ISO / GMP / อย.

Threat Modeling คืออะไร? คู่มือ STRIDE, PASTA และ LINDDUN สำหรับ SME ไทย 2026

Threat Modeling คือกระบวนการวิเคราะห์ภัยคุกคามอย่างเป็นระบบก่อนเขียนโค้ด คู่มือเปรียบเทียบ STRIDE, PASTA, LINDDUN พร้อมขั้นตอนปฏิบัติและเครื่องมือฟรีสำหรับ SME ไทย 2026

AF
ADS FIT Team
·7 นาที
Share:
Threat Modeling คืออะไร? คู่มือ STRIDE, PASTA และ LINDDUN สำหรับ SME ไทย 2026

# Threat Modeling คืออะไร? คู่มือ STRIDE, PASTA และ LINDDUN สำหรับ SME ไทย 2026

ในยุคที่ภัยคุกคามไซเบอร์เพิ่มขึ้นแบบก้าวกระโดด การ "เขียนโค้ดให้เสร็จก่อน แล้วค่อยทดสอบเจาะระบบ" กลายเป็นแนวทางที่แพงและเสี่ยงเกินไป ทุก vulnerability ที่หลุดเข้าสู่ production มีต้นทุนการแก้ไขเฉลี่ยสูงกว่าการป้องกันตั้งแต่ design phase ถึง 100 เท่า

Threat Modeling คือกระบวนการวิเคราะห์ภัยคุกคามอย่างเป็นระบบ "ก่อน" เขียนโค้ดบรรทัดแรก เพื่อระบุจุดอ่อน ผู้โจมตีที่อาจเกิดขึ้น และมาตรการป้องกันที่จำเป็น สำหรับ SME ไทยที่กำลังพัฒนาแอป fintech, e-commerce, หรือระบบ B2B SaaS การมี framework ที่เป็นมาตรฐานช่วยให้ทีมเล็กสามารถออกแบบระบบให้ปลอดภัยตั้งแต่วันแรกได้

ในคู่มือนี้คุณจะได้เรียนรู้ 3 framework หลักที่อุตสาหกรรมระดับโลกใช้ — STRIDE, PASTA, และ LINDDUN — พร้อมขั้นตอนปฏิบัติจริงและเทมเพลตที่ทีม Dev/Security 2-5 คนนำไปใช้ได้ทันที

Threat Modeling สำคัญแค่ไหนกับ SME ไทย

PDPA, ISO 27001, และ Cyber Insurance ต่างเรียกร้องเอกสารแสดงกระบวนการประเมินความเสี่ยงของระบบสารสนเทศ การทำ Threat Model คือคำตอบที่ตรงประเด็นที่สุด

| ปัญหา | ผลกระทบ | Threat Modeling ช่วยอย่างไร |

|---|---|---|

| Data Breach หลุดข้อมูลลูกค้า | ค่าปรับ PDPA สูงสุด 5 ล้านบาท | ระบุจุด data flow ที่ไม่ encrypted |

| Ransomware เข้ารหัสฐานข้อมูล | หยุดธุรกิจ 7-30 วัน | ตรวจสอบ backup และ access control |

| API ถูก scrape | สูญเสียทรัพย์สินทางปัญญา | ออกแบบ rate-limit + auth ตั้งแต่ design |

| Insider Threat | ความเสียหายที่วัดเป็นตัวเลขยาก | บังคับ separation of duties |

STRIDE Framework: มาตรฐานที่ Microsoft ใช้

STRIDE คือ framework ที่ Microsoft พัฒนาตั้งแต่ปี 1999 ใช้งานง่ายที่สุดและเหมาะกับทีมขนาดเล็ก แต่ละตัวอักษรแทน threat category หนึ่งประเภท

  • **S — Spoofing**: ปลอมตัวเป็นผู้ใช้คนอื่น (ป้องกันด้วย Strong Auth, MFA)
  • **T — Tampering**: แก้ไขข้อมูลโดยไม่ได้รับอนุญาต (ป้องกันด้วย Digital Signature, HMAC)
  • **R — Repudiation**: ปฏิเสธว่าไม่ได้ทำธุรกรรม (ป้องกันด้วย Audit Log + Non-repudiation)
  • **I — Information Disclosure**: เปิดเผยข้อมูลที่ไม่ควรเปิด (ป้องกันด้วย Encryption, Access Control)
  • **D — Denial of Service**: ทำให้ระบบใช้งานไม่ได้ (ป้องกันด้วย Rate Limit, Auto-scale, WAF)
  • **E — Elevation of Privilege**: ยกระดับสิทธิ์โดยไม่ได้รับอนุญาต (ป้องกันด้วย Least Privilege, RBAC)

    • ขั้นตอน STRIDE ที่ใช้งานได้ทันที:

  • ขั้นที่ 1 — วาด Data Flow Diagram (DFD) ของระบบ แยก External Entity, Process, Data Store, Trust Boundary
  • ขั้นที่ 2 — ที่จุดข้าม Trust Boundary แต่ละจุด ถาม "STRIDE ทั้ง 6 ตัวเกิดได้ไหม?"
  • ขั้นที่ 3 — บันทึก Threat ที่พบลงใน Threat Register พร้อม likelihood/impact (1-5)
  • ขั้นที่ 4 — ออกแบบ Mitigation และตรวจสอบใน Code Review

    • PASTA Framework: เน้นความเสี่ยงทางธุรกิจ

    PASTA (Process for Attack Simulation and Threat Analysis) เหมาะกับองค์กรที่ต้องการเชื่อม security กับมูลค่าทางธุรกิจ แต่ละขั้นตอนของ PASTA จัดทำขึ้นโดยมองจากมุม "ผลกระทบทางธุรกิจ" ก่อนเสมอ

    7 ขั้นตอนของ PASTA ประกอบด้วย:

  • ขั้น 1 — กำหนดวัตถุประสงค์ของธุรกิจและ asset ที่ต้องปกป้อง
  • ขั้น 2 — กำหนดขอบเขตทางเทคนิคของระบบ
  • ขั้น 3 — แตกย่อยแอป (decomposition) ระบุจุดเชื่อมต่อและ trust boundary
  • ขั้น 4 — วิเคราะห์ภัยคุกคามจริงที่เกี่ยวข้องกับอุตสาหกรรม
  • ขั้น 5 — วิเคราะห์ vulnerability ที่ทำให้ภัยคุกคามนั้นเกิดได้
  • ขั้น 6 — จำลองการโจมตี (attack simulation) และประเมิน risk
  • ขั้น 7 — วิเคราะห์ residual risk และวางแผน mitigation

    • PASTA ใช้เวลามากกว่า STRIDE เหมาะกับระบบ critical เช่น core banking, healthcare, หรือ government

    LINDDUN: Privacy-First สำหรับ PDPA

    LINDDUN ถูกออกแบบมาเฉพาะสำหรับ "privacy threat" ทำให้เป็นทางเลือกที่ดีมากสำหรับธุรกิจที่ต้องปฏิบัติตาม PDPA หรือ GDPR

  • **L — Linkability**: ผูกข้อมูล 2 ชิ้นเข้าด้วยกันเพื่อระบุตัวตน
  • **I — Identifiability**: ระบุตัวบุคคลจากข้อมูลที่ดูเหมือนไม่ระบุตัว
  • **N — Non-repudiation**: บังคับให้ผู้ใช้รับผิดชอบโดยไม่จำเป็น
  • **D — Detectability**: ตรวจจับว่ามีข้อมูลของบุคคลในระบบหรือไม่
  • **D — Disclosure of Information**: เปิดเผยข้อมูลส่วนบุคคล
  • **U — Unawareness**: ผู้ใช้ไม่ทราบว่าข้อมูลถูกเก็บ/ประมวลผล
  • **N — Non-compliance**: ไม่ปฏิบัติตามนโยบายความเป็นส่วนตัว

    • ขั้นตอนปฏิบัติ Threat Modeling ใน 5 ขั้นตอน

  • ขั้นที่ 1 — รวบรวมเอกสาร System Architecture, Sequence Diagram, Tech Stack, External Dependency
  • ขั้นที่ 2 — วาด Data Flow Diagram โดยเน้น Trust Boundary ระหว่างภายในและภายนอกองค์กร
  • ขั้นที่ 3 — เลือก Framework: STRIDE สำหรับทีมเล็ก, PASTA สำหรับ enterprise, LINDDUN สำหรับเรื่อง privacy
  • ขั้นที่ 4 — ทำ Threat Workshop กับทีมข้ามสาย (Dev, QA, Product, Security) ใช้เครื่องมือ เช่น Microsoft Threat Modeling Tool, OWASP Threat Dragon, IriusRisk
  • ขั้นที่ 5 — บันทึก Threat Register จัดลำดับด้วย DREAD score และ assign mitigation owner

    • เปรียบเทียบ Framework — เลือกตัวไหนสำหรับ SME ไทย

    | มิติ | STRIDE | PASTA | LINDDUN |

    |---|---|---|---|

    | ความซับซ้อน | ต่ำ | สูง | ปานกลาง |

    | เวลาที่ใช้ | 4-8 ชม. | 2-4 สัปดาห์ | 1-2 สัปดาห์ |

    | เน้นที่ | Technical | Business Risk | Privacy |

    | เหมาะกับ | Web/Mobile App | Banking, Healthcare | PDPA Compliance |

    | ราคาเครื่องมือ | ฟรี (Microsoft TMT) | Commercial | ฟรี (LINDDUN GO) |

    | Learning Curve | 1-2 วัน | 1-2 สัปดาห์ | 3-5 วัน |

    สำหรับ SME ไทยส่วนใหญ่ที่มีทีม Dev 3-10 คน เราแนะนำให้เริ่มต้นจาก STRIDE ก่อน เนื่องจากมี free tooling เยอะและทีมเรียนรู้ได้เร็ว แล้วเสริม LINDDUN เมื่อเริ่มเก็บข้อมูลส่วนบุคคลของลูกค้าจำนวนมาก

    เครื่องมือที่ใช้ทำ Threat Modeling ฟรี

  • **Microsoft Threat Modeling Tool** — Windows-only, generate STRIDE Threat อัตโนมัติ
  • **OWASP Threat Dragon** — Cross-platform, open-source, web-based
  • **PyTM** — Python library, version-controllable, ทำงานร่วมกับ CI/CD
  • **Threagile** — YAML-based, สร้าง diagram และ report อัตโนมัติ
  • **IriusRisk Community Edition** — รองรับหลาย framework รวม STRIDE/PASTA/LINDDUN

    • สรุปและขั้นตอนต่อไป

    Threat Modeling ไม่ใช่กิจกรรมหรูหราเฉพาะองค์กรใหญ่ แต่เป็นเครื่องมือที่ SME ไทยจำเป็นต้องนำมาใช้เพื่อ (1) ลดต้นทุนการแก้ไข vulnerability, (2) ปฏิบัติตาม PDPA และ ISO 27001, และ (3) สร้างความเชื่อมั่นกับลูกค้าและพันธมิตร

    ขั้นตอนแรกที่ทำได้วันนี้คือเลือกระบบที่สำคัญที่สุดของบริษัท เช่น customer portal, payment gateway, หรือ API หลัก แล้วใช้ STRIDE ทำ workshop 4 ชั่วโมง คุณจะแปลกใจกับจำนวน threat ที่พบและเริ่มแก้ไขได้ทันที

    ต้องการคำปรึกษาเรื่อง Application Security, ISO 27001 หรือ PDPA Compliance ติดต่อทีมงาน ADS FIT เพื่อรับการประเมินและออกแบบ Security Architecture ที่เหมาะกับขนาดธุรกิจของคุณ พร้อมอ่านบทความเพิ่มเติมเรื่อง OWASP Top 10 LLM, AI TRiSM, Authentik SSO ได้บน blog ของเรา

    Tags

    #Threat Modeling#STRIDE#PASTA#LINDDUN#Application Security#SME

    สนใจโซลูชันนี้?

    ปรึกษาทีม ADS FIT ฟรี เราพร้อมออกแบบระบบที่ฟิตกับธุรกิจของคุณ

    ติดต่อเรา →

    บทความที่เกี่ยวข้อง

    🛡️

    PDPA DPA 2026: คู่มือ Data Processing Agreement สัญญาประมวลผลข้อมูลส่วนบุคคล SME ไทย

    7 พฤษภาคม 2569 · 8 นาที
    🛡️

    ISO 37001 คืออะไร? คู่มือ Anti-Bribery Management ธุรกิจไทย 2026

    7 พฤษภาคม 2569 · 8 นาที
    🛡️

    ISO 14001 Environmental Management System (EMS): คู่มือมาตรฐานสิ่งแวดล้อมสำหรับ SME ไทย 2026

    7 พฤษภาคม 2569 · 9 นาที