ប្រធានបទ (Topic)៖ សៀវភៅនេះដោះស្រាយពីបញ្ហានៃការគំរាមកំហែងសន្តិសុខតាមអ៊ីនធឺណិតដែលកំពុងកើនឡើង និងតម្រូវការបន្ទាន់សម្រាប់អង្គភាពនានាក្នុងការកំណត់អត្តសញ្ញាណ និងការពារភាពងាយរងគ្រោះនៅក្នុងប្រព័ន្ធកុំព្យូទ័រ បណ្តាញ កម្មវិធីវិប និងហេដ្ឋារចនាសម្ព័ន្ធក្លោដ (Cloud) មុនពេលពួកវាត្រូវបានវាយប្រហារដោយឧក្រិដ្ឋជនបច្ចេកវិទ្យា។
រចនាសម្ព័ន្ធ (Structure)៖ ឯកសារនេះប្រើប្រាស់វិធីសាស្ត្របង្រៀនជាជំហានៗ ដោយរៀបរាប់ពីបច្ចេកទេស និងឧបករណ៍វាយលុកដោយក្រមសីលធម៌ (Ethical Hacking) ជាលក្ខណៈប្រព័ន្ធ។
ចំណុចសំខាន់ៗ (Key Takeaways)៖
បន្ទាប់ពីអានឯកសារនេះ អ្នកគួរអាច៖
សៀវភៅនេះផ្តល់នូវចំណេះដឹងទូលំទូលាយអំពីការវាយលុកប្រព័ន្ធដោយក្រមសីលធម៌ ចាប់ពីការយល់ដឹងពីប្រភេទ Hacker វិធីសាស្ត្រប្រមូលព័ត៌មាន និងការវិភាគមេរោគកុំព្យូទ័រ រហូតដល់ការវាយប្រហារកម្មវិធីវិប (Web Apps) ហេដ្ឋារចនាសម្ព័ន្ធ Cloud និង IoT។ វាបំពាក់បំប៉នសិស្សានុសិស្សនូវជំនាញក្នុងការកំណត់ភាពងាយរងគ្រោះ និងការប្រើប្រាស់ឧបករណ៍បច្ចេកទេសដូចជា Nmap, Burp Suite, និង Metasploit ដើម្បីពង្រឹងសន្តិសុខបណ្តាញនៅក្នុងបរិបទជាក់ស្តែង។
| គោលគំនិត (Concept) | ការពន្យល់ (Explanation) | ឧទាហរណ៍ (Example) |
|---|---|---|
| Penetration Testing Methodology វិធីសាស្ត្រនៃការធ្វើតេស្តជ្រៀតចូល |
ដំណើរការជាប្រព័ន្ធដែលប្រើប្រាស់ដើម្បីស្វែងរក និងទាញយកប្រយោជន៍ពីចំណុចខ្សោយរបស់ប្រព័ន្ធ ដែលរួមមានដំណាក់កាលដូចជា ការប្រមូលព័ត៌មាន (Reconnaissance) ការស្កេន (Scanning) ការទាញយកប្រយោជន៍ (Exploitation) និងការលុបដាន (Covering Tracks)។ បុគ្គលិកសន្តិសុខអាយធីប្រើប្រាស់វិធីសាស្ត្រនេះដើម្បីការពារប្រព័ន្ធមុនពេលរងការវាយប្រហារពិតប្រាកដ។ | ការប្រើប្រាស់កម្មវិធី Nmap ដើម្បីស្កេនរកច្រក (Ports) ដែលបើកចំហរនៅលើម៉ាស៊ីនមេ (Server) រួចប្រើប្រាស់ Metasploit ដើម្បីសាកល្បងវាយលុកទាញយកសិទ្ធិគ្រប់គ្រង។ |
| Malware and Social Engineering មេរោគកុំព្យូទ័រ និងបច្ចេកទេសបោកបញ្ឆោតតាមបែបសង្គម |
ការប្រើប្រាស់កម្មវិធីកូដអាក្រក់ (ដូចជា Viruses, Worms, Trojans, Ransomware) រួមបញ្ចូលជាមួយការបោកបញ្ឆោតផ្លូវចិត្តមនុស្ស ដើម្បីលួចយកព័ត៌មានសម្ងាត់ ឬទម្លាយចូលប្រព័ន្ធដោយគ្មានការអនុញ្ញាត ដោយផ្តោតលើចំណុចខ្សោយរបស់មនុស្សច្រើនជាងចំណុចខ្សោយរបស់កម្មវិធី។ | ការផ្ញើអ៊ីមែលក្លែងបន្លំ (Phishing Email) ទៅកាន់បុគ្គលិកក្រុមហ៊ុនដោយមានភ្ជាប់ឯកសារមានផ្ទុកមេរោគចំណាប់ជម្រិត (Ransomware) ដើម្បីចាក់សោរទិន្នន័យ និងទារប្រាក់។ |
| Web Application Vulnerabilities (OWASP Top 10) ភាពងាយរងគ្រោះនៃកម្មវិធីវិប (OWASP Top 10) |
ចំណុចខ្សោយផ្នែកសន្តិសុខនៅក្នុងកម្មវិធីវិបដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារអាចជ្រៀតចូល និងបញ្ជាប្រព័ន្ធទិន្នន័យបាន។ ភាពងាយរងគ្រោះចម្បងៗដែលឧស្សាហ៍ជួបប្រទះមានដូចជា SQL Injection, Cross-Site Scripting (XSS), និង Broken Authentication។ | ការបញ្ចូលកូដ admin' OR 1=1 -- ទៅក្នុងប្រអប់ចូលគណនី (Login Form) ដើម្បីរំលងយន្តការផ្ទៀងផ្ទាត់អត្តសញ្ញាណចូលទៅកាន់មូលដ្ឋានទិន្នន័យ ដោយមិនចាំបាច់មានពាក្យសម្ងាត់ត្រឹមត្រូវ។ |
| Denial of Service (DoS & DDoS) ការវាយប្រហាររារាំងសេវាកម្ម |
ការផ្ញើសំណើ (Requests) ក្នុងទំហំដ៏ច្រើនលើសលប់ទៅកាន់ម៉ាស៊ីនមេ (Server) ក្នុងពេលតែមួយ ដើម្បីធ្វើឱ្យប្រព័ន្ធគាំង ឬមិនអាចបម្រើសេវាកម្មដល់អ្នកប្រើប្រាស់ស្របច្បាប់បាន។ DDoS កើតឡើងនៅពេលដែលមានឧបករណ៍ជាច្រើន (Botnet) ចូលរួមវាយប្រហារក្នុងពេលតែមួយ។ | ការប្រើប្រាស់បណ្តាញឧបករណ៍កាមេរ៉ាសុវត្ថិភាពដែលឆ្លងមេរោគ (Mirai Botnet) ដើម្បីបញ្ជូនចរាចរណ៍ទិន្នន័យ (Traffic) រាប់លានទៅកាន់វិបសាយពាណិជ្ជកម្មមួយរហូតដល់វាគាំងលែងដំណើរការ។ |
| Cloud and IoT Security សន្តិសុខក្លោដ និងឧបករណ៍ IoT |
ការការពារទិន្នន័យ និងហេដ្ឋារចនាសម្ព័ន្ធនៅលើ Cloud (SaaS, PaaS, IaaS) និងឧបករណ៍វៃឆ្លាតតភ្ជាប់អ៊ីនធឺណិត (IoT) ពីការវាយប្រហារ។ ហានិភ័យចម្បងៗរួមមាន ការកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវ (Misconfigurations) និងការបើកចំហរ API ដោយគ្មានការផ្ទៀងផ្ទាត់។ | ការប្រើប្រាស់គោលការណ៍ IAM (Identity and Access Management) និងការកំណត់សិទ្ធិឱ្យបានត្រឹមត្រូវនៅលើ Amazon S3 bucket ដើម្បីការពារកុំឱ្យមានការទាញយកទិន្នន័យឯកជនជាសាធារណៈ។ |
ការយល់ដឹងពីការវាយលុកប្រព័ន្ធដោយក្រមសីលធម៌ (Ethical Hacking) គឺមានសារៈសំខាន់បំផុតសម្រាប់ប្រទេសកម្ពុជា ស្របពេលដែលរាជរដ្ឋាភិបាល និងស្ថាប័នឯកជនកំពុងធ្វើបរិវត្តកម្មឌីជីថល (Digital Transformation) យ៉ាងសកម្ម។
ចំណេះដឹងទាំងនេះផ្តល់ឱកាសឱ្យនិស្សិតកម្ពុជាក្លាយជាអ្នកជំនាញផ្នែកសន្តិសុខបច្ចេកវិទ្យា (Cybersecurity Professionals) ដែលអាចជួយការពារហេដ្ឋារចនាសម្ព័ន្ធជាតិ និងទប់ស្កាត់ការកើនឡើងនៃបទល្មើសបច្ចេកវិទ្យាដោយជោគជ័យ។
លំហាត់ និងសកម្មភាពសិក្សាដើម្បីពង្រឹងការយល់ដឹង៖
| ពាក្យបច្ចេកទេស (English) | ការពន្យល់ជាខេមរភាសា (Khmer Explanation) | និយមន័យសាមញ្ញ (Simple Definition) |
|---|---|---|
| Penetration Testing | ជាដំណើរការនៃការសាកល្បងវាយលុកចូលប្រព័ន្ធកុំព្យូទ័រ បណ្តាញ ឬកម្មវិធីដោយមានការអនុញ្ញាតត្រឹមត្រូវ ដើម្បីស្វែងរកចំណុចខ្សោយ ឬចន្លោះប្រហោងសន្តិសុខមុនពេលពួកវាត្រូវបានវាយប្រហារដោយ Hacker ទុច្ចរិត។ | ដូចជាការជួលចោរឱ្យមកសាកល្បងគាស់ផ្ទះរបស់អ្នក ដើម្បីអ្នកអាចដឹងថាគួរទិញសោរបន្ថែមដាក់នៅកន្លែងណាការពារកុំឱ្យចោរពិតប្រាកដលួចចូលបាន។ |
| Social Engineering | គឺជាបច្ចេកទេសបោកបញ្ឆោតផ្លូវចិត្តមនុស្សឱ្យប្រាប់ព័ត៌មានសម្ងាត់ (ដូចជាពាក្យសម្ងាត់) ឬឱ្យធ្វើសកម្មភាពណាមួយដែលប៉ះពាល់ដល់សន្តិសុខប្រព័ន្ធ ជាជាងការប្រើប្រាស់បច្ចេកទេសកូដកុំព្យូទ័រដើម្បីហេក។ | ដូចជាការប្រើល្បិចនិយាយបោកបញ្ឆោតសន្តិសុខយាមទ្វារឱ្យបើកទ្វារឱ្យចូល ជាជាងការប្រឹងគាស់សោទ្វារដោយខ្លួនឯង។ |
| SQL Injection (SQLi) | ជាទម្រង់នៃការវាយប្រហារលើកម្មវិធីវិប (Web Application) ដោយការបញ្ចូលកូដអាក្រក់ទៅក្នុងទម្រង់បញ្ចូលទិន្នន័យ ដើម្បីបញ្ជាប្រព័ន្ធមូលដ្ឋានទិន្នន័យ (Database) ឱ្យទម្លាយ ឬលុបទិន្នន័យដោយគ្មានការអនុញ្ញាត។ | ដូចជាការសរសេរបន្លំលេខកូដសម្ងាត់នៅលើសំបុត្រផ្ញើប្រាក់ ដើម្បីបញ្ឆោតបុគ្គលិកធនាគារឱ្យដកប្រាក់ចេញពីគណនីអ្នកដទៃដោយអចេតនា។ |
| Cross-Site Scripting (XSS) | ភាពងាយរងគ្រោះនៃវិបសាយដែលអនុញ្ញាតឱ្យ Hacker អាចបញ្ចូលកូដ (ភាគច្រើនជា JavaScript) ទៅក្នុងគេហទំព័រដែលអ្នកដទៃមើលឃើញ ដើម្បីលួចយកព័ត៌មានដូចជា Session Cookies ឬបញ្ជូនអ្នកប្រើប្រាស់ទៅកាន់វិបសាយក្លែងបន្លំ។ | ដូចជាការលួចបិទផ្ទាំងផ្សាយពាណិជ្ជកម្មបោកប្រាស់នៅលើក្តារខៀនព័ត៌មានរបស់សាលារៀន ដែលធ្វើឱ្យសិស្សគ្រប់គ្នាដែលអានវាជឿជាក់និងចាញ់បោក។ |
| Distributed Denial of Service (DDoS) | ការវាយប្រហារដោយប្រើប្រាស់បណ្តាញកុំព្យូទ័រដែលឆ្លងមេរោគរាប់ពាន់គ្រឿង (Botnet) ដើម្បីបញ្ជូនចរាចរណ៍ទិន្នន័យយ៉ាងច្រើនសន្ធឹកសន្ធាប់ទៅកាន់ម៉ាស៊ីនមេ (Server) គោលដៅ ធ្វើឱ្យវាគាំង និងលែងអាចផ្តល់សេវាកម្មបាន។ | ដូចជាការជួលមនុស្សរាប់ពាន់នាក់ឱ្យទៅតម្រង់ជួរមុខហាងមួយក្នុងពេលតែមួយ ដើម្បីកុំឱ្យអតិថិជនពិតប្រាកដអាចចូលទិញអីវ៉ាន់បាន។ |
| Footprinting | ជាដំណាក់កាលដំបូងនៃការហេក ដែលអ្នកវាយប្រហារប្រមូលព័ត៌មានឱ្យបានច្រើនបំផុតអំពីប្រព័ន្ធគោលដៅ ដូចជាអាសយដ្ឋាន IP ឈ្មោះដែន (Domain) និងព័ត៌មានបុគ្គលិក ដើម្បីរៀបចំផែនការវាយលុក។ | ដូចជាការដើរអង្កេតមើលជុំវិញផ្ទះមួយ ដើម្បីដឹងថាមានទ្វារប៉ុន្មាន មានកាមេរ៉ាសុវត្ថិភាពនៅទីណា មុននឹងសម្រេចចិត្តចូលលួច។ |
| Ransomware | ជាប្រភេទមេរោគកុំព្យូទ័រដែលចូលទៅកូដនីយកម្ម (Encrypt) ឯកសារឬប្រព័ន្ធទាំងមូលរបស់អ្នកប្រើប្រាស់ ធ្វើឱ្យពួកគេមិនអាចបើកទិន្នន័យបាន ហើយទាមទារប្រាក់លោះទើបប្រគល់សិទ្ធិ ឬកូដដោះសោឱ្យវិញ។ | ដូចជាការលួចចូលទៅចាក់សោរបន្ទប់ផ្ទុកឯកសារសំខាន់ៗរបស់អ្នក ហើយទាមទារប្រាក់ទើបឱ្យកូនសោរបើកវិញ។ |
| Botnet | បណ្តាញនៃឧបករណ៍កុំព្យូទ័រ ឬឧបករណ៍ IoT ជាច្រើនដែលត្រូវបានចម្លងមេរោគ និងគ្រប់គ្រងពីចម្ងាយដោយ Hacker ដើម្បីប្រើប្រាស់ក្នុងយុទ្ធនាការវាយប្រហារទ្រង់ទ្រាយធំ ដូចជា DDoS ជាដើម។ | ដូចជាការចិញ្ចឹមនិងបញ្ជាហ្វូងសត្វល្អិតរាប់លានក្បាលឱ្យទៅវាយប្រហារដំណាំក្នុងចម្ការណាមួយតាមតែការបញ្ជារបស់ម្ចាស់វា។ |
| Zero-Day Vulnerabilities | ជាចំណុចខ្សោយផ្នែកសន្តិសុខនៅក្នុងកម្មវិធី ឬប្រព័ន្ធប្រតិបត្តិការដែលមិនទាន់ត្រូវបានដឹងដោយអ្នកបង្កើតកម្មវិធីនៅឡើយ ដែលផ្តល់ឱកាសឱ្យ Hacker អាចវាយប្រហារមុនពេលមានការជួសជុល (Patch)។ | ដូចជាចន្លោះប្រហោងនៃរបងផ្ទះដែលម្ចាស់ផ្ទះខ្លួនឯងក៏មិនដឹងថាមាន ប៉ុន្តែចោរបានរកឃើញនិងប្រើប្រាស់វាដើម្បីលួចចូល។ |
អត្ថបទដែលបានបោះពុម្ពនៅលើ KhmerResearch ដែលទាក់ទងនឹងប្រធានបទនេះ៖
ប្រធានបទ និងសំណួរស្រាវជ្រាវដែលទាក់ទងនឹងឯកសារនេះ ដែលអ្នកអាចស្វែងរកបន្ថែម៖
