หลายองค์กรเชื่อว่าตัวเอง “ปลอดภัยแล้ว” เพราะมี Firewall และ Antivirus ติดตั้งอยู่

แต่เมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล (Breach) ขึ้นจริง กลับพบว่าเครื่องมือที่มีอยู่ไม่เพียงพอ

สาเหตุหลักคือทีมไอทีจำนวนมากยังไม่เข้าใจความแตกต่างระหว่าง NSM, AV, IPS, IDS และ EDR — และที่สำคัญยิ่งกว่านั้นคือ ไม่เข้าใจว่าระบบเหล่านี้ควรทำงานร่วมกันอย่างไร

บทความนี้จะอธิบายแต่ละองค์ประกอบอย่างชัดเจน และแสดงให้เห็นว่าสถาปัตยกรรมความปลอดภัยยุคใหม่ควรเป็นอย่างไร

ทำไมเครื่องมือเพียงตัวเดียวไม่เพียงพอ

การโจมตีไซเบอร์ในปัจจุบันมีลักษณะดังนี้:

ใช้การเข้ารหัส (Encrypted Traffic)
เป็นแบบ Fileless
อาศัยพฤติกรรม (Behavior‑based)
ใช้เทคนิค Living-off-the-land
ออกแบบมาเพื่อหลบเลี่ยง Signature Detection

ไม่มีเครื่องมือใดเครื่องมือหนึ่งสามารถตรวจจับทั้งหมดได้

ความปลอดภัยในปัจจุบันจึงต้องอาศัยแนวคิด Layered Visibility และ Layered Control

มาดูแต่ละชั้นกัน

1. NSM (Network Security Monitoring)

ชั้นของการมองเห็น (Visibility Layer)

NSM คือระบบที่เน้นการวิเคราะห์ทราฟฟิกเครือข่ายเชิงลึก และเก็บข้อมูลระยะยาวเพื่อใช้ในการตรวจจับและสืบสวน

ต่างจาก IPS ตรงที่ NSM ไม่ได้เน้นการบล็อก แต่เน้น การเฝ้าดู บันทึก วิเคราะห์รูปแบบ และสนับสนุนการสืบสวน

เปรียบเทียบง่าย ๆ NSM คือกล้องวงจรปิดของเครือข่ายองค์กร

NSM เก็บข้อมูลอะไรบ้าง

Full packet capture (PCAP)
NetFlow / Traffic metadata
DNS logs
HTTP logs
SSL/TLS metadata
Firewall logs
IDS alerts

จุดแข็งของ NSM

ตรวจจับ Lateral Movement ภายในองค์กร
ตรวจจับ Data Exfiltration
วิเคราะห์ DNS Tunneling
สนับสนุน Digital Forensics
ให้มุมมองย้อนหลัง (Historical Visibility)

หากผู้โจมตีหลุดผ่าน Firewall และ AV ไปได้ NSM มักเป็นระบบที่ช่วยให้รู้ว่า “เกิดอะไรขึ้นจริง”

2. AV (Antivirus)

ชั้นป้องกันพื้นฐานบนเครื่องลูกข่าย

Antivirus ทำงานบน Endpoint เช่น:

Windows
macOS
Linux
Server
Workstation

ทำหน้าที่สแกนไฟล์และหน่วยความจำเพื่อหา Malware ที่รู้จักแล้ว (Signature-based)

AV ทำอะไรได้ดี

ตรวจจับ Malware ที่มี Signature
หยุด Ransomware พื้นฐาน
กักกันไฟล์อันตราย

ข้อจำกัดของ AV

ไม่เก่งกับ Fileless Attack
ตรวจจับ PowerShell Abuse ได้ยาก
ไม่เห็น Credential Dumping
ไม่เหมาะกับ Advanced Persistent Threat

AV จำเป็น แต่ไม่เพียงพอ

3. IPS (Intrusion Prevention System)

ชั้นบล็อกแบบเรียลไทม์

IPS ทำงานแบบ Inline อยู่ในเส้นทางเครือข่าย:

Internet → Firewall → IPS → Internal Network

ตรวจสอบทราฟฟิกแบบเรียลไทม์ และบล็อกกิจกรรมที่เป็นอันตราย

IPS ทำอะไรบ้าง

บล็อก IP อันตราย
ป้องกันการโจมตีช่องโหว่
Drop packet ที่น่าสงสัย
ป้องกันการติดต่อ C2 (Command & Control)

IPS คือด่านหน้าขององค์กร

แต่ IPS เน้น “ป้องกัน” มากกว่า “สืบสวนเชิงลึก”

4. IDS (Intrusion Detection System)

ชั้นแจ้งเตือน (Alerting Layer)

IDS ตรวจจับพฤติกรรมผิดปกติในเครือข่าย แต่ไม่บล็อก

ทำหน้าที่สร้าง Alert ให้ทีม SOC วิเคราะห์ต่อ

เหมือนระบบสัญญาณกันขโมย

5. EDR (Endpoint Detection & Response)

ชั้นวิเคราะห์พฤติกรรมบนเครื่องลูกข่าย

EDR คือวิวัฒนาการของ Antivirus

แทนที่จะดูแค่ไฟล์ EDR จะดู “พฤติกรรมของกระบวนการ”

EDR ตรวจจับอะไรได้

การใช้ PowerShell ผิดปกติ
Credential Dumping
Process chain ที่ผิดปกติ
เทคนิค Lateral Movement

EDR สามารถ

ตรวจจับ
บล็อก
สืบสวน
แยกเครื่องที่ติดเชื้อออกจากเครือข่าย

ถ้า AV คือยามเฝ้าประตู EDR คือพนักงานสืบสวน

ตารางเปรียบเทียบ

ระบบ	ทำงานที่	Detect	Block	ความสามารถสืบสวน	จุดโฟกัส
AV	Endpoint	Yes	Yes	ต่ำ	Malware ที่รู้จัก
EDR	Endpoint	Yes	Yes	สูง	Behavior
IDS	Network	Yes	No	ปานกลาง	Alert
IPS	Network	Yes	Yes	ปานกลาง	Prevention
NSM	Network	Yes	โดยปกติไม่	สูงมาก	Visibility
SIEM	Log Layer	Yes	No	Correlation	วิเคราะห์รวมศูนย์

สถาปัตยกรรมความปลอดภัยยุคใหม่ทำงานอย่างไร

ระบบที่ครบถ้วนจะมีหลายชั้น:

Endpoints → AV / EDR
Network → IDS / IPS
Traffic Visibility → NSM
Central Log Correlation → SIEM
Automation & Orchestration → SOAR

แต่ละชั้นช่วยปิดจุดอ่อนของอีกชั้นหนึ่ง

System Diagram (ภาพรวมการทำงานร่วมกัน)

flowchart TB
  Internet["Internet"] --> FW["Firewall"]
  FW --> IPS["IPS (Inline Blocking)"]
  IPS --> LAN["Internal Network (LAN)"]

  LAN --> EP["Endpoints / Servers"]
  EP --> AV["AV (File/Signature Protection)"]
  EP --> EDR["EDR (Behavior + Response)"]

  LAN --> IDS["IDS (Alerting)"]
  LAN --> NSM["NSM (Zeek/PCAP/Flow Visibility)"]

  FW --> SIEM["SIEM (Correlation)"]
  IPS --> SIEM
  IDS --> SIEM
  NSM --> SIEM
  AV --> SIEM
  EDR --> SIEM

  SIEM --> SOAR["SOAR (Automation/Orchestration)"]
  SOAR --> RESP["Response Actions
- Block IP / isolate host
- Create ticket
- Notify SOC
- Run playbook"]

  classDef layer fill:#fff,stroke:#999,stroke-width:1px;
  class Internet,FW,IPS,LAN,EP,AV,EDR,IDS,NSM,SIEM,SOAR,RESP layer;