SASE Framework กับ Incident Management — วิธีใช้

SASE Framework คืออะไร

SASE (Secure Access Service Edge) เป็น Framework ที่รวม Network และ Security เข้าด้วยกัน ให้บริการจาก Cloud Edge ใกล้ผู้ใช้ ประกอบด้วย SD-WAN สำหรับ Network Optimization, SWG (Secure Web Gateway) สำหรับ Web Security, CASB (Cloud Access Security Broker) สำหรับ Cloud App Security, FWaaS (Firewall as a Service) และ ZTNA (Zero Trust Network Access)

การรวม SASE กับ Incident Management ช่วยให้เห็น Security Events จากทุก Layer ใน Dashboard เดียว Automate Response ได้เร็วขึ้น ลดเวลา MTTD (Mean Time to Detect) และ MTTR (Mean Time to Respond)

SASE Policy Configuration

=== SASE Policy Configuration ===

ตัวอย่าง Zero Trust Policy สำหรับ SASE

1. Cloudflare Zero Trust — Tunnel Config

cloudflared tunnel create my-tunnel

config.yml สำหรับ cloudflared

tunnel: abc123-def456

credentials-file: /etc/cloudflared/abc123-def456.json

ingress:

• hostname: app.example.com

service: http://localhost:8080

originRequest:

noTLSVerify: false

connectTimeout: 30s

• hostname: api.example.com

service: http://localhost:3000

originRequest:

httpHostHeader: api.internal

• service: http_status:404

2. Zero Trust Access Policy (Terraform)

resource "cloudflare_access_application" "internal_app" {

zone_id = var.zone_id

name = "Internal Application"

domain = "app.example.com"

type = "self_hosted"

เนื้อหาเกี่ยวข้อง — ทำความเข้าใจ hình bình hành có đường trung bình không

session_duration = "24h"

}

resource "cloudflare_access_policy" "allow_employees" {

application_id = cloudflare_access_application.internal_app.id

zone_id = var.zone_id

name = "Allow Employees"

แนะนำเพิ่มเติม — ติดตาม XM Signal

precedence = 1

decision = "allow"

include {

email_domain = ["example.com"]

}

require {

auth_method = "mfa"

}

}

3. Firewall Rules

resource "cloudflare_firewall_rule" "block_threats" {

zone_id = var.zone_id

description = "Block known threats"

filter_id = cloudflare_filter.threats.id

เนื้อหาเกี่ยวข้อง — อ่านต่อ: Qwik Resumability CDN Configuration

action = "block"

}

resource "cloudflare_filter" "threats" {

zone_id = var.zone_id

expression = "(cf.threat_score gt 14) or (cf.bot_management.score lt 30)"

}

4. DLP Policy

• ตรวจจับ Credit Card Numbers ใน Outbound Traffic
• Block Upload ไฟล์ที่มี PII ไป Unauthorized Cloud Apps
• Alert เมื่อพบ Source Code ถูก Upload ไป GitHub Personal

5. Network Segmentation

Segment: Engineering

• Access: GitHub, AWS Console, Internal Tools
• Deny: Social Media, Personal Email

Segment: Finance

• Access: Banking Apps, ERP, Internal Tools
• Deny: Developer Tools, SSH

Segment: Guest

แนะนำเพิ่มเติม — ระบบเทรดของ iCafeForex

• Access: Internet Only (Web Browsing)
• Deny: All Internal Resources

echo "SASE Policy Configuration Examples"

echo "==================================="

echo "1. Zero Trust Tunnel: cloudflared tunnel"

echo "2. Access Policy: Email Domain + MFA"

echo "3. Firewall: Threat Score + Bot Management"

echo "4. DLP: Credit Card, PII, Source Code"

echo "5. Segmentation: Engineering, Finance, Guest"

Monitoring และ Alerting

=== SASE Monitoring Stack ===

docker-compose.yml สำหรับ SASE Monitoring

เนื้อหาเกี่ยวข้อง — บทความที่เกี่ยวข้อง: Calico Network Policy Stream Processing

version: '3.8'

services:

# Log Aggregation

elasticsearch:

image: elasticsearch:8.11.0

environment:

• discovery.type=single-node
• xpack.security.enabled=true

ports:

• "9200:9200"

volumes:

• es-data:/usr/share/elasticsearch/data

# Log Ingestion

logstash:

image: logstash:8.11.0

volumes:

• ./logstash/pipeline:/usr/share/logstash/pipeline

ports:

• "5044:5044"
• "5514:5514/udp"

# Visualization

kibana:

image: kibana:8.11.0

ports:

• "5601:5601"

environment:

• ELASTICSEARCH_HOSTS=http://elasticsearch:9200

# Alerting

elastalert:

image: jertel/elastalert2:latest

volumes:

• ./elastalert/rules:/opt/elastalert/rules

environment:

• ES_HOST=elasticsearch

volumes:

es-data:

=== ElastAlert Rules สำหรับ SASE Events ===

rules/brute_force.yaml

name: Brute Force Detection

type: frequency

index: sase-events-*

num_events: 10

timeframe:

minutes: 5

filter:

• term:

event_type: "authentication_failure"

alert:

• slack
• pagerduty

slack_webhook_url: "https://hooks.slack.com/services/xxx"

pagerduty_service_key: "xxx"

=== Prometheus Metrics สำหรับ SASE ===

เนื้อหาเกี่ยวข้อง — MLOps Pipeline Interview Preparation

prometheus.yml

scrape_configs:

• job_name: 'sase-metrics'

scrape_interval: 30s

static_configs:

• targets: ['sase-exporter:9090']

metrics_path: /metrics

Custom Metrics:

sase_events_total{component="SWG", severity="critical"} 5

sase_blocked_ips_total 42

sase_active_sessions 1500

sase_bandwidth_bytes{direction="inbound"} 1073741824

sase_policy_violations_total{policy="dlp"} 12

sase_mean_time_to_detect_seconds 45

sase_mean_time_to_respond_seconds 120

Best Practices

• Zero Trust: ตรวจสอบทุก Request ไม่ Trust อะไรโดยอัตโนมัติ ใช้ Identity-based Access
• Least Privilege: ให้สิทธิ์เท่าที่จำเป็น ทุก User ทุก Device ทุก Application
• Centralized Logging: รวม Logs จากทุก SASE Component ไว้ที่เดียว สำหรับ Investigation
• Automated Response: ใช้ SOAR Automate Response สำหรับ Events ที่รู้ Pattern
• Regular Assessment: ทบทวน Policy อย่างน้อยไตรมาสละครั้ง
• Phased Migration: Migrate จาก VPN เป็น SASE ทีละขั้น เริ่มจาก Pilot Group

SASE คืออะไร

Framework รวม Network (SD-WAN) และ Security (SWG CASB FWaaS ZTNA) เป็น Cloud-native Service ให้บริการจาก Edge ใกล้ผู้ใช้ ลด Latency เพิ่ม Security