Zero Trust คืออะไร ทำไมแค่ Firewall รอบนอกไม่พอ

คำว่า "zero trust" อยู่บนสไลด์ของ vendor ด้าน security แทบทุกเจ้า และมักวางคู่กับชื่อผลิตภัณฑ์ เลยทำให้หลายคนเข้าใจว่า zero trust เป็นของที่ซื้อได้ แต่ตัวแนวคิดจริง ๆ เก่ากว่า เรียบง่ายกว่า และใช้งานได้มากกว่าที่การตลาดเล่า และเอกสารที่อธิบายไว้ชัดที่สุดก็อ่านได้ฟรี นั่นคือ NIST Special Publication 800-207, Zero Trust Architecture ที่เผยแพร่เมื่อสิงหาคม พ.ศ. 2563 ครับ

บทความนี้จะพาไล่ดูว่าเอกสารนั้นพูดอะไรจริง ๆ โดยใช้ภาพเดียวตลอดทั้งเรื่อง คืออาคารสำนักงานที่มีเครื่องอ่านบัตร

ภาพแบบเดิม: มี รปภ. คนเดียวที่ล็อบบี้

ลองนึกถึงอาคารสำนักงานที่มีโต๊ะ รปภ. อยู่แค่ประตูหน้า คุณแสดงบัตรครั้งเดียวที่ล็อบบี้ แล้วหลังจากนั้นจะเดินเข้าห้องไหนก็ได้ อาคารนี้ถือว่าใครที่อยู่ข้างในแล้วย่อมเป็นคนของที่นี่ครับ

นี่คือเครือข่ายแบบ "castle and moat" แบบดั้งเดิม มี Firewall แข็งแรงตั้งอยู่ที่ขอบ และทราฟฟิกที่อยู่ข้างในแล้วจะได้รับความไว้วางใจแทบโดยอัตโนมัติ

 INTERNET           ●·      INSIDE THE PERIMETER              
               ≈≈~~ █ ┌──────────────────────────────────────┐
   ·           ≈~~~ █ │   ┌─────•┐                 ┌─────·┐  │
         .     ≈~~≈ █ │   │  HR  │                 │  DB  │  │
               ~~~≈ █ │   └──────┘                 └──────┘  │
               ~~~≈ █ │    ·········             ·······     │
   ■          ══════▒ │····         ·············            │
               ~~≈≈ █ │               ┌──────•┐              │
               ~≈≈~ █ │               │  APP  │              │
     ·         ~≈≈~ █ │               └───────┘              │
               ≈≈~~ █ │                                      │
               ≈≈~~ █ └──────────────────────────────────────┘
                FIREWALL      then no more checks             

บทนำของ NIST อธิบายว่าทำไมภาพนี้ใช้ไม่ได้อีกต่อไป องค์กรหนึ่งในทุกวันนี้อาจมีเครือข่ายภายในหลายวง มีสำนักงานสาขา มีพนักงานที่ทำงานจากนอกสถานที่และเคลื่อนที่ และมีบริการบนคลาวด์ จึงไม่มี perimeter เดียวที่ระบุได้ง่ายให้เฝ้าอีกแล้ว (SP 800-207 หัวข้อ 1) หัวข้อเดียวกันยังชี้อีกประเด็นว่า เมื่อผู้โจมตีผ่าน perimeter เข้ามาได้ ก็ไม่มีอะไรขวางการเคลื่อนที่ข้ามจากระบบหนึ่งไปอีกระบบ (lateral movement)

ถ้าเทียบกับอาคาร ก็คือพนักงานทำงานจากร้านกาแฟและจากบ้าน ตู้เอกสารครึ่งหนึ่งย้ายไปอยู่โกดังเช่าอีกฝั่งเมือง (คลาวด์) และใครที่เดินตามหลังคนอื่นผ่านล็อบบี้เข้ามาได้ก็เปิดได้ทุกประตูครับ

แนวคิดเลิกให้ความไว้ใจตามตำแหน่งในเครือข่ายก็ไม่ใช่เรื่องใหม่ SP 800-207 ย้อนที่มาไปถึงงานของ Jericho Forum เรื่อง "de-perimeterization" ในปี พ.ศ. 2547 และระบุว่าคำว่า "zero trust" ถูกตั้งขึ้นภายหลังโดย John Kindervag ขณะทำงานที่ Forrester (SP 800-207 หัวข้อ 1.1)

NIST หมายความว่าอะไร ในภาษาง่าย ๆ

NIST อธิบาย zero trust ว่าเป็นชุดแนวคิดสำหรับการตัดสินใจให้สิทธิ์เข้าถึงที่แม่นยำและเป็น least privilege ให้มากที่สุด ในระดับแต่ละคำขอ (per request) โดยมองว่าเครือข่ายถูกเจาะไปแล้ว (SP 800-207 หัวข้อ 2) ส่วน zero trust architecture คือแผนขององค์กรในการนำแนวคิดเหล่านั้นไปใช้

สองประโยคจากบทสรุปของเอกสารเองแบกน้ำหนักส่วนใหญ่ไว้ (NIST CSRC)

• ไม่มีการให้ความไว้วางใจโดยปริยาย (implicit trust) กับบัญชีผู้ใช้หรืออุปกรณ์ เพียงเพราะตำแหน่งทางกายภาพหรือตำแหน่งในเครือข่าย หรือเพียงเพราะใครเป็นเจ้าของ (องค์กรหรือตัวผู้ใช้เอง)
• การยืนยันตัวตน (authentication) และการให้สิทธิ์ (authorization) เป็นขั้นตอนแยกกันที่เกิดขึ้น ก่อน จะเปิด session กับ resource

SP 800-207 มีหลักการ (tenets) เจ็ดข้อ สรุปเป็นภาษาทั่วไปได้ดังนี้ (หัวข้อ 2.1)

1. แหล่งข้อมูลและบริการประมวลผลทุกอย่างนับเป็น resource ที่ต้องปกป้อง
2. การสื่อสารทุกอย่างต้องปลอดภัย ไม่ว่าจะเกิดที่ไหน การ "อยู่ในเครือข่ายออฟฟิศ" ไม่ได้ทำให้ไว้ใจได้มากขึ้น
3. สิทธิ์เข้าถึงให้ เป็นราย session และให้เท่าที่จำเป็น การเข้า resource หนึ่งได้ไม่ได้แปลว่าเข้าอีก resource ได้อัตโนมัติ
4. สิทธิ์เข้าถึงตัดสินด้วย dynamic policy คือดูว่าใครขอ ใช้แอปอะไร จากอุปกรณ์ไหนในสภาพใด รวมถึงสัญญาณด้านพฤติกรรมและสภาพแวดล้อมอื่น ๆ
5. องค์กรเฝ้าดูสุขภาพและ security posture ของอุปกรณ์ทุกเครื่องที่เป็นเจ้าของหรืออนุญาตให้เข้ามา ไม่มีอุปกรณ์ใดได้รับความไว้ใจโดยปริยาย
6. การยืนยันตัวตนและการให้สิทธิ์เป็นแบบ dynamic และบังคับใช้อย่างเคร่งครัดก่อนเข้าถึง และอาจตรวจซ้ำระหว่าง session ได้
7. องค์กรเก็บข้อมูลเกี่ยวกับอุปกรณ์ เครือข่าย และทราฟฟิกให้มากที่สุดเท่าที่ทำได้ แล้วนำมาปรับปรุง policy

NIST ยอมรับตรง ๆ ว่าหลักการเหล่านี้คือเป้าหมายในอุดมคติ และอาจไม่ใช่ทุกข้อที่จะทำได้เต็มรูปแบบในกลยุทธ์หนึ่ง ๆ (หัวข้อ 2.1)

กลับมาที่อาคาร zero trust คือ มีเครื่องอ่านบัตรที่ทุกประตู และเครื่องอ่านแต่ละตัวจะถามระบบกลางว่า "คนนี้ ถือบัตรใบนี้ ควรเข้าห้องนี้ตอนนี้หรือไม่" บัตรที่เปิดประตูล็อบบี้ได้ไม่ได้บอกอะไรเลยเกี่ยวกับห้องการเงินครับ

 POLICY ENGINE ●                                                
 ┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄┄ 
              ┆          FINANCE ┆            ┆                 
╔═════════════·════════════▄▄▄▄▄═·════════════·════════════════╗
║     ·       ║      ·                °       ║        ·       ║
║             █                               █                ║
║    @        █                               █                ║
║             █                               █                ║
║             ║                               ║                ║
╚═════════════╩═══════════════════════════════╩════════════════╝
                                                                
  LOBBY                 CORRIDOR                    LAB         

สามส่วนที่ทำหน้าที่ตัดสินใจ

SP 800-207 แบ่งการตัดสินใจออกเป็นส่วนเชิงตรรกะไม่กี่ส่วน (หัวข้อ 3) NIST ระบุว่าส่วนเหล่านี้ทำงานแบบ on-premises หรือเป็นบริการบนคลาวด์ก็ได้ และบาง implementation ก็รวม PE กับ PA เป็นบริการเดียว สิ่งสำคัญคือแต่ละส่วนทำหน้าที่อะไร

NIST จัด PE และ PA รวมกันเป็น policy decision point (PDP) และส่วนประกอบเหล่านี้คุยกันผ่าน control plane ที่แยกจาก data plane ที่ข้อมูลของแอปวิ่ง (หัวข้อ 3) เอกสารยังใช้สนามบินอธิบายแนวคิด "implicit trust zone" ด้วย คือทุกคนที่ผ่านจุดตรวจรักษาความปลอดภัยไปแล้วจะเดินอยู่ในพื้นที่ขึ้นเครื่องโดยได้รับความไว้ใจระดับเดียวกัน zero trust พยายามทำให้พื้นที่ที่ไว้ใจโดยปริยายนี้เล็กที่สุด ด้วยการย้ายจุดตรวจให้ใกล้ resource แต่ละตัวมากขึ้น (หัวข้อ 2)

 SUBJECT                      PEP                    RESOURCE   
                                                                
┌────────┐                  ╔═══╗                   ┌──────────┐
│  user  │                  ║▓▓▓║                   │          │
│        │─[req]────────────║▓▓▓║───────────────────│ app/data │
│ device │                  ║▓▓▓║                   │          │
└────────┘                  ╚═╤═╝                   └──────────┘
                              ┆                                 
                              ┆                                 
                              ┆                                 
                  ┌──────── PE + PA ──────┐                     
                  │  [ ] identity       ● │                     
                  │  [ ] device health    │  decision:          
                  │  [ ] context          │  pending            
                  │  [ ] data sensitivity │                     
                  └───────────────────────┘                     
                                                                
 identity + device + context + data -> one decision, one session

ส่วนที่คนมักมองข้ามคือตอนจบของวงนี้ NIST ระบุว่า PA สามารถพัก session ไว้เพื่อยืนยันตัวตนใหม่ และมีหน้าที่สั่งปิด session เมื่อหมดเวลา เมื่องานเสร็จ หรือเมื่อมี security alert (หัวข้อ 3.3) ประตูปิดตามหลังคุณ และการเข้าครั้งหน้าจะถูกตรวจใหม่อีกครั้งครับ

อะไรบ้างที่ใช้ประกอบการตัดสินใจ

แล้ว policy engine ดูอะไรบ้าง หัวข้อ "trust algorithm" ของ NIST จัดกลุ่มข้อมูลประกอบไว้แบบนี้ (หัวข้อ 3.3)

• ตัวคำขอเอง (access request): ขอ resource อะไร พร้อมรายละเอียดของผู้ขอ เช่น เวอร์ชัน OS แอปที่ใช้ และระดับ patch
• ตัวตน (subject database): ใครเป็นผู้ขอ จะเป็นคนหรือ process ก็ได้ และมี attribute กับสิทธิ์อะไรบ้าง NIST แนะนำให้กำหนดสิทธิ์ให้แต่ละ subject เป็นรายบุคคล ไม่ใช่ให้เพียงเพราะเข้ากับ role ใด role หนึ่ง
• สุขภาพอุปกรณ์ (asset database): สถานะที่รู้อยู่ของอุปกรณ์เทียบกับสิ่งที่เห็นตอนนี้ ทั้งซอฟต์แวร์ ความถูกต้องสมบูรณ์ ตำแหน่ง และระดับ patch
• ข้อกำหนดของ resource: เกณฑ์ขั้นต่ำของ resource นั้น ซึ่งอาจรวมถึงความแข็งแรงของการยืนยันตัวตนอย่าง MFA ตำแหน่งในเครือข่าย และ ความอ่อนไหวของข้อมูล (data sensitivity)
• Threat intelligence: ข้อมูลเกี่ยวกับภัยคุกคามที่กำลังเกิดขึ้น ซึ่งอาจชี้ได้ด้วยว่าอุปกรณ์เครื่องใดมีพฤติกรรมน่าสงสัย

ในภาษาอาคาร: บัตรนี้ใช้ได้และเป็นคนนี้จริงหรือไม่ (ตัวตน) แล็ปท็อปที่ถือมาอยู่ในสภาพที่รู้จักและปลอดภัยหรือไม่ (อุปกรณ์) มาในเวลาและลักษณะที่ปกติหรือไม่ (บริบท) และห้องนี้อ่อนไหวแค่ไหน (ข้อมูล) ตู้เก็บของกับห้องเซิร์ฟเวอร์ไม่ควรใช้เกณฑ์เดียวกันครับ

Maturity model ของ CISA: เป็นแผนที่เส้นทาง ไม่ใช่เช็กลิสต์

NIST อธิบายว่า zero trust คืออะไร ส่วน Cybersecurity and Infrastructure Security Agency (CISA) ของสหรัฐฯ เผยแพร่ Zero Trust Maturity Model เพื่อช่วยองค์กรประเมินว่าตัวเอง ไปถึงไหนแล้ว เวอร์ชัน 2.0 ลงวันที่เมษายน พ.ศ. 2566 (CISA ZTMM v2.0 PDF)

โมเดลนี้ประกอบด้วย ห้า pillar ได้แก่ Identity, Devices, Networks, Applications and Workloads และ Data โดยมี cross-cutting capability สามด้าน ที่ร้อยผ่านทุก pillar คือ Visibility and Analytics, Automation and Orchestration และ Governance (ZTMM v2.0 หัวข้อ 5)

แต่ละ pillar ถูกอธิบายไว้ใน สี่ระดับ สรุปคร่าว ๆ ตามคำของ CISA ได้ดังนี้

มีสองรายละเอียดในเอกสารที่ทำให้มันอ่านเหมือนแผนที่เส้นทางมากกว่าใบคะแนน CISA บอกว่าแต่ละ pillar ก้าวหน้าได้ตามจังหวะของตัวเอง ทำให้เปลี่ยนผ่านได้ทีละขั้นและกระจายค่าใช้จ่ายไปตามเวลา และยังบอกว่าองค์กรควร ประเมินสิ่งที่มีอยู่แล้ว ก่อนลงทุนในความสามารถด้าน zero trust ใหม่ ๆ (ZTMM v2.0 หัวข้อ 5) ทีมที่อยู่ระดับ "Initial" ด้าน networks แต่ "Advanced" ด้าน identity จึงเป็นผลลัพธ์ที่ปกติและตรงไปตรงมาครับ

สามความเชื่อผิด ๆ ที่ควรเลิก

"Zero trust คือผลิตภัณฑ์" NIST บอกชัดว่า zero trust ไม่ใช่ architecture เดียว แต่เป็นชุดหลักการ และการเปลี่ยนไปใช้ทำไม่ได้ด้วยการเปลี่ยนเทคโนโลยียกชุดเพียงอย่างเดียว (SP 800-207 หัวข้อ 1) ผลิตภัณฑ์ทำหน้าที่เป็น PE, PA หรือ PEP ได้ แต่ไม่มีตัวไหน เป็น กลยุทธ์นั้นเอง

"Zero trust คือไม่ไว้ใจใครเลย" เป้าหมายไม่ใช่การปฏิเสธทุกคน แต่คือการให้สิทธิ์ที่ ถูกต้อง เป็นราย session บนพื้นฐานของหลักฐาน subject ที่ได้รับอนุญาตเข้าถึงข้อมูลของตนได้ ส่วนคนอื่นเข้าไม่ได้ (SP 800-207 หัวข้อ 2) คนยังเข้าห้องที่ต้องใช้ได้ตามปกติ แค่ถูกตรวจที่ทุกประตูครับ

"เดี๋ยวไตรมาสนี้ก็ทำ zero trust เสร็จ" NIST เรียกการเปลี่ยนผ่านว่าเป็นการเดินทาง และคาดว่าองค์กรส่วนใหญ่จะใช้ zero trust ผสมกับความปลอดภัยแบบ perimeter ไปอีกนานโดยไม่มีกำหนด และอาจย้ายทีละ business process (SP 800-207 หัวข้อ 7) ระดับของ CISA ก็พูดเรื่องเดียวกันในอีกรูปแบบ

ก้าวแรกเล็ก ๆ

ถ้าอยากเริ่มวันจันทร์นี้ มีสองเรื่องที่มาจากแหล่งอ้างอิงโดยตรงครับ

1. รู้ก่อนว่ามีอะไรอยู่บ้าง NIST บอกว่าก่อน deploy zero trust องค์กรควรสำรวจ asset, subject (คนและบริการที่ขอเข้าถึง), data flow และ workflow ของตัวเอง ถ้าไม่มีข้อมูลนี้ policy engine จะปฏิเสธคำขอที่ถูกต้องเพียงเพราะข้อมูลไม่พอ และ "shadow IT" ที่ไม่มีใครรู้ยิ่งทำให้แย่ลง (SP 800-207 หัวข้อ 7.3) เราติดเครื่องอ่านบัตรให้ประตูที่ไม่รู้ว่ามีอยู่ไม่ได้

2. ทำให้ identity แข็งแรง ใน identity pillar ของ CISA การยืนยันตัวตนในระดับ Traditional ใช้รหัสผ่านหรือ MFA ระดับ Initial ใช้ MFA ระดับ Advanced เริ่มใช้ phishing-resistant MFA และระดับ Optimal ตรวจสอบตัวตนด้วย phishing-resistant MFA อย่างต่อเนื่อง ไม่ใช่แค่ตอนให้สิทธิ์ครั้งแรก (ZTMM v2.0 ตารางที่ 2) fact sheet ของ CISA เรื่องนี้อธิบายว่า MFA บางแบบเปิดช่องให้ถูกโจมตีด้วย phishing, push bombing, การใช้ช่องโหว่ของ SS7 หรือ SIM swap และระบุว่า FIDO/WebAuthn เป็นทางเลือก phishing-resistant เพียงแบบเดียวที่มีใช้กันแพร่หลาย โดยมี MFA แบบ PKI เป็นอีกรูปแบบที่ phishing-resistant (CISA, Implementing Phishing-Resistant MFA) และยังย้ำว่า MFA แบบใดก็ยังดีกว่าไม่มีเลย

วิธีรวมสองข้อนี้แบบใช้งานได้จริง: เลือกแอปสำคัญ หนึ่ง ตัว ทำรายชื่อว่าใครใช้และใช้จากอุปกรณ์ไหน แล้ววางการยืนยันตัวตนที่แข็งแรงไว้หน้าแอปนั้น นั่นคือหนึ่งประตูที่มีเครื่องอ่านบัตรที่ดี และจะสอนเราเกือบทุกอย่างที่ประตูถัดไปต้องการครับ

อ่านต่อที่ไหนดี

• NIST SP 800-207: แหล่งที่มาของทุกอย่างข้างบน อ่านไม่ยาก และหัวข้อ 3 คือหัวใจของเอกสาร
• CISA Zero Trust Maturity Model: ตารางของแต่ละ pillar ใช้ประเมินตัวเองอย่างตรงไปตรงมาได้ดี
• NIST SP 1800-35, Implementing a Zero Trust Architecture (มิถุนายน พ.ศ. 2568): National Cybersecurity Center of Excellence ของ NIST สร้างตัวอย่างการ implement 19 แบบร่วมกับผู้ร่วมงาน 24 ราย โดยสอดคล้องกับ SP 800-207
• NIST SP 800-215, Guide to a Secure Enterprise Network Landscape (พฤศจิกายน พ.ศ. 2565): zero trust network access (ZTNA) และ SASE เข้ากับเครือข่ายองค์กรสมัยใหม่อย่างไร

สรุปสั้น ๆ: เลิกไว้ใจล็อบบี้ ติดเครื่องอ่านบัตรทุกประตู และให้เครื่องอ่านแต่ละตัวถามคำถามที่มีข้อมูลครบถ้วนไปยังระบบกลางทุกครั้งที่มีคนขอเข้าครับ

แหล่งอ้างอิง

• NIST SP 800-207, Zero Trust Architecture (หน้าเผยแพร่)
• NIST SP 800-207, ฉบับเต็ม (DOI)
• CISA, Zero Trust Maturity Model (หน้าเว็บ)
• CISA, Zero Trust Maturity Model Version 2.0 (PDF, เมษายน พ.ศ. 2566)
• CISA, Implementing Phishing-Resistant MFA (fact sheet, ตุลาคม พ.ศ. 2565)
• NIST SP 1800-35, Implementing a Zero Trust Architecture
• NIST SP 800-215, Guide to a Secure Enterprise Network Landscape