงสรางฐาน ขอมูล ซึ่งเปนสิ่งสำคัญเปนพิเศษตอขอบังคับ ทีเ่ กีย่ วกับความโปรงใสของขอมูล เชน ขอบังคับ ของ SOX เปนตน คำสั่งเรียกดูขอมูล SELECT ซึ่งสำคัญเปน พิเศษ สำหรับขอบังคับที่เกี่ยวกับความเปน สวนตัวของขอมูล เชน PCI เปนตน คำสัง่ DML (Insert, Update, Delete) รวม ไปถึงตัวแปรทีผ่ กู อยู (bind variables) ดวย คำสั่ง DCL ที่ควบคุมแอ็กเคานต บทบาท และการอนุญาต (GRANT, REVOKE) ภาษาโพรซิเยอร (procedural languages) ที่สนับสนุนโดยแพลตฟอรม DBMS แตละ แพลตฟอรม เชน PL/SQL (Oracle) และ SQL/ PL (IBM) เปนตน การเอ็กซีควิ ต XML โดยฐานขอมูล รายงานที่ชาญฉลาด โซลูชนั Guardium มีนโยบายทีก่ ำหนดเอาไว ลวงหนา (preconfigured policies) กวา 100 นโยบาย และมีรายงานทีอ่ งิ ตามแนวทางปฏิบตั ิ ทีด่ ที สี่ ดุ และประสบการณในการทำงานรวมกับ บริษทั ชัน้ นำระดับโลกทีต่ ดิ อันดับ Global 1000 รวมไปถึงบริษทั ตรวจสอบบัญชียกั ษใหญทงั้ 4 และทีป่ รึกษากฎหมายทัว่ โลก รายงานเหลานี้

ติดตามเหตุการณดา นความปลอดภัย การปฏิบตั ติ ามกฎระเบียบตางๆ ทำใหองคกร ตองแสดงใหเห็นวา เหตุการณตา งๆ มีการถูก บันทึก วิเคราะห และพิจารณาดวยวิธีการที่ เหมาะสม อี กทั้ งตองมี การรายงานตอฝา ย บริหารดวย ซึ่ง Guardium ไดจัดเตรียมสวน Bay Computing Newsletter l 8th Issue l 15 Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SOLUTION UPDATE European Data Centers S-TAPs

S-TAPs

America Data Centers

Internet

Remote Locations

Database Firewall

S-TAPs Customers, Partners, Outsourcers

S-TAPs

Asia Pacific Data Centers

Z-TAPs

Collector Appliance

Master Aggregation Server & Central Manager in HQ

Collector Appliance S-TAPs

โซลูชน ั ทีค ่ รบวงจร

ดวยพื้นฐานของการทำงานบนคอนโซลที่ครบวงจร และคลังขอมูลทีอ่ ยเู บือ้ งหลัง Guardium เสนอโมดูลที่ ผนึกกำลังและทำงานรวมกัน เพือ่ การบริหารจัดการ ความปลอดภัยของฐานขอมูลทั้งหมด รวมไปถึง บริหารจัดการวงจรการปฏิบตั ติ ามขอบังคับตางๆ ดวย

ชวยจัดการในเรื่องความตองการปฏิบัติตาม ขอบังคับตางๆ เชน SOX, PCI และกฎหมาย ความเปนสวนตัวของขอมูล รวมไปถึงทำใหเกิด ประสิทธิภาพในแผนงานดานความรับผิดชอบ และความเปนสวนตัวของขอมูลดวย นอกเหนือไปจากเทมเพลตรายงานทีจ่ ดั เตรียม มาใหแลว Guardium ยังมีสวนติดตอกราฟก แบบลากแลวปลอย (drag-and-drop interface) ทีช่ ว ยใหคณ ุ สามารถสรางรายงานรูปแบบใหมๆ หรือดัดแปลงรายงานทีม่ อี ยแู ลวไดอยางงายดาย รายงานตางๆ สามารถถูกสงผานอีเมลไปยังผใู ช ในรูปของไฟล PDF ไดโดยเปนไฟลแนบ หรือ อาจจะเปนลิงกเชือ่ มโยงสเู ว็บเพจ HTML ก็ได เวิรก  โฟลวอต ั โนมัติ ดวยความแตกตางทีไ่ มเหมือนใคร แอพพลิเคชัน Compliance Workflow Automation ของ Guardium ทำใหกระบวนการทีเ่ ปน Compliance Workflow ทัง้ หมด มีประสิทธิภาพและงายขึน้

ช ว ยให ก ระบวนการต า งๆ เช น การจั ด ทำ รายงานเพือ่ การตรวจสอบ มีความเปนอัตโนมัติ มากขึน้ ดวย

ปรับขนาดได ตามองคกรของคุณ

ไรซึ่งการบุกรุก ดวยความสามารถในการ มองเห็นทุกธุรกรรมของฐานขอมูล รวมถึงการ เขาถึงจากโลคัล (local access) โดยผใู ชงานที่ มีสทิ ธิ ทีไ่ มสง ผลกระทบตอประสิทธิภาพ หรือ สรางความเปลีย่ นแปลงใหเกิดกับฐานขอมูล ความเปนอิสระของ DBMS ดวยโซลูชัน ข า มแพลตฟอร ม ที่ ไ ม จำเป น ต อ งพึ่ ง พาการ ล็อกอินหรือการตรวจสอบแบบเดิมๆ อีกตอไป ทำงานแบบฮารดแวร ดวยชุดซอฟตแวรที่ ทำงานในลักษณะโมดูล ซึง่ พัฒนาบนเคอรเนล ของลีนุกซ เพื่อการติดตั้งใชงานที่รวดเร็วผาน อุปกรณฮารดแวร (black box appliances) ซึง่ มีทงั้ อุปกรณทมี่ สี ตอเรจในตัว อุปกรณทตี่ ดิ ตัง้ แอพพลิเคชันมาแลว และอุปกรณที่มีระบบ บริหารจัดการอยใู นนัน้ มีการมอนิเตอรที่ยืดหยุน ผานเครื่องมือ ตรวจสอบแบบ Host-based รวมไปถึง SPAN port และ Network TAP เปนตน ความพรอมของโครงสรางพื้นฐาน ซึ่ง สนับสนุน SNMP, SMTP, Syslog, LDAP, Kerberos, RSA SecureID, ระบบเปลีย่ นการ

ติดปาย (change ticketing systems) เชน BMC Remedy, CEF และการผนวกรวมเข า กั บ แพลตฟอรม SIEM หลักๆ ทุกแพลตฟอรม เปนมัลติเทียร Guardium เปนเจาเดียวใน วงการ ทีร่ วบรวม (aggregate) และนอรมอไลซ (normalize) ขอมูล เพื่อการตรวจสอบอยาง อัตโนมัติ จากหลากหลายระบบและตำแหนง แลวเก็บไวในคลังหรือหนวยเก็บ (repository) ที่ เปนศูนยกลางเพือ่ การตรวจสอบ บริหารจัดการจากศูนยกลาง ดวยการ บริหารจัดการนโยบายความปลอดภัยทีค่ รอบคลุม ทัง้ องคกรผานเว็บคอนโซล (web console) ปรับขนาดได เมื่อจำนวนเซิรฟเวอรหรือ ปริ ม าณทราฟฟ ก ที่ ต อ งมอนิ เ ตอร มี ม ากขึ้ น ระบบนี้สามารถเพิ่มอุปกรณเพื่อจัดการกับ โหลดทีเ่ พิม่ ขึน้ ไดอยางงายๆ และดวยอัลกอริธมึ ของสตอเรจที่ชาญฉลาด และไดรับการจด สิทธิบัตรนั้น จะชวยเพิ่มประสิทธิภาพใหกับ สตอเรจไดกวา 100 เทา เมือ่ เทียบกับสตอเรจ แบบ Flat file-based ทัว่ ๆ ไป คลังเก็บขอมูลสำหรับตรวจสอบทีเ่ ชือ่ ถือ ได (Tamper-Proof Audit Repository) โดยมี การรับรองทีเ่ ขมแข็ง ซึง่ ไมใหใครสามารถเขาถึง ขอมูล รวมถึงมีการเขารหัสขอมูลไวดว ย ทำงานตามหนาทีท่ ไี่ ดรบั โดยการเขาถึงโมดูล ตางๆ และขอมูลจะถูกควบคุมโดยบทบาท หนาทีท่ ไี่ ดรบั ภายในองคกร

16 l Bay Computing Newsletter l 8th Issue Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

SOLUTION UPDATE โซลูชันครบวงจร สำหรับสภาพแวดลอมทีแ่ ตกตาง

สนับสนุน DBMS ทีห ่ ลากหลาย โซลูชนั ขามแพลตฟอรมของ Guardium สนับสนุนแพลตฟอรม DBMS ตัวหลักๆ ไดทุกตัว รวมไปถึงสนับสนุนโพรโตคอลที่ทำงานบนระบบ ปฏิบตั กิ ารหลักทุกๆ ตัวดวย เชน Windows, UNIX, Linux และ z/OS เปนตน

สอดสองดูแลแบบ Host-Based S-TAP เปนเครือ่ งมือทางดานซอฟตแวรทมี่ ขี นาดไมเล็กไมใหญ ซึง่ ทำหนาที่ มอนิเตอรทงั้ เครือขายและโพรโตคอลฐานขอมูลแบบโลคัล (local database protocol) เชน shared memory และ named pipes เปนตน โดยจะทำงาน ในระดับโอเอสของดาตาเบสเซิรฟ เวอร และ S-TAP จะสรางผลกระทบตอ ประสิทธิภาพของเซิรฟ เวอรใหนอ ยทีส่ ดุ โดยการสงผานทราฟฟกทัง้ หมด ไปยังอุปกรณ Guardium คนละตัวกัน เพือ่ การวิเคราะหและการรายงาน แบบเรียลไทม มากกวาการใหฐานขอมูลดำเนินการและจัดเก็บขอมูล log ดวยตัวเอง S-TAP มักไดรบั การใหความสำคัญในลำดับแรก เพราะ S-TAP ชวยขจัดความจำเปนในการใชอุปกรณฮารดแวรเฉพาะ (dedicated hardware appliance) ในพืน้ ทีห่ า งไกล (remote location) หรือ SPAN port ในดาตาเซ็นเตอรของคุณ

Pooling” (เปนการเปดคอนเน็กชันฐานขอมูลเอาไวลว งหนาจำนวนหนึง่ ) ซึ่งในสภาพแวดลอมดังกลาว ทราฟฟกของผูใชงานทั้งหมดจะถูกรวม อยใู นคอนเน็กชันของฐานขอมูลเพียงไมกคี่ อนเน็กชันเทานัน้ และมีการ ระบุเพียงชือ่ แอ็กเคานตแอพพลิเคชันทัว่ ไป (generic application account name) เทานัน้ ซึง่ เปนการปดซอนตัวตนทีแ่ ทจริงของผใู ชงาน นอกจากนี้ Guardium ยังสนับสนุนการมอนิเตอรแอพพลิเคชันสำหรับทุกแอพพลิเคชัน ระดับองคกรตัวหลักๆ ที่มีในตลาด และสนับสนุนแอพพลิเคชันอื่นๆ รวมถึงแอพพลิเคชันทีอ่ งคกรพัฒนาขึน้ เอง ทีใ่ ชมอนิเตอรทรานสแอกชัน ทีร่ ะดับแอพพลิเคชันเซิรฟ เวอรดว ย

เกีย ่ วกับ Guardium

Guardium เปนบริษทั ดานความปลอดภัยของฐานขอมูล ทีม่ อบโซลูชนั ที่มีการใชงานกันอยางกวางขวาง เพื่อใหคุณแนใจถึงความมั่นคงของ ขอมูลองคกร และสามารถปองกันไมใหขอมูลที่สำคัญรั่วไหลออกจาก ดาตาเซ็นเตอรได แพลตฟอรมดานความปลอดภัยระดับองคกรของ Guardium ไดถกู ติดตัง้ ไปแลวในดาตาเซ็นเตอรกวา 350 แหงทั่วโลก รวมไปถึงบริษัทที่อยูใน Grobal 500 และ Fortune 1000 อีกกวา 60 แหง นอกจากนี้ ลูกคา ของ Guardium ยังประกอบดวย 3 ใน 4 ของธนาคารชัน้ นำระดับโลก หนึง่ ในผผู ลิตเครือ่ งพีซรี ายใหญทสี่ ดุ ของโลก หนึง่ ในบริษทั น้ำอัดลมชือ่ ดัง หนึง่ ในบริษทั คาปลีกทีต่ ดิ ท็อป 3 ของโลก หนึง่ ในบริษทั บัตรเครดิตชัน้ นำ และผคู า ซอฟตแวรบสิ เิ นสอินเทลลิเจนตระดับแนวหนาของโลกรายหนึง่ Guardium เปนพันธมิตรทางธุรกิจกับ Oracle, Microsoft, IBM, Sybase, BMC, EMC, RSA, Accenture, NetApp, McAfee และ NEON โดยรวม กับ Cisco ในฐานะ Strategic Investor และเปนหนึง่ ในสมาชิกของ Data Governance Council อันทรงเกียรติของ IBM และเปนสมาชิกของ PCI Security Standards Council ดวย

การสอดสองดูแลแอพพลิเคชัน Guardium ระบุความฉอฉลหรือกลโกงทีอ่ าจเกิดขึน้ ได โดยการติดตาม กิจกรรมของผูใชงานที่เขาถึงตารางขอมูล (tables) ที่สำคัญๆ ผาน แอพพลิเคชันองคกรแบบมัลติเทียร แทนทีจ่ ะเปนเพียงการเขาถึงขอมูล แบบตรงๆ คุณสมบัติดังกลาวเปนเรื่องจำเปน เนื่องจากแอพพลิเคชัน ขององคกรมักจะใชกลไกในการออปติไมเซชันที่เรียกวา “Connection

บริษทั กอตัง้ ในป 2002 และเปนบริษทั แหงแรกทีพ่ ยายามแกปญ  หาชองวาง ดานความปลอดภัยขอมูลในระดับแกนกลาง (core data security gap) โดยการสงมอบแพลตฟอรตองคกรทีป่ รับขนาดได (scalable) ซึง่ สามารถ ปกปองฐานขอมูลแบบเรียลไทมและทำใหกระบวนการตรวจสอบและ การปฏิบตั ติ ามขอบังคับตางๆ เปนไปโดยอัตโนมัตมิ ากยิง่ ขึน้ Bay Computing Newsletter l 8th Issue l 17

Bay Newsletter_issue 8 2009.pmd

26/10/2552, 11:23

DATA CENTER KNOW-HOW

Tier Classification การแบงระดับมาตรฐานสำหรับ หองศูนยขอ  มูลคอมพิวเตอร z โดย

การกอสรางศูนยขอมูลคอมพิวเตอร (Data Center) ใหเปนไปตามเปาหมาย ขององคกรนัน้ ควรมีการวางแผนใหสอดคลอง กับมาตรฐานสากลและประหยัดคาใชจา ย แต ในขณะเดียวกัน ก็ตอ งมีความยืดหยนุ ตอการ ขยายตัวและการเปลี่ยนแปลงของเทคโนโลยี ในอนาคต หากพูดถึงการจัดระดับความนา เชื่อถือของหองศูนยขอมูลแลว สำหรับผูดูแล ศูนยขอ มูล นาจะคนุ เคยกับคำวา Tier I, Tier II Tier III และ Tier IV โดยในบทความของเรา ฉบับนีจ้ ะขอแนะนำความหมายและประโยชน ของการจัดระบบหองศูนยขอ มูลคอมพิวเตอร Tier Classification กำหนดจาก Uptime Institute โดย Uptime เปนสถาบันที่มีจุดประสงคเพื่อ เผยแพรความรูเกี่ยวกับหองศูนยขอมูลทั้งใน ดานงานระบบและงานสารสนเทศ โดยปจจุบนั ยังคงเปนสถาบันเดียวทีส่ ามารถใหการรับรอง (Certify) หองศูนยขอมูล โดยการรับรองของ Uptime นั้น ถูกแยกออกเปน 3 สวน ตั้งแต ขั้ น ตอนการออกแบบ ขั้ น ตอนการติ ด ตั้ ง จนกระทัง่ ขัน้ ตอนการใชงานอยางถูกตอง ดังนี้ 1 Design Certificate (prerequisite) 2 Constructed Facility Certification 3 Operational Sustainability Rating การแบงระดับมาตรฐานของทุกแบบขางตน จะถูกแบงออกเปน 4 ระดับดวยกัน คือ Tier I, Tier II, Tier III และ Tier IV เรียงความเสถียรภาพ และความนาเชื่อถือตั้งแตนอยที่สุดไปยังมาก ที่สุด โดยการจำแนกนั้นตองประกอบไปดวย คุณสมบัตหิ ลายสวน เชน การเตรียมการรองรับ สำหรั บ เหตุ ก ารณ วิ ก ฤตต า งๆ หรื อ รองรั บ แผนการสำหรับการเขาไปซอมแซมอุปกรณ ซึ่งในการเตรียมการเหลานี้จะตองประกอบ ไปดวยวิศวกรทีม่ คี วามเชีย่ วชาญเฉพาะดานใน

สาขาตางๆ เนือ่ งจากในหองศูนยขอ มูลหองหนึง่ นัน้ ประกอบไปดวยงานระบบตางๆ มากมาย เชน งานระบบไฟฟา งานระบบทำความเย็น งานระบบโครงขายสายสัญญาณ งานระบบ ปองกันเพลิงไหม งานสังเกตการณและควบคุม เหตุการณตา งๆ โดยทีส่ ถาบัน Uptime Institute ไดใหคำจำกัดความของ Tier ตางๆ ไว ดังนี้

Tier I

Basic Site Infrastructure เริ่มตนประมาณป 1960 เปนหองศูนยขอมูล พื้ น ฐานสำหรั บ กลุ ม งานที่ ส ามารถยอมรั บ ความเสี่ยงในการเกิดขอผิดพลาดไดโดยไม กระทบตอธุรกิจตางๆ ขององคกร โดยหอง ศู น ย ข อ มู ล ในระดั บ นี้ จ ะถู ก ออกแบบให มี อุปกรณดา นไฟฟาและแหลงจายความเย็น แต อาจจะครบถวนในบางระบบ เชน งานระบบ ยกพื้น หรือระบบจายพลังงานไฟฟาฉุกเฉิน โดยอุปกรณทั้งหมดที่มีจะมีเพียงแคชุดเดียว ดังนัน้ ระบบแบบนีจ้ งึ สามารถเกิดการดับของ ระบบไดหลายจุด และจะตองปดระบบทัง้ หมด เมือ่ มีการบำรุงรักษาเกิดขึน้

Tier II

Redundant Capacity Components Site Infrastructure เริม่ ตนประมาณป 1970 เปนหองศูนยขอ มูลทีม่ ี การปรับปรุงระบบใหมคี วามเสถียรมากยิง่ ขึน้ โดยมีการเพิ่มอุปกรณสำรองใหแกระบบหลัก เปนลักษณะ N+1 เพือ่ ปองกันความเสียหายแก อุปกรณที่สำคัญ หรือสลับการใชงานเพื่อยืด อายุของอุปกรณนั้นๆ แตในการออกแบบที่ เปนลักษณะ Tier II ระบบไฟฟาทีก่ ระจายใหแก load จะยังคงมีเพียงเสนทางเดียว จึงมีโอกาส เกิดการปดระบบเมือ่ ซอมบำรุงอยหู ากไมมกี าร วางแผนทีด่ พี อ

Tier III

Concurrently Maintainable Site Infrastructure เริม่ ตนเมือ่ ประมาณป 1980 เปนหองศูนยขอ มูล ที่ มี จุ ด ประสงค เ พื่ อ ให ส ามารถบำรุ ง รั ก ษา อุปกรณตา งๆ ไดโดยไมกระทบตอการทำงาน ออกแบบ เปนระบบที่ N+1 แตจะแตกตางจาก Tier II เนือ่ งจากจะมี Distribution Part เขาสู IT Load 2 แหลงจาย โดยทำงานเปนลักษณะ Active-Standby

Tier IV

Fault Tolerant Site Infrastructure เริม่ ตนประมาณป 1994 โดยโครงการแรกเปน หองศูนยขอ มูลของธุรกิจจัดสงพัสดุของ United Parcel Service Windward ระบบนีเ้ ปนระบบ หองศูนยขอ มูลทีม่ เี สถียรภาพสูงสุด ออกแบบ ใหโครงสรางพืน้ ฐานสามารถรองรับวิกฤติทจี่ ะ เกิดขึน้ หรือเรียกวา Single Point of Failure ได โดยไมกระทบตอระบบการทำงาน การออกแบบ หองศูนยขอ มูลลักษณะนีจ้ ะเปนระบบที่ Active ทัง้ 2 ดาน และอุปกรณทตี่ อ งรองรับ Critical Load จะตองถูกใชงานทีไ่ มเกิน 90 เปอรเซ็นต ของประสิทธิภาพของอุปกรณนนั้ ๆ สุดทายนี้ การเลือกระดับมาตรฐานสำหรับ หองศูนยขอ มูลของแตละองคกร คงจะขึน้ อยกู บั ความเหมาะสมของธุรกิจขององคกรเปนสำคัญ เนือ่ งจากการสรางหองศูนยขอ มูลมีการลงทุน ที่สูง องคกรจึงควรมีการวิเคราะหการลงทุน (Total Cost of Owner Ship) และตรวจสอบ ขัน้ ตอนของการใชงานและบำรุงรักษาใหเปนไป ตามมาตรฐานดวย เพราะเมือ่ หองศูนยขอ มูล สรางเสร็จตามมาตรฐานขางตนแลว การใชงาน ทีถ่ กู ตองก็มคี วามสำคัญไมแพกนั