หลักการพื้นฐาน: Defense in Depth (การป้องกันแบบหลายชั้น)
LAN Security ไม่ใช่ติดตั้ง Firewall แค่ตัวเดียว จะต้องมี Control ทุกชั้น: Perimeter, Network, Endpoint, Application, Data, Identity, Operations
1. Perimeter & Network Layer
Firewall / Next-Gen Firewall
- Default Deny: Block All → Allow Sheerly Necessary
- Enable IPS/IDS, Application Control, SSL Inspection, Anti-Bot, Sandbox
- Geo-blocking: Block High-risk Countries (ถ้าธุรกิจไม่เกี่ยวข้อง)
- Logging → SIEM (ไม่แค่เก็บ ต้องมี Alerting)
Network Segmentation (สำคัญมาก)
- VLANs: แยก Management, Servers, Users, Guests, IoT/OT, DMZ
- Inter-VLAN Routing: ผ่าน Firewall/L3 Switch ที่มี ACL
- Micro-segmentation: ควบคุม East-West Traffic ระหว่าง Workloads (Cisco ACI, VMware NSX, Illumio, Guardicore)
Wireless Security
- WPA2-Enterprise (802.1X + RADIUS) หรือ WPA3-Enterprise — ห้าม WPA2-PSK สำหรับ Corporate
- Disable WPS, WEP, TKIP
- Guest Network แยก VLAN + Captive Portal + Bandwidth Limit
- Rogue AP Detection (WIPS/WIDS)
2. Endpoint & Identity Layer
Endpoint Protection (EPP/EDR/XDR)
- Next-Gen AV + Behavioral AI + Ransomware Rollback
- Application Control / Whitelisting (AppLocker, WDAC, Carbon Black)
- USB/Peripheral Control, Disk Encryption (BitLocker, FileVault)
- Auto-update OS & Apps (WSUS, Intune, Jamf, SCCM)
Identity & Access (Zero Trust)
- MFA บังคับทุกคน (Phishing-resistant: FIDO2, Cert-based)
- Privileged Access Management (PAM) — Just-in-Time, Session Recording
- Conditional Access (Device Compliance, Location, Risk Score)
- Service Accounts: Managed Identities, gMSA, Vault (HashiCorp, CyberArk)
3. Monitoring & Detection
- Network Traffic Analysis (NTA/NDR): Darktrace, Vectra, ExtraHop, Corelight (Zeek-based) — Detect East-West, C2, Data Exfil
- SIEM + SOAR: Centralized Logging, Correlation Rules, MITRE ATT&CK Mapping, Automated Response
- Deception Technology: Honeypots, Honeytokens, Canary Tokens — Early Warning
- Threat Hunting: Proactive Query (Sigma, KQL, SPL) บน Data Lake
4. Hardening & Hygiene (Basic แต่สำคัญ)
- Disable Unused Ports/Services (SMBv1, LLMNR, NetBIOS, WPAD, Telnet, FTP)
- Disable SMB Signing Required, Enable SMB Encryption
- DHCP Snooping, Dynamic ARP Inspection (DAI), IP Source Guard, BPDU Guard, Root Guard
- Port Security (Sticky MAC, Violation Action: Shutdown)
- 802.1X บน Switch Port ทุกพอร์ต (Machine + User Auth)
- Firmware Update Switch/Router/AP ทุก 30-90 วัน
- Backup Config แบบ Offsite + Test Restore
5. Physical & Operational
- Server Room: Biometric Access, CCTV, Environmental Monitoring
- Cable Management, Labeling, Port Mapping Documentation
- Visitor Policy, Clean Desk, Media Disposal (Shred/Degauss)
- Incident Response Plan + Tabletop Exercise ทุกไตรมาส
- Security Awareness Training (Phishing Sim, Password Hygiene, Reporting)
6. Cloud / Hybrid Extension
- Extend Segmentation ไป Cloud (Transit Gateway, Cloud WAN, SASE/SSE)
- CSPM (Cloud Security Posture Management) สำหรับ Misconfiguration
- CWPP (Cloud Workload Protection) สำหรับ Container/Serverless
- Identity Federation (SAML/OIDC) + Conditional Access
Checklist ตรวจสอบรายเดือน (Monthly Health Check)
- ☐ Firmware/OS Patch Compliance > 95%
- ☐ EDR/XDR Agent Online > 99%
- ☐ Firewall Rule Review: Remove Unused/Shadowed Rules
- ☐ Vulnerability Scan (Internal + External) → Remediate Critical/High < 30 วัน
- ☐ Phishing Simulation Click Rate < 5%
- ☐ Backup Test Restore สำเร็จ
- ☐ Privileged Account Review (Orphaned, Excessive Rights)
- ☐ Network Segmentation Validation (Ping Sweep, Nmap Across VLANs)
สรุป
LAN/IT Domain Security ที่แข็งแกร่ง ไม่ได้มาจากการซื้อเครื่องมือแพงๆ แต่มาจาก Architecture ที่ถูกต้อง (Segmentation, Zero Trust), Hygiene ที่วินัย (Patching, Hardening, Least Privilege), Visibility ที่ลึก (NTA, SIEM, EDR), และ Process ที่ทำซ้ำได้ (IR, Hunting, Training) เริ่มจากพื้นฐาน วัดผล ปรับปรุงต่อเนื่อง
