การติดตั้งโครงสร้างพื้นฐาน SOC มาตรฐาน (Standard SOC Infrastructure Setup)¶

เอกสารนี้ระบุข้อกำหนดและขั้นตอนการติดตั้งโครงสร้างพื้นฐานสำหรับศูนย์ปฏิบัติการความปลอดภัย (SOC) สมัยใหม่

1. องค์ประกอบหลัก (Core Components)¶

graph LR
    Logs[แหล่ง Log] -->|นำเข้า| SIEM[SIEM]
    Endpoints[เครื่องปลายทาง] -->|Agent| EDR[EDR]
    SIEM -->|แจ้งเตือน| SOAR[SOAR]
    EDR -->|แจ้งเตือน| SOAR
    SOAR -->|สร้าง Ticket| Ticket[Ticketing]
    Ticket -->|ติดตาม| Analyst[SOC Analyst]

SOC ที่สมบูรณ์จำเป็นต้องมีองค์ประกอบหลักดังนี้:

1.1 SIEM (Security Information and Event Management)¶

วัตถุประสงค์: รวบรวม Log จากศูนย์กลาง, วิเคราะห์ความสัมพันธ์ (Correlation), และแจ้งเตือน
ข้อกำหนด:
- มีความเสถียรและรองรับการขยายตัว (Scalability)
- ปฏิบัติตามนโยบายการเก็บข้อมูล (เช่น Hot 90 วัน, Cold 1 ปี)
- รองรับ Log format มาตรฐาน (Syslog, CEF, JSON)

1.2 EDR (Endpoint Detection and Response)¶

วัตถุประสงค์: ตรวจจับและป้องกันภัยคุกคามบนเครื่องปลายทางแบบ Real-time
การติดตั้ง: ต้องติดตั้ง Agent ลงบน Workstation, Server และทรัพย์สินสำคัญทั้งหมด
นโยบาย: บังคับใช้นโยบายป้องกัน (Block/Quarantine) สำหรับมัลแวร์ที่รู้จัก

1.3 SOAR (Security Orchestration, Automation, and Response)¶

วัตถุประสงค์: ทำงานซ้ำๆ แบบอัตโนมัติ และจัดการ Workflow การตอบสนองภัยคุกคาม
การเชื่อมต่อ: ต้องเชื่อมต่อกับ SIEM, EDR, และระบบ Ticketing ได้

1.4 Ticketing / Case Management¶

วัตถุประสงค์: ติดตามเหตุการณ์ (Incidents), การสืบสวน, และกิจกรรมของ Analyst
Workflow: เชื่อมโยงจาก Alert ใน SIEM ไปสู่การสร้าง Case ได้อย่างราบรื่น

2. การทำให้ระบบแข็งแกร่ง (Infrastructure Hardening)¶

2.1 การควบคุมการเข้าถึง (Access Control)¶

MFA: บังคับใช้ Multi-Factor Authentication สำหรับเครื่องมือ SOC ทั้งหมด
RBAC: กำหนดสิทธิ์ตามบทบาทหน้าที่ (Analyst, Engineer, Manager)
Segmentation: โครงสร้างพื้นฐาน SOC ควรอยู่ใน Network Zone ที่แยกส่วนและปลอดภัย

2.2 การเฝ้าระวัง (Monitoring)¶

Health Checks: ตรวจสอบสถานะและประสิทธิภาพของเครื่องมืออย่างต่อเนื่อง
Audit Logs: เปิดใช้งาน Audit Log สำหรับทุกการกระทำของ Analyst

3. สถาปัตยกรรมเครือข่าย (Network Architecture)¶

Log Shippers: ใช้ตัวส่ง Log (Forwarder) เพื่อส่งข้อมูลไปยัง SIEM อย่างปลอดภัย (เข้ารหัส TLS)
Jump Host: ใช้ Jump Host หรือ VPN ที่ปลอดภัยสำหรับการเข้าถึงระดับผู้ดูแลระบบ

ตารางสิทธิ์เข้าถึงเครื่องมือ¶

เครื่องมือ	Tier 1	Tier 2	Tier 3/IR	SOC Engineer	SOC Manager
SIEM (อ่าน)	✅	✅	✅	✅	✅
SIEM (แก้ไข/Config)	❌	❌	✅	✅	✅
EDR (ดู/คัดกรอง)	✅	✅	✅	✅	✅
EDR (แยก/ควบคุม)	❌	✅	✅	✅	✅
SOAR (รัน Playbook)	✅	✅	✅	✅	✅
SOAR (ตั้งค่า Workflow)	❌	❌	✅	✅	✅
Ticketing (สร้าง/อัปเดต)	✅	✅	✅	✅	✅
Firewall (ดู Log)	❌	✅	✅	✅	✅
Firewall (Block)	❌	❌	✅	✅	✅

ตารางตรวจสุขภาพระบบ¶

ส่วนประกอบ	การตรวจสอบ	ความถี่	ผู้รับผิดชอบ
SIEM Indexing	ตรวจสอบ Parser ทั้งหมดทำงาน	รายชั่วโมง (อัตโนมัติ)	SOC Engineering
EDR Coverage	ตรวจสอบ Agent ≥95%	รายวัน	SOC Engineering
SOAR Connectivity	ทดสอบ Integration (API health)	รายวัน	SOC Engineering
Log Forwarding	ยืนยันแหล่ง Log สำคัญ	ทุกกะ	Shift Lead
Backup Status	ตรวจสอบการสำรองข้อมูลล่าสุด	รายวัน	SOC Engineering

Checklist ตรวจสอบก่อนเปิดใช้งาน¶

ก่อนประกาศว่า SOC พร้อมปฏิบัติการ ต้องตรวจทุก component:

Infrastructure¶

□ SIEM server(s) จัดเตรียมและทำงานแล้ว
□ SIEM storage ขนาดรองรับ hot retention 90 วัน
□ EDR management console เข้าถึงได้
□ EDR agents deploy บนทุก endpoint (เป้า: 95%+)
□ Network sensors ติดตั้งที่จุด egress สำคัญ
□ Log forwarders (Filebeat/Winlogbeat/Syslog) ทำงาน
□ Ticketing system ตั้งค่า severity levels แล้ว
□ SOAR platform เชื่อมต่อ SIEM + EDR แล้ว

ตรวจสอบ Data Flow¶

□ Firewall logs → SIEM (ทดสอบ: เห็น block event ใน SIEM)
□ Active Directory logs → SIEM (ทดสอบ: เห็น logon event)
□ DNS logs → SIEM (ทดสอบ: เห็น DNS query)
□ Email gateway logs → SIEM (ทดสอบ: เห็น email event)
□ Endpoint logs → SIEM (ทดสอบ: เห็น process event)
□ VPN logs → SIEM (ทดสอบ: เห็น VPN connect)
□ Cloud audit trail → SIEM (ทดสอบ: เห็น API call)

การแจ้งเตือน¶

□ Detection rules ทำงานอย่างน้อย 5 ตัว
□ Test alert trigger ถูกต้อง
□ Alert routing ไป ticketing system ใช้งานได้
□ Email/Slack/Teams notification ใช้งานได้
□ Escalation phone tree ทดสอบแล้ว

ลำดับความสำคัญ Log Sources¶

ลำดับ	Log Source	เหตุผล	EPS ประมาณ
🔴 P1	Firewall/IDS/IPS	มองเห็น network perimeter	500-5,000
🔴 P1	Active Directory (DC)	ตรวจสอบ authentication	200-2,000
🔴 P1	Email Gateway	ตรวจจับ phishing	100-1,000
🟠 P2	DNS	ตรวจจับ C2 และ tunneling	1,000-10,000
🟠 P2	EDR/Sysmon	วิเคราะห์พฤติกรรม endpoint	500-5,000
🟠 P2	Web Proxy	ภัยคุกคามผ่านเว็บ	500-5,000
🟡 P3	VPN	ตรวจสอบ remote access	50-500
🟡 P3	Cloud Trail (AWS/Azure/GCP)	กิจกรรมคลาวด์	100-1,000
🟢 P4	Database audit	ตรวจสอบการเข้าถึงข้อมูล	50-500
🟢 P4	WAF	การโจมตี web application	100-1,000

Template แจ้งเปิดใช้งาน Go-Live¶

ส่งให้ผู้มีส่วนเกี่ยวข้องเมื่อ SOC เริ่มปฏิบัติงาน:

เรื่อง: 🟢 SOC Go-Live — ศูนย์ปฏิบัติการ Security [องค์กร] เริ่มทำงาน

เรียนทุกท่าน,

ขอแจ้งว่าศูนย์ปฏิบัติการ Security (SOC) เริ่มปฏิบัติงาน
อย่างเป็นทางการตั้งแต่ [วันที่/เวลา]

### ความหมาย
- ตรวจสอบ security 24/7 เริ่มทำงานแล้ว
- alert ด้าน security ทั้งหมดจะถูก triage ภายใน [SLA] นาที
- กระบวนการ incident response มีผลบังคับใช้

### ช่องทางติดต่อ
- โทรศัพท์ SOC: [หมายเลข]
- อีเมล SOC: soc@company.com
- Escalation ฉุกเฉิน: [ชื่อผู้จัดการ] — [โทรศัพท์]

### สิ่งที่ท่านควรทำ
1. แจ้งอีเมลน่าสงสัยที่ soc@company.com
2. อย่าสืบสวนปัญหา security ด้วยตัวเอง
3. โทรสายด่วน SOC สำหรับเรื่องเร่งด่วน

### เวลาให้บริการ
- ตรวจสอบ: 24/7/365
- Tier 1 Response: 24/7
- Tier 2/3 Response: เวลาทำการ + on-call

[ชื่อ CISO]
Chief Information Security Officer

Activation Verification Checklist¶

System	Check	Expected Result	Status
SIEM	Query test	Results in < 5s	☐
EDR	Agent status	All endpoints green	☐
Ticketing	Create test ticket	Auto-assign works	☐
TI Feed	IOC lookup	Results returned	☐
SOAR	Test playbook	Runs successfully	☐

Post-Activation Monitoring¶

Check	Frequency	Duration
System uptime	Every 5 min	48 hrs
Alert accuracy	Hourly	1 week
Log completeness	Daily	2 weeks