Palo Alto Networks
Palo Alto Networks คือผู้ที่ทำให้คำว่า Next-Generation Firewall เป็นที่รู้จัก: Firewall แยกแยะแอปและผู้ใช้ ไม่ใช่แค่ Port นอกจาก PA-Series ยังมี Prisma (SASE) และ Cortex (XDR/SOC) ราคาสูงและต้องการคนที่รู้ระบบจริง
- สำนักงานใหญ่
- United States
- กลุ่มเป้าหมาย
- ระดับองค์กร
- เว็บไซต์ทางการ
- www.paloaltonetworks.com
เหมาะกับใคร
ธนาคารและองค์กรใหญ่ที่มีทีม Security แยก และต้องการตรวจ SSL แบ่ง Zone ละเอียด และออกรายงานให้ผู้ตรวจสอบ
ภาพรวม
Palo Alto Networks ในวันนี้
Palo Alto Networks เป็นบริษัทอเมริกัน สำนักงานใหญ่อยู่ที่ Santa Clara, California บริษัทนี้ทำให้คำว่า Next-Generation Firewall เป็นที่รู้จัก คือเขียน Policy ตามแอปพลิเคชัน (App-ID) และตามผู้ใช้ (User-ID) ไม่ใช่แค่ IP และพอร์ต ในเดือนกุมภาพันธ์ 2026 บริษัทซื้อ CyberArk สำเร็จ ทำให้มีระบบบริหารบัญชีสิทธิ์สูง (Privileged Access) อยู่ในพอร์ตสินค้าด้วย
สามกลุ่มสินค้าหลัก
- Strata (ความปลอดภัยเครือข่าย): Firewall ตระกูล PA-Series ตั้งแต่ PA-400 และรุ่นใหม่ PA-500 สำหรับสาขา, PA-1400 และ PA-3400 สำหรับสำนักงานใหญ่ ไปจนถึง PA-5400 และ PA-7500 สำหรับ Data Center รุ่นซอฟต์แวร์มี VM-Series และ CN-Series ทุกรุ่นใช้ PAN-OS เวอร์ชันปัจจุบันคือ 12.1 (Orion) ที่เพิ่มการรองรับการเข้ารหัสแบบ Post-Quantum
- Prisma (SASE): Prisma Access สำหรับพนักงานที่ทำงานนอกออฟฟิศ และ Prisma SD-WAN สำหรับสาขา
- Cortex (การตรวจจับและตอบสนอง): Cortex XDR สำหรับเครื่องผู้ใช้ Cortex XSIAM สำหรับ SOC และ Cortex Cloud สำหรับระบบบน Cloud
การบริหารและ Licence
Firewall บริหารได้ทีละตัวผ่านหน้าเว็บ หลายตัวพร้อมกันผ่าน Panorama หรือผ่าน Strata Cloud Manager บน Cloud ความสามารถด้านการป้องกันขายเป็น Subscription แยกกัน เช่น Advanced Threat Prevention, Advanced URL Filtering, Advanced WildFire และ DNS Security ส่วนรุ่นซอฟต์แวร์ซื้อแบบ Credit ที่แบ่งใช้ระหว่างหลายเครื่องได้
Palo Alto เหมาะกับองค์กรระดับใหญ่ เช่น ธนาคาร บริษัทเหมืองแร่และพลังงานต่างชาติ และองค์กรที่บริษัทแม่กำหนดมาตรฐานไว้แล้ว ประเด็นสำคัญคือต้องมีคนที่เข้าใจระบบจริง เพราะถ้าตั้งค่าแบบ Firewall ธรรมดา ก็จ่ายแพงโดยไม่ได้ประโยชน์ สำหรับออฟฟิศ 30 คน ส่วนใหญ่ไม่คุ้ม
จุดแข็ง
- App-ID และ User-ID ทำให้เขียน Policy ได้ชัด เช่น "ฝ่ายบัญชีใช้ระบบธนาคารได้ แต่อัปโหลดไฟล์ขึ้น Cloud ส่วนตัวไม่ได้" แทนที่จะเปิดหรือปิดทั้งพอร์ต
- PAN-OS เดียวกันทุกรุ่น ตั้งแต่ PA-400 ถึง PA-7500 และ VM-Series ทำให้ Policy และความรู้ของทีมใช้ได้ทั้งสาขาและ Data Center
- การตรวจ SSL/TLS การแบ่ง Zone และรายงานทำได้ละเอียด เหมาะกับองค์กรที่ถูกตรวจสอบ (Audit) เป็นประจำ
- Palo Alto ประกาศวันเลิกขายและวันสิ้นสุดซัพพอร์ตของ Hardware และ PAN-OS ล่วงหน้า ช่วยวางแผนงบเปลี่ยนเครื่องได้
สิ่งที่ควรรู้ก่อนเลือก
- ราคาเครื่องและ Subscription สูงกว่าแบรนด์ระดับกลางมาก และแต่ละความสามารถการป้องกันเป็น Subscription แยก ใบเสนอราคาต้องระบุให้ครบว่ามีอะไรบ้าง
- ต้องมีคนที่รู้ PAN-OS จริง ในลาวคนแบบนี้ยังมีน้อย หลายองค์กรจึงต้องใช้บริการดูแลจากภายนอก
- การตรวจ SSL แบบเต็มกิน CPU มาก ถ้าเลือกขนาดเครื่องจากตัวเลข Throughput ที่ไม่ได้เปิดการตรวจ เครื่องจะช้าเมื่อใช้งานจริง
- ชื่อสินค้าและแพ็กเกจ Licence เปลี่ยนบ่อย (Strata Cloud Manager, Credit สำหรับรุ่นซอฟต์แวร์) ควรเก็บเอกสาร Licence และวันหมดอายุไว้ที่เดียว
การใช้งานในลาว
ในลาว Palo Alto ส่วนใหญ่พบที่ธนาคาร บริษัทเหมืองแร่และพลังงานที่มีเจ้าของเป็นต่างชาติ และองค์กรที่บริษัทแม่กำหนดให้ใช้ ตัวเครื่องและ Subscription สั่งผ่านผู้จำหน่ายในไทย รุ่นสาขามักมีในสต็อก แต่รุ่นใหญ่ส่วนใหญ่ต้องสั่งและอาจใช้เวลาหลายสัปดาห์
สิ่งที่ควรวางแผน:
- สองเครื่อง (HA): Firewall หลักควรใช้คู่ Active/Passive การรอเครื่องเปลี่ยนจากไทยนานเกินไปสำหรับระบบธนาคาร
- ไฟและความร้อน: รุ่น Rack ใช้ Power Supply สองตัว ให้ต่อ UPS คนละสาย และรักษาห้องเครื่องให้เย็น โดยเฉพาะเดือนเมษายน-พฤษภาคม
- ทักษะ: คนที่รู้ PAN-OS และ Panorama ในเวียงจันทน์มีน้อย ควรวางแผนฝึกทีมหรือทำสัญญาดูแลตั้งแต่วันซื้อ
- การตรวจ SSL: ต้องแจกจ่าย Certificate เข้าทุกเครื่อง และยกเว้นระบบธนาคารหรือแอปที่ใช้ Certificate Pinning
เทียบกับแบรนด์อื่น
Fortinet ให้ประสิทธิภาพต่อราคาดีกว่าและหาคนดูแลได้ง่ายกว่า เหมาะเมื่อต้องการ SD-WAN กับหลายสาขา Check Point เหมาะกับองค์กรที่มี Firewall หลายตัวและต้องการบริหาร Policy จากส่วนกลางพร้อมประวัติการเปลี่ยนแปลงชัดเจน Sophos เหมาะกับองค์กรขนาดกลางที่ไม่มีทีมความปลอดภัยและต้องการบริการ MDR เลือก Palo Alto เมื่อมีทีมที่จะใช้ App-ID, User-ID และการตรวจ SSL ให้คุ้มจริง
สายผลิตภัณฑ์
- PA-Series NGFW
- VM-Series
- Prisma Access
- Prisma SD-WAN
- Cortex XDR
- Cortex XSIAM
- Cortex Cloud
โซลูชันที่ใช้แบรนด์นี้
ไฟร์วอลล์รุ่นใหม่ (Next-Generation Firewall)Firewall ที่รู้ว่าเป็นแอปอะไรและใครใช้ มี IPS กรองเว็บ ตรวจ HTTPS และ VPN เลือกขนาดจากตัวเลขตอนเปิดทุกฟีเจอร์
การเข้าถึงระยะไกลอย่างปลอดภัย (VPN/ZTNA)ให้พนักงานและผู้รับเหมาเข้าระบบจากทุกที่ ผ่าน VPN หรือ ZTNA ที่มี MFA และเห็นเฉพาะสิ่งที่ต้องใช้
Zero Trust และควบคุมการเข้าเครือข่าย (NAC)ตรวจทุกคนและทุกอุปกรณ์ก่อนเข้าเครือข่ายด้วย 802.1X และ NAC เสียบสายแลนได้ ไม่ได้แปลว่าเข้าเซิร์ฟเวอร์ได้
ป้องกันเครื่องลูกข่ายและ EDREDR ที่ดูพฤติกรรม ไม่ใช่แค่รายชื่อไวรัส หยุดแรนซัมแวร์กลางทาง และตัดเครื่องที่ติดเชื้อออกจากเครือข่ายได้ทันที
เฝ้าระวังความปลอดภัย SOC / SIEMรวม Log จาก Firewall เซิร์ฟเวอร์ และเครื่องลูกข่ายเข้า SIEM ที่เดียว พร้อมคนดูแจ้งเตือนและขั้นตอนรับมือเหตุ
SD-WAN เชื่อมต่อสาขาสาขาต่างแขวงใช้อินเทอร์เน็ตสองเส้นพร้อมกัน เส้นหนึ่งล่ม อีกเส้นรับแทนในไม่กี่วินาที ทุกการเชื่อมต่อเข้ารหัส
ประเมินช่องโหว่และทดสอบเจาะระบบสแกนและทดสอบระบบ เว็บไซต์ และเครือข่าย เพื่อเจอช่องโหว่ก่อนคนอื่น รายงานเรียงตามสิ่งที่ต้องแก้ก่อนคำถามที่พบบ่อย
ถ้า Subscription ของ Palo Alto หมดอายุจะเกิดอะไรขึ้น
Firewall ยังส่ง Traffic ตาม Policy ที่มีอยู่ แต่การอัปเดต Threat Prevention, URL Filtering และ WildFire จะหยุด และถ้าซัพพอร์ตหมดก็จะอัปเกรด PAN-OS หรือขอเปลี่ยนเครื่องไม่ได้ ควรตรวจวันหมดอายุของแต่ละ Subscription เพราะอาจไม่ตรงกัน
ควรใช้ Panorama หรือ Strata Cloud Manager
Panorama ติดตั้งในองค์กร (เครื่องหรือ VM) เหมาะเมื่อนโยบายต้องการให้ข้อมูลการบริหารอยู่ภายใน Strata Cloud Manager อยู่บน Cloud และได้การวิเคราะห์เพิ่ม เหมาะเมื่อมีหลายสาขาและอินเทอร์เน็ตเสถียร ถ้ามี Firewall แค่หนึ่งหรือสองตัว หน้าเว็บของเครื่องก็เพียงพอ
ใช้ Palo Alto เป็น Firewall และใช้ยี่ห้ออื่นป้องกันเครื่องผู้ใช้ได้หรือไม่
ได้และพบบ่อย Firewall ไม่ได้ผูกกับ Cortex XDR สิ่งที่ได้จากการใช้ยี่ห้อเดียวกันคือการดูเหตุการณ์จาก Firewall และเครื่องผู้ใช้ในที่เดียว ซึ่งมีประโยชน์กับทีม SOC มากกว่าองค์กรเล็ก
ชื่อแบรนด์และเครื่องหมายการค้าทั้งหมดเป็นของเจ้าของแต่ละราย การกล่าวถึงไม่ได้หมายความว่าเป็นตัวแทนอย่างเป็นทางการ เว้นแต่ระบุไว้ชัดเจน เราจัดหาสินค้าผ่านช่องทางจัดจำหน่ายที่ถูกต้อง
ส่งแปลนอาคาร หรือรูปหน้างานสักสองสามรูปมาให้เรา
เราจะถามรายละเอียดเพิ่ม แล้วส่งแบบระบบเบื้องต้นให้ ปรึกษาครั้งแรกฟรี เป็นภาษาลาว ไทย หรืออังกฤษ ทาง WhatsApp หรือเพจ Facebook