home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

การควบคุมการเข้าถึง (Access Control) ในความปลอดภัยเครือข่ายคืออะไร?

Access Control (การควบคุมการเข้าถึง) คืออะไร?

Access Control เป็นกระบวนการกำหนดว่า ใคร (Who) ได้เข้าถึง อะไร (What) เมื่อไหร่ (When) จากที่ไหน (Where) และ อย่างไร (How) โดยมีเป้าหมายหลัก 3 ประการ:

  1. Confidentiality (ความลับ): ป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
  2. Integrity (ความสมบูรณ์): ป้องกันการแก้ไข/ทำลายข้อมูลโดยไม่ได้รับอนุญาต
  3. Availability (ความพร้อมใช้งาน): ให้ผู้ที่ได้รับอนุญาตเข้าถึงทรัพยากรได้เมื่อต้องการ

กระบวนการหลัก 2 ขั้นตอน

  1. Authentication (การยืนยันตัวตน): ตรวจสอบว่า "คุณคือใคร" ผ่าน Credentials (Username/Password, MFA, Biometric, Certificate, Token)
  2. Authorization (การอนุมัติสิทธิ์): ตรวจสอบว่า "คุณได้ทำอะไรบ้าง" ตามสิทธิ์ที่มอบหมาย (Permissions, Roles, Policies)

หมายเหตุ: บางกรอบงานเพิ่มขั้นตอนที่ 3 คือ Accounting/Auditing (การบันทึกการตรวจสอบ) เพื่อติดตามว่าใครทำอะไรเมื่อไหร่

โมเดลการควบคุมการเข้าถึงหลัก 4 แบบ

โมเดลชื่อเต็มหลักการทำงานเหมาะสำหรับ
DACDiscretionary Access Controlเจ้าของทรัพยากร (Owner) ตัดสินใจสิทธิ์เอง (เช่น ACL ใน Windows, chmod ใน Linux)ระบบเล็ก, ไฟล์ส่วนตัว, สภาพแวดล้อมที่ยืดหยุ่น
MACMandatory Access Controlระบบ (System) บังคับสิทธิ์ตาม Label/Classification (Top Secret, Secret, Confidential) ผู้ใช้ไม่สามารถเปลี่ยนได้ทหาร, รัฐบาล, ข้อมูลความลับสูงสุด
RBACRole-Based Access Controlมอบสิทธิ์ตาม "บทบาท" (Role) เช่น Admin, HR, Developer, Auditor ผู้ใช้ได้รับ Role ตามหน้าที่งานองค์กรทุกขนาด (มาตรฐานอุตสาหกรรม)
ABACAttribute-Based Access Controlตัดสินใจจาก Attributes หลายอย่าง: User (Role, Dept), Resource (Sensitivity), Environment (Time, Location, Device)Zero Trust, Cloud, สภาพแวดล้อมซับซ้อน

Network Access Control (NAC) - การควบคุมการเข้าถึงเครือข่าย

NAC เป็นโซลูชันเฉพาะสำหรับควบคุมอุปกรณ์ที่พยายามเชื่อมต่อเครือข่าย (Wired/Wireless/VPN) ทำงานดังนี้:

  1. Discovery & Profiling: ค้นพบและจัดประเภทอุปกรณ์ (Laptop, Phone, IoT, Printer, Server)
  2. Posture Assessment: ตรวจสอบสภาพสุขภาพ (Health Check) เช่น OS Patch, Antivirus เวอร์ชันล่าสุด, Disk Encryption, Firewall เปิดอยู่
  3. Policy Enforcement: บังคับนโยบาย เช่น
    • ผ่านเกณฑ์ → เข้า VLAN ปกติ (Corporate VLAN)
    • ไม่ผ่าน → เข้า VLAN แยก (Quarantine/Remediation VLAN) เพื่ออัปเดต/แก้ไข
    • อุปกรณ์ไม่รู้จัก (Unknown) → บล็อก หรือ เข้า Guest VLAN
  4. Continuous Monitoring: ตรวจสอบต่อเนื่อง หากสภาพเปลี่ยน (เช่น Antivirus Expired) ให้隔离ทันที

ตัวอย่าง Access Control ในชีวิตจริง

  • Physical: บัตรเข้างาน (Badge), ลายนิ้วมือ (Biometric), ปรับล็อกอัจฉริยะ (Smart Lock), ย่านควบคุม (Mantrap)
  • Logical/Network: VPN + MFA, Wi-Fi Enterprise (802.1X/RADIUS), Firewall Rules, Zero Trust Network Access (ZTNA), Privileged Access Management (PAM)
  • Application/Data: RBAC ใน ERP/CRM, Row-Level Security ใน Database, DRM สำหรับเอกสาร, API Gateway + OAuth/OIDC

ทำไม Access Control จึงสำคัญ?

  • ลดความเสี่ยง Insider Threat และ Credential Theft
  • ปฏิบัติตามกฎระเบียบ (Compliance): PDPA, GDPR, HIPAA, PCI-DSS, ISO 27001
  • จำกัดผลกระทบเมื่อเกิดเหตุการณ์ (Blast Radius) ด้วยหลักการ Least Privilege
  • รองรับแนวคิด Zero Trust: "Never Trust, Always Verify"

Best Practices

  • ใช้ MFA (Multi-Factor Authentication) บังคับสำหรับทุกการเข้าถึงระยะไกลและระบบสำคัญ
  • นำ RBAC มาใช้เป็นฐาน ร่วมกับ ABAC สำหรับการตัดสินใจแบบไดนามิก
  • ทำ Access Review / Recertification เป็นประจำ (ทุก 3-6 เดือน) เพื่อเพิกถอนสิทธิ์ที่ไม่จำเป็น
  • บันทึก Log การเข้าถึงสำคัญทั้งหมด และส่งไป SIEM เพื่อ Correlate และ Alert
  • ใช้ PAM (Privileged Access Management) สำหรับบัญชี Admin/Root: Check-out/Check-in, Session Recording, Just-in-Time Access