PENETRATION TESTING · VAPT · บริการโดย TECTONY
บริษัท Pentest ในไทย: รับทำ Pentest และ VAPT
หาจุดอ่อนก่อนที่ผู้โจมตีจริงจะเจอ เฉพาะระบบที่คุณอนุญาตเป็นลายลักษณ์อักษร
บริการรับทำ Penetration Testing (Pentest) หรือการทดสอบเจาะระบบของ TecTony คือการจำลองการโจมตีอย่างมีขอบเขต บนเว็บไซต์ เว็บแอป แอปมือถือ API และเครือข่ายของคุณ เพื่อพิสูจน์ว่าช่องโหว่ใดถูกใช้โจมตีได้จริงและกระทบธุรกิจแค่ไหน เราเริ่มจากหนังสืออนุญาตและข้อตกลงขอบเขตที่ลงนามแล้วเสมอ ทดสอบด้วยมือร่วมกับเครื่องมือ ไม่ใช่แค่สแกนอัตโนมัติ แล้วส่งรายงานภาษาไทยและอังกฤษ พร้อมวิธีแก้และการทดสอบซ้ำ
ทดสอบเฉพาะระบบที่ได้รับอนุญาตเป็นลายลักษณ์อักษร · เป็นผลประเมิน ณ ช่วงเวลาที่ทดสอบ · ไม่รับประกันว่าระบบจะปลอดภัย 100%
VA, PT และ VAPT ต่างกันอย่างไร
VA · Vulnerability Assessment
การประเมินช่องโหว่ ใช้เครื่องมือสแกนอัตโนมัติไล่ตรวจระบบในวงกว้าง แล้วแสดงรายการจุดที่อาจมีปัญหา เหมาะกับการตรวจสุขภาพเป็นประจำ แต่ไม่ได้พิสูจน์ว่าโจมตีได้จริง และมักมีรายการที่เป็นการแจ้งเตือนผิด
PT · Penetration Testing
การทดสอบเจาะระบบ ผู้ทดสอบลงมือตรวจด้วยมือ ยืนยันว่าช่องโหว่ใดใช้โจมตีได้จริง ขยายผลการโจมตีได้ไกลแค่ไหน และกระทบข้อมูลหรือธุรกิจอย่างไร โดยแนบหลักฐานของทุกข้อที่พบ
VAPT
การทำทั้งสองอย่างร่วมกัน ใช้ VA หาจุดเสี่ยงให้ครบในวงกว้าง แล้วใช้ PT ยืนยันจุดที่สำคัญที่สุด เป็นรูปแบบที่องค์กรและงานด้าน Compliance ขอบ่อย
ขอบเขตงานรับทำ Pentest และ VAPT
01 · ขออนุญาตและกำหนดขอบเขต
ก่อนแตะระบบใด เราจัดทำหนังสืออนุญาตและข้อตกลงการทดสอบ (Rules of Engagement) ระบุระบบที่อยู่ในขอบเขต ช่วงเวลาทดสอบ ระบบที่ห้ามแตะ วิธีที่อนุญาต ผู้ติดต่อฉุกเฉิน และข้อตกลงการประมวลผลข้อมูลตาม PDPA ให้ผู้มีอำนาจของระบบนั้นลงนาม
02 · ประเมินช่องโหว่ (VA)
ตรวจสุขภาพความปลอดภัยด้วยการสแกนที่ได้รับอนุญาต ตรวจการตั้งค่า เวอร์ชันซอฟต์แวร์ การเข้ารหัส การยืนยันตัวตน และ MFA แล้วคัดกรองผลด้วยคน เราเรียกงานนี้ว่า VA ตรง ๆ ไม่ขายเป็น Pentest
03 · Web Application Pentest
ทดสอบเว็บไซต์และเว็บแอปตามแนวทาง OWASP Web Security Testing Guide และ OWASP Top 10 เช่น การยืนยันตัวตน สิทธิ์การเข้าถึง การจัดการ Session การรับข้อมูลเข้า และตรรกะทางธุรกิจ
04 · Mobile App และ API Pentest
ทดสอบแอป iOS และ Android ตามแนวทาง OWASP MASVS และ MASTG และทดสอบ API ตาม OWASP API Security Top 10 ทั้งการยืนยันตัวตน การตรวจสิทธิ์ระดับออบเจ็กต์ (Object-level Authorization) และการรับส่งข้อมูล
05 · Network และ Infrastructure
ทดสอบเครือข่ายจากภายนอกและภายในองค์กรตามขอบเขตที่ตกลง เช่น บริการที่เปิดสู่อินเทอร์เน็ต Firewall, VPN, Wi-Fi และเซิร์ฟเวอร์ ตามแนวทาง NIST SP 800-115
06 · รายงานและทดสอบซ้ำ
รายงานภาษาไทยและอังกฤษ มีบทสรุปสำหรับผู้บริหาร และรายละเอียดทางเทคนิคของทุกข้อ: ระดับความรุนแรง หลักฐาน ขั้นตอนทำซ้ำ และวิธีแก้ เมื่อแก้แล้วเราทดสอบซ้ำเพื่อยืนยันผล
07 · ช่วยแก้ไขและดูแลต่อเนื่อง
ทีมพัฒนาของ TecTony ช่วยแก้ช่องโหว่ได้ ในเว็บ แอป หรือระบบที่เราดูแลอยู่ และวางรอบตรวจสุขภาพความปลอดภัยต่อเนื่อง สำหรับระบบที่เปลี่ยนบ่อย
เราทดสอบด้วยวิธีที่ตรวจสอบได้
- ไม่เริ่มงานก่อนมีหนังสืออนุญาต ข้อตกลงขอบเขต และข้อตกลงการประมวลผลข้อมูลที่ลงนามครบ
- อ้างอิงแนวทางสากล: OWASP WSTG, OWASP MASVS และ MASTG, OWASP API Security Top 10 และ NIST SP 800-115
- ทุกข้อที่รายงานผ่านการยืนยันด้วยคน พร้อมหลักฐานและระดับความรุนแรง ไม่ส่งผลสแกนดิบ
- AI ช่วยวิเคราะห์บนเครื่องของเราเอง (NVIDIA DGX Spark) ข้อมูลจากการทดสอบจึงไม่ถูกส่งให้ผู้ให้บริการ AI ภายนอก
- หลักฐานการทดสอบเข้ารหัสระหว่างส่งมอบ และลบตามระยะที่ตกลงในสัญญา
- งานที่หน่วยงานกำกับกำหนดให้ใช้ผู้ทดสอบอิสระที่มีใบรับรองเฉพาะ เราระบุชื่อผู้ทดสอบและใบรับรองไว้ในใบเสนอราคาก่อนเริ่มงาน
สิ่งที่กฎหมายกำหนด และสิ่งที่เราไม่ขายเกินจริง
พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (แก้ไขเพิ่มเติม พ.ศ. 2560) มาตรา 5 และ 7 ทำให้การเข้าถึงระบบหรือข้อมูลที่มีมาตรการป้องกันโดยไม่ได้รับอนุญาตเป็นความผิด และมาตรา 8–10 ครอบคลุมการดักรับ การแก้ไขข้อมูล และการรบกวนระบบ การทดสอบเจาะระบบจึงถูกกฎหมายเมื่อเจ้าของระบบอนุญาตเป็นลายลักษณ์อักษรก่อนเท่านั้น เราไม่สแกนหรือทดสอบระบบของใครเพื่อ "ชี้ให้ดูช่องโหว่" ก่อนเสนองาน
Pentest คือผลประเมิน ณ ช่วงเวลาหนึ่งภายในขอบเขตที่ตกลง ช่วยลดความเสี่ยงได้ แต่ไม่มีผู้ทดสอบรายใดรับประกันได้ว่าพบช่องโหว่ครบทุกข้อ หรือระบบจะไม่ถูกโจมตีอีก และรายงานของเราเป็นหลักฐานประกอบการตรวจ ไม่ใช่ใบรับรอง
ระวังบริการที่ขายผลสแกนอัตโนมัติในชื่อ Pentest ราคาถูก ถ้าใบเสนอราคาไม่มีขั้นตอนทดสอบด้วยมือ ไม่มีหลักฐานการเข้าถึง และไม่มีการทดสอบซ้ำ งานนั้นคือ VA ไม่ใช่ PT ซึ่งมีประโยชน์ แต่ควรซื้อในราคาและชื่อที่ตรงกับงานจริง
ค่าบริการเสนอตามขอบเขตงานจริงเท่านั้น ขึ้นกับจำนวนระบบ จำนวนหน้าและ Endpoint ประเภทการทดสอบ และช่วงเวลาที่ทดสอบได้ หน้านี้จึงไม่มีราคาตายตัว ติดต่อเพื่อคุยขอบเขตและรับใบเสนอราคา
ตรวจสอบกฎหมายและแนวทางอ้างอิง: 8 พฤศจิกายน 2026
คำถามที่พบบ่อยเกี่ยวกับการรับทำ Pentest
Pentest คืออะไร?
Pentest (Penetration Testing) หรือการทดสอบเจาะระบบ คือการจำลองการโจมตีระบบของคุณเอง โดยได้รับอนุญาตและมีขอบเขตชัดเจน เพื่อพิสูจน์ว่าช่องโหว่ใดใช้โจมตีได้จริงและกระทบธุรกิจแค่ไหน ต่างจากการสแกนอัตโนมัติที่บอกได้เพียงว่าอาจมีความเสี่ยงตรงไหน
VAPT คืออะไร ต่างจาก VA และ PT อย่างไร?
VA (Vulnerability Assessment) คือการประเมินช่องโหว่ในวงกว้างด้วยเครื่องมือ ส่วน PT (Penetration Testing) คือการทดสอบด้วยมือเพื่อยืนยันว่าโจมตีได้จริง VAPT คือการทำทั้งสองอย่างร่วมกัน ให้ได้ทั้งความครอบคลุมและหลักฐาน
ทำไมราคา Pentest แต่ละเจ้าต่างกันมาก?
เพราะหลายบริการที่ขายในชื่อ Pentest เป็นเพียงผลสแกนอัตโนมัติ (VA) ลองดูในใบเสนอราคาว่ามีการทดสอบด้วยมือ หลักฐานของแต่ละข้อที่พบ มีผู้รับผิดชอบรายงานที่ระบุชื่อชัดเจน และการทดสอบซ้ำหลังแก้หรือไม่ ถ้าไม่มี งานนั้นคือ VA
การทำ Pentest ถูกกฎหมายในไทยไหม?
ถูกกฎหมายเมื่อเจ้าของระบบอนุญาตเป็นลายลักษณ์อักษรก่อนเริ่มทดสอบ พ.ร.บ.คอมพิวเตอร์ พ.ศ. 2550 มาตรา 5 และ 7 ทำให้การเข้าถึงระบบหรือข้อมูลโดยไม่ได้รับอนุญาตเป็นความผิด เราจึงให้ผู้มีอำนาจลงนามในหนังสืออนุญาตและข้อตกลงขอบเขตก่อนแตะระบบใด ๆ และระบบที่อยู่บนโฮสติ้งหรือคลาวด์ของผู้อื่นอาจต้องได้รับอนุญาตจากผู้ให้บริการนั้นด้วย
รับทำ Pentest ราคาเท่าไหร่?
ไม่มีราคาตายตัว เพราะขึ้นกับจำนวนระบบ จำนวนหน้าหรือ Endpoint ประเภทการทดสอบ (เว็บ แอป API หรือเครือข่าย) และช่วงเวลาที่ทดสอบได้ เราคุยขอบเขตก่อน แล้วเสนอราคาเป็นลายลักษณ์อักษรที่ระบุทั้งสิ่งที่รวมและไม่รวมในงาน
ต้องเตรียมอะไรก่อนเริ่ม Pentest?
ผู้มีอำนาจลงนามในหนังสืออนุญาต รายการระบบและ URL ที่อยู่ในขอบเขต ช่วงเวลาที่ทดสอบได้ บัญชีทดสอบแยกจากบัญชีจริง ผู้ติดต่อฉุกเฉิน และสำรองข้อมูลก่อนเริ่มงาน หากทดสอบบนระบบจริง ควรตกลงช่วงเวลาที่กระทบผู้ใช้น้อยที่สุด
หลังทำ Pentest จะได้อะไร?
รายงานภาษาไทยและอังกฤษ มีบทสรุปสำหรับผู้บริหาร และรายละเอียดทางเทคนิคของทุกข้อที่พบ ได้แก่ ระดับความรุนแรง หลักฐาน ขั้นตอนทำซ้ำ และวิธีแก้ เมื่อแก้ไขแล้วเราทดสอบซ้ำเพื่อยืนยันว่าปิดช่องโหว่ได้จริง
ทำ Pentest แล้วระบบจะปลอดภัย 100% ไหม?
ไม่มีใครรับประกันได้ Pentest เป็นผลประเมิน ณ ช่วงเวลาที่ทดสอบภายในขอบเขตที่ตกลง ช่วยลดความเสี่ยงได้ แต่ระบบที่เปลี่ยนแปลงหรือมีช่องโหว่ใหม่ต้องตรวจซ้ำเป็นรอบ เราจึงแนะนำให้ทดสอบซ้ำหลังการเปลี่ยนแปลงสำคัญ
TecTony ใช้ AI ทดสอบอย่างไร ข้อมูลของเราไปไหน?
AI ช่วยคัดกรอง สรุป และร่างรายงาน บนเครื่องของเราเอง (NVIDIA DGX Spark) ข้อมูลจากการทดสอบจึงไม่ถูกส่งให้ผู้ให้บริการ AI ภายนอก ส่วนการตัดสินใจและการยืนยันทุกข้อที่รายงานทำโดยคน และใช้เฉพาะกับระบบที่ได้รับอนุญาตเท่านั้น
หน่วยงานรัฐหรือ อปท. จ้าง TecTony ทำ Pentest ได้ไหม?
ได้ ผ่านการจัดซื้อจัดจ้างตาม พ.ร.บ.การจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 ตามวิธีจัดซื้อจัดจ้างที่กฎหมายและระเบียบกำหนดสำหรับงานนั้น และต้องมีหนังสืออนุญาตกับข้อตกลงการประมวลผลข้อมูลตาม PDPA ก่อนทดสอบ เราไม่ทดสอบระบบของหน่วยงานใดก่อนมีสัญญาและหนังสืออนุญาต และยินดีให้ข้อมูลเพื่อประกอบการจัดทำขอบเขตงาน
อ่านต่อเรื่องความปลอดภัยไซเบอร์
เริ่มจากคุยขอบเขตระบบของคุณ
บอกเราว่าอยากทดสอบระบบไหน และเหตุผลที่ต้องทดสอบ เช่น ก่อนเปิดตัว ตามข้อกำหนดของลูกค้า หรือเพื่อ PDPA เราจะเสนอขอบเขต วิธีทดสอบ และเอกสารอนุญาตที่ต้องใช้