ระดับและประเภทของความปลอดภัยเครือข่าย (Network Security Levels & Types): คู่มือครบถ้วน
🎯 สรุปเร็ว: ไม่มี "ระดับมาตรฐานเดียว" ที่ทุกคนตกลงกัน
แนวคิด "Level" ของ Network Security ขึ้นอยู่กับกรอบงาน (Framework) ที่ใช้อ้างอิง เช่น:
- NIST CSF - Tier 1 (Partial) → Tier 4 (Adaptive)
- CMMC - Level 1 → Level 5 (DoD)
- ISO 27001 - ไม่มี Level แต่มี Control Sets
- Zero Trust Maturity Model (CISA) - Traditional → Advanced → Optimal
- Purdue Model (OT/ICS) - Level 0-5
🏗️ มุมมองที่ 1: ชั้นสถาปัตยกรรมเครือข่าย (Network Architecture Layers - 3-Tier)
มักใช้ในการออกแบบ Campus/Data Center Network:
| Layer | ชื่อ | หน้าที่ | Security Controls |
|---|
| Core | Core Layer | Backbone ความเร็วสูง เชื่อม Distribution | High-throughput Firewall, DDoS Protection, Segmentation |
| Aggregation/ Distribution | Distribution Layer | Routing, Policy Enforcement, QoS | L3 Firewall, ACL, Route Filtering, TrustSec/SGT |
| Edge/Access | Access Layer | ต่ออุปกรณ์ปลายทาง (User, IoT, Server) | 802.1X, MAB, Port Security, DHCP Snooping, DAI, Wireless Security |
🛡️ มุมมองที่ 2: ประเภทการควบคุมความปลอดภัย (Security Control Categories - 3 ประเภทหลัก)
ตาม NIST SP 800-53 / ISO 27001:
| หมวดหมู่ | คำอธิบาย | ตัวอย่าง |
|---|
| Management (Administrative) | นโยบาย กระบวนการ การบริหาร | Security Policy, Risk Assessment, Training, Incident Response Plan, Access Review |
| Operational (Technical/Logical) | ควบคุมโดยระบบ/ซอฟต์แวร์ | Firewall, IPS/IDS, AV/EDR, Encryption, MFA, SIEM, Vulnerability Scanning, Patch Management |
| Physical | ควบคุมทางกายภาพ | Door Lock, CCTV, Biometric, Rack Lock, Cable Management, Environmental Controls |
🔧 มุมมองที่ 3: ประเภทเทคโนโลยี/โซลูชัน Network Security (Solution Types)
มักจัดกลุ่มเป็น 4-5 หมวดใหญ่:
- Perimeter/Network Edge Security
- Next-Gen Firewall (NGFW)
- Intrusion Prevention System (IPS)
- DDoS Protection
- VPN Gateway (SSL/IPsec)
- Network Visibility & Monitoring
- Network Detection & Response (NDR)
- Network Traffic Analysis (NTA)
- Flow Analysis (NetFlow/IPFIX)
- Packet Capture (PCAP) / Forensics
- Access Control & Segmentation
- Network Access Control (NAC) / 802.1X
- Micro-segmentation (SDN-based: Cisco ACI, VMware NSX, Illumio)
- Zero Trust Network Access (ZTNA)
- Software-Defined Perimeter (SDP)
- Threat Prevention & Response
- Sandbox / Malware Analysis
- Threat Intelligence Platform (TIP)
- SOAR (Security Orchestration, Automation & Response)
- Deception Technology
- Data Protection on Network
- Data Loss Prevention (DLP) - Network DLP
- Email Security Gateway
- DNS Security (DNSSEC, DoH/DoT, Protective DNS)
- SSL/TLS Inspection
📊 มุมมองที่ 4: OSI Model Security (7 Layers)
การป้องกันทุกเลเยอร์ (Defense in Depth):
| OSI Layer | Security Controls |
|---|
| 7 Application | WAF, API Security, App Firewall, DLP, Secure Coding |
| 6 Presentation | TLS/SSL, Encryption, Encoding Validation |
| 5 Session | Session Management, Auth Tokens, RPC Control |
| 4 Transport | Port Filtering, TCP/UDP Inspection, Load Balancer Security |
| 3 Network | Firewall (L3/L4), Routing Security (RPKI, BGPsec), IPsec, VRF |
| 2 Data Link | Port Security, MACsec, VLAN, STP Security, DHCP Snooping, DAI |
| 1 Physical | Port Lock, Fiber Security, TEMPEST, Cable Management |
🎯 มุมมองที่ 5: ระดับความสุข (Security Maturity Levels)
ใช้ประเมินองค์กร (NIST CSF Tiers / CMMC / Zero Trust Maturity):
| ระดับ | ลักษณะ | Network Security |
|---|
| 1. Initial / Partial | Ad-hoc, Reactive, ไม่มีกระบวนการ | Firewall แบบพื้นฐาน ไม่มี Log ไม่มี Segmentation |
| 2. Managed / Risk Informed | มีกระบวนการ พบปัญหาได้ บางส่วนอัตโนมัติ | NGFW, Central Log, Basic Segmentation, Vuln Scan 定期 |
| 3. Defined / Repeatable | กระบวนการมาตรฐาน วัดได้ ซ้ำได้ | NDR, NAC, Micro-seg, Threat Intel, Auto Response, Red Team |
| 4. Quantitatively Managed / Adaptive | ใช้ Metrics/Analytics ทำนาย/ปรับตัวได้ | AI/ML Analytics, Continuous Verification, Zero Trust, Predictive |
🌐 มุมมองที่ 6: โมเดล Purdue (สำหรับ OT/ICS/SCADA)
| Level | ชื่อ | ตัวอย่าง | Security Focus |
|---|
| 0 | Physical Process | Sensors, Actuators, PLC I/O | Physical Security, Safety Systems |
| 1 | Basic Control | PLC, DCS, RTU | Firmware Integrity, Secure Config |
| 2 | Area Supervisory | SCADA, HMI, Historian | Network Segmentation, App Whitelisting |
| 3 | Operations Management | MES, LIMS, Batch Control | DMZ, Data Diode, Secure Remote Access |
| 4 | Business Logistics | ERP, Email, Web | IT/OT Separation, Firewall, Monitoring |
| 5 | Enterprise | Corporate Network, Cloud | Standard Enterprise Security |
⚔️ ภัยคุกคามเครือข่ายหลัก (Top Network Threats)
- Malware/Ransomware - ลงผ่าน Email, Web, USB, Exploit
- Phishing/Social Engineering - Credential Theft, Initial Access
- DDoS - Volumetric, Protocol, Application Layer
- Man-in-the-Middle (MitM) - ARP Spoofing, DNS Hijack, SSL Strip
- Lateral Movement - Pass-the-Hash, SMB Relay, RDP Abuse
- Data Exfiltration - DNS Tunneling, Cloud Storage, Encrypted Channels
- Insider Threat - Malicious/Negligent/Compromised
- Supply Chain / Zero-Day - SolarWinds, Log4j, VPN Vulns
✅ 5 ส่วนประกอบจำเป็นของ Network Service Security
- Identification & Authentication - รู้ว่าใคร/อะไรกำลังเข้าถึง (User, Device, App, Service)
- Perimeter Security - กำแพงป้องกันขอบเครือข่าย (Firewall, IPS, DDoS)
- Data Protection - เข้ารหัส (Encryption), DLP, Classification
- Security Monitoring - SIEM, NDR, Log Analysis, Alerting, Threat Hunting
- Policy Management - Unified Policy, Automation, Compliance, Audit
สรุป
"ระดับความปลอดภัยเครือข่าย" ไม่มีคำตอบเดียว ขึ้นอยู่กับมุมมอง: สถาปัตยกรรม (3-Tier), ประเภทควบคุม (Admin/Technical/Physical), โซลูชัน (5 หมวด), OSI Layer (7 Layers), ความสุของค์กร (Maturity), หรือ Purdue Model (OT) องค์กรที่แข็งแกร่งจะครอบคลุมทุกมุมมอง ด้วยแนวคิด Defense in Depth (纵深防御) และพัฒนาสู่ Zero Trust Architecture
