ไฟร์วอลล์ VPN & การแบ่งโซนเครือข่าย

01ด่านตรวจของเครือข่าย Why networks need checkpoints

แปดโมงครึ่งเช้าวันจันทร์ พนักงานบัญชีคนหนึ่งเปิดไฟล์แนบที่หน้าตาเหมือนใบแจ้งหนี้ธรรมดา ไม่ถึงนาที เครื่องของเธอก็ติดมัลแวร์ คำถามที่ชี้ชะตาบริษัทหลังจากนั้นไม่ใช่ “เครื่องนี้โดนหรือเปล่า” แต่คือ “จากเครื่องนี้ มันเดินต่อไปถึงไหนได้บ้าง”

ลองนึกถึงสองบริษัทที่โดนไฟล์แนบเดียวกันในเช้าเดียวกัน บริษัทแรกเสียแล็ปท็อปไปหนึ่งเครื่อง ฝ่ายไอทีล้างเครื่องเสร็จก่อนพักเที่ยง อีกบริษัทต้องปิดสำนักงานไปหลายวัน เพราะมัลแวร์ไต่จากเครื่องบัญชีไปถึงเซิร์ฟเวอร์ไฟล์ ฐานข้อมูลลูกค้า และระบบสำรองข้อมูล ความต่างของสองบริษัทนี้ไม่ได้อยู่ที่โชค แต่อยู่ที่ การออกแบบเครือข่าย ซึ่งเป็นเรื่องของบทนี้ทั้งบท

ก่อนไปถึงตรงนั้น ขอทวนพื้นฐานจาก CASE-007 สักนิด ข้อมูลทุกอย่างที่วิ่งบนเครือข่าย ไม่ว่าจะเป็นรูปภาพ ข้อความแชต หรือคลิปวิดีโอ จะถูกหั่นเป็นก้อนเล็ก ๆ เรียกว่า แพ็กเก็ต (packet) แต่ละก้อนมี “หัวจดหมาย” แปะไว้ บอกว่ามาจากที่อยู่ไหน จะไปที่อยู่ไหน และจะไปหาบริการช่องไหนของเครื่องปลายทาง

ที่อยู่ของเครื่องคือ หมายเลข IP ส่วนช่องบริการคือ พอร์ต (port) นึกถึงที่ทำการไปรษณีย์ใหญ่ ๆ อาคารเดียวมีหลายช่องบริการ ช่องหนึ่งรับพัสดุ ช่องหนึ่งขายแสตมป์ อีกช่องรับชำระค่าน้ำค่าไฟ เซิร์ฟเวอร์ก็เหมือนกัน เว็บไซต์ HTTPS รอลูกค้าอยู่ที่ช่อง 443 ระบบชื่อโดเมน (DNS) อยู่ช่อง 53 ส่วนการรีโมตเข้าไปสั่งงานเครื่อง Windows อยู่ช่อง 3389

ศัพท์น่ารู้: แพ็กเก็ต (Packet) และพอร์ต (Port)

แพ็กเก็ตคือข้อมูลก้อนเล็กที่มีหัวบอกที่อยู่ต้นทาง ปลายทาง และพอร์ต ส่วนพอร์ตคือหมายเลขช่องบริการของเครื่องปลายทาง มีตั้งแต่ 0 ถึง 65535 กฎความปลอดภัยเครือข่ายเกือบทั้งหมดเขียนขึ้นจากข้อมูลบนหัวแพ็กเก็ตเหล่านี้

ในเมื่อแพ็กเก็ตนับล้านก้อนวิ่งเข้าออกตลอดเวลา เราจึงต้องมี “ด่านตรวจ” คอยดูหัวจดหมายทุกก้อน แล้วตัดสินว่าก้อนไหนผ่านได้ ก้อนไหนต้องตีกลับ ด่านนี้คือ ไฟร์วอลล์ (firewall) และถ้าเรากั้นเครือข่ายข้างในเป็นห้อง ๆ แล้ววางด่านไว้ทุกประตู คนร้ายที่เข้ามาได้หนึ่งห้องก็จะเดินต่อได้ยากขึ้นมาก

บทนี้จะตอบสามคำถามใหญ่ ไล่จากพื้นฐานไปถึงสิ่งที่องค์กรจริงทำกัน

• ไฟร์วอลล์ตัดสินอย่างไรว่าอะไรผ่านได้ และทำไมลำดับของกฎถึงสำคัญนัก
• จะกั้นเครือข่ายเป็นโซนอย่างไร ไม่ให้เครื่องเดียวพาพังทั้งบ้าน
• VPN และระบบตรวจจับการบุกรุกช่วยอะไรได้ และช่วยอะไรไม่ได้

02ไฟร์วอลล์อ่านกฎทีละบรรทัด Firewall rules

ไฟร์วอลล์ทำงานเหมือน รปภ. หน้าหมู่บ้านที่ถือสมุดรายชื่อไว้หนึ่งเล่ม รถทุกคันที่จะเข้ามาต้องหยุดให้ตรวจ รปภ. เปิดสมุดจากหน้าแรก ไล่ลงมาทีละบรรทัด เจอบรรทัดไหนตรงกับรถคันนั้นก่อน ก็ทำตามบรรทัดนั้นทันที แล้วปิดสมุด ไม่อ่านต่อ

สมุดเล่มนั้นในโลกไฟร์วอลล์เรียกว่า รายการกฎ (rule list หรือ access control list) กฎหนึ่งบรรทัดมีส่วนประกอบหลักห้าอย่าง คือ จะ อนุญาต (allow) หรือ ปฏิเสธ (deny) มาจากต้นทางไหน ไปปลายทางไหน ใช้พอร์ตอะไร และใช้โปรโตคอลอะไร เช่น TCP หรือ UDP

บรรทัดสุดท้ายในภาพคือบรรทัดที่สำคัญที่สุด มันคือหลัก ปฏิเสธไว้ก่อน (default deny) อะไรที่เราไม่ได้เขียนอนุญาตไว้ชัด ๆ ให้ถือว่าห้ามทั้งหมด ฟังดูเข้มงวด แต่ลองคิดกลับด้าน ถ้าตั้งเป็น “อนุญาตไว้ก่อน แล้วค่อยไล่ห้ามสิ่งที่อันตราย” เราต้องรู้ล่วงหน้าว่าคนร้ายจะมาทางไหนบ้าง ซึ่งไม่มีใครรู้ได้ครบ

ศัพท์น่ารู้: Default deny และสิทธิ์น้อยที่สุด (Least privilege)

Default deny คือการตั้งต้นจากห้ามทุกอย่าง แล้วเปิดเฉพาะที่จำเป็น เป็นการนำหลักสิทธิ์น้อยที่สุดมาใช้กับเครือข่าย ให้แต่ละเครื่องคุยกับเครื่องอื่นได้เท่าที่งานต้องใช้จริง ไม่มากกว่านั้น

ลำดับผิด ชีวิตเปลี่ยน

เพราะไฟร์วอลล์หยุดที่บรรทัดแรกที่ตรง ลำดับของกฎจึงสำคัญพอ ๆ กับตัวกฎ ความผิดพลาดคลาสสิกคือมีคนเพิ่มกฎ “อนุญาตทั้งหมด” ไว้บนสุดเพื่อทดสอบอะไรบางอย่าง แล้วลืมลบ กฎห้ามที่เขียนไว้อย่างดีข้างล่างทั้งหมดจะไม่ถูกอ่านอีกเลย

#  action  source        destination   port
1  allow   any           any           any    # เปิดไว้ทดสอบ "แป๊บเดียว"
2  deny    any           any           3389
3  deny    any           any           any

#  action  source        destination   port
1  allow   any           10.0.1.10     443    # เว็บไซต์บริษัท
2  allow   10.0.2.0/24   any           443    # พนักงานเข้าเว็บ
3  deny    any           any           3389   # ห้ามรีโมตเดสก์ท็อป
4  deny    any           any           any    # default deny

ในองค์กรใหญ่ กฎไฟร์วอลล์งอกขึ้นเรื่อย ๆ จนมีหลายร้อยหรือหลายพันบรรทัด กฎเก่าที่ไม่มีใครจำได้ว่าเปิดไว้ทำไมคือช่องโหว่ที่เงียบที่สุด ทีมที่ดีจึงใส่หมายเหตุทุกกฎว่าใครขอ ขอเพื่ออะไร และทบทวนเป็นรอบ ๆ อะไรที่ไม่มีเจ้าของก็ปิดทิ้ง

อย่าลืมขาออก

คนส่วนใหญ่นึกถึงไฟร์วอลล์ว่ากันของจากข้างนอกเข้ามา (ขาเข้า หรือ inbound) แต่กฎ ขาออก (outbound หรือ egress) สำคัญไม่แพ้กัน มัลแวร์ที่เข้ามาได้แล้วยังต้อง “โทรกลับบ้าน” ไปหาเซิร์ฟเวอร์สั่งการของคนร้าย และต้องส่งข้อมูลที่ขโมยได้ออกไปข้างนอก ถ้าเซิร์ฟเวอร์ที่ปกติไม่เคยต้องคุยกับอินเทอร์เน็ตถูกห้ามออกนอกตั้งแต่แรก ขั้นตอนเหล่านี้ของคนร้ายก็สะดุดทันที

03ไฟร์วอลล์ที่จำได้ว่าใครคุยกับใคร Stateless vs stateful

ไฟร์วอลล์รุ่นแรก ๆ ดูแพ็กเก็ตทีละก้อนแบบไม่มีความจำเลย เรียกว่า ไฟร์วอลล์แบบไร้สถานะ (stateless หรือ packet filter) มันเห็นหัวจดหมายตรงหน้า เทียบกับกฎ แล้วจบ ไม่รู้ว่าก้อนนี้เป็นส่วนหนึ่งของบทสนทนาไหน

ปัญหาเกิดตอนเราเปิดเว็บ เครื่องเราส่งคำขอออกไปหาเซิร์ฟเวอร์ที่พอร์ต 443 แต่คำตอบที่วิ่งกลับมาจะกลับมาที่ พอร์ตชั่วคราว เลขสูง ๆ ฝั่งเครื่องเรา เช่น 51544 ซึ่งสุ่มใหม่แทบทุกครั้ง ไฟร์วอลล์ไร้สถานะแยกไม่ออกว่าก้อนไหนคือคำตอบ เลยต้องเปิดพอร์ตขาเข้าช่วงกว้าง ๆ ค้างไว้ เผื่อให้คำตอบกลับเข้ามาได้ และประตูที่กว้างขนาดนั้น คนร้ายก็เดินเข้าได้เหมือนกัน

ไฟร์วอลล์ยุคปัจจุบันจึงเป็นแบบ มีสถานะ (stateful) มันมี “สมุดจด” ที่เรียกว่าตารางการเชื่อมต่อ (state table) ทุกครั้งที่เครื่องข้างในเริ่มคุยกับใครข้างนอก มันจะจดไว้ว่าใครคุยกับใคร ผ่านพอร์ตไหน พอแพ็กเก็ตขาเข้าวิ่งมา มันก็เปิดสมุดดูว่า “นี่เป็นคำตอบของบทสนทนาที่ข้างในเริ่มไว้หรือเปล่า” ถ้าใช่ก็ให้ผ่าน ถ้าไม่ใช่ก็ทิ้ง

เหมือน รปภ. คอนโดที่จดไว้ว่า “ห้อง 1204 สั่งข้าวมันไก่ร้านปากซอย” พอไรเดอร์ถือถุงข้าวมันไก่มาส่งห้อง 1204 ก็ให้ขึ้นไปได้เลย แต่ถ้ามีใครเดินมาบอกว่า “มาส่งของห้อง 1204” โดยไม่มีออร์เดอร์อยู่ในสมุด รปภ. ก็ไม่ปล่อยขึ้น

ไฟร์วอลล์ในเราเตอร์บ้าน ในระบบปฏิบัติการ และในองค์กรเกือบทั้งหมดทุกวันนี้เป็นแบบมีสถานะแล้ว ผลพลอยได้สำคัญคือ เครื่องในบ้านเราจะไม่ถูกใครจากอินเทอร์เน็ตเรียกเข้ามาตรง ๆ ถ้าเราไม่ได้จงใจเปิดช่องให้เอง เช่น ตั้งส่งต่อพอร์ต (port forwarding) ไว้ในเราเตอร์ ข้อนี้จะกลับมาสำคัญอีกครั้งในหัวข้อเครือข่ายที่บ้าน

ศัพท์น่ารู้: ขาเข้า–ขาออก (Inbound / Outbound)

Inbound คือการเชื่อมต่อที่เริ่มจากข้างนอกเข้ามา Outbound คือที่เริ่มจากข้างในออกไป ไฟร์วอลล์มีสถานะรู้ว่า “ใครเป็นฝ่ายเริ่ม” จึงตั้งกฎแบบ “ข้างในเริ่มได้ ข้างนอกเริ่มไม่ได้” ได้ง่าย ๆ ซึ่งเป็นค่าเริ่มต้นของเราเตอร์บ้านเกือบทุกรุ่น

04ไฟร์วอลล์มีหลายร่าง Host, network, NGFW & WAF

คำว่าไฟร์วอลล์ไม่ได้หมายถึงกล่องใบเดียว มันไปอยู่ได้หลายที่ และมองของได้ลึกไม่เท่ากัน

ไฟร์วอลล์ประจำเครื่อง (host-based firewall) เป็นซอฟต์แวร์ในคอมพิวเตอร์แต่ละเครื่อง เช่น Windows Defender Firewall หรือไฟร์วอลล์ใน macOS มันติดตัวเครื่องไปทุกที่ ไม่ว่าเราจะนั่งในออฟฟิศหรือในร้านกาแฟ ส่วน ไฟร์วอลล์เครือข่าย (network firewall) เป็นอุปกรณ์ที่วางไว้ตรงทางเข้าออกของเครือข่าย หรือระหว่างโซน คุ้มครองได้ทีละหลายร้อยเครื่อง สองแบบนี้ไม่ได้แข่งกัน แต่ทำงานซ้อนกัน แบบหนึ่งเหมือนประตูรั้วหมู่บ้าน อีกแบบเหมือนกุญแจประตูบ้านแต่ละหลัง

ไฟร์วอลล์ยุคใหม่ (Next-Generation Firewall หรือ NGFW) ไม่ได้ดูแค่เลขพอร์ต เพราะทุกวันนี้แอปแทบทุกตัววิ่งผ่านพอร์ต 443 เหมือนกันหมด มันจึงพยายามแยกให้ออกว่าทราฟฟิกนั้นเป็นแอปอะไร ใครเป็นผู้ใช้ แล้วผูกกฎเข้ากับตัวตน เช่น “ฝ่ายบัญชีเข้าระบบเงินเดือนได้ ฝ่ายอื่นไม่ได้” หลายรุ่นมีระบบป้องกันการบุกรุก (IPS) อยู่ในตัวด้วย

บางองค์กรเปิดการถอดรหัสเพื่อตรวจทราฟฟิก HTTPS (TLS inspection) ซึ่งต้องติดตั้งใบรับรองขององค์กรลงในเครื่องพนักงาน วิธีนี้ช่วยให้มองเห็นภัยที่ซ่อนอยู่ในทราฟฟิกเข้ารหัส แต่แลกมากับความเป็นส่วนตัวและความซับซ้อนที่เพิ่มขึ้น ทบทวนเรื่องใบรับรองได้ใน CASE-009

WAF (Web Application Firewall) ยืนอยู่หน้าเว็บแอปพลิเคชัน อ่านเนื้อหาของคำขอทุกอัน แล้วสกัดรูปแบบที่ดูเหมือนการโจมตีเว็บ เช่น การแทรกคำสั่งฐานข้อมูล (SQL injection) ที่เราจะเจาะลึกกันใน CASE-012 แต่ WAF เป็นตาข่ายนิรภัย ไม่ใช่การซ่อมต้นเหตุ ถ้าโค้ดเว็บมีช่องโหว่ ต้องแก้ที่โค้ด

05แบ่งเครือข่ายเป็นโซน Network segmentation

กลับมาที่คำถามตอนต้นบท เครื่องที่ติดมัลแวร์หนึ่งเครื่องเดินต่อไปถึงไหนได้บ้าง คำตอบขึ้นอยู่กับว่าเครือข่ายนั้น “แบน” หรือ “แบ่งโซน”

เครือข่ายแบบแบน (flat network) คือทุกเครื่องอยู่วงเดียวกันหมด แล็ปท็อปพนักงาน เซิร์ฟเวอร์ฐานข้อมูล กล้องวงจรปิด เครื่องพิมพ์ มือถือของแขกที่มาประชุม ทุกเครื่องมองเห็นและคุยกันได้ตรง ๆ เหมือนอาคารสำนักงานที่ไม่มีประตูข้างในสักบาน ใครผ่านประตูหน้ามาได้ ก็เดินเข้าห้องเซิร์ฟเวอร์ ห้องบัญชี ห้องผู้บริหารได้ตามสบาย

การแบ่งโซน (network segmentation) คือการกั้นเครือข่ายเป็นห้อง ๆ ตามหน้าที่และความสำคัญ แล้ววางไฟร์วอลล์ไว้ระหว่างห้อง เหมือนโรงพยาบาลที่ล็อบบี้ใครก็เข้าได้ หอผู้ป่วยต้องเป็นเจ้าหน้าที่ ห้องยาต้องใช้บัตรเฉพาะ ส่วนห้องผ่าตัดเข้าได้แค่ทีมที่เกี่ยวข้อง

โซนที่องค์กรส่วนใหญ่มี

• DMZ (demilitarized zone): โซนกันชนสำหรับเครื่องที่ต้องเปิดให้คนข้างนอกเข้าถึง เช่น เว็บไซต์บริษัท ถ้าเครื่องในโซนนี้ถูกเจาะ คนร้ายก็ยังไม่ได้อยู่ในเครือข่ายภายใน
• โซนสำนักงาน: แล็ปท็อปและเครื่องตั้งโต๊ะของพนักงาน เป็นโซนที่โดนฟิชชิงบ่อยที่สุด จึงไม่ควรเข้าถึงเซิร์ฟเวอร์ได้เกินกว่าที่งานใช้
• โซนเซิร์ฟเวอร์: ฐานข้อมูล เซิร์ฟเวอร์ไฟล์ ระบบยืนยันตัวตน คือมงกุฎเพชรขององค์กร ควรรับการเชื่อมต่อเฉพาะจากเครื่องและพอร์ตที่กำหนดไว้
• Wi‑Fi แขก: ออกอินเทอร์เน็ตได้อย่างเดียว มองไม่เห็นเครื่องใดในองค์กรเลย
• โซนอุปกรณ์ IoT: กล้องวงจรปิด เครื่องพิมพ์ ระบบแอร์ ป้ายดิจิทัล อุปกรณ์กลุ่มนี้มักอัปเดตยากและรหัสผ่านอ่อน จึงควรถูกขังไว้ในโซนของตัวเอง
• โซนจัดการระบบ (management): ช่องทางที่แอดมินใช้ตั้งค่าอุปกรณ์ แยกขาดจากเครือข่ายที่คนทั่วไปใช้

ศัพท์น่ารู้: VLAN

การแบ่งสวิตช์ตัวเดียวออกเป็นหลายเครือข่ายเสมือน เป็นเครื่องมือยอดนิยมในการแบ่งโซน แต่ VLAN เป็นแค่การแยกห้อง ยังไม่ใช่ประตูที่ล็อก ถ้าอุปกรณ์ที่เชื่อม VLAN ปล่อยให้ทุกวงคุยกันได้หมด ก็เท่ากับไม่ได้แบ่ง ต้องมีกฎไฟร์วอลล์คั่นระหว่างวงเสมอ

06ชะลอการลามข้ามเครื่อง Slowing lateral movement

ใน CASE-002 เราเห็นวงจรแรนซัมแวร์หกขั้น ขั้นที่สี่คือ การลามไปเครื่องอื่น (lateral movement) ตรงนี้แหละที่การออกแบบเครือข่ายมีผลมากที่สุด คนร้ายที่ได้เครื่องแรกมาแล้วแทบไม่เคยพอใจแค่เครื่องเดียว เพราะของมีค่าจริง ๆ อยู่ที่เซิร์ฟเวอร์ ไม่ได้อยู่ในแล็ปท็อปพนักงาน

วิธีลามที่เจอบ่อยไม่ได้หวือหวาอะไรเลย คนร้ายมักใช้ของที่มีอยู่แล้วในองค์กร ทั้งรหัสผ่านที่ขโมยได้จากเครื่องแรก เครื่องมือรีโมตที่แอดมินใช้ทุกวัน หรือช่องแชร์ไฟล์ที่เปิดไว้ระหว่างเครื่อง ทั้งหมดดูเหมือนงานปกติ ไฟร์วอลล์ที่ขอบเครือข่ายก็มองไม่เห็น เพราะทราฟฟิกพวกนี้ไม่ได้วิ่งผ่านมันเลยสักนิด

ศัพท์น่ารู้: ทราฟฟิกแนวเหนือ–ใต้ และแนวตะวันออก–ตะวันตก (North–south / East–west)

North–south คือทราฟฟิกที่วิ่งเข้าออกระหว่างองค์กรกับอินเทอร์เน็ต East–west คือทราฟฟิกที่วิ่งระหว่างเครื่องในองค์กรด้วยกันเอง การลามข้ามเครื่องเกิดในแนวตะวันออก–ตะวันตกเกือบทั้งหมด ถ้าเราเฝ้าแต่ประตูหน้า ก็จะไม่เห็นมันเลย

สิ่งที่ทำให้คนร้ายเดินช้าลง

1. ปิดทางคุยระหว่างเครื่องพนักงานด้วยกัน

   แล็ปท็อปพนักงานแทบไม่เคยต้องเชื่อมต่อหากันตรง ๆ ตั้งไฟร์วอลล์ประจำเครื่องให้ปฏิเสธการเชื่อมต่อขาเข้าจากเครื่องข้าง ๆ เช่น การแชร์ไฟล์ (พอร์ต 445) และรีโมตเดสก์ท็อป (พอร์ต 3389) แค่ข้อนี้ข้อเดียวก็ตัดเส้นทางลามแบบเวิร์มไปได้มาก

2. เปิดทางเข้าเซิร์ฟเวอร์เท่าที่งานใช้

   ฝ่ายบัญชีต้องใช้แอปบัญชีผ่านหน้าเว็บ ก็เปิดแค่พอร์ตนั้นไปยังเครื่องนั้น ไม่ใช่เปิดให้เข้าได้ทั้งโซน

3. ให้งานแอดมินผ่านเครื่องเฉพาะ

   งานดูแลเซิร์ฟเวอร์ควรทำจากเครื่องที่จัดไว้สำหรับงานนี้โดยเฉพาะ (jump host หรือ privileged access workstation) และต้องยืนยันตัวตนหลายชั้นทุกครั้ง เซิร์ฟเวอร์ยอมรับการรีโมตจากเครื่องนี้เท่านั้น

4. ไม่ใช้รหัสแอดมินเครื่องซ้ำกันทั้งองค์กร

   ถ้ารหัสแอดมินของทุกเครื่องเหมือนกัน ขโมยได้หนึ่งเครื่องก็เปิดได้ทุกเครื่อง เครื่องมืออย่าง Windows LAPS ช่วยสุ่มรหัสให้แต่ละเครื่องไม่ซ้ำกันโดยอัตโนมัติ

5. เฝ้าดูทราฟฟิกข้างใน

   แล็ปท็อปฝ่ายขายที่จู่ ๆ พยายามเชื่อมต่อเครื่องอื่นอีกสองร้อยเครื่องในห้านาที คือสัญญาณที่ควรมีคนเห็น เราจะคุยเรื่องการตรวจจับต่อในหัวข้อ IDS และใน CASE-017

แนวคิดนี้ไปได้ไกลกว่าการแบ่งโซนใหญ่ ๆ อีก องค์กรสมัยใหม่แบ่งย่อยลงไปถึงระดับเครื่องหรือระดับแอป (microsegmentation) และไม่เชื่อใจการเชื่อมต่อใดเลยเพียงเพราะมันมาจาก “ข้างใน” ซึ่งเป็นหัวใจของแนวคิด Zero Trust ที่รออยู่ใน CASE-019

07VPN: อุโมงค์เข้ารหัส Virtual private networks

VPN ย่อมาจาก Virtual Private Network แปลตรง ๆ ว่า “เครือข่ายส่วนตัวเสมือน” หลักการคือสร้าง อุโมงค์เข้ารหัส (encrypted tunnel) ระหว่างเครื่องเรากับเครื่องปลายทางที่เรียกว่าเซิร์ฟเวอร์ VPN แพ็กเก็ตทุกก้อนของเราจะถูกห่อด้วยซองอีกชั้นแล้วเข้ารหัส ก่อนส่งออกไปบนอินเทอร์เน็ต พอไปถึงเซิร์ฟเวอร์ VPN ค่อยแกะซองนอก แล้วส่งต่อไปยังปลายทางจริง

คนที่ดักดูอยู่ระหว่างทาง เช่น คนที่ต่อ Wi‑Fi ร้านกาแฟเดียวกับเรา จะเห็นแค่ว่ามีข้อมูลเข้ารหัสวิ่งไปหาเซิร์ฟเวอร์ VPN แต่ไม่รู้ว่าข้างในคืออะไร หรือเรากำลังจะไปไหนต่อ เหมือนใส่จดหมายในซองทึบอีกชั้นแล้วส่งถึงเลขาฯ ที่เราไว้ใจ ให้เลขาฯ แกะซองนอกแล้วส่งต่อให้อีกที

ศัพท์น่ารู้: การห่อหุ้ม (Encapsulation)

การเอาแพ็กเก็ตทั้งก้อนใส่เข้าไปในแพ็กเก็ตอีกก้อนหนึ่ง แล้วเข้ารหัสส่วนที่ห่อไว้ โปรโตคอล VPN ที่เจอบ่อย เช่น IPsec, WireGuard และ VPN ที่วิ่งบน TLS แบบเดียวกับ HTTPS

แต่ต้องระวัง คำว่า VPN ถูกใช้เรียกของสองอย่างที่ทำหน้าที่ต่างกันมาก

VPN ขององค์กร (Remote-access VPN)

พนักงานที่ทำงานจากบ้านเปิดโปรแกรม VPN ของบริษัท ล็อกอิน แล้วเครื่องก็เหมือนได้ไปนั่งอยู่ในออฟฟิศ เข้าถึงไฟล์และระบบภายในได้ ส่วนการเชื่อมสองสาขาเข้าหากันแบบถาวรเรียกว่า site‑to‑site VPN

ประตูบานนี้มีพลังมาก จึงต้องถูกเฝ้ามากเป็นพิเศษ ต้องยืนยันตัวตนหลายชั้นทุกครั้ง ต้องอัปเดตอุปกรณ์ VPN ทันทีที่มีแพตช์ เพราะอุปกรณ์ที่หันหน้าออกอินเทอร์เน็ตแบบนี้เป็นเป้ายอดนิยมของคนร้าย และหลังผ่าน VPN เข้ามาแล้ว ก็ยังต้องเจอกฎแบ่งโซนเหมือนพนักงานคนอื่น ไม่ใช่ได้สิทธิ์ไปทั้งเครือข่าย

แอป VPN ทั่วไป (Consumer VPN)

แอป VPN ที่โฆษณาตามคลิปต่าง ๆ ทำอีกหน้าที่หนึ่ง มันพาทราฟฟิกทั้งหมดของเราไปออกอินเทอร์เน็ตที่เซิร์ฟเวอร์ของผู้ให้บริการ มีประโยชน์จริงในบางสถานการณ์ เช่น ต้องใช้ Wi‑Fi สาธารณะที่ไม่ไว้ใจ (ดู CASE-006) หรือไม่อยากให้เครือข่ายที่ใช้อยู่เห็นว่าเราเข้าเว็บไหนบ้าง

แต่มันไม่ใช่ผ้าคลุมล่องหน สิ่งที่เกิดขึ้นจริงคือเรา ย้ายความไว้ใจ จากผู้ให้บริการเครือข่ายไปไว้ที่บริษัท VPN แทน บริษัทนั้นเห็นได้ว่าเราไปไหนบ้าง แอป VPN ฟรีบางเจ้าก็หารายได้จากข้อมูลของผู้ใช้เอง ส่วนเว็บส่วนใหญ่ทุกวันนี้เป็น HTTPS ที่เข้ารหัสเนื้อหาให้อยู่แล้ว

ช่วงหลังมานี้ องค์กรจำนวนมากเริ่มเปลี่ยนจาก VPN ที่เปิดทั้งเครือข่ายให้ ไปเป็นการเข้าถึงทีละแอป โดยตรวจทั้งตัวตนและสภาพเครื่องทุกครั้ง เรียกว่า ZTNA (Zero Trust Network Access) ซึ่งเราจะคุยกันต่อใน CASE-019

08IDS กับ IPS: กล้องวงจรปิดกับไม้กั้น Intrusion detection & prevention

ไฟร์วอลล์ตัดสินจากหัวจดหมาย แต่การโจมตีหลายแบบซ่อนอยู่ในเนื้อจดหมาย หรือจะดูออกก็ต่อเมื่อเห็นพฤติกรรมรวม ๆ เช่น มีคนลองล็อกอินผิดสองร้อยครั้งในหนึ่งนาที งานแบบนี้เป็นของระบบตรวจจับการบุกรุก

IDS (Intrusion Detection System) เหมือนกล้องวงจรปิดที่มีคนเฝ้าจอ มันดู “สำเนา” ของทราฟฟิก ถ้าเห็นอะไรน่าสงสัยก็ส่งเสียงเตือน แต่ไม่ได้ลงมือห้ามเอง ส่วน IPS (Intrusion Prevention System) เหมือนไม้กั้นที่มีเครื่องตรวจในตัว มันยืนขวางเส้นทางของทราฟฟิกจริง (inline) ถ้าเห็นแพ็กเก็ตที่ตรงกับรูปแบบการโจมตี ก็ทิ้งทันที

ตรวจจับได้สองแบบ

แบบแรกคือ เทียบลายเซ็น (signature-based) จำรูปแบบการโจมตีที่รู้จักแล้ว เหมือนหมายจับที่มีรูปหน้าคนร้ายติดไว้ แม่นยำกับภัยที่เคยเห็น แต่จับภัยหน้าใหม่ไม่ได้ แบบที่สองคือ จับความผิดปกติ (anomaly-based) เรียนรู้ก่อนว่าปกติเครือข่ายหน้าตาเป็นอย่างไร แล้วเตือนเมื่อมีอะไรเบี่ยงออกไป จับของใหม่ได้ แต่ก็เตือนผิดบ่อยกว่า

ข้อความแจ้งเตือนจริงหน้าตาประมาณนี้ (ตัวอย่างสมมุติ) แต่ละบรรทัดบอกว่าเกิดอะไร ร้ายแรงแค่ไหน มาจากไหน ไปที่ไหน และระบบทำอะไรกับมัน

2026-10-12 02:14:07  sev=high      sensor=ids-dmz
  msg="ล็อกอิน SSH ผิดซ้ำ 214 ครั้งใน 60 วินาที"
  src=198.51.100.23  dst=10.0.1.10:22    action=alert

2026-10-12 02:15:30  sev=critical  sensor=ips-edge
  msg="คำขอเว็บตรงรูปแบบการแทรกคำสั่ง SQL"
  src=203.0.113.99   dst=10.0.1.10:443   action=drop

ศัพท์น่ารู้: False positive และ False negative

False positive คือเตือนทั้งที่ไม่มีอะไรผิด เหมือนสัญญาณกันขโมยร้องเพราะแมววิ่งผ่าน False negative คือมีการโจมตีจริงแต่ไม่เตือน เหมือนขโมยเข้าบ้านแล้วสัญญาณเงียบกริบ ระบบตรวจจับทุกตัวต้องหาจุดสมดุลระหว่างสองอย่างนี้ เตือนมากไปคนเฝ้าจอก็ล้าจนเมิน เตือนน้อยไปก็พลาดของจริง

ในทางปฏิบัติ หลายองค์กรใช้ทั้งสองแบบ คือเปิดโหมดหยุด (IPS) กับรูปแบบที่มั่นใจสูง และใช้โหมดเตือน (IDS) กับที่เหลือ ซอฟต์แวร์โอเพนซอร์สอย่าง Snort และ Suricata ทำได้ทั้งสองโหมด NGFW หลายรุ่นก็มี IPS ในตัว ขณะที่ระบบตรวจจับบนตัวเครื่องอย่าง EDR เฝ้าดูพฤติกรรมของโปรแกรมในเครื่องแต่ละเครื่อง เสียงเตือนทั้งหมดนี้ไหลไปรวมกันที่ทีม SOC ซึ่งเป็นเรื่องของ CASE-017

09ล้อมรั้วเครือข่ายที่บ้าน Hardening your home network

ทุกอย่างที่คุยมาย่อส่วนลงมาใช้ที่บ้านได้ เราเตอร์ที่ผู้ให้บริการอินเทอร์เน็ตติดตั้งให้คือไฟร์วอลล์แบบมีสถานะตัวแรกของบ้าน และเป็นอุปกรณ์ที่คนส่วนใหญ่ไม่เคยเปิดหน้าตั้งค่าเลยตั้งแต่วันที่ช่างมาติดตั้ง ทั้งที่มันยืนอยู่ระหว่างทุกเครื่องในบ้านกับอินเทอร์เน็ตทั้งโลก

1. เปลี่ยนรหัสผ่านหน้าตั้งค่าเราเตอร์

   รหัสเข้าหน้าตั้งค่า (admin) ไม่ใช่รหัส Wi‑Fi ถ้ายังเป็นค่าที่พิมพ์ติดมากับตัวเครื่อง ให้เปลี่ยนเป็นรหัสยาวที่ไม่ซ้ำกับที่อื่น

2. อัปเดตเฟิร์มแวร์

   เปิดอัปเดตอัตโนมัติถ้ามีให้เลือก ถ้าเราเตอร์เก่ามากจนผู้ผลิตเลิกออกแพตช์แล้ว ติดต่อผู้ให้บริการอินเทอร์เน็ตเพื่อขอเปลี่ยนเครื่อง

3. ใช้ WPA3 หรือ WPA2 แบบ AES

   หลีกเลี่ยงตัวเลือกเก่าอย่าง WEP, WPA หรือ TKIP และตั้งรหัส Wi‑Fi ยาว ๆ แบบวลีที่จำง่ายแต่เดายาก

4. ปิด WPS และการจัดการจากระยะไกล

   WPS (ปุ่มหรือรหัส PIN สำหรับเชื่อมต่อด่วน) มีจุดอ่อนที่รู้กันมานาน ส่วนการเข้าหน้าตั้งค่าจากอินเทอร์เน็ต (remote management) ถ้าไม่ได้ใช้ก็ปิดไว้

5. ตรวจพอร์ตที่เปิดค้างไว้

   ดูในหน้าตั้งค่าส่งต่อพอร์ต (port forwarding) ว่ามีอะไรเปิดอยู่บ้าง และปิด UPnP ถ้าไม่จำเป็น เพราะฟีเจอร์นี้ยอมให้อุปกรณ์ในบ้านขอเปิดพอร์ตออกอินเทอร์เน็ตเองได้ โดยที่เราไม่รู้ตัว

6. แยก Wi‑Fi แขกให้แขกและอุปกรณ์ IoT

   เปิดเครือข่ายแขก แล้วย้ายกล้อง ทีวี ลำโพงอัจฉริยะไปอยู่วงนั้น เก็บวงหลักไว้ให้คอมพิวเตอร์และมือถือของคนในบ้าน นี่คือการแบ่งโซนฉบับบ้านเรา

7. เปิดไฟร์วอลล์ในเครื่องไว้เสมอ

   โดยเฉพาะแล็ปท็อปที่พกออกไปใช้ Wi‑Fi สาธารณะ เมื่อเครื่องถามว่าเครือข่ายนี้เป็นแบบไหน ให้เลือก “สาธารณะ” (Public) ทุกครั้งที่ไม่ใช่เครือข่ายของเราเอง

8. อย่าเปิดกล้องหรือรีโมตเดสก์ท็อปออกอินเทอร์เน็ตตรง ๆ

   การส่งต่อพอร์ตกล้องวงจรปิดหรือรีโมตเดสก์ท็อปออกไปให้ดูจากข้างนอก เท่ากับแขวนกุญแจไว้หน้าบ้านให้ทั้งโลกลองไข ใช้แอปทางการของผู้ผลิต หรือ VPN เข้าบ้านแทน

10สรุปให้จำ Recap

เครือข่ายที่ดีไม่ได้หวังว่าจะไม่มีใครเข้ามาได้เลย แต่ออกแบบให้ถ้าใครเข้ามาได้ ก็ไปไหนต่อได้น้อยที่สุด และมีคนเห็น

• กฎไฟร์วอลล์อ่านจากบนลงล่าง หยุดที่บรรทัดแรกที่ตรง และบรรทัดสุดท้ายควรเป็น ปฏิเสธทุกอย่าง
• ไฟร์วอลล์ แบบมีสถานะ จำได้ว่าใครเริ่มบทสนทนา จึงปล่อยคำตอบเข้ามาได้โดยไม่ต้องเปิดประตูกว้าง และอย่าลืมกฎขาออก
• แบ่งโซน ให้เครื่องที่ติดเชื้อเครื่องเดียวเอื้อมถึงได้น้อยที่สุด และเฝ้าทราฟฟิกแนวตะวันออก–ตะวันตกด้วย
• VPN ขององค์กรคือประตูหน้าบ้าน ต้องมี MFA ต้องอัปเดต และต้องปิดบัญชีที่เลิกใช้ ส่วนแอป VPN ทั่วไปแค่ย้ายความไว้ใจ ไม่ได้ทำให้เราล่องหน
• IDS เตือน IPS หยุด ทั้งคู่ต้องมีคนอ่านผลและปรับจูนอยู่เสมอ
• ที่บ้าน: เปลี่ยนรหัสแอดมินเราเตอร์ อัปเดตเฟิร์มแวร์ และ แยก Wi‑Fi แขก ให้อุปกรณ์ IoT

ลองทบทวนดู