เครื่องมือป้องกันเครือข่ายนอกจาก Firewall มีอะไรบ้าง

Firewall เพียงอย่างเดียวไม่เพียงพอ (Defense in Depth)

Firewall (แม้ Next-Gen) เป็น ชั้นป้องกันหนึ่งชั้น ไม่สามารถป้องกันภัยคุกคามทั้งหมดได้ โดยเฉพาะ:

• การโจมตีระดับ Application (SQLi, XSS, API Abuse)
• ภัยคุกคามภายใน (Insider Threats, Compromised Credentials)
• Zero-day Exploits ที่ Signature ยังไม่มี
• Encrypted Traffic (HTTPS) ที่ Firewall ถอดรหัสไม่ได้/ไม่ได้ตั้งค่า SSL Inspection
• Social Engineering / Phishing ที่หลอกมนุษย์ไม่ใช่ระบบ

เครื่องมือและวิธีการเสริม/แทนที่ Firewall

1. Zero Trust Network Access (ZTNA) - แทน VPN แบบดั้งเดิม

• หลักการ: Never Trust, Always Verify - ไม่อนุญาตการเข้าถึงโดยอัตโนมัติจาก Network Location
• ตัวอย่าง: Cloudflare Access (ZTNA), Twingate, Tailscale, Zscaler Private Access (ZPA), Netskope Private Access, Cisco Secure Access
• ประโยชน์: ไม่มี Network-level Access ทุก Request ต้อง Authenticate & Authorize

2. Micro-segmentation (East-West Traffic Control)

• ควบคุม Traffic ระหว่าง Workloads/Applications ภายใน Data Center/Cloud
• ตัวอย่าง: VMware NSX, Cisco ACI, Illumio (Akamaai), Guardicore, vShield
• ประโยชน์: จำกัด Blast Radius หากมีการแฮก 1 Server ไม่แพร่ไป Server อื่น

3. Software-Defined Perimeter (SDP)

• ซ่อนโครงสร้างพื้นฐาน (Dark Network) - ไม่มี Port เปิดให้สแกน
• Single Packet Authorization (SPA) ก่อนเปิด Port
• ตัวอย่าง: Cloudflare Access, Perimeter 81, Appgate SDP

4. Secure Access Service Edge (SASE) / Security Service Edge (SSE)

• รวม: SWG (Secure Web Gateway), CASB, ZTNA, FWaaS, DLP, RBI (Remote Browser Isolation)
• Delivered as Cloud Service - ไม่ต้อง Backhaul Traffic ไป Data Center
• ตัวอย่าง: Zscaler, Netskope, Palo Alto Prisma Access, Cato Networks, Cisco Umbrella/Secure Access, FortiSASE

5. Network Detection & Response (NDR)

• วิเคราะห์ Network Traffic (Mirrored/SPAN/TAP) ด้วย AI/ML หา Anomaly, C2, Lateral Movement
• ไม่ใช่ Inline (ไม่บล็อก) แต่ให้ Visibility และ Alert
• ตัวอย่าง: ExtraHop Reveal(x), Vectra AI, Darktrace, Corelight (Zeek-based), Arctic Wolf

6. Deception Technology (Honeypots, Decoys, Breadcrumbs)

• วาง Decoy Systems, Credentials, Shares, AD Objects ดึงดูด Attacker
• Early Detection, High-fidelity Alerts (Low False Positives)
• ตัวอย่าง: Attivo Networks (SentinelOne), Illusive Networks, TrapX, Acalvio, Thinkst Canary

7. Endpoint Detection & Response (EDR/XDR)

• ป้องกัน/ตรวจจับ/ตอบสนองบน Endpoint (Laptop, Server, Mobile)
• รวม NG-AV, Behavioral Analysis, Threat Hunting, Automated Response
• ตัวอย่าง: CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Cortex XDR, Elastic Security

8. Data Loss Prevention (DLP)

• Network DLP: ตรวจสอบ Traffic ออก (Email, Web, Cloud, FTP)
• Endpoint DLP: Clipboard, USB, Print, Screen Capture
• Cloud DLP: SaaS Apps (O365, Google Workspace, Slack, Salesforce)
• ตัวอย่าง: Forcepoint, Symantec/Broadcom, Digital Guardian, Nightfall, Microsoft Purview

9. Cloud-Native Security (Cloud ไม่มี Perimeter)

• CSPM (Cloud Security Posture Management): Wiz, Orca, Prisma Cloud, Lacework
• CWPP (Cloud Workload Protection Platform): Aqua, Sysdig, Prisma Cloud Compute
• CNAPP (Cloud-Native Application Protection Platform): รวม CSPM+CWPP+KSPM+DSPM
• KSPM (Kubernetes Security Posture Management): ARMO, KSOC, Datadog

10. Identity-Centric Security

• IAM/PAM: CyberArk, BeyondTrust, HashiCorp Boundary, Teleport
• Identity Threat Detection & Response (ITDR): Silverfort, Semperis, AuthMind
• Passwordless: FIDO2/WebAuthn, Passkeys, Certificate-based Auth

11. Secure DNS / Protective DNS

• บล็อก Malicious Domains ระดับ Resolver (Cisco Umbrella, Quad9, NextDNS, Cloudflare Gateway)
• ไม่ต้องติดตั้ง Agent บน Endpoint

12. Browser Isolation (RBI - Remote Browser Isolation)

• รัน Browser ใน Container แยก (Cloud/On-prem) สตรีม Pixel ให้ User
• Malicious Code ไม่ถึง Endpoint จริง
• ตัวอย่าง: Menlo Security, Ericom (Zscaler), Cloudflare Browser Isolation, Island

ตารางเปรียบเทียบ: Firewall vs Alternatives/Supplements

สรุป: สิ่งที่ควรมีนอกจาก Firewall

1. ZTNA/SASE สำหรับ Remote Access และ Cloud-First
2. EDR/XDR บนทุก Endpoint (Critical)
3. Micro-segmentation สำหรับ Data Center/Cloud Workloads
4. NDR สำหรับ Visibility ภายในเครือข่าย (East-West)
5. Identity Security (ITDR/PAM) เน้น Identity เป็น Perimeter ใหม่
6. Deception สำหรับ Early Warning คุณภาพสูง
7. Secure DNS ชั้นแรกที่ถูกและมีประสิทธิภาพ

ไม่มี Silver Bullet ต้องรวมกันเป็น Defense in Depth ให้ตรงกับ Threat Model, Budget, และความพร้อมขององค์กร