Endpoint Hardening ด้วย CIS Benchmarks เริ่มอย่างไร

Endpoint hardening (การเสริมความแข็งแกร่งให้เครื่องผู้ใช้และเซิร์ฟเวอร์) คือการปรับตั้งค่าของเครื่องคอมพิวเตอร์ของผู้ใช้และเซิร์ฟเวอร์ ให้มีช่องที่ผู้โจมตีใช้ได้น้อยลง โดยปิดสิ่งที่ไม่จำเป็นและเข้มงวดกับสิ่งที่ยังเปิดอยู่ การทำ hardening ตาม CIS Benchmarks คือการใช้ CIS Benchmarks เป็นรายการค่าที่ต้องปรับ CIS Benchmarks เป็นคู่มือการตั้งค่าที่จัดทำโดย Center for Internet Security (CIS) ครอบคลุมระบบปฏิบัติการและผลิตภัณฑ์จำนวนมาก และผู้เชี่ยวชาญเขียนร่วมกันผ่านกระบวนการหาฉันทามติ (consensus process) บทความนี้อธิบายวิธีเริ่มโดยไม่ทำให้งานของผู้ใช้สะดุด คือเลือก baseline (ชุดค่าตั้งค่ามาตรฐานที่เครื่องประเภทเดียวกันทุกเครื่องควรมี) เลือกระดับความเข้ม ทดสอบ นำไปใช้ทีละกลุ่ม แล้วตรวจว่าค่ายังคงอยู่

baseline คืออะไร และทำไมไม่ควรเขียนเอง

baseline คือชุดค่าตั้งค่าที่ตกลงกันไว้ว่าเครื่องประเภทเดียวกันทุกเครื่องควรมี คู่มือของ Microsoft อธิบายว่าทำไมควรเริ่มจากชุดที่เผยแพร่แล้ว Windows 10 อย่างเดียวมีค่าตั้งค่าผ่าน Group Policy (ฟีเจอร์ของ Windows ที่ตั้งค่าหลายเครื่องพร้อมกัน) มากกว่า 3,000 ค่า ยังไม่นับอีกกว่า 1,800 ค่าของ Internet Explorer 11 และมีเพียงบางส่วนที่เกี่ยวกับความปลอดภัย การไล่ดูเองทีละค่าเพื่อเข้าใจผลของแต่ละค่าและเลือกค่าที่เหมาะสมใช้เวลานาน Microsoft จึงแนะนำให้ใช้ baseline ที่เป็นที่รู้จักและผ่านการใช้งานจริงมาแล้ว แทนการสร้างเอง ซึ่งช่วยลดค่าใช้จ่ายด้วย

CIS ยังจัดทำ CIS Controls ซึ่งเป็นรายการมาตรการด้านความปลอดภัย ตามหน้าเว็บของ CIS ที่อ่านเมื่อ 22 ตุลาคม 2026 เวอร์ชัน 8.1 มี 18 มาตรการ และมาตรการที่ 4 คือ Secure Configuration of Enterprise Assets and Software (การตั้งค่าที่ปลอดภัยของอุปกรณ์และซอฟต์แวร์ขององค์กร) benchmark เป็นแหล่งหนึ่งของรายละเอียดค่าตั้งค่าที่อยู่เบื้องหลังมาตรการนี้

แหล่งของ baseline

• CIS Benchmarks: คำแนะนำการตั้งค่าสำหรับผลิตภัณฑ์ของผู้ผลิตจำนวนมาก ผู้เชี่ยวชาญร่วมกันจัดทำ ตามคำถามที่พบบ่อยของ CIS ดาวน์โหลดไฟล์ PDF ได้ฟรี ส่วนรูปแบบอื่นสำหรับสมาชิก CIS SecureSuite ควรอ่านเงื่อนไขการใช้งานของ CIS เพื่อดูว่ากรณีขององค์กรใช้ได้หรือไม่
• Microsoft security baselines: ค่าที่ Microsoft แนะนำสำหรับ Windows, Windows Server, Microsoft 365 Apps และ Edge แจกจ่ายผ่านชุดดาวน์โหลดชื่อ Security Compliance Toolkit ในชุดนี้มีเครื่องมืออย่าง Policy Analyzer (เทียบชุดค่าตั้งค่า) และ LGPO (นำค่าตั้งค่าไปใช้กับนโยบายภายในเครื่อง) นอกจากนี้ baseline ยังมีอยู่ใน Microsoft Intune (บริการจัดการอุปกรณ์) สำหรับเครื่อง Windows ที่จัดการอยู่
• NIST National Checklist Program: คลังสาธารณะของ checklist (รายการตรวจสอบการตั้งค่า) ความปลอดภัยสำหรับผลิตภัณฑ์ไอที เก็บสำเนา checklist บางส่วนซึ่งส่วนใหญ่มาจากรัฐบาลสหรัฐ และมีลิงก์ไปยังส่วนที่เหลือ NIST SP 800-70 Rev. 5 (พฤษภาคม 2026) อธิบายวิธีใช้
• OpenSCAP: ชุดเครื่องมือโอเพนซอร์สสำหรับตรวจระบบเทียบกับนโยบายความปลอดภัย (compliance scanning)

baseline ของ Microsoft ไม่ใช่สิ่งเดียวกับ CIS Benchmark Microsoft ระบุว่าโดยเคร่งครัดแล้ว baseline ของ Intune ไม่ถือว่าเป็นไปตาม CIS หรือ NIST เพราะไม่มีการจับคู่แบบหนึ่งต่อหนึ่ง ควรเลือกชุดหลักหนึ่งชุดต่อเครื่องแต่ละชนิด และอย่าซ้อนหลายชุดโดยไม่ตรวจค่าที่ขัดกัน

เลือกระดับ (profile) ก่อนเริ่ม

CIS แบ่งคำแนะนำเป็น profile คือระดับความเข้มงวด:

• Level 1: คำแนะนำพื้นฐาน นำไปใช้ได้เร็ว ตั้งใจลดช่องทางโจมตีโดยยังให้ระบบใช้งานได้ และไม่ควรกระทบประสิทธิภาพมาก
• Level 2: ชั้นป้องกันเพิ่ม เรียกว่าการป้องกันหลายชั้น (defense in depth) สำหรับสภาพแวดล้อมที่ความปลอดภัยสำคัญที่สุด CIS เตือนว่าหากนำไปใช้โดยไม่ระมัดระวังอาจทำให้เกิดปัญหา
• STIG: รวมคำแนะนำเฉพาะของ STIG (คู่มือการตั้งค่าความปลอดภัยที่ DISA หน่วยงานด้านกลาโหมของสหรัฐเผยแพร่) พร้อมข้อของ Level 1 และ Level 2 ที่ทับซ้อนกัน profile นี้มาแทน Level 3 เดิม

องค์กรส่วนใหญ่ควรเริ่มที่ Level 1 กับเครื่องกลุ่มเดียว เพราะ Level 1 ออกแบบให้ระบบยังใช้งานได้ตามปกติ จากนั้นจึงเลือกค่าบางข้อของ Level 2 ไปใช้กับระบบที่ควรเข้มงวดเป็นพิเศษ เช่น เซิร์ฟเวอร์ที่เก็บข้อมูลสำคัญ และทำหลังทดสอบแล้วเท่านั้น

นำไปใช้ทีละขั้น

ลำดับงานที่ปลอดภัยสำหรับเครื่องหนึ่งกลุ่ม เช่น โน้ตบุ๊กที่ซื้อใหม่:

• จัดกลุ่มเครื่อง: แบ่งตามเวอร์ชันระบบปฏิบัติการและหน้าที่ เพราะแต่ละ benchmark ใช้กับเวอร์ชันเฉพาะ (CIS ระบุเวอร์ชันของแต่ละ benchmark และ Microsoft ออก baseline แยกตามเวอร์ชัน Windows)
• ทบทวนทีละค่า: ตัดสินใจว่าจะเก็บ ปรับ หรือข้ามแต่ละคำแนะนำ และเขียนเหตุผลไว้ ให้มอง benchmark เป็นข้อมูลประกอบการตัดสินใจ ไม่ใช่รายการงานที่ต้องทำให้ครบ
• ทดสอบก่อน: ลองกับห้องทดสอบ (lab) หรือกลุ่มนำร่องขนาดเล็กก่อนใช้กับระบบจริง CIS แนะนำให้ทดสอบในสภาพแวดล้อมทดสอบก่อนเพื่อดูผลกระทบ และ Microsoft ไม่แนะนำให้ใช้ baseline รุ่นทดลอง (preview) ในระบบจริง
• ทยอยนำไปใช้: ติดตั้งผ่าน Group Policy, Microsoft Configuration Manager (เครื่องมือจัดการเครื่องจำนวนมากของ Microsoft) หรือ Intune แล้วขยายกลุ่มเมื่อแก้ปัญหาที่พบแล้ว
• บันทึกข้อยกเว้น: ข้อยกเว้นคือค่าที่ตั้งใจไม่ทำตาม baseline ทุกข้อยกเว้นต้องมีเหตุผล เจ้าของ และวันทบทวน
• ตรวจซ้ำและอัปเดต: เทียบเครื่องกับ baseline เป็นระยะ และกลับมาดูเมื่อมี Windows หรือ benchmark เวอร์ชันใหม่ เพราะเวอร์ชันใหม่อาจเพิ่มหรือตัดค่าบางข้อ

อะไรมักพัง และควรเช็กอะไรก่อน

hardening ตั้งใจหยุดพฤติกรรมที่ไม่ปลอดภัย จึงมักมีบางอย่างใช้งานไม่ได้ ควรรู้สาเหตุที่พบบ่อยก่อนเริ่มกลุ่มนำร่อง:

• ผู้ใช้ที่มีสิทธิ์ผู้ดูแลเครื่อง: Microsoft ระบุว่า baseline ออกแบบสำหรับองค์กรที่บริหารจัดการดี ซึ่งผู้ใช้ทั่วไปไม่มีสิทธิ์ผู้ดูแล การถอนสิทธิ์ผู้ดูแลเครื่อง (local admin) ออกจากผู้ใช้ก่อน จะทำให้ขั้นอื่นง่ายขึ้น ดู PAM คืออะไร และทำไมต้องควบคุมสิทธิ์ผู้ดูแลระบบ
• เครื่องเสมือนและเดสก์ท็อปเสมือน: เอกสาร Intune ระบุว่า baseline ของ Microsoft Defender for Endpoint ปรับให้เหมาะกับเครื่องจริง (physical) และปัจจุบันไม่แนะนำให้ใช้กับเครื่องเสมือน (VM) หรือเดสก์ท็อปเสมือน (VDI) เพราะบางค่ากระทบการเชื่อมต่อระยะไกล
• ค่าที่ขัดกัน: Intune เตือนว่า baseline คนละชุด หรือ baseline กับนโยบายอื่น อาจตั้งค่าเดียวกันเป็นคนละค่า และค่าเริ่มต้นเกือบทุกกรณีเป็นแบบเข้มที่สุด จึงควรตรวจว่ามีค่าที่ขัดกันหรือไม่ เช่น ค่า firewall ถ้าใช้ delivery optimization (ฟีเจอร์ของ Windows ที่ให้เครื่องแบ่งกันดาวน์โหลดอัปเดต)
• ค่าของ Level 2: CIS เตือนว่าอาจทำให้เกิดปัญหาถ้านำไปใช้โดยไม่ระมัดระวัง

ตรวจว่าค่ายังคงอยู่

ค่าตั้งค่าเปลี่ยนไปเองได้ (drift) เพราะผู้ใช้เปลี่ยน ซอฟต์แวร์เปลี่ยน หรือเวอร์ชันใหม่เพิ่มค่าใหม่ baseline จึงมีประโยชน์ก็ต่อเมื่อวัดได้ว่ากี่เครื่องยังตรงตามนั้น เครื่องมือที่ช่วยได้มีดังนี้:

• CIS-CAT Pro Assessor: ประเมินว่าระบบทำตาม CIS Benchmark ได้ใกล้เคียงเพียงใด (ตามหน้าเว็บของ CIS)
• Policy Analyzer ของ Microsoft: เทียบ Group Policy Object (GPO) หลายชุดกัน และเทียบกับค่าในเครื่อง นอกจากนี้ยังบันทึก baseline ไว้เป็นภาพ ณ เวลาหนึ่ง (snapshot) เพื่อเทียบกับภาพที่ถ่ายภายหลังได้
• รายงาน compliance ของ Intune: แสดงผู้ใช้ กลุ่ม และอุปกรณ์ที่ทำตามหรือไม่ทำตาม baseline
• OpenSCAP: ตรวจระบบเทียบกับนโยบายด้วยเครื่องมือโอเพนซอร์ส

เลือกตัววัดหนึ่งตัวมารายงาน เช่น สัดส่วนเครื่องในแต่ละกลุ่มที่ตรงกับ baseline และจำนวนข้อยกเว้นที่ยังเปิดอยู่

hardening ลดสิ่งที่ผู้โจมตีทำได้บนเครื่อง แต่ไม่ได้ทดแทนการตรวจจับ จึงควรใช้ร่วมกับ EDR (การตรวจจับและตอบสนองที่เครื่องผู้ใช้) หรือบริการ MDR (บริการเฝ้าดูและตอบสนองแทนองค์กร) อ่านเปรียบเทียบได้ใน EDR, XDR และ MDR ต่างกันอย่างไร ส่วนการอัปเดตแพตช์ก็เป็นงานที่ต้องทำสม่ำเสมอ อ่านต่อใน Patch Management: ทำอย่างไรให้ทันและไม่ทำระบบล่ม นอกจากนี้ ผลตรวจสถานะความปลอดภัยของเครื่องยังใช้ประกอบการตัดสินใจให้เข้าถึงระบบแบบ Zero Trust (แนวคิดที่ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง) ได้ อ่านต่อใน Zero Trust Architecture: องค์ประกอบและแผนเริ่มต้น

ข้อผิดพลาดที่พบบ่อย

• ใช้ Level 2 กับทุกเครื่องพร้อมกัน: CIS เตือนว่า Level 2 อาจทำให้เกิดปัญหา
• คัดลอก benchmark มาใช้โดยไม่ทบทวนทีละค่า: CIS เองแนะนำให้ทดสอบก่อน
• เข้าใจว่า baseline ของ Microsoft เท่ากับการทำตาม CIS: Microsoft ระบุว่าโดยเคร่งครัดแล้วไม่ใช่
• ใช้ baseline รุ่นทดลองในระบบจริง: Microsoft ไม่แนะนำ เพราะค่าอาจเปลี่ยน
• ปล่อยให้ผู้ใช้เป็นผู้ดูแลเครื่องของตัวเอง: baseline ออกแบบโดยสมมติว่าผู้ใช้ไม่มีสิทธิ์นี้
• ปรับครั้งเดียวแล้วไม่ตรวจอีก: ค่าเปลี่ยนได้เอง และเวอร์ชันใหม่เพิ่มค่าใหม่
• ข้อยกเว้นที่ไม่มีเจ้าของและไม่มีวันสิ้นสุด: ข้อยกเว้นชั่วคราวกลายเป็นถาวร

ขั้นแรกที่ทำได้ทันที

• เลือกเครื่องหนึ่งกลุ่มพร้อมเวอร์ชันระบบปฏิบัติการ: เช่น โน้ตบุ๊กที่ซื้อใหม่
• ดาวน์โหลด benchmark และ baseline ของ Microsoft ที่ตรงกัน: แล้วเทียบดูว่าต่างกันที่ข้อใด
• ตรวจก่อนโดยไม่แก้อะไร: ใช้เครื่องมือตรวจเพื่อดูว่าเครื่องวันนี้ห่างจาก baseline เท่าใด
• ตั้งเป้าที่ Level 1: แล้วทำรายการค่าที่ตั้งใจจะข้าม พร้อมเหตุผล
• หาผู้ใช้ที่เป็นผู้ดูแลเครื่องของตัวเอง: ทำรายการผู้ใช้ที่มีสิทธิ์ผู้ดูแลบนเครื่องของตน
• นัดวันตรวจซ้ำ: กำหนดวันที่จะตรวจเครื่องอีกครั้งและทบทวนข้อยกเว้น

หากต้องการทราบว่าการควบคุมการตั้งค่าเข้ากับการควบคุมเครื่องและสิทธิ์เข้าใช้ขององค์กรอย่างไร ลองใช้ แบบประเมินตนเอง

ขอบเขตและความถูกต้อง

ข้อมูลของ CIS (หน้า Benchmarks คำถามที่พบบ่อย และรายการ Controls) อ่านเมื่อ 22 ตุลาคม 2026 เอกสารของ Microsoft ที่อ่านมีวันปรับปรุงล่าสุดตั้งแต่เดือนสิงหาคม 2025 ถึงตุลาคม 2026 และ NIST SP 800-70 Rev. 5 เผยแพร่ฉบับสุดท้ายเมื่อพฤษภาคม 2026 และแทนที่ Rev. 4 ซึ่งถูกถอนแล้ว เวอร์ชันของ benchmark และ baseline เปลี่ยนบ่อย ก่อนใช้จริงควรตรวจเวอร์ชันล่าสุดที่ตรงกับระบบขององค์กร

แนวคิดเดียวกับ CIS Benchmarks ใช้กับการตั้งค่าบนคลาวด์ได้เช่นกัน ดู CSPM คืออะไร ตรวจ Misconfiguration บนคลาวด์

CIS มี Benchmark สำหรับ Kubernetes ด้วย ดูวิธีนำไปใช้ในบทความความปลอดภัยของ container และ Kubernetes

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• CIS Benchmarks: ภาพรวม benchmark ผลิตภัณฑ์ที่ครอบคลุม และเครื่องมือที่เกี่ยวข้อง
• CIS Benchmarks FAQ: นิยาม Level 1, Level 2 และ STIG รวมถึงคำแนะนำให้ทดสอบก่อน
• CIS Controls v8.1: รายการ 18 มาตรการ รวมมาตรการที่ 4 เรื่องการตั้งค่าที่ปลอดภัย
• Microsoft: Security baselines guide: baseline คืออะไร หลักการ และแหล่งดาวน์โหลด
• Microsoft: Security Compliance Toolkit guide: baseline ที่มีให้ และเครื่องมืออย่าง Policy Analyzer และ LGPO
• Microsoft Intune: Security baselines for Windows devices: การนำ baseline ไปใช้ ความขัดกันของค่า และคำถามเรื่อง CIS
• NIST SP 800-70 Rev. 5: National Checklist Program for IT Products: แนวทางสำหรับผู้ใช้และผู้จัดทำ checklist
• NIST National Checklist Program: คลังสาธารณะของ checklist การตั้งค่าความปลอดภัย
• OpenSCAP: เครื่องมือโอเพนซอร์สสำหรับตรวจระบบกับนโยบายความปลอดภัย