เทคนิคการ Hack Email Account แบบ Social Engineering และการป้องกัน

 จากที่ผมเองมีประสบการณ์ดูและระบบ Zimbra Server ให้กับองค์กรหลายๆที่ มาเป็นเวลาหลายปี ปัญหาหลักหนึ่งที่เจอ ก็คือ Account บน Zimbra  ถูก Hack โดยผู้ไม่หวังดี  โดยในช่วงแรกจะใช้วิธี Brute force โดยเหล่า hacker จะใช้โปรแกรมพยายามเดา Password ของ Account บน Zimbra ที่ Password ถูกตั้งไว้ไม่ซับซ้อน ซึ่งผมได้เคยเขียนบทความที่เกี่ยวกับเรื่องนี้ไปแล้วหลายบทความ ลองหาอ่านดูย้อนหลังได้ครับ 

    หลังจากที่ได้ทำการให้ความรู้กับลูกค้าและแก้ปัญหาไปแล้ว ปัญหา Account ถูก Hack ของลูกค้าผมได้ลดน้อยลงและหายไปอยู่หลายปีครับ แต่ในช่วงหลังๆ ตั้งแต่ปี 2019 เป็นต้นมา ผมเจอว่า ลูกค้าของผมหลายๆที่ ที่ได้มีการตั้ง Password  ที่ซับซ้อนก็ยังโดน Hack ได้ ซึ่งหลังๆ เจอได้บ่อยขึ้นเรื่อยๆ จากการตรวจสอบและวิเคราะห์ พบว่า Hacker ใช้วิธีการ Email Social Engineering คือ ส่ง Email เข้ามาหลอกถาม Password  และก็มีคนหลงเชื่อและป้อน Password ให้เค้าไปเยอะเสียด้วย 

 Social Engineering คืออะไร 

    สรุปแบบง่ายๆ เป็น Email หลอกลวง หรือ Phishing Email รูปแบบหนึ่ง โดยจุดประสงค์หลัก คือการหลอกถาม Password นั่นเองครับ วิธีนี้ไม่ได้เป็นเรื่องใหม่ แต่เป็นเทคนิคดั้งเดิมของ Hacker ที่เอาประยุกต์เอามาใช้กับการ Hack Email Account ครับ โดยผู้ไม่หวังดี จะส่ง Email ไปยัง Email Address เป้าหมาย เพื่อ หลอกถาม Password 

 โดยวิธีการที่หลอกให้เราบอก Password มีหลายหลายรูปแบบครับ เช่น 

• เป็น Link ฝังมากับ Email 
• เป็น ไฟล์แนบ ที่แนบมากับ Email 
• หรืออาจจะเป็นหน้าจอ ฝังมาในเนื้อ Email เลย 

ส่วนข้อความ ส่วนใหญ่เป็นภาษาอังกฤษ แต่เคยเจอเป็นภาษาไทยก็มี โดยข้อความหลอกจะมีหลายรุปแบบ ตัวอย่างเช่น

• ระบบคุณไม่ได้ใช้งานนาน ให้ป้อน password เพื่อยืนยันตัวตน ไม่งั้น email account จะถูกลบทิ้งภายใน xxx วัน 
• email account คุณ เนื้อที่ใช้งานใกล้เต็ม ของป้อน password เพื่อยืนยันการเพิ่มเนื้อที่ใช้งานให้ 
• กรณีที่เป็นไฟล์แนบ ก็จะหลอกประมาณว่า เป็นไฟล์สำคัญ เช่น invoice จากคู่ค้า อะไรทำนองนี้เมื่อเราเปิดไฟล์ จะมีการถาม Password ของ Email Account เพื่อปลดล็อกการเข้ารหัส
  
  
  

ตัวอย่างหน้าจอหลอกถาม Password 

ตัวอย่างนี้ email จะถูกส่งมาโดยมีไฟล์แนบ ชื่อ Copy Payment slip xls.html และหลอกให้เราเปิดไฟล์แนบนี้  

ถ้าเปิดไฟล์แนบ จะมีหน้าจอหลอกถาม password ตามนี้ 

นอกจากนี้ ยังมี Email หลอกถาม password อีกหลายรูปแบบ ซึ่งผมเคยได้เขียนบทความไว้แล้ว ตามนี้ 

• Email Phishing เป้าหมายจู่โจมผู้ใช้ Zimbra มาอีกแล้ว
• เตือนภัย Email ล่อลวง จู่โจมผู้ใช้ Zimbra โดยเฉพาะ

เมื่อเจอ Email หลอกถาม password ต้องทำอย่างไร 

• ระดับผู้ใช้งานทั่วไป  ก็อย่าป้อน password ที่หน้าจอที่หลอกถามเรานะครับ
•  ถ้า Email เหมือนจะส่งจากผู้ดุและระบบ ให้ถามผู้ดูแลระบบก่อนว่า เป็น Email ที่ระบบหรือผู้ดูและระบบหรือต้นทางตั้งใจส่งจริงๆ หรือไม่ (ซึ่งส่วนใหญ่เกือบ 100% ไม่ใช่ เพราะผู้ดูแลระบบของ Zimbra สามารถจัดการ account ใน Zimbra ได้โดยที่ไม่ต้องรู้ Password ของ User) 
• ถ้า Email ถูกส่งจากคนที่เรารู้จัก ให้สอบถามก่อนว่าเค้าตั้งใจส่งมาจริงๆหรือเปล่า เพราะเป็นไปไปได้ว่า Account ของคนส่งถูก Hack และกลายเป็นที่กระจาย Email ทำนองนี้ออกไปแล้ว 
• แต่ถ้าเป็น Email ที่ส่งมาจาก Email Address ที่เราไม่รู้จัก แนวโน้มว่าจะเป็น email หลอก ให้ลบทิ้งไปเลย 

สุดท้าย อย่าเผลอให้ Password ของ Email Account ไป  Account ของคุณจะกลายเป็น Account ที่ใช้ส่ง Spam ในอนาคต

• ระดับผู้ดูแลระบบ 
  โดยปกติแล้ว การส่ง Email ประเภทนี้ เค้าจะส่งเป็นชุด ไปยังองค์กรเป้าหมาย เมื่อมี Account ในองค์กรได้รับ Email ทำนองนี้ แนวโน้มที่ Account อื่นๆ ในองค์กรจะได้รับ Email เดียวกันนี้ เป็นไปได้ค่อนข้างสูง ดังนั้น สิ่งที่ผู้ดุและระบบควรจะต้องทำ มีดังนี้ 

1. แจ้ง user คนอื่นๆ ในองค์กร ให้ทราบ
   เมื่อมี User สอบถามมาเกี่ยวกับ Email ที่น่าสงสัย และพบว่าเป็น Email พวกนี้  แจ้งให้ User ทุกคนในองค์กรทราบว่า Email ที่อาจจะได้รับ เป็น Email หลอกถาม Password ถ้าเจอให้ลบทิ้ง หรือถ้าไม่แน่ใจ ให้สอบถามกลับมา ส่วนใหญ่ Email ประเภทนี้ในการส่งแต่ละรอบ จะส่งจาก Email address หรือ Domain เดียวกัน, Subject เนื้อหา รูปแบบ จะคล้ายๆ กันครับ ทำให้ระบุได้ไม่ยาก
2. Setup firewall ให้ block การเชื่อมต่อจากเครื่องในองค์กรไปยัง Server ที่หลอกถามข้อมูล
   ถ้าตรวจสอบได้ว่า Link ที่แนบมากับ Email ชี้ไปที่ server ไหน และ Firewall ขององค์กร สามารถตั้งค่าให้ Block การเชื่อมต่อ ออกไปยัง Server ของ URL ที่หลอกถาม Password ได้ ก็ให้ทำการ Block เลยครับ วิธีการนี้เผื่อว่ามี User ในองค์กรที่ไม่ทราบ เผลอเชื่อมต่อไปยัง URL ที่จะหลอกถาม password จะได้ทำไม่ได้ 
   แต่วิธีการนี้ ก็ป้องกันไม่ได้ 100% นะครับ เพราะหลายๆ องค์กร User สามารถใช้งาน Email ผ่าน Mail client จากภายนอกองค์กรได้ ทำให้เราไม่สามารถปิดกั้นการเชื่อมต่อไปยัง server ที่หลอกถาม Password ได้ทุกกรณี
3. Scan หาและลบ Email หลอกถาม Password ที่ได้รับออกจากทุก account  
   วิธีการนี้เป็นท่ายากครับ คือต้องเขียน Script บน Zimbra Server ไล่ scan หา Email หลอกถาม password ใน account ทั้งหมดบนเครื่อง Zimbra โดยดูจาก Email address ผู้ส่ง หรือ subject ของ Email
   อย่างไรก็ตาม วิธีนี้จะได้ผลถ้าเราทำการลบ Email พวกนี้ ก่อนที่ User เปิดอ่านเท่านั้น 
   
   

Mail Gateway ช่วยกรอง Email ทำนองนี้ได้หรือไม่ 

หลายๆ องค์กรมีการตั้ง Mail Gateway เพื่อกรอง Spam mail ก่อนที่จะผ่านเข้ามายัง Mail Server ขององค์กร คำถามคือ อุปกรณ์พวกนี้ สามารถช่วยกรอง Email ที่หลอกถาม Password ได้หรือไม่ 
ส่วนตัวผม คิดว่าสามารถกรองได้ระดับหนึ่งครับ แต่ไม่ 100%  จากประสบการณ์ก็ยังเจอว่า Mail Gateway ยี่ห้อดังๆ ก็ยังมี Email หลอกถาม Password หลุดเข้ามาได้ เพราะ hacker ก็จะพยายามหา เทคนิคและช่องทางใหม่ๆ ที่ให้ Email ที่ไม่ดีเหล่านี้ หลุดรอดผ่านเข้าไปถึง User ได้  การให้ความรู้ กับ User ให้ระวัง Email เหล่านี้อยู่เสมอ น่าจะเป็นคำตอบที่ดีที่สุดครับ 

ไม่แปลกใจ ไทยครองอันดับเป็นประเทศที่ถูก hack ข้อมูล เป็นอันดับสอง

เมื่อวันเสาร์ที่ผ่านมา ผมได้อ่านข่าวไทยรัฐ  ( http://www.thairath.co.th/content/432683 ) ว่าเมืองไทย ได้อันดับสอง ที่เป็นประเทศที่ถูกแฮกข้อมูล รองจากเมกา

    ฟังดูเหมือนไม่น่าเชื่อ แต่จากประสบการณ์ที่ทำงานกับ Zimbra ผมกลับไม่แปลกใจเลยครับ มีคนมาให้ผมช่วยเหลือเรื่องโดย แฮก Zimbra เยอะมาก ผมว่าน่าจะเกินสิบ case ขึ้นนะ และยังมีมาเรื่อยๆ ที่น่าตลกคือ ครั้งแรกที่ผมสอน Class Zimbra Admin ที่เกษตร ยังไม่ทันได้สอนเรื่องป้องกันการ hack เลย ก็มีผู้เข้าอบรมมาขอให้ช่วยดูเครื่อง Zimbra ที่เค้าดูแลให้ จากการเช็ค โดนแฮกเรียบร้อยแล้ว

ปัญหาคืออะไร
     ถ้าถามผม ว่าปัญหาคืออะไร ผมว่าทั้งผู้ใช้งาน และผู้ดูและระบบชาวไทย ยังไม่ตระหนักถึงอันตรายและผลที่ตามมาเมื่อระบบที่ใช้งาน หรือดูแลอยู่ถูก hack บนระบบที่สามารถเข้าใช้งานผ่าน internet ได้ ผมยังเจอคนใช้งาน ที่ยังตั้ง password ที่เหมือนชื่อ login  หรือเลวร้ายกว่านั้นใช้คำว่า "password" เป็นรหัสผ่าน
บางคนยังบ่นว่า ทำไม่ข้อกำหนดในการตั้ง password ต้องตั้งให้ยาก มีทั้งตัวเล็กตัวใหญ่ มีตัวเลข และอักษรพิเศษด้วย ไปโวยวายเอากับผู้ดูและระบบ ....เฮ้อ

ส่วนด้านผู้ดูและระบบ หลายคนก็ไม่น้อยหน้าผู้ใช้ พอเห็นเป็น Open Source Software ไม่ต้องซื้อ พอ search internet หาบทความที่บอกวิธีการลงเจอ ลงได้ ให้ user ในบริษัทใช้งานได้ คิดว่าจบแล้ว ไม่ค้นคว้าหาความรู้ต่อ รู้ตัวอีกที่ โดน hack ไปแล้ว โดนเจ้านายด่า โดน user ด่า แล้วมานั่งเซ็ง แบบนี้ต้องโทษตัวเองครับ
แล้วดูเหมือนข้อมูลที่หาเจอใน  internet จะสนับสนุนให้เป็น แบบนี้เยอะซะด้วย บอกแต่วิธีการลงซะเป็นส่วนใหญ่ ความรู้หลังจากนั้น ก็ตัวใครตัวมัน

นี่เป็นเหตุผล ที่ผมไม่เคยมีบทความเรื่องการติดตั้ง Zimbra  ใน ThaiZimbra อยู่เลย เพราะมีกันเยอะแล้ว ผมเขียนเรื่องอื่นๆที่ไม่เคยมีใครพูดถึง ซึ่งมีอยู่เยอะมาก ดีกว่า

ถ้าทำได้แค่ลงระบบ อย่าเรียกตัวเองว่า ผู้ดูและระบบ หรือ System Administrator เลยครับ เรียกตัวเองว่า ผู้ติดตั้งระบบ หรือ System  Installer น่าจะเหมาะกว่า

ถ้าเป็น System Admin แล้วจะแก้หรือป้องกันยังไง 
อันดับแรก อย่าชล่าใจ คิดว่าเราเป็นองค์กรเล็กๆ ไม่ใช่ เพนตากอน ไม่ใช่นาซ่า คงไม่มีใครอยาก hack หรอก hacker มันไม่สนหรอกครับ โดยเฉพาะอย่างยิ่งการ hack ระบบ mail server ไว้ส่ง spam มันเอาปริมาณเข้าว่า ยิ่งเยอะยิ่งดี

ข้อที่สอง หาทางป้องกัน โดย
หาความรู้เพิ่มเติม  อย่างน้อย บทความที่ผมเขียนใน ThaiZimbra เกี่ยวกับเรื่องความปลอดภัย มีเยอะแยะ ไปหาอ่านดู ถ้าหาไม่เจอ ถามผมได้ (ยินดีครับ อันนี้ฟรี ไม่คิดเงิน)

• ไปอบรม  บางคนบอกขี้เกียจอ่าน อ่านแล้วก็ไม่ค่อยเข้าใจ ติดปัญหาไม่รู้จะถามใคร  Class ผมมีสอนสอดแทรกเรื่องความปลอดภัยอยู่ในเนื้อหา ถามคนที่เคยไปอบรมมาได้ Class หลังๆ ยิ่งมีกรณีศึกษา และวิธีป้องกันเพิ่มขึ้นเรื่อยๆ 
• จ้างผู้เชื่ยวชาญมาช่วยดูแล   Admin บางคนบอกไอ้สองข้อที่ผ่านมา ก็รู้ แต่ไม่มีเวลาเลย งั้นลองคุยกับเจ้านายดูครับ outsource จ้างคนที่เชื่ยวชาญมาช่วยดูให้ ดีกว่ารอวันเกิดปัญหา (และถูกด่า) อย่ามีอัตตาครับ ทำไม่ได้ เกินความสามารถ จ้างเค้าเอา  ถ้าทำได้แล้วบริษัทขึ้นเงินเดีอนให้ ก็ ok ครับ แต่ถ้าทำได้แล้วก็งั้นๆ แต่ทำผิดแล้วถูกด่า โยนงานให้คนอื่นที่เชียวชาญทำดีกว่าครับ  ให้เค้าโดนด่าแทน ( ที่จริงงาน Outsource ดูแลแก้ปัญหาระบบ ผมรับทำอยู่ครับ เป็นงานหลักของผมเลย) 
•  เปลี่ยนงาน หรือหาอาชีพใหม่ ถ้าทุกข้อที่ผมแนะนำ ทำไม่ได้ แปลว่าบริษัทที่ทำอยู่ ไม่สนับสนุนการทำงาน ไม่เหมาะกับคุณ ผมแนะนำให้ลาออกไปหางานที่ดีกว่า  หรือถ้าคิดว่าไปบริษัทไหนก็เจอปัญหาเดิม แก้ไม่ตก ผมแนะนำให้เปลี่ยนอาชีพไปเลย  อย่ามาดูและระบบคอมเลยครับ มันคงไม่เหมาะกับตัวคุณ ผมเห็นหลายคน ทำเหมือนที่ผมบอก ได้ดิบได้ดีไปเยอะแล้ว (จริงๆ นะ)

ลองคิดทบทวนดูและกันนะครับ ผมทำได้ดีที่สุดคือแนะนำและเตือนคุณ ที่เหลืออยู่ที่ตัวคุณเองแล้วหละครับ

หมายเหตุ เนื้อหาในบทความนี้ อาจจะไปจี้ใจดำบางท่าน ต้องขออภัย แต่ผมตั้งใจติเพื่อก่อจริงๆ ครับ ผมไม่อยากให้ระบบ Zimbra ที่ตั้งโดยคนไทย เป็นเป้าหมายหลักของ hacker หรือ spammer มันเสียชื่อคนไทยครับ

Admin account จุดบอดใน Zimbra ที่หลายคนคาดไม่ถึง และการป้องกัน

โดยปกติ การ hack account บน Zimbra เข้ามาทาง web client นั้น hacker จะพยายามหาชื่อ account ในระบบ โดยชื่อกลุ่มแรกๆ ที่ hacker จะลองก็คือ account มาตรฐานตามที่ผมเคยเขียนในบทความเรื่องการ ป้องกันการถูก hack account สำหรับ email address ชื่อมาตรฐานบน zimbra ไปแล้ว แต่อย่างไรก็ตาม มี account มาตรฐานที่มีมาตั้งแต่ติดตั้งระบบอีกอันหนึ่ง ซึ่งหลายคนลืมนึกถึง  ซึ่งก็คือ admin นั่นเอง

account admin ของ zimbra เป็นอีกจุดหนึ่งที่ hacker จะ hack เข้ามาทาง Web Client ถึงแม้ บางองค์กรที่ใช้ Zimbra จะปิด port 7071 ให้ไม่สามารถ  login Admin Console จากภายนอกได้ แต่ hacker ก็ยังมีโอกาสที่ login admin เข้ามาทางนี้ได้  โดยการเดา password และถ้าทำสำเร็จ ก็สามารถใช้ account นี้ ส่ง spam ได้เหมือนกัน และอย่ามั่นใจนะครับ ว่าคุณตั้ง password ของ admin ไว้ดีแล้ว อย่างที่ผมเคยบอกไว้ว่า hacker ใช้โปรแกรม ในการเดา password และพยายาม login และทำเป็นร้อยๆพันๆครั้ง โอกาสที่จะเดา password ถูก มีมากครับ ดังนั้นทางที่ดี เราควรป้องกันไว้ดีกว่าครับ

ข้อแนะนำ การป้องกัน admin account

1)  ปิด port ของ Admin Console จากภายนอกองค์กร
ปิด port 7071 ที่ firewall ขององค์กร ไม่ให้ login Admin console มาจากภายนอกได้  แต่ถ้าจำเป็นจะต้องใช้งาน Admin Console  มาจากภายนอกองค์กร  แนะนำให้ติดตั้งระบบ  VPN  และใช้งาน admin console ผ่านทางระบบ vpn แทน

2)  กำหนดสิทธิ ให้ account อื่นเป็น admin แทน
การกำหนดให้ account ของคนที่เป็นผู้ดูแลระบบ Zimbra  ให้ได้สิทธิของ admin วิธีนี้มีประโยชน์ที่ตามมาคือ  ในกรณีที่มี admin หลายคนในระบบ การทำแบบนี้ ทำให้เรารู้ได้ว่า ใครเป็นคน login  web console (ดูที่  /opt/zimbra/log/audit.log ได้)

3) กำหนดสถานะของ admin account เป็น locked
การทำเช่นนี้จะทำให้ admin account ไม่สามารถ login ทั้ง web client และ  web console ได้
แต่อย่างไรก็ตาม อย่าลบ  admin account นะครับ ถึงแม้เราจะสามารถจะทำได้ แต่ต้องมีการ setup อื่น ตามมาหลายอย่าง และส่วนตัวผมยังไม่แน่ใจว่าจะมีผลกระทบอะไรหรือเปล่า  เพื่อความปลอดภัยกำหนด status เป็น locked ง่ายและปลอดภัยที่สุด

3) forward  email  ที่ส่งมายัง admin account ไปที่  account ที่ได้สิทธิ admin  ในข้อ 2)

ทำแบบนี้แล้ว น่าจะเป็นการปิดจุดอันตรายของ Zimbra  ไปอีกจุดหนึ่งนะครับ

ป้องกันการถูก hack account สำหรับ Email Address ชื่อมาตรฐาน บน zimbra

photo from : hackronomicron (c) 2014 http://www.hackronomicon.com

ในองค์กรส่วนใหญ่ จะมี Email อยู่กลุ่มหนึ่งที่จะถูกเผยแพร่ออกไปในวงกว้าง เช่น

sales@mydomain.com  
support@mydomain.com
info@mydomain.com

เห็นชื่อก็คงพอเดากันได้นะครับ ว่าใช้ทำอะไร ผมเรืยก Email Address พวกนี้ว่า เป็น  Email address ชื่อมาตรฐาน ซึ่ง Email address เหล่านี้ เป็นเป้าหมายอันดับต้นๆ ของเหล่า hacker หรือ spammer ที่จะทำการเจาะระบบ หรือ hack  account

ซึ่งวิธีการ hack ก็ง่ายๆครับ ลอง login (โดยใช้โปรแกรมสำหรับ hack account) ผ่านทาง Web client  , pop3 หรือไม่ก็ imap   และโปรแกรมสำหรับ hack จะทดลองใส่ password ตาม list  ของ password ที่คาดว่าใช้กันบ่อยๆ ซึ่งเหล่า hacker จะมี เก็บไว้อยู่แล้ว

ทำไม่ hacker เลือกที่จะ hack email address  ที่มีชื่อประมาณนี้ สาเหตุก็คงเป็นเพราะ
ชื่อหาง่าย บางทีดูจาก website ของ บริษัทก็มีเขียนบอกไว้
หรือถ้าไม่บอก ก็เดาเอาก็ยังได้ ชื่อมาตรฐานอยู่แล้ว
คำถามที่ตามมาก็คือ แล้วเราควรจะทำอย่างไร กับ Email จำพวกนี้ ไม่ให้ถูก hack

วิธีการป้องกัน
สำหรับ Zimbra มีวิธีการป้องกันและแก้ไข ตามนี้ครับ

1.  อย่างสร้าง Account  บน Zimbra โดยใช้ชื่อพวกนี้ ให้สร้างเป็น Distribution List (DL) แทน และให้ Forward email ที่ถูกส่งถึง Email Address  เหล่านี้ ไปยัง Email Address ของผู้ที่รับผิดชอบแทน
    สาเหตุที่เราทำแบบนี้ เพราะ บน Zimbra เราไม่สามารถใช้ชื่อ DL ในการ Login ได้ครับ ดังนั้น เราไม่ต้องกังวลเรื่อง password จะเดาได้ง่ายหรือเปล่าด้วย เพราะยังไงก็ login โดยใช้ DL  ไม่ได้อยู่แล้ว

2. อย่างสร้าง Alias Email โดยใช้ชื่อพวกนี้ เพราะใน Zimbra  เราสามารถ Login โดยใช้ Alias แทนชื่อ Account ได้ด้วย แต่เรา Login โดยใช้  DL ไม่ได้

สำหรับในข้อ 1 คือการใช้ DL จะมีข้อดีคือ เราสามารถ Forward Email ที่ถูกส่งมาถึง Email Address เหล่านี้ ไปยังหลายๆ คนได้ด้วย และเรายังสามารถ เปลี่ยน Email Address เป้าหมายที่จะ forward ไปได้ โดยไม่ต้องยุ่ง กับ Account เป้าหมาย

Side Effect ที่เกี่ยวข้องกับ Failed Login

นอกจากนี้ บางองค์กร แก้ปัญหา hacker พยายาม login โดยการเดา password  โดยกำหนด  Failed Login Policy ว่าถ้ามีการ login ผิดติดกัน แล้วระบบ จะ Lock ไม่ให้ login ได้ชั่วคราว ต้องให้ Admin ปลด lock

ถ้าเรากำหนดให้ Email Address  ชื่อมาตรฐานเหล่านี้ใหั Login ได้ และมีคนพยายามจะ hack account พวกนี้ ถึงแม้จะเดา password ไม่ถูก แต่  account ที่มีชื่อมาตรฐานเหล่านี้ จะถูก lock ตาม policy ที่เราตั้งไว้บ่อยมาก เป็นที่น่ารำคาญ เพราะทำให้วันๆ Zimbra Admin  ไม่ต้องทำอะไร คอยตามปลด lock ซึ่งเกิดจากฝีมือของ hacker

ซึ่งในกรณีนี้ การแก้ปัญหา โดยใช้ DL แทน ก็ช่วยได้เหมือนกันครับ

หวังว่าคงได้ประโยชน์ จากบทความนี้กันนะครับ

แจ้งข่าว zimbra 7 และ zimbra 8 ครับ มีช่องโหว่ถูก hack ได้ครับ

เหตุด่วนเหตุร้าย สำหรับผู้ดูและระบบ (และผู้ใช้)  Zimbra 7 และ Zimbra 8
Zimbra ทั้งสอง version มีช่องโหว่ด้านความปลอดภัยครับ

Hacker สามารถจะ Hack เข้า Zimbra ผ่านทาง Admin console ได้ ซึ่งทำให้ได้สิทธิ  เป็น Admin user ของ zimbra
สร้าง Admin Account ขึ้นมาเองก็ได้ครับ

ระบบที่มีช่องโหว่ 
Zimbra 7 version ก่อน 7.2.3
Zimbra 8 version  ก่อน 8.0.3

จากข้อมูลที่ได้ ไม่ว่า จะ Run Zimbra 7 หรือ 8 บน CentOS  หรือ Ubunto จะมีช่องโหว่นี้ทั้งหมดครับ
ส่วน Zimbra version  5,6 ไม่มีรายงานว่ามีช่องโหว่ครับ

การป้องกันเบื้องต้น
ปิด Port ของ Web Admin Console  (โดยปกติจะเป็น TCP  Port 7071) ไม่ให้สามารถใช้งานจาก Internet  หรือ Network ภายนอก

โดยอาจปิดที่  iptable ของ Linux  หรือ firewall

การแก้ไขถาวร 
Zimbra คาดว่าจะออก patch  มาช่วงกลางเดือนนี้ แต่ถ้าไม่สามารถรอได้
ให้ upgrade Zimbra 7 และ 8 เป็น release ล่าสุด
สำหรับ Zimbra 7  upgrade เป็น 7.2.2 หรือ version ที่สูงกว่า
สำหรับ Zimbra 7  upgrade เป็น 8.0.3 หรือ version ที่สูงกว่า

หมายเหตุ
อย่าประมาทเป็นอันขาดนะครับ จะทำอะไรก็รีบทำ ป้องกันไว้ก่อน  เพราะตัวโปรแกรมที่ใช้ hack สามารถหาได้ใน Internet แล้ว  และช่องโหว่นี้ถูกพบว่าประมาณเดือนนึงแล้ว(ตังแต่ ธันวาคมปี 2556) คาดว่ามีคนโดนไปแล้ว ช้าไปจะไม่ทันการ

มีคำถาม ติดต่อผมได้นะครับ ไม่ต้องเกรงใจ (ผมกลับมาทำงานแล้ว)
แชร์ข้อมูลนี้ได้เลยนะครับ ไม่ต้องขออนุญาติผม กระจายข่าวไปให้กว้างที่สุด เพื่อป้องกันอันตรายที่อาจจะเกิดขึ้น

ต้องขอขอบคุณ คุณปิตุรักษ์ รอดโต ที่แจ้งข่าวมาครับ

ศิวัฒน์ ศิวะบวร

วิธีป้องกัน Linux ไม่ให้ถูก hack ผ่าน ssh

ขอย้ำอีกทีนะครับ

สำหรับ คนที่ติดตั้ง zimbra แล้วเปิด port 22 (ssh) ให้ ssh login เข้ามาจาก internet ได้
แนะนำให้ setup sshd ไม่อนุญาติให้ root login เข้ามาที่ port 22 โดยตรง
เพื่อป้องกัน hacker (ถ้าไม่ทำ โดน hack มาหลายรายแล้ว)
วิธีการคือ edit /etc/ssh/sshd_config (Redhat, Fedora, CentOS) แล้วแก้หรือเพิ่มบรรทัด PermitRootLogin เป็น no ตามตัวอย่างข้างล่าง

PermitRootLogin No

เสร็จแล้ว restart sshd ด้วยคำสั่ง

service sshd restart

หรือ reboot เครื่องนะครับถ้าทำแบบนี้แล้ว ถ้าอยากจะเป็น root ต้อง login ที่ console หรือ login ทาง ssh โดยใช้ user อื่น แล้วคำสั่ง su เอานะครับ

ข้อควรระวัง 
ก่อนจะ setup เพื่อไม่ให้ root login ผ่าน ssh ควรจะสร้าง user อื่นไว้ก่อน สำหรับ login ผ่านทาง ssh เดี๋ยวจะ remote login ไม่ได้

Zimbra Tip and Technique #10 : Failed Login Policy

อาทิตย์ก่อน ผมได้พูดถึงเรื่องการ hack email account ซึ่ง zimbra สามารถป้องกัน หรือ ทำให้โอกาสเกิดขึ้นได้น้อยลงมาก โดยการกำหนด password policy
อีกสิ่งหนึ่งที่ทำได้ คือการกำหนด Failed login policy ซึ่งเป็นการกำหนดพฤติกรรมให้กับ zimbra ว่า ถ้า user คนหนึ่งมีการ login ผิด ว่าระบบจะใช้อะไรตัดสิน และจะทำอย่างไรกับ account ที่ login ผิด

ซึ่งมีค่าที่เซตได้ดังนี้

Enable failed login lockout : เป็นการ enable feature ว่า ถ้ามีการ login ผิดตามรายละเอียดที่ set ไว้ ระบบจะทำการ lock user ไม่ให้ login ได้

Number of consecutive failed login allowed : เป็นค่าจำนวนครั้งที่อนุญาติให้ user มีการ login ผิด ติดต่อกัน

Time window in which failed login must occure to lock the account : เป็นการระบุว่า การ login ผิดติดต่อกัน ตามค่าที่กำหนด ต้องเกิดขึ้นภายในระยะเวลาเท่าไหร่ ระบบถึงจะ lock account นั้นๆ

Time to lockout the account : เวลาที่ระบบจะ lock user ไม่ให้ login ถ้ามีการ login ผิดติดต่อกัน ตาม จำนวนครั้ง และภายในเวลาที่กำหนด


วิธีนี้สามารถแก้ปัญหาที่ hacker รู้ account และพยายาม เดา password ได้ในระดังหนึ่ง คือเดาได้แค่เท่ากับจำนวนครั้งที่เรากำหนดไว้ หลังจากนั้น ถึงแม้เดาถูก แต่ account ถูก lock ก็ login ไม่ได้

และในขณะเดียวกัน จะทำให้ zimbra admin ทราบได้ว่ามีคนพยายามจะ hack account โดยสังเกตุได้จากมี user หลายๆ คน ถูก lock account เนี่องจาก failed login ด้วยครับ

Hack Email Account, Part I

พวกเราหลายๆคน ที่ทำหน้าที่ admin ระบบ email คงเคยต้องรบกับผู้ใช้ระบบเมล์ ว่า ทำไมต้องกำหนด password policy ให้ยากหรือซับซ้อนจัง

ตัวอย่างเช่น ต้องมีตัวเลขหนึ่งตัว ตัวอักษรตัวใหญ่หนึ่งตัว ความยาวตัวอักษรอย่างน้อยต้องแปดตัว เปลี่ยนทุกสามเดือน ห้ามซ้ำกับของเดิมอย่างน้อย 4 ตัว และอื่นๆ (เอาแค่เบาะๆ ก่อนละกัน)

หลายๆคน ก็เลี่ยงๆตอบว่า เป็นนโยบายบริษัทบ้าง เจ้านายสั่งบ้าง

บางคนหรือหลายๆ บริษัทคิดว่าไม่สำคัญ กว่าจะรู้ตัว (หรือไม่รู้ตัว) ก็ถูก hack ไปแล้ว

ที่ต้องทำให้ยาก เพื่อไม่ให้ hacker สามารถเดา password ได้นะสิครับ 

บางคนคิดว่าข้อมูลบริษัทเรา ไม่มีอะไรสำคัญ เอาไปก็ไม่ได้อะไร  ....
ถูกครับ hacker พวกนี้เค้าไม่เอาข้อมูลไปหรอก แต่เค้าจะ

1) เอา list รายชื่อ email ของคนที่คุณเคยคุยด้วยไป เอาไปทำหยัง เอาไว้ส่ง spam กับไว้เจาะ ระบบเมล์ต่อสิครับ
2) เอา account ของคุณไว้ส่ง spam

หลายคนคงเคยเจอ หรือเคยได้ยิน อยู่ดีๆ เมล์ของบางบริษัท(หรือทั้งบริษัท) ติด black list ส่งเข้า google หรือ hotmail ไม่ได้ โดยให้สาเหตุว่า email ของคุณส่ง spam ออกมา ก็เพราะสาเหตุข้อ 2) นี้แหละ

ธุรกิจเสียหาย ไปเท่าไหร่ ไม่รู้ คิดเอาเอง ภาพพจน์อีกต่างหาก คิดดูสิ เกิดลูกค้าเจอ spam mail ถูกส่งจาก email address ของบริษัทคุณ เค้าจะคิดยังไง


จบดื้อๆ ตรงนี้เลยละกันนะครับ เดี๋ยวไว้ต่อ ภาคสอง ว่า hacker ได้ list ของ email แล้ว เอาไป hack ต่อได้ไง แล้วมันเกิดอะไรขึ้น

สวัสดีครับ

Hacking Email Account, Part II

Hacking Email Account , Part II

ผมเคยเขียนถึงเรื่องการ Hack email account ไปแล้วว่า hacker ทำไปเพื่อเอารายชื่อ email address ที่เราเคยติดต่อ เก็บไว้เพื่อใช้ส่ง spam

บังเอิญผมได้ยินกรณีที่น่ากลัวกว่านั้น คือ hacker เอา account เราไว้ส่ง email หลอกลวง เพื่อให้โอนเงิน

ปกติที่เราเคยได้ยินว่ากรณีนี้จะ เกิดกับ account ส่วนตัวบน hotmail, yahoo,google แต่ถ้าเป็นกรณีที่เป็น account ของบริษัทหละ แล้วถ้าเกิด email ที่ถูก hack เป็นของ... sales แล้ว เจ้า hacker ดันจับเรื่องที่ sale กำลังคุยกับลูกค้าได้ แล้วดันปลอม email บอกให้ลูกค้าโอนเงินเข้าบัญชีหลอกๆ ที่ hacker เปิดไว้หละ คิดดูก็แล้วกัน และถ้าลูกค้ารู้ว่า email account ของบริษัทเราถูก hack ความน่าเชื่อถือกับลูกค้าเจ้านั้น คงหมดกัน

เพราะฉะนั้น เราควรดูแล email account อย่าให้ถูก hack ได้นะครับ
วิธีป้องกันอย่างนึง คือการ set password policy ที่ผมเคยเขียนไปแล้ว ลองหาอ่านดูกันนะครับ


Hacking Email Account, Part I 
Setting Password Policy, Part I
Setting Password Policy, Part II