ข้อสอบจำลองชุดที่ 2: สถาปัตยกรรมความปลอดภัยและโครงสร้างพื้นฐาน

ยินดีต้อนรับสู่ข้อสอบจำลองส่วนที่ 2 ซึ่งมุ่งเน้นโดเมน 3 ของ Security+: สถาปัตยกรรมความปลอดภัย (18% ของข้อสอบ) โดเมนนี้ทดสอบความสามารถของคุณในการประยุกต์ใช้กลไกควบคุมความปลอดภัยกับการออกแบบโครงสร้างพื้นฐานเครือข่ายและคลาวด์ ทำความเข้าใจกลยุทธ์การแบ่งส่วนและการแยกส่วน ประเมินความปลอดภัยของโพรโทคอล และแนะนำสถาปัตยกรรมที่เหมาะสมสำหรับสถานการณ์ที่กำหนด คำถามด้านสถาปัตยกรรมมักแสดงแผนผังเครือข่ายหรือคำอธิบายระบบ แล้วถามให้คุณระบุกลไกควบคุมที่ขาดหาย การกำหนดค่าที่มีช่องโหว่ หรือตัวเลือกการออกแบบที่ดีที่สุด อ่านแต่ละสถานการณ์อย่างรอบคอบ และระบุองค์ประกอบสำคัญด้านสถาปัตยกรรมที่กำลังทดสอบก่อนเลือกคำตอบ

คำถาม: บริษัทโฮสต์เว็บเซิร์ฟเวอร์สาธารณะและเซิร์ฟเวอร์ฐานข้อมูลภายใน ทีมรักษาความปลอดภัยต้องการให้แน่ใจว่า หากเว็บเซิร์ฟเวอร์ถูกเจาะระบบ ผู้โจมตีจะไม่สามารถเข้าถึงฐานข้อมูลภายในได้โดยตรง การออกแบบเครือข่ายแบบใดทำได้ตามต้องการ

คำตอบ: วางเว็บเซิร์ฟเวอร์ไว้ใน DMZ (เขตปลอดทหาร) และแยกจากเครือข่ายภายในด้วยไฟร์วอลล์ตัวที่สอง DMZ ใช้ไฟร์วอลล์สองตัว: ไฟร์วอลล์ด้านนอกแยกอินเทอร์เน็ตออกจาก DMZ และไฟร์วอลล์ด้านในแยก DMZ ออกจากเครือข่ายภายใน แม้เว็บเซิร์ฟเวอร์จะถูกเจาะระบบทั้งหมด ไฟร์วอลล์ด้านในก็จะบล็อกการเข้าถึงฐานข้อมูลภายในโดยตรง ผู้โจมตีต้องฝ่าไฟร์วอลล์อีกชั้นหนึ่ง การวางเซิร์ฟเวอร์ทั้งสองไว้ในส่วนเครือข่ายเดียวกันจะทำให้การป้องกันนี้หายไป การใช้ไฟร์วอลล์เพียงตัวเดียวที่กำหนดพอร์ตต่างกันสำหรับการรับส่งข้อมูลเว็บและฐานข้อมูลก็ไม่เพียงพอ เพราะเว็บเซิร์ฟเวอร์ที่ถูกเจาะระบบสามารถเข้าถึงพอร์ตฐานข้อมูลจากส่วนเครือข่ายเดียวกันได้

คำถาม: ทีมรักษาความปลอดภัยต้องการตรวจจับการโจมตีเครือข่ายและบล็อกการรับส่งข้อมูลที่เป็นอันตรายโดยอัตโนมัติก่อนจะไปถึงเซิร์ฟเวอร์ภายใน อุปกรณ์ประเภทใดตรงตามข้อกำหนดทั้งสองข้อนี้ได้ดีที่สุด

คำตอบ: ระบบป้องกันการบุกรุก (IPS) IPS ทำงานแบบแทรกอยู่ในเส้นทางการรับส่งข้อมูล สามารถตรวจจับการโจมตีได้เช่นเดียวกับ IDS และยังบล็อกการรับส่งข้อมูลที่เป็นอันตรายได้ด้วย IDS (ระบบตรวจจับการบุกรุก) โดยทั่วไปติดตั้งแบบนอกเส้นทาง โดยทำสำเนาการรับส่งข้อมูลส่งไปให้ตรวจสอบ จึงตรวจจับและแจ้งเตือนได้ แต่ไม่สามารถบล็อกการรับส่งข้อมูลได้ เนื่องจากไม่ได้อยู่ในเส้นทางนั้น ทั้งสองระบบใช้การตรวจจับด้วยลายเซ็นและการตรวจจับความผิดปกติ ความเสี่ยงของ IPS คือการบล็อกการรับส่งข้อมูลที่ถูกต้องจากผลบวกลวง จึงต้องปรับแต่ง IPS อย่างรอบคอบ NIDS (เครือข่าย) เทียบกับ HIDS (บนโฮสต์): การติดตั้งในเครือข่ายใช้ตรวจจับการรับส่งข้อมูล ส่วนการติดตั้งบนโฮสต์ใช้วิเคราะห์เหตุการณ์ของระบบในโฮสต์หนึ่งโดยเฉพาะ

คำถาม: องค์กรมีพนักงานทำงานระยะไกลที่เข้าถึงทรัพยากรขององค์กรจากเครือข่ายที่บ้าน VPN แบบเดิมอนุญาตให้อุปกรณ์ที่เชื่อมต่อทุกเครื่องเข้าถึงเครือข่ายภายในได้อย่างเต็มที่ สถาปัตยกรรมทางเลือกแบบ zero trust ใดช่วยลดความเสี่ยงจากการเคลื่อนที่ด้านข้างได้ดีที่สุด หากอุปกรณ์ระยะไกลถูกเจาะระบบ

คำตอบ: เปลี่ยน VPN เป็น Zero Trust Network Access (ZTNA) ซึ่งให้สิทธิ์เข้าถึงเป็นรายแอปพลิเคชันตามสถานะความปลอดภัยของอุปกรณ์ ตัวตนผู้ใช้ และบริบท VPN แบบเดิมให้สิทธิ์เข้าถึงเครือข่ายในวงกว้าง เมื่อเชื่อมต่อแล้ว อุปกรณ์จะเข้าถึงทรัพยากรภายในส่วนใหญ่ได้ ZTNA บังคับใช้หลักการ zero trust โดยประเมินคำขอเข้าถึงทรัพยากรแต่ละรายการแยกกันตามตัวตนผู้ใช้ การปฏิบัติตามข้อกำหนดของอุปกรณ์ เช่น การติดตั้งแพตช์และใบรับรอง และบริบทด้านความเสี่ยง อุปกรณ์ที่ถูกเจาะระบบจะเข้าถึงได้เฉพาะแอปพลิเคชันที่เซสชันนั้นได้รับสิทธิ์ ไม่ใช่ทั้งเครือข่าย วิธีนี้จำกัดการเคลื่อนที่ด้านข้างให้อยู่ภายในขอบเขตความเสียหายของแอปพลิเคชันเหล่านั้น แทนที่จะครอบคลุมเครือข่ายองค์กรทั้งหมด

คำถาม: บริษัทจัดเก็บข้อมูลลูกค้าไว้ในบักเก็ต AWS S3 ใครมีหน้าที่ตรวจสอบให้แน่ใจว่าบักเก็ต S3 ไม่อนุญาตให้เข้าถึงแบบสาธารณะ

คำตอบ: ลูกค้า (บริษัท) ตามรูปแบบความรับผิดชอบร่วมของ AWS AWS รักษาความปลอดภัยให้โครงสร้างพื้นฐานทางกายภาพ ไฮเปอร์ไวเซอร์ และฮาร์ดแวร์จัดเก็บข้อมูล ลูกค้ามีหน้าที่รับผิดชอบการจัดประเภทและการปกป้องข้อมูล นโยบายและ ACL ของบักเก็ต S3 การควบคุมการเข้าถึง และการปฏิบัติตามข้อกำหนด บักเก็ต S3 ที่กำหนดค่าผิด เช่น อ่านแบบสาธารณะหรือเขียนแบบสาธารณะ เป็นสาเหตุของการรั่วไหลของข้อมูลครั้งใหญ่ที่สุดหลายครั้งในประวัติศาสตร์ ซึ่งทั้งหมดเป็นความรับผิดชอบของลูกค้าที่ต้องกำหนดค่าให้ถูกต้อง AWS มีเครื่องมือ เช่น S3 Block Public Access, กฎ AWS Config และ Amazon Macie เพื่อช่วยลูกค้าปฏิบัติตามความรับผิดชอบ แต่การเลือกใช้เครื่องมือเหล่านี้เป็นการตัดสินใจของลูกค้า

คำถาม: ผู้ดูแลระบบเครือข่ายแบ่งเครือข่ายองค์กรออกเป็น VLAN ได้แก่ VLAN สำหรับเครื่องทำงานของพนักงาน VLAN สำหรับเซิร์ฟเวอร์ VLAN สำหรับกล้อง IP และ VLAN สำหรับ Wi-Fi ของผู้มาเยือน การแบ่งส่วนนี้ให้ประโยชน์ด้านความปลอดภัยอย่างไร

คำตอบ: จำกัดการเคลื่อนที่ด้านข้าง — การเจาะระบบ VLAN หนึ่งไม่ได้ทำให้เข้าถึง VLAN อื่นได้โดยอัตโนมัติ VLAN แยกเครือข่ายในเชิงตรรกะได้ แม้จะใช้สวิตช์จริงร่วมกัน การรับส่งข้อมูลระหว่าง VLAN ต้องผ่านเราเตอร์หรือสวิตช์เลเยอร์ 3 ซึ่งสามารถใช้ACL เพื่อจำกัดการสื่อสารได้ หากกล้อง IoT ซึ่งมักเป็นเป้าหมายการโจมตีเนื่องจากมีความปลอดภัยต่ำ อยู่ใน VLAN แยกต่างหาก กล้องที่ถูกเจาะระบบจะไม่สามารถโจมตีเครื่องทำงานหรือเซิร์ฟเวอร์ได้โดยตรง การแยก VLAN ของ Wi-Fi ผู้มาเยือนช่วยป้องกันไม่ให้ผู้มาเยือนเข้าถึงทรัพยากรขององค์กร หมายเหตุ: VLAN ไม่ใช่ขอบเขตความปลอดภัยที่สมบูรณ์ เพราะมีการโจมตีแบบกระโดดข้าม VLAN ดังนั้นควรใช้ร่วมกับการแบ่งส่วนทางกายภาพสำหรับโซนที่มีความปลอดภัยสูง

คำถาม: วิศวกรเครือข่ายต้องจัดการเราเตอร์และสวิตช์จากเวิร์กสเตชันสำหรับการจัดการระยะไกล โพรโทคอลใดควรใช้เพื่อให้แน่ใจว่าการรับส่งข้อมูลสำหรับการจัดการทั้งหมดได้รับการเข้ารหัส

คำตอบ: SSH (Secure Shell) บนพอร์ต 22 SSH เข้ารหัสการรับส่งข้อมูลทั้งหมด รวมถึงข้อมูลประจำตัวและคำสั่ง ทางเลือกที่ไม่ปลอดภัยคือ Telnet (พอร์ต 23) ซึ่งส่งข้อมูลทั้งหมดเป็นข้อความธรรมดา ผู้สังเกตการณ์บนเครือข่ายสามารถดักจับข้อมูลประจำตัวสำหรับเข้าสู่ระบบได้ สำหรับส่วนติดต่อการจัดการผ่านเว็บ ควรใช้ HTTPS (พอร์ต 443) แทน HTTP สำหรับการตรวจสอบด้วย SNMP ให้ใช้ SNMPv3 พร้อมการยืนยันตัวตนและการรักษาความเป็นส่วนตัว (การเข้ารหัส AES) แทน SNMPv1/v2c ที่ส่งข้อมูลแบบอ่านข้อความได้ การสอบ Security+ มักแสดงตารางเปรียบเทียบคู่โพรโทคอลที่ปลอดภัยและไม่ปลอดภัย ให้เลือก SSH แทน Telnet, SFTP แทน FTP, LDAPS แทน LDAP, HTTPS แทน HTTP และ SNMPv3 แทน SNMPv1/v2 เสมอ

คำถาม: องค์กรต้องการไฟร์วอลล์ที่ตรวจสอบการรับส่งข้อมูล HTTPS ที่เข้ารหัสเพื่อหามัลแวร์ ใช้กลไกควบคุมระดับแอปพลิเคชัน เช่น บล็อกสื่อสังคมออนไลน์แต่อนุญาตแอปพลิเคชันทางธุรกิจ และเชื่อมต่อกับแหล่งข้อมูลข่าวกรองภัยคุกคามได้ ควรติดตั้งไฟร์วอลล์ประเภทใด

คำตอบ: ไฟร์วอลล์ยุคถัดไป (NGFW) NGFW ทำงานในเลเยอร์ 3-7 และมีความสามารถดังนี้: การตรวจสอบแพ็กเก็ตเชิงลึก (DPI) ของการรับส่งข้อมูลแอปพลิเคชัน การตรวจสอบ SSL/TLS (ถอดรหัส ตรวจสอบ และเข้ารหัสกลับ) การรับรู้แอปพลิเคชัน (ระบุและควบคุมแอปพลิเคชันเฉพาะโดยไม่ขึ้นกับพอร์ต) IPS ในตัว และการเชื่อมต่อกับข่าวกรองภัยคุกคาม ไฟร์วอลล์แบบติดตามสถานะ แบบดั้งเดิมทำงานในเลเยอร์ 3-4 (IP และ TCP/UDP) สามารถอนุญาตหรือบล็อกตาม IP พอร์ต และโพรโทคอลได้ แต่ไม่สามารถแยกแยะ HTTPS ที่ถูกต้องออกจากมัลแวร์ที่ส่งผ่าน HTTPS ได้ ไฟร์วอลล์กรองแพ็กเก็ตมีข้อจำกัดมากยิ่งกว่า เพราะไม่มีสถานะและไม่ติดตามการเชื่อมต่อ

Q8 — HA เทียบกับความทนทานต่อความเสียหาย: โรงพยาบาลต้องการให้บริการไม่หยุดชะงักเลยหากเซิร์ฟเวอร์หนึ่งเครื่องขัดข้อง คำตอบ: คลัสเตอร์ที่ทนทานต่อความเสียหายแบบทำงานพร้อมกัน — เซิร์ฟเวอร์หลายเครื่องจัดการคำขอพร้อมกัน หากเครื่องหนึ่งขัดข้อง บริการจะไม่หยุด ความพร้อมใช้งานสูงมีช่วงสลับการทำงานสั้น ๆ ส่วนแบบทำงานหลัก-สำรองจะมีช่วงหยุดระหว่างรอเปลี่ยนระบบ ไม่หยุดทำงานเลย = แบบทำงานพร้อมกัน

Q9 — การแบ่งส่วนย่อย: มีไมโครเซอร์วิส 50 รายการ และต้องป้องกันการเคลื่อนที่ด้านข้างหากรายการหนึ่งถูกเจาะระบบ คำตอบ: Kubernetes NetworkPolicy หรือเซอร์วิสเมชที่ใช้ mTLS — มีกฎระดับเวิร์กโหลดที่ละเอียด VLAN หยาบเกินไป ส่วน mTLS เพิ่มการเข้ารหัสและการยืนยันตัวตนซึ่งกันและกันระหว่างบริการ

Q10 — WPA3: อัปเกรดจาก WPA2-Personal เป็น WPA3-Personal คำตอบ: SAE (Simultaneous Authentication of Equals) ป้องกันการโจมตีพจนานุกรมแบบออฟไลน์ โดยผู้โจมตีต้องโต้ตอบกับเครือข่ายในการเดาแต่ละครั้ง และให้ความลับส่งต่อ (ใช้คีย์เซสชันเฉพาะ แม้ PSK จะถูกเจาะระบบในภายหลัง)

Honeynet: เครือข่ายของ honeypot ที่สร้างขึ้นเพื่อล่อลวงและศึกษาผู้โจมตี พร้อมรวบรวมข่าวกรองภัยคุกคาม Air gap: การแยกออกจากเครือข่ายภายนอกทั้งหมดทางกายภาพ — ไม่มีอินเทอร์เน็ต ไม่มีเครือข่ายไร้สาย และไม่มีสื่อถอดเข้าออกได้ (ตามทฤษฎี) Proxy กับ Reverse Proxy: พร็อกซีแบบส่งต่อควบคุมการรับส่งข้อมูลขาออกของไคลเอ็นต์ไปยังอินเทอร์เน็ต ส่วนพร็อกซีแบบย้อนกลับอยู่ด้านหน้าเซิร์ฟเวอร์ ควบคุมการรับส่งข้อมูลขาเข้า และซ่อนโครงสร้างเครือข่ายของเซิร์ฟเวอร์ NAC (Network Access Control): บังคับให้มี AV การติดตั้งแพตช์ และการปฏิบัติตามนโยบายก่อนอนุญาตให้เข้าถึงเครือข่าย CASB: ตัวกลางรักษาความปลอดภัยการเข้าถึงคลาวด์ — จุดบังคับใช้นโยบายระหว่างผู้ใช้คลาวด์กับผู้ให้บริการคลาวด์ ความเสี่ยงจากการแยกอุโมงค์: มีเพียงข้อมูลขององค์กรที่ส่งผ่านอุโมงค์ VPN ส่วนข้อมูลอินเทอร์เน็ตจะข้ามอุโมงค์ ทำให้เกิดความเสี่ยงในการเชื่อมต่อระหว่างเครือข่ายองค์กรกับอินเทอร์เน็ตพร้อมกัน

SASE: ขอบเขตบริการการเข้าถึงที่ปลอดภัย — ผสาน ZTNA, CASB, SWG และ FWaaS เข้ากับ SD-WAN เป็นบริการคลาวด์แบบรวมศูนย์สำหรับการเข้าถึงระยะไกลอย่างปลอดภัย ข้อได้เปรียบด้านความปลอดภัยของ SDN: แยกระนาบควบคุมออกจากระนาบข้อมูล ทำให้สามารถบังคับใช้นโยบายความปลอดภัยแบบรวมศูนย์และกำหนดโปรแกรมได้ ความเสี่ยงหลักด้านความปลอดภัยของคอนเทนเนอร์: การใช้เคอร์เนลร่วมกัน — การหลบหนีออกจากคอนเทนเนอร์หรือช่องโหว่ของเคอร์เนลอาจทำให้โฮสต์และคอนเทนเนอร์อื่นทั้งหมดถูกเจาะได้ เซิร์ฟเวอร์กระโดด/โฮสต์ป้อมปราการ: ช่องทางการเข้าถึงแบบรวมศูนย์ที่ได้รับการเสริมความปลอดภัยสำหรับส่วนเครือข่ายที่มีความอ่อนไหว — เซสชันผู้ดูแลระบบทั้งหมดต้องผ่านช่องทางนี้และมีการบันทึกกิจกรรม ความเสี่ยงของใบรับรอง TLS แบบไวลด์การ์ด: กุญแจส่วนตัวที่ถูกเจาะเพียงหนึ่งรายการส่งผลกระทบต่อโดเมนย่อย *.domain.com ทั้งหมด การตรวจสอบสิทธิ์ตามพอร์ต 802.1X: กำหนดให้อุปกรณ์ต้องผ่านการตรวจสอบสิทธิ์ก่อนที่จะอนุญาตให้มีข้อมูลใด ๆ ส่งผ่านพอร์ตของสวิตช์ได้ — ป้องกันไม่ให้อุปกรณ์ปลอมเข้าถึงเครือข่าย

ในส่วนการสอบจำลองนี้ คุณได้ทบทวน: สถาปัตยกรรม DMZ และวิธีที่การออกแบบซึ่งใช้ไฟร์วอลล์สองชั้นช่วยจำกัดการเจาะเซิร์ฟเวอร์เว็บไม่ให้ลุกลามไปยังเครือข่ายภายใน ความแตกต่างของประเภทไฟร์วอลล์ (การกรองแพ็กเก็ต เทียบกับแบบมีสถานะ เทียบกับ NGFW ที่ตรวจสอบ SSL) และ สถาปัตยกรรมคลาวด์และสถาปัตยกรรมแบบไม่ไว้วางใจโดยค่าเริ่มต้น — ขอบเขตความรับผิดชอบร่วมในคลาวด์ การใช้ ZTNA แทน VPN และการแบ่งส่วนย่อยเพื่อควบคุมข้อมูลรับส่งระหว่างส่วนต่าง ๆ แนวคิดด้านสถาปัตยกรรมเหล่านี้คิดเป็นเนื้อหา 18% ของโดเมนที่ 3 ต่อไปคือส่วนการสอบจำลองที่ 3 ซึ่งครอบคลุมการดำเนินงาน การตอบสนองต่อเหตุการณ์ และนิติวิทยาศาสตร์ดิจิทัล