home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

ทำไม Firewall เพียงอย่างเดียวจึงไม่เพียงพอสำหรับความปลอดภัยเครือข่าย

Firewall: จำเป็นแต่อยู่ไม่ได้

Firewall เป็นควบคุมการเข้าออกของ Traffic ตามกฎ (Rules/Policies) เป็น เส้นป้องกันแรก (First Line of Defense) ที่สำคัญที่สุด แต่มัน ไม่เพียงพอ ที่จะปกป้องเครือข่ายในยุคปัจจุบันด้วยตัวมันเอง

ทำไม Firewall เพียงอย่างเดียวจึงไม่พอ? (10+ เหตุผล)

1. Firewall ไม่บล็อก Malware ที่อยู่ใน Traffic ที่ "ถูกต้อง" (Allowed Traffic)

  • Firewall อนุญาต Traffic ตาม Port/Protocol/IP (เช่น Allow HTTPS 443)
  • Malware, Ransomware, C2 Traffic, Data Exfiltration สามารถซ่อนอยู่ใน HTTPS Traffic ที่ถูกต้อง (Encrypted)
  • Firewall แบบเดิม (Stateless/Stateful) ดู Header เท่านั้น ไม่ Inspect Payload ลึก

2. ไม่มีความสามารถ Inspect Encrypted Traffic (SSL/TLS Inspection)

  • 80%+ ของ Web Traffic เป็น HTTPS (TLS 1.2/1.3)
  • Firewall ต้องทำ SSL Decryption/Inspection จึงจะเห็น Payload
  • SSL Inspection: ซับซ้อน, ใช้ทรัพยากรมาก, ปัญหา Certificate Pinning, Privacy/Compliance Issues
  • โดยไม่ Decrypt → Firewall มองไม่เห็นภัยคุกคามใน Encrypted Channel

3. ไม่ป้องกัน DNS-based Attacks และ Data Exfiltration via DNS

  • DNS Tunneling: ใช้ DNS Query/Response ขโมยข้อมูลหรือ C2
  • DNS over HTTPS (DoH) / DNS over TLS (DoT): Bypass Firewall DNS Policy
  • Firewall แบบเดิมไม่ Inspect DNS Payload ลึก

4. ไม่จัดการได้กับ Insider Threats และ Compromised Credentials

  • พนักงานที่มีสิทธิ์เข้าถึง (Legitimate Access) ขโมยข้อมูล → Firewall อนุญาต (Authorized User)
  • Credential Theft (Phishing, Keylogger) → แฮกเกอร์เข้าด้วย Identity ที่ถูกต้อง → Firewall ไม่บล็อก
  • ต้องการ: UEBA, DLP, CASB, Zero Trust, PAM

5. ไม่ป้องกัน Application Layer Attacks (Layer 7)

  • SQL Injection, XSS, CSRF, RCE, API Abuse, Business Logic Flaws
  • Firewall แบบเดิมทำงาน Layer 3/4 (IP, Port, Protocol)
  • ต้องการ: WAF (Web Application Firewall), API Gateway, RASP

6. ไม่จัดการได้กับ Lateral Movement ภายในเครือข่าย

  • เมื่อโจมตีเข้าได้แล้ว (Initial Access) → Move Laterally (SMB, RDP, WMI, SSH, Kerberos)
  • Firewall Perimeter ไม่อยู่ภายในเพื่อดู East-West Traffic
  • ต้องการ: Network Segmentation, Micro-segmentation, Internal Firewalls, NDR, EDR

7. ไม่มี Visibility และ Context เพียงพอ

  • Firewall Logs: Source IP, Dest IP, Port, Action (Allow/Deny) - ขาด Context
  • ไม่รู้: User Identity, Device Posture, Process, File Hash, MITRE ATT&CK Mapping
  • ต้องการ: SIEM, XDR, NDR, Asset Inventory, Threat Intelligence

8. ไม่ป้องกัน Zero-day และ Unknown Threats

  • Signature-based Firewall/IPS ตรวจจับได้แค่ Known Threats
  • Zero-day, Novel Malware, Fileless, Living-off-the-land (LOLBins) → Bypass
  • ต้องการ: Behavioral AI/ML, Sandbox, Threat Hunting, Deception

9. Configuration Drift และ Human Error

  • Firewall Rules: Shadowed, Redundant, Overly Permissive (Any/Any Allow)
  • Misconfiguration = #1 Cause of Cloud Breaches
  • Rule Bloat: หลายพันกฎ ไม่มีใคร Review/Recertify

10. Cloud, Remote Work, IoT/OT ทำให้ Perimeter เสียหาย

  • No Clear Perimeter: Cloud (AWS/Azure/GCP), SaaS, Remote Users, IoT, OT
  • Firewall On-prem ไม่ครอบคลุม Cloud Workloads / SaaS / Remote Users
  • ต้องการ: SASE/SSE (ZTNA, SWG, CASB, FWaaS), Cloud Firewall, CSPM, CWP

Firewall ทำได้อะไร? (สิ่งที่ Firewall ทำได้ดี)

  • ✅ Network Access Control (Allow/Deny by IP, Port, Protocol, Zone)
  • ✅ Basic IPS/IDS (Known Signatures)
  • ✅ NAT, VPN Termination
  • ✅ DDoS Protection (Volumetric, Protocol)
  • ✅ Geo-blocking, Reputation-based Blocking
  • ✅ Traffic Logging (NetFlow, Syslog) สำหรับ SIEM
  • ✅ Segmentation (DMZ, VLAN, Zone-based Policy)

Security Stack ที่ครบถ้วน (Defense in Depth) - Firewall เป็นเพียงชิ้นส่วนหนึ่ง

┌─────────────────────────────────────────────────────────────┐
│                    PERIMETER LAYER                          │
│  Next-Gen Firewall + DDoS Protection + Threat Intel Feed   │
├─────────────────────────────────────────────────────────────┤
│                    NETWORK LAYER                            │
│  Segmentation (VLAN/Zones) + Internal FW + NDR + DNS Sec   │
├─────────────────────────────────────────────────────────────┤
│                    ENDPOINT LAYER                           │
│  EDR/XDR + AV/NGAV + App Control + Disk Encryption + Patch │
├─────────────────────────────────────────────────────────────┤
│                    APPLICATION LAYER                        │
│  WAF + API Gateway + RASP + Secure Coding + SAST/DAST/SCA  │
├─────────────────────────────────────────────────────────────┤
│                    DATA LAYER                               │
│  DLP + Encryption (At Rest/In Transit) + Tokenization      │
├─────────────────────────────────────────────────────────────┤
│                    IDENTITY LAYER                           │
│  IAM/IdP + MFA (FIDO2/Passkeys) + PAM + Zero Trust (ZTNA)  │
├─────────────────────────────────────────────────────────────┤
│                    VISIBILITY & OPERATIONS                  │
│  SIEM/SOAR + XDR + Threat Hunting + Vuln Mgmt + IR Plan    │
└─────────────────────────────────────────────────────────────┘

แนวทางปัจจุบัน: SASE / SSE / Zero Trust

  • SASE (Secure Access Service Edge): รวม Network (SD-WAN) + Security (FWaaS, SWG, CASB, ZTNA) ใน Cloud
  • SSE (Security Service Edge): Security Half ของ SASE (ไม่รวม SD-WAN)
  • Zero Trust Network Access (ZTNA): ไม่ไว้ใจ Network Location ใดๆ Verify Identity + Device Posture + Context ทุก Request
  • Identity as the New Perimeter: Credential + Device = Access Decision

สรุป

Firewall จำเป็นแต่ไม่เพียงพอ มันคือ "ประตูหน้า" ที่ดี แต่บ้านยังต้องมี: ล็อกประตูใน (Segmentation), ระบบเตือน (EDR/NDR/SIEM), ผู้เฝ้าบ้าน (SOC/Analyst), กุญแจอัจฉริยะ (MFA/Passwordless), แผนฉุกเฉิน (IR Plan) และจิตสำนึกความปลอดภัย (Culture) Defense in Depth + Zero Trust = แนวทางที่ถูกต้อง