DevSecOps

CIA triad

สามเป้าหมายของความปลอดภัย

• confidentiality
• integrity
• availability
• + authenticity
• non-repudiation
• privacy

Risk vocabulary

คำศัพท์ความเสี่ยง

• asset
• threat
• vulnerability
• exploit
• risk = likelihood × impact
• residual risk
• risk appetite

Controls

มาตรการควบคุม

• preventive
• detective
• corrective
• deterrent
• technical/administrative/physical
• compensating control

AAA

การยืนยันตัวตนและสิทธิ์

• authentication
• authorization
• accounting/auditing

Least privilege

ให้สิทธิ์น้อยที่สุดที่จำเป็น

• need-to-know
• just-in-time access
• scoped tokens

Defense in depth

ป้องกันหลายชั้น

• layered controls
• network + host + app + data layers

Secure defaults & fail-safe

ค่าเริ่มต้นปลอดภัย

• deny by default
• fail closed vs fail open
• minimal attack surface

Separation of duties

แยกหน้าที่

• four-eyes principle
• maker-checker
• break-glass

Zero Trust

ไม่เชื่อใจโดยปริยาย

• verify explicitly
• assume breach
• identity-centric
• micro-segmentation
• continuous verification

Threat actors

ผู้คุกคาม

• script kiddies
• cybercriminals
• insiders
• hacktivists
• nation-state/APT
• motivation

Attack classes (แนวคิด)

กลุ่มการโจมตี

• phishing/social engineering
• malware/ransomware
• credential stuffing
• supply chain compromise
• DDoS
• misconfiguration exploitation

Vulnerability identifiers

ระบบระบุช่องโหว่

• CVE
• CWE
• CVSS
• EPSS
• KEV catalog
• NVD
• vendor advisories

Primitives

องค์ประกอบพื้นฐาน

• symmetric (AES-GCM)
• asymmetric (RSA, ECDSA, Ed25519)
• hashing (SHA-256)
• HMAC
• KDF

Password storage

เก็บรหัสผ่าน

• salting
• Argon2id
• bcrypt
• scrypt
• never encrypt passwords reversibly

PKI

โครงสร้างกุญแจสาธารณะ

• certificates
• CA
• chain of trust
• revocation (CRL/OCSP)
• certificate lifetimes

Common mistakes

ข้อผิดพลาดที่พบบ่อย

• rolling your own crypto
• ECB mode
• hardcoded keys
• weak randomness
• nonce reuse

Access control

การควบคุมสิทธิ์

• file permissions
• setuid risks
• sudoers
• PAM
• capabilities
• ACL

• SEC-03 · Data Access Control

MAC

การควบคุมแบบบังคับ

• SELinux (contexts, enforcing/permissive)
• AppArmor profiles
• seccomp

Hardening

การเสริมความปลอดภัย

• CIS benchmarks
• minimal packages
• SSH hardening
• auditd
• unattended patching
• kernel parameters (sysctl)

Logging for security

log เพื่อความปลอดภัย

• auth.log/secure
• journald
• auditd rules
• remote log shipping
• tamper resistance

Protocols & ports

โปรโตคอลและพอร์ต

• TCP/UDP
• common ports
• DNS
• HTTP(S)
• SSH
• insecure protocols (Telnet, FTP)

TLS deep dive

TLS เชิงลึก

• handshake
• cipher suites
• forward secrecy
• HSTS
• certificate pinning (แนวคิด)
• mTLS

Segmentation

แบ่งส่วนเครือข่าย

• VLAN
• subnets
• DMZ
• firewall zones
• micro-segmentation
• egress filtering

Traffic analysis

วิเคราะห์ traffic

• packet capture (ใน lab)
• Wireshark filters
• flow logs
• NetFlow
• DNS logs

Remote access

เข้าถึงระยะไกล

• VPN
• bastion
• SSH certificates
• identity-aware proxy
• ZTNA

Name resolution security

ความปลอดภัย DNS

• DNSSEC (แนวคิด)
• DNS over HTTPS/TLS
• DNS spoofing (แนวคิด)
• domain takeover (dangling CNAME)

Frameworks

กรอบอ้างอิง

• Microsoft SDL
• OWASP SAMM
• NIST SSDF (SP 800-218)
• BSIMM (แนวคิด)

Phase activities

กิจกรรมต่อเฟส

• requirements → design → implement → verify → release → operate
• security gates

Shift left & shift right

เลื่อนซ้ายและขวา

• early feedback
• runtime protection
• feedback loops จาก production

Security champions

ผู้นำด้านความปลอดภัยในทีม

• champion program
• enablement
• office hours
• paved roads

Sources

แหล่งที่มา

• OWASP ASVS
• regulatory (PDPA, PCI DSS)
• internal policies
• privacy by design

Abuse cases

กรณีใช้ในทางที่ผิด

• misuse stories
• evil user stories
• acceptance criteria ด้านความปลอดภัย

Data classification

จัดชั้นข้อมูล

• public/internal/confidential/restricted
• PII
• handling rules

Four questions

คำถามหลัก

• what are we building
• what can go wrong
• what are we going to do
• did we do a good job

Data Flow Diagram

แผนภาพการไหลของข้อมูล

• external entity
• process
• data store
• data flow
• trust boundary

STRIDE

หมวดภัย

• Spoofing
• Tampering
• Repudiation
• Information disclosure
• Denial of service
• Elevation of privilege
• STRIDE-per-element

Other methods

วิธีอื่น

• PASTA
• LINDDUN (privacy)
• attack trees
• kill chain mapping
• DREAD (ข้อจำกัด)

Tooling

เครื่องมือ

• OWASP Threat Dragon
• Microsoft Threat Modeling Tool
• threat-model-as-code (pytm, Threagile) (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Continuous threat modeling

ทำต่อเนื่อง

• lightweight per feature
• design review checklist
• update on architecture change

Secure coding practices

แนวปฏิบัติ

• input validation
• output encoding
• parameterized queries
• safe deserialization
• error handling ไม่รั่วข้อมูล

Security code review

รีวิวด้านความปลอดภัย

• checklist
• high-risk areas (auth, crypto, file upload, serialization)
• diff-focused review

Developer training

การฝึกนักพัฒนา

• secure coding katas
• just-in-time guidance in IDE

Broken Access Control

ควบคุมสิทธิ์ผิดพลาด

• IDOR
• missing function-level authorization
• privilege escalation
• CORS misconfiguration
• deny-by-default

Cryptographic Failures

ใช้คริปโตผิด

• plaintext transmission
• weak algorithms
• key management
• sensitive data exposure

Injection

การฉีดคำสั่ง

• SQL injection
• NoSQL injection
• OS command injection
• LDAP injection
• XSS (reflected/stored/DOM)
• parameterization
• context-aware encoding

Insecure Design

ออกแบบไม่ปลอดภัย

• missing threat modeling
• business logic flaws
• rate limit absence

Security Misconfiguration

ตั้งค่าผิด

• default credentials
• verbose errors
• unnecessary features
• missing security headers
• XXE

Vulnerable & Outdated Components

ส่วนประกอบล้าสมัย

• dependency CVEs
• end-of-life frameworks
• SCA

Identification & Authentication Failures

ยืนยันตัวตนผิดพลาด

• credential stuffing
• weak password policy
• session fixation
• missing MFA

Software & Data Integrity Failures

ความถูกต้องของซอฟต์แวร์/ข้อมูล

• insecure deserialization
• unsigned updates
• CI/CD tampering

Logging & Monitoring Failures

ไม่มี log/การเฝ้าระวัง

• missing audit logs
• no alerting
• log injection

SSRF

หลอกเซิร์ฟเวอร์ให้เรียกปลายทางภายใน

• cloud metadata endpoint risk
• allowlist
• egress controls
• IMDSv2

OWASP API Top 10 concepts

แนวคิดช่องโหว่ API

• BOLA
• broken authentication
• BOPLA/mass assignment
• unrestricted resource consumption
• BFLA
• unsafe consumption of APIs
• improper inventory

API controls

มาตรการ

• schema validation (OpenAPI)
• rate limiting
• API gateway
• object-level authz checks
• API inventory/shadow APIs

GraphQL & gRPC concerns

ประเด็นเฉพาะ

• query depth/complexity limits
• introspection in production
• authz per resolver

Auth protocols

โปรโตคอล

• OAuth 2.0 flows (authorization code + PKCE, client credentials)
• OpenID Connect
• SAML

Tokens

โทเคน

• JWT structure
• signature validation
• alg confusion (แนวคิด)
• expiry
• refresh token rotation
• token storage

Sessions

เซสชัน

• secure cookie flags (Secure, HttpOnly, SameSite)
• CSRF protection
• session timeout
• logout invalidation

MFA & passwordless

ยืนยันหลายปัจจัย

• TOTP
• WebAuthn/passkeys
• phishing-resistant MFA

Security headers

header ป้องกัน

• Content-Security-Policy
• HSTS
• X-Content-Type-Options
• frame-ancestors
• Referrer-Policy
• Permissions-Policy

Same-origin & CORS

นโยบาย origin

• SOP
• CORS preflight
• credentialed requests
• misconfiguration patterns

Client-side risks

ความเสี่ยงฝั่ง client

• third-party scripts
• Subresource Integrity
• clickjacking
• open redirect

SAST

วิเคราะห์ซอร์สโค้ด

• taint analysis
• source/sink
• data flow
• pattern-based rules
• Semgrep
• CodeQL
• SonarQube (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Custom rules

เขียนกฎเอง

• rule authoring
• org-specific patterns
• banned APIs

IDE & pre-commit

ตรวจตั้งแต่เครื่องนักพัฒนา

• IDE plugins
• pre-commit hooks
• fast feedback

Linters & type safety

linter

• security linters (Bandit, ESLint security plugins)
• strict typing

SCA

ตรวจไลบรารีบุคคลที่สาม

• lockfiles
• transitive dependencies
• vulnerability databases (OSV, GHSA)
• reachability analysis

Automated updates

อัปเดตอัตโนมัติ

• Dependabot
• Renovate
• grouping
• auto-merge policy
• breaking change risk

License compliance

ใบอนุญาต

• permissive vs copyleft
• license policy
• SPDX identifiers

Dependency risks

ความเสี่ยงอื่น

• typosquatting
• dependency confusion
• abandoned packages
• malicious packages (แนวคิด)
• OpenSSF Scorecard

DAST

สแกนแอปที่กำลังรัน

• crawling
• authenticated scanning
• OWASP ZAP baseline/full scan
• API scanning ด้วย OpenAPI
• scan เฉพาะ environment ทดสอบ

IAST

agent ตรวจในแอป

• runtime instrumentation
• low false positives
• language support

Fuzzing

ป้อนข้อมูลสุ่ม

• coverage-guided fuzzing
• API fuzzing
• OSS-Fuzz (แนวคิด)

Security unit tests

ทดสอบความปลอดภัยในโค้ด

• authz tests
• input validation tests
• regression tests for fixed vulns

Secret scanning

หาความลับในโค้ด

• gitleaks
• TruffleHog
• history scanning
• push protection
• entropy vs pattern

IaC scanning

สแกน infrastructure code

• Checkov
• Trivy config
• KICS
• Terraform/K8s/Dockerfile misconfig

Container scanning

สแกน image

• Trivy
• Grype
• OS vs language packages
• base image recommendations

Gate design

ออกแบบด่าน

• block on new critical
• baseline/diff mode
• warn vs fail
• break-glass exception

Result management

จัดการผล

• SARIF format
• deduplication
• ASPM/vulnerability management platforms (DefectDojo)
• ownership routing

Triage workflow

ขั้นตอนคัดกรอง

• true/false positive
• risk acceptance with expiry
• fix SLA by severity
• metrics (MTTR vulns)

Secret types

ประเภทความลับ

• API keys
• DB passwords
• certificates/private keys
• tokens
• encryption keys

Secret stores

ที่เก็บ

• Vault/OpenBao
• cloud secret managers
• KMS/HSM
• envelope encryption

Lifecycle

วงจรชีวิต

• creation
• distribution
• rotation
• revocation
• expiry
• audit

Dynamic & short-lived

อายุสั้น

• dynamic DB creds
• leases
• PKI secrets engine
• just-in-time access

Leak response

รับมือการรั่ว

• revoke first
• rotate
• scope assessment
• history rewrite ไม่พอ
• notify

OIDC federation

ยืนยันตัวตนข้ามระบบ

• CI OIDC token
• claims (repo, branch, environment)
• trust policy conditions
• audience

Workload identity

ตัวตนของ workload

• IRSA/EKS Pod Identity
• GKE Workload Identity
• Azure Workload Identity
• SPIFFE/SPIRE

Service accounts

บัญชีบริการ

• per-pipeline scope
• no shared accounts
• key-less where possible

Token permissions

สิทธิ์ของ token

• default read-only
• per-job permissions
• fine-grained PAT
• expiry

Runner security

ความปลอดภัย runner

• ephemeral runners
• isolation
• no privileged containers
• network egress control
• self-hosted risks on public repos

Pipeline threats (แนวคิด)

ภัยต่อ pipeline

• poisoned pipeline execution
• untrusted fork PRs
• script injection via untrusted input
• compromised third-party actions

Environment protection

ปกป้อง environment

• required reviewers
• deployment branches
• separate prod credentials
• approval audit

Privileged access

สิทธิ์สูง

• PAM
• JIT elevation
• break-glass accounts
• session recording

SSO & MFA for dev tools

SSO สำหรับเครื่องมือ

• SCM SSO
• enforced MFA
• offboarding automation
• access reviews

Attack surface (แนวคิด)

จุดเสี่ยง

• source tampering
• build compromise
• dependency compromise
• artifact substitution
• registry compromise

Case studies

กรณีศึกษา

• build system compromise
• malicious package updates
• maintainer account takeover (วิเคราะห์บทเรียนเชิงป้องกัน)

Frameworks

กรอบ

• SLSA
• NIST SSDF
• CNCF supply chain best practices
• OpenSSF

Formats

รูปแบบ

• SPDX
• CycloneDX
• components
• relationships
• PURL
• CPE

Generation

การสร้าง

• Syft
• build-time vs image-time SBOM
• completeness
• per-release SBOM

Usage

การใช้งาน

• vulnerability matching
• VEX (exploitability statements)
• license audit
• SBOM sharing with customers

Artifact signing

ลงนาม artifact

• Sigstore
• cosign
• keyless signing (Fulcio, OIDC identity)
• transparency log (Rekor)
• key-based signing with KMS

Attestations

คำรับรอง

• in-toto attestation
• predicate types (SLSA provenance, SBOM, vuln scan)
• DSSE envelope

SLSA levels (แนวคิด)

ระดับความน่าเชื่อถือของ build

• build track levels
• hosted build platform
• non-falsifiable provenance
• isolated builds

Source integrity

ความถูกต้องของซอร์ส

• signed commits (GPG/SSH/gitsign)
• branch protection
• two-person review

Deploy-time verification

ตรวจตอน deploy

• admission policies (Kyverno verifyImages, Sigstore policy-controller)
• identity-based trust policies

Dependency hygiene

สุขอนามัย dependency

• pinning by hash
• private mirrors/proxies
• allowlisted registries
• reproducible builds

Artifact repositories

คลัง artifact

• immutable artifacts
• provenance stored alongside
• retention

Minimal images

image ขนาดเล็ก

• distroless
• scratch
• Chainguard/Wolfi-style minimal bases
• slim variants (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Dockerfile hygiene

Dockerfile ที่ดี

• non-root USER
• no secrets in layers
• BuildKit secret mounts
• pin digests
• multi-stage
• Hadolint

Scanning & patching

สแกนและแพตช์

• OS + language packages
• rebuild cadence
• base image update automation
• unfixed CVEs handling

Kernel isolation

การแยกระดับเคอร์เนล

• namespaces
• cgroups
• user namespaces/rootless
• seccomp profiles
• AppArmor/SELinux

Privilege risks (แนวคิด)

ความเสี่ยงสิทธิ์สูง

• privileged containers
• host mounts (docker.sock, /)
• hostPID/hostNetwork
• dangerous capabilities (SYS_ADMIN)

Sandboxed runtimes

runtime แยกพิเศษ

• gVisor
• Kata Containers
• Firecracker microVMs

Container escape (แนวคิด)

การหลุดออกจาก container

• kernel vulnerability class
• misconfiguration class
• detection signals
• prevention layers

Registry security

ความปลอดภัย registry

• private registry
• access control
• image immutability
• scanning on push
• signature storage

Host hardening

เสริม host

• container-optimized OS (Bottlerocket, Flatcar, COS)
• CIS Docker benchmark
• minimal host access

Control plane security

ปกป้อง control plane

• API server access
• private endpoint
• etcd encryption at rest
• audit logging
• anonymous auth disabled

Node security

ปกป้อง node

• kubelet authn/authz
• node restriction
• minimal OS
• auto-upgrade
• IMDS protection

Benchmarks

มาตรฐานตรวจ

• CIS Kubernetes Benchmark
• kube-bench
• managed service responsibility split

Authentication

ยืนยันตัวตน

• OIDC for users
• client certificates
• service account tokens (bound, projected)
• cloud IAM mapping

RBAC

สิทธิ์ตามบทบาท

• Role/ClusterRole
• bindings
• wildcard risks
• escalate/bind/impersonate verbs
• kubectl auth can-i --list
• rbac audit tools

Service accounts

บัญชีบริการ

• automountServiceAccountToken: false
• per-workload SA
• workload identity to cloud

Pod Security Standards

มาตรฐาน pod

• privileged/baseline/restricted
• Pod Security Admission labels
• enforce/audit/warn modes

securityContext

การตั้งค่าความปลอดภัย

• runAsNonRoot
• runAsUser
• readOnlyRootFilesystem
• allowPrivilegeEscalation: false
• capabilities drop ALL
• seccompProfile RuntimeDefault

Secrets in K8s

ความลับใน K8s

• base64 ≠ encryption
• KMS encryption provider
• external secret stores
• RBAC on secrets

NetworkPolicy

นโยบายเครือข่าย

• default deny ingress/egress
• namespace isolation
• DNS egress allowance
• Cilium L7 policies

Service mesh security

ความปลอดภัย mesh

• automatic mTLS
• authorization policies
• workload identity (SPIFFE)

Admission control

ด่านตรวจก่อนสร้าง object

• validating/mutating webhooks
• Kyverno
• OPA Gatekeeper
• ValidatingAdmissionPolicy (CEL)
• image policy

Posture scanning

ตรวจสภาพ

• Kubescape
• Trivy operator
• Polaris
• kube-hunter-style assessments ใน lab (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Shared responsibility

ความรับผิดชอบร่วม

• IaaS/PaaS/SaaS split
• customer responsibilities
• managed service nuances

Account/project strategy

โครงสร้างบัญชี

• multi-account
• landing zone
• security/log archive accounts
• guardrails (SCP/org policies)

Common misconfigurations

การตั้งค่าผิดที่พบบ่อย

• public buckets
• open security groups
• overly permissive IAM
• unencrypted storage
• exposed metadata

Policy model

โมเดลนโยบาย

• identity vs resource policies
• conditions
• permission boundaries
• session policies
• explicit deny

Privilege escalation paths (แนวคิด)

เส้นทางยกระดับสิทธิ์

• iam:PassRole class
• policy attachment rights
• role chaining
• detection with graph tools

Analysis tools

เครื่องมือวิเคราะห์

• IAM Access Analyzer
• policy simulator
• unused permissions
• CIEM

Federation

การรวมตัวตน

• SSO
• IdP integration
• short-lived sessions
• no IAM users with keys

Encryption

การเข้ารหัส

• at rest (KMS, CMK, key policies)
• in transit
• envelope encryption
• key rotation
• BYOK/HYOK

Data security

ความปลอดภัยข้อมูล

• DLP
• data classification
• Macie-style discovery
• backup immutability
• object lock

Network controls

ควบคุมเครือข่าย

• private subnets
• VPC endpoints/private link
• egress filtering
• WAF
• DDoS protection
• IMDSv2

CSPM

จัดการสภาพความปลอดภัย cloud

• continuous config assessment
• benchmark mapping (CIS)
• Prowler
• ScoutSuite
• native (Security Hub, Security Command Center, Defender for Cloud)

CNAPP

แพลตฟอร์มรวม

• CSPM + CWPP + CIEM + KSPM
• attack path analysis (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Cloud logging

log ของ cloud

• CloudTrail/Cloud Audit Logs/Activity Log
• VPC flow logs
• DNS logs
• centralized log archive

Native threat detection

ตรวจจับในตัว

• GuardDuty
• Security Command Center threat detection
• Defender
• finding triage

Policy as code

นโยบายเป็นโค้ด

• versioned
• tested
• reviewed
• decoupled decision vs enforcement (PDP/PEP)

• SRE-15 · Terraform module + policy a…

Enforcement points

จุดบังคับใช้

• pre-commit
• CI (Conftest)
• plan-time (Terraform)
• admission (Gatekeeper/Kyverno)
• runtime
• API authz

OPA & Rego

engine ทั่วไป

• rules
• packages
• input/data
• partial evaluation
• opa test
• bundles

Kyverno

policy แบบ YAML สำหรับ K8s

• validate
• mutate
• generate
• verifyImages
• policy reports
• exceptions

CEL

Common Expression Language

• ValidatingAdmissionPolicy
• lightweight expressions

Cloud-native policies

policy ของ cloud

• SCP
• Azure Policy
• GCP Organization Policy
• tag policies

Testing

การทดสอบ

• unit tests
• fixtures
• policy coverage
• CI for policies

Rollout

การปล่อยใช้

• audit/dry-run mode first
• warn → enforce
• exception workflow with expiry

Governance

การกำกับ

• policy library
• ownership
• mapping to controls

eBPF-based security

ใช้ eBPF

• syscall monitoring
• process/network/file events
• low overhead
• Falco
• Tetragon
• Tracee (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Detection rules

กฎตรวจจับ

• shell spawned in container
• unexpected outbound connection
• sensitive file read
• privilege escalation signals
• crypto-mining indicators

Drift prevention

กันการเปลี่ยนขณะรัน

• immutable containers
• binary drift detection
• read-only rootfs

Runtime enforcement

บังคับขณะรัน

• kill/block actions
• LSM enforcement
• risk of false positive blocking

Log sources

แหล่ง log

• K8s audit logs
• cloud audit logs
• runtime events
• app logs
• WAF logs
• IdP logs

SIEM & data lake

ที่รวมข้อมูล

• normalization (OCSF/ECS)
• correlation
• retention
• cost control

Detection as code

การตรวจจับเป็นโค้ด

• Sigma rules
• version control
• testing with sample events
• CI for detections

Alert quality

คุณภาพ alert

• precision/recall
• tuning
• enrichment
• severity mapping
• MITRE ATT&CK mapping (Containers/Cloud matrices)

IR lifecycle

วงจร

• preparation
• detection & analysis
• containment
• eradication
• recovery
• lessons learned

Containment in K8s/cloud

จำกัดความเสียหาย

• isolate pod with NetworkPolicy
• cordon node
• revoke credentials
• snapshot for forensics
• quarantine account

Evidence

หลักฐาน

• volatile data
• container snapshots
• log preservation
• chain of custody

Automation

อัตโนมัติ

• SOAR playbooks
• auto-remediation with guardrails
• ChatOps notifications

Standards overview

ภาพรวมมาตรฐาน

• ISO/IEC 27001 Annex A
• SOC 2 trust services criteria
• PCI DSS
• NIST CSF
• NIST 800-53
• CIS Controls

Thai context

บริบทไทย

• PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล)
• พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์
• แนวปฏิบัติของหน่วยงานกำกับ (ภาพรวม)

Control mapping

map control

• control → technical check → evidence
• common control frameworks
• crosswalks

Continuous compliance

ตรวจต่อเนื่อง

• automated checks
• drift alerts
• compliance dashboards

OSCAL

รูปแบบข้อมูล compliance

• catalogs
• profiles
• component definitions
• SSP as code (แนวคิด)

Evidence collection

เก็บหลักฐาน

• pipeline logs
• signed attestations
• change records
• access reviews
• audit trail immutability

Infrastructure compliance

ตรวจ infra

• InSpec/Chef-style compliance profiles
• OpenSCAP
• cloud config rules (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Operational metrics

ตัวชี้วัดปฏิบัติการ

• vuln MTTR by severity
• SLA compliance
• % builds with SBOM/signature
• scan coverage
• secret leak count

Risk metrics

ตัวชี้วัดความเสี่ยง

• risk register
• exceptions aging
• critical exposure window
• posture score trend

Maturity

ระดับความพร้อม

• OWASP SAMM
• DSOMM (DevSecOps Maturity Model)
• roadmap

Reporting

การรายงาน

• executive dashboards
• team scorecards
• avoiding vanity metrics

Prompt injection (แนวคิด)

การแทรกคำสั่ง

• direct vs indirect injection
• untrusted content in context
• instruction hierarchy
• defense limitations

• LLM-07 · Prompt Injection Lab
• VIBE-LAB-14 · Prompt injection ผ่าน READM…

Data leakage

ข้อมูลรั่ว

• sensitive info in prompts/outputs
• system prompt exposure
• training data memorization
• PII redaction

Insecure output handling

ใช้ output โดยไม่ตรวจ

• treat model output as untrusted
• output encoding
• no direct exec/SQL from output

Excessive agency

agent มีสิทธิ์เกิน

• tool permission scoping
• human approval for high-impact actions
• sandboxed execution

Resource abuse

ใช้ทรัพยากรเกิน

• unbounded consumption
• rate limits
• token budgets
• cost alerts

Model provenance

ที่มาของโมเดล

• model cards
• signed models
• hash verification
• trusted registries

Unsafe formats

รูปแบบไฟล์เสี่ยง

• pickle deserialization risk
• safetensors
• model scanning

Data poisoning (แนวคิด)

การวางยาข้อมูล

• dataset provenance
• RAG corpus integrity
• access control on knowledge base

AI BOM

รายการส่วนประกอบ AI

• models
• datasets
• prompts
• dependencies (แนวคิด)

Guardrails

ราวกั้น

• input/output filters
• content classifiers
• allowlisted tools
• structured outputs (เครื่องมือเปลี่ยนเร็ว — รีวิวทุก 3–6 เดือน)

Security evals & red teaming

ทดสอบความปลอดภัย

• adversarial test sets
• regression evals in CI
• automated red-team harnesses ใน sandbox
• scoring thresholds

Agent security

ความปลอดภัย agent

• MCP/tool server trust
• least privilege tokens
• audit logging of tool calls
• egress restrictions

AI coding assistants

ผู้ช่วยเขียนโค้ด AI

• review AI-generated code
• secret exposure to assistants
• hallucinated packages risk
• org usage policy

Frameworks

กรอบอ้างอิง

• OWASP LLM Top 10
• NIST AI RMF
• MITRE ATLAS
• ISO/IEC 42001 (ภาพรวม)