ECOP Detection Rules
Last updated: 4 Jun 2026
835 Views
ECOP เปิด "Detection Rules" แบบ Open Source — แบ่งปันเครื่องมือตรวจจับภัย เพื่อ SOC ไทยและอาเซียน
ในงานด้านความมั่นคงปลอดภัยไซเบอร์ ความสามารถในการ "ตรวจจับ" ภัยคุกคามได้เร็วและแม่นยำ คือเส้นแบ่งระหว่างเหตุการณ์ที่ถูกหยุดยั้งตั้งแต่ต้น กับเหตุการณ์ที่ลุกลามจนกลายเป็นความเสียหายระดับองค์กร แต่ความจริงที่ทีม Security Operations Center (SOC) จำนวนมากในประเทศไทยต้องเผชิญคือ การเขียน Detection Rule ที่มีคุณภาพนั้นต้องใช้เวลา ใช้ความเชี่ยวชาญ และต้องตามให้ทันภัยคุกคามที่เปลี่ยนแปลงอยู่ตลอดเวลา ซึ่งเป็นทรัพยากรที่หลายองค์กรไม่ได้มีเหลือเฟือ โดยเฉพาะองค์กรขนาดกลางและเล็กที่มีบุคลากรจำกัด
ตลอดหลายปีที่ทีม Managed Detection & Response (MDR) ของ E-C.O.P. (Thailand) ทำหน้าที่เฝ้าระวังและตอบสนองภัยให้องค์กรไทย เราได้สั่งสมองค์ความรู้และสร้าง detection content ที่ใช้รับมือภัยจริงไว้จำนวนมาก และเราเชื่อว่าความรู้เหล่านี้จะมีคุณค่ามากขึ้น หากไม่ได้ถูกเก็บไว้ใช้เพียงลำพัง
ด้วยเหตุนี้ เราจึงตัดสินใจเปิด detection content ส่วนหนึ่งออกสู่สาธารณะในรูปแบบ Open Source ภายใต้ชื่อ ECOP Detection Rules เพื่อให้ทีม SOC ทั้งในไทยและภูมิภาคอาเซียนสามารถนำไปใช้ยกระดับการตรวจจับได้ทันที โดยไม่มีค่าใช้จ่าย ไม่ต้องสมัครสมาชิก และไม่ต้องกรอกแบบฟอร์มใด ๆ
เป้าหมายของเราเรียบง่าย — เมื่อ SOC ในบ้านเราตรวจจับภัยได้ดีขึ้น ประเทศของเราก็ปลอดภัยขึ้นทั้งระบบ
Detection-as-Code และ Sigma คืออะไร
หัวใจของโครงการนี้คือแนวคิด Detection-as-Code — การเขียนตรรกะการตรวจจับภัยให้อยู่ในรูปแบบ "โค้ด" ที่ตรวจสอบเวอร์ชันได้ ทดสอบได้ และนำกลับมาใช้ซ้ำได้ เหมือนกับที่ทีมพัฒนาซอฟต์แวร์จัดการกับซอร์สโค้ดของตน แนวคิดนี้ทำให้ detection มีความน่าเชื่อถือ ตรวจสอบย้อนหลังได้ และพัฒนาต่อเนื่องได้อย่างเป็นระบบ
เครื่องมือที่เราเลือกใช้คือ Sigma ซึ่งเปรียบได้กับ "ภาษากลาง" ของวงการ detection — เขียน rule หนึ่งครั้งในรูปแบบ Sigma แล้วใช้เครื่องมือแปลง (sigma convert) เปลี่ยนเป็น query ของ SIEM ที่องค์กรใช้อยู่ได้ทันที ไม่ว่าจะเป็น Splunk, Microsoft Sentinel, Elasticsearch หรือ IBM QRadar จุดเด่นนี้สำคัญมาก เพราะหมายความว่า rule ที่เราแบ่งปันสามารถเข้าถึง SOC ได้ทุกค่าย โดยไม่ผูกติดกับผู้ผลิตรายใดรายหนึ่ง
สิ่งสำคัญที่ต้องเข้าใจคือ repository นี้ไม่ใช่โปรแกรมที่ต้องติดตั้ง แต่เป็น "ตำราสูตรตรวจจับ" — ผู้ใช้เลือก rule ที่ต้องการ แปลงเป็น query แล้วนำไปวางตั้งเป็น Alert ในระบบของตนเอง สิ่งที่นำไปใช้จริงคือ query ที่แปลงออกมา ไม่ใช่ตัวไฟล์ที่ต้องรัน
ภายในมีอะไรบ้าง
ECOP Detection Rules ประกอบด้วย Sigma rules หลายสิบตัว (และเพิ่มใหม่อย่างต่อเนื่องทุกสัปดาห์) ที่ผ่านการทดสอบและจัดกลุ่มตามแหล่งข้อมูล (telemetry) และภาคส่วน:
• Endpoint / Windows — เทคนิค Living-off-the-Land (LOLBin), การขโมย credential เช่นการ dump หน่วยความจำ LSASS, การฝังตัวผ่าน Registry และ Scheduled Task
• Finance — ภัยที่เจาะจงสถาบันการเงิน เช่น Kerberoasting, การดึงฐานข้อมูล Active Directory (NTDS.dit), การเคลื่อนตัวด้วย PsExec
• Web — Webshell, SQL Injection, Path Traversal — ภัยที่มักนำไปสู่ web defacement ของหน่วยงานรัฐและองค์กรไทย
• Cloud / Identity (M365 & Azure AD) — การตั้งกฎ forwarding อีเมลแบบลับ (สัญญาณ Business Email Compromise), การปิด MFA, การมอบสิทธิ์ผู้ดูแลระบบ
• Network & Firewall — RDP ที่เปิดสู่อินเทอร์เน็ต, การเชื่อมต่อออกไปยังพอร์ต C2, DNS ที่น่าสงสัย
• Emerging Threats — detection ที่ตอบสนองช่องโหว่ที่ถูกใช้โจมตีจริง เช่น Log4Shell (CVE-2021-44228)
นอกจากตัว rule แล้ว ยังมี IR Playbook ภาษาไทย สำหรับ rule ระดับวิกฤต ที่อธิบายขั้นตอนการรับมือตั้งแต่การคัดกรอง (triage) การจำกัดความเสียหาย (contain) ไปจนถึงการล่าภัยต่อเนื่อง (hunt) พร้อมอ้างอิงบริบทกฎหมายไทยอย่าง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) และเกณฑ์การรายงานเหตุการณ์ของธนาคารแห่งประเทศไทย รวมถึง Sysmon baseline สำหรับการเก็บ log และเอกสาร mapping ภัยกับกลุ่ม Threat Actor ที่เกี่ยวข้องกับภูมิภาค
จุดต่าง — ไม่ใช่แค่ ruleset ต่างประเทศที่แปลมา
วงการมี ruleset ระดับโลกอย่าง SigmaHQ ที่ยอดเยี่ยมอยู่แล้ว และเราไม่ได้ตั้งใจมาแข่งขัน — แต่มาเติมในจุดที่ของระดับโลกมองไม่เห็น นั่นคือ ภัยที่ลงมือกับองค์กรไทยและอาเซียนโดยเฉพาะ
ความแตกต่างนี้เป็นเรื่องของ "บริบทท้องถิ่น" ที่ทีมต่างประเทศไม่สามารถมีได้ ตัวอย่างเช่น โดเมนปลอมที่อ้างอิงธนาคารไทย, มัลแวร์ที่ส่งผ่าน LINE ซึ่งเป็นแอปที่คนไทยใช้เป็นหลัก, หรือไฟล์ลวงที่ตั้งชื่อเป็นภาษาไทย (เช่น "ใบแจ้งหนี้" หรือ "หมายศาล") เพื่อหลอกให้เหยื่อชาวไทยเปิด — สิ่งเหล่านี้เป็นเทคนิคที่ ruleset ซึ่งเขียนโดยทีมต่างชาติไม่สามารถครอบคลุมได้ เพราะไม่รู้จักบริบทและภาษาของเรา
ทุก rule เขียนโดยใส่ context เชิงปฏิบัติเป็นภาษาไทย ไม่ใช่แค่การแปลคำ และเมื่อมีช่องโหว่หรือแคมเปญสำคัญเกิดขึ้น เราตั้งเป้าออก detection ใหม่ภายใน 48 ชั่วโมง
พิสูจน์แล้วว่าใช้ได้จริง
เราไม่ได้แค่เขียน rule แล้วปล่อยทิ้งไว้ — rule สำคัญผ่านการทดสอบพฤติกรรม (behaviour test) สองด้าน: log ที่เป็นการโจมตีจริงต้อง "จับได้" (MATCH) และ log ที่เป็นกิจกรรมปกติต้อง "ไม่แจ้งเตือน" (NO MATCH) เพื่อยืนยันว่าจะไม่สร้าง false positive ท่วม SOC ของผู้ใช้ การทดสอบนี้ทำงานอัตโนมัติทุกครั้งที่มีการเปลี่ยนแปลง
ตัวอย่างที่เป็นรูปธรรม — rule ตรวจจับการขโมย credential ผ่าน comsvcs.dll เมื่อแปลงด้วยคำสั่ง sigma convert จะได้ query ที่นำไปวางใน Splunk ได้ทันที และ rule เดียวกันนี้สามารถแปลงเป็นภาษา query ของ Elasticsearch หรือ QRadar ได้ด้วยคำสั่งเดียว สะท้อนหลักการ "เขียนครั้งเดียว ใช้ได้ทุกระบบ" อย่างเป็นรูปธรรม
เริ่มใช้งานอย่างไร
การนำไปใช้ทำได้ง่ายตามระดับความจริงจัง:
• ง่ายสุด — เปิดไฟล์ rule ที่สนใจบน GitHub แล้วกดคัดลอก
• ทั้งชุด — ดาวน์โหลดทั้ง repository เป็นไฟล์ ZIP
• ต่อเนื่อง — ใช้ git clone แล้วตั้ง git pull รายคืน เพื่อรับ rule ใหม่โดยอัตโนมัติ
จากนั้นเพียงแปลง rule เป็น query ของ SIEM ที่ใช้ → วางตั้งเป็น Alert → เมื่อ Alert ทำงาน เปิด Playbook เพื่อดูขั้นตอนรับมือ เป็นอันเสร็จสมบูรณ์
คุณภาพ ความปลอดภัย และความต่อเนื่อง
เรายึดหลัก "คุณภาพมาก่อนปริมาณ" — rule เดียวที่ทำให้ SOC ของผู้อื่นแจ้งเตือนท่วมจาก false positive นั้นทำลายความน่าเชื่อถือมากกว่าการไม่มี rule นั้นเลย ทุก rule จึงต้องผ่านการตรวจสอบไวยากรณ์ แมปกับ MITRE ATT&CK มีการระบุ false positive จากประสบการณ์จริง และมี sample log สำหรับทดสอบ
ในด้านความปลอดภัยของโครงการเอง เราใช้กระบวนการสแกนหาข้อมูลอ่อนไหวที่อาจหลุดติดมา (secret scanning) ทั้งก่อนและหลังการ commit เพื่อให้มั่นใจว่าจะไม่มีข้อมูลของลูกค้าหลุดออกไป และเราถือเป็นหลักการสำคัญว่า detection ที่เปิดสู่สาธารณะจะต้องเป็นความรู้ทั่วไปเท่านั้น ไม่มีชื่อลูกค้า ไม่มี asset เฉพาะรายใด นอกจากนี้เรายังเติม rule ใหม่อย่างสม่ำเสมอตามภัยที่เกิดขึ้นจริง พร้อมสรุปการเปลี่ยนแปลงเป็น release เป็นประจำ เพื่อให้ผู้ใช้มั่นใจว่า repository นี้ "มีชีวิต" และตามทันสถานการณ์เสมอ
ร่วมเป็นส่วนหนึ่งของชุมชน
เราไม่ได้คิดว่าสิ่งนี้สมบูรณ์แบบ และมันยังต้องเติบโตอีกมาก หากทีมของคุณพบ false positive หรืออยากเสนอ rule ใหม่ สามารถเปิด Issue เข้ามาได้ — ทุกความคิดเห็นจากสนามจริงมีค่าอย่างยิ่งต่อการพัฒนา เพราะเราเชื่อว่าความมั่นคงปลอดภัยไซเบอร์ของประเทศจะแข็งแกร่งขึ้นได้ เมื่อชุมชน SOC แบ่งปันความรู้และเครื่องมือซึ่งกันและกัน
เพราะภัยคุกคามไม่เคยหยุดพัฒนา การป้องกันของเราก็ไม่ควรหยุดเช่นกัน และการเริ่มต้นที่ดีที่สุด คือการมีเครื่องมือที่ดีอยู่ในมือตั้งแต่วันนี้
ตลอดหลายปีที่ทีม Managed Detection & Response (MDR) ของ E-C.O.P. (Thailand) ทำหน้าที่เฝ้าระวังและตอบสนองภัยให้องค์กรไทย เราได้สั่งสมองค์ความรู้และสร้าง detection content ที่ใช้รับมือภัยจริงไว้จำนวนมาก และเราเชื่อว่าความรู้เหล่านี้จะมีคุณค่ามากขึ้น หากไม่ได้ถูกเก็บไว้ใช้เพียงลำพัง
ด้วยเหตุนี้ เราจึงตัดสินใจเปิด detection content ส่วนหนึ่งออกสู่สาธารณะในรูปแบบ Open Source ภายใต้ชื่อ ECOP Detection Rules เพื่อให้ทีม SOC ทั้งในไทยและภูมิภาคอาเซียนสามารถนำไปใช้ยกระดับการตรวจจับได้ทันที โดยไม่มีค่าใช้จ่าย ไม่ต้องสมัครสมาชิก และไม่ต้องกรอกแบบฟอร์มใด ๆ
เป้าหมายของเราเรียบง่าย — เมื่อ SOC ในบ้านเราตรวจจับภัยได้ดีขึ้น ประเทศของเราก็ปลอดภัยขึ้นทั้งระบบ
Detection-as-Code และ Sigma คืออะไร
หัวใจของโครงการนี้คือแนวคิด Detection-as-Code — การเขียนตรรกะการตรวจจับภัยให้อยู่ในรูปแบบ "โค้ด" ที่ตรวจสอบเวอร์ชันได้ ทดสอบได้ และนำกลับมาใช้ซ้ำได้ เหมือนกับที่ทีมพัฒนาซอฟต์แวร์จัดการกับซอร์สโค้ดของตน แนวคิดนี้ทำให้ detection มีความน่าเชื่อถือ ตรวจสอบย้อนหลังได้ และพัฒนาต่อเนื่องได้อย่างเป็นระบบ
เครื่องมือที่เราเลือกใช้คือ Sigma ซึ่งเปรียบได้กับ "ภาษากลาง" ของวงการ detection — เขียน rule หนึ่งครั้งในรูปแบบ Sigma แล้วใช้เครื่องมือแปลง (sigma convert) เปลี่ยนเป็น query ของ SIEM ที่องค์กรใช้อยู่ได้ทันที ไม่ว่าจะเป็น Splunk, Microsoft Sentinel, Elasticsearch หรือ IBM QRadar จุดเด่นนี้สำคัญมาก เพราะหมายความว่า rule ที่เราแบ่งปันสามารถเข้าถึง SOC ได้ทุกค่าย โดยไม่ผูกติดกับผู้ผลิตรายใดรายหนึ่ง
สิ่งสำคัญที่ต้องเข้าใจคือ repository นี้ไม่ใช่โปรแกรมที่ต้องติดตั้ง แต่เป็น "ตำราสูตรตรวจจับ" — ผู้ใช้เลือก rule ที่ต้องการ แปลงเป็น query แล้วนำไปวางตั้งเป็น Alert ในระบบของตนเอง สิ่งที่นำไปใช้จริงคือ query ที่แปลงออกมา ไม่ใช่ตัวไฟล์ที่ต้องรัน
ภายในมีอะไรบ้าง
ECOP Detection Rules ประกอบด้วย Sigma rules หลายสิบตัว (และเพิ่มใหม่อย่างต่อเนื่องทุกสัปดาห์) ที่ผ่านการทดสอบและจัดกลุ่มตามแหล่งข้อมูล (telemetry) และภาคส่วน:
• Endpoint / Windows — เทคนิค Living-off-the-Land (LOLBin), การขโมย credential เช่นการ dump หน่วยความจำ LSASS, การฝังตัวผ่าน Registry และ Scheduled Task
• Finance — ภัยที่เจาะจงสถาบันการเงิน เช่น Kerberoasting, การดึงฐานข้อมูล Active Directory (NTDS.dit), การเคลื่อนตัวด้วย PsExec
• Web — Webshell, SQL Injection, Path Traversal — ภัยที่มักนำไปสู่ web defacement ของหน่วยงานรัฐและองค์กรไทย
• Cloud / Identity (M365 & Azure AD) — การตั้งกฎ forwarding อีเมลแบบลับ (สัญญาณ Business Email Compromise), การปิด MFA, การมอบสิทธิ์ผู้ดูแลระบบ
• Network & Firewall — RDP ที่เปิดสู่อินเทอร์เน็ต, การเชื่อมต่อออกไปยังพอร์ต C2, DNS ที่น่าสงสัย
• Emerging Threats — detection ที่ตอบสนองช่องโหว่ที่ถูกใช้โจมตีจริง เช่น Log4Shell (CVE-2021-44228)
นอกจากตัว rule แล้ว ยังมี IR Playbook ภาษาไทย สำหรับ rule ระดับวิกฤต ที่อธิบายขั้นตอนการรับมือตั้งแต่การคัดกรอง (triage) การจำกัดความเสียหาย (contain) ไปจนถึงการล่าภัยต่อเนื่อง (hunt) พร้อมอ้างอิงบริบทกฎหมายไทยอย่าง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) และเกณฑ์การรายงานเหตุการณ์ของธนาคารแห่งประเทศไทย รวมถึง Sysmon baseline สำหรับการเก็บ log และเอกสาร mapping ภัยกับกลุ่ม Threat Actor ที่เกี่ยวข้องกับภูมิภาค
จุดต่าง — ไม่ใช่แค่ ruleset ต่างประเทศที่แปลมา
วงการมี ruleset ระดับโลกอย่าง SigmaHQ ที่ยอดเยี่ยมอยู่แล้ว และเราไม่ได้ตั้งใจมาแข่งขัน — แต่มาเติมในจุดที่ของระดับโลกมองไม่เห็น นั่นคือ ภัยที่ลงมือกับองค์กรไทยและอาเซียนโดยเฉพาะ
ความแตกต่างนี้เป็นเรื่องของ "บริบทท้องถิ่น" ที่ทีมต่างประเทศไม่สามารถมีได้ ตัวอย่างเช่น โดเมนปลอมที่อ้างอิงธนาคารไทย, มัลแวร์ที่ส่งผ่าน LINE ซึ่งเป็นแอปที่คนไทยใช้เป็นหลัก, หรือไฟล์ลวงที่ตั้งชื่อเป็นภาษาไทย (เช่น "ใบแจ้งหนี้" หรือ "หมายศาล") เพื่อหลอกให้เหยื่อชาวไทยเปิด — สิ่งเหล่านี้เป็นเทคนิคที่ ruleset ซึ่งเขียนโดยทีมต่างชาติไม่สามารถครอบคลุมได้ เพราะไม่รู้จักบริบทและภาษาของเรา
ทุก rule เขียนโดยใส่ context เชิงปฏิบัติเป็นภาษาไทย ไม่ใช่แค่การแปลคำ และเมื่อมีช่องโหว่หรือแคมเปญสำคัญเกิดขึ้น เราตั้งเป้าออก detection ใหม่ภายใน 48 ชั่วโมง
พิสูจน์แล้วว่าใช้ได้จริง
เราไม่ได้แค่เขียน rule แล้วปล่อยทิ้งไว้ — rule สำคัญผ่านการทดสอบพฤติกรรม (behaviour test) สองด้าน: log ที่เป็นการโจมตีจริงต้อง "จับได้" (MATCH) และ log ที่เป็นกิจกรรมปกติต้อง "ไม่แจ้งเตือน" (NO MATCH) เพื่อยืนยันว่าจะไม่สร้าง false positive ท่วม SOC ของผู้ใช้ การทดสอบนี้ทำงานอัตโนมัติทุกครั้งที่มีการเปลี่ยนแปลง
ตัวอย่างที่เป็นรูปธรรม — rule ตรวจจับการขโมย credential ผ่าน comsvcs.dll เมื่อแปลงด้วยคำสั่ง sigma convert จะได้ query ที่นำไปวางใน Splunk ได้ทันที และ rule เดียวกันนี้สามารถแปลงเป็นภาษา query ของ Elasticsearch หรือ QRadar ได้ด้วยคำสั่งเดียว สะท้อนหลักการ "เขียนครั้งเดียว ใช้ได้ทุกระบบ" อย่างเป็นรูปธรรม
เริ่มใช้งานอย่างไร
การนำไปใช้ทำได้ง่ายตามระดับความจริงจัง:
• ง่ายสุด — เปิดไฟล์ rule ที่สนใจบน GitHub แล้วกดคัดลอก
• ทั้งชุด — ดาวน์โหลดทั้ง repository เป็นไฟล์ ZIP
• ต่อเนื่อง — ใช้ git clone แล้วตั้ง git pull รายคืน เพื่อรับ rule ใหม่โดยอัตโนมัติ
จากนั้นเพียงแปลง rule เป็น query ของ SIEM ที่ใช้ → วางตั้งเป็น Alert → เมื่อ Alert ทำงาน เปิด Playbook เพื่อดูขั้นตอนรับมือ เป็นอันเสร็จสมบูรณ์
คุณภาพ ความปลอดภัย และความต่อเนื่อง
เรายึดหลัก "คุณภาพมาก่อนปริมาณ" — rule เดียวที่ทำให้ SOC ของผู้อื่นแจ้งเตือนท่วมจาก false positive นั้นทำลายความน่าเชื่อถือมากกว่าการไม่มี rule นั้นเลย ทุก rule จึงต้องผ่านการตรวจสอบไวยากรณ์ แมปกับ MITRE ATT&CK มีการระบุ false positive จากประสบการณ์จริง และมี sample log สำหรับทดสอบ
ในด้านความปลอดภัยของโครงการเอง เราใช้กระบวนการสแกนหาข้อมูลอ่อนไหวที่อาจหลุดติดมา (secret scanning) ทั้งก่อนและหลังการ commit เพื่อให้มั่นใจว่าจะไม่มีข้อมูลของลูกค้าหลุดออกไป และเราถือเป็นหลักการสำคัญว่า detection ที่เปิดสู่สาธารณะจะต้องเป็นความรู้ทั่วไปเท่านั้น ไม่มีชื่อลูกค้า ไม่มี asset เฉพาะรายใด นอกจากนี้เรายังเติม rule ใหม่อย่างสม่ำเสมอตามภัยที่เกิดขึ้นจริง พร้อมสรุปการเปลี่ยนแปลงเป็น release เป็นประจำ เพื่อให้ผู้ใช้มั่นใจว่า repository นี้ "มีชีวิต" และตามทันสถานการณ์เสมอ
ร่วมเป็นส่วนหนึ่งของชุมชน
เราไม่ได้คิดว่าสิ่งนี้สมบูรณ์แบบ และมันยังต้องเติบโตอีกมาก หากทีมของคุณพบ false positive หรืออยากเสนอ rule ใหม่ สามารถเปิด Issue เข้ามาได้ — ทุกความคิดเห็นจากสนามจริงมีค่าอย่างยิ่งต่อการพัฒนา เพราะเราเชื่อว่าความมั่นคงปลอดภัยไซเบอร์ของประเทศจะแข็งแกร่งขึ้นได้ เมื่อชุมชน SOC แบ่งปันความรู้และเครื่องมือซึ่งกันและกัน
เพราะภัยคุกคามไม่เคยหยุดพัฒนา การป้องกันของเราก็ไม่ควรหยุดเช่นกัน และการเริ่มต้นที่ดีที่สุด คือการมีเครื่องมือที่ดีอยู่ในมือตั้งแต่วันนี้
Related Content
