ความปลอดภัยไซเบอร์
เกตเวย์ VPN สำหรับองค์กร: การเข้าถึงระยะไกลอย่างปลอดภัยและ Zero Trust
เพิ่ม Unite.AI ลงในแหล่งข้อมูลที่คุณต้องการบน Google
ประเด็นสำคัญEncryption alone does not secure access because identity checks and device management…
ดูเพิ่มเติม
- Encryption alone does not secure access because identity checks and device management matter just as much.
- A VPN tunnel should never be treated as sufficient authorization within a zero trust architecture.
- Internet-facing gateways need a clear owner and a rapid patch process to stay secure.
เกตเวย์ VPN สำหรับองค์กรช่วยให้พนักงานหรือสำนักงานสาขาเชื่อมต่อเข้ากับเครือข่ายขององค์กรผ่านช่องทางที่เข้ารหัสได้ เทคโนโลยีนี้ยังมีประโยชน์กับระบบที่ต้องเชื่อมต่อในระดับเครือข่าย แต่การเข้ารหัสเป็นเพียงส่วนหนึ่งของการเข้าถึงอย่างปลอดภัยเท่านั้น การตรวจสอบตัวตน การจัดการอุปกรณ์ การติดตั้งแพตช์ และการจำกัดขอบเขตทรัพยากรที่แต่ละการเชื่อมต่อเข้าถึงได้ ล้วนมีความสำคัญไม่แพ้กัน
คำถามเชิงปฏิบัติที่ควรใช้ประกอบการตัดสินใจซื้อคือ ใครบ้างที่ต้องเข้าถึงทรัพยากรใด จากอุปกรณ์ใด และองค์กรจะจำกัดความเสียหายจากบัญชีที่ถูกเจาะได้อย่างไร ควรเริ่มพิจารณาจากประเด็นเหล่านี้ก่อนเปรียบเทียบอุปกรณ์ บริการคลาวด์ หรือตัวเลขปริมาณรับส่งข้อมูลสูงสุดที่ผู้ผลิตนำเสนอ
VPN สำหรับการเข้าถึงระยะไกลและการเชื่อมต่อระหว่างไซต์
VPN สำหรับการเข้าถึงระยะไกลเชื่อมต่ออุปกรณ์แต่ละเครื่องเข้ากับสภาพแวดล้อมขององค์กร ส่วน VPN แบบเชื่อมต่อระหว่างไซต์จะเชื่อมเครือข่ายเข้าด้วยกัน เช่น เครือข่ายของสำนักงานสาขากับศูนย์ข้อมูล การเชื่อมต่อทั้งสองรูปแบบตอบโจทย์คนละอย่าง จึงควรกำหนดนโยบายการเข้าถึงให้แตกต่างกัน การเชื่อมต่อของสาขาไม่ควรให้อุปกรณ์ทุกเครื่องเข้าถึงทุกแอปพลิเคชันได้โดยไม่มีข้อจำกัดโดยอัตโนมัติ
โซลูชันที่ใช้ IPsec และ TLS เป็นแนวทางที่พบได้ทั่วไป แต่ชื่อโปรโตคอลเพียงอย่างเดียวไม่ได้รับประกันความปลอดภัยของระบบที่นำไปใช้งาน การกำหนดค่า เวอร์ชันซอฟต์แวร์ที่รองรับ การจัดการใบรับรอง และการรับมือกับช่องโหว่ของผู้ให้บริการ ล้วนส่งผลต่อความปลอดภัย
ผนวกการตรวจสอบตัวตนและอุปกรณ์ไว้ในการออกแบบ
กำหนดให้ใช้การยืนยันตัวตนหลายปัจจัยสำหรับการเข้าถึงระยะไกล และเลือกวิธีที่ป้องกันการโจมตีแบบฟิชชิงได้ หากระบบรองรับ แยกสิทธิ์ผู้ดูแลระบบออกจากการใช้งานทั่วไปของพนักงาน ถอนสิทธิ์การเข้าถึงโดยเร็วเมื่อพนักงานลาออก และจำกัดผู้ใช้ให้เข้าถึงเฉพาะทรัพยากรที่จำเป็นต่อหน้าที่ อุปกรณ์ที่องค์กรจัดการยังช่วยให้องค์กรควบคุมการอัปเดต การป้องกันอุปกรณ์ปลายทาง และข้อมูลที่จัดเก็บในอุปกรณ์ได้มากขึ้น
มาตรการควบคุมเหล่านี้ควรทำงานต่อเนื่องหลังจากเริ่มเชื่อมต่อแล้ว แม้ผู้ใช้จะผ่านการยืนยันตัวตน แต่อุปกรณ์ของผู้ใช้อาจถูกเจาะ หรือผู้ใช้อาจมีสิทธิ์กว้างเกินไป การแบ่งส่วนเครือข่ายและการกำหนดสิทธิ์ในระดับแอปพลิเคชันช่วยป้องกันไม่ให้เซสชันที่ถูกเจาะเซสชันเดียวกลายเป็นช่องทางให้ผู้โจมตีเคลื่อนที่ไปทั่วสภาพแวดล้อมได้โดยไม่มีข้อจำกัด
VPN กับการเข้าถึงแบบ Zero Trust
Zero Trust เป็นแนวทางด้านสถาปัตยกรรม ไม่ใช่ผลิตภัณฑ์ชิ้นเดียวที่ทำให้เครือข่ายปลอดภัย NIST SP 800-207 อธิบายแนวทางที่ให้ความสำคัญกับทรัพยากรและการตัดสินใจเรื่องการเข้าถึง แทนการเชื่อถือโดยปริยายตามตำแหน่งที่ตั้งของเครือข่าย อุโมงค์ VPN อาจเป็นส่วนหนึ่งของสภาพแวดล้อมดังกล่าวได้ แต่ไม่ควรถือว่าการเชื่อมต่อผ่านเกตเวย์เพียงอย่างเดียวเป็นการอนุญาตให้เข้าถึงที่เพียงพอ
การกำหนดสิทธิ์เข้าถึงโดยเน้นที่แอปพลิเคชันอาจช่วยลดความจำเป็นในการเปิดเผยเครือข่ายภายในวงกว้างแก่ผู้ใช้ระยะไกล วิธีนี้อาจเหมาะกับเว็บแอปพลิเคชันบางประเภทมากกว่า ขณะที่ระบบเก่าหรือการเชื่อมต่อสำนักงานสาขาอาจยังต้องใช้อุโมงค์เครือข่าย คำแนะนำของ UK NCSC เกี่ยวกับ ZTNA เป็นกรอบที่มีประโยชน์สำหรับประเมินการเปลี่ยนผ่านดังกล่าว องค์กรสามารถใช้แนวทางแบบผสมผสานระหว่างทยอยทดแทนระบบที่พึ่งพาเทคโนโลยีรุ่นเก่าได้
ประเมินประสิทธิภาพในสภาพการใช้งานจริง
เปรียบเทียบปริมาณรับส่งข้อมูลที่เข้ารหัส จำนวนเซสชันพร้อมกัน อัตราการเริ่มต้นการเชื่อมต่อ และพฤติกรรมเมื่อสลับไปใช้ระบบสำรอง โดยใช้การตั้งค่าความปลอดภัยที่ตั้งใจจะใช้งานจริง ความเร็วสูงสุดของอินเทอร์เฟซไม่เท่ากับปริมาณรับส่งข้อมูลที่เข้ารหัสซึ่งใช้งานได้จริง ไม่มีเครือข่ายชั้นใดรับประกันได้ว่าจะไม่มีความหน่วงเลย เพราะการเข้ารหัส การกำหนดเส้นทาง ความแออัด และระยะทางทางกายภาพล้วนส่งผลต่อเวลาแฝง
ทดสอบแอปพลิเคชันที่สำคัญต่อธุรกิจ รวมถึงการโทร การถ่ายโอนไฟล์ และระบบโต้ตอบแบบเรียลไทม์ การออกแบบที่รองรับการถ่ายโอนไฟล์ขนาดใหญ่ได้อย่างราบรื่น อาจยังทำให้ประสบการณ์ระหว่างการประชุมทางวิดีโอที่มีผู้ใช้งานหนาแน่นไม่ราบรื่นได้ ควรซ้อมแผนสลับระบบสำรองด้วย เพื่อให้ทีมเข้าใจว่าจะเกิดอะไรขึ้นกับเซสชันที่กำลังใช้งานอยู่เมื่อเกตเวย์หรือการเชื่อมต่อล้มเหลว
ดูแลเกตเวย์ในฐานะระบบสำคัญ
เกตเวย์ที่เชื่อมต่อกับอินเทอร์เน็ตต้องมีผู้รับผิดชอบที่ชัดเจน ใช้ซอฟต์แวร์เวอร์ชันที่ยังได้รับการสนับสนุน และมีกระบวนการติดตั้งแพตช์อย่างรวดเร็ว จำกัดการเข้าถึงอินเทอร์เฟซสำหรับจัดการระบบ เฝ้าติดตามเหตุการณ์การเข้าถึง และเตรียมแนวทางกู้คืนที่ผ่านการทดสอบแล้ว คำแนะนำร่วมของ CISA ว่าด้วยความปลอดภัยในการเข้าถึงเครือข่ายสมัยใหม่ อธิบายว่าเหตุใดองค์กรจึงควรทบทวนการออกแบบการเข้าถึงระยะไกลแบบเดิมควบคู่ไปกับการพิจารณาแนวทางใหม่
วางแผนการต่ออายุใบรับรอง การสำรองข้อมูลการกำหนดค่า และการเข้าถึงฉุกเฉินไว้ก่อนเกิดเหตุขัดข้อง อุปกรณ์สำรองจะมีประโยชน์ก็ต่อเมื่อพิจารณาปัจจัยที่เกี่ยวข้องโดยรอบแล้ว รวมถึงบริการยืนยันตัวตน แหล่งจ่ายไฟ และการเชื่อมต่ออินเทอร์เน็ต บริการที่มีผู้ดูแลจัดการอาจช่วยลดภาระงานด้านปฏิบัติการได้ แต่องค์กรยังจำเป็นต้องกำหนดความรับผิดชอบให้ชัดเจน และมองเห็นการเปลี่ยนแปลงกับเหตุการณ์ต่าง ๆ ได้
เลือกแนวทางที่ยั่งยืน
คงการใช้ VPN สำหรับองค์กรไว้ในกรณีที่จำเป็นต้องเชื่อมต่อระดับเครือข่าย และใช้การเข้าถึงแอปพลิเคชันแบบจำกัดขอบเขตมากขึ้นเมื่อเหมาะกับงานนั้น การออกแบบที่แข็งแกร่งที่สุดคือการผสานวิธีเชื่อมต่อที่เหมาะสมเข้ากับการควบคุมตัวตนที่รัดกุม การแบ่งส่วนเครือข่าย และการบำรุงรักษาอย่างต่อเนื่อง บริการ VPN สำหรับผู้บริโภคมีจุดประสงค์ต่างออกไป จึงไม่ควรนำเสนอว่าใช้แทนการจัดการสิทธิ์เข้าถึงระบบของบริษัทได้
