Threat Hunting คือกระบวนการค้นหาภัยคุกคามทางไซเบอร์เชิงรุก (Proactive) ที่ซ่อนอยู่ในระบบโดยที่ยังไม่ถูกตรวจจับโดยเครื่องมืออัตโนมัติ แทนที่จะรอให้ระบบแจ้งเตือน นักวิเคราะห์จะเข้าไปค้นหาด้วยตัวเองว่ามีภัยคุกคามใดซ่อนอยู่หรือไม่

Threat Hunting คืออะไร?

Threat Hunting (การล่าภัยคุกคาม) เป็นกระบวนการที่นักวิเคราะห์ความปลอดภัย (Threat Hunter) ทำการสืบสวนเชิงรุกผ่านเครือข่ายและระบบ เพื่อตรวจจับภัยคุกคามที่หลบเลี่ยงการตรวจจับของเครื่องมือความปลอดภัยอัตโนมัติ เช่น Antivirus หรือ IDS/IPS

แนวคิดหลักของ Threat Hunting คือ “Assume Breach” — สมมติว่าระบบถูกโจมตีแล้ว แล้วหาหลักฐานยืนยัน แทนที่จะรอให้ระบบแจ้งเตือน

ทำไม Threat Hunting ถึงสำคัญ?

ภัยคุกคามสมัยใหม่มีความซับซ้อนมากขึ้น หลายรูปแบบสามารถหลบเลี่ยงการตรวจจับอัตโนมัติได้เป็นเวลานาน สถิติชี้ให้เห็นว่า:

• เวลาเฉลี่ยที่ผู้โจมตีอยู่ในระบบก่อนถูกตรวจจับ (Dwell Time) อยู่ที่ประมาณ 200+ วัน
• ภัยคุกคาม Advanced Persistent Threats (APT) ออกแบบมาเพื่อหลบเลี่ยงการตรวจจับอัตโนมัติ
• การตรวจจับเชิงรุกช่วยลด Dwell Time และความเสียหายได้อย่างมีนัยสำคัญ

กระบวนการ Threat Hunting

Threat Hunting มีกระบวนการหลัก 4 ขั้นตอน:

1. สร้าง Hypothesis (ตั้งสมมติฐาน)

เริ่มต้นจากการตั้งสมมติฐานว่าอาจมีภัยคุกคามประเภทใดอยู่ในระบบ โดยอ้างอิงจาก:

• Threat Intelligence: ข้อมูลภัยคุกคามล่าสุดจากแหล่งต่างๆ
• MITRE ATT&CK Framework: รูปแบบการโจมตีที่รู้จัก
• ประสบการณ์: ความรู้ของ Threat Hunter เอง
• Indicators of Compromise (IOC): สัญญาณที่บ่งบอกการถูกโจมตี

2. รวบรวมและวิเคราะห์ข้อมูล

ค้นหาหลักฐานจากแหล่งข้อมูลต่างๆ:

• Log Files: System logs, Application logs, Security logs
• Network Traffic: Packet captures, NetFlow data
• Endpoint Data: Process activity, File system changes, Registry modifications
• SIEM Data: Correlated security events

3. ตรวจสอบและสืบสวน

วิเคราะห์ข้อมูลที่รวบรวมได้เพื่อยืนยันหรือหักล้างสมมติฐาน โดยใช้เครื่องมือต่างๆ เช่น:

• Elastic Stack (ELK)
• Splunk
• Velociraptor
• YARA Rules
• Sigma Rules

4. บันทึกและปรับปรุง

บันทึกผลการค้นหาและปรับปรุงกระบวนการ:

• อัปเดต Detection Rules ใน SIEM
• แชร์ข้อมูล IOC กับทีม
• ปรับปรุง Security Controls
• สร้าง Playbook สำหรับภัยคุกคามที่พบ

MITRE ATT&CK Framework กับ Threat Hunting

MITRE ATT&CK เป็น Framework ที่รวบรวมรูปแบบการโจมตีของ Threat Actor ต่างๆ แบ่งเป็น Tactics และ Techniques ที่ใช้งานจริง Threat Hunter ใช้ Framework นี้เพื่อ:

• ระบุ TTP (Tactics, Techniques, Procedures) ที่ต้องการค้นหา
• สร้าง Hypothesis จาก Techniques ที่รู้จัก
• ประเมินความครอบคลุมของ Detection Coverage
• จัดลำดับความสำคัญของการค้นหา

เครื่องมือสำหรับ Threat Hunting

Threat Hunting บน Cloud VPS

สำหรับองค์กรที่ใช้ Cloud VPS หรือ Cloud Server การทำ Threat Hunting มีจุดสำคัญที่ต้องพิจารณาเพิ่มเติม:

• Cloud Audit Logs: ตรวจสอบ API calls, IAM changes, Resource modifications
• Container Security: ค้นหาพฤติกรรมผิดปกติใน Container environments
• Serverless Functions: ตรวจสอบ Function invocations และ Permissions
• Network Flow Logs: วิเคราะห์ Traffic patterns ระหว่าง Services

ตัวอย่าง Threat Hunting Queries

ตัวอย่างการค้นหาพฤติกรรมน่าสงสัยด้วย Linux Commands:

# ค้นหา Process ที่ทำ Network Connection ผิดปกติ
netstat -tlnp | grep LISTEN
ss -tlnp

# ตรวจสอบ Processes ที่ทำงานอยู่และ Parent Process
ps auxf

# ค้นหาไฟล์ที่ถูกแก้ไขล่าสุดใน System Directories
find /usr /bin /sbin -newer /tmp/baseline -type f 2>/dev/null

# ตรวจสอบ Cron Jobs ที่อาจเป็นภัยคุกคาม
crontab -l
ls -la /etc/cron* /var/spool/cron/

# ค้นหา SUID/SGID Files ที่น่าสงสัย
find / -perm -4000 -o -perm -2000 2>/dev/null

# ตรวจสอบ SSH Authorized Keys
cat /root/.ssh/authorized_keys
find /home -name "authorized_keys" -exec cat {} \;

# ตรวจสอบ Failed Login Attempts
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn | head -20

# ค้นหา Reverse Shell Indicators
netstat -an | grep ESTABLISHED | grep -v "127.0.0.1"

ทักษะที่ Threat Hunter ต้องมี

• ความรู้ด้าน OS: Windows, Linux internals อย่างลึกซึ้ง
• Network Security: TCP/IP, Protocol analysis
• Malware Analysis: เข้าใจพฤติกรรม Malware
• Programming/Scripting: Python, PowerShell, Bash
• Log Analysis: วิเคราะห์ Log จากแหล่งต่างๆ
• Critical Thinking: คิดเชิงวิพากษ์เพื่อหา Pattern ที่ผิดปกติ

สรุป

Threat Hunting เป็นองค์ประกอบสำคัญของกลยุทธ์ความปลอดภัยเชิงรุก ด้วยการค้นหาภัยคุกคามที่ซ่อนอยู่ก่อนที่จะเกิดความเสียหาย องค์กรสามารถลด Dwell Time และความเสียหายจากการโจมตีได้อย่างมีนัยสำคัญ โดยเฉพาะสำหรับ Cloud VPS และ Cloud Server ที่มีพื้นที่โจมตีกว้างขึ้น การทำ Threat Hunting อย่างสม่ำเสมอถือเป็นการลงทุนที่คุ้มค่าในการปกป้องทรัพย์สินดิจิทัลขององค์กร