Human-Led AI-Augmented
บริการการทดสอบเจาะระบบ (Pentest) สำหรับ Web, Mobile, API และ Network พร้อมหลักฐานที่ตรวจสอบได้และคำแนะนำแก้ไขที่นำไปใช้ได้จริง
ใบรับรองมาตรฐานของ Siam Thanat Hack
หากตัวเล่นถูกบล็อก เปิดวิดีโอบน YouTube
OFFENSIVE SECURITY / 01
มองหาช่องโหว่ที่โจมตีได้จริงพร้อมหลักฐานและวิธีแก้ที่นำไปใช้ต่อได้
01 / WEB APPLICATION PENETRATION TESTING
ทดสอบเว็บเพื่อหาช่องโหว่ที่โจมตีได้จริง รวมถึง Business Logic ที่เครื่องสแกนมองไม่เห็น
รายงานสรุปผู้บริหารและรายงานเทคนิค พร้อมหลักฐาน วิธี Reproduce ผลกระทบ วิธีแก้ไข และ Retest ตาม Scope
02 / MOBILE APPLICATION PENETRATION TESTING
ทดสอบทั้งฝั่งแอปพลิเคชันและ Backend / API ตามกรอบ OWASP Mobile Top 10 เพื่อหาช่องโหว่ที่โจมตีได้จริง
รายงานพร้อมคำแนะนำทั้งฝั่งแอปพลิเคชันและ Backend สรุปผล และ Retest ตาม Scope ที่ตกลง
03 / API PENETRATION TESTING
หาช่องโหว่ด้าน Authentication, Authorization, Rate Limiting และ Data Exposure ใน REST และ GraphQL API
รายงานระดับ Endpoint พร้อมหลักฐาน วิธี Reproduce ผลกระทบ และคำแนะนำที่ทีมพัฒนานำไปใช้ต่อได้จริง
04 / NETWORK PENETRATION TESTING
ทดสอบเครือข่ายภายนอกและภายในตาม Scope และ Rules of Engagement ที่ตกลงร่วมกัน
รายงานสรุปผู้บริหารและรายงานเทคนิค พร้อมหลักฐานสนับสนุน Network Segmentation และ Retest ตาม Scope
05 / SECURE CODE REVIEW
วิเคราะห์ซอร์สโค้ดด้วยมือเพื่อหาช่องโหว่และ Logic Flaw พร้อมคำแนะนำ Remediation ที่ใช้ได้จริง
รายงานระบุตำแหน่ง File / Line, ผลกระทบ, วิธีแก้ไข และคำแนะนำเชิง Architecture เมื่อจำเป็น
06 / VULNERABILITY RESEARCH
งานวิจัยสำหรับ Binary, Protocol หรือ Codebase ที่ต้องการมากกว่าการทดสอบตาม Checklist ทั่วไป
รายงาน Security Advisory พร้อม Proof-of-Concept, การจัดลำดับความเสี่ยง ผลกระทบ และแนวทาง Mitigation
มนุษย์กำหนดขอบเขตและยืนยันทุก Finding ส่วน AI ทำการทดสอบเชิงรุกอัตโนมัติภายใน Scope ที่ได้รับอนุญาต เพื่อเพิ่มความเร็ว ความครอบคลุม และประสิทธิภาพในการจำลอง Technique ที่ผู้โจมตีจริงอาจใช้
ASSESSMENT GUIDE
ทั้งสามรูปแบบตอบคำถามต่างกัน เลือกจากเป้าหมาย ขอบเขต และหลักฐานที่ต้องการ ไม่ใช่ใช้แทนกันโดยอัตโนมัติ
01 / VA SCAN
ค้นหาช่องโหว่ในขอบเขตกว้างและช่วยจัดลำดับความสำคัญ การทำ VA ด้วยเครื่องสแกนเพียงอย่างเดียวไม่ทดแทน Pentest
ควรเลือกเมื่อ: ต้องการตรวจสอบเบื้องต้นใน Network ขนาดใหญ่ มองภาพรวมช่องโหว่จำนวนมาก และวางแผนตรวจสอบเชิงลึกต่อ
02 / PENTEST
ผู้เชี่ยวชาญทดสอบด้วยมือและยืนยัน Exploitability กับผลกระทบภายใน Scope ที่ตกลงร่วมกัน
ควรเลือกเมื่อ: ต้องการหลักฐานว่าช่องโหว่โจมตีได้จริงและแนวทางแก้สำหรับแอปพลิเคชัน Web และ Mobile ที่สำคัญ
03 / RED TEAM
จำลองสถานการณ์ตามวัตถุประสงค์และภัยคุกคาม ภายใต้ Scope และ Rules of Engagement ที่ชัดเจน เพื่อประเมินเป้าหมายด้านการป้องกัน การตรวจจับ และการตอบสนอง
ควรเลือกเมื่อ: องค์กรทำ VA และ Pentest อย่างสม่ำเสมอแล้ว และต้องการทดสอบความพร้อมของคน กระบวนการ และเทคโนโลยีต่อสถานการณ์ที่กำหนด
เลื่อนตารางในแนวนอนเพื่อดูทุกคอลัมน์
| VA Scan | Pentest | Red Team |
|---|---|---|
|
||
* มุ่งเป้าไปที่เป้าหมายที่ระบุไว้ในการทดสอบ เช่น การยึด Domain Controller หรือการฝัง Backdoor โดยหลบการตรวจจับของ SOC ซึ่งไม่ได้เน้นหาช่องโหว่ให้ครบทุกจุด |
||
|
||
* ยกเว้นช่องโหว่ที่กระทบความต่อเนื่องทางธุรกิจ |
||
|
||
* เน้นทดสอบในระบบ Non-Production เพื่อลดผลกระทบ |
* เน้นทดสอบกระบวนการ Detection กับ Response |
|
ABOUT STH / 02
STH คือทีม White Hat สัญชาติไทยในกรุงเทพฯ ที่ผสานความเชี่ยวชาญเชิงลึก วินัยการทำงาน และการสื่อสารที่ตรวจสอบได้
บริษัทจดทะเบียนเมื่อ 11 ธันวาคม 2561 และดำเนินงานจากกรุงเทพฯ
ทีม STH รับรางวัลผู้ชนะ Thailand Cyber Top Talent 2023
เวิร์กช็อปเชิงปฏิบัติการร่วมกับทีมเทคโนโลยีของ SCBX
ฝึกวิเคราะห์แอปพลิเคชัน อุปกรณ์ และพฤติกรรมความปลอดภัยร่วมกัน
ร่วมพัฒนา CTF Bootcamp เพื่อยกระดับทักษะ Cybersecurity
ทักษะการวิเคราะห์และตอบสนองภัยคุกคามที่พิสูจน์ผ่านการแข่งขัน
นำความรู้ด้าน Penetration Testing มาออกแบบระบบการแข่งขัน เพื่อสนับสนุนการต่อกรกับอาชญากรไซเบอร์
อ้างอิง control baseline ของ ประกาศ ธปท. ที่ 4/2568: Mobile Application, API / Backend, Authentication และ Transaction Flow; เมื่อใช้ชีวมิติให้ประเมินการตรวจจับการปลอมแปลง (PAD / Liveness) และการคุ้มครองข้อมูลชีวมิติ
ตรวจสอบพฤติกรรมแอปบนอุปกรณ์และระบบปฏิบัติการที่หลากหลาย
CyberSec Asia × Thailand International Cyber Week 2025
ทดสอบ PAD ตามแนวทาง Biometric Authentication ของธนาคารแห่งประเทศไทย
แนวปฏิบัติ Biometric Technology พ.ศ. 2566แนวปฏิบัติ 2566 แนวปฏิบัติ Biometric Technology พ.ศ. 2563แนวปฏิบัติ 2563
01
STH เติบโตจากการแบ่งปันความรู้ ทีมผู้ก่อตั้งคืออดีตผู้ดูแลเฟซบุ๊กเพจ สอนแฮกเว็บแบบแมว ๆ และต่อยอดสู่การแข่งขัน CTF การสร้างโจทย์ การวิจัยช่องโหว่ และงานที่ปรึกษาเชิงเทคนิคระดับความยากสูง
02
ผู้เชี่ยวชาญในทีมเคยทำงานกับระบบสำคัญของธนาคาร ระบบรับชำระเงิน และองค์กรชั้นนำ โดยยึดขอบเขตที่ได้รับอนุญาต Scope และ Rules of Engagement อย่างเคร่งครัด เราไม่รับการเข้าถึงโดยไม่ได้รับอนุญาต การแฮกบัญชี หรือการกู้คืนบัญชี
03
มนุษย์กำหนดขอบเขตและยืนยันทุก Finding ส่วน AI ทำการทดสอบเชิงรุกอัตโนมัติภายใน Scope ที่ได้รับอนุญาต เพื่อเพิ่มความเร็ว ความครอบคลุม และประสิทธิภาพในการจำลอง Technique ที่ผู้โจมตีจริงอาจใช้
เราใช้ AI ทำ Reconnaissance และทดสอบโจมตีอัตโนมัติภายใน Scope ที่ได้รับอนุญาต เพื่อสำรวจ Attack Surface สร้างและทดสอบสมมติฐานได้รวดเร็วขึ้น ส่วนผู้เชี่ยวชาญกำหนดขอบเขต ควบคุมการทดสอบ ทำซ้ำ Finding ประเมินผลกระทบ และอนุมัติรายงานฉบับสุดท้าย
หลงใหลใน Offensive Security และพร้อมเติบโตไปกับทีม? ดูตำแหน่งงานที่เปิดรับสมัคร
HUMAN-LED × AI-AUGMENTED / 03
ผู้เชี่ยวชาญกำหนดขอบเขต ควบคุมการทดสอบ และยืนยันผล ส่วน AI ทำการทดสอบเชิงรุกอัตโนมัติภายใน Scope เพื่อเพิ่มความเร็วและความครอบคลุม
Human owns the decision
Evidence from the real surface
AI tests actively; humans retain authority
DELIVERY FLOW / 04
ทุกช่วงมีเจ้าของงาน หลักฐาน และจุดตัดสินใจที่ชัดเจน
รายละเอียดขั้นตอนที่ 01
เปลี่ยนเป้าหมายทางธุรกิจให้เป็นขอบเขตการทดสอบที่ชัดเจน ปลอดภัย และได้รับอนุญาตก่อนเริ่มดำเนินงาน
รายละเอียดขั้นตอนที่ 02
สร้างแบบจำลองภัยคุกคามและแผนที่ Attack Surface เพื่อเลือกเส้นทางการโจมตีที่มีโอกาสเกิดขึ้นและส่งผลกระทบสูง
รายละเอียดขั้นตอนที่ 03
ดำเนินการทดสอบเชิงรุกด้วยเทคนิค Manual เพื่อยืนยันช่องโหว่และเชื่อมโยงเป็น Attack Chain ภายใต้ขอบเขตที่ได้รับอนุญาต
รายละเอียดขั้นตอนที่ 04
ตรวจสอบผลการทดสอบซ้ำเพื่อตัด False Positive ระบุขอบเขตที่ได้รับผลกระทบ และประเมินความเสี่ยงจากหลักฐานที่พิสูจน์ได้
รายละเอียดขั้นตอนที่ 05
แปลงผลการทดสอบเป็นข้อมูลสำหรับผู้บริหารและทีมเทคนิค พร้อมลำดับความสำคัญและแนวทางแก้ไขที่นำไปปฏิบัติได้จริง
รายละเอียดขั้นตอนที่ 06
ทดสอบการแก้ไขภายใต้เงื่อนไขเดิม ตรวจสอบ Bypass หรือ Variant ที่เกี่ยวข้อง และยืนยันว่าความเสี่ยงได้รับการลดลงจริง
ระยะเวลาเป็นค่าประมาณและอาจเปลี่ยนแปลงตาม Scope, Access และ Rules of Engagement
VERIFIABLE TRUST / 05
ดาวน์โหลดใบรับรองจริง และตรวจสอบหลักการส่งมอบงานของเราได้โดยตรง
ทุก Finding ผ่านการทำซ้ำและยืนยันด้วยมือ
มีหลักฐาน วิธี Reproduce ผลกระทบ และ Remediation
AI เป็น Automated Testing Layer แต่มนุษย์เป็นผู้ตัดสินผลทดสอบ
ตรวจการแก้ไขและส่งหลักฐานตาม Package หรือ Scope
START THE CONVERSATION / 06
ส่งข้อมูลระบบเบื้องต้น พร้อมขอบเขตการทดสอบ และช่วงเวลาที่ต้องการให้เราเริ่มประเมินแผนการดำเนินงาน
PENTEST FAQ / 07
รวมคำตอบเรื่องขอบเขต ราคา ระยะเวลา และข้อกำหนดของหน่วยงานกำกับดูแล หากไม่พบคำตอบที่ต้องการ ทักมาคุยกับทีมได้โดยตรง
VA Scan ใช้เครื่องมือสแกนหาช่องโหว่ในวงกว้าง เหมาะกับการตรวจสุขภาพระบบจำนวนมากและจัดลำดับความเสี่ยงก่อน ส่วน Pentest คือการที่ผู้เชี่ยวชาญลงมือเจาะจริงเพื่อพิสูจน์ว่าช่องโหว่ใช้โจมตีได้หรือไม่ พร้อมหลักฐานและวิธีแก้ ระบบที่สำคัญต่อธุรกิจหรือเก็บข้อมูลลูกค้าจึงควรทำ Pentest ควบคู่กับ VA ตามรอบ ไม่ใช่เลือกอย่างใดอย่างหนึ่งแทนกัน
ทีม STH มีประสบการณ์ทดสอบเจาะระบบให้แอปพลิเคชันทางการเงินชั้นนำ และได้รับการรับรองมาตรฐานสากลทั้งในระดับองค์กรและระดับบุคคลของผู้เชี่ยวชาญที่เข้าทดสอบจริง อีกทั้งเคยเป็นแชมป์การแข่งขัน Thailand Cyber Top Talent 2023 เราพร้อมสนับสนุนการดำเนินงานตลอดโครงการ ตั้งแต่ให้คำปรึกษาช่วงเริ่มต้น เตรียมความพร้อมก่อนดำเนินการ สื่อสารช่องโหว่ที่พบระหว่างดำเนินการ และให้คำปรึกษาในการปิดช่องโหว่ต่าง ๆ อย่างรัดกุม
งานของเรานำโดยมนุษย์ ผู้เชี่ยวชาญกำหนดขอบเขต ลงมือเจาะจริง และยืนยันทุก Finding ด้วยมือก่อนเข้ารายงาน เราใช้ AI และเครื่องมืออัตโนมัติช่วยเร่ง Reconnaissance และเพิ่มความครอบคลุมภายใน Scope ที่ได้รับอนุญาต แต่สิ่งที่เครื่องสแกนทำแทนไม่ได้ เช่น การเชื่อมหลายช่องโหว่ให้เป็นการโจมตีจริง การทดสอบ Business Logic, IDOR และ Authentication ยังทำโดยผู้เชี่ยวชาญ คุณจึงได้หลักฐานที่โจมตีได้จริงและตัด False Positive ออกแล้ว ไม่ใช่รายงานสำเร็จรูปจากเครื่องสแกน
คิดจากขอบเขตเป็นหลัก เช่น จำนวนระบบ ขนาดของแอปพลิเคชัน จำนวนฟังก์ชันหรือ API ที่ต้องทดสอบ และรูปแบบการทดสอบ (Black-box, Gray-box หรือ White-box) เมื่อส่งรายละเอียดระบบมาให้เรา ทีมจะประเมินเป็นจำนวนวันทำงาน (man-day) และออกใบเสนอราคาที่ระบุขอบเขตชัดเจนก่อนเริ่มงานทุกครั้ง
ขึ้นอยู่กับขนาดและความซับซ้อนของระบบ โดยทั่วไปแอปพลิเคชันหนึ่งระบบใช้เวลาทดสอบประมาณ 1–3 สัปดาห์รวมการจัดทำรายงาน หลังจากทีมของคุณแก้ไขช่องโหว่แล้ว เรานัดรอบ Retest เพื่อยืนยันผลการแก้ไขอีกครั้ง
รายงานฉบับเต็มที่มีทั้งบทสรุปผู้บริหารและรายละเอียดทางเทคนิค ทุก Finding ระบุขั้นตอนการทำซ้ำ หลักฐาน ระดับความเสี่ยงตาม CVSS และคำแนะนำการแก้ไขที่นำไปใช้ได้จริง พร้อมช่องทางสอบถามทีมทดสอบโดยตรง และรายงานผล Retest หลังการแก้ไข
หลายอุตสาหกรรมมีข้อกำหนดโดยตรง เช่น สถาบันการเงินภายใต้หลักเกณฑ์ของธนาคารแห่งประเทศไทย ธุรกิจหลักทรัพย์และสินทรัพย์ดิจิทัลภายใต้ ก.ล.ต. และระบบบัตรตาม PCI DSS ส่วน PDPA และ พ.ร.บ.ไซเบอร์ฯ กำหนดเป็นหน้าที่ดูแลความมั่นคงปลอดภัยตามความเสี่ยง เราสรุปข้อกำหนดของแต่ละหน่วยงานพร้อมลิงก์เอกสารต้นทางไว้ที่หน้ามาตรฐานและข้อกำหนด
หลัก ๆ คือช่วยกำหนดขอบเขตร่วมกับเรา เช่น รายการระบบ URL หรือไฟล์ติดตั้งแอป บัญชีทดสอบตามบทบาทผู้ใช้ และช่วงเวลาที่สะดวกให้ทดสอบ จากนั้นเราจัดทำเอกสารขอบเขตและกติกาการทดสอบ (Rules of Engagement) ให้ตกลงร่วมกันเป็นลายลักษณ์อักษรก่อนเริ่มงาน
การทดสอบทั้งหมดทำภายในขอบเขตที่ได้รับอนุญาตเป็นลายลักษณ์อักษรและอยู่ภายใต้สัญญารักษาความลับ STH ได้รับการรับรอง ISO/IEC 27001:2022 และ ISO 9001:2015 ซึ่งครอบคลุมการจัดการหลักฐาน การจัดเก็บข้อมูล และการส่งมอบรายงานอย่างรัดกุมตลอดโครงการ
