คำกำกับดูแล: Internet Security vs Network Security
| มิติ | Network Security (ความปลอดภัยเครือข่าย) | Internet Security (ความปลอดภัยอินเทอร์เน็ต) |
|---|
| ขอบเขต (Scope) | ปกป้อง โครงสร้างพื้นฐานเครือข่าย (Network Infrastructure) รวมถึง Router, Switch, Firewall, Wireless, VPN, Segmentation | ปกป้อง การสื่อสารและกิจกรรมบนอินเทอร์เน็ต รวมถึง Web Browsing, Email, Cloud Services, Online Transactions |
| เป้าหมายหลัก | ป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต การใช้งานผิดวัตถุประสงค์ และการรบกวนเครือข่ายภายในองค์กร/บ้าน | ป้องกันภัยคุกคามจากอินเทอร์เน็ต: Malware, Phishing, Drive-by Download, MitM, Data Theft ระหว่างการส่งผ่านสาธารณะ |
| เทคโนโลยี/เครื่องมือ | Firewall (L3-L4/L7), IDS/IPS, NAC, VPN, Network Segmentation (VLAN, Micro-seg), SD-WAN Security, DDoS Protection | Secure Web Gateway (SWG), Email Security Gateway, CASB, DLP, Browser Isolation, DNS Security, Threat Intelligence |
| ข้อมูลที่ปกป้อง | Data in Motion (บนสายเคเบิล/ไร้สายใน LAN/WAN) + Network Devices Config | Data in Transit (Public Internet) + Web/Cloud/App Data + User Identity |
| การจัดการ | Network Team / Infra Team | Security Team / SOC / Cloud Team |
| มาตรฐาน/เฟรมเวิร์ก | NIST 800-41, 800-125, ISO 27001 Annex A.13, PCI-DSS Req 1 | NIST 800-53 SC-7, ISO 27001 A.13.2, OWASP Top 10, MITRE ATT&CK |
Network Security (ความปลอดภัยเครือข่าย) - รายละเอียด
องค์ประกอบหลัก
- Perimeter Security: Firewall (Next-Gen), IPS, DDoS Protection
- Network Access Control (NAC): 802.1X, MAB, Posture Assessment, Guest/Quarantine VLAN
- Segmentation: VLAN, VRF, Micro-segmentation (Cisco ACI, VMware NSX, Illumio)
- Secure Remote Access: VPN (IPsec, SSL), ZTNA (Zero Trust Network Access), SDP
- Wireless Security: WPA3-Enterprise, 802.1X, Certificate-based Auth
- Monitoring & Visibility: NetFlow, PCAP, NTA/NDR, Zeek, Suricata
- Infrastructure Hardening: Router/Switch Hardening, Control Plane Policing, Secure Management Plane
Internet Security (ความปลอดภัยอินเทอร์เน็ต) - รายละเอียด
องค์ประกอบหลัก
- Web Security (SWG): URL Filtering, Malware Scanning, SSL Inspection, DLP, RBI (Remote Browser Isolation)
- Email Security: Anti-Spam, Anti-Phishing, Sandbox, DMARC/DKIM/SPF, BEC Protection
- Cloud Access Security (CASB): Shadow IT Discovery, Data Protection, Threat Protection, Compliance (SaaS: O365, GWS, Salesforce)
- DNS Security: DNS Filtering, DNS over HTTPS/TLS, Threat Intelligence Feeds
- Application Security: WAF, API Security, Bot Management, Client-side Protection
- Data Protection: DLP (Endpoint/Network/Cloud), Encryption, Tokenization, Rights Management
- Identity & Access (Internet-facing): MFA, SSO, Conditional Access, Identity Protection
ความสัมพันธ์: Overlap และ Convergence
ในโลกปัจจุบัน (Cloud, Remote Work, Zero Trust) ขอบเขตทั้งสองทับซ้อนกันมาก:
- SASE (Secure Access Service Edge): รวม Network Security (FWaaS, ZTNA, SD-WAN) + Internet Security (SWG, CASB, DLP) ใน Cloud Service เดียว
- SSE (Security Service Edge): ส่วน Security ของ SASE (ไม่รวม SD-WAN)
- Zero Trust Network Access (ZTNA): แทน VPN แบบเดิม ให้การเข้าถึงแบบ Least Privilege ไม่ว่าจะ On-prem หรือ Cloud
- Firewall ตอนนี้ทำได้ทั้งสองอย่าง: NGFW (Palo Alto, FortiGate, Check Point) ทำ App Control, URL Filtering, SSL Inspection, IPS ได้หมด
ตัวอย่างการใช้งานจริง (Use Cases)
| สถานการณ์ | Network Security | Internet Security |
|---|
| พนักงานในออฟฟิศเข้าถึง File Server ภายใน | ✅ NAC, Segmentation, Firewall Rules | - |
| พนักงาน Work From Home เข้า ERP ผ่าน VPN | ✅ VPN, ZTNA | ✅ SSL Inspection, DLP |
| User คลิกลิงก์ Phishing ใน Email | - | ✅ Email Security, SWG, EDR |
| Malware โหลด Payload จาก C2 Server บน Internet | ✅ Firewall Egress Rules, NTA | ✅ Threat Intel, DNS Security, SWG |
| IoT Device ถูกบุกครั้ง ทำ DDoS | ✅ Segmentation, IoT Profiling, DDoS Protection | - |
| Data Leak ผ่าน Google Drive/OneDrive | - | ✅ CASB, DLP, Insider Risk |
สรุป
- Network Security: ปกป้อง "ท่อ" และ "สวิตช์" ขององค์กร (Infrastructure-centric)
- Internet Security: ปกป้อง "การเดินทาง" และ "จุดหมายปลายทาง" บนอินเทอร์เน็ต (Traffic/Cloud-centric)
- Trend: รวมกันเป็น SASE/SSE/Zero Trust เพราะขอบเขตเครือข่ายหายไป (No Perimeter)
- ทั้งคู่จำเป็น: ไม่มีอันไหน "ดีกว่า" ต้องทำทั้งคู่แบบ Integrated (Defense in Depth)
