รับมือเหตุการณ์ผิดปกติทางไซเบอร์
รับมือ ransomware และการรั่วไหลของข้อมูล โดยทีมที่ถือใบรับรอง CREST/OSCP ยึดระเบียบวิธี NIST SP 800-61
เมื่อผู้โจมตีเข้ามาในระบบแล้ว ทุกการตัดสินใจมีผล เราช่วยให้คุณตัดสินใจตามลำดับที่ถูกต้อง หยุดการลุกลามก่อน เก็บร่องรอยที่อธิบายได้ว่าเกิดอะไรขึ้น แล้วจึงเอาผู้โจมตีออก
เราทำงานตาม NIST SP 800-61 และ SANS Incident Response Framework ทุกงานจึงเดินตามขั้นตอนเดียวกัน
บริการของเรา
Emergency breach response
รับมือเหตุที่กำลังเกิดทั้งแบบ remote และ on-site มี responder หลักสั่งการ containment ตั้งแต่สายแรก
Investigation & root cause
ประกอบ timeline จาก log และเครื่องที่ได้รับผลกระทบ วิเคราะห์ malware และจุดฝังตัว แล้วหา root cause
Ransomware response
หยุดการเข้ารหัสไม่ให้ลาม ตรวจว่าอะไรได้รับผลกระทบ และทำ hardening ให้ระบบเพื่อป้องกันการโจมตีซ้ำ
Readiness & tabletop exercise
วางแผนรับมือเหตุและซ้อมสถานการณ์กับทีมของคุณ
วิธีการรับมือของเรา
เราทำงานตามหกขั้นตอนของ SANS Incident Response Framework หกขั้นตอนนี้เทียบได้กับวงจรใน NIST SP 800-61 คือ Detect, Respond และ Recover ระหว่างเกิดเหตุ, Govern, Identify และ Protect เป็นการเตรียมความพร้อม และ Improvement สำหรับบทเรียนหลังเหตุ
Preparation
วางแผนรับมือ บทบาท และขั้นตอน escalation ไว้ก่อนเกิดเหตุ บริการ readiness และ tabletop exercise ของเราช่วยในส่วนนี้ได้
NIST: Govern, Identify, Protect
Identification
ยืนยันว่า alert เป็นเหตุจริงไหม ระบุประเภทและความรุนแรง แล้วเริ่มบันทึก
NIST: Detect
Containment
แยกเครื่องที่ได้รับผลกระทบออกเพื่อหยุดการลุกลาม โดยไม่ลบร่องรอยที่บอกว่าผู้โจมตีเข้ามาได้อย่างไร
NIST: Respond
Eradication
ลบ malware จุดฝังตัว และบัญชีที่ถูกยึด เพื่อไม่ให้ผู้โจมตีกลับเข้ามาได้อีกเมื่อกู้ระบบขึ้นมาใช้งาน
NIST: Respond
Recovery
ทีมของคุณนำระบบกลับมาใช้งาน เราแนะนำลำดับและสิ่งที่ต้องตรวจ และคอยดูว่าผู้โจมตีกลับมาหรือไม่
NIST: Recover
Lessons Learned
สรุปเป็นรายงานว่าเกิดอะไรขึ้น root cause คืออะไร และต้องแก้อะไร แล้วนำกลับไปปรับขั้นตอน Preparation
NIST: Improvement
ทำไมช่วงชั่วโมงแรกถึงสำคัญ
ช้าเกินไป
ผู้โจมตีจะลามไปเครื่องอื่น ขโมยข้อมูลออกไป หรือปล่อย ransomware ได้มากขึ้น
รีบเกินไป
- ปิดเครื่องผิดเครื่องอาจทำให้มองไม่เห็นว่าผู้โจมตีกำลังเคลื่อนไปไหน
- reboot เซิร์ฟเวอร์อาจทำให้หลักฐานใน memory หายไป
- จ่ายค่าไถ่ก่อนรู้ขอบเขตของเหตุ ก็ยังไม่รู้อยู่ดีว่าผู้โจมตีออกไปหรือยัง
ข้อมูลใน memory การเชื่อมต่อที่ยังค้างอยู่ และ log ที่บอกว่าผู้โจมตีเข้ามาทางไหนและยังอยู่ไหมก็จะหายไป เครื่องที่แค่ปิดไว้ก็อาจยังมีจุดฝังตัวของผู้โจมตีอยู่
ในชั่วโมงแรกเราจึงหยุดการลุกลามไปพร้อมกับเก็บร่องรอยไว้ให้พอตัดสินใจได้ว่าจะ rebuild อะไร จะ reset อะไร และข้อมูลหลุดออกไปจริงหรือไม่
สิ่งที่คุณได้รับ
ทีมของเราทำงานร่วมกับทีม IT ของคุณตั้งแต่ได้รับแจ้งจนเหตุอยู่ในการควบคุม เมื่อจบงาน คุณจะได้รายงานว่าเกิดอะไรขึ้นและลามไปถึงไหน
อัปเดตด้วยภาษาที่เข้าใจง่าย
ระหว่างนั้นเราอัปเดตผู้บริหารเป็นระยะด้วยภาษาที่เข้าใจง่าย เพื่อให้ตัดสินใจเรื่องระบบ ลูกค้า และการสื่อสารจากข้อเท็จจริง
Forensic timeline
ผู้โจมตีเข้ามาอย่างไรและเข้าถึงอะไรบ้าง
Root cause
อะไรทำให้บุกรุกได้ เพื่อแก้ให้ตรงจุด
Indicator of compromise
รายการ IOC ที่ระบบเฝ้าระวังของคุณใช้จับพฤติกรรมเดียวกันได้
คำแนะนำ hardening
สิ่งที่ต้องเปลี่ยนเพื่อไม่ให้โดนโจมตีแบบเดิมซ้ำ
ตรวจยืนยันการแก้ไข
หลังทีมของคุณแก้ไขแล้ว เราตรวจซ้ำให้
ใครเป็นผู้ลงมือ
ทีมของเราถือใบรับรองด้าน incident response ได้แก่ GCIH, GCIA, GCFA และ eCDFP ทีมเดียวกันนี้ทำ penetration test ด้วย จึงรู้ว่าผู้โจมตีเคลื่อนที่และซ่อนตัวอย่างไร
GCIHGIAC Certified Incident Handler
GCIAGIAC Certified Intrusion Analyst
GCFAGIAC Certified Forensic Analyst
eCDFPeLearnSecurity Certified Digital Forensics Professional
เราทำงานตาม NIST SP 800-61 Revision 3 (Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, เมษายน 2025) ที่ใช้แทน Revision 2 และหกขั้นตอนของ SANS Incident Response Framework เราเก็บหลักฐานเท่าที่ต้องใช้ควบคุมเหตุ หา root cause และป้องกันไม่ให้เกิดซ้ำ ถ้ามีข้อกำหนดการรายงานเฉพาะ แจ้งเราตั้งแต่เริ่มงาน
penetration test และ red teaming
incident response คือการรับมือหลังผู้โจมตีเข้ามาแล้ว
ตรวจทานล่าสุด: 14 Oct 2026
INCIDENT RESPONSE
ทีมของเราทำงานร่วมกับทีม IT ของคุณตั้งแต่ได้รับแจ้งจนเหตุอยู่ในการควบคุม
คำถามที่พบบ่อย
incident response ต่างจาก penetration test อย่างไร
penetration test คือการหาช่องโหว่ก่อนที่ผู้โจมตีจะเจอ ส่วน incident response เริ่มหลังจากผู้โจมตีเข้ามาแล้ว งานคือหยุดความเสียหาย เอาผู้โจมตีออก และปิดช่องทางที่เขาใช้เข้ามา หลายองค์กรใช้ทั้งสองอย่าง
องค์กรควรตอบสนองต่อเหตุเร็วแค่ไหน มีเกณฑ์มาตรฐานไหม
ไม่มีเวลาตายตัวที่ใช้ได้กับทุกเหตุ NIST SP 800-61 ไม่ได้กำหนดเวลาไว้ แต่ให้องค์กรจัดลำดับเหตุตามความรุนแรง แล้วจัดการเหตุที่ร้ายแรงที่สุดก่อน การโจมตีที่ยังลุกลามอยู่อย่าง ransomware ต้องลงมือทันที ส่วนการแจ้งเตือน malware ที่คุมได้แล้วรอจัดการในเวลาทำการได้ กำหนดแจ้งเหตุของหน่วยงานกำกับหรือบริษัทประกันมักเป็นตัวกำหนดจริง ควรตั้งเป้าภายในให้ทันกำหนดเหล่านั้น เมื่อติดต่อเรา เราจะตกลงเวลาตอบสนองตามความรุนแรงของเหตุ
รับมือเหตุประเภทไหนบ้าง
ransomware, การรั่วไหลของข้อมูล, ภัยจากคนใน, การระบาดของ malware และการบุกรุกระบบ กรณี ransomware เราหยุดการลุกลาม ตรวจว่าอะไรได้รับผลกระทบ และทำ hardening ให้ระบบเพื่อป้องกันการโจมตีแบบเดิมซ้ำ
จบงานแล้วได้อะไร
รายงานที่มี executive summary, timeline ของเหตุ, root cause, รายการ indicator of compromise (IOC) และคำแนะนำ hardening หลังทีมของคุณแก้ไขแล้ว เราตรวจซ้ำให้
ช่วยให้ทันกรอบเวลารายงานเหตุได้ไหม
ได้ เราช่วยสรุปให้เร็วว่าเกิดอะไรขึ้น ข้อมูลไหนได้รับผลกระทบ และผลกระทบน่าจะเป็นอย่างไร แล้วเตรียมเอกสารที่ต้องใช้รายงานต่อหน่วยงานกำกับ บริษัทประกัน และผู้ที่ได้รับผลกระทบ โดยทำงานร่วมกับที่ปรึกษากฎหมายของคุณ
เล่าให้เราฟังว่าเกิดอะไรขึ้น
เมื่อติดต่อเรา เราจะตกลงเวลาตอบสนองตามความรุนแรงของเหตุ
