1.0
General Security Concepts
แนวคิดพื้นฐานด้านความปลอดภัย
12%ของข้อสอบ
1.1
ประเภทของ Security ControlsCompare and contrast various types of security controls.
Control แบ่งได้ 2 แกน คือ "เป็นอะไร" (หมวด) และ "ทำหน้าที่อะไร" (ประเภท) ข้อสอบมักให้ตัวอย่างมาแล้วถามว่าอยู่ช่องไหน
แกนที่ 1: หมวด (Category)
Technicalฮาร์ดแวร์/ซอฟต์แวร์ เช่น Firewall, Encryption
Administrative / Managerialนโยบายและขั้นตอน เช่น AUP, Separation of Duties
Physicalจับต้องได้ เช่น กุญแจ, รั้ว, CCTV
แกนที่ 2: หน้าที่ (Type)
Preventiveหยุดการโจมตีก่อนเกิด
Detectiveตรวจจับว่ามีการโจมตี
Correctiveแก้ไขผลกระทบหลังเกิดเหตุ
Deterrentทำให้ผู้โจมตีถอดใจ
Compensatingมาตรการทดแทนเมื่อใช้ตัวหลักไม่ได้
ตัวอย่างเดียวอยู่ได้ทั้ง 2 แกน: กล้อง CCTV = Physical + Detective (และ Deterrent ถ้ามองเห็นได้)
1.2
แนวคิดพื้นฐานด้านความปลอดภัยSummarize fundamental security concepts.
CIA TriadConfidentiality (ความลับ), Integrity (ความถูกต้อง), Availability (ความพร้อมใช้)
AAAAuthentication (ยืนยันตัวตน), Authorization (ให้สิทธิ์), Accounting (บันทึกการใช้งาน)
Zero Trust"Never trust, always verify" ไม่เชื่อใจเพียงเพราะอยู่ในเครือข่ายภายใน
Least Privilegeให้สิทธิ์เท่าที่จำเป็นต่อการทำงานเท่านั้น
1.3
Change Management กับความปลอดภัยExplain the importance of change management processes and the impact to security.
การเปลี่ยนแปลงที่ไม่มีการควบคุมคือความเสี่ยง ทุกการเปลี่ยนต้องผ่านการเสนอ ทบทวน ทดสอบ และบันทึก
- RFC (Request for Change): ยื่นคำขอ ระบุเหตุผลและขอบเขต
- Impact Analysis: ประเมินผลกระทบและความเสี่ยง
- Approval: CAB (Change Advisory Board) อนุมัติ
- Implementation: ลงมือทำในช่วง maintenance window
- Rollback Plan: แผนถอยกลับ ต้องมีก่อนลงมือเสมอ
1.4
การเลือกใช้ CryptographyExplain the importance of using appropriate cryptographic solutions.
| ชนิด | หลักการ | ตัวอย่าง | ใช้เพื่อ |
|---|
| Symmetric | กุญแจเดียว ทั้งเข้าและถอดรหัส | AES, DES | เร็ว ใช้เข้ารหัสข้อมูลจำนวนมาก |
| Asymmetric | คู่กุญแจ Public / Private | RSA, ECC | แลกเปลี่ยนกุญแจ, ลายเซ็นดิจิทัล |
| Hashing | ฟังก์ชันทางเดียว ย้อนกลับไม่ได้ | SHA-256, MD5 | ตรวจ Integrity |
Non-repudiation (ปฏิเสธไม่ได้ว่าเป็นคนส่ง) = Digital Signature ซึ่งเซ็นด้วย Private key ของผู้ส่ง
2.0
Threats, Vulnerabilities & Mitigations
ภัยคุกคาม ช่องโหว่ และการลดความเสี่ยง
22%ของข้อสอบ
2.1
ผู้คุกคามและแรงจูงใจCompare and contrast common threat actors and motivations.
| Actor | ทักษะ / ทรัพยากร | แรงจูงใจ |
|---|
| Nation-state / APT | สูงมาก ทุนหนา แฝงตัวระยะยาว | จารกรรม, การเมือง |
| Hacktivist | ปานกลาง | อุดมการณ์ |
| Insider Threat | มีสิทธิ์เข้าถึงอยู่แล้ว | แค้น, เงิน หรือประมาท |
| Script Kiddie | ต่ำ ใช้เครื่องมือสำเร็จรูป | ความสนุก, ชื่อเสียง |
2.2
ช่องทางโจมตีและพื้นผิวการโจมตีExplain common threat vectors and attack surfaces.
Vector คือช่องทางที่ผู้โจมตีใช้เข้ามา เช่น Email (Phishing), Web (XSS, SQLi), Wireless, Removable Media, Supply Chain
Attack Surface คือผลรวมของทุกจุดที่ผู้ไม่ได้รับอนุญาตอาจใส่ข้อมูลเข้าหรือดึงข้อมูลออกได้ ยิ่งเปิดพอร์ต/บริการมาก พื้นผิวยิ่งกว้าง
2.3
ประเภทของช่องโหว่Explain various types of vulnerabilities.
Zero-Dayvendor ยังไม่รู้ ยังไม่มี patch
Misconfigurationรหัสผ่าน default, เปิดพอร์ตไว้เกินจำเป็น
Web VulnerabilitiesXSS, SQL Injection, CSRF
2.4
สัญญาณของกิจกรรมอันตรายGiven a scenario, analyze indicators of malicious activity.
IoC (Indicators of Compromise) คือร่องรอยที่บอกว่าระบบน่าจะโดนแล้ว เช่น Hash ของไฟล์มัลแวร์, IP address, Domain name
พฤติกรรมผิดปกติที่ควรสงสัย: traffic แปลกไปจากปกติ, การใช้สิทธิ์สูงเพิ่มขึ้น, มีการ patch หรือ reboot ที่ไม่ได้วางแผนไว้
Objective ที่ขึ้นต้นด้วย "Given a scenario" มักออกเป็นโจทย์สถานการณ์หรือ PBQ ให้อ่าน log แล้วตอบ
2.5
เทคนิคการลดความเสี่ยงในองค์กรExplain the purpose of mitigation techniques used to secure the enterprise.
- Segmentation: แบ่งเครือข่ายด้วย VLAN หรือ Air gap
- Application Allowlisting: อนุญาตเฉพาะโปรแกรมที่อยู่ในรายการ
- Patch Management: อัปเดตแพตช์ตามรอบ
- Hardening: ปิดของที่ไม่ใช้บน endpoint
3.0
Security Architecture
สถาปัตยกรรมความปลอดภัย
18%ของข้อสอบ
3.1
ผลด้านความปลอดภัยของสถาปัตยกรรมแต่ละแบบCompare and contrast security implications of different architecture models.
SaaSใช้ซอฟต์แวร์สำเร็จรูป ผู้ให้บริการดูแลเกือบทั้งหมด
PaaSได้แพลตฟอร์มไว้รันแอปของเรา
IaaSได้เครื่อง/เครือข่ายเสมือน เราดูแล OS ขึ้นไปเอง
On-prem vs Hybridควบคุมได้เต็มที่ vs ขยายได้ง่าย
SCADA / ICSระบบควบคุมอุตสาหกรรม มักเป็นของเก่าและ air-gapped แต่เริ่มต่อเน็ตมากขึ้น
3.2
ออกแบบโครงสร้างพื้นฐานให้ปลอดภัยGiven a scenario, apply security principles to secure enterprise infrastructure.
- DMZ: โซนกลางสำหรับบริการที่เปิดให้ภายนอกเข้าถึง
- VPN: การเข้าถึงจากระยะไกลแบบเข้ารหัส
- SDN: จัดการเครือข่ายด้วยซอฟต์แวร์ ปรับเปลี่ยนได้คล่อง
3.3
แนวคิดการปกป้องข้อมูลCompare and contrast concepts and strategies to protect data.
สถานะของข้อมูล (Data States)
At Restเก็บอยู่ใน storage
In Transitวิ่งอยู่บนเครือข่าย
In Useอยู่ในหน่วยความจำขณะประมวลผล
- DLP (Data Loss Prevention): กันข้อมูลรั่วออกนอกองค์กร
- Classification: Public → Internal → Confidential → Restricted
- เทคนิคอื่น: Encryption, Tokenization
3.4
ความทนทานและการกู้คืนExplain the importance of resilience and recovery in security architecture.
- High Availability: Load balancing, Clustering, Redundancy
- Backups: Full, Incremental, Differential
- RAID: กระจายข้อมูลหลายดิสก์ ทนดิสก์เสียได้
กฎ 3-2-1: เก็บ 3 ชุด บนสื่อ 2 แบบ และ 1 ชุดอยู่นอกสถานที่
4.0
Security Operations
งานปฏิบัติการด้านความปลอดภัย
28%ของข้อสอบ
Domain ที่ออกเยอะที่สุด ควรให้เวลามากที่สุด
4.1
เทคนิคป้องกันทรัพยากรGiven a scenario, apply common security techniques to computing resources.
- Hardening: ปิด service และพอร์ตที่ไม่ใช้
- Endpoint Protection: EDR/XDR, Antivirus, Host-based Firewall
- Patch Management
4.2
การจัดการทรัพย์สินExplain the security implications of proper hardware, software, and data asset management.
"You can't protect what you don't know." ต้องรู้ก่อนว่ามีอะไรบ้าง ครอบคลุมวงจรชีวิตตั้งแต่จัดซื้อจนทำลาย (Procurement → Disposal), การล้างสื่อบันทึก (Media sanitization) และการดูแลไลเซนส์ซอฟต์แวร์
4.3
การจัดการช่องโหว่Explain various activities associated with vulnerability management.
- Scanning: แบบ intrusive หรือ non-intrusive
- Reporting: จัดลำดับความรุนแรงด้วยคะแนน CVSS
- Remediation: Patch หรือใช้ Compensating control
- Validation: สแกนซ้ำเพื่อยืนยันว่าแก้แล้ว
4.4
การเฝ้าระวังและแจ้งเตือนExplain security alerting and monitoring concepts and tools.
SIEMรวมและหาความสัมพันธ์ของ log จากหลายแหล่ง
IDSตรวจจับอย่างเดียว (Passive)
IPSตรวจจับแล้วบล็อก (Active, inline)
SNMPเฝ้าดูสถานะอุปกรณ์เครือข่าย
4.5
Identity & Access Management (IAM)Given a scenario, implement and maintain identity and access management.
MFAสิ่งที่รู้ / สิ่งที่มี / สิ่งที่เป็น / ตำแหน่งที่อยู่ ต้องต่างประเภทกัน
RBACให้สิทธิ์ตามบทบาทงาน
SSOล็อกอินครั้งเดียวใช้ได้หลายระบบ (SAML, OIDC)
รหัสผ่าน + PIN ไม่ใช่ MFA เพราะเป็น "สิ่งที่รู้" ทั้งคู่
4.6
ยกระดับความสามารถด้านความปลอดภัยGiven a scenario, modify enterprise capabilities to enhance security.
- ใช้โปรโตคอลที่ปลอดภัย: DNSSEC, SSH แทน Telnet
- Email security: SPF, DKIM, DMARC
- File Integrity Monitoring (FIM)
4.7
Automation & OrchestrationExplain the importance of automation and orchestration related to secure operations.
SOAR (Security Orchestration, Automation and Response) ทำงานซ้ำๆ ให้อัตโนมัติ เช่น เปิด ticket หรือบล็อก IP ช่วยลดความผิดพลาดและให้ analyst มีเวลาไปทำงานที่ต้องใช้คน
4.8
การตอบสนองต่อเหตุการณ์Explain appropriate incident response activities.
- Preparation: เตรียมทีม เครื่องมือ และแผน
- Detection & Analysis: ตรวจพบและวิเคราะห์
- Containment, Eradication, Recovery: จำกัดวง กำจัด แล้วกู้คืน
- Post-Incident Activity: สรุปบทเรียน (Lessons Learned)
โจทย์มักถามว่า "ขั้นถัดไปคืออะไร" ต้องจำลำดับให้แม่น
4.9
แหล่งข้อมูลสำหรับการสืบสวนGiven a scenario, use data sources to support an investigation.
| แหล่ง | ได้อะไร |
|---|
| Firewall logs | อนุญาต/บล็อกการเชื่อมต่อใดบ้าง |
| Syslog | log รวมศูนย์จากอุปกรณ์ต่างๆ |
| NetFlow | metadata: ใครคุยกับใคร พอร์ตไหน ปริมาณเท่าไร |
| Packet Capture | เนื้อหา payload เต็ม ละเอียดที่สุด |
5.0
Program Management & Oversight
การกำกับดูแล ความเสี่ยง และการปฏิบัติตามข้อกำหนด
20%ของข้อสอบ
5.1
Security GovernanceSummarize elements of effective security governance.
กำหนดบทบาท ความรับผิดชอบ และนโยบายให้สอดคล้องกับเป้าหมายธุรกิจ ผ่านเอกสาร 4 ระดับ: Policies, Standards, Procedures, Guidelines โดยผู้บริหารระดับสูงเป็นผู้กำหนด Risk Appetite (ระดับความเสี่ยงที่องค์กรยอมรับได้)
5.2
Risk ManagementExplain elements of the risk management process.
วิเคราะห์เชิงปริมาณ
SLESingle Loss Expectancy: เสียหายต่อครั้ง
AROAnnualized Rate of Occurrence: เกิดกี่ครั้งต่อปี
ALEAnnualized Loss Expectancy = SLE × ARO
วิธีจัดการความเสี่ยง
Avoid (เลี่ยง), Transfer (โอน เช่น ซื้อประกัน), Mitigate (ลด), Accept (ยอมรับ)
BIA (Business Impact Analysis): ใช้ค่า RTO, RPO, MTBF
ลองคำนวณ
เซิร์ฟเวอร์มูลค่า 100,000 บาท ถ้าโดนน้ำท่วมจะเสียหาย 40% (SLE = 40,000) และคาดว่าน้ำท่วม 1 ครั้งทุก 4 ปี (ARO = 0.25)
→ ALE = 40,000 × 0.25 = 10,000 บาท/ปี ดังนั้นมาตรการป้องกันไม่ควรแพงกว่านี้ต่อปี
5.3
ความเสี่ยงจากบุคคลที่สามExplain the processes associated with third-party risk assessment and management.
ประเมิน vendor, ตรวจสอบสถานะ (due diligence) และทำสัญญาให้ชัด
SLAService Level Agreement: ระดับบริการที่รับประกัน
MOUMemorandum of Understanding: บันทึกความเข้าใจ
NDANon-Disclosure Agreement: สัญญารักษาความลับ
5.4
Security ComplianceSummarize elements of effective security compliance.
GDPRข้อมูลส่วนบุคคล (EU)
HIPAAข้อมูลสุขภาพ (US)
PCI-DSSข้อมูลบัตรเครดิต
5.5
Audits & AssessmentsExplain types and purposes of audits and assessments.
Audit ตรวจว่า control ได้ผลจริงไหม ส่วน Assessment หาช่องว่างหรือจุดที่ไม่สอดคล้อง แบ่งเป็น Internal และ External ซึ่งการตรวจโดยบุคคลภายนอกที่เป็นอิสระช่วยรักษาการรับรองและความน่าเชื่อถือ
5.6
Security AwarenessGiven a scenario, implement security awareness practices.
สร้างพนักงานที่มีสำนึกด้านความปลอดภัย ลดความผิดพลาดจากคน ด้วย Phishing Simulation, Computer-Based Training (CBT) และ Tabletop exercise