Nithichai Thepmong Database Subject: Data Security (Week 15)

4 เทรนด์อันตรายด้าน Cybersecurity ที่ต้องเฝ้าระวังในปี 2561 นี้

การบุกรุกทางกายภาพตรงๆ

ติดตั้งแอนติไวรัสและไฟร์วอลล์ จนทำให้ผู้ไม่ประสงค์ดีกลุ่มหนึ่งเริ่มหันมาเจาะระบบหรือดูดข้อมูลกันแบบตรงๆ ด้วยการแอบบุกรุกเข้ามายังสำนักงานหรือบ้านของเหยื่อแทน ดังนั้นจึงไม่ควรมองข้ามระบบรักษาความปลอดภัยทางกายภาพอย่างสัญญาณเตือนภัยหรือกล้องวงจรปิดด้วย

แรนซั่มแวร์ยังคงมาแรง

ด้วยความสามารถที่เข้าล็อกไฟล์สำคัญได้ทันทีที่หาทางเจาะเข้าคอมพิวเตอร์ของเหยื่อได้ พร้อมเรียกค่าไถ่อันเป็นหนทางทำเงินได้มากจนหยุดการทำงานทั้งบริษัทได้เลยทีเดียว ทำให้การโจมตีประเภทนี้ได้รับความนิยมเพิ่มมากขึ้น นอกจากนี้แฮ็กเกอร์บางรายยังชอบเอาแรนซั่มแวร์เป็นตัวเบี่ยงเบนความสนใจเหยื่อจากการโจมตีของจริงด้วย ปีนี้คาดว่าแรนซั่มแวร์จะเล็งเล่นงานบริษัทที่มีชื่อเสียงหรือให้บริการสาธารณะมากกว่าเดิม เนื่องจากมักมีแรงกดดันจากฝูงชนจำนวนมากให้ต้องยอมจ่ายค่าไถ่อย่างรวดเร็ว แต่ก็ยังใช้วิธีแพร่กระจายแบบเดิมๆ อย่างอีเมล์หลอกลวง

การพลาดที่จะเตรียมรับกฎหมาย GDPR ได้ทันเวลา

ซึ่งเวลาเดดไลน์ดังกล่าวก็แค่เดือนหน้าเท่านั้นซึ่งการละเมิดกฎดังกล่าวอาจโดนค่าปรับขั้นต่ำ 20 ล้านยูโร หรือ 4% ของรายได้ทั้งหมดของบริษัทถ้ามากกว่า และจากผลการวิจัยของ Forrester ล่าสุดระบุว่า มีบริษัทที่ป่านนี้ยังไม่พร้อมมากถึง 80%

การโจมตีด้วยโทรจัน

โดยเฉพาะโทรจันที่เจาะจงแฮ็กระบบธนาคารโดยเฉพาะ ซึ่งใกล้ตัวคุณมากแค่คุณใช้บริการอีแบงกิ้งแล้วเผลอปล่อยให้โทรจันดูดข้อมูลรหัสผ่านไปใช้ดูดเงินออกจากบัญชีของคุณโดยไม่รู้ตัวเท่านั้น ปัจจุบันแก๊งโทรจันได้พัฒนาให้เข้ากับระบบใหม่ๆ ของธนาคารอย่างรวดเร็ว

ความปลอดภัยในงานของเรา

ตอนนี้ไม่โอเค

Heroku ใช้ Deploy ผ่าน Github
ลง Github ที่เป็นเห็นแบบสาธารณะ
ในโค้ดเก็บ Host, Username, Password ของ Database บน Github
ไม่ปลอดภัยมากๆ
แก้โดยการย้ายโค้ดลง Bitbucket ที่เปิดเป็น Private ได้
Heroku ให้ Deploy ผ่าน Heroku Git แทน

ส่วนที่ฉันทำใน Project

เปลี่ยนจากใช้ MySQL ของ google cloud platform เป็น postgreSQL ใน Heroku

ใช้ Heroku Postgres ใน Heroku

หน้าเว็บหลังติดต่อกับ PostgresSQL

ปัญหาที่พบ

จากเดิมที่ติดต่อกับ MySQL นั้น เราทำการอ่านจากไฟล์ที่มีโค้ดสำหรับ Query เพื่อให้ได้ตารางแสดงบนหน้าเว็บ แต่พอเปลี่ยนจาก MySQL เป็น PostgreSQL แล้วพออ่านโค้ดจากไฟล์แล้วใช้ไม่ได้ เลยต้องเปลี่ยนโค้ด แล้วใช้ Node.js จัดการอีกรอบแล้วแสดงผลการทดลอง