TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
ถ้าคุณเป็นลูกค้า VMware ที่ผ่านการอัปเกรตระบบสู่ VMware Cloud Foundation (VCF) 9.1 เราต้องขอแสดงความยินดีด้วย เพราะนั่นคือประตูบานแรกที่จะช่วยให้ระบบขององค์กร ได้รับความสามารถใหม่ พร้อมสำหรับความปลอดภัยตั้งแต่ซอร์สโค้ดถึงแพลตฟอร์ม เพราะใน VCF 9.1 เองก็ได้ผ่านการตรวจสอบช่องโหว่แบบจัดเต็มด้วย Frontier AI Model ทำให้ได้แพลตฟอร์มเวอร์ชันที่ปลอดภัยที่สุดเท่าที่เคยมีมา
แต่การมี VCF 9.1 ในมือยังเป็นแค่จุดเริ่มต้นเท่านั้น เพราะผู้ดูแลยังต้องปรับแต่งฟีเจอร์เพื่อดึงพลังการป้องกันออกมาให้เหมาะสมกับการใช้งานต่อไป แต่ถ้ายังไม่รู้ว่าจะต้องเริ่มต้นจากตรงไหน VMware ได้แนะนำ 5 ขั้นตอนในการใช้งานไว้ ดังนี้
1.) Harden the Platform
การ Hardening คือ การตั้งใจลดพื้นที่โจมตี ปิดเซอร์วิสที่ไม่จำเป็น ล็อกการเข้าถึงส่วนจัดการระบบ และตั้งค่าสิทธิ์ให้รัดกุมที่สุด นี่คือขั้นตอนสำคัญอันดับหนึ่ง โดย VMware มีการออกแนวทางปฏิบัติที่น่าสนใจไว้ ดังนี้
- VMware Security Configuration Guides (SCG) – สำหรับองค์กรธุรกิจทั่วไป SCG คือมาตรฐานตั้งต้น ในนี้มีข้อกำหนด 260 ข้อที่อิงตามมาตรฐาน NIST 800-53 R5, PCI DSS 4.0.1 และ Secure Controls Framework ช่วยให้ผู้ดูแลสามารถปรับปรุงการตั้งค่าให้สอดคล้องกับระบบ Cybersecurity เดิมได้ง่ายขึ้น
- STIG Readiness Guides – สำหรับหน่วยงานรัฐ กลาโหม หรืออุตสาหกรรมควบคุม มาตรฐานทั่วไปไม่เพียงพอ ต้องทำตามมาตรฐาน Defense Information Systems Agency (DISA) คู่มือนี้จะแนะนำถึงการคอนฟิกของ VCF 9.1 ให้พร้อมรับการตรวจสอบ
อย่างไรก็ดีในทุกการตั้งค่า ผู้ใช้งานควรทำผ่านการจำลอง และ ทดสอบระบบ ก่อนการนำไปใช้จริงเสมอ อีกทั้งนี่เป็นเพียงแนวทางอ้างอิงที่ไม่ตายตัว แต่ต้องประยุกต์ใช้ให้สอดคล้องกับการทำงานในองค์กรนั้นๆ
2.) Secure Identities
Credential ที่หาซื้อได้ตาม Dark Web คือวิธีการยอดนิยมที่แฮ็กเกอร์หน้าไหนก็สามารถทำได้ง่ายๆ และเสี่ยงต่อระบบ Private Cloud ขององค์กรเช่นกัน ที่รหัสผ่านแอดมินก็ไม่ได้ปลอดภัย 100% ดังนั้นหลักการให้สิทธิ์เท่าที่จำเป็น (Least Privilege) ผ่าน Role-based Access Control ยังจำเป็นเสมอ
VCF Identity Broker (VIDB) คือศูนย์กลางเชื่อมต่อ SSO กับระบบภายนอก บังคับให้ทุก API ต้องตรวจสอบผ่าน OAuth Token ซึ่งนี่เป็นการแยกส่วนยืนยันตัวตนออกมาจากชั้น vCenter ให้จัดการสิทธิ์ได้เป็นระบบ เสริมการป้องกันให้ปลอดภัยมากขึ้น
3.) Reduce the Attack Surface
เมื่อแฮ็กเกอร์แทรกแซง VM ได้ ขั้นต่อไปก็คือการสแกนหาเหยื่อรายอื่นผ่านเครือข่าย พยายามยกระดับสิทธิ์ตนเอง และคืบคลานไปยังเครื่องอื่นๆ (Lateral Movement) จนพบข้อมูลสำคัญ ซึ่ง VCF 9.1 ออกแบบมาเพื่อรองรับ Zero Trust แต่แอดมินจำเป็นต้องเข้าไปเปิดการตั้งค่า และเพิ่มประสิทธิภาพของการป้องกันโดยใช้ VMware vDefend มาช่วยสร้างการป้องกันให้กับเครือข่าย
- Microsegmentation – Distributed Firewall จะช่วยป้องกันการโจมตีในระดับ East-West ในขณะที่ Gateway Firewall จะช่วยป้องกันการโจมตีแบบ North-South นี่เป็นกลยุทธ์ในการวางสถาปัตยกรรมแบบ Zero Trust ที่จำเป็น
- Threat Inspection – เปิดใช้งาน IDS/IPS เพื่อมอนิเตอร์ทราฟฟิคต้องสงสัย ให้ระบบสามารถจำกัดกิจกรรมการเคลื่อนตัวของคนร้าย
4.) Streamline Patch Management
ทีม Security กับทีม IT Ops มักจะไม่กินเส้นกันนัก ฝ่ายหนึ่งอยากแพตช์อุดช่องโหว่ให้เร็ว แต่อีกฝ่ายมักพยายามเลื่อน เพราะต้องวางแผนย้ายเครื่องสลับคิวอัปเดตวุ่นวาย จนถึงหยุดการทำงานของระบบชั่วคราว แต่ใน VCF 9.1 ได้นำเสนอแนวทางใหม่
- Centralized Lifecycle Management – ใช้ VCF Operations จัดการวงจรชีวิตของระบบแบบเบ็ดเสร็จ ช่วยเรียงลำดับการลงแพตช์ทั้งฝั่ง Compute, Network และ Storage ให้ถูกต้องตามลำดับ รับรองว่าระบบไม่รวน
- Zero-Downtime Live Patching – VCF 9.1 มาพร้อมฟีเจอร์ VMware ESX Live Patching (ทำงานผ่าน TPM) ทำให้อัปเดต Hypervisor ได้โดยไม่ต้องย้าย Workload และไม่จำเป็นต้องเข้า Maintenance Mode
5.) Manage Configuration Drift
ข้อปฏิบัติที่กล่าวถึงข้างต้นการันตีแค่ว่าในช่วงแรกระบบคุณจะแข็งแกร่ง แต่เมื่อนานไปการปรับปรุงเปลี่ยนแปลงย่อมเกิดขึ้น ดังนั้นคำถามคือจะทำอย่างไรที่จะป้องกันไม่ให้ค่าคอนฟิกคลาดเคลื่อน ซึ่ง VCF 9.1 มีเครื่องมือมาช่วยในส่วนนี้
- Native Security Posture Visibility – ภานใน VMware Cloud Foundation Operations สามารถแสดง Security Operations (SecOps) dashboard ให้ผู้ดูแลองค์กรมองเห็น insight ของการตั้งค่าด้านความมั่นคงปลอดภัยภายใต้ VCF
- VMware Advanced Cyber Compliance (ACC) – อาศัย VMware Salt เพื่อติดตามการเปลี่ยนแปลงที่เบี่ยงเบนไปจากนโยบายด้านความมั่นคงปลอดภัย เช่น SCG หรือ PCI-DSS คือถ้าพบความแตกต่างของ ESX Host จาก Compliance ระบบจะกู้คืนคอนฟิกไปยังสถานะที่เหมาะสม
บทสรุป
การเริ่มต้นด้วย VCF 9.1 เป็นเพียงก้าวแรกในการสร้างพื้นฐานที่ปลอดภัยเพื่อกรุยทางสู่ Zero Trust Private Cloud เท่านั้น แต่ในการทำงานจริงองค์กรต้องปรับปรุงระบบให้สอดคล้องกับมาตรฐานด้านความมั่นคงปลอดภัย ตั้งแต่ สิทธิ์ แพตช์ การเคลื่อนไหวในเครือข่าย กำกับดูแลตาม Compliance มอนิเตอร์ภาพรวม และ ควบคุมการเปลี่ยนแปลงที่จะเกิดขึ้นในอนาคต
ถ้าต้องการคำปรึกษาเพิ่มเติม ทีม VCF Professional Services และ VMware Partners พร้อมเข้าไปทำงานร่วมกับองค์กรของคุณ ตั้งแต่การ ประเมินความปลอดภัยของระบบ ออกแบบสถาปัตยกรรมใหม่ หรือ อยากได้คนช่วยวางระบบตรวจสอบมาตรฐานอัตโนมัติ เรามีผู้เชี่ยวชาญพร้อมลงมือทำ มาช่วยกันอุดช่องโหว่ และพาระบบของคุณไปสู่จุดที่ปลอดภัยและพร้อมรับการตรวจสอบ
ติดต่อทีมงาน Broadcom หรือ ทีมงานมืออาชีพของ VST ECS (Thailand) ได้โดยตรงผ่านทีม VMwareconnect ได้ที่อีเมล VMwareconnect@vstecs.co.th
