ความแตกต่างหลัก: Cloud Security vs Traditional Network Security
| มิติ | Traditional Network Security | Cloud Security |
|---|---|---|
| Architecture | Perimeter-based (Castle-and-Moat) ไฟร์วอลล์ขอบเครือข่าย | Zero Trust / Identity-based ไม่มีขอบเขตชัดเจน |
| Control | ควบคุม Hardware, Network, OS, App เองทั้งหมด | Shared Responsibility Model (แบ่งผิดชอบกับ CSP) |
| Infrastructure | On-premise: Server, Switch, Router, FW จริง | Virtualized: SDN, VPC, Security Groups, NACL |
| Visibility | เห็น Traffic ทั้งหมดในเครือข่าย | ขึ้นอยู่กับ CSP: VPC Flow Logs, CloudTrail, GuardDuty |
| Scalability | ซื้อ Hardware, Rack, Power, Cooling เอง | Elastic: Scale up/down ในนาที จ่ายตามใช้ |
| Threat Surface | คงที่ ค่อนข้างควบคุมได้ | Dynamic: API, Containers, Serverless, SaaS Apps |
Shared Responsibility Model (AWS/Azure/GCP)
- CSP (Cloud Service Provider): Security OF the Cloud (Physical DC, Network, Hypervisor, Host OS)
- Customer: Security IN the Cloud (Guest OS, App, Data, IAM, Network Config, Encryption)
Cloud Network Security Components
- Security Groups (Instance-level Firewall, Stateful)
- Network ACLs (NACL) (Subnet-level, Stateless)
- VPC / VNet (Isolated Network Segment)
- WAF (Web Application Firewall) (Layer 7 Protection)
- DDoS Protection (AWS Shield, Azure DDoS Protection)
- Private Link / Private Endpoint (No Internet Traversal)
- Transit Gateway / Virtual WAN (Hub-Spoke Connectivity)
- Cloud-Native Tools: GuardDuty, Security Hub, Defender for Cloud, SCC
Cloud Security ไม่ได้ "ปลอดภัยกว่า" อัตโนมัติ
ข้อผิดพลาดทั่วไป: "Cloud ปลอดภัยกว่า On-prem"
ความจริง: Cloud ให้เครื่องมือที่ดีกว่า แต่มีความซับซ้อนสูงขึ้น (Misconfiguration = #1 Cause of Breaches)
- On-prem: คุณควบคุมทั้งหมด → ผิด = คุณ
- Cloud: คุณตั้งค่าผิด (Public S3, Open SG, No MFA) → ผิด = คุณ (CSP ไม่รับผิด)
เมื่อไหร่ควรเลือก Cloud / On-prem / Hybrid?
- Cloud: Startup, Scalability, Global Reach, DevOps, Cost Flexibility
- On-prem: Regulatory (Data Sovereignty), Legacy Apps, Ultra-low Latency, Full Control
- Hybrid: ส่วนใหญ่ของ Enterprise จริง (AD Connect, ExpressRoute, Direct Connect, VPN)
Trend: Cloud-Native Security (2024+)
- CNAPP (Cloud-Native Application Protection Platform): รวม CSPM, CWPP, CIEM, IaC Scanning
- Shift Left Security: Scan IaC (Terraform, CloudFormation) ใน CI/CD Pipeline
- eBPF / Runtime Security: มองเห็น Container/K8s Runtime Behavior
- AI/ML for Threat Detection: UEBA, Anomaly Detection ใน Cloud Scale
