ฝึกงานด้าน Penetration Testing กับ Datafarm
บทความนี้อยากมาแชร์ประสบการณ์การฝึกงานในสาย Cybersecurity ด้าน Penetration Testing ตลอดระยะเวลา 9 เดือนที่ผ่านมาค่ะ
ช่วงเวลานี้เป็นโอกาสที่ได้เรียนรู้ทั้งการทำ Pentest การวิเคราะห์ช่องโหว่ การทำงานร่วมกับทีม รวมถึงแนวคิดและมุมมองด้าน Security ที่ไม่เคยได้สัมผัสจากในห้องเรียนมาก่อน ประสบการณ์ทั้งหมดนี้ช่วยให้เข้าใจสายงาน Cybersecurity มากขึ้น เลยอยากนำมาเล่าต่อ เผื่อจะเป็นประโยชน์สำหรับคนที่กำลังสนใจฝึกงานหรืออยากเริ่มต้นในสายงานนี้
Pentest กับภาพที่เคยคิดไว้ เหมือนกันไหม?
ถ้าถามตัวเองก่อนเข้าฝึกงาน คำตอบคงเป็น
Pentest ก็คือการหาช่องโหว่แล้วก็เจาะระบบ
แต่พอได้เข้ามาทำงานจริงถึงได้รู้ว่า เบื้องหลังของการทดสอบความปลอดภัยมีอะไรมากกว่านั้นมาก
การทำ Pentest ไม่ได้มีแค่การใช้เครื่องมือสแกนแล้วรอผลลัพธ์ออกมา แต่ต้องเริ่มตั้งแต่การทำความเข้าใจระบบ วิเคราะห์ความเสี่ยง วางแผนการทดสอบ และสรุปผลออกมาเป็นรายงานที่ช่วยให้เจ้าของระบบเข้าใจว่าควรปรับปรุงหรือแก้ไขส่วนไหน
เรียกได้ว่างาน Pentest ไม่ได้ใช้แค่ความรู้ทางเทคนิคเท่านั้น แต่ยังต้องอาศัยทักษะการคิดวิเคราะห์ การแก้ปัญหา และการสื่อสารควบคู่กันไปด้วย
สิ่งที่ได้เรียนรู้ระหว่างฝึกงาน
ในช่วงแรกของการฝึกงาน พี่ ๆ ในทีมให้เริ่มจากการเรียนรู้พื้นฐานและกระบวนการทำ Pentest ก่อน ไม่ว่าจะเป็น
• PortSwigger Academy
• Web Application Security
• OWASP Top 10
• Bug Bounty
• Report Writing
รวมถึงได้มีโอกาสใช้งานเครื่องมือที่หลายคนในสาย Security คุ้นเคยกันดี เช่น Burp Suite, Nmap, sqlmap และ nuclei
จากทั้งหมดที่ได้เรียนรู้ เริ่มทำให้เห็นภาพรวมของงานด้านนี้ชัดขึ้นว่า ไม่ได้มีแค่การหาช่องโหว่เพียงอย่างเดียว แต่เป็นการค่อย ๆ ทำความเข้าใจว่าระบบแต่ละส่วนทำงานอย่างไร และเชื่อมโยงกันแบบไหน
สิ่งที่เริ่มเห็นชัดขึ้นคือ เวลาเรามองเว็บไซต์หนึ่ง มันไม่ได้มีแค่สิ่งที่ผู้ใช้เห็นบนหน้าจอ แต่ยังมีเบื้องหลังที่ซับซ้อนกว่า เช่น การจัดการข้อมูล การกำหนดสิทธิ์การเข้าถึง และการตรวจสอบความถูกต้องของข้อมูลในแต่ละขั้นตอน ซึ่งทั้งหมดนี้ต้องอาศัยการค่อย ๆ ทำความเข้าใจภาพรวมของระบบไปทีละส่วน
PortSwigger Academy เป็นตัวช่วยสำคัญในช่วงแรก เพราะเป็น Lab ที่จำลองสถานการณ์ของระบบเว็บมาให้ลองฝึก ทำให้เห็นภาพได้ง่ายขึ้นว่าปัญหาด้านความปลอดภัยแต่ละแบบเกิดขึ้นได้อย่างไร และส่งผลต่อระบบในลักษณะไหน
ส่วน OWASP Top 10 จะช่วยให้เห็นภาพรวมของความเสี่ยงที่พบบ่อยที่สุดในเว็บทั่วโลก ทำให้เวลาเริ่มดูระบบ ๆ หนึ่งจะพอรู้แนวทางว่าควรให้ความสนใจกับจุดไหนก่อนหลัง
ในขณะเดียวกัน Bug Bounty ก็ช่วยเปิดมุมมองอีกแบบหนึ่ง เพราะทำให้เข้าใจว่าการหาจุดอ่อนของระบบไม่ได้จำเป็นต้องเป็นเรื่องซับซ้อนเสมอไป บางครั้งอาจเป็นเพียงรายละเอียดเล็ก ๆ หรือพฤติกรรมบางอย่างของระบบที่ดูธรรมดา แต่กลับส่งผลต่อความปลอดภัยได้มากกว่าที่คิด
สุดท้าย การเขียนรายงานก็เป็นอีกส่วนที่สำคัญมาก เพราะเป็นการสื่อสารผลลัพธ์ทั้งหมดให้อ่านเข้าใจได้ง่าย ต่อให้เข้าใจปัญหาดีแค่ไหน แต่ถ้าอธิบายไม่ชัดเจน ก็อาจทำให้การนำไปแก้ไขต่อทำได้ยากขึ้น
ทั้งหมดนี้ทำให้ช่วงแรกของการฝึกงานเป็นช่วงที่ค่อย ๆ ปูพื้นฐานทั้งความรู้และกรอบความคิดด้าน Security ไปพร้อมกัน
ความท้าทายที่ได้เจอ
สิ่งที่ยากที่สุดระหว่างการฝึกงาน ไม่ใช่การเรียนรู้วิธีใช้เครื่องมือ แต่เป็นการฝึก “วิธีคิด”
การค้นหาช่องโหว่ไม่ได้อาศัยแค่การกดสแกนหรือรันเครื่องมือเท่านั้น แต่ต้องอาศัยการสังเกต วิเคราะห์ และพยายามมองระบบในมุมมองของผู้โจมตี เพื่อทำความเข้าใจว่าจุดไหนอาจเป็นความเสี่ยงที่ถูกมองข้าม เช่น ผู้ใช้งานแต่ละประเภทควรเห็นข้อมูลอะไรบ้าง หรือมีส่วนไหนที่ไม่ควรเข้าถึงได้ หากเกิดกรณีที่ผู้ใช้งานสามารถมองเห็นข้อมูลที่ไม่เกี่ยวข้องกับตัวเองได้ ก็จะกลายเป็นความเสี่ยงด้านความปลอดภัยได้เช่นกัน
นอกจากนี้ยังต้องลองสังเกตว่าฟังก์ชันต่าง ๆ ทำงานเป็นไปตามที่ควรจะเป็นหรือไม่ มีขั้นตอนไหนที่อาจถูกข้ามได้ หรือมีข้อมูลส่วนไหนที่ระบบควรตรวจสอบเพิ่มเติมหรือเปล่า การฝึกมองในมุมเหล่านี้ทำให้ได้เรียนรู้ว่าบางครั้งความเสี่ยงไม่ได้อยู่ในจุดที่เห็นได้ชัด แต่ซ่อนอยู่ในรายละเอียดเล็ก ๆ ของการทำงานของระบบ
ช่วงแรก ๆ อาจยังไม่ค่อยรู้ว่าควรเริ่มสังเกตจากตรงไหน แต่พอได้ฝึกคิดและตั้งคำถามกับสิ่งที่เห็นมากขึ้นเรื่อย ๆ ก็เริ่มเข้าใจว่าการทำความเข้าใจระบบให้ดีเป็นสิ่งสำคัญมาก เพราะยิ่งเข้าใจการทำงานของระบบมากเท่าไร ก็ยิ่งมองเห็นจุดที่ควรให้ความสนใจและความเสี่ยงที่อาจถูกมองข้ามได้มากขึ้นเท่านั้น
สิ่งเหล่านี้เป็นเรื่องที่เครื่องมือไม่สามารถบอกคำตอบได้ทั้งหมด เพราะบางครั้งความเสี่ยงไม่ได้เกิดจากช่องโหว่ทางเทคนิคโดยตรง แต่เกิดจากกระบวนการทำงานของระบบ หรือกระบวนการที่ถูกออกแบบมาโดยไม่คาดคิดว่าจะมีผู้ใช้งานในลักษณะนั้น
สิ่งที่ประทับใจที่สุด
นอกจากความรู้ด้าน Security แล้ว สิ่งที่ประทับใจมากที่สุดคือบรรยากาศการทำงานภายในทีม
พี่ ๆ เปิดโอกาสให้ได้ลองฝึกฝน ได้เสนอความคิดเห็น และพร้อมให้คำแนะนำเมื่อเจอเรื่องที่ยังไม่เข้าใจ
หลายครั้งที่ติดปัญหา พี่ ๆ ไม่ได้รีบบอกคำตอบทันที แต่จะชวนคิด ชวนวิเคราะห์ และค่อย ๆ พาไล่หาสาเหตุของปัญหา จนสุดท้ายสามารถหาคำตอบได้ด้วยตัวเอง ซึ่งเป็นวิธีการเรียนรู้ที่ช่วยให้เข้าใจเนื้อหาได้มากขึ้นและจำได้นานกว่าเดิม
สิ่งที่ได้กลับมาจากการฝึกงาน
ตลอด 9 เดือนที่ผ่านมา สิ่งที่ได้รับกลับมาไม่ได้มีแค่ความรู้ด้าน Cybersecurity เท่านั้น แต่ยังรวมถึง
- การคิดอย่างเป็นระบบ
- การแก้ปัญหาด้วยตัวเอง
- การสื่อสารในสภาพแวดล้อมการทำงาน
- การทำงานร่วมกับผู้อื่น
- การเรียนรู้สิ่งใหม่ ๆ อยู่เสมอ
สำหรับใครที่กำลังสนใจสาย Security อยู่ อยากบอกว่าการเริ่มต้นอาจดูยากในช่วงแรก แต่ถ้ามีความสนใจ พร้อมเรียนรู้ และไม่หยุดพัฒนาตัวเองอยู่เสมอ ก็สามารถก้าวเข้าสู่เส้นทางสายนี้ได้แน่นอนค่ะ
สุดท้ายนี้ ต้องขอขอบคุณพี่ ๆ ทีมงาน Datafarm ทุกคนที่คอยให้คำแนะนำ เปิดโอกาสให้ได้เรียนรู้ และมอบประสบการณ์ดี ๆ ตลอดระยะเวลาการฝึกงาน 9 เดือนที่ผ่านมา เป็นช่วงเวลาที่ได้รับทั้งความรู้ ประสบการณ์ และแรงบันดาลใจในการศึกษาหาความรู้ด้าน Cybersecurity อย่างมากค่ะ
