ECOP TH

📖 MITRE ATT&CK × สามก๊ก Series · EP 5
🕵️ สายลับฝังลึก · Persistence · TA0003

👤 หูเจอ อายุ 28 เข้าเมืองเสฉวนในฐานะเสมียนระดับล่าง
📜 ใบรับรองในมือเขา ปลอม
✅ แต่เขาทำงานเรียบร้อย เข้างานตรงเวลา ไม่ลา ไม่เกี่ยงงาน

📈 ปีแรก เลื่อนเป็นผู้ช่วยขุนนาง
📈 ปีที่สอง ขึ้นเป็นขุนนางย่อย
💍 ปีที่สี่ แต่งงานกับลูกสาวของขุนนางใหญ่
👶 ปีที่ห้า มีลูก ปีที่หก ครอบครัวเป็นที่รักของเพื่อนบ้าน

🎭 เจ็ดปีของการแสร้งเป็นคนอื่น
✉️ ทุกเดือน หูเจอเขียนจดหมาย "คุยกับญาติทางเหนือ"
🔐 ในจดหมายมีรหัสซ่อนอยู่ บอกทุกอย่างที่เกิดในเมืองกลับโจโฉ

🌃 คืนก่อนทัพโจโฉบุก หูเจอเปิดประตูข้างของเมืองให้
💥 เช้าวันรุ่งขึ้น เมืองที่ตั้งมั่นมา 30 ปี ก็ตกอยู่ในมือฝ่ายตรงข้าม

💻 ในวงการไซเบอร์ Persistence คือเทคนิคที่ผู้โจมตี
"ฝังตัว" ไว้ในระบบให้นานที่สุดก่อนเริ่มลงมือ
🔧 backdoor · scheduled task · registry run key · DLL hijack · WMI
🔁 ทุกอย่างถูกออกแบบให้กลับเข้าระบบได้ แม้ระบบจะถูก reboot ถูก patch

📊 รายงาน breach หลายฉบับระบุว่า ผู้โจมตีมักอยู่ในระบบ
🗓️ หลายเดือนก่อนถูกพบ · บางเคสยาวถึงปี

🛡️ การ "ดูแลความปลอดภัย" จึงไม่ใช่แค่ป้องกันการบุก
🔎 แต่คือการตรวจหาว่า ใครยังอยู่ในบ้านของเรา

📌 EP 5 · MITRE ATT&CK × สามก๊ก
👇 ดาวน์โหลดเล่มเต็ม ฟรี ที่ https://www.send.co/a/0QbDiiRv

#พิชัยยุทธไซเบอร์

🛡️ ภัยไซเบอร์ประจำสัปดาห์ — การฝัง “Webshell” เพื่อลอบควบคุมเว็บเซิร์ฟเวอร์

ในช่วงที่ผ่านมา พบการโจมตีเว็บแอปพลิเคชันเพิ่มขึ้นอย่างมีนัยสำคัญ โดยผู้โจมตี
อาศัยช่องโหว่ของระบบ เช่น Microsoft SharePoint และเว็บที่พัฒนาด้วย CMS
(Joomla / WordPress) เพื่อเข้าถึงเซิร์ฟเวอร์

เมื่อเจาะเข้าได้ ผู้โจมตีจะฝัง “Webshell” ซึ่งเป็นสคริปต์ขนาดเล็กที่ทำหน้าที่เป็น
ช่องทางลับ สำหรับสั่งการและควบคุมเว็บเซิร์ฟเวอร์จากระยะไกลได้อย่างต่อเนื่อง
โดยยากต่อการตรวจพบ

ผลกระทบที่ตามมา:
▪️ การขโมยข้อมูลขององค์กรและลูกค้า
▪️ การเปลี่ยนแปลงหน้าเว็บ (web defacement) ซึ่งพบบ่อยกับเว็บหน่วยงานราชการ
▪️ การปล่อยมัลแวร์เรียกค่าไถ่ (ransomware)

แนวทางรับมือจาก E-C.O.P:
เราได้จัดทำและเผยแพร่ชุดตรวจจับ (detection rule) โดยไม่มีค่าใช้จ่าย เพื่อให้ทีม
ความปลอดภัยและผู้ดูแลระบบนำไปใช้เฝ้าระวัง และตรวจพบพฤติกรรมการฝัง Webshell
ได้ตั้งแต่ระยะแรก ก่อนเกิดความเสียหาย

เหมาะสำหรับ: องค์กรที่มีทีมดูแลระบบ และมีบันทึก (log) ของเว็บเซิร์ฟเวอร์หรือ EDR
อยู่แล้ว (หากยังไม่มีทีมดูแล สามารถติดต่อปรึกษาทีมงานของเราได้)

—————————————————————
สำหรับผู้ปฏิบัติงานด้านเทคนิค — rule ทั้งสอง (รูปแบบ Sigma รองรับทุก SIEM):
• เว็บเซิร์ฟเวอร์เรียกใช้ command shell ผิดปกติ (ใช้ log จาก EDR)
github.com/ecop-th/detection-rules/blob/main/sigma/web/proc_creation_win_iis_worker_spawning_shell.yml
• การเรียกไฟล์สคริปต์ต้องสงสัยในโฟลเดอร์อัปโหลด (ใช้ web access log)
github.com/ecop-th/detection-rules/blob/main/sigma/web/web_webshell_access_in_upload_dir.yml
—————————————————————

E-C.O.P เผยแพร่ชุดตรวจจับเหล่านี้โดยไม่มีค่าใช้จ่าย ด้วยความตั้งใจร่วมยกระดับ
ความปลอดภัยของเว็บไซต์ในประเทศไทย

🔗 Detection rules ทั้งหมด: github.com/ecop-th/detection-rules
🌐 บริการด้านความปลอดภัยของ E-C.O.P: ecop.co.th
📩 ติดต่อทีมงาน: [email protected] | โทร 02-401-0106

#ภัยไซเบอร์

📖 MITRE ATT&CK × สามก๊ก Series · EP 4
👤 ปลุกทหารในเกวียน · Ex*****on · TA0002

🪚 หลีต้า เป็นช่างไม้ที่เปิดร้านเล็ก ๆ ในเมืองมาเจ็ดปี
👨‍👩‍👧‍👦 ภรรยาดี ลูกสองคน เพื่อนบ้านรักใคร่กันดี
🤫 ไม่มีใครเอะใจว่าเขาคือสายลับ ที่ฝังตัวรอจังหวะมาตลอด

🚛 วันที่เห็นกองเกวียนห้าสิบเล่มเข้ามาในเมือง คือวันที่เขารู้
⏰ ภารกิจที่รอมาเจ็ดปี วันนี้มาถึงแล้ว

🌙 ตีสามตรง หลีต้าเคาะเกวียนเบา ๆ สามครั้ง
👥 ทหารร้อยคนในเกวียนตื่นขึ้น เคลื่อนตัวเงียบ ๆ ไปประตูเมือง
🔥 คืนนั้น เมืองก็ล่ม

💻 ในวงการไซเบอร์ "ปลุกทหารในเกวียน" คือ Ex*****on
📄 ไฟล์ macro ใน Word เปิดออกมา แต่ macro ไม่ทำอะไรเอง
🔄 มันแค่เรียก PowerShell ของ Microsoft ขึ้นมา
⬇️ PowerShell ดาวน์โหลด code จาก server ของผู้โจมตี แล้วรัน

🚫 EDR ไม่ alert · เพราะ admin ใช้ PowerShell ทุกวัน
🚫 AV ไม่จับ · เพราะ PowerShell คือ tool ของ Microsoft

🧩 ทหารในเกวียน = payload ที่ฝังไว้นาน
🧩 ช่างไม้หลีต้า = trigger ที่ฝังไว้นานกว่า
⚡ ทั้งสองรอ "สัญญาณนัดหมาย" ที่ทำให้ทุกอย่างทำงานพร้อมกัน

📌 EP 4 · MITRE ATT&CK × สามก๊ก
👇 ดาวน์โหลดเล่มเต็ม ฟรี ที่ https://www.send.co/a/0QbDiiRv

#พิชัยยุทธไซเบอร์ *****on

[ECOP Strategic Series — ตอนที่ 3 จาก 4]

🌐 เพิ่มการมองเห็นที่ Edge และ Identity

ระบบตรวจจับที่ดีเพียงใดก็ไม่อาจทำงานได้ หากปราศจากข้อมูลบันทึก (Log) ที่เพียงพอ และผู้โจมตีระดับรัฐเข้าใจข้อจำกัดนี้เป็นอย่างดี จึงเลือกลงมือในจุดที่องค์กรส่วนใหญ่มองไม่เห็น นั่นคืออุปกรณ์ Edge และสิทธิ์การเข้าถึงในระบบคลาวด์ ด้วยเหตุนี้ การเพิ่มการมองเห็น (Visibility) ในสามจุดต่อไปนี้จึงเป็นสิ่งจำเป็น

จุดแรกคือข้อมูลจากอุปกรณ์ Edge องค์กรควรกำหนดให้อุปกรณ์อย่าง VPN, Firewall และ Router ส่งบันทึกเข้าสู่ระบบ SIEM หรือ MDR ซึ่งเป็นศูนย์รวบรวมและวิเคราะห์ข้อมูล แม้อุปกรณ์เหล่านี้จะติดตั้ง EDR ไม่ได้ แต่สามารถส่งบันทึกออกมาได้ เพียงเปิดใช้งานและรวมศูนย์ก็ช่วยปิดจุดบอดที่ใหญ่ที่สุดได้ทันที

จุดที่สองคือการมองเห็นในระดับเครือข่ายด้วยระบบ NDR (Network Detection and Response) ซึ่งเฝ้าสังเกตการรับส่งข้อมูลภายในเครือข่าย เพื่อตรวจจับสิ่งที่ระบบบนเครื่องปลายทางมองไม่เห็น เช่น การเคลื่อนย้ายจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่ง หรือการติดต่อกลับไปยังเซิร์ฟเวอร์สั่งการของผู้โจมตี

จุดที่สามคือการวิเคราะห์ตัวตนและสิทธิ์การเข้าถึง เนื่องจากผู้โจมตีในปัจจุบันมักใช้วิธี "เข้าสู่ระบบ" มากกว่าการเจาะเข้ามาโดยตรง ดังเช่นกลุ่ม MURKY PANDA ที่อาศัยความสัมพันธ์ที่เชื่อถือได้ผ่านผู้ให้บริการคลาวด์ องค์กรจึงควรเฝ้าติดตามสิทธิ์ Delegated Admin, OAuth และ Service Principal ในระบบ Microsoft 365 และ Entra ID อย่างใกล้ชิด

ข้อควรระวังที่สำคัญคือ อุปกรณ์ที่หมดอายุการสนับสนุนแล้วแต่ยังเชื่อมต่ออินเทอร์เน็ตและไม่ส่งบันทึกใด ๆ เปรียบเสมือนประตูที่เปิดค้างไว้โดยไม่มีผู้ใดเฝ้า จึงควรจัดให้เป็นความเสี่ยงระดับสูงและมีแผนเปลี่ยนทดแทนที่ชัดเจน ในตอนสุดท้าย เราจะรวบรวมทุกแนวทางไว้เป็นแผนปฏิบัติที่เริ่มต้นได้จริงภายใน 90 วัน

📚 2026 Threat Landscape Series

📌 EP.6 — OT / ICS ATTACK
ภัยที่กระทบโรงงานไทย + สาธารณูปโภค
IT/OT Convergence Risk + Series B Wrap

━━━━━━━━━━━━━━━━━

🏭 OT Attack ไม่ใช่เรื่องโรงงานในยุโรป — ไทยโดนแล้วและจะโดนอีก

Operational Technology (OT) = ระบบควบคุมโรงงาน สายพาน หม้อน้ำ ไฟฟ้า น้ำประปา ระบบขนส่ง

ต่างจาก IT ตรงที่ downtime ของ OT = ผลิตภัณฑ์หยุด + ความปลอดภัยคนในโรงงานกระทบ + บางกรณี life-critical

ปี 2026 OT attack โผล่ขึ้น radar ของ threat actor มากขึ้น เพราะ:
1. OT เริ่มเชื่อม IT (IT/OT convergence) = surface กว้างขึ้น
2. OT ใหม่ใช้ protocol IP-based (not legacy serial) = exploit ง่ายขึ้น
3. Geopolitical tension = nation-state ให้ความสำคัญ OT เป็น target

━━━━━━━━━━━━━━━━━

🎯 เคสจริงที่สะท้อน

▫️ Colonial Pipeline (2021) — ransomware บน IT side ทำให้ต้อง shut OT pipeline สหรัฐฯ ขาดน้ำมัน 5 วัน
▫️ Viasat / KA-SAT (กุมภาพันธ์ 2022) — cyber attack ตัด internet ให้หน่วยทหารยูเครนเป็นหลัก และมี collateral damage ไปที่ wind turbine ใน Europe
▫️ Water Utility Attacks — Oldsmar (2021) พยายามเปลี่ยนระดับ sodium hydroxide, Aliquippa (2023) CyberAv3ngers เจาะ HMI ของ water authority
▫️ Thailand — มีรายงานภาคโรงงานและ critical infrastructure ถูกเล็ง และบางกรณีถูก ransomware ลาม

━━━━━━━━━━━━━━━━━

🔍 OT มี attack surface อะไรบ้าง

1️⃣ HMI (Human-Machine Interface)
หน้าจอควบคุมโรงงาน บางโรงงานยัง Windows XP / 7 + RDP exposed

2️⃣ PLC (Programmable Logic Controller)
อุปกรณ์ควบคุมเครื่องจักร — บาง model มี backdoor default credential

3️⃣ SCADA Server
ระบบ supervisory — ถ้า compromise = control plant operations ได้

4️⃣ Engineering Workstation
เครื่องที่ engineer ใช้โปรแกรม PLC — ถ้าโดน = inject logic ผิด

5️⃣ Historian Database
เก็บข้อมูลการผลิต — ถูกใช้เป็น pivot เข้า IT side

━━━━━━━━━━━━━━━━━

🛡 OT Security — ต่างจาก IT ยังไง

ในโลก IT: Confidentiality > Integrity > Availability
ในโลก OT: Availability > Integrity > Confidentiality

หมายความว่า OT รับ downtime ไม่ได้ — patch ยาก, MFA ยาก, ลง EDR ยาก

Defense strategy:
✅ Network Segmentation (Purdue Model / ISA-95)
✅ One-way data diode สำหรับ OT → IT
✅ OT-specific monitoring (Claroty, Nozomi, Dragos)
✅ Remote access via jump host + MFA + session recording
✅ Patch cycle ยาวกว่า IT (6-12 เดือน) แต่ต้องมี compensating control
✅ Vendor management เข้มงวด (OEM remote access)

━━━━━━━━━━━━━━━━━

🇹🇭 Thailand OT Reality

▫️ โรงงานไทยจำนวนมาก ยังใช้ flat network — IT + OT บน VLAN เดียว
▫️ Legacy HMI Windows XP/7 ยังเยอะ ไม่ได้ patch
▫️ Vendor remote support ผ่าน TeamViewer/AnyDesk ไม่มี MFA
▫️ ไม่มี OT asset inventory — ไม่รู้ว่ามีอะไรบ้างในโรงงาน
▫️ SOC ทั่วไปดูแค่ IT ไม่มี OT-specific detection

→ ต้องเริ่มจาก asset inventory + segmentation ก่อนอย่างอื่น

━━━━━━━━━━━━━━━━━

📋 OT Security Roadmap 6 เดือนแรก

Month 1-2: OT Asset Inventory + Network Map
Month 3: Segmentation IT/OT (firewall rule ชัด)
Month 4: Remote Access Jump Host + MFA + Logging
Month 5: OT Detection (passive monitoring first)
Month 6: Incident Response Playbook เฉพาะ OT

━━━━━━━━━━━━━━━━━

🎬 Series B Wrap

6 ตอนที่ผ่านมา เราเจาะภัยคุกคามที่องค์กรไทยควรรู้:
EP1 Threat Landscape Overview
EP2 Ransomware Groups
EP3 Phishing Thai-Targeted
EP4 Supply Chain Risk
EP5 Insider Threat
EP6 OT/ICS Attack (ตอนนี้)

ไม่มีองค์กรไหนรอดจากภัยเหล่านี้ได้ แต่องค์กรที่เตรียมตัวดี จะผ่านมันไปได้โดยไม่กลายเป็นข่าว

ตอนหน้าเปิด Series C — "CISO Playbook" สำหรับผู้บริหารที่ต้องตัดสินใจด้าน cyber 6 ตอน เจอกันในซีรีส์ใหม่ครับ

ถ้าอยากปรึกษา threat landscape เฉพาะสำหรับ industry ของคุณ ทักมาได้ที่ [email protected] ทีม CTI ของ ECOP ยินดีช่วยครับ

📚Cyber Recovery Mindset Series

🚨 "เราลงทุน DR Site ไป 80 ล้านบาท
แล้วทำไมล่มพร้อม Production?" 💸

❓ นี่คือคำถามแรกที่ CFO ของโรงพยาบาลแห่งหนึ่ง
ถามทีม IT หลังเหตุการณ์ ransomware เมื่อปลายปีที่แล้ว

😔 คำตอบที่ทีมต้องบอก
"เพราะ DR Site ไม่ได้ถูกออกแบบมารับสิ่งนี้ครับ"

━━━━━━━━━━━━━━━━━━━━━

🎯 DR Site ที่เราคุ้นเคยมา 20 ปี
🔥 ออกแบบมารับ "ภัยพิบัติทางกายภาพ"
🔸 ไฟไหม้ · น้ำท่วม · แผ่นดินไหว · เครื่อง down

⚠️ แต่ ransomware ปี 2024–2026 ไม่ใช่ภัยพิบัติ
🔑 มันคือ "ผู้บุกรุกที่ถือกุญแจของท่าน"

━━━━━━━━━━━━━━━━━━━━━

💀 3 จุดที่ทำให้ DR Site แบบเดิมพังพร้อม Production:

1️⃣ 🔓 AD เดียวกัน — ยึด AD = ยึดทั้งคู่
2️⃣ ⚡ Replication เร็วเป็นวินาที — ransomware ถึง DR ใน 5 นาที
3️⃣ 🔗 Always-on connectivity — ไม่มีจังหวะให้ตัด

━━━━━━━━━━━━━━━━━━━━━

✨ นี่คือเหตุที่ Cyber Recovery ต้องเป็น "ชั้นใหม่"
🛑 ไม่ใช่ "อัปเกรด" ของ DR

✅ Identity แยก
✅ Replication เปิดเป็นรอบ
✅ Vault ตัดขาดจาก Production network

🤝 ไม่ใช่ทดแทน DR — แต่ทำงานคู่กัน

━━━━━━━━━━━━━━━━━━━━━

📘 อ่านเต็มใน ECOP Series R · EP 01
📄 73 หน้า · FREE PDF
👥 อ่านพร้อมทีมในห้องประชุมเดียว

🔗 ดาวน์โหลดที่นี่ 👉
https://www.send.co/a/WnQTJGu0

[ECOP Strategic Series — ตอนที่ 2 จาก 4]

🌐 ตรวจจับที่ "พฤติกรรม" ไม่ใช่ "ที่อยู่"

ในตอนที่แล้วเราได้เห็นว่า หมายเลข IP และค่าแฮชสามารถเปลี่ยนแปลงได้อย่างรวดเร็ว คำถามที่ตามมาคือ แล้วสิ่งใดที่ผู้โจมตีเปลี่ยนแปลงได้ยาก แนวคิดที่ช่วยตอบคำถามนี้คือ Pyramid of Pain ซึ่งจัดลำดับร่องรอยของผู้โจมตีจากที่เปลี่ยนได้ง่ายไปยากขึ้นเรื่อย ๆ ร่องรอยระดับล่างอย่าง IP หรือแฮชเปลี่ยนได้ในไม่กี่วินาที แต่ระดับบนสุดคือ TTP หรือ "วิธีการและพฤติกรรม" ในการโจมตี ซึ่งฝังอยู่ในกระบวนการทำงานของผู้โจมตีและเปลี่ยนได้ยากที่สุด ด้วยเหตุนี้ องค์กรจึงควรยกระดับการตรวจจับขึ้นไปที่พฤติกรรมให้มากที่สุด

แนวทางที่ทำให้เกิดขึ้นได้จริงประกอบด้วยสามส่วนหลัก

ส่วนแรกคือการอ้างอิงกรอบ MITRE ATT&CK ซึ่งเป็นมาตรฐานสากลที่รวบรวมเทคนิคการโจมตีไว้อย่างเป็นระบบ แทนที่จะเขียนกฎการตรวจจับว่า "หากพบ IP นี้ให้แจ้งเตือน" เราเปลี่ยนเป็น "หากพบพฤติกรรมตามเทคนิคนี้ให้แจ้งเตือน" ซึ่งตรวจจับได้ไม่ว่าผู้โจมตีจะเข้ามาจากที่ใด

ส่วนที่สองคือการวิเคราะห์พฤติกรรมด้วยระบบ UEBA (User and Entity Behavior Analytics) ซึ่งเรียนรู้ว่าพฤติกรรมปกติของผู้ใช้ เครื่อง และเครือข่ายเป็นอย่างไร แล้วคอยตรวจจับสิ่งที่ผิดไปจากปกติ เช่น บัญชีที่มักใช้งานในเวลาทำการ แต่กลับมีการดึงข้อมูลจำนวนมากในช่วงกลางดึก แม้จะมาจากเครื่องและ IP ที่ดูถูกต้องก็ตาม

ส่วนที่สามคือ Detection Engineering หรือการบริหารกฎการตรวจจับอย่างมีระบบ ทั้งการสร้าง ทดสอบ และปรับปรุงอย่างต่อเนื่อง พร้อมวัดผลด้วยตัวชี้วัดความครอบคลุมของการตรวจจับ (Detection Coverage) มิใช่ตั้งกฎเพียงครั้งเดียวแล้วปล่อยทิ้งไว้

โดยสรุป ที่อยู่ของผู้โจมตีเปลี่ยนได้ภายในหนึ่งนาที แต่พฤติกรรมของการโจมตีเปลี่ยนได้ยากกว่ามาก จุดนี้เองคือความได้เปรียบที่ฝ่ายป้องกันควรใช้ให้เกิดประโยชน์ ในตอนถัดไปเราจะกล่าวถึงข้อมูลที่จำเป็นต้องมี เพื่อให้การตรวจจับเหล่านี้ทำงานได้จริง

📚 Security Leader Mindset Series EP5

"ทำไม User ถึงหลีกเลี่ยง Security Policy ของเรา?"

ถ้าเคยถามคำถามนี้ — EP 05 มีคำตอบครับ

ส่วนใหญ่ไม่ใช่เพราะ User ประมาท แต่เพราะ Policy นั้น "ขัดการทำงานจริง"

ตัวอย่างง่ายๆ: บังคับ MFA ทุก 30 นาทีสำหรับระบบที่ใช้ตลอดวัน — คนก็หา workaround แน่นอน

Security Leader ที่คิดแบบ Business First จะถามก่อนว่า "Policy นี้ช่วยหรือขัดธุรกิจ?"
แล้วค่อยหาจุดที่ Security กับ Business ไปด้วยกันได้

เพราะ Security ที่ดีที่สุด คือ Security ที่คนใช้จริง — ไม่ใช่ Security ที่เข้มงวดที่สุด

📥 อยากอ่านต่อ? ดาวน์โหลด PDF ฉบับเต็ม 60 หน้าฟรีได้เลยครับ 👇
🔗 https://smplu.link/wnDiR

🛡️ AI GOVERNANCE ADVISORY — ทำไมองค์กรต้องเริ่มกำกับ AI ตั้งแต่วันนี้

พนักงานของคุณเริ่มใช้ AI ช่วยงานทุกวัน — เขียนอีเมล สรุปเอกสาร ตอบลูกค้า คัดใบสมัคร แต่องค์กรตอบได้ไหมว่า ตอนนี้ใช้ AI อยู่กี่จุด ใครเป็นเจ้าของ และถ้า AI พลาดใครรับผิดชอบ? 🤔

AI เข้ามาในองค์กรเงียบ ๆ เร็วกว่าที่ฝ่ายบริหารจะกำกับทัน ความเสี่ยงเรื่องข้อมูลรั่ว อคติ (bias) และความรับผิดทางกฎหมายจึงสะสมโดยไม่มีใครเห็น วิธีที่ง่ายที่สุดในการเข้าใจคือมอง AI เป็น "สมาชิกใหม่ในทีม" ที่เก่งมากแต่ยังไว้ใจ 100% ไม่ได้ — จึงต้องมีกติกากำกับ

📘 ISO/IEC 42001 คืออะไร
มาตรฐานระบบบริหารจัดการปัญญาประดิษฐ์ (AI Management System) ตัวแรกของโลก · ไม่ใช่ซอฟต์แวร์ แต่เป็น "ระบบบริหารจัดการ" คล้าย ISO 27001 มีข้อกำหนดหลัก Clause 4–10 และชุดควบคุมใน Annex A รวม 38 ข้อ (9 กลุ่ม) พร้อมเครื่องมือสำคัญคือ AI System Impact Assessment

✅ องค์กรเริ่มได้เลยจาก 4 ก้าว
1) ออกนโยบายการใช้ AI (เริ่มจาก 1 หน้า)
2) ทำทะเบียนการใช้ AI — รู้ว่าใช้ตรงไหน ใครเป็นเจ้าของ
3) ใส่จุดให้มนุษย์กำกับงานที่กระทบคน/ข้อมูลสำคัญ
4) ประเมินผลกระทบระบบสำคัญก่อนเปิดใช้งาน

และเมื่อกฎหมาย AI อย่าง EU AI Act ทยอยบังคับใช้ องค์กรที่วางระบบไว้ก่อนย่อมปรับตัวได้เร็วกว่า

📖 อยากเข้าใจลึกขึ้น? E-C.O.P จัดทำหนังสือ "AI Governance ฉบับเข้าใจง่าย (เล่ม 1)" ปูพื้น AI Governance และ ISO/IEC 42001 ผ่าน 10 คำถามที่คนถามจริง พร้อมตัวอย่างและถ้อยคำนโยบายที่นำไปปรับใช้ได้

📥 ดาวน์โหลดหนังสือ (PDF) ฟรี: https://www.send.co/a/DdFoQdzl

หรือทักมาที่ ECOP เพื่อปรึกษาการเริ่มทำ AI Governance ในองค์กรของท่าน

จัดทำเพื่อเผยแพร่ความรู้ด้าน AI Governance แก่องค์กรในไทย ด้วยความห่วงใย — ทีม CTI/SOC, E-C.O.P (Thailand)
🌐 ecop.co.th

#ธรรมาภิบาลAI

[ECOP Strategic Series — ตอนที่ 1 จาก 4]

🌐ทำไมการ "บล็อก IP" จึงไม่เพียงพออีกต่อไป

ตลอดสิบปีที่ผ่านมา การป้องกันภัยไซเบอร์ของหลายองค์กรตั้งอยู่บนแนวคิดเดียว คือการรวบรวม "ร่องรอย" ของผู้โจมตี หรือที่เรียกว่า Indicator of Compromise (IOC) ได้แก่ หมายเลข IP ชื่อโดเมน และค่าแฮชของไฟล์อันตราย แล้วนำมาตั้งค่าให้ระบบบล็อกโดยอัตโนมัติ แนวทางนี้เคยได้ผลดีมาโดยตลอด

อย่างไรก็ตาม รายงาน Mandiant M-Trends 2026 ซึ่งอ้างอิงจากการสืบสวนเหตุการณ์จริงกว่า 500,000 ชั่วโมง ระบุว่าแนวทางดังกล่าวกำลังหมดประสิทธิภาพลง เนื่องจากกลุ่มจารกรรมที่เชื่อมโยงกับรัฐได้เปลี่ยนวิธีการทำงานไปอย่างมีนัยสำคัญ จนนักวิเคราะห์เรียกปรากฏการณ์นี้ว่า "IOC Extinction"

สาเหตุหลักมาจากสองปัจจัย ปัจจัยแรกคือ ORB Network (Operational Relay Box) ซึ่งเป็นเครือข่ายอุปกรณ์ที่ถูกยึดควบคุมไว้แล้วจำนวนหลายพันเครื่อง ส่วนใหญ่เป็นเราเตอร์ตามบ้าน อุปกรณ์ IoT และอุปกรณ์รุ่นเก่าที่ผู้ผลิตยุติการสนับสนุน ผู้โจมตีใช้อุปกรณ์เหล่านี้เป็นทางผ่านเพื่อสับเปลี่ยนหมายเลข IP ต้นทางอยู่ตลอดเวลา ทำให้การจัดทำบัญชีดำ (Blacklist) ตามไม่ทัน ปัจจัยที่สองคือการมุ่งโจมตี Edge Device อย่าง VPN, Firewall และ Router ซึ่งโดยธรรมชาติไม่สามารถติดตั้งระบบเฝ้าระวัง (EDR) ได้ จึงกลายเป็นจุดบอด โดยสัดส่วนการเจาะผ่านอุปกรณ์กลุ่มนี้เพิ่มขึ้นจากร้อยละ 3 เป็นร้อยละ 22 ภายในเวลาเพียงปีเดียว

เรื่องนี้ไม่ใช่ภัยที่ไกลตัว เมื่อเดือนกุมภาพันธ์ 2569 ประเทศสิงคโปร์ได้เปิดปฏิบัติการ CYBER GUARDIAN หลังตรวจพบว่ากลุ่ม UNC3886 เจาะระบบของผู้ให้บริการโทรคมนาคมหลักครบทั้งสี่ราย ขณะที่สถาบันการเงินในฟิลิปปินส์และอินโดนีเซียก็ตกเป็นเป้าหมายเช่นกัน ทั้งหมดล้วนเป็นประเทศเพื่อนบ้านที่ใช้เทคโนโลยีชุดเดียวกับองค์กรไทย

คำถามสำคัญจึงมีอยู่ว่า เมื่อ IOC ไม่เพียงพอแล้ว สิ่งใดคือแนวทางที่เหมาะสมสำหรับยุคนี้ เราจะอธิบายอย่างเป็นลำดับในสามตอนถัดไป