Zero Trust & การป้องกันหลายชั้น

01ปราสาทกับคูน้ำ The castle-and-moat model

ลองนึกภาพคืนวันอาทิตย์ที่ออฟฟิศว่างเปล่า มีคนล็อกอินเข้ามาทาง VPN ด้วยบัญชีของพนักงานที่ลาออกไปตั้งแต่ต้นปี รหัสผ่านถูกต้อง ระบบจึงเปิดประตูให้อย่างสุภาพ แล้วก็ไม่มีใครถามอะไรอีกเลย

คนคนนั้นเดินจากเครื่องหนึ่งไปอีกเครื่องหนึ่งอย่างสบาย ๆ เปิดโฟลเดอร์เงินเดือน ส่องฐานข้อมูลลูกค้า แวะดูกล้องวงจรปิด ทุกระบบเห็นว่า “มาจากเครือข่ายข้างใน” ก็เลยเชื่อว่าเป็นคนกันเอง กว่าจะมีคนรู้ตัว ก็เช้าวันจันทร์ตอนที่ไฟล์ทั้งบริษัทเปิดไม่ได้แล้ว

เรื่องแบบนี้เกิดจากวิธีคิดที่องค์กรทั่วโลกใช้กันมาหลายสิบปี เรียกว่า แบบปราสาทกับคูน้ำ (castle-and-moat) คือสร้างกำแพงหนา ๆ รอบเครือข่ายขององค์กร มีไฟร์วอลล์เป็นกำแพง มี VPN เป็นสะพานชักข้ามคูน้ำ ใครอยู่นอกกำแพงถือว่าน่าสงสัย ใครอยู่ในกำแพงแล้วถือว่าไว้ใจได้

สมัยที่ทุกคนนั่งทำงานในออฟฟิศ เซิร์ฟเวอร์ตั้งอยู่ในห้องหลังบ้าน และคอมพิวเตอร์ทุกเครื่องเป็นของบริษัท วิธีนี้ก็พอไหว แต่วันนี้งานของเราอยู่บนคลาวด์ ครูตรวจการบ้านจากมือถือที่บ้าน พนักงานเปิดอีเมลจากร้านกาแฟ ข้อมูลกระจายอยู่ในแอปหลายสิบตัวที่ไม่ได้อยู่ “ในกำแพง” เลยสักตัว ตัวกำแพงจึงเหลือแค่เส้นสมมติ

ปัญหาที่หนักกว่านั้นคือ ผ่านกำแพงได้ครั้งเดียว ก็เดินได้ทั้งบ้าน คนร้ายไม่ต้องเจาะทุกระบบ ขอแค่ได้จุดเริ่มต้นหนึ่งจุด เช่น รหัสผ่านที่หลุดหนึ่งชุด หรือเครื่องที่ติดมัลแวร์หนึ่งเครื่อง จากนั้นก็ค่อย ๆ ขยับไปหาของมีค่า เทคนิคนี้มีชื่อเรียกว่าการเคลื่อนที่ด้านข้าง

ศัพท์น่ารู้: ขอบเขตเครือข่าย (Perimeter)

เส้นแบ่งระหว่าง “ข้างใน” กับ “ข้างนอก” ขององค์กร เช่น ไฟร์วอลล์ที่ทางเข้าอินเทอร์เน็ต แนวคิดแบบเก่าใช้เส้นนี้เป็นตัวตัดสินว่าจะไว้ใจใคร

ศัพท์น่ารู้: การเคลื่อนที่ด้านข้าง (Lateral movement)

การที่คนร้ายซึ่งเข้ามาได้หนึ่งจุด ขยับต่อไปยังเครื่องหรือบัญชีอื่นในเครือข่ายเดียวกัน เพื่อหาสิทธิ์ที่สูงขึ้นหรือข้อมูลที่มีค่ากว่า เป็นขั้นที่ทำให้ความเสียหายเล็ก ๆ กลายเป็นเหตุใหญ่

02ไม่ไว้ใจ ตรวจทุกครั้ง Never trust, always verify

คำว่า Zero Trust ถูกทำให้เป็นที่รู้จักโดย John Kindervag นักวิเคราะห์ของ Forrester Research ในปี 2010 รายงานของเขาวิจารณ์เครือข่ายแบบเก่าว่าเหมือนขนมที่ “เปลือกแข็งแต่ไส้นิ่ม” คือแข็งแรงแค่ด้านนอก แต่พอเจาะเปลือกได้ ข้างในก็ไม่มีอะไรขวางเลย

หลักของเขาสรุปได้ในประโยคเดียว “อย่าไว้ใจโดยอัตโนมัติ ให้ตรวจทุกครั้ง” (never trust, always verify) ไม่ว่าคำขอจะมาจากในออฟฟิศหรือจากร้านกาแฟ ไม่ว่าจะเป็นเครื่องของผู้บริหารหรือของเด็กฝึกงาน ทุกคำขอต้องพิสูจน์ตัวเองเหมือนกันหมด

นึกถึงคอนโดสองแบบ แบบแรก รปภ. ตรวจบัตรที่ล็อบบี้ครั้งเดียว พอผ่านไปได้ จะขึ้นลิฟต์ไปชั้นไหน เดินเคาะห้องไหนก็ได้ แบบที่สอง ต้องแตะบัตรที่ล็อบบี้ แตะอีกทีในลิฟต์ซึ่งพาไปได้แค่ชั้นของตัวเอง และประตูห้องเปิดได้ด้วยบัตรของเจ้าของห้องเท่านั้น ถ้าบัตรหาย ระบบก็ระงับบัตรนั้นได้ทันที Zero Trust คือคอนโดแบบที่สอง

ถ้าแตกหลักใหญ่ออกมา จะได้สามความคิดที่เราจะเจอซ้ำตลอดบท

• ตำแหน่งในเครือข่ายไม่ใช่เหตุผลให้ไว้ใจ อยู่ในวงแลนของบริษัทไม่ได้แปลว่าปลอดภัยกว่าอยู่ที่บ้าน
• ตรวจทุกคำขอด้วยข้อมูลหลายด้าน ไม่ใช่แค่รหัสผ่าน แต่ดูว่าใคร ใช้เครื่องไหน จากที่ไหน เสี่ยงแค่ไหน และขออะไร
• ให้สิทธิ์แค่พอใช้ และคิดไว้เสมอว่าอาจมีคนร้ายอยู่ข้างในแล้ว ออกแบบให้ถ้าพังจุดหนึ่ง ความเสียหายไม่ลามไปทั้งระบบ

สิ่งที่ต้องเข้าใจให้ตรงตั้งแต่ต้นคือ Zero Trust ไม่ได้แปลว่าไม่ไว้ใจเพื่อนร่วมงาน มันคือการเลิกให้ “ระบบ” ไว้ใจกันเองแบบไม่มีเหตุผล ครูที่ดีที่สุดในโรงเรียนก็ยังทำโน้ตบุ๊กหายได้ ยังเผลอกดลิงก์ฟิชชิงได้ การตรวจทุกครั้งจึงปกป้องตัวครูเองด้วย

ศัพท์น่ารู้: ความไว้ใจโดยปริยาย (Implicit trust)

การที่ระบบยอมให้เข้าถึงเพียงเพราะคำขอมาจากตำแหน่งที่ “น่าจะใช่” เช่น มาจากเครือข่ายภายใน หรือเคยล็อกอินผ่านไปแล้วครั้งหนึ่ง Zero Trust พยายามลดความไว้ใจแบบนี้ให้เหลือน้อยที่สุด แล้วแทนที่ด้วยการตรวจที่ชัดเจน

03หกชิ้นส่วนหลักของ Zero Trust The core building blocks

Zero Trust ไม่ใช่เครื่องมือชิ้นเดียว แต่เป็นการประกอบชิ้นส่วนหลายชิ้นให้ทำงานด้วยกัน เหมือนระบบรักษาความปลอดภัยของคอนโดที่ต้องมีทั้งบัตร กล้อง รปภ. และกฎว่าใครขึ้นชั้นไหนได้ ขาดชิ้นไหนไป ช่องโหว่ก็โผล่ตรงนั้น

1. ตัวตนที่แน่นหนา (Strong identity)

ทุกอย่างเริ่มที่คำถามว่า “คนนี้เป็นใครจริง ๆ” ถ้ายังตอบด้วยรหัสผ่านอย่างเดียว ทั้งระบบก็พังง่ายเท่ากับการหลุดของรหัสหนึ่งชุด ขั้นต่ำคือเปิดการยืนยันตัวตนหลายชั้น (MFA) ทุกบัญชี และถ้าทำได้ ให้ใช้แบบที่ทนต่อฟิชชิง เช่น พาสคีย์หรือกุญแจความปลอดภัย ซึ่งหลอกให้กรอกบนเว็บปลอมไม่ได้ อ่านรายละเอียดเรื่องนี้ได้ในบท การยืนยันตัวตน

อีกชิ้นที่สำคัญไม่แพ้กันคือการล็อกอินครั้งเดียวใช้ได้หลายแอป (SSO) เพราะเมื่อทุกแอปเชื่อตัวตนจากที่เดียว เราจะตั้งกฎ เปิดดูบันทึก และปิดบัญชีคนที่ลาออกได้ในจุดเดียว ไม่ต้องไล่ปิดทีละระบบแล้วลืมไปสักระบบ

2. สุขภาพของอุปกรณ์ (Device health)

คนถูกคน แต่ถ้าใช้เครื่องที่ติดมัลแวร์ คำขอนั้นก็ยังอันตราย ระบบจึงต้องถามต่อว่าเครื่องนี้เป็นเครื่องที่องค์กรรู้จักไหม ระบบปฏิบัติการอัปเดตล่าสุดหรือเปล่า ดิสก์เข้ารหัสไหม มีโปรแกรมเฝ้าระวังภัยบนเครื่อง (EDR) ทำงานอยู่หรือไม่ เครื่องที่ไม่ผ่านเกณฑ์อาจยังเข้าบางอย่างได้ แต่ไม่ควรแตะข้อมูลอ่อนไหว

3. สิทธิ์น้อยที่สุด (Least privilege)

ให้สิทธิ์เท่าที่ต้องใช้ทำงานจริง ไม่มากกว่านั้น ครูเห็นคะแนนเฉพาะวิชาที่ตัวเองสอน ฝ่ายบัญชีเปิดระบบเงินเดือนได้แต่ตั้งค่าเซิร์ฟเวอร์ไม่ได้ ส่วนสิทธิ์แอดมินควรแยกเป็นบัญชีต่างหาก และเปิดใช้เฉพาะตอนที่ต้องใช้ แล้วหมดอายุเอง

4. แบ่งเครือข่ายเป็นห้องเล็ก (Micro-segmentation)

แทนที่จะเป็นห้องโถงใหญ่ห้องเดียว ให้ซอยเครือข่ายเป็นห้องเล็ก ๆ แต่ละระบบคุยกันได้เฉพาะเส้นทางที่จำเป็น กล้องวงจรปิดไม่ต้องคุยกับระบบเงินเดือน เครื่องนักเรียนไม่ต้องมองเห็นเซิร์ฟเวอร์ของฝ่ายทะเบียน ถ้ามีห้องไหนโดนเจาะ ไฟก็ไม่ลามไปห้องอื่น พื้นฐานเรื่องการแบ่งโซนและไฟร์วอลล์อยู่ในบท การป้องกันเครือข่าย

5. ตรวจต่อเนื่อง ไม่ใช่ตรวจครั้งเดียว (Continuous verification)

ผ่านการตรวจตอนเช้าไม่ได้แปลว่าปลอดภัยไปทั้งวัน ถ้าตอนบ่ายเครื่องเริ่มมีพฤติกรรมแปลก หรือบัญชีเดียวกันโผล่ล็อกอินจากอีกประเทศหนึ่ง ระบบต้องรู้และตอบสนองได้ทันที อาจขอให้ยืนยันตัวตนใหม่ ลดสิทธิ์ลง หรือตัดเซสชันทิ้ง

6. คิดไว้ก่อนว่าโดนเจาะแล้ว (Assume breach)

ชิ้นสุดท้ายเป็นทัศนคติมากกว่าเทคโนโลยี คือออกแบบระบบโดยตั้งสมมติฐานว่าคนร้ายอาจอยู่ข้างในแล้ว คำถามจึงเปลี่ยนจาก “จะกันไม่ให้เข้ามาได้อย่างไร” เป็น “ถ้าเข้ามาแล้ว จะไปได้ไกลแค่ไหน และเราจะรู้ตัวเร็วแค่ไหน” คำตอบที่ดีคือ ไปได้ไม่ไกล และรู้เร็ว เพราะเราเข้ารหัสการสื่อสารภายใน เก็บบันทึกการใช้งาน และจำกัดสิทธิ์ไว้ตั้งแต่แรก

ศัพท์น่ารู้: สิทธิ์เฉพาะตอนที่ต้องใช้ (Just-in-time access)

การให้สิทธิ์สูงแบบมีกำหนดเวลา เช่น ขอสิทธิ์แอดมินหนึ่งชั่วโมงเพื่อติดตั้งโปรแกรม พอหมดเวลาสิทธิ์ก็หายเอง ทำให้ไม่มีบัญชีที่ถือกุญแจใหญ่ค้างไว้ตลอดเวลาให้คนร้ายขโมย

ศัพท์น่ารู้: รัศมีความเสียหาย (Blast radius)

ขอบเขตที่ความเสียหายจะลามไปถึงได้ เมื่อบัญชีหรือเครื่องหนึ่งถูกยึด เป้าหมายของ Zero Trust คือทำให้รัศมีนี้เล็กที่สุด

04การป้องกันหลายชั้น Defense in depth

Zero Trust มีพี่ชายที่อายุมากกว่า ชื่อว่า การป้องกันหลายชั้น (defense in depth) หลักคิดง่ายมาก คืออย่าฝากชีวิตไว้กับมาตรการเดียว เพราะทุกมาตรการพลาดได้ ให้วางหลายชั้นซ้อนกัน ชั้นหนึ่งพลาด ชั้นถัดไปยังรับไว้

วงการความปลอดภัยชอบอธิบายด้วยภาพ “ชีสสวิส” ชีสแต่ละแผ่นมีรู เหมือนมาตรการแต่ละอย่างที่มีจุดอ่อน แต่ถ้าวางซ้อนหลายแผ่น รูของแต่ละแผ่นมักไม่ตรงกัน ภัยที่ลอดผ่านแผ่นแรกได้ ก็จะไปชนเนื้อชีสของแผ่นถัดไป

แล้ว Zero Trust กับการป้องกันหลายชั้นต่างกันตรงไหน ให้คิดแบบนี้ การป้องกันหลายชั้นบอกว่าต้องมีหลายชั้น ส่วน Zero Trust บอกว่าแต่ละชั้นควรตัดสินใจเรื่องความไว้ใจอย่างไร ระบบแบบปราสาทก็มีหลายชั้นได้ แต่ถ้าทุกชั้นยังเชื่อว่า “มาจากข้างในแปลว่าคนกันเอง” ชั้นเหล่านั้นก็ไม่ได้ช่วยอะไรเมื่อคนร้ายอยู่ข้างในแล้ว

สองแนวคิดนี้จึงไปด้วยกัน Zero Trust ทำให้ทุกชั้นตรวจจริง ส่วนการป้องกันหลายชั้นทำให้แน่ใจว่า ถ้าการตรวจจุดไหนพลาด ยังมีจุดอื่นรออยู่ ชั้นที่คนมักลืมคือชั้นแรกกับชั้นสุดท้าย คือคนกับข้อมูล การสอนให้คนรู้ทันฟิชชิง และการสำรองข้อมูลแบบแยกเก็บ มักเป็นตัวที่ช่วยชีวิตองค์กรในวันที่ชั้นกลาง ๆ พังหมด

ศัพท์น่ารู้: จุดล้มเหลวจุดเดียว (Single point of failure)

มาตรการหรือระบบที่ถ้าพังเพียงจุดเดียว ทั้งองค์กรจะไม่มีอะไรป้องกันเหลือ เช่น ไฟร์วอลล์ตัวเดียวที่ทุกอย่างพึ่งพา การป้องกันหลายชั้นมีไว้เพื่อกำจัดจุดแบบนี้

05ผู้ตัดสินกับด่าน Policy decision & enforcement (NIST SP 800-207)

เมื่อพูดถึง Zero Trust อย่างเป็นทางการ เอกสารที่คนทั้งวงการอ้างถึงคือ NIST SP 800-207 Zero Trust Architecture ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ (NIST) ซึ่งเผยแพร่ฉบับสมบูรณ์ในเดือนสิงหาคม 2020 เอกสารนี้ไม่ได้ผูกกับยี่ห้อใด แต่อธิบายว่าระบบ Zero Trust ควรมีชิ้นส่วนอะไร และแต่ละชิ้นทำหน้าที่อะไร

หัวใจของมันคือการแยก คนตัดสิน ออกจาก คนเฝ้าประตู เหมือนสนามบิน เจ้าหน้าที่ที่ประตูขึ้นเครื่องไม่ได้ตัดสินเองว่าใครบินได้ เขาสแกนบัตรขึ้นเครื่อง แล้วระบบกลางที่รู้ข้อมูลการจอง ข้อมูลหนังสือเดินทาง และรายชื่อเฝ้าระวัง เป็นคนตอบว่าให้ผ่านหรือไม่

ชิ้นส่วนหลักมีสามตัว ตัวแรกคือ Policy Engine (PE) สมองที่ตัดสินใจจริง มันดึงข้อมูลจากหลายแหล่งมาชั่งกับนโยบาย ตัวที่สองคือ Policy Administrator (PA) ที่รับคำตัดสินไปลงมือ เช่น สร้างเซสชันหรือออกโทเค็นให้ แล้วสั่งให้ด่านเปิดทาง สองตัวนี้รวมกันเรียกว่า จุดตัดสินนโยบาย (Policy Decision Point, PDP)

ตัวที่สามคือ จุดบังคับใช้นโยบาย (Policy Enforcement Point, PEP) ด่านที่ยืนอยู่หน้าทรัพยากร ทำหน้าที่เปิด ปิด และเฝ้าดูการเชื่อมต่อตามคำสั่ง ในโลกจริง PEP อาจเป็นพร็อกซีที่หน้าแอป เกตเวย์ของบริการ ZTNA หรือเอเจนต์บนเครื่องก็ได้ สิ่งสำคัญคือ หลังด่านต้องเหลือพื้นที่ที่ไว้ใจกันเองน้อยที่สุด ยิ่งด่านอยู่ชิดทรัพยากรมาก คนร้ายยิ่งมีที่เดินน้อยลง

เอกสาร NIST ยังวางหลักการพื้นฐานไว้เจ็ดข้อ ถ้าเล่าเป็นภาษาบ้าน ๆ จะได้ประมาณนี้

1. ทุกแหล่งข้อมูลและทุกบริการถือเป็นทรัพยากรที่ต้องปกป้อง รวมถึงเครื่องส่วนตัวที่เข้ามาใช้ระบบด้วย
2. การสื่อสารทุกเส้นต้องปลอดภัย ไม่ว่าจะอยู่ในหรือนอกเครือข่ายขององค์กร
3. ให้สิทธิ์ทีละเซสชัน ผ่านทรัพยากรหนึ่งได้ ไม่ได้แปลว่าผ่านทรัพยากรอื่นด้วย
4. การตัดสินใช้นโยบายที่เปลี่ยนตามสถานการณ์ ดูทั้งตัวตน แอปที่ขอ สภาพเครื่อง และพฤติกรรม
5. องค์กรเฝ้าดูและวัดสภาพความปลอดภัยของอุปกรณ์ทุกเครื่องที่เกี่ยวข้องอยู่ตลอด
6. การยืนยันตัวตนและการให้สิทธิ์ต้องทำแบบเคร่งครัดทุกครั้งก่อนเข้าถึง และทำซ้ำได้เรื่อย ๆ
7. เก็บข้อมูลสภาพของระบบและการสื่อสารให้มากที่สุด แล้วเอามาปรับปรุงการป้องกัน

ศัพท์น่ารู้: ระนาบควบคุม (Control plane) กับระนาบข้อมูล (Data plane)

ระนาบควบคุมคือส่วนที่คุยกันเรื่อง “ใครได้อะไร” ส่วนระนาบข้อมูลคือเส้นทางที่ข้อมูลของงานวิ่งจริง การแยกสองส่วนนี้ทำให้ผู้ใช้ทั่วไปไม่มีทางไปยุ่งกับกลไกการตัดสินได้ และทำให้ตัดการเชื่อมต่อได้จากศูนย์กลางในทีเดียว

06หนึ่งคำขอ ถูกตรวจอะไรบ้าง Anatomy of a single request

ทฤษฎีพอแล้ว มาดูของจริงกันสักครั้ง สองทุ่มคืนวันพุธ ครูสมใจนั่งกรอกคะแนนสอบกลางภาคจากโน้ตบุ๊กของโรงเรียนที่บ้าน เธอกดเปิดระบบคะแนน แล้วหน้าเว็บก็ขึ้นมาในเสี้ยววินาที ดูเหมือนไม่มีอะไรเกิดขึ้น แต่เบื้องหลังมีการถามตอบกันหลายจังหวะ

ห้าคำถามนี้คือแก่นของ Zero Trust ทุกตำราอาจเรียกต่างกันนิดหน่อย แต่เนื้อในเหมือนกัน ตารางนี้สรุปว่าแต่ละคำถามดูจากอะไร และถ้าคำตอบดูไม่ดี ระบบควรทำอะไร

นโยบายที่ดีเขียนออกมาให้คนอ่านรู้เรื่องได้ ตัวอย่างข้างล่างเป็นการเขียนแบบอ่านง่ายเพื่ออธิบายแนวคิด ไม่ใช่ภาษาของผลิตภัณฑ์ใด แต่ระบบจริงส่วนใหญ่ก็มีหน้าตั้งค่าที่ถามเรื่องเดียวกันนี้

# ใครเปิดระบบคะแนนได้ ภายใต้เงื่อนไขอะไร
policy: grade-system-teachers
allow_if:
  user.group        == "teachers"
  user.mfa          == "phishing-resistant"
  device.managed    == true
  device.os_updated == true
  risk.level        in ["low"]
scope:     courses where teacher == user.id
session:   60m, re-check when risk changes
otherwise: step_up_mfa or deny

สังเกตบรรทัดสุดท้าย ผลตัดสินมีมากกว่าสองทาง ระบบที่ดีมักมีอย่างน้อยสี่ทาง คือ อนุญาต อนุญาตแบบจำกัด เช่น อ่านได้แต่ดาวน์โหลดไม่ได้ ขอหลักฐานเพิ่ม เช่น ยืนยัน MFA อีกครั้ง และ ปฏิเสธ ความยืดหยุ่นแบบนี้ทำให้คนทำงานได้ โดยที่ความเสี่ยงยังถูกคุม

ศัพท์น่ารู้: การยืนยันเพิ่มตามความเสี่ยง (Step-up authentication)

การขอหลักฐานยืนยันตัวตนเพิ่มเฉพาะตอนที่ความเสี่ยงสูงขึ้น เช่น ตอนจะโอนเงินก้อนใหญ่ หรือตอนล็อกอินจากเครื่องใหม่ ทำให้ไม่ต้องรบกวนผู้ใช้ทุกครั้ง แต่ยังเข้มในจังหวะที่สำคัญ

07ZTNA ต่างจาก VPN อย่างไร ZTNA vs VPN

VPN คืออุโมงค์เข้ารหัสที่พาเครื่องของเราจากข้างนอกเข้าไปเหมือนนั่งอยู่ในเครือข่ายของออฟฟิศ มันเป็นเครื่องมือที่ดีในยุคปราสาท เพราะทำให้คนนอกกำแพงกลายเป็น “คนใน” ได้ แต่ข้อดีนี้เองคือปัญหา พอเราต่อติด เราก็มักได้สิทธิ์ของคนในแบบเต็ม ๆ

ZTNA (Zero Trust Network Access) คิดกลับด้าน แทนที่จะพาเครื่องเข้าไปในเครือข่าย มันพาผู้ใช้ไปหาแอปทีละตัว ผ่านตัวกลางที่ทำหน้าที่เป็นด่าน PEP ทุกคำขอถูกตรวจด้วยห้าคำถามที่เราเพิ่งเห็น แอปที่ไม่ได้รับสิทธิ์จะมองไม่เห็นเลย เหมือนไม่มีอยู่

ข้อที่สามในภาพสำคัญกว่าที่คิด อุปกรณ์ VPN ต้องเปิดหน้ารับการเชื่อมต่อจากทั้งอินเทอร์เน็ต มันจึงเป็นเป้าที่คนร้ายสแกนหาอยู่ตลอดเวลา และช่องโหว่ในอุปกรณ์ VPN ที่ไม่ได้แพตช์ก็เป็นทางเข้าที่พบบ่อยในเหตุใหญ่หลายครั้ง ส่วน ZTNA ส่วนใหญ่ใช้ตัวเชื่อมต่อที่วิ่งออกไปหาตัวกลางเอง ตัวแอปจึงไม่ต้องเปิดประตูรอใคร

ทั้งนี้ไม่ได้แปลว่า VPN เป็นของเลวที่ต้องทิ้งพรุ่งนี้ VPN ที่บังคับ MFA อัปเดตสม่ำเสมอ และจำกัดให้แต่ละกลุ่มเห็นแค่ส่วนที่จำเป็น ยังใช้งานได้ดีในหลายกรณี องค์กรส่วนใหญ่ค่อย ๆ ย้ายแอปทีละตัวจาก VPN ไปอยู่หลัง ZTNA โดยเริ่มจากแอปที่ใช้บ่อยหรือข้อมูลอ่อนไหวที่สุดก่อน เรื่องการแบ่งโซนและไฟร์วอลล์ที่ยังต้องใช้คู่กันอ่านต่อได้ในบท การป้องกันเครือข่าย

ศัพท์น่ารู้: ZTNA (Zero Trust Network Access)

บริการที่ให้ผู้ใช้เข้าถึงแอปภายในทีละตัว ผ่านตัวกลางที่ตรวจตัวตน สภาพเครื่อง และบริบทของทุกคำขอ แอปที่ไม่ได้รับสิทธิ์จะไม่ถูกเปิดเผยให้เห็น บางครั้งเรียกว่า “software-defined perimeter” คือขอบเขตที่วาดใหม่ด้วยซอฟต์แวร์รอบแอปแต่ละตัว

08เริ่มทำจริงทีละระยะ A realistic phased roadmap

อ่านมาถึงตรงนี้ อาจรู้สึกว่า Zero Trust เป็นเรื่องของบริษัทยักษ์ที่มีทีมความปลอดภัยเป็นร้อยคน ความจริงคือโรงเรียนหรือบริษัทสิบคนก็เริ่มได้ และหลายขั้นแรกแทบไม่ต้องลงทุนเพิ่ม เพราะบริการที่ใช้อยู่แล้ว เช่น ระบบอีเมลและเอกสารบนคลาวด์ มักมีปุ่มเปิด MFA กฎการล็อกอิน และการจัดการเครื่องให้อยู่แล้ว

หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ (CISA) ออกแบบจำลองระดับความพร้อม (Zero Trust Maturity Model) ฉบับ 2.0 ในเดือนเมษายน 2023 แบ่งงานเป็นห้าเสาหลัก คือ ตัวตน อุปกรณ์ เครือข่าย แอปและเวิร์กโหลด และข้อมูล แล้วให้ไล่ระดับจาก Traditional ไป Initial, Advanced และ Optimal บทเรียนสำคัญจากแบบจำลองนี้คือ ไม่มีใครกระโดดไปถึงระดับสูงสุดในทีเดียว แต่ละเสาค่อย ๆ ขยับไปพร้อมกัน

ถ้าแปลงเป็นงานที่ทำได้จริงในโรงเรียนสักแห่ง จะได้ลำดับประมาณนี้

1. ทำบัญชีรายการก่อน

   สเปรดชีตธรรมดาก็พอ จดว่ามีบัญชีผู้ใช้กี่บัญชี ใครเป็นแอดมิน มีเครื่องอะไรบ้าง ใช้แอปอะไร และข้อมูลไหนอ่อนไหวที่สุด เช่น ข้อมูลส่วนบุคคลของนักเรียน คะแนน และเงินเดือน ปกป้องสิ่งที่ไม่รู้ว่ามีอยู่ไม่ได้

2. เปิด MFA ทุกบัญชี เริ่มจากคนที่ถือกุญแจใหญ่

   ไล่จากแอดมิน ผู้บริหาร และฝ่ายการเงินก่อน แล้วขยายไปทุกคน ปิดบัญชีของคนที่ย้ายออกหรือลาออกทันที และหาบัญชีเก่าที่ไม่มีใครใช้แล้วปิดทิ้ง บัญชีแบบนี้คือประตูหลังที่เปิดค้างไว้

3. รวมการล็อกอินไว้ที่เดียว

   ให้แอปต่าง ๆ ล็อกอินผ่านบัญชีหลักขององค์กรด้วย SSO แทนการมีรหัสผ่านแยกทุกแอป แล้วตั้งกฎการเข้าถึงตามเงื่อนไข เช่น บล็อกการล็อกอินจากประเทศที่ไม่มีใครในโรงเรียนอยู่ การตั้งค่าบริการคลาวด์ให้ปลอดภัยดูเพิ่มได้ในบท ความปลอดภัยบนคลาวด์

4. ตั้งเกณฑ์ขั้นต่ำของเครื่อง

   เครื่องที่จะเปิดข้อมูลอ่อนไหวต้องเป็นเครื่องที่ลงทะเบียนแล้ว อัปเดตอัตโนมัติ มีรหัสล็อกหน้าจอ และเข้ารหัสดิสก์ เครื่องส่วนตัวที่ไม่ผ่านเกณฑ์ยังเช็กอีเมลได้ แต่ดาวน์โหลดไฟล์คะแนนไม่ได้

5. แยกเครือข่ายเป็นโซน และลดสิทธิ์

   ไวไฟนักเรียน ไวไฟแขก และเครือข่ายของครูต้องแยกกัน กล้องวงจรปิดกับอุปกรณ์ IoT อยู่โซนของตัวเอง ทบทวนว่าใครมีสิทธิ์แอดมินบ้าง แล้วลดให้เหลือเท่าที่จำเป็นจริง

6. เปิดบันทึก และทบทวนเป็นรอบ

   เปิดบันทึกการล็อกอินและการแชร์ไฟล์ ตั้งแจ้งเตือนสำหรับเหตุผิดปกติ เช่น ล็อกอินผิดซ้ำ ๆ หรือการแชร์ไฟล์ออกนอกองค์กรจำนวนมาก แล้วทบทวนสิทธิ์ทุกภาคเรียน เพราะคนย้ายหน้าที่กันตลอด

7. อย่าเริ่มด้วยการซื้อกล่องราคาแพง

   ถ้ายังไม่รู้ว่ามีบัญชีและข้อมูลอะไร และยังไม่ได้เปิด MFA ผลิตภัณฑ์ที่ติดป้าย Zero Trust ก็จะกลายเป็นกำแพงใหม่ที่ล้อมรอบปัญหาเดิม

09ความเข้าใจผิดที่เจอบ่อย Common misconceptions

คำว่า Zero Trust กลายเป็นคำยอดฮิตในงานขายจนความหมายเริ่มเพี้ยน ความเข้าใจผิดข้อใหญ่ที่สุดมีอยู่ข้อเดียว

ยังมีความเข้าใจผิดอีกหลายข้อที่ทำให้หลายองค์กรเดินผิดทาง

“Zero Trust แปลว่าองค์กรไม่ไว้ใจพนักงาน”

ไม่ใช่ สิ่งที่เราเลิกไว้ใจคือ “สมมติฐาน” ว่าคำขอจากข้างในปลอดภัยเสมอ การตรวจทุกครั้งปกป้องพนักงานเองด้วย ถ้ารหัสของใครหลุด คนร้ายจะเอาไปใช้ได้น้อยมาก และเจ้าของบัญชีก็ไม่ต้องกลายเป็นต้นเหตุของเหตุการณ์ใหญ่

“เปิด MFA แล้ว ก็เป็น Zero Trust แล้ว”

MFA เป็นชิ้นที่สำคัญที่สุดชิ้นหนึ่ง แต่ก็เป็นแค่ชิ้นเดียว ถ้าล็อกอินผ่านแล้วยังเห็นทั้งเครือข่าย ใช้เครื่องสภาพไหนก็ได้ และไม่มีใครดูบันทึกเลย เราก็ยังอยู่ในปราสาทหลังเดิม แค่ประตูแข็งขึ้น

“ต้องรื้อระบบทั้งหมดในครั้งเดียว”

ไม่ต้อง และไม่ควรด้วย ระบบเก่าบางตัวอาจยังทำ Zero Trust เต็มรูปแบบไม่ได้ ก็ให้วางด่านไว้หน้ามัน จำกัดว่าใครเข้าถึงได้ แล้วค่อย ๆ ย้าย ทุกก้าวเล็ก ๆ ทำให้รัศมีความเสียหายเล็กลงจริง

“Zero Trust ทำให้ทำงานช้า ต้องกดยืนยันทั้งวัน”

ถ้าออกแบบดี มักตรงกันข้าม เมื่อระบบรู้จักเครื่องและพฤติกรรมของเรา ก็ไม่ต้องถามบ่อย ล็อกอินครั้งเดียวผ่าน SSO แล้วใช้ได้หลายแอป จะถูกขอยืนยันเพิ่มก็เฉพาะตอนที่มีอะไรผิดปกติจริง พนักงานของ Google ก็เลิกต้องต่อ VPN ทุกเช้าได้ เพราะแนวทางนี้

“ทำเสร็จแล้วก็จบ”

คนเข้าออก แอปใหม่มาเรื่อย ๆ คนร้ายเปลี่ยนวิธีตลอด Zero Trust จึงเป็นงานที่ต้องดูแลต่อเนื่อง เหมือนสวนที่ต้องรดน้ำ ไม่ใช่รั้วที่สร้างครั้งเดียวแล้วทิ้งไว้

ถ้าอยากรู้ว่าองค์กรของเราไปถึงไหนแล้ว ให้ถามคำถามเดียวนี้ “ถ้ารหัสผ่านของใครสักคนหลุดพรุ่งนี้ คนร้ายจะไปได้ไกลแค่ไหน และเราจะรู้ตัวภายในกี่นาที” ถ้าคำตอบคือ “ไปได้ทุกที่ และอาจไม่รู้เลย” ก็ถึงเวลาเริ่มจากระยะที่ 0 แล้ว

10สรุปให้จำ Recap

ถ้าจำได้แค่หกข้อ ให้จำหกข้อนี้ ทุกข้อทำให้คนร้ายที่เข้ามาได้หนึ่งจุด ไปต่อได้ยากขึ้น

• ตำแหน่งในเครือข่ายไม่ใช่เหตุผลให้ไว้ใจ อยู่ในออฟฟิศหรือที่บ้าน ต้องผ่านการตรวจเหมือนกัน
• ทุกคำขอตอบห้าคำถาม ใคร เครื่องไหน จากที่ไหน เสี่ยงแค่ไหน และขออะไร
• แยกผู้ตัดสินกับด่าน PDP ตัดสิน PEP บังคับใช้ และหลังด่านต้องเหลือพื้นที่ไว้ใจกันเองน้อยที่สุด
• ให้สิทธิ์น้อยที่สุด และแบ่งเครือข่ายเป็นห้องเล็ก เพื่อให้รัศมีความเสียหายเล็กที่สุด
• วางหลายชั้นซ้อนกัน ชั้นไหนพลาด ชั้นถัดไปยังรับไว้ และเฝ้าดูบันทึกของทุกชั้น
• เริ่มจากสำรวจของที่มีและเปิด MFA Zero Trust เป็นการเดินทาง ไม่ใช่ของที่ซื้อได้

ลองทบทวนดู