System Hardening (การแข็งแกร่งระบบ) คืออะไร
System Hardening = กระบวนการลด Attack Surface (พื้นที่โจมตี) ของระบบ โดย:
- ปิด Port/Service/Protocol ที่ไม่ใช้
- ลบ Software/Account/Feature ที่ไม่จำเป็น
- ตั้งค่า Security Configuration ตาม Benchmark (CIS Benchmarks, STIG, Vendor Hardening Guide)
- Enforce Least Privilege, Disable Default Credentials, Enable Logging/Auditing
- Patch/Update Firmware, OS, Application
เป้าหมาย: ทำให้ระบบ "แข็งแกร่ง" ต่อการโจมตี ลดโอกาสถูก Compromise
ทำไม Hardening แล้ว ยังต้อง Network Security?
1. Hardening = Host-level, Network Security = Network-level (Layered Defense)
Defense in Depth (纵深防御) ต้องการการคุ้มครองหลายชั้น:
- Host/Endpoint: Hardening, EDR, AV, Patch, Config
- Network: Firewall, Segmentation, IDS/IPS, NDR, DDoS Protection, DNS Security
- Perimeter/Edge: WAF, Email Security, Web Proxy, CASB
- Identity: MFA, PAM, ZTNA, IdP
- Data: Encryption, DLP, Classification
Hardening เพียงอย่างเดียว = ไข่ในตะกร้าเดียว (Single Point of Failure)
2. Hardoning ไม่ป้องกัน Network-based Attacks ได้
| Attack Type | Hardening ช่วยได้ไหม? | ต้องใช้ Network Security |
|---|---|---|
| DDoS (Volumetric/Application) | ❌ ไม่ช่วย (Target Bandwidth/Connection Table) | DDoS Protection, Scrubbing Center, WAF Rate Limit |
| Man-in-the-Middle (ARP/DNS Spoof) | ❌ เกิดบน Network Layer | DAI, DHCP Snooping, DNSSEC, Encryption (TLS/IPsec) |
| Lateral Movement (Pass-the-Hash, SMB Relay) | ⚠️ ช่วยบ้าง (Restrict Admin Rights) | Micro-segmentation, NAC, EDR, PAM |
| Data Exfiltration (DNS Tunneling, HTTPS) | ❌ ไม่เห็น Traffic ออก | NDR, DLP, TLS Inspection, DNS Firewall |
| C2 Communication (Beaconing) | ❌ ไม่บล็อก Network Connection | Firewall Egress Filtering, Threat Intel, NDR |
| Zero-day Exploit (Unknown Vuln) | ❌ Patch ยังไม่มี | IPS/NDR Behavioral, Sandbox, Deception |
3. Shared Responsibility & Multi-tenancy
- Cloud/SaaS: Provider Hardening Infra, Customer ต้อง Secure Network Access (Security Groups, NACL, VPC, ZTNA)
- Shared Network: อื่นๆ บน Network เดียวอาจถูก Compromise → ต้องมี Segmentation/Encryption
4. Insider Threat & Compromised Credentials
Hardoning ไม่ป้องกัน: Legitimate User (Credential ถูกขโมย) ทำสิ่งผิดปกติ ต้องใช้: Zero Trust (Never Trust), UEBA, NAC, PAM, MFA — ทั้งหมดเป็น Network/Identity Security
5. Visibility & Detection (You Can't Protect What You Can't See)
- Hardening = Preventive (ลดโอกาส)
- Network Security = Detective + Responsive (NDR, SIEM, NetFlow, PCAP, Threat Hunting)
- โดยไม่มี Network Visibility → ไม่รู้ว่า Hardened Host ถูก Compromise แล้วหรือยัง
6. Compliance Requirements
PCI-DSS Req 1 (Firewall), Req 10 (Logging/Monitoring Network), Req 11 (IDS/IPS, Segmentation) — Hardening ไม่ครอบคลุม
Network Infrastructure Hardening = ส่วนหนึ่งของ Network Security
Network Devices (Router, Switch, Firewall, Load Balancer, Wireless Controller) ต้อง Hardening ด้วย:
- Disable Unused Ports/Services (Telnet, HTTP, SNMP v1/v2, CDP, LLDP)
- Strong Password, MFA, AAA (TACACS+/RADIUS), Role-based Admin Access
- Control Plane Policing (CoPP), BGPsec, RPKI
- Encrypted Management (SSH v2, HTTPS, SNMPv3, gNMI/gNOI)
- Firmware Update, Config Backup, Change Management
- Network Segmentation (VLAN, VRF, Micro-segmentation)
- Logging → SIEM (Syslog, NetFlow, sFlow, Streaming Telemetry)
สรุป: Hardening + Network Security = Better Together
| Dimension | System Hardening | Network Security |
|---|---|---|
| Focus | Host/Endpoint/Device Config | Traffic, Perimeter, Segmentation, Visibility |
| Primary Goal | Reduce Attack Surface (Preventive) | Protect, Detect, Respond (All Phases) |
| Scope | Single System | Entire Network Fabric |
| Key Tools | CIS Benchmarks, STIG, Ansible, SCCM | Firewall, IDS/IPS, NDR, NAC, ZTNA, DLP |
| Blind Spot | Network Attacks, Lateral Movement, DDoS | Host-level Vulns, App Logic Flaws |
Hardening เป็น Foundation (พื้นฐาน) — Network Security เป็น Shield & Radar (โล่และเร达) ต้องมีทั้งคู่
