home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

วิธี Hardening (เสริมสร้างความแข็งแกร่ง) ความปลอดภัยเครือข่าย

Network Hardening คืออะไร?

Network Hardening (การเสริมสร้างความแข็งแกร่งเครือข่าย) คือกระบวนการลดพื้นที่โจมตี (Attack Surface) และลดช่องโหว่ของโครงสร้างพื้นฐานเครือข่าย โดยการปิดช่องทางที่ไม่จำเป็น ตั้งค่าความปลอดภัยที่เข้มงวด และบังคับใช้หลักการ Least Privilege และ Defense in Depth

ขั้นตอนการ Hardening เครือข่าย (Network Hardening Checklist)

1. Perimeter & Border Hardening (ขอบเขตเครือข่าย)

  • Firewall Rules: Default Deny (Block All) → Allow เฉพาะที่จำเป็น (Allowlist)
  • Block High-risk Ports: 23 (Telnet), 135/139/445 (SMB/RPC), 3389 (RDP), 5900 (VNC) จาก Internet
  • Geo-blocking: บล็อกประเทศที่ไม่ทำธุรกิจ (High-risk Regions)
  • DDoS Protection: On-premise (Arbor, Radware) หรือ Cloud (Cloudflare, AWS Shield, Azure DDoS)
  • VPN Hardening: MFA บังคับ, Certificate-based Auth, Split Tunneling = Disable, Idle Timeout, Posture Check

2. Network Segmentation & Micro-segmentation (การแบ่งส่วนเครือข่าย)

  • Macro-segmentation (VLANs/Zones): DMZ, Server Farm, Database, User/Client, Guest, IoT/OT, Management, Backup
  • Inter-zone Firewalling: Firewall/ACL ระหว่าง Zone ทุกคู่ (Zero Trust: Verify ทุก Hop)
  • Micro-segmentation: Host-level (VM/Container/Pod) ใช้ NSX, ACI, Illumio, Calico, Cilium
  • Jump Hosts / Bastion Hosts / PAM: จำกัดการเข้าถึง Management Plane

3. Network Device Hardening (Router, Switch, Firewall, Wireless Controller)

  • Disable Unused Services: Telnet, HTTP, SNMP v1/v2c, CDP, LLDP, NTP (ถ้าไม่ใช้), DNS Proxy, DHCP (บนอุปกรณ์ที่ไม่ใช่ DHCP Server)
  • Management Plane Protection:
    • SSH v2 Only (Disable SSH v1, Telnet)
    • HTTPS Only (Disable HTTP)
    • Management ACL / Control Plane Policing (CoPP)
    • Out-of-Band Management (OOB) Network แยกต่างหาก
  • Strong Authentication: Local User + AAA (RADIUS/TACACS+), MFA สำหรับ Admin Access
  • Role-Based Access Control (RBAC): Privilege Levels, Command Authorization
  • Logging & Monitoring: Syslog → SIEM, SNMP Traps, NetFlow/IPFIX, Enable Audit Logs
  • Time Synchronization: NTP Authenticated (เพื่อ Log Correlation)
  • Firmware/OS Updates: รอบระยะเวลาที่กำหนด, Test ก่อน Production, Rollback Plan
  • Configuration Backup & Version Control: Git/Config Repo, Automated Backup
  • Secure Protocols: SNMPv3 (Auth+Priv), SSH, HTTPS, SFTP/SCP, IPsec สำหรับ Management Traffic

4. Wireless Hardening

  • WPA3-Enterprise (802.1X/EAP-TLS) สำหรับ Corporate / WPA3-Personal สำหรับ SOHO
  • Disable: WEP, WPA-TKIP, WPS, P2P (Wi-Fi Direct)
  • Protected Management Frames (PMF / 802.11w): Required
  • Rogue AP Detection & Containment: WIPS/WIDS
  • Guest Network: VLAN แยก, Client Isolation, Rate Limit, Captive Portal, Time/Bandwidth Quota
  • Enterprise: Certificate-based Auth (EAP-TLS), No PSK

5. Traffic Encryption & Inspection

  • Encrypt In Transit: IPsec (Site-to-Site), TLS 1.2/1.3 (All Web/App), MACsec (802.1AE) สำหรับ Link-level
  • SSL/TLS Inspection: Decrypt → Inspect → Re-encrypt (CA จำเป็น, Privacy/Legal Considerations)
  • DNS over HTTPS (DoH) / DNS over TLS (DoT): ควบคุมผ่าน Enterprise Resolver (ไม่ปล่อยให้ User ใช้ Public DoH หลบเลี่ยง Policy)

6. Monitoring, Detection & Response

  • Network Detection & Response (NDR): ExtraHop, Vectra, Darktrace, Corelight - East-West Visibility
  • Flow Analysis: NetFlow/sFlow/IPFIX → Collector (ElastiFlow, ntopng, Splunk, Graylog)
  • Threat Intelligence Integration: Block Known Bad IPs/Domains (STIX/TAXII, MISP, Commercial Feeds)
  • Automated Response (SOAR): Quarantine Host, Block IP, Reset Session

7. IPv6 Hardening (มักถูกมองข้าม)

  • Disable IPv6 หากไม่ใช้ (หรือ Hardening เหมือน IPv4)
  • RA Guard (Router Advertisement Guard) ป้องกัน Rogue RA
  • DHCPv6 Guard, ND Inspection, Source Guard
  • IPv6 Firewall Rules (ip6tables, NGFW IPv6 Policy)

8. Cloud & Hybrid Network Hardening

  • Cloud Firewall / Security Groups: Default Deny, Least Privilege Rules
  • VPC/VNet Segmentation: Public/Private/Protected Subnets
  • Private Link / Private Endpoints / VPC Endpoints (No Internet Gateway)
  • Transit Gateway / Virtual WAN Hub Security
  • CSPM (Cloud Security Posture Management): Continuous Compliance

Framework และมาตรฐานอ้างอิง

  • CIS Controls v8: Control 4 (Secure Configuration), Control 12 (Network Infrastructure), Control 13 (Network Monitoring)
  • NIST SP 800-53 Rev 5: SC-7 (Boundary Protection), SC-10 (Network Disconnect), CM-7 (Least Functionality)
  • NIST SP 800-41 Rev 1: Guidelines on Firewalls and Firewall Policy
  • STIGs (Security Technical Implementation Guides): DISA STIGs สำหรับ Network Devices, OS, Apps
  • CIS Benchmarks: Hardening Guides สำหรับ Cisco, Juniper, Palo Alto, Fortinet, Linux, Windows, Kubernetes

การตรวจสอบและยืนยัน (Validation)

  • Vulnerability Scanning: Nessus, Qualys, OpenVAS - Scan Network Devices
  • Configuration Audit: Nipper, Batfish, ciscoconfparse, Ansible Network Validation
  • Penetration Testing: External, Internal, Wireless, Cloud
  • Breach & Attack Simulation (BAS): AttackIQ, SafeBreach, Cymulate - Continuous Validation
  • Compliance Reporting: PCI-DSS, HIPAA, NERC CIP, ISO 27001

สรุป

Network Hardening ไม่ใช่งานครั้งเดียว แตเป็น กระบวนการต่อเนื่อง (Continuous Process) เริ่มจาก Inventory & Baseline → Hardening (Config, Segment, Encrypt, Monitor) → Validate (Scan, Test, Audit) → Improve ใช้ Framework (CIS, NIST, STIG) และ Automation (Ansible, Terraform, GitOps) เพื่อความสม่ำเสมอและขยายได้