Firewall อนุญาตให้ Traffic ผ่านแล้ว เรื่องควรจบตรงนั้นจริงหรือ?

เพราะบางครั้ง สิ่งที่น่าสนใจที่สุดอาจซ่อนอยู่ใน Traffic ที่ดูเหมือนไม่มีปัญหา

• — Network ยังใช้งานได้
• — User เข้า Application ได้ตามปกติ
• — Firewall ก็ไม่ได้ Block Connection
• — ดูจากภาพรวม เหมือนระบบไม่มีเรื่องให้ต้องกังวล

จนกระทั่งเปิด Traffic หรือ Firewall Log แล้วสังเกตเห็นว่า Endpoint เครื่องหนึ่งกำลังเชื่อมต่อออกไปยัง Destination เดิมซ้ำๆ

Firewall Log แสดง ALLOW ทุกครั้ง ตรงนี้น่าสนใจขึ้นมาทันที เพราะคำว่า ALLOW บอกเราว่า Firewall Policy อนุญาต Traffic ชุดนั้น แต่ยังไม่ได้บอกว่า Traffic นั้น “ปกติ” หรือ Connection สำเร็จครบตั้งแต่ต้นทางถึงปลายทาง Traffic ชุดนี้ออกไปไหน เกิดขึ้นบ่อยแค่ไหน ใช้ Protocol หรือ Port แบบใด เป็นพฤติกรรมที่เคยเกิดขึ้นอยู่แล้ว หรือเพิ่งเปลี่ยนไปจากเดิม และในช่วงเวลาเดียวกัน ระบบส่วนอื่นกำลังบอกอะไรเราอยู่

สำหรับคนทำ Network Defense การเห็น Connection หนึ่งชุดจึงคล้ายกับการเห็น “ร่องรอย”

ร่องรอยเดียวอาจยังบอกอะไรไม่ได้มาก เพราะการเชื่อมต่อซ้ำๆ อาจเกิดจาก Application, Software Update, Monitoring Agent หรือ Service ที่ทำงานตามปกติ จุดสำคัญจึงอยู่ที่การรู้ว่า พฤติกรรมแบบไหนคือ Baseline ของระบบนี้ หรือพูดง่ายๆ ว่า ในวันที่ทุกอย่างทำงานปกติ Network ของเรามีพฤติกรรมหน้าตาแบบไหน

เมื่อรู้จัก Baseline การเห็นสิ่งที่เบี่ยงออกจากรูปแบบเดิมก็เริ่มมี Context มากขึ้น Endpoint ที่ปกติแทบไม่ออก Internet วันนี้เริ่มมี Connection เพิ่มขึ้น เครื่องที่เคยติดต่ออยู่กับปลายทางไม่กี่แห่ง เริ่มมี Destination ใหม่เข้ามา หรือ Traffic Pattern บางอย่างเริ่มเกิดขึ้นในช่วงเวลาที่ไม่เคยเห็นมาก่อน แต่ละจุดยังไม่ใช่คำตัดสินว่าเกิด Cyber Attack สิ่งที่เห็นคือสัญญาณให้ตรวจสอบต่อ ตรงนี้เองที่ Network Traffic Monitoring เริ่มมีบทบาทมากกว่าการดูว่า Bandwidth เต็มหรือไม่

Packet และ Traffic Pattern สามารถช่วยให้เราอ่านพฤติกรรมของระบบได้ละเอียดขึ้น Tools อย่าง Wireshark หรือ tcpdump จึงไม่ได้มีไว้เพียงจับ Packet มาดู Protocol แต่ช่วยให้ตามต่อได้ว่า Traffic เกิดขึ้นระหว่างต้นทางและปลายทางใด ใช้ Protocol หรือ Port อะไร และรูปแบบการสื่อสารมีอะไรผิดไปจากที่คุ้นเคย จากนั้นจึงนำสิ่งที่เห็นไปเทียบกับ Log และ Event จากระบบอื่น เพื่อดูว่าร่องรอยเหล่านี้สัมพันธ์กันหรือไม่ แล้ว Traffic เพียงอย่างเดียวก็มักยังให้ภาพไม่ครบ

• — Network Defender จึงต้องขยับไปดู Log
• — Firewall Log อาจบอกว่า Connection ถูก Allow หรือ Deny
• — Windows หรือ Linux Log อาจบอกว่าในเครื่องเกิด Event ใดขึ้น
• — Router, Web Server หรือ Security Platform อาจมีข้อมูลอีกชุดที่เกิดขึ้นในช่วงเวลาใกล้กัน

เมื่อข้อมูลเหล่านี้ถูกนำมาเรียงบน Timeline เดียวกัน สิ่งที่ดูธรรมดาเมื่อมองแยกชิ้น อาจเริ่มต่อกันเป็นภาพที่มีความหมายมากขึ้น นี่คือเหตุผลที่งาน Security ไม่ควรหยุดอยู่กับการอ่าน Alert ทีละอัน เพราะ Alert หนึ่งครั้งอาจเป็น False Positive Traffic ที่ดูแปลกอาจมีเหตุผลรองรับ และ Event ที่ดูเล็กมาก เมื่อเชื่อมกับข้อมูลอีกหลายจุด อาจกลายเป็นสิ่งที่ควรตรวจสอบทันที Network Defender จึงต้องอ่านทั้ง Indicator of Compromise (IoC) ร่องรอยหรือข้อมูลที่อาจบ่งชี้ถึงการ Compromise ของระบบ รวมถึง Indicator of Attack (IoA) รูปแบบหรือพฤติกรรมที่อาจสะท้อนกิจกรรมหรือความพยายามในการโจมตี เฝ้าดูต่อ ตรวจสอบเพิ่ม Escalate หรือเริ่มเข้าสู่กระบวนการ Incident Response เพราะเมื่อ Context เริ่มมากพอให้เหตุการณ์ขยับจาก “น่าสงสัย” ไปสู่ “ต้องตอบสนอง” คำถามก็จะเปลี่ยนทันที

• — ข้อมูลชุดใดควรถูกเก็บไว้
• — จะจำกัดผลกระทบตรงไหน
• — ทีมใดควรเข้ามาร่วมตรวจสอบ
• — Endpoint ควรถูกจัดการอย่างไร

นี่คือภาพของ Network Defense ที่กว้างกว่าการเฝ้า Firewall อยู่หน้าเดียว เพราะขอบเขตที่ Network Defender ต้องดูในองค์กรปัจจุบันไม่ได้หยุดอยู่แค่ Router หรือ Firewall แต่ครอบคลุม Endpoint และ Operating System อย่าง Windows, Linux ไปจนถึง Wireless, Cloud, Mobile, IoT, Application และ Data จุดหนึ่งเปลี่ยน ร่องรอยอาจไปปรากฏอีกจุดหนึ่ง

Certified Network Defender (CND) V3

Network Defender จึงต้องมองต่อจาก Connection ไปถึง Behavior, Traffic, Log และ Context ที่เชื่อมโยงกัน แนวคิดนี้อยู่ในแกนของหลักสูตร Certified Network Defender (CND) V3

เนื้อหาพาผู้เรียนมอง Network Security ตั้งแต่ด้านการป้องกันและวาง Security Control เช่น Access Control, IAM, Network Segmentation, Zero Trust, Firewall และ IDS/IPS แล้วต่อภาพไปยังการดูแล Windows และ Linux Endpoint รวมถึง Environment ที่องค์กรใช้งานจริงอย่าง Cloud, Wireless, Mobile และ IoT จากนั้นจึงต่อไปยังงานฝั่ง Detection และ Response ผ่าน Network Traffic Monitoring and Analysis, Log Analysis, Incident Response รวมถึง EDR/XDR

พร้อมขยายภาพไปถึง Attack Surface Analysis, IoC/IoA, Threat Intelligence และ Threat Hunting เพื่อช่วยให้ทีมประเมินและรับมือกับภัยคุกคามได้รอบด้านขึ้น เพราะสุดท้ายแล้ว งานของ Network Defender อาจเริ่มต้นจากสิ่งเล็กมาก Connection หนึ่งรายการ Log หนึ่งบรรทัด Traffic Pattern ที่เปลี่ยนไปเล็กน้อย สิ่งเหล่านี้อาจยังไม่เพียงพอให้สรุปเมื่อมองแยกกัน

แต่คนที่รู้ว่าจะดูสัญญาณไหน เชื่อมข้อมูลอย่างไร และควรขยับไปตรวจสอบอะไรต่อ จะมองเห็นระบบได้ลึกกว่าแค่คำว่า “ALLOW”

เหมาะสำหรับองค์กรที่ต้องการพัฒนาทีมไปพร้อมกัน หรือผู้เรียนที่ทำงานด้าน IT, System, Network รวมถึงผู้ที่ต้องการต่อยอดสู่สาย Blue Team และ Network Security