7 แนวทางการเลือกซื้อ Server ให้มีความมั่นคงปลอดภัยสูงสุด โดย HPE

ที่ผ่านมานี้เรามักเห็นข่าวเรื่องการเจาะช่องโหว่ที่ระดับ Hardware ของ Server กันมากขึ้นเรื่อยๆ ทำให้ประเด็นเหล่านี้กลายเป็นประเด็นสำคัญที่องค์กรต้องให้ความใส่ใจในการเลือกซื้อ Server กันให้ดี ในบทความนี้เราจะมาทำความรู้จักกับ 7 แนวทางในการเลือกซื้อ Server ให้มีความมั่นคงปลอดภัย โดยอ้างอิงจาก Whitepaper ของ HPE กันครับ

Credit: HPE

1. มีความสามารถในการตรวจสอบความปลอดภัยของ Firmware ในระดับ Hardware หรือ Silicon หรือไม่?

Firmware คือโปรแกรมพื้นฐาน หรือชุดคำสั่งในการควบคุมการทำงานของอุปกรณ์ต่างๆ บน Server ดังนั้นการตรวจสอบความปลอดภัยของชุดคำสั่งจึงมีความสำคัญอย่างมาก การที่ Server นั้นๆ มี Hardware หรือ Silicon ที่ออกแบบเพื่อการตรวจสอบ Firmware ภายใน Server โดยเฉพาะนั้นถือเป็นแนวทางหนึ่งที่จะช่วยให้ Server มีความมั่นคงปลอดภัยสูงขึ้น อีกทั้งยังเป็นวิธีการที่มีความมั่นคงปลอดภัยสูงยิ่งกว่าเทคโนโลยี Boot Guard ที่ใช้กันมาในอดีต

HPE ได้ยกตัวอย่างของการออกแบบ HPE ProLiant Gen 10 Server ว่ามีการออกแบบ iLO5 Silicon Chip ขึ้นมาให้สามารถทำการตรวจสอบว่า Server Firmware ส่วนต่างๆ นั้นถูกโจมตีหรือปรับแต่งแก้ไขโดยไม่ได้รับอนุญาตหรือไม่ โดยสามารถทำการตรวจสอบได้ทั้ง iLO Firmware, System ROM (BIOS), System Programmable Logic Device (CPLD), Server Platform Services (SPS) Firmware และ Innovation Engine (IE) Firmware เลยทีเดียว

2. มีความสามารถในการแจ้งเตือนผู้ดูแลระบบ ถึงการถูกโจมตีที่ระดับ Firmware เพื่อตอบโจทย์ด้านการทำ Compliance ได้หรือไม่?

การแจ้งเตือนผู้ดูแลระบบให้ทราบถึงความผิดปกติที่เกิดขึ้นกับ Server นั้นจะทำให้การรับมือกับภัยคุกคามที่อาจเกิดขึ้นเป็นไปได้อย่างรวดเร็ว และจำกัดวงความเสียหายได้ดีขึ้น โดยถึงแม้กฎหมายอย่าง GDPR จะมุ่งเน้นที่กรณีของการรั่วไหลของข้อมูลส่วนบุคคลเป็นหลัก แต่ในทางปฏิบัติแล้วหากยิ่งรู้ถึงการโจมตีเร็วขึ้นเท่าไหร่ องค์กรก็ยิ่งสามารถรับมือได้อย่างมีประสิทธิภาพมากขึ้นเท่านั้น

เทคโนโลยี Runtime Firmware Verification ของ HPE นั้นจะทำการตรวจสอบความผิดปกติที่เกิดขึ้นกับ Server Firmware ทั้งตอนที่กำลังบูทระบบ และหลังจากที่ระบบบูทขึ้นมาแล้ว ตลอด 24 ชั่วโมง และจะทำการส่งข้อมูล Audit Log หรือการแจ้งเตือนออกไปทันทีหากพบความผิดปกติใดๆ รวมถึงยังมีการนำเทคโนโลยี Intel Trusted Execution Technology (Intel TXT) เข้ามาใช้ภายใน HPE ProLiant Gen 10 Server เพื่อป้องกันการโจมตีจากระดับของ Software ที่อาจส่งผลต่อระบบ, BIOS หรือการตั้งค่าต่างๆ ได้อีกด้วย

3. มีความสามารถในการแก้ไขปัญหา และกู้คืนระบบให้กลับมาใช้งานใหม่ได้หรือไม่ หากเครื่อง Server นั้นถูกโจมตี?

การกู้คืนระบบ Server ที่ถูกโจมตีให้กลับมาอยู่ในสถานะที่ปลอดภัยและพร้อมนำกลับมาใช้งานได้นั้นจะส่งผลต่อ Availability โดยรวมของระบบด้วย ดังนั้นสิ่งที่ HPE ได้เสริมเข้าไปใน Server นั้นก็คือความสามารถในการกู้ Firmware ของระบบให้กลับไปอยู่ในสถานะของ Factory Default หรือ Firmware รุ่นล่าสุดก่อนที่จะถูกโจมตีและเปลี่ยนแปลงได้โดยอัตโนมัติ ผ่าน HPE iLO Advanced Software

4. มีระบบตรวจสอบการเปลี่ยนแปลงอุปกรณ์ภายใน Server (Physical Security) หรือไม่?

ในการส่งมอบ Server ตั้งแต่การผลิตในโรงงานไปจนถึงมือของลูกค้าผู้ใช้งานนั้น ก็มีโอกาสที่ Server นั้นๆ จะถูกดัดแปลงหรือแก้ไขในระดับ Hardware เพื่อนำไปสู่การโจมตีในอนาคตได้ HPE ได้ทำการแก้ไขปัญหาในกรณีนี้ด้วยการนำเสนอเทคโนโลยี Server Chassis Intrusion ที่จะมีการบันทึกข้อมูล Audit Log ภายใน iLO Firmware โดยอัตโนมัติหากมีการเปิดฝาเครื่อง เพื่อทำการแก้ไขใดๆ แม้ว่าจะไม่ได้ทำการจ่ายไฟให้กับ Server เครื่องนั้นอยู่ก็ตาม รวมถึงตู้ Rack ของ HPE ยังรองรับเทคโนโลยี 3-factor Authentication เพื่อเสริมความปลอดภัยภายใน Data Center อีกชั้นหนึ่งด้วย

5. Supply Chain ในการผลิตและขนส่ง Server มีความมั่นคงปลอดภัยแค่ไหน? และสามารถตรวจสอบย้อนกลับได้หรือไม่?

นอกจากการต้องระวังเรื่องการดัดแปลงส่วนประกอบภายใน Server ระหว่างขนส่งถึงมือลูกค้าแล้ว อีกหนึ่งกรณีที่ต้องระวังก็คือการถูกแอบนำส่วนประกอบต่างๆ ที่ไม่ได้มาตรฐาน หรือมีการแอบฝัง chip ที่ไม่พึงประสงค์ มาส่งให้กับโรงงานทำการประกอบด้วย สำหรับการแก้ไขปัญหานี้ ทาง HPE ก็มีนโยบายทางด้าน Supply Chain เพื่อให้สามารถตรวจสอบและรับประกันแหล่งที่มาของส่วนประกอบต่างๆ ภายใน HPE ProLiant Gen 10 ได้ตลอด จากผู้ผลิตชิ้นส่วนต่างๆ มาจนถึงโรงงานของ HPE พร้อมมีกระบวนการการ Audit ตรวจสอบย้อนหลังได้ทั้งหมด

6. มีความสามารถ หรือบริการสำหรับการทำลายหรือลบข้อมูลจาก Hardware ที่เลิกใช้งานแล้วหรือไม่?

ไม่เพียงแต่การจัดซื้อเท่านั้น แต่การเลิกใช้งาน Server ก็ต้องมีกระบวนการมารองรับเพื่อให้ข้อมูลทางธุรกิจมีความปลอดภัย ไม่เกิดเหตุข้อมูลรั่วไหลออกไปได้ ซึ่งสามารถใช้ feature “Secure erase” ในการลบข้อมูลออกหมด รวมถึง firmware ด้วย หรือบริการเสริมจาก HPE Pointnext ทำให้การจัดการ Life Cycle ของ Server นั้นเป็นไปได้แบบครบวงจร

7. นโยบายของผู้ผลิต Server นั้นมุ่งเน้นไปที่ประเด็นของการปกป้องความเป็นส่วนตัวของข้อมูลหรือไม่?

การตรวจสอบนโยบายด้านการพัฒนา Server ให้ตอบโจทย์ต่อการปกป้องความเป็นส่วนตัวของข้อมูล และตรวจสอบวิธีการดำเนินงานเพื่อสะท้อนถึงนโยบายเหล่านั้นก็เป็นอีกสิ่งหนึ่งที่ควรประเมิน เพราะธุรกิจที่ให้ความสำคัญต่อประเด็นเหล่านี้ก็จะพยายามพัฒนานวัตกรรมใหม่ๆ นอกเหนือจากเทคโนโลยีมาตรฐานขึ้นมาเพื่อให้ใช้งานกันมากขึ้นในอนาคต

ในกรณีของ HPE นั้น ทาง HPE ก็มีมุมมองต่อการพัฒนา Server เพื่อให้สอดคล้องต่อกฎหมายความเป็นส่วนตัวของข้อมูลอย่างเช่น GDPR อย่างเต็มที่ ตั้งแต่การนำ HPE ProLiant Gen 10 Server ไปให้ InfusionPoints ทำการทดสอบจนได้รับรางวัล World’s Most Secure Industry Standard Server มา, การนำเทคโนโลยี UEFI Secure Boot มาใช้กับ HPE Network Card (NIC) พร้อมทั้งมีการตรวจสอบ Firmware และการฝัง Firewall เอาไว้ในระดับ NIC, อีกทั้งยังมีผลิตภัณฑ์อื่นๆ ด้าน Security ที่สอดคล้องกับประเด็นเหล่านี้อีกมากมาย

นอกจากนี้ HPE เองก็ยังได้ประกาศนำ NIST 800-53 Security Controls มาใช้กับผลิตภัณฑ์ในกลุ่ม Server, Networking, Storage ทั้งหมดเพื่อลดความเสี่ยงที่จะเกิดขึ้นในอนาคตและยังช่วยให้เหล่าธุรกิจองค์กรสามารถตอบโจทย์การทำ ISO27001/2 และ GDPR ได้เป็นอย่างดี

สรุปภาพรวมเทคโนโลยีในฝั่ง Security บน HPE ProLiant Gen10 Server

นอกจาก 7 ข้อข้างต้นแล้ว HPE เองก็ยังได้เสริมเทคโนโลยีทางด้าน Security ให้กับ HPE ProLiant Gen10 Server เข้าไปอีกหลายประการ เพื่อให้ลูกค้าสามารถนำไปใช้งานได้อย่างมั่นใจ และรองรับการทำ Compliance ได้ตามต้องการ โดยสรุปแล้วความสามารถที่โดดเด่นทางด้าน Security ของ HPE ProLiant Gen10 Server มีดังนี้

1. HPE iLO 5

HPE iLO 5 เป็นระบบ Subsystem ใน HPE ProLiant Server ที่ทำหน้าที่หลากหลาย ตั้งแต่การช่วยตั้งค่าเริ่มต้น, การตรวจสอบการทำงานของระบบต่างๆ, การปรับแต่งการใช้พลังงานและการจัดการอุณหภูมิ และการเข้าถึง Server ได้จากระยะไกล

ในแง่ของ Security นั้น HPE iLO 5 จะรับบทบาทด้านการเข้ารหัส และการรักษาความมั่นคงปลอดภัยในแง่มุมที่หลากหลาย โดยจะมีการแบ่ง License การใช้งานออกเป็น 2 ระดับ ได้แก่ iLO Standard สำหรับการใช้งานทั่วไปและป้องกัน Firmware เบื้องต้น, iLO Advanced สำหรับการเชื่อมต่อระยะไกลได้อย่างปลอดภัย และการยืนยันตัวตนกับระบบอื่นๆ เช่น Directory, Common Access Card (CAC) และ Kerberos รวมถึงความสามารถในการทำ Automatic Firmware Recovery, Runtime Firmware Verification และรองรับ Commercial National Security Algorithm Suite (CNSA) ได้ในตัว

ส่วนความสามารถอื่นๆ ของ HPE iLO 5 ที่น่าสนใจมีดังนี้

  • มีการยืนยันตัวตนและกำหนดสิทธิ์ผู้ใช้งานที่เข้าถึง HPE iLO 5 รวมถึงมีการเข้ารหัสข้อมูลและมีการตรวจสอบ Data Integrity เพื่อไม่ให้ถูกเปลี่ยนแปลงแก้ไขคำสั่งต่างๆ ที่ถูกส่งเข้ามา
  • ปกป้องการโจมตีแบบ Phlashing ซึ่งจะนำไปสู่การทำ Permanent Denial of Service (PDOS) จากการเจาะช่องโหว่ของระบบในระหว่างการอัปเดต Firmware เพื่อติดตั้ง Firmware ปลอมเข้ามาทำให้ระบบไม่สามารถเข้าถึงหรือเสียหายแบบถาวรได้
  • มีการตรวจสอบ Firmware Image ทั้งการตรวจสอบว่า Firmware ใหม่ที่โหลดเข้ามานั้นเป็นของจริง และตรวจสอบว่า Firmware ไม่ได้ถูกแก้ไขใดๆ ในระหว่างการบูทระบบขึ้นมา
  • มีการปกป้องไม่ให้มีการเข้าถึงกุญแจเข้ารหัสภายในหน่วยความจำและ Firmware ผ่านทาง PCI Bus ได้
  • สามารถตั้งค่าระดับความมั่นคงปลอดภัยให้เป็น High Security หรือสูงกว่า เพื่อป้องกันการเปลี่ยนแปลงแก้ไขการตั้งค่าใดๆ ใน iLO ผ่านทางระบบปฏิบัติการที่ติดตั้งบน Server ได้
  • มีระบบ Firewall และ Bridge ป้องกันไม่ให้การโจมตีที่เกิดขึ้นกับ Network Interface ของ Server ส่งผลกระทบต่อ iLO ได้ และใช้ VLAN แบ่ง iLO ออกมาจากเครื่องข่ายที่ Network Interface ใช้งานอยู่ได้
  • รองรับการใช้งาน Trusted Platform Module ได้
  • มีระบบ Audit Log ภายในตัว และสามารถส่งค่าต่างๆ ออกไปยังระบบภายนอกได้
  • ในทีมงานของ HPE มีการใช้เครื่องมือ Vulnerability Scanner เพื่อตรวจหาช่องโหว่บน HPE iLO โดยเฉพาะด้วย เพื่อลดโอกาสการมีช่องโหว่ที่เป็นที่รู้จักลง

2. Intelligent Provisioning

Intelligent Provisioning เป็นเครื่องมือ Server Deployment ใน HPE ProLiant Gen10 และ HPE Synergy สำหรับช่วยในการติดตั้ง Server และทำการ Optimize ระบบให้โดยอัตโนมัติ รวมถึงยังสามารถทำการตั้งค่าของ HPE iLO 5 ให้มั่นคงปลอดภัยสูงขึ้นได้อีกทางหนึ่งด้วย

3. Smart Update Manager (SUM)

SUM นี้คือเครื่องมือสำหรับการดูแลรักษา Firmware และ Driver ต่างๆ ที่ติดตั้งอยู่บน Server ให้มีความมั่นคงปลอดภัยอยู่เสมอ โดยภายใน SUM จะมีระบบ Discovery Engine คอยค้นหาว่ามี Hardware ใดติดตั้งอยู่บ้าง และทำงานร่วมกับ Software รุ่นไหนในแต่ละเครื่อง ทำให้ SUM สามารถช่วยทำการอัปเดตระบบที่มีการใช้งาน Hardware, Firmware, Driver ต่างๆ ได้อย่างมีประสิทธิภาพ

4. UEFI System Utilities

UEFI System Utilities นี้ถูกติดตั้งมาภายใน ROM ของระบบ โดยจะช่วยให้การบูทระบบและการเชื่อมต่อระหว่างระบบปฏิบัติการกับ Firmware ต่างๆ มีควาามั่นคงปลอดภัยมากยิ่งขึ้น

ผู้ที่สนใจประเด็นด้าน Security ใน Server อย่างเจาะลึก สามารถศึกษาได้จากเอกสาร Whitepaper ดังต่อไปนี้ครับ

สำหรับผู้ที่สนใจรายละเอียดเพิ่มเติม หรือต้องการขอใบเสนอราคา สามารถติดต่อทีมงาน HPE ประจำประเทศไทยได้ทันทีที่ โทร.02 353-0999 หรือติดต่อตัวแทนจำหน่าย และ Partner ต่างๆ ของ HPE ได้ทันที

ติดตามข่าวสารหรือกิจกรรมจาก HPE ได้ที่ https://www.hpe.com/info/proliant หรือ https://www.connecthpe.com หรือ https://www.facebook.com/Connecthpetoday/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Veritas ขอเชิญร่วมสัมมนาอัปเดต Backup Exec 20.4 พร้อมรับชมภาพยนตร์ Fast and Furious Presents: Hobbs and Shaw 15 ส.ค. 2019

Veritas ขอเชิญลูกค้าธุรกิจองค์กรที่กำลังใช้งานโซลูชันใดๆ ของ Veritas หรือเคยใช้งาน Veritas Backup Exec มาก่อน เข้าร่วมงานสัมมนาฟรี อัปเดตเทคโนโลยีล่าสุดกับ Veritas Backup Exec 20.4 พร้อมรับชมภาพยนตร์ Fast and Furious Presents: Hobbs and Shaw ต่อทันทีในวันที่ 15 สิงหาคม 2019 โดยมีรายละเอียด กำหนดการ และวิธีการลงทะเบียนเข้าร่วมงานฟรีๆ ดังนี้

HPE StoreFabric M-Series: ทางเลือกใหม่ของ Storage Networking ประสิทธิภาพสูงในราคาที่คุ้มค่า

การเติบโตด้านการลงทุนขยายระบบ Data Center ภายในธุรกิจต่างๆ ยังคงเเกิดขึ้นอย่างต่อเนื่องจากกระแสของ Digital Transformation และการมาของ AI ที่หลายๆ องค์กรให้ความสนใจ เทคโนโลยีในส่วนของ Storage จึงถูกพัฒนาอย่างรวดเร็วเป็นเงาตามตัวเพื่อให้การจัดเก็บและเข้าถึงข้อมูลนั้นเกิดขึ้นได้อย่างรวดเร็วสูงสุด และแน่นอนว่าระบบ Storage ประสิทธิภาพสูงนั้น ก็ย่อมต้องทำงานคู่กับ Storage Networking ความเร็วสูงตามไปด้วย และนี่เองที่ทำให้ HPE ได้พัฒนาผลิตภัณฑ์ HPE StoreFabric M-Series ขึ้นมาตอบโจทย์การเชื่อมต่อระบบ All Flash Storage และ Hyper-Converged Infrastructure หรือ HCI ที่กำลังได้รับความนิยมอย่างสูงในปัจจุบันนี้