ความปลอดภัยไซเบอร์

Zero Trust และควบคุมการเข้าเครือข่าย (NAC)

ตรวจทุกคนและทุกอุปกรณ์ก่อนเข้าเครือข่ายด้วย 802.1X และ NAC เสียบสายแลนได้ ไม่ได้แปลว่าเข้าเซิร์ฟเวอร์ได้

ปัญหาที่เราเจอบ่อยหน้างาน

ในหลายองค์กร ใครก็เสียบสายแลนในห้องประชุมหรือต่อ Wi-Fi แล้วเห็นเซิร์ฟเวอร์ได้ทันที มือถือส่วนตัว กล้อง IP และเครื่องพิมพ์อยู่วงเดียวกับระบบบัญชี ผู้โจมตีที่เข้ามาได้จุดเดียวก็เดินไปได้ทั่ว

Zero Trust คือหลักการ "ไม่ไว้ใจใครโดยอัตโนมัติ ตรวจทุกครั้ง" และให้สิทธิ์เท่าที่จำเป็น ในระดับเครือข่าย เราทำให้เกิดขึ้นจริงด้วย NAC (Network Access Control)

NAC ทำอะไรบ้าง

ตรวจตัวตน ด้วย 802.1X ทั้งสายและ Wi-Fi ทางที่เราชอบคือ EAP-TLS ที่ใช้ใบรับรองในเครื่อง PEAP กับรหัสผ่าน AD ก็ใช้ได้ แต่ต้องเปิดการตรวจใบรับรองของเซิร์ฟเวอร์ ไม่อย่างนั้นรหัสถูกดักได้
จำแนกอุปกรณ์ (Profiling) ที่ทำ 802.1X ไม่ได้ เช่น กล้อง เครื่องพิมพ์ IoT แล้วให้เข้าด้วย MAB พร้อมสิทธิ์จำกัด MAC Address ปลอมได้ง่าย MAB จึงต้องมาพร้อม Profiling และ VLAN ที่แคบ
ตรวจสภาพเครื่อง (Posture): ไม่มี EDR หรือขาด Patch ไป VLAN กักกัน
ให้สิทธิ์แบบ Dynamic: VLAN, ACL หรือ Security Group Tag ตามบทบาท ไม่ใช่ตามพอร์ตที่เสียบ

เปิดใช้โดยไม่ให้ใครถูกล็อก

เราเริ่มในโหมด Monitor หลายสัปดาห์เพื่อเก็บรายการอุปกรณ์ทั้งหมด ทุกครั้งเราเจออุปกรณ์ที่ไม่มีใครรู้ว่ามีอยู่ จากนั้นค่อยเปิดบังคับใช้ทีละกลุ่ม การแบ่งกลุ่ม (Micro-segmentation) เช่น CCTV กับบัญชี บังคับด้วย Firewall ภายใน NAC ยังเป็นพื้นฐานของ Wi-Fi แขกและการลงทะเบียนอุปกรณ์ส่วนตัว (BYOD)

สิ่งที่ระบบทำได้

802.1X ทั้งสายและ Wi-Fi

EAP-TLS ด้วยใบรับรอง หรือ PEAP กับ AD ที่ตั้งค่าอย่างปลอดภัย

จำแนกอุปกรณ์ IoT

รู้จักกล้อง เครื่องพิมพ์ และอุปกรณ์อื่นเอง

ตรวจสภาพเครื่อง

เครื่องที่ไม่ผ่านไปกักกันจนกว่าจะแก้

สิทธิ์ตามบทบาท

เสียบพอร์ตไหนก็ได้ สิทธิ์ตามคนและอุปกรณ์

Wi-Fi แขกและ BYOD

ลงทะเบียนและอนุมัติอุปกรณ์ใหม่อย่างเป็นระบบ

Micro-segmentation

จำกัดการเชื่อมต่อระหว่างกลุ่มเพื่อไม่ให้ลาม

แบบระบบและขั้นตอนติดตั้ง

1
เก็บรายการอุปกรณ์และจัดกลุ่มตามบทบาท
2
ติดตั้ง NAC/RADIUS เชื่อม AD/Entra ID และ PKI
3
เปิด 802.1X โหมด Monitor ที่ Switch และ Wi-Fi
4
กำหนดนโยบายและทดลองกับกลุ่มนำร่อง
5
บังคับใช้ทีละกลุ่มและเพิ่มการแบ่งกลุ่ม

ใช้ที่ไหนได้บ้าง

ธนาคารที่ต้องกันอุปกรณ์แปลกปลอมออกจากเครือข่ายสาขา
โรงพยาบาลที่มีอุปกรณ์การแพทย์ IoT จำนวนมาก
มหาวิทยาลัยที่นักศึกษานำอุปกรณ์ส่วนตัวมาใช้
กระทรวงที่ต้องแยกเครือข่ายภายในกับผู้มาติดต่อ

ขนาดระบบที่พบบ่อย

พื้นฐาน

เหมาะสำหรับ: สถานที่เดียว ไม่เกิน 300 อุปกรณ์

802.1X สำหรับ Wi-Fi พนักงาน
VLAN แยก IoT/CCTV/แขก
RADIUS เชื่อม AD

ขอใบเสนอราคา

NAC เต็มรูปแบบ

เหมาะสำหรับ: 300–3,000 อุปกรณ์

แพลตฟอร์ม NAC พร้อม Profiling
802.1X ทั้งสายและไร้สาย
หน้าลงทะเบียนแขกและ BYOD

ขอใบเสนอราคา

Zero Trust

เหมาะสำหรับ: องค์กรหลายสาขาที่มีความเสี่ยงสูง

Posture เชื่อม EDR/MDM
Micro-segmentation ด้วย Firewall ภายใน
เชื่อม ZTNA สำหรับคนทำงานระยะไกล

ขอใบเสนอราคา

แบรนด์ที่เราจัดหา & ติดตั้ง

Cisco HPE Aruba Networking Fortinet Juniper Networks Huawei Microsoft Palo Alto Networks

ชื่อแบรนด์และเครื่องหมายการค้าทั้งหมดเป็นของเจ้าของแต่ละราย การกล่าวถึงไม่ได้หมายความว่าเป็นตัวแทนอย่างเป็นทางการ เว้นแต่ระบุไว้ชัดเจน เราจัดหาสินค้าผ่านช่องทางจัดจำหน่ายที่ถูกต้อง

คำถามที่พบบ่อย

กล้องและเครื่องพิมพ์ที่ไม่รองรับ 802.1X ทำอย่างไร?

ใช้ MAC Authentication Bypass (MAB) คู่กับ Profiling และวางไว้ใน VLAN ที่ไปได้แค่ NVR หรือ Print Server ถ้ามีคนปลอม MAC ของกล้อง ก็ไปได้แค่ NVR

พนักงานจะเข้าเครือข่ายไม่ได้ไหม?

เป็นความเสี่ยงจริงถ้าเปิดทั้งหมดในวันเดียว เราเริ่มโหมด Monitor บังคับใช้ทีละกลุ่ม และมีแผนถอยกลับทุกขั้น

Switch เดิมใช้ได้ไหม?

Managed Switch ส่วนใหญ่รองรับ 802.1X และ RADIUS ฟีเจอร์ขั้นสูงเช่น Dynamic ACL หรือ CoA ต้องเช็กเป็นรุ่น Switch แบบ Unmanaged ใช้ไม่ได้

คู่มือที่เกี่ยวข้อง

เครือข่ายพื้นฐาน7 นาที

VLAN สำหรับธุรกิจ: แยกเครือข่ายให้แขก กล้อง และพนักงานไม่ปนกัน

VLAN คืออะไร Tag 802.1Q ทำงานอย่างไร ตัวอย่างแผน VLAN/IP สำหรับสำนักงาน 100 คน และวิธีย้ายเครือข่ายแบนที่ใช้อยู่โดยไม่ให้งานหยุด

Wi-Fi ไร้สายกลาง7 นาที

ความปลอดภัย Wi-Fi: WPA3, 802.1X และการแยกแขกให้แยกจริง

รหัส Wi-Fi ที่แปะไว้บนผนังและ SSID แขกที่อยู่ VLAN เดียวกับพนักงาน คือสิ่งที่เราเจอบ่อยที่สุด วิธีเลือกโหมดความปลอดภัย ออกแบบ SSID/VLAN และย้ายไป WPA3…

ความปลอดภัยกลาง8 นาที

เข้าระบบจากระยะไกลอย่างปลอดภัย: เมื่อไร VPN พอ และเมื่อไรควรไป ZTNA

Remote Access VPN กับ Zero Trust Network Access ต่างกันอย่างไรในทางปฏิบัติ สิ่งที่ต้องแก้ใน VPN ปัจจุบันก่อน และวิธีจัดการผู้ขายที่ขอเข้าระบบจากระยะไกล

ความปลอดภัยพื้นฐาน7 นาที

นโยบายรหัสผ่านและ MFA: เลิกบังคับเปลี่ยนรหัสทุก 90 วัน

กฎรหัสผ่านแบบเดิมหลายข้อทำให้องค์กรปลอดภัยน้อยลง นี่คือนโยบายที่อิงตาม NIST SP 800-63B ฉบับปัจจุบัน การเทียบประเภท MFA…

เครือข่ายพื้นฐาน7 นาที

Managed หรือ Unmanaged Switch: ทำไมกล่องที่ดูเหมือนกัน ถึงไม่เหมือนกัน

Unmanaged, Smart และ Fully Managed ต่างกันอย่างไร เมื่อไหร่ Unmanaged ยังใช้ได้ Layer 2 หรือ Layer 3 และค่าพื้นฐาน 8 ข้อที่ Managed Switch ทุกตัวควรมี