ความหมายของระบบรักษาความปลอดภัย (Computer Security System)
ระบบที่มีไว้เพื่อป้องกันภัยคุกคามจากผู้ที่ประสงค์ร้ายต่อธุรกิจข้อมูลที่เป็นความลับขององค์กรหรือข้อมูลส่วนตัวของบุคคลทั่วไปที่องค์กรนั้นมีอยู่รวมไปถึงข้อมูลในเครื่องคอมพิวเตอร์ส่วนบุคคลจากผู้ที่ต้องการคุกคามผู้ใช้คอมพิวเตอร์บนโลกอินเตอร์เน็ตหรือจากระบบรักษาความปลอดภัยในเครื่องคอมพิวเตอร์เอง
ประโยชน์และข้อจำกัดของระบบรักษาความปลอดภัย
ประโยชน์
1.ป้องกันบุคคลที่ไม่ประสงค์ดีเข้ามาทำลายข้อมูลภายในระบบคอมพิวเตอร์ด้วยรูปแบบต่างๆกันไปไม่ว่าจะเป็น
การส่งไวรัสเข้าสู่ระบบคอมพิวเตอร์ซึ่งมีผลทำให้ข้อมูลต่างๆที่มีอยู่นั้นเกิดความเสียหายหรือการโจรกรรมข้อมูล
ที่เป็นความลับการละเมิดข้อมูลส่วนบุคคลของผู้อื่น
2.เพิ่มความสามารถในการรักษาความปลอดภัยให้กับระบบคอมพิวเตอร์ของตนให้มากขึ้น
ข้อจำกัด
1.ระบบรักษาความปลอดภัยจะมีประสิทธิภาพก็ต่อเมื่อ update โปรแกรมของระบบอยู่เสมอ เพราะ hackerจะมีการพัฒนา
และสร้าง ไวรัสตัวใหม่อยู่เป็นประจำ
2. จากการที่มีไวรัสในเครือข่ายอินเตอร์เน็ตมาก เป็นเหตุให้เราต้องลดการ load ข้อมูล รูปภาพ
จากอินเตอร์เน็ต และต้องไปหาข้อมูลจากแหล่งการศึกษาอื่นแทน เช่น ห้องสมุด
หนังสือพิมพ์ วารสาร โปสเตอร์ เป็นต้น
บทบาทของระบบรักษาความปลอดภัยบนเครื่องคอมพิวเตอร์
บทบาทของระบบรักษาความปลอดภัยบนเครื่องคอมพิวเตอร์คือ
ป้องกันผู้ไม่ประสงค์ดี และบุคคลภายนอก เข้ามาทำอันตรายกับเครื่องคอมพิวเตอร์
การรักษาความปลอดภัยจะต้องป้องกันจากบุคคลจำพวกนี้ให้ได้โดยวิธีการที่
บุคคลเหล่านี้ใช้มีด้วยกันหลายวิธี สามารถแบ่งเป็นประเภทได้ 2 ประเภท คือ
การบุกรุกทางกายภาพ
(เข้าถึงระบบโดยตรง)เช่นการเข้ามาคัดลอกข้อมูลใส่แผ่นดิสก์กลับไปการขโมยฮาร์ดดิสก์ออกไปการสร้างความเสียหายโดยตรงกับฮาร์ดแวร์ต่าง
ๆหรือการติดตั้งฮาร์ดแวร์ที่ดักจับ Passwordของผู้อื่นแล้วส่งไปให้ผู้บุกรุกเป็นต้น ประเภทที่สองคือการบุกรุกเครือข่ายคอมพิวเตอร์เช่นการปล่อยไวรัสคอมพิวเตอร์เข้ามาทำลายระบบหรือขโมยข้อมูลการเจาะเข้ามาทางรอยโหว่ของระบบปฏิบัติการโดยตรงเพื่อขโมย Password หรือ ข้อมูลเป็นต้น
ระบบรักษาความปลอดภัยที่ใช้ป้องกันการบุกรุกทางกายภาพที่นิยมใช้ คือ ระบบ
Access Control ส่วนระบบที่ป้องกันการบุกรุกทางเครือข่าย
คือ Firewall นอกจากนี้ยังใช้วิธีการ Backup ข้อมูลที่สำคัญเก็บเอาไว้
เพื่อใช้ในกรณีที่ข้อมูลเกิดความเสียหายจากสาเหตุใดๆ ก็ตาม ผู้ที่สามารถเข้ามาระบบรักษาความปลอดภัยเข้ามาได้มีอยู่ 2 ประเภท คือ Hacker และ Cracker โดยมีวิธีในการเข้าใช้ระบบหลายวิธี
โดยทั่วไปจะเข้าสู่ระบบโดยใช้การ Log in แบบผู้ใช้โดยทั่วๆ
ไปข้อแตกต่างระหว่าง Hacker และ Cracker ก็คือ จุดประสงค์ของการเจาะข้อมูลในเครื่องคอมพิวเตอร์ผู้อื่น ดังนี้
Hacker คือผู้เชี่ยวชาญที่มีความรู้สามารถถอดรหัสหรือเจาะรหัสของระบบรักษาความปลอดภัยของเครื่องคอมพิวเตอร์คนอื่นได้โดยมีวัตถุประสงค์เพื่อทดสอบขีดความสามารถของระบบเท่านั้นหรืออาจจะทำในหน้าที่การงานเช่นผู้ที่มีหน้าที่เกี่ยวข้องกับระบบรักษาความปลอดภัยของเครือข่ายหรือองค์กรเพื่อทำการทดสอบประสิทธิภาพของระบบว่ามีจุดบกพร่องใดเพื่อแก้ไขต่อไป
Cracker คือผู้เชี่ยวชาญที่มีความรู้สามารถถอดรหัสหรือเจาะรหัสของระบบรักษาความปลอดภัยของเครื่องคอมพิวเตอร์คนอื่นได้โดยมีวัตถุประสงค์เพื่อบุกรุกระบบหรือเข้าสู่เครื่องคอมพิวเตอร์คนอื่นเพื่อขโมยข้อมูลหรือทำลายข้อมูลคนอื่นโดยผิดกฎหมายโดยภัยคุกคามที่เกิดขึ้นกับระบบรักษาความปลอดภัยของคอมพิวเตอร์สามารถแบ่งออกได้
5 รูปแบบ ดังนี้
1.ภัยคุกคามแก่ระบบ
เป็นภัยคุกคามจากผู้ประสงค์ที่เข้ามาทำการปรับเปลี่ยนแก้ไขหรือลบไฟล์ข้อมูลสำคัญภายในระบบคอมพิวเตอร์แล้วส่งผลให้เกิดความเสียหายต่อระบบคอมพิวเตอร์ทำให้ไม่สามารถใช้งานได้ตัวอย่างเช่น
Cracker แอบเจาะเข้าไปในระบบเพื่อลบไฟล์ระบบปฏิบัติการ
เป็นต้น
2.ภัยคุกคามความเป็นส่วนตัว
เป็นภัยคุกคามที่Crackerเข้ามาทำการเจาะข้อมูลส่วนบุคคลหรือติดตามร่องรอยพฤติกรรมของผู้ใช้งาน
แล้วส่งผลให้เกิดความเสียหายขึ้น ตัวอย่างเช่น การใช้โปรแกรมสปาย (Spyware)ติดตั้งบนเครื่องคอมพิวเตอร์ ของบุคคลอื่น
และส่งรายงานพฤติกรรมของผู้ใช้ผ่านทางระบบเครือข่ายหรือทางอีเมล์ เป็นต้น
3.ภัยคุกคามต่อทั้งผู้ใช้และระบบ
เป็นภัยคุกคามที่ส่งผลเสียให้แก่ผู้ใช้งานและเครื่องคอมพิวเตอร์เป็นอย่ามาก
ตัวอย่างเช่น
ใช้ Java Script หรือ Java
Applet ทำการล็อคเครื่องคอมพิวเตอร์ไม่ให้ทำงาน
หรือบังคับให้ผู้ใช้งาน
ปิดโปรแกรมบราวเซอร์ขณะใช้งานอยู่ เป็นต้น
4.ภัยคุกคามที่ไม่มีเป้าหมาย
เป็นภัยคุคามที่ไม่มีเป้าหมายที่แน่นอนเพียงแต่ต้องการสร้างจุดสนใจโดยปราศจากความเสียหายที่จะเกิดขึ้น
ตัวอย่างเช่นส่งข้อความหรืออีเมล์มารบกวนผู้ใช้งานในระบบหลาย ๆ คน
5.ภัยคุกคามที่สร้างความรำคาญ
เป็นภัยคุกคามที่สร้างความรำคาญโดยปราศจากความเสียหายที่จะเกิดขึ้น ตัวอย่างเช่น
แอบเปลี่ยนคุณลักษณะ (Property)
รายละเอียดสีของเครื่องคอมพิวเตอร์
จากเดิมที่เคยกำหนดไว้โดยไม่ได้รับอนุญาตเป็นจากความสำคัญ ของข้อมูล และภัยคุกคามต่างๆเหล่านี้ทำให้สามารถแบ่งลักษณะการรักษาความปลอดภัยบนคอมพิวเตอร์ตามลักษณะการใช้งานได้ 3 ลักษณะ คือการรักษาความปลอดภัยในองค์กร
การรักษาความปลอดภัยบนเครือข่าย อินเตอร์เน็ต
และการรักษาความปลอดภัยของข้อมูลส่วนบุคคลต้น
1.การรักษาความปลอดภัยในองค์กร
ระบบรักษาความปลอดภัยที่ใช้ป้องกันในองค์กรมีหลายลักษณะ
เช่น
ระบบ Access Control
คือระบบควบคุมการเข้าใช้งานเป็นวิธีการที่คิดค้นขึ้นมาเพื่อป้องกันการโจรกรรมข้อมูลจากบุคคลที่ไม่มีสิทธิในการเข้าใช้ข้อมูลหรือระบบ(Unauthorized)โดยผู้ที่สามารถเข้าใช้ระบบโดยผ่านระบบ(AccessControl) นี้ได้จะต้องได้รับการอนุญาตหรือได้รับสิทธิในการเข้าใช้งานก่อน(Authorize)ซึ่งบุคคลจะมีสิทธิในการเข้าใช้ระบบไม่
เท่ากันเช่นบางคนอาจได้แค่เรียกใช้ข้อมูลเท่านั้นแต่บางคนสามารถแก้ไขข้อมูลได้
เป็นต้น เมื่อได้รับสิทธิแล้วต้องการเข้าใช้ระบบ
จะต้องมีการพิสูจน์แล้วปรากฏว่าบุคคลผู้นั้นเป็นผู้ที่ได้รับสิทธิจริงจึงจะสามารถ
เข้าใช้งานได้
ระบบควบคุมการเข้าใช้งานที่ได้รับความนิยมในปัจจุบันนี้
แบ่งออกได้เป็น 3 รูปแบบ ดังนี้
-
ชื่อผู้ใช้และรหัสผ่าน (User
Name and Password) ชื่อผู้ใช้ (User Name, User ID) คือ ตัวอักษรหรือตัวเลขซึ่งบ่งบอกว่าผู้ใช้เป็นใคร ส่วน รหัสผ่าน (Password)
เป็นรหัสเฉพาะเพื่อเข้าใช้ระบบซึ่งเปรียบ เสมือนกุญแจ(Key)ที่ใช้เปิดประตูการจะเข้าใช้คอมพิวเตอร์ที่มีระบบควบคุมการเข้าใช้งานในลักษณะนี้ผู้ใช้จะต้องบอกชื่อผู้ใช้ซึ่งเป็นชื่อที่ขึ้นทะเบียนไว้กับคอมพิวเตอร์ระบบจะตรวจสอบข้อมูลของผู้ใช้เหล่านี้จากบัญชี
ที่ผู้ใช้กรอกข้อมูล ไว้ตอนแรกโดยชื่อผู้ใช้จะไม่ซ้ำกันทำให้คอมพิวเตอร์สามารถบ่งบอกความแตกต่างของผู้ใช้แต่ละคน
ได้ หลังจากกรอกชื่อข้อมูล (User Name) แล้วต้องการป้อนรหัสผ่าน
(Password) ด้วย
หากชื่อผู้ใช้และรหัสผ่านไม่ตรงชื่อผู้ใช้และรหัสผ่านที่มีอยู่ในทะเบียน
ระบบจะปฏิเสธการเข้าใช้งาน โดยทั่วไปคอมพิวเตอร์จะอนุญาตให้ผู้ใช้ตั้งชื่อผู้ใช้และรหัสผ่านได้ด้วยตนเอง
ซึ่งรหัสผ่านที่มีประสิทธิภาพในการป้องกันการเข้าใช้นั้นต้องประกอบไปด้วยลักษณะ
2 ประการ คือ
1.จำนวนของตัวอักษรหรือตัวเลขที่ประกอบกันเป็นรหัสผ่านนั้นต้องมีความยาวที่เหมาะสม
คือ ไม่ต่ำกว่า 6 ตัวอักษร
2.รหัสผ่านที่ตั้งไม่ควรจะเป็นคำที่ผู้อื่นคาดเดาได้ง่าย
เช่น วันเกิด หรือ ชื่อเล่น
