ควบคุม East-West Traffic อย่างไรให้ปลอดภัย

① East-West Traffic คืออะไร

เมื่อพูดถึงการรับส่งข้อมูลในเครือข่ายองค์กร

ส่วนใหญ่จะคุ้นเคยกับ

North-South Traffic

ซึ่งหมายถึง

Internet ↔ Internal Network

แต่ในปัจจุบัน

การโจมตีส่วนใหญ่กลับเกิดขึ้นในรูปแบบ

East-West Traffic

หรือการสื่อสารระหว่างระบบภายในองค์กรด้วยกันเอง

ตัวอย่าง

• PC → Server
• Server → Database
• Application → Application
• VM → VM

นี่คือพื้นที่ที่ผู้โจมตีใช้เคลื่อนที่ภายในระบบหลังจากเจาะเข้ามาได้สำเร็จ

---

② ทำไม East-West Traffic จึงสำคัญ

ในอดีต

องค์กรส่วนใหญ่ลงทุนกับ

• Firewall
• IPS
• Web Filter

บริเวณขอบเครือข่าย

แต่กลับไม่ค่อยตรวจสอบ

Traffic ภายในองค์กร

ผลลัพธ์คือ

เมื่อผู้โจมตีผ่าน Firewall มาได้แล้ว

ก็สามารถเคลื่อนที่ภายในระบบได้อย่างอิสระ

---

③ ตัวอย่างการโจมตีจริง

สมมติว่า

พนักงานเปิด Email Phishing

และ Malware เข้ามาในเครื่อง

PC-HR01

จากนั้น Malware เริ่มค้นหา

File Server

Database Server

Domain Controller

หากไม่มีการควบคุม East-West Traffic

การโจมตีจะขยายตัวอย่างรวดเร็ว

---

④ Lateral Movement คืออะไร

Lateral Movement

คือกระบวนการที่ผู้โจมตี

เคลื่อนที่จากระบบหนึ่ง

ไปยังอีกระบบหนึ่ง

ตัวอย่าง

User PC

↓

File Server

↓

Application Server

↓

Domain Controller

นี่คือรูปแบบการโจมตีที่พบได้บ่อยมากใน Ransomware ยุคใหม่

---

⑤ เป้าหมายของการควบคุม East-West Traffic

การควบคุมที่ดีควรช่วยให้

✅ ลด Lateral Movement

✅ ลด Attack Surface

✅ จำกัดการเข้าถึง

✅ ป้องกัน Malware Spread

✅ ป้องกัน Ransomware Spread

---

⑥ เริ่มจาก Network Segmentation

พื้นฐานสำคัญ

คือ

Segmentation

ตัวอย่าง

User Zone

Server Zone

Identity Zone

Backup Zone

แต่ละ Zone

ควรถูกควบคุมด้วย Firewall Policy

---

⑦ ใช้ Default Deny

แนวทางที่องค์กรระดับโลกนิยมใช้

คือ

Default Deny

หมายถึง

ทุก Traffic

ถูกปฏิเสธก่อน

และอนุญาตเฉพาะสิ่งที่จำเป็น

เท่านั้น

---

⑧ ควบคุมการเข้าถึง Domain Controller

Domain Controller

ควรเป็นระบบที่ได้รับการป้องกันสูงสุด

ตัวอย่าง

User VLAN

ไม่ควรเชื่อมต่อ

Domain Controller

โดยตรง

ยกเว้น Protocol ที่จำเป็น

เช่น

• Kerberos
• LDAP
• DNS

---

⑨ จำกัด Server-to-Server Communication

หลายองค์กรเปิดให้

Server ทุกเครื่อง

สื่อสารกันได้ทั้งหมด

ซึ่งเป็นความเสี่ยงสูง

แนวทางที่ดี

คือ

Allow Only Required Traffic

ตัวอย่าง

Web Server

เชื่อมต่อได้เฉพาะ

Application Server

เท่านั้น

---

⑩ ป้องกัน Database Server

Database Server

เป็นเป้าหมายสำคัญ

ควรอนุญาตเฉพาะ

Application Server

ที่ได้รับอนุญาต

ตัวอย่าง

APP01 → SQL01
Allow

User PC → SQL01
Deny

---

⑪ ใช้ Internal Firewall

Firewall ไม่จำเป็นต้องอยู่แค่ขอบเครือข่าย

องค์กรสมัยใหม่มักใช้

Internal Segmentation Firewall

เพื่อควบคุม Traffic ภายใน Data Center

โดยเฉพาะ

---

⑫ ใช้ Host-Based Firewall

Windows Server 2025

มี

Windows Defender Firewall

ซึ่งสามารถใช้ควบคุม

East-West Traffic

ได้ในระดับเครื่อง

ช่วยเพิ่ม Security อีกชั้นหนึ่ง

---

⑬ Micro Segmentation

อีกแนวทางหนึ่งคือ

Micro Segmentation

ซึ่งควบคุม Traffic

ในระดับ

• VM
• Application
• Workload

ช่วยลดการเคลื่อนที่ของผู้โจมตีได้อย่างมาก

---

⑭ Monitoring East-West Traffic

สิ่งที่ควรติดตาม

✅ NetFlow

✅ Firewall Log

✅ IDS/IPS

✅ DNS Query

✅ Authentication Event

เพื่อค้นหาพฤติกรรมผิดปกติ

ภายในเครือข่าย

---

⑮ Detect Lateral Movement

สัญญาณที่ควรเฝ้าระวัง

เช่น

• SMB จำนวนมาก
• RDP จำนวนมาก
• Kerberos ผิดปกติ
• Port Scan
• Credential Reuse

มักเป็นสัญญาณเริ่มต้นของการโจมตี

---

⑯ East-West Traffic กับ Zero Trust

Zero Trust

มองว่า

Internal Network

ไม่ได้ปลอดภัยโดยอัตโนมัติ

ดังนั้น

ทุกการเชื่อมต่อ

ควรถูกตรวจสอบ

และอนุญาตตาม Policy เท่านั้น

---

⑰ ตัวอย่าง Architecture ระดับ Enterprise

User Zone
     │
Firewall
     │
Server Zone
     │
Firewall
     │
Identity Zone
     │
Firewall
     │
Backup Zone

ช่วยลดความเสียหายหากระบบใดระบบหนึ่งถูกเจาะ

---

⑱ ข้อผิดพลาดที่พบบ่อย

❌ Allow Any Any

❌ ไม่มี Internal Firewall

❌ ไม่มี Segmentation

❌ ไม่มี Monitoring

❌ Domain Controller เข้าถึงได้จากทุก VLAN

❌ Server ทุกเครื่องคุยกันได้หมด

❌ ไม่มี East-West Visibility

---

⑲ แนวทางที่องค์กรระดับโลกนิยมใช้

องค์กรระดับ Enterprise มักใช้

Segmentation

ร่วมกับ

Micro Segmentation

Internal Firewall

Zero Trust

Continuous Monitoring

เพื่อควบคุม East-West Traffic อย่างมีประสิทธิภาพ

---

⑳ สรุป

East-West Traffic คือพื้นที่ที่ผู้โจมตีใช้เคลื่อนที่ภายในเครือข่ายหลังจากเข้าถึงระบบได้แล้ว การควบคุม Traffic ภายในองค์กรจึงมีความสำคัญไม่แพ้การป้องกันจาก Internet การใช้ Segmentation, Internal Firewall, Host-Based Firewall และ Micro Segmentation จะช่วยลดความเสี่ยงจาก Ransomware และการโจมตีแบบ Lateral Movement ได้อย่างมาก

จากประสบการณ์ของ comsiam องค์กรจำนวนมากมี Firewall ที่ขอบเครือข่ายแข็งแรงมาก แต่แทบไม่มีการควบคุม East-West Traffic ภายในองค์กร ทำให้เมื่อเครื่องหนึ่งถูกเจาะ ผู้โจมตีสามารถเข้าถึงระบบอื่นได้อย่างง่ายดาย และ comsiam มักแนะนำให้เริ่มต้นจากการปกป้อง Domain Controller, Database และ Backup Infrastructure ก่อนเป็นลำดับแรก

คำถามชวนคิด

หากวันนี้ผู้โจมตีเข้าถึงเครื่องคอมพิวเตอร์ของพนักงานได้สำเร็จ คุณมั่นใจหรือไม่ว่าเขาจะไม่สามารถเคลื่อนที่ไปยัง File Server, Database Server และ Domain Controller ได้ภายในเวลาไม่กี่นาที?