Blast Radius + High Availability

เมื่อ Enterprise Firewall ต้องรับมือทั้ง Incident และ Failure

Network ที่รองรับการเติบโตได้ดี ไม่ได้ดูแค่ว่ารับ Traffic ได้มากขึ้นหรือไม่

อีกเรื่องที่สำคัญไม่แพ้กันคือ เมื่อจุดหนึ่งมีปัญหา ผลกระทบจะขยายไปได้ไกลแค่ไหน เมื่อองค์กรขยายตัว Network มักซับซ้อนขึ้นตามไปด้วย

จาก User ไม่กี่กลุ่ม เริ่มแยกออกเป็นหลาย Department Application ภายในเชื่อมโยงกันมากขึ้น ข้อมูลแต่ละชุดต้องการระดับการป้องกันต่างกัน ขณะที่บาง Service กลายเป็นระบบสำคัญที่องค์กรคาดหวังให้พร้อมใช้งานอย่างต่อเนื่อง Architecture ที่เคยดูแลง่ายในช่วงแรก จึงอาจเริ่มต้องรับโจทย์ที่ต่างจากตอนถูกวางไว้ตั้งแต่ต้น

สมมติว่า User เครื่องหนึ่งถูก Compromise หรือถูกเจาะจนผู้ไม่หวังดีสามารถเข้าควบคุมหรือใช้งานเครื่องนั้นได้

• — เครื่องนั้นสื่อสารกับ Finance Network ได้หรือไม่
• — เข้าถึง Internal Application ตัวไหนได้บ้าง
• — และมี Boundary หรือขอบเขตที่แบ่งแต่ละส่วนของ Network ตรงไหนคอยควบคุม Traffic ที่ไม่ควรข้ามไป

นี่คือมุมของ Blast Radius - ขอบเขตที่ผลกระทบจากเหตุการณ์หนึ่งสามารถขยายไปถึง

ใน FortiGate เราสามารถมองเรื่องนี้ผ่านกลไกอย่าง VLANs, VDOMs และ Security Policy VLAN ช่วยแบ่ง Network ออกเป็น Logical Segments เพื่อแยกกลุ่ม Traffic ก่อนกำหนดการสื่อสารระหว่างแต่ละ Segment ผ่าน Routing และ Security Policy

ส่วน VDOM (Virtual Domain) ช่วยแบ่ง FortiGate ออกเป็นหลาย Logical Domains เพื่อแยกขอบเขตการบริหารและ Security Policy ระหว่าง Environment ได้ชัดขึ้น เมื่อ Segmentation และ Policy ถูกวางให้สอดคล้องกัน ทีมจึงมีเครื่องมือช่วยควบคุมเส้นทางการสื่อสาร และลดโอกาสที่ Security Incident ในพื้นที่หนึ่งจะขยายไปยังส่วนอื่นของ Network แต่การควบคุมขอบเขตของ Incident เป็นเพียงด้านหนึ่งของโจทย์

ลองเปลี่ยนเหตุการณ์

• — คราวนี้ไม่มีเครื่องไหนถูกโจมตี แต่ FortiGate Node หลักหยุดทำงาน
• — Network ที่แบ่ง Segment ไว้อย่างดี ยังต้องตอบอีกคำถามหนึ่งให้ได้ว่า
• — Traffic จะไปทางไหนต่อ?
• — ตรงนี้คือบทบาทของ High Availability (HA)

HA ช่วยให้ FortiGate หลายอุปกรณ์ทำงานร่วมกันเป็น Cluster เพื่อเพิ่มความพร้อมใช้งานของระบบ และรองรับ Failover หรือการสลับการทำงานไปยังอุปกรณ์อีกตัวเมื่อ Node หลักมีปัญหา เพราะการมี Firewall สำรอง ไม่ได้จบแค่คำว่า “มีอีกเครื่องพร้อมใช้”

ทีมยังต้องเข้าใจว่า Cluster ทำงานอย่างไร เมื่อ Node หลักมีปัญหา ระบบจะ Failover อย่างไร และ Service สำคัญจะได้รับผลกระทบอย่างไรระหว่างการเปลี่ยนผ่าน

วางสองเหตุการณ์นี้ไว้ข้างกัน แล้วภาพของ Enterprise Firewall จะเริ่มต่างออกไป หาก Network Segment หรือพื้นที่หนึ่งของระบบเกิด Incident คำถามคือ “ผลกระทบจะหยุดตรงไหน?” หาก Firewall Node หลักเกิด Failure หรือหยุดทำงาน คำถามต่อมาคือ “ระบบจะตอบสนองอย่างไร?”

สองสถานการณ์พูดถึงคนละเรื่อง แต่ต้องถูกคิดอยู่ใน Architecture เดียวกัน Segmentation ช่วยแบ่งขอบเขตการสื่อสาร และช่วยจำกัดพื้นที่ที่ผลกระทบอาจขยายไปถึง ส่วน High Availability ช่วยเตรียมระบบให้ยังมีแนวทางรองรับเมื่ออุปกรณ์หลักเกิดปัญหา และเมื่อ Environment ใหญ่ขึ้นอีกระดับ โจทย์ก็ขยายตาม

จากการดูแล Firewall เครื่องเดียว ไปสู่ FortiGate หลายอุปกรณ์หลาย Site, Dynamic Routing, VPN ระหว่างสาขา Security Policy รวมถึง Monitoring และ Management จากศูนย์กลาง

หลักสูตร FCSS – Enterprise Firewall Administrator ถูกออกแบบมาเพื่อช่วยต่อยอดทักษะในระดับนี้

ภายในหลักสูตรจะได้ต่อยอดทั้ง Network Security Architecture, VLANs, VDOMs, High Availability และ Central Management พร้อมขยายไปสู่ Routing, VPN และการเชื่อม FortiGate หลายอุปกรณ์ในระดับ Enterprise จึงเหมาะกับผู้ที่เริ่มขยับจากการดูแล FortiGate ในระดับ Operational ไปสู่ Environment ที่ใหญ่ขึ้น ซับซ้อนขึ้น หรือมีหลาย Site ให้รับผิดชอบ

เมื่อเข้าใจการใช้งานแต่ละ Feature แล้ว ขั้นต่อไปคือการมองให้ออกว่าแต่ละส่วนเชื่อมโยงกันอย่างไรใน Environment ระดับ Enterprise ทั้งการวาง Network Boundary และ Policy ไปจนถึงการบริหาร FortiGate หลายอุปกรณ์ให้ Security, Routing, VPN และ Management ทำงานสอดคล้องกัน

สำหรับใครที่บทบาทเริ่มเปลี่ยนจาก “ตั้งค่าให้ระบบทำงาน” ไปสู่ “บริหารระบบให้รองรับทั้งการเติบโต ความซับซ้อน และ Failure ได้ดีขึ้น” FCSS – Enterprise Firewall Administrator เป็นอีกหนึ่งเส้นทางที่น่าสนใจสำหรับต่อยอดทักษะในระดับ Enterprise

สนใจต่อยอดทักษะด้าน Enterprise Firewall

ไม่ว่าจะเป็นการอบรมรายบุคคล หรือพัฒนาทีมงานในองค์กร

หากอยากพูดคุยว่าพื้นฐาน FortiGate ที่มีอยู่ ควรต่อยอดทักษะด้านไหน หรือ FCSS เชื่อมกับบทบาทที่รับผิดชอบอย่างไร ปรึกษากับทีม NTC ได้ค่ะ LINE: @NTC-LINE