Mitigation ใน Network Security คืออะไร?
Threat Mitigation = กระบวนการ ลดความรุนแรง ความถี่ และผลกระทบ ของภัยคุกคามต่อเครือข่าย ไม่ใช่กำจัดหมด (Impossible) แต่ทำให้ "ราคา" ของการโจมตีสูงเกินไป หรือ "โอกาสสำเร็จ" ต่ำพอ
ภัยคุกคามเครือข่าย 10 อันดับแรก และการลดความเสี่ยง
| # | ภัยคุกคาม | คำอธิบาย | Mitigation Strategies (ลำดับความสำคัญ) |
|---|---|---|---|
| 1 | Phishing / Social Engineering | หลอกลวงผ่านอีเมล SMS โทรศัพท์ ให้คลิกลิงก์/แนบไฟล์/ให้ Credential | ① Security Awareness Training + Phishing Simulation (Quarterly) ② Email Security Gateway (DMARC, SPF, DKIM, Sandbox) ③ MFA บังคับทุกระบบ (FIDO2/WebAuthn ดีที่สุด) ④ Browser Isolation / DNS Filtering ⑤ Incident Reporting Culture (No Blame) |
| 2 | Ransomware | เข้ารหัสข้อมูลเรียกค่าไถ่ มักเข้ามาผ่าน Phishing, RDP, VPN Vuln, Supply Chain | ① Offsite/Immutable Backups (3-2-1 Rule) + Test Restore ② Patch Management (Critical 48h, High 2 weeks) ③ Network Segmentation + Zero Trust (Limit Lateral Movement) ④ EDR/XDR + Application Control (AppLocker/WDAC) ⑤ Disable Macros, Block Executables from Email/Tmp ⑥ Incident Response Plan + Tabletop Exercise |
| 3 | Malware (Virus, Trojan, Spyware, Rootkit, Worm, Fileless) | รหัสอันตรายเข้าทาง Email, Web, USB, Drive-by, Exploit | ① NGAV/EDR/XDR (Behavioral AI, не Signature-only) ② Application Whitelisting / WDAC / AppLocker ③ Network Segmentation (No Flat Network) ④ DNS Filtering / Secure Web Gateway ⑤ Disable AutoRun, Restrict USB, Macro Settings |
| 4 | DDoS (Volumetric, Protocol, Application Layer) | ท่วม Bandwidth/Resource ให้บริการล่ม | ① DDoS Protection Service (Cloudflare, AWS Shield, Akamai, Radware) ② Anycast/CDN Absorption ③ Rate Limiting, WAF Rules, SYN Cookies ④ Network Redundancy, Multi-region ⑤ Upstream ISP Blackholing / FlowSpec |
| 5 | Vulnerability Exploitation (Zero-day / N-day) | ใช้ช่องโหว่ Software/Firmware/Config ที่ไม่ได้ Patch | ① Vulnerability Management Program (Scan → Prioritize → Patch → Verify) ② Automated Patch Management (WSUS, SCCM, Intune, Ivanti, Qualys) ③ Virtual Patching (WAF/IPS Rules) ก่อน Patch จริง ④ Asset Inventory (CMDB) - ไม่รู้ว่ามีอะไร Patch ไม่ได้ ⑤ Threat Intelligence Feed Integration |
| 6 | Credential Theft / Credential Stuffing / Password Spraying | ขโมย/ซื้อ Credential มาโจมตีระบบอื่น (Reuse) | ① MFA บังคับทุกระบบ (ป้องกัน 99.9%) ② Enterprise Password Manager (1Password, Bitwarden, Keeper) ③ Conditional Access / Risk-based Auth (Impossible Travel, New Device) ④ Passwordless (FIDO2, Windows Hello, Passkeys) ⑤ Monitor Leaked Credentials (HaveIBeenPwned, Dark Web Monitoring) |
| 7 | Insider Threat (Malicious / Negligent / Compromised) | พนักงานรอบควง/พลาด/โดนแฮก ใช้สิทธิ์เข้าถึงข้อมูล | ① Least Privilege / Just-in-Time Access (PAM) ② DLP (Endpoint, Network, Cloud) - Detect Exfiltration ③ UEBA (User Entity Behavior Analytics) - Anomaly Detection ④ Data Classification & Labeling ⑤ Offboarding Process ทันที (Revoke, Collect, Rotate) ⑥ Background Check สำหรับตำแหน่ง敏感 |
| 8 | Man-in-the-Middle (MitM) / ARP Spoofing / DNS Hijack / SSL Strip | ขโมย/แก้ไขข้อมูลระหว่างทาง | ① TLS 1.2+ Everywhere (HSTS, Certificate Pinning) ② Encrypted DNS (DoH/DoT) - Cloudflare 1.1.1.1, Quad9 ③ Network Segmentation + Port Security / DAI / DHCP Snooping ④ VPN / ZTNA สำหรับ Remote Access ⑤ Certificate Transparency Monitoring |
| 9 | Supply Chain / Third-Party Risk | โจมตีผ่าน Vendor, Software Update, Open Source Dependency | ① Vendor Risk Management (Security Questionnaire, SOC2, Pen Test Report) ② Software Bill of Materials (SBOM) + SCA (Software Composition Analysis) ③ Code Signing Verification, Reproducible Builds ④ Least Privilege for Vendor Access (PAM, ZTNA) ⑤ Monitor Third-party Connections |
| 10 | Misconfiguration (Cloud, SaaS, Network, Container) | ตั้งค่าผิด: Public S3, Open Security Group, Excessive IAM, Default Creds | ① IaC Scanning (Checkov, tfsec, Terrascan) ใน CI/CD ② CSPM (Cloud Security Posture Management) - Wiz, Orca, Prisma Cloud ③ CIS Benchmarks Hardening (Automated) ④ Drift Detection (Actual vs Desired State) ⑤ Policy as Code (OPA/Gatekeeper, Kyverno) |
Framework การลดความเสี่ยงแบบเป็นระบบ (Systematic Approach)
1. Identify (ระบุ) - NIST CSF Identify
- Asset Inventory (Hardware, Software, Data, People, Cloud)
- Business Impact Analysis (BIA) - ความสำคัญของ Asset
- Threat Modeling (STRIDE, PASTA, MITRE ATT&CK)
- Risk Assessment (Likelihood × Impact = Risk Score)
2. Protect (ป้องกัน) - NIST CSF Protect
- Access Control (Zero Trust, MFA, PAM, Least Privilege)
- Data Security (Encryption, DLP, Classification, Backup)
- Network Security (Segmentation, Firewall, IDS/IPS, NAC, ZTNA)
- Endpoint Security (EDR/XDR, App Control, Patch Mgmt)
- Application Security (SAST/DAST/SCA, WAF, API Security)
- Awareness Training (Phishing Sim, Secure Coding, Policies)
3. Detect (ตรวจจับ) - NIST CSF Detect
- SIEM + Correlation Rules (MITRE ATT&CK Mapping)
- EDR/XDR Telemetry + Behavioral Analytics
- Network Traffic Analysis (NTA/NDR) - Encrypted Traffic Analysis
- Threat Intelligence Integration (IOC, TTP, Actor Profiles)
- Vulnerability Scanning (Continuous, Authenticated)
- Deception Technology (Honeypots, Canary Tokens, Breadcrumbs)
4. Respond (ตอบสนอง) - NIST CSF Respond
- Incident Response Plan (NIST SP 800-61r2) - Playbooks per Scenario
- CSIRT/SOC Team - Roles, RACI, Escalation, Communication
- Containment Strategies (Network, Host, Account, Domain)
- Forensics Readiness (Log Retention, Disk Image, Memory Capture)
- Legal/Regulatory Notification (PDPA 72h, SEC, Industry Specific)
5. Recover (กู้คืน) - NIST CSF Recover
- Backup & Restore Testing (Quarterly Full Restore Test)
- Immutable/Offline/Air-gapped Backups (Ransomware Proof)
- Business Continuity / Disaster Recovery Plan (BCP/DRP)
- Post-Incident Review (Root Cause, Lessons Learned, Improvements)
- Cyber Insurance Claims Process
Quick Wins (ทำได้เร็ว ผลกระทบสูง ต่ำต้นทุน)
- ☐ เปิด MFA ทุกระบบ (Critical First: Email, VPN, Admin Console, Cloud)
- ☐ ปิด RDP/SSH จาก Internet → ใช้ VPN/ZTNA/Bastion Host
- ☐ Patch Critical Vulnerabilities (CVSS ≥ 9) ภายใน 48 ชั่วโมง
- ☐ Block Macros from Internet / AppLocker / WDAC
- ☐ Enable DNS Filtering (Quad9, Cisco Umbrella, Cloudflare Gateway)
- ☐ Network Segmentation: แยก IT, OT, IoT, Guest, DMZ, Server
- ☐ Change All Default Passwords (Router, Switch, Firewall, IoT, Camera, Printer)
- ☐ Enable WPA3 / WPA2-AES Only (Disable WEP, WPA, TKIP, WPS)
- ☐ Backup 3-2-1 + Test Restore + Immutable Storage
- ☐ Security Awareness Training + Phishing Sim (Quarterly)
Metrics/KPIs สำหรับวัดประสิทธิภาพ Mitigation
| Metric | Target |
|---|---|
| Mean Time to Detect (MTTD) | < 1 ชั่วโมง (Critical), < 24 ชม. (High) |
| Mean Time to Respond (MTTR) | < 4 ชั่วโมง (Critical), < 24 ชม. (High) |
| Patch Compliance (Critical/High) | > 95% ภายใน SLA |
| Phishing Click Rate | < 5% (ลดลงทุกไตรมาส) |
| Phishing Report Rate | > 20% (เพิ่มขึ้นทุกไตรมาส) |
| MFA Coverage | 100% Critical Systems, > 90% All Users |
| Backup Restore Success Rate | 100% (Tested Quarterly) |
| Vulnerability Remediation Rate | Critical: 100% in 48h, High: 90% in 2 weeks |
