โซนความปลอดภัย (Security Zones) คืออะไร?
โซนความปลอดภัยคือการแบ่งเครือข่ายออกเป็นกลุ่ม (Segments) ที่มีนโยบายควบคุมการเข้าถึง (Access Control Policies) เหมือนกัน โดยทั่วไปใช้ IP Address หรือ Subnet ในการกำหนดขอบเขตของแต่ละโซน
โซนความปลอดภัย 4 ระดับหลัก
| โซน | ชื่อเรียก | ระดับความไว้วางใจ | ตัวอย่าง |
|---|---|---|---|
| 1 | Uncontrolled / Public Zone | ต่ำสุด (Untrusted) | Internet, Public Wi-Fi |
| 2 | Controlled Zone | ปานกลาง | Intranet, DMZ (Demilitarized Zone) |
| 3 | Restricted Zone | สูง | Database Server, Financial Systems |
| 4 | Management / Secure Zone | สูงสุด (Highly Trusted) | Management Network, Security Appliances, Admin Workstations |
โซนใน Firewall (Firewall Security Zones)
- แต่ละ Interface ของ Firewall ต้องถูกกำหนดให้อยู่ในโซนหนึ่งโซน
- Traffic ระหว่างโซนต้องผ่าน Firewall Policy (Inter-zone Policy)
- Traffic ภายในโซนเดียวกัน (Intra-zone) อาจผ่านได้โดยไม่ตรวจสอบ (ขึ้นอยู่กับการตั้งค่า)
- Logging และ Monitoring ทำตามโซน
โซน 3 โซนแบบคลาสสิก (Classic 3-Zone Model)
- Inside / Trusted / Private: เครือข่ายภายในองค์กร (LAN, User Network)
- Outside / Untrusted / Public: อินเทอร์เน็ต
- DMZ / Public Zone: เซิร์ฟเวอร์ให้บริการสาธารณะ (Web, Mail, DNS) - แยกจาก Inside
ขั้นตอนการกำหนดค่า Security Zones
- ระบุทรัพยากรและระดับความเสี่ยง: จัดกลุ่มเซิร์ฟเวอร์/อุปกรณ์ตามความสำคัญและความละเอียดอ่อน
- ออกแบบโซน: กำหนดจำนวนโซน ชื่อโซน และนโยบายพื้นฐาน (Default Deny)
- กำหนด IP Subnet ให้แต่ละโซน: ใช้ VLAN หรือ Physical Interface แยก
- ตั้งค่า Firewall Policy ระหว่างโซน: Allow เฉพาะที่จำเป็น (Least Privilege) Log ทุกการปฏิเสธ
- ตั้งค่า NAT (ถ้าจำเป็น): Source NAT สำหรับ Outbound, Destination NAT สำหรับ Inbound to DMZ
- ทดสอบและตรวจสอบ: Penetration Test, Traffic Simulation, Log Review
- บันทึกเอกสารและดูแลรักษา: Network Diagram, Policy Document, Review ทุก 6-12 เดือน
Internet Explorer Security Zones (สำหรับ Client-side)
IE/Edge ใช้ 4 โซนสำหรับเว็บไซต์: Internet, Local Intranet, Trusted Sites, Restricted Sites แต่ละโซนมีระดับความปลอดภัย (Security Level) แตกต่างกัน
Security Zoning (การแบ่งโซน) แนวคิด
แบ่งระบบทรัพยากรเป็นสับเซ็ตตามระดับความเสี่ยง ใช้ Firewall หรือการควบคุมอื่นๆ จำกัดผลกระทบของเหตุการณ์ (Blast Radius) ให้อยู่ภายในโซนเดียว
