ความน่าเชื่อถือของหลักฐานจาก Log files ไม่ได้เกิดจากเทคโนโลยีอย่างเดียว แต่ต้องเกิดจากกระบวนการปฏิบัติงานในองค์กรด้วย เจ้าหน้าที่ที่ดูแลเรื่อง Log files ต้องระบุตัวบุัคคลได้ และถูกแต่งตั้งจาก Data Owner ประธานบริษัท คณะกรรมบริษัทนั้นๆ เป็นต้น
อ่านเพิ่มเติมได้ที่ http://www.sran.net/archives/155

SRAN พัฒนา

1. เปิด https://<ip/domain> ที่ติดตั้งอุปกรณ์ SRAN Security Center ใส่ user / password
2. คลิกเปิดไปที่ Management > Services > Data Archive >

3. download log ที่เกิดขึ้นในแต่ละวัน มาเก็บไว้ที่เครื่อง (อาจจะใช้บนเครื่องเราเอง หรือเป็นเครื่อง Storage ที่ใช้เฉพาะงานก็ได้)
ควร download ค่า MD5 ของแต่ละวันมาเก็บไว้ข้างนอกด้วย

เท่านี้ก็สามารถย้ายค่า Log จากเครื่อง SRAN ไปยังเครื่องอื่นๆ ได้
ซึ่งให้ดี แนะนำว่าเมื่อเก็บข้อมูล Log แล้ว ควรนำไปเขียนบนแผ่น CD เพื่อจัดเก็บเป็นรายวันหรือรายเดือน เพื่อใช้ในการสืบค้นได้อีกด้วย

**Remark ** is good/different Feature

Roadmap 2009
* Detection malware in your website
* Compliance Report PCI/DSS , SOX , HIPAA etc
* Compliance Report OWASP
* Export Report Excel files

SRAN-Dev

อีกส่วน
แบบที่สอง เรียกว่า Update Firmware ส่วนนี้มีไว้สำหรับผู้ที่ ซื้อ License SRAN และ MA
อ่านรายละเอียดที่ http://www.gbtech.co.th/th/product/firmware

ข้อแตกต่าง ระหว่าง Update signature กับ Firmware คือ
Signature เป็นฐานข้อมูลให้ SRAN ฉลาดขึ้นรู้ทันปัญหา รู้ทันเหตุการณ์ ได้ดีขึ้น
Firmware เป็นการปรับปรุงการระบบอุปกรณ์ SRAN ให้เต็มประสิทธิภาพมากที่สุด

สรุปได้ว่า ไม่มีการเปลี่ยนไปการใช้งานเปลี่ยนไปจากเดิม แม้แต่อย่างใด

ในกรณีที่บริษัทต้องการเปิด WiFi ให้กับพนักงานและบุคคลทั่วไปได้ใช้งาน Internet ในสำนักงาน

และขั้นตอนการใช้งาน จะเปลี่ยนไปจากเดิมอย่างไร ?

2. ระบบ Wi-Fi ตามสถานที่ให้บริการ เช่น ร้านอินเตอร์เน็ต ร้านกาแฟ สนามบิน หรืออื่นๆ ผู้ให้บริการจะเป็นผู้เก็บบันทึก Log และผู้ให้บริการในความหมายนี้จะกลายเป็น ร้านอินเตอร์เน็ต ร้านกาแฟ สนามบิน หรืออื่นๆ เป็นต้น ที่ต้องเก็บบันทึกหมายเลข IP ใคร ทำอะไร คือลักษณะการใช้งานที่มีความเสี่ยงต่อภัยคุกคามและฐานความผิดตามมาตราต่างๆ ที่ระบุใน พ.ร.บ คอมพ์ฯ ได้แก่ Protocol Web , Mail , Chat , P2P , VoIP การ Remote ออกนอกสถานที่ เป็นต้น
เวลาต้องให้ตรงตามมาตรวิทยา คือตั้งค่า Time Sync ไปที่ Sever Nectec หรือที่มาตรวิทยา
www.etcommission.go.th/documents/standard/time_sync_server_v1_0.pdf
ซึ่งส่วนนี้ต้องระวังให้มาก ได้แก่ บ้านหรือบริษัท หน่วยงาน ที่ใช้ Wireless LAN และกระจายสัญญาณให้ผู้อื่นได้ใช้งานได้ด้วย ทำให้มีผู้ใช้งานได้หากอยู่ในระยะที่เหมาะสมและสามารถใช้ บ้าน หรือ หน่วยงานนั้นไปทำความผิดได้ ดังนั้นความหมายผู้ให้บริการของกฏหมาย ก็จะกลายเป็น บ้านคน หรือ หน่วยงานที่ให้บริการ Wireless LAN ไปด้วยในทันที จึงจำเป็นต้องเก็บบันทึกข้อมูลจราจร หากควบคุมการใช้งานอินเตอร์เน็ตที่บ้านหรือหน่วยงานได้ ควรใช้ Password ในการเข้าถึง Access Point ที่บ้านตน ไม่ปล่อยสัญญาณอิสระ ก็จะช่วยควบคุมการใช้งานมิให้ ผู้อื่นที่แปลกปลอมมาใช้งานในส่วนนี้ได้

สำคัญว่ากฏหมายนี้ออกมาเพื่อหาผู้กระทำความผิด ดังนั้น Log จึงเป็นหลักฐานชิ้นสำคัญที่ระบุลักษณะการใช้งาน ระบุ IP/MAC หรือตัวตนของผู้กระทำความผิด เพื่อเป็นประโยชน์ในรูปคดีในชั้นศาลต่อไป

ทีมพัฒนา SRAN

อยากทราบว่าจริงหรือไม่อย่างไรพอจะบอกได้ไหมครับ

2. Signature ที่เขียนขึ้นในการบันทึกข้อมูลที่มีความเสี่ยงและมีความผิดปกติ (Threat Data) ซึ่งในส่วนนี้เราใช้เทคนิค ระบบ IDS/IPS (Intrusion Detection & Prevention System) มาช่วย

ซึ่งทั้งหมดนี้เราจะสามารถทราบลักษณะการใช้งานของ User ในองค์กรได้ โดยไม่เป็นวิธีการ sniffing ข้อมูลหรือ Hijack ข้อมูลผู้อื่น และเขียน Filtering สิ่งที่ต้องการอยากให้ประมวลผลผ่าน Log file เพื่ออ่านแล้วเข้าใจง่ายในการสืบสวนสอบได้อีกทางหนึ่งด้วย

SRAN Dev

2. บันทึกจากข้อมูลที่ส่งจาก Mail Server โดยตรง นั้นหมายถึงการนำค่า syslog ยิงผ่าน Protocol syslog 514 UDP ซึ่งหาก Mail Server นั้นตั้งอยู่บนระบบปฏิบัติการ Windows ต้องใช้ซอฟต์แวร์ agent เข้ามาเสริม ซึ่งทาง SRAN ได้ใช้ได้จัดมาให้ลงติดตั้งบน Mail Server เพื่อยิง Log มาที่เครื่อง SRAN ซึ่งวิธีนี้จะได้ค่า syslog จากเครื่อง Mail Server โดยตรง ต้องใช้ SRAN ที่เป็นรุ่น Hybrid ขึ้นไปถึงจะทำได้ครับ

ปล. ค่า syslog ที่รับจาก Mail Server นั้นไม่สามารถดู Content (เนื้อหาอีเมลล์) ได้ทั้งหมดและวิธีการรับค่า syslog จาก Mail server สามารถอ่านดูได้แม้มีการรับส่งข้อมูลในแบบเข้ารหัส

SRAN Dev

SRAN เป็นเทคโนโลยี เน้นในการสร้างเครือข่ายคอมพิวเตอร์ ให้มีความตื่นรู้
รู้ทันปัญหา รู้ทันเหตุการณ์ และรู้ทันเวลา มีเหตุผลที่เชื่อมโยงจนหาสาเหตุของภัยคุกคามต่างๆ ได้บนโลกอินเตอร์เน็ต
ซึ่งทางผู้พัฒนา เชื่อว่าไม่มีเทคโนโลยีใด ที่สามารถป้องกันภัยคุกคามได้ 100% แต่เราสามารถรู้ทันปัญหาได้ จึงเป็นที่มาของ SRAN ถึงทุกวันนี้
รายละเอียดสามารถอ่านเพิ่มเติมได้ที่ http://www.gbtech.co.th/th/product

2. การแก้ไขปัญหาเมื่ออุปกรณ์ SRAN ใช้งานไม่ได้ตามปกติ ซึ่งลำดับได้ดังนี้
2.1 อุปกรณ์ไม่สามารถทำการ Mirror port จากอุปกรณ์ Switch ได้ การแก้ไขให้เข้าไปที่หน้า Web GUI (IP Default 192.168.1.100) และเข้าสู่หน้า Management และ ทำการคลิกเปลี่ยน Mode ให้เป็น Passive Mode เพราะหากเป็น In-line Mode จะไม่สามารถรับค่า Mirror จาก Switch ได้
2.2 การตั้งค่า IP สำหรับอุปกรณ์ SRAN ไม่ควรซ้ำกับ IP ใดๆ บนระบบเครือข่ายเดิม เพราะเวลา Remote เพื่อบริหารจัดการอาจทำไม่ได้ หรือเกิดอาการช้าจน Connection หลุดไปได้
2.3 พยายาม Add User ที่มีสิทธิเข้าทำการเฝ้าระวัง และออกรายงานผล และทำการเพิ่ม e-mail ที่สำหรับให้ระบบส่งจดหมาย เมื่อพบเหตุการณ์ที่รุนแรง เช่น มีไวรัสเข้าสู่ระบบเครือข่ายเป็นต้น
2.4 เมื่อจำเป็นต้องติดตั้งแบบ in-line ควรพิจารณาค่า Throughput และ Concurrent Session เป็นหลัก และให้อยู่ในรุ่นที่เหมาะสม หากระบบเครือข่ายมีขนาดใหญ่มากทางเราไม่แนะนำให้ติดตั้งแบบ in-line
2.5 หากพบว่าไม่สามารถเข้าถึงอุปกรณ์ SRAN ผ่าน IP Address จาก HTTPS Protocol ได้ ควรใช้สาย Console เชื่อมต่อกับอุปกรณ์ ซึ่งสามารถดูรายละเอียดได้ที่ http://www.sran.net/archives/108
2.6 หากแก้ไขไม่ได้ ทุกวิถีทางแล้ว โปรดแจ้งที่บริษัทตัวแทนขาย

และสามารถอ่านเพิ่มเติมได้ที่ http://www.gbtech.co.th/th/product/faq

ทีมวิจัยพัฒนา SRAN