ทำไมความปลอดภัยเครือข่ายจึงสำคัญสำหรับ Wireless Network (Wi-Fi) โดยเฉพาะ
เครือข่ายไร้สาย (Wireless/Wi-Fi) แตกต่างจาก Wired (สายลวด) อย่างจริงจัง: สัญญาณกระจายในอากาศ (Broadcast Medium) ใครก็ตามที่อยู่ในรัศมี สามารถ "ฟัง" หรือ "ส่ง" สัญญาณได้ → ความเสี่ยงสูงกว่า Wired มาก
ความเสี่ยงเฉพาะของ Wireless Network
| ความเสี่ยง | คำอธิบาย | ผลกระทบ |
|---|---|---|
| Eavesdropping / Sniffing | ดักฟังแพ็กเก็ตข้อมูลผ่านอากาศ (Promiscuous Mode) | ขโมย Credentials, Session Cookies, ข้อมูลส่วนตัว, ข้อมูลธุรกิจ |
| Man-in-the-Middle (MitM) | แฮกเกอร์แทรกตัวระหว่าง Client ↔ AP (Evil Twin, ARP Spoofing, DNS Hijacking) | ขโมย/แก้ไขข้อมูล, Redirect ไป Phishing, Inject Malware |
| Unauthorized Access | เชื่อมต่อ Wi-Fi โดยไม่ได้รับอนุญาต (Crack WPA2, WPS Brute-force, Default Creds) | ใช้ Bandwidth ฟรี, โจมตีเครือข่ายภายใน, ทำผิดกฎหมายผ่าน IP ของเรา |
| Rogue Access Point | AP ปลอม (Pineapple, ESP32) ทำให้ Client ต่อผิดที่ | Credential Harvesting, Malware Delivery, Tracking |
| Deauthentication / DoS | ส่ง Deauth Frame ให้ Client หลุดการเชื่อมต่อ (802.11w ไม่บังคับ) | Service Disruption, บังคับให้ต่อ Rogue AP |
| Wardriving / Warwalking | ขับรถ/เดินหา Wi-Fi ที่เปิด/อ่อนแอ → Map บน Wigle.net | Target Selection สำหรับการโจมตีภายหลัง |
ทำไม WEP/WPA เก่า จึงอันตราย?
- WEP: แกะได้ในไม่กี่นาที (RC4 Weak IV, Key Reuse) - ห้ามใช้
- WPA-TKIP: มีช่องโหว่ (Beck-Tews, Ohigashi-Morii) - Deprecated
- WPA2-PSK (AES): ปลอดภัยพอใช้งาน แต่มี KRACK Attack (Key Reinstallation) - ต้อง Patch
- WPA3 (SAE): ปลอดภัยที่สุดปัจจุบัน (Forward Secrecy, Anti-Brute-force, Protected Management Frames)
มาตรการป้องกันที่จำเป็น (Defense in Depth for Wi-Fi)
1. Encryption & Authentication (Layer 1)
- ใช้ WPA3-Personal (SAE) หรือ WPA2-AES (CCMP) เท่านั้น
- Enterprise: WPA3-Enterprise / WPA2-Enterprise (802.1X/EAP-TLS/PEAP) + RADIUS
- ปิด WPS (Wi-Fi Protected Setup) - PIN Brute-force ได้
2. Network Segmentation (Layer 2)
- แยก Guest Wi-Fi (Isolated VLAN) ไม่เข้าถึง Internal Network
- แยก IoT/OT VLAN (Client Isolation, No Internet หรือ Limited)
- Corporate Wi-Fi → 802.1X + NAC (Posture Check, Cert-based Auth)
3. Monitoring & Detection (Layer 3)
- WIPS/WIDS: Wireless IPS/IDS (Detect Rogue AP, Deauth Flood, Anomalies)
- RF Spectrum Analysis: หา Interference, Unauthorized Transmitters
- Client Profiling: รู้จัก Device ทุกตัวบน Network (MAC, Vendor, OS, Behavior)
4. Physical & Operational (Layer 4)
- วาง AP ให้ครอบคลุมพื้นที่ที่ต้องการเท่านั้น (Tx Power Control)
- ปิด SSID Broadcast (ไม่เพิ่มความปลอดภัยมาก แต่ลด Visibility)
- เปลี่ยน Default Credentials ของ AP/Controller ทุกตัว
- Firmware Update เป็นประจำ (Security Patches)
กรณีพิเศษ: Enterprise vs Home/SMB
| มาตรการ | Home/SMB | Enterprise |
|---|---|---|
| Encryption | WPA3 / WPA2-AES | WPA3-Ent / WPA2-Ent (802.1X) |
| Authentication | PSK (Shared Secret) | EAP-TLS (Cert) / PEAP-MSCHAPv2 |
| Segmentation | Guest Network (Built-in) | VLAN + NAC + Micro-seg + SASE |
| Monitoring | Router Logs / App | WIPS/WIDS + SIEM + SOAR |
| Management | Standalone / Cloud App | Central Controller (Cloud/On-prem) |
สรุป
Wireless Security สำคัญกว่า Wired เพราะ Medium = Air (Shared, Broadcast) ไม่มี Physical Boundary ต้องใช้ WPA3/WPA2-AES + Segmentation + Monitoring + Hardening เป็น Baseline ขั้นต่ำ Enterprise ต้องขึ้น級ไป 802.1X + NAC + WIPS + Zero Trust Network Access
