IPS คืออะไร?
IPS (Intrusion Prevention System) = ระบบป้องกันการบุกรุกเครือข่าย เป็นเทคโนโลยีความปลอดภัยที่ ตรวจจับ และ ป้องกัน/บล็อก ภัยคุกคามเครือข่ายแบบ Real-time ต่างจาก IDS (Intrusion Detection System) ที่แค่เตือนเตือนเท่านั้น
🔍 IPS ทำงานอย่างไร?
1. ตรวจสอบแพ็กเก็ตแบบ Inline (อยู่ในเส้นทางข้อมูล)
IPS นั่งอยู่ ในเส้นทางข้อมูล (Inline) ทุกแพ็กเก็ตต้องผ่าน IPS ก่อนถึงปลายทาง ทำให้สามารถ Drop (ทิ้ง) หรือ Reset Connection ได้ทันที
2. วิธีตรวจจับ (Detection Methods)
| วิธี | คำอธิบาย | ข้อดี | ข้อจำกัด |
|---|---|---|---|
| Signature-based | เปรียบเทียบแพ็กเก็ตกับฐานข้อมูลลายเซ็นภัยคุกคามที่รู้จัก (Signature Database) | แม่นยำสำหรับภัยคุกคามที่รู้จัก, False Positive น้อย | จับ Zero-day / Unknown attacks ไม่ได้ |
| Anomaly-based | เรียนรูปแบบปกติ (Baseline) แล้วเตือน/บล็อกพฤติกรรมผิดปกติ | จับ Zero-day, Unknown attacks ได้ | False Positive สูง, ต้อง Train Baseline |
| Policy-based | บล็อกตามนโยบายที่ Admin กำหนด (เช่น ห้าม Torrent, ห้าม Proxy) | ควบคุมการใช้งานได้ชัดเจน | ต้องกำหนดนโยบายเอง |
| Reputation-based | บล็อก IP/Domain ที่มีชื่อเสียงแย่ (Threat Intelligence Feed) | บล็อก C2, Phishing, Malware Hosting ได้เร็ว | ต้องอัปเดต Feed ตลอดเวลา |
| ประเภท | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| NIPS (Network IPS) | ติดตั้งที่ Network Perimeter / Segment ตรวจสอบจราจรทั้งเซ그เมนต์ | Cisco Firepower, Palo Alto, FortiGate, Check Point |
| HIPS (Host IPS) | ติดตั้งบน Endpoint (Server/Workstation) ป้องกันระดับ OS/Application | CrowdStrike, SentinelOne, Trend Micro Apex One |
| WIPS (Wireless IPS) | ป้องกันโจมตี Wireless (Rogue AP, Deauth, Evil Twin) | Cisco Meraki, Aruba, FortiWiFi |
| Cloud IPS | Managed IPS บน Cloud (AWS GuardDuty, Azure Firewall, GCP Cloud Armor) | Managed Service, ไม่ต้องดูแล Hardware |
⚡ IPS vs IDS vs Firewall
| คุณสมบัติ | Firewall (Traditional) | IDS | IPS |
|---|---|---|---|
| ตำแหน่ง | Perimeter (Edge) | Out-of-band (Tap/SPAN) | Inline (In-path) |
| การตัดสินใจ | Rule-based (Port/IP/Protocol) | Detect & Alert | Detect & Prevent/Block |
| Stateful | ใช่ | บางตัว | ใช่ |
| Deep Packet Inspection | จำกัด | ใช่ | ใช่ (ลึกกว่า FW) |
| False Positive Impact | Block legitimate traffic | Alert fatigue | Block legitimate traffic (Critical!) |
| Performance Impact | ต่ำ | ไม่มี (Out-of-band) | มี (Latency, Throughput) |
🛡️ การติดตั้ง IPS แบบ Best Practice
- Monitor Mode ก่อน (IDS Mode) - ติดตั้งแบบ Out-of-band / Tap ก่อน 2-4 สัปดาห์ เพื่อปรับ Signature, Whitelist, Baseline
- Tuning Signatures - ปิด/ปรับ Severity ของ Signature ที่ทำ False Positive
- Whitelist - สร้าง Exception สำหรับ Internal Apps, Scanners, Backup
- เปลี่ยนเป็น Inline/Prevention - ค่อยๆ เปิด Block แบบเป็นขั้นตอน (Critical ก่อน)
- HA/High Availability - ต้องมี Failover เพื่อไม่ให้ Network Down
- Integration SIEM/SOAR - ส่ง Log ไป Correlate, Auto-response
💡 ข้อควรระวัง (Challenges)
- False Positive = Block Legitimate Traffic - ผลกระทบต่อ Business ความรุนแรง ต้อง Tuning อย่างต่อเนื่อง
- Performance / Latency - Inline inspection เพิ่ม Latency ต้องเลือก Hardware/Sizing ให้พอ
- Encrypted Traffic (TLS 1.3) - IPS ตรวจสอบ Payload ไม่ได้ ต้องทำ TLS Decryption (Privacy/Legal concerns)
- Evasion Techniques - Fragmentation, Encoding, Tunneling, Polymorphic Malware
- Cost - Hardware, License, Subscription, Manpower
🏷️ Vendor หลักในตลาด
- Enterprise: Palo Alto Networks, Cisco (Firepower/Secure Firewall), Fortinet (FortiGate), Check Point, Juniper (SRX)
- Open Source: Suricata, Snort (คุณสมบัติ IPS แบบ Inline)
- Cloud/Managed: AWS Network Firewall, Azure Firewall, Google Cloud Armor, Cloudflare WAF
- Endpoint/HIPS: CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Trend Micro
สรุป
IPS = IDS + Prevention (Inline Blocking) เป็นชั้นป้องกันที่สำคัญใน Defense-in-Depth จำเป็นต้อง Tuning อย่างต่อเนื่อง เพื่อลด False Positive และรักษา Performance ควรใช้ร่วมกับ Firewall, WAF, EDR, SIEM เพื่อความปลอดภัยแบบหลายชั้น
