ภาพประกอบสไตล์ญี่ปุ่นของแฮกเกอร์แมวดำวัยหนุ่มกำลังทดสอบระบบด้วย MacBook Pro ที่ติดสติกเกอร์โลโก้ Siam Thanat Hack ทางการ

Human-Led AI-Augmented

เจาะระบบอย่างมืออาชีพ ด้วยพลังของคนและ AI

บริการการทดสอบเจาะระบบ (Pentest) สำหรับ Web, Mobile, API และ Network พร้อมหลักฐานที่ตรวจสอบได้และคำแนะนำแก้ไขที่นำไปใช้ได้จริง

หน้าแรกของใบรับรอง ISO/IEC 27001:2022 ของ Siam Thanat Hack

หน้าแรกของใบรับรอง ISO 9001:2015 ของ Siam Thanat Hack

ขอใบเสนอราคา Pentest ดูบริการของเรา

STH / AUTHORIZED AI PENTEST

pentester@sth:~$ ai-agent pentest https://banking.sth.sh

AI AGENT spawning 3 Red Teamers in parallel...

RT-01InjectionFOUND

SQL Injection/api/v1/search

RT-02Broken Access ControlFOUND

IDOR/api/v1/accounts/{id}

RT-03Business Logic FlawFOUND

Transfer limit bypass/api/v1/transfers

3/3 COMPLETE Findings queued for human validation

เลื่อนลงเพื่อดูเพิ่มเติม

OFFENSIVE SECURITY / 01

บริการของเรา

มองหาช่องโหว่ที่โจมตีได้จริงพร้อมหลักฐานและวิธีแก้ที่นำไปใช้ต่อได้

01 / WEB APPLICATION

เจาะลึกกว่ารายการ OWASP Top 10

ทดสอบเว็บเพื่อหาช่องโหว่ที่โจมตีได้จริง รวมถึง business logic ที่เครื่องสแกนมองไม่เห็น

ขอบเขตที่ครอบคลุม

OWASP Top 10 และ OWASP ASVS
Authentication, session และ authorization
IDOR, injection, SSRF และ business logic

สิ่งที่คุณจะได้รับ

รายงานสรุปผู้บริหารและรายงานเทคนิค พร้อมหลักฐาน วิธี reproduce ผลกระทบ วิธีแก้ และ retest ตาม scope

02 / MOBILE APPLICATION

เห็นทั้งแอป มือถือ และ backend ที่เชื่อมต่อกัน

ทดสอบทั้งฝั่งแอปและ backend/API ตามกรอบ OWASP Mobile Top 10 เพื่อหาช่องโหว่ที่โจมตีได้จริง

ขอบเขตที่ครอบคลุม

การจัดเก็บข้อมูลบนเครื่องและการเข้ารหัส
TLS, certificate pinning และ session/token
Reverse engineering, tampering และ business logic

สิ่งที่คุณจะได้รับ

รายงานพร้อมคำแนะนำทั้งฝั่งแอปและ backend สรุปผล และ retest ตามขอบเขตที่ตกลง

03 / API PENETRATION TESTING

ทดสอบทีละ endpoint และต่อ attack chain

หาช่องโหว่ด้าน authentication, authorization, rate limiting และ data exposure ใน REST และ GraphQL API

ขอบเขตที่ครอบคลุม

REST, GraphQL และ token/session
BOLA / IDOR, rate limit และ abuse
Mass assignment, data exposure และ business logic

สิ่งที่คุณจะได้รับ

รายงานระดับ endpoint พร้อมหลักฐาน วิธี reproduce ผลกระทบ และคำแนะนำที่ทีมพัฒนานำไปใช้ต่อได้

04 / NETWORK

ยืนยันเส้นทางโจมตีจาก perimeter ถึงระบบสำคัญ

ทดสอบเครือข่ายภายนอกและภายในตาม scope และ Rules of Engagement ที่ตกลงร่วมกัน

ขอบเขตที่ครอบคลุม

Internet-facing services และ VPN gateway
Internal network, lateral movement และ Active Directory
Misconfiguration, privilege escalation และ segmentation

สิ่งที่คุณจะได้รับ

รายงานสรุปผู้บริหารและรายงานเทคนิค พร้อมหลักฐานสนับสนุน network segmentation และ retest ตาม scope

05 / SECURE CODE REVIEW

อ่าน logic ที่ black-box และ scanner เข้าไม่ถึง

วิเคราะห์ซอร์สโค้ดด้วยมือเพื่อหาช่องโหว่และ logic flaw พร้อม remediation ที่ใช้ได้จริง

ขอบเขตที่ครอบคลุม

Authentication และ authorization ในระดับโค้ด
Input validation, injection และ deserialization
Secret, encryption, dependency และ framework configuration

สิ่งที่คุณจะได้รับ

รายงานระบุตำแหน่ง file/line ผลกระทบ วิธีแก้ และคำแนะนำเชิง architecture เมื่อจำเป็น

06 / VULNERABILITY RESEARCH

ลงลึกถึง binary, protocol และ exploitability

งานวิจัยสำหรับ binary, protocol หรือ codebase ที่ต้องการมากกว่าการทดสอบตาม checklist ทั่วไป

ขอบเขตที่ครอบคลุม

วิเคราะห์ binary, protocol หรือ codebase เฉพาะทาง
Fuzzing, reverse engineering และ proof-of-concept
ประเมินผลกระทบและจัดทำ advisory

สิ่งที่คุณจะได้รับ

รายงาน advisory พร้อม proof-of-concept การจัดลำดับความเสี่ยง ผลกระทบ และแนวทาง mitigation

มนุษย์กำหนดขอบเขตและยืนยันทุก finding ส่วน AI ทำการทดสอบเชิงรุกอัตโนมัติภายใน Scope ที่ได้รับอนุญาต เพื่อเพิ่มความเร็ว ความครอบคลุม และประสิทธิภาพในการจำลองเทคนิคที่ผู้โจมตีจริงอาจใช้

ASSESSMENT GUIDE

VA Scan, Pentest และ Red Team ต่างกันอย่างไร

ทั้งสามรูปแบบตอบคำถามต่างกัน เลือกจากเป้าหมาย ขอบเขต และหลักฐานที่ต้องการ ไม่ใช่ใช้แทนกันโดยอัตโนมัติ

แผนภาพเปรียบเทียบ VA Scan, Pentest และ Red Team โดยมีแมวผู้เชี่ยวชาญและหุ่นยนต์ AI ประกอบแต่ละรูปแบบ

01 / VA SCAN

VA Scan / Vulnerability Assessment / สแกนช่องโหว่

ค้นหาช่องโหว่ในขอบเขตกว้างและช่วยจัดลำดับความสำคัญ การทำ VA ด้วยเครื่องสแกนเพียงอย่างเดียวไม่ทดแทน Pentest

ควรเลือกเมื่อ: ต้องการตรวจสอบเบื้องต้นใน Network ขนาดใหญ่ มองภาพรวมช่องโหว่จำนวนมาก และวางแผนตรวจสอบเชิงลึกต่อ

02 / PENTEST

Pentest / ทดสอบเจาะระบบ

ผู้เชี่ยวชาญทดสอบด้วยมือและยืนยัน exploitability กับผลกระทบภายใน Scope ที่ตกลงร่วมกัน

ควรเลือกเมื่อ: ต้องการหลักฐานว่าช่องโหว่โจมตีได้จริงและแนวทางแก้สำหรับแอปพลิเคชัน Web และ Mobile ที่สำคัญ

03 / RED TEAM

Red Team

จำลองสถานการณ์ตามวัตถุประสงค์และภัยคุกคาม ภายใต้ Scope และ Rules of Engagement ที่ชัดเจน เพื่อประเมินเป้าหมายด้านการป้องกัน การตรวจจับ และการตอบสนอง

ควรเลือกเมื่อ: องค์กรทำ VA และ Pentest อย่างสม่ำเสมอแล้ว และต้องการทดสอบความพร้อมของคน กระบวนการ และเทคโนโลยีต่อสถานการณ์ที่กำหนด

เลื่อนตารางในแนวนอนเพื่อดูทุกคอลัมน์ Scroll horizontally to view every column

มิติการประเมิน	Pentest	Red Team
ความครอบคลุม		* มุ่งเป้าไปที่เป้าหมายที่ระบุไว้ในการทดสอบ เช่นการยึด Domain Controller หรือการฝัง Backdoor โดยหลบการตรวจจับโดย SOC ซึ่งไม่ได้ต้องการหาช่องโหว่ให้ได้มากที่สุด
หลักฐานการโจมตีได้จริง	* ยกเว้นช่องโหว่ที่กระทบความต่อเนื่องทางธุรกิจ
การจำลองสถานการณ์จริง	* เน้นทดสอบในระบบ Non-Production เพื่อลดผลกระทบ	* เน้นทดสอบกระบวนการ Detection กับ Response

อ่านบทความ: การทำ Pentest ต่างกับ VA อย่างไร

ABOUT STH / 02

เกี่ยวกับ

STH คือทีม White Hat สัญชาติไทยในกรุงเทพฯ ที่ผสานความเชี่ยวชาญเชิงลึก วินัยการทำงาน และการสื่อสารที่ตรวจสอบได้

บริษัทจดทะเบียนเมื่อ 11 ธันวาคม 2561 และดำเนินงานจากกรุงเทพฯ

เปิดทำการมาแล้ว 7 ปี

ประสบการณ์จากสนามแข่งขัน

ทีม STH รับรางวัลผู้ชนะ Thailand Cyber Top Talent 2023

ทีม STH และผู้เข้าร่วมเวิร์กช็อป Application Security Testing ในห้องประชุม SCBX โดยปิดบังใบหน้าด้วยภาพแมว

ถ่ายทอดประสบการณ์ Application Security

เวิร์กช็อปเชิงปฏิบัติการร่วมกับทีมเทคโนโลยีของ SCBX

บรรยากาศเวิร์กช็อป Mobile Application Security Testing ที่ธนาคารกรุงไทย โดยปิดบังใบหน้าด้วยภาพแมว

Mobile Security แบบลงมือจริง

ฝึกวิเคราะห์แอปพลิเคชัน อุปกรณ์ และพฤติกรรมความปลอดภัยร่วมกัน

ผู้เข้าร่วม NCSA CTF Bootcamp ถ่ายภาพร่วมกับทีม STH โดยปิดบังใบหน้าด้วยภาพแมว

สร้างโจทย์และแบ่งปันความรู้

ร่วมพัฒนา CTF Bootcamp เพื่อยกระดับทักษะ Cybersecurity

ทีม wowzaa รับรางวัลชนะเลิศการแข่งขัน Splunk BOTS โดยปิดบังใบหน้าด้วยภาพแมว

แชมป์ Splunk BOTS

ทักษะการวิเคราะห์และตอบสนองภัยคุกคามที่พิสูจน์ผ่านการแข่งขัน

ทีม STH ระหว่างการแข่งขัน Hack the Scammer CTF 2025 โดยปิดบังใบหน้าด้วยภาพแมว

ออกแบบการแข่งขัน Hack The Scammer

นำความรู้ด้าน Penetration Testing มาออกแบบระบบการแข่งขัน เพื่อสนับสนุนการต่อกรกับอาชญากรไซเบอร์

หน้าจอทดสอบฟังก์ชันลายนิ้วมือของ Mobile Application พร้อมโค้ดโปรแกรมด้านหลัง

Mobile Security Lab

อ้างอิง control baseline ของ ธปท.ว.1218/2568 / ประกาศ ธปท. ที่ 4/2568: Mobile Application, API/backend, authentication และ transaction flow; เมื่อใช้ชีวมิติให้ประเมินการตรวจจับการปลอมแปลง (PAD/liveness) และการคุ้มครองข้อมูลชีวมิติ

เปิด ธปท.ว.1218/2568 / ประกาศ ธปท. ที่ 4/2568

ชุดอุปกรณ์ iPhone หลายเครื่องสำหรับทดสอบ Mobile Application Security ของ STH

อุปกรณ์ทดสอบจริงหลายรุ่น

ตรวจสอบพฤติกรรมแอปบนอุปกรณ์และระบบปฏิบัติการที่หลากหลาย

ผู้เชี่ยวชาญ STH บรรยายเรื่อง Passkeys บนเวที CyberSec Asia และ Thailand International Cyber Week 2025

แบ่งปันความรู้บนเวที Cybersecurity

CyberSec Asia × Thailand International Cyber Week 2025

Presentation Attack Detection (PAD)

ทดสอบ PAD ตามแนวทาง Biometric Authentication ของธนาคารแห่งประเทศไทย

แนวปฏิบัติ Biometric Technology พ.ศ. 2566แนวปฏิบัติ 2566 แนวปฏิบัติ Biometric Technology พ.ศ. 2563แนวปฏิบัติ 2563

จุดเริ่มต้นจากชุมชน

STH เติบโตจากการแบ่งปันความรู้ ทีมผู้ก่อตั้งคืออดีตผู้ดูแลเฟซบุ๊กเพจ สอนแฮกเว็บแบบแมว ๆ และต่อยอดสู่การแข่งขัน CTF การสร้างโจทย์ การวิจัยช่องโหว่ และงานที่ปรึกษาเชิงเทคนิคระดับความยากสูง

ประสบการณ์กับระบบสำคัญ

ผู้เชี่ยวชาญในทีมเคยทำงานกับระบบสำคัญของธนาคาร ระบบรับชำระเงิน และองค์กรชั้นนำ โดยยึดขอบเขตที่ได้รับอนุญาต Scope และ Rules of Engagement อย่างเคร่งครัด เราไม่รับการเข้าถึงโดยไม่ได้รับอนุญาต การแฮกบัญชี หรือการกู้คืนบัญชี

Human-Led, AI-Augmented

เราใช้ AI ทำ reconnaissance และทดสอบโจมตีอัตโนมัติภายใน Scope ที่ได้รับอนุญาต เพื่อสำรวจ attack surface สร้างและทดสอบสมมติฐานได้รวดเร็วขึ้น ส่วนผู้เชี่ยวชาญกำหนดขอบเขต ควบคุมการทดสอบ ทำซ้ำ finding ประเมินผลกระทบ และอนุมัติรายงานฉบับสุดท้าย

ใบรับรองวิชาชีพที่มีอยู่ในทีม

HUMAN-LED × AI-AUGMENTED / 03

เราทดสอบระบบของคุณ ตั้งแต่ต้นจนจบกระบวนการ

ผู้เชี่ยวชาญกำหนดขอบเขต ควบคุมการทดสอบ และยืนยันผล ส่วน AI ทำการทดสอบเชิงรุกอัตโนมัติภายใน Scope เพื่อเพิ่มความเร็วและความครอบคลุม

ภาพอธิบาย Human Pentester ระบบเป้าหมายบนโทรศัพท์และคอมพิวเตอร์ และ AI Agent รูปแมวหุ่นยนต์

Human owns the decision

ผู้เชี่ยวชาญเป็นผู้นำตั้งแต่ scope ถึง sign-off

กำหนด Scope, Rules of Engagement และ test window
ทำ threat modeling และหา abuse case ที่ scanner มองไม่เห็น
เจาะระบบและประกอบ attack chain ด้วยมือ
ประเมินผลกระทบ ความเสี่ยง และวิธีแก้ก่อนออกรายงาน

Evidence from the real surface

ทดสอบกับพฤติกรรมจริงของระบบ ไม่ใช่ checklist อย่างเดียว

Web, Mobile, API และ Network ตามขอบเขตที่ตกลง
ตรวจ access control, session, data exposure และ business logic
เก็บหลักฐานที่ทำซ้ำได้ พร้อมคำอธิบายผลกระทบ
ส่งต่อ remediation ที่ทีมพัฒนานำไปใช้ได้

AI tests actively; humans retain authority

AI ทดสอบเชิงรุกอัตโนมัติ แต่มนุษย์ยืนยันทุก finding

ทำ reconnaissance และทดสอบโจมตีอัตโนมัติภายใน Scope ที่ได้รับอนุญาต
จัดทำ evidence index และตรวจความสอดคล้องของ checklist
อาจช่วยร่างรายงาน แต่รายงานสุดท้ายผ่าน human review
hypothesis จาก AI จะไม่เป็น finding จนกว่ามนุษย์ทำซ้ำได้

DELIVERY FLOW / 04

กระบวนการทำงานของเรา

ทุกช่วงมีเจ้าของงาน หลักฐาน และจุดตัดสินใจที่ชัดเจน

รายละเอียดขั้นตอนที่ 01

วางแผน

เปลี่ยนเป้าหมายทางธุรกิจให้เป็นขอบเขตการทดสอบที่ชัดเจน ปลอดภัย และได้รับอนุญาตก่อนเริ่มดำเนินงาน

เจ้าของงาน Engagement Lead ระยะเวลาโดยประมาณ 1-2 วันทำการ

สิ่งที่เราดำเนินการ

ยืนยันระบบ โดเมน IP Address, API และ Application ที่อยู่ในและนอกขอบเขต
จัดเตรียมบัญชีทดสอบ สิทธิ์การเข้าถึง MFA และ Test Data
กำหนด Test Window, Rules of Engagement และเงื่อนไขหยุดการทดสอบ
ระบุช่องทางสื่อสารและขั้นตอน Escalation สำหรับเหตุการณ์สำคัญ

Deliverables

Approved Scope & Rules of Engagement
Asset and Account Matrix
Test Schedule
Communication and Escalation Plan

Evidence

หนังสืออนุญาตให้ทดสอบ
รายการระบบและ Endpoint
Access Readiness Checklist
รายชื่อผู้ประสานงานและผู้อนุมัติ

Framework Mapping

Engagement GovernanceOWASP WSTG v4.2Authorized Testing

รายละเอียดขั้นตอนที่ 02

วิเคราะห์

สร้างแบบจำลองภัยคุกคามและแผนที่ Attack Surface เพื่อเลือกเส้นทางการโจมตีที่มีโอกาสเกิดขึ้นและส่งผลกระทบสูง

เจ้าของงาน Lead Pentester / Security Analyst ระยะเวลาโดยประมาณ 1-3 วันทำการ

สิ่งที่เราดำเนินการ

วิเคราะห์ Architecture, Trust Boundary และ Data Flow
จัดทำ Threat Model และ Abuse Cases
สำรวจ Attack Surface และเทคโนโลยีที่เปิดเผย
วิเคราะห์ Role, Privilege และเส้นทางเข้าถึงข้อมูลสำคัญ
จัดลำดับ Test Scenario ตามความเสี่ยงและผลกระทบ

Deliverables

Attack Surface Map
Threat Model and Abuse Cases
Prioritized Test Scenarios
Initial Attack Hypotheses

Evidence

Endpoint และ Service Inventory
Role and Privilege Matrix
Data Flow และ Trust Boundary
Reconnaissance Artifacts

Framework Mapping

MITRE ATT&CK v19.1ReconnaissanceResource Development - เมื่อได้รับอนุญาตและอยู่ใน ScopeOWASP WSTG: Information Gathering

รายละเอียดขั้นตอนที่ 03

ทดสอบ

ดำเนินการทดสอบเชิงรุกด้วยเทคนิค Manual เพื่อยืนยันช่องโหว่และเชื่อมโยงเป็น Attack Chain ภายใต้ขอบเขตที่ได้รับอนุญาต

เจ้าของงาน Technical Lead / Pentest Team ระยะเวลาโดยประมาณ 5-15 วันทำการ

สิ่งที่เราดำเนินการ

ทดสอบ Authentication, Authorization และ Session Management
วิเคราะห์ Business Logic และการข้ามขั้นตอนของระบบ
ยืนยันช่องโหว่ด้วย Manual Exploitation
เชื่อมโยงหลายช่องโหว่เพื่อประเมินผลกระทบแบบ Attack Chain
ควบคุมการทดสอบไม่ให้เกิน Rules of Engagement

Deliverables

Verified Security Findings
Proof of Concept
Attack Chain Diagram
Test Coverage Matrix

Evidence

HTTP Requests and Responses
Screenshots and Screen Recordings
Commands, Logs and Tool Output
PoC Code และ Impact Evidence

Framework Mapping

OWASP Top 10:2025OWASP WSTG v4.2 Test IDsMITRE ATT&CK v19.1 Tactics & Techniquesเฉพาะพฤติกรรมที่ทดสอบและยืนยันแล้ว

รายละเอียดขั้นตอนที่ 04

ยืนยันผล

ตรวจสอบผลการทดสอบซ้ำเพื่อตัด False Positive ระบุขอบเขตที่ได้รับผลกระทบ และประเมินความเสี่ยงจากหลักฐานที่พิสูจน์ได้

เจ้าของงาน Validation Lead / QA Reviewer ระยะเวลาโดยประมาณ 1-3 วันทำการ

สิ่งที่เราดำเนินการ

ทำซ้ำช่องโหว่ด้วยเงื่อนไขที่ควบคุมได้
ตรวจสอบ Preconditions และข้อจำกัดของการโจมตี
ทดสอบ Negative Control เพื่อแยกพฤติกรรมปกติออกจากช่องโหว่
ประเมินผลกระทบต่อ Confidentiality, Integrity และ Availability
วิเคราะห์ผลกระทบทางธุรกิจและความเป็นไปได้ในการโจมตีจริง

Deliverables

Validated Findings
Affected Asset and Scope
Impact Analysis
Risk Rating and Rationale
Remediation Priority

Evidence

Reproduction Steps
Successful and Failed Test Cases
Privilege หรือ Data Impact
Preconditions and Environmental Context

Framework Mapping

OWASP Top 10:2025 CategoryOWASP WSTG Test ReferenceMITRE ATT&CK Technique MappingImpact & Risk Validation

รายละเอียดขั้นตอนที่ 05

รายงาน

แปลงผลการทดสอบเป็นข้อมูลสำหรับผู้บริหารและทีมเทคนิค พร้อมลำดับความสำคัญและแนวทางแก้ไขที่นำไปปฏิบัติได้จริง

เจ้าของงาน Report Owner / QA Reviewer ระยะเวลาโดยประมาณ 3-5 วันทำการ

สิ่งที่เราดำเนินการ

สรุปภาพรวมความเสี่ยงและผลกระทบต่อธุรกิจ
จัดทำรายละเอียดทางเทคนิคและขั้นตอนการทำซ้ำ
แสดง Attack Path และความสัมพันธ์ระหว่างช่องโหว่
เสนอแนวทางแก้ไขทั้งระยะเร่งด่วนและระยะยาว
ตรวจสอบคุณภาพและลบข้อมูลสำคัญที่ไม่จำเป็นออกจากหลักฐาน

Deliverables

Executive Report
Technical Pentest Report
Finding and Evidence Register
Attack Chain Visualization
Prioritized Remediation Plan

Evidence

Sanitized Screenshots
Request and Response References
PoC and Reproduction Steps
Evidence Traceability Index

Framework Mapping

OWASP Top 10:2025 CoverageOWASP WSTG Test CoverageMITRE ATT&CK Attack PathFinding-to-Framework Matrix

รายละเอียดขั้นตอนที่ 06

Retest

ทดสอบการแก้ไขภายใต้เงื่อนไขเดิม ตรวจสอบ Bypass หรือ Variant ที่เกี่ยวข้อง และยืนยันว่าความเสี่ยงได้รับการลดลงจริง

เจ้าของงาน Original Tester / QA Reviewer ระยะเวลาโดยประมาณ 1-3 วันทำการ

สิ่งที่เราดำเนินการ

ทำซ้ำ PoC และขั้นตอนจากผลการทดสอบเดิม
ตรวจสอบ Root Cause ไม่เฉพาะอาการที่ปรากฏ
ทดสอบ Variant และเส้นทาง Bypass ที่เกี่ยวข้อง
ตรวจสอบผลกระทบจากการแก้ไขต่อฟังก์ชันเดิม
เปรียบเทียบหลักฐานก่อนและหลังการแก้ไข

Deliverables

Retest Report
Finding Status Update
Closure Evidence
Residual Risk Summary
รายการช่องโหว่ที่ยังต้องดำเนินการต่อ

Evidence

Before and After Requests
Updated Configuration หรือ Application Version
Retest Screenshots
Timestamped Verification Results

Framework Mapping

Original OWASP Reference RetainedOriginal ATT&CK Mapping RetainedFix VerificationClosure Traceability

ระยะเวลาเป็นค่าประมาณและอาจเปลี่ยนแปลงตาม Scope, Access และ Rules of Engagement

Governance & Compliance

มาตรฐานและกรอบการทดสอบ

กฎหมายทั่วไปและความมั่นคงปลอดภัยไซเบอร์ระดับชาติ

ธนาคารและระบบการชำระเงิน (ธปท.)

หลักทรัพย์และสินทรัพย์ดิจิทัล (ก.ล.ต.) และ ประกันภัย (คปภ.)

VERIFIABLE TRUST / 05

มาตรฐานที่ตรวจสอบได้

ดาวน์โหลดใบรับรองจริง และตรวจสอบหลักการส่งมอบงานของเราได้โดยตรง

ISO/IEC 27001:2022 เปิดใบรับรองฉบับเต็ม

ISO 9001:2015 เปิดใบรับรองฉบับเต็ม

ADDITIONAL RECOGNITION

เอกสารรับรองและรางวัลเพิ่มเติม

หน้าแรกของหนังสือรับรองบริษัท Siam Thanat Hack ฉบับภาษาไทย

หนังสือรับรองบริษัท ภาษาไทยและอังกฤษ

สำเนาทะเบียนภาษีมูลค่าเพิ่ม ภ.พ.20 สำนักงานใหญ่ของ Siam Thanat Hack

ทะเบียนภาษีมูลค่าเพิ่ม (ภ.พ.20) สำนักงานใหญ่และสาขา 1

หนังสือรับรองผู้ประกอบการ SME เพื่อการจัดซื้อจัดจ้างภาครัฐของ Siam Thanat Hack

ทะเบียนผู้ประกอบการ SME-GP การจัดซื้อจัดจ้างภาครัฐ

หน้าแรกของหนังสือรับรองการขึ้นทะเบียนที่ปรึกษาของ Siam Thanat Hack

ทะเบียนที่ปรึกษา กระทรวงการคลัง

ประกาศนียบัตร Prime Minister Awards Thailand Cybersecurity Excellence Award 2024

Prime Minister Awards 2024 Contribution Award

ประกาศนียบัตร Prime Minister Awards Thailand Cybersecurity Excellence Awards 2025

Prime Minister Awards 2025 Best Performance Awards

Human validation

ทุก finding ผ่านการทำซ้ำและยืนยันด้วยมือ

Evidence ready

มีหลักฐาน วิธี reproduce ผลกระทบ และ remediation

Responsible AI

AI เป็น automated testing layer แต่มนุษย์เป็นผู้ตัดสินผลทดสอบ

Retest closure

ตรวจการแก้ไขและส่งหลักฐานตาม package หรือ scope

START THE CONVERSATION / 06

จะทำ Pentest ทั้งที
ทำกับทีมที่ “ถนัด” ไปเลย

ส่งข้อมูลระบบเบื้องต้น พร้อมขอบเขตการทดสอบ และช่วงเวลาที่ต้องการให้เราเริ่มประเมินแผนการดำเนินงาน

ส่งอีเมลติดต่อ STH pentest@sth.sh เปิดโปรแกรมอีเมลเพื่อส่งรายละเอียดโครงการ เพิ่มเพื่อน STH ทาง LINE @siamthanathack กดเพื่อเปิด LINE หรือสแกน QR Code

QR Code สำหรับเพิ่มเพื่อน LINE @siamthanathack

PENTEST FAQ / 07

คำถามที่พบบ่อยเกี่ยวกับบริการ Pentest

รวมคำตอบเรื่องขอบเขต ราคา ระยะเวลา และข้อกำหนดของหน่วยงานกำกับดูแล หากไม่พบคำตอบที่ต้องการ ทักมาคุยกับทีมได้โดยตรง

Pentest กับ VA Scan ต่างกันอย่างไร ควรเริ่มจากแบบไหน

VA Scan ใช้เครื่องมือสแกนหาช่องโหว่ในวงกว้าง เหมาะกับการตรวจสุขภาพระบบจำนวนมากและจัดลำดับความเสี่ยงก่อน ส่วน Pentest คือการที่ผู้เชี่ยวชาญลงมือเจาะจริงเพื่อพิสูจน์ว่าช่องโหว่ใช้โจมตีได้หรือไม่ พร้อมหลักฐานและวิธีแก้ ระบบที่สำคัญต่อธุรกิจหรือเก็บข้อมูลลูกค้าจึงควรทำ Pentest ควบคู่กับ VA ตามรอบ ไม่ใช่เลือกอย่างใดอย่างหนึ่งแทนกัน

ทีมที่ทดสอบมีความเชี่ยวชาญและใบรับรองอะไรบ้าง

ทีม STH มีประสบการณ์ทดสอบเจาะระบบให้แอปพลิเคชันทางการเงินชั้นนำ และได้รับการรับรองมาตรฐานสากลทั้งในระดับองค์กรและระดับบุคคลของผู้เชี่ยวชาญที่เข้าทดสอบจริง อีกทั้งเคยเป็นแชมป์การแข่งขัน Thailand Cyber Top Talent 2023 เราพร้อมสนับสนุนการดำเนินงานตลอดโครงการ ตั้งแต่ให้คำปรึกษาช่วงเริ่มต้น เตรียมความพร้อมก่อนดำเนินการ สื่อสารช่องโหว่ที่พบระหว่างดำเนินการ และให้คำปรึกษาในการปิดช่องโหว่ต่าง ๆ อย่างรัดกุม

ทดสอบด้วยคนจริง หรือแค่รันเครื่องสแกนอัตโนมัติ

งานของเรานำโดยมนุษย์ ผู้เชี่ยวชาญกำหนดขอบเขต ลงมือเจาะจริง และยืนยันทุก finding ด้วยมือก่อนเข้ารายงาน เราใช้ AI และเครื่องมืออัตโนมัติช่วยเร่ง Reconnaissance และเพิ่มความครอบคลุมภายใน Scope ที่ได้รับอนุญาต แต่สิ่งที่เครื่องสแกนทำแทนไม่ได้ เช่น การเชื่อมหลายช่องโหว่ให้เป็นการโจมตีจริง การทดสอบ Business Logic, IDOR และ Authentication ยังทำโดยผู้เชี่ยวชาญ คุณจึงได้หลักฐานที่โจมตีได้จริงและตัด False Positive ออกแล้ว ไม่ใช่รายงานสำเร็จรูปจากเครื่องสแกน

ค่าบริการ Pentest คิดจากอะไร

คิดจากขอบเขตเป็นหลัก เช่น จำนวนระบบ ขนาดของแอปพลิเคชัน จำนวนฟังก์ชันหรือ API ที่ต้องทดสอบ และรูปแบบการทดสอบ (Black-box, Gray-box หรือ White-box) เมื่อส่งรายละเอียดระบบมาให้เรา ทีมจะประเมินเป็นจำนวนวันทำงาน (man-day) และออกใบเสนอราคาที่ระบุขอบเขตชัดเจนก่อนเริ่มงานทุกครั้ง

ทดสอบหนึ่งระบบใช้เวลานานแค่ไหน

ขึ้นอยู่กับขนาดและความซับซ้อนของระบบ โดยทั่วไปแอปพลิเคชันหนึ่งระบบใช้เวลาทดสอบประมาณ 1–3 สัปดาห์รวมการจัดทำรายงาน หลังจากทีมของคุณแก้ไขช่องโหว่แล้ว เรานัดรอบ Retest เพื่อยืนยันผลการแก้ไขอีกครั้ง

เมื่อทดสอบเสร็จจะได้รับอะไรบ้าง

รายงานฉบับเต็มที่มีทั้งบทสรุปผู้บริหารและรายละเอียดทางเทคนิค ทุก finding ระบุขั้นตอนการทำซ้ำ หลักฐาน ระดับความเสี่ยงตาม CVSS และคำแนะนำการแก้ไขที่นำไปใช้ได้จริง พร้อมช่องทางสอบถามทีมทดสอบโดยตรง และรายงานผล Retest หลังการแก้ไข

หน่วยงานกำกับดูแลกำหนดให้ทำ Pentest หรือไม่

หลายอุตสาหกรรมมีข้อกำหนดโดยตรง เช่น สถาบันการเงินภายใต้หลักเกณฑ์ของธนาคารแห่งประเทศไทย ธุรกิจหลักทรัพย์และสินทรัพย์ดิจิทัลภายใต้ ก.ล.ต. และระบบบัตรตาม PCI DSS ส่วน PDPA และ พ.ร.บ.ไซเบอร์ฯ กำหนดเป็นหน้าที่ดูแลความมั่นคงปลอดภัยตามความเสี่ยง เราสรุปข้อกำหนดของแต่ละหน่วยงานพร้อมลิงก์เอกสารต้นทางไว้ที่หน้ามาตรฐานและข้อกำหนด

ต้องเตรียมอะไรบ้างก่อนเริ่มทดสอบ

หลัก ๆ คือช่วยกำหนดขอบเขตร่วมกับเรา เช่น รายการระบบ URL หรือไฟล์ติดตั้งแอป บัญชีทดสอบตามบทบาทผู้ใช้ และช่วงเวลาที่สะดวกให้ทดสอบ จากนั้นเราจัดทำเอกสารขอบเขตและกติกาการทดสอบ (Rules of Engagement) ให้ตกลงร่วมกันเป็นลายลักษณ์อักษรก่อนเริ่มงาน

ข้อมูลของบริษัทเราปลอดภัยแค่ไหนระหว่างการทดสอบ

การทดสอบทั้งหมดทำภายในขอบเขตที่ได้รับอนุญาตเป็นลายลักษณ์อักษรและอยู่ภายใต้สัญญารักษาความลับ STH ได้รับการรับรอง ISO/IEC 27001:2022 และ ISO 9001:2015 ซึ่งครอบคลุมการจัดการหลักฐาน การจัดเก็บข้อมูล และการส่งมอบรายงานอย่างรัดกุมตลอดโครงการ

ระบบ	Scope	Access
เว็บและ API	Domains, routes, APIs, admin portals, roles และ integrations	บัญชีทดสอบ, MFA path, API documentation และ test data
แอปมือถือ	Android/iOS builds, package IDs, deep links, local storage และ backend APIs	Test builds, devices, accounts, source หรือ symbols เมื่อตกลง
เครือข่ายภายนอก	Public IP ranges, DNS, VPN, gateways, cloud edge และ exposed services	Approved source IPs, maintenance window และ emergency contacts
เครือข่ายภายใน	Subnets, hosts, Active Directory, identity, segmentation และ management services	VPN/jump host, test workstation, test identities และ routing prerequisites

ข้อมูลและสิทธิ์	เหมาะกับ	คุณค่าต่อลูกค้า
ให้ข้อมูลเป้าหมายสาธารณะขั้นต่ำ	มุมมองผู้โจมตีภายนอก	ยืนยัน Exposure ที่สมจริง
ให้บัญชีทดสอบและเอกสารที่จำเป็น	Role, Business Logic และ Authenticated Paths	สมดุลความสมจริง ความลึก และเวลาส่งมอบ
ให้ Architecture, Source, Configuration และสิทธิ์ที่ตกลง	Coverage และ Root-cause Analysis เชิงลึก	มองเห็นเชิงเทคนิคและบริบทการแก้ไขสูงสุด

System	Scope	Access
Web and API	Domains, routes, APIs, admin portals, roles, and integrations	Test accounts, MFA path, API documentation, and test data
Mobile	Android/iOS builds, package IDs, deep links, local storage, and backend APIs	Test builds, devices, accounts, source, or symbols when agreed
External Network	Public IP ranges, DNS, VPN, gateways, cloud edge, and exposed services	Approved source IPs, maintenance window, and emergency contacts
Internal Network	Subnets, hosts, Active Directory, identity, segmentation, and management services	VPN/jump host, test workstation, test identities, and routing prerequisites

Information and access	Best fit	Customer value
Minimal public target information	An external attacker view	Realistic exposure validation
Test accounts and selected documentation	Roles, business logic, and authenticated paths	Balanced realism, depth, and delivery time
Agreed architecture, source, configuration, and access	Deep coverage and root-cause analysis	Maximum technical visibility and remediation context

พื้นที่ทดสอบ	การอ้างอิง
Entry points, routes, authentication และ sessions	OWASP WSTG v4.2; OWASP Top 10:2025
Object/function authorization, rate limits และ sensitive business flows	OWASP API Security Top 10:2023
Configuration, files, integrations, SSRF และ cloud storage	WSTG v4.2 และ API Security
Authorized adversary behaviors	MITRE Enterprise ATT&CK T1595 Active Scanning และ T1190 Exploit Public-Facing Application

พื้นผิวการโจมตีแอปมือถือและการอ้างอิง
พื้นที่ทดสอบ	การอ้างอิง
Package, code, update path และ tamper resistance	MASVS 2.1 CODE/RESILIENCE; MASTG 2.0
Local storage, cryptography และ privacy	MASVS-STORAGE, CRYPTO และ PRIVACY
Authentication, platform, deep links และ network traffic	MASVS-AUTH, PLATFORM และ NETWORK
Backend APIs และพฤติกรรมที่เกี่ยวข้อง	API Top 10:2023; MITRE Mobile ATT&CK T1664, T1417, T1533

Mobile attack surface and references
Test area	Reference mapping
Package, code, update path, and tamper resistance	MASVS 2.1 CODE/RESILIENCE; MASTG 2.0
Local storage, cryptography, and privacy	MASVS-STORAGE, CRYPTO, and PRIVACY
Authentication, platform, deep links, and network traffic	MASVS-AUTH, PLATFORM, and NETWORK
Backend APIs and relevant behavior	API Top 10:2023; MITRE Mobile ATT&CK T1664, T1417, T1533

บทบาท AI และ Human ตลอดการทดสอบ
ขั้นตอน	AI	Human
Planning	Normalize รายการทรัพย์สิน เสนอ Coverage gaps และ reference mappings	อนุมัติ Scope, safety constraints, ลำดับ และความลึก
Testing	ทำ reconnaissance สร้างสมมติฐาน และทดสอบเชิงรุกอัตโนมัติภายใน Scope	ควบคุมการทดสอบ วิเคราะห์ Business Logic และยืนยัน Exploitation
Validation	จัดกลุ่ม Artifacts และช่วย Cross-reference	ทำซ้ำ Finding, รัน negative control, ยืนยัน affected scope และผลกระทบ
Reporting	ช่วย Index หลักฐานและ Draft trace links	ให้เหตุผลและอนุมัติถ้อยคำ Remediation, Severity และรายงานสุดท้าย

AI and human roles across the assessment
Phase	AI	Human
Planning	Normalizes asset lists, suggests coverage gaps, and reference mappings	Approves scope, safety constraints, sequence, and test depth
Testing	Performs reconnaissance, generates hypotheses, and runs automated active testing within scope	Controls testing, analyzes business logic, and validates exploitation
Validation	Clusters artifacts and assists cross-reference checks	Reproduces findings, runs negative controls, and establishes scope and impact
Reporting	Assists evidence indexing and draft trace links	Assigns rationale and approves wording, remediation, severity, and the final report

เจาะระบบอย่างมืออาชีพ ด้วยพลังของคนและ AI

เจาะลึกกว่ารายการ OWASP Top 10

ขอบเขตที่ครอบคลุม

สิ่งที่คุณจะได้รับ

เห็นทั้งแอป มือถือ และ backend ที่เชื่อมต่อกัน

ขอบเขตที่ครอบคลุม

สิ่งที่คุณจะได้รับ

ทดสอบทีละ endpoint และต่อ attack chain

ขอบเขตที่ครอบคลุม

สิ่งที่คุณจะได้รับ

ยืนยันเส้นทางโจมตีจาก perimeter ถึงระบบสำคัญ

ขอบเขตที่ครอบคลุม

สิ่งที่คุณจะได้รับ

อ่าน logic ที่ black-box และ scanner เข้าไม่ถึง

ขอบเขตที่ครอบคลุม

สิ่งที่คุณจะได้รับ

ลงลึกถึง binary, protocol และ exploitability

ขอบเขตที่ครอบคลุม

สิ่งที่คุณจะได้รับ

VA Scan / Vulnerability Assessment / สแกนช่องโหว่

Pentest / ทดสอบเจาะระบบ

Red Team

ประสบการณ์จากสนามแข่งขัน

ถ่ายทอดประสบการณ์ Application Security

Mobile Security แบบลงมือจริง

สร้างโจทย์และแบ่งปันความรู้

แชมป์ Splunk BOTS

ออกแบบการแข่งขัน Hack The Scammer

Mobile Security Lab

อุปกรณ์ทดสอบจริงหลายรุ่น

แบ่งปันความรู้บนเวที Cybersecurity

Presentation Attack Detection (PAD)

จุดเริ่มต้นจากชุมชน

ประสบการณ์กับระบบสำคัญ

Human-Led, AI-Augmented

ใบรับรองวิชาชีพที่มีอยู่ในทีม

ผู้เชี่ยวชาญเป็นผู้นำตั้งแต่ scope ถึง sign-off

ทดสอบกับพฤติกรรมจริงของระบบ ไม่ใช่ checklist อย่างเดียว

AI ทดสอบเชิงรุกอัตโนมัติ แต่มนุษย์ยืนยันทุก finding

สิ่งที่เราดำเนินการ

Deliverables

Evidence

Framework Mapping

สิ่งที่เราดำเนินการ

Deliverables

Evidence

Framework Mapping

สิ่งที่เราดำเนินการ

Deliverables

Evidence

Framework Mapping

สิ่งที่เราดำเนินการ

Deliverables

Evidence

Framework Mapping

สิ่งที่เราดำเนินการ

Deliverables

Evidence

Framework Mapping

สิ่งที่เราดำเนินการ

Deliverables

Evidence

Framework Mapping

มาตรฐานและกรอบการทดสอบ

กฎหมายทั่วไปและความมั่นคงปลอดภัยไซเบอร์ระดับชาติ

ธนาคารและระบบการชำระเงิน (ธปท.)

หลักทรัพย์และสินทรัพย์ดิจิทัล (ก.ล.ต.) และ ประกันภัย (คปภ.)

Human validation

Evidence ready

Responsible AI

Retest closure

จะทำ Pentest ทั้งทีทำกับทีมที่ “ถนัด” ไปเลย

Pentest กับ VA Scan ต่างกันอย่างไร ควรเริ่มจากแบบไหน

ทีมที่ทดสอบมีความเชี่ยวชาญและใบรับรองอะไรบ้าง

ทดสอบด้วยคนจริง หรือแค่รันเครื่องสแกนอัตโนมัติ

ค่าบริการ Pentest คิดจากอะไร

ทดสอบหนึ่งระบบใช้เวลานานแค่ไหน

เมื่อทดสอบเสร็จจะได้รับอะไรบ้าง

หน่วยงานกำกับดูแลกำหนดให้ทำ Pentest หรือไม่

ต้องเตรียมอะไรบ้างก่อนเริ่มทดสอบ

จะทำ Pentest ทั้งที
ทำกับทีมที่ “ถนัด” ไปเลย