Network Security Services คืออะไร?
Network Security Services หมายถึงชุดของบริการ ความสามารถ และกลไกที่ให้มาเพื่อ ปกป้องความสมบูรณ์ ความลับ และความพร้อมใช้งาน (CIA Triad) ของข้อมูลและการสื่อสารผ่านเครือข่าย ตามมาตรฐานระหว่างประเทศ (ISO 7498-2, ITU-T X.800, NIST SP 800-53, RFC 4949)
5 หมวดบริการความปลอดภัยหลัก (ISO 7498-2 / X.800)
| บริการ | ความหมาย | กลไก/โปรโตคอลตัวอย่าง |
|---|---|---|
| 1. Authentication (การยืนยันตัวตน) | ยืนยันตัวตนของ Entity (User, Device, Service) ก่อนอนุญาตให้เข้าถึง | Password, MFA, Certificate (PKI), Kerberos, RADIUS, TACACS+, SAML/OIDC, FIDO2/WebAuthn |
| 2. Access Control (การควบคุมการเข้าถึง) | จำกัดสิทธิ์การเข้าถึงทรัพยากรตาม Policy (Least Privilege, Zero Trust) | Firewall Rules, NAC (802.1X), RBAC/ABAC, PAM, ZTNA, Microsegmentation |
| 3. Data Confidentiality (ความลับของข้อมูล) | ป้องกันการเปิดเผยข้อมูลให้ผู้ไม่ได้รับอนุญาตทราบ | Encryption: TLS 1.3, IPsec (ESP), MACsec, WireGuard, SSH, AES-GCM, ChaCha20-Poly1305 |
| 4. Data Integrity (ความสมบูรณ์ของข้อมูล) | ป้องกัน/ตรวจจับการเปลี่ยนแปลง ข้อมูลระหว่างทางหรือขณะเก็บ | HMAC, Digital Signature, Hash (SHA-256/384/512), TLS/SSL, IPsec AH/ESP, Blockchain/Merkle Tree |
| 5. Non-Repudiation (การไม่สามารถปฏิเสธได้) | ให้หลักฐานว่าการกระทำเกิดขึ้นจริง และฝ่ายทำไม่สามารถปฏิเสธได้ | Digital Signature, Audit Logs (Immutable), Timestamping, Non-repudiation Receipts, Blockchain |
บริการเสริม (Additional Security Services)
- Availability Service: Redundancy, Failover, Load Balancing, DDoS Mitigation, Disaster Recovery
- Audit/Accountability: Logging, SIEM, Forensic Readiness, Compliance Reporting
- Privacy Protection: Data Minimization, Consent Management, Anonymization, DPIA
- Threat Intelligence: IOC Feeds, TIP, Threat Hunting, Attribution
Network Security Services ในแบบจำลอง OSI
| Layer | Security Services | โปรโตคอล/เทคโนโลยี |
|---|---|---|
| 7 Application | App Authentication, App-layer Encryption, WAF, API Security, DLP, Email Security | TLS, S/MIME, PGP, OAuth/OIDC, SAML, DNSSEC, DoH/DoT |
| 6 Presentation | Encryption, Compression, Serialization Security | TLS/SSL, ASN.1, Protobuf/gRPC Security |
| 5 Session | Session Management, Authentication, Key Exchange | TLS Handshake, IPsec IKEv2, SSH Key Exchange, Kerberos |
| 4 Transport | Segment Protection, Port Security | TLS (Record Layer), DTLS, QUIC/TLS 1.3, TCP-AO |
| 3 Network | Packet Filtering, Routing Security, IPsec | IPsec (AH/ESP), BGPsec, RPKI, SAVI, uRPF |
| 2 Data Link | Frame Protection, Port Security, MACsec | 802.1X, 802.1AE (MACsec), PVLAN, BPDU Guard |
| 1 Physical | Physical Security, TEMPEST, Fiber Security | Locked Racks, Conduit, Optical Encryption (Layer 1) |
การจัดหมวดหมู่ Network Security Services ตามการปฏิบัติ (Practical Categories)
- Perimeter Security Services: Border Firewall, DDoS Protection, Email/Web Gateway, DNS Security, VPN Concentrator
- Internal Network Security Services: Segmentation Firewall, East-West IPS/NDR, NAC, Microsegmentation, Deception
- Cloud Network Security Services: Cloud Firewall (AWS/Azure/GCP), GWLB, Security Groups, NACL, Cloud WAF, ZTNA
- Remote Access Security Services: ZTNA, SSL VPN, IPsec VPN, MFA, Device Posture Check, Clientless Access
- Data Protection Services: DLP (Network/Endpoint/Cloud), Encryption (Transit/Rest/Use), Key Management, Tokenization
- Monitoring & Analytics Services: SIEM, SOAR, NDR, XDR, UEBA, Threat Intelligence Platform
- Vulnerability & Compliance Services: Vulnerability Scanning, Configuration Audit, Compliance Automation, Penetration Testing
- Identity & Access Services: IAM, PAM, SSO, MFA, Identity Governance (IGA), Directory Services (AD/Azure AD/FreeIPA)
มาตรฐานและกรอบงานที่เกี่ยวข้อง
- ISO/IEC 27001:2022 Annex A Controls (A.5-A.8: Organizational, People, Physical, Technological)
- NIST Cybersecurity Framework (CSF) 2.0: Govern, Identify, Protect, Detect, Respond, Recover
- NIST SP 800-53 Rev. 5: Security & Privacy Controls (AC, SC, SI, CM, AU, IA, MP, PE, PL, PM, RA, SA, SR)
- NIST SP 800-207: Zero Trust Architecture
- PCI-DSS 4.0: Requirements 1-12 (Network Security: Req 1, 2, 4, 7, 8, 10, 11, 12)
- CIS Controls v8: IG1/IG2/IG3 — Network Infrastructure Management (Control 4, 11, 12, 13)
- MITRE ATT&CK + D3FEND: Threat-informed Defense
ตัวอย่างการประยุกต์ใช้ (Use Cases)
| Scenario | Network Security Services ที่เกี่ยวข้อง |
|---|---|
| Remote Workforce Access | ZTNA, MFA, Device Posture, Split Tunnel, DLP, Logging → SIEM |
| Multi-Cloud Connectivity | Transit Gateway, Cloud Firewall, IPsec/Geneve, Centralized Policy, Encryption |
| Ransomware Protection | Segmentation, EDR, Backup (Immutable), Network Monitoring (NDR), IR Playbook |
| PCI-DSS Compliance | CDE Segmentation, Firewall Rules Review, TLS 1.2+, PAN Encryption, Log Retention, ASV Scan |
| IoT/OT Security | Purdue Model, Passive Monitoring, Anomaly Detection, Microsegmentation, Patch Mgmt |
| Supply Chain Security | SBOM, SCA, Vendor Risk Assessment, Third-party Access Control (ZTNA), Contractual Security |
Network Security Services vs Network Security Products
- Services: ความสามารถ/ฟังก์ชันที่ให้บริการ (เช่น "Authentication Service", "Encryption Service") — อาจมาจาก Product, Managed Service, หรือ Cloud Service
- Products: ซอฟต์แวร์/ฮาร์ดแวร์ที่ Implement Services (เช่น Palo Alto Firewall → ให้ Firewall, IPS, URL Filtering, SSL Decrypt Services)
- Managed Security Services (MSS/MDR): ผู้ให้บริการดูแล Security Services ให้ (Managed Firewall, Managed SIEM, MDR, Penetration Testing as a Service)
สรุป
Network Security Services = 5 Core Services (Auth, Access Control, Confidentiality, Integrity, Non-Repudiation) + Supplementary Services ที่ทำงานร่วมกันทุก Layer ของ OSI ตาม Standards (ISO, NIST, PCI) — การ Deploy ต้องใช้ Defense in Depth + Zero Trust + Automation เพื่อให้ครอบคลุม Hybrid/Cloud/Remote Workforce ในยุคปัจจุบัน
