home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

Hardening ในความปลอดภัยเครือข่ายคืออะไร? ความหมาย ขั้นตอน และประโยชน์

Hardening (การแข็งแกร่งระบบ) ในความปลอดภัยเครือข่าย คืออะไร?

Hardening หรือ System Hardening คือกระบวนการลดช่องโหว่และพื้นที่โจมตี (Attack Surface) ของระบบเครือข่าย เซิร์ฟเวอร์ อุปกรณ์ และซอฟต์แวร์ โดยการปิดบริการที่ไม่จำเป็น แพทช์ช่องโหว่ ตั้งค่าความปลอดภัยให้แข็งแกร่ง และนำหลักการ Defense in Depth (การป้องกันหลายชั้น) ไปใช้

ประเภทของ Hardening

1. Network Device Hardening (การแข็งแกร่งอุปกรณ์เครือข่าย)

  • ปิดพอร์ตและบริการที่ไม่ใช้ (Telnet, HTTP, SNMP v1/v2, CDP, LLDP)
  • ใช้ SSH v2 แทน Telnet, HTTPS แทน HTTP
  • ตั้งค่า Password Policy แข็งแกร่ง, ใช้ AAA (RADIUS/TACACS+)
  • จำกัดการเข้าถึงการจัดการ (Management Plane) ด้วย ACL
  • เปิด Logging และส่งไป Syslog Server
  • ปิด IP Directed Broadcast, ICMP Redirect, Proxy ARP
  • ใช้ Control Plane Policing (CoPP) ป้องกัน DoS

2. Server/OS Hardening (การแข็งแกร่งเซิร์ฟเวอร์/ระบบปฏิบัติการ)

  • ลบ/ปิดบริการและแอปที่ไม่จำเป็น
  • อัปเดต Patch / Security Update เป็นประจำ
  • ตั้งค่า File Permissions, Registry Permissions ให้เหมาะสม (Least Privilege)
  • เปิด Firewall แบบ Host-based (Windows Firewall, iptables, nftables)
  • ตั้งค่า Account Lockout Policy, Password Complexity
  • ปิดบัญชี Guest, เปลี่ยนชื่อ Administrator
  • ใช้ BitLocker / LUKS เข้ารหัสดิสก์
  • Enable Audit Policy (Logon, Object Access, Policy Change)

3. Application Hardening

  • Secure Coding Practices (Input Validation, Output Encoding)
  • WAF (Web Application Firewall)
  • Dependency Scanning (SCA) สำหรับ Library ภายนอก
  • Runtime Application Self-Protection (RASP)

4. Database Hardening

  • ลบ Default Accounts, Sample Databases
  • ใช้ Parameterized Queries ป้องกัน SQL Injection
  • เข้ารหัสข้อมูลข้างใน (TDE) และข้อมูลระหว่างทาง (TLS)
  • จำกัดสิทธิ์ User ตามหลัก Least Privilege
  • Audit กิจกรรมสำคัญ (Failed Login, Schema Changes, Privilege Use)

5. Network Infrastructure Hardening

  • Segment เครือข่ายด้วย VLAN, Firewall Zone, Zero Trust
  • Port Security, DHCP Snooping, Dynamic ARP Inspection (DAI), IP Source Guard
  • BPDU Guard, Root Guard ป้องกัน STP Attack
  • Private VLAN สำหรับแยกเซิร์ฟเวอร์ใน DMZ เดียวกัน
  • 802.1X Network Access Control

ขั้นตอนการทำ Hardening (Framework)

  1. Assess: สแกนช่องโหว่ (Vulnerability Scan), Baseline Compliance (CIS Benchmarks, STIG)
  2. Plan: จัดลำดับความสำคัญตามความเสี่ยง (Risk-based)
  3. Implement: นำมาตรการไปปฏิบัติ (Automation ด้วย Ansible, SCCM, GPO)
  4. Verify: ทดสอบการทำงาน, Re-scan, Penetration Test
  5. Monitor & Maintain: Continuous Monitoring, Patch Management, Drift Detection

มาตรฐานและแนวทางปฏิบัติ (Benchmarks)

  • CIS Benchmarks - มาตรฐานที่นิยมใช้มากที่สุด (Windows, Linux, Kubernetes, Docker, Cloud, Network Devices)
  • NIST SP 800-53 / 800-123 - แนวทางรัฐบาลสหรัฐ
  • DISA STIG - มาตรฐานทหารสหรัฐ (เข้มงวดมาก)
  • ISO 27001 Annex A - มาตรฐานระหว่างประเทศ

ประโยชน์ของ Hardening

  • ลด Attack Surface → โจมตียากขึ้น
  • ป้องกันการโจมตีอัตโนมัติ (Automated Attacks, Bots)
  • ปฏิบัติตามข้อกำหนด (Compliance: PCI-DSS, HIPAA, GDPR, PDPA)
  • ลดผลกระทบเมื่อถูกเจาะ (Blast Radius) ด้วย Segmentation
  • เพิ่มความมั่นใจให้ผู้มีส่วนได้ส่วนเสีย

ตัวอย่างเครื่องมือช่วย Hardening

  • OpenSCAP / SCAP Scanner - ตรวจสอบ CIS Benchmarks
  • Lynis - Linux/Unix Auditing
  • Microsoft Baseline Security Analyzer (MBSA) / Windows Security Baselines
  • Ansible Hardening Roles - Automation
  • Nessus, OpenVAS, Qualys - Vulnerability Scanning

ข้อผิดพลาดที่พบบ่อย

  • Hardening ครั้งเดียว ไม่ Maintenance ต่อ
  • ปิดบริการจนแอปไม่ทำงาน (Break Functionality) → ต้อง Test ใน Staging ก่อน
  • ไม่มี Baseline → ไม่รู้ว่าเปลี่ยนอะไรไป
  • ลืม Hardening Layer 2 (Switch Port Security, DAI, DHCP Snooping)
  • ไม่ได้ Hardening Out-of-Band Management (iDRAC, iLO, IMM)