ภัยคุกคามไซเบอร์ที่มุ่งโจมตีอุปกรณ์เครือข่ายมีความซับซ้อนและเกิดขึ้นบ่อยครั้งกว่าเดิม แนวคิด Forensic Observability จะช่วยให้ทีมรักษาความมั่นคงปลอดภัยไซเบอร์มีข้อมูลที่จำเป็นสำหรับการสืบสวนโดยไม่ต้องพึ่งเทคนิคที่ยุ่งยากหรือไม่เป็นทางการ
ในช่วงไม่กี่ปีที่ผ่านมา อุปกรณ์เครือข่ายไม่ว่าจะเป็น Firewall, VPN Gateway, Router และอุปกรณ์รักษาความปลอดภัยอื่น ๆ กลายเป็นเป้าหมายสำคัญของการโจมตีทางไซเบอร์มากขึ้น
เนื่องจากอุปกรณ์เหล่านี้ทำหน้าที่เป็นประตูหลักของระบบองค์กร หากแฮกเกอร์สามารถยึดครองอุปกรณ์เหล่านี้ได้ ก็อาจเข้าถึงเครือข่ายภายในหรือซ่อนร่องรอยการโจมตีได้อย่างแนบเนียน
ด้วยเหตุนี้ ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) จึงออกมาเรียกร้องให้ผู้ผลิตอุปกรณ์เครือข่ายออกแบบผลิตภัณฑ์โดยคำนึงถึง "Forensic Observability" หรือความสามารถในการสนับสนุนการตรวจพิสูจน์หลักฐานทางดิจิทัลหลังเกิดเหตุการณ์โจมตี
เพื่อช่วยให้ทีม Incident Response สามารถรวบรวมหลักฐาน วิเคราะห์สาเหตุ และประเมินความน่าเชื่อถือของอุปกรณ์ได้อย่างรวดเร็วและแม่นยำ โดยไม่จำเป็นต้องใช้วิธีการวิศวกรรมย้อนรอย (Reverse Engineering) หรือค้นหาช่องโหว่ของตัวอุปกรณ์เอง ซึ่งมักใช้เวลานานและมีความซับซ้อนสูง
Forensic Observability ไม่ได้หมายถึงเพียงการเปิดใช้งาน Log เท่านั้น แต่ครอบคลุมถึงการมีระบบ Telemetry ที่สามารถบันทึกข้อมูลการทำงานของอุปกรณ์อย่างละเอียด การจัดเก็บ Log ในรูปแบบที่เป็นมาตรฐาน การแสดงสถานะการตั้งค่าของระบบ ความสามารถในการดึงข้อมูลจากหน่วยความจำและข้อมูลที่จัดเก็บอยู่ภายในอุปกรณ์ เพื่อนำไปใช้ในการตรวจสอบภายหลัง
นอกจากนี้ ผู้ผลิตควรเปิดเผยข้อมูลเกี่ยวกับซอฟต์แวร์ที่ทำงานอยู่บนอุปกรณ์อย่างโปร่งใส ไม่ว่าจะเป็นหมายเลขเวอร์ชั่น รายละเอียดของส่วนประกอบซอฟต์แวร์ หรือ Software Bill of Materials (SBOM) ซึ่งช่วยให้องค์กรสามารถตรวจสอบได้ว่าอุปกรณ์มีองค์ประกอบใดบ้างและได้รับผลกระทบจากช่องโหว่ที่เพิ่งถูกค้นพบหรือไม่
อย่างไรก็ตามผู้ผลิตจำนวนมากยังให้ความสำคัญกับเรื่องนี้ไม่เพียงพอ ทั้งที่การออกแบบเพียงเล็กน้อย เช่น การเพิ่มข้อมูล Log หรือการออกแบบช่องทางสำหรับเก็บข้อมูลนิติวิทยาศาสตร์ที่ปลอดภัย สามารถลดเวลาการวิเคราะห์เหตุการณ์จากหลายวันเหลือเพียงไม่กี่ชั่วโมง และช่วยให้องค์กรสามารถฟื้นฟูระบบกลับมาใช้งานได้เร็วขึ้น
นอกจากนี้ ยังมีประเด็นที่เป็นความเชื่อผิดๆ ซึ่งทำให้ผู้ผลิตหลายรายลังเลในการเพิ่มความสามารถด้าน Forensic Observability ประการแรกคือ หลายคนกังวลว่าการเปิดเผยข้อมูล Telemetry หรือการเพิ่มช่องทางเก็บข้อมูลจะช่วยให้แฮกเกอร์มีข้อมูลมากขึ้นในการโจมตีระบบ แต่หากออกแบบอย่างถูกต้อง
เช่น ใช้ Structured Logging มีกลไกยืนยันตัวตนก่อนเข้าถึงข้อมูล และกำหนดอินเทอร์เฟซสำหรับงานนิติวิทยาศาสตร์โดยเฉพาะ ความสามารถเหล่านี้จะช่วยเสริมความปลอดภัยมากกว่าลดทอน
ประการที่สอง ผู้ผลิตบางรายเกรงว่าลูกค้าอาจไม่ต้องการฟีเจอร์ที่ซับซ้อนหรือมองว่าเป็นต้นทุนเพิ่มเติม แต่ในความเป็นจริง องค์กรจำนวนมากให้ความสำคัญกับความโปร่งใสและความสามารถในการตรวจสอบเหตุการณ์ เพราะเป็นปัจจัยสำคัญในการบริหารความเสี่ยง การปฏิบัติตามข้อกำหนดด้านกฎหมาย และการสร้างความเชื่อมั่นให้กับลูกค้า
ส่วนความเข้าใจผิดประการสุดท้ายคือการมองว่าการพัฒนาความสามารถดังกล่าวเป็นเรื่องยากเกินไป แม้ต้องอาศัยการออกแบบทางวิศวกรรมที่รอบคอบ แต่หากวางแผนตั้งแต่ช่วงเริ่มต้นของการพัฒนาผลิตภัณฑ์ ก็สามารถทำได้จริงโดยไม่ส่งผลกระทบต่อประสิทธิภาพหรือความปลอดภัยของอุปกรณ์ สำหรับองค์กรเองก็ควรเลือกจัดซื้ออุปกรณ์เครือข่ายโดยเพิ่มการพิจารณาคุณสมบัติด้านนี้เป็นหนึ่งในเกณฑ์การคัดเลือกผู้จำหน่าย นอกเหนือจากประสิทธิภาพ ความเร็ว และราคาของอุปกรณ์
สุดท้ายแล้วภัยคุกคามที่มุ่งโจมตีอุปกรณ์เครือข่ายมีความซับซ้อนและเกิดขึ้นบ่อยครั้งกว่าเดิม ทำให้การป้องกันเพียงอย่างเดียวไม่เพียงพออีกต่อไป
องค์กรจำเป็นต้องสามารถตรวจสอบ วิเคราะห์ และกู้คืนระบบได้อย่างรวดเร็วหลังเกิดเหตุการณ์ ซึ่งแนวคิด Forensic Observability จะช่วยให้ทีมรักษาความมั่นคงปลอดภัยไซเบอร์มีข้อมูลที่จำเป็นสำหรับการสืบสวนโดยไม่ต้องพึ่งเทคนิคที่ยุ่งยากหรือไม่เป็นทางการ
ขณะเดียวกัน ผู้ผลิตอุปกรณ์และผู้จัดซื้อควรร่วมกันผลักดันให้คุณสมบัตินี้กลายเป็นมาตรฐานของอุตสาหกรรม เพื่อยกระดับความพร้อมในการรับมือภัยไซเบอร์และสร้างความเชื่อมั่นให้กับระบบดิจิทัลในระยะยาวครับ
