แก้ช่องโหว่และทำ Security Hardening
แก้ช่องโหว่และทำ system hardening อ้างอิง CIS Benchmarks, vendor recommendation และประสบการณ์ทีม พร้อมเครื่องมือทำ hardening และ audit อัตโนมัติบนเซิร์ฟเวอร์ Windows และ Unix
รายงาน vulnerability assessment หรือ penetration test จบลงตรงที่รายการช่องโหว่ แต่ปัญหาขององค์กรส่วนใหญ่เพิ่งเริ่มตรงนี้ ใครจะเป็นคนแก้ ผู้ดูแลระบบมีทั้ง Windows, Linux, database, firewall และ cloud อยู่ในมือพร้อมกัน ผู้ดูแลระบบคนหนึ่งอาจไม่เชี่ยวชาญครบทุก platform แล้ว finding ที่เขียนว่า "ตั้งค่าไม่ปลอดภัย" ก็ไม่ระบุว่าค่าที่ปลอดภัยควรเป็นเท่าไหร่ใน environment ของคุณ
บริการนี้ทำสองอย่าง อย่างแรกคือ แก้ช่องโหว่ที่คุณมีอยู่แล้ว ทำงานจากรายงาน pentest หรือ vulnerability assessment ทั้งของเราและของผู้ให้บริการรายอื่น อย่างที่สองคือ ทำ hardening ทั้ง baseline ปรับตั้งค่า system component ให้เป็นไปตาม security best practice ตั้งแต่ต้น เพื่อให้ attack surface ลดลงทั้งระบบ อยากอ่านพื้นฐานก่อน ทีมของเราเขียนไว้แล้วทั้ง บทความแนะนำเรื่อง hardening และ ฉบับเริ่มต้นลงมือทำ
แก้ช่องโหว่กับทำ hardening ต่างกันอย่างไร
สองอย่างนี้มักถูกเรียกรวมกัน แต่ตอบคนละโจทย์ ขอบเขตคนละแบบ และคิดค่าใช้จ่ายคนละแบบ
การแก้ช่องโหว่ (remediation)
การแก้ช่องโหว่ (remediation) เป็นงานตั้งรับ มี finding อยู่ในมือแล้ว ต้องปิดให้ได้ก่อน deadline ของ audit หรือก่อนรอบ retest ขอบเขตชัดเพราะผูกกับรายการ finding และวัดผลได้ตรง ๆ ว่าปิดไปกี่ข้อ
การทำ hardening
การทำ hardening เป็นงานเชิงรุก คือทำให้ระบบเป็นไปตาม security baseline ที่ควรจะเป็นมาตั้งแต่แรก มาตรฐานและ compliance กำหนดให้ทำ แต่ในทางปฏิบัติมักยังไม่ได้ทำ โดยเฉพาะกับระบบที่อยู่บน production ผลลัพธ์คือ attack surface ที่ลดลงทั้งระบบ
ช่องโหว่จำนวนมากที่เจอในรายงาน pentest ไม่ใช่ CVE ที่ต้องรอ patch จาก vendor แต่เป็นการตั้งค่าที่หลวม แบบที่ hardening baseline ดี ๆ ปิดไปตั้งแต่ต้นแล้ว องค์กรที่แก้เป็นราย finding ทุกรอบก็เลยมักเจอปัญหาเดิมซ้ำในรอบถัดไป เพราะ baseline ยังไม่ถูกแก้
ขอบเขตที่เรา harden
ขอบเขตกำหนดด้วยจำนวนเครื่องและชนิดของ component ที่จะทำ ตกลงกันก่อนเริ่มงานเสมอ ถ้ายังไม่รู้จะเริ่มจากตรงไหน เราแนะนำให้เริ่มที่ชั้น OS ก่อน แล้วค่อยไล่ขึ้นไปชั้นบน
ระบบปฏิบัติการ
Windows Server, Windows client, Linux distribution หลัก ๆ และ Unix ปกติเราแนะนำให้เริ่มจากชั้นนี้ เพราะกระทบ application ที่รันอยู่ข้างบนน้อยกว่าชั้นอื่น
Server software
web server, application server และ middleware
Database
ทั้งการตั้งค่า engine สิทธิ์ของ account และการเข้ารหัสระหว่างทาง
Network device และ firewall
rule base, management plane และ protocol ที่เลิกใช้แล้วแต่ยังเปิดค้างอยู่
Cloud
การตั้งค่าระดับ account และระดับ service บน cloud provider หลัก ตรงนี้คือการ harden component บน cloud ให้ถึง baseline
Container และ orchestration
image, runtime และการตั้งค่า cluster
Active Directory
โครงสร้างสิทธิ์ นโยบาย และการตั้งค่าที่มักกลายเป็นเส้นทาง lateral movement
ถ้าต้องการตรวจการตั้งค่าทั่วทั้ง cloud environment ตาม shared responsibility model ดูที่ การประเมินความมั่นคงปลอดภัยของ cloud ถ้ามี component ที่ไม่อยู่ในรายการนี้ เอาโจทย์มาคุยกันก่อนได้
ขั้นตอนการทำงาน
การ harden ที่ทำให้ระบบล่มถือว่าล้มเหลว กระบวนการของเราจึงมีขั้นประเมินผลกระทบ สำรองการตั้งค่าเดิม และทำเป็นรอบ
Scoping และ asset inventory
ตกลงว่ามี component อะไรอยู่ในระบบบ้าง จะทำกี่เครื่อง ชนิดไหน เทียบ guideline ไหน และส่วนใดอยู่นอกขอบเขตงาน
Baseline audit
ตรวจสถานะปัจจุบันเทียบกับ benchmark ที่เลือกไว้ ให้เห็นช่องว่างเป็นตัวเลขก่อนเริ่มแก้
ทั้งคุณและเราก็จะมีจุดอ้างอิงร่วมกันว่าเริ่มจากตรงไหน
ประเมินผลกระทบและตกลง exception
ทำครบทุกข้อในเอกสารอาจเป็นไปไม่ได้ ข้อไหนที่ทำแล้วกระทบระบบงานจริงหรือขัดกับนโยบายที่คุณมีอยู่ จะถูกบันทึกเป็น exception พร้อมเหตุผลแทนการฝืนทำ
บันทึกพวกนี้ก็เป็นเอกสารที่ auditor ขอดูอยู่แล้ว ทุกงานเริ่มจากการประเมินผลกระทบร่วมกับทีมคุณ
Backup แล้วทยอยทำเป็นรอบ
สำรองการตั้งค่าเดิมก่อนทุกครั้ง ทำทีละกลุ่ม เริ่มจาก non-production ก่อนเสมอ
ถ้ามีปัญหาหลังปรับ เรา restore กลับได้ทันที
Verify
audit ซ้ำหลังปรับ ยืนยันว่าค่าที่ตั้งไปมีผลจริง และระบบยังทำงานปกติ
ส่งมอบรายงานและเอกสาร baseline
คุณได้ทั้งผลของงานรอบนี้ และเอกสาร baseline ที่ทีมคุณเอาไปใช้กับเครื่องใหม่ต่อได้เอง
ตรวจซ้ำตามรอบ
เลือกได้ การเปลี่ยนแปลงระบบอาจทำให้การตั้งค่าคลาดเคลื่อนจาก baseline เราตรวจซ้ำตามรอบที่ตกลงกัน เพื่อให้เห็นว่าอะไรหลุดออกจาก baseline ไปแล้วบ้าง
การ harden รอบแรกทำเป็นโครงการครั้งเดียวได้ ส่วนการตรวจซ้ำ องค์กรส่วนใหญ่เลือกทำตามรอบ
ทำอัตโนมัติด้วย Confix
harden สิบเครื่องทำด้วยมือได้ แต่ harden สามร้อยเครื่องแล้วตรวจซ้ำทุกไตรมาส ทำด้วยมือไม่ไหว
เราใช้ Confix เป็นตัวช่วยทำ system hardening และ audit บนเซิร์ฟเวอร์ Windows และ Unix แบบอัตโนมัติ ด้วย template ที่ปรับแต่งได้ ตัว template เก็บ baseline ขององค์กรไว้ พอ audit รอบใหม่ก็เห็นทันทีว่าเครื่องไหนหลุดไปจากมาตรฐาน
ใช้ได้สองแบบ
ให้เราทำเป็นบริการ
เราเข้าไปทำเป็นบริการด้วยเครื่องมือนี้
รับ license ไปใช้เอง
รับ license ไปให้ทีมคุณใช้เองต่อ ตอนเริ่มเราช่วยวาง template และสอนใช้งานให้ แบบนี้เหมาะกับองค์กรที่มีทีม infrastructure ของตัวเองและอยากทำเรื่องนี้เป็นงานประจำ
สิ่งที่คุณได้รับ
รายงาน baseline audit ก่อนและหลัง
เห็นเป็นตัวเลขว่าผ่านกี่ข้อจากทั้งหมดกี่ข้อ ทั้งตอนเริ่มและตอนจบงาน
เอกสาร hardening baseline ขององค์กรคุณ
ระบุทุกข้อว่าตั้งค่าอะไร อ้างอิงจากแหล่งไหน ทั้ง CIS, vendor หรือทีมเรา และเพราะอะไร ทีมคุณเอาไปใช้กับเครื่องที่ติดตั้งใหม่ต่อได้เลย
บันทึก exception พร้อมเหตุผล
ข้อที่ไม่ได้ทำและเหตุผลทางธุรกิจหรือทางเทคนิคที่ทำให้ไม่ได้ทำ เขียนมาให้ใช้ตอบ auditor ได้โดยตรง
การตั้งค่าเดิมที่สำรองไว้
พร้อม restore ถ้าพบปัญหาภายหลัง
ผลการยืนยันหลังแก้ไข
audit รอบสองที่ยืนยันว่าค่าที่ตั้งมีผลจริง
สรุปสำหรับผู้บริหาร
ภาพความเสี่ยงที่ลดลง ในระดับที่ผู้บริหารและ auditor อ่านรู้เรื่อง
ทีมและใบรับรอง
- OSCP
- OSCE
- CREST CRT
- CREST CPSA
- GIAC GREM
งานนี้ทีมภายในของเราลงมือเอง ใบรับรองเหล่านี้ได้มาจากการสอบภาคปฏิบัติอย่างเข้มข้น พื้นฐานสาย offensive security ชุดเดียวกันนี้ทำให้การตัดสินใจเรื่อง hardening มีน้ำหนัก เรารู้ว่าการตั้งค่าแบบไหนที่ผู้โจมตีเอาไปใช้ได้จริง จึงอธิบายเหตุผลของการปรับแต่ละข้อได้ ดูใบรับรองทั้งหมดที่ทีมถือ
มาตรฐานที่ใช้
CIS Benchmarks
เป็นตัวเลือกแรกเสมอ เอกสารจาก Center for Internet Security ครอบคลุม component ส่วนใหญ่ที่องค์กรใช้งานจริง มีการ update สม่ำเสมอ แต่ละข้อมีทั้งเหตุผล ผลกระทบ วิธีตรวจสอบ และวิธีแก้ไขกำกับไว้ คุยกับ auditor ได้ตรงไปตรงมา
Vendor recommendation
ถ้า CIS ไม่มี benchmark ของ component นั้น เราใช้เอกสาร hardening guide จากผู้ผลิตโดยตรง เอกสารพวกนี้มักเป็นแหล่งที่แม่นที่สุดสำหรับ product เฉพาะทาง
ประสบการณ์ของทีม บน framework ที่อ้างอิงได้
เมื่อไม่มีทั้งสองอย่าง เราใช้ CIS Critical Security Controls เป็นโครง แล้ว map ว่า feature หรือ function ไหนของ component นั้นตรงกับ control ข้อใด บวกกับ guideline จาก community ที่เชื่อถือได้ ผลลัพธ์คือ baseline ที่ร่างขึ้นเฉพาะสำหรับคุณ พร้อมเหตุผลกำกับทุกข้อ
Hardening อยู่ตรงไหนของงานทั้งหมด
งานนี้อยู่ถัดจากงานที่ผลิต finding ออกมา
Consulting
โจทย์ว่าองค์กรต้องมี control อะไรบ้างและจะทำหลักฐานให้ auditor อย่างไร เป็นฝั่ง governance ทีม consulting ของเราดูแลส่วนนั้น
การประเมินความมั่นคงปลอดภัยของ cloud
การตรวจทั้ง environment เทียบกับ shared responsibility model
ตรวจทานล่าสุด: 14 Oct 2026
Security Hardening
จะปิด finding ที่มีอยู่แล้ว หรือจะพาระบบไปถึง baseline ตั้งแต่ต้น บอกเราได้ พร้อมจำนวนเครื่องและชนิดของ component
คำถามที่พบบ่อย
security hardening คืออะไร
hardening คือการปรับตั้งค่า system component ทั้งระบบปฏิบัติการ server database firewall และ cloud service ให้เป็นไปตาม security best practice เพื่อลด attack surface ของระบบ ในทางปฏิบัติคือปิด feature และ service ที่ไม่ได้ใช้ ตั้งค่าการยืนยันตัวตนและสิทธิ์ให้เหมาะสม กำหนด rule ของ firewall เก็บ log ให้ละเอียดพอจะสืบสวนย้อนหลังได้ แล้วก็ทำให้ทุกอย่างอยู่บนเวอร์ชันที่ยัง support อยู่
แก้ช่องโหว่เองไม่ได้เหรอ ทำไมต้องจ้าง
ทำเองได้ ถ้าทีมมีเวลาและมีคนที่ชำนาญทุก platform ที่ใช้อยู่ ความยากของงานนี้อยู่ที่ความหลากหลาย ผู้ดูแลระบบคนเดียวมักไม่ได้เชี่ยวชาญทั้ง Windows, Linux, database, firewall และ cloud พร้อมกัน อีกส่วนคือการตัดสินใจว่าข้อไหนควรทำและข้อไหนควรยกเว้น ตรงนี้ต้องชั่งระหว่างความปลอดภัยกับผลกระทบต่อระบบงานจริง เราเข้ามาช่วยสองจุดนี้ แล้วส่งมอบ baseline ให้ทีมคุณทำต่อเองได้
ใช้กับรายงาน pentest ของผู้ให้บริการรายอื่นได้ไหม
ได้ ส่งรายงานมาให้เราดูขอบเขตได้เลย เราไม่จำเป็นต้องเป็นคนทดสอบเองถึงจะแก้ให้ได้ กรณีนี้เราจะขอคุยเรื่องเงื่อนไขการ retest ด้วย เพราะการยืนยันผลควรทำโดยคนที่ทดสอบไว้ตอนแรกจึงจะเคลียร์ที่สุด
อ่านเพิ่มเรื่อง hardening
ARTICLES/26 Jun 2026
ความเสี่ยงของการทำ Security Hardening เอง และ CONFIX Solution
OS และ Server ที่เพิ่งติดตั้งมักเปิด service และ port ทิ้งไว้เพื่อความสะดวก Security Hardening คือการไล่ปิดสิ่งที่ไม่ได้ใช้ เพื่อลดพื้นที่ให้ผู้โจมตีเข้ามา
ARTICLES/27 Jun 2024
System Hardening คืออะไร เริ่มต้นจาก CIS Benchmark
System hardening คือการปรับตั้งค่า package, server, database, OS, firewall และ cloud service ให้เป็นไปตาม security best practice เพื่อลด attack surface บทความพาเริ่มจากศูนย์
ARTICLES/20 Mar 2020
รอบรู้เรื่อง Remote Access ผ่าน VPN
VPN ทำให้การเชื่อมต่อระหว่างต้นทางกับปลายทางปลอดภัยได้อย่างไร ตั้งแต่ยุคที่องค์กรต้องลาก lease line มาจนถึงเทคโนโลยี VPN ที่ใช้กันทุกวันนี้
บอกเราว่าระบบไหนต้องทำ hardening
เราแนะนำให้เริ่มที่ชั้นระบบปฏิบัติการ แล้วค่อยไล่ขึ้นไปชั้นบน บอกเราว่าคุณใช้อะไรอยู่ แล้วเราจะวางขอบเขตให้
