ปรับปรุงความปลอดภัย LAN / Domain Network: แนวทางปฏิบัติที่ดีที่สุด (Best Practices)

ทำไมต้อง Secure LAN / Domain Network?

LAN (Local Area Network) และ Active Directory Domain เป็น **หัวใจของโครงสร้างพื้นฐาน IT** ขององค์กร หากถูกเจาะ -> **Lateral Movement, Privilege Escalation, Data Exfiltration, RansomwarePropagation** เกิดขึ้นได้ง่าย

แนวทางปรับปรุง LAN/Domain Security (Layered Approach)

🔒 1. Network Segmentation & Micro-segmentation (สำคัญที่สุด)

• แบ่ง VLAN/Subnet ตาม Function: **Management, Servers, Users, Guests, IoT/OT, DMZ, Backup, PCI/DSS Scope**
• ใช้ **Inter-VLAN Firewall/ACL** ควบคุมการสื่อสารระหว่าง Segment (Least Privilege)
• Micro-segmentation (Cisco ACI, VMware NSX, Illumio, Guardicore) ระดับ Workload/Process
• **Zero Trust Network Access (ZTNA)** แทน VPN แบบเดิม

🔒 2. Harden Network Infrastructure Devices

• **เปลี่ยน Default Credentials** ทุกอุปกรณ์ (Switch, Router, Firewall, AP, Controller)
• **Disable Unused Services/Ports:** CDP, LLDP, HTTP, Telnet, SNMP v1/v2c, TFTP, Finger
• **Enable SSH v2 Only:** `ip ssh version 2`, Disable Telnet
• **SNMP v3 Only:** Auth + Privacy (AES/DES), Read-only Community String 複雜
• **NTP Authentication:** Sync เวลาจาก Trusted Source เท่านั้น
• **Control Plane Policing (CoPP):** ป้องกัน CPU Exhaustion Attack
• **Firmware/OS Updates:** ระยะสม่ำเสมอ (Monthly/Quarterly) ตาม Vendor Advisory

🔒 3. Secure Layer 2 (Switching Security)

• Port Security: Limit MAC Addresses/port, Violation Action (Shutdown/Restrict/Protect), Sticky MAC
• DHCP Snooping: Trusted Ports (Uplink/DHCP Server) Only, Prevent Rogue DHCP
• Dynamic ARP Inspection (DAI): Validate ARP Packets ผ่าน DHCP Snooping Database
• IP Source Guard: Prevent IP Spoofing (Validate Src IP/MAC/Port)
• BPDU Guard / Root Guard: ป้องกัน Rogue Switch/Root Bridge Election
• Storm Control: Limit Broadcast/Multicast/Unknown Unicast (Prevent Storm)
• Private VLANs: Isolate Ports ใน VLAN เดียวกัน (Shared Server/Guest)

🔒 4. Wireless Security (Enterprise Grade)

• WPA3-Enterprise (802.1X/EAP-TLS/PEAP): Certificate-based, No PSK
• WPA2-Enterprise (802.1X): ถ้ายังไม่รองรับ WPA3
• RADIUS Server (NPS, ISE, ClearPass, FreeRADIUS): Central Auth, Accounting, Posture Assessment
• Guest Network: Captive Portal + Isolation + Bandwidth Limit + Time Limit
• Rogue AP Detection / WIPS: Airwave, Cisco wIPS, Aruba RFProtect
• Disable WPS, WEP, TKIP, WPA (Legacy)

🔒 5. Active Directory / Identity Hardening (Domain Security)

• Tiered Administration (Tier 0/1/2): แยก Admin สำหรับ DC/Domain, Server, Workstation
• Protected Users Group / Authentication Policies: บังคับ Kerberos AES, Block NTLM, No Delegation
• LAPS (Local Admin Password Solution): Randomize Local Admin Password ทุกเครื่อง
• Disable/Restrict NTLM: Audit -> Restrict -> Block (Group Policy)
• Kerberos Armoring (FAST) / AES Encryption: บังคับ Encryption Type
• Group Policy Hardening: CIS Benchmarks / Microsoft Security Baselines
• AD Recycle Bin, Backup, Monitoring (Event ID 4740, 4625, 4768, 4769, 5136)
• Privileged Access Management (PAM) / Tier 0 Isolation: Bastion Forest / Azure AD PIM

🔒 6. Monitoring, Detection & Response

• Network Detection & Response (NDR): Zeek/Suricata/Corelight/ExtraHop/Darktrace - East-West Visibility
• SIEM Integration: Firewall, Switch, AD, DNS, DHCP, VPN, Proxy Logs -> Correlation Rules
• DNS Logging & Analysis: Detect DGA, C2, Tunneling, Fast Flux (Infoblox, Cisco Umbrella, Azure DNS Analytics)
• NetFlow/IPFIX/sFlow Collection: Traffic Baselining, Anomaly Detection (Kentik, ElastiFlow, ntopng)
• Deception Technology: Canary Tokens, Honeytokens, Honeypots (Thinkst Canary, Illusive, Attivo)

🔒 7. Physical & Environmental

• Server Room/IDF: Biometric Access, CCTV, Environmental Monitoring, Fire Suppression
• Port Locks (Unused Wall Jacks), Cable Management, Asset Tagging
• Console Access: Serial Console Server with Authentication/Logging

เครื่องมือช่วย Audit/Assessment

• Nmap/Nessus/OpenVAS: Network Vulnerability Scan
• BloodHound/SharpHound: AD Attack Path Analysis
• PingCastle/ADRecon/ForestDruid: AD Health & Risk Assessment
• CIS-CAT / Microsoft Security Baselines: Config Compliance Check
• PowerShell / PowerView / ADModule: AD Enumeration & Audit

คำถามที่พบบ่อย (FAQ)

LAN ปลอดภัยแค่ไหนถ้าไม่มี Internet?

**ไม่ปลอดภัย** Insider Threat, Compromised Device (USB/Phone), Supply Chain, Physical Access, Wireless Leakage -> ต้องมี Internal Segmentation & Monitoring

VLAN เพียงพอสำหรับ Segmentation ไหม?

**ไม่พอ** VLAN แค่ Broadcast Domain ต้องมี **Inter-VLAN Firewall/ACL** ควบคุม Traffic ระหว่าง VLAN (Zero Trust: Never Trust, Always Verify)

Port Security ควรตั้งค่า Violation Mode อะไร?

Shutdown (Default):** ปลอดภัยที่สุด แต่ทำให้ Port Down ต้อง `shutdown` -> `no shutdown` Manual | **Restrict:** Drop Violation Frames + Log + SNMP Trap (แนะนำ Production) | **Protect:** Drop Only (ไม่ Log)