Home » Network Segmentation Best Practices: แบ่ง Network ให้ปลอดภัย
Network Segmentation Best Practices: แบ่ง Network ให้ปลอดภัย
Network Segmentation Best Practices: แบ่ง Network ให้ปลอดภัย
Network Segmentation คือการแบ่ง network ออกเป็นส่วนย่อย (segments) แต่ละส่วนมี security policies แยกกัน ทำให้เมื่อ attacker เจาะเข้ามาได้ส่วนหนึ่ง จะไม่สามารถเข้าถึงส่วนอื่นได้ง่ายๆ (limit lateral movement) ลด blast radius ของ security incidents และช่วยให้ comply กับ regulations เช่น PCI DSS, HIPAA
หลายองค์กร มี flat network ที่ทุกอุปกรณ์อยู่ใน VLAN/subnet เดียวกัน ทำให้ malware แพร่กระจายได้ทั้ง network ภายในไม่กี่นาที เหตุการณ์ ransomware หลายครั้งสร้างความเสียหายรุนแรงเพราะ network ไม่ได้ segment บทความนี้จะสอน best practices สำหรับ network segmentation
ทำไมต้อง Segment
| เหตุผล |
รายละเอียด |
| Security |
จำกัด lateral movement ของ attackers/malware |
| Compliance |
PCI DSS ต้อง isolate cardholder data environment |
| Performance |
ลด broadcast domain size ลด unnecessary traffic |
| Containment |
ปัญหาใน segment หนึ่งไม่กระทบ segment อื่น |
| Access Control |
ควบคุมว่าใครเข้าถึงอะไรได้ |
| Visibility |
เห็น traffic ระหว่าง segments (inter-VLAN routing) |
Segmentation Levels
| Level |
วิธีการ |
Granularity |
| Physical Segmentation |
แยก hardware (switch/firewall) คนละชุด |
สูงสุด (air gap) |
| VLAN Segmentation |
แบ่ง VLANs บน switch เดียวกัน |
สูง (L2 isolation) |
| Subnet/ACL Segmentation |
แบ่ง subnets + ACLs บน router/L3 switch |
ปานกลาง |
| Firewall Zone Segmentation |
แบ่ง zones บน firewall (inside, DMZ, outside) |
สูง (stateful inspection) |
| Micro-segmentation |
Policy per workload/VM (software-defined) |
สูงสุด (per-VM/container) |
Segmentation Design
แนะนำ Zones
| Zone |
อุปกรณ์ |
Security Level |
| User/Corporate |
PC, laptop ของพนักงาน |
Medium |
| Server/Data Center |
Application servers, databases |
High |
| DMZ |
Web servers, email servers (public-facing) |
Medium-High |
| Management |
Network devices management interfaces |
Highest |
| Guest/BYOD |
Guest WiFi, personal devices |
Low (internet only) |
| IoT/OT |
Cameras, printers, sensors, SCADA |
Isolated |
| PCI (Payment) |
POS terminals, payment servers |
Highest (PCI DSS) |
VLAN-Based Segmentation
พื้นฐานที่ทุกองค์กรควรมี
| VLAN |
Name |
Subnet |
Purpose |
| 10 |
Corporate |
10.1.10.0/24 |
พนักงาน PCs |
| 20 |
Servers |
10.1.20.0/24 |
Application/DB servers |
| 30 |
Guest |
10.1.30.0/24 |
Guest WiFi (internet only) |
| 40 |
VoIP |
10.1.40.0/24 |
IP phones |
| 50 |
IoT |
10.1.50.0/24 |
Cameras, printers, sensors |
| 99 |
Management |
10.1.99.0/24 |
Switch/Router/Firewall management |
| 100 |
DMZ |
10.1.100.0/24 |
Public-facing servers |
Inter-VLAN Access Control
| Source → Destination |
Allow |
Deny |
| Corporate → Servers |
HTTP/HTTPS, specific app ports |
SSH, RDP to servers (ยกเว้น IT) |
| Corporate → Internet |
HTTP/HTTPS, DNS |
ไม่จำกัด (ผ่าน proxy) |
| Guest → Internet |
HTTP/HTTPS only |
ทุกอย่างภายใน (block internal) |
| IoT → Internet |
Specific endpoints only |
Internal networks ทั้งหมด |
| Management → All |
SSH, SNMP, HTTPS management |
N/A (management access) |
| DMZ → Servers |
Specific app ports (DB port) |
ห้าม access internal ทั่วไป |
Micro-Segmentation
Next-Level Security
| Technology |
Vendor |
วิธีการ |
| VMware NSX |
VMware |
Distributed firewall per VM |
| Cisco ACI |
Cisco |
Application-centric policies (EPGs) |
| Illumio |
Illumio |
Workload-based segmentation (agent) |
| Guardicore (Akamai) |
Akamai |
Process-level segmentation |
| Kubernetes Network Policies |
Open-source |
Pod-to-pod segmentation |
Zero Trust + Segmentation
| Zero Trust Principle |
Segmentation Implementation |
| Never trust, always verify |
Authenticate ทุก device ก่อนให้ access (802.1X) |
| Least privilege |
Allow เฉพาะ traffic ที่จำเป็น deny all อื่นๆ |
| Assume breach |
Segment เพื่อจำกัด blast radius |
| Verify explicitly |
Log + inspect ทุก inter-segment traffic |
| Micro-perimeters |
Micro-segmentation per workload |
Implementation Roadmap
| Phase |
Action |
Timeline |
| 1. Discovery |
Map ทุก asset, traffic flows, dependencies |
2-4 สัปดาห์ |
| 2. Design Zones |
กำหนด zones, VLANs, subnets, policies |
1-2 สัปดาห์ |
| 3. VLAN Segmentation |
สร้าง VLANs แยก user/server/guest/IoT |
2-4 สัปดาห์ |
| 4. Firewall Policies |
ตั้ง inter-VLAN firewall rules |
2-4 สัปดาห์ |
| 5. Test + Monitor |
ทดสอบ connectivity + monitor traffic |
2 สัปดาห์ |
| 6. Micro-segmentation |
เพิ่ม per-workload policies (optional) |
4-8 สัปดาห์ |
ทิ้งท้าย: Segment Network = ลด Risk อย่างมาก
Network Segmentation เป็น foundational security control เริ่มจาก VLAN segmentation (user/server/guest/IoT/management) ใช้ firewall ควบคุม inter-VLAN traffic Guest + IoT ต้อง isolate จาก corporate network พิจารณา micro-segmentation สำหรับ critical workloads
อ่านเพิ่มเติมเกี่ยวกับ 802.1X Authentication และ VXLAN Overlay Network ที่ siamlancard.com หรือจาก icafeforex.com และ siam2r.com
