Network and Cyber Security Simulator คือสภาพแวดล้อมจำลองที่สร้างเครือข่าย ระบบ และการโจมตีขึ้นมาใหม่ เพื่อให้เรียนรู้ ซ้อม และทดสอบการป้องกันได้โดยไม่เสี่ยงกับระบบจริง (production) คำนี้ครอบคลุมเครื่องมือหลายแบบ ตั้งแต่ห้องทดลองเครือข่ายที่จำลองเราเตอร์และไฟร์วอลล์ ไปจนถึง cyber range (สนามฝึกด้านไซเบอร์) แพลตฟอร์มจำลองการโจมตี และ tabletop (การซ้อมแบบนั่งคุยตามสถานการณ์) แต่ละแบบตอบคำถามคนละอย่าง การเลือกจึงขึ้นอยู่กับเป้าหมาย คือต้องการเรียนรู้ ตรวจสอบการเปลี่ยนแปลง ฝึกทีม หรือพิสูจน์ว่ามาตรการตรวจจับเทคนิคโจมตีจริงได้หรือไม่
Simulation กับ Emulation ต่างกันอย่างไร
สองคำนี้มักถูกใช้ปนกัน แต่ความต่างมีผลต่อการเลือกเครื่องมือ ดังนี้
- Simulation: ใช้ซอฟต์แวร์จำลองพฤติกรรมของอุปกรณ์ ข้อดีคือเบา ราคาถูก และเริ่มใช้ง่าย แต่รองรับเฉพาะฟีเจอร์ที่ผู้พัฒนาเขียนไว้ ตัวอย่างที่รู้จักกันดีคือ Cisco Packet Tracer
- Emulation: รัน image (ไฟล์ต้นแบบของระบบปฏิบัติการอุปกรณ์) ของระบบปฏิบัติการเครือข่ายจริง หรือรัน container (ซอฟต์แวร์ที่แพ็กเป็นหน่วยเล็กและรันแยกกัน) ทำให้คอนฟิกและพฤติกรรมใกล้ระบบจริงมาก แต่ต้องใช้ทรัพยากรประมวลผลและทักษะมากกว่า และ image ของผู้ผลิตบางรายอาจต้องมีไลเซนส์ของตัวเอง เครื่องมือที่ทำงานแบบนี้ได้แก่ GNS3, EVE-NG และ Containerlab
Simulator 5 ประเภท
- ห้องทดลองเครือข่าย (simulation และ emulation): จำลอง topology (ผังการเชื่อมต่ออุปกรณ์) routing (การกำหนดเส้นทางข้อมูล) ไฟร์วอลล์ และการแบ่งส่วนเครือข่าย ใช้เรียนรู้ ทดสอบการเปลี่ยนคอนฟิกก่อนใช้งานจริง และซ้อมการแบ่งส่วนเครือข่ายสำหรับโครงการ Zero Trust (แนวคิดที่ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง)
- Cyber range: NIST อธิบายว่า cyber range คือแพลตฟอร์มจำลองแบบโต้ตอบได้ ที่สร้างเครือข่าย ระบบ เครื่องมือ และแอปพลิเคชันขึ้นมา ใช้เรียนรู้แบบลงมือทำ ฝึกเป็นทีม และทดสอบแนวคิดใหม่ range มักสร้างด้วย simulation, emulation, overlay (วางทับบนเครือข่ายที่มีอยู่แล้ว) หรือแบบผสม
- Adversary emulation และ breach and attack simulation (BAS): adversary emulation คือการเลียนแบบวิธีของผู้โจมตีจริง ส่วน BAS คือแพลตฟอร์มจำลองการบุกรุกและการโจมตี ทั้งสองแบบรันเทคนิคของผู้โจมตีกับระบบจริงหรือห้องทดลอง แล้วตรวจว่ามาตรการบล็อกหรือตรวจจับได้หรือไม่ ตัวอย่างโอเพนซอร์สคือ MITRE Caldera และ Atomic Red Team นอกจากนี้ Center for Threat-Informed Defense ของ MITRE ยังเผยแพร่ adversary emulation library (คลังแผนเลียนแบบผู้โจมตี) ส่วนแพลตฟอร์ม BAS เชิงพาณิชย์ทำเรื่องนี้แบบอัตโนมัติและต่อเนื่อง
- Tabletop exercise: การซ้อมแบบนั่งคุยตามสถานการณ์ โดยผู้ตัดสินใจไล่ดูทีละขั้นว่าจะทำอย่างไร ไม่ต้องใช้เทคโนโลยี ใช้ทดสอบเรื่องคน บทบาท และการสื่อสาร CISA เผยแพร่ชุด tabletop exercise สำเร็จรูปไว้ให้ใช้
- ห้องทดลอง OT และ digital twin: OT (เทคโนโลยีปฏิบัติการ คือระบบที่ควบคุมกระบวนการทางอุตสาหกรรม) และ digital twin (แบบจำลองดิจิทัลของระบบจริง) ใช้สำเนาหรือแบบจำลองของระบบอุตสาหกรรมเพื่อทดสอบการเปลี่ยนแปลงและการโจมตีอย่างปลอดภัย ในกรณีที่ไม่อาจไปแตะกระบวนการที่ทำงานอยู่จริงได้
อีกวิธีที่ช่วยเปรียบเทียบคือดูที่ความสมจริงและแรงที่ต้องใช้ tabletop ทำได้เร็วที่สุด รองลงมาคือ network simulator เครื่องมือจำลองการโจมตีเพิ่มความลึกทางเทคนิค range แบบ emulation ใกล้ระบบจริงขึ้นอีก ส่วน live red team (ทีมจำลองการโจมตีที่ลงมือเองสด ๆ) สมจริงที่สุด แต่ก็ต้องใช้แรงมากที่สุด
Simulator ช่วยเรื่องอะไรได้บ้าง
- ฝึกอบรม: นักวิเคราะห์ SOC (ศูนย์เฝ้าระวังและตอบสนองเหตุการณ์ความปลอดภัย) และวิศวกรฝึกตรวจจับและตอบสนองกับเหตุการณ์ที่สมจริงได้ โดยไม่ส่งผลเสียต่อระบบจริง
- ตรวจสอบการตรวจจับและมาตรการ: รันเทคนิคที่จับคู่กับ MITRE ATT&CK (ฐานความรู้ที่รวบรวมเทคนิคของผู้โจมตี) แล้วดูว่า EDR (ระบบตรวจจับและตอบสนองบนเครื่องปลายทาง) SIEM (ระบบรวบรวมและวิเคราะห์ log จากหลายแหล่ง) และกฎไฟร์วอลล์แจ้งเตือนจริงหรือไม่ วิธีนี้ช่วยหาช่องว่างที่เงียบอยู่ คือจุดที่ตรวจไม่เจอโดยไม่มีใครรู้ตัว
- ซ้อมการเปลี่ยนแปลง: ทดสอบกฎไฟร์วอลล์ การแบ่งส่วนเครือข่าย และ routing ในห้องทดลองก่อนนำไปใช้กับระบบจริง
- ซ้อมรับมือเหตุการณ์: ฝึกบทบาท การส่งเรื่องต่อ (escalation) และการสื่อสาร เพื่อไม่ให้เหตุการณ์จริงครั้งแรกกลายเป็นการซ้อมครั้งแรก
- ประเมินผลิตภัณฑ์: ลองใช้โซลูชันด้านความปลอดภัยกับทราฟฟิกและการโจมตีที่สมจริงในห้องทดลอง ก่อนตัดสินใจซื้อ ใช้กับงาน proof-of-concept (การทดลองใช้จริงก่อนตัดสินใจ) ได้ด้วย
- วัดความก้าวหน้า: เทียบเวลาตรวจจับและเวลาตอบสนอง เช่น MTTD (เวลาเฉลี่ยกว่าจะตรวจพบ) และ MTTR (เวลาเฉลี่ยในการตอบสนอง) ก่อนและหลังปรับปรุง ดู นำ AI มาใช้ใน SOC เพื่อลด MTTD และ MTTR
ข้อจำกัดที่ควรคาดไว้
- ช่องว่างด้านความสมจริง: ห้องทดลองสะอาดกว่าเครือข่ายจริง มีสัญญาณรบกวนน้อยกว่า ไม่มีความจุกจิกแบบที่พบในระบบเก่า และไม่มีผู้ใช้จริง การผ่านในห้องทดลองจึงไม่รับประกันว่าจะผ่านในระบบจริง
- ครอบคลุมเฉพาะเทคนิคที่รู้จัก: BAS และการทดสอบตามสคริปต์ทดสอบได้เฉพาะพฤติกรรมที่รู้จักอยู่แล้ว จึงหาเส้นทางโจมตีแบบใหม่ได้ไม่ดี ผู้ปฏิบัติงานส่วนใหญ่จึงใช้ร่วมกับ penetration test (การทดสอบเจาะระบบ) และ red team เป็นระยะ
- ต้นทุนการดูแล: สถานการณ์ทดสอบ image และกฎตรวจจับจะล้าสมัยเมื่อสภาพแวดล้อมเปลี่ยน
- ทักษะและเวลา: การสร้างและรันแบบฝึกที่ดีต้องอาศัยคนที่เข้าใจทั้งวิธีคิดของผู้โจมตีและสภาพแวดล้อมขององค์กรเอง
- ความมั่นใจเกินจริง: แดชบอร์ดสีเขียวจากเครื่องมือเป็นหลักฐานเฉพาะการทดสอบที่รันไป ไม่ได้พิสูจน์ว่าองค์กรปลอดภัย
กฎความปลอดภัยเมื่อรัน simulation
การจำลองการโจมตีอาจสร้างความเสียหายจริงได้ ถ้าหลุดออกนอกห้องทดลองหรือรันโดยไม่ได้รับอนุมัติ
- แยกห้องทดลองให้เด็ดขาด: ไม่มีเส้นทางเชื่อมไปยังระบบจริง และควบคุมทางออกสู่อินเทอร์เน็ต หรือปิดไปเลย
- ใช้ snapshot: snapshot คือภาพบันทึกสถานะของเครื่อง ใช้คืนเครื่องกลับสู่สถานะที่รู้จักหลังซ้อมทุกครั้ง
- ระวังมัลแวร์: ไม่รันตัวอย่างมัลแวร์จริงบนโครงสร้างพื้นฐานที่ใช้ร่วมกับผู้อื่นหรือเชื่อมต่อกับเครือข่ายอื่น
- ขออนุญาตเป็นลายลักษณ์อักษร: ก่อนรันการจำลองใดในระบบจริง ให้ระบุขอบเขต ช่วงเวลา และเงื่อนไขหยุด
- จำกัดขอบเขตผลกระทบ: เริ่มจากการทดสอบที่กระทบน้อยก่อน แล้วค่อยเพิ่มระดับทีละขั้น
- ห้ามใช้ข้อมูลลูกค้าจริง: ห้ามนำข้อมูลลูกค้าจริงเข้ามาในห้องทดลองไม่ว่ากรณีใด
- บันทึกทุกอย่าง: เก็บ log ว่ารันอะไรไปเมื่อไร เพื่อให้อธิบายได้ภายหลังว่าการแจ้งเตือนที่เกิดขึ้นมาจากอะไร
เลือก simulator อย่างไร
- เรียนพื้นฐานเครือข่าย: ใช้ network simulator เช่น Packet Tracer
- ทดสอบคอนฟิกจริงและฟีเจอร์ของผู้ผลิต: ใช้ emulator เช่น GNS3, EVE-NG หรือ Containerlab
- ฝึกทีมกับเหตุการณ์สมจริง: ใช้ cyber range
- ตรวจว่ามาตรการตรวจจับเทคนิคที่รู้จักได้หรือไม่: ใช้ BAS หรือ adversary emulation โดยจับคู่กับ MITRE ATT&CK
- ทดสอบผู้บริหารและการสื่อสาร: ใช้ tabletop exercise
- สภาพแวดล้อมอุตสาหกรรม: ใช้ digital twin หรือห้องทดลอง โดยอ้างอิง NIST SP 800-82 Rev. 3
วิธีจัดการซ้อม
ไม่ว่าจะใช้เครื่องมือแบบใด การซ้อมที่ดีมีวงจรเหมือนกัน และต้องจบที่การแก้ไขจริง ไม่ใช่จบที่รายงานที่วางทิ้งไว้บนชั้น
ขั้นแรกที่ทำได้ทันที
เริ่มได้โดยไม่ต้องมีงบประมาณ
- สร้างห้องทดลองเล็ก ๆ: ใช้ simulator หรือ emulator ฟรี แล้วฝึกแบ่งส่วนเครือข่าย
- ทำ tabletop หนึ่งชั่วโมง: ใช้สถานการณ์แรนซัมแวร์ (ransomware มัลแวร์เรียกค่าไถ่) โดยเริ่มจากชุดของ CISA และใช้ ป้องกันแรนซัมแวร์: 5 ขั้นตอนแรก เป็นเช็กลิสต์
- เลือก 5 เทคนิคจาก ATT&CK: เลือกเทคนิคที่สำคัญกับองค์กร แล้วใช้ Atomic Red Team ทดสอบในห้องทดลองที่แยกออกมาว่าเครื่องมือตรวจจับได้หรือไม่
- บันทึกผลและติดตามการแก้ไข: จากนั้นเทียบกับตัวเลือกเครื่องมือขององค์กรใน SIEM + SOAR กับ XDR: ข้อดี ข้อจำกัด และคำแนะนำ
หากต้องการรู้ว่าควรซ้อมด้านใดก่อน ลองใช้ แบบประเมินตนเอง
ข้อควรระวัง
- ทดสอบในระบบจริงโดยไม่ได้รับอนุมัติ: ต้องขออนุญาตเป็นลายลักษณ์อักษรและกำหนดเงื่อนไขหยุดทุกครั้ง
- ถือว่าซ้อมครั้งเดียวพิสูจน์ได้แล้ว: สภาพแวดล้อมและผู้โจมตีเปลี่ยนไปเรื่อย ๆ จึงควรทำซ้ำเป็นประจำ
- รันเครื่องมือโดยไม่มีเป้าหมาย: ตัดสินใจก่อนว่าต้องการเรียนรู้หรือพิสูจน์อะไร
- ข้ามขั้นตอนการแก้ไข: การซ้อมที่ได้ข้อค้นพบแต่ไม่มีผู้รับผิดชอบแก้ไข ไม่ทำให้อะไรดีขึ้น
- เข้าใจผิดว่า simulator ใช้แทน pen test หรือ red team ได้: ทั้งหมดเสริมกัน ไม่ได้ใช้แทนกัน
ข้อผิดพลาด
- รันในระบบจริงโดยไม่ขออนุมัติ
- รันเครื่องมือโดยไม่มีเป้าหมาย
- พบปัญหาแต่ไม่มีคนแก้
แนวปฏิบัติ
- ขออนุมัติเป็นลายลักษณ์อักษร มีเงื่อนไขหยุด
- ตั้งคำถามที่อยากตอบก่อนเริ่ม
- กำหนดเจ้าของแก้ไข และทดสอบซ้ำ
การเปลี่ยนกฎไฟร์วอลล์เป็นหนึ่งในสิ่งที่ควรซ้อมในห้องทดลองก่อนใช้งานจริง หากยังไม่แน่ใจว่าไฟร์วอลล์แต่ละประเภทต่างกันอย่างไร ให้อ่าน NGFW, UTM และ WAF ต่างกันอย่างไร และเลือกอย่างไร
การซ้อมและการทดสอบตรวจรับเป็นส่วนหนึ่งของการสร้าง SOC ดู SOC Architecture Blueprint สำหรับหน่วยงานภาครัฐ
เมื่อมีแผนกู้คืนแล้ว ใช้ tabletop และการทดสอบกู้คืนจริงเพื่อพิสูจน์ว่าทำได้ตามเป้าหมาย ดู แผนกู้คืนหลังโดนแรนซัมแวร์: RTO, RPO และการซ้อม
การจำลองฟิชชิงเป็นแบบฝึกอีกรูปแบบหนึ่งที่ฝึกผู้ใช้โดยตรง ดูวิธีทำและวิธีวัดผลใน Security Awareness และ Phishing Simulation ที่ได้ผล
ถ้าต้องการแม่แบบสถานการณ์แรนซัมแวร์พร้อมใช้ ดู Tabletop Ransomware: แม่แบบสถานการณ์พร้อมใช้
เมื่อเลือกเทคนิคสำคัญที่จะจำลองแล้ว ดู MITRE ATT&CK สำหรับผู้บริหาร: อ่านและใช้อย่างไร เพื่อเลือกเทคนิคที่เกี่ยวกับองค์กร
แหล่งอ้างอิงและข้อมูลเพิ่มเติม
- NIST: The Cyber Range, A Guide: นิยาม ประเภทของ range และเช็กลิสต์การเลือก
- NIST SP 800-84: Guide to Test, Training, and Exercise Programs
- NIST SP 800-115: Technical Guide to Information Security Testing and Assessment
- NIST SP 800-82 Rev. 3: Guide to Operational Technology Security
- CISA Tabletop Exercise Packages
- MITRE ATT&CK และ MITRE Caldera
- Atomic Red Team และ Adversary Emulation Library
- ห้องทดลองเครือข่าย: Cisco Packet Tracer, GNS3, EVE-NG, Containerlab