KTech-Blogger

ในยุคที่การทำงานแบบ Hybrid และ Remote Work กลายเป็นเรื่องปกติ การปกป้องทรัพยากรขององค์กรจากการเข้าถึงที่ไม่ได้รับอนุญาตกลายเป็นความท้าทายที่ IT Admin ทุกคนต้องเผชิญ การใช้แค่ Username และ Password แบบเดิมนั้นไม่เพียงพออีกต่อไป เพราะภัยคุกคามทางไซเบอร์มีความซับซ้อนและหลากหลายมากขึ้นทุกวัน องค์กรจำนวนมากในไทยต่างประสบปัญหา Account Compromise และ Data Breach ที่มีต้นตอมาจากการที่ไม่มีมาตรการควบคุมการเข้าถึงที่รัดกุมเพียงพอ Conditional Access Policy (CAP) คือหนึ่งในเครื่องมือที่ทรงพลังที่สุดใน Microsoft Entra ID (Azure AD) ที่ช่วยให้องค์กรสามารถกำหนดเงื่อนไขการเข้าถึงทรัพยากรได้อย่างละเอียดและยืดหยุ่น แทนที่จะอนุญาตหรือปฏิเสธการเข้าถึงแบบเหมาเข่ง Conditional Access จะพิจารณาสัญญาณหลายด้านพร้อมกัน ไม่ว่าจะเป็น ตัวตนของผู้ใช้ อุปกรณ์ที่ใช้งาน ตำแหน่งที่ตั้ง หรือแอปพลิเคชันที่กำลังเข้าถึง แล้วจึงตัดสินใจว่าควรอนุญาต บล็อก หรือต้องการการยืนยันตัวตนเพิ่มเติม บทความนี้จะพาทุกท่านทำความเข้าใจกับ Conditional Access Policy อย่างลึกซึ้ง ตั้งแต่แนวคิดพื้นฐาน ส่วนประกอบสำคัญ ไปจนถึงเคล็ดลับในการ...

​ในฐานะ IT Infrastructure Consultant หรือ System Engineer Manager ฝันร้ายที่สุดอย่างหนึ่งเวลาเกิด Incident คือ การที่ระบบเตือนว่าเครื่องพนักงานติดแรนซัมแวร์หรือมัลแวร์สายพันธุ์ใหม่ (เช่น AI Agent อย่าง JadePuffer) และเราได้สั่ง Device Isolation ตัดเน็ตเวิร์กเครื่องนั้นไปแล้ว ​คำถามคือ พอร์ตโดนล็อก เน็ตเวิร์กถูกตัดขาด แล้วเราจะเข้าไปเอาไฟล์ตัวอย่างมัลแวร์ (Malware Sample) ดึงไฟล์ Log จาก Event Viewer หรือสั่งฆ่า Process อันตรายหลังบ้านได้อย่างไร? คำตอบคือ Live Response บน Microsoft Defender ครับ! ​1. Live Response คืออะไร?  ​Live Response คือฟีเจอร์ที่สร้างช่องทางเชื่อมต่อพิเศษ (Remote Command Line Shell) ระหว่าง Defender Cloud Portal ตรงไปยังเอเจนต์ MDE ที่ฝังอยู่ในระบบปฏิบัติการปลายทาง (Windows, macOS, Linux) ​ The Bypass : แม้ว่าเครื่องปลายทางจะถูกสั่ง Isolate ตัดขาดจากอินเทอร์เน็ตและเครือข่ายภายในออฟฟิศเพื่อกักโรคแล้วก็ตาม แต่ช่องทาง Live Response จะยังคงทำงานได้ปกติ! ​ The Power : ช่วยให้แอดมินสามารถป้อนคำสั่งระดับลึกผ่านคอนโซลส่วนกลาง เพื่อเข้าไปตรวจสอบความเสียหาย สั่งดึงไฟล์ ...

กลับมาพบกับหมวด IT ทั่วไป (General IT) กันครับ โดยวันนี้ขอหยิบยกเรื่องราวของ "สายสืบหน้าเงียบ" ที่ฝังอยู่ใน Windows ทุกเครื่องตั้งแต่เกิด แอดมินใช้ตามสืบคดีเวลาระบบพัง ส่วนแฮกเกอร์ใช้แอบดูว่าเรากดอะไรบ้าง กับตอนที่มีชื่อว่า: "PSR (Steps Recorder): กล้องวงจรปิดลับบน Windows ที่กดปุ่มเดียว บันทึกทุกคลิกพร้อมแคปหน้าจอออโต้!" ​ PSR คืออะไร? (กล้องวงจรปิดส่วนตัวของระบบ) ​เวลาที่ User โทรมาแจ้ง Helpdesk หรือแจ้งทีม System Engineer ว่า "พี่คะ ระบบมันเอเรอร์ค่ะ เข้าไม่ได้!" พอมนุษย์ไอทีถามกลับไปว่า "มันขึ้นข้อความ Error Code ว่าอะไรครับ?" สิ่งที่เรามักจะได้ยินกลับมาคือ "หนูก็ไม่รู้เหมือนกันค่ะ มันเด้งฟึ่บแล้วก็หายไปเลย!"  ​ปัญหาประเภท "ตาดีได้ ตาร้ายเสีย" แบบนี้จะหมดไปทันที ถ้าเรารู้จักเพื่อนเก่าที่ชื่อ Problem Steps Recorder หรือ PSR (บน Windows 11/10 พิมพ์ค้นหาว่า psr หรือ Steps Recorder) มันคือโปรแกรมสายสืบสุดคลาสสิกที่ Microsoft ใส่มาให้ตั้งแต่ยุค Windows 7 แต่คนชอบมองข้ามครับ! ​ มันทำงานยังไงทำไมถึงเมพ? ​หน้าที่ของ PSR ไม่มีอะไ...

​ในฐานะ IT Infrastructure Consultant หรือ System Engineer Manager ปัญหาคลาสสิกขององค์กรยุค Modern Workplace คือ การที่พนักงานสร้างไฟล์เอกสารสำคัญ (เช่น ไฟล์งบประมาณ, แบบแปลนโปรเจกต์ หรือข้อมูลลูกค้า) แล้วเผลอแนบไฟล์ส่งออกไปให้บุคคลภายนอก หรือก๊อปปี้ใส่ USB Flash Drive ออกไปนอกบริษัท   ​แม้เราจะมี Firewall หรือระบบ Network Security ที่ดี แต่ถ้าไฟล์หลุดออกไปนอกวงแลนแล้ว ข้อมูลเหล่านั้นก็มักจะถูกเปิดอ่านได้อย่างอิสระ Microsoft Purview Information Protection (Sensitivity Labels) คือเครื่องมือที่จะเข้าไปฝังการเข้ารหัส (Encryption) ลึกลงไปในระดับ "เนื้อไฟล์" ต่อให้ไฟล์นั้นถูกดูดออกไปนอกองค์กร คนที่ไม่มีสิทธิ์ก็จะไม่สามารถเปิดอ่านไฟล์นั้นได้เลยครับ   ​1. Sensitivity Label ทำงานอย่างไร?  ​Sensitivity Label ไม่ใช่แค่การพิมพ์ตัวหนังสือแปะหัวกระดาษว่า "Confidential" แต่เป็นการใส่ Rights Management Service (RMS) ลงไปในโครงสร้างไฟล์: ​ The Tagging : เมื่อ User หรือระบบทำการติดแท็ก เช่น เลือกแท็ก Highly Confidential ​ The Encryption : ระบบ Purview จะทำการเข้ารหัสไฟล์นั้นทันที ...

ในยุคที่ภัยคุกคามทางไซเบอร์มีความซับซ้อนและถี่ขึ้นทุกวัน องค์กรในไทยไม่ว่าจะเป็นภาครัฐหรือเอกชนต่างเผชิญกับความท้าทายในการตรวจจับและรับมือกับการโจมตีที่อาจเกิดขึ้นได้ตลอดเวลา การมี SIEM (Security Information and Event Management) ที่แข็งแกร่งจึงกลายเป็นสิ่งที่ขาดไม่ได้สำหรับทีม Security Operations ของทุกองค์กร Microsoft Sentinel คือคำตอบของ Microsoft ในฐานะ Cloud-native SIEM และ SOAR (Security Orchestration, Automation, and Response) ที่รันอยู่บน Azure โดยสมบูรณ์ ต่างจาก SIEM แบบ On-premises ดั้งเดิมที่ต้องลงทุนในฮาร์ดแวร์และการดูแลระบบอย่างหนัก Sentinel ให้ความยืดหยุ่นในการ Scale ได้ตามความต้องการจริง พร้อม AI และ Machine Learning ที่ช่วยลดภาระงานของทีม SOC ได้อย่างมีนัยสำคัญ บทความนี้จะพาคุณทำความรู้จักกับ Microsoft Sentinel ตั้งแต่พื้นฐาน ไปจนถึงการนำไปใช้งานจริง เหมาะสำหรับ IT Admin และ IT Pro ที่กำลังพิจารณาหรือเริ่มต้นใช้งาน Sentinel ในองค์กรของตนเอง Microsoft Sentinel คืออะไร? Microsoft Sentinel เป็น SIEM และ SOAR แบบ Cloud-native บน Azure ที่รวบรวมข้อมูล Log และ Event จ...

บทนำ: เมื่อ Low-Code กลายเป็นดาบสองคม ในยุคที่ Microsoft Power Platform แพร่หลายเข้าสู่ทุกองค์กร ความสามารถของ Power Automate, Power Apps และ Power BI ทำให้พนักงานทั่วไปสามารถสร้าง Automation และแอปพลิเคชันได้เองโดยไม่ต้องพึ่งทีม IT ฟังดูเป็นเรื่องดี แต่เบื้องหลังความสะดวกนั้นซ่อนความเสี่ยงที่เรียกว่า Shadow Automation — กระบวนการอัตโนมัติที่ถูกสร้างขึ้นโดยผู้ใช้งานโดยไม่ผ่านการกำกับดูแลจากฝ่าย IT และอาจส่งข้อมูลสำคัญขององค์กรออกไปยังภายนอกโดยไม่รู้ตัว ลองนึกภาพว่าพนักงานฝ่ายการตลาดสร้าง Flow เพื่อดึงข้อมูลลูกค้าจาก Dataverse แล้วส่งไปยัง Google Sheets โดยอัตโนมัติ หรือทีม HR ที่เชื่อมต่อ SharePoint เข้ากับ Dropbox เพื่อสำรองเอกสาร สิ่งเหล่านี้ล้วนเป็น Shadow Automation ที่ละเมิดนโยบายความปลอดภัยและอาจขัดต่อกฎหมาย PDPA ของไทยได้โดยตรง โชคดีที่ Microsoft มีเครื่องมือสำคัญอย่าง Data Loss Prevention (DLP) Policy ใน Power Platform Admin Center ที่ช่วยให้ IT Admin สามารถกำหนดขอบเขตการใช้งาน Connector ต่าง ๆ ได้อย่างละเอียด บทความนี้จะพาคุณเข้าใจ DLP Policy อย่างจริงจัง พร้อม Practic...