coc2024

1. CYBER
SECURITY
OPERATION
CENTER
SOC GUIDE COMPREHENSIVE

2. วัตถุประสงค์ของการสอนในหัวข้อ Cyber Security Operation Center
• 1. เพื่อให้ผู้เรียนเข้าใจถึงความสาคัญของ Cyber Security Operation
Center (CSOC) ในการป้องกันและตรวจจับภัยคุกคามจากไซเบอร์
• 2. เพื่อให้ผู้เรียนเข้าใจการทางานของ CSOC ที่เกี่ยวข้องกับการเก็บข้อมูล,
การวิเคราะห์, และการตอบสนองต่อเหตุการณ์ความปลอดภัยของข้อมูล
• 3. เพื่อให้ผู้เรียนสามารถแยกแยะและเข้าใจหน้าที่การทางานภายใน CSOC
Security Operation Center :
Introduction

3. CSOC คืออะไร
Cyber Security Operation Center (CSOC) หรือ ศูนย์ปฏิบัติการ
รักษาความมั่นคงปลอดภัยไซเบอร์ คือ หน่วยงานที่มีหน้าที่ในการ
รักษาความปลอดภัยของระบบไอทีภายในองค์กร ซึ่งจะประกอบไป
ด้วยทีมงานที่มีความเชี่ยวชาญและมีบทบาทในการป้องกัน, ตรวจจับ
, วิเคราะห์, และตอบสนองต่อภัยคุกคามทางไซเบอร์ ซึ่งโดยส่วน
ใหญ่จะมองเห็นภัยคุกคามทางไซเบอร์ผ่านการวิเคราะห์จากข้อมูล
log ต่าง ๆ
Security Operation Center :
Introduction

4. ทีมสีแดง (Red Team) และทีมสีน้าเงิน (Blue Team) ในการปฏิบัติหน้าที่ใน CSOC
ทีมสีแดง (Red Team) และทีมสีนาเงิน (Blue Team) เป็นส่วนสาคัญของ CSOC ที่มี
บทบาทและหน้าที่ที่แตกต่างกัน
- ทีมสีแดง หรือ Red Team มีบทบาทในการทดสอบและท้าทายความปลอดภัยของ
องค์กร โดยการจาลองการโจมตีทางไซเบอร์ เพื่อค้นหาช่องโหว่และความอ่อนแอในระบบ
การทางานของทีมนีจะช่วยให้องค์กรเข้าใจถึงความเสี่ยงที่จริง และส่งเสริมให้มีการ
ปรับปรุงและเสริมสร้างความปลอดภัยที่มีประสิทธิภาพ
- ทีมสีนาเงิน หรือ Blue Team มีบทบาทในการป้องกัน, ตรวจจับ, วิเคราะห์, และ
ตอบสนองต่อการโจมตีทางไซเบอร์ ทีมนีจะทางานอย่างต่อเนื่องเพื่อสร้างและเสริมสร้าง
การป้องกันความปลอดภัย และตรวจสอบความปลอดภัยในระบบขององค์กรอย่างต่อเนื่อง
ดังนัน, ทังทีมสีแดงและทีมสีนาเงินทางานควบคู่กันใน CSOC เพื่อการป้องกันและการ
ตอบสนองที่มีประสิทธิภาพต่อความเสียหายจากภัยคุกคามทางไซเบอร์
Security Operation Center :
Introduction

5. Threat Landscape
Security Operation Center :
Introduction

6. Threat Motivation
Security Operation Center :
Introduction

7. Emerging Threats
Security Operation Center :
Introduction
- Ransomware Attack : ภัยคุกคามที่เกิดขึนจากมัลแวร์ที่มีพฤติกรรมที่เข้ารหัสไฟล์ใน
เครื่องเหยื่อ จากนันนาข้อมูลเหล่านันมาเรียกค่าไถ่ เพื่อให้ถอดรหัสไฟล์
- Phishing Attack : เป็นการใช้หลักการทางจิตวิทยาในการหลอกลวง (Social
Engineering) โดยมักจะมุ่งเป้าไปยังผู้ใช้งาน ให้หลอกให้ข้อมูลสาคัญ หรือ ติดตังมัลแวร์
- Fileless Malware : เป็นมัลแวร์ที่ปฏิบัติการบน RAM ของระบบปฏิบัติการ ทาให้เลี่ยง
การตรวจจับของ Anti-Virus ที่ใช้การตรวจจับแบบดังเดิม (Signature Base)
- IoT Attack : เป็นการมุ่งโจมตีไปยังอุปกรณ์ ประเภท IoT ที่อยู่ในเครือข่าย

8. Best Practice for Mitigating Emerging Threats
Security Operation Center :
Introduction
- ดาเนินการตรวจสอบช่องโหว่ของระบบ และวิเคราะห์ Attack Vector ที่มีแนวโน้ม
กระทาต่อระบบ อย่างเป็นประจา
- สร้างแผนรับมือภัยคุกคามไซเบอร์ที่เรียบง่าย มีประสิทธิภาพ และเกิดความยืดหยุ่น
พร้อมรับมือกับภัยคุกคามตามแผนรับมือความเสี่ยงของหน่วยงาน
- จัดวางบทบาท หน้าที่ และความรับผิดชอบของ SOC Analyst และ SOC team อย่าง
เหมาะสม เพียงพอ
- ให้การอบรม ฝึกฝน ผู้ที่ปฏิบัติหน้าที่ SOC อย่างสม่าเสมอ เพื่อให้ SOC team มี
ความคุ้นเคยกับภัยคุกคามไซเบอร์ที่เป็นปัจจุบัน และ ทราบถึงแนวโน้มในอนาคต
- จัดการเครื่องมือ Automation ต่าง ๆ ให้ทางานอย่างมีประสิทธิภาพ

9. การปกป้องข้อมูลขององค์กร
Security Operation Center :
Introduction
- Confidentiality การเก็บความลับ
- ข้อมูลส่วนบุคคล
- ข้อมูลทางการเงิน
- ข้อมูลความลับขององค์กร
- Integrity ความถูกต้องแม่นยา
- บัญชีทางการเงิน
- สัญญาขององค์กร
- ประวัติการรักษา / ข้อมูลสุขภาพ
- Availability ความพร้อมใช้งาน
- Business-critical applications (เช่น ระบบบริหารกาลังพล, ระบบคลัง
ทรัพยากรณ์) หรือ CII
- Online Service

10. การท้า Security Control ส้าหรับข้อมูลขององค์กร
Security Operation Center :
Introduction
a. Authentication หรือการยืนยันตัวตน โดยขันตอนนีเป็นการระบุตัว
ผู้ใช้งาน ไม่ว่าจะเป็นการใช้รหัสผ่าน biometric หรือใช้ ปัจจัยการยืนยัน
ตัวตนอื่น ๆ เพื่อให้มั่นใจว่าผู้เข้าถึงข้อมูลเป็นบุคคลที่ได้รับอนุญาตจริง ๆ
b. Authorization เป็นการกาหนดสิทธิ์การเข้าถึงของข้อมูล โดยระบบส่วน
ใหญ่จะสามารถระบุสิทธิ์ได้ตามกลุ่มผู้ใช้งาน หรือ attribute บางค่าได้
และเมื่อมีการเปลี่ยนแปลงสิทธิ์ การทา Deauthorization ก็เป็น
มาตรการป้องกันข้อมูลรั่วไหลได้
c. Auditing เป็นการกาหนดให้มีการตรวจสอบกิจกรรมบนระบบ ไม่ว่าจะใช้
log file, event monitoring หรือใช้ SIEM ในการติดตามกิจกรรมของ
user บนระบบ ซึ่งมีประโยชน์ในการสอบสวนเมื่อมีข้อมูลรั่วไหลได้อีกด้วย
d. การสร้างความตระหนักรู้ และการฝึกอบรม

11. MITRE ATT&CK Framework
Security Operation Center :
Introduction
เฟรมเวิร์ค ATT@CK เป็นกรอบมาตรฐานที่
ช่วยให้ SOC team สามารถเปรียบเทียบ
เทคนิคที่แฮกเกอร์ใช้โจมตีระบบ โดย SOC
team นันจะจัดลาดับความสาคัญตามเทคนิค
ที่ถูกโจมตี โดยเฟรมเวิร์คนีจะสามารถใช้งาน
ร่วมกับอุปกรณ์ได้หลายอย่าง ไม่ว่า SOAR,
EDR, SIEM, firewall, IDS และ IPS โดย
เฟรมเวิร์คดังกล่าวยังช่วยให้เข้าใจ
สถานการณ์มากยิ่งขึน และสามารถยุติภัย
คุกคามได้ตรงจุด
This Photo by Unknown Author is licensed under CC BY-SA-NC

12. MITRE ATT&CK Framework : Tactics and Technique
Security Operation Center :
Introduction
- Tactic เป็นองค์ประกอบที่มุ่งเน้นไปยังหาสาเหตุ และ “ทาไม” ถึงเกิด
ภัยคุกคามได้ โดย MITRE ได้กาหนดหมวดหมู่ของ Tactic ไว้ 11
หมวดหมู่
- Technique เป็นองค์ประกอบที่มุ่งเน้นไปยังวิธี และ เกิดภัยคุกคามได้
“อย่างไร” โยได้แบ่งเป็น 200 ส่วน และสามารถโยงกลับไปยัง Tactic ได้

13. การใช้งาน MITRE ATT&CK
Security Operation Center :
Introduction
1. ระบุภัยคุกคาม และกลุ่มแฮกเกอร์ ที่มุ่งหวังโจมตีระบบ เพื่อให้สามารถเข้าใจขอบเขต
ของการเฝ้าระวัง รวมไปถึง Tactic และ Technique ที่เกี่ยวข้อง
2. เปรียบเทียบข้อมูลผู้โจมตีระบบกับ Matrix เพื่อวิเคราะห์ Tactic และ Technique ที่
แฮกเกอร์ใช้โจมตีระบบ
3. วิเคราะห์สินทรัพย์ที่อาจได้รับผลกระทบโดยใช้ข้อมูล Tactic และ Technique ที่
วิเคราะห์ มาช่วยตัดสินใจ โดยเฉพาะข้อมูลชันความลับ ข้อมูลระบบโครงสร้างพืนฐาน
สาคัญ และกฎระเบียบที่เกี่ยวข้อง
4. จัดลาดับการทางานโดยอ้างอิงตามผลการวิเคราะห์ผลกระทบ เพื่อให้เกิดประสิทธิผลใน
การป้องกัน หรือ ฟื้นคืนจากภัยคุกคามไซเบอร์
5. การพัฒนาการป้องกันไซเบอร์ โดยผลลัพธ์การวิเคราะห์ภัยคุกคามจะช่วยให้ SOC
team สามารถรวบรวมปัญหาและแก้ไขอย่างเป็นลาดับขันตอน
6. เฝ้าระวัง

14. SOC Team roles
Security Operation Center :
Introduction
1. SOC Manager :
2. Threat Hunting Analyst :
3. Red Team :
4. Malware Reverse Engineer :
5. SOC Analyst :
6. OSINT Analyst :
7. SIEM Engineer :
8. SOAR Engineer :
9. Client Security Engineer : (Endpoint Security Engineer)
10. Network Security Engineer :

15. ฟังก์ชั่นของ SOC Team
Security Operation Center :
Introduction
1. Identification and Containment
ขันตอนแรกของ SOC เป็นการตรวจจับ incident ด้านไซเบอร์ โดย SOC จะต้องทาความเข้าใจสินทรัพย์ขององค์กร ระบบ และ
แอพพลิเคชั่น เพื่อให้สามารถเลือกการตอบสนองเหตุการณ์ได้เหมาะสม โดยเฉพาะผังเครือข่าย เมื่อต้องดาเนินการจากัดวงของระบบที่มี
การกระจายตัวของมัลแวร์
2. Evidence Preservation
SOC team จะต้องไม่เป็นผู้ทาลายพยานหลักฐานทางดิจิทัล และจะต้องให้ความร่วมมือกับทีม forensics ทีมกฎหมาย และทีมตอบสนอง
ภัยคุกคาม รวมไปถึงการรวบรวม log ทา memory dump และ snapshot ของ VM ซึ่งต้องอาศัยความเข้าใจระเบียบขององค์กรในการ
รักษาความปลอดภัยข้อมูล
3. Analyze and Triage
SOC team จะต้องวิเคราะห์ evident ต่าง ๆ เพื่อหาต้นเหตุของปัญหา หรือประเภทของมัลแวร์ พฤติกรรมของมัลแวร์ Attack Vector
และนาข้อมูลเหล่านีมาจัดลาดับความรุนแรง (Triage)

16. ฟังก์ชั่นของ SOC Team
Security Operation Center :
Introduction
4. Remediation and Recovery
SOC team ต้องทราบขันตอนการบรรเทาผลกระทบภัยคุกคาม และฟื้นฟูระบบ ภายหลังการโจมตี เช่นการกาจัดมัลแวร์ การปิด patch
ระบบ หรือการ restore ระบบมาจาก Back up
5. Reporting and Communication
SOC team จาเป็นจะต้องจัดทารายงานเหตุการณ์กลับไปยังผู้บังคับบัญชา หน่วยงานตามกฎหมาย และเจ้าของระบบที่ตนเฝ้าระวัง โดย
ต้องระบุต้นเหตุปัญหา ผลกระทบ และการบรรเทาผลกระทบภัยคุกคาม โดยอาจจะต้องมีการอัพเดทสถานการณ์ให้กับเจ้าของระบบเป็น
ระยะ

17. ฟังก์ชั่นของ SOC Team
Security Operation Center :
Introduction
4. Remediation and Recovery
SOC team ต้องทราบขันตอนการบรรเทาผลกระทบภัยคุกคาม และฟื้นฟูระบบ ภายหลังการโจมตี เช่นการกาจัดมัลแวร์ การปิด patch
ระบบ หรือการ restore ระบบมาจาก Back up
5. Reporting and Communication
SOC team จาเป็นจะต้องจัดทารายงานเหตุการณ์กลับไปยังผู้บังคับบัญชา หน่วยงานตามกฎหมาย และเจ้าของระบบที่ตนเฝ้าระวัง โดย
ต้องระบุต้นเหตุปัญหา ผลกระทบ และการบรรเทาผลกระทบภัยคุกคาม โดยอาจจะต้องมีการอัพเดทสถานการณ์ให้กับเจ้าของระบบเป็น
ระยะ

18. การรักษาความมั่นคงปลอดภัยไซเบอร์
ตามกระบวนการที่กฎหมายกาหนด
กระบวนการที่กฎหมายกาหนดในการรักษาความมั่นคงปลอดภัยไซเบอร์ หรือที่เรียกว่า NIST Cyber
Security Framework 2.0 ประกอบด้วยห้าขันตอนหลักได้แก่
1.Identify (ระบุ) - ภายในขันตอนนี องค์กรจะต้องระบุและจัดการความเสี่ยงที่เกี่ยวข้องกับการป้องกัน
ความปลอดภัยไซเบอร์ นาไปสู่การสร้างระบบความปลอดภัยที่มีประสิทธิภาพ
2.Protect (ป้องกัน) - องค์กรจะต้องปรับปรุงการป้องกันความปลอดภัยและจากัดการเข้าถึงข้อมูลที่สาคัญ
3.Detect (ตรวจจับ) - องค์กรจะต้องมีระบบที่สามารถตรวจจับความผิดปกติหรือการโจมตีในเวลาอันสัน
4.Respond (ตอบสนอง) - องค์กรจะต้องมีแผนการตอบสนองที่ทันท่วงทีต่อการโจมตีจากไซเบอร์
5.Recover (ฟื้นฟู) - องค์กรจะต้องมีแผนการฟื้นฟูที่มีประสิทธิภาพในการทางานกลับคืนสู่ปกติหลังจาก
ความเสียหายที่เกิดจากการโจมตี
NIST csf ver 2.0 กาหนดให้การวางนโยบายควบคุม (Govern) มองความเสี่ยงขององค์กร, ผลกระทบหาก
เกิดภัยไซเบอร์, และเป้าหมายของการรักษาความปลอดภัย เป็นกระบวนการขันตอนที่ 0 หรือเป็นฐากฐานที่
ควรเกิดขึนในทุก ๆ ขันตอนก่อนหน้านี
Security Operation Center :
Introduction

19. ในขันตอนของการทา Governance นัน รวมไปถึงการวิเคราะห์การทางาน
ของ SOC team ว่ามีประสิทธิภาพ และมีประสิทธิผล ที่องค์กรรับได้ ซึ่งรวม
ไปถึงทรัพยากรณ์ภายใน SOC และ ตรวจสอบขันตอนของการตอบสนองภัย
คุกคามไซเบอร์ ตามความเสี่ยงขององค์กรอย่างสม่าเสมอ
โดย SOC team จะต้องทางานประสานกับหน่วยงานอื่น ๆ ที่เกี่ยวข้อง ไม่
ว่าจะเป็นด้านแผนและกลยุทธ์องค์กร และ ด้านประชาสัมพันธ์ ยกตัวอย่าง
เช่น หน่วยงานด้านกฎหมาย เพื่อให้ขันตอนการทางานสอดคล้องกับ
กฎหมายที่เกี่ยวข้อง เช่น พรบ.ไซเบอร์ หรือ พรบ.คุ้มครองข้อมูลส่วนบุคคล
ซึ่งถูกบังคับใช้ภายในประเทศ และนอกประเทศ
Security Operation Center :
Introduction

20. Best Practice for compliance and governance in SOC Operations
Security Operation Center :
Introduction
- ดาเนินการตรวจสอบและแก้ไขระเบียบ นโยบาย และข้อปฏิบัติขององค์กร เพื่อให้
สอดคล้องตามกฎหมายที่เกี่ยวข้อง และ มาตรฐานต่าง ๆ
- กาหนดการฝึกฝน และสร้างความตระหนักรู้ ให้ SOC team มีความรู้อย่างเพียงพอ และ
เป็นปัจจุบัน
- กาหนดแนวทางการสื่อสารที่ชัดเจนระหว่าง SOC team และ หน่วยงานอื่น ๆ ที่ต้อง
ทางานร่วมกัน เพื่อให้เกิดประสิทธิภาพ และลดการสื่อสารผิดพลาด
- ให้เฝ้าระวัง และวิเคราะห์ เหตุการณ์ และการแจ้งเตือนที่มีผลกระทบตามกฎหมาย หรือ
ข้อระเบียบต่าง ๆ
- ควรดาเนินการตรวจสอบ การทางานภายใน SOC team ตามวงรอบสม่าเสมอ เพื่อให้
SOC Operation มีประสิทธิภาพตามนโยบายขององค์กร
This Photo by Unknown Author is licensed under CC BY-NC-ND

21. SOC process for EDR
Security Operation Center :
Introduction
1. Install EDR :
2. Build Use Case :
3. Detect Potential Threats :
4. Activate SOPs :
5. Combine EDR with SOAR :

22. SOC Procedure
Security Operation Center :
Introduction
1. Standard Operating Procedures (SOPs)
เป็นเอกสารสาหรับ SOC team ใช้ปฏิบัติตาม และทาเป็น ระเบียบประจาวัน โดย SOPs จะเป็นขันตอนที่ทาอย่างเป็นประจา และต้องการ
ความแม่นยา โดย SOPs จะต้องมีการแก้ไขให้สอดคล้องกับเทคโนโลยี และขันตอนการทางานใน SOC
2. Checklist และ Playbook
เป็นขันตอนที่ SOC team ต้องปฏิบัติตาม ซึ่งมักจะหมายถึงการตีความกฎหมาย หรือระเบียบ แล้วจาแนกเป็นสถานการณ์ต่าง ๆ ตาม
Incident ที่ตรวจเจอ ทังนี Checklist จะช่วยลดความผิดพลาดของการปฏิบัติงานได้เป็นอย่างดี
3. Table Top Exercise
เป็นการฝึกฝนสาหรับให้ SOC team สามารถคุ้นเคยกับ SOPs และ Playbook ต่าง ๆ ที่ใช้งานภายใน SOC ได้เป็นอย่างดี

23. Security Monitoring
Security Operation Center :
Introduction
1. กาหนดหน้าที่ และความรับผิดชอบ
การทา Security Monitoring อย่างมีประสิทธิภาพ จะต้องกาหนดหน้าที่และบทบาทที่
ชัดเจน ซึ่งภายใน SOC team จะมีการกาหนดคนที่รับผิดชอบในการดูแลระบบต่าง ๆ
การวิเคราะห์ และตอบสนองต่อภัยคุกคาม
2. SOPs
การสร้าง SOPs ที่ดี จะช่วยให้การทา Security Monitoring โดย SOC มีประสิทธิภาพ
โดย SOPs จะต้องมีการระบุขันตอนการปฏิบัติอย่างครอบคลุม
3. Automation และ Technology
การปฏิบัติงานใน SOC team มักอาศัย Automation จานวนมาก ซึ่งการคงสภาพให้
Automation เหล่านันใช้งานได้และทันสมัย จะช่วยให้ SOC team มีเวลาในการ
วิเคราะห์ภัยคุกคามใหม่ ๆ ได้มากขึน และลดความผิดพลาดของระบบได้

24. SOC Use-Cases
Security Operation Center :
Introduction
1. Advanced Persistent Threat (APT) attack : เป็นการโจมตีของแฮกเกอร์ ที่อาศัยระยะเวลาในการค่อยๆ ฝังตัวมาในระบบ แล้วค่อยๆ
ปฏิบัติการ เช่นขโมยข้อมูล หรือยุติการปฏิบัติการ โดยกลุ่ม State Sponsored มักจะมีการใช้วิธี APT เพื่อเลี่ยงการตรวจจับและ จัดการได้
ยาก
2. Phishing และ Social Engineering : แฮกเกอร์ใช้วิธีการทางจิตวิทยาในการหลอกลวง หลอกล่อ ให้ผู้ใช้งานหลงกล โดยมุ่งเน้นไปยังการ
ขโมยข้อมูล สินทรัพย์ของผู้ใช้ และหลอกให้ติดตังชุดคาสั่งแปลกปลอมลงในระบบ
3. Ransomware Attack : พฤติกรรมของ ransomware คือการเข้ารหัสข้อมูล จากนันเรียกค่าไถ่ เพื่อให้แลกกับกุญแจในการถอดรหัสข้อมูล
ภายในเครื่องที่ถูกโจมตี
4. Supply Chain Attack รวมไปถึง การนา sourcecode ของผู้ให้บริการภายนอกมาใช้งานโดยไม่ได้ตรวจสอบ มักจะทาให้มีช่องโหว่ที่ไม่ได้
ควบคุมโดยองค์กร
5. DDOS
6. Insider Threats : โดยการคุกคามประเภทนีเกิดจากคนภายในองค์กร หรือคู่สัญญา ที่มีพฤติกรรมประสงค์ร้ายต่อองค์กร โดยองค์กรข้าม
ชาติมักจะมีภัยคุกคามประเภทนีเนื่องจากมีความซับซ้อนของคู่สัญญา และพืนที่อยู่ห่างไกลจากการตรวจสอบ