ประเมินช่องโหว่ระบบ
สแกนทั้งแบบ authenticated และ unauthenticated พร้อมตรวจยืนยันด้วยมือ ครอบคลุม network, web และ mobile อิงตาม NIST SP800-115
องค์กรส่วนใหญ่ไม่รู้ด้วยซ้ำว่าจริง ๆ แล้วมีอะไรรันอยู่บนระบบของตัวเองบ้าง เช่น host ไหนที่เปิดออกสู่ภายนอก service ไหนที่ยังไม่ได้ patch หรือช่องโหว่ที่รู้จักกันดีที่ค่อย ๆ สะสมเงียบ ๆ อยู่บน IP address นับร้อยตั้งแต่ครั้งสุดท้ายที่มีคนไปดู การประเมินช่องโหว่ตอบคำถามนี้ได้ตรงจุด มันจะกวาดดูพื้นผิวทั้ง network เว็บ และ mobile ของคุณเพื่อหาจุดอ่อนที่รู้จักกันแล้ว ทำได้กว้างและทำซ้ำได้ คำตอบที่ได้จึงเป็นบัญชีสถานะปัจจุบัน แต่ผลจาก scanner อย่างเดียวยังมี false positive ที่ทีมต้องใช้เวลาคัดกรอง การประเมินช่องโหว่ของเราจับการสแกนแบบ authenticated และ unauthenticated เข้ากับการตรวจสอบด้วยมือของนักวิเคราะห์ ทุก finding ในรายงานจึงเป็นปัญหาจริง มีการให้ระดับความรุนแรง พร้อมแนวทางว่าจะแก้อย่างไร ถ้าอยากอ่านรายละเอียดว่าเมื่อไหร่ควรเลือก VA ทีมเราเขียนไว้ในบทความ VA กับ pentest: คุณต้องใช้บริการไหน?
การประเมินช่องโหว่ เทียบกับ Penetration Test
สองบริการนี้ตอบคนละคำถาม และใช้แทนกันไม่ได้
การประเมินช่องโหว่
การประเมินช่องโหว่ ตอบว่า มีช่องโหว่อะไรบ้างทั่วทั้งระบบของฉัน? เป็นงานแบบเน้นความกว้างก่อน ครอบคลุม host แอปพลิเคชัน และ service จำนวนมาก ตรวจหาช่องโหว่ที่มี CVE อยู่แล้วอย่างเป็นระบบและทำซ้ำได้ เหมาะกับการรักษาภาพสถานะช่องโหว่ให้เห็นต่อเนื่อง เช่น หลังรอบการ patch หลังเปลี่ยนโครงสร้างพื้นฐาน หรือทำตามรอบเวลาสม่ำเสมอเพื่อไม่ให้ช่องโหว่ค่อย ๆ สะสมโดยไม่มีใครเห็น
Penetration test
Penetration test ตอบอีกคำถามว่า ถ้ามีคนพยายามบุกเข้ามาจริง ๆ จะเกิดอะไรขึ้นได้บ้าง? เป็นงานแบบเน้นความลึก ผู้ทดสอบหยิบจุดอ่อนที่มีแววที่สุดมาต่อกันจนกลายเป็นผลกระทบจริง พิสูจน์ผ่าน exploitation ว่าผู้โจมตีไปถึงอะไรได้บ้าง VA จะบอกคุณว่า host ตัวหนึ่งรัน service ที่มีช่องโหว่ ส่วน pentest จะให้เห็นว่า service ที่มีช่องโหว่นั้นพาไปถึง database ของคุณได้ยังไง
VA ไม่ได้พิสูจน์ผลกระทบ และ pentest ก็ไม่ได้ให้ความครอบคลุมทุก host องค์กรส่วนใหญ่ต้องใช้ทั้งคู่ แต่คนละจังหวะ คือประเมินบ่อย ๆ เพื่อความครอบคลุม และทดสอบเป็นระยะเพื่อความลึก ถ้าคุณรู้อยู่แล้วว่าต้องการหลักฐานของ exploitation เริ่มที่หน้า penetration test ได้เลย ถ้ายังชั่งใจระหว่างสองอย่างนี้อยู่ FAQ เรื่อง VA กับ pentest รวมคำถามที่เราเจอบ่อยที่สุดไว้แล้ว
สิ่งที่เราประเมิน
ขอบเขตจะตกลงกันใน 2 มิติก่อนเริ่มสแกน
ตำแหน่งที่ประเมิน คือเราประเมินจากไหน
External
ประเมินจากอินเทอร์เน็ต แบบเดียวกับที่ผู้โจมตีภายนอกมองเห็นคุณ ทั้ง host และ service ที่เปิดสู่สาธารณะ รวมถึงส่วนของ network ที่เข้าถึงได้โดยไม่ต้องมี credential
Internal
ประเมินจากภายใน intranet ของคุณ มุมที่ผู้โจมตีได้มาหลังจากตั้งหลักได้ หรือมุมที่คนในที่มีเจตนาร้ายมีอยู่แล้ว
ประเภทที่ประเมิน คือเราประเมินอะไร
Network VA
server อุปกรณ์ network และ service โครงสร้างพื้นฐาน กำหนดขอบเขตด้วยจำนวน IP address ตรงนี้คือที่ที่พื้นผิว known-CVE ส่วนใหญ่มักไปกองอยู่ เช่น service ที่ยังไม่ได้ patch การตั้งค่าที่ไม่ปลอดภัย หรือ protocol ที่เลิกใช้ไปแล้ว
Web application VA
web application ของคุณ กำหนดขอบเขตด้วยจำนวนแอปพลิเคชัน scanner ครอบคลุมพื้นผิวเชิงเทคนิค เช่น ช่องโหว่ใน component ที่รู้จักกันแล้ว การตั้งค่าที่ผิดพลาด และจุด injection ที่พบบ่อย แต่มันก็มีขีดจำกัดชัด ๆ ที่ทีมเราเขียนเล่าไว้อย่างตรงไปตรงมาใน เรื่องที่ไม่เคยมีใครเล่าเกี่ยวกับการประเมินช่องโหว่ web application
Mobile application VA
mobile application ของคุณ กำหนดขอบเขตด้วยจำนวนแอปพลิเคชัน ครอบคลุม component ที่รู้กันว่ามีช่องโหว่ การตั้งค่าที่ไม่ปลอดภัย และจุดอ่อนที่ตรวจเจอได้ด้วยเครื่องมือประเมิน
อีกอย่างที่ตกลงกันไว้ล่วงหน้าคือจะรวม revisit ไหม คือการกลับไปทดสอบซ้ำหลังทีมคุณแก้ไขเสร็จ รายงานฉบับสุดท้ายจะสะท้อนสิ่งที่ปิดไปจริง
เราทำงานอย่างไร
ทุกงานเดินผ่านขั้นตอนเดียวกันหมด
Scoping
เราตกลงเรื่องตำแหน่ง (external, internal หรือทั้งคู่) ประเภท (network, web, mobile) จำนวนที่ใช้กำหนดขนาดงาน (IP address, application, แอปพลิเคชันมือถือ) และจะรวม revisit ไหม
พื้นผิวที่จะไม่ทดสอบตกลงกันตั้งแต่ขั้นนี้
Scanning
เรารันทั้ง unauthenticated scan (พื้นผิวที่คนนอกใคร ๆ ก็ probe ได้) และ authenticated scan (การเข้าถึงแบบมี credential ที่เห็นถึงระดับ patch การตั้งค่าภายในเครื่อง และจุดอ่อนที่มองจากภายนอกไม่เห็น) ด้วยเครื่องมือเชิงพาณิชย์และ open-source ที่เชื่อถือได้และเป็นที่รู้จักดี
การสแกนทั้งสองแบบให้ภาพที่ครบกว่าการใช้แบบใดแบบหนึ่ง
Manual validation
นักวิเคราะห์ไล่ดูผลดิบด้วยมือ ยืนยันว่าปัญหาที่รายงานมาเป็นของจริง ตัด false positive ทิ้ง และรวมรายการที่ซ้ำกัน
ขั้นตอนนี้ทำให้ทุก finding ในรายงานผ่านการยืนยันด้วยมือ ผลดิบจาก scanner ไม่เข้ารายงานของคุณ
Risk rating
แต่ละ finding ที่ยืนยันแล้วจะได้ระดับ Critical, High, Medium หรือ Low ทีมคุณเลยจัดลำดับการ remediation ได้ตามจริง
Reporting
เราเขียนแต่ละ finding เป็นรายงานพร้อมรายละเอียดการทำซ้ำและแนวทาง remediation พร้อมบทสรุปสำหรับผู้บริหาร
Retest (เมื่อรวมอยู่ในขอบเขต)
หลังทีมคุณแก้ไขเสร็จ เรากลับไปตรวจ finding ซ้ำ และอัปเดตรายงานให้สะท้อนสิ่งที่ปิดไปแล้ว
สิ่งที่คุณจะได้รับ
รายงานทุกฉบับมีอย่างน้อยเท่านี้:
Executive summary
ภาพความเสี่ยงระดับธุรกิจ เหมาะกับผู้บริหารและ auditor
Finding จัดตาม Risk Level
แต่ละ finding ที่ยืนยันแล้วได้ระดับ Critical, High, Medium หรือ Low การ remediation จึงจัดลำดับตามจริงได้
ขั้นตอนทำซ้ำของแต่ละ finding อย่างละเอียด
เราเจออะไร ตรงไหน และตรวจสอบเองได้อย่างไร
แนวทาง remediation
วิธีแก้ที่ใช้ได้จริง ผูกกับสภาพแวดล้อมของคุณ
การยืนยันผล retest
เมื่อ revisit อยู่ในขอบเขต เราตรวจ finding ซ้ำหลังคุณแก้ไข และอัปเดตรายงานให้สะท้อนรายการที่ปิดไปแล้ว
ทีมและใบรับรอง
- OSCP
- OSCE
- CREST CRT
- CREST CPSA
- GIAC GREM
การประเมินและการยืนยันผลทำโดยทีมภายในของเรา ใบรับรองเหล่านี้ได้มาจากการสอบภาคปฏิบัติอย่างเข้มข้น พื้นฐานสาย offensive security เดียวกับที่ขับเคลื่อนงาน penetration test ของเรา คือสิ่งที่ทำให้ขั้นตอนการตรวจสอบด้วยมือมีน้ำหนัก: นักวิเคราะห์ที่ยืนยัน finding รู้ดีว่าปัญหาที่ exploit ได้จริงหน้าตาเป็นยังไง ดูใบรับรองทั้งหมดที่ทีมถือ
แนวทางการทำงานของเราอิงตาม NIST SP800-115 (Technical Guide to Information Security Testing and Assessment) ที่นิยามการประเมินช่องโหว่ว่าเป็นส่วนหนึ่งของโปรแกรมทดสอบความปลอดภัยแบบมีโครงสร้าง ตอนกำหนดขอบเขต บอกเราได้เลยว่าคุณมีเงื่อนไขด้าน audit หรือ compliance อะไรบ้าง เราจะตกลงรูปแบบรายงานให้สอดคล้องกับเงื่อนไขเหล่านั้น
เมื่อคุณต้องการมากกว่าความครอบคลุม
การประเมินช่องโหว่ให้ภาพปัจจุบันที่ผ่านการยืนยันแล้วของจุดอ่อนที่รู้จักกันทั่วทั้งระบบของคุณ
Security hardening
เมื่อต้องปิด finding การแก้ช่องโหว่และทำ security hardening คืองานที่ลงมือปิดให้ พร้อมปรับการตั้งค่าที่อยู่ข้างล่างให้ถึง baseline เพื่อให้ปัญหาเดิมไม่กลับมาซ้ำทุกรอบ
ตรวจทานล่าสุด: 14 Oct 2026
ประเมินช่องโหว่ระบบ
ตำแหน่ง ประเภท และจำนวนที่ใช้กำหนดขนาดงาน ตกลงกันก่อนเริ่มสแกน รวมถึงว่าจะรวม revisit ไหม
คำถามที่พบบ่อย
การประเมินช่องโหว่คืออะไร?
การประเมินช่องโหว่จะกวาดดูพื้นผิวทั้ง network เว็บ และ mobile ของคุณเพื่อหาจุดอ่อนที่รู้จักกันแล้ว ทำได้กว้างและทำซ้ำได้ คุณจึงได้บัญชีสถานะปัจจุบันของสิ่งที่เปิดออกไป แต่การใช้ scanner อย่างเดียวให้ผลที่ต้องคัดกรองก่อนใช้ เพราะผลดิบมี false positive จำนวนมาก เราจับ authenticated และ unauthenticated scanning เข้ากับ manual validation โดยนักวิเคราะห์ ทุก finding จึงเป็นปัญหาจริง มีการให้ระดับความรุนแรง พร้อมแนวทางว่าจะแก้อย่างไร
การประเมินช่องโหว่หรือ penetration test ต้องใช้อันไหน?
VA ตอบว่า มีช่องโหว่อะไรบ้างทั่วทั้งระบบของคุณ เน้นความกว้าง ครอบคลุม host จำนวนมาก เหมาะกับการรักษาภาพสถานะให้เห็นต่อเนื่องหลังรอบการ patch หรือทำตามรอบเวลาสม่ำเสมอ ส่วน pentest ตอบอีกคำถาม ถ้ามีคนพยายามบุกเข้ามาจริง ๆ จะเกิดอะไรขึ้นได้บ้าง เน้นความลึก เอาจุดอ่อนมาต่อกันจนกลายเป็นผลกระทบจริง VA จะบอกว่า host ตัวหนึ่งรัน service ที่มีช่องโหว่ ส่วน pentest จะให้เห็นว่า service นั้นพาไปถึง database ของคุณได้ยังไง องค์กรส่วนใหญ่ต้องใช้ทั้งคู่ แต่คนละจังหวะ
คุณประเมินอะไร และกำหนดขอบเขตยังไง?
ขอบเขตตกลงกันใน 2 มิติก่อนเริ่มสแกน มิติแรกคือตำแหน่ง ได้แก่ external (ประเมินจากอินเทอร์เน็ต) หรือ internal (ประเมินจากใน intranet ของคุณ) อีกมิติคือประเภท ได้แก่ Network VA (server และโครงสร้างพื้นฐาน กำหนดขอบเขตด้วยจำนวน IP), Web application VA (กำหนดขอบเขตด้วยจำนวนแอปพลิเคชัน) และ Mobile application VA (กำหนดขอบเขตด้วยจำนวนแอปพลิเคชัน) อีกอย่างที่ตกลงกันไว้ล่วงหน้าคือจะรวม revisit (การกลับไปทดสอบซ้ำหลัง remediation) ไหม
authenticated กับ unauthenticated scanning ต่างกันยังไง?
unauthenticated scan จะ probe พื้นผิวที่คนนอกใคร ๆ ก็เห็น ส่วน authenticated scan ใช้การเข้าถึงแบบมี credential ที่เห็นถึงระดับ patch การตั้งค่าภายในเครื่อง และจุดอ่อนที่มองจากภายนอกไม่เห็น เรารันทั้งสองแบบ เพราะทั้งสองแบบให้ภาพที่ครบกว่าการใช้แบบใดแบบหนึ่ง จากนั้นนักวิเคราะห์จะตรวจผลด้วยมือ ตัด false positive ทิ้ง และรวมรายการที่ซ้ำกัน
คุณใช้มาตรฐานอะไร?
NIST SP800-115 ซึ่งมองการประเมินช่องโหว่เป็นงานที่ทำซ้ำเป็นรอบ ไม่ใช่งานครั้งเดียวจบ จุดนี้มีผลกับสิ่งที่คุณได้รับ ทุก finding ผ่านนักวิเคราะห์ยืนยันก่อนและมีระดับความรุนแรงกำกับ คนที่มา audit จึงอ่านเจอเฉพาะประเด็นที่ยืนยันแล้ว ถ้ารายงานต้องไปตอบ audit หรือ compliance ตัวไหน บอกตอนวาง scope ได้เลย
ช่องโหว่ที่เป็นข่าว
ARTICLES/25 Aug 2026
วิเคราะห์ CVE-2026-54121 - CertiGhost
CertiGhost (CVE-2026-54121) ช่องโหว่ใน AD CS ที่ให้ domain user สิทธิ์ต่ำปลอมตัวเป็น DC และขยายผลไปยึด domain ได้
ARTICLES/16 Apr 2025
ฐานข้อมูล CVE อาจหยุดให้บริการหลังจากวันนี้
ถ้าฐานข้อมูล CVE ที่เป็นกลางหยุดให้บริการ องค์กรจะกระทบทั้งงานเทคนิคและการปฏิบัติตามข้อกำหนด บทความอธิบายว่าใครดูแลอยู่ และทางเลือกที่เหลือมีอะไร
ARTICLES/22 Sep 2020
ชำแหละ Zerologon (CVE-2020-1472)
Zerologon (CVE-2020-1472) คือช่องโหว่ CVSS v3 เต็ม 10 ที่ทำให้ยึด Active Directory และขึ้นเป็น domain admin ได้แทบจะทันที บทความชำแหละว่ามันทำงานอย่างไร
บอกเราว่าต้องการประเมินอะไร
บอกเราตอน scoping ว่ารายงานต้องตอบ audit หรือข้อกำหนด compliance ตัวไหน
