Firewall คืออะไร ทำไมถึงสำคัญต่อความปลอดภัยไซเบอร์

หลังจากที่พูดคุยเกี่ยวกับ CTF มากันพอสมควรแล้ว Thailand-CTF จะขอชวนคุณมาทำความรู้จักกับระบบหนึ่งที่ช่วยให้เราใช้งานอินเทอร์เน็ตได้อย่างปลอดภัย นั่นก็คือ Firewall ที่เปรียบเสมือนปราการด่านแรกที่ช่วยป้องกันมัลแวร์และแฮกเกอร์ที่พบได้ทุกที่บนโลกอินเทอร์เน็ต ว่าแต่ระบบนี้จะช่วยป้องกันอันตรายต่างๆ ได้อย่างไร วันนี้เราจะมาเล่าให้ฟัง

Firewall คืออะไร?

Firewall (ไฟร์วอลล์) คือ ระบบรักษาความปลอดภัยเครือข่ายที่เป็นเหมือนด่านคัดกรองและควบคุมการรับส่งข้อมูลระหว่างเครือข่ายภายในที่ปลอดภัยกับโลกอินเทอร์เน็ตภายนอก ไฟร์วอลล์ไม่ได้จำกัดอยู่แค่รูปแบบใดรูปแบบหนึ่ง แต่แบ่งออกเป็นโปรแกรมซอฟต์แวร์ที่ติดตั้งประจำอยู่บนเครื่องคอมพิวเตอร์เพื่อปกป้องอุปกรณ์ส่วนบุคคล หรืออยู่ในรูปแบบเครื่องอุปกรณ์ฮาร์ดแวร์เฉพาะทางที่ติดตั้งไว้ตรงประตูใหญ่ขององค์กรเพื่อปกป้องระบบทั้งหมดในเครือข่าย โดยหัวใจสำคัญของระบบนี้คือการเป็นผู้พิทักษ์ที่คอยตรวจสอบและบล็อกสิ่งแปลกปลอมอย่างแฮกเกอร์หรือมัลแวร์ ไม่ให้แฝงตัวเข้ามาสร้างความเสียหายภายในระบบ

ปัจจุบัน Firewall ไม่ได้มีแค่รูปแบบฮาร์ดแวร์ แต่ยังมี Software Firewall และ Cloud Firewall ที่ทำงานบนระบบคลาวด์ ซึ่งช่วยให้องค์กรเลือกใช้ตามความเหมาะสมกับโครงสร้าง IT ของตนเอง

Firewall มีหน้าที่อะไร

หน้าที่หลักของ Firewall คือการควบคุมและกรองการสื่อสารข้อมูล โดยอาศัย Rules ที่ถูกกำหนดไว้ล่วงหน้า เช่น อนุญาตให้พนักงานเข้าถึงเว็บไซต์ภายใน แต่ปิดกั้นเว็บไซต์ที่เสี่ยงอันตราย นอกจากนี้ยังทำหน้าที่ป้องกันไม่ให้บุคคลภายนอกเข้ามาโจมตีระบบภายในได้ง่ายอีกด้วย สำหรับหน้าที่ของ Firewall แบ่งออกเป็น 4 ประเภทหลัก ได้แก่

1. กรองข้อมูลเข้าออก

Firewall ทำหน้าที่เหมือนด่านตรวจคนเข้าเมืองที่คอยตรวจสอบข้อมูลทุกชนิดที่วิ่งเข้าออกระหว่างเครือข่ายภายในองค์กรกับโลกภายนอก โดยระบบจะนำข้อมูลเหล่านั้นมาคัดกรองอย่างละเอียดตามกฎความปลอดภัยที่ถูกกำหนดไว้ หากพบทราฟฟิกหรือข้อมูลน่าสงสัย ไม่ได้รับอนุญาต หรือไม่ตรงตามเงื่อนไข Firewall จะบล็อกและทำลายทราฟฟิกนั้นทิ้งทันที เพื่อให้มั่นใจว่าจะมีแต่ข้อมูลที่ปลอดภัยเท่านั้นที่สัญจรผ่านเครือข่ายได้

2. ป้องกันการบุกรุก

หน้าที่นี้เป็นการยกระดับความปลอดภัยเพื่อลดโอกาสที่แฮกเกอร์จะเจาะเข้ามายังระบบภายใน โดย Firewall โดยเฉพาะรุ่นใหม่อย่าง NGFW จะทำงานร่วมกับระบบรักษาความปลอดภัยอื่น ๆ เพื่อคอยเฝ้าระวัง ตรวจจับ และสกัดกั้นพฤติกรรมการเชื่อมต่อที่ผิดปกติ เช่น การพยายามสุ่มรหัสผ่าน การแฝงตัวของมัลแวร์และไวรัสชนิดต่างๆ ก่อนที่สิ่งแปลกปลอมเหล่านี้จะเข้ามาสร้างความเสียหายหรือยึดระบบหลังบ้านขององค์กร

3. ควบคุมสิทธิ์การเข้าถึง

Firewall จะกำหนดสิทธิ์อย่างชัดเจนว่าใครหรืออุปกรณ์ใดที่จะเข้าถึงข้อมูลได้ เข้าถึงส่วนไหนได้บ้าง ให้ผู้ดูแลระบบตั้งค่ากฎเพื่อจำกัดไม่ให้บุคคลภายนอกเข้าถึงฐานข้อมูลสำคัญของบริษัท ในทางกลับกัน ก็สามารถบล็อกไม่ให้พนักงานภายในองค์กรเข้าถึงเว็บไซต์ที่เสี่ยงอันตราย ละเมิดกฎหมาย หรือไม่เกี่ยวข้องกับงาน ถือเป็นการปิดช่องโหว่ความเสี่ยงที่เกิดจากพฤติกรรมของผู้ใช้งานไปในตัว

4. บันทึกและตรวจสอบ

นอกจากจะเป็นด่านสกัดกั้นแล้ว Firewall ยังจดบันทึกเหตุการณ์ทางดิจิทัลอย่างละเอียด โดยการเก็บ Log ทุกประวัติการเชื่อมต่อ ทั้งการเข้าถึงที่ผ่านฉลุยและความพยายามในการบุกรุกที่ถูกบล็อก ข้อมูลเหล่านี้จะช่วยให้ทีมไอทีเข้ามาตรวจสอบสถานะระบบได้แบบเรียลไทม์ แถมยังใช้พยากรณ์แนวโน้มภัยคุกคามเพื่ออุดช่องโหว่ล่วงหน้า และใช้เป็นหลักฐานตรวจสอบย้อนหลังตามข้อกำหนดทางกฎหมายคุ้มครองข้อมูลส่วนบุคคลได้อีกด้วย

Firewall มีหลักการทํางานอย่างไร?

1. การดักจับข้อมูล

ทุกครั้งที่มีการรับ-ส่งข้อมูลผ่านอินเทอร์เน็ต ข้อมูลเหล่านั้นจะถูกรวมเป็นก้อนเดียวและตัดแบ่งเป็นชิ้นเล็กๆ เรียกว่า “แพ็กเก็ต” ก่อนที่แพ็กเก็ตเหล่านี้จะเดินทางเข้าสู่คอมพิวเตอร์ของเรา หรือออกจากองค์กรไปสู่อินเทอร์เน็ต Firewall จะเข้ามาดักจับข้อมูลทั้งหมดเอาไว้ตรงกลาง ไม่ปล่อยให้ผ่านออกไปทันที

2. การตรวจสอบข้อมูลตามกฎ

เมื่อดักจับแพ็กเก็ตข้อมูลไว้แล้ว Firewall จะนำข้อมูลชิ้นนั้นมาตรวจสอบอย่างละเอียด โดยเทียบกับกฎความปลอดภัย Security Rules หรือ Access Control Lists ที่ผู้ดูแลระบบตั้งไว้ล่วงหน้า สิ่งที่ Firewall ตรวจสอบจะขึ้นอยู่กับความฉลาดของแต่ละประเภท เช่น

• ตรวจสอบหัวซองข้อมูล: เช็กว่าไอพีแอดเดรสต้นทางและปลายทางว่าเป็นใคร มีหมายเลขพอร์ตไหนพยายามเชื่อมต่อเข้ามา
• ตรวจสอบสถานะ: เช็กว่าเป็นข้อมูลที่มีการร้องขอไปจริงๆ หรือเป็นข้อมูลแปลกปลอมที่จู่ๆ ก็พุ่งเข้ามาเอง
• ตรวจสอบเนื้อหาไส้ใน: แกะดูเนื้อหาและพฤติกรรมในระดับแอปพลิเคชันเพื่อมองหาโค้ดอันตรายหรือมัลแวร์ที่แฝงตัวมา

3. การตัดสินใจ

หลังจากตรวจสอบเสร็จสิ้น Firewall จะตัดสินใจจัดการกับแพ็กเก็ตข้อมูลนั้นตามกฎทันที โดยเลือกทำอย่างใดอย่างหนึ่ง เช่น อนุญาตให้ข้อมูลเดินทางผ่านเข้าหรือออกไปได้ตามปกติ เนื่องจากข้อมูลถูกต้องตามกฎและปลอดภัย, ไม่อนุญาตให้ข้อมูลผ่าน พร้อมส่งข้อความแจ้งเตือนกลับไปยังต้นทางว่าระบบถูกบล็อก หรือตัดการเชื่อมต่อและทำลายแพ็กเก็ตข้อมูลนั้นทิ้งทันทีโดยไม่มีการส่งข้อความแจ้งเตือนใดๆ กลับไป เพื่อป้องกันไม่ให้แฮกเกอร์รู้ว่าระบบมีตัวตนอยู่

4. การบันทึกประวัติ

ในระหว่างกระบวนการทั้งหมด Firewall จะบันทึกประวัติเหตุการณ์ทุกอย่างไว้ในระบบ ไม่ว่าจะเป็นประวัติการเชื่อมต่อที่ผ่านฉลุย หรือความพยายามบุกรุกที่ถูกบล็อกwx เพื่อให้ทีม Cybersecurity นำไปวิเคราะห์ ติดตามพฤติกรรมต้องสงสัย และอุดช่องโหว่ของระบบในอนาคต

4 ประเภทของ Firewall มีอะไรบ้าง?

การแบ่งประเภทของ Firewall จะแบ่งตามการใช้งาน โดย 4 ประเภทหลัก ๆ มีดังนี้ครับ

1. Packet Filtering Firewall : ตรวจสอบข้อมูลทีละแพ็กเก็ตตามกฎที่กำหนด โดยเช็กข้อมูลพื้นฐาน เช่น IP แอดเดรสต้นทาง-ปลายทาง และหมายเลขพอร์ต แม้จะทำงานไวมากแต่ไม่สามารถตรวจสอบเนื้อหาภายในแพ็กเก็ตได้
2. Stateful Inspection Firewall : วิเคราะห์การเชื่อมต่อเพื่อป้องกันการโจมตีที่ซับซ้อนขึ้น ระบบจะจดจำและตรวจสอบสถานะการเชื่อมต่อตั้งแต่เริ่มต้นจนสิ้นสุด จึงช่วยคัดกรองแพ็กเก็ตแปลกปลอมที่แฝงเข้ามาในเซสชันปกติได้อย่างแม่นยำ
3. Proxy Firewall : ทำหน้าที่เป็นตัวกลางรับส่งข้อมูลแทนผู้ใช้งานจริงเพื่อตัดการเชื่อมต่อระหว่างเครือข่ายภายในกับอินเทอร์เน็ตภายนอกโดยตรง ช่วยป้องกันตัวตนและกรองเนื้อหาในระดับแอปพลิเคชันให้ปลอดภัยที่สุด
4. Next-Generation Firewall (NGFW) : เวอร์ชันใหม่ที่รวมความสามารถด้าน Intrusion Prevention และ Application Control เป็นระบบป้องกันยุคใหม่ที่รวมข้อดีของทุกประเภทเข้าด้วยกัน พร้อมเสริมเทคโนโลยีตรวจจับการบุกรุก (IPS) และการตรวจสอบแพ็กเก็ตเชิงลึกเพื่อรับมือภัยคุกคามสมัยใหม่ได้อย่างเบ็ดเสร็จ

เพื่อให้เห็นภาพความแตกต่างของแต่ละประเภทชัดเจนขึ้น เรามีตารางเปรียบเทียบข้อมูลต่างๆ ที่คุณควรรู้เกี่ยวกับ Firewall มาฝาก

ประเภทของ Firewall	เลเยอร์ที่ตรวจสอบ	ระดับความปลอดภัย	จุดเด่น / วิธีการทำงาน	ข้อจำกัด / จุดที่ต้องพิจารณา
1. Packet Filtering	Network / Transport (Layer 3 & 4)	ต่ำ	ทำงานเร็วมาก ไม่กินทรัพยากรระบบ, ตรวจสอบเฉพาะข้อมูลพื้นฐาน เช่น IP ต้นทาง-ปลายทาง และ Port	ไม่สามารถตรวจสอบเนื้อหาข้างในแพ็กเก็ตได้ แถมยังโดนปลอมแปลง IP ง่าย
2. Stateful Inspection	Network ถึง Transport (คอยจำสถานะ)	ปานกลาง	ฉลาดกว่าประเภทแรกเพราะจำสถานะการเชื่อมต่อได้,  ตรวจสอบว่าแพ็กเก็ตที่เข้ามาเป็นส่วนหนึ่งของการเชื่อมต่อที่ปลอดภัยหรือไม่	กินทรัพยากรเครื่องมากกว่าและอาจเสี่ยงต่อการโดนโจมตีแบบ DoS/DDoS ที่มุ่งเป้าให้หน่วยความจำเต็ม
3. Proxy Firewall	Application (Layer 7)	สูง	ปลอดภัยสูงมากเพราะตัดการเชื่อมต่อระหว่างผู้ใช้กับอินเทอร์เน็ตโดยตรง ช่วยป้องกันปลอมแปลงตัวตนและกรองเนื้อหาในระดับแอปพลิเคชันได้ดี	ทำงานช้าที่สุดเนื่องจากต้องแกะข้อมูลและสร้างการเชื่อมต่อใหม่ทุกครั้ง และรองรับแอปพลิเคชันได้ค่อนข้างจำกัด
4. Next-Generation (NGFW)	Network จนถึง Application (Layer 3 – 7)	สูงมาก	รวมข้อดีของทุกประเภทเข้าด้วยกัน, มีระบบป้องกันการบุกรุกและตรวจสอบลึกถึงระดับเนื้อหาและควบคุมแอปพลิเคชันได้ละเอียดมาก	ค่าใช้จ่ายและการบำรุงรักษาสูงมากและต้องใช้บุคลากรที่มีความเชี่ยวชาญในการตั้งค่าระบบ

วิธีตั้งค่า Firewall ให้ปลอดภัยและมีประสิทธิภาพที่สุด

การตั้งค่า Firewall ภายในองค์กรนั้น ไม่ใช่แค่เปิดใช้งานระบบแล้วก็จบ แต่ต้องอาศัยการวางแผนโครงสร้างเครือข่ายอย่างเป็นระบบและกำหนดสิทธิ์การเข้าถึงอย่างรัดกุม โดยผู้ดูแลระบบต้องยึดหลักเกณฑ์ความปลอดภัยขั้นพื้นฐานที่เรียกว่า “Principle of Least Privilege” หรือการอนุญาตให้เข้าถึงเฉพาะข้อมูลที่จำเป็นต่อการใช้งานจริงเท่านั้น ซึ่งกระบวนการตั้งค่า Firewall หลักๆ ตามหลักสากล มีดังนี้

• เปลี่ยนรหัสผ่านเริ่มต้น เป็นขั้นตอนแรกที่สำคัญที่สุด โดยเปลี่ยนบัญชีผู้ใช้และรหัสผ่านของ Admin จากค่าเริ่มต้นที่มาจากโรงงานให้เป็นรหัสผ่านที่คาดเดายาก เพื่อป้องกันไม่ให้แฮกเกอร์ใช้ช่องทางนี้ล็อกอินเข้ามาควบคุม Firewall ของเรา
• กำหนดกฎการควบคุมการเข้าออก: ตั้งค่า Rules ทั้ง Inbound และ Outbound โดยบล็อกทุกทราฟฟิกไว้ก่อนเป็นค่าเริ่มต้น แล้วค่อย ๆ เปิดช่องทางเฉพาะ IP Address หรือหมายเลขพอร์ตของบริการที่จำเป็นต้องใช้งานจริง ๆ เท่านั้น
• แยกส่วนเครือข่ายให้ชัดเจน: จัดระเบียบเครือข่ายภายในโดยแบ่งกลุ่มเครื่องคอมพิวเตอร์ทั่วไปออกจากเซิร์ฟเวอร์เก็บข้อมูลสำคัญ และสร้างโซนปลอดภัยแยกต่างหากอย่าง DMZ สำหรับเซิร์ฟเวอร์ที่ต้องเปิดให้คนภายนอกเข้าถึง เพื่อไม่ให้แฮกเกอร์เจาะทะลุเข้าสู่ระบบภายในตรงๆ
• เปิดใช้งานระบบตรวจจับและป้องกัน: สำหรับองค์กรที่ใช้ Next-Generation Firewall (NGFW) ควรเปิดฟังก์ชันการตรวจสอบแพ็กเก็ตเชิงลึก ร่วมกับระบบป้องกันการบุกรุก เพื่อให้ Firewall ช่วยกรองมัลแวร์และบล็อกพฤติกรรมการโจมตีที่ซับซ้อนในระดับแอปพลิเคชัน
• เปิดระบบบันทึกประวัติและหมั่นอัปเดตเฟิร์มแวร์: ต้องเปิดระบบบันทึก Log การเชื่อมต่อทั้งหมดส่งไปยังเซิร์ฟเวอร์จัดเก็บข้อมูลเพื่อใช้ตรวจสอบย้อนหลัง พร้อมทั้งตั้งค่าอัปเดตฐานข้อมูลภัยคุกคามและเฟิร์มแวร์ของตัว Firewall อย่างสม่ำเสมอ เพื่อปิดช่องโหว่ใหม่ ๆ ที่แฮกเกอร์อาจใช้โจมตีเข้ามา

ข้อควรระวังในการใช้ Firewall ที่คุณควรรู้

แม้ว่า Firewall จะเป็นเกราะป้องกันด่านแรกที่สำคัญมาก แต่การพึ่งพา Firewall เพียงอย่างเดียวหรือการบริหารจัดการที่ผิดพลาด อาจสร้างจุดบอดให้กับระบบได้เช่นกัน สำหรับข้อควรระวังที่คุณและองค์กรควรคำนึงถึงมีดังนี้

• อย่าคิดว่า Firewall ป้องกันได้ 100%: Firewall ไม่ใช่ยาวิเศษที่กันมัลแวร์ได้ทุกชนิด หากพนักงานในองค์กรเผลอไปกดลิงก์ Phishing ในอีเมล หรือดาวน์โหลดไฟล์อันตรายเข้ามาเอง ทราฟฟิกนั้นจะถูกมองว่าเป็นการใช้งานปกติของยูสเซอร์ ซึ่ง Firewall ทั่วไปจะไม่บล็อก ดังนั้นจึงยังจำเป็นต้องมีระบบ Antivirus หรือ Endpoint Security ควบคู่ไปด้วย
• ระวังกฎที่ขัดแย้งกันเอง: เมื่อใช้งานไปนาน ๆ ผู้ดูแลระบบมักจะสร้างกฎเพิ่มขึ้นเรื่อย ๆ จนสะสมเป็นพัน ๆ ข้อ หากไม่มีการตรวจสอบ กฎใหม่อาจไปขัดแย้งหรือเปิดช่องโหว่ทับซ้อนกับกฎเก่า เช่น กฎข้อบนสั่งบล็อก แต่กฎข้อล่างสุดดันสั่งอนุญาตเพราะความสะเพร่า ก็อาจทำให้ประสิทธิภาพการประมวลผลของ Firewall ช้าลงและเกิดช่องโหว่โดยไม่รู้ตัว
• การปล่อยปละละเลยไม่ยอมอัปเดต: แฮกเกอร์มีการค้นพบช่องโหว่ใหม่ ๆ ทุกวัน หากเราไม่หมั่นอัปเดต Firmware หรืออัปเดต Signatures ของตัว Firewall เลย เพราะตัวอุปกรณ์เองนั่นแหละที่จะกลายเป็นเป้าหมายถูกเจาะระบบเสียเอง
• ช่องโหว่จากทราฟฟิกที่เข้ารหัส: ปัจจุบันเว็บไซต์และบริการส่วนใหญ่เปลี่ยนไปใช้การเข้ารหัสแบบ HTTPS (SSL/TLS) เกือบหมดแล้ว ถ้าเราไม่ได้ตั้งค่าให้ Firewall ถอดรหัสเพื่อตรวจสอบไส้ในอย่าง SSL Inspection สิ่งที่ Firewall เห็นจะเป็นเพียงข้อมูลที่ถูกล็อกกุญแจไว้ ทำให้แฮกเกอร์แอบส่งมัลแวร์ผ่านทราฟฟิกที่เข้ารหัสข้ามผ่านด่านตรวจไปได้ง่ายขึ้น
• ภัยคุกคามจากภายใน (Insider Threats): ตามหลักการทำงาน Firewall จะเน้นคัดกรองทราฟฟิกที่วิ่งเข้าออกจากภายนอกสู่ภายใน แต่ถ้าภัยคุกคามเกิดจากคนในองค์กรเอง เช่น พนักงานเสียบแฟลชไดรฟ์ที่มีไวรัส หรือจงใจขโมยข้อมูลส่งหากันเองภายในวง LAN Firewall จะไม่สามารถป้องกันในส่วนนี้ได้เลย

ถึงแม้ Firewall จะช่วยป้องกันได้ระดับหนึ่ง แต่เพื่อให้ทีมงานเข้าใจการโจมตีจริง ๆ หลายองค์กรเลือกใช้ การแข่งขัน CTF (Capture The Flag) เป็นกิจกรรมฝึกฝนทักษะ โดยจำลองสถานการณ์การเจาะระบบ ทำให้ทีม IT Security ได้เห็นทั้งมุมมองผู้โจมตีและผู้ป้องกัน ซึ่งช่วยยกระดับการใช้ Firewall และการตั้งค่าให้รัดกุมยิ่งขึ้น เพราะเรื่อง “คน” ยังเป็นสิ่งที่สำคัญที่สุด ถึงแม้ระบบดีเท่าไหร่ แต่ทีมงานขาดฝีมือก็ทำให้องค์กรอยู่ในความเสี่ยงอยู่ดี