ออกแบบ Network Segmentation ให้ปลอดภัยระดับองค์กร

① Network Segmentation คืออะไร

Network Segmentation คือการแบ่งเครือข่ายออกเป็นหลายส่วน

เพื่อควบคุม

• การเข้าถึงข้อมูล
• การสื่อสารระหว่างระบบ
• การรักษาความปลอดภัย

แทนที่จะให้อุปกรณ์ทั้งหมดอยู่ในเครือข่ายเดียวกัน

ตัวอย่างที่ไม่แนะนำ

192.168.1.0/24

รวม

• PC
• Server
• Printer
• CCTV
• Wi-Fi
• VoIP

ไว้ในเครือข่ายเดียว

หากเกิดการโจมตี

ผู้โจมตีสามารถเคลื่อนที่ภายในระบบได้ง่ายมาก

---

② ทำไมองค์กรต้องทำ Segmentation

ในอดีต

หลายองค์กรใช้แนวคิด

Flat Network

ทุกอุปกรณ์อยู่ในวงเดียวกัน

ข้อเสีย

❌ Malware แพร่กระจายง่าย

❌ Ransomware กระจายเร็ว

❌ Broadcast Traffic สูง

❌ ควบคุมสิทธิ์ยาก

❌ Audit ยาก

จึงเป็นเหตุผลที่องค์กรระดับ Enterprise หันมาใช้ Segmentation อย่างจริงจัง

---

③ เป้าหมายของ Network Segmentation

ระบบที่ดีควรช่วยให้

✅ จำกัดการเข้าถึง

✅ ลดพื้นที่โจมตี

✅ ลดการแพร่กระจายของ Malware

✅ เพิ่มประสิทธิภาพเครือข่าย

✅ รองรับ Compliance

เช่น

• ISO 27001
• PCI DSS
• NIST
• Zero Trust

---

④ เริ่มจากการจัดกลุ่มทรัพยากร

ก่อนแบ่ง VLAN

ควรวิเคราะห์ก่อนว่า

มีระบบประเภทใดบ้าง

ตัวอย่าง

Users

Servers

Voice

Wi-Fi

IoT

CCTV

Guest

แต่ละกลุ่มควรมี Security Requirement แตกต่างกัน

---

⑤ แยก User Network

ผู้ใช้งานทั่วไป

ควรอยู่ใน VLAN ของตัวเอง

ตัวอย่าง

VLAN10
User Network
10.10.10.0/24

ไม่ควรเข้าถึง Server ทุกตัวได้โดยตรง

ควรกำหนด Firewall Policy อย่างชัดเจน

---

⑥ แยก Server Network

Server ควรอยู่ใน VLAN เฉพาะ

ตัวอย่าง

VLAN20
Server Network
10.10.20.0/24

ประกอบด้วย

• File Server
• Application Server
• SQL Server

ช่วยลดความเสี่ยงจากการโจมตีจากฝั่ง Client

---

⑦ แยก Domain Controller

หลายองค์กรวาง Domain Controller ไว้ใน VLAN เดียวกับ Server ทั่วไป

แต่ Best Practice คือ

VLAN30
Identity Network

สำหรับ

• Domain Controller
• PKI
• ADFS
• Entra Connect

โดยเฉพาะ

เพราะระบบเหล่านี้คือ Tier 0

---

⑧ แยก Management Network

อุปกรณ์บริหารจัดการ

เช่น

• Switch
• Firewall
• Hypervisor
• Storage

ควรอยู่ใน

VLAN40
Management Network

และอนุญาตเฉพาะ Admin เท่านั้น

---

⑨ แยก CCTV และ IoT

อุปกรณ์ IoT มักเป็นจุดอ่อนด้าน Security

ตัวอย่าง

• กล้องวงจรปิด
• Access Control
• Smart TV
• Sensor

ควรอยู่ใน

VLAN50
IoT Network

แยกออกจากระบบหลัก

---

⑩ แยก Guest Wi-Fi

ข้อผิดพลาดที่พบได้บ่อย

คือ

Guest Wi-Fi

อยู่ VLAN เดียวกับพนักงาน

แนวทางที่ถูกต้อง

VLAN60
Guest Network

อนุญาตเฉพาะ Internet

ห้ามเข้าถึง Internal Resource

---

⑪ ใช้ Firewall ระหว่าง Segment

Segmentation ที่แท้จริง

ไม่ใช่แค่ VLAN

แต่ต้องมี

Access Control

หรือ

Firewall Policy

กำกับ

ตัวอย่าง

User → File Server
Allow

User → Domain Controller
Deny

---

⑫ East-West Traffic คืออะไร

ในอดีต

องค์กรเน้นป้องกัน

North-South Traffic

Internet ↔ Internal

แต่ปัจจุบัน

การโจมตีจำนวนมากเกิดจาก

East-West Traffic

หรือการเคลื่อนที่ภายในองค์กร

Segmentation ช่วยลดความเสี่ยงตรงจุดนี้

---

⑬ Segmentation กับ Active Directory

Active Directory ต้องใช้หลาย Protocol

เช่น

• DNS
• Kerberos
• LDAP
• SMB
• RPC

ดังนั้น

Firewall Rule

ต้องออกแบบอย่างระมัดระวัง

เพื่อไม่ให้กระทบการทำงานของระบบ

---

⑭ Monitoring Segmentation

ควรติดตาม

✅ Firewall Log

✅ Flow Data

✅ NetFlow

✅ DNS Query

✅ Authentication Log

เพื่อดูว่า

Traffic ใด

ควรถูกอนุญาตหรือปฏิเสธ

---

⑮ Segmentation กับ Compliance

หลายมาตรฐานกำหนดให้แยกเครือข่าย

เช่น

PCI DSS

กำหนดให้

ระบบชำระเงิน

ต้องถูกแยกจากเครือข่ายทั่วไป

อย่างชัดเจน

---

⑯ ข้อผิดพลาดที่พบบ่อย

❌ ทุกอย่างอยู่ VLAN เดียว

❌ ไม่มี Firewall ระหว่าง VLAN

❌ Guest Wi-Fi เข้าถึง Server ได้

❌ CCTV อยู่ VLAN เดียวกับ Domain Controller

❌ ไม่มี Documentation

❌ ไม่มี Monitoring

❌ ไม่มี Security Review

---

⑰ ตัวอย่าง Architecture ระดับ Enterprise

VLAN10  Users

VLAN20  Servers

VLAN30  Domain Controllers

VLAN40  Management

VLAN50  CCTV/IoT

VLAN60  Guest Wi-Fi

VLAN70  Voice

VLAN80  Backup

ทุก VLAN

ถูกควบคุมผ่าน Firewall Policy

อย่างชัดเจน

---

⑱ Segmentation กับ Zero Trust

Zero Trust

มีแนวคิด

Never Trust
Always Verify

Segmentation จึงเป็นพื้นฐานสำคัญ

เพราะช่วยลด

Implicit Trust

ภายในเครือข่าย

ได้อย่างมาก

---

⑲ สรุป

Network Segmentation เป็นหนึ่งในมาตรการด้าน Security ที่ให้ผลลัพธ์คุ้มค่าที่สุด เพราะช่วยลดพื้นที่โจมตี ลดการแพร่กระจายของ Malware และเพิ่มความสามารถในการควบคุมการเข้าถึงข้อมูล การแบ่ง VLAN อย่างเหมาะสมและใช้ Firewall ควบคุมการสื่อสารระหว่าง Segment คือแนวทางมาตรฐานขององค์กรระดับ Enterprise ทั่วโลก

จากประสบการณ์ของ comsiam หลายองค์กรลงทุนกับ Firewall ราคาแพง แต่ยังคงใช้ Flat Network ภายในองค์กร ทำให้ผู้โจมตีสามารถเคลื่อนที่จากเครื่องผู้ใช้ไปยัง Server สำคัญได้ง่าย และ comsiam มักแนะนำให้เริ่มต้นจากการแยก User, Server, Domain Controller และ Management Network ออกจากกันก่อนเป็นลำดับแรก

คำถามชวนคิด

หากวันนี้มีเครื่องคอมพิวเตอร์ของพนักงานติด Ransomware คุณมั่นใจหรือไม่ว่ามันจะไม่สามารถเข้าถึง File Server, Domain Controller และระบบสำคัญอื่น ๆ ภายในองค์กรได้?