Uni Security
ขอคำปรึกษา

ทดสอบเจาะระบบ ประเมินช่องโหว่ และตรวจสอบภายใน

ตรวจหาช่องโหว่ทั้งระบบ แล้วลงมือเจาะจริงเพื่อยืนยันว่าอะไรถูกใช้โจมตีได้ พร้อมตรวจสอบการควบคุมภายใน ให้องค์กรปิดจุดอ่อนได้ตรงจุดก่อนถูกคุกคาม

ดูแลโดยผู้ถือ CISSP (ISC2) ใบรับรองสากลด้านความปลอดภัยเชิงเทคนิค

ที่ปรึกษาอธิบายผลการประเมินช่องโหว่และความเสี่ยงให้ผู้เข้าร่วม

เหมาะกับองค์กรที่

กำลังจะขึ้นระบบใหม่

Web Application, Mobile App หรือ API ที่จะเปิดให้ลูกค้าใช้ ควรถูกทดสอบก่อนวัน go-live ไม่ใช่หลังจากมีเหตุ

ต้องผ่านการตรวจสอบ

ผู้กำกับดูแล คู่ค้า หรือลูกค้าองค์กรขอผลการทดสอบเจาะระบบประกอบ ISO 27001, PDPA หรือสัญญาบริการ

ทดสอบตามรอบ

ระบบเปลี่ยนตลอดเวลา การทดสอบปีละครั้งหรือหลังการเปลี่ยนแปลงใหญ่ ช่วยให้รู้ความเสี่ยงปัจจุบัน ไม่ใช่ของปีที่แล้ว

บริการในกลุ่มตรวจประเมินระบบ

เรียงตามลำดับที่มักทำจริง เริ่มจากประเมินช่องโหว่ แล้วจึงเจาะระบบ และตรวจสอบภายในเพื่อปิดวงจร

  1. ลำดับที่ 1

    ประเมินช่องโหว่ Vulnerability Assessment

    ตรวจสอบช่องโหว่ทั้งหมดบนระบบ เช่น การตั้งค่าระบบ และเวอร์ชันของซอฟต์แวร์ที่ไม่เหมาะสม เพื่อประเมินความเสี่ยงของระบบงานได้อย่างเหมาะสม

    ผลที่ได้: รายการช่องโหว่จัดลำดับตาม CVSS

  2. ลำดับที่ 2

    ทดสอบเจาะระบบ Penetration Testing

    นำช่องโหว่ที่พบจากการประเมินมาทดสอบเจาะระบบจริง ด้วยวิธีการและเครื่องมือระดับอุตสาหกรรม เพื่อยืนยันว่าช่องโหว่ถูกใช้โจมตีได้จริงและรุนแรงแค่ไหน

    ผลที่ได้: หลักฐานการโจมตี พร้อมแนวทางแก้ไข

  3. ลำดับที่ 3

    ตรวจสอบภายใน Internal Audit

    ตรวจสอบระบบ IT กระบวนการ และการควบคุมขององค์กรอย่างละเอียด เทียบกับข้อกำหนดกฎหมาย มาตรฐานอุตสาหกรรม และแนวปฏิบัติที่ดี เพื่อระบุจุดที่ต้องปรับปรุงและลดความเสี่ยง

    ผลที่ได้: รายงานช่องว่างและแผนปรับปรุง

รูปแบบการทดสอบเจาะระบบ 6 รูปแบบ

เลือกทดสอบเฉพาะส่วนที่มีความเสี่ยง หรือรวมหลายรูปแบบในโครงการเดียว

  • Networkเครือข่ายภายในและภายนอก
  • Web Applicationตามรายการ OWASP Top 10
  • Wirelessเครือข่ายไร้สายขององค์กร
  • Mobileแอป iOS และ Android
  • Source Code Reviewตรวจสอบระดับโค้ด
  • APIREST และ GraphQL

ขั้นตอนการทดสอบ

ทุกขั้นตกลงขอบเขตและช่วงเวลากับทีม IT ของคุณก่อนเริ่ม เพื่อไม่กระทบระบบที่ให้บริการอยู่

  1. ขั้นตอนที่ 1: สแกนช่องโหว่ด้วยเครื่องมือขั้นสูง

    ใช้เครื่องมือสแกนอัตโนมัติและเทคนิคการทดสอบด้วยมือเพื่อค้นหาช่องโหว่ในทุกระดับ

  2. ขั้นตอนที่ 2: ทดลองโจมตีผ่านช่องโหว่ที่พบ

    ดำเนินการเจาะระบบจริงผ่านช่องโหว่เพื่อยืนยันความรุนแรงและความเป็นไปได้

  3. ขั้นตอนที่ 3: ตรวจสอบการตั้งค่าระบบและเครือข่าย

    ประเมินความถูกต้องของการกำหนดค่าเซิร์ฟเวอร์ ไฟร์วอลล์ และอุปกรณ์รักษาความปลอดภัย

  4. ขั้นตอนที่ 4: ทดสอบแอปพลิเคชันและฐานข้อมูล

    ตรวจสอบช่องโหว่ใน Web Application, Mobile App และระบบจัดการฐานข้อมูล

  5. ขั้นตอนที่ 5: จัดทำรายงานพร้อมแนวทางแก้ไข

    สรุปผลและจัดทำแผนการแก้ไขที่มีลำดับความสำคัญชัดเจน พร้อมแนวทางการแก้ไข

สิ่งที่คุณจะได้รับ

  • Executive Summary สำหรับผู้บริหาร: ภาพรวมความเสี่ยง ระดับความรุนแรง และสิ่งที่ต้องตัดสินใจ
  • Technical Report สำหรับทีม IT: ช่องโหว่แต่ละรายการ หลักฐาน วิธีทำซ้ำ และวิธีแก้
  • แผนแก้ไขจัดลำดับความสำคัญตามระดับ CVSS v3.1 และผลกระทบต่อธุรกิจ
  • การทดสอบซ้ำหลังแก้ไข ตามรอบที่ระบุในใบเสนอราคา

สิ่งที่ไม่รวมในบริการ

ขอบเขตที่ชัดเจนคือความโปร่งใส รายการนี้ยืนยันกับบริษัทก่อนเผยแพร่

  • การแก้ไขช่องโหว่แทนทีมพัฒนาหรือผู้ดูแลระบบ
  • การทดสอบแบบ Denial of Service ที่อาจทำให้ระบบล่ม
  • การทดสอบ Social Engineering นอกเหนือจากโปรแกรมจำลอง Phishing
  • ระบบที่ไม่อยู่ในขอบเขตที่ตกลงกันในเอกสาร Scope

มาตรฐานและแนวทางที่ใช้

OWASPรายการช่องโหว่ Top 10 สำหรับ Web Application และ API
NISTกรอบการประเมินเชิงเทคนิค
ISO/IEC 27001ใช้ผลประกอบการประเมินความเสี่ยงต่อผู้ตรวจรับรอง
CVSS v3.1คะแนนความรุนแรงมาตรฐานสากล

ข้อมูลของคุณ ผลการทำงานและข้อมูลที่เข้าถึงระหว่างโครงการถูกเก็บภายใต้ข้อตกลงรักษาความลับ (NDA) ที่ลงนามก่อนเริ่มงานทุกครั้ง

คำถามที่พบบ่อย

คำถามที่ลูกค้าถามเราก่อนเริ่มงานบ่อยที่สุด ถ้าไม่พบคำตอบ ส่งคำถามมาได้ที่ฟอร์มด้านล่าง

การทดสอบจะกระทบระบบที่ให้บริการอยู่ไหม

ก่อนเริ่มเราตกลงขอบเขต ช่วงเวลา และข้อจำกัดกับทีม IT ของคุณ เช่น ทดสอบนอกเวลาทำการ หรือทดสอบบนระบบ staging การทดสอบที่อาจทำให้ระบบล่มไม่อยู่ในขอบเขตมาตรฐาน

ใช้เวลานานแค่ไหน

ขึ้นกับจำนวนระบบและรูปแบบการทดสอบ เราแจ้งกำหนดการชัดเจนในใบเสนอราคา

ราคาคิดอย่างไร

คิดตามขอบเขต: จำนวนระบบ จำนวนหน้าหรือ endpoint และรูปแบบการทดสอบ ส่งรายละเอียดระบบมาแล้วเราประเมินขอบเขตและราคาให้โดยไม่มีค่าใช้จ่าย

ต้องเตรียมอะไรก่อนเริ่ม

รายการระบบและ URL ที่ต้องการทดสอบ ผู้ประสานงานฝั่ง IT บัญชีทดสอบ (ถ้าทดสอบแบบมีสิทธิ์เข้าระบบ) และหนังสืออนุญาตทดสอบ เราส่งแบบฟอร์มให้ครบในขั้นตอนกำหนดขอบเขต

ผลการทดสอบใช้ประกอบ ISO 27001 หรือ PDPA ได้ไหม

ได้ รายงานจัดทำตามแนวทาง ISO 27001 และอ้างอิง CVSS จึงใช้เป็นหลักฐานการประเมินความเสี่ยงต่อผู้ตรวจรับรองและผู้กำกับดูแลได้

บริการอื่นของเรา

สร้างความตระหนักให้ผู้คนPeople Awarenessที่ปรึกษามาตรฐานFrameworkความปลอดภัยซอฟต์แวร์Software Security

ขอใบเสนอราคาการทดสอบเจาะระบบ

บอกเราว่ามีระบบอะไรบ้าง กี่ระบบ และต้องการผลเมื่อไร เราจะเสนอขอบเขตและราคาที่เหมาะสมกลับไป ลงนาม NDA และหนังสืออนุญาตทดสอบก่อนเริ่มงานทุกครั้ง

โทร 081-614-4486 หรืออีเมล infosec@unisecurity.co.th

ขอใบเสนอราคาการทดสอบเจาะระบบ

เล่าให้เราฟังสั้น ๆ ทางอีเมลหรือโทรศัพท์ เราจะประเมินขอบเขตและงบประมาณเบื้องต้นให้โดยไม่มีค่าใช้จ่าย

ปุ่มอีเมลจะเปิดโปรแกรมอีเมลพร้อมหัวข้อและรายการที่ควรบอกเรา ไม่ต้องส่งข้อมูลลับหรือรหัสผ่านทางอีเมล

ลงนาม NDA และหนังสืออนุญาตก่อนเริ่มงานทุกครั้ง