Firewall ในความปลอดภัยเครือข่าย คืออะไร ประเภท และการทำงาน

Firewall คืออะไร?

Firewall (ไฟร์วอลล์) คือระบบความปลอดภัย (ฮาร์ดแวร์ ซอฟต์แวร์ หรือทั้งคู่) ที่ใช้กรองและควบคุมการจราจรข้อมูลในเครือข่ายตามกฎเกณฑ์ที่กำหนดไว้ล่วงหน้า เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต และบล็อกภคุกคุกคามจากภายนอกและภายในองค์กร

การทำงานของ Firewall

• ตรวจสอบแพ็กเก็ตข้อมูล (Packet Inspection): วิเคราะห์ Header และ Payload ของแพ็กเก็ต
• เปรียบเทียบกับกฎ (Rule Matching): ตรวจสอบว่าแพ็กเก็ตตรงกับกฎ Allow หรือ Deny ไหน
• ตัดสินใจ (Decision): อนุญาต (Allow) บล็อก (Block/Drop) หรือปฏิเสธ (Reject)
• บันทึก Log: จดบันทึกกิจกรรมเพื่อการตรวจสอบและสืบสวนภายหลัง

3 หน้าที่หลักของ Firewall

1. เป็นจุดควบคุมความปลอดภัยเครือข่าย (Security Checkpoint): จุดตรวจคนเข้าออกของข้อมูล
2. ป้องกันการรั่วไหลข้อมูลลับ (Data Loss Prevention): บล็อกข้อมูล nhạy cảmออกนอกองค์กร
3. บันทึกกิจกรรมผู้ใช้ (Logging & Auditing): มีหลักฐานสำหรับการตรวจสอบและปฏิบัติตามกฎระเบียบ

ประเภทของ Firewall (แบ่งตามเทคโนโลยีและความสามารถ)

1. Packet Filtering Firewall (ไฟร์วอลล์กรองแพ็กเก็ต) - รุ่นแรก

• ตรวจสอบ Header แพ็กเก็ต: Source/Destination IP, Port, Protocol
• เร็ว ใช้ทรัพยากรน้อย แต่ไม่เห็น Context ของการเชื่อมต่อ
• เหมาะสำหรับการกรองพื้นฐาน

2. Stateful Inspection Firewall (ไฟร์วอลล์ตรวจสอบสถานะ) - รุ่นที่ 2

• จำสถานะการเชื่อมต่อ (Connection State) ไว้ใน State Table
• รู้ว่าแพ็กเก็ตไหนเป็นส่วนหนึ่งของการเชื่อมต่อที่ถูกต้อง
• ปลอดภัยกว่า Packet Filtering มาก

3. Proxy Firewall / Application-Level Gateway (ไฟร์วอลล์โปร็กซี/ระดับแอปพลิเคชัน)

• ทำงานที่ Layer 7 (Application Layer)
• ทำหน้าที่เป็นกลาง (Intermediary) ระหว่าง Client และ Server
• ตรวจสอบเนื้อหาได้ลึก (Deep Packet Inspection - DPI)
• รองรับโปรโตคอลเฉพาะ (HTTP, FTP, DNS, SMTP)
• ช้ากว่า แต่ปลอดภัยที่สุดในรุ่นแรกๆ

4. Next-Generation Firewall (NGFW) - รุ่นปัจจุบันมาตรฐานองค์กร

• รวม Stateful Inspection + Application Awareness + IPS (Intrusion Prevention System)
• รู้จักแอปพลิเคชัน (App-ID) ไม่ใช่แค่ Port
• มีการป้องกันมัลแวร์ (Anti-Malware/Sandboxing)
• รองรับ SSL/TLS Inspection (ถอดรหัสเข้ารหัสเพื่อตรวจสอบ)
• มี Threat Intelligence และอัปเดตลายมือภคุกคุกคามอัตโนมัติ
• ตัวอย่าง: Palo Alto Networks, Fortinet FortiGate, Check Point, Cisco Firepower

5. Unified Threat Management (UTM) Firewall

• All-in-One: Firewall + VPN + Antivirus + Anti-Spam + Web Filtering + IPS
• เหมาะสำหรับองค์กรขนาดเล็ก-กลาง (SMB) ที่ต้องการโซลูชันครบวงจรในกล่องเดียว
• ตัวอย่าง: FortiGate, Sophos XG, WatchGuard, SonicWall

Firewall ทำงานที่ Layer ไหนของโมเดล OSI?

ตัวอย่างกฎ Firewall (Firewall Rules)

# อนุญาต HTTP/HTTPS จากเครือข่ายภายในไปอินเทอร์เน็ต
Allow  Source: 192.168.1.0/24  Dest: Any  Port: 80,443  Protocol: TCP

# บล็อกการเข้าถึง SSH จากภายนอก
Deny   Source: Any  Dest: 192.168.1.10  Port: 22  Protocol: TCP

# อนุญาต VPN จากพนักงานระยะไกล
Allow  Source: VPN_Pool  Dest: Internal_Servers  Port: Any  Protocol: Any

Firewall แบบฮาร์ดแวร์ vs ซอฟต์แวร์

Best Practices การจัดการ Firewall

1. Default Deny: ปิดทุกอย่างก่อน เปิดเฉพาะที่จำเป็น
2. Least Privilege: ให้สิทธิ์เข้าถึงน้อยที่สุดเท่าที่จะทำงานได้
3. Segment Network: แบ่งโซน (DMZ, Internal, Server, Guest) ใช้ Firewall ระหว่างโซน
4. Log และ Monitor: ส่ง Log ไป SIEM ตั้งค่า Alert สำหรับเหตุการณ์ผิดปกติ
5. Review Rules ประจำไตรมาส: ลบกฎเก่า/ไม่ใช้ ปรับให้ทันภคุกคุกคามใหม่
6. Update Signatures/Firmware: อัปเดตลายมือภคุกคุกคามและเฟิร์มแวร์อัตโนมัติ
7. Test Failover: ทดสอบ HA (High Availability) ให้พร้อม

สรุป

Firewall เป็นกำแพงป้องกันเส้นแรกและสำคัญที่สุดของเครือข่าย ปัจจุบันองค์กรควรใช้ Next-Generation Firewall (NGFW) ที่รวมความสามารถครบวงจร: Application Control, IPS, Malware Prevention, SSL Inspection และ Threat Intelligence เพื่อเผชิญหน้ากับภคุกคุกคามสมัยใหม่ที่ซับซ้อนและหลบเลี่ยง Firewall แบบเดิมได้