อุปกรณ์เฉพาะทางสำหรับการตรวจจับและป้องกันการบุกรุกเครือข่าย (IDS/IPS)
คำถาม: "Which hardware device designed to alert network security personnel of an attack?"
คำตอบหลัก: Network-based Intrusion Detection System (NIDS) Appliance หรือ Network-based Intrusion Prevention System (NIPS) Appliance
อุปกรณ์ที่ออกแบบมาเฉพาะสำหรับ Network Security Monitoring
| อุปกรณ์ | ฟังก์ชันหลัก | ตำแหน่งติดตั้ง | โหมดทำงาน | ตัวอย่าง Vendor/Product |
|---|---|---|---|---|
| NIDS (Network IDS) | ตรวจจับ (Detect) และ แจ้งเตือน (Alert) เท่านั้น | Out-of-band (SPAN/TAP Port) ไม่ได้อยู่ใน Data Path | Monitoring / Promiscuous | Snort/Suricata (Software on Server), Cisco FirePOWER (IDS Mode), Zeek (Bro), Corelight |
| NIPS (Network IPS) | ตรวจจับ + ป้องกัน/บล็อก (Block/Prevent) แพ็กเก็ตร้าย | In-line (อยู่ใน Data Path) Serial deployment | Inline / Prevention | Palo Alto Networks, FortiGate, Cisco Firepower (IPS Mode), Check Point IPS, TippingPoint, Hillstone |
| Next-Gen Firewall (NGFW) | Firewall + App-ID + IPS + URL Filtering + SSL Decrypt + Threat Intel | Network Edge / Segmentation Points (In-line) | Inline (Default Deny) | Palo Alto, FortiGate, Check Point, Cisco Firepower, Sophos XGS, SonicWall |
| Network TAP / SPAN Port | คัดลอก Traffic (Mirror) ให้ NIDS/Analysis Tools (ไม่ใช่ Sensor เอง) | Physical Layer (Fiber/Copper Tap) หรือ Switch Config (SPAN/RSPAN/ERSPAN) | Passive | Gigamon, NetOptics, Profitap, Cisco Nexus SPAN |
วิธีการตรวจจับ (Detection Methods)
- Signature-based (Misuse Detection): จับคู่แพ็กเก็ตกับ Database ลายเซ็นการโจมตีที่รู้จัก (Snort Rules, Emerging Threats, Vendor Signatures) - เร็ว ต่ำ False Positive แต่ไม่จับ Zero-day ได้
- Anomaly-based (Behavioral Detection): เรียนรู้ Baseline ปกติ (Machine Learning/Statistics) แล้วแจ้งเตือนเมื่อเบี่ยงเบน - จับ Zero-day/Unknown ได้ แต่ False Positive สูง
- Hybrid: รวมทั้งสอง (ส่วนใหญ่ในปัจจุบัน)
การตอบสนองเมื่อตรวจพบการโจมตี (Response Actions)
- Alert/Log: ส่ง Syslog, SNMP Trap, Email, SIEM Integration (Splunk, Elastic, Sentinel)
- Block/Drop (IPS Only): ทิ้งแพ็กเก็ตร้าย, Reset TCP Connection (RST), Block Source IP (Shun) ชั่วคราว/ถาวร
- Packet Capture (PCAP): บันทึกแพ็กเก็ต前后_context สำหรับ Forensics
- Integration with SOAR: Trigger Playbook (Quarantine Host, Block IP at Firewall, Create Ticket)
ตำแหน่งติดตั้งที่สำคัญ (Strategic Placement)
- Network Perimeter (Internet Edge): North-South Traffic (Inbound/Outbound Internet)
- Data Center / Server Farm (East-West): ระหว่าง Tier (Web/App/DB) - Micro-segmentation
- DMZ / Public-facing Services: Web, Email, DNS, VPN Gateway
- Critical Segments: OT/ICS Network, PCI-DSS Zone, Executive Network
- Cloud (Virtual): AWS Network Firewall, Azure Firewall, GCP IDS, Third-party VM-Series (Palo Alto), FortiGate-VM
HIDS vs NIDS (Host-based vs Network-based)
| คุณสมบัติ | HIDS (Host IDS) | NIDS (Network IDS) |
|---|---|---|
| ตำแหน่ง | ติดตั้งบน Host/Server/Endpoint (Agent) | ติดตั้งบน Network (Appliance/VM) รับ Traffic จาก TAP/SPAN |
| มองเห็น | System Calls, File Integrity, Logs, Process Tree, Memory, User Activity | Network Packets, Flows, Protocols, Payload (ถ้าไม่เข้ารหัส) |
| เข้ารหัส (TLS/SSL) | มองเห็นได้ (ก่อนเข้ารหัส/หลังถอดรหัสใน Process) | มองไม่เห็น Payload (ต้อง SSL Decryption) |
| ตัวอย่าง | OSSEC/Wazuh, CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Auditd | Snort, Suricata, Zeek, Palo Alto, FortiGate IPS, Cisco Firepower |
สรุป
อุปกรณ์ที่ "ออกแบบมาเพื่อแจ้งเตือนการโจมตี" คือ NIDS (Network Intrusion Detection System) แต่ในปัจจุบันส่วนใหญ่ใช้ NIPS/IPS (Intrusion Prevention System) หรือ Next-Gen Firewall ที่รวมความสามารถ Detect + Prevent + Context (App/User/Threat Intel) ในตัวเดียวกัน ติดตั้ง In-line ที่จุดสำคัญของเครือข่าย
