Network Security Policy Management (NSPM): เหตุใดจึงยังสำคัญ และควรพิจารณาสิ่งใด

บทความนี้อธิบายว่าเหตุใด NSPM จึงยังจำเป็น อะไรคือปัจจัยที่ผลักดันความต้องการในปัจจุบัน และองค์กรควรพิจารณาสิ่งใดเมื่อประเมินแพลตฟอร์ม NSPM

by Jody Brazil

การจัดการนโยบายความปลอดภัยเครือข่าย (NSPM) คือแนวปฏิบัติในการกำกับดูแลกฎที่ควบคุมการเข้าถึงเครือข่ายทั้งบน firewall, cloud security group และแพลตฟอร์ม segmentation จากชั้นเดียว แทนการจัดการทีละอุปกรณ์ FireMon สร้างหมวดหมู่ NSPM ขึ้นในปี 2004 เพื่อแก้ปัญหาการขยายตัวของ firewall rule ที่ควบคุมไม่ได้และงาน compliance ที่ต้องทำด้วยมือ สองทศวรรษต่อมา ปัญหานี้ใหญ่ขึ้นกว่าเดิม ทั้งผู้ผลิตที่มากขึ้น cloud ที่มากขึ้น การเปลี่ยนแปลงที่มากขึ้น และการ audit ที่มากขึ้น

ประเด็นสำคัญ

Firewall บังคับใช้นโยบาย ส่วน NSPM กำกับดูแลนโยบายนั้น หากนโยบายถูกกำหนดไว้ไม่ดี การบังคับใช้ความปลอดภัยก็ย่อมไม่ดีตาม ไม่ว่า firewall จะมีขีดความสามารถสูงเพียงใด
ปัจจุบันเครือข่ายองค์กรครอบคลุม firewall หลายพันตัว cloud security group และเครื่องมือ segmentation จำนวนมาก ทำให้การจัดการนโยบายด้วยมือไม่น่าเชื่อถืออีกต่อไป
กรอบมาตรฐานอย่าง PCI DSS, NIST 800-53, DORA และ NIS2 กำหนดข้อกำหนดด้าน change control การ audit และการทบทวนกฎ ซึ่ง NSPM รองรับด้วยหลักฐานแบบต่อเนื่อง
ระบบอัตโนมัติช่วยลดต้นทุนและเวลาในการเปลี่ยนแปลงนโยบาย เมื่อครอบคลุม workflow ทั้งกระบวนการ ตั้งแต่การยื่นคำขอจนถึงการยกเลิกกฎ
เมื่อประเมินแพลตฟอร์ม NSPM ควรให้ความสำคัญกับการ normalize ข้อมูลจากหลายผู้ผลิต การตรวจสอบก่อนการเปลี่ยนแปลง หลักฐาน compliance แบบต่อเนื่อง และ workflow การเปลี่ยนแปลงที่มีการกำกับดูแล

NSPM ยังจำเป็นอยู่หรือไม่

จำเป็น ตราบใดที่ firewall และ cloud control ยังทำหน้าที่บังคับใช้การเข้าถึง ก็ต้องมีผู้กำกับดูแลว่าสิ่งที่ถูกบังคับใช้นั้นคืออะไร คำถามนี้มักเกิดขึ้นเมื่อทีมงานกำลังประเมินเครื่องมือของตนใหม่ เช่น หลังจากผู้ผลิตรายหนึ่งยุติผลิตภัณฑ์ คำตอบยังคงไม่เปลี่ยน ยิ่งท่านมีอุปกรณ์ ผู้ผลิต และสภาพแวดล้อมมากเท่าใด คอนโซลใดคอนโซลหนึ่งก็ยิ่งบอกท่านไม่ได้ว่านโยบายของท่านทำงานตามที่ตั้งใจไว้หรือไม่

Firewall บังคับใช้นโยบายความปลอดภัย

ความผิดพลาดในนโยบาย firewall เป็นสาเหตุของความล้มเหลวร้ายแรงมาตั้งแต่ยุคแรกของเครือข่ายแบบ perimeter ไม่ว่าจะเป็นการเปิดให้ traffic ที่ไม่พึงประสงค์และเป็นอันตรายผ่านเข้ามา หรือการบล็อก traffic ที่จำเป็นจนทำให้ธุรกิจหยุดชะงัก นี่คือเหตุผลพื้นฐานที่ NSPM ถือกำเนิดขึ้น firewall บังคับใช้นโยบายความปลอดภัยตามที่กำหนดให้ และนโยบายที่กำหนดไว้ไม่ดีย่อมส่งผลให้การบังคับใช้ความปลอดภัยไม่ดีตามไปด้วย FireMon สร้างหมวดหมู่ NSPM ขึ้นในปี 2004 เพื่อแก้ปัญหานี้

นับจากนั้นเป็นต้นมา ความจำเป็นของ NSPM เพิ่มขึ้นตามความซับซ้อนของเครือข่ายที่สูงขึ้น สภาพแวดล้อม firewall ที่เคยเรียบง่ายซึ่งแบ่งแยกเพียงโซนภายใน ภายนอก และ DMZ ได้พัฒนาไปสู่การทำ segmentation เครือข่ายภายในที่ละเอียดยิ่งขึ้น ขอบเขตของ “ภายนอก” ขยายออกไปพร้อมการใช้งาน public cloud ความซับซ้อนของแอปพลิเคชันเพิ่มสูงขึ้น ภัยคุกคามมีทั้งปริมาณและความซับซ้อนมากขึ้น ขณะที่เทคโนโลยี firewall เองก็มีขีดความสามารถและความซับซ้อนมากขึ้นเช่นกัน

ปัจจุบัน องค์กรขนาดใหญ่มักบริหารจัดการ firewall หลายพันตัว แต่ละตัวมีกฎหลายพันข้อ network object นับหมื่นรายการ รวมถึงกฎและ object group ที่ซับซ้อน ซึ่งรวมกันแล้วคือเส้นทางการเข้าถึงที่ไม่ซ้ำกันนับสิบล้านเส้นทางทั่วทั้งเครือข่าย ความซับซ้อนทั้งหมดนี้ทำให้ไม่สามารถรักษาความปลอดภัยได้อย่างมีประสิทธิภาพหากปราศจากการจัดการนโยบายที่มีประสิทธิภาพ

ด้วยเหตุนี้ FireMon จึงนิยามนโยบายว่าเป็น control plane ของการรักษาความปลอดภัยเครือข่าย นโยบายกำหนดว่าการรักษาความปลอดภัยเครือข่ายควรทำอะไร ส่วน firewall, cloud security group และแพลตฟอร์ม segmentation คือโครงสร้างพื้นฐานที่ลงมือปฏิบัติตามนั้น การกำกับดูแลนโยบายจากชั้นเดียวทำให้ทีมงานมีจุดเดียวในการมองเห็น ควบคุม และพิสูจน์ว่าสภาพแวดล้อมทำงานตามที่ตั้งใจไว้จริง

สำหรับองค์กรอย่างธนาคารขนาดใหญ่ที่มีความซับซ้อน อยู่ภายใต้การกำกับดูแลอย่างเข้มงวด และตกเป็นเป้าโจมตีอยู่บ่อยครั้ง โซลูชัน NSPM คือองค์ประกอบพื้นฐานของการบริหารความปลอดภัย แม้ข้อผิดพลาดเพียงเล็กน้อยในนโยบายก็ทำให้เทคโนโลยี firewall สมัยใหม่ไร้ประสิทธิภาพได้ ตัวอย่างเช่น การแก้ไข object group เพียงเล็กน้อยอาจดูไม่มีผลกระทบ แต่ object group นั้นอาจถูกใช้งานอยู่ในกฎหลายร้อยข้อ และส่งผลต่อความปลอดภัยโดยไม่ได้ตั้งใจ โซลูชัน NSPM สามารถตรวจจับและแม้กระทั่งป้องกันข้อผิดพลาดที่ซ่อนอยู่เหล่านี้ไม่ให้เปิดช่องให้องค์กรถูกโจมตี

ตราบใดที่ firewall ยังจำเป็น การจัดการนโยบายที่มีประสิทธิภาพก็ยังคงเป็นสิ่งจำเป็นเช่นกัน ดังที่ปรากฏใน IDC InfoBrief เรื่อง การจัดการนโยบาย Firewall: รากฐานที่ท่านมองข้ามไม่ได้.

Compliance ไม่ใช่ทางเลือก

เป็นเวลาหลายปีที่ข้อกำหนด compliance ด้านความปลอดภัยเครือข่ายระบุเพียงให้ต้องมี firewall องค์กรในอุตสาหกรรมที่มีการกำกับดูแลเข้มงวด เช่น บริการทางการเงิน การดูแลสุขภาพ และค้าปลีก ตระหนักว่าโปรแกรมความปลอดภัยที่มีประสิทธิภาพต้องอาศัยการจัดการนโยบายที่มีประสิทธิภาพ จึงขยายข้อกำหนดเหล่านั้นให้ครอบคลุมการประเมินประสิทธิผลของนโยบายที่บังคับใช้จริงด้วย

ข้อกำหนดเหล่านี้ประกอบด้วยการควบคุม change management เพื่อให้มั่นใจว่าการเปลี่ยนแปลงใหม่ได้รับการประเมินก่อนนำไปใช้งาน การควบคุมด้าน audit เพื่อให้มั่นใจว่าทุกการเปลี่ยนแปลงมีการบันทึกไว้ และการบริหารวงจรชีวิตของกฎอย่างต่อเนื่องเพื่อทบทวนความจำเป็นทางธุรกิจและการยอมรับความเสี่ยงของการเข้าถึงเป็นระยะ ข้อกำหนดเหล่านี้ปรากฏอยู่ในกรอบมาตรฐานต่าง ๆ รวมถึง NIST 800-53, NIST CSF, PCI DSS 4.0, GDPR, DORA, NIS2 และอื่น ๆ

การมี firewall เพียงอย่างเดียวไม่เพียงพอต่อการสร้างและรักษาองค์กรให้ปลอดภัยและสอดคล้องกับข้อกำหนด การจัดการนโยบายที่มีประสิทธิภาพเป็นสิ่งจำเป็นเพื่อให้มั่นใจว่า firewall บังคับใช้และเฝ้าติดตามแนวปฏิบัติที่ดีที่สุดด้านความปลอดภัยเครือข่ายอย่างถูกต้อง การรักษาและจัดทำเอกสารแสดง compliance ตามกรอบมาตรฐานเหล่านี้ใช้เวลาอย่างมากหากไม่มีเครื่องมืออัตโนมัติที่ประเมินและรายงานการกำหนดค่าที่ซับซ้อนเหล่านี้อย่างต่อเนื่อง

Continuous compliance หมายถึงการตรวจสอบการเปลี่ยนแปลงที่เสนอเพื่อหา non-compliance ก่อนนำไปใช้งานจริง และการรักษาหลักฐานสำหรับ audit ให้เป็นปัจจุบันอยู่เสมอระหว่างรอบการตรวจสอบ แทนที่จะต้องจัดทำขึ้นใหม่ทุกครั้งที่มีการ audit อ่านกรณีศึกษา เพื่อดูว่าองค์กรหนึ่งลดเวลาเตรียมการตรวจสอบ compliance ลงได้ 83% ได้อย่างไร

ต้นทุนการดำเนินงานด้านความปลอดภัยเครือข่ายอยู่ในระดับสูง

เมื่อความซับซ้อนของเครือข่ายและความปลอดภัยเพิ่มขึ้น ต้นทุนในการบริหารจัดการสภาพแวดล้อมที่ซับซ้อนเหล่านี้ก็เพิ่มขึ้นตาม ในขณะเดียวกัน ความเร็วของธุรกิจและ IT ก็สูงขึ้นจากการนำเทคโนโลยีอย่าง virtualization, public cloud และ infrastructure as code มาใช้ ความเร็วที่เพิ่มขึ้นนี้สร้างแรงกดดันให้ทีมความปลอดภัยต้องทำงานเร็วขึ้นตามไปด้วย

ความท้าทายทั้งสองด้าน ทั้งต้นทุนการดำเนินงานและความเร็ว สามารถจัดการได้ด้วยระบบอัตโนมัติ การทำงานอัตโนมัติด้านปฏิบัติการความปลอดภัยเครือข่ายไปไกลกว่าการ push การเปลี่ยนแปลงไปยังอุปกรณ์เพียงอย่างเดียว ระบบอัตโนมัติด้านความปลอดภัยเครือข่ายที่มีประสิทธิภาพประกอบด้วย

ปรับกระบวนการยื่นคำขอเปลี่ยนแปลงให้กระชับขึ้น เพื่อลดจำนวนคำขอและปรับปรุงการรวบรวมความต้องการ
ทำให้กระบวนการออกแบบเป็นอัตโนมัติ เพื่อระบุว่าต้องเปลี่ยนแปลงสิ่งใดบ้างจึงจะได้ผลลัพธ์ที่ต้องการ
ทำให้ขั้นตอนการประเมินก่อนการเปลี่ยนแปลงเป็นอัตโนมัติ เพื่อให้มั่นใจว่าอนุญาตเฉพาะการเปลี่ยนแปลงที่เหมาะสม ปลอดภัย และสอดคล้องกับข้อกำหนดเท่านั้น
ปรับกระบวนการอนุมัติให้กระชับขึ้น เพื่ออนุมัติหรือปฏิเสธคำขอเปลี่ยนแปลงได้อย่างรวดเร็ว
ทำให้การดำเนินการเปลี่ยนแปลงภายใน change window ที่กำหนดเป็นอัตโนมัติ โดยไม่ต้องป้อนข้อมูลด้วยมือซึ่งเสี่ยงต่อความผิดพลาด
ทำให้การรายงาน compliance อย่างต่อเนื่องเป็นอัตโนมัติ
ลดความซับซ้อนและทำให้กระบวนการทบทวนกฎเป็นอัตโนมัติ
ทำให้การยกเลิกกฎที่ไม่จำเป็นอีกต่อไปเป็นอัตโนมัติ

ทีมงานส่วนใหญ่นำระบบอัตโนมัติมาใช้เป็นขั้นเป็นตอน โดยเริ่มจากจุดที่ได้รับความไว้วางใจแล้ว เช่น การประเมินก่อนการเปลี่ยนแปลงและการรายงาน compliance จากนั้นจึงขยายผลต่อไป

สิ่งที่ควรพิจารณาในแพลตฟอร์ม NSPM

องค์กรที่กำลังประเมินผู้ให้บริการ NSPM ควรทดสอบความสามารถ 6 ด้าน โดยแต่ละด้านตอบโจทย์ปัญหาที่กระบวนการแบบ manual ไม่สามารถแก้ไขได้เมื่อขยายขนาด

ความสามารถ	เหตุใดจึงสำคัญ	คำถามที่ควรถามผู้ให้บริการ
การ normalize ข้อมูลจากหลายผู้ผลิต	ท่านไม่สามารถกำกับดูแลนโยบายที่เปรียบเทียบกันไม่ได้ กฎจากผู้ผลิตและ cloud ที่แตกต่างกันจำเป็นต้องอยู่ในโมเดลเดียวกัน	แพลตฟอร์ม firewall, cloud และ segmentation ใดบ้างที่ระบบของท่าน normalize เข้าสู่โมเดลเดียว?
การมองเห็นและการค้นหานโยบาย	การค้นหากฎ object หรือ access path ไม่ควรต้องล็อกอินเข้าหลายคอนโซล	สามารถค้นหาทุกผู้ผลิตและทุกสภาพแวดล้อมได้ด้วยการค้นหาเพียงครั้งเดียวหรือไม่?
การตรวจสอบความเสี่ยงและ compliance ก่อนการเปลี่ยนแปลง	การตรวจพบ non-compliance ตั้งแต่ขั้นตอนคำขอมีต้นทุนต่ำกว่าการตรวจพบหลังนำไปใช้งานแล้ว	ระบบประเมินการเปลี่ยนแปลงที่เสนอเทียบกับนโยบายด้านความเสี่ยงและ compliance ก่อนใช้งานจริงหรือไม่?
หลักฐาน compliance แบบต่อเนื่อง	หลักฐานสำหรับ audit ควรพร้อมใช้งานทันทีที่ต้องการ ไม่ใช่ต้องจัดทำขึ้นใหม่ทุกไตรมาส	กรอบมาตรฐานใดบ้างที่มีการประเมินสำเร็จรูป และหลักฐานเป็นปัจจุบันเพียงใด?
การบริหารวงจรชีวิตของกฎ	กฎที่ไม่ถูกใช้งาน กฎที่ถูกบดบัง และกฎที่อนุญาตกว้างเกินไปจะสะสมเพิ่มขึ้นเรื่อย ๆ หากไม่มีการทบทวนอย่างสม่ำเสมอ	ท่านเชื่อมโยงการ recertify rule เข้ากับเจ้าของระบบงานทางธุรกิจได้อย่างไร?
workflow การเปลี่ยนแปลงที่มีการกำกับดูแล	การเปลี่ยนแปลงต้องผ่านการอนุมัติและมีการบันทึกหลักฐาน ซึ่งมักอยู่ในเครื่องมือ IT service management (ITSM) ที่ทีมงานใช้อยู่แล้ว	โซลูชันรองรับการ integrate กับเครื่องมือ ITSM ใดบ้าง และขั้นตอนใดเป็นแบบอัตโนมัติ ขั้นตอนใดเป็นแบบมีคำแนะนำกำกับ?

อีกหนึ่งข้อพิสูจน์: แพลตฟอร์ม NSPM ที่ดีจะกำกับดูแล firewall และ cloud controls ที่ท่านใช้งานอยู่แล้ว ไม่ใช่บังคับให้ท่านเปลี่ยนเทคโนโลยีที่ทำหน้าที่บังคับใช้นโยบาย

FireMon Security Manager คือรากฐานของแพลตฟอร์ม NSPM ของ FireMon โดยทำหน้าที่ normalize นโยบายจากแพลตฟอร์ม firewall, cloud และ microsegmentation กว่า 120 ระบบให้อยู่ในชั้นข้อมูลเดียวกัน ทีมงานจึงได้รับ visibility แบบเรียลไทม์ การตรวจสอบก่อนการเปลี่ยนแปลง และหลักฐาน compliance อย่างต่อเนื่องจากที่เดียว ขณะที่โมดูลเสริมช่วยขยายขีดความสามารถด้วยการทำงานอัตโนมัติของ workflow การ optimize rule และการวิเคราะห์ความเสี่ยง

NSPM เทียบกับคอนโซลจัดการ firewall แบบ native

คอนโซลแบบ native อย่าง Panorama และ FortiManager ทำหน้าที่จัดการแพลตฟอร์มของตนเองได้ดี ส่วน NSPM อยู่เหนือขึ้นไปอีกชั้นหนึ่ง และกำกับความสอดคล้องกันในทุกส่วนที่คอนโซลเหล่านั้นเข้าไม่ถึง

	คอนโซล firewall แบบ native	NSPM
ขอบเขต	อุปกรณ์ของผู้ผลิตรายเดียว	ผู้ผลิต firewall ทุกราย cloud security group และแพลตฟอร์ม segmentation ทั้งหมด
โมเดลนโยบาย	ไวยากรณ์เฉพาะของผู้ผลิตแต่ละราย	โมเดลเดียวที่ normalize ข้ามผู้ผลิตทุกราย
Compliance	รายงานเฉพาะอุปกรณ์ของตนเอง	การประเมินอย่างต่อเนื่องทั่วทั้งสภาพแวดล้อม
การตรวจสอบการเปลี่ยนแปลง	ภายในแพลตฟอร์มของตนเองเท่านั้น	ครอบคลุมทุกเส้นทางการเข้าถึงที่ได้รับผลกระทบจากการเปลี่ยนแปลง
บทบาท	จัดการและ deploy การตั้งค่า	กำกับดูแล ตรวจสอบ และจัดทำเอกสารนโยบายข้ามทุกคอนโซล

สรุป

ความท้าทายด้านการบริหารจัดการความปลอดภัยเครือข่ายที่ทำให้ FireMon สร้าง NSPM ขึ้นในปี 2004 ได้ขยายตัวตามทุก firewall ทุกบัญชี cloud และทุกการตรวจสอบที่เพิ่มขึ้น NSPM จึงมีความสำคัญมากกว่าช่วงเวลาใดในประวัติศาสตร์ของตนเอง หากต้องการคำนิยามโดยย่อของแนวคิดหลัก โปรดดู Network Security Policy Management คืออะไร

คำถามที่พบบ่อย

จำเป็น เครือข่ายระดับองค์กรในปัจจุบันประกอบด้วย firewall จากหลายผู้ผลิต cloud security group และเครื่องมือ segmentation หลายรูปแบบ ขณะที่แต่ละคอนโซลมองเห็นเฉพาะแพลตฟอร์มของตนเอง NSPM มอบมุมมองนโยบายที่กำกับดูแลได้เพียงมุมมองเดียวครอบคลุมทั้งหมด ซึ่งการติดตามด้วยมือไม่สามารถทำได้ในระดับองค์กร

FireMon เป็นผู้สร้างหมวดหมู่ network security policy management ขึ้นในปี 2004 เพื่อรับมือกับการขยายตัวของ firewall rule และงาน compliance ที่ต้องทำด้วยมือ

ควรพิจารณาการ normalize ข้ามผู้ผลิตหลายราย policy visibility และการค้นหา การตรวจสอบความเสี่ยงและ compliance ก่อนการเปลี่ยนแปลง หลักฐาน compliance อย่างต่อเนื่อง การบริหารจัดการวงจรชีวิตของ rule และ workflow การเปลี่ยนแปลงที่มีการกำกับดูแล ทั้งนี้แพลตฟอร์มควรกำกับดูแล firewall และ cloud controls ที่มีอยู่เดิม ไม่ใช่เข้ามาแทนที่

สคริปต์สามารถทำงานอัตโนมัติได้ทีละงาน เช่น การ export rule หรือค้นหา object ที่ไม่ได้ใช้งาน แต่ไม่สามารถ normalize ผู้ผลิตหลายรายให้เป็นโมเดลเดียว ไม่สามารถสร้างหลักฐาน compliance ที่คงทน และไม่สามารถมอบชั้นการกำกับดูแลที่คงอยู่ได้นานกว่าผู้เขียนสคริปต์นั้น ส่วน AI copilot ที่เขียนสคริปต์ก็มีข้อจำกัดเดียวกัน

เริ่มจากการจัดทำรายการอุปกรณ์ การประเมิน compliance รายงาน และ workflow ทั้งหมดที่เครื่องมือเดิมครอบคลุม จากนั้นจึงประเมินตัวเลือกทดแทนตามข้อกำหนดเหล่านั้น แทนการดูจากรายการฟีเจอร์ ลูกค้าเดิมของ Skybox จำนวนมากต้องเผชิญกับการตัดสินใจนี้ อ่านว่าเหตุใดการรอจึงเพิ่มความเสี่ยง.

กรอบข้อกำหนดเหล่านี้ครอบคลุมการควบคุมการเปลี่ยนแปลง audit trail และการทบทวนสิทธิ์การเข้าถึงตามรอบเวลา NSPM รองรับข้อกำหนดดังกล่าวด้วยการประเมินอย่างต่อเนื่อง การตรวจสอบ compliance ก่อน deploy และหลักฐานที่พร้อมสำหรับการตรวจสอบ ทั้งนี้ไม่มีเครื่องมือใดเพียงตัวเดียวที่รับประกัน compliance ได้ เนื่องจาก compliance ยังขึ้นอยู่กับบุคลากรและกระบวนการนอกเหนือจากนโยบายเครือข่ายด้วย

การบริหารจัดการความปลอดภัยเครือข่าย คือแนวปฏิบัติในวงกว้างที่ครอบคลุมการเฝ้าระวัง การควบคุมการเข้าถึง และการป้องกันเครือข่าย ส่วน NSPM มุ่งเน้นเพียงส่วนหนึ่งของแนวปฏิบัตินั้น นั่นคือการกำกับดูแลนโยบายที่ firewall, cloud security group และแพลตฟอร์ม segmentation บังคับใช้