STH Security Blog and Insights
บล็อกและงานวิจัยความปลอดภัย
ศูนย์รวมบทวิเคราะห์เชิงเทคนิค สรุปมาตรฐานกำกับดูแล และแนวปฏิบัติการทดสอบเจาะระบบ เพื่อสนับสนุนนักพัฒนา ผู้ดูแลระบบ และผู้บริหารในการยกระดับความมั่นคงปลอดภัยขององค์กร
-
วิศวกรรมความมั่นคงปลอดภัย AI-Native SDLC: ควบคุม AI Coding Agent ป้องกัน Context Poisoning และ Sandbox Evasion
ข้อเสนอความปลอดภัย AI Coding Agent จาก Anthropic Playbook และเอกสารผู้ผลิต ครอบคลุม Permission, Hook, Sandbox และ Review ตามความเสี่ยง โดยระบุข้อจำกัดของแต่ละมาตรการ
-
กรอบธรรมาภิบาล AI ของไทย: ธปท. ว. 5994/2568, ETDA และ สกมช. สู่ AI Pentest และ Red Teaming
แยกขอบเขตแนวนโยบาย AI ของ ธปท. ว. 5994/2568 แนวทาง GenAI และ EIA ฉบับร่างของ ETDA และแนวทาง สกมช. พร้อมข้อเสนอการทดสอบตามความเสี่ยง
-
คู่มือมาตรฐาน Digital ID ของไทย: มธอ. 11-2566, IAL, AAL และ พ.ร.ฎ. DPS สู่การทดสอบระบบ
ตาราง IAL, AAL และผลกระทบ 6 ด้านตาม มธอ. 11-2566 พร้อมเงื่อนไข DOPA FVS สำหรับ IAL 2.3 กรณีไม่มีเครื่องอ่านบัตร และแยกขอบเขต DGA กับ พ.ร.ฎ. DPS
-
แนวปฏิบัติป้องกันความเสี่ยง ATM จาก Malware ของ ธปท. กับสิ่งที่สถาบันการเงินต้องทำ
สรุปหนังสือเวียน ธปท. ที่ รปท.ฝตส.(03) ว.1180/2559 มาตรการระยะสั้นและระยะยาว ตั้งแต่การคุมกายภาพ Core PC และ Endpoint การแยกเครือข่าย การเติมเงินและการกระทบยอดยอดเงิน จนถึงการเฝ้าระวังผ่านระบบ SDMS
-
แนวปฏิบัติ AI Security Guidelines ของ สกมช. ตั้งแต่ Governance จนถึง AI Red Teaming
สรุปแนวปฏิบัติการใช้ AI อย่างมั่นคงปลอดภัยของ สกมช. ตามวงจรชีวิตระบบ ตั้งแต่การกำกับดูแลและการบริหารความเสี่ยง การพัฒนาและ Deploy อย่างปลอดภัย จนถึงการทดสอบเจาะระบบ AI
-
สมาชิก NDID ต้องทำ Penetration Testing และ Security Assessment อะไรบ้าง
สรุปเกณฑ์การประเมินความมั่นคงปลอดภัยสำหรับสมาชิก NDID ตั้งแต่การยืนยันตัวตนผ่าน Identity Provider การเชื่อมต่อ Requesting Party และ Authoritative Source จนถึงการทดสอบเจาะระบบตามบทบาท
-
ประกาศ คปภ. ด้าน IT กับ Penetration Testing สำหรับธุรกิจประกันภัย
สรุปประกาศ คปภ. ด้านการบริหารความเสี่ยง IT สำหรับบริษัทประกันชีวิตและวินาศภัย ตั้งแต่การจัดทำบัญชีทรัพย์สินและการจัดระดับความสำคัญ ข้อ 21(6) เรื่องการทดสอบเจาะระบบโดยผู้เชี่ยวชาญภายนอก จนถึงการเชื่อมผลทดสอบเข้ากับ Risk Treatment Plan
-
OWASP Top 10 ฉบับรวม: เว็บ มือถือ API LLM และ Agentic เริ่มตรงไหน
แผนที่ภาพรวม OWASP Top 10 ทั้ง 5 สาย ทั้ง Web ปี 2025, Mobile ปี 2024, API ปี 2023, LLM และ Agentic ปี 2026 พร้อมวิธีเลือกกรอบที่ตรงกับขอบเขตระบบขององค์กร
-
แนวปฏิบัติการรักษาความมั่นคงปลอดภัยระบบ CCTV และ AI CCTV สกมช. พ.ศ. 2569
สรุปแนวปฏิบัติ TCSG และ TCSG AI สำหรับประเมินความเสี่ยง เลือกระดับมาตรการ B, E และ H และตรวจรับระบบ CCTV พร้อมหลักฐานที่เหมาะสมกับบริบทการใช้งาน
-
OWASP ASVS 5.0: คู่มือเกณฑ์มาตรฐานการตรวจสอบความมั่นคงปลอดภัยแอปพลิเคชัน
เจาะลึกมาตรฐาน OWASP Application Security Verification Standard (ASVS) 5.0 โครงสร้างการตรวจสอบระดับ L1 ถึง L3 ทั้ง 17 หมวด และการนำไปใช้ตรวจรับรองซอฟต์แวร์
-
PCI DSS v4.0.1: ข้อกำหนด VA, ASV Scan, Pentest และ Segmentation Testing
เจาะลึก Requirement 11.3 และ 11.4 ตามมาตรฐาน PCI DSS v4.0.1 ครอบคลุมการสแกนช่องโหว่ภายในแบบ Authenticated, ASV Scan ภายนอกทุกไตรมาส, Pentest ประจำปี และการทดสอบ CDE Segmentation
-
Google SAIF กับ 6 เสาหลักความปลอดภัยของระบบ AI และ AI Agent
สรุปกรอบ Secure AI Framework ของ Google และแนวทางการประเมินความปลอดภัยตลอดวงจรชีวิตของระบบ Generative AI
-
ISA/IEC 62443 OT Cybersecurity: สถาปัตยกรรม Purdue Model และแนวทาง OT Pentest
คู่มือความมั่นคงปลอดภัยระบบควบคุมอุตสาหกรรม การแบ่งโซนและท่อทางผ่าน Zones and Conduits การป้องกัน Industrial DMZ 3.5 และวิธีทดสอบเจาะระบบแบบไม่รบกวนกระบวนการผลิต
-
ISO/IEC 27001:2022 กำหนดให้ทำ Penetration Testing หรือไม่
เจาะลึก Control A.8.8 การจัดการช่องโหว่ทางเทคนิค นิยามความเสี่ยงที่ไม่ใช่ความผิดบุคคล การจัดลำดับด้วย CISA KEV ร่วมกับ EPSS และการใช้ผล Pentest สนับสนุนกระบวนการ ISMS
-
ISO/IEC 42001:2023 คืออะไร และใช้ Pentest พิสูจน์ความพร้อมของ AIMS อย่างไร
สรุปมาตรฐานระบบบริหารจัดการปัญญาประดิษฐ์ ISO/IEC 42001:2023 พร้อมวิธีใช้ AI Pentest และ Red Teaming พิสูจน์ Control ทางเทคนิคเพื่อส่งมอบหลักฐานให้ผู้ตรวจประเมิน
-
MITRE ATLAS คืออะไร และใช้วางแผน AI Red Teaming อย่างไร
อ่าน MITRE ATLAS รุ่นข้อมูล 2026.09 พร้อม 16 Tactic, 120 Technique และ 88 Sub-technique เพื่อเลือกสถานการณ์ทดสอบ Generative AI, RAG และ Agent ตามขอบเขตและความเสี่ยง
-
มาตรฐานความปลอดภัยคลาวด์ภาครัฐ สกมช. กับการทดสอบเจาะระบบ Cloud
สรุปมาตรฐานการรักษาความมั่นคงปลอดภัยระบบคลาวด์และแนวทางการทดสอบ Shared Responsibility และ Cloud Configuration
-
แนวทางการเตรียมความพร้อมสำหรับยุคควอนตัม สกมช. พ.ศ. 2568 และแนวปฏิบัติ PQC
สรุปแนวทางการเตรียมความพร้อมสำหรับยุคควอนตัมของ สกมช. ความเสี่ยง Shor และ Grover โมเดล Mosca บัญชีสินทรัพย์รหัสลับ สถาปัตยกรรม Hybrid PQC และบริบทการใช้งาน QKD ตามเอกสาร
-
Zero Trust: จากการตัดสินใจสู่การบังคับใช้นโยบาย
ดูบทบาทของ PE, PA และ PEP ในแผนภาพ แล้วเชื่อมการตรวจสอบคำขอกับเส้นทางเข้าถึงทรัพยากรจริง
-
NIST AI RMF คืออะไร และใช้ร่วมกับ AI Pentest เพื่อบริหารความเสี่ยงอย่างไร
ใช้กรอบสมัครใจ NIST AI RMF 1.0 และ GenAI Profile AI 600-1 เชื่อม 4 ฟังก์ชันหลัก ความเสี่ยง 12 หมวด และ Suggested Action สำหรับการทดสอบตามบริบท
-
ธุรกิจภายใต้ ก.ล.ต. และสินทรัพย์ดิจิทัล ต้องทำ Penetration Testing อย่างไร
สรุปหลักเกณฑ์การประเมินช่องโหว่และทดสอบเจาะระบบตามประกาศ ก.ล.ต. ฉบับล่าสุด ครอบคลุมธุรกิจหลักทรัพย์ สินทรัพย์ดิจิทัล กระเป๋าเงิน และ Smart Contract
-
SOC 2 Type II Pentest Guide: ข้อกำหนด CC7.1 และรายงานสำหรับผู้ตรวจประเมิน
สรุปบทบาทของการทดสอบเจาะระบบในรายงาน SOC 2 Type II เกณฑ์ Trust Services Criteria CC7.1 การจัดการช่องโหว่ และการออก Attestation Letter สำหรับลูกค้าองค์กร
-
SWIFT CSP CSCF v2025/v2026 กับการทดสอบเจาะระบบและตรวจประเมินอิสระ
เจาะลึกข้อกำหนด SWIFT Customer Security Programme การแบ่งแยก Secure Zone ตาม Control 1.1 และการเตรียมตัวรับ Independent Assessment ประจำปี
-
MPA Content Security v5.3.1 และข้อกำหนด Penetration Testing สำหรับอุตสาหกรรมบันเทิง
สรุปแนวปฏิบัติความปลอดภัย MPA v5.3.1 ระบบ TPN 4-Tier Shield ใหม่ และข้อกำหนดการทดสอบเจาะระบบตาม Control TS-4.1 สำหรับสตูดิโอและ Vendor ในสายการผลิตสื่อ
-
สถาบันการเงินต้องทำ Pentest อะไรบ้างตามหลักเกณฑ์ธนาคารแห่งประเทศไทย
สรุปหลักเกณฑ์ VA/Pentest, iPentest, Mobile Banking และ e-Money พร้อมแนวนโยบาย AI ว. 5994/2568 โดยแยกข้อบังคับจากแนวทางตามขอบเขตองค์กร
-
พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ 2562 กับหน้าที่ของหน่วยงาน CII
สรุประดับความเสี่ยงและหน้าที่ในการประเมินความปลอดภัยสำหรับหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศของประเทศ
-
Enterprise ATT&CK v19.2 กับการทดสอบเจาะระบบและการจำลองการโจมตี
คู่มือสรุป Tactic และ Technique สำคัญของกรอบ MITRE ATT&CK สำหรับ Enterprise พร้อมวิธีนำไปใช้วัดผลความสามารถในการตรวจจับของทีมป้องกัน
-
มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 กับการทดสอบเจาะระบบ
สรุปข้อกำหนดมาตรฐานเว็บไซต์ภาครัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญ พร้อมวิธีเตรียมหลักฐานการทดสอบและเอกสาร C1 และ C2
-
OWASP Top 10 for Agentic Applications:2026 กับความปลอดภัยของ AI Agent
วิเคราะห์ความเสี่ยงเมื่อ AI มีสิทธิ์เรียก Tool, อ่านไฟล์, เชื่อมต่อ API และดำเนินการอัตโนมัติ พร้อมแนวทางกำหนด Guardrail และ Least Privilege
-
OWASP API Security Top 10:2023 สรุปช่องโหว่ API และวิธีป้องกัน BOLA และ BFLA
สรุป 10 ช่องโหว่สำคัญของ REST และ GraphQL API พร้อมวิธีตรวจจับ Broken Object Level Authorization และการกำกับดูแล Inventory
-
OWASP Top 10 for LLM Applications:2026 สรุปความเสี่ยงและการป้องกัน
แนวทางรับมือความเสี่ยงอันดับ 1 ถึง 10 สำหรับแอปพลิเคชันที่ผสาน Large Language Model รวมถึงเทคนิคการทดสอบ Prompt Injection และ Guardrail Bypass
-
OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปพลิเคชัน iOS และ Android
แนวทางการประเมินความปลอดภัยแอปพลิเคชันบนมือถือ การป้องกัน Insecure Data Storage และการวิเคราะห์ Root และ Jailbreak Detection
-
สรุป OWASP Top 10:2025 สำหรับ Web Application และแนวทางทดสอบเจาะระบบ
เจาะลึก 10 อันดับความเสี่ยงความปลอดภัยเว็บแอปพลิเคชันฉบับปี 2025 พร้อมแผนภาพ Attack Path และตัวอย่างโค้ดการแก้ไข
-
PDPA กำหนดให้ทำ Penetration Testing หรือไม่ และควรเตรียมพร้อมอย่างไร
เข้าใจมาตรการความปลอดภัยตามความเสี่ยง การแจ้งเหตุละเมิด การโอนข้อมูลต่างประเทศ และเกณฑ์ DPO โดยแยกหน้าที่ตามกฎหมายจากหลักฐานที่ Pentest ช่วยประเมิน
