คำจำกัดความ
System Security (ความปลอดภัยระบบ/คอมพิวเตอร์)
มุ่งเน้น การปกป้องอุปกรณ์ปลายทาง (Endpoints) เช่น เซิร์ฟเวอร์, วอร์กสเตชัน, โน้ตบุ๊ค, มือถือ, IoT Devices
- การควบคุมการเข้าถึง (Access Control, Authentication, MFA)
- การจัดการ Patch/Update (OS, Applications, Firmware)
- Anti-Malware/EDR/XDR
- Disk Encryption (BitLocker, FileVault, LUKS)
- Application Whitelisting/Control
- Hardening (CIS Benchmarks, STIGs)
- Endpoint Detection & Response (EDR)
- Data Loss Prevention (DLP) บน Endpoint
Network Security (ความปลอดภัยเครือข่าย)
มุ่งเน้น การปกป้องโครงสร้างพื้นฐานเครือข่ายและข้อมูลระหว่างการส่ง
- Firewall (Next-Gen, WAF, Cloud Firewall)
- IDS/IPS (Intrusion Detection/Prevention Systems)
- Network Segmentation (VLAN, Micro-segmentation, Zero Trust)
- VPN, Zero Trust Network Access (ZTNA)
- DDoS Protection
- DNS Security (DNSSEC, DNS Filtering)
- Email Security Gateway
- Web Proxy / Secure Web Gateway (SWG)
- Network Access Control (NAC)
- Wireless Security (WPA3, 802.1X)
ตารางเปรียบเทียบ
| มิติ | System Security | Network Security |
|---|---|---|
| ขอบเขต | อุปกรณ์เดี่ยว (Host/Endpoint) | โครงสร้างเครือข่าย, การสื่อสารระหว่างอุปกรณ์ |
| จุดมุ่งหมาย | ปกป้อง OS, Apps, Data บนอุปกรณ์ | ปกป้อง Traffic, Infrastructure, Perimeter |
| ภัยคุกคามหลัก | Malware, Exploits, Insider, Physical Theft, Privilege Escalation | Network Attacks, MITM, DDoS, Lateral Movement, Data Exfiltration |
| เครื่องมือหลัก | AV/EDR, Patch Mgmt, Encryption, Hardening | Firewall, IDS/IPS, Segmentation, VPN, NAC |
| มุมมอง | "Inside-Out" (จากภายในออก) | "Outside-In" และ "East-West" (ข้ามเครือข่าย) |
| ตัวอย่างการโจมตี | Ransomware บน Laptop, Local Privilege Escalation | Port Scanning, SQL Injection ผ่าน WAF, DDoS |
ความสัมพันธ์และการทับซ้อน (Overlap)
ในความเป็นจริง ทั้งสองไม่สามารถแยกจากกันได้:
- Host-based Firewall = System Security ที่ทำหน้าที่ Network Security
- EDR ตรวจจับ Lateral Movement (Network Behavior) บน Endpoint
- NAC ตรวจสอบ Posture ของ Endpoint (System Health) ก่อนปล่อยเข้ Network
- Zero Trust รวมทั้งสอง: Verify Device Health (System) + Verify Network Context (Network)
- Micro-segmentation บังคับ Policy ระดับ Workload (System) ผ่าน Network Fabric
ประเภทย่อยของความปลอดภัย
ประเภทของ Network Security
- Access Control: NAC, 802.1X, ZTNA
- Threat Prevention: Firewall, IPS, Anti-DDoS, WAF
- Network Monitoring: IDS, NDR (Network Detection & Response), NetFlow Analysis
- Data Protection: Encryption (IPsec, TLS, MACsec), DLP Network
- Infrastructure Security: Router/Switch Hardening, BGP Security (RPKI), DNSSEC
- Cloud Network Security: Security Groups, NACLs, Service Mesh (Istio), CNI Plugins
ประเภทของ System/Computer Security
- Physical Security: Locks, Biometrics, Cable Locks, Secure Facilities
- OS Security: Hardening, Patch Management, Audit Policies, Secure Boot
- Application Security: Secure Coding, SAST/DAST/IAST, Runtime Protection (RASP)
- Data Security: Encryption (At Rest, In Use), DLP, Key Management (HSM/KMS)
- Identity & Access: MFA, PAM (Privileged Access Management), SSO
- Endpoint Protection: AV, EDR, XDR, App Control, USB Control
มาตรฐานและกรอบงาน (Frameworks)
| Framework | เน้น | ความเกี่ยวข้อง |
|---|---|---|
| NIST CSF | Identify, Protect, Detect, Respond, Recover | ครอบคลุมทั้ง System และ Network |
| NIST 800-53 | Security Controls Catalog | Controls สำหรับทั้ง System และ Network |
| ISO 27001/27002 | ISMS (Information Security Management) | Management Level, ครอบคลุมทั้งสอง |
| CIS Controls | Prioritized Best Practices | Controls 1-6 เน้น System, 7-16 เน้น Network/Data |
| MITRE ATT&CK | Adversary TTPs | Techniques ครอบคลุม Enterprise (Network + Endpoint + Cloud) |
| Zero Trust (NIST 800-207) | Never Trust, Always Verify | รวม Device Trust (System) + Network Context |
Cybersecurity vs Computer Security vs Information Security
- Information Security (InfoSec): กว้างที่สุด - ปกป้องข้อมูลทุกรูปแบบ (ดิจิทัล/กระดาษ/ปากต่อปาก) CIA Triad
- Computer Security: ปกป้องอุปกรณ์คอมพิวเตอร์ (Hardware + Software + Data บนเครื่อง)
- Cybersecurity: ปกป้องระบบเชื่อมต่ออินเทอร์เน็ต/ไซเบอร์สเปซ (Network + Systems + Applications + Users) - สมัยใหม่ใช้คำนี้แทน InfoSec บ่อย
- Network Security: ส่วนย่อยของ Cybersecurity เน้น Infrastructure และ Traffic
สรุป
System Security = ปกป้อง "บ้าน" (อุปกรณ์)
Network Security = ปกป้อง "ถนนและประตู" (เครือข่าย)
องค์กรสมัยใหม่ต้องการ Unified Approach: XDR (Extended Detection & Response), SASE (Secure Access Service Edge), Zero Trust Architecture ที่รวม Endpoint, Network, Cloud, Identity, Data เข้าด้วยกัน เพราะ Hacker ไม่แยกโจมตี "แค่ระบบ" หรือ "แค่เครือข่าย" พวกเขาโจมตี "องค์กร"
