การโจมตีด้านความปลอดภัยที่พบบ่อยมีประเภทใดบ้าง?

Question

Accepted Answer

การเข้าใจ **ประเภทของการโจมตี** ว่าผู้โจมตีพยายามเจาะระบบอย่างไร เป็นพื้นฐานของการป้องกัน หมวดหมู่หลักได้แก่ injection, XSS, CSRF, brute force, social engineering, DDoS และอื่น ๆ

## การโจมตีเว็บแอปพลิเคชัน

```text
INJECTION (SQL, command, etc.) → inject malicious code via input (manipulate queries/commands)
XSS (Cross-Site Scripting) → inject scripts that run in victims' browsers
CSRF (Cross-Site Request Forgery) → trick a logged-in user's browser into making unwanted
  requests (perform actions as them without consent)
BROKEN ACCESS CONTROL → access/modify what you're not authorized to (e.g. IDOR)
SSRF → trick the server into making requests it shouldn't
```

## การโจมตีด้านการยืนยันตัวตน / การเข้าถึง

```text
BRUTE FORCE → try many passwords/keys until one works (rate-limit, lock out, MFA)
CREDENTIAL STUFFING → use leaked username/password pairs from other breaches
SESSION HIJACKING → steal session tokens/cookies to impersonate a user
PHISHING / SOCIAL ENGINEERING → trick people into revealing credentials/info (the human
  is often the weakest link)
```

## การโจมตีอื่น ๆ

```text
DDoS (Distributed Denial of Service) → flood a system to make it unavailable
MAN-IN-THE-MIDDLE (MITM) → intercept communication (HTTPS prevents this)
MALWARE / ransomware; SUPPLY CHAIN attacks (compromise dependencies/build tools)
ZERO-DAY → exploit unknown/unpatched vulnerabilities
```

## ทำไมจึงสำคัญ

การเข้าใจประเภทของการโจมตีด้านความปลอดภัยที่พบบ่อยเป็นเรื่องพื้นฐาน เพราะ **คุณไม่สามารถป้องกันภัยคุกคามที่คุณไม่เข้าใจได้** ดังนั้นการรู้ว่าผู้โจมตีทำงานอย่างไรจึงจำเป็นสำหรับการสร้างระบบที่ปลอดภัย ทำให้นี่เป็นความรู้ด้านความปลอดภัยที่สำคัญ

การตระหนักรู้ถึงประเภทของการโจมตี ว่าผู้โจมตีพยายามเจาะระบบอย่างไร เป็นพื้นฐานของการป้องกัน เพราะการโจมตีแต่ละประเภทมีการป้องกันที่สอดคล้องกัน และการเข้าใจภัยคุกคามเป็นแรงจูงใจและชี้นำมาตรการป้องกัน

การเข้าใจ **การโจมตีเว็บแอปพลิเคชัน** **injection** (การบิดเบือน query/command ผ่าน input) **XSS** (สคริปต์ที่ทำงานในเบราว์เซอร์ของเหยื่อ) **CSRF** (การหลอกเบราว์เซอร์ของผู้ใช้ที่ล็อกอินอยู่ให้ส่ง request ที่ไม่ต้องการ) **broken access control** (การเข้าถึงทรัพยากรที่ไม่ได้รับอนุญาต) และ **SSRF** ครอบคลุมภัยคุกคามระดับแอปพลิเคชันที่พบบ่อยที่สุดที่นักพัฒนาต้องป้องกัน

การเข้าใจ **การโจมตีด้านการยืนยันตัวตน/การเข้าถึง** **brute force** (การลองรหัสผ่านจำนวนมาก ป้องกันด้วยการจำกัดอัตราและ MFA) **credential stuffing** (การใช้ credential ที่รั่วไหล) **session hijacking** (การขโมย token) และ **phishing/social engineering** (การหลอกผู้คน เนื่องจากมนุษย์มักเป็นจุดอ่อนที่สุด) ครอบคลุมวิธีที่ผู้โจมตีพุ่งเป้าไปที่การเข้าถึง

การเข้าใจ **การโจมตีอื่น ๆ** **DDoS** (การ flood เพื่อทำให้ระบบใช้งานไม่ได้) **man-in-the-middle** (การดักการสื่อสาร ป้องกันด้วย HTTPS) malware **supply chain attack** (การเจาะ dependency ซึ่งสำคัญมากขึ้นเรื่อย ๆ) และ zero-day ขยายการตระหนักรู้ถึงภูมิทัศน์ของภัยคุกคาม

การรู้จักประเภทการโจมตีเหล่านี้ช่วยให้นักพัฒนารู้จักภัยคุกคาม เข้าใจว่าทำไมการป้องกันเฉพาะอย่างจึงมีอยู่ (parameterized queries ป้องกัน injection การ escape ป้องกัน XSS MFA ป้องกัน brute force HTTPS ป้องกัน MITM) และสร้างการป้องกันที่เหมาะสม

เนื่องจากการป้องกันภัยคุกคามต้องการการเข้าใจมัน และการโจมตีที่พบบ่อยแต่ละประเภทมีการป้องกันที่สอดคล้องกัน และเนื่องจากการตระหนักรู้ถึงการโจมตีหลัก ๆ (injection, XSS, CSRF, brute force, phishing, DDoS, supply chain) เป็นพื้นฐานของการสร้างระบบที่ปลอดภัย การเข้าใจการโจมตีด้านความปลอดภัยที่พบบ่อยจึงเป็นความรู้ด้านความปลอดภัยพื้นฐานที่จำเป็น เป็นการตระหนักรู้ถึงภัยคุกคามที่เป็นรากฐานของการป้องกันความปลอดภัยทั้งหมด จำเป็นสำหรับการรู้จักภัยคุกคามและเข้าใจว่าทำไมมาตรการความปลอดภัยจึงมีอยู่ และเป็นฐานสำหรับนักพัฒนาทุกคนที่สร้างระบบที่ต้องต้านทานการโจมตีที่ต่อเนื่องและหลากหลายที่ซอฟต์แวร์เผชิญ