ทำความรู้จัก Attack Surface Management (ASM) ความแตกต่างระหว่าง ASM และ EASM

Attack Surface Management คืออะไร?

Attack Surface Management (ASM) หรือการจัดการพื้นผิวการโจมตี คือกระบวนการในการค้นหา วิเคราะห์ จัดลำดับความสำคัญ แก้ไข และติดตาม Attack Surface ขององค์กรอย่างต่อเนื่อง เพื่อช่วยให้ทีม Security มองเห็น Asset และ Exposure ที่อาจถูกใช้เป็นช่องทางเข้าสู่ระบบ แนวคิดของ ยังให้ความสำคัญกับการค้นหา Unknown Assets, Unmanaged Assets และ Shadow IT ที่อาจอยู่นอกการดูแลของทีม Security

ตัวอย่างเช่น Cloud Instance ที่ทีม Development สร้างขึ้นชั่วคราว ระบบทดสอบที่ยังเปิดใช้งานอยู่ Subdomain เก่าที่ไม่มีผู้รับผิดชอบ หรือ Application ที่ถูกนำมาใช้งานโดยไม่ได้ผ่านกระบวนการของฝ่าย IT

เป้าหมายสำคัญคือการลด Blind Spot และทำให้ข้อมูลเกี่ยวกับ Attack Surface ใกล้เคียงกับสภาพแวดล้อมจริงขององค์กรมากที่สุด

• Attack Surface คืออะไร? รู้จักพื้นที่เสี่ยงที่องค์กรต้องป้องกันจาก Cyberattack

ASM ช่วยเสริม Vulnerability Management อย่างไร?

Vulnerability Management ยังคงเป็นองค์ประกอบสำคัญของ Cybersecurity เพราะช่วยค้นหา ประเมิน จัดลำดับ และแก้ไขช่องโหว่ในระบบ อย่างไรก็ตาม ประสิทธิภาพของ Vulnerability Management ส่วนหนึ่งขึ้นอยู่กับว่าองค์กร รู้จัก Asset นั้นและนำเข้ามาอยู่ใน Scope การตรวจสอบแล้วหรือไม่

ปัญหาเกิดขึ้นเมื่อมี Asset ที่องค์กรไม่รู้ว่ามีอยู่ เช่น Shadow IT, Cloud Resource ที่ถูกสร้างชั่วคราว, Forgotten Subdomain หรือระบบจากบริษัทที่เพิ่งควบรวมเข้ามา หาก Asset เหล่านี้ไม่อยู่ใน Inventory ก็อาจไม่ได้ถูกนำเข้าสู่กระบวนการ Vulnerability Management ตั้งแต่ต้น

ASM จึงช่วยเติม Visibility ในขั้นก่อนหน้า จากนั้นจึงนำ Asset และ Exposure ที่ค้นพบไปวิเคราะห์ ประเมิน และเข้าสู่กระบวนการจัดการความเสี่ยงต่อไป กล่าวอย่างง่ายคือ ASM ช่วยให้องค์กรมองเห็นสิ่งที่ต้องตรวจสอบ ขณะที่ Vulnerability Management ลงรายละเอียดกับช่องโหว่และ Security Weakness ของ Asset ที่อยู่ใน Scope

Attack Surface Management ทำงานอย่างไร?

Attack Surface Management ไม่ใช่กิจกรรมที่ทำเพียงครั้งเดียว เพราะ Attack Surface สามารถเปลี่ยนแปลงได้ตลอดเวลา จากการเพิ่ม Application, Cloud Resource, Domain, API หรือบริการใหม่ รวมถึงการเปลี่ยน Configuration ของระบบเดิม

แม้กระบวนการของแต่ละ Solution จะแตกต่างกัน แต่โดยทั่วไปสามารถอธิบาย ASM ได้เป็น 5 ขั้นตอนหลัก ได้แก่ Discover, Analyze, Prioritize, Remediate และ Monitor

1. Discover – ค้นหาและระบุ Asset

ขั้นตอนแรกคือการค้นหาและรวบรวมข้อมูลเกี่ยวกับ Digital Asset ที่เกี่ยวข้องกับองค์กร เช่น Domain, Subdomain, IP Address, Web Application, API, Cloud Resource, Server, Endpoint และ Internet-facing Service

การค้นหาไม่ได้จำกัดเฉพาะ Asset ที่อยู่ใน Asset Inventory เท่านั้น แต่ยังรวมถึง Asset ที่ทีม Security อาจไม่เคยรับรู้มาก่อน เช่น Shadow IT ระบบเก่าที่ยังเปิดใช้งานอยู่ หรือ Asset ที่ไม่มีผู้รับผิดชอบอย่างชัดเจน

ขั้นตอนนี้ช่วยให้องค์กรเห็น Attack Surface ได้ครอบคลุมขึ้น และลด Blind Spot ที่อาจกลายเป็นจุดเสี่ยงในอนาคต

2. Analyze – วิเคราะห์ Asset และ Exposure

เมื่อค้นพบ Asset แล้ว ขั้นต่อไปคือการทำความเข้าใจว่า Asset แต่ละรายการคืออะไร เชื่อมโยงกับระบบใด มีลักษณะการเปิดเผยอย่างไร และมี Exposure หรือ Weakness ใดที่ควรได้รับความสนใจ

ข้อมูลที่นำมาวิเคราะห์อาจรวมถึง Vulnerability, Misconfiguration, Open Port, Exposed Service, Software Version, Certificate รวมถึง Service ที่เปิดใช้งานโดยไม่จำเป็น

นอกจากปัจจัยทางเทคนิคแล้ว Context ของ Asset ก็มีความสำคัญ เช่น เป็น Production System หรือไม่ เกี่ยวข้องกับข้อมูลสำคัญหรือไม่ หรือสามารถเข้าถึงจาก Internet ได้โดยตรงหรือไม่

3. Prioritize – จัดลำดับความสำคัญของความเสี่ยง

เมื่อองค์กรมี Asset และ Exposure จำนวนมาก การแก้ไขทุกประเด็นด้วยความเร่งด่วนเท่ากันอาจไม่ใช่วิธีที่มีประสิทธิภาพ ASM จึงช่วยนำข้อมูลหลายด้านมาประกอบการจัดลำดับ เช่น ระดับการเปิดเผยของ Asset ความสำคัญต่อธุรกิจ ผลกระทบหากถูกโจมตี และระดับความรุนแรงของความเสี่ยง

เป้าหมายคือช่วยให้ทีม Security สามารถมุ่งทรัพยากรไปยังจุดที่มีความสำคัญก่อน แทนที่จะจัดการ Alert หรือ Finding ทุกประเภทในระดับเดียวกัน

4. Remediate – แก้ไขและลดความเสี่ยง

หลังจากกำหนด Priority แล้ว ทีมที่เกี่ยวข้องสามารถดำเนินการแก้ไขตามลักษณะของปัญหา เช่น Patch ช่องโหว่ แก้ไข Misconfiguration ปิด Port หรือ Service ที่ไม่จำเป็น ปิด Asset ที่ไม่ได้ใช้งาน จำกัดสิทธิ์การเข้าถึง หรือเพิ่ม Security Control

ASM จึงสามารถนำข้อมูลไปสู่การ Remediation รวมถึงการกำหนด Ownership และติดตามสถานะของความเสี่ยงได้

5. Monitor – ติดตาม Attack Surface อย่างต่อเนื่อง

Attack Surface สามารถเปลี่ยนแปลงได้ทุกวัน การ Monitor อย่างต่อเนื่องจึงช่วยให้องค์กรตรวจพบ Asset ใหม่ การเปลี่ยนแปลงของระบบ หรือ Exposure ที่เพิ่งเกิดขึ้น

ตัวอย่างเช่น Subdomain ใหม่, Cloud Resource ใหม่, Public IP ใหม่ หรือ Service ที่เพิ่งถูกเปิดออกสู่ Internet

Continuous Monitoring ช่วยให้ข้อมูล Attack Surface ไม่กลายเป็นเพียง Snapshot ณ ช่วงเวลาหนึ่ง แต่สามารถสะท้อนการเปลี่ยนแปลงของ Environment ได้ดีขึ้น

ASM ช่วยค้นหา Unknown Assets และ Shadow IT อย่างไร?

หนึ่งในโจทย์สำคัญของ Attack Surface Management คือองค์กรไม่สามารถป้องกันสิ่งที่ไม่รู้ว่ามีอยู่ได้

Unknown Asset คือ Asset ที่มีความเกี่ยวข้องกับองค์กร แต่ไม่อยู่ใน Asset Inventory หรือไม่ได้อยู่ภายใต้การดูแลของทีม Security

ส่วน Shadow IT มักหมายถึง Application, System หรือ Service ที่ถูกนำมาใช้งานโดยไม่ได้ผ่านกระบวนการอนุมัติหรือการกำกับดูแลของฝ่าย IT หรือ Security

ตัวอย่างเช่น ทีม Development อาจสร้าง Cloud Instance สำหรับทดสอบระบบแล้วไม่ได้ปิดหลังใช้งาน หรือ Marketing อาจสร้าง Subdomain และเชื่อมต่อกับ Third-party Service โดยที่ทีม Security ไม่ได้รับข้อมูล

ASM สามารถรวบรวมข้อมูลจากหลายแหล่งเพื่อช่วยค้นหาและเชื่อมโยง Asset เหล่านี้กลับมายังองค์กร โดยวิธีการที่ใช้จะแตกต่างกันตามประเภทของ Attack Surface และความสามารถของแต่ละ Solution

สำหรับ Asset ที่เปิดเผยสู่ Internet องค์กรสามารถใช้แนวทาง Outside-in Discovery เพื่อค้นหา Asset และ Exposure จากมุมมองภายนอก ซึ่งเป็นแนวคิดสำคัญของ External Attack Surface Management (EASM) ที่มุ่งเพิ่ม Visibility ต่อ Internet-facing Assets และช่วยค้นหาสิ่งที่องค์กรอาจไม่ทราบว่ามีอยู่

ASM และ EASM ต่างกันอย่างไร?

เมื่อพูดถึง Attack Surface Management อีกคำที่มักพบร่วมกันคือ External Attack Surface Management (EASM) โดยทั่วไป ASM สามารถใช้เป็นแนวคิดในภาพรวมของการบริหาร Attack Surface ขณะที่ EASM จะเจาะจงไปที่ External หรือ Public-facing Attack Surface โดยเฉพาะ