somvang Chapter9 (1)

34
Chapter 9 กกกกกกกกกกกกกกกกกกกกกกกกกกกก (Information Security) ANGKANA

Transcript of somvang Chapter9 (1)

Chapter 9การร�กษาความปลอดภั�ยของข�อม�ล

(Information Security)

ANGKANA

ANGKANA

เร��องของการร�กษาความปลอดภั�ยของข�อม�ลถื�อเป�นส่�วนส่�าค�ญของการน�าระบบส่ารส่นเทศเข�ามาใช้�ในองค#กร เน��องจากระบบส่ารส่นเทศใช้�คอมพิ'วเตอร#เป�นหล�กในการเก*บร�กษาข�อม�ล และใช้�ระบบเคร�อข�ายเป�นกลางในการต'ดต�อส่��อส่าร จ,งเป�นเร��องง�ายต�อการค-กคามข�อม�ลจากผู้��ไม�ประส่งค#

ด�งน�0น การน�าระบบส่ารส่นเทศเข�ามาใช้� จ,งต�องเพิ'�มในเร��องของระบบการร�กษาความปลอดภั�ยของข�อม�ลควบค��ไปด�วยอย�างหล1กเล1�ยงไม�ได�

บทนำ��

ภั�ยค-กคามต�อความปลอดภั�ยของข�อม�ล- ผู้��บ-กร-ก, ไวร�ส่คอมพิ'วเตอร#, ความผู้'ดพิลาด

ของซอฟต#แวร#, อ-บ�ต'ภั�ย และความผู้'ดพิลาดในข�0นตอนการท�างานของระบบคอมพิ'วเตอร# การร�กษาความปลอดภั�ยของข�อม�ล

- ว�ตถื-ประส่งค#, การจ�ดการด�านความปลอดภั�ยและผู้��ด�แลความปลอดภั�ย, กลย-ทธ์#การร�กษาความปลอดภั�ย และควบค-มความปลอดภั�ยของข�อม�ล ความปลอดภั�ยบนอ'นเทอร#เน*ต

หั�วข้อก�รเร�ยนำร�

เม��อม1การน�าคอมพิ'วเตอร#และระบบข�อม�ลส่ารส่นเทศเข�ามาใช้� การเก*บรวบรวมข�อม�ลส่ารส่นเทศขององค#กรก*เปล1�ยนร�ปแบบไป ข�อม�ลและส่ารส่นเทศจะถื�กเก*บเป�นไฟล# และม1การจ�ดท�าระบบข�อม�ลส่�วนกลางขององค#กร เพิ��อให�การน�าข�อม�ลไปใช้�งานง�าย และส่ะดวกมากข,0น

เม��อระบบเส่1ยหายหร�อไม�ส่ามารถืท�างานได�ตามปกต' เวลาและค�าใช้�จ�ายท1�ต�องใช้�ในการแก�ป6ญหาก*ส่�งตามไปด�วย นอกจากน10เม��อท-กคนท�0งในและนอกองค#กรส่ามารถืเข�าถื,งระบบข�อม�ลได� โดยผู้�านทางระบบเคร�อข�ายคอมพิ'วเตอร# เป�นเหต-ให�ระบบข�อม�ลถื�กบ-กร-กจากผู้��ไม�ประส่งค#ด1ได�ง�าย นอกจากน10ระบบคอมพิ'วเตอร#ย�งต�องเผู้ช้'ญก�บภั�ยค-กคาม (Threat) ต�าง ๆ ได�ง�ายกว�าข�อม�ลในร�ปแบบเอกส่ารอ1กด�วย

ก�รร�กษ�คว�มปลอดภั�ยข้องข้อม�ล

ภั�ยค�กค�มต่�อระบบคอมพิ�วเต่อร

Integrity

Confidentiality

Availability

Unauthorizeddestruction and

denial of services

Unauthorized disclosure theft

Unauthorized use

Unauthorized modification

ส่�าหร�บภั�ยค-กคามต�อระบบคอมพิ'วเตอร#จะหมายความครอบคล-มท�0งการค-กคามทางฮาร#ดแวร# ซอฟต#แวร# และข�อม�ล โดยส่าเหต-ของภั�ยค-กคามอาจจะมาจากทางกายภัาพิ เช้�น อ�คค1ภั�ย ป6ญหาวงจรไฟฟ:า ระบบส่��อส่าร ความผู้'ดพิลาดของฮาร#ดแวร# ความผู้'ดพิลาดของซอฟต#แวร# หร�อภั�ยค-กคามท1�เก'ดจากคนหร�อผู้��ใช้�ระบบ เช้�น การบ-กร-กจากผู้��ท1�ไม�ได�ร�บอน-ญาต หร�อผู้��ใช้�ไม�เข�าใจระบบท�าให�ระบบเก'ดความเส่1ยหาย ภั�ยค-กตามเหล�าน10เป�นส่าเหต-ให�ข�อม�ลในระบบเส่1ยหาย ส่�ญหาย ถื�กขโมย หร�อแก�ไขบ'ดเบ�อน

ก�รร�กษ�คว�มปลอดภั�ยข้องข้อม�ล

เหต-ผู้ลท1�ข�อม�ลและส่ารส่นเทศในระบบคอมพิ'วเตอร#ถื�กค-กคามจากภั�ยร�ปแบบต�าง ๆ ได�ง�ายกว�าระบบข�อม�ลในย-คเก�าม1หลายประการด�วยก�น

ข�อม�ลและส่ารส่นเทศในระบบคอมพิ'วเตอร#ม1ความซ�บซ�อน

กระบวนการท�างานของระบบคอมพิ'วเตอร#มองไม�เห*น

ความเส่1ยหายท1�เก'ดข,0นก�บระบบคอมพิ'วเตอร#ขยายผู้ลในวงกว�างกว�า

ระบบข�อม�ลคอมพิ'วเตอร#ส่ามารถืเข�าถื,งได�จากบ-คคลหลายฝ่<าย

ความก�าวหน�าของเทคโนโลย1ส่��อส่าร และซอฟต#แวร#เป�นผู้ลให�การ บ-กร-กท�าได�ง�ายข,0น

ก�รร�กษ�คว�มปลอดภั�ยข้องข้อม�ล

ModemUA

เคร!อข้��ยคอมพิ�วเต่อร

ผู้�ส่�ง ผู้�ร�บ

ประชุ�ม 10 นำ.ส่มชุ�ย

ประชุ�ม 10 นำ.ส่มชุ�ย

ประชุ�ม 10 นำ.ส่มชุ�ย

ModemUA

ต่�วอย��งร�ปแบบก�รส่!'อส่�รผู้��นำเคร!อข้��ยคอมพิ�วเต่อร

ต่�วอย��งก�รแอบอ�งชุ!'อและลอบแกไข้ข้อม�ล (1)

ผู้�ส่�ง ผู้�ร�บ

ModemUA

เคร!อข้��ยคอมพิ�วเต่อร

ประชุ�ม 10 นำ.ส่มชุ�ย

ประชุ�ม 10 นำ.ส่มชุ�ย

ModemUA

ต่�วอย��งก�รแอบอ�งชุ!'อและลอบแกไข้ข้อม�ล (2)

ผู้�ล�กลอบแกไข้ข้อม�ล

ModemUA

เคร!อข้��ยคอมพิ�วเต่อร

ประชุ�ม 9 นำ.ส่มชุ�ย

ประชุ�ม 9 นำ.ส่มชุ�ย

ModemUA

ผู้�ส่�ง ผู้�ร�บ

E-mail address

Who am I ?

ผู้มชุ!'อนำ�ยด�� คมข้��

ด�ฉั�นำชุ!'อแดง นำ��ร�ก

ผู้มชุ!'อนำ�ยข้�ว ร�กษ�

ผู้มชุ!'อ John Smith

หันำ�ชุ!'อส่ม หัว�นำ

Yahoo.com

Chaiyo.com

Freemail.com

Siammail.com

Hotmail.com

Cyber World Authentication Real WorldReal World

ประเด*นำเร!'องคว�มปลอดภั�ยข้องข้อม�ล (1)

หากท�านต�องการส่�งข�อความท1�ปกป=ดหร�อ เป�นความล�บผู้�านเคร�อข�าย ท�านจะม��นใจได�

อย�างไรว�าบ-คคลท1�ท�านประส่งค#จะส่�งถื,งหร�อ ท1�ได�ร�บอน-ญาตเท�าน�0น ท1�อ�าน

ข�อความได�

ก�รร�กษ�คว�มล�บ(Confidentiality)

ประเด*นำเร!'องคว�มปลอดภั�ยข้องข้อม�ล (2)

หากท�านได�ร�บข�อความท1�ส่�งมาถื,งท�าน ผู้�านทางเคร�อข�าย ท�านจะแน�ใจได�อย�างไรว�า

เป�นข�อความท1�ส่�งมาจากบ-คคลท1�อ�างว�าเป�นผู้��ส่�งน�0นจร'ง

ก�รระบ�ต่�วบ�คคล (Authentication)

ประเด*นำเร!'องคว�มปลอดภั�ยข้องข้อม�ล (3)

หากท�านได�ร�บข�อความท1�ส่�งมาถื,งท�าน ผู้�านทางเคร�อข�าย ท�านจะแน�ใจได�อย�างไรว�า

ข�อความท1�ท�านได�ร�บเป�นข�อความท1�ถื�กต�อง แท�จร'ง

ไม�ได�ถื�กเปล1�ยนแปลงแก�ไขระหว�างทาง

คว�มแทจร�งข้องข้อม�ล (Integrity)

ประเด*นำเร!'องคว�มปลอดภั�ยข้องข้อม�ล (4)

หากท�านได�ร�บข�อความทางเคร�อข�ายเก1�ยวก�บการด�าเน'นการอย�างใดอย�างหน,�งหร�อเป�นข�อผู้�กพิ�นทางส่�ญญา แต�ต�อมาผู้��ส่�งปฏิ'เส่ธ์

ว�าไม�ได�ส่�งข�อความน�0น ท�านจะใช้�อะไรอ�างอ'งเพิ��อไม�ให�

ปฏิ'เส่ธ์

ก�รหั�มปฏิ�เส่ธคว�มร�บผู้�ด(Non-repudiation)

ผู้��บ-กร-ก (Hacker)

ภั�ยค�กค�มต่�อคว�มปลอดภั�ยข้องข้อม�ล

หมายถื,ง ผู้��ท1�ไม�ได�ร�บอน-ญาตในการใช้�งานระบบ แต�พิยายามล�กลอบเข�ามาใช้�งานด�วยว�ตถื-ประส่งค#ต�าง ๆ ไม�ว�าจะเพิ��อโจรกรรมข�อม�ล ผู้ลก�าไร หร�อความพิอใจส่�วนบ-คคลก*ตาม ความเส่1ยหายจากผู้��บ-กร-กเป�นภั�ยค-กตามท1�หน�ก ด�งน�0น องค#กรส่�วนใหญ�ท1�ใช้�อ'นเทอร#เน*ตจ,งให�ความส่�าค�ญก�บมาตรการป:องก�น Hacker

ไวร�ส่คอมพิ'วเตอร# (Computer Virus)

เป�นซอฟต#แวร#ประเภัทท1�ม1เจตนาร�ายแฝ่งเข�ามาในระบบคอมพิ'วเตอร#โดยจะตรวจพิบได�ยาก ไวร�ส่คอมพิ'วเตอร#ม1หลายประเภัทและก�อให�เก'ดความเส่1ยหายต�อระบบได�หลายร�ปแบบ ต�0งแต�ส่ร�างความร�าคาญ ม1ข�อความแปลก ๆ ปรากฏิข,0นมาเร��อย ๆ บนหน�าจอ หร�อแม�กระท��งท�าลายไฟล#ข�อม�ลต�าง ๆ ให�

ได�ร�บความเส่1ยหาย

ภั�ยค�กค�มต่�อคว�มปลอดภั�ยข้องข้อม�ล

ไวร�ส่คอมพิ'วเตอร# (Computer Virus)

ไวร�ส่เล1ยนแบบ (Companion Virus) จะแอบแฝ่งตามไฟล#ต�าง ๆและคอยส่ร�างไฟล#ข,0นมาใหม�โดยเล1ยนแบบไฟล#ในระบบเด'ม แล�วหลอกให�ระบบเร1ยกไฟล#ท1�ส่ร�างเล1ยนแบบข,0นมาใช้�งานแทนไฟล#จร'ง

ไวร�ส่โปรแกรม (Program Virus) ถื�าม1การเร1ยกใช้�ไฟล#ท1�ต'ดไวร�ส่ประเภัทน10 ก*จะท�าให�ไวร�ส่แพิร�เช้�0อไปย�งท-กไฟล#ท1�ส่ามารถืต'ดต�อไปได�

ไวร�ส่บ�?ต (Boot Virus) เป�นไวร�ส่ท1�คอยก�อกวนไฟล#ส่�าค�ญ ๆ ท1�ส่�าหร�บเป=ดเคร��องในตอนแรก ท�าให�เราไม�ส่ามารถืบ�?ตเข�าส่��ว'นโดว#ได�

ภั�ยค�กค�มต่�อคว�มปลอดภั�ยข้องข้อม�ล

ไวร�ส่คอมพิ'วเตอร# (Computer Virus)

ไวร�ส่หลบหล1ก (Stealth Virus) จะหลบหล1กการตรวจจ�บจากโปรแกรมป:องก�นไวร�ส่ โดยจะข�ดขวางการท�างานของโปรแกรมบางประเภัทท1�ม1การป:องก�นไวร�ส่ด�วยการ copy ข�อม�ลเด'มไว�ก�อน โดยไวร�ส่จะท�าการแก�ไขช้��อไฟล#และไดเร*กทอร1ท1�ต'ดเช้�0อ ท�าให�โปรแกรมป:องก�นไวร�ส่ตรวจหาไฟล#ไม�เจอ

ไวร�ส่หลอกลวง (Polymorphic Virus) จะแพิร�กระจายเช้�0อไปตามไฟล#ต�าง ๆ แล�วแส่ดงผู้ลหลอกเหม�อนว�าม1ไวร�ส่หลายต�วในเคร��อง เพิ��อให�โปรแกรมป:องก�นไวร�ส่ตรวจจ�บได�ยาก

ภั�ยค�กค�มต่�อคว�มปลอดภั�ยข้องข้อม�ล

ควบค�มคว�มปลอดภั�ยข้องข้อม�ล

การควบค-มความปลอดภั�ยของระบบคอมพิ'วเตอร#แบ�งออกเป�น 2 ประเภัท ค�อ

1. ควบค-มท��วไป (General control) เป�นการควบค-มความปลอดภั�ยของข�อม�ลในท-กฝ่<ายท1�ม1การใช้�คอมพิ'วเตอร# หร�อพิ�ดง�าย ๆ ก*ค�อ มาตรการร�วมท1�ใช้�ก�นท�0งองค#กร

2. ควบค-มเฉพิาะโปรแกรม (Application Control) เป�นการควบค-มเฉพิาะแต�ละโปแรกรม เช้�น ระบบบ�ญช้1 ระบบการจ�ายเง'น หร�อระบบการส่��งซ�0อ เป�นต�น ด�งน�0นมาตรการท1�ใช้�จ,งแตกต�างก�นไปตามแต�ละแผู้นก

ควบค�มคว�มปลอดภั�ยข้องข้อม�ล1 .ควบค-มท��วไป (General control)

ควบค-มความปลอดภั�ยของข�อม�ลต�0งแต�กระบวนการพิ�ฒนาระบบ (Implementation control)

ควบค-มความปลอดภั�ยของซอฟต#แวร# (Software Control)

ควบค-มความปลอดภั�ยของฮาร#ดแวร# (Hardware Control)

ควบค-มความปลอดภั�ยของระบบคอมพิ'วเตอร# (Computer Operation Control)

ควบค-มความปลอดภั�ยของข�อม�ล (Data Security Control)

ควบค-มมาตรฐาน (Administrative Control)

ควบค�มคว�มปลอดภั�ยข้องข้อม�ล2. ควบค-มเฉพิาะโปรแกรม

ควบค-มอ'นพิ-ต (Input Control)

ควบค-มกระบวนการ (Process Control)

ควบค-มเอาต#พิ-ต (Output Control)

ในการท�าพิาณิ'ช้ย#อ'เล*กทรอน'กส่# หร�อการท�าธ์-รกรรมต�าง ๆผู้�านอ'นเทอร#เน*ตน�0นส่'�งส่�าค�ญท1�จะขาดเส่1ยไม�ได�เลย ได�แก�ระบบร�กษาความปลอดภั�ย ท1�ด1ในเว*บไซต#น�0นๆ

SSL (Secure Sockets Layer) น�0นจะใช้�เพิ��อเข�ารห�ส่ (encrypt) ข�อม�ลต�วม�นเองน�0น ใช้�เพิ1ยงแค�การตรวจส่อบหร�อย�นย�นได�เฉพิาะฝ่6� งผู้��ขายเท�าน�0น ว�าม1ต�วตนจร'งไม�ส่ามารถืย�นย�นต�วผู้��ซ�0อได� และย�งส่ามารถืใช้�งานก�บบราวเซอร#ต�าง ๆได�

ควบค�มคว�มปลอดภั�ยข้องข้อม�ล

การท�างานจะเร'�มจากผู้��ใช้�งานเร'�มกระบวนการต'ดต�อ ไปย�งเว*บเซ'ร#ฟเวอร#ท1�ม1ระบบ SSL หล�งจากน�0นเซ'ร#ฟเวอร#จะส่�งใบร�บรอง (Server Certificate) กล�บมาพิร�อมก�บเข�ารห�ส่ ด�วยก-ญแจส่าธ์ารณิะ (Public Key) ของเซ'ร#ฟเวอร#

ควบค�มคว�มปลอดภั�ยข้องข้อม�ล

ข�0นตอนต�อมาคอมพิ'วเตอร#ฝ่6� งผู้��ร �บจะท�าการตรวจส่อบใบร�บรองน�0นอ1กท1เพิ��อตรวจส่อบต�วตนของฝ่6� งผู้��ค�าหล�งจากน�0นจะท�าการส่ร�างก-ญแจส่มมาตร (Symmetric Key)โดยการส่-�มและท�าการเข�ารห�ส่ก-ญแจส่มมาตรด�วยก-ญแจส่าธ์ารณิะของเซ'ร#ฟเวอร#ท1�ได�ร�บมา เพิ��อส่�งกล�บไปย�งเซ'ร#ฟเวอร#

ควบค�มคว�มปลอดภั�ยข้องข้อม�ล

เม��อเซ'ร#ฟเวอร#ได�ร�บแล�วก*จะท�าการถือดรห�ส่ด�วยก-ญแจส่�วนต�ว (Private Key) ก*จะได�ก-ญแจส่มมาตรของล�กค�ามาไว�ใช้�ในการต'ดต�อส่��อส่าร หล�งจากน�0นในการต'ดต�อส่��อส่ารก�นก*ใช้�การเข�ารห�ส่ต'ดต�อส่��อส่ารก�นได�อย�างปลอดภั�ย

ควบค�มคว�มปลอดภั�ยข้องข้อม�ล

คว�มปลอดภั�ยบนำอ�นำเทอร เนำ*ต่

เน��องมาจากความเส่1ยหายท1�เก'ดข,0นจากการค-กคามทางอ'นเทอร#เน*ตแพิร�กระจายได�อย�างรวดเร*ว

มาตรการท1�น�ามาใช้�ในการป:องก�นภั�ยค-กคามทางอ'นเทอร#เน*ตก*ค�อ Firewall โดย Firewall เป�นต�วกลางระหว�างเคร�อข�ายภัายในองค#กร (LAN) ก�บเคร�อข�ายนอกองค#กรอย�าง WAN หร�ออ'นเทอร#เน*ต

คว�มปลอดภั�ยบนำอ�นำเทอร เนำ*ต่

Firewall การป:องก�นภั�ยค-กคามทางอ'นเทอร#เน*ต

คว�มปลอดภั�ยบนำอ�นำเทอร เนำ*ต่

หน�าท1� Firewall ก*ค�อ ป:องก�นการส่��อส่ารท�0งจากภัายนอกท1�จะเข�ามาย�งเคร�อข�ายภัายใน และจากเคร�อข�ายภัายในท1�จะออกส่��อ'นเทอร#เน*ต โดย Firewall จะตรวจส่อบข�อม�ลท1�จะเข�ามา เช้�น ช้��อ หมายเลขไอพิ1 (IP Address) และล�กษณิะเฉพิาะอ��น ๆ ให�ถื�กต�องหร�อปลอดภั�ยตามมาตรฐานท1�ผู้��ด�แลเคร�อข�าย (Network Administrator) ก�าหนดไว� จ,งจะได�ร�บอน-ญาตให�ส่��อส่ารถื,งก�นได�

นำโยบ�ยร�ฐบ�ลก�บม�ต่รก�รร�กษ�คว�มปลอดภั�ย

พิาณิ'ช้ย#อ'เล*กทรอน'กส่# ค�อ การท�าธ์-รก'จบนอ'นเทอร#เน*ตท1�เช้��อมโยงผู้��คนท-กม-มโลกเข�าด�วยก�น จ,งเป�นการยากท1�จะตรวจส่อบว�าบ-คคลเหล�าน�0นเป�นใครบ�าง ด�งน�0นการส่ร�างความเช้��อม��นในระบบธ์-รก'จจ,งเป�นส่'�งท1�ขาดเส่1ยไม�ได�เลย หน�วยงานของร�ฐบาลท1�เก1�ยวข�องก�บนโยบายและมาตรการร�กษาความปลอดภั�ยต�างๆ ได�แก�

นำโยบ�ยร�ฐบ�ลก�บม�ต่รก�รร�กษ�คว�มปลอดภั�ย

1.ส่��นำ�กง�นำต่��รวจแหั�งชุ�ต่� จ�ดเตร1ยมบ-คลากรท1�ส่ามารถืจ�บผู้��กระท�าความผู้'ด ตรวจตราด�แลความส่งบส่-ขในการใช้�เทคโนโลย1ส่ารส่นเทศ ภัาระหน�าท1�น10เป�นส่�วนท1�ช้�วยส่�งเส่ร'มธ์-รก'จการค�าและพิาณิ'ช้ย#อ'เล*กทรอน'กส่#ในประเทศไทยให�ขยายต�วได� ร�ฐคงไม�ส่ามารถืป6ดภัาระให�แต�ละบร'ษ�ทจ�ดการร�กษาความปลอดภั�ยด�วยเองได� เพิราะถืนนหนทางบนอ'นเทอร#เน*ตท1�เป�นส่าธ์ารณิะย�งม1อ1กมาก อาจจะม1ผู้��ไม�ประส่งค#ด1หาทางฉกฉวยโอกาส่อย�� การส่ร�างบ-คลากรในส่�าน�กงานต�ารวจแห�งช้าต'จ,งต�องเร�งกระท�า อย�างน�อยเพิ��อให�ท�นก�บการพิ�ฒนาทางเทคโนโลย1ของผู้��ไม�ประส่งค#ด1เหล�าน�0น

2.NECTEC จ�ดต�0ง Computer Emergency Response Team (CERT) เพิ��อเป�นหน�วยงานท1�คอยประส่านงานในเร��องการละเม'ดความปลอดภั�ยบนเคร�อข�าย

ค��ถ�มท�ยบท1 .กลย-ทธ์#การร�กษาความปลอดภั�ยของข�อม�ล

ม1ก1�ข�0นตอน อะไรบ�าง จงอธ์'บาย2. ภั�ยค-กคามต�อความปลอดภั�ยของข�อม�ลม1

อะไรบ�าง จงอธ์'บาย3. Digital Signature ค�ออะไร จงอธ์'บายพิอ

ส่�งเขป4. Digital Certificate ค�ออะไร จงอธ์'บาย

พิอส่�งเขป

The End