Agentic Pentesting คืออะไร? เมื่อ AI ช่วยทดสอบเจาะระบบ แต่ยังมีความเสี่ยงที่องค์กรอาจมองไม่เห็น

ในยุคที่ภัยคุกคามทางไซเบอร์พัฒนาอย่างรวดเร็ว องค์กรไม่สามารถพึ่งพาการตรวจสอบความปลอดภัยของระบบเพียงปีละครั้งได้อีกต่อไป โดยเฉพาะเมื่อผู้โจมตีสามารถนำช่องโหว่ที่เพิ่งเปิดเผยมาใช้โจมตีได้รวดเร็วขึ้น ทำให้ระยะเวลาในการตรวจพบและแก้ไขความเสี่ยงกลายเป็นปัจจัยสำคัญต่อความปลอดภัยของธุรกิจ

หนึ่งในเทคโนโลยีที่กำลังเข้ามามีบทบาทคือ Agentic Pentesting หรือการทดสอบเจาะระบบด้วย AI Agent ซึ่งสามารถวิเคราะห์ข้อมูล วางแผนการทดสอบ และปรับเปลี่ยนแนวทางตามผลลัพธ์ที่ตรวจพบได้โดยอัตโนมัติ

อย่างไรก็ตาม แม้ AI Pentesting จะช่วยเพิ่มความรวดเร็วและค้นหาเส้นทางการโจมตีที่ซับซ้อนได้ แต่ก็ไม่ได้หมายความว่าจะสามารถทดสอบทุกระบบหรือยืนยันความเสี่ยงของทุกช่องโหว่ได้เสมอไป

องค์กรจึงจำเป็นต้องเข้าใจข้อจำกัดของ Agentic Pentesting พร้อมพิจารณาแนวทางอื่นที่ช่วยประเมินความเสี่ยงในส่วนที่การทดสอบเจาะระบบแบบเดิมหรือแบบ AI ยังเข้าไม่ถึง

1. Agentic Pentesting ทำงานอย่างไร?

โดยทั่วไป การทดสอบเจาะระบบ (Penetration Testing) ประกอบด้วยขั้นตอนสำคัญ เช่น การสำรวจระบบ การตรวจสอบช่องโหว่ การทดสอบการเข้าถึง การประเมินผลกระทบ และการจัดทำรายงาน

Agentic Pentesting นำความสามารถของ AI Agent เข้ามาช่วยดำเนินกระบวนการเหล่านี้ โดยสามารถวิเคราะห์สิ่งที่ค้นพบในแต่ละขั้นตอนและเลือกแนวทางทดสอบถัดไปตามบริบทของระบบ

ตัวอย่างเช่น เมื่อ AI ตรวจพบช่องโหว่ในเซิร์ฟเวอร์ ระบบอาจวิเคราะห์ข้อมูลเพิ่มเติมเพื่อประเมินว่าช่องโหว่นั้นสามารถเชื่อมโยงกับช่องทางการเข้าถึงอื่น และนำไปสู่ความเสี่ยงที่รุนแรงกว่าเดิมได้หรือไม่

ความสามารถดังกล่าวช่วยให้การทดสอบไม่ได้จำกัดอยู่เพียงการตรวจพบช่องโหว่เป็นรายการ แต่ยังสามารถสำรวจความสัมพันธ์ระหว่างจุดอ่อนต่าง ๆ และค้นหา Attack Path ที่อาจส่งผลกระทบต่อองค์กรได้

จุดเด่นของ AI Pentesting

• ปรับเปลี่ยนแนวทางการทดสอบได้: AI Agent สามารถเลือกขั้นตอนถัดไปตามผลการตรวจสอบ

• ค้นหาเส้นทางการโจมตีที่ซับซ้อน: ช่วยวิเคราะห์ความเชื่อมโยงระหว่างช่องโหว่และองค์ประกอบของระบบ

• ลดภาระงานที่ต้องทำด้วยตนเอง: ช่วยให้ทีม Security สามารถมุ่งเน้นกับการวิเคราะห์และแก้ไขความเสี่ยงที่สำคัญ

• เพิ่มความคล่องตัวในการทดสอบ: สนับสนุนการทดสอบที่บ่อยขึ้นตามความเหมาะสมของสภาพแวดล้อม

แต่การใช้ AI Agent อย่างเต็มรูปแบบก็มีข้อจำกัดเช่นกัน ทั้งต้นทุนในการประมวลผล ความสม่ำเสมอของผลลัพธ์ และระยะเวลาที่ต้องใช้ในการทดสอบที่ซับซ้อน

ด้วยเหตุนี้ การทดสอบเจาะระบบแบบอัตโนมัติที่ทำซ้ำได้ตามขั้นตอนที่กำหนด (Deterministic Automated Pentesting) จึงยังมีความสำคัญ โดยเฉพาะเมื่อต้องการตรวจสอบซ้ำหลังการแก้ไขช่องโหว่ หรือเปรียบเทียบผลลัพธ์ระหว่างการทดสอบแต่ละครั้ง

แนวทางที่เหมาะสมจึงควรพิจารณาใช้ทั้งการทดสอบแบบ Agentic และแบบ Deterministic ให้สอดคล้องกับความเสี่ยงและเป้าหมายขององค์กร

2. จุดบอดของ Agentic Pentesting ที่องค์กรไม่ควรมองข้าม

แม้ Agentic Pentesting จะมีความสามารถในการจำลองการโจมตี แต่การทดสอบด้วยการโจมตีจริงมีข้อจำกัดสำคัญ คือระบบต้องสามารถเข้าถึงเป้าหมายได้ และต้องดำเนินการภายใต้เงื่อนไขที่ปลอดภัย

ข้อมูลการวิจัยจาก Omdia ที่อ้างถึงในบทความต้นฉบับระบุว่า องค์กรทดสอบเจาะระบบโดยเฉลี่ยเพียงประมาณ 32% ของ Attack Surface ทั้งหมด ซึ่งสะท้อนให้เห็นว่าการทดสอบที่ดำเนินการอยู่ อาจยังไม่ครอบคลุมความเสี่ยงทั้งหมดขององค์กร

2.1 ข้อจำกัดด้านการเข้าถึงระบบ (Asset Reachability)

ระบบสำคัญขององค์กร เช่น เซิร์ฟเวอร์ Production ระบบฐานข้อมูล หรือโครงสร้างพื้นฐานที่มีความสำคัญต่อธุรกิจ อาจไม่สามารถนำมาทดสอบด้วย Exploit จริงได้อย่างอิสระ เนื่องจากมีความเสี่ยงต่อการหยุดให้บริการ ความเสียหายของข้อมูล หรือผลกระทบต่อระบบที่เชื่อมโยงกัน

นอกจากนี้ ระบบที่แบ่งเครือข่ายเป็นหลายส่วน (Network Segmentation) หรือระบบที่แยกออกจากเครือข่ายภายนอก (Air-gapped Systems) ก็อาจไม่สามารถเข้าถึงได้จากตำแหน่งที่ใช้ทดสอบ

ผลที่เกิดขึ้นคือ แม้เครื่องมือจะตรวจพบช่องโหว่ แต่ก็อาจไม่สามารถทดสอบเพื่อยืนยันว่าช่องโหว่นั้นถูกใช้โจมตีได้จริงหรือไม่

2.2 ไม่มี Exploit หรือ Proof of Concept สำหรับทดสอบ

ช่องโหว่ที่ตรวจพบไม่ได้หมายความว่าจะมี Exploit พร้อมใช้งานเสมอไป

บางช่องโหว่อาจยังไม่มี Proof of Concept (PoC) หรือโค้ดตัวอย่างที่แสดงให้เห็นถึงวิธีการใช้ประโยชน์จากช่องโหว่ ทำให้เครื่องมือ Pentesting ไม่สามารถดำเนินการทดสอบเพื่อยืนยันผลได้โดยตรง

แม้ AI จะสามารถช่วยสร้างโค้ดหรือแนวทางการทดสอบขึ้นมาได้ แต่โค้ดที่สร้างขึ้นอาจยังไม่ได้รับการตรวจสอบความถูกต้องและความปลอดภัย การนำไปใช้กับระบบ Production โดยไม่มีมาตรการควบคุมที่เหมาะสมจึงอาจสร้างความเสียหายได้

2.3 ผลการทดสอบไม่เท่ากับความเสี่ยงทั้งหมดขององค์กร

การไม่สามารถใช้ Exploit โจมตีระบบได้สำเร็จ ไม่ได้หมายความว่าระบบนั้นปลอดภัยเสมอไป

ผลการทดสอบที่ไม่สำเร็จอาจเกิดจากหลายสาเหตุ เช่น ระบบมีมาตรการป้องกันที่มีประสิทธิภาพ เครื่องมือไม่สามารถเข้าถึงเป้าหมาย หรือไม่มีวิธีทดสอบที่เหมาะสม

ดังนั้น องค์กรไม่ควรใช้ผลการทดสอบเพียงอย่างเดียวในการสรุปว่าช่องโหว่ทั้งหมดได้รับการป้องกันแล้ว แต่ควรนำข้อมูลจากหลายแหล่งมาประกอบการประเมินความเสี่ยง

3. Exposure Validation คืออะไร? และช่วยปิดช่องว่างของ AI Pentesting ได้อย่างไร

Exposure Validation คือแนวทางการตรวจสอบและประเมินความเสี่ยงจากช่องโหว่หรือการเปิดรับความเสี่ยงของระบบ โดยใช้หลักฐานเกี่ยวกับสภาพแวดล้อมและมาตรการรักษาความปลอดภัยที่มีอยู่ เพื่อช่วยประเมินว่าช่องโหว่นั้นมีโอกาสนำไปสู่การโจมตีได้มากน้อยเพียงใด

แนวทางนี้ช่วยเติมเต็มข้อจำกัดของ Pentesting ในกรณีที่ไม่สามารถทดสอบระบบด้วย Exploit จริงได้อย่างปลอดภัย หรือเมื่อยังไม่มีโค้ดสำหรับทดสอบช่องโหว่

ตัวอย่างเช่น หากองค์กรตรวจพบช่องโหว่ในเซิร์ฟเวอร์จำนวนมาก แต่สามารถทดสอบเจาะระบบได้เพียงบางส่วน Exposure Validation สามารถช่วยประเมินหลักฐานที่เกี่ยวข้องกับระบบที่เหลือ เพื่อให้ทีม Security เข้าใจสถานะความเสี่ยงได้ดีขึ้น

ทั้งนี้ การประเมินจากหลักฐานของระบบป้องกันไม่ใช่สิ่งเดียวกับการยืนยันว่าโจมตีสำเร็จจริง จึงควรแยกผลลัพธ์ระหว่างช่องโหว่ที่ยืนยันแล้วว่าถูกใช้โจมตีได้ กับช่องโหว่ที่มีหลักฐานบ่งชี้ว่ามีความเสี่ยงสูง

เปรียบเทียบ Penetration Testing, Agentic Pentesting และ Exposure Validation

เครื่องมือเหล่านี้ไม่ได้มีหน้าที่ทดแทนกันทั้งหมด แต่สามารถทำงานร่วมกันเพื่อช่วยให้องค์กรเข้าใจความเสี่ยงได้รอบด้านมากขึ้น

4. แนวทางบริหารจัดการช่องโหว่ให้ครอบคลุมมากขึ้น

การยกระดับ Cybersecurity ในปัจจุบันไม่ควรหยุดอยู่ที่การสแกนช่องโหว่หรือการทดสอบเจาะระบบเพียงครั้งเดียว แต่ควรเป็นกระบวนการต่อเนื่องที่เชื่อมโยงการค้นพบ การประเมิน การแก้ไข และการตรวจสอบซ้ำเข้าด้วยกัน

องค์กรสามารถพิจารณาแนวทางต่อไปนี้

ขั้นที่ 1: ค้นหาและจัดทำรายการทรัพย์สินทั้งหมด

จัดทำ Inventory ของเซิร์ฟเวอร์ Endpoint ระบบ Cloud แอปพลิเคชัน และอุปกรณ์เครือข่าย เพื่อให้ทราบว่ามีทรัพย์สินใดอยู่ภายใต้การดูแล และมีระบบใดที่อาจไม่ได้รับการตรวจสอบอย่างเพียงพอ

ขั้นที่ 2: ประเมินช่องโหว่และจัดลำดับความสำคัญ

พิจารณาความรุนแรงของช่องโหว่ ความสามารถในการถูกโจมตี การเปิดเผยต่อเครือข่าย ความสำคัญของทรัพย์สิน และผลกระทบที่อาจเกิดขึ้นกับธุรกิจ

การจัดลำดับความสำคัญตามบริบทช่วยให้องค์กรสามารถมุ่งเน้นไปที่ความเสี่ยงที่มีนัยสำคัญ แทนการพยายามแก้ไขช่องโหว่ทั้งหมดโดยไม่แยกแยะความเร่งด่วน

ขั้นที่ 3: ทดสอบและตรวจสอบมาตรการป้องกัน

ใช้ Penetration Testing หรือ AI Pentesting ในขอบเขตที่ได้รับอนุญาตและมีการควบคุมความเสี่ยงอย่างเหมาะสม พร้อมใช้การตรวจสอบมาตรการรักษาความปลอดภัยเพิ่มเติมในระบบที่ไม่สามารถทดสอบด้วย Exploit จริงได้

ขั้นที่ 4: แก้ไขและตรวจสอบซ้ำ

หลังจากแก้ไขช่องโหว่แล้ว ควรดำเนินการทดสอบซ้ำเพื่อยืนยันว่าการแก้ไขมีประสิทธิภาพ และไม่มีการเปลี่ยนแปลงที่ทำให้ความเสี่ยงกลับมาอีกครั้ง

กระบวนการนี้ช่วยให้การบริหารจัดการช่องโหว่เป็นวงจรต่อเนื่อง ไม่ใช่เพียงการจัดทำรายงานแล้วสิ้นสุดกระบวนการ

5. ทำไมองค์กรต้องมองมากกว่า Vulnerability Scanning?

Vulnerability Scanning เป็นองค์ประกอบสำคัญของการรักษาความปลอดภัย แต่ผลการสแกนเพียงอย่างเดียวอาจไม่เพียงพอสำหรับการตัดสินใจทางธุรกิจ

การตรวจพบช่องโหว่ช่วยบอกว่าอาจมีจุดอ่อนอยู่ที่ใด แต่ไม่ได้ยืนยันเสมอไปว่าผู้โจมตีสามารถเข้าถึงระบบหรือใช้ประโยชน์จากช่องโหว่นั้นได้จริง

ในทางกลับกัน การที่เครื่องมือไม่สามารถยืนยันการโจมตีได้ ก็ไม่ได้เป็นหลักฐานเพียงพอว่าระบบปลอดภัย

องค์กรจึงควรผสานข้อมูลจาก Vulnerability Assessment, Penetration Testing, Security Control Validation และบริบทของทรัพย์สินเข้าด้วยกัน เพื่อให้สามารถตอบคำถามสำคัญได้ เช่น

• ระบบใดมีช่องโหว่ที่ต้องเร่งแก้ไข?

• ช่องโหว่ใดมีแนวโน้มส่งผลกระทบต่อธุรกิจมากที่สุด?

• มาตรการรักษาความปลอดภัยที่ติดตั้งอยู่สามารถป้องกันหรือตรวจจับการโจมตีได้จริงหรือไม่?

• ระบบใดไม่สามารถทดสอบได้ และต้องใช้วิธีประเมินเพิ่มเติมอย่างไร?

• หลังจากแก้ไขแล้ว มีหลักฐานยืนยันหรือไม่ว่าความเสี่ยงลดลง?

เมื่อมีคำตอบที่ชัดเจน ทีม Security จะสามารถจัดสรรทรัพยากรได้อย่างเหมาะสม และช่วยให้ผู้บริหารมองเห็นภาพรวมของความเสี่ยงทางไซเบอร์ได้ดียิ่งขึ้น

6. BigFish กับการยกระดับ Cybersecurity และ Penetration Testing สำหรับองค์กร

การบริหารความเสี่ยงไซเบอร์อย่างมีประสิทธิภาพต้องอาศัยทั้งเทคโนโลยี กระบวนการ และความเชี่ยวชาญในการประเมินความปลอดภัยของระบบ

BigFish Enterprise ให้บริการด้าน Cybersecurity สำหรับองค์กร ตั้งแต่การให้คำปรึกษา การออกแบบและติดตั้งระบบรักษาความปลอดภัย ไปจนถึงการดูแลและตอบสนองต่อภัยคุกคาม โดยมีบริการที่เกี่ยวข้องกับการประเมินความปลอดภัยและการทดสอบเจาะระบบ (Cybersecurity Auditing & Penetration Testing) เพื่อช่วยให้องค์กรค้นหาจุดอ่อนและวางแผนปรับปรุงความปลอดภัยได้อย่างเหมาะสม

องค์กรที่ต้องการยกระดับความพร้อมด้าน Cybersecurity ควรพิจารณาการประเมินความเสี่ยงควบคู่กับการตรวจสอบช่องโหว่และประสิทธิภาพของมาตรการป้องกัน เพื่อให้สามารถกำหนดแนวทางที่สอดคล้องกับโครงสร้างระบบและความต้องการทางธุรกิจ

ดูรายละเอียดบริการของ BigFish ได้ที่ Cybersecurity Services

หากองค์กรของคุณกำลังวางแผนประเมินความปลอดภัยของระบบ หรือต้องการทบทวนแนวทางการทดสอบเจาะระบบ สามารถติดต่อทีมงาน BigFish เพื่อหารือเกี่ยวกับความต้องการและแนวทางที่เหมาะสมกับองค์กรได้ที่ www.bigfish.co.th

สรุป: AI Pentesting เป็นเครื่องมือสำคัญ แต่ต้องมาพร้อมการประเมินความเสี่ยงที่ครอบคลุม

Agentic Pentesting ช่วยยกระดับการทดสอบเจาะระบบด้วยความสามารถในการวิเคราะห์และปรับเปลี่ยนแนวทางการทดสอบโดยใช้ AI แต่ยังมีข้อจำกัดด้านการเข้าถึงระบบ ความปลอดภัยของการทดสอบ และความพร้อมของ Exploit

องค์กรจึงไม่ควรพึ่งพา AI Pentesting เพียงอย่างเดียว แต่ควรใช้ร่วมกับการทดสอบอัตโนมัติที่ทำซ้ำได้ การประเมินช่องโหว่ และการตรวจสอบประสิทธิภาพของมาตรการป้องกัน เพื่อให้เข้าใจความเสี่ยงได้ครอบคลุมมากขึ้น

เป้าหมายของ Cybersecurity ที่มีประสิทธิภาพไม่ใช่เพียงการค้นหาช่องโหว่ให้ได้มากที่สุด แต่คือการระบุความเสี่ยงที่สำคัญ เข้าใจผลกระทบ และมีหลักฐานว่ามาตรการแก้ไขช่วยลดความเสี่ยงขององค์กรได้จริง