# การตรวจความปลอดภัยสำหรับนโยบายการเข้าถึง

Canonical: https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/access-control/security-checks/

Language: th-TH

Updated: 2026-11-15T04:12:41.803677Z

กลุ่มการเข้าถึงจัดโหนด Zero Trust และทรัพยากรเครือข่ายเพื่อให้นโยบาย เส้นทางและการตั้งค่าอื่นอ้างอิง นโยบายกำหนดว่าต้นทางใดได้รับอนุญาตหรือปฏิเสธให้เข้าถึงเป้าหมายใด รวมถึงโปรโตคอล ทิศทางและพอร์ต การสร้างกลุ่มเพียงอย่างเดียวไม่ให้สิทธิ์ และการบันทึกนโยบายไม่ยืนยันว่าโหนดทั้งหมดรับการตั้งค่าหรือบริการเป้าหมายเข้าถึงได้

บทนี้อธิบายการสร้างการตรวจสอบความปลอดภัยและเพิ่มลงในนโยบายเข้าถึง ผลตรวจ การจับคู่นโยบาย และการเข้าถึงจริงเป็นคนละขั้นตอนและต้องตรวจสอบแยกกัน

## เตรียมการ

-   ใช้บัญชีผู้ดูแลที่มีสิทธิ์จัดการกลุ่มและนโยบาย Zero Trust ตรวจสอบว่าโหนดที่เกี่ยวข้องเชื่อมต่อแล้วและเตรียมทรัพยากรเครือข่ายที่ต้องใช้
-   กำหนดต้นทาง เป้าหมาย โปรโตคอลและพอร์ตที่จะอนุญาตหรือจำกัด รวมทั้งความจำเป็นในการเข้าถึงย้อนกลับ เลือกขอบเขตน้อยที่สุดที่ตอบโจทย์ และเตรียมออบเจ็กต์ทดสอบทั้งที่อนุญาตและไม่อนุญาต
-   ตรวจสอบนโยบาย เส้นทางและการอ้างอิงกลุ่มเดิม หลายการตั้งค่าอาจมีผลต่อเส้นทางเดียวกัน จึงไม่ตัดสินผลจากนโยบายใหม่เพียงข้อเดียว
-   เมื่อเข้าถึงบริการภายใน ตรวจสอบว่าโหนดกำหนดเส้นทางเข้าถึงเป้าหมายและส่งต่อได้ รวมถึงบริการ ไฟร์วอลล์และเส้นทางกลับ ดู [ตั้งค่าเส้นทางเครือข่าย Zero Trust](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/)

**ข้อจำกัดการตั้งค่าพอร์ต:** กฎนโยบายหนึ่งข้อระบุพอร์ตเดี่ยวได้หลายพอร์ต หรือระบุช่วงพอร์ตได้หนึ่งช่วงขึ้นไป แต่ห้ามผสมพอร์ตเดี่ยวกับช่วงพอร์ตในกฎเดียวกัน เช่น อย่าใส่ `443` และ `8000-8080` พร้อมกันในกฎเดียว แม้หน้าจอรับข้อมูล การบันทึกก็อาจล้มเหลว หากต้องครอบคลุมทั้งสองแบบ ให้พิจารณาสร้างนโยบายแยก ตรวจสอบต้นทาง ปลายทาง การดำเนินการ และการตรวจสอบความปลอดภัยของแต่ละนโยบาย แล้วทดสอบผลรวมในสภาพแวดล้อมนำร่อง อย่าผสม `*` กับพอร์ตอื่น

## สร้างนโยบายเข้าถึง

1.  ตรวจสอบโหนดต้นทางนำร่องที่เชื่อมต่อ โหนดปลายทางหรือทรัพยากรเครือข่าย และโปรโตคอลกับพอร์ตที่งานต้องใช้ ตรวจสอบสิทธิ์จัดการและนโยบายเดิมที่อาจมีผลต่อการเข้าถึง
2.  สร้างหรือเลือกนโยบายเข้าถึงที่เหมาะสม แล้วกำหนดต้นทาง ปลายทาง ทิศทาง การดำเนินการและพอร์ตตามความต้องการ หลังเปลี่ยนโปรโตคอลหรือชนิดวัตถุให้ตรวจตัวเลือกอีกครั้ง เพื่อป้องกันการขยายสิทธิ์โดยไม่ตั้งใจ
3.  บันทึกและยืนยันว่านโยบายเปิดใช้งาน แล้วรอให้โหนดที่เกี่ยวข้องได้รับการตั้งค่า การสร้างนโยบายและใช้การตรวจความปลอดภัยเป็นคนละขั้นตอน ดูข้อจำกัดพอร์ต การเปลี่ยนตัวเลือกและการตรวจสอบทั้งหมดที่ [นโยบายเข้าถึง](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)

## เพิ่มการตรวจความปลอดภัยในนโยบายเข้าถึง

การตรวจเพิ่มเงื่อนไขให้โหนดต้นทาง สำหรับตัวอย่างไฟร์วอลล์ ให้ตั้งค่าเครื่องทดลองตามขั้นตอนองค์กรก่อน และเตรียมต้นทางควบคุมที่เปิดและปิดไฟร์วอลล์ การตรวจไม่ได้ตั้งค่าไฟร์วอลล์และชื่อเพียงอย่างเดียวไม่ยืนยันว่าการเข้าถึงถูกปิดกั้น

1.  ใช้สิทธิ์จัดการการตรวจของการจัดการอุปกรณ์ เปิด **Security Checks** แล้วเลือกรายการ **Create Security Check** เมื่อโหลดรายการสำเร็จและไม่มีรายการ หรือ **Create Check** เมื่อมีการตรวจอยู่แล้ว เลือก **Firewall Enabled** ผ่านขั้น **Check type**, **Check settings**, **Review** โดยไม่ต้องมีพารามิเตอร์เพิ่ม ตั้งชื่อและบันทึก หากมีการตรวจชนิดเดียวกันให้ตรวจและใช้ซ้ำแทนการสร้างซ้ำ
2.  ตรวจชื่อ ชนิดและสถานะเปิดใช้ในรายการ เครื่องต้องรายงานสถานะและประเมินผล หากข้อมูลหรือผลที่ใช้ได้ขาดหาย ห้ามสมมติว่าผ่าน
3.  กลับไปนโยบายเข้าถึง Zero Trust ตั้งต้นทาง ปลายทาง การกระทำ โปรโตคอลและพอร์ตตามบทนี้ เลือกการตรวจที่เปิดใช้ใน **Security Checks** แล้วบันทึก การสร้างโดยไม่เพิ่มในนโยบายไม่เป็นเงื่อนไขของนโยบาย
4.  หลังข้อมูลและนโยบายปรับปรุง ให้ทดสอบจากต้นทางที่ผ่านและไม่ผ่านเงื่อนไข ตรวจกลุ่มต้นทาง นโยบายอื่น เส้นทางและไฟร์วอลล์ปลายทาง ผลไม่ผ่าน ไม่ทราบ หมดอายุหรือใช้ไม่ได้ไม่นับว่าผ่านสำหรับนโยบายนี้ แต่ไม่รับประกันว่าทุกเส้นทางอื่นถูกปิดกั้น
5.  ก่อนแก้หรือปิดใช้ให้ตรวจนโยบายที่อ้างอิงและผลกระทบ การตรวจที่ถูกอ้างอิงลบโดยตรงไม่ได้ ขยายขอบเขตหลังตรวจสอบและผ่านกระบวนการเปลี่ยนแปลงขององค์กร

**ข้อจำกัดสำคัญของนโยบายปฏิเสธ:** การตรวจความปลอดภัยเป็นเงื่อนไขจับคู่ต้นทาง ไม่ใช่สวิตช์ให้ปฏิเสธเมื่อการตรวจไม่ผ่าน หากเพิ่มการตรวจในนโยบายปฏิเสธ กฎปฏิเสธอาจไม่ใช้เมื่อต้นทางไม่มีผลผ่านที่ใช้ได้ นโยบายอนุญาตหรือเส้นทางอื่นยังอาจมีผลต่อการเข้าถึง อย่าสมมติว่าชุดนี้ปิดกั้นเครื่องที่ไม่สอดคล้องแน่นอน ให้ทดสอบกรณีผ่าน ไม่ผ่านและข้อมูลขาดแยกกัน

**นโยบายสองทิศทางและการตรวจความปลอดภัย:** สำหรับนโยบายระหว่างโหนดแบบสองทิศทาง การตรวจประเมินจากโหนดต้นทางที่กำหนดในนโยบาย ไม่ได้ยืนยันว่าโหนดปลายทางผ่านการตรวจด้วย แม้ต้นทางผ่านแต่ปลายทางไม่ผ่าน กฎสองทิศทางอาจยังอนุญาตให้ปลายทางเริ่มเข้าถึงต้นทาง ทั้งนี้ขึ้นกับกฎอื่นและสภาพเครือข่าย หากทั้งสองฝ่ายต้องผ่านการตรวจ ให้พิจารณานโยบายทางเดียวสองรายการที่กำหนดการตรวจสำหรับต้นทางของแต่ละรายการ และทดสอบทั้งสองทิศทางเมื่อผลผ่าน ไม่ผ่าน และข้อมูลขาดหาย

### ใช้การตรวจ DLP หรือซอฟต์แวร์ที่จำเป็น

นอกจากไฟร์วอลล์ สามารถสร้างการตรวจต่อไปนี้ในผลิตภัณฑ์เจ้าของ ต้องมีสิทธิ์ผลิตภัณฑ์และสิทธิ์จัดการการตรวจ แต่ละการตรวจเลือกหนึ่งวัตถุ หากมีการตรวจชนิดเดียวกันสำหรับวัตถุนั้นให้ตรวจและใช้ซ้ำ

1.  **ป้องกันข้อมูลรั่วไหล:** ตั้งค่าและเปิดนโยบาย DLP ที่ต้องการก่อน ตรวจขอบเขตเครื่องทดลอง จาก **Security Checks** ของผลิตภัณฑ์สร้าง **Data Loss Prevention Policy Applied** เลือกนโยบายที่เปิดและมีผล ตั้งชื่อ ตรวจแล้วบันทึก การตรวจพิจารณาความสัมพันธ์การใช้นโยบาย ไม่ยืนยันเพียงลำพังว่าเครื่องรับหรือบังคับใช้สำเร็จ ต้องตรวจผลบนเครื่องตามคู่มือฟังก์ชัน
2.  **ซอฟต์แวร์ที่จำเป็น:** เตรียมและเปิดวัตถุซอฟต์แวร์ที่ระบุเป้าหมายได้ ตรวจว่าเครื่องทดลองรายงานสินทรัพย์แล้ว ใน **Software > Security Checks** สร้าง **Required Software Installed** เลือกวัตถุ ตั้งชื่อ ตรวจแล้วบันทึก ผลอาศัยสินทรัพย์ที่บันทึก ไม่ยืนยันว่าซอฟต์แวร์กำลังทำงานหรือรุ่นตรงข้อกำหนด ให้ตรวจบนเครื่องแยกเมื่อจำเป็น
3.  กลับไปนโยบายเข้าถึง Zero Trust เลือกการตรวจที่เปิดและใช้ได้ใน **Security Checks** แล้วบันทึก หากเลือกหลายรายการ ทุกการตรวจต้องมีผลผ่านที่ใช้ได้จึงตรงเงื่อนไขนโยบาย หลังข้อมูลและนโยบายปรับปรุงให้ทดสอบต้นทางควบคุมทั้งที่ตรงและไม่ตรงเงื่อนไข พร้อมตรวจนโยบายอื่นและเส้นทาง
4.  หากนโยบายหรือวัตถุที่อ้างอิงปิดหรือใช้ไม่ได้ หรือผลขาดหายหรือหมดอายุ อย่าสมมติว่าผ่าน ประเมินการอ้างอิงและผลต่อธุรกิจก่อนเปลี่ยน การตรวจที่นโยบายอ้างอิงลบโดยตรงไม่ได้

-   [นโยบายการเข้าถึง](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)