Network Security ในบริบทของอินเทอร์เน็ต: บทบาท ตำแหน่ง และกลไกการทำงาน
อินเทอร์เน็ตออกแบบมาสำหรับ การเชื่อมต่อและแบ่งปันข้อมูล (Openness) ไม่ได้ออกแบบมาสำหรับความปลอดภัยโดยพื้นฐาน Network Security จึงเป็นชั้นป้องกันที่สร้างขึ้น บนโครงสร้างพื้นฐานของอินเทอร์เน็ต เพื่อปกป้องทรัพยากร ข้อมูล และความเชื่อถือ
Network Security เข้าตรงไหนในสเต็กของอินเทอร์เน็ต? (OSI / TCP/IP Model)
| Layer (OSI) | Layer (TCP/IP) | โปรโตคอล/เทคโนโลยีหลัก | Security Controls / Mechanisms |
|---|---|---|---|
| 7. Application | Application | HTTP/HTTPS, DNS, SMTP, FTP, SSH, TLS, APIs | WAF, API Gateway, DLP, Email Security, DNSSEC, DoH/DoT, App-level Auth (OAuth, SAML), Secure Coding |
| 6. Presentation | TLS/SSL, Encryption, Compression | Certificate Management (PKI), TLS 1.3, Certificate Transparency, HSTS, HPKP | |
| 5. Session | RPC, NetBIOS, PPTP | Session Management, Secure Cookies, Token Handling, MFA | |
| 4. Transport | Transport | TCP, UDP, QUIC | TCP SYN Cookie, UDP Flood Protection, QUIC Encryption, Port Knocking |
| 3. Network | Internet | IP (v4/v6), ICMP, BGP, OSPF, IPsec | Firewall (L3/L4), Router ACLs, IPsec VPN, BGP Security (RPKI, ROA), DDoS Mitigation (RTBH, FlowSpec), Source Validation (uRPF) |
| 2. Data Link | Network Access | Ethernet, Wi-Fi (802.11), PPP, MACsec | 802.1X (NAC), Port Security, MACsec (L2 Encryption), VLAN Isolation, Private VLANs, Storm Control, DHCP Snooping, DAI, IP Source Guard |
| 1. Physical | Network Access | Fiber, Copper, Radio, Satellite | Physical Security (Locks, CCTV, Guards), Cable Protection, TEMPEST, Fiber Tap Detection |
จุดควบคุมความปลอดภัยสำคัญบนอินเทอร์เน็ต (Key Security Control Points)
- Edge / Perimeter (Internet Gateway): NGFW, IPS/IDS, DDoS Scrubbing, SWG, Email Gateway, DNS Firewall - First Line of Defense
- Cloud / Service Provider Edge: Cloud Firewall (AWS Security Groups, Azure NSG, GCP Firewall), Cloud WAF, Cloud DDoS, CASB, CSPM
- Data Center / Private Cloud Core: Micro-segmentation (NSX, ACI, Calico), East-West Firewall, Workload Protection (CWPP), Service Mesh (Istio mTLS)
- Remote Access / User Edge: ZTNA, VPN, MFA, Endpoint Security (EDR/XDR), CASB, RBI
- Branch / Campus Edge: SD-WAN with Security (SASE/SSE), NAC, Wireless Security (WPA3-Enterprise), IoT Segmentation
กลไกการทำงานหลักของ Network Security บนอินเทอร์เน็ต
- Packet Filtering / Stateful Inspection: ตรวจสอบ Header (IP, Port, Flags) และ State Table (Firewall)
- Deep Packet Inspection (DPI): วิเคราะห์ Payload (L7) - App Identification, Malware Detection, Data Leakage
- Encryption / Tunneling: IPsec, TLS, WireGuard, MACsec - ปกป้องข้อมูลระหว่างทาง (Confidentiality, Integrity)
- Authentication & Authorization: 802.1X, RADIUS, SAML/OIDC/OAuth, Zero Trust (Identity-based Access)
- Intrusion Detection/Prevention: Signature-based (Known Threats), Anomaly/Behavioral-based (Unknown/Zero-day)
- Threat Intelligence Integration: Block Known Bad IPs/Domains/Hashes (STIX/TAXII Feeds)
- Traffic Analysis / NetFlow/sFlow/IPFIX: Visibility, Anomaly Detection, Forensics
- Automated Response (SOAR): Quarantine, Block IP, Rollback Config, Notify
โมเดลความปลอดภัยสมัยใหม่: Zero Trust Architecture (ZTA)
แทนที่โมเดล "Trust but Verify" (Perimeter-based) ด้วย "Never Trust, Always Verify":
- Verify Explicitly: ทุก Request ต้อง AuthN/AuthZ ทุกครั้ง (Identity, Device Health, Location, Context)
- Least Privilege Access: ให้สิทธิ์ขั้นต่ำ Just-in-Time (JIT), Just-Enough (JEA)
- Assume Breach: Segment, Encrypt, Monitor, Automate Response - ลด Blast Radius
ZTA Components: Policy Engine (PE), Policy Administrator (PA), Policy Enforcement Point (PEP) - วางได้ทุกจุด: Cloud, On-prem, Edge, Endpoint
ความท้าทายเฉพาะของอินเทอร์เน็ต
- No Central Authority: ไม่มีผู้ควบคุมกลาง PKI (CA Hierarchy), BGP (Trust-based), DNS (Hierarchical but Spoofable)
- Encryption Blind Spots: TLS 1.3 + ESNI/ECH ทำให้ DPI/YARA ยากขึ้น ต้องใช้ SSL Inspection (Man-in-the-Middle ที่ได้รับอนุญาต)
- Scale & Speed: Tbps Traffic, Millions flows/sec - ต้องการ Hardware Acceleration (SmartNIC, DPU, eBPF, XDP)
- Shared Infrastructure: Multi-tenancy Risks (Side-channels, Hypervisor Escapes, Cloud Misconfig)
- Supply Chain: Router Firmware, Library Dependencies, CI/CD Pipeline (SolarWinds, Log4j, Codecov)
สรุป
Network Security ไม่ได้ "นั่ง" ที่จุดเดียวของอินเทอร์เน็ต แต่วางซ้อนกันทุกเลเยอร์ (Defense in Depth) จาก Physical ถึง Application โดยเฉพาะจุด Edge (Perimeter, Cloud, User, Branch) ที่เป็นประตูทางเข้า/ออกสู่อินเทอร์เน็ต โมเดลสมัยใหม่ Zero Trust / SASE ย้าย Control Plane ไปอยู่ใกล้ Identity และ Data มากกว่า Network Location ทำให้ปลอดภัยกว่าในโลก Hybrid Cloud/Remote Work
