Zaw Lwin Htun - CyberSec

🚨 Ransomware က Virus အဆင့်ကနေ Business ကို ဓားစာခံလုပ်တဲ့ အဆင့်ကို ဘယ်လိုရောက်လာတာလဲ?

ဒီနေ့ MCRA Series မှာတော့ အဖွဲ့အစည်းတိုင်းအတွက် နံပါတ် (၁) အကြီးမားဆုံး ခြိမ်းခြောက်မှုဖြစ်လာတဲ့ Human Operated Ransomware အကြောင်း ရှင်းပြထားတဲ့ Slide ကို လေ့လာကြည့်ပါမယ်။

အရင်တုန်းက Ransomware ဆိုတာ Computer တစ်လုံး၊ နှစ်လုံးကို ကူးစက်တဲ့ (Commodity Attack) အဆင့်လောက်ပဲ ရှိခဲ့ပါတယ်။ ဒါပေမယ့် အခုခေတ်မှာတော့ Attackers တွေဟာ System တွေထဲကို လူကိုယ်တိုင် ဝင်ရောက်ထိန်းချုပ်ပြီး Extortion (ငွေညှစ်ခြင်း) ကို စီးပွားရေးလုပ်ငန်းတစ်ခုလို အကြီးအကျယ် လုပ်ဆောင်လာကြပါပြီ။

⚠️ ဘာတွေ ပြောင်းလဲသွားလဲ? (What's different?)

လက်တွေ့ Incident Response လုပ်ငန်းစဉ်တွေ - ဥပမာ hypervisors တွေနဲ့ storage device တွေကို ပစ်မှတ်ထားတိုက်ခိုက်ခဲ့တဲ့ Ransomware Incident တွေအရဆိုရင်—ဒီ Human Operated Attack တွေဟာ အရင်လိုမဟုတ်ဘဲ Credential တွေကို အရင်ခိုးယူ၊ ပြီးမှ Enterprise တစ်ခုလုံးရဲ့ လုပ်ငန်းလည်ပတ်မှုကို ရပ်တန့်ပစ်ဖို့ (Stop Business Operations) အထိ ရည်ရွယ်လာတာကို ထင်ထင်ရှားရှား တွေ့ရပါတယ်။

"Admin အတွက် Password လေးတစ်ခု ရှိရင်လောက်ပြီ MFA မလိုပါဘူး"၊ "Password တွေကို vault ထဲမထည့်ချင်ဘူး ကြည့်ရလွယ်အောင် laptop ထဲပဲသိမ်းမယ်။"
"VPN ကို Patch မလုပ်ရသေးဘူး၊ ခဏနေမှ လုပ်မယ်" ဆိုပြီး
Security ထက် အလုပ်ပြီးမြောက်မှုကို ဦးစားပေးခဲ့တဲ့ နှစ်ပေါင်းများစွာက Technical Debt တွေကို Attacker တွေက အမိအရ အသုံးချပြီး အမြတ်ထုတ် (Profitable for Attackers) နေကြတာ ဖြစ်ပါတယ်။

🛡️ ဒါဆို ဘာအရင်စလုပ်ကြမလဲ? (What to do first?)

Ransomware မိရင် ပိုက်ဆံပေးဖို့ (Pay Ransom) လုံးဝ အကြံမပြုပါဘူး။ ပိုက်ဆံပေးလိုက်လို့ Data အကုန်ပြန်ရမယ်၊ နောက်ထပ် မရောင်းစားဘူးဆိုတဲ့ အာမခံချက် လုံးဝ မရှိလို့ပါ။ အဲဒီအစား Microsoft ရဲ့ အကြံပြုချက်အရ အောက်ပါ (၃) ချက်ကို ဦးစားပေး လုပ်ဆောင်ရပါမယ်။

၁။ Prepare your recovery plan (ပြန်လည်ထူထောင်ရေး အစီအစဉ်ဆွဲပါ)

Ransomware တိုက်ခိုက်ခံရရင်တောင် Attacker ကို ပိုက်ဆံပေးစရာမလိုဘဲ အမြန်ဆုံး ပြန်လည်ပတ်နိုင်ဖို့ Backup တွေနဲ့ Recovery Process တွေကို သေချာ ကြိုတင်စမ်းသပ် ပြင်ဆင်ထားပါ။

၂။ Limit the scope of damage (ထိခိုက်မှု နယ်ပယ်ကို ကန့်သတ်ပါ)

Attacker တွေ ဝင်လာခဲ့ရင်တောင် စနစ်တစ်ခုလုံးကို အလွယ်တကူ မထိန်းချုပ်နိုင်အောင် Privileged Roles တွေ (Admin Account တွေ) ကို တင်းတင်းကျပ်ကျပ် ကာကွယ်ထားပါ။ JIT (Just-In-Time) Access မျိုးတွေ ပြောင်းသုံးပါ။

၃။ Make it harder to get in (ဝင်လာဖို့ ခက်ခဲအောင် လုပ်ပါ)

Attacker တွေ အလွယ်တကူ မဝင်နိုင်အောင် လိုအပ်တဲ့ Patch တွေ တင်တာ၊ Security ဟာကွက်တွေကို တစ်ဆင့်ချင်းစီ ပိတ်ဆို့တာတွေကို အချိန်ယူပြီး စဉ်ဆက်မပြတ် လုပ်ဆောင်သွားရပါမယ်။

💡 Key Takeaway: Ransomware အန္တရာယ်ဟာ "ငါတို့ဆီတော့ လာမှာမဟုတ်ပါဘူး" လို့ တွေးနေလို့ရတဲ့ အရာမဟုတ်တော့ပါဘူး။ ကြိုတင်ပြင်ဆင်မှု (Preparation) နဲ့ ခိုင်မာတဲ့ Architecture ကသာ အကောင်းဆုံး ကာကွယ်မှုပါ။

Microsoft Cyber Security Framework က Zero Trust Security အကြောင်း Post များကို စုစည်း ပေးထားပါတယ်။

ဘာကြောင့် "Trusted Network" ဆိုတဲ့ အယူအဆ သေဆုံးသွားပြီလဲ?

https://www.facebook.com/share/p/1Bq4cCGY7S/

Zero Trust ဆိုတာ ဘာတွေလုပ်နိုင်လဲ? (Zero Trust Capabilities)

https://www.facebook.com/share/p/14mgjjFihzd/

Zero Trust ရဲ့ အသက်သွေးကြော မူဝါဒ (၃) ရပ် (The 3 Core Principles)

https://www.facebook.com/share/p/1EViGC29d5/

Zero Trust တစ်ခု အလုပ်လုပ်ဖို့ ဘယ်အစိတ်အပိုင်းတွေ လိုအပ်လဲ? (Zero Trust Components)

https://www.facebook.com/share/p/1UgymyGzLS/

Zero Trust Architecture

https://www.facebook.com/share/p/1BoKUTX44Z/

Microsoft Tools များဖြင့် Zero Trust တည်ဆောက်ခြင်း

https://www.facebook.com/share/p/1JHG9j36Yc/

🛠️ သီအိုရီကနေ လက်တွေ့ဆီသို့ (Microsoft Tools များဖြင့် Zero Trust တည်ဆောက်ခြင်း)

ဒီနေ့ MCRA Zero Trust Series ရဲ့ ဇာတ်သိမ်းပိုင်း (Day 6) မှာတော့ ရှေ့ရက်တွေက ဆွေးနွေးခဲ့တဲ့ Architecture ကြီးကို လက်တွေ့ (Microsoft Tools တွေသုံးပြီး) ဘယ်လို အကောင်အထည်ဖော်မလဲ ဆိုတာကို လေ့လာကြည့်ပါမယ်။

Zero Trust ရဲ့ အဓိက မဏ္ဍိုင်တွေကို Microsoft ရဲ့ Security Ecosystem နဲ့ အောက်ပါအတိုင်း ချိတ်ဆက် (Map) လုပ်နိုင်ပါတယ်။

၁။ Identities & Access (ဝင်ပေါက်များ)

User တွေရဲ့ Identity နဲ့ ဝင်ရောက်ခွင့်ကို အဓိက ထိန်းချုပ်ဖို့အတွက် Microsoft Entra ID (အရင် Azure AD) ကို သုံးပါတယ်။ On-premise မှာရှိတဲ့ Active Directory တွေကိုပါ စောင့်ကြည့်ကာကွယ်ဖို့ဆိုရင်တော့ Defender for Identity ကို ပေါင်းစပ်အသုံးပြုရပါတယ်။

၂။ Endpoints (အသုံးပြုသည့် စက်ပစ္စည်းများ)

ဝန်ထမ်းတွေသုံးနေတဲ့ Laptop တွေ၊ ဖုန်းတွေက လုံခြုံမှုရှိ/မရှိ (Compliance ကိုက်ညီမှု) ကို Microsoft Intune နဲ့ စစ်ဆေးပါတယ်။ ပြီးတော့ ဝင်လာနိုင်တဲ့ Threat တွေ (ဥပမာ - Ransomware, Malware) ကို အချိန်နဲ့တပြေးညီ ရှင်းလင်းဖို့ Defender for Endpoint (EDR) ကို သုံးပါတယ်။

၃။ Data & Cloud Apps (အချက်အလက်များ)

အရေးကြီး Data တွေကို Classification လုပ်ပြီး ကာကွယ်ဖို့ Microsoft Purview ကို သုံးပါတယ်။ ကိုယ်ပိုင် Data Center မှာ မဟုတ်ဘဲ အပြင်က သုံးနေတဲ့ SaaS App တွေကိုပါ စောင့်ကြည့်ဖို့ဆိုရင်တော့ Defender for Cloud Apps ကို အသုံးပြုပါတယ်။

၄။ The Brain (Security Operations / SIEM)

ဒီ Tools တွေအကုန်လုံးဆီက လာတဲ့ Log တွေ၊ Telemetry တွေ အကုန်လုံးကို နေရာတစ်နေရာတည်းမှာ စုစည်းပြီး (Centralized) စောင့်ကြည့်ဖို့အတွက် Microsoft Sentinel (SIEM/SOAR) ကို အသုံးပြုပါတယ်။ သူကနေတစ်ဆင့် Attack တွေကို Real-time သိရှိနိုင်ပြီး Automation တွေသုံးကာ ချက်ချင်း တုံ့ပြန်နိုင်ပါတယ်။

၅။ Intune (Compliance Check & Device Block)

ဝန်ထမ်းတွေရဲ့ စက်ပစ္စည်း (Endpoints) တွေ ဖြစ်တဲ့ Laptop သို့မဟုတ် ဖုန်းတွေဟာ လုံခြုံရေးစံနှုန်း ကိုက်ညီမှု ရှိ/မရှိ Microsoft Intune နဲ့ အရင်စစ်ပါတယ်။ ဥပမာ - OS Update မလုပ်ထားရင် ဖြစ်ဖြစ်၊ Antivirus ပိတ်ထားရင်ဖြစ်ဖြစ် Compliance မကိုက်ညီတဲ့အတွက် အဆိုပါ Device ရဲ့ Access ကို ပြတ်ပြတ်သားသား Block လုပ်ပစ်ပါတယ်။

၆။ Entra Access (Network Security)

ရုံးရဲ့ Private Network ရော၊ အပြင်က ကမ္ဘာပတ်သုံးနေတဲ့ Public Network တွေကိုပါ Secure ဖြစ်စေဖို့ Microsoft Entra (Internet Access & Private Access) ကို အသုံးပြုပါတယ်။ ရိုးရိုး Firewall အယူအဆထက် ကျော်လွန်ပြီး ဘယ်နေရာကပဲ သွားသွား Network Traffic အားလုံးကို Zero Trust Policy အောက်မှာ လုံခြုံအောင် ထိန်းချုပ်တာ ဖြစ်ပါတယ်။

၇။ Purview (Data Exfiltration Control)

Security တည်ဆောက်ရခြင်းရဲ့ နောက်ဆုံး ပန်းတိုင်က Data တွေကို ကာကွယ်ဖို့ပါ။ အရေးကြီးတဲ့ ကုမ္ပဏီပိုင် Confidential Data တွေ၊ သတင်းအချက်အလက်တွေကို Attacker တွေကဖြစ်စေ၊ ဝန်ထမ်းကိုယ်တိုင်ကဖြစ်စေ အပြင်ကို ခိုးထုတ်မသွားနိုင်အောင် (Data Exfiltration) Microsoft Purview ရဲ့ Data Loss Prevention (DLP) စနစ်တွေနဲ့ တင်းကျပ်စွာ ထိန်းချုပ်တားဆီးပါတယ်။

Zero Trust Architecture ဆိုတာ စာရွက်ပေါ်က Blueprint သက်သက် မဟုတ်ပါဘူး။ Intune က စက်ကိုစစ်၊ Entra က Network ကိုထိန်း၊ Purview က Data ခိုးထုတ်မှုကို ပိတ်ပြီး ဗဟိုက Policy Engine နဲ့ အကုန်လုံး ချိတ်ဆက်လည်ပတ်နေတဲ့ အသက်ရှိတဲ့ စနစ်တစ်ခု ဖြစ်ပါတယ်။

Zero Trust ဆိုတာ Concept တစ်ခုဖြစ်ပေမယ့်၊ တကယ်တမ်း လက်တွေ့မှာ အသက်ဝင်ဖို့အတွက် အထက်ပါ Tools တွေ အားလုံးကို အချိတ်အဆက်မိမိ (Integrated) အလုပ်လုပ်နိုင်အောင် Configuration ချထားဖို့က ကျွန်တော်တို့ Blue Team / Security Engineer တွေရဲ့ အဓိက တာဝန်ပဲ ဖြစ်ပါတယ်။

P.S. လာမယ့် August 1 မှာစမယ့် Cybersecurity Blue Team Class (Batch 2) Syllabus ကို page pin post မှာ လေ့လာနိုင်ပါတယ်။

MCRA Zero Trust Day 5

Zero Trust Architecture

ဒီ Architecture Diagram ကို ကြည့်လိုက်ရင် ရှုပ်သွားနိုင်ပေမယ့်၊ တကယ်တမ်း အလုပ်လုပ်တဲ့ ပုံစံကို အဓိက အပိုင်း (၃) ပိုင်း ခွဲပြီး ကြည့်လို့ရပါတယ်။

၁။ The Inputs (ဘယ်သူ၊ ဘယ်ကနေ ဝင်လာတာလဲ?)

စနစ်ထဲကို ဝင်လာတဲ့ Identities (လူပဲဖြစ်ဖြစ်၊ System Account တွေပဲဖြစ်ဖြစ်) အားလုံးဟာ Strong Authentication လုပ်ရပါမယ်။ ပြီးရင် သူတို့ ဝင်လာတဲ့ Endpoints (ကုမ္ပဏီ Laptop လား၊ ကိုယ်ပိုင်ဖုန်းလား) က ကိုယ့်ရဲ့ Security Standards တွေနဲ့ ညီရဲ့လား (Device Compliance) ဆိုတာကို အရင်ဆုံး စစ်ဆေးပါတယ်။

၂။ The Brain (ဆုံးဖြတ်ချက်ချမယ့် ဦးနှောက် - Zero Trust Policies)

ဒါကတော့ စနစ်တစ်ခုလုံးရဲ့ အသည်းနှလုံးပါပဲ။ ဝင်လာတဲ့ Access Request တိုင်းကို "Zero Trust Policies" က ကြားဖြတ်ဖမ်း (Intercept) ပြီး အစစ်အဆေးခံပါတယ်။ User ရဲ့ Role, Location, Device အခြေအနေနဲ့ Data Sensitivity စတဲ့ Signal တွေ အကုန်လုံးကို အခြေခံပြီးမှ ဝင်ခွင့် (Least Privileged Access) ကို ဆုံးဖြတ်ပေးတာပါ။

ဒီနေရာမှာ Attack တွေက Speed နဲ့ အရမ်းမြန်မြန် ဝင်လာတာဖြစ်လို့ လူက လိုက်စစ်ဖို့ မမီနိုင်ပါဘူး။ ဒါကြောင့် Threat Protection စနစ်ကနေ ဝင်လာတဲ့ Risk (အန္တရာယ်) ကို အလိုအလျောက် တွက်ချက် (Risk Assessment) ပြီး Policy Engine ဆီကို အချိန်နဲ့တပြေးညီ (Real-time) ပို့ပေးပါတယ်။ Risk မြင့်နေတယ်၊ မသင်္ကာစရာ ဖြစ်နေတယ်ဆိုရင် Automation ကနေတစ်ဆင့် အဆိုပါ Access ကို ချက်ချင်း Block list သွင်းပြီး ပိတ်ချလိုက်တာမျိုးကို စက္ကန့်ပိုင်းအတွင်း လုပ်ဆောင်ပါတယ်။

၃။ The Targets (ကာကွယ်ရမယ့် အရာများ)

Policy ကနေ "အိုကေတယ်၊ ဝင်ခွင့်ပြုတယ်" ဆိုမှသာ အောက်ပါ Asset တွေဆီကို ရောက်ရှိမှာ ဖြစ်ပါတယ်။

Network: Public/Private Network တွေထဲ မဝင်ခင် Traffic ကို သေချာ Filter လုပ်ပြီး၊ လိုအပ်တဲ့ နေရာလောက်ပဲ သွားခွင့်ပြု (Segmentation) ပါတယ်။
Data & Apps: အရေးကြီးတဲ့ Email/Document တွေကို Encrypt လုပ်ထားပြီး၊ SaaS နဲ့ On-premise App တွေကို Adaptive Access ပုံစံနဲ့ပဲ ခွင့်ပြုပါတယ်။
Infrastructure: Server တွေ၊ Container တွေကို ဝင်သုံးတဲ့အခါမှာလည်း JIT (Just-In-Time) စနစ်တွေနဲ့ Runtime Control ကို အသက်သွင်းထားပါတယ်။

💡 Key Takeaway:
Zero Trust ဆိုတာ တစ်ခါတပ်ဆင်ပြီး ပစ်ထားလို့ရတဲ့ စနစ်မျိုး မဟုတ်ပါဘူး။ Network, Data, Apps နဲ့ Infrastructure တွေဆီက ရလာတဲ့ အချက်အလက် (Telemetry) တွေကို Policy Optimization နဲ့ Threat Protection ဆီကို အမြဲတမ်း Feedback ပြန်ပို့ (Feedback Loop) ပြီး နေ့စဉ်နဲ့အမျှ ပိုမိုကောင်းမွန်အောင် တည်ဆောက်နေရတဲ့ Continuous Process တစ်ခု ဖြစ်ပါတယ်။

(P.S. လက်တွေ့ SOC Operation တွေမှာ ဒီလို Architecture ကြီးကို မျက်စိဒေါက်ထောက် ကြည့်ပြီး၊ Threat တွေကို ဘယ်လို Detect လုပ်မလဲ၊ Block list တွေကို Automation နဲ့ ဘယ်လို ချိတ်ဆက်မလဲ ဆိုတာတွေကို လာမယ့် August 1 ရက်နေ့စမယ့် Cybersecurity Blue Team Class (Batch 2) မှာ Hands-on ဆွေးနွေးသွားပါမယ်။ Syllabus လေ့လာချင်ရင် page pin post မှာ ကြည့်နိုင်ပါတယ်။)

Announcement ‼️

Enrolment Now Open for the
"Cyber Security Blue Team Class" Batch - 2

🧮ကျွန်တော့် Security blue team class ဟာ batch 2 ကို ရောက်ရှိလာပါပြီ။

🧑‍🏫အခု အတန်းမှာဆိုရင်
Blue Team Cyber Security ကို စတင်လေ့လာလိုသူများနှင့်
SOC Analyst / Cyber Security Engineer အဖြစ် လုပ်ငန်းခွင်ဝင်ရောက်လိုသူများအတွက် အသုံးဝင်မယ့် သင်ရိုးကို စနစ်တကျ ပြင်ဆင်ထားပါတယ် ခင်ဗျာ။

🎖️ဒါ့အပြင် Active Directory security ကိုလည်း bonus အနေနဲ့ ထည့်သွင်း သင်ကြားသွားပါမယ်။

🛡️Cyber Security တွင် Analysis လုပ်နိုင်ရန် Engineering အခြေခံအားကောင်းရမည်
ဖြစ်သောကြောင့်
Theory နှင့် Analysis ပိုင်းများသာမက Troubleshooting ကျွမ်းကျင်စေရန် Engineering ပိုင်းများကိုပါ ထည့်သွင်းသင်ကြားပေးသွားမှာ ဖြစ်ပါတယ်

💻Computer System နှင့် Networking အခြေခံရှိရုံနဲ့တင်တက်ရောက်နိုင်ပါတယ်
Beginner friendly ဖြစ်စေဖို့လည်းပြင်ဆင်ထားတဲ့အတွက်ကြောင့် စတင်လေ့လာသူများလည်း join လို့ရပါတယ်

✔ CTF Style လေ့ကျင့်ခန်းများ
✔ ကိုယ်တိုင် SOC Environment တစ်ခုကို Lab အနေဖြင့် တည်ဆောက်လေ့ကျင့်နိုင်ခြင်း

💰 သင်တန်းကြေး – ၄၀၀,၀၀၀ ကျပ်
(အရစ်ကျ ၂ ရစ် ခွဲသွင်းနိုင်ပါတယ်)

💻 Zoom Online Class
🗓 သင်တန်းကာလ – ၂ လ

သင်တန်းတက်သူအားလုံး record ရရှိပါမယ်။

အသေးစိတ်အချက်အလက်များကို Chat Box မှ ဆက်သွယ်စုံစမ်းမေးမြန်းနိုင်ပါတယ် ခင်ဗျ။

MCRA Zero Trust Day 4

⚙️ Zero Trust တစ်ခု အလုပ်လုပ်ဖို့ ဘယ်အစိတ်အပိုင်းတွေ လိုအပ်လဲ? (Zero Trust Components)

ဒီနေ့ MCRA Zero Trust Series ရဲ့ Day 4 မှာတော့ Microsoft နဲ့ The Open Group တို့ ပူးပေါင်းရေးဆွဲထားတဲ့ Zero Trust Components Slide လေးကို လေ့လာကြည့်ကြပါမယ်။

Zero Trust ဆိုတာကို လက်တွေ့တည်ဆောက်တဲ့အခါ အောက်ပါ အဓိက အစိတ်အပိုင်း (၄) ခု ဟန်ချက်ညီညီ အလုပ်လုပ်ဖို့ လိုအပ်ပါတယ်။

၁။ Access Control (ဝင်ရောက်ခွင့်ကို ထိန်းချုပ်ခြင်း):

မှန်ကန်တဲ့သူတွေသာ ကိုယ့်ရဲ့ လုပ်ငန်းပိုင် Asset တွေကို ဝင်သုံးခွင့်ရဖို့ ဖြစ်ပါတယ်။ ဒီနေရာမှာ Centralized Security Policy တွေချမှတ်ပြီး Threat Intelligence နဲ့ အမြဲချိတ်ဆက်ထားဖို့ လိုပါတယ်။ ဥပမာ - Threat Intel ကနေရလာတဲ့ Malicious IP တွေ၊ မသင်္ကာစရာ Traffic တွေကို Allow list တွေနဲ့ လိုက်စစ်နေတာထက်၊ Centralized Policy ကနေတစ်ဆင့် Block list တွေထဲ တန်းထည့်ပြီး ပြတ်ပြတ်သားသား ပိတ်ချလိုက်တာမျိုးက ပိုပြီး လုံခြုံစိတ်ချရသလို၊ အချိန်နဲ့တပြေးညီ တုံ့ပြန်နိုင်ပါတယ်။

၂။ Asset Protection (အချက်အလက်နှင့် စနစ်များကို ကာကွယ်ခြင်း):

Access Control ကို ကျော်ဖြတ်ပြီး ဝင်လာနိုင်တဲ့ Out-of-band Attack တွေ၊ Application Vulnerability တွေကို ကာကွယ်ဖို့ ဖြစ်ပါတယ်။ Data တွေကို Encrypt/Tokenize လုပ်တာမျိုး၊ App တွေနဲ့ Infrastructure တွေကို သီးသန့် Secure လုပ်တာမျိုးတွေ ပါဝင်ပါတယ်။

၃။ Modern Security Operations (SOC အခန်းကဏ္ဍ):

ဘယ်လောက်ပဲ ကာကွယ်ထားပါစေ၊ Attack တွေ ဝင်လာနိုင်ပါသေးတယ်။ ဒီလို အချိန်မှာ အမြန်ဆုံး သိရှိ (Rapid Detection) ပြီး ရှင်းလင်း (Remediate) နိုင်ဖို့ပါ။ ဒါကတော့ ကျွန်တော်တို့ Blue Team တွေ နေ့စဉ်လုပ်ဆောင်နေတဲ့ Threat Hunting နဲ့ Incident Response အပိုင်းပဲ ဖြစ်ပါတယ်။

၄။ Governance (စောင့်ကြည့်ကြီးကြပ်ခြင်း):

ကိုယ့်ရဲ့ Security System တစ်ခုလုံး ဘယ်လောက်အထိ အလုပ်ဖြစ်နေလဲ ဆိုတာကို အမြဲ Visibility ရှိနေဖို့ လိုအပ်ပါတယ်။ လိုအပ်တဲ့ Compliance တွေနဲ့ ကိုက်ညီမှုရှိအောင် စဉ်ဆက်မပြတ် စောင့်ကြည့်ပြီး Security Hygiene ကို မြှင့်တင်ပေးတဲ့ အပိုင်းဖြစ်ပါတယ်။

💡 Key Takeaway:
Zero Trust ဆိုတာ Access တစ်ခုတည်းကို ပိတ်ရုံသက်သက် မဟုတ်ပါဘူး။ ဝင်ပေါက်တွေကို ထိန်းချုပ်တာ (Access Control) ကစလို့၊ အတွင်းပိုင်းက Data ကို ကာကွယ်တာ (Asset Protection)၊ SOC ကနေ အမြဲစောင့်ကြည့် ဖြေရှင်းတာ (Security Operations) နဲ့ စနစ်တစ်ခုလုံးကို ကြီးကြပ်တာ (Governance) တွေ အားလုံးကို ချိတ်ဆက်ထားတဲ့ Modern Cybersecurity ရဲ့ အုတ်မြစ်ပဲ ဖြစ်ပါတယ်။

P.S. လာမယ့် August 1 ရက်နေ့မှာ စတင်မယ့် Cybersecurity Blue Team Class (Batch 2) မှာ တင်းကျပ်တဲ့ Access Control Policy တွေ/ Block list တွေ ချမှတ်တာကစလို့ SOC Operation တွေကို လက်တွေ့ ဘယ်လို Run မလဲဆိုတာ Hands-on ဆွေးနွေးသွားပါမယ်။ Syllabus လေ့လာချင်ရင် page pin post မှာကြည့်နိုင်ပါတယ်။

MCRA Zero Trust Day 3

🔑 Zero Trust ရဲ့ အသက်သွေးကြော မူဝါဒ (၃) ရပ် (The 3 Core Principles)

ဒီနေ့ MCRA Zero Trust Series ရဲ့ Day 3 မှာတော့ Zero Trust ရဲ့ အသက်သွေးကြောဖြစ်တဲ့ Core Principles (၃) ရပ် ကို ရှင်းပြပေးသွားပါမယ်။
Zero Trust ကို တည်ဆောက်တဲ့အခါ Tools တွေထက် အောက်ပါ အခြေခံမူဝါဒတွေက နေ့စဉ် Security ဆုံးဖြတ်ချက်တွေချဖို့အတွက် လမ်းပြမြေပုံတွေ ဖြစ်ပါတယ်။

၁။ Assume Compromise (ဖောက်ထွင်းခံထားရပြီဟု ယူဆပါ):

Attacker တွေက ကိုယ့်ရဲ့ Identity, Network, Device နဲ့ App တွေကို အချိန်မရွေး ဖောက်ထွင်းဝင်ရောက်နိုင်တယ်လို့ အမြဲယူဆထားရပါမယ်။ အဲဒီလို ကြိုတင်ပြင်ဆင်ထားမှသာ တကယ်တမ်း Incident ဖြစ်လာတဲ့အခါ (ဥပမာ - Ransomware ဝင်လာတဲ့အခါ) အမြန်ဆုံး ရှင်းလင်း (Remediate) နိုင်မှာပါ။

၂။ Verify Explicitly (အရာရာကို သေချာစစ်ဆေးပါ):

"ယုံကြည်တယ်" ဆိုတဲ့ စကားလုံးကို ဖယ်ထုတ်ပြီး ဝင်လာသမျှ Access Request တိုင်းကို Available ဖြစ်တဲ့ Information (Telemetry) တွေ အားလုံးသုံးပြီး သေချာစစ်ဆေးရပါမယ်။ ဒါမှသာ ကိုယ့်ရဲ့ Asset တွေဆီကို Attacker တွေ ရောက်လာနိုင်မယ့် လမ်းကြောင်း (Attack Surface) ကို လျှော့ချနိုင်မှာပါ။

ဒီနေရာမှာ မလိုအပ်တဲ့ IP တွေ၊ Application တွေနဲ့ အန္တရာယ်ရှိတဲ့ Traffic တွေကို တင်းတင်းကျပ်ကျပ် Block list တွေချပြီး ပိတ်ပင်ထားခြင်းက Attack Surface ကို သိသိသာသာ ကျဆင်းစေပါတယ်။

၃။ Use Least Privilege Access (လုပ်ပိုင်ခွင့်ကို လိုသလောက်ပဲ ပေးပါ):

User တွေ၊ Admin တွေကို အမြဲတမ်း Permission အကြီးကြီးတွေ ပေးမထားပါနဲ့။ လိုအပ်တဲ့အချိန်မှသာ (Just-In-Time)၊ လိုအပ်တဲ့ ပမာဏကိုသာ (Just-Enough-Access) ခွင့်ပြုပေးတဲ့ စနစ်မျိုးကို သုံးရပါမယ်။ ဒါမှသာ Account တစ်ခု Compromise ဖြစ်သွားရင်တောင် တစ်စနစ်လုံးကို ကူးစက်ပျက်စီးသွားမယ့် အတိုင်းအတာ (Blast Radius) ကို လျှော့ချနိုင်မှာ ဖြစ်ပါတယ်။

💡 Key Takeaway: ဒီ Principles တွေရဲ့ အဓိက ရည်ရွယ်ချက်က လုပ်ငန်းလည်ပတ်မှု (Business Enablement) ကို မထိခိုက်စေဘဲ Risk တွေကို လျှော့ချဖို့ပဲ ဖြစ်ပါတယ်။ ဥပမာပေးရရင် တောထဲလမ်းလျှောက်တဲ့အခါ အန္တရာယ်ရှိလို့ မလျှောက်ဘဲနေမှာမဟုတ်ဘဲ၊ လိုအပ်တဲ့ ကာကွယ်မှုတွေ အပြည့်အစုံ ပြင်ဆင်ပြီးမှ လျှောက်သလိုမျိုးပါပဲ။

P.S. လာမယ့် August 1 မှာစမယ့် Cybersecurity Blue Team Class (Batch 2) Syllabus ကို page pin post မှာ လေ့လာနိုင်ပါတယ်။

MCRA Zero Trust Day 2
🛡️ Zero Trust ဆိုတာ ဘာတွေလုပ်နိုင်လဲ? (Zero Trust Capabilities)

မနေ့က Zero Trust ဘာကြောင့်လိုအပ်လဲ ဆိုတာကို ပြောခဲ့ပြီးပါပြီ။ ဒီနေ့ MCRA Zero Trust Series ရဲ့ Day 2 မှာတော့ Zero Trust က တကယ်တမ်း လက်တွေ့မှာ ဘာတွေ လုပ်ပေးနိုင်လဲဆိုတဲ့ Capabilities တွေကို NIST Framework နဲ့ ချိတ်ဆက်ပြီး လေ့လာကြည့်ကြပါမယ်။

Zero Trust ဆိုတာ Product တစ်ခုတည်း ဝယ်သုံးလိုက်ရုံနဲ့ ရတာမျိုး မဟုတ်ဘဲ အောက်ပါ အဓိက အပိုင်း (၃) ပိုင်း ပေါင်းစပ်ထားတဲ့ Framework တစ်ခုပါ။

၁။ Foundational Alignment (အခြေခံ အုတ်မြစ်): Security ဆိုတာ Business နဲ့ တစ်သားတည်း ဖြစ်နေဖို့ လိုပါတယ်။ ကိုယ့်ဆီမှာ ဘာ Asset တွေ ရှိလဲဆိုတာတောင် မသိရင် ဘယ်လို ကာကွယ်မလဲ? ဒါကြောင့် Secure Asset Management ကနေ တစ်ဆင့် Asset တွေကို သေချာ List လုပ်ပြီး မှတ်တမ်းတင်ရပါတယ်။ ပြီးတော့ Business Goal တွေနဲ့ ကိုက်ညီတဲ့ Security Strategy, Integration, & Governance (SIG) မူဝါဒတွေ ချမှတ်ရပါတယ်။

၂။ Asset Access & Security : ဒါကတော့ ကျွန်တော်တို့ Blue Team တွေ အလုပ်အများဆုံး အပိုင်းပါ။

• Identity and Adaptive Access Management (IAAM): ဝင်လာသမျှ User တွေကို ရိုးရိုး Password နဲ့တင် မဟုတ်ဘဲ Threat Intelligence, User Behavior အပေါ်မူတည်ပြီး အချိန်နဲ့တပြေးညီ (Adaptive) စစ်ဆေးတာပါ။

• Asset-Centric Protection & Security Zones: Network တစ်ခုလုံးကို ကာကွယ်မယ့်အစား Data, App စတဲ့ အရေးကြီးတဲ့ Asset လေးတွေကို အလွှာလိုက် (Zones) ခွဲပြီး သီးသန့် ကာကွယ်တဲ့စနစ်ပါ။

• Privileged Access and High Value Assets: အရေးအကြီးဆုံး Server တွေ၊ Admin Account တွေကို သီးသန့် အထူးကာကွယ်ပေးတဲ့ စနစ်ပါ။

၃။ Operational Functions : Zero Trust ကို ထိုင်ကြည့်နေလို့ မရပါဘူး။ အမြဲ လည်ပတ်နေရပါမယ်။

• Posture Management: ဖြစ်လာနိုင်တဲ့ အန္တရာယ်တွေကို ကြိုတင်ရှာဖွေပြီး (Vulnerability Scanning လိုမျိုး) ကာကွယ်ရေးစနစ်တွေကို အမြဲ Update လုပ်နေရပါမယ်။ (NIST ရဲ့ Identify, Protect)

• Asset-Centric Security Operations: Attack တစ်ခု ဝင်လာတာနဲ့ ချက်ချင်း Detect လုပ်မယ်၊ Respond ပြန်လုပ်ပြီး Recover လုပ်တဲ့ (Detect, Respond, Recover) လုပ်ငန်းစဉ်တွေပဲ ဖြစ်ပါတယ်။

💡 Key Takeaway: Zero Trust ဆိုတာ လူ (People)၊ လုပ်ငန်းစဉ် (Process) နဲ့ နည်းပညာ (Technology) အားလုံး ဟန်ချက်ညီညီ ပေါင်းစပ်ထားတဲ့ Organizational Capability တစ်ခုဖြစ်ပါတယ်။

(P.S. လာမယ့် August 1 ရက်နေ့စမယ့် Cybersecurity Blue Team Class batch 2 Syllabus လေ့လာချင်ရင် page pin post မှာ ကြည့်လို့ရ ပါတယ်။)

MCRA Zero Trust Security Day - 1

☠️ ဘာကြောင့် "Trusted Network" ဆိုတဲ့ အယူအဆ သေဆုံးသွားပြီလဲ?

ဒီနေ့ MCRA Zero Trust Series ရဲ့ Zero Trust Day 1 မှာတော့ "Why are we having a Zero Trust conversation?" ဆိုတဲ့ Slide လေးကို လေ့လာကြည့်ကြပါမယ်။

အရင်တုန်းက IT Security ကို တည်ဆောက်တဲ့အခါ ရဲတိုက်ကြီးတစ်ခုလိုမျိုး တည်ဆောက်ခဲ့ကြပါတယ်။ "ငါတို့ရုံးရဲ့ Firewall ထဲမှာ ရှိနေရင် လုံခြုံပြီ" ဆိုတဲ့ "Trusted Network" အယူအဆကို လက်ခံခဲ့ကြတာပါ။

အစပိုင်းမှာတော့ ဒီနည်းလမ်းက အလုပ်ဖြစ်ခဲ့ပါတယ်။
ဒါပေမယ့် အခုခေတ်မှာ ဘာလို့ ဒီအယူအဆက အလုပ်မဖြစ်တော့တာလဲ?

Slide ထဲက အဓိက အကြောင်းရင်း (၂) ခုကို ကြည့်ရအောင်

၁။ Assets တွေက Network အပြင်ကို ရောက်သွားပါပြီ (Assets increasingly leave the network):
အခုဆိုရင် ဝန်ထမ်းတွေက အိမ်ကနေ အလုပ်လုပ်ကြတယ် (WFH)၊ ကိုယ်ပိုင်ဖုန်း/လက်ပ်တော့တွေ သုံးကြတယ် (BYOD)၊ ပြီးတော့ Data တွေအကုန်လုံးက Office 365, AWS လို Cloud (SaaS) တွေပေါ် ရောက်သွားပါပြီ။ ကာကွယ်ရမယ့် အရာတွေက Firewall ထဲမှာ မရှိတော့ပါဘူး။

၂။ Attacker တွေက Identity ကို ပိုပြီး ပစ်မှတ်ထားလာကြတယ်
(Attackers shift to identity attacks): Network အကြီးကြီးကို အပင်ပန်းခံ ဖောက်နေမယ့်အစား၊ ဝန်ထမ်းတစ်ယောက်ဆီကို Phishing Email ပို့ပြီး Password ခိုးလိုက်တာက Attacker တွေအတွက် ပိုလွယ်သွားပါတယ်။

လက်တွေ့ Incident Response တွေ ဖြေရှင်းတဲ့အခါမှာလည်း Ransomware အများစုက Network ကို အတင်းဖောက်ဝင်လာတာမျိုးထက်၊ Compromised ဖြစ်သွားတဲ့ User Credential တွေကနေတစ်ဆင့် "Trusted" ဆိုတဲ့ ခေါင်းစဉ်တပ်ပြီး ဝင်လာကြတာချည်းပါပဲ။

💡 Key Takeaway: ဒါကြောင့် "Firewall အနောက်မှာ ရှိနေတဲ့ အရာအားလုံးက Safe ဖြစ်တယ်" လို့ ယူဆလို့ မရတော့ပါဘူး။ နေရာတိုင်းကို Open Network လို့ သဘောထားပြီး ဝင်လာသမျှကို သေချာစစ်ဆေးမယ့် "Verify Explicitly" (Zero Trust) ခေတ်ကို ရောက်လာတာ ဖြစ်ပါတယ်။

(P.S. လာမယ့် August 1 မှာစမယ့် Cybersecurity Blue Team Class (Batch 2) Syllabus လေ့လာချင်ရင် Page Pin Post မှာ ရှိပါတယ်။