ระบบรักษาความปลอดภัยเครือข่ายองค์กรสมัยใหม่กำลังพัฒนาอย่างรวดเร็ว รูปแบบการรักษาความปลอดภัยแบบดั้งเดิมที่เน้นการป้องกันรอบนอกนั้นไม่เพียงพออีกต่อไปในการปกป้องสภาพแวดล้อมโครงสร้างพื้นฐานแบบไฮบริดที่ซับซ้อน ด้วยการนำระบบคลาวด์คอมพิวติ้ง การจำลองเสมือน และสถาปัตยกรรมไมโครเซอร์วิสมาใช้ การรักษาความปลอดภัยการรับส่งข้อมูลระหว่างเครือข่าย (East-West traffic security) จึงกลายเป็นหนึ่งในความท้าทายที่สำคัญที่สุดในการออกแบบศูนย์ข้อมูลสมัยใหม่
ปัจจุบันองค์กรขนาดใหญ่ต้องตัดสินใจว่าจะอัปเกรดไฟร์วอลล์รอบนอก ติดตั้งไฟร์วอลล์แบ่งส่วนภายใน หรือใช้สถาปัตยกรรมความปลอดภัยแบบไฮบริด คู่มือนี้จะอธิบายวิธีการออกแบบสถาปัตยกรรมไฟร์วอลล์ระดับองค์กรที่คุ้มค่า ในขณะที่ยังคงรักษาความพร้อมใช้งาน ประสิทธิภาพ และความสามารถในการขยายขนาดในระดับสูง
- ส่วนที่ 1: การประเมินรูปแบบการจราจร
- ส่วนที่ 2: ไฟร์วอลล์แบบแบ่งส่วนรอบนอกเทียบกับแบบแบ่งส่วนภายใน
- ส่วนที่ 3: สถาปัตยกรรมความพร้อมใช้งานสูง
- ส่วนที่ 4: การกำหนดขนาดแพลตฟอร์มไฟร์วอลล์
- ส่วนที่ 5: กลยุทธ์การเพิ่มประสิทธิภาพต้นทุน
- ส่วนที่ 6: กลยุทธ์การจัดซื้อจัดจ้าง
- ส่วนที่ 7: แนวโน้มด้านความปลอดภัยในอนาคต
- ส่วนที่ 8: คำถามที่พบบ่อย
ส่วนที่ 1: การประเมินรูปแบบการจราจร
การรับส่งข้อมูลแบบตะวันออก-ตะวันตก หมายถึงการสื่อสารภายในเครือข่ายระหว่างเซิร์ฟเวอร์ แอปพลิเคชัน และเวิร์กโหลดเสมือนจริง
แตกต่างจากการรับส่งข้อมูลแบบดั้งเดิมในแนวเหนือ-ใต้ การรับส่งข้อมูลในแนวตะวันออก-ตะวันตกนั้นรวมถึงการสื่อสารระหว่างเครื่องเสมือน การสื่อสารระหว่างคอนเทนเนอร์ และการสื่อสารระหว่างไมโครเซอร์วิสของแอปพลิเคชัน
ในศูนย์ข้อมูลสมัยใหม่ การรับส่งข้อมูลระหว่างทิศตะวันออกและทิศตะวันตกอาจคิดเป็น 60% ถึง 80% ของปริมาณการรับส่งข้อมูลเครือข่ายทั้งหมด
ปัจจัยสำคัญในการวิเคราะห์ปริมาณการใช้งานเครือข่ายองค์กร
- ความหนาแน่นของเครื่องเสมือน
- รูปแบบการสื่อสารของแอปพลิเคชัน
- การผสานรวมเวิร์กโหลดบนคลาวด์
การไม่รักษาความปลอดภัยของการรับส่งข้อมูลระหว่างทิศตะวันออกและทิศตะวันตกอย่างเหมาะสม อาจทำให้องค์กรเผชิญกับความเสี่ยงด้านความปลอดภัยจากการเคลื่อนย้ายข้อมูลในแนวนอน
ส่วนที่ 2: ไฟร์วอลล์แบบแบ่งส่วนรอบนอกเทียบกับแบบแบ่งส่วนภายใน
ระบบรักษาความปลอดภัยเครือข่ายแบบดั้งเดิมมุ่งเน้นไปที่การป้องกันรอบนอกเป็นหลัก แต่โมเดลความปลอดภัยสมัยใหม่ต้องการการมองเห็นและการควบคุมการรับส่งข้อมูลภายในที่ลึกซึ้งยิ่งขึ้น
สถาปัตยกรรมไฟร์วอลล์รอบนอก
รุ่นที่มีระบบรักษาความปลอดภัยเฉพาะบริเวณรอบนอกจะมีต้นทุนเริ่มต้นต่ำกว่า แต่ก็อาจทำให้เกิดจุดบอดด้านความปลอดภัยภายในได้
สถาปัตยกรรมไฟร์วอลล์การแบ่งส่วนภายใน
การแบ่งส่วนภายในช่วยเพิ่มประสิทธิภาพการบังคับใช้ความปลอดภัยแบบ Zero Trust แต่ก็เพิ่มความซับซ้อนของสถาปัตยกรรมด้วย
ตัวอย่างการเปรียบเทียบ:
| รุ่น | ข้อดี | ความเสี่ยง |
| เฉพาะปริมณฑลเท่านั้น | ต้นทุนต่ำกว่าและติดตั้งง่ายกว่าเดิม | การมองเห็นภายในที่จำกัด |
| ไฟร์วอลล์แบบแบ่งส่วน | ระบบรักษาความปลอดภัย Zero Trust ที่ดีกว่า | ต้นทุนการดำเนินงานที่สูงขึ้น |
ส่วนที่ 3: สถาปัตยกรรมความพร้อมใช้งานสูง
ความพร้อมใช้งานของไฟร์วอลล์มีความสำคัญอย่างยิ่งในสภาพแวดล้อมระดับองค์กร เนื่องจากหากเครือข่ายล่ม จะส่งผลกระทบโดยตรงต่อการดำเนินงานทางธุรกิจ
โมเดลความพร้อมใช้งานสูง
- การจัดกลุ่มแบบแอคทีฟ-แอคทีฟ
- การสลับระบบแบบแอคทีฟ-พาสซีฟ
- การบังคับใช้ความปลอดภัยแบบกระจายศูนย์
ตัวอย่างคำสั่ง CLI สำหรับตรวจสอบสถานะ HA:
diagnose system ha statusการออกแบบที่มีความพร้อมใช้งานสูงช่วยลดจุดล้มเหลวเพียงจุดเดียวในระหว่างการบำรุงรักษาหรือเหตุการณ์ฮาร์ดแวร์ขัดข้อง
ส่วนที่ 4: การกำหนดขนาดแพลตฟอร์มไฟร์วอลล์
เครือข่ายองค์กรที่ทำงานในสภาพแวดล้อม 10G และ 25G จำเป็นต้องมีแพลตฟอร์มความปลอดภัยที่มีขนาดเหมาะสม
ผู้จำหน่ายชั้นนำ ได้แก่:
ในการกำหนดขนาดไฟร์วอลล์ ควรพิจารณาถึง:
- ความจุเซสชันพร้อมกัน
- ประสิทธิภาพการตรวจสอบภัยคุกคาม
- ประสิทธิภาพการเข้ารหัส
ส่วนที่ 5: กลยุทธ์การเพิ่มประสิทธิภาพต้นทุน
การวางแผนอัปเกรดไฟร์วอลล์ระดับองค์กรควรพิจารณาจากวงจรชีวิตและความเสี่ยงทางธุรกิจมากกว่าอายุของฮาร์ดแวร์เพียงอย่างเดียว
- การคาดการณ์การเติบโตของปริมาณการใช้งานเครือข่าย
- ข้อกำหนดด้านการปฏิบัติตามกฎระเบียบด้านความปลอดภัย
- วงจรการสิ้นสุดอายุการใช้งานของฮาร์ดแวร์
การเลื่อนการอัปเกรดออกไปอาจช่วยประหยัดค่าใช้จ่ายในระยะสั้น แต่จะเพิ่มความเสี่ยงด้านความปลอดภัยในระยะยาว
ส่วนที่ 6: กลยุทธ์การจัดซื้อจัดจ้าง
การจัดซื้อจัดหาโครงสร้างพื้นฐานมีบทบาทสำคัญอย่างยิ่งต่อความสำเร็จในการดำเนินงานและระยะเวลาของโครงการ
ซัพพลายเออร์ระดับโลก เช่น เราเตอร์สวิตช์ ให้บริการจัดหาอุปกรณ์เครือข่ายจากผู้จำหน่ายหลายราย พร้อมตัวเลือกการจัดส่งที่รวดเร็วทั่วโลก
การให้คำปรึกษาด้านสถาปัตยกรรมทางเทคนิคก่อนการขาย สามารถช่วยให้องค์กรหลีกเลี่ยงการเลือกขนาดแพลตฟอร์มที่ไม่ถูกต้องได้
ตัวอย่างแพลตฟอร์มวิจัยราคา: ราคาไอที
ส่วนที่ 7: แนวโน้มด้านความปลอดภัยในอนาคต
อนาคตของสถาปัตยกรรมความปลอดภัยระดับองค์กรกำลังมุ่งไปสู่โมเดล Zero Trust และการบังคับใช้มาตรการรักษาความปลอดภัยแบบอัตโนมัติ
- การรักษาความปลอดภัยด้วยการแบ่งส่วนย่อยระดับไมโคร
- การตรวจสอบสิทธิ์ตามตัวตน
- การตรวจจับภัยคุกคามที่ขับเคลื่อนด้วย AI
แพลตฟอร์มไฟร์วอลล์ในอนาคตจะทำหน้าที่เป็นแพลตฟอร์มบังคับใช้นโยบายความปลอดภัยมากกว่าที่จะเป็นเพียงอุปกรณ์กรองแพ็กเก็ตพื้นฐาน
ส่วนที่ 8: คำถามที่พบบ่อย
คำถามที่ 1. เหตุใดความปลอดภัยด้านการจราจรระหว่างทิศตะวันออกและทิศตะวันตกจึงมีความสำคัญ?
การรับส่งข้อมูลระหว่างทิศตะวันออกและทิศตะวันตกมักคิดเป็นส่วนใหญ่ของการสื่อสารภายในเครือข่าย และอาจถูกใช้ประโยชน์ในระหว่างการละเมิดความปลอดภัยได้
คำถามที่ 2: องค์กรต่างๆ สามารถลดต้นทุนโครงสร้างพื้นฐานไฟร์วอลล์ได้อย่างไร?
โดยการนำสถาปัตยกรรมแบบหลายผู้จำหน่าย การวางแผนกำลังการผลิตที่เหมาะสม และกลยุทธ์การจัดการวงจรชีวิตมาใช้
คำถามที่ 3. สถาปัตยกรรมไฟร์วอลล์แบบหลายชั้นมีความจำเป็นหรือไม่?
ใช่ โดยเฉพาะในสภาพแวดล้อมคลาวด์ไฮบริดสมัยใหม่ ที่การรับส่งข้อมูลภายในต้องการการบังคับใช้มาตรการรักษาความปลอดภัยเพิ่มเติม