SY0-701 Week 1 • Day 2

Objective 1.2: Core Security Principles & AAA

Quiz (20)
Daily 6-Stage Integrated Learning Protocol

Core Digital Security Principles
CIA Triad, Non-Repudiation, AAA Framework & Gap Analysis

เข้าใจหัวใจหลักของความมั่นคงปลอดภัยสารสนเทศ: นิยามเป้าหมายสูงสุดที่ต้องปกป้อง (CIA Triad), ตรวจสอบด่านคัดกรองตัวตนและการเข้าถึง (AAA Process), และประเมินช่องว่างเชิงยุทธศาสตร์เพื่อปิดจุดอ่อน (Gap Analysis)

1

Stage 1: The Big Picture & Narrative Intro

🛂 เรื่องเล่า: "ด่านตรวจคนเข้าเมืองดิจิทัล และสามเหลี่ยมความปลอดภัย"

ใน Day 1 เราได้เรียนรู้เกี่ยวกับ Security Controls ซึ่งเปรียบเสมือน "เครื่องมือและกำแพง" ที่เราติดตั้งไว้ สำหรับ Day 2 เราจะก้าวเข้าสู่หัวใจของ Objective 1.2 เพื่อตอบคำถามรากฐาน 3 ข้อ:

  • "เป้าหมายสูงสุดที่เราต้องการปกป้องคืออะไร?" → The CIA Triad (สามเหลี่ยมความปลอดภัย) & Non-repudiation (การห้ามปฏิเสธความรับผิด)
  • "กระบวนการคัดกรองผู้ใช้และระบบดิจิทัลมีขั้นตอนอย่างไร?" → AAA Framework (ด่านตรวจสิทธิ์)
  • "เราจะรู้ได้อย่างไรว่าระบบความปลอดภัยปัจจุบันของเราดีพอแล้วหรือยัง?" → Gap Analysis (การวิเคราะห์ช่องว่างสภาวะ)
The CIA Triad

เปรียบเสมือน "สามเสาหลักของตู้เซฟธนาคาร" ที่ต้องป้องกันทั้งการแอบมองเลขบัญชี (Confidentiality), ป้องกันการแอบแก้ไขตัวเลขเงินโอน (Integrity), และป้องกันไม่ให้ตู้เซฟล็อกตายจนถอนเงินไม่ได้ (Availability)

The AAA Framework

เปรียบเสมือน "ด่านตรวจคนเข้าเมือง (ด่าน ตม.)" ยื่นพาสปอร์ตบอกชื่อ (Identification) → สแกนใบหน้าพิสูจน์ว่าเป็นตัวจริง (Authentication) → ตรวจวีซ่าว่าเข้าเมืองได้กี่วัน (Authorization) → ปั๊มตราประทับบันทึกประวัติ (Accounting)

Gap Analysis

เปรียบเสมือน "การตรวจสุขภาพองค์กรประจำปี" เพื่อสำรวจว่าสมรรถภาพปัจจุบัน (Current State) ยังมีช่องว่างห่างจากเป้าหมายมาตรฐานนักกีฬามืออาชีพ (Target State) มากน้อยเพียงใด

Core Digital Security Architecture Framework Diagram
CompTIA SY0-701 Objective 1.2
[ 1. THE FOUNDATIONAL GOAL: THE CIA TRIAD ] Fundamental Pillars
C
Confidentiality (ความลับ)

ป้องกันการแอบอ่านข้อมูลโดยไม่ได้รับอนุญาต (Encryption, Access Control)

I
Integrity (ความถูกต้อง)

ป้องกันการแก้ไข ดัดแปลง หรือปลอมแปลงข้อมูล (Hashing, Digital Signatures)

A
Availability (ความพร้อมใช้)

ประกันว่าระบบและข้อมูลพร้อมใช้งานเสมอเมื่อต้องการ (Redundancy, Backups)

[ 2. LEGAL & TECHNICAL ASSURANCE ]
Non-Repudiation (การห้ามปฏิเสธความรับผิด)

หลักฐานยืนยันต้นกำเนิดและความถูกต้องของข้อมูล ทำให้ผู้ส่งไม่สามารถปฏิเสธว่าตนไม่ได้ทำรายการได้ (Digital Signatures + Asymmetric Keys + Timestamps)

[ 3. EVALUATION & IMPROVEMENT ]
Gap Analysis (การวิเคราะห์ช่องว่าง)

ประเมินเปรียบเทียบสภาวะความปลอดภัยปัจจุบัน (Current State) เทียบกับเป้าหมายมาตรฐาน (Target State) เช่น NIST CSF เพื่อปิดช่องว่างความเสี่ยง

[ 4. OPERATIONAL ACCESS CONTROL: THE AAA FRAMEWORK ] Sequential Access Pipeline
Step 0: Gateway
Identification

"อ้างตัวตนว่าเป็นใคร" เช่น พิมพ์ Username: alice หรือยื่น Employee ID

Step 1: 1st 'A'
Authentication

"พิสูจน์ว่าเป็นตัวจริง" เช่น Password, MFA, Biometrics หรือ Machine Certificate

Step 2: 2nd 'A'
Authorization

"ตรวจสอบและอนุญาตสิทธิ์" เช่น สิทธิ์ Read/Write ไฟล์ หรือสิทธิ์กลุ่ม Finance (RBAC)

Step 3: 3rd 'A'
Accounting

"บันทึกประวัติการใช้งาน" เช่น Session Time, ปริมาณ Bytes, คำสั่งที่รัน (Audit Logs)

2

Stage 2 • Section 1: Confidentiality, Integrity, and Availability (The CIA Triad)

กรอบความคิดรากฐานที่เป็นดัชนีชี้วัดความปลอดภัยในทุกระบบดิจิทัล

Confidentiality

Keep Secrets
Analogy: การส่งจดหมายลับในซองที่ผนึกตราครั่งล็อคไว้ มีเพียงผู้รับที่มีลูกกุญแจเท่านั้นที่จะเปิดอ่านได้

การปกป้องข้อมูลจากการถูกเข้าถึง อ่าน หรือเปิดเผยโดยบุคคล แอปพลิเคชัน หรือกระบวนการที่ไม่ได้รับอนุญาต

Exam Key Terms & Examples:
  • Encryption (AES-256, TLS 1.3): แปลง Plaintext เป็น Ciphertext ป้องกันการดักฟัง (Eavesdropping)
  • Least Privilege & Access Control: จำกัดสิทธิ์การเข้าถึงเฉพาะที่จำเป็นต่องาน
  • Data Classification Labels: จัดชั้นความลับ (Confidential, Restricted, Public)

Integrity

No Alteration
Analogy: การปั๊มตราครั่งหรือเซ็นกำกับไว้บนสัญญา เพื่อให้รู้ทันทีหากมีใครแอบแก้ไขข้อความแม้แต่ตัวเดียว

รับประกันว่าข้อมูลถูกต้อง แน่นอน และเชื่อถือได้ตลอดวงจรชีวิต (Lifecycle) โดยไม่ถูกแอบแก้ไข ดัดแปลง หรือปลอมแปลงทั้ง At Rest และ In Transit

Exam Key Terms & Examples:
  • Hashing Algorithms (SHA-256, SHA-3): คำนวณ Hash ตรวจสอบการแอบดัดแปลงไฟล์
  • Digital Signatures: ใช้ Private Key ร่วมกับ Hash ยืนยันความถูกต้องสมบูรณ์
  • File Integrity Monitoring (FIM): ตรวจจับการเปลี่ยนแปลงไฟล์ระบบแบบ Real-time

Availability

Always Ready
Analogy: การมีเครื่องปั่นไฟสำรอง (Generator) และเซิร์ฟเวอร์สำรองที่พร้อมสลับมาทำงานทันทีเมื่อไฟดับ

รับประกันว่าระบบคอมพิวเตอร์ เครือข่าย และข้อมูล สามารถเข้าถึงและใช้งานได้ทันทีเมื่อผู้มีสิทธิ์ต้องการใช้งาน (Accessible upon Demand)

Exam Key Terms & Examples:
  • Redundancy & Failover: อุปกรณ์คู่ขนานพร้อมสลับทำงานทันทีที่ตัวหลักพัง
  • Load Balancing: กระจาย Traffic เพื่อป้องกันเซิร์ฟเวอร์ตัวใดตัวหนึ่งล่ม
  • RAID Arrays (RAID 1, 5, 6): ป้องกันข้อมูลสูญหายเมื่อฮาร์ดดิสก์เสียหาย

Section 2: Non-repudiation (การห้ามปฏิเสธความรับผิด)

Legal & Cryptographic Proof

Analogy: เหมือนการเซ็นสัญญาต่อหน้านิติกรพร้อมประทับลายนิ้วมือและประทับเวลาทางกฎหมาย ทำให้ผู้เซ็นไม่สามารถปฏิเสธในชั้นศาลได้ว่า "ฉันไม่ได้เป็นคนส่งเอกสารนี้"
Exam Key: อาศัยการผสานกำลังของ Digital Signatures (Asymmetric Key Cryptography) + Hashing (SHA-256) + Centralized Timestamping Audit Logs

3

Stage 2 • Section 3 & 4: The AAA Framework & Gap Analysis

กระบวนการคัดกรองสิทธิ์ดิจิทัล 4 ขั้นตอน และเครื่องมือประเมินปิดช่องว่างความเสี่ยง

AAA Framework Deep Dive: Sequential Access Flow

Step 0 → Step 3
STEP 0
Identification

การแสดงตัวตนต่อระบบว่าตนเองคือใคร เช่น พิมพ์ Username, ป้อน Employee ID หรือส่ง MAC Address

STEP 1 (1st 'A')
Authentication

พิสูจน์ว่าเป็นตัวจริงหรือไม่ แบ่งเป็น:

  • People: SFA, MFA (Know + Have/Are), Risk-Based Adaptive Auth
  • Systems: X.509 Machine Certificates, 802.1X, TPM Chip
STEP 2 (2nd 'A')
Authorization

เกิดขึ้นหลังผ่านการพิสูจน์ตัวตนแล้ว เพื่อตรวจดูสิทธิ์ว่าสามารถ อ่าน/เขียน/ลบ ไฟล์ใดได้บ้าง (เช่น RBAC, ABAC)

STEP 3 (3rd 'A')
Accounting

การบันทึกประวัติและสถิติการใช้งาน เช่น เวลาเริ่มต้นเซสชัน, ปริมาณ Bytes, คำสั่งที่รัน เพื่อทำ Audit Trails และ Compliance

Section 4: Gap Analysis (การวิเคราะห์ช่องว่างสภาวะความปลอดภัย)
Remediation Roadmap

Analogy: เหมือนการนำคู่มือมาตรฐานเกียรตินิยมมาเทียบกับสมุดพกเกรดของตนเอง เพื่อดูว่าวิชาไหนยังได้เกรด C และต้องติวเพิ่มตรงไหนบ้าง
Detailed Mechanics: ประเมินเปรียบเทียบความแตกต่างระหว่าง "สภาวะความปลอดภัยปัจจุบัน (Current Security Posture)" กับ "สภาวะเป้าหมายที่ต้องการหรือมาตรฐานอ้างอิง (Target/Ideal State)" เช่น NIST CSF, ISO 27001 หรือ PCI DSS เพื่อจัดทำ Remediation Roadmap ในการปิดช่องว่างความเสี่ยง

4

Stage 3: Real-World Scenario Case Study

เคสศึกษาในองค์กรจริง: การยกเครื่องระบบความปลอดภัยของธนาคาร FinSecure Global Bank

สถานการณ์: ธนาคาร FinSecure พบปัญหาการพยายามปลอมแปลงรายการโอนเงินผ่านแอปพลิเคชัน และสอบตกเกณฑ์มาตรฐาน PCI DSS จึงทำการประยุกต์ใช้ 4 แกนหลักดังนี้:
Step 1: Gap Analysis Execution

ทีม CISO ประเมินระบบปัจจุบันเทียบกับ NIST CSF และ PCI DSS พบช่องว่าง (Gap) ว่าไม่มีระบบ Device Authentication สำหรับเครื่องลูกค้า และขาดการทำ File Integrity Monitoring (FIM)

Step 2: Implementing CIA (Confidentiality & Availability)

เข้ารหัสฐานข้อมูลบัญชีด้วย AES-256 (Confidentiality) และทำ Multi-Region Redundancy ร่วมกับ Load Balancing เพื่อรองรับช่วงเงินเดือนออก (Availability)

Step 3: Implementing CIA (Integrity & Non-Repudiation)

ทุกรายการโอนเงินสร้าง Digital Signature ด้วย Private Key ร่วมกับ SHA-256 Hash ทำให้ไม่สามารถแอบแก้ไขข้อมูลได้ (Integrity) และลูกค้าไม่สามารถปฏิเสธการโอนเงินภายหลังได้ (Non-Repudiation)

Step 4: Deploying AAA & Adaptive Identity

• Identification & Authentication: ลูกค้าล็อกอินด้วย Username + สแกนลายนิ้วมือ Biometric (MFA)
• Adaptive Identity: หากโอนเงินจาก IP แปลกถิ่น ระบบ Risk-Based Auth จะบังคับขอ OTP เพิ่มทันที
• Authenticating Systems: เครื่องพนักงานต้องมี X.509 Machine Certificate ถึงจะต่อเข้าเครือข่ายได้
• Authorization & Accounting: พนักงานเห็นยอดเงินตามหลัก Least Privilege และเซิร์ฟเวอร์ AAA บันทึก Audit Log ทุกเซสชันลงใน SIEM

5

Stage 4: Progressive Hands-On Lab (Starter Edition)

แบบฝึกหัดพัฒนาทักษะวิเคราะห์เร็ว: ลับสมองจำแนก AAA และ System Authentication

โจทย์ซ้อมตอบ 2 ข้อสั้นๆ Interactive Lab Test
2.1 เมื่อพนักงานป้อน Username เข้าสู่ระบบ จากนั้นพิมพ์ Password และระบบสั่ง ล็อกประวัติเวลาเข้าใช้งาน (Session Start Time) ลงใน Log ทั้ง 3 ข้อมูลนี้ตรงกับขั้นตอนใดใน AAA Framework?
2.2 การที่ระบบเครือข่ายตรวจสอบ X.509 Machine Certificate ของแล็ปท็อปบริษัทก่อนอนุญาตให้เชื่อมต่อ Wi-Fi จัดเป็น Authenticating People หรือ Authenticating Systems?

Stage 5: End-of-Day Key Takeaways & Exam Anchors

Core Security Principles:
  • Confidentiality: รักษาความลับ (Encryption, Least Privilege, Classification)
  • Integrity: ป้องกันการดัดแปลง (Hashing, Digital Signatures, FIM)
  • Availability: พร้อมใช้งานเสมอ (Redundancy, Backups, Load Balancing)
  • Non-Repudiation: ห้ามปฏิเสธความรับผิด (Digital Signatures + PKI + Timestamps)
Access Control & Evaluation:
  • Identification: การอ้างตัวตนว่าเป็นใคร (Username, ID)
  • Authentication: การพิสูจน์ว่าเป็นตัวจริง (People vs. Systems)
  • Authorization: การอนุญาตสิทธิ์เข้าถึง (Permissions, RBAC)
  • Accounting: การบันทึกและตรวจสอบประวัติ (Audit Logs, Sessions)
  • Gap Analysis: ประเมินเทียบ Current State vs. Target State เพื่อปิดช่องว่าง
6

Stage 6: Daily English Practice Exam

CompTIA Security+ SY0-701 Practice Test (20 Questions: 70% New Day 2 + 30% Day 1 Spaced Repetition)

Your Score
0 / 20
0%