วัตถุประสงค์หลักของการเฝ้าระวังความปลอดภัยเครือข่าย (NSM Objectives)
Network Security Monitoring (NSM) เป็นกระบวนการเก็บรวบรวม วิเคราะห์ และตอบสนองต่อข้อมูลความปลอดภัยของเครือข่ายอย่างต่อเนื่อง เพื่อตรวจจับ ภัยคุกคาม และการละเมิดนโยบาย วัตถุประสงค์หลักสอดคล้องกับ CIA Triad และขยายไปสู่การทำงานปฏิบัติ
วัตถุประสงค์หลัก 3 ข้อ (Core Objectives - CIA Triad)
- Confidentiality (ความลับ) - ป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต NSM ตรวจจับ: การขโมยข้อมูล (Data Exfiltration), การเข้าถึงไฟล์ลับ, การส่งข้อมูลออกนอกเครือข่ายผิดปกติ
- Integrity (ความสมบูรณ์) - 确保ข้อมูลไม่ถูกแก้ไข/ทำลายโดยไม่ได้รับอนุญาต NSM ตรวจจับ: การแก้ไขล็อก (Log Tampering), การฉ้าวเปลี่ยนไฟล์ระบบ, การ Inject โค้ดอันตราย
- Availability (ความพร้อมใช้งาน) - 确保บริการเครือข่ายทำงานต่อเนื่อง NSM ตรวจจับ: DDoS, การใช้ทรัพยากรผิดปกติ, การล้มของบริการสำคัญ
วัตถุประสงค์เชิงปฏิบัติการ (Operational Objectives)
| วัตถุประสงค์ | คำอธิบาย | ตัวอย่างการทำงาน |
|---|---|---|
| Threat Detection (ตรวจจับภัยคุกคาม) | ระบุกิจกรรมผิดปกติ ที่อาจเป็นการโจมตี | Port Scanning, Brute Force, Malware C2 Traffic, Lateral Movement |
| Incident Response Support (รองรับการตอบสนองเหตุการณ์) | ให้ข้อมูล/หลักฐาน สำหรับทีม IR วิเคราะห์และจำกัดความเสียหาย | PCAP, Logs, Flow Data, File Artifacts, Timeline Reconstruction |
| Compliance & Audit (การปฏิบัติตามข้อกำหนด) | รองรับการตรวจสอบมาตรฐาน (PCI-DSS, HIPAA, ISO 27001, PDPA) | Log Retention, Access Reports, Vulnerability Scan Results |
| Network Visibility (มองเห็นภาพเครือข่าย) | รู้ว่าใคร เชื่อมต่ออะไร ส่งข้อมูลอะไร ไปไหน เมื่อไหร่ | Asset Discovery, Shadow IT Detection, Traffic Baselining |
| Performance & Troubleshooting (ประสิทธิภาพ/แก้ปัญหา) | ข้อมูล NSM ช่วยวิเคราะห์ปัญหาเครือข่าย ไม่ใช่แค่ Security | Bandwidth Hog, Misconfiguration, Application Latency |
แหล่งข้อมูลหลักสำหรับ NSM (Data Sources)
- Full Packet Capture (PCAP) - ข้อมูลลึกที่สุด ใช้ forensic
- NetFlow / IPFIX / sFlow - Metadata การไหลของトラフィก (Source/Dest IP, Port, Protocol, Bytes, Packets)
- Logs (Firewall, Proxy, DNS, DHCP, VPN, AD, EDR) - Event-based visibility
- Endpoint Telemetry (EDR/XDR) - Process, File, Registry, Network connections จาก Endpoint
- Threat Intelligence Feeds - IOC, Malicious IPs, Domains, Hashes
ความแตกต่าง: Network Monitoring vs Network Security Monitoring
| Network Monitoring (NOC) | Network Security Monitoring (SOC) |
|---|---|
| เน้น Uptime, Bandwidth, Latency, Errors | เน้น Threats, Anomalies, Intrusions, Policy Violations |
| Reactive (แจ้งเตือนพัง/ช้า) | Proactive (ล่าภัยคุกคาม - Threat Hunting) |
| เครื่องมือ: PRTG, SolarWinds, Zabbix, Nagios | เครื่องมือ: Zeek, Suricata, Splunk, ELK, QRadar, Cortex XDR |
กรอบงาน NSM ที่ได้รับการยอมรับ
- NIST SP 800-137 - Information Security Continuous Monitoring (ISCM)
- NIST Cybersecurity Framework (CSF) - Detect Function (DE.CM, DE.DP, DE.AE)
- SANS Continuous Monitoring - 5 ขั้นตอน: Define, Establish, Implement, Analyze, Respond
- MITRE ATT&CK Framework - Mapping detection coverage to adversary tactics/techniques
KPIs / Metrics สำหรับวัดประสิทธิภาพ NSM
- Mean Time to Detect (MTTD) - เวลาเฉลี่ยในการตรวจพบภัยคุกคาม
- Mean Time to Respond (MTTR) - เวลาเฉลี่ยในการตอบสนอง/แก้ไข
- Detection Coverage - % ของ MITRE ATT&CK Techniques ที่ตรวจจับได้
- False Positive Rate - อัตราการแจ้งเตือนผิด
- Log Coverage - % ของระบบสำคัญที่ส่ง Log มา SIEM
สรุป
วัตถุประสงค์ของ NSM ไม่ใช่แค่ "ติดตั้ง SIEM" แต่เป็น กระบวนการต่อเนื่อง ที่ครอบคลุม: การมองเห็น (Visibility) → การตรวจจับ (Detection) → การวิเคราะห์ (Analysis) → การตอบสนอง (Response) → การปรับปรุง (Improvement) เป้าหมายคือลด MTTD และ MTTR ให้น้อยที่สุด พร้อมรองรับ Compliance และให้ข้อมูลสำหรับ Threat Hunting
