Network & Active Directory Penetration Test

ทำไม Network & Active Directory Penetration Test ถึงสำคัญ

เครือข่ายและ Active Directory เป็นโครงสร้างพื้นฐานหลักขององค์กร หากผู้โจมตีเจาะเข้าถึง Domain Admin ได้ เท่ากับควบคุมทุกระบบในองค์กรได้ทั้งหมด — ตั้งแต่ email, file share, ไปจนถึง database server และ backup system

Ransomware สมัยใหม่ไม่ได้แค่เข้ารหัสเครื่องเดียว แต่ใช้ Active Directory เป็นช่องทางกระจาย payload ไปยังทุก workstation และ server ในองค์กรพร้อมกัน การทดสอบเจาะระบบเครือข่ายและ AD จึงเป็นการจำลองสถานการณ์ที่ใกล้เคียงกับการโจมตีจริงที่สุด

หน่วยงานกำกับดูแลทั้ง ธปท. และ ก.ล.ต. กำหนดให้ทดสอบเจาะระบบเครือข่ายเป็นส่วนหนึ่งของ IT risk assessment ประจำปี

ขอบเขตการทดสอบ (Testing Scope)

External Penetration Test

• Perimeter Reconnaissance — ค้นหา internet-facing asset ทั้งหมดขององค์กร ได้แก่ web server, mail server, DNS server, VPN gateway, cloud service endpoint
• Service Enumeration & Vulnerability Analysis — ระบุ service version, known vulnerability, default configuration ที่เปิดอยู่
• External Exploitation — ทดสอบ exploit ช่องโหว่ที่พบเพื่อพิสูจน์ว่าสามารถเจาะเข้าสู่ internal network ได้หรือไม่
• Email Security — ทดสอบ SPF, DKIM, DMARC configuration และความเป็นไปได้ของ email spoofing
• VPN & Remote Access — ทดสอบ VPN misconfiguration, weak authentication, credential spray ต่อ VPN endpoint

Internal Penetration Test

• Network Reconnaissance — ค้นหา host, service และ network topology ภายใน รวมถึง VLAN hopping ที่เป็นไปได้
• Protocol-Level Attack — ทดสอบ LLMNR/NBT-NS poisoning, ARP spoofing, DHCPv6 attack, WPAD abuse เพื่อดักจับ credential
• Lateral Movement — ทดสอบการเคลื่อนที่ข้ามเครื่องด้วย pass-the-hash, pass-the-ticket, over-pass-the-hash, RDP hijacking, WMI/PSExec execution
• Privilege Escalation — ทดสอบ local privilege escalation บน Windows/Linux ผ่าน misconfiguration, unpatched vulnerability, weak permission
• Credential Harvesting — ดึง credential จาก memory (Mimikatz/pypykatz), LSASS dump, credential manager, cached credential

Active Directory Assessment

• AD Enumeration — วิเคราะห์โครงสร้าง AD ด้วย BloodHound/SharpHound เพื่อระบุ attack path จาก compromised user ถึง Domain Admin
• Kerberoasting — ดึง Kerberos TGS ticket ของ service account มา crack offline เพื่อได้ cleartext password
• AS-REP Roasting — ค้นหาและโจมตี account ที่ไม่ต้องการ Kerberos pre-authentication
• NTLM Relay — ทดสอบ relay NTLM authentication ไปยัง target ที่ไม่ enforce signing เช่น LDAP, SMB, MSSQL
• Delegation Abuse — ตรวจสอบ unconstrained/constrained/resource-based constrained delegation ที่ถูก misconfigure
• GPO & ACL Abuse — วิเคราะห์ Group Policy Object และ Access Control List ที่อนุญาต privilege escalation
• Trust Relationship — ตรวจสอบ forest/domain trust ที่อาจเปิดช่องให้ข้าม domain boundary ได้
• Certificate Services (AD CS) — ทดสอบ ESC1-ESC8 vulnerability ใน Active Directory Certificate Services

แนวทางการทดสอบ

ทีมผู้เชี่ยวชาญจำลองการโจมตีตาม kill chain จริง — เริ่มจาก initial access, ผ่าน credential theft และ lateral movement, จนถึง objective (เช่น Domain Admin, sensitive data access, business-critical system compromise)

ทุกขั้นตอนถูกบันทึกเป็น attack narrative ที่อ่านเข้าใจง่าย ไม่ใช่แค่รายการช่องโหว่แยกส่วน ทำให้ผู้บริหารเห็นภาพ attack path ทั้งหมด และทีม IT สามารถจัดลำดับการแก้ไขตามจุดที่ตัด attack chain ได้อย่างมีประสิทธิภาพ

เทคนิคการโจมตีทุกรายการจะถูก map กับ MITRE ATT&CK framework เพื่อให้สอดคล้องกับ threat intelligence และ detection engineering ขององค์กร

วิธีการทดสอบ

• Penetration Testing Execution Standard (PTES) — กรอบการทดสอบครบวงจรตั้งแต่ reconnaissance ถึง reporting
• MITRE ATT&CK Framework — จับคู่เทคนิคการโจมตีกับ TTP ของ threat actor จริง
• NIST SP 800-115 — แนวทางการทดสอบความปลอดภัยระบบสารสนเทศตามมาตรฐาน NIST
• Active Directory attack path analysis — วิเคราะห์เส้นทางการโจมตีใน AD ด้วย BloodHound และ manual technique

สิ่งที่คุณจะได้รับ

• Executive Summary — สรุปความเสี่ยงภาพรวมพร้อม attack path visualization สำหรับผู้บริหาร
• Technical Report — รายละเอียดทุกช่องโหว่พร้อม exploit evidence และขั้นตอนการโจมตีที่สำเร็จ
• Attack Narrative — เรื่องราว (narrative) ของการโจมตีตั้งแต่จุดเริ่มต้นจนถึง objective พร้อม timeline
• AD Security Assessment — รายงานเฉพาะ Active Directory configuration, GPO, trust relationship และ privilege path
• Remediation Roadmap — แผนการแก้ไขจัดลำดับตาม quick-win และ strategic improvement
• Network Diagram (updated) — แผนผังเครือข่ายที่อัปเดตจากการค้นพบระหว่างทดสอบ

ระยะเวลา

8–25 วันทำการ

ราคาโดยประมาณ

เริ่มต้นที่ระดับ 8 manday — ขึ้นอยู่กับจำนวน IP scope, segment และขนาด AD environment — คำนวณงบเอง

คำถามที่พบบ่อย

External Penetration Test กับ Internal Penetration Test ต่างกันอย่างไร?

External Pentest จำลองผู้โจมตีจากภายนอกที่พยายามเจาะเข้าสู่เครือข่ายผ่าน internet-facing asset เช่น firewall, VPN gateway, mail server, web server โดยทดสอบจาก public IP scope Internal Pentest จำลองสถานการณ์ที่ผู้โจมตีเข้าถึงเครือข่ายภายในได้แล้ว (เช่น ผ่าน compromised workstation, rogue employee, หรือ physical access) แล้วทดสอบ lateral movement, privilege escalation และ AD exploitation แนะนำให้ทดสอบทั้งสองรูปแบบเพื่อให้ครอบคลุม

ต้องให้ VPN access สำหรับ internal pentest หรือไม่?

สำหรับ internal pentest ที่ไม่สะดวก on-site สามารถให้ VPN access เข้าสู่ network segment ที่ต้องการทดสอบได้ครับ ทีมงานจะกำหนด requirement ร่วมกัน เช่น VPN account ที่มี network access เทียบเท่า user workstation ทั่วไป ไม่ต้องการ privilege พิเศษ อย่างไรก็ตาม on-site testing จะให้ผลลัพธ์ที่ครอบคลุมกว่า เพราะสามารถทดสอบ network-level attack เช่น ARP spoofing, LLMNR/NBT-NS poisoning ได้ด้วย

Active Directory มีความเสี่ยงเฉพาะอะไรบ้าง?

AD เป็นเป้าหมายหลักของ ransomware และ APT group เพราะเป็นระบบกลางที่ควบคุม authentication ทั้งองค์กร ความเสี่ยงที่พบบ่อย ได้แก่ Kerberoasting (ดึง service account hash มา crack offline), NTLM relay (forward authentication ไปยัง target อื่น), AS-REP Roasting, unconstrained delegation, GPO abuse, ACL misconfiguration ที่อนุญาตให้ user ธรรมดา escalate เป็น Domain Admin ได้ หลายองค์กรมี AD ที่ถูก deploy มานานกว่า 10 ปี โดยไม่เคยถูก audit ด้าน security ทำให้มี misconfiguration สะสมจำนวนมาก

การทดสอบจะกระทบระบบ production หรือไม่?

ทีมงานจะกำหนด Rules of Engagement ร่วมกันก่อนเริ่มงาน โดยระบุ attack technique ที่ได้รับอนุญาตอย่างชัดเจน เทคนิคที่อาจกระทบ availability เช่น ARP spoofing ในวง production หรือ password spraying ที่อาจ lock account จะต้องได้รับอนุมัติเป็นรายกรณี และทีมงานจะแจ้ง Blue Team ก่อนดำเนินการ (ยกเว้นกรณี blind test)