SASE Security Career Development IT —

SASE คืออะไรและเปลี่ยนแปลง Network Security อย่างไร

SASE (Secure Access Service Edge) เป็น framework ที่ Gartner นิยามในปี 2019 รวม network services (SD-WAN) เข้ากับ cloud-delivered security services ในแพลตฟอร์มเดียว แทนที่จะมี firewall, proxy, VPN แยกกันหลายตัว SASE รวมทุกอย่างเป็น cloud service เดียวที่ให้บริการจาก edge locations ทั่วโลก

เหตุผลที่ SASE เกิดขึ้นเพราะรูปแบบการทำงานเปลี่ยนไป พนักงานทำงานจากที่ไหนก็ได้ applications อยู่บน cloud ไม่ได้อยู่ใน data center อีกต่อไป การส่ง traffic กลับมาผ่าน corporate firewall (backhauling) ทำให้ช้าและไม่มีประสิทธิภาพ SASE แก้ปัญหานี้โดยให้ security enforcement อยู่ใกล้กับผู้ใช้และ applications มากที่สุด

SASE ประกอบด้วย 2 ส่วนหลักคือ Network-as-a-Service ที่รวม SD-WAN, WAN Optimization, CDN และ Security-as-a-Service ที่รวม ZTNA (Zero Trust Network Access), SWG (Secure Web Gateway), CASB (Cloud Access Security Broker), FWaaS (Firewall as a Service) และ DLP (Data Loss Prevention)

ผู้ให้บริการ SASE หลักได้แก่ Zscaler ที่เน้น security-first approach, Palo Alto Prisma Access ที่รวม NGFW capabilities, Cloudflare One ที่เน้น developer-friendly, Netskope ที่เน้น CASB และ data protection และ Cisco Umbrella/Meraki ที่เน้น enterprise networking

องค์ประกอบหลักของ SASE Architecture

รายละเอียดแต่ละองค์ประกอบของ SASE

SASE Architecture Components

┌────────────────────────────────────────────────┐

│ SASE Platform │

│ │

│ ┌──────────┐ ┌──────────┐ ┌──────────┐ │

│ │ SD-WAN │ │ ZTNA │ │ SWG │ │

เนื้อหาเกี่ยวข้อง — ทำความเข้าใจ bitazza ดีไหม pantip

│ └──────────┘ └──────────┘ └──────────┘ │

│ ┌──────────┐ ┌──────────┐ ┌──────────┐ │

│ │ CASB │ │ FWaaS │ │ DLP │ │

│ └──────────┘ └──────────┘ └──────────┘ │

แนะนำเพิ่มเติม — บทวิเคราะห์จาก XM Signal

│ │

│ ┌─────────────────────────────────────────┐ │

│ │ Identity & Context Engine │ │

│ │ (User, Device, Location, Risk Score) │ │

│ └─────────────────────────────────────────┘ │

└────────────────────────────────────────────────┘

1. SD-WAN (Software-Defined WAN)

เนื้อหาเกี่ยวข้อง — ทำความเข้าใจ Non Farm คืออะไร — ทำความเข้าใจตัวเลข Non-Farm

• เชื่อมต่อ branches, data centers, cloud
• Intelligent path selection
• Application-aware routing
• WAN optimization

2. ZTNA (Zero Trust Network Access)

• แทนที่ VPN แบบเดิม
• ไม่เชื่อถือใครโดยอัตโนมัติ
• Verify identity + device + context ทุกครั้ง
• Least privilege access
• Micro-segmentation

3. SWG (Secure Web Gateway)

• กรอง web traffic
• URL filtering, SSL inspection
• Malware detection
• Content filtering

4. CASB (Cloud Access Security Broker)

• Visibility สำหรับ SaaS apps
• Shadow IT detection
• Data protection ใน cloud apps
• Compliance monitoring

5. FWaaS (Firewall as a Service)

• Cloud-based firewall
• L3-L7 inspection
• IPS/IDS capabilities
• DNS security

6. DLP (Data Loss Prevention)

• ตรวจจับข้อมูลสำคัญที่กำลังรั่วไหล
• Pattern matching (credit card, SSN, etc.)
• Policy enforcement
• Encryption enforcement

ตั้งค่า Zero Trust Network Access (ZTNA)

ตั้งค่า ZTNA ด้วย Cloudflare Zero Trust

แนะนำเพิ่มเติม — iCafeForex

# ติดตั้ง Cloudflare WARP Client (สำหรับ endpoint)

# Linux

curl -fsSL https://pkg.cloudflareclient.com/pubkey.gpg | sudo gpg --dearmor -o /usr/share/keyrings/cloudflare-warp-archive-keyring.gpg

echo "deb [signed-by=/usr/share/keyrings/cloudflare-warp-archive-keyring.gpg] https://pkg.cloudflareclient.com/ $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/cloudflare-client.list

sudo apt update && sudo apt install cloudflare-warp -y



# Register device

warp-cli registration new

warp-cli connect



# ตั้งค่า Cloudflare Tunnel (แทน VPN)

# ติดตั้ง cloudflared

sudo apt install cloudflared -y



# Login

cloudflared tunnel login



# สร้าง Tunnel

cloudflared tunnel create my-corp-tunnel

# Created tunnel my-corp-tunnel with id abc-123-def



# ตั้งค่า config.yml

cat > ~/.cloudflared/config.yml << 'EOF'

tunnel: abc-123-def

credentials-file: /root/.cloudflared/abc-123-def.json



ingress:

  # Internal web app

  - hostname: app.corp.example.com

    service: http://localhost:8080

    originRequest:

      noTLSVerify: true



  # SSH access

  - hostname: ssh.corp.example.com

    service: ssh://localhost:22



  # RDP access

  - hostname: rdp.corp.example.com

    service: rdp://localhost:3389



  # Database (PostgreSQL)

  - hostname: db.corp.example.com

    service: tcp://localhost:5432



  # Catch-all

  - service: http_status:404

EOF



# Route DNS

cloudflared tunnel route dns abc-123-def app.corp.example.com

cloudflared tunnel route dns abc-123-def ssh.corp.example.com



# Run tunnel

cloudflared tunnel run my-corp-tunnel



# ตั้งค่า Access Policies (ผ่าน Cloudflare Dashboard หรือ API)

# curl -X POST "https://api.cloudflare.com/client/v4/accounts/{account_id}/access/apps" \

#   -H "Authorization: Bearer $CF_TOKEN" \

#   -H "Content-Type: application/json" \

#   -d '{

#     "name": "Internal App",

#     "domain": "app.corp.example.com",

#     "type": "self_hosted",

#     "session_duration": "24h",

#     "policies": [{

#       "name": "Allow employees",

#       "decision": "allow",

#       "include": [{"email_domain": {"domain": "example.com"}}],

#       "require": [{"login_method": {"id": "google-oauth"}}]

#     }]

#   }'



# ติดตั้ง Tunnel เป็น systemd service

sudo cloudflared service install

sudo systemctl enable cloudflared

sudo systemctl start cloudflared

สร้าง SASE Policy Engine ด้วย Python

สร้าง policy engine สำหรับ SASE access decisions

#!/usr/bin/env python3

# sase_policy.py — SASE Policy Engine

import json

from datetime import datetime

from dataclasses import dataclass

from enum import Enum

from typing import Optional



class Decision(Enum):

    ALLOW = "allow"

    DENY = "deny"

    MFA_REQUIRED = "mfa_required"

    ISOLATE = "isolate"  # Browser isolation



@dataclass

class AccessRequest:

    user_email: str

    user_groups: list

    device_type: str        # managed, byod, unknown

    device_os: str

    device_compliant: bool  # EDR installed, patched, etc.

    source_ip: str

    source_country: str

    destination: str        # URL or app name

    destination_category: str  # saas, internal, internet

    risk_score: float       # 0.0 - 1.0

    timestamp: datetime

    mfa_completed: bool



class SASEPolicyEngine:

    def __init__(self):

        self.policies = []

        self._load_default_policies()



    def _load_default_policies(self):

        # Policy 1: Block high-risk countries

        self.policies.append({

            "name": "geo-block",

            "priority": 100,

            "condition": lambda r: r.source_country in ["CN", "RU", "KP", "IR"],

            "decision": Decision.DENY,

            "reason": "Access from restricted country",

        })



        # Policy 2: Require MFA for unmanaged devices

        self.policies.append({

            "name": "byod-mfa",

            "priority": 90,

            "condition": lambda r: r.device_type == "byod" and not r.mfa_completed,

            "decision": Decision.MFA_REQUIRED,

            "reason": "MFA required for BYOD devices",

        })



        # Policy 3: Block non-compliant devices from internal apps

        self.policies.append({

            "name": "compliance-check",

            "priority": 85,

            "condition": lambda r: (

                not r.device_compliant and

                r.destination_category == "internal"

            ),

            "decision": Decision.DENY,

            "reason": "Non-compliant device cannot access internal resources",

        })



        # Policy 4: Browser isolation for risky URLs

        self.policies.append({

            "name": "risky-isolation",

            "priority": 80,

            "condition": lambda r: r.risk_score > 0.7 and r.destination_category == "internet",

            "decision": Decision.ISOLATE,

            "reason": "High-risk browsing session isolated",

        })



        # Policy 5: Allow managed devices to internal apps

        self.policies.append({

            "name": "managed-internal",

            "priority": 50,

            "condition": lambda r: (

                r.device_type == "managed" and

                r.device_compliant and

                r.destination_category in ["internal", "saas"]

            ),

            "decision": Decision.ALLOW,

            "reason": "Managed compliant device allowed",

        })



        # Policy 6: After-hours access requires MFA

        self.policies.append({

            "name": "after-hours-mfa",

            "priority": 70,

            "condition": lambda r: (

                (r.timestamp.hour < 7 or r.timestamp.hour > 20) and

                not r.mfa_completed

            ),

            "decision": Decision.MFA_REQUIRED,

            "reason": "MFA required for after-hours access",

        })



    def evaluate(self, request: AccessRequest) -> dict:

        sorted_policies = sorted(self.policies, key=lambda p: p["priority"], reverse=True)



        for policy in sorted_policies:

            if policy["condition"](request):

                return {

                    "decision": policy["decision"].value,

                    "policy": policy["name"],

                    "reason": policy["reason"],

                    "timestamp": datetime.now().isoformat(),

                }



        # Default deny

        return {

            "decision": Decision.DENY.value,

            "policy": "default-deny",

            "reason": "No matching allow policy",

            "timestamp": datetime.now().isoformat(),

        }



# ทดสอบ

engine = SASEPolicyEngine()

req = AccessRequest(

    user_email="john@example.com",

    user_groups=["engineering"],

    device_type="managed",

    device_os="macOS",

    device_compliant=True,

    source_ip="203.0.113.50",

    source_country="TH",

    destination="https://app.internal.example.com",

    destination_category="internal",

    risk_score=0.1,

    timestamp=datetime.now(),

    mfa_completed=True,

)

result = engine.evaluate(req)

print(json.dumps(result, indent=2))

เส้นทางอาชีพสาย SASE และ Cloud Security

Certification และ skills ที่ต้องมีสำหรับสาย SASE/Cloud Security

เส้นทางอาชีพ SASE / Cloud Security

=== Level 1: Foundation (0-2 ปี) ===

เนื้อหาเกี่ยวข้อง — ทำความเข้าใจ Shopify Hydrogen Site Reliability SRE — คู่มือฉบับสมบูรณ์ 2026

ตำแหน่ง: SOC Analyst, Network Security Engineer (Junior)

เงินเดือน: 25,000-50,000 บาท/เดือน

Skills:

• TCP/IP, DNS, HTTP/HTTPS fundamentals
• Firewall (iptables, pf, Windows Firewall)
• VPN (IPSec, WireGuard, OpenVPN)
• Basic Linux administration
• SIEM basics (Splunk, ELK)

Certifications:

• CompTIA Security+
• CompTIA Network+
• Cisco CCNA

=== Level 2: Intermediate (2-5 ปี) ===

ตำแหน่ง: Cloud Security Engineer, SASE Administrator

เงินเดือน: 50,000-100,000 บาท/เดือน

Skills:

• Cloud platforms (AWS, Azure, GCP)
• Identity management (Okta, Azure AD, Keycloak)
• SASE platforms (Zscaler, Prisma Access, Cloudflare)
• Zero Trust architecture design
• Infrastructure as Code (Terraform)
• Container security (Kubernetes, Docker)

Certifications:

• CCSP (Certified Cloud Security Professional)
• AWS Security Specialty
• Azure Security Engineer (AZ-500)
• Zscaler Certified Cloud Security Administrator

=== Level 3: Senior (5-10 ปี) ===

ตำแหน่ง: Security Architect, SASE Architect

เงินเดือน: 100,000-200,000 บาท/เดือน

Skills:

• Enterprise security architecture
• SASE/SSE platform design
• Threat modeling
• Security automation (SOAR)
• Compliance frameworks (ISO 27001, SOC 2, NIST)
• Vendor evaluation and PoC

Certifications:

• CISSP
• CISM
• SABSA (Security Architecture)
• Palo Alto PCNSE

=== Level 4: Leadership (10+ ปี) ===

ตำแหน่ง: CISO, VP of Security, Security Director

เงินเดือน: 200,000+ บาท/เดือน

เนื้อหาเกี่ยวข้อง — ดูเพิ่มเติมเรื่อง อุปกรณ์จัดเก็บข้อมูลถาวรssd hard disk driveประเภทm2 คือ — คู่มือฉบับสมบูรณ์ 2026

Skills:

• Risk management
• Security strategy and roadmap
• Budget planning
• Board-level communication
• Incident response leadership
• Regulatory compliance

Lab Setup สำหรับฝึก SASE Skills

สร้าง lab environment สำหรับฝึกฝน SASE concepts

# docker-compose.yml — SASE Lab Environment

version: '3.8'



services:

  # Simulated internal web app

  internal-app:

    image: nginx:alpine

    volumes:

      - ./internal-app:/usr/share/nginx/html

    networks:

      - corp-net



  # Identity Provider (Keycloak)

  keycloak:

    image: quay.io/keycloak/keycloak:24.0

    command: start-dev

    environment:

      KEYCLOAK_ADMIN: admin

      KEYCLOAK_ADMIN_PASSWORD: admin

    ports:

      - "8080:8080"

    networks:

      - corp-net



  # Reverse Proxy with Auth (simulates ZTNA)

  auth-proxy:

    image: quay.io/oauth2-proxy/oauth2-proxy:latest

    environment:

      OAUTH2_PROXY_PROVIDER: keycloak-oidc

      OAUTH2_PROXY_CLIENT_ID: sase-lab

      OAUTH2_PROXY_CLIENT_SECRET: sase-lab-secret

      OAUTH2_PROXY_OIDC_ISSUER_URL: http://keycloak:8080/realms/sase-lab

      OAUTH2_PROXY_REDIRECT_URL: http://localhost:4180/oauth2/callback

      OAUTH2_PROXY_UPSTREAMS: http://internal-app:80

      OAUTH2_PROXY_EMAIL_DOMAINS: "*"

      OAUTH2_PROXY_COOKIE_SECRET: $(openssl rand -hex 16)

    ports:

      - "4180:4180"

    depends_on:

      - keycloak

      - internal-app

    networks:

      - corp-net



  # DNS filtering (simulates SWG)

  pihole:

    image: pihole/pihole:latest

    environment:

      TZ: Asia/Bangkok

      WEBPASSWORD: admin

    ports:

      - "53:53/tcp"

      - "53:53/udp"

      - "8888:80"

    volumes:

      - pihole-data:/etc/pihole

    networks:

      - corp-net



  # SIEM (simulates security monitoring)

  wazuh:

    image: wazuh/wazuh-manager:latest

    ports:

      - "1514:1514/udp"

      - "1515:1515"

      - "55000:55000"

    networks:

      - corp-net



networks:

  corp-net:

    driver: bridge

    ipam:

      config:

        - subnet: 172.20.0.0/16



volumes:

  pihole-data:



# Lab Exercises:

# 1. ตั้งค่า Keycloak realm และ OIDC client

# 2. ตั้งค่า OAuth2 Proxy เป็น ZTNA gateway

# 3. ทดสอบ access policies (allow/deny based on user group)

# 4. ตั้งค่า Pi-hole เป็น DNS filter (block malicious domains)

# 5. ตั้งค่า Wazuh สำหรับ security event monitoring

# 6. สร้าง policy engine ที่ตรวจสอบ device compliance

FAQ คำถามที่พบบ่อย

Q: SASE กับ SSE ต่างกันอย่างไร?

A: SSE (Security Service Edge) เป็นส่วน security ของ SASE ไม่รวม SD-WAN ประกอบด้วย ZTNA, SWG, CASB และ FWaaS ส่วน SASE รวมทั้ง networking (SD-WAN) และ security (SSE) เข้าด้วยกัน องค์กรที่มี SD-WAN อยู่แล้วอาจเลือกใช้ SSE เพิ่มเติมแทนที่จะเปลี่ยนไป SASE ทั้งหมด

Q: SASE แทนที่ VPN ได้จริงหรือ?

A: ZTNA ที่เป็นส่วนหนึ่งของ SASE สามารถแทนที่ VPN ได้สำหรับ use case ส่วนใหญ่ ZTNA ดีกว่า VPN ตรงที่ให้ access เฉพาะ application ที่จำเป็น (least privilege) ไม่ได้ให้ access ทั้ง network เหมือน VPN ทำให้ลด attack surface แต่บาง legacy applications อาจยังต้องใช้ VPN อยู่

Q: เริ่มเรียน SASE ควรเริ่มจากอะไร?

A: เริ่มจากเข้าใจ networking fundamentals (TCP/IP, DNS, HTTP) และ security basics (firewall, encryption, authentication) จากนั้นเรียน cloud platforms (AWS/Azure) และ identity management ทดลองใช้ Cloudflare Zero Trust ที่มี free tier สำหรับ 50 users และศึกษา Zero Trust architecture จาก NIST SP 800-207

Q: Certification ไหนคุ้มค่าที่สุดสำหรับสาย SASE?

A: สำหรับ foundation เริ่มจาก CompTIA Security+ เพราะครอบคลุมพื้นฐาน security ทั้งหมด จากนั้น CCSP สำหรับ cloud security โดยเฉพาะ สำหรับ vendor-specific ดู Zscaler หรือ Palo Alto certifications ที่ตรงกับ platform ที่องค์กรใช้ CISSP เหมาะสำหรับ senior level ที่ต้องการ architect-level certification