Data Breach Check

Data Breach Check

Data Breach Check EP.4 “คิด ก่อน Prompt”

AI อาจช่วยคุณทำงานได้เร็วขึ้น แต่บางครั้ง…ข้อมูลสำคัญก็อาจ “หลุดออกไป” โดยไม่รู้ตัว

หลายคนใช้ AI เพื่อช่วยงานทุกวัน

สรุปเอกสาร

วิเคราะห์ข้อมูล

ช่วยตอบอีเมล

แก้โค้ด

สรุปประชุม

แต่สิ่งที่หลายคน “เผลอส่งไปด้วย” คือ…

ข้อมูลลูกค้า

เอกสารภายใน

ข้อมูลการเงิน

รหัสผ่าน

ข้อมูลส่วนตัว

บางครั้งแค่ Screenshot เดียว ก็อาจมี Email เบอร์โทร ชื่อบริษัท หรือข้อมูลสำคัญติดไปในภาพโดยไม่รู้ตัว

จำหลักนี้ไว้ “อย่าใส่ข้อมูล ที่ถ้าหลุดแล้ว…คุณเดือดร้อน”

ใช้ข้อมูลสมมติแทนข้อมูลจริง

ลบ/เบลอข้อมูลสำคัญก่อน Upload

แยกบัญชีงานกับบัญชีส่วนตัว

ใช้ AI สำหรับองค์กรเมื่อทำงานสำคัญ

คิดก่อนกด Enter ทุกครั้ง

เคล็ดลับเพิ่มเติม

ก่อนใช้งาน AI ลองเช็กการตั้งค่าให้ดี เพราะบางบริการอาจนำข้อมูลที่เราพิมพ์ไปใช้เพื่อ “พัฒนาโมเดล AI” ได้

จุดที่ควรดู

Settings

→ Data Controls / Privacy

→ ปิด “Chat History & Training” หรือการใช้ข้อมูลเพื่อพัฒนาโมเดล (ถ้ามี)

หรือเลือกใช้

Temporary Chat

Enterprise / Business Version

เมื่อทำงานที่เกี่ยวข้องกับข้อมูลสำคัญ

AI อาจไม่ได้ขโมยข้อมูลคุณ…แต่บางครั้ง เราเป็นคนส่งให้มันเอง

ก่อน Prompt AI อย่าลืมเตรียมสมองตัวเองให้ "พร้อม" ก่อนใช้งาน

ตามไปฟังเรื่องนี้ที่ “สายลับไซเบอร์” EP.95 : AI นักสืบอัจฉริยะ รู้จักคุณมากกว่าที่คิด ทาง https://www.facebook.com/zaabnewsradio/videos/1667919747780086/

อ่านเพิ่มเติม: ป้องกันภัยคุกคามจากคนใน (Insider Threats)

ขอบคุณข้อมูลดีๆ จากสกมช

ที่มา:  Thailand National Cyber Academy (THNCA) by NCSA : สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) National Cyber Security Agency

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#DataBreachCheck #คิดก่อนPrompt #AISecurity #NCSA2026

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

A step-by-step guide on how to perform a drive acquisition using dc3dd

Photo by Gemini

Step 1: Identify the Target Drive

Before starting, you must identify the correct device path for the drive you wish to image. Using a command like fdisk helps ensure you don't accidentally image the wrong disk.

• Command: sudo fdisk -l

• 
  


• Result: In the provided example, the target drive is identified as /dev/sdb, a 1.9 GiB device.

  

Step 2: Prevent Data Overwriting (Write-Blocking)

ISO/IEC 27037

Option A: Hardware Write-Blocker (Recommended)

ฮาร์ดแวร์คอมพิวเตอร์

Use a physical hardware write-blocker (like Tableau or WiebeTech) between the suspect drive and your workstation. This is the gold standard in forensics.

Option B: Software Write-Block (Forensics Mode) 

Step 3: Execute the Acquisition Command

Run the dc3dd command with the necessary flags for hashing and logging. This ensures the integrity of your forensic image.

Command: sudo dc3dd if=/dev/sdb of=Desktop/CF005.dd hash=sha256 log=CF005.log

Breaking down the flags:

• if=/dev/sdb: The input file (source drive).
• of=Desktop/CF005.dd: The output file (forensic image destination).
• hash=sha256: Calculates the SHA256 hash during the imaging process.
• log=CF005.log: Creates a log file detailing the acquisition.

Step 4: Monitor Progress

dc3dd provides a real-time progress bar, showing the percentage completed, the amount of data copied, and the current transfer speed.

• Example: The image shows the process at 9% completion with a speed of 7.4 M/s.

  

Step 5: Review Acquisition Results

Once completed, dc3dd will display the input and output results. This includes the total sectors processed and the final hash value.

• Input Results: 3870720 sectors in.

• SHA256 Hash: f2404d910f82fc1e7d5907e28cb511cfb1d8a7d61d2f965e17f9019200054184.

• 

A log file detailing the acquisition

• 
  
  

Step 5: Verify Integrity 

To ensure the image is a perfect bit-for-bit copy, you should manually verify the hashes of both the source drive and the resulting image file.

1. Check Source Hash: sudo sha256sum /dev/sdb > source_CF005.txt

   
   


2. Check Image Hash: sudo sha256sum Desktop/CF005.dd > Image_CF005.txt

Pro Tip: If the hashes match (as seen in the example images), you have successfully maintained the chain of custody and proven that the data has not been altered during the process.

Forensic Imaging with DD command

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Essential Linux Commands for Log Analysis

Prepare Sample SSH Log Files

Log download  the log files contain relevant SSH events, including timestamps, source IP addresses, usernames, actions (login, logout), etc.

Commands for Hashing Log Files

1. Generating a Hash (SHA-256)

The most common and secure standard for forensic imaging and log analysis is SHA-256.

• Command: sha256sum ssh.log

  

• Explanation: This command calculates the SHA-256 hash of the file ssh.log. It will output a 64-character hexadecimal string followed by the filename.

2. Saving the Hash to a Verification File

In a forensic investigation, you must save the hash immediately after collecting the evidence.

• Command: sha256sum ssh.log > ssh.log.sha256

  

• Explanation: The > operator redirects the output into a new file named ssh.log.sha256. This file acts as your "Evidence Reference".

3. Verifying the Integrity

To check if the log file has been tampered with or corrupted later:

• Command: sha256sum -c ssh.log.sha256

• Explanation: The -c (check) flag tells the system to read the hash from the .sha256 file and compare it with the current state of ssh.log.

  • Result OK: The file is identical to the original.

    

  • Result FAILED: The file has been modified or corrupted.

Essential Linux Commands for Log Analysis

1. grep (Global Regular Expression Print)

Used to search for specific text patterns within the log file.

• Command: grep "success" ssh.log

• Purpose: To filter and display only the lines where a login was successful.

• Command: grep "failure" ssh.log | wc -l

• Purpose: To count the total number of failed login attempts.

  

Steps to Analyze SSH Log Files

#cat Desktop/Web_Server_Logs/ssh.log 

Analyze failed login attempts:

 #cat Desktop/Web_Server_Logs/ssh.log | grep failure 

Investigate SSH sessions from unusual or suspicious source IP addresses: 

awk (Pattern Scanning and Processing)

Used to extract specific columns (fields) from the log.

• Command: awk '{print $3}' ssh.log

• Purpose: To extract the Source IP address (which is in the 3rd column)

  
  
  

• Command: awk '{print $5}' ssh.log

• Purpose: To extract the Destination IP address (which is in the 5th column).

  
  
  

If you want to find the Top 10 IP addresses trying to hack your server, use this combined

Step-by-step breakdown:

1. awk '{print $3}': Get all Source IPs.

2. sort: Group identical IPs together.

3. uniq -c: Count how many attempts each IP made.

4. sort -nr: Sort numerically in reverse (highest count at the top).

5. head -n 10: Show only the top 10 results.

#awk '{print $3}' Desktop/Web_Server_Logs/ssh.log | sort | uniq -c | sort -nr | head -n 10

Top Target (Destination) IPs:

• 192.168.28.254 (High frequency of attempts)

  
  
  

• 192.168.23.203 (High frequency of attempts)

• 
  
  

• 192.168.27.203 (High frequency of attempts)

• 

1. 1331904022.010000
   → Unix Timestamp (เวลาที่เกิดเหตุการณ์)

2. CU46Bb2UypzdF4eTW
   → Session ID / Connection ID ของ SSH

3. 192.168.202.110
   → Source IP (เครื่องที่พยายามเชื่อมต่อ)

4. 36586
   → Source Port

5. 192.168.27.203
   → Destination IP (เครื่องปลายทาง = SSH Server)

6. 22
   → Destination Port (SSH)

7. undetermined / failure
   → สถานะการเชื่อมต่อ

• undetermined = ยังไม่ทราบผล (handshake)

• failure = login ล้มเหลว

8. INBOUND
   → เป็นการเชื่อมต่อขาเข้า (incoming connection)

9. SSH-2.0-OpenSSH_5.8p1 Debian-ubuntu3
   → Banner ของ SSH 

• The SSH log indicates repeated inbound connection attempts from IP address 192.168.202.110 targeting the SSH service on 192.168.27.203 over port 22.
  Multiple sessions resulted in authentication failures, which is consistent with a brute-force or unauthorized login attempt.

 Time Conversion Command

Since the log uses Unix Epoch Time, you can convert it to a human-readable format using the date command.

• Command: date -d @1332017793.040000 

• Purpose: Converts the timestamp 1332017793.040000  into a standard Date/Time format.

อ่านเพิ่มเติม:

การจัดเก็บ Log file ให้ถูกกฎหมายด้วย 5 เครื่องมือ ใช้งานฟรีๆ

FortiGate Sample logs

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น ช่วยเตือนความจำ

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud