สรุปสั้น

หน่วยงาน CISA ของสหรัฐฯ เผยแพร่คำแนะนำหมายเลข AA26-237A ในชื่อ “A Tale of Two SOCs” เมื่อวันที่ 25 สิงหาคม 2569 สรุปผลการประเมินด้วยเรดทีมสองครั้งที่ดำเนินการพร้อมกันกับองค์กรโครงสร้างพื้นฐานสำคัญสองแห่ง แห่งแรกเป็นหน่วยงานในภาคบริการและสถานที่ราชการ เรียกในรายงานว่าองค์กร A ส่วนอีกแห่งอยู่ในภาคระบบน้ำและน้ำเสีย เรียกว่าองค์กร B โดยเรดทีมใช้เทคนิคและเครื่องมือชุดคล้ายกันกับทั้งคู่ แต่บันทึกผลการตั้งรับที่ต่างกันอย่างสิ้นเชิง

ผลลัพธ์ปลายทางเหมือนกัน คือทั้งสององค์กรถูกยึดถึงระดับโดเมน และเรดทีมเข้าถึงทั้งระบบธุรกิจสำคัญ (sensitive business systems) และทรัพยากรบนคลาวด์ได้ แต่สิ่งที่ต่างกันคือระหว่างทาง องค์กร A ไม่ตรวจพบกิจกรรมของเรดทีมเลยแม้แต่รายการเดียว ขณะที่ศูนย์เฝ้าระวังของ องค์กร B จับเพย์โหลดฟิชชิงได้ทุกครั้งที่มันถูกรัน และแยกเครื่องที่ติดออกจากเครือข่ายภายใน 2 ถึง 20 นาที ตัดช่องทางสั่งการ (C2) ทิ้งก่อนที่การบุกรุกจะขยายตัว

CISA ชี้ว่าต้นเหตุของความต่างไม่ได้อยู่ที่เครื่องมือ องค์กร A มีทั้งศูนย์เฝ้าระวังหลายศูนย์และเครื่องมือฝั่งอุปกรณ์ปลายทางหลายตัว แต่ไม่มีการมองเห็นร่วมกันระหว่างกัน นักวิเคราะห์ไม่มีขั้นตอนการยกระดับเหตุการณ์และมีอำนาจตัดสินใจจำกัด ที่สำคัญคือสัญญาณเตือนผิดพลาดนับพันรายการจากงานประจำวันซึ่งหลายรายการถูกจัดระดับความรุนแรงสูงกว่า ได้กลบสัญญาณจริงที่เรดทีมสร้างขึ้นจนมองไม่เห็น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 26 สิงหาคม พ.ศ. 2569 ว่า CISA ได้เผยแพร่คำแนะนำ AA26-237A ซึ่งเปิดเผยรายละเอียดการประเมินสองครั้งที่ทำคู่ขนานกัน โดยระบุในเอกสารว่า “CISA ดำเนินการประเมินด้วยเรดทีมสองครั้งพร้อมกันโดยใช้เทคนิคคล้ายกัน แต่สังเกตเห็นการตอบสนองเชิงตั้งรับที่ต่างกัน”

กับองค์กร A เรดทีมเข้าถึงระบบครั้งแรกได้หลังพบเว็บแอปพลิเคชันที่ยังใช้รหัสผ่านค่าเริ่มต้นของบัญชีติดตั้งมาหลายบัญชี ซึ่งเปิดทางให้ส่งอีเมลฟิชชิงจากที่อยู่ภายในองค์กรเอง และได้ที่ยืนบนเครื่องผู้ใช้ 4 เครื่อง จากนั้นยกระดับสิทธิ์ด้วยการอาศัยค่า Machine Account Quota ที่ปล่อยไว้ตามค่าเริ่มต้น ร่วมกับเทมเพลตของ Active Directory Certificate Services (AD CS) ที่ตั้งค่าผิด ซึ่งเป็นการใช้ประโยชน์จากเทมเพลตใบรับรองประเภทเดียวกับที่อยู่เบื้องหลัง exploit ยึดโดเมนชื่อ Certighost ที่เพิ่งเปิดเผยไปก่อนหน้านี้ (ดู 267 )

เรดทีมเข้าถึงระบบธุรกิจสำคัญได้ 3 ระบบด้วยข้อมูลรับรองที่เก็บไว้เป็นข้อความธรรมดา ทั้งไฟล์ตั้งค่าฐานข้อมูลที่ถูกถอดรหัสไว้แล้วและกุญแจเข้าถึง Amazon Web Services (AWS) แบบคงที่ที่ตั้งค่าไม่ให้หมดอายุ ส่วนฝั่งคลาวด์ เรดทีมขโมย Primary Refresh Token และอาศัยแอปพลิเคชันใน Entra ID ที่มีสิทธิ์สูงเกินจำเป็น เพื่ออ่านอีเมลของทีมความปลอดภัยเอง แล้วตรวจดูว่าฝ่ายตั้งรับรู้ตัวหรือยัง

CISA ระบุจุดอ่อนหลักที่เปิดทางให้องค์กร A ถูกยึด ได้แก่ Machine Account Quota ที่ปล่อยตามค่าเริ่มต้นจนผู้ใช้ในโดเมนคนใดก็เพิ่มบัญชีเครื่องได้ เทมเพลตใบรับรองของ AD CS ที่ตั้งค่าผิดจนขอใบรับรองในนามผู้ใช้คนใดก็ได้ (ESC1) ข้อมูลรับรองของบัญชีบริการและฐานข้อมูลที่เก็บเป็นข้อความธรรมดาบนระบบที่เข้าถึงได้ กุญแจเข้าถึงคลาวด์แบบคงที่ที่ไม่มีวันหมดอายุและไม่มีกลไกเพิกถอนโทเคน รวมถึงแอปพลิเคชันใน Entra ID ที่มีสิทธิ์อ่านอีเมลของผู้ใช้ทุกคน

นอกจากนี้ยังมีรายละเอียดที่สะท้อนปัญหาเชิงกระบวนการชัดเจน คือสัญญาณเตือนจริงที่ผูกกับกิจกรรมของเรดทีมบนเซิร์ฟเวอร์ System Center Configuration Manager (SCCM) ถูกปิดเป็นสัญญาณเตือนผิดพลาด หลังจากฝ่ายตั้งรับหาไม่เจอว่าใครเป็นเจ้าของระบบนั้น

ฝั่งองค์กร B ซึ่งถูกโจมตีด้วยรูปแบบเดียวกัน กลับให้ผลตรงข้าม ศูนย์เฝ้าระวังตรวจพบเพย์โหลดฟิชชิงทุกครั้งที่มันถูกเรียกทำงาน และแยกเครื่องที่ได้รับผลกระทบออกภายใน 2 ถึง 20 นาที เมื่อที่ยืนแรกถูกตัดขาด ผู้ประสานงานที่ได้รับความไว้วางใจในองค์กรจึงต้องรันเพย์โหลดของเรดทีมบนเครื่องที่ไม่มีสิทธิ์พิเศษซึ่งกำหนดไว้ล่วงหน้า เพื่อจำลองการเข้าถึงที่เรดทีมควรจะได้ แล้วเปลี่ยนรูปแบบการประเมินเป็นแบบสมมติว่าถูกเจาะแล้ว (assume-breach)

จากจุดนั้นเรดทีมก็พบปัญหาพื้นฐานชุดเดียวกัน ทั้งข้อมูลรับรองของบัญชีบริการในโดเมนที่เก็บเป็นข้อความธรรมดาในไฟล์ตั้งค่าของ SCCM ซึ่งบัญชีนั้นมีสิทธิ์เหนือ Domain Controller และถูกนำไปใช้โจมตีแบบ DCSync ดึงความลับ krbtgt ออกมาได้ เรดทีมยังไปถึงเครื่อง bastion host ในเขต DMZ ฝั่งเทคโนโลยีเชิงปฏิบัติการ (OT) ด้วย แต่เครื่องนั้นบล็อกการเชื่อมต่อออกอินเทอร์เน็ต จึงสร้างช่องทาง C2 ไม่ได้ และเรดทีมไม่ได้เข้าไปในระบบ OT จริง

วิธีการโจมตี

เส้นทางโจมตีขององค์กร A เริ่มจากช่องโหว่ที่ไม่ใช่ช่องโหว่ของซอฟต์แวร์เลย นั่นคือบัญชีติดตั้งมาที่ยังใช้รหัสผ่านค่าเริ่มต้นบนเว็บแอปพลิเคชัน เมื่อได้บัญชีภายในแล้ว การส่งฟิชชิงจากที่อยู่ภายในองค์กรทำให้อีเมลผ่านทั้งการกรองทางเทคนิคและความระแวงของผู้รับ

ขั้นยกระดับสิทธิ์ใช้การผสมค่าตั้งค่าเริ่มต้นสองอย่างเข้าด้วยกัน ผู้ใช้ทุกคนในโดเมนสามารถเพิ่มบัญชีเครื่องได้เพราะ Machine Account Quota ไม่เคยถูกปรับ และเทมเพลตของ AD CS เปิดให้ขอใบรับรองในนามผู้ใช้คนอื่นได้ (ESC1) เมื่อรวมกันจึงได้ใบรับรองที่ใช้ยืนยันตัวตนเป็นบัญชีสิทธิ์สูง ซึ่งเป็นรูปแบบเดียวกับที่ทำให้ Certighost ยึดโดเมนได้

การขยายผลหลังจากนั้นแทบไม่ต้องใช้เทคนิคใหม่ เพราะข้อมูลรับรองที่ต้องการถูกเก็บเป็นข้อความธรรมดาอยู่แล้ว ทั้งไฟล์ตั้งค่าฐานข้อมูลและกุญแจ AWS ที่ไม่มีวันหมดอายุ ส่วนบนคลาวด์ การขโมย Primary Refresh Token ทำให้เรดทีมสวมสิทธิ์ผู้ใช้ต่อไปยัง Entra ID และแอปพลิเคชันที่มีสิทธิ์อ่านอีเมลทุกคนกลายเป็นเครื่องมือสอดแนมฝ่ายตั้งรับโดยตรง

ในองค์กร B รูปแบบเดียวกันนี้ล้มตั้งแต่ขั้นแรก เพราะการตรวจจับเกิดขึ้นที่จังหวะเพย์โหลดถูกรัน ไม่ใช่ที่จังหวะข้อมูลรั่วออกไปแล้ว การแยกเครื่องภายในไม่กี่นาทีทำให้ช่องทาง C2 ไม่เคยตั้งต้นได้ และเมื่อเปลี่ยนเป็นโหมด assume-breach เรดทีมก็ยังยึดโดเมนได้อยู่ดีด้วยข้อมูลรับรองใน SCCM ซึ่งแปลว่าจุดอ่อนเชิงโครงสร้างของทั้งสององค์กรเหมือนกัน ต่างกันแค่ว่าใครเห็นว่ามีคนกำลังเดินอยู่บนเส้นทางนั้น

ผลกระทบ

ประเด็นที่ CISA เน้นคือทั้งสององค์กรมีเครื่องมือตรวจจับ แต่ผลลัพธ์ต่างกันสุดขั้ว หน่วยงานสรุปตรง ๆ ว่า “เครื่องมือตรวจจับมีประสิทธิภาพได้เท่าที่คน กระบวนการ และขั้นตอนปฏิบัติที่รองรับมันเท่านั้น” สิ่งที่ทำให้องค์กร A ตาบอดไม่ใช่การไม่มีเซนเซอร์ แต่คือสัญญาณเตือนผิดพลาดนับพันรายการจากงานปกติที่ถูกจัดระดับความรุนแรงสูง จนสัญญาณจริงกลายเป็นเสียงรบกวนหนึ่งในกอง

ปัญหาการมี SOC หลายศูนย์ที่ไม่แชร์การมองเห็นกันเป็นอีกจุดที่ควรอ่านให้ละเอียด เพราะองค์กรขนาดใหญ่จำนวนมากเดินมาถึงสภาพนี้โดยไม่ตั้งใจ เมื่อแต่ละหน่วยธุรกิจซื้อเครื่องมือของตัวเองและตั้งทีมของตัวเอง ผลคือไม่มีใครเห็นภาพการโจมตีที่ลากข้ามขอบเขตความรับผิดชอบ ซึ่งเป็นสิ่งที่เรดทีมและผู้โจมตีจริงทำเป็นปกติ

เหตุการณ์ที่สัญญาณเตือนบนเซิร์ฟเวอร์ SCCM ถูกปิดเพราะหาเจ้าของระบบไม่เจอ ยังชี้ว่าการจัดทำบัญชีทรัพย์สินและผู้รับผิดชอบเป็นงานความปลอดภัยโดยตรง ไม่ใช่แค่งานเอกสารของฝ่ายไอที ส่วนฝั่งองค์กร B ก็ไม่ควรถูกอ่านว่าปลอดภัยแล้ว เพราะเมื่อผู้ประเมินได้ที่ยืนภายในโดยไม่ต้องผ่านด่านฟิชชิง องค์กรนี้ก็ถูกยึดโดเมนเช่นกัน สิ่งที่การตรวจจับเร็วให้มาคือเวลาและโอกาสตัดวงจร ไม่ใช่ภูมิคุ้มกัน

คำแนะนำ

  • ปรับค่า Machine Account Quota ให้เป็น 0 หรือจำกัดเฉพาะบัญชีที่จำเป็น แทนการปล่อยตามค่าเริ่มต้นที่ให้ผู้ใช้ทุกคนเพิ่มบัญชีเครื่องได้
  • ตรวจสอบเทมเพลตของ AD CS ทั้งหมดเพื่อหาเงื่อนไข ESC1 ที่เปิดให้ผู้ร้องขอกำหนด subject เองได้ และปิดสิทธิ์ลงทะเบียนที่กว้างเกินจำเป็น
  • ค้นหาข้อมูลรับรองที่เก็บเป็นข้อความธรรมดาในไฟล์ตั้งค่าอย่างเป็นระบบ โดยเฉพาะไฟล์ตั้งค่าของ SCCM และไฟล์เชื่อมต่อฐานข้อมูล พร้อมย้ายไปใช้ระบบจัดเก็บความลับที่หมุนเวียนกุญแจได้
  • ยกเลิกกุญแจเข้าถึงคลาวด์แบบคงที่ที่ไม่มีวันหมดอายุ เปลี่ยนไปใช้ข้อมูลรับรองชั่วคราว และเตรียมกระบวนการเพิกถอนโทเคนให้ใช้ได้จริงเมื่อเกิดเหตุ
  • ทบทวนสิทธิ์ของแอปพลิเคชันใน Entra ID โดยเฉพาะสิทธิ์ระดับอ่านอีเมลของผู้ใช้ทุกคน ซึ่งเป็นสิทธิ์ที่ผู้โจมตีใช้ติดตามการตอบสนองของฝ่ายตั้งรับได้โดยตรง
  • ลดจำนวนสัญญาณเตือนผิดพลาดจากงานประจำวันอย่างจริงจัง เพราะจำนวนสัญญาณที่ล้นเกินคือสาเหตุที่ทำให้การตรวจจับที่ทำงานถูกต้องไม่มีความหมาย
  • กำหนดขั้นตอนการยกระดับเหตุการณ์และมอบอำนาจตัดสินใจให้นักวิเคราะห์แนวหน้าแยกเครื่องได้ทันที รวมถึงจัดทำบัญชีเจ้าของระบบทุกตัวเพื่อไม่ให้สัญญาณเตือนถูกปิดเพราะไม่รู้ว่าใครดูแล

แหล่งอ้างอิง