การป้องกันเชิงลึกและความปลอดภัยหลายชั้น

การป้องกันเชิงลึกหลายชั้นคือแนวทางการวางการควบคุมความปลอดภัยหลายรายการที่เป็นอิสระต่อกันเป็นชั้น ๆ เพื่อให้เมื่อชั้นหนึ่งล้มเหลว ชั้นอื่นยังคงปกป้องระบบได้ ไม่มีการป้องกันใดสมบูรณ์แบบ คุณจึงไม่ควรพึ่งพาการป้องกันเพียงอย่างเดียว

ลองนึกถึงปราสาทที่มีคูเมือง กำแพง ยาม และป้อมชั้นในที่ใส่กุญแจ ผู้โจมตีที่ผ่านสิ่งกีดขวางหนึ่งชั้นมาได้ยังต้องเผชิญกับอีกหลายชั้นก่อนจะเข้าถึงสิ่งมีค่า

เครือข่ายแบบหลายชั้นอาจประกอบด้วยไฟร์วอลล์รอบนอก การแบ่งส่วนเครือข่าย ระบบตรวจจับการบุกรุก โปรแกรมป้องกันไวรัสสำหรับอุปกรณ์ปลายทาง การยืนยันตัวตนที่รัดกุม การเข้ารหัส และการฝึกอบรมผู้ใช้ แต่ละชั้นครอบคลุมมุมมองการโจมตีที่แตกต่างกัน

เป้าหมายคือไม่ให้จุดอ่อนเพียงจุดเดียว เช่น รหัสผ่านที่ถูกขโมยหนึ่งรายการหรือเซิร์ฟเวอร์หนึ่งเครื่องที่ไม่ได้รับแพตช์ ทำให้ผู้โจมตีเข้าควบคุมเครือข่ายทั้งหมดได้ การควบคุมแต่ละรายการช่วยเพิ่มเวลาและโอกาสในการตรวจจับผู้บุกรุก

การรักษาความปลอดภัยเริ่มต้นด้วยการควบคุมทางกายภาพ ได้แก่ ห้องเซิร์ฟเวอร์ที่ล็อกไว้ การเข้าถึงด้วยบัตรผ่าน กล้อง และการจัดการสายเคเบิล หากใครสามารถเดินเข้าไปเสียบอุปกรณ์เข้ากับสวิตช์หรือขโมยไดรฟ์ได้ การควบคุมด้วยซอฟต์แวร์ก็ไม่อาจหยุดยั้งได้

การรักษาความปลอดภัยทางกายภาพเป็นชั้นนอกสุดของการป้องกันเชิงลึก และมักถูกมองข้าม ทั้งที่ตู้เครือข่ายที่ไม่ได้ล็อกอาจทำลายการป้องกันดิจิทัลที่ลงทุนไปมหาศาลได้

ในชั้นเครือข่าย ไฟร์วอลล์จะกรองการรับส่งข้อมูลระหว่างโซนต่าง ๆ การแบ่งส่วนจะแยกกลุ่มอุปกรณ์ออกจากกัน และ VPNจะปกป้องลิงก์ระยะไกล ระบบIDS/IPS (ระบบตรวจจับ/ป้องกันการบุกรุก) จะเฝ้าดูรูปแบบการโจมตี

การควบคุมเหล่านี้ป้องกันไม่ให้ภัยคุกคามแพร่กระจายได้อย่างอิสระ และช่วยให้ผู้ป้องกันมองเห็นการรับส่งข้อมูล จึงเป็นชั้นกลางของการออกแบบการป้องกันเชิงลึก

อุปกรณ์แต่ละเครื่องเพิ่มชั้นการป้องกันของตนเอง ได้แก่ ไฟร์วอลล์ของโฮสต์ โปรแกรมป้องกันไวรัสหรือ EDR (การตรวจจับและตอบสนองที่อุปกรณ์ปลายทาง) การติดตั้งแพตช์อัตโนมัติ และการกำหนดค่าที่ทำให้ระบบแข็งแกร่งโดยปิดบริการที่ไม่ได้ใช้งาน

แม้ผู้โจมตีจะผ่านการป้องกันของเครือข่ายมาได้ อุปกรณ์ปลายทางที่เสริมความแข็งแกร่งอย่างดีก็ยังต้านทานการถูกเจาะระบบได้ และเครื่องมือบนอุปกรณ์ปลายทางยังสามารถตรวจจับและหยุดพฤติกรรมมุ่งร้ายได้ภายในเครื่อง

เมื่อเข้าใกล้สิ่งที่ต้องการมากขึ้น แอปพลิเคชันจะใช้การเขียนโปรแกรมอย่างปลอดภัย การตรวจสอบความถูกต้องของข้อมูลนำเข้า และการยืนยันตัวตน ขณะที่ข้อมูลเองได้รับการปกป้องด้วยการเข้ารหัสทั้งขณะจัดเก็บและขณะส่ง รวมถึงการควบคุมการเข้าถึงที่เข้มงวด

การเข้ารหัสข้อมูลอ่อนไหวหมายความว่า แม้การเจาะระบบจะสำเร็จ ก็จะได้เพียงไฟล์ที่อ่านไม่ออก ซึ่งเป็นชั้นสุดท้ายที่ปกป้องทรัพย์สินโดยตรงเมื่อชั้นภายนอกล้มเหลว

การควบคุมไม่ได้มีเฉพาะด้านเทคนิคเท่านั้น การควบคุมด้านการบริหารคือนโยบายและขั้นตอนต่าง ๆ ได้แก่ การฝึกอบรมเพื่อสร้างความตระหนักด้านความปลอดภัย นโยบายการใช้งานที่ยอมรับได้ แผนรับมือเหตุการณ์ และการตรวจสอบประวัติ

เนื่องจากการโจมตีจำนวนมากมุ่งเป้าไปที่ผู้คนผ่านการหลอกลวงแบบฟิชชิง การฝึกอบรมผู้ใช้จึงเป็นชั้นการป้องกันที่สำคัญ การป้องกันทางเทคนิคที่แข็งแกร่งที่สุดก็ล้มเหลวได้ หากผู้ใช้ยอมมอบรหัสผ่านให้ผู้อื่นโดยสมัครใจ

การให้สิทธิ์เท่าที่จำเป็น หมายถึงการมอบสิทธิ์เข้าถึงแก่ผู้ใช้ บริการ และอุปกรณ์แต่ละรายการเพียงเท่าที่จำเป็นต่อการทำงานเท่านั้น ไม่มากไปกว่านั้น หากบัญชีถูกบุกรุก สิทธิ์ที่จำกัดจะช่วยจำกัดความเสียหาย

หลักการนี้แทรกอยู่ในทุกชั้นของระบบ เมื่อใช้ร่วมกับการป้องกันเชิงลึก จะช่วยให้การเจาะบัญชีหรือระบบหนึ่งรายการไม่สามารถขยายไปสู่การยึดครองเครือข่ายทั้งหมดได้โดยง่าย

การรักษาความปลอดภัยสมัยใหม่เพิ่มแนวคิดเรื่อง การไม่ไว้วางใจสิ่งใดโดยปริยาย กล่าวคือ อย่าสันนิษฐานว่าสิ่งใดก็ตามภายในเครือข่ายปลอดภัย ทุกคำขอต้องผ่านการตรวจสอบ การยืนยันตัวตน และการอนุญาต ไม่ว่าจะมาจากที่ใดก็ตาม

แนวคิดนี้ช่วยเสริมการป้องกันเชิงลึกด้วยการลบแนวคิดเดิมที่มองว่าภายในเป็นพื้นที่ที่ไว้ใจได้และภายนอกเป็นอันตราย โดยถือว่าการเชื่อมต่อทุกอย่างอาจเป็นภัยคุกคามจนกว่าจะพิสูจน์เป็นอย่างอื่น

การป้องกันเชิงลึกยังหมายถึงการหลีกเลี่ยงการพึ่งพามาตรการควบคุมใดเพียงรายการเดียว ซึ่งหากล้มเหลวจะทำให้ทุกอย่างถูกเปิดเผย หากการรักษาความปลอดภัยทั้งหมดของคุณขึ้นอยู่กับไฟร์วอลล์เพียงตัวเดียว ไฟร์วอลล์ตัวนั้นก็คือจุดล้มเหลวเพียงจุดเดียว

มาตรการควบคุมที่มีระบบสำรองและมีความหลากหลายช่วยให้การหลบเลี่ยงมาตรการหนึ่งไม่เท่ากับการหลบเลี่ยงทั้งหมด และช่วยให้การโจมตีแต่ละประเภทต้องเผชิญกับการป้องกันที่ออกแบบมาเพื่อดักจับการโจมตีนั้น

การป้องกันเชิงลึกเปลี่ยนการรักษาความปลอดภัยจากประตูด่านเดียวให้เป็นตาข่ายหลายชั้นที่ทับซ้อนกัน ตั้งแต่กลอนทางกายภาพ ไฟร์วอลล์เครือข่าย อุปกรณ์ปลายทางที่เสริมความแข็งแกร่ง ข้อมูลที่เข้ารหัส ไปจนถึงผู้ใช้ที่ผ่านการฝึกอบรม แต่ละชั้นจะตรวจจับสิ่งที่ชั้นอื่นพลาดไป

เมื่อใช้ร่วมกับการให้สิทธิ์เท่าที่จำเป็นและแนวคิดไม่ไว้วางใจสิ่งใดโดยปริยาย แนวทางนี้ยอมรับว่ามาตรการควบคุมใดรายการหนึ่งอาจล้มเหลว และช่วยให้ระบบยังคงได้รับการปกป้องเมื่อเกิดเหตุเช่นนั้น

ทดสอบความเข้าใจของคุณเกี่ยวกับการรักษาความปลอดภัยแบบหลายชั้น

การป้องกันเชิงลึก แบ่งมาตรการควบคุมที่เป็นอิสระออกเป็นหลายชั้น เพื่อไม่ให้ความล้มเหลวเพียงครั้งเดียวเปิดเผยระบบทั้งหมด ชั้นต่าง ๆ ครอบคลุมมาตรการควบคุมด้าน กายภาพ ด้าน เครือข่าย (ไฟร์วอลล์ การแบ่งส่วนเครือข่าย IDS/IPS) ด้าน โฮสต์ ด้าน แอปพลิเคชัน/ข้อมูล (การเข้ารหัส) และด้าน การบริหารจัดการ (การฝึกอบรม นโยบาย) ควรใช้ร่วมกับ การให้สิทธิ์เท่าที่จำเป็น และ แนวคิดไม่ไว้วางใจสิ่งใดโดยปริยาย เพื่อหลีกเลี่ยงจุดล้มเหลวเพียงจุดเดียว