Network Security ทำงานอย่างไร? (How Network Security Works)
Network Security ทำงานผ่านกลไก หลายชั้น (Defense in Depth) ที่รวมกันเพื่อ ป้องกัน (Prevent), ตรวจจับ (Detect), ตอบสนอง (Respond), และกู้คืน (Recover) ภัยคุกคามทางเครือข่าย โดยอาศัยหลักการ CIA Triad (Confidentiality, Integrity, Availability)
องค์ประกอบหลักและกลไกการทำงาน
1. Perimeter Defense (เส้นป้องกันขอบเครือข่าย)
- Firewall (NGFW): Stateful Inspection + Deep Packet Inspection (DPI) ที่ L3-L7 → Block/Match Rules based on IP, Port, App, User, Content, Reputation, SSL Inspection
- IPS/IDS: Signature-based (Known Threats) + Anomaly-based (Unknown/Zero-day) → Alert/Block
- DDoS Mitigation: Scrubbing Centers, Rate Limiting, Behavioral Analysis, BGP FlowSpec
- VPN/ZTNA: Encrypted Tunnel (IPsec, SSL/TLS, WireGuard) หรือ Identity-aware Proxy (Zero Trust) สำหรับ Remote Access
2. Network Segmentation & Access Control (การแบ่งส่วนและควบคุมการเข้าถึง)
- VLAN / VRF / VXLAN: Logical Isolation (Broadcast Domains)
- Internal Firewalls / Micro-segmentation: East-West Traffic Control (Zero Trust)
- NAC (802.1X / MAB / Posture): Device/User Authentication → Profile → VLAN/ACL/DACL Assignment
- Software-Defined Perimeter (SDP): Hide Resources, Single Packet Authorization (SPA)
3. Secure Management & Control Plane (การจัดการและระนาบควบคุมที่ปลอดภัย)
- Encrypted Management: SSHv2, HTTPS, SNMPv3, Netconf/RESTCONF over TLS
- AAA (TACACS+/RADIUS): Centralized AuthN/AuthZ/Acct, Command Authorization
- CoPP/CPPr: Protect Control Plane CPU from Overload/Attacks
- Routing Security: RPKI, BGPsec, Prefix Filtering, uRPF
4. Threat Detection & Visibility (การตรวจจับและมองเห็น)
- Network Traffic Analysis (NTA/NDR): Flow (NetFlow/sFlow/IPFIX) + Full Packet Capture (PCAP) → Behavioral Analytics, ML, Encrypted Traffic Analysis (JA3, SNI)
- SIEM: Centralized Log Collection (Firewall, IDS, Server, AD, Cloud, App) → Correlation Rules, UEBA, Threat Intel Enrichment → Alerts
- Threat Hunting: Proactive Search using MITRE ATT&CK, Hypothesis-driven
- Deception: Honeypots, Honeytokens, Canary Tokens → Early Warning
5. Data Protection (การปกป้องข้อมูล)
- Encryption in Transit: TLS 1.2/1.3 (mTLS), IPsec, MACsec, DTLS, QUIC
- DLP (Network/Endpoint/Cloud): Content Inspection (Regex, Dictionary, ML, Fingerprinting) → Block/Quarantine/Alert
- WAF / API Gateway: OWASP Top 10, Schema Validation, Bot Mitigation
6. Incident Response & Recovery (การตอบสนองและกู้คืน)
- Automated Response (SOAR): Playbooks (Block IP, Quarantine Host, Reset Password, Enrich IOC)
- Forensics Readiness: Packet Capture Retention, Log Retention, Disk Images, Memory Dumps
- Backup/DR: Immutable Backups, Air-gapped, Tested Restore, RTO/RPO
พื้นฐาน Network Security (Fundamentals)
| หลักการ | คำอธิบาย | ตัวอย่างการนำไปใช้ |
|---|---|---|
| Least Privilege | ให้สิทธิ์ขั้นต่ำที่จำเป็น | Firewall Rules: Specific IP/Port, NAC: Role-based VLAN, ZTNA: App-level Access |
| Defense in Depth | หลายชั้นป้องกัน ไม่พึ่งชั้นเดียว | Perimeter FW → Internal Segmentation → Host FW → EDR → DLP |
| Zero Trust | ไม่ไว้วางใจโดยอัตโนมัติ Verify ทุก Request | ZTNA, Micro-segmentation, Continuous AuthN/AuthZ, Device Health Check |
| Assume Breach | สมมติว่าโดนแฮ็กแล้ว เน้น Detect & Respond | NDR, EDR, Deception, Threat Hunting, IR Plan |
| Encryption by Default | เข้ารหัสทุกอย่างที่เคลื่อนที่และเก็บ | TLS Everywhere, IPsec, MACsec, Disk Encryption, Database Encryption |
| Visibility | ต้องมองเห็น Traffic, Logs, Assets, Vulns | NetFlow, SIEM, Asset Inventory, Vuln Scanning, Cloud Asset Inventory |
| Automation | ลด Human Error, เร็วขึ้น, Consistent | IaC, Config Automation, SOAR Playbooks, Auto-remediation, Drift Detection |
Network Security Lifecycle (NIST CSF)
- Identify: Asset Management, Business Environment, Governance, Risk Assessment, Supply Chain Risk
- Protect: Access Control, Awareness Training, Data Security, Protective Technology, Maintenance
- Detect: Anomalies & Events, Continuous Monitoring, Detection Processes
- Respond: Response Planning, Communications, Analysis, Mitigation, Improvements
- Recover: Recovery Planning, Improvements, Communications
ตัวอย่างการทำงานจริง (Scenario: Phishing → Malware → Lateral Movement → Data Exfil)
- Email Gateway: Block known malicious sender/attachment (Prevent)
- User Clicks Link: SWG/Proxy → Block known malicious URL / Scan Download (Prevent/Detect)
- Malware Executes: EDR → Behavioral Detection (MITRE T1059, T1027) → Alert + Auto-quarantine (Detect/Respond)
- C2 Communication: NDR/Firewall → Detect Beaconing (JA3, Domain Generation Algorithm) → Block Domain/IP (Detect/Respond)
- Lateral Movement: NAC/Internal FW → Detect SMB/PSExec/Anomalous Auth → Segment Containment (Detect/Respond)
- Data Staging/Exfil: DLP/NDR → Detect Large Transfer to Rare Destination → Block + Alert (Detect/Respond)
- IR Team: Investigate (SIEM/EDR/PCAP), Contain, Eradicate, Recover, RCA, Improve Rules/Signatures
สรุป
Network Security ทำงานโดย รวมเทคโนโลยี กระบวนการ และผู้คน ในกรอบ Defense in Depth + Zero Trust ครอบคลุม Identify → Protect → Detect → Respond → Recover อย่างต่อเนื่อง จุดสำคัญคือ Visibility (มองเห็น), Control (ควบคุม), และ Automation (อัตโนมัติ) เพื่อลด MTTD/MTTR และเพิ่ม Resilience
