WAF และ Firewall คืออะไร? เลือกแนวทางป้องกันเว็บไซต์ให้เหมาะกับแต่ละระบบ

เว็บไซต์เป็นช่องทางสำคัญที่ช่วยให้ลูกค้าค้นหาข้อมูล ดูสินค้า ติดต่อธุรกิจ และสั่งซื้อได้ตลอดเวลา แต่คำขอที่ส่งเข้ามาไม่ได้มาจากลูกค้าเสมอไป บางส่วนเป็นความพยายามสแกนหาช่องโหว่หรือเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ผู้ที่ดูแลความปลอดภัยจึงต้องดูแลทั้งการเชื่อมต่อเข้าสู่ระบบและข้อมูลที่ส่งมายังเว็บไซต์

เครื่องมือที่นำมาใช้ร่วมกันได้ ได้แก่ Firewall ซึ่งช่วยควบคุมการเชื่อมต่อ และ WAF ซึ่งช่วยตรวจสอบคำขอที่ส่งมายังเว็บแอปพลิเคชัน บทความนี้ Nipa Cloud จะพาไปรู้จักว่าทั้งสองอย่างนี้ทำงานอย่างไร เกี่ยวข้องกันอย่างไร และควรเลือกใช้ Self-service WAF หรือ Managed WAF ให้เหมาะกับความพร้อมขององค์กร

Firewall คือระบบรักษาความปลอดภัยที่ช่วยควบคุมการเชื่อมต่อเข้าและออกจากระบบตามกฎที่กำหนด โดย Firewall ที่กล่าวถึงในบทความนี้คือ Network Firewall ซึ่งดูแลการเชื่อมต่อเครือข่ายเป็นหลัก ผู้ดูแลสามารถกำหนดกฎจากข้อมูล เช่น IP Address, Port, Protocol และสถานะการเชื่อมต่อ เพื่อระบุว่าการเชื่อมต่อใดได้รับอนุญาตหรือควรถูกปฏิเสธ

ตัวอย่างการใช้งาน Firewall ได้แก่

• อนุญาตให้ผู้ใช้งานทั่วไปเข้าถึงเว็บไซต์ผ่าน HTTPS (Port 443) เท่านั้น
• จำกัดการเข้าถึงระบบจัดการเซิร์ฟเวอร์ (SSH, RDP) ให้เฉพาะผู้ที่ได้รับอนุญาต
• กำหนดให้ฐานข้อมูลรับการเชื่อมต่อจากเซิร์ฟเวอร์แอปพลิเคชันเท่านั้น
• ปิดหรือจำกัดพอร์ตที่ไม่จำเป็นต้องเปิดใช้งาน

การกำหนดกฎเหล่านี้ช่วยให้สามารถควบคุมได้ว่าบริการใดเปิดให้ใครเข้าถึง และลดช่องทางเชื่อมต่อที่ไม่จำเป็น ทั้งนี้ Firewall บางประเภท เช่น Next-Generation Firewall ตรวจสอบข้อมูลระดับแอปพลิเคชันได้เพิ่มเติม โดยความสามารถขึ้นอยู่กับผลิตภัณฑ์และการตั้งค่าที่ใช้งาน

แม้ Firewall จะอนุญาตให้เชื่อมต่อเว็บไซต์แล้ว ข้อมูลที่ส่งผ่านการเชื่อมต่อนั้นยังสามารถมีคำสั่งโจมตีเว็บแอปพลิเคชันได้ จึงต้องพิจารณาเครื่องมือที่ช่วยตรวจสอบคำขอเหล่านั้นเพิ่มเติมอย่าง WAF

WAF หรือ Web Application Firewall เป็น Firewall ที่ออกแบบมาสำหรับเว็บไซต์ เว็บแอปพลิเคชัน และ Web API โดยเน้นตรวจสอบคำขอ HTTP/HTTPS ที่ส่งเข้ามายังแอปพลิเคชัน เช่น URL, Header และข้อมูลในแบบฟอร์ม ก่อนดำเนินการตามกฎความปลอดภัยที่ตั้งไว้

ตัวอย่างเช่น เมื่อลูกค้าค้นหาสินค้าหรือกรอกแบบฟอร์ม ข้อมูลจะถูกส่งมายังเว็บไซต์เป็นคำขอ แม้การเชื่อมต่อจะผ่าน HTTPS แต่ข้อมูลภายในคำขอยังสามารถมีคำสั่งโจมตีได้ ตัวอย่างการโจมตีที่ WAF ช่วยตรวจจับหรือบล็อกตามกฎที่กำหนด ได้แก่

• SQL Injection: การแทรกคำสั่งผ่านข้อมูลที่แอปพลิเคชันรับเข้า เพื่อพยายามโจมตีฐานข้อมูล
• Cross-Site Scripting หรือ XSS: การแทรกสคริปต์อันตรายผ่านเว็บแอปพลิเคชัน
• Path Traversal: การพยายามเข้าถึงไฟล์หรือไดเรกทอรีนอกขอบเขตที่แอปพลิเคชันอนุญาต

ประสิทธิภาพของ WAF ขึ้นอยู่กับกฎ การตั้งค่า และลักษณะของการโจมตี จึงไม่สามารถรับประกันว่าจะตรวจจับหรือบล็อกได้ทุกกรณี นอกจากนี้ การตรวจสอบเนื้อหา HTTPS ต้องทำในจุดที่ WAF สามารถเข้าถึงข้อมูลหลังถอดรหัสได้

Firewall และ WAF สามารถใช้งานร่วมกันเพื่อดูแลความปลอดภัยในแต่ละส่วน โดย Network Firewall ช่วยควบคุมการเชื่อมต่อเข้าและออกจากเครือข่าย ส่วน WAF ช่วยตรวจสอบรายละเอียดของคำขอที่ส่งมายังเว็บแอปพลิเคชัน

ตัวอย่างเช่น เว็บไซต์ขายสินค้าใช้ Firewall อนุญาตให้ลูกค้าเข้าชมเว็บไซต์ผ่าน HTTPS พร้อมจำกัดไม่ให้บุคคลทั่วไปเชื่อมต่อกับฐานข้อมูลหรือระบบจัดการเซิร์ฟเวอร์โดยตรง ขณะเดียวกัน WAF ช่วยตรวจสอบคำขอที่ส่งผ่านช่องค้นหาสินค้า แบบฟอร์ม หรือ API หากพบข้อมูลที่ตรงกับกฎป้องกันการโจมตี ก็จะดำเนินการตามที่ตั้งค่าไว้ เช่น บล็อกคำขอนั้น

การใช้งานร่วมกันช่วยเสริมการป้องกันทั้งในส่วนของเครือข่ายและเว็บแอปพลิเคชัน ผู้ดูแลจึงควรกำหนดกฎให้สอดคล้องกับการใช้งานจริง และจำกัดช่องทางเข้าถึงเซิร์ฟเวอร์ที่ข้าม WAF เพื่อให้คำขอผ่านการตรวจสอบตามที่ออกแบบไว้ เมื่อวางแนวทางการเชื่อมต่อแล้ว ขั้นตอนต่อไปคือกำหนดว่าใครจะรับผิดชอบดูแล WAF อย่างต่อเนื่อง

การเปิดใช้งาน WAF เป็นจุดเริ่มต้นของการป้องกันเว็บไซต์ หลังจากนั้นยังต้องติดตามว่าระบบบล็อกคำขอใดไปบ้าง ส่งผลกระทบต่อผู้ใช้งานปกติหรือไม่ และต้องปรับกฎเมื่อเว็บไซต์มีการเปลี่ยนแปลงอย่างไร การเลือกใช้ Self-service WAF หรือ Managed WAF จึงขึ้นอยู่กับความพร้อมของผู้รับผิดชอบฝั่งองค์กรและระดับความช่วยเหลือที่ต้องการ

Self-service WAF: ผู้ใช้งานดูแลด้วยตนเอง

Self-service WAF เป็นแนวทางที่ผู้ใช้งานหรือทีมผู้ดูแลฝั่งองค์กรรับผิดชอบการตั้งค่า ตรวจสอบการทำงาน และปรับกฎความปลอดภัย หรือ WAF Rules ด้วยตนเอง แม้เครื่องมือจะมีกฎสำเร็จรูปหรืออัปเดตอัตโนมัติ ผู้รับผิดชอบก็ยังต้องตรวจสอบว่ากฎเหล่านั้นเหมาะกับเว็บไซต์หรือไม่

ตัวอย่างเช่น หากเพิ่มแบบฟอร์มใหม่แล้วลูกค้าส่งข้อมูลไม่ได้ ผู้รับผิดชอบฝั่งองค์กรต้องตรวจสอบว่าสาเหตุเกิดจาก WAF หรือส่วนอื่นของระบบ แนวทางนี้จึงเหมาะกับองค์กรที่มีผู้ดูแลซึ่งมีความรู้และเวลาติดตามระบบ รวมถึงต้องการควบคุมการตั้งค่าด้วยตนเอง

Managed WAF: มีผู้ให้บริการช่วยดูแล

Managed WAF เป็นบริการที่มีผู้ให้บริการช่วยตั้งค่า ปรับ WAF Rules และติดตามการทำงานตามขอบเขตที่ตกลงกัน เหมาะกับองค์กรที่ต้องการลดภาระของผู้ดูแลภายใน หรือไม่มีผู้รับผิดชอบด้านความปลอดภัยโดยเฉพาะ

องค์กรยังควรมีผู้ประสานงานที่ให้ข้อมูลเกี่ยวกับเว็บไซต์และร่วมตรวจสอบเมื่อมีการเปลี่ยนแปลง ก่อนเลือกใช้บริการจึงควรตรวจสอบให้ชัดเจนว่าผู้ให้บริการรับผิดชอบงานใดบ้าง มีช่องทางติดต่ออย่างไร และครอบคลุมการดูแลในช่วงเวลาใด

ไม่ว่าจะเลือกแนวทางใด การดูแล WAF ยังต้องทำควบคู่กับการติดตามช่องโหว่ของซอฟต์แวร์ เพราะการกรองคำขอโจมตีและการแก้ไขช่องโหว่เป็นงานที่ต้องดำเนินการร่วมกัน

CVE หรือ Common Vulnerabilities and Exposures เป็นระบบระบุช่องโหว่ที่เปิดเผยต่อสาธารณะด้วยรหัสอ้างอิง ช่วยให้ผู้พัฒนาและผู้ดูแลระบบค้นหาข้อมูลเกี่ยวกับช่องโหว่เดียวกันได้ตรงกัน หากเว็บไซต์ใช้ซอฟต์แวร์ที่มีช่องโหว่ซึ่งโจมตีผ่านคำขอ HTTP ได้ กฎ WAF ที่เหมาะสมสามารถช่วยบล็อกคำขอที่พยายามใช้ประโยชน์จากช่องโหว่นั้นระหว่างที่องค์กรเตรียมอัปเดตระบบ แนวทางนี้เรียกว่า Virtual Patching

อย่างไรก็ตาม การบล็อกคำขอไม่ได้ทำให้ช่องโหว่ในซอฟต์แวร์หายไป และ WAF ไม่สามารถป้องกันได้ทุก CVE ผลลัพธ์ขึ้นอยู่กับรูปแบบการโจมตี กฎที่ใช้ และการที่คำขอผ่าน WAF จริง ผู้ดูแลจึงยังต้องตรวจสอบเวอร์ชันที่ได้รับผลกระทบ ติดตั้งแพตช์ตามคำแนะนำของผู้พัฒนา และทดสอบระบบหลังอัปเดต

อ่านเพิ่มเติม: เมื่อ PHP, Node.js และ GitLab พบช่องโหว่พร้อมกัน องค์กรควรปรับตัวอย่างไรในยุค AI

นอกจากการใช้ Firewall, WAF และติดตามช่องโหว่แล้ว องค์กรควรดูแลส่วนอื่นของระบบให้สอดคล้องกัน เพื่อให้การป้องกันครอบคลุมการใช้งานจริง ได้แก่

• กำหนดสิทธิ์การเข้าถึง: ให้ผู้ใช้งานและระบบเข้าถึงข้อมูลหรือบริการเท่าที่จำเป็น
• ตรวจสอบเส้นทางเข้าเว็บไซต์: จำกัดช่องทางที่สามารถเข้าถึงเซิร์ฟเวอร์โดยข้าม WAF
• อัปเดตซอฟต์แวร์: ติดตามช่องโหว่และติดตั้งแพตช์ตามความเหมาะสม
• ตรวจสอบเหตุการณ์: ติดตามบันทึกการทำงานและคำขอที่ถูกบล็อก เพื่อค้นหาปัญหาหรือผลกระทบต่อผู้ใช้งาน
• สำรองข้อมูล: จัดเตรียมและทดสอบการกู้คืนข้อมูลอย่างสม่ำเสมอ
• กำหนดผู้รับผิดชอบ: ระบุผู้ดูแลและช่องทางประสานงานให้ชัดเจนเมื่อเกิดเหตุการณ์ผิดปกติ

งานเหล่านี้ต้องอาศัยทั้งเครื่องมือและเวลาของผู้รับผิดชอบ สำหรับองค์กรที่ต้องการลดภาระในการดูแล WAF สามารถเลือกใช้บริการที่มีผู้ให้บริการช่วยจัดการกฎและติดตามระบบได้

การดูแล WAF ให้เหมาะกับเว็บไซต์ต้องอาศัยทั้งการปรับกฎและติดตามการทำงานอย่างต่อเนื่อง Managed WAF Service จาก Nipa Cloud ช่วยลดภาระของผู้ดูแลฝั่งองค์กร ด้วยบริการจัดการ WAF Rules และ Monitoring ผ่าน Cloudflare ตลอด 24 ชั่วโมง พร้อมทีมสนับสนุนภาษาไทย

ผู้ดูแลสามารถติดตาม Traffic, Attack Log และ Security Event ผ่าน Dashboard โดยบริการจัดเก็บ WAF Log 90 วัน พร้อมรายงานสนับสนุนการตรวจสอบ ช่วยให้องค์กรมีข้อมูลสำหรับทบทวนเหตุการณ์และประสานงานกับทีม Nipa Cloud เมื่อพบปัญหา

• Q: ติดตั้ง WAF แล้วต้องย้ายเว็บไซต์ไปยังผู้ให้บริการใหม่หรือไม่?

  A: ไม่จำเป็นเสมอไป WAF บางรูปแบบทำงานร่วมกับเว็บไซต์ที่โฮสต์อยู่กับผู้ให้บริการเดิมได้ โดยส่งคำขอผ่าน WAF ก่อนถึงเซิร์ฟเวอร์เว็บไซต์ ทั้งนี้ ต้องตรวจสอบความเข้ากันได้ของระบบและเงื่อนไขของผู้ให้บริการที่เลือกใช้

  
  

• Q: เว็บไซต์ขนาดเล็กจำเป็นต้องใช้ WAF หรือไม่?

  A: ขนาดของเว็บไซต์ไม่ใช่ปัจจัยเดียวในการตัดสินใจ เว็บไซต์ที่มีแบบฟอร์ม ระบบสมาชิก หรือรับข้อมูลสำคัญจากผู้ใช้งานควรพิจารณา WAF โดยประเมินร่วมกับความเสี่ยง ผลกระทบหากเกิดเหตุ และงบประมาณที่มี

  
  

• Q: การติดตั้ง WAF ส่งผลต่อความเร็วเว็บไซต์หรือไม่?

  A: WAF เพิ่มขั้นตอนตรวจสอบคำขอก่อนส่งต่อไปยังเว็บไซต์ ผลต่อความเร็วขึ้นอยู่กับรูปแบบบริการ ตำแหน่งเซิร์ฟเวอร์ และการตั้งค่า หากบริการมี CDN ร่วมด้วย การแคชเนื้อหาที่เหมาะสมสามารถช่วยลดภาระเซิร์ฟเวอร์ต้นทางและเวลาในการส่งมอบเนื้อหาได้

  
  

• Q: เริ่มใช้งาน WAF ต้องแก้ไขโค้ดเว็บไซต์หรือไม่?

  A: WAF แบบ Reverse Proxy โดยทั่วไปเริ่มใช้งานผ่านการตั้งค่า DNS และการเชื่อมต่อ โดยไม่ต้องแก้ไขโค้ดเว็บไซต์ทั้งหมด อย่างไรก็ตาม ควรทดสอบฟังก์ชันสำคัญ เช่น การเข้าสู่ระบบ การส่งแบบฟอร์ม และการเรียก API เพื่อให้แน่ใจว่าทำงานได้ตามปกติ

  
  

• Q: WAF ช่วยป้องกัน DDoS ได้หรือไม่?

  A: WAF ช่วยกรองคำขอ HTTP/HTTPS ที่เข้าข่ายโจมตีเว็บไซต์ได้ ส่วน DDoS ที่มุ่งโจมตีเครือข่ายต้องใช้ระบบป้องกันร่วมด้วย โดย Managed WAF Service จาก Nipa Cloud มีความสามารถช่วยรับมือ DDoS ระดับ Layer 3/4/7 ผ่าน Cloudflare ตามขอบเขตบริการ

  
  

• Q: ควรเตรียมข้อมูลอะไรบ้างก่อนปรึกษาผู้ให้บริการ WAF?

  A: ควรเตรียมข้อมูลโดเมน ผู้ให้บริการโฮสติ้งหรือ Cloud ลักษณะเว็บไซต์และ API ปริมาณการใช้งานโดยประมาณ รวมถึงปัญหาหรือความเสี่ยงที่ต้องการแก้ไข เพื่อให้ผู้ให้บริการประเมินแนวทางติดตั้งและขอบเขตบริการได้เหมาะสม