Network Security คืออะไร?
Network Security (ความปลอดภัยเครือข่าย) คือชุดของมาตรการ นโยบาย กระบวนการ Hardware และ Software ที่ออกแบบมาเพื่อปกป้อง ความสมบูรณ์ (Integrity), ความลับ (Confidentiality), และ ความพร้อมใช้งาน (Availability) ของเครือข่ายและข้อมูล - ป้องกันไม่ให้เกิดการเข้าถึงโดยไม่ได้รับอนุญาต การใช้งานผิดวัตถุประสงค์ การเปิดเผย การแก้ไข หรือการทำลาย
3 หลักการหลัก (Core Principles - CIA Triad)
| หลักการ | คำอธิบาย | ตัวอย่างมาตรการ |
|---|---|---|
| Confidentiality (ความลับ) | ข้อมูลเข้าถึงได้เฉพาะผู้มีสิทธิ์ | Encryption (TLS, IPsec, AES), Access Control, VPN, DLP |
| Integrity (ความสมบูรณ์) | ข้อมูลไม่ถูกเปลี่ยนแปลงโดยไม่ได้รับอนุญาต | Hashing (SHA-256), Digital Signature, Certificate, IDS/IPS, FIM |
| Availability (ความพร้อมใช้งาน) | ระบบ/ข้อมูลพร้อมใช้งานเมื่อต้องการ | Redundancy, HA, DDoS Protection, Backup/DR, Load Balancing |
ประเภทมาตรการ Network Security (Types of Controls)
1. Preventive (ป้องกัน) - ก่อนเกิดเหตุการณ์
- Firewall (NGFW, WAF), NAC/802.1X, VPN, Email/Web Security Gateway
- Patch Management, Hardening, Secure Configuration
- Network Segmentation (VLAN, Micro-segmentation, Zero Trust)
2. Detective (ตรวจจับ) - ระหว่าง/หลังเกิดเหตุการณ์
- IDS/IPS (Snort, Suricata, Vendor NGFW)
- SIEM / Log Management (Splunk, Sentinel, Elastic)
- NDR (Network Detection & Response), NetFlow Analysis
- Threat Intelligence Feeds, UEBA (User Entity Behavior Analytics)
3. Corrective (แก้ไข/ฟื้นฟู) - หลังเกิดเหตุการณ์
- Incident Response Plan, Playbooks
- Backup & Disaster Recovery
- Malware Removal, System Reimaging
- Forensics & Root Cause Analysis
4. Deterrent (จี้จาง) - จำกัด
- Security Policies, Warning Banners, Legal Notices
- Honeypots / Deception Technology
5. Compensatory (ชดเชย) - แทนที่เมื่อมาตรการหลักไม่ได้
- Manual Monitoring แทน SIEM ที่ล่ม
- Compensating Controls สำหรับ Legacy Systems
เทคโนโลยี/โซลูชัน Network Security หลัก
| หมวดหมู่ | เทคโนโลยี/โซลูชัน | หน้าที่ |
|---|---|---|
| Perimeter/Network Firewall | Palo Alto, FortiGate, Check Point, Cisco Firepower, pfSense/OPNsense | ควบคุมトラฟฟิก In/Out, App-ID, User-ID, SSL Decrypt, IPS |
| Zero Trust / ZTNA | Zscaler, Cloudflare Access, Twingate, Tailscale, AWS Verified Access | Verify Explicitly, Least Privilege, No Implicit Trust |
| Network Segmentation | VLAN, VRF, Cisco ACI, VMware NSX, Illumio, Guardicore (Akamaicrosegmentation) | ลด Blast Radius, East-West Traffic Control |
| Secure Remote Access | SSL VPN, IPsec VPN, WireGuard, SASE (Cato, Netskope, Versa) | Remote Work, Site-to-Site, Cloud Connectivity |
| DDoS Protection | Cloudflare, AWS Shield, Akamai, Radware, Arbor | Volumetric, Protocol, Application Layer DDoS |
| DNS Security | Cisco Umbrella, Quad9, Cloudflare 1.1.1.1 for Families, Infoblox | Block Malicious Domains, C2, Phishing, DGAs |
| Email Security | Proofpoint, Mimecast, Microsoft Defender for Office 365, FortiMail | Anti-Phishing, Anti-Spam, Sandbox, DLP, BEC Protection |
| Web Proxy / SWG | Zscaler, Netskope, Forcepoint, McAfee Web Gateway, Menlo Security | URL Filtering, Malware Scan, DLP, SSL Inspection, RBI |
| NDR (Network Detection & Response) | Corelight, ExtraHop, Vectra AI, Darktrace, Awake Security | Behavioral Analytics, ML-based Threat Detection |
Network Security Best Practices (Top 10)
- Zero Trust Architecture: ไม่เชื่อใครโดยอัตโนมัติ Verify Every Request
- Network Segmentation: แยก Network ตามความสำคัญ/ฟังก์ชัน (DMZ, Server, User, IoT, OT, Guest)
- Encryption Everywhere: TLS 1.2+ สำหรับทุกการสื่อสาร, IPsec/WireGuard สำหรับ Site-to-Site
- Least Privilege Access: ให้สิทธิ์ต่ำสุดที่จำเป็น (Just-in-Time, PAM)
- Continuous Monitoring & Logging: SIEM + NDR + Threat Intel, Retention ≥ 1 ปี
- Automated Patch/Vuln Management: Scan ทุกสัปดาห์, Patch Critical ≤ 48 ชม.
- Strong Authentication: MFA บังคับทุกที่ (Phishing-resistant: FIDO2/WebAuthn)
- Secure Configuration Baselines: CIS Benchmarks, DISA STIGs, Vendor Hardening Guides
- Incident Response Readiness: Plan, Playbook, Tabletop Exercise ทุกไตรมาส
- Security Awareness Training: Phishing Simulation, Role-based Training, Continuous
ภัยคุกคามเครือข่ายที่พบบ่อย (Common Network Threats)
- Man-in-the-Middle (MitM) / ARP Spoofing / DNS Spoofing
- DDoS (Volumetric, Protocol, Application)
- Malware C2 Communication (Beaconing, DNS Tunneling)
- Lateral Movement (Pass-the-Hash, SMB Relay, RDP Brute-force)
- Data Exfiltration (DNS, HTTPS, Cloud Storage, Steganography)
- Ransomware Propagation (SMB/Wormable, e.g., WannaCry, NotPetya)
- Credential Stuffing / Password Spraying
- Supply Chain / Software Supply Chain Attacks
- IoT/OT Botnets (Mirai, Mozi)
- Insider Threats (Data Theft, Sabotage)
กรอบมาตรฐานและการปฏิบัติตาม (Frameworks & Compliance)
- NIST Cybersecurity Framework (CSF) 2.0: Identify, Protect, Detect, Respond, Recover, Govern
- ISO/IEC 27001:2022 - ISMS
- CIS Controls v8 (18 Controls)
- PCI DSS 4.0 - Payment Card Data
- GDPR, PDPA (Thailand), HIPAA, SOX - Data Privacy/Industry-specific
