ขั้นตอนจัดเก็บ Log ไฟล์ผู้ใช้งานอินเทอร์เน็ต ให้ถูกต้องตามกฎหมาย

เช้าวันพฤหัสบดีช่วงปลายเดือนที่แล้ว มีสายโทรศัพท์จากคุณพัท เจ้าของหอพักแถวลาดกระบัง สายหลุดไปสองรอบก่อนจะติดต่อได้ พอผมรับสาย เสียงปลายสายสั่นอย่างเห็นได้ชัด เพราะเพิ่งมีเจ้าหน้าที่ตำรวจไซเบอร์ถือหนังสือขอข้อมูลจราจรทางคอมพิวเตอร์เข้ามาขอตรวจสอบ IP Address ที่ไปพัวพันกับคดีฉ้อโกงออนไลน์ แต่พอแกเปิดตู้ RACK ไปดู Router กลับพบว่า Log หายหมด เพราะตัวอุปกรณ์เพิ่ง Reboot ไปเมื่อสามวันก่อนเนื่องจากไฟตก

เหตุการณ์แบบนี้ไม่ได้เกิดขึ้นครั้งแรกครับ ในฐานะวิศวกรระบบของ SIAM-LOGIN ผมเจอเคสเจ้าของธุรกิจ โรงแรม อพาร์ตเมนต์ หรือร้านกาแฟ โทรมาขอความช่วยเหลือด้วยอาการตื่นตระหนกแบบนี้อยู่เรื่อยๆ หลายคนเข้าใจผิดว่า แค่ติด WiFi Hotspot มี Router ทำงานได้ก็จบ แต่ความจริงคือ หากมีผู้กระทำผิดในระบบของคุณแล้วคุณไม่มี Log ไฟล์ย้อนหลังที่ถูกต้อง เจ้าของสถานที่นั่นแหละครับที่จะกลายเป็นผู้ต้องสงสัยรายแรกตาม พ.ร.บ.คอมพิวเตอร์

1. ข้อมูลจราจรทางคอมพิวเตอร์ที่ต้องเก็บ มีอะไรบ้าง?

หลายคนมักถามผมว่า "ช่างครับ แล้วเราต้องเก็บข้อมูลอะไรบ้าง ต้องแอบบันทึกรหัสผ่านหรือประวัติการเข้าเว็บของลูกค้าไหม?" คำตอบคือ ไม่ใช่ครับ กฎหมายไม่ได้ให้เราไปละเมิดสิทธิส่วนบุคคลของใคร แต่บังคับให้เราบันทึก "ร่องรอยการเชื่อมต่อ" หรือข้อมูลจราจรทางคอมพิวเตอร์ (Traffic Data) ให้ครบถ้วน

องค์ประกอบสำคัญ 5 อย่างที่ Log ต้องมี

• Timestamp: วันและเวลาที่เริ่มเชื่อมต่อและสิ้นสุดการเชื่อมต่อ โดยต้องตรงกับเวลามาตรฐาน
• Source IP & Port: หมายเลขไอพีและพอร์ตต้นทางของผู้ใช้งานภายในเครือข่าย
• Destination IP & Port: หมายเลขไอพีและพอร์ตปลายทางที่ผู้ใช้เชื่อมต่อออกไป
• MAC Address: หมายเลขประจำอุปกรณ์ของผู้ใช้งาน เช่น โทรศัพท์มือถือ หรือโน้ตบุ๊ก
• User Identity: ข้อมูลระบุตัวตนของผู้ใช้ เช่น Username จากระบบ Radius Server หรือเลขบัตรประชาชน/เบอร์โทรศัพท์ที่ใช้ลงทะเบียน

2. 4 ขั้นตอนการวางระบบจัดเก็บ Log ไฟล์ให้ถูกต้องตามกฎหมาย

การจัดเก็บ Log ไฟล์ผู้ใช้งานอินเทอร์เน็ตให้มีผลในทางกฎหมายและรองรับการตรวจสอบจากเจ้าหน้าที่ ไม่ใช่แค่การเสียบ Flash Drive เข้ากับ Router ครับ แต่ต้องมีกระบวนการที่ได้มาตรฐานดังนี้

ขั้นตอนที่ 1: ตั้งค่า NTP Server ให้เวลาตรงเป๊ะทุกวินาที

นี่คือจุดตายแรกที่ผมเจอประจำครับ Log ไฟล์ที่มี IP Address ครบถ้วน แต่เวลาเพี้ยนไป 15 นาที จะกลายเป็นหลักฐานที่ไม่สามารถใช้ในชั้นศาลได้ทันที เพราะไม่สามารถพิสูจน์ได้ว่าเหตุการณ์เกิดขึ้น ณ วินาทีนั้นจริง คุณต้องตั้งค่าให้อุปกรณ์ทุกตัวในระบบ ไม่ว่าจะเป็น MikroTik, Switch หรือ Log Server ซิงค์เวลากับ NTP Server (Network Time Protocol) ของประเทศไทย เช่น time.navy.mi.th หรือ pool.ntp.org เสมอ

ขั้นตอนที่ 2: ยืนยันตัวตนผู้ใช้และจับคู่กับ IP Address

ระบบ WiFi Hotspot หรือเน็ตองค์กรต้องมีระบบยืนยันตัวตน (Authentication) ก่อนใช้งานเสมอ ไม่ว่าจะเป็นการกรอก Username/Password หรือกรอก OTP ผ่านเบอร์โทรศัพท์ เพื่อให้ระบบบันทึกได้ว่า IP Address 192.168.10.50 ในเวลานั้น เป็นของใคร การใช้ระบบ Radius Server ร่วมกับ MikroTik จะช่วยจับคู่ MAC Address, IP และ identity เข้าด้วยกันโดยอัตโนมัติ

ขั้นตอนที่ 3: ส่ง Log ออกไปยัง Syslog Server ภายนอก

อุปกรณ์เน็ตเวิร์กอย่าง MikroTik มี RAM และ Storage จำกัด หากตั้งให้เก็บ Log ลงในตัว Router เอง พอไฟดับ อุปกรณ์ Reboot หรือ Log เต็ม มันจะถูกลบหรือเขียนทับทันที วิธีการถูกต้องคือต้องตั้งค่าให้ MikroTik ส่ง MikroTik Log หรือ Syslog ออกไปเก็บไว้ที่ Centralized Log Server หรือ NAS ภายนอกที่มีความจุเพียงพอสำหรับจัดเก็บย้อนหลังอย่างน้อย 90 วันตามที่ พ.ร.บ.คอมพิวเตอร์ กำหนด

ขั้นตอนที่ 4: ล็อกสิทธิ์เข้าถึงและทำ Integrity Check (Hashing)

Log ไฟล์ที่ดีต้องถูกปกป้องจากการแก้ไขดัดแปลง ระบบต้องมีการจำกัดสิทธิ์เข้าถึง (Access Control) เฉพาะผู้ดูแลระบบที่ได้รับอนุญาตเท่านั้น และควรมีกระบวนการสร้าง Hash Value (เช่น SHA-256) เพื่อยืนยันว่าไฟล์ Log ไม่ได้ถูกดัดแปลงแก้ไขนับตั้งแต่ถูกบันทึก ซึ่งจุดนี้สำคัญมากเวลาต้องส่งมอบหลักฐานให้พนักงานสอบสวน

3. สิ่งที่คนทำระบบมักพลาดจน Log ใช้ไม่ได้จริง

จากประสบการณ์ทำระบบให้ลูกค้า SIAM-LOGIN ผมสรุป 3 ข้อผิดพลาดฮิตที่ทำให้เจ้าของธุรกิจเดือดร้อนมาให้ฟังครับ

• เก็บ Log ไว้ใน MikroTik ตรงๆ: Storage ของ MikroTik เป็น Flash memory ขนาดเล็ก นอกจากเสี่ยงเต็มเร็วแล้ว การเขียน Log ลงไปตลอดเวลายังทำให้อุปกรณ์พังไว และข้อมูลหายทันทีเมื่อดับไฟ
• ลืมเก็บ NAT Log: หลายสถานที่ใช้ IP Public เพียงไอพีเดียวแจกออกอินเทอร์เน็ต หากเก็บแค่ Log การเข้าใช้งานภายใน แต่ไม่เก็บ Port Address Translation (NAT Log) เจ้าหน้าที่จะไม่รู้เลยว่าเครื่องไหนภายในออกไปยังปลายทางเจ้าปัญหา
• ไม่มีระบบแจ้งเตือนเมื่อ Log Server ดับ: Syslog Server พังไปเป็นเดือนโดยไม่มีใครรู้ พอเกิดเรื่องขึ้นมาเปิดดูอีกที ข้อมูลขาดหายไปช่วงสำคัญพอดี

สรุป: การเตรียมระบบ Log ไม่ใช่เรื่องของไอที แต่คือประกันภัยของธุรกิจ

การจัดเก็บ Log ไฟล์ผู้ใช้งานอินเทอร์เน็ตไม่ใช่แค่เรื่องของการทำให้ผ่านกฎหมายไปวันๆ ครับ แต่มันคือการสร้างเกราะป้องกันตัวคุณเองและธุรกิจของคุณ วันที่เจ้าหน้าที่เดินถือหนังสือขอข้อมูลมาพบ ถ้าคุณสามารถดึง Log ไฟล์ที่ถูกต้อง มี Timestamp ตรงเป๊ะ พร้อม Identity ของผู้ใช้งานส่งให้เขาได้ภายในไม่กี่นาที เรื่องก็จบที่คุณ แต่ถ้าไม่มี... คุณอาจต้องรับภาระความเสี่ยงทางกฎหมายแทนคนร้ายตัวจริง

หากคุณยังไม่แน่ใจว่าระบบ Log ที่ใช้อยู่ถูกต้องตาม พ.ร.บ.คอมพิวเตอร์ หรือไม่ หรืออยากวางระบบ Syslog Server ร่วมกับ MikroTik ให้ได้มาตรฐาน สามารถทักมาปรึกษาผมและทีมงาน SIAM-LOGIN ได้ตลอดครับ