พื้นฐานระบบ เครือข่าย และคอมมานด์ไลน์

ระบบปฏิบัติการ (OS) คืออะไร

ระบบปฏิบัติการคือซอฟต์แวร์ที่คั่นกลางระหว่างฮาร์ดแวร์กับโปรแกรมที่เราใช้ หัวใจของมันเรียกว่า kernel ทำหน้าที่จัดสรรหน่วยความจำ ซีพียู และควบคุมว่าใครมีสิทธิเข้าถึงอะไร ส่วนที่เราคลิกใช้งานทั่วไปเรียกว่า user space คนสายความปลอดภัยนิยมใช้ Linux เพราะเปิดเผยการทำงานภายใน ปรับแต่งได้ลึก และเซิร์ฟเวอร์ส่วนใหญ่ในโลกก็รันบน Linux การเข้าใจมันจึงเท่ากับเข้าใจเป้าหมายที่เราต้องป้องกัน

ผู้ใช้และสิทธิ (users และ permissions)

ทุกไฟล์และทุกโปรเซสมีเจ้าของเสมอ บน Linux ผู้ใช้พิเศษชื่อ root ทำได้ทุกอย่าง ส่วนผู้ใช้ทั่วไปถูกจำกัดสิทธิไว้ ระบบสิทธิไฟล์แบ่งเป็นสามชุด คือ เจ้าของ (owner) กลุ่ม (group) และคนอื่น (others) แต่ละชุดกำหนดได้ว่าอ่านได้ (r) เขียนได้ (w) หรือรันได้ (x) แนวคิดนี้คือด่านแรกของการควบคุมการเข้าถึง ถ้าตั้งสิทธิหลวมเกินไป ไฟล์สำคัญอาจถูกอ่านหรือแก้ไขโดยคนที่ไม่ควรมีสิทธิ

อ่านผลคำสั่ง ls -l เพื่อดูสิทธิของไฟล์ในเครื่องเราเอง

$ ls -l note.txt
-rw-r--r--  1 student  staff  1024  note.txt
# rw- = เจ้าของอ่านและเขียนได้
# r-- = กลุ่มอ่านได้อย่างเดียว
# r-- = คนอื่นอ่านได้อย่างเดียว

IP address คืออะไร

IP address คือหมายเลขประจำตัวของอุปกรณ์บนเครือข่าย เปรียบเหมือนบ้านเลขที่ แบบที่พบบ่อยคือ IPv4 เช่น 192.168.1.10 และแบบใหม่ที่ยาวกว่าคือ IPv6 IP ยังแบ่งเป็นแบบส่วนตัว (private เช่นช่วง 192.168.x.x ที่ใช้ในบ้าน) กับแบบสาธารณะ (public ที่มองเห็นได้จากอินเทอร์เน็ต) ยิ่งอุปกรณ์เปิดสู่สาธารณะมากเท่าไร พื้นที่ที่อาจถูกโจมตีก็ยิ่งกว้างขึ้น

พอร์ตและบริการที่พบบ่อย

ถ้า IP คือบ้านเลขที่ พอร์ตก็คือประตูแต่ละบานของบ้านหลังนั้น แต่ละบริการฟังอยู่ที่พอร์ตของตัวเอง พอร์ตที่เปิดทิ้งไว้โดยไม่จำเป็นคือประตูที่ผู้โจมตีอาจลองงัด การรู้จักพอร์ตมาตรฐานช่วยให้เราตรวจได้ว่าเครื่องของเราเปิดอะไรไว้บ้าง

DNS: สมุดโทรศัพท์ของอินเทอร์เน็ต

คนจำชื่อโดเมนอย่าง example.com ได้ง่ายกว่าตัวเลข IP ระบบ DNS ทำหน้าที่แปลชื่อโดเมนให้เป็น IP ที่เครื่องใช้ติดต่อกันจริง เมื่อเราพิมพ์เว็บ เครื่องจะถาม DNS ก่อนว่า IP ปลายทางคืออะไร แล้วจึงส่งคำขอไป ความเข้าใจตรงนี้สำคัญ เพราะถ้าการแปลชื่อถูกบิดเบือน ผู้ใช้อาจถูกพาไปเว็บปลอมโดยไม่รู้ตัว

HTTP กับ HTTPS ต่างกันอย่างไร

HTTP ส่งข้อมูลเป็นข้อความธรรมดา ใครที่อยู่บนเส้นทางเดียวกัน เช่นบนไวไฟสาธารณะที่ไม่ปลอดภัย อาจดักอ่านสิ่งที่เราส่งได้ ซึ่งเป็นแนวคิดของการดักฟังข้อมูล (sniffing) และการแทรกกลางการสื่อสาร (man-in-the-middle) ส่วน HTTPS ห่อข้อมูลด้วยการเข้ารหัส TLS ทำให้แม้จะถูกดักไปก็อ่านไม่ออก นี่คือเหตุผลที่เว็บสมัยใหม่ควรใช้ HTTPS เสมอ

ทำไมต้องใช้คอมมานด์ไลน์

บนเซิร์ฟเวอร์จริงมักไม่มีหน้าจอกราฟิกให้คลิก เราสั่งงานผ่านตัวอักษรล้วน คอมมานด์ไลน์ยังช่วยให้ค้นข้อมูลจำนวนมากได้เร็ว เช่นการไล่อ่าน log หลายพันบรรทัดเพื่อหาความผิดปกติ ทักษะนี้เป็นพื้นฐานที่ทั้งสายโจมตีเชิงจำลองและสายป้องกันต้องมี

grep: เพื่อนคู่ใจของการอ่าน log

เมื่อไฟล์ log ยาวเป็นหมื่นบรรทัด การเลื่อนอ่านทีละบรรทัดไม่ไหว grep ช่วยดึงเฉพาะบรรทัดที่ตรงกับคำที่เราสนใจออกมา เช่นบรรทัดที่มีคำว่าเข้าสู่ระบบล้มเหลว ทำให้เห็นความผิดปกติได้เร็ว นี่คือทักษะฝั่งป้องกันโดยตรง

ค้นบรรทัดที่ล็อกอินล้มเหลวในไฟล์ log ของเครื่องเราเอง

$ grep "failed login" /var/log/auth.log
# แสดงเฉพาะบรรทัดที่มีคำว่า failed login
# ช่วยให้เห็นความพยายามเข้าถึงที่ผิดปกติได้เร็ว

SSH: ประตูรีโมตที่ต้องดูแลดี

SSH ให้เราเข้าไปสั่งงานเครื่องระยะไกลผ่านช่องที่เข้ารหัส สะดวกมากแต่ก็เป็นเป้าหมายยอดนิยม ถ้าเปิด SSH สู่อินเทอร์เน็ตด้วยรหัสผ่านอ่อน ผู้โจมตีอาจลองเดารหัสซ้ำ ๆ อัตโนมัติ ซึ่งเป็นแนวคิดของการเดารหัสแบบ brute force เราจึงต้องปิดป้องประตูบานนี้ให้แน่นหนา

ทำไมต้องมีแล็บของตัวเอง

การทดลองด้านความปลอดภัยอาจทำให้ระบบไม่เสถียรหรือมีความเสี่ยง เราจึงไม่ควรทดลองบนเครื่องที่ใช้งานจริงหรือบนเครือข่ายของผู้อื่น แล็บที่แยกออกมาให้พื้นที่ปลอดภัยในการเรียนรู้ พังได้ กู้คืนได้ และที่สำคัญคือทุกอย่างในแล็บเป็นของเราเอง จึงไม่มีปัญหาเรื่องการขออนุญาต

แยกแล็บออกจากเครือข่ายบ้าน

เว็บฝึกที่จงใจมีช่องโหว่หรือเครื่องมือทดสอบ ไม่ควรวางไว้บนเครือข่ายเดียวกับอุปกรณ์ในบ้าน เพราะอาจกลายเป็นจุดอ่อนที่ถูกใช้เชื่อมต่อไปยังอุปกรณ์อื่น การตั้งแล็บให้อยู่ในเครือข่ายแบบปิด เช่น host-only ทำให้การทดลองถูกกักอยู่เฉพาะในแล็บ ไม่ลามออกไปที่ไหน