Red Team คืออะไร — ต่างจาก Pentest อย่างไร เลือกแบบไหนดี

“Red Team” และ “Pentest” เป็นคำที่มักถูกใช้สลับกัน แต่จริง ๆ แล้วเป็นคนละอย่าง มีวัตถุประสงค์ ขอบเขต และวิธีการที่แตกต่างกัน บทความนี้อธิบายนิยาม เปรียบเทียบทั้งสองแนวทาง และช่วยให้องค์กรตัดสินใจเลือกได้ถูกต้อง

นิยาม Red Team จาก MITRE ATT&CK

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) เป็นฐานความรู้ที่รวบรวมเทคนิคการโจมตีจริงของผู้โจมตีทั่วโลก จัดหมวดหมู่เป็น Tactics, Techniques และ Procedures (TTP) ใช้เป็นกรอบอ้างอิงสำหรับการทำ Red Team Exercise [1]

Red Team Assessment คือการจำลองการโจมตีแบบ สมจริงที่สุด ต่อทั้งองค์กร — ไม่ใช่แค่ระบบ IT แต่รวมถึง คน (People) และ กระบวนการ (Process) — เพื่อทดสอบว่าองค์กรสามารถ ตรวจจับ (Detect) และ ตอบสนอง (Respond) ต่อการโจมตีได้หรือไม่ [2]

NIST SP 800-53 Rev. 5 กำหนด Control CA-8 (Penetration Testing) ซึ่งครอบคลุมทั้ง Pentest และ Red Team Exercise โดยระบุว่า Red Team Exercise มุ่งเน้นการทดสอบความสามารถในการป้องกัน ตรวจจับ และตอบสนองขององค์กร [3]

นิยาม Penetration Testing

Penetration Testing (Pentest) คือการทดสอบเจาะระบบที่มุ่งเน้น ค้นหาและพิสูจน์ช่องโหว่ ในระบบที่กำหนดขอบเขตไว้ชัดเจน เช่น Web Application, Network Infrastructure หรือ Mobile Application ตาม NIST SP 800-115 [4]

เป้าหมายหลักของ Pentest: ค้นหาช่องโหว่ให้ได้มากที่สุดในขอบเขตที่กำหนด เป้าหมายหลักของ Red Team: ทดสอบว่าผู้โจมตีจริงจะสามารถบรรลุ Objective ที่กำหนดได้หรือไม่ (เช่น เข้าถึง Database ลูกค้า) และองค์กรจะรู้ตัวหรือไม่

ตารางเปรียบเทียบ Red Team vs Pentest

Blue Team คืออะไร

Blue Team คือทีมป้องกันขององค์กร ทำหน้าที่:

• ตรวจจับ (Detect) — ติดตาม Log, Alert จาก SIEM/EDR/IDS เพื่อระบุพฤติกรรมผิดปกติ
• ตอบสนอง (Respond) — ดำเนินการตาม Incident Response Plan เมื่อพบภัยคุกคาม
• กู้คืน (Recover) — ฟื้นฟูระบบกลับสู่สถานะปกติ
• ป้องกัน (Prevent) — ปรับปรุงมาตรการป้องกันจากบทเรียนที่ได้

ในองค์กรขนาดใหญ่ Blue Team มักเป็น Security Operations Center (SOC) ส่วนองค์กรขนาดเล็กอาจเป็นทีม IT ที่ทำหน้าที่ Security ควบคู่กัน

Purple Team คืออะไร

Purple Team ไม่ใช่ทีมแยก แต่คือ กระบวนการทำงานร่วมกัน ระหว่าง Red Team (โจมตี) และ Blue Team (ป้องกัน) เพื่อ:

• Red Team โจมตีด้วย TTP เฉพาะ แล้วเปิดเผยเทคนิคให้ Blue Team
• Blue Team ตรวจสอบว่า ตรวจจับได้หรือไม่ และ ปรับปรุง Detection Rule ทันที
• ทำซ้ำจนครอบคลุม TTP ที่สำคัญทั้งหมด

Purple Team Exercise เปิดโอกาสให้ทีมทดสอบและทีมป้องกันปรับปรุงร่วมกันระหว่างงานได้ ควรวัดผลจาก detection coverage และเวลาตอบสนองตามเป้าหมาย ไม่รับประกันผลตอบแทนทางการเงิน

i-Pentest ของ ธปท. — Red Team แบบไทย

ธนาคารแห่งประเทศไทย (ธปท.) กำหนดให้ธนาคารพาณิชย์ทำ i-Pentest (Intelligence-led Penetration Testing) ซึ่งมีลักษณะคล้าย Red Team Assessment มากกว่า Pentest ทั่วไป [5]:

องค์ประกอบของ i-Pentest

1. Threat Intelligence Phase — วิเคราะห์ภัยคุกคามที่เกี่ยวข้องกับสถาบันการเงินไทย ศึกษา TTP ของกลุ่มผู้โจมตีที่มุ่งเป้าภาคการเงิน (Financial Threat Landscape)
2. Red Team Phase — จำลองการโจมตีตาม Threat Intelligence ที่ได้ ใช้ TTP จริงของผู้โจมตี ครอบคลุม Technical, Social Engineering และ Physical Vector
3. Blue Team Assessment — ประเมินว่า Blue Team/SOC ตรวจจับและตอบสนองได้ดีแค่ไหน
4. Remediation & Replay — แก้ไขช่องว่างที่พบ แล้วทดสอบซ้ำเพื่อยืนยันว่าแก้ไขได้จริง

เปรียบเทียบกับ Framework สากล

i-Pentest ของ ธปท. มีความคล้ายกับ Framework ระดับสากล:

ทุก Framework มีแกนเดียวกัน: ใช้ Threat Intelligence นำ → ทำ Red Team ตาม TTP จริง → ประเมิน ความสามารถในการตรวจจับและตอบสนอง

เมื่อไหร่ควรทำ Pentest เมื่อไหร่ควรทำ Red Team

เลือก Pentest เมื่อ:

• ✅ เพิ่งเริ่มทำ Security Testing — ต้องรู้ก่อนว่ามีช่องโหว่อะไรบ้าง
• ✅ มีระบบใหม่หรืออัปเดตสำคัญ — ต้องตรวจสอบก่อน Go-live
• ✅ ต้องตอบ Compliance — ธปท., ก.ล.ต., PCI DSS กำหนดให้ทำ Pentest
• ✅ งบประมาณจำกัด — เริ่มจากขอบเขต Pentest ที่ตรงกับความเสี่ยงสำคัญ และเปรียบเทียบใบเสนอราคาก่อนตัดสินใจ
• ✅ ต้องการรายการช่องโหว่ที่ชัดเจนพร้อมคำแนะนำ

เลือก Red Team เมื่อ:

• ✅ องค์กรมี SOC/Blue Team ที่ต้องการทดสอบ
• ✅ ผ่าน Pentest มาหลายรอบ แก้ไขช่องโหว่แล้ว ต้องการขั้นถัดไป
• ✅ ต้องการรู้ว่า “ถ้าแฮกเกอร์ตัวจริงมา จะเกิดอะไรขึ้น”
• ✅ ต้องตอบ i-Pentest ธปท. หรือมาตรฐาน TIBER
• ✅ ต้องการทดสอบ Detection & Response ไม่ใช่แค่หาช่องโหว่

แนวทางที่แนะนำ: Maturity-based Approach

ระดับ 1: เริ่มต้น
  → Vulnerability Assessment + Pentest ปีละ 1–2 ครั้ง
  → แก้ไข Critical/High ทั้งหมด

ระดับ 2: พัฒนาแล้ว
  → Pentest ปีละ 2–4 ครั้ง + Continuous VA
  → เริ่ม Purple Team Exercise

ระดับ 3: ก้าวหน้า
  → Red Team Assessment ปีละ 1 ครั้ง
  → Pentest ต่อเนื่อง + Bug Bounty Program
  → Purple Team เป็นกิจวัตร

ระดับ 4: สถาบันการเงิน
  → i-Pentest ตามข้อกำหนด ธปท.
  → Red Team + Threat Intelligence ต่อเนื่อง

ข้อควรระวัง

1. Red Team ไม่ทดแทน Pentest — Red Team ทดสอบ Detection แต่อาจไม่หาช่องโหว่ได้ครบทุกจุด เพราะมุ่งเป้าที่ Objective ไม่ใช่ Coverage
2. Pentest ไม่ทดแทน Red Team — Pentest หาช่องโหว่แต่ไม่ได้ทดสอบว่า SOC ตรวจจับได้หรือไม่
3. ทั้งสองต้องทำด้วยผู้เชี่ยวชาญภายนอก — การทดสอบด้วยทีมภายในมี Bias ผู้ทดสอบอิสระให้มุมมองที่เป็นกลาง
4. กำหนด Rules of Engagement ให้ชัด — ระบุขอบเขต ข้อจำกัด Emergency Contact และ Escalation Procedure ก่อนเริ่มทุกครั้ง

ITSL ให้บริการทั้ง Pentest และ Red Team

ITSL ให้บริการทั้ง Penetration Testing และ Red Team Assessment พร้อมทีมที่มีประสบการณ์ตอบโจทย์ i-Pentest ตามข้อกำหนด ธปท. สามารถให้คำปรึกษาเพื่อเลือกแนวทางที่เหมาะสมกับระดับ Maturity ขององค์กร

แหล่งอ้างอิง

1. MITRE. ATT&CK — Adversarial Tactics, Techniques, and Common Knowledge. https://attack.mitre.org/
2. Synack. Red Teaming vs Penetration Testing: Understanding the Differences. https://www.synack.com/knowledge-base/red-teaming-vs-penetration-testing-understanding-the-differences
3. NIST. SP 800-53 Rev. 5 — CA-8 Penetration Testing. https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final
4. NIST. SP 800-115: Technical Guide to Information Security Testing and Assessment. https://csrc.nist.gov/publications/detail/sp/800-115/final
5. ธนาคารแห่งประเทศไทย. แนวปฏิบัติการทดสอบเจาะระบบโดยใช้ข่าวกรองภัยคุกคาม (i-Pentest). https://www.bot.or.th/
6. European Central Bank. TIBER-EU Framework. https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/