Aviatrix เปิดตัว Clearance เพื่อจำกัดความเสียหายจากเวิร์กโหลดบนคลาวด์และ AI ที่ถูกเจาะระบบ

Aviatrix เปิดตัว Clearance โซลูชันด้านความปลอดภัยบนคลาวด์ที่ออกแบบมาเพื่อลดความเสียหายที่เวิร์กโหลดซึ่งถูกเจาะระบบอาจก่อให้เกิด โดยจำกัดปลายทางและเวิร์กโหลดอื่น ๆ ที่เวิร์กโหลดนั้นเข้าถึงได้ จุดเด่นหลักของโซลูชันนี้มีทั้งด้านการปฏิบัติงานและด้านเทคนิค กล่าวคือ ทีมรักษาความปลอดภัยสามารถทดสอบนโยบายที่เข้มงวดกับทราฟฟิกจริงก่อนอนุญาตให้เริ่มบล็อกการเชื่อมต่อในระบบใช้งานจริง

Aviatrix ประกาศเปิดตัว Clearance เมื่อวันที่ 26 ตุลาคม โดยผสานการจำกัดการเชื่อมต่อขาออกและการสื่อสารระหว่างเวิร์กโหลดเข้าด้วยกัน พร้อมเพิ่มชั้นนโยบายอัตโนมัติที่เรียกว่า Aviatrix Active Defense นอกจากนี้ บริษัทยังเปิดให้ภาคธุรกิจใช้งานการจำกัดการเชื่อมต่อขาออก การจำกัดการสื่อสารระหว่างเวิร์กโหลด และระบบป้องกันการบุกรุก โดยไม่จำกัดจำนวนเวิร์กโหลด ผ่านโครงการตอบสนองชั่วคราวที่ดำเนินตั้งแต่วันที่ 1 พฤศจิกายน 2026 ถึงวันที่ 1 พฤษภาคม 2027

สำหรับองค์กรที่นำเอเจนต์ AI มาใช้งานควบคู่กับแอปพลิเคชันคลาวด์ทั่วไป ปัญหาพื้นฐานนี้มีผลกระทบสำคัญมากขึ้นเรื่อย ๆ บริการที่ถูกเจาะระบบหรือเอเจนต์ที่ถูกบิดเบือนการทำงานอาจมีข้อมูลรับรองและสิทธิ์เข้าถึงเครือข่ายที่ใช้ประโยชน์ได้อยู่แล้ว การหยุดยั้งการเจาะระบบในระยะแรกยังคงเป็นสิ่งจำเป็น แต่การเชื่อมต่อต่าง ๆ ที่เข้าถึงได้หลังจากนั้นจะช่วยชี้ว่าเหตุการณ์ดังกล่าวจะจำกัดอยู่เฉพาะจุดหรือแพร่กระจายต่อไป

ปฏิเสธโดยค่าเริ่มต้น พร้อมแสดงตัวอย่างผลที่จะเกิดขึ้น

Clearance ทำงานบน Aviatrix Containment Platform ซึ่งสร้างขึ้นบน Cloud Native Security Fabric ของบริษัท โดยกำหนดเส้นทางการสื่อสารที่อนุญาตให้เวิร์กโหลดใช้งานไว้อย่างชัดเจน และปฏิเสธเส้นทางอื่น ๆ ทั้งหมดโดยค่าเริ่มต้น

Outbound Containment ควบคุมการเชื่อมต่อไปยังปลายทางภายนอก โดยระบุปลายทางด้วยชื่อโดเมนแทนการใช้เพียงที่อยู่เครือข่าย ส่วน Lateral Containment ควบคุมการสื่อสารระหว่างเวิร์กโหลดตามข้อมูลระบุตัวตน และขยายแนวทางนี้ให้ครอบคลุมหลายคลาวด์ รวมถึงทรัพยากรอย่างคอนเทนเนอร์ ฟังก์ชันแบบไร้เซิร์ฟเวอร์ ฐานข้อมูล และเอเจนต์ AI

ความท้าทายในการนำระบบไปใช้อยู่ที่การแจกแจงการพึ่งพากันของแอปพลิเคชันที่จำเป็นต่อการทำงานให้ครบถ้วนมักทำได้ยาก กฎที่ดูเหมือนถูกต้องในระหว่างการตรวจสอบก็ยังอาจทำให้บริการชำระเงิน งานเบื้องหลัง หรือการเชื่อมต่อที่ใช้งานไม่บ่อยหยุดชะงักได้

Clearance รับมือความเสี่ยงดังกล่าวด้วย Shadow Rule Set โดยนโยบายที่เสนอจะเริ่มทำงานในโหมดเฝ้าระวังควบคู่ไปกับนโยบายที่ใช้งานจริง เพื่อแสดงทราฟฟิกที่นโยบายดังกล่าวจะปฏิเสธ โดยไม่บล็อกการเชื่อมต่อเหล่านั้น ทีมงานสามารถระบุเส้นทางที่จำเป็น ปรับแก้สิทธิ์ แล้วจึงเปลี่ยนไปใช้โหมดบังคับใช้นโยบาย Aviatrix ระบุว่าการเริ่มบังคับใช้และการย้อนกลับแต่ละอย่างทำได้ด้วยการดำเนินการเพียงครั้งเดียว

ด้วยเหตุนี้ การแสดงตัวอย่างจึงเป็นขั้นตอนสำคัญของกระบวนการ ไม่ใช่หลักประกันว่าการเปลี่ยนแปลงจะไม่ทำให้ระบบหยุดทำงาน ทราฟฟิกที่สังเกตได้ในช่วงเวลาหนึ่งอาจไม่ครอบคลุมการประมวลผลช่วงสิ้นเดือน การกู้คืนจากภัยพิบัติ หรือกิจกรรมอื่นที่เกิดขึ้นไม่บ่อยแต่ยังจำเป็น ทีมงานจึงยังต้องเลือกช่วงเวลาสังเกตการณ์และข้อยกเว้นให้สอดคล้องกับการทำงานจริงของแอปพลิเคชัน

การบังคับใช้นโยบายเครือข่ายทำงานร่วมกับแอปพลิเคชันคลาวด์อย่างไร

บนเว็บไซต์ผลิตภัณฑ์ Aviatrix อธิบายว่าสามารถแทรกระบบได้อย่างโปร่งใสในระดับ VPC โดยคงที่อยู่เดิมไว้ และไม่ต้องติดตั้งเอเจนต์บนโฮสต์ ใช้ SDK หรือเปลี่ยนแปลงโค้ดของแอปพลิเคชัน นอกจากนี้ บริษัทยังระบุว่าสามารถกำหนดนโยบายผ่าน Terraform และทรัพยากรแบบกำหนดเองของ Kubernetes แล้วประสานการทำงานให้เป็นกลุ่มความปลอดภัยและ Kubernetes NetworkPolicy ได้ ในกรณีที่ไม่จำเป็นต้องใช้เกตเวย์

เรื่องนี้สำคัญเพราะโครงสร้างพื้นฐานบนคลาวด์เปลี่ยนแปลงเร็วกว่ารายการที่อยู่แบบคงที่ คอนเทนเนอร์อาจย้ายตำแหน่ง ฟังก์ชันอาจขยายขนาด และแอปพลิเคชันหนึ่งอาจครอบคลุมหลายเครือข่าย การระบุเจตนาตามเวิร์กโหลดและปลายทางที่จำเป็นต่อการทำงานจะช่วยให้นโยบายมีความทนทานมากกว่าการมองว่าการเปลี่ยนที่อยู่ทุกครั้งเป็นการตัดสินใจด้านความปลอดภัยที่ต้องพิจารณาแยกกัน

เป้าหมายในทางปฏิบัติคือการปิดเส้นทางการสื่อสารที่ผู้โจมตีอาจใช้ประโยชน์ได้ โดยไม่บังคับให้ทุกทีมแอปพลิเคชันต้องนำการผสานระบบรูปแบบใหม่มาใช้ อย่างไรก็ตาม การจำกัดการสื่อสารผ่านเครือข่ายยังคงเป็นการควบคุมการเชื่อมต่อ กล่าวคือ การเชื่อมต่อที่ได้รับอนุญาตก็ยังอาจนำกิจกรรมที่เป็นอันตรายเข้ามาได้ แนวทางนี้ทำงานเสริมกับการติดตั้งแพตช์ การควบคุมข้อมูลระบุตัวตน การรักษาความปลอดภัยของแอปพลิเคชัน และการตรวจจับ ไม่ได้ทำให้มาตรการเหล่านั้นหมดความจำเป็น

Active Defense เพิ่มการดูแลนโยบายโดยอัตโนมัติ

Aviatrix Active Defense เป็นชั้นการทำงานอัตโนมัติของโซลูชันนี้ ตามประกาศของบริษัท เอเจนต์จะสร้างแบบจำลองสภาพแวดล้อมของลูกค้า ร่างนโยบายที่แอปพลิเคชันจำเป็นต้องใช้ ประเมินนโยบายเหล่านั้นในโหมดเฝ้าระวัง และปรับปรุงให้เป็นปัจจุบันเมื่อเวิร์กโหลดเปลี่ยนแปลง ทั้งนี้ ทีมรักษาความปลอดภัยยังสามารถอ่านและแก้ไขนโยบายที่ได้

“คุณไม่อาจแก้ปัญหานี้ได้ทันเวลาด้วยการติดตั้งแพตช์หรือการตรวจจับ และรอบการติดตั้งแพตช์นี้ยังตรงกับช่วงระงับการเปลี่ยนแปลงในวันหยุด” Doug Merritt ซีอีโอของ Aviatrix กล่าวในประกาศ พร้อมอธิบายเหตุผลที่บริษัทเสนอมาตรการจำกัดขอบเขตชั่วคราว เพื่อช่วยรองรับลูกค้าระหว่างประเมินและติดตั้งแพตช์ให้ระบบ

เว็บไซต์ยังระบุรายละเอียดสำคัญเกี่ยวกับสถานะการให้บริการด้วยว่า Active Defense เปิดให้พันธมิตรด้านการออกแบบใช้งานก่อนใครโดยไม่มีค่าใช้จ่ายบน Aviatrix Enterprise และมีแผนจะให้บริการบน Aviatrix Cloud ทั้งนี้ ควรแยกสถานะดังกล่าวออกจากการให้บริการมาตรการจำกัดขอบเขตของ Clearance นอกจากนี้ เว็บไซต์ยังระบุว่าระบบอัตโนมัติทำงานภายใต้กรอบควบคุมที่ทีมกำหนด และไม่แก้ไขกฎที่เขียนโดยบุคลากร

ประโยชน์ที่อาจได้รับคือการลดงานที่ต้องทำด้วยตนเองในการแปลงพฤติกรรมของแอปพลิเคชันให้เป็นนโยบายที่บังคับใช้ได้ ส่วนข้อกำหนดด้านการปฏิบัติงานคือการกำหนดผู้รับผิดชอบให้ชัดเจน โดยต้องมีกระบวนการตรวจสอบและนำกฎที่ระบบร่างขึ้นไปใช้งานอย่างชัดเจน โดยเฉพาะเมื่อพฤติกรรมที่ตรวจพบของแอปพลิเคชันอาจมีการเชื่อมต่อที่ไม่พึงประสงค์รวมอยู่ด้วย

เหตุใดการเข้าถึงเครือข่ายได้ของเอเจนต์ AI จึงสำคัญยิ่งขึ้น

เทคโนโลยีด้านการรักษาความปลอดภัยของเวิร์กโหลด AIในวงกว้างของ Aviatrix ใช้ข้อมูลการไหลของเครือข่าย บันทึก DNS และบัญชีรายการสินทรัพย์บนคลาวด์ เพื่อค้นหาเอเจนต์ ปลายทางของโมเดล และโครงสร้างพื้นฐานที่เกี่ยวข้อง บริษัทระบุว่าวิธีนี้ช่วยให้ทีมรักษาความปลอดภัยตรวจพบการใช้งาน AI ได้ โดยไม่ต้องพึ่งพานักพัฒนาให้ติดตั้งเครื่องมือวัดผลในแอปพลิเคชันทั้งหมดเพียงอย่างเดียว

การค้นหาและการควบคุมการเชื่อมต่อแก้ปัญหาคนละด้าน การค้นหาช่วยระบุว่ามีระบบใดอยู่บ้างและระบบเหล่านั้นเชื่อมต่อไปที่ใด ส่วนการควบคุมการเชื่อมต่อจะกำหนดว่าเมื่อบังคับใช้นโยบายแล้ว การเชื่อมต่อใดบ้างที่ยังทำได้

ลองพิจารณาเอเจนต์ที่จำเป็นต้องเชื่อมต่อกับผู้ให้บริการโมเดลและบริการภายในที่ได้รับอนุมัติหนึ่งรายการ การจำกัดเส้นทางเครือข่ายของเอเจนต์อาจช่วยลดจำนวนปลายทางที่เข้าถึงได้ เพื่อป้องกันการขโมยข้อมูลหรือการเข้าถึงเพิ่มเติมหากเอเจนต์นั้นถูกเจาะระบบ อย่างไรก็ตาม การจำกัดดังกล่าวไม่ได้รับประกันว่าพรอมป์ต์ การให้เหตุผล หรือการดำเนินการที่ได้รับอนุญาตของเอเจนต์จะปลอดภัย เรื่องเหล่านี้ต้องอาศัยมาตรการควบคุมในชั้นอื่น

ความแตกต่างนี้ช่วยให้เห็นความเกี่ยวข้องของผลิตภัณฑ์กับ AI อย่างเป็นรูปธรรม Clearance มุ่งจำกัดขอบเขตสิ่งที่เอเจนต์เข้าถึงได้ผ่านเครือข่าย ขณะที่ Active Defense ใช้ระบบอัตโนมัติเพื่อช่วยรักษาขอบเขตดังกล่าว

โปรแกรมฟรีและการให้บริการตามปกติ

Aviatrix ระบุว่าองค์กรทุกแห่งมีสิทธิ์เข้าร่วมโปรแกรมรับมือของบริษัท ซึ่งครอบคลุมการควบคุมการเชื่อมต่อขาออก การควบคุมการเชื่อมต่อระหว่างระบบ และการป้องกันการบุกรุกทั่วทั้งสภาพแวดล้อมขององค์กร โดยไม่จำกัดจำนวนเวิร์กโหลด ตั้งแต่วันที่ 1 พฤศจิกายนถึง 1 พฤษภาคม การลงทะเบียนผ่าน AWS Marketplace จะเปิดในวันที่ 1 พฤศจิกายน 2026

ทีมต่าง ๆ สามารถเริ่มต้นด้วยการประเมินการควบคุมการแพร่กระจายได้ฟรี เว็บไซต์แยกคะแนนประเมินตนเองเบื้องต้นผ่านเบราว์เซอร์ ซึ่งให้ผลลัพธ์ชั่วคราว ออกจากการประเมินสถาปัตยกรรมในขั้นถัดไปที่ใช้ข้อมูลของลูกค้า ดังนั้น ควรมองคะแนนเบื้องต้นนี้เป็นจุดเริ่มต้นสำหรับการตรวจสอบ ไม่ใช่บัญชีรายการทรัพยากรที่เข้าถึงได้ทั้งหมดซึ่งผ่านการตรวจวัดแล้ว

ข้อเสนอการให้บริการตามปกติของ Clearance ประกอบด้วยการประเมินหนึ่งครั้งและเวิร์กโหลด 15 รายการในโหมดเฝ้าระวังหรือบังคับใช้ โดยไม่มีการจำกัดระยะเวลา หากต้องการเพิ่มขีดความสามารถ จะคิดค่าบริการต่อเวิร์กโหลด โดยขอข้อมูลราคาได้จาก Aviatrix ประกาศระบุว่ามีการให้บริการมาตรการควบคุมการเชื่อมต่อทั้งสองรายการผ่าน Aviatrix Cloud และยังใช้งานได้บน Aviatrix Enterprise ด้วย

การเปิดตัวนี้มุ่งแก้ไขอุปสรรคที่มีมานานในด้านความปลอดภัยขององค์กร กล่าวคือ องค์กรมักเห็นตรงกันว่าเวิร์กโหลดควรเข้าถึงสิ่งต่าง ๆ ได้น้อยลง แต่ลังเลที่จะบังคับใช้ข้อจำกัดเมื่อยังไม่แน่ใจว่าจะเกิดผลกระทบอย่างไร จุดสำคัญของ Clearance คือการเชื่อมโยงเป้าหมายด้านความปลอดภัยดังกล่าวเข้ากับกระบวนการปฏิบัติงานที่ดำเนินเป็นขั้นตอน ได้แก่ เฝ้าสังเกตนโยบายที่เสนอ แก้ไขปัญหาการพึ่งพาระหว่างระบบ บังคับใช้นโยบาย และคงช่องทางย้อนกลับที่ชัดเจนไว้