ความปลอดภัย · Security Security

Attack Surface คืออะไร ทำไมหลายองค์กรไม่รู้ว่ามีอะไรเปิดอยู่บนอินเทอร์เน็ต What Is an Attack Surface? Why Many Organizations Don't Know What Is Exposed on the Internet

Attack surface คือทุกจุดที่คนภายนอกเข้าถึงระบบขององค์กรได้ ทั้งเว็บไซต์ เซิร์ฟเวอร์ และบริการบนคลาวด์ บทความนี้อธิบายว่าทำไมองค์กรจึงมักไม่รู้ว่าทรัพย์สินดิจิทัลของตัวเองเปิดอยู่ตรงไหนบ้าง และเริ่มสำรวจได้อย่างไร An attack surface is every point where outsiders can reach an organization's systems, such as websites, servers and cloud services. This article explains why organizations often lose track of their digital assets and how to start mapping them.

2 พฤศจิกายน 2026 November 2, 2026 อ่าน 7 นาที 7 min read โดย ทีม TechFinder By TechFinder team

สารบัญบทความ

Attack surface คือทุกจุดที่คนภายนอกพยายามเข้าถึงระบบขององค์กรได้ เช่น เว็บไซต์ โดเมน เซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต และบริการบนคลาวด์ ปัญหาที่พบบ่อยคือองค์กรไม่มีรายการทรัพย์สินดิจิทัลที่ครบและทันสมัย จึงไม่รู้ว่ามีอะไรเปิดอยู่บ้าง สิ่งที่ไม่รู้ว่ามีก็ดูแลไม่ได้ ขั้นแรกจึงเป็นการสำรวจและทำรายการให้ครบ

Attack surface คืออะไรในภาษาที่ไม่ต้องเป็นช่าง

ลองนึกถึงอาคารสำนักงาน ประตู หน้าต่าง ช่องระบายอากาศ และประตูหลังโรงจอดรถ ล้วนเป็นทางเข้าที่ใครสักคนอาจลองเปิดดู ระบบไอทีก็เหมือนกัน เว็บไซต์หลักคือประตูหน้า ส่วนระบบอีเมล หน้าล็อกอินของพนักงาน พื้นที่เก็บไฟล์บนคลาวด์ และเซิร์ฟเวอร์ที่ตั้งทิ้งไว้ก็เป็นประตูและหน้าต่างอีกหลายบาน

เอกสารของ Microsoft ที่อธิบายเครื่องมือสำรวจพื้นที่รับความเสี่ยงภายนอกมองสิ่งนี้เป็นร่องรอยดิจิทัลขององค์กรบนอินเทอร์เน็ต โดยรายการที่เก็บมีทั้งโดเมน บล็อกไอพี โฮสต์ ที่อยู่อีเมลติดต่อ และเลขระบบเครือข่าย (ASN) หมายความว่าข้อมูลที่มองเห็นจากภายนอกมีมากกว่าเว็บไซต์ที่ทีมการตลาดเปิดตัวไว้

ทำไมองค์กรจึงไม่รู้ว่ามีอะไรเปิดอยู่

เรื่องนี้ไม่ค่อยเกิดจากความประมาทของใครคนเดียว มักเกิดจากการสะสมของเวลา

ระบบถูกเพิ่มเข้ามาทีละส่วน

เว็บไซต์แคมเปญที่ทำให้งานอีเวนต์เมื่อสองปีก่อน ระบบทดสอบที่นักพัฒนาตั้งขึ้นชั่วคราว หรือโดเมนย่อยที่ผู้รับจ้างสร้างให้ ทุกอย่างเริ่มต้นด้วยเหตุผลที่ดี แต่เมื่องานจบ ไม่มีใครมีหน้าที่ปิด ระบบจึงค้างอยู่บนอินเทอร์เน็ตต่อไปโดยไม่มีใครอัปเดต

รายการที่ฝ่ายไอทีถืออยู่ตามความจริงไม่ทัน

ตารางทรัพย์สินที่จัดทำตอนซื้อระบบมักไม่ถูกแก้เมื่อมีการย้าย เปลี่ยน หรือเลิกใช้ ยิ่งองค์กรใช้บริการคลาวด์หลายเจ้า การเปิดใช้งานใหม่ทำได้ในไม่กี่นาทีโดยไม่ต้องผ่านฝ่ายไอที ความคลาดเคลื่อนยิ่งเพิ่ม

ผู้ให้บริการภายนอกและบริษัทในเครือ

โดเมนและเซิร์ฟเวอร์บางส่วนอยู่ในความดูแลของบริษัทที่รับทำเว็บ บริษัทในเครือ หรือสาขา คำถามว่าใครรับผิดชอบเมื่อพบช่องโหว่มักไม่มีคำตอบที่ชัดตั้งแต่ต้น

หลักฐานจากแนวปฏิบัติของ CISA และ Microsoft

CISA ของสหรัฐฯ ออกคำสั่ง BOD 23-01 ให้หน่วยงานรัฐบาลกลางทำสองอย่างคู่กัน คือค้นหาทรัพย์สินที่เชื่อมต่อเครือข่ายอยู่และตรวจนับช่องโหว่บนทรัพย์สินเหล่านั้น ตัวเลขที่คำสั่งกำหนดคือค้นหาทรัพย์สินทุก 7 วัน และตรวจนับช่องโหว่ทุก 14 วัน นี่เป็นข้อกำหนดสำหรับหน่วยงานกลุ่มดังกล่าว ไม่มีผลบังคับกับองค์กรไทย แต่ใช้เป็นตัวเทียบได้ว่าการทำรายการทรัพย์สินควรทำซ้ำเป็นรอบ

CISA ยังเขียนไว้ในคำสั่งเดียวกันว่าการมองเห็นทรัพย์สินไม่ใช่จุดหมายปลายทาง เพราะต้องนำไปใช้กับการอัปเดต การตั้งค่า และการแก้ช่องโหว่ต่อ

ฝั่ง Microsoft อธิบายวิธีสำรวจว่าเริ่มจากทรัพย์สินที่องค์กรรู้จักอยู่แล้ว เรียกว่า discovery seeds แล้วไล่ตามความเชื่อมโยงที่ตรวจพบ เพื่อหาทรัพย์สินที่ยังไม่เคยรู้จักและไม่เคยถูกเฝ้าดู วิธีคิดนี้นำมาใช้กับงานสำรวจเองได้ คือเริ่มจากโดเมนหลักที่รู้แน่ แล้วขยายไปหาสิ่งที่เกี่ยวข้อง

ตารางตัวอย่างทรัพย์สินที่มักตกหล่น

ประเภท	ตัวอย่าง	เหตุที่ตกหล่น
โดเมนและโดเมนย่อย	เว็บแคมเปญเก่า หน้าทดสอบ	ผู้สร้างเลิกทำงานหรือจบโครงการ
เซิร์ฟเวอร์และพอร์ต	บริการที่เปิดไว้เพื่อให้ผู้รับจ้างเข้าถึง	ไม่มีใครปิดหลังงานเสร็จ
บริการบนคลาวด์	พื้นที่เก็บไฟล์ ระบบที่ทีมเปิดใช้เอง	เปิดได้เองโดยไม่ผ่านฝ่ายไอที
อีเมลและหน้าล็อกอิน	ระบบเว็บเมลเก่า หน้าล็อกอินของระบบภายใน	ย้ายระบบแล้วแต่ของเดิมยังเปิดอยู่
ทรัพย์สินของบริษัทในเครือ	เว็บไซต์สาขา	อยู่นอกความรับผิดชอบของไอทีส่วนกลาง

เริ่มสำรวจ attack surface ขององค์กรอย่างไร

ลำดับต่อไปนี้เริ่มทำได้ทันทีโดยยังไม่ต้องมีเครื่องมือพิเศษ

รวบรวมสิ่งที่รู้อยู่แล้ว ได้แก่ชื่อโดเมนที่จดทะเบียน ใบรับรอง SSL ที่ออกไว้ และบัญชีผู้ให้บริการคลาวด์ที่บริษัทจ่ายเงินอยู่ ใบแจ้งหนี้ของผู้ให้บริการมักบอกได้ว่าเคยเปิดใช้อะไรบ้าง
ถามคนที่เคยสร้างระบบ ทั้งฝ่ายการตลาด ฝ่ายขาย และผู้รับจ้าง ว่าเคยตั้งเว็บหรือระบบอะไรไว้บนอินเทอร์เน็ตบ้าง คำตอบจากคนมักครอบคลุมสิ่งที่เอกสารไม่มี
ไล่ดูจากภายนอก ลองค้นชื่อองค์กรและโดเมนหลักในเครื่องมือค้นหา และตรวจโดเมนย่อยที่ผูกกับโดเมนหลัก เพื่อเทียบว่ามีอะไรที่ไม่อยู่ในรายการ
กำหนดเจ้าของทุกรายการ ทรัพย์สินที่ไม่มีชื่อคนดูแลให้ถือว่าเป็นความเสี่ยงทันที ต้องหาเจ้าของให้ได้ หรือตัดสินใจปิด
จัดลำดับและแก้ไข รายการไหนไม่ใช้แล้วให้ปิด รายการไหนยังใช้อยู่ให้ตรวจการอัปเดตและการตั้งค่า
กำหนดรอบทบทวน ตามความเร็วที่ระบบเปลี่ยน เช่น ทุกครั้งที่เปิดระบบใหม่และทบทวนทั้งรายการเป็นรอบ ๆ

ข้อควรระวัง

รายการที่ทำเสร็จแล้วมีอายุ ระบบใหม่จะเข้ามาเรื่อย ๆ จึงควรผูกการอัปเดตรายการไว้กับขั้นตอนที่มีอยู่แล้ว เช่น การขออนุมัติเปิดโดเมนหรือบริการใหม่

อีกข้อคือการเห็นครบไม่เท่ากับปลอดภัย รายการทรัพย์สินบอกว่าต้องดูแลอะไร ส่วนการประเมินช่องโหว่ การอัปเดต และการตั้งค่าที่ปลอดภัยยังต้องทำต่อ

ถ้าอยากให้ผู้เชี่ยวชาญช่วยดูภาพรวม

ทีม TechFinder ให้บริการหลายด้านที่เกี่ยวกับเรื่องนี้ รวมถึง Exposure Intelligence Platform ซึ่งเป็นบริการประเมินความเสี่ยงไซเบอร์ที่สร้างบนหลักการ CTEM มีรายงานทั้งภาษาไทยและอังกฤษ ดูภาพรวมบริการทั้งหมดได้ที่ หน้าบริการ และอ่านรายละเอียดของบริการนี้ได้ที่ Exposure Intelligence Platform หากต้องการปรึกษาว่าองค์กรควรเริ่มจากตรงไหน ติดต่อทีมได้ที่ /contact/

คำถามที่พบบ่อย Frequently asked questions

Attack surface คืออะไร What is an attack surface?

คือทุกจุดที่คนภายนอกพยายามเข้าถึงระบบขององค์กรได้ เช่น เว็บไซต์ โดเมน เซิร์ฟเวอร์ที่เปิดพอร์ตสู่อินเทอร์เน็ต อีเมล และบริการบนคลาวด์ ยิ่งมีจุดเหล่านี้มากและดูแลไม่ทั่วถึง พื้นที่ที่ผู้โจมตีลองเข้ามาก็ยิ่งกว้าง It is every point where an outsider can try to reach an organization's systems, such as websites, domains, servers with ports open to the internet, email and cloud services. The more of these points there are and the less evenly they are looked after, the wider the area an attacker can probe.

ทำไมองค์กรจึงไม่รู้ว่ามีอะไรเปิดอยู่บนอินเทอร์เน็ต Why don't organizations know what is exposed on the internet?

เพราะระบบถูกเพิ่มเข้ามาทีละส่วนตามเวลา เช่น เว็บแคมเปญ ระบบทดสอบ หรือบริการที่ผู้ให้บริการภายนอกสร้างให้ แล้วไม่มีใครบันทึกหรือปิดเมื่อเลิกใช้ รายการทรัพย์สินที่ฝ่ายไอทีถืออยู่จึงตามความจริงไม่ทัน Because systems are added piece by piece over time, such as campaign sites, test systems or services built by outside providers, and nobody records or shuts them down when they are no longer needed. The list IT holds falls behind reality.

รายการทรัพย์สินดิจิทัลที่ดีควรมีอะไรบ้าง What should a good digital asset list contain?

อย่างน้อยควรมีชื่อโดเมนและโดเมนย่อย ที่อยู่ไอพี เซิร์ฟเวอร์ที่เปิดสู่ภายนอก บริการบนคลาวด์ ผู้รับผิดชอบแต่ละรายการ และสถานะว่ายังใช้งานอยู่หรือไม่ ข้อสำคัญคือต้องมีชื่อคนดูแล เพราะทรัพย์สินที่ไม่มีเจ้าของมักถูกปล่อยไว้ At minimum: domains and subdomains, IP addresses, servers exposed externally, cloud services, an owner for each item, and whether it is still in use. The owner matters most, since assets nobody owns tend to be left alone.

ต้องสแกนบ่อยแค่ไหน How often should we scan?

ไม่มีตัวเลขตายตัวที่ใช้ได้กับทุกองค์กร ควรกำหนดตามความเร็วที่ระบบเปลี่ยน ตัวอย่างเช่น คำสั่ง BOD 23-01 ของ CISA กำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ ค้นหาทรัพย์สินทุก 7 วัน แต่นั่นเป็นข้อกำหนดของหน่วยงานกลุ่มนั้น องค์กรทั่วไปใช้เป็นตัวเทียบได้ There is no single figure for every organization; set it by how fast your systems change. For reference, CISA's BOD 23-01 requires US federal agencies to run asset discovery every 7 days, which is a requirement for those agencies and a useful benchmark for others.

การรู้ attack surface ช่วยให้ปลอดภัยแค่ไหน How much does knowing the attack surface help?

ช่วยให้รู้ว่าต้องดูแลอะไรบ้าง แต่ยังไม่ได้แก้ปัญหาให้เอง CISA ระบุไว้ว่าการเห็นทรัพย์สินครบเป็นเพียงจุดเริ่ม ต้องตามด้วยการอัปเดต ตั้งค่า และแก้ช่องโหว่จึงจะลดความเสี่ยงได้ It tells you what needs looking after, but it does not fix anything by itself. CISA states that visibility is not an end in itself; it has to be followed by updates, configuration work and vulnerability fixes before risk goes down.

แหล่งอ้างอิง Sources

อ่านต่อ

SECURITY

ตรวจสอบช่องโหว่เว็บไซต์คืออะไร ต่างจาก Pentest อย่างไร และควรจัดลำดับการแก้อย่างไร Website Vulnerability Checks: How They Differ from a Pentest and How to Prioritize Fixes Beyond CVSS

ตรวจสอบช่องโหว่เว็บไซต์คือการค้นหาและรายงานจุดอ่อนที่มีอยู่ ส่วน Pentest คือการลองใช้จุดอ่อนนั้นเพื่อพิสูจน์ผลกระทบ บทความนี้อธิบายความต่าง และวิธีจัดลำดับการแก้โดยไม่ดูแค่คะแนน CVSS A website vulnerability check finds and reports existing weaknesses, while a pentest tries to use them to prove impact. This article explains the difference and how to rank fixes without relying on the CVSS score alone.

9 พฤศจิกายน 2026 · 8 นาที November 9, 2026 · 8 min read

อ่านบทความ

อบรม AI สำหรับองค์กร: หลักสูตรที่ดีควรมีอะไรบ้าง และเลือกอย่างไร AI Training for Organizations: What a Good Course Should Cover and How to Choose One

อบรม AI สำหรับองค์กรที่ได้ผลต้องแยกตามบทบาทของผู้เรียน เน้นลงมือทำกับงานจริง และสอนเรื่องข้อมูลที่ห้ามใส่ควบคู่กับวิธีใช้ บทความนี้ไล่องค์ประกอบของหลักสูตรและคำถามที่ควรถามก่อนเลือกผู้สอน Effective AI training for organizations is split by learner role, built around real work, and teaches which data must stay out of AI tools alongside how to use them. This article lists what a course should contain and what to ask before choosing a provider.

26 ตุลาคม 2026 · 8 นาที October 26, 2026 · 8 min read