ปัจจุบันภัยคุกคามทางไซเบอร์พัฒนาไปไกลกว่าแค่ไวรัสธรรมดา การป้องกันเพียงแค่ “กำแพงบ้าน” หรือ Firewall ที่หน้าประตูอาจไม่เพียงพออีกต่อไป สิ่งที่องค์กรชั้นนำต้องตระหนักคือความจริงที่ว่า แฮกเกอร์อาจไม่ได้พยายามพังประตูเข้ามาเสมอไป แต่พวกเขาอาจจะมีกุญแจ หรือเข้ามาซ่อนตัวอยู่ในระบบของเราเรียบร้อยแล้ว
ปัญหาที่น่ากลัวที่สุดไม่ใช่การถูกเจาะระบบ แต่คือการที่ผู้บุกรุกสามารถเคลื่อนที่จากจุดเล็กๆ จุดหนึ่งไปยังระบบสำคัญที่เป็นหัวใจขององค์กรได้อย่างอิสระ หรือที่เรียกว่า Lateral Movement การขาดการแบ่งส่วนเครือข่ายที่ดีก็เหมือนกับเรือไททานิคที่เมื่อน้ำเข้าห้องเครื่องห้องหนึ่งแล้ว สามารถไหลทะลักไปท่วมห้องอื่นๆ จนจมทั้งลำได้ในที่สุด
วันนี้ Tangerine จะพาไปเจาะลึก Network Segmentation Strategy ยุทธวิธีสำคัญที่จะช่วยจำกัดวงความเสียหาย และเปลี่ยนจากวิกฤตใหญ่ให้กลายเป็นเพียงเหตุการณ์ที่ควบคุมได้
ทำไม Network Segmentation จึงสำคัญในการหยุดยั้งการโจมตี
แนวคิดของ Network Segmentation คือการซอยย่อยเครือข่ายขนาดใหญ่ให้กลายเป็นโซนเล็กๆ ที่แยกออกจากกันอย่างชัดเจน หากเปรียบเทียบให้เห็นภาพง่ายที่สุดคือการออกแบบเรือดำน้ำที่มีประตูกั้นน้ำหลายชั้น หากส่วนไหนเสียหาย เราก็แค่ปิดตายส่วนนั้น เพื่อรักษาชีวิตของคนทั้งลำเอาไว้
https://www.fortinet.com/resources/cyberglossary/network-segmentation
ในเชิงเทคนิค วิธีการนี้ช่วยหยุดยั้งแฮกเกอร์ได้ชะงัก เพราะเมื่อพวกเขาเจาะเข้ามาที่เครื่องคอมพิวเตอร์ของพนักงานทั่วไปได้แล้ว พยายามจะกระโดดข้ามไปโจมตี Server เก็บฐานข้อมูลลูกค้า หรือระบบการเงิน พวกเขาจะเจอกับทางตัน หรือต้องใช้ความพยายามมหาศาลในการเจาะผ่าน Policy ที่เรากั้นไว้ ซึ่งในระหว่างที่พยายามเจาะผ่านด่านเหล่านั้น ระบบตรวจจับของเราก็จะแจ้งเตือนให้ทีม Security เข้าจัดการได้ทันท่วงที
ประโยชน์ที่มากกว่าแค่ความปลอดภัย
นอกจากเรื่อง Security แล้ว การแบ่ง Segmentation ยังช่วยเพิ่มประสิทธิภาพของระบบเครือข่ายโดยรวม ลดปัญหาความแออัดของการส่งข้อมูล หรือ Network Congestion เพราะข้อมูลที่ไม่เกี่ยวข้องกันจะไม่วิ่งข้ามไปรบกวนโซนอื่น ทำให้แอปพลิเคชันสำคัญทำงานได้ลื่นไหลขึ้น และที่สำคัญยังช่วยให้การทำ Compliance ตามมาตรฐานต่างๆ เช่น ISO 27001 หรือ PCI DSS ทำได้ง่ายและชัดเจนยิ่งขึ้น
กลยุทธ์การแบ่ง Segmentation ให้มีประสิทธิภาพ
การแบ่งเครือข่ายไม่ได้มีสูตรสำเร็จตายตัว แต่สำหรับองค์กรที่ต้องการความปลอดภัยระดับสูง เราแนะนำให้มองผ่าน 3 เลเยอร์สำคัญ ดังนี้
1. Macro-segmentation การแบ่งตามโครงสร้างพื้นฐาน
learningnetwork.cisco.com/s/article/software-defined-segmentation-a-primer
นี่คือด่านแรกที่ทุกองค์กรควรทำ คือการแยกวง VLAN ตามแผนกหรือตามประเภทของอุปกรณ์ เช่น แยกเครือข่ายของแผนกบัญชีออกจากแผนกฝ่ายขาย แยกเครือข่าย Wi-Fi สำหรับแขก (Guest) ออกจากพนักงาน หรือแยกอุปกรณ์ IoT ที่มีความปลอดภัยต่ำออกจาก Server หลัก การทำเช่นนี้ช่วยให้เรากำหนดนโยบายกว้างๆ ได้ว่า ใครมีสิทธิ์คุยกับใครได้บ้าง
2. Micro-segmentation ความละเอียดระดับแอปพลิเคชัน
learningnetwork.cisco.com/s/article/software-defined-segmentation-a-primer
เมื่อโลกเข้าสู่ยุค Cloud และ Virtualization การแบ่งแค่ VLAN อาจหยาบเกินไป Micro-segmentation จึงเข้ามามีบทบาทสำคัญด้วยการอนุญาตให้เรากำหนดนโยบายความปลอดภัยลงลึกไปถึงระดับเครื่องต่อเครื่อง หรือแอปพลิเคชันต่อแอปพลิเคชัน ไม่ว่าเครื่องนั้นจะตั้งอยู่ที่ไหนใน Data Center หรือบน Cloud ก็ตาม แนวทางนี้สอดคล้องกับหลักการ Zero Trust อย่างสมบูรณ์แบบ คือไม่เชื่อใจใครเลย แม้จะอยู่ใน Network เดียวกันก็ตาม
3. Application Segmentation ปกป้องสินทรัพย์ที่มีค่าที่สุด
สำหรับข้อมูลที่มีความสำคัญสูงสุด หรือ Crown Jewels ขององค์กร เราจำเป็นต้องสร้างเกราะป้องกันเฉพาะกิจ โดยการจำกัดการเข้าถึงให้เหลือเฉพาะ Process หรือ User ที่จำเป็นจริงๆ เท่านั้น วิธีนี้จะช่วยลด Attack Surface หรือพื้นที่การโจมตีให้เหลือน้อยที่สุด
บทความน่าสนใจ : เจาะลึก 8 โซลูชัน Cyber Security ที่บริษัทไทยยุคใหม่ต้องมี
เจาะลึก 3 เทคโนโลยีผู้นำตลาด อาวุธหนักในการทำ Segmentation
การจะวางระบบ Segmentation ให้แข็งแกร่งและบริหารจัดการได้จริง จำเป็นต้องเลือกใช้เครื่องมือที่เปี่ยมประสิทธิภาพจากผู้นำตลาด ซึ่งแต่ละค่ายต่างก็มีจุดเด่นที่ช่วยเสริมแกร่งในเลเยอร์ที่แตกต่างกัน ดังนี้
1. Cisco รากฐานที่แข็งแกร่งจากการยืนยันตัวตน
Cisco เป็นเจ้าตลาดด้าน Network Infrastructure ที่วางรากฐานเรื่อง Segmentation ไว้อย่างแนบเนียนผ่านเทคโนโลยี Cisco Identity Services Engine (ISE) และ Cisco TrustSec
www.cisco.com/c/en/us/solutions/collateral/enterprise-networks/software-defined-access/solution-overview-c22-739012.html
แนวทางของ Cisco คือการใช้ Software-Defined Access (SDA) เข้ามาช่วย โดยไม่ได้มองแค่ว่า IP Address ไหนคุยกันได้ แต่มองลึกลงไปว่า “ใคร” หรือ “อุปกรณ์ประเภทไหน” กำลังใช้งานอยู่ ระบบจะทำการติด Tag ให้กับข้อมูลที่วิ่งอยู่ในเครือข่าย เพื่อกำหนดสิทธิ์การเข้าถึงตั้งแต่ต้นทาง ไม่ว่าผู้ใช้งานจะเสียบสายแลนที่โต๊ะทำงาน หรือเชื่อมต่อ Wi-Fi จากโรงอาหาร นโยบายความปลอดภัยก็จะตามติดตัวผู้ใช้งานไปทุกที่ ทำให้การแบ่ง Segmentation มีความยืดหยุ่นสูงและจัดการได้ง่ายแม้ในองค์กรที่มีขนาดใหญ่มาก
2. VMware (Broadcom) เจ้าแห่ง Micro-segmentation ใน Data Center
เมื่อพูดถึงการป้องกันภายใน Data Center หรือการจัดการ Traffic ที่วิ่งระหว่าง Server ด้วยกันเอง (East-West Traffic) ไม่มีใครเชี่ยวชาญไปกว่า VMware ด้วยโซลูชัน VMware NSX
https://www.techrepublic.com/article/vmware-nsx-the-smart-persons-guide
จุดเด่นที่สุดของ NSX คือการทำ Distributed Firewall ซึ่งเปรียบเสมือนการนำ Firewall ไปแปะติดไว้ที่หน้าประตูของ Virtual Machine ทุกเครื่อง การทำเช่นนี้ทำให้เราสามารถสร้างกฎ Micro-segmentation ที่ละเอียดระดับรายเครื่องได้โดยไม่กระทบต่อประสิทธิภาพของเครือข่าย เพราะไม่ต้องส่งข้อมูลวิ่งย้อนกลับไปหา Hardware Firewall ตัวใหญ่เพื่อตรวจสอบ วิธีนี้ช่วยปิดช่องโหว่การโจมตีข้ามเครื่องภายใน Server Farm ได้อย่างชะงัด และเป็นหัวใจสำคัญของ Modern Data Center
3. Palo Alto Networks การมองเห็นที่ลึกซึ้งระดับแอปพลิเคชัน
หากต้องการความฉลาดในการคัดกรอง Traffic ที่มีความซับซ้อน Palo Alto Networks คือคำตอบด้วยเทคโนโลยี Next-Generation Firewall (NGFW) ที่โดดเด่นเรื่องการระบุตัวตนของแอปพลิเคชัน (App-ID)
https://www.paloaltonetworks.com/cyberpedia/what-is-a-next-generation-firewall-ngfw
ในขณะที่ Firewall ทั่วไปอาจเห็นแค่พอร์ตและการเชื่อมต่อ แต่ Palo Alto Networks สามารถแยกแยะได้ว่าข้อมูลที่วิ่งอยู่นั้นคือแอปพลิเคชันอะไร เป็นการใช้งานปกติหรือเป็นมัลแวร์ที่แฝงตัวมา นอกจากนี้ยังสามารถแบ่งโซนความปลอดภัยตามความเสี่ยงของผู้ใช้งานและเนื้อหาของข้อมูลได้อย่างแม่นยำ ช่วยให้การทำ Segmentation ไม่ใช่แค่การปิดกั้นเส้นทาง แต่คือการคัดกรองเนื้อหาที่ปลอดภัยให้ผ่านไปได้เท่านั้น
ก้าวข้ามความท้าทายด้วยมุมมองแบบ Expert
หลายองค์กรล้มเหลวในการทำ Network Segmentation เพราะทำแล้วระบบ “ตึง” เกินไปจนกระทบต่อการทำงาน หรือทำแล้วซับซ้อนจนดูแลไม่ไหว กุญแจสำคัญคือ Visibility หรือการมองเห็นภาพรวมของ Traffic ทั้งหมดในองค์กรก่อนเริ่มลงมือทำ
ที่ Tangerine เรายึดถือหลักการ “See it, Segment it, Secure it” คือต้องเห็นก่อนว่าข้อมูลไหลไปทางไหน แอปพลิเคชันใดคุยกันบ้าง จากนั้นจึงค่อยออกแบบ Policy ที่ไม่ไปขัดขวาง Business Flow ปกติ แต่จะทำงานทันทีเมื่อมีพฤติกรรมที่ผิดแปลกไป
ทำไมต้อง Tangerine?
Tangerine เราคือ System Integrator ที่เข้าใจบริบทของธุรกิจและสถาปัตยกรรมไอทีอย่างถ่องแท้ เรามีความเชี่ยวชาญในการดึงศักยภาพสูงสุดของทั้ง Cisco, VMware, Palo Alto Networks และอื่นๆ มาทำงานร่วมกันภายใต้กลยุทธ์ Defense-in-Depth
ทีมวิศวกรของเรามีประสบการณ์ในการออกแบบ Network Segmentation ให้กับองค์กรชั้นนำระดับประเทศ โดยยึดหลักการที่สมดุลระหว่างความปลอดภัยสูงสุดและการดำเนินธุรกิจที่ลื่นไหล เราพร้อมช่วยคุณตั้งแต่ขั้นตอนการวิเคราะห์ Traffic (Visibility), การออกแบบ Policy ที่เหมาะสม (Design), ไปจนถึงการติดตั้งและดูแลรักษา (Implementation & Support)
อย่ารอให้ภัยคุกคามมาเคาะประตูบ้านแล้วค่อยเริ่มวางแผน หากคุณต้องการยกระดับความปลอดภัยองค์กรด้วย Network Segmentation Strategy ที่ได้มาตรฐานสากลและออกแบบมาเพื่อคุณโดยเฉพาะ Tangerine พร้อมเป็นพาร์ตเนอร์ที่เดินเคียงข้างคุณในทุกก้าวของความสำเร็จทางดิจิทัล
สนใจบริการหรือสอบถามข้อมูลเพิ่มเติม
- Website: https://www.tangerine.co.th/contact-us/
- Email: marketing@tangerine.co.th
- Tel: 02-285-5511
หน้าแรก 
โซลูชั่น 
โทร 
ติดต่อเรา