Network Security Zones (โซนความปลอดภัยเครือข่าย) คืออะไร
Security Zone คือการจัดกลุ่มอินเทอร์เฟซ (Interfaces) ของเครือข่ายที่มีระดับความไว้วางใจและนโยบายความปลอดภัยเหมือนกัน เพื่อควบคุมและตรวจสอบการไหลของトラフィค (Traffic) ระหว่างโซนต่างๆ ผ่านไฟร์วอลล์ (Firewall) หรืออุปกรณ์ความปลอดภัยอื่นๆ
โซนมาตรฐาน 3 โซน (Three-Zone Model)
| โซน | ชื่อเรียก | ระดับความไว้วางใจ | ตัวอย่างระบบ/อุปกรณ์ | นโยบายทั่วไป |
|---|
| Inside / Trusted / LAN | โซนภายใน / เบื้องใน | สูงสุด (High Trust) | Workstations, File Servers, Domain Controllers, Database Servers (Internal) | Allow Outbound, Restrict Inbound, Inspect All |
| DMZ / Perimeter / Screened Subnet | โซน منز้อนทหาร / ขอบเขต | ปานกลาง (Medium Trust) | Web Servers, Mail Servers, DNS Servers, VPN Gateways, Proxy Servers, Public APIs | Allow Specific Inbound (Port 80/443/25/53), Restrict Outbound, Heavy Inspection |
| Outside / Untrusted / WAN / Internet | โซนภายนอก / ไม่ไว้วางใจ | ต่ำสุด (No Trust) | Internet, Public Cloud, Partner Networks (Untrusted), Guest Wi-Fi | Block All Inbound (except established), Allow Specific Outbound, Logging/Inspection |
โซนเพิ่มเติมที่พบบ่อย (Extended Zones)
- Management Zone (Out-of-Band Management): สำหรับการจัดการอุปกรณ์เครือข่าย (Switch, Router, Firewall, Server iDRAC/iLO/IPMI) - เข้าถึงได้เฉพาะ Admin Workstation ผ่าน Jump Host/Bastion Host
- Server Farm / Data Center Zone: แยกจาก User LAN - มี Policy กัดกันเข้มงวดกว่า
- Guest / BYOD Zone: Wi-Fi แขก, อุปกรณ์พนักงานนำมาเอง - แยกจาก Corporate Network
- IoT / OT Zone: อุปกรณ์ IoT, ระบบควบคุมอุตสาหกรรม (SCADA, PLC) - แยกpletely, ไม่มี Internet Access
- Wireless Zone: แยก Wireless จาก Wired เพื่อนโยบายที่ต่างกัน
- VPN / Remote Access Zone: ผู้ใช้ Remote Access, Site-to-Site VPN - ตรวจสอบก่อนเข้าสู่ Inside
การทำงานของ Security Zone บนไฟร์วอลล์
- กำหนด Zone: กำหนดชื่อโซน (Trust, Untrust, DMZ, Management, ฯลฯ)
- มอบอินเทอร์เฟซให้โซน: Interface GigabitEthernet0/0 → Zone Trust, GigabitEthernet0/1 → Zone Untrust
- กำหนด Policy ระหว่างโซน (Inter-Zone Policy): Source Zone → Destination Zone → Action (Allow/Deny/Inspect)
- Default Policy: Same Zone = Allow (Implicit), Cross Zone = Deny (Implicit) — ต้องสร้าง Policy ให้ชัดเจน
ตัวอย่างนโยบายระหว่างโซน (Policy Matrix)
| Source → Destination | Action | Service/Application | Inspection |
|---|
| Trust → Untrust (Internet) | Allow | Web (80/443), DNS (53), NTP (123), Email (587/993/995) | AV, IPS, URL Filtering, SSL Decrypt |
| Trust → DMZ | Allow | App Specific (DB, API, Management) | IPS, App Control |
| DMZ → Trust | Deny (Default) | - | - |
| DMZ → Untrust | Allow (Limited) | Updates (80/443), NTP, DNS | AV, IPS |
| Untrust → DMZ | Allow (Specific) | Web (80/443), VPN (500/4500/1194), Email (25/587) | WAF, AV, IPS, DDoS Protection |
| Untrust → Trust | Deny All | - | - |
| Management → All | Allow (Admin Only) | SSH (22), HTTPS (443), SNMP, API | Audit Log, MFA Required |
ประโยชน์ของการใช้ Security Zones
- Defense in Depth: หลายชั้นป้องกัน ไม่พึ่งพาเพียงขอบเขตเดียว
- Containment: จำกัดการแพร่ระบาดหากโซนหนึ่งถูกแฮก (Lateral Movement Prevention)
- Compliance: ตอบสนอง PCI-DSS (CDE Segmentation), HIPAA, NIST 800-53
- Visibility: เห็น Traffic ระหว่างโซนชัดเจน สืบสวนเหตุการณ์ง่าย
- Policy Management: จัดการนโยบายเป็นกลุ่ม ไม่ใช่ทีละ IP/Interface
การออกแบบ Zone - Best Practices
- เริ่มจาก 3 โซนพื้นฐาน (Trust, DMZ, Untrust)
- เพิ่มโซนเฉพาะเจาะจงตามความต้องการ (Management, IoT, Guest, VPN)
- ใช้ Naming Convention ชัดเจน (ZONE_TRUST, ZONE_DMZ_WEB, ZONE_MGMT)
- Document Policy Matrix ให้ครบถ้วน Review ประจำไตรมาส
- ใช้ Micro-segmentation ภายในโซน (Host-based Firewall, SDN Security Groups)
- ทดสอบ Policy ใน Lab/Staging ก่อน Deploy Production
