Security Audit และ Hardening คือ อะไร

จริงๆผมก็ไม่ได้จบสาย Network นะ แต่บริษัทญาติที่ได้ไปช่วยดูแล และทำ App ใช้งานในองค์กรมาตั้งแต่ปี2 เกิดอยากจะทดสอบระบบขึ้นมา ว่ามีความปลอดภัยมากแค่ไหน ผมเลยลองหาข้อมูลเพิ่มเติม และถามผู้รู้ดูครับ ได้พบกับ keyword 2 คำว่า ได้แก่ Hardening  และ Security Audit ซึ่งแค่ละคำมีความหมาย ดังนี้ครับ

• Hardening คือ เพิ่มความแข็งแกร่งให้กับระบบ โดยต้องมองว่า System ของเรานั่นไม่มีความปลอดภัยเลย เราจะเพิ่มความมั่นใจให้ระบบของเรามีความปลอดภัยตามจุดมุ่งหมาย 3 อย่าง ได้แก่ ความลับ (Confidentiality), ความสมบูรณ์ (Integrity) และ
  
  ความพร้อมใช้(Availability) เกิดจากการลองทำ Vulnerability Assessment,  Penetration Testing และ Risk Management เพื่อหาช่องโหว่ หรือจุดอ่อนของระบบนั่นเองครับ (ตรงนี้มี Tools หลายๆเจ้าช่วยตรวจนะ) จากนั้นกระทำบางอย่าง เพื่อป้องกันปัญหาที่เกิดขึ้นจากการทดสอบ เช่น
  • แก้ไขการตั้งค่าต่างๆ ืที่เป็น Default ของระบบ เช่น User Password ของ Router
  • ติดตั้ง Patch หรือ Hotfix ให้เป็น Version ล่าสุด
  • ปิดการใช้งาน user account ที่ไม่จำเป็น และจัดการสิทธิให้เหมาะสมในแต่ละหน้าที่
  • ปิด Port หรือบริการต่างๆ ที่ไม่จำเป็น เช่น Telnet หรือ FTP เป็นต้นครับ
• Security Audit คือ การตรวจสอบระบบ ว่าสิ่งที่ได้ เพิ่มเติมมาจากการทำ Hardening นั้นมัน Secure เพียงพอ หรือไม่ (ที่ใช้คำว่า Secure เพียงพอ เพราะ ไม่มีระบบไหน ที่ปลอดภัยได้ 100% ครับ) หรือ ถ้ามองอีกแง่จะเป็นการ Control(อันนี้กว้างมากครับ มองได้หลายแง่มุมทั้งการจัดการ Infrastructure, Traffic หรือถ้าเป็นในแง่ของ Developer ต้องจัดการสิทธิต่างๆในการเข้าใช้งานฐานข้อมููลให้เหมาะสม ไม่ใช่ว่า 1 user สามารถยุ่งกับ Schema ทั้งหมดใน Database Server ได้ เป็นต้น) โดยอีกตามมาตรฐานความปลอดภัยต่างๆ  เช่น  COBIT ,ITIL, ISO17799, ISO 27001/27002