CSPM คืออะไร ตรวจ Misconfiguration บนคลาวด์

CSPM (Cloud Security Posture Management หรือการจัดการสถานะความปลอดภัยของคลาวด์) คือการตรวจการตั้งค่าของบัญชีและทรัพยากรบนคลาวด์อย่างต่อเนื่อง เพื่อหา misconfiguration (การตั้งค่าที่ผิดหรือไม่ปลอดภัย) แล้วแจ้งให้แก้ไข ตามหลัก แบบจำลองความรับผิดชอบร่วมกันบนคลาวด์ การตั้งค่าส่วนนี้เป็นหน้าที่ของลูกค้า บทความนี้อธิบายว่า CSPM ทำงานอย่างไร ใช้เกณฑ์ตรวจอะไร และมีขอบเขตแค่ไหน

Misconfiguration คืออะไร

Misconfiguration คือการตั้งค่าที่ทำให้ทรัพยากรบนคลาวด์เปิดกว้างเกินไปหรือขาดการป้องกัน ผู้ให้บริการเตรียมระบบไว้ให้ แต่ลูกค้าเป็นผู้ตั้งค่า ตัวอย่างต่อไปนี้มาจากรายการตรวจของ CIS AWS Foundations Benchmark (CIS คือ Center for Internet Security องค์กรที่ออกแนวทางตั้งค่าความปลอดภัย) ตามที่แสดงไว้ในเอกสารของ AWS Security Hub:

• พื้นที่เก็บข้อมูลเปิดสาธารณะ: ไม่ได้เปิด S3 block public access (ตัวกันไม่ให้คนทั่วไปเข้าถึงไฟล์ใน S3 ซึ่งเป็นพื้นที่เก็บไฟล์ของ AWS)
• พอร์ตดูแลระบบเปิดกว้าง: security group (ตัวกรองทราฟฟิกของเครื่องเสมือน) อนุญาตทราฟฟิกจากทุกที่ (0.0.0.0/0) เข้าพอร์ต (ช่องทางเชื่อมต่อของเครื่อง) สำหรับดูแลระบบ เช่น 22 และ 3389
• บัญชีผู้ดูแลสูงสุดไม่ป้องกัน: root user (บัญชีที่มีสิทธิ์สูงสุดของบัญชี AWS) ไม่ได้เปิด MFA (การยืนยันตัวตนหลายขั้นตอน) หรือยังมี access key (กุญแจสำหรับเรียกใช้งาน AWS ผ่านโปรแกรม) อยู่
• ไม่บันทึกกิจกรรม: ไม่ได้เปิด CloudTrail (บริการบันทึกกิจกรรมของบัญชี AWS)
• ไม่เข้ารหัสข้อมูลโดยค่าเริ่มต้น: ไม่ได้เปิดการเข้ารหัสดิสก์ EBS (ดิสก์ของเครื่องเสมือน AWS) เป็นค่าเริ่มต้น

ข้อสังเกตของเราเอง ไม่ใช่ข้อมูลจากแหล่งอ้างอิง: การตั้งค่าเหล่านี้พลาดได้ง่าย เพราะคลาวด์สร้างทรัพยากรได้เร็ว และมีหลายบัญชี หลายภูมิภาค (region) จึงต้องใช้เครื่องมือตรวจ แทนการเปิดดูทีละรายการ ส่วนเอกสารของ NSA (หน่วยงานความมั่นคงของสหรัฐฯ) เรื่องความรับผิดชอบร่วมกัน ระบุว่า misconfiguration และการขาดมาตรการเป็นความเสี่ยงสำคัญบนคลาวด์ (ตามสรุปของแหล่งรอง เราอ่านฉบับเต็มไม่ได้)

CSPM ทำอะไรบ้าง

CSPM ของผู้ให้บริการและผู้ผลิตแต่ละรายไม่เหมือนกัน เราไม่ได้อ้างคำนิยามกลางจากหน่วยงานใด จึงสรุปจากเอกสารของ Microsoft Defender for Cloud และ AWS Security Hub CSPM ซึ่งตรงกันในงานหลักห้าอย่างนี้:

• ทำบัญชีรายการทรัพยากร: ค้นหาว่ามีบัญชี เครื่อง ฐานข้อมูล และพื้นที่เก็บข้อมูลอะไรบ้าง
• ตรวจเทียบเกณฑ์: เทียบการตั้งค่ากับมาตรฐาน เช่น CIS Benchmark
• แจ้งข้อเสนอแนะ: บอกว่าทรัพยากรใดไม่ผ่าน และควรแก้อย่างไร
• จัดลำดับความเสี่ยง: ชี้ว่าเรื่องใดควรแก้ก่อน
• ช่วยแก้และส่งงานต่อ: ส่งเรื่องให้เจ้าของ หรือแก้บางรายการให้อัตโนมัติ

ความสามารถต่างกันตามผลิตภัณฑ์และแผนที่ซื้อ ตัวอย่างเช่น เอกสารของ Microsoft แยก Foundational CSPM (ไม่มีค่าใช้จ่าย) ออกจาก Defender CSPM (เสียเงิน) ในแผนเสียเงินมี attack path analysis (การวิเคราะห์เส้นทางโจมตี คือการดูว่าผู้โจมตีใช้จุดอ่อนหลายจุดต่อกัน จนเข้าถึงทรัพยากรสำคัญได้อย่างไร) และการจัดลำดับความเสี่ยง (ตามเอกสารที่เราอ่านเมื่อ 27 ตุลาคม 2026) ควรเทียบความสามารถก่อนเลือกใช้

เกณฑ์ที่ใช้เป็นมาตรฐานตรวจ

CSPM ต้องมีเกณฑ์ว่าการตั้งค่าแบบไหนถือว่าดี CIS เรียก CIS Benchmarks ว่าเป็นแนวทางตั้งค่าที่ไม่ผูกกับผู้ผลิตรายใด จัดทำจากความเห็นพ้องของผู้เชี่ยวชาญ แต่ละชุดมีโปรไฟล์ให้เลือกสองระดับ Level 1 เป็นข้อแนะนำพื้นฐานที่ทำได้ค่อนข้างเร็ว Level 2 เป็นการป้องกันหลายชั้นสำหรับสภาพแวดล้อมที่ความปลอดภัยสำคัญมาก CIS เตือนว่าถ้านำ Level 2 ไปใช้โดยไม่ระวัง อาจกระทบการทำงานของระบบ

เกณฑ์ที่พบบ่อยมีดังนี้:

• CIS Foundations Benchmarks ของแต่ละคลาวด์: หน้า CIS ที่เราอ่านแสดงรุ่นล่าสุดคือ AWS Foundations 7.1.0, Azure Foundations 6.0.0 และ Google Cloud Platform Foundation 5.0.0 และยังมีของ Oracle และ Alibaba Cloud ด้วย
• CSA Cloud Controls Matrix (CCM): ชุดมาตรการด้านความปลอดภัยคลาวด์ที่ CSA (Cloud Security Alliance หน่วยงานที่เผยแพร่แนวปฏิบัติด้านความปลอดภัยคลาวด์) เผยแพร่ รุ่น 4.1 มี 197 control objectives (วัตถุประสงค์ของมาตรการ) ใน 17 หมวด ระบุบทบาทของผู้ให้บริการกับลูกค้า และเทียบเคียงกับมาตรฐานอย่าง ISO, NIST และ PCI (มาตรฐานความปลอดภัยข้อมูลบัตรชำระเงิน)
• เกณฑ์ของผู้ให้บริการเอง: เช่น Microsoft Cloud Security Benchmark ที่ Defender for Cloud ใช้ตรวจ

อย่าเข้าใจว่าเครื่องมือตรวจได้ครบทุกข้อ เอกสารของ AWS Security Hub CSPM ระบุว่าเครื่องมือไม่รองรับทุกข้อกำหนดของ CIS ในทุกรุ่น และหลายข้อต้องให้คนตรวจเองเท่านั้น เครื่องมือรองรับ CIS AWS Foundations Benchmark รุ่น 5.0.0, 3.0.0, 1.4.0 และ 1.2.0 ซึ่งเก่ากว่ารุ่น 7.1.0 ที่หน้า CIS แสดงอยู่ จึงควรตรวจว่าเครื่องมือที่ใช้รองรับเกณฑ์รุ่นใด

ขอบเขตและข้อจำกัดของ CSPM

• ตรวจการตั้งค่า ไม่ได้จับผู้โจมตีขณะลงมือ: CSPM บอกได้ว่าประตูเปิดอยู่ แต่ไม่ได้บอกว่ามีคนเดินเข้ามาแล้วหรือยัง (ข้อสังเกตของเราเอง) การเฝ้าดูเหตุการณ์ต้องใช้บันทึกกิจกรรมและการตรวจจับอีกชั้นหนึ่ง
• ครอบคลุมเท่าที่เกณฑ์และเครื่องมือรองรับ: ผลที่ผ่านทั้งหมดไม่ได้แปลว่าปลอดภัยทั้งหมด เพราะบางข้อต้องให้คนตรวจเอง
• ไม่ได้มาแทนเจ้าของ: เครื่องมือแจ้งปัญหา แต่ลูกค้าเป็นผู้ตัดสินใจและแก้ไข เพราะการตั้งค่าเป็นส่วนของลูกค้า

CSPM ไม่ใช่เครื่องมือเดียวที่ใช้กับคลาวด์ ดูการเปรียบเทียบกับเครื่องมือปกป้อง workload (ระบบที่รันบนคลาวด์) และแพลตฟอร์มรวมได้ใน CNAPP เทียบกับ CSPM และ CWPP ดูเรื่องการเก็บบันทึกเพื่อตรวจจับเหตุได้ใน Cloud Logging: ควรเก็บ log อะไรเพื่อตรวจจับ และดูเรื่องการตั้งค่าเครื่องคอมพิวเตอร์ด้วยแนวคิดเกณฑ์แบบเดียวกันได้ใน Endpoint Hardening และ CIS Benchmarks

วงจรแก้ไข misconfiguration

เมื่อ CSPM พบปัญหา ควรมีวงจรที่ชัดเจนดังนี้:

• พบ: เครื่องมือรายงานทรัพยากรที่ไม่ผ่านเกณฑ์
• จัดลำดับ: เรียงตามความร้ายแรง เช่น พื้นที่เก็บข้อมูลเปิดสาธารณะก่อนเรื่องเล็กน้อย
• มอบเจ้าของ: ระบุคนที่ต้องแก้และกำหนดเวลา
• ตรวจซ้ำ: ยืนยันว่าแก้แล้วจริง และบันทึกข้อยกเว้น (รายการที่ตัดสินใจไม่แก้) พร้อมวันทบทวน

ข้อผิดพลาดที่พบบ่อย

• คิดว่าติดตั้ง CSPM แล้วปลอดภัย: เครื่องมือแค่แจ้งปัญหา ไม่ได้แก้ให้ทั้งหมด
• เปิดใช้โดยไม่มีเจ้าของผลการตรวจ: รายงานสะสมไปเรื่อย ๆ โดยไม่มีใครแก้
• เชื่อมต่อแค่บางบัญชี: ส่วนที่ไม่ได้เชื่อมต่อจะไม่ถูกตรวจ
• เชื่อว่าผลสีเขียวคือปลอดภัย: บางข้อของเกณฑ์ต้องให้คนตรวจเอง
• แก้ทุกรายการพร้อมกันโดยไม่จัดลำดับ: งานล้นมือ และเรื่องร้ายแรงถูกมองข้าม
• ไม่ตรวจรุ่นของเกณฑ์ที่เครื่องมือใช้: เครื่องมืออาจตรวจตามรุ่นที่เก่ากว่ารุ่นล่าสุดที่ CIS ออก

ขั้นแรกที่ทำได้ทันที

• ทำรายการบัญชีและโครงการคลาวด์ทั้งหมด: CSPM ตรวจได้เฉพาะสิ่งที่เชื่อมต่อไว้
• ดูว่าบัญชีที่ใช้อยู่มีฟีเจอร์ตรวจสถานะในตัวหรือไม่: เช่น AWS Security Hub CSPM หรือ Foundational CSPM ใน Microsoft Defender for Cloud และอ่านเงื่อนไขกับค่าใช้จ่ายก่อนเปิดใช้
• เปิดอ่าน CIS Benchmark ของคลาวด์ที่ใช้: เริ่มจากโปรไฟล์ Level 1
• แก้เรื่องเสี่ยงสูงก่อน: พื้นที่เก็บข้อมูลเปิดสาธารณะ พอร์ตดูแลระบบที่เปิดให้ทั้งอินเทอร์เน็ต และบัญชีผู้ดูแลที่ไม่มี MFA
• กำหนดเจ้าของและรอบทบทวน: ทุกบัญชีมีคนรับผลการตรวจ

หากต้องการดูว่าการดูแลคลาวด์ขององค์กรครอบคลุมเพียงใด ลองใช้ แบบประเมินตนเอง

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• CIS Benchmarks: รายการเกณฑ์ตั้งค่าของแต่ละคลาวด์และรุ่นล่าสุด
• CIS Amazon Web Services Foundations Benchmark: หน้าเกณฑ์ของ AWS
• CIS Benchmarks FAQ: ความหมายของโปรไฟล์ Level 1 และ Level 2
• CSA Cloud Controls Matrix: ชุดมาตรการ 197 ข้อใน 17 หมวด และการจับคู่กับมาตรฐานอื่น
• AWS Security Hub CSPM: CIS AWS Foundations Benchmark: รุ่นที่รองรับและข้อที่ตรวจได้เพียงด้วยมือ
• Microsoft Defender for Cloud: CSPM: แผน Foundational และ Defender CSPM
• Microsoft: Shared responsibility in the cloud: ลูกค้าดูแลการตั้งค่าและตัวตนเสมอ