home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

แนวคิดพื้นฐานของความปลอดภัยเครือข่าย (Network Security Concepts) — CIA Triad, Defense in Depth, Zero Trust

🎯 3 หลักการศูนย์กลาง (CIA Triad) — หัวใจของ Information Security

  1. Confidentiality (ความลับ) — ข้อมูลเข้าถึงได้เฉพาะผู้ได้รับอนุญาต
    → Encryption (TLS, IPsec, AES), Access Control (RBAC, ABAC), Classification, DLP
  2. Integrity (ความสมบูรณ์) — ข้อมูลไม่ถูกเปลี่ยนแปลง/ทำลายโดยไม่ได้รับอนุญาต
    → Hashing (SHA-256), Digital Signature, FIM (File Integrity Monitoring), Version Control, Blockchain
  3. Availability (ความพร้อมใช้งาน) — ระบบ/ข้อมูลพร้อมใช้งานเมื่อต้องการ
    → HA/Clustering, Load Balancing, DDoS Protection, Backup/DR, Redundancy, Patch Management

ขยายเป็น 5 Pillars (CNSS Model): + Authenticity (ความแท้จริง) + Non-repudiation (ไม่สามารถปฏิเสธได้)

🏰 Defense in Depth (纵深防御) — หลายชั้น หลายระดับ

ไม่พึ่ง "กำแพงเดียว" — วาง Control หลายชั้น:

  1. Physical: Lock, Biometric, Camera, Mantrap, Cable Lock
  2. Perimeter: Firewall, IPS, DDoS Protection, Email/Web Gateway
  3. Network: Segmentation (VLAN, Micro-seg), NAC, IDS/IPS, VPN/ZTNA, DNS Security
  4. Host/Endpoint: EDR/XDR, Antivirus, Patch Mgmt, App Control, Disk Encryption, TPM
  5. Application: WAF, API Security, Secure Coding (SAST/DAST/IAST), DevSecOps
  6. Data: Encryption (At Rest/In Transit), DLP, Rights Management, Backup, Tokenization
  7. People/Policy: Awareness Training, Phishing Sim, Policy/Procedure, GRC, Audit

🚫 Zero Trust Architecture (ZTA) — แนวคิดสมัยใหม่

"Never Trust, Always Verify" — ไม่ไว้ใจ Network Location (Inside/Outside)

7 Tenets (NIST SP 800-207):

  1. All data sources and computing services are resources
  2. All communication is secured regardless of network location
  3. Access to resources is granted on a per-session basis
  4. Access determined by dynamic policy (Identity, Device, Environment, Behavior)
  5. Enterprise monitors and measures integrity/security of all assets
  6. Authentication and authorization are dynamic and strictly enforced
  7. Collect as much info as possible to improve security posture

🔐 การจัดการตัวตนและสิทธิ์ (Identity & Access Management - IAM)

  • Authentication (AuthN): MFA, Passwordless (FIDO2/WebAuthn), Certificate, Kerberos, SAML/OIDC
  • Authorization (AuthZ): RBAC, ABAC, PBAC, Just-In-Time (JIT), Least Privilege
  • Accounting/Audit: Logging, SIEM, UEBA, Compliance Reporting
  • PAM (Privileged Access Management): Vault, Session Recording, Checkout/Checkin, MFA

⚔️ Threat Modeling & Risk Management

STRIDE Model (Microsoft):

  • Spoofing (ปลอมตัวตน)
  • Tampering (แก้ไขข้อมูล)
  • Repudiation (ปฏิเสธการกระทำ)
  • Information Disclosure (รั่วไหลข้อมูล)
  • Denial of Service (ปฏิบัติการไม่ได้)
  • Elevation of Privilege (เพิ่มสิทธิ์ผิดปกติ)

Risk = Likelihood × Impact

Risk Treatment: Avoid, Mitigate, Transfer, Accept

📡 Network Security Concepts เฉพาะด้าน

แนวคิดคำอธิบายเทคโนโลยี/มาตรฐาน
Segmentationแบ่งเครือข่ายย่อย จำกัด Blast RadiusVLAN, VRF, Micro-segmentation (Illumio, Cisco ACI), Zero Trust Segmentation
Encryption in Transitปกป้องข้อมูลระหว่างทางTLS 1.3, IPsec, MACsec, WireGuard, QUIC
Encryption at Restปกป้องข้อมูลเก็บไว้AES-256, LUKS, BitLocker, FileVault, Cloud KMS/HSM
Intrusion Detection/Preventionตรวจจับ/บล็อกการโจมตีNIDS/NIPS (Suricata, Snort, Zeek), HIDS (Wazuh), NDR
Secure Remote Accessเข้าถึงจากนอกปลอดภัยZTNA, VPN (WireGuard, IPsec), SASE, SDP
Threat Intelligenceข้อมูลภัยคุกคามล่าสุดSTIX/TAXII, MISP, Commercial Feeds (CrowdStrike, Mandiant, IBM X-Force)

📋 Governance, Risk, Compliance (GRC)

  • Frameworks: NIST CSF, ISO 27001, CIS Controls, COBIT, PCI-DSS, GDPR, PDPA (ไทย)
  • Policies: Acceptable Use, Access Control, Incident Response, Data Classification, Encryption
  • Metrics: KRI (Key Risk Indicators), KPI (Key Performance Indicators), Maturity Model (CMMI, NIST)

🌐 Networking Concepts พื้นฐาน (ที่ Security Professional ต้องรู้)

  • OSI/TCP-IP Model (Layer 1-7) — Security Controls อยู่ Layer ไหน?
  • TCP/IP, UDP, ICMP, DNS, DHCP, BGP, OSPF, VLAN, VXLAN
  • Subnetting, CIDR, NAT, PAT, Proxy, Load Balancer
  • Wireless: 802.11 a/b/g/n/ac/ax/be, WPA2/WPA3, 802.1X/EAP
  • Cloud Networking: VPC, Subnet, SG, NACL, Transit Gateway, Private Link

💡 สรุป: Mindset ของ Network Security Professional

  1. Assume Breach — สมมติว่าโดนแฮกแล้ว → จะ Detect/Contain ยังไง?
  2. Least Privilege — ให้สิทธิ์น้อยที่สุดที่ทำงานได้
  3. Defense in Depth — หลายชั้น ไม่พึ่งอย่างเดียว
  4. Zero Trust — ไม่ไว้ใจ Network Location
  5. Continuous Monitoring & Improvement — ไม่มี "เสร็จสิ้น" มีแค่ "ดูแลต่อไป"