Hardware Firewall กับ Cloud Firewall ต่างกันอย่างไร? เลือกแบบไหนให้เหมาะกับองค์กร

Firewall เป็นหนึ่งในองค์ประกอบสำคัญของระบบ Network Security เพราะช่วยควบคุมการเชื่อมต่อระหว่างเครือข่ายและตรวจสอบ Traffic ตามนโยบายที่กำหนด แต่เมื่อองค์กรเริ่มใช้งาน Cloud Application ทำงานจากระยะไกล หรือขยายสำนักงานไปหลายสาขา การเลือก Firewall ก็ไม่ได้มีเพียงการติดตั้งอุปกรณ์ไว้ที่สำนักงานอีกต่อไป

รูปแบบที่พบได้บ่อยคือ Hardware Firewall ซึ่งติดตั้งเป็นอุปกรณ์ในเครือข่าย และ Cloud Firewall ซึ่งให้บริการรักษาความปลอดภัยผ่านโครงสร้างพื้นฐานของผู้ให้บริการ ทั้งสองรูปแบบมีข้อดีและข้อจำกัดแตกต่างกัน การเลือกจึงควรเริ่มจากการพิจารณาว่าต้องการป้องกันระบบส่วนใด และ Traffic ขององค์กรเดินทางผ่านจุดใดบ้าง

1. Hardware Firewall คืออะไร?

Hardware Firewall คืออุปกรณ์รักษาความปลอดภัยเครือข่ายที่ติดตั้ง ภายในสำนักงาน ห้อง Server หรือ Data Center โดยมักอยู่บริเวณทางเชื่อมต่อระหว่างเครือข่ายภายในกับอินเทอร์เน็ต หรือระหว่างเครือข่ายที่ต้องการแบ่งแยกการเข้าถึง

เมื่อมี Traffic ผ่านอุปกรณ์ Firewall จะตรวจสอบข้อมูลตามกฎที่ผู้ดูแลระบบกำหนด เช่น อนุญาตหรือปฏิเสธการเชื่อมต่อ กำหนดนโยบายระหว่าง VLAN สร้าง VPN ระหว่างสาขา และในรุ่นที่รองรับอาจมีระบบ IPS, Web Filtering, Application Control และการตรวจสอบภัยคุกคามเพิ่มเติม

ตัวอย่างผลิตภัณฑ์ในกลุ่มนี้ ได้แก่ FortiGate และ Firewall Appliance จากผู้ผลิตรายอื่น โดยความสามารถจริงขึ้นอยู่กับรุ่น ลิขสิทธิ์ Subscription และการตั้งค่าที่ใช้งาน

Hardware Firewall ทำงานอย่างไร?

ตัวอย่างเช่น เมื่อพนักงานในสำนักงานเปิดเว็บไซต์ Traffic จะผ่าน Firewall ตามเส้นทางเครือข่ายที่ออกแบบไว้ Firewall สามารถตรวจสอบการเชื่อมต่อและบังคับใช้นโยบายที่เกี่ยวข้อง ก่อนอนุญาตให้ Traffic เดินทางต่อไป

สำหรับองค์กรที่มีหลายสาขา สามารถติดตั้ง Firewall ที่สำนักงานหลัก และสาขาต่าง ๆ แล้วเชื่อมต่อผ่าน Site-to-Site VPN เพื่อให้ระบบส่วนกลางและสาขาสื่อสารกันได้ตามนโยบายที่กำหนด

ข้อดีของ Hardware Firewall

• ควบคุม Traffic ของเครือข่ายสำนักงานและอุปกรณ์ภายในได้ เมื่อออกแบบเส้นทางให้ผ่าน Firewall
• รองรับการแบ่งเครือข่ายและกำหนดนโยบายระหว่าง VLAN หรือ Zone
• สามารถใช้เชื่อมต่อ VPN ระหว่างสำนักงาน สาขา และศูนย์ข้อมูลได้ในรุ่นที่รองรับ
• เหมาะกับองค์กรที่ต้องการควบคุมอุปกรณ์และการตั้งค่าเครือข่ายด้วยตนเอง
• สามารถใช้งานร่วมกับระบบ Network Monitoring และระบบจัดการ Firewall ส่วนกลางได้ตามผลิตภัณฑ์ที่เลือก

ข้อจำกัดของ Hardware Firewall

• มีค่าใช้จ่ายสำหรับอุปกรณ์เริ่มต้น รวมถึงค่า Subscription หรือการบำรุงรักษาตามรูปแบบการใช้งาน
• ต้องประเมินประสิทธิภาพให้เพียงพอ โดยเฉพาะเมื่อเปิดใช้ IPS, SSL Inspection หรือฟังก์ชันตรวจสอบเพิ่มเติม
• ต้องมีแผนสำรองเมื่ออุปกรณ์หรือระบบไฟฟ้าขัดข้อง หากไม่มีอุปกรณ์สำรองอาจกระทบการเชื่อมต่อ
• การติดตั้งหรือเปลี่ยนแปลงระบบอาจต้องใช้ผู้ดูแลที่มีความรู้ด้าน Network Security
• หากต้องการป้องกันระบบ Cloud หรือผู้ใช้งานที่อยู่นอกสำนักงาน อาจต้องออกแบบการเชื่อมต่อหรือใช้บริการเสริมเพิ่มเติม

2. Cloud Firewall คืออะไร?

Cloud Firewall คือบริการ Firewall ที่ให้บริการผ่านโครงสร้างพื้นฐานของผู้ให้บริการ แทนการพึ่งพาอุปกรณ์ Firewall ที่ติดตั้ง ณ จุดใช้งานเพียงอย่างเดียว อย่างไรก็ตาม คำว่า Cloud Firewall ใช้เรียกบริการได้หลายประเภท จึงควรตรวจสอบขอบเขตการป้องกันของผลิตภัณฑ์แต่ละรายก่อนตัดสินใจ

ตัวอย่างรูปแบบที่พบได้ ได้แก่

• Cloud Network Firewall: ควบคุม Traffic ระหว่างเครือข่ายหรือทรัพยากรที่อยู่บน Cloud ตามความสามารถของแพลตฟอร์ม
• Firewall as a Service (FWaaS): ให้บริการตรวจสอบและบังคับใช้นโยบายความปลอดภัยผ่านบริการของผู้ให้บริการ ซึ่งบางรูปแบบสามารถรองรับผู้ใช้งานจากหลายสถานที่ได้
• Web Application Firewall (WAF): มุ่งป้องกันการโจมตีต่อเว็บไซต์และ Web Application เช่น การโจมตีผ่านคำขอ HTTP/HTTPS โดยไม่ได้มีหน้าที่เหมือน Network Firewall ทุกประการ

ดังนั้น Cloud Firewall ไม่ได้หมายความว่า Firewall ทุกชนิดบน Cloud จะสามารถป้องกันทั้งเครือข่ายสำนักงาน ผู้ใช้งานระยะไกล เว็บไซต์ และระบบ Server ได้ครบทั้งหมด ต้องพิจารณาตามประเภทบริการ

Cloud Firewall ทำงานอย่างไร?

ในกรณีของ Cloud Network Firewall Traffic ระหว่างเครือข่ายหรือทรัพยากร บน Cloud จะถูกตรวจสอบตามเส้นทางและนโยบายที่กำหนด ส่วนบริการ FWaaS อาจให้ผู้ใช้งานเชื่อมต่อผ่านระบบของผู้ให้บริการ เพื่อบังคับใช้นโยบายความปลอดภัยก่อนเข้าถึงอินเทอร์เน็ตหรือระบบงาน

ขณะที่ WAF จะตรวจสอบคำขอที่ส่งมายังเว็บไซต์หรือ Web Application ตามความสามารถของบริการ จึงไม่ควรนำ WAF มาใช้แทน Network Firewall โดยไม่ประเมินความต้องการด้านความปลอดภัยส่วนอื่น

ข้อดีของ Cloud Firewall

• ลดความจำเป็นในการติดตั้งอุปกรณ์ Firewall สำหรับงานบางประเภท
• เหมาะกับระบบที่อยู่บน Cloud หรือองค์กรที่มีผู้ใช้งานจากหลายสถานที่ หากบริการรองรับ
• อาจเพิ่มหรือลดทรัพยากรได้ตามรูปแบบบริการและความต้องการใช้งาน
• การอัปเดตและการดูแลโครงสร้างพื้นฐานบางส่วนเป็นหน้าที่ของผู้ให้บริการ
• อาจมีระบบบริหารจัดการและรายงานจากส่วนกลาง ขึ้นอยู่กับผลิตภัณฑ์

ข้อจำกัดของ Cloud Firewall

• มีค่าบริการต่อเนื่อง ซึ่งอาจคิดตามจำนวนผู้ใช้งาน ปริมาณ Traffic ทรัพยากร หรือฟังก์ชันที่เลือก
• ต้องตรวจสอบว่ารองรับระบบ Cloud เครือข่าย และรูปแบบการเชื่อมต่อที่องค์กรใช้งานหรือไม่
• การเชื่อมต่อไปยังบริการอาจขึ้นอยู่กับอินเทอร์เน็ต เส้นทางเครือข่าย และความพร้อมใช้งานของผู้ให้บริการ
• การควบคุมอุปกรณ์ภายในสำนักงานโดยตรงอาจต้องมีอุปกรณ์หรือระบบเชื่อมต่อเพิ่มเติม
• ต้องตรวจสอบข้อกำหนดด้านข้อมูล บันทึกเหตุการณ์ การเก็บ Log และการกำหนดสิทธิ์ของผู้ดูแล

3. ตารางเปรียบเทียบ Hardware Firewall กับ Cloud Firewall

หมายเหตุ: ตารางนี้เป็นการเปรียบเทียบภาพรวม ความสามารถจริงขึ้นอยู่กับผลิตภัณฑ์ สถาปัตยกรรมเครือข่าย และรูปแบบบริการที่เลือกใช้

4. ควรเลือก Firewall แบบไหนให้เหมาะกับองค์กร?

กรณีที่ 1: สำนักงานมี Server และระบบภายในองค์กร

หากองค์กรมี Server ภายในสำนักงาน ใช้ระบบ ERP หรือ Application ภายใน และต้องควบคุมการเชื่อมต่อระหว่างเครือข่าย Hardware Firewall อาจเป็นตัวเลือกหลักที่เหมาะสม โดยควรพิจารณาความสามารถในการแบ่ง Zone, VLAN, VPN และฟังก์ชันป้องกันภัยคุกคาม

หากมีบริการหรือผู้ใช้งานที่อยู่บน Cloud ด้วย สามารถเพิ่มมาตรการรักษาความปลอดภัยฝั่ง Cloud ให้ครอบคลุมระบบส่วนนั้นได้

กรณีที่ 2: องค์กรใช้งาน Cloud Application เป็นหลัก

หากระบบงานหลักอยู่บน Cloud ควรพิจารณาความสามารถด้าน Network Security ของแพลตฟอร์มที่ใช้งาน รวมถึง Cloud Firewall หรือบริการรักษาความปลอดภัยอื่น ตามรูปแบบสถาปัตยกรรม ไม่ควรเลือกจากชื่อผลิตภัณฑ์เพียงอย่างเดียว

หากมีเว็บไซต์หรือ Web Application ที่เปิดให้บุคคลภายนอกเข้าถึง อาจต้องพิจารณา WAF เพิ่มเติม เพราะมีหน้าที่เฉพาะในการตรวจสอบคำขอ และช่วยป้องกันการโจมตีต่อแอปพลิเคชันเว็บ

กรณีที่ 3: บริษัทมีหลายสาขา

องค์กรหลายสาขามักต้องพิจารณาการเชื่อมต่อระหว่างสำนักงาน การเข้าถึงระบบส่วนกลาง การแยกเครือข่าย และการบริหารนโยบายให้เป็นมาตรฐานเดียวกัน Hardware Firewall ที่แต่ละสาขาอาจใช้เชื่อมต่อ Site-to-Site VPN ขณะที่สำนักงานใหญ่ใช้ Firewall หรือระบบบริหารจัดการส่วนกลางตามความเหมาะสม

หากมีการใช้ Cloud Application จำนวนมาก หรือมีพนักงานทำงานจากระยะไกล อาจพิจารณาบริการ Cloud Security เพิ่มเติม โดยต้องประเมินเส้นทาง Traffic และผลกระทบหากการเชื่อมต่อขัดข้องด้วย

กรณีที่ 4: ต้องการลดภาระการดูแลอุปกรณ์

Cloud Firewall อาจช่วยลดภาระการดูแลโครงสร้างพื้นฐานบางส่วนได้ แต่ไม่ได้หมายความว่าองค์กรไม่ต้องดูแลความปลอดภัยอีกต่อไป ผู้ดูแลยังต้องกำหนดนโยบาย ตรวจสอบ Log จัดการบัญชีผู้ใช้ ทบทวนสิทธิ์ และติดตามเหตุการณ์ผิดปกติตามขอบเขตความรับผิดชอบ

5. สามารถใช้ Hardware Firewall และ Cloud Firewall ร่วมกันได้หรือไม่?

สามารถใช้ร่วมกันได้ และเป็นแนวทางที่เหมาะกับบางองค์กร ซึ่งมีทั้งเครือข่ายสำนักงาน สาขา Data Center และระบบ Cloud เพราะแต่ละระบบมีลักษณะการเชื่อมต่อและความเสี่ยงแตกต่างกัน

ตัวอย่างแนวทางการวางระบบ ได้แก่

• สำนักงานและสาขา: ใช้ Hardware Firewall เพื่อควบคุม Traffic, VLAN และ VPN ตามความจำเป็น
• ระบบ Cloud: ใช้ความสามารถด้าน Network Security ของ Cloud Platform หรือบริการ Firewall ที่เหมาะกับสถาปัตยกรรม
• เว็บไซต์และ Web Application: พิจารณา WAF เพื่อเพิ่มการป้องกันการโจมตีระดับแอปพลิเคชัน
• การบริหารจัดการ: จัดทำมาตรฐานนโยบาย ตรวจสอบ Log และติดตามสถานะจากส่วนกลาง เท่าที่ผลิตภัณฑ์ที่เลือกใช้งานรองรับ

สิ่งสำคัญคือการออกแบบให้แต่ละส่วนทำงานร่วมกันได้อย่างถูกต้อง หลีกเลี่ยงกฎ Firewall ที่ซ้ำซ้อนหรือขัดแย้งกัน และต้องมีผู้รับผิดชอบชัดเจนเมื่อเกิดเหตุการณ์ด้านความปลอดภัย

6. Checklist ก่อนตัดสินใจเลือก Firewall

ก่อนจัดซื้อหรือสมัครใช้บริการ ควรตรวจสอบหัวข้อต่อไปนี้

• ระบบที่ต้องการป้องกันอยู่ในสำนักงาน Data Center หรือ Cloud
• ต้องการควบคุม Internet Access, VPN, Cloud Network หรือ Web Application
• มีผู้ใช้งานกี่คน และมีสำนักงานหรือสาขากี่แห่ง
• ปริมาณ Traffic และประสิทธิภาพที่ต้องการเป็นเท่าใด โดยเฉพาะเมื่อเปิดฟังก์ชันตรวจสอบความปลอดภัย
• มีความจำเป็นต้องทำ High Availability หรือเตรียมระบบสำรองหรือไม่
• ต้องการเก็บ Log นานเท่าใด และมีข้อกำหนดด้าน Compliance หรือไม่
• ค่าใช้จ่ายรวมในระยะยาวประกอบด้วยอะไรบ้าง
• ใครเป็นผู้ดูแลนโยบาย อัปเดตระบบ ตรวจสอบเหตุการณ์ และรับมือเมื่อเกิดปัญหา
• มีแผนทดสอบระบบและกู้คืนการเชื่อมต่อเมื่ออุปกรณ์หรือบริการขัดข้องหรือไม่

สรุป: Hardware Firewall หรือ Cloud Firewall แบบไหนดีกว่า?

Hardware Firewall เหมาะกับงานที่ต้องควบคุมเครือข่าย ณ สำนักงาน สาขา หรือศูนย์ข้อมูล ส่วน Cloud Firewall เหมาะกับระบบและรูปแบบการใช้งาน ที่บริการนั้นรองรับ เช่น เครือข่ายบน Cloud ผู้ใช้งานระยะไกล หรือการป้องกัน Web Application ในกรณีของ WAF

องค์กรไม่จำเป็นต้องเลือกเพียงรูปแบบเดียวเสมอไป การใช้หลายมาตรการร่วมกันอาจเหมาะสมกว่า หากออกแบบให้ครอบคลุมเส้นทาง Traffic และกำหนดขอบเขตความรับผิดชอบชัดเจน

ก่อนตัดสินใจ ควรเริ่มจากการสำรวจระบบเครือข่ายและแอปพลิเคชันที่มีอยู่ ระบุความเสี่ยงและข้อกำหนดด้านความปลอดภัย จากนั้นจึงเปรียบเทียบผลิตภัณฑ์ ค่าใช้จ่าย และความสามารถในการบริหารจัดการ เพื่อให้ได้ระบบที่เหมาะกับการใช้งานจริงขององค์กร