คำตอบสั้น: ไม่มีเวลาคงที่ ขึ้นอยู่กับบริบทและวิธีการประเมิน
การประเมินว่าอุปกรณ์ "ไม่เป็นภัยคุกคาม" (Non-threat / Trusted) ไม่ใช่เหตุการณ์ครั้งเดียวที่มีเวลาคงที่ แตเป็น กระบวนการต่อเนื่อง (Continuous Process) ประกอบด้วยหลายขั้นตอน:
⏱️ เวลาในแต่ละขั้นตอน (ประมาณการ)
| ขั้นตอนการประเมิน | เวลาประมาณ | คำอธิบาย |
|---|---|---|
| Network Access Control (NAC) - Posture Check | Real-time (วินาที-นาที) | ตรวจสอบ OS Version, Patch Level, AV Status, Encryption, Domain Join ก่อนอนุญาตเข้าถึง |
| Vulnerability Scan (Credentialed) | 15-60 นาที/อุปกรณ์ | สแกนช่องโหว่ลึกด้วย Credential (Tenable, Qualys, Rapid7, OpenVAS) |
| Agent-based Continuous Monitoring (EDR/XDR) | Real-time (ต่อเนื่อง) | CrowdStrike, SentinelOne, Defender for Endpoint - เฝ้าระวัง 24/7 |
| Threat Intelligence Reputation Check | Milliseconds | เช็ค IP/Domain/Hash กับ Threat Intel Feeds (AlienVault OTX, AbuseIPDB, VT) |
| Behavioral Analysis / UEBA Baseline | 7-30 วัน | สร้าง Baseline พฤติกรรมปกติ แล้วค่อย Detect Anomaly |
| Penetration Testing / Red Teaming | 1-4 สัปดาห์ | ทดสอบจริงโดย Ethical Hacker |
| Supply Chain / Vendor Risk Assessment | 2-8 สัปดาห์ | ประเมินความปลอดภัย Vendor, SBOM, Firmware Analysis |
| Zero Trust Verification (Continuous) | ทุก Request | Never Trust, Always Verify - ตรวจสอบทุกครั้งที่ Request Resource |
🔑 แนวคิดสำคัญ: "Trusted" ไม่ใช่สถานะถาวร
- Zero Trust Principle: "Never Trust, Always Verify" - ไม่มีอุปกรณ์ไหน "Trusted" แบบถาวร
- Continuous Verification: ยืนยันตัวตน, สภาพอุปกรณ์, Context ทุกครั้งที่ Request Access
- Risk-based Access: ระดับความเชื่อถือเปลี่ยนตาม Risk Score (Device Health, Location, Behavior, Threat Intel)
🛠️ เครื่องมือและเทคโนโลยีสำหรับการประเมิน
1. NAC (Network Access Control) - ประตูทางเข้า
- Cisco ISE, Aruba ClearPass, FortiNAC, Portnox, PacketFence
- ทำ Posture Assessment ก่อนให้เข้า Network
- Quarantine VLAN สำหรับอุปกรณ์ไม่ผ่านเกณฑ์
2. Vulnerability Management - หาช่องโหว่
- Tenable.io/SC, Qualys VMDR, Rapid7 InsightVM, Microsoft Defender Vulnerability Management
- Credentialed Scan = แม่นยำกว่า Non-credentialed มาก
- Prioritize ด้วย CVSS + EPSS + CISA KEV + Asset Criticality
3. EDR/XDR - เฝ้าระวัง Endpoint
- CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Trend Vision One
- Real-time Prevention, Detection, Response
- Rollback Ransomware, Forensics
4. NDR (Network Detection & Response) - เฝ้าระวัง Network
- Corelight (Zeek), Darktrace, Vectra AI, ExtraHop, Security Onion (Open Source)
- Network Traffic Analysis, Encrypted Traffic Analysis, Lateral Movement Detection
5. Threat Intelligence Platform (TIP)
- MISP (Open Source), Anomali, ThreatConnect, IBM X-Force Exchange
- Enrich Alerts, Block Known Bad IOCs
📊 เมตริกสำคัญ (KPIs) สำหรับการประเมิน
| เมตริก | เป้าหมายที่ดี | ความหมาย |
|---|---|---|
| Mean Time to Detect (MTTD) | < 1 ชม. (Critical), < 24 ชม. (High) | เวลาเฉลี่ยในการตรวจพบภัยคุกคาม |
| Mean Time to Respond (MTTR) | < 4 ชม. (Critical), < 24 ชม. (High) | เวลาเฉลี่ยในการควบคุม/แก้ไข |
| Vulnerability Remediation SLAs | Critical: 72 hrs, High: 30 days, Med: 90 days | เวลาที่กำหนดให้แก้ช่องโหว่ |
| Asset Coverage (Agent/Scan) | > 95% | เปอร์เซ็นต์อุปกรณ์ที่ถูกเฝ้าระวัง/สแกน |
| Patch Compliance Rate | > 95% (Critical/High) | เปอร์เซ็นต์อุปกรณ์ที่패치แล้ว |
🎯 สถานการณ์เฉพาะ: อุปกรณ์ใหม่เข้ามาในเครือข่าย (New Device Onboarding)
- Pre-connect: Vendor Security Questionnaire, SBOM Review, Firmware Verification (วัน-สัปดาห์)
- Connect: NAC Posture Check + Profiling (วินาที-นาที)
- Post-connect (Day 0-30): Enhanced Monitoring, Behavioral Baseline Learning
- Ongoing: Continuous Assessment, Periodic Re-certification (ทุกไตรมาส/ปี)
⚖️ ความสมดุล: Security vs Usability vs Cost
- High Security: NAC + Credentialed Scan + EDR + NDR + TIP + Manual Review = ช้า, แพง, ปลอดภัย
- Balanced: NAC (Basic) + Agent-based Vuln Mgmt + EDR + Automated Threat Intel = ใช้ได้จริง
- Minimal: MAC Filtering + Antivirus + Firewall = ไม่เพียงพอสำหรับภัยคุกคามสมัยใหม่
📋 Checklist: อุปกรณ์คือ "Low Risk" เมื่อ...
- ✅ ผ่าน NAC Posture Check (OS Patched, AV Running, Encrypted, Domain Joined/Compliant)
- ✅ ไม่มี Critical/High Vulnerabilities (Cred Scan ล่าสุด < 7 วัน)
- ✅ EDR/XDR Agent ทำงานปกติ, ไม่มี Alert
- ✅ ไม่ปรากฏใน Threat Intelligence Feeds (IP/Domain/Hash)
- ✅ พฤติกรรม Network ปกติ (Baseline established, No Anomaly)
- ✅ Firmware/Software Latest (Vendor Supported)
- ✅ Managed by IT/MDM (ไม่ใช่ BYOD/Rogue)
- ✅ อยู่ใน Segment/Zone ที่เหมาะสม (Least Privilege Network Access)
สรุป
ไม่มีคำตอบ "X ชั่วโมง/วัน" แบบเดียวจบ
การประเมินเป็น Continuous Lifecycle: NAC Check (Real-time) → Continuous Monitoring (EDR/NDR) → Periodic Deep Scan (Vuln Mgmt) → Behavioral Baseline (Weeks) → Re-assessment (Quarterly)
เป้าหมาย: ลด MTTD & MTTR ให้ต่ำที่สุด ด้วย Automation + AI + Skilled Analysts
