สวัสดีค่ะทุกคน วันนี้แอดจะมาเล่าประสบการณ์โดยตรงของแอด ขอเกริ่นก่อนเลย ก่อนหน้านี้แอดเคยเป็น Developer มาก่อน แถมทำส่วนของ Font-End ซึ่งตลอดช่วงเวลาที่แอดได้เรียนมาคือเขียนโค้ดล้วน ๆ ไม่เคยรู้เรื่องด้าน Cybersecurity มาก่อนเลย พูดได้เลยว่าวันๆ แอดคุยกับหน้าจอคอมมากกว่าคุยกับคนซะอีก การสื่อสารกับคนแอดแทบจะเรียกว่า คุยกันไม่ค่อยรู้เรื่อง ตอนที่แอดเรียนนั้นจะเน้นด้านเขียน Software เพื่อให้ตรงกับความต้องการของลูกค้าเละการเขียนโค้ดที่ดีว่าเขียนยังไงให้สามารถทำงานร่วมกับโปรแกรมเมอร์คนอื่นได้ ซึ่งต่อมาแอดเจอคำถามหนึ่งที่ทำให้แอดกลับมาทบทวนตัวเอง คำถามนั้นคือ “คุณรักการเขียนโค้ดไหม?” ซึ่งมันเป็นคำถามที่แอดเองก็เอาซะไปไม่ถูกเลย ด้วยความที่เราอยู่แต่กับโค้ดมาตั้งแต่เรียนจนทำงาน แต่ตอนนั้นแอดตอบกลับไปว่า “ไม่ถึงกับรักแต่อยู่กับมันได้เรื่อย ๆ” แต่คำถามนั้นก็ยังคงอยู่ในหัวตลอดเวลาจนแอดคิดได้ว่าเราควรที่จะหาตัวของตัวเองว่าเราชอบแบบไหนกันแน่ หลังจากนั้นแอดก็เริ่มค้นหาตัวเองแล้วไปสะดุดกับตำแหน่งที่บริษัทนี้เปิดรับ คือตำแหน่ง Pentester เอ๊ะ! ตำแหน่งนี้คืออะไร มันจะเหมือน Software Tester หรือเปล่า หลังจากนั้นเปิดค้นหากับพี่ กู (Google) ทันที ว่ามันคืออะไร อ่อ มันคือ “การทดสอบระบบค้นหาความปลอดภัยของระบบและประเมินความเสี่ยงของระบบว่ามีความเสี่ยงตรงจุดไหนเพื่อเตรียมการป้องกันไว้ก่อน ซึ่งจะเป็นการทดสอบเจาะระบบในเชิงลึก พร้อมแจ้งผลการทดสอบ จะเปรียบเสมือนแฮกเกอร์ ”
เมื่อแอดยิ่งอ่านก็ทำให้แอดเริ่มที่จะสนใจในอาชีพนี้ยิ่งขึ้น อ่านไปอ่านมาเริ่มเหมือนในหนังที่เคยดู ทำให้แอดอยากจะรู้จักกับอาชีพนี้มากขึ้น มีความรู้สึกว่าเป็นอาชีพที่ใหม่สำหรับแอด และดูมีความท้าทาย แอดจึงตัดสินใจสมัครเข้าที่นี่ (บริษัทดาต้าฟาร์ม) ในตอนสัมภาษณ์ แอดก็กลัว ๆ เพราะแอดไม่ได้จบด้าน Security มาโดยตรง และไม่ได้มีความรู้อะไรที่นอกเหนือจากการเขียนโค้ด และกดดันด้วยว่าที่เราได้ไปทำการบ้านเกี่ยวกับอาชีพนี้จะพอหรือไม่ แต่พี่ ๆ ที่สัมภาษณ์เข้าใจว่าแอดไม่เคยรู้จักกับตำแหน่งนี้มาก่อน พี่คนหนึ่งจึงอาสาอธิบายเกี่ยวกับอาชีพนี้ให้ฟังแบบที่แอดเห็นภาพตาม ทำให้แอดรู้เพิ่มว่านอกจาก Pentester ยังมีคำศัพท์ที่รู้เพิ่มอีกอย่างคือ Vulnerability Assessment คือ “การประเมินหาความเสี่ยงที่เกิดจากช่องโหว่ที่ค้นพบ จะเน้นตรวจหาช่องโหว่ที่เป็นสาธารณะที่มีการเผยแพร่ช่องโหว่นั้นแล้ว เพื่อไม่ให้ถูกโจมตีจากผู้ไม่ประสงค์ดีได้” ทำให้ยิ่งสนใจในตำแหน่งงานนี้มากยิ่งขึ้น ซึ่งหลังจากที่ได้มาทำงานวันแรก สิ่งแรกที่ได้อ่านเลยคือ “OWASP TOP 10” มันคืออะไรนะ จนได้รู้ว่ามันคือ “เป็นเอกสารรวบรวมข้อมูลของช่องโหว่ที่เจอได้บ่อยบน Web Application ซึ่งเป็นองกรณ์ที่ชื่อว่า Open Web Application Security Project (OWASP) เป็นองค์กรที่ไม่แสวงหาผลกำไร เป็นองค์กรที่รวบรวม จัดทำ และเผยแพร่เอกสาร บทความ และเครื่องมือที่มีประโยชน์ทางด้าน security”
ซึ่งอาทิตย์แรกจะเป็นการอ่านศึกษาหาความรู้ ซึ่งอีกอย่างที่แอดต้องเจอเลยคือ การใช้ Kali Linux ซึ่งเป็นระบบปฏิบัติการลินุกซ์มีโปรแกรมที่เกี่ยวกับการทดสอบการเจาะระบบ สามารถ Download ได้จากลิ้งก์ด้านล่างนี้
https://www.kali.org/downloads/
แต่แอดลง Kali Linux บน VMware Workstation เพื่อที่จะได้ใช้งานพวกโปรแกรมอื่นที่ของระบบปฏิบัติการ windows ได้สะดวกมากขึ้น
VMware Workstation เป็น software ที่มีความสามารถในการทำ Virtual Machine บน Desktop เพื่อให้สามารถใช้ OS หลายๆ ตัวไม่ว่าจะเป็น Microsoft Windows, Linux, และ Novell Netware บนเครื่องเดียวกันและพร้อม ๆ กันได้
ซึ่งสิ่งที่ยากสำหรับแอดคือ แอดไม่เคยใช้ Command ของ Linux ทำให้ต้องศึกษาเพิ่มเติมอีกมาก นอกจาก command แล้ว สิ่งที่ต้องศึกษาและพบบ่อยเมื่อต้องทดสอบระบบคือเรื่อง Tool ที่ช่วยให้การทำงานด้านการทดสอบระบบสะดวกขึ้น ซึ่ง Kali Linux ก็ติดตั้งมาบ้างแล้ว บางตัวอาจต้องลงเพิ่ม ซึ่ง Tool ที่มักจะพบบ่อยเมื่ออ่านเจอและเจอขณะที่ทำงานซึ่งแอดจะยกมาเพียงบางส่วนให้กับทุกคนซึ่งจะเป็นตัวเริ่มต้น
- Nmap (Information Gathering)
- Nikto (Vulnerability Analysis)
- Burp Suite (Web Application Analysis)
- Sqlmap (Web Application Analysis)
- John (Password Attacks)
- Hydra (Password Attacks)
- Metasploit (Exploitation Tools)
Tool ที่แอดเอามานั้นเป็นแค่ส่วนเล็กน้อย เป็น Tool เริ่มต้นของการทดสอบระบบ หากคุณผู้อ่านคนไหนบอกว่าแล้วถ้าอยากลองใช้ต้องทำยังไง เอ๊ะ เราจะไปเอาเว็บที่เจอกันทั่วไปมาทดสอบได้ไหม หยุดความคิดนั้นลงก่อน และโปรดฟังทางนี้ หากคุณอยากลองใช้ Tool พวกนี้ทางแอดก็อยากแนะนำว่าไม่ควรไปลองกับเว็บจริงถ้าหากคุณไม่ได้รับอนุญาตจากเจ้าของเว็บเด็ดขาด เอ๊ะ! แล้วแบบนี้จะทำยังไงดีน่า แอดมีทางออกให้กับคนที่อยากลองวิชา อยากลอง Tool ที่แอดยกมาเบื้องต้นหรือ Tool ที่ได้ไปค้นคว้ามา นั้นคือการทำ Lab โดย Lab ในที่นี้จะจำลองสถานการณ์จริง มี Server และมีการแบ่ง Network หากใครที่เป็นมือใหม่อยากลอง แต่มีความรู้ไม่แน่นมากแอดขอแนะนำคือ DVWA เป็น Lab ที่แอดเริ่มตัวแรก Lab นี้เหมาะกับคนที่เพิ่งเริ่มรู้จักการทดสอบระบบ ต้องการฝึกซ้อมการโจมตีด้วยช่องโหว่ที่พบมากที่สุดบนเว็บ โดยมีระดับความยากแตกต่างกันให้เลือก ตัวซอฟต์แวร์นั้นมีช่องโหว่ทั้งที่เป็นเอกสารเผยแพร่บนเว็บ และไม่มีเอกสารเผยแพร่ สามารถ Download ได้จากลิ้งก์ด้านล่างนี้
และอีก Lab ที่แอดลองเล่นต่อจาก DVWA คือ Root-ME เป็นเว็บจำลองสำหรับสาย Secure ได้ทดสอบฝีมือด้านการทดสอบระบบ และการหาช่องโหว่ ซึ่งแอดลองทำ Lab นี้ไปด้วยประกอบกับการศึกษาประเภทช่องโหว่ต่าง ๆ สามารถเข้าไปลองเล่นกันได้ที่
นอกจาก Lab ที่แอดพูดไปนั้น ยังมี Lab อื่นอีกมากที่ให้มือใหม่ไฟแรงได้เข้าไปลองเล่นกัน จากการเปลี่ยนสายงานครั้งนี้ทำให้แอดได้เดินออกมาจาก Safe Zone ของตัวเอง กล้าที่จะลองและอยู่กับความท้าทายที่แอดไม่เคยเจอกับมันมาก่อน ถ้าถามว่า Cybersecurity ดียังไงคงต้องมาลองกันแล้วละ
