คำตอบสั้น: ทั้งคู่จำเป็น — ทำหน้าที่ต่างกันและเสริมกัน
ไม่ใช่เลือก "อย่างใดอย่างหนึ่ง" เพราะ Firewall และ Encryption แก้ปัญหาในมิติที่ต่างกัน และเป็นส่วนหนึ่งของกลยุทธ์ Defense in Depth
Firewall ทำหน้าที่อะไร? (การควบคุมการเข้าถึงและการตรวจสอบ Traffic)
- ควบคุม Traffic ระหว่างโซน: Allow/Deny/Inspect ตาม Policy (Source/Dest IP, Port, Application, User, Content)
- Stateful Inspection: ติดตามสถานะ Connection (TCP Handshake) — ป้องกัน Unsolicited Inbound Traffic
- Application Layer Inspection (Layer 7): รู้จัก Application (Facebook, BitTorrent, SQL, RDP) ไม่ใช่แค่ Port
- IPS/IDS Built-in: Signature-based + Behavioral/Anomaly Detection
- SSL/TLS Decryption: ถอดรหัสเพื่อตรวจสอบ Malware/Data Leak ใน Encrypted Traffic
- VPN Termination: จุดสิ้นสุด IPsec/SSL VPN สำหรับ Remote Access และ Site-to-Site
ประเภท Firewall 3 แบบหลัก
- Packet Filtering (Stateless): ดู Header (IP, Port) เท่านั้น — เร็ว แต่ไม่เห็น Context
- Stateful Inspection: ดู Header + Connection State — มาตรฐานปัจจุบัน
- Application Proxy / Next-Gen Firewall: Deep Packet Inspection (DPI) + App-ID + User-ID + Threat Prevention + SSL Decryption
Encryption ทำหน้าที่อะไร? (การปกป้องความลับและความสมบูรณ์ของข้อมูล)
- Data in Transit: TLS 1.2/1.3 (HTTPS, SMTPS, IMAPS), IPsec (VPN), SSH, WireGuard, MACsec (Layer 2)
- Data at Rest: Full Disk Encryption (BitLocker, LUKS, FileVault), Database Encryption, Backup Encryption
- Data in Use: Confidential Computing (Intel SGX, AMD SEV), Homomorphic Encryption (ใหม่)
- Integrity & Authenticity: Digital Signature, HMAC, Certificate (PKI), Code Signing
ตารางเปรียบเทียบ: Firewall vs Encryption
| มิติ | Firewall | Encryption |
|---|---|---|
| เป้าหมายหลัก | ควบคุมว่า "ใคร" เข้าถึง "อะไร" ได้บ้าง | ปกป้องว่า "ข้อมูล" ไม่ถูกอ่าน/แก้ไขระหว่างทาง |
| ทำงานที่ Layer | Layer 3, 4, 7 (Next-Gen) | Layer 2 (MACsec), 3 (IPsec), 4 (TLS), 7 (App-level) |
| ป้องกัน | Unauthorized Access, Malware C2, Data Exfiltration, Lateral Movement | Eavesdropping, MITM, Data Tampering, Credential Theft ใน Transit |
| มองเห็น Payload | ได้ ถ้าทำ SSL Decryption | ไม่ได้ (มันคือผู้เข้ารหัส) |
| Key Management | ไม่เกี่ยวข้องโดยตรง | สำคัญมาก: PKI, Key Rotation, HSM, Certificate Lifecycle |
| Performance Impact | Latency จาก Inspection (DPI, SSL Decrypt) | CPU Overhead (AES-NI ช่วยลด), Latency น้อยมาก |
วิธีเพิ่มความปลอดภัยเครือข่ายอย่างมีประสิทธิภาพ (Best Practices)
- Assess & Map: Asset Inventory, Network Topology, Data Flow Diagram
- Segment Network: VLAN/VRF/Microsegmentation (Zero Trust) — แยก IT/OT/Guest/IoT/Management
- Deploy Next-Gen Firewall: ที่ Perimeter และ Internal Segmentation Points — เปิด SSL Decryption, IPS, App-Control
- Encrypt All Traffic: TLS 1.2+ ทุกเว็บ/API, IPsec/WireGuard สำหรับ Site-to-Site, MACsec สำหรับ Backbone
- Strong Access Control: 802.1X (Wired/Wi-Fi), MFA บังคับ, PAM สำหรับ Privileged Access, Zero Trust Network Access (ZTNA)
- Hardening: ปิด Port/Service ไม่ใช้, Change Default Credentials, Disable Legacy Protocols (SMBv1, TLS 1.0/1.1, Telnet)
- Monitor & Detect: SIEM + Threat Intelligence, EDR/XDR, NDR (Network Detection & Response)
- Patch & Update: Firmware, OS, Application — Critical ≤ 48 hrs
- Backup & Recovery: 3-2-1 Immutable Backup, Test Restore Quarterly
- People & Process: Security Awareness, Incident Response Plan, Red Team/Blue Team Exercise
สรุป
Firewall = ประตูและเจ้าหน้าที่ตรวจคนเข้า-ออก (ควบคุมว่าใครเข้าได้/ไมได้, ตรวจสอบของที่นำเข้า)
Encryption = กล่องล็อกและรหัสลับสำหรับของมีค่า (ปกป้องข้อมูลไม่ถูกดู/แก้ไขระหว่างขนส่ง/เก็บ)
องค์กรที่ปลอดภัยจริงใช้ ทั้งคู่ร่วมกัน พร้อม Segmentation, MFA, Monitoring, และ Process ที่มั่นคง
