Network Security Monitoring (NSM) คืออะไร?
Network Security Monitoring (NSM) คือ กระบวนการ เก็บรวบรวม วิเคราะห์ และตอบสนอง ต่อข้อมูลจราจรเครือข่าย เพื่อ ตรวจจับ การบุกรุก (Intrusion) ภัยคุกคาม และความผิดปกติ ที่อาจหลบพ้นการป้องกันแบบดั้งเดิม (Firewall, AV) ไป
แตกต่างจาก Network Monitoring ทั่วไปที่เน้น Performance & Availability (Bandwidth, Uptime, Latency) NSM เน้นที่ Security Visibility - "ดูว่าใครทำอะไรในเครือข่ายของเรา"
ทำไม NSM จึงสำคัญ? (Why NSM Matters)
- Detection > Prevention: ไม่มีการป้องกันที่สมบูรณ์แบบ 100% ต้องสามารถตรวจจับได้เมื่อผ่านกัน
- Visibility: มองเห็น Traffic Patterns, Lateral Movement, Data Exfiltration, C2 Communications
- Compliance: PCI-DSS, HIPAA, GDPR, PDPA ต้องการ Logging & Monitoring
- Threat Hunting: ใช้ข้อมูล NSM เพื่อค้นหา Threat ที่ซ่อนอยู่ (Proactive)
- Incident Response: มีหลักฐ据 (Evidence) สำหรับ Forensics และ Root Cause Analysis
ประเภทของ Network Monitoring (ไม่ใช่ NSM แต่เกี่ยวข้อง)
- SNMP (Simple Network Management Protocol) - ดูสถานะอุปกรณ์ (CPU, Memory, Interface)
- ICMP (Internet Control Message Protocol) - Ping, Traceroute สำหรับ Reachability
- NetFlow / sFlow / IPFIX - Flow Data: Who, What, When, Where, How Much
- Packet Capture (PCAP) - Full Packet Inspection (Deep Packet Inspection - DPI)
- Log Aggregation - Syslog, Windows Events, Firewall Logs, Proxy Logs
เครื่องมือ NSM ยอดนิยม (Network Security Monitoring Tools)
| Tool | ประเภท | จุดเด่น | License |
|---|---|---|---|
| Zeek (formerly Bro) | Network Traffic Analysis (NTA) | Protocol Analysis, Extensible Scripting, High Performance | Open Source (BSD) |
| Suricata | IDS/IPS + NSM | Multi-threading, Rule-based (ET Rules), File Extraction | Open Source (GPL) |
| Wireshark | Packet Analyzer | Deep Packet Inspection, Troubleshooting, Forensics | Open Source (GPL) |
| Security Onion | Distro/Platform | All-in-one: Zeek, Suricata, Wazuh, Elastic, Kibana | Open Source |
| Elastic Stack (ELK) | Log Analytics & SIEM | Scalable, Flexible, Machine Learning | Open Source / Commercial |
| Splunk | SIEM / Log Platform | Enterprise-grade, SPL Query, Rich Ecosystem | Commercial |
| Corelight | NTA Appliance | Zeek-based Hardware/SaaS, Enterprise Support | Commercial |
| Darktrace / Vectra / ExtraHop | AI/ML NDR | Automated Threat Detection, Behavioral Analytics | Commercial |
Zeek (Bro) - มาตรฐานอุตสาหกรรมสำหรับ NSM
- เดิมชื่อ Bro เปลี่ยนชื่อเป็น Zeek ในปี 2018
- เป็น Network Traffic Analyzer ไม่ใช่ IDS/IPS แบบดั้งเดิม (ไม่ Block Traffic)
- แปลง Network Traffic เป็น Structured Logs (JSON/TSV) - 400+ fields, 35+ protocols
- รองรับ Protocol Analysis ลึก (HTTP, DNS, SSL/TLS, SMB, Kerberos, etc.)
- มี Scripting Language ทรงพลังสำหรับ Detection Logic แบบ Custom
- Log เหมาะสำหรับนำเข้า SIEM (Splunk, Elastic, Sentinel) หรือ Threat Hunting
- Open Source, ฟรี, ใช้งานได้บน Linux (Ubuntu, CentOS, RHEL)
Packet Capture (PCAP) ใน NSM
Packet Capture คือการจับแพ็กเก็ตข้อมูลทั้งหมดผ่านจุดหนึ่งของเครือข่าย (Full Packet Capture)
- Use Cases: Forensics, Malware Analysis, Protocol Debugging, Data Exfiltration Evidence
- Tools: tcpdump, Wireshark, Arkime (Moloch), ntopng, Corelight Sensors
- Challenge: Storage Volume, Encryption (TLS 1.3), Privacy, Legal Compliance
- Best Practice: Selective Capture (Port/Mirror), Retention Policy, Encryption Key Management
Security Monitoring ใน Cloud (Cloud Security Monitoring)
- Cloud-native: VPC Flow Logs, CloudTrail, GuardDuty (AWS), VPC Flow Logs + Security Command Center (GCP), NSG Flow Logs + Defender (Azure)
- Hybrid: Zeek/Suricata บน Cloud Instances, Cloud-native NDR (Corelight, ExtraHop Reveal(x) 360)
- Automation: SOAR, Lambda/Cloud Functions สำหรับ Auto-remediation
ข้อกำหนดขั้นต่ำของ Security Monitoring Program
- Data Collection: Logs, Flows, Packets, Endpoint Telemetry (EDR)
- Detection: Rules, Signatures, Anomaly Detection, Threat Intel Matching
- Alerting: Prioritization (Critical/High/Medium/Low), Enrichment, Deduplication
- Response: Playbooks, SOAR Integration, Containment Actions
- Reporting & Metrics: MTTD, MTTR, Coverage, False Positive Rate
- Continuous Improvement: Threat Hunting, Purple Teaming, Detection Engineering
คำถามที่พบบ่อย
❓ NSM แตกต่างจาก SIEM ยังไง?
NSM เน้น Network Traffic Analysis (Zeek, Suricata, PCAP) ส่วน SIEM เน้น Log Aggregation & Correlation ทั้งสองช่วยกันได้ (NSM Feeds SIEM)
❓ เริ่มต้น NSM ด้วยงบน้อย ยังไง?
ใช้ Security Onion (Free Distro) บน Server/VM หนึ่งเครื่อง Mirror Port (SPAN) จาก Core Switch มาที่ Sensor
❓ ต้องการ Programming Skill ไหม?
พื้นฐาน Python/Bash ช่วยมากสำหรับ Automation, Parsing, Detection Logic Zeek Scripting ใช้ได้ในภายหลัง
สรุป: NSM เป็น สายตาขององค์กร ไม่มี NSM = ทรายในตา ไม่รู้ว่าเกิดอะไรขึ้นในเครือข่าย เริ่มต้นได้ด้วย Open Source (Zeek, Suricata, Security Onion) และขยายต่อไปเรื่อยๆ
