Zero Trust Network Architecture: หลักการ Never Trust Always Verify
Zero Trust คือ security framework ที่ไม่ไว้ใจอะไรเลย ไม่ว่าจะอยู่ภายในหรือภายนอก network ทุก request ต้องถูก verify ก่อนอนุญาตให้เข้าถึง resources แตกต่างจาก traditional security ที่ “trust แต่ verify” (ถ้าอยู่ภายใน network = trusted) Zero Trust คือ “never trust, always verify”
ในยุคที่ remote work, cloud, BYOD ทำให้ perimeter หายไป traditional firewall ไม่เพียงพออีกต่อไป attacker ที่เข้ามาได้ภายใน network จะ move laterally ได้อย่างอิสระ Zero Trust แก้ปัญหานี้โดยไม่ trust อะไรเลย ทุก access ต้อง verify ทุกครั้ง บทความนี้จะอธิบายหลักการและวิธี implement
Traditional vs Zero Trust
| Traditional (Castle and Moat) | Zero Trust |
|---|---|
| Trust ทุกอย่างภายใน network | ไม่ trust อะไรเลย ทุก request ต้อง verify |
| Firewall เป็น perimeter เดียว | ทุก resource มี perimeter ของตัวเอง |
| VPN = full network access | ZTNA = access เฉพาะ apps ที่ได้รับอนุญาต |
| Flat internal network | Micro-segmentation ทุก segment |
| ถ้า attacker เข้า perimeter ได้ = game over | ถ้า attacker เข้าได้ ยังถูกจำกัดใน segment |
Zero Trust Principles
5 หลักการ
1. Verify Explicitly: ทุก access request ต้อง authenticate + authorize ทุกครั้ง ใช้หลายปัจจัย: identity, device health, location, behavior, time 2. Least Privilege Access: ให้ access เท่าที่จำเป็น ไม่มากกว่านั้น Just-In-Time (JIT) access: ให้ access ชั่วคราว ไม่ใช่ถาวร 3. Assume Breach: สมมติว่า attacker อยู่ใน network แล้ว segment network, encrypt data, monitor ทุกอย่าง 4. Verify Every Device: ไม่ใช่แค่ verify user แต่ verify device ด้วย (patched, antivirus, compliant) 5. Continuous Monitoring: ไม่ verify แค่ตอน login แต่ monitor ตลอด session ถ้า risk เปลี่ยน (location เปลี่ยน, behavior ผิดปกติ) ต้อง re-verify
Zero Trust Architecture Components
| Component | หน้าที่ | ตัวอย่าง |
|---|---|---|
| Identity Provider (IdP) | ยืนยันตัวตน user + MFA | Azure AD, Okta, Google Workspace |
| Device Trust | ตรวจสอบ device health + compliance | Intune, Jamf, CrowdStrike |
| ZTNA (Zero Trust Network Access) | แทน VPN ให้ access เฉพาะ apps | Zscaler Private Access, Cloudflare Access |
| Micro-segmentation | แบ่ง network เป็น segments เล็กๆ | VMware NSX, Illumio, Cisco ACI |
| SIEM/XDR | Monitor + detect threats | Splunk, Microsoft Sentinel, CrowdStrike |
| PAM (Privileged Access Management) | จัดการ admin/privileged access | CyberArk, BeyondTrust |
ZTNA vs VPN
| คุณสมบัติ | Traditional VPN | ZTNA |
|---|---|---|
| Access scope | Full network access | เฉพาะ apps ที่ได้รับอนุญาต |
| Authentication | ครั้งเดียวตอน connect | ทุก request + continuous |
| Device check | ไม่มี/มีน้อย | ตรวจ device health ทุกครั้ง |
| Lateral movement | ง่าย (full network access) | ยาก (app-level access) |
| User experience | ช้า (traffic ผ่าน VPN concentrator) | เร็ว (direct connection to app) |
| Scalability | จำกัด (hardware VPN) | Cloud-native (scale ง่าย) |
Implementation Roadmap
Phase 1: Identity (เดือน 1-3)
เริ่มจาก identity เพราะเป็น foundation: Deploy SSO (Single Sign-On) สำหรับทุก applications Enforce MFA สำหรับทุก user (ไม่ใช่แค่ admin) Implement Conditional Access policies (ตาม location, device, risk level) ตัวอย่าง: Azure AD + Conditional Access + MFA
Phase 2: Device Trust (เดือน 3-6)
ตรวจสอบ device ก่อนให้ access: Deploy MDM (Mobile Device Management) สำหรับ corporate devices Require device compliance (OS updated, antivirus active, encrypted) Block unmanaged devices จาก sensitive resources
Phase 3: Network (เดือน 6-12)
Segment network + deploy ZTNA: Micro-segment network ด้วย VLANs + firewall rules Replace VPN ด้วย ZTNA สำหรับ remote access Implement NAC สำหรับ on-premises devices
Phase 4: Data & Monitoring (เดือน 12+)
Protect data + continuous monitoring: Classify data (public, internal, confidential, restricted) Encrypt data at rest + in transit Deploy SIEM/XDR สำหรับ continuous monitoring Implement DLP (Data Loss Prevention)
Zero Trust สำหรับ SMB
| งบน้อย | Solution | ราคา |
|---|---|---|
| Identity + MFA | Google Workspace / Microsoft 365 | ~200 บาท/user/เดือน |
| ZTNA | Cloudflare Access (free tier) | ฟรี 50 users |
| Device Management | Microsoft Intune (M365 Business Premium) | รวมใน M365 |
| Network Segmentation | VLANs + pfSense firewall | ฟรี (open-source) |
| Monitoring | Wazuh (open-source SIEM) | ฟรี |
ทิ้งท้าย: Zero Trust ไม่ใช่ Product แต่เป็น Strategy
Zero Trust ไม่ใช่ของที่ซื้อมาแล้วเสร็จ เป็น journey ที่ต้องทำเป็น phase เริ่มจาก identity + MFA (ได้ผลทันที) ค่อยๆ เพิ่ม device trust, network segmentation, monitoring ไม่มีองค์กรไหนเป็น “100% Zero Trust” แต่ทุกก้าวที่ทำ = security ดีขึ้น
อ่านเพิ่มเติมเกี่ยวกับ Network Segmentation VLAN Firewall และ Network Access Control NAC ที่ siamlancard.com หรือจาก icafeforex.com และ siam2r.com
