พร้อมรับมือบอตเน็ต

โดย...Sumit Bansal ผู้อำนวยการประจำภูมิภาคอาเซียน และเกาหลีของ Sophos

“บอตเน็ต” นอกจากจะเป็นทูลอันตรายยอดนิยมในตลาดมืดติดต่อกันมาหลายปีแล้ว ยังเป็นภัยที่ถือว่าประสบความสำเร็จอย่างมากในปัจจุบันด้วย จากความสามารถในการสร้างเครือข่ายคลาวด์อันทรงพลังสำหรับให้แฮ็กเกอร์ใช้เป็นเครื่องมือกระจายมัลแวร์หรือสแปมได้เป็นอย่างดี

บอตเน็ตสามารถสร้างหายนะขนาดใหญ่แก่หลายองค์กรได้ โดยเฉพาะถ้าเป้าหมายของคนใช้บอตเน็ตคือการขโมยข้อมูลที่อ่อนไหว หรือกรณีที่บอตเน็ตที่ระบาดเข้ามายังเครือข่ายของบริษัทไม่ได้จ้องเอาข้อมูลภายใน ก็อาจเป็นการเข้ามาซ่องสุมกำลังพลเพื่อโจมตีองค์กรอื่นๆ แทนก็เป็นได้ ทำให้เครือข่ายของคุณกลายเป็นเครื่องมือแพร่กระจายมัลแวร์ให้ชาวบ้านแทน

เมื่อบอตเน็ตสามารถลงหลักปักฐานในองค์กรของคุณได้แล้ว บอตเน็ตก็มักจะติดต่อกับศูนย์บัญชาการหรือเซิร์ฟเวอร์สั่งการ (C&C) ของแฮ็กเกอร์ เพื่อรายงานความสำเร็จของภารกิจ และรอคำสั่งต่อไป ซึ่งอาจจะเป็นการกบดานที่ยาวนานเพื่อให้เหยื่อตายใจ หรือให้ค่อยๆ คืบคลานไปติดเชื้ออุปกรณ์ต่างๆ บนเครือข่ายอย่างเงียบๆ ประเด็นคือ คุณต้องใช้เทคโนโลยีที่จำเพาะจริงๆ ถึงจะตรวจสอบได้อย่างมีประสิทธิภาพ

อุปสรรคชิ้นใหญ่คือ นอกจากพฤติกรรมการติดต่อบ้านเกิดแล้ว การตรวจสอบลักษณะอย่างอื่นของบอตเน็ตค่อนข้างยากมาก ซึ่งกรณีส่วนใหญ่แล้ว อุปกรณ์ที่ติดเชื้อมักจะยังทำงานได้อย่างปกติ หรืออย่างมากก็แค่รู้สึกเครื่องอืดๆ ลง ทำให้ผู้ใช้แทบไม่สังเกตหรือสงสัยว่าจะเป็นผลมาจากบอตเน็ต

ทั้งหมดนี้จึงเป็นสาเหตุสำคัญที่เราต้องใช้ไฟร์วอลล์แบบ Next-Gen เพื่อเป็นด่านแรกไม่ให้บอตเน็ตเข้ามายังเครือข่าย

การป้องกันอันตรายขั้นสูงหรือ ATP : ที่สามารถตรวจจับบอตเน็ตที่กำลังรันอยู่บนเครือข่ายของคุณได้ ทำให้แน่ใจได้ว่าไฟร์วอลล์ของคุณสามารถตรวจจับทราฟฟิกที่อันตราย หรือพฤติกรรมของบอตเน็ต โดยเฉพาะการตรวจจับทราฟฟิกการติดต่อเซิร์ฟเวอร์สั่งการหรือ C&C ซึ่งไฟร์วอลล์นี้ควรใช้วิธีป้องกันหลายระดับเพื่อตรวจจับทราฟฟิกติดต่อแฮ็กเกอร์ดังกล่าว และต้องตรวจพบภายในเวลาอันรวดเร็วที่ไม่ใช่แค่โฮสต์ที่ติดเชื้อเท่านั้น แต่ยังต้องตรวจจับผู้ใช้และโปรเซสที่เกี่ยวข้องด้วย ถ้าเป็นไปได้แล้ว ระบบป้องกันนี้ก็ควรปิดกั้นหรือจำกัดบริเวณของระบบที่ติดเชื้อจนกว่าจะแก้ไขได้

ระบบป้องกันการบุกรุก (IPS) : ที่สามารถตรวจจับความพยายามของแฮ็กเกอร์ในการบุกรุกเข้ามายังทรัพยากรบนเครือข่าย ให้แน่ใจว่าไฟร์วอลล์ของคุณมีระบบ IPS แบบ Next-Gen ที่สามารถตรวจจับรูปแบบพฤติกรรมการโจมตีขั้นสูงบนทราฟฟิกของเครือข่ายคุณ โดยเฉพาะความพยายามในการแฮ็กระบบ และการเคลื่อนไหวของฮาร์ดแวร์บนแต่ละส่วนของเครือข่าย นอกจากนี้ยังควรปิดกั้นช่วงเลขไอพีทั้งหมดในเขตภูมิศาสตร์ของโลกที่คุณไม่ได้ดีลธุรกิจร่วมด้วย เพื่อลดความเสี่ยงในการโดนโจมตี

การทำแซนด์บ็อกซ์ : เป็นฟีเจอร์ที่สามารถตรวจจับการบุกรุกของมัลแวร์ตัวล่าสุดได้ก่อนที่จะเข้าถึงคอมพิวเตอร์ของคุณ ตรวจสอบให้แน่ใจว่าไฟร์วอลล์ของคุณมีฟีเจอร์แซนด์บ็อกซ์ขั้นสูงที่สามารถตรวจพบเว็บหรือไฟล์ในอีเมลที่ต้องสงสัย และจำกัดบริเวณเข้าสู่แซนด์บ็อกซ์ที่ปลอดภัยเพื่อนำมาวิเคราะห์พฤติกรรมก่อนปล่อยเข้าสู่เครือข่ายของคุณได้

การป้องกันผ่านเว็บและอีเมล : ระบบป้องกันเว็บและอีเมลอันตรายที่มีประสิทธิภาพจะสามารถป้องกันมัลแวร์ที่แพร่กระจายผ่านบอตเน็ต ไม่ให้เข้าสู่เครือข่ายของคุณได้เป็นด่านแรก เช็กดูว่าไฟร์วอลล์มีระบบป้องกันเว็บแบบตรวจสอบตามพฤติกรรม ที่สามารถตรวจเช็กหรือจำลองการรันโค้ดจาวาสคริปต์ที่อยู่บนเว็บ เพื่่อวินิจฉัยเจตนาและพฤติกรรมก่อนปล่อยผ่านให้แสดงผลบนเบราเซอร์ได้

ไฟร์วอลล์สำหรับเว็บแอพพลิเคชั่น หรือ WAF : ไฟร์วอลล์สำหรับเว็บแอพโดยเฉพาะนี้ สามารถปกป้องได้ทั้งเซิร์ฟเวอร์ อุปกรณ์ และแอพพลิเคชั่นทางธุรกิจจากการแฮ็กระบบได้ สำหรับแอพพลิเคชั่นนี้จะให้ฟีเจอร์อย่าง Reverse Proxy การยืนยันตนแบบ Offload และยกระดับการป้องกันระบบจากการแฮ็กของอาชญากรได้