Network Hardening คืออะไร?
Network Hardening (การแข็งแกร่งเครือข่าย) คือ กระบวนการลด Attack Surface และปิดช่องโหว่ของอุปกรณ์และโครงสร้างเครือข่าย ให้อยู่ในสถานะปลอดภัยที่สุดเท่าที่จะเป็นไปได้ โดยการ:
- ปิด Service/Port/Protocol ที่ไม่จำเป็น
- เปลี่ยน Default Credentials และ Harden Authentication
- เปิดใช้งาน Security Features ทั้งหมด
- Enforce Encryption และ Secure Protocols
- Implement Monitoring & Logging
- Test & Validate เป็นประจำ
Hardening สำหรับ Network Devices (Router, Switch, Firewall, Wireless Controller)
1. Management Plane Hardening (ที่สำคัญที่สุด)
| มาตรการ | คำอธิบาย |
|---|
| Change Default Credentials | Admin/Password → Complex Unique Password + MFA (TACACS+/RADIUS) |
| Disable Unused Management Services | Telnet, HTTP, SNMP v1/v2c, HTTP Server, Cisco Discovery Protocol (CDP), LLDP (ถ้าไม่ใช้) |
| Enable Secure Protocols Only | SSH v2 Only, HTTPS (TLS 1.2+), SNMPv3 (AuthPriv), NETCONF/RESTCONF over TLS |
| Out-of-Band Management (OOB) | Management Network แยกจาก Production (VRF, Dedicated Interface, Console Server) |
| Jump Host / Bastion Host | Single Entry Point สำหรับ Admin Access, MFA, Logging, Recording |
| Role-Based Access Control (RBAC) | Least Privilege: Read-only, Operator, Admin, Super Admin |
| Management ACL / Control Plane Policing (CoPP) | จำกัด IP ที่เข้าจัดการได้ (Trusted Subnets Only), Rate-limit Control Plane |
| Certificate-based Authentication | SSH Certificates, Client Certs for Web UI, PKI Integration |
2. Control Plane Hardening
- Routing Protocol Authentication: OSPF (MD5/SHA), BGP (MD5/TCP-AO), ISIS (MD5/SHA)
- First Hop Security: DHCP Snooping, DAI (Dynamic ARP Inspection), IP Source Guard, RA Guard (IPv6)
- Control Plane Policing (CoPP): ป้องกัน DoS ต้นทาง Control Plane
- BGP Security: RPKI (Route Origin Validation), BGPsec, Prefix Filtering, Max-Prefix
3. Data Plane Hardening
- Access Control Lists (ACLs): Ingress/Egress Filtering, Anti-spoofing (BCP 38/84), Infrastructure ACLs
- Unicast Reverse Path Forwarding (uRPF): Strict/Loose Mode
- Port Security / MACsec (802.1AE): Encryption & Integrity บน Link
- Storm Control: Broadcast, Multicast, Unicast Storm Protection
- Private VLAN / Port Isolation: ป้องกัน East-West Attack ระหว่าง Host เดียว VLAN
4. Wireless Hardening (Wireless LAN Controller / Access Points)
- WPA3-SAE / WPA2-AES Only (Disable WPA/TKIP, WEP)
- Disable WPS (Critical Vulnerability)
- 802.1X (EAP-TLS/PEAP) + RADIUS (Enterprise) / SAE (Personal)
- Disable Broadcast SSID (Optional, Security by Obscurity)
- Client Isolation / AP Isolation
- Rogue AP Detection & Containment
- RF Management: Channel Planning, Transmit Power Control
Home Network Hardening (สำหรับ Home/SOHO)
- Router Placement: ตรงกลางบ้าน, ห่างจาก Microwave, Bluetooth, Thick Walls
- Change Default Admin Credentials (Admin + Complex Password)
- Change Default SSID (Don't Use Vendor/Model Name)
- Wi-Fi Password: WPA2-AES / WPA2/WPA3 Mixed / WPA3-SAE, 16+ chars
- Disable WPS, UPnP, Remote Management, UPnP, DMZ, Port Forwarding (ถ้าไม่ใช้)
- Guest Network: แยก IoT, Guest, Kids Devices
- Firmware Auto-Update: Enable ถ้ามี / Check Monthly
- DNS Security: Quad9 (9.9.9.9), NextDNS, Cloudflare 1.1.1.2 (Malware Blocking)
- Disable WAN Ping Response (Stealth Mode)
- Schedule Wi-Fi Off (Sleep Time) ถ้าไม่ใช้
System/Server Hardening (Complementary)
- CIS Benchmarks / DISA STIGs สำหรับ OS (Windows, Linux, Unix)
- Disable Unused Services, Ports, Protocols, Accounts
- Host-based Firewall (Windows Firewall, nftables/iptables, firewalld, ufw)
- Application Whitelisting (AppLocker, WDAC, SELinux, AppArmor)
- Disk Encryption (BitLocker, LUKS, FileVault)
- EDR/XDR Agent Installed & Healthy
- Centralized Log Forwarding (Syslog/Winlogbeat → SIEM)
- Automated Patching (WSUS, SCCM, Ansible, yum-cron, unattended-upgrades)
Verification & Testing (ยืนยันผลลัพธ์)
- Port Scan:
nmap -sS -p- target → คาดหวังเฉพาะ Port ที่อนุญาต
- Vulnerability Scan: Nessus, OpenVAS, Nuclei
- Configuration Audit: Nipper, kics, checkov (IaC), Vendor Tools
- Penetration Test: Annual / After Major Changes
- Compliance Check: CIS Benchmarks, PCI-DSS, NIST 800-53
Automation & Continuous Hardening
- Infrastructure as Code (Terraform, Ansible, Pulumi) → Version Control, Peer Review, CI/CD
- Policy as Code (OPA/Gatekeeper, Kyverno, Sentinel) → Enforce ใน Pipeline
- Drift Detection: เช็ค Config Drift ทุกวัน (GitOps, NetBox, Nautobot)
- Auto-Remediation: SOAR Playbooks สำหรับ Common Misconfigurations
สรุป: Network Hardening = Management Plane + Control Plane + Data Plane + Wireless + Home/Endpoint เริ่มจาก "ปิดสิ่งที่ไม่ใช้, เปลี่ยน Default, เปิด Encryption, จำกัด Access, Log ทุกอย่าง, Test ตลอดเวลา, Automate" เป็นกระบวนการต่อเนื่อง ไม่ใช่ One-time Task
