ป้องกัน Ransomware ในองค์กรด้วย Fortinet Firewall และ Network Segmentation

สี่โมงเย็นวันศุกร์วันหนึ่ง ฝ่าย IT ของโรงงานลูกค้าเจ้าหนึ่งโทรหาผมด้วยน้ำเสียงสั่นลนลาน 'พี่ครับ คอมพิวเตอร์ฝ่ายบัญชีติด Ransomware โดนล็อกไฟล์หมดเลย แถมตอนนี้มันกำลังลามไปหาเครื่องฝั่งสายการผลิตแล้ว!' วินาทีนั้นผมรู้เลยว่าปัญหาไม่ได้อยู่แค่มีไวรัสหลุดเข้ามา แต่มันเกิดจากการที่เครือข่ายทั้งองค์กรถูกวางไว้เป็น Flat Network เดียวกัน ทำให้มัลแวร์วิ่งข้ามไปหาทุกเครื่องได้อย่างสะดวกสบายราวกับไม่มีประตูคั่น

เหตุการณ์ครั้งนั้นทำให้ผมต้องเข้าไปช่วยยกระบบใหม่ทั้งหมด และหัวใจสำคัญที่ผมเลือกใช้เพื่อแก้วิกฤตครั้งนี้ก็คือการนำ Fortinet Firewall เข้ามาทำ Network Segmentation ร่วมกับการวางนโยบายความปลอดภัยแบบครอบคลุม

ทำไม Flat Network ถึงเป็นฝันร้ายของ Cyber Security ในองค์กร

องค์กรจำนวนมากมักเริ่มวางระบบด้วยความง่าย คือซื้อ Core Switch มาตัวหนึ่ง เสียบทุกอย่างเข้าด้วยกัน ทั้งคอมพิวเตอร์พนักงาน เครื่องจักรในโรงงาน กล้อง CCTV และ Server ให้อยู่ในวง IP Subnet เดียวกันทั้งหมด

โครงสร้างแบบนี้เปรียบเหมือนบ้านหลังใหญ่ที่ไม่มีประตูกั้นห้องใดๆ เลย เมื่อผู้บุกรุกหรือมัลแวร์หลุดเข้าประตูกระจกหน้าบ้านได้ มันก็จะสามารถเดินเข้าห้องนอน ห้องทำงาน หรือเปิดตู้เซฟได้ทันที ความเสี่ยงด้าน Cyber Security จึงสูงมาก หากพนักงานคนหนึ่งเผลอไปกดลิงก์ Phishing ในอีเมล มัลแวร์จะสแกนหาเครื่องอื่นในวง LAN เดียวกัน และขยายผลลุกลาม (Lateral Movement) ไปยัง Server ข้อมูลสำคัญทันทีภายในไม่กี่นาที

Network Segmentation คืออะไร? ป้องกันมัลแวร์ได้อย่างไร

การทำ Network Segmentation คือการแบ่งเครือข่ายใหญ่ออกเป็นส่วนย่อยๆ (Zones) ตามระดับความสำคัญและหน้าที่การใช้งาน เหมือนกับการสร้างผนังทนไฟและประตูล็อครหัสคั่นระหว่างห้องภายในบ้าน

เมื่อเราทำ Network Segmentation แล้ว หากเครื่องคอมพิวเตอร์ฝ่ายขายติด Ransomware ไวรัสก็จะถูกจำกัดพื้นที่อยู่เฉพาะในโซนของฝ่ายขายเท่านั้น ไม่สามารถวิ่งข้ามไปยังวง Server ข้อมูล หรือวงการผลิต (OT Network) ได้ เพราะมี Firewall คอยตรวจทานและบล็อกทราฟฟิกที่ไม่ได้รับอนุญาตไว้เสมอ

เทคนิคการประยุกต์ใช้ Fortinet Firewall เพื่อแบ่งโซนความปลอดภัย

อุปกรณ์ Fortinet Firewall หรือ FortiGate ถือเป็นอาวุธหลักที่ผมเลือกใช้ในงานสร้าง Network Infrastructure สำหรับองค์กร เพราะมีฟีเจอร์ความปลอดภัยที่ครบถ้วนและประสิทธิภาพการประมวลผลสูง โดยผมสรุปขั้นตอนการออกแบบและตั้งค่าที่ผมใช้จริงไว้ดังนี้ครับ

1. วางโครงสร้าง VLAN และแบ่ง Inter-Zone ให้ชัดเจน

ผมเริ่มจากการแยก Traffic ออกจากกันด้วยการสร้าง VLAN บน Core Switch และกำหนดโซนบน FortiGate ดังนี้:

• Corporate Zone: สำหรับคอมพิวเตอร์ของพนักงานประจำ
• Server Zone: สำหรับเก็บ Database, ERP, File Server (จำกัดการเข้าถึงสูงสุด)
• IoT / CCTV Zone: สำหรับกล้องวงจรปิดและอุปกรณ์ IoT ที่ไม่ต้องการให้ออกอินเทอร์เน็ตได้อิสระ
• Guest Zone: สำหรับ Wi-Fi แยกเฉพาะผู้มาติดต่อ ให้ออกอินเทอร์เน็ตได้อย่างเดียว ห้ามคุยกับวงภายในเด็ดขาด
• OT Zone: สำหรับเครื่องจักรและคอมพิวเตอร์ฝั่งการผลิต

2. กำหนด Firewall Policy แบบ Zero Trust (Least Privilege)

หลักการสำคัญที่สุดของผมคือ 'ปฏิเสธไว้ก่อน (Implicit Deny)' แล้วค่อยเปิดอนุญาตเฉพาะทราฟฟิกที่จำเป็นจริงๆ เท่านั้น เช่น อนุญาตให้โซน Corporate คุยกับ Server Zone ได้เฉพาะ Port 443 และ 3389 แต่ห้ามโซน Guest หรือ IoT คุยกับ Server Zone โดยเด็ดขาด

3. เปิดใช้งาน Security Profiles บนจุดเชื่อมต่อโซน

การคุมแค่ Port หรือ IP ยังไม่พอครับ ใน Fortinet Firewall ผมจะเปิดใช้งาน Security Engine ควบคู่กันไปในนโยบาย Firewall Policy ดังนี้:

• Antivirus Inspection: สแกนไฟล์ที่ถูกส่งข้ามโซนเพื่อดักจับมัลแวร์และ Ransomware
• Intrusion Prevention System (IPS): คอยตรวจจับการพยายามแฮกหรือสแกนพอร์ตข้ามโซน
• Web Filtering & Application Control: บล็อกเว็บไซต์เสี่ยงสูงและจำกัดแอปพลิเคชันที่ไม่เกี่ยวข้องกับงาน

ผลลัพธ์จากการปรับปรุงระบบเครือข่าย

หลังจากที่ผมนำ Fortinet Firewall เข้าไปติดตั้งและวางโครงสร้าง Network Segmentation ให้กับลูกค้ารายนี้ ปรากฏว่าไม่กี่เดือนต่อมา มีเครื่องโน้ตบุ๊กของพนักงานท่านหนึ่งนำไวรัสกลับมาจากบ้านแล้วนำมาเสียบสาย LAN ที่บริษัท แต่คราวนี้ Ransomware ไม่สามารถลามไปไหนได้เลยครับ มันถูกกักไว้แค่ใน VLAN ของพนักงานท่านนั้น และถูก IPS ของ FortiGate ตรวจพบพร้อมแจ้งเตือน IT ทันที ทำให้ทีมงานเข้าไปจัดการคลีนเครื่องได้ทันก่อนเกิดความเสียหาย

สรุปแนวทางป้องกันภัยคุกคามอย่างยั่งยืน

การลงทุนใน Cyber Security ไม่ใช่เรื่องของการซื้ออุปกรณ์แพงๆ มาวางไว้เฉยๆ แต่มันคือการออกแบบสถาปัตยกรรมเครือข่ายให้เหมาะสม หากองค์กรของคุณยังใช้ระบบเครือข่ายแบบวงเดียวทั้งหมด ผมแนะนำให้เริ่มวางแผนทำ Network Segmentation ตั้งแต่วันนี้ครับ

หากท่านใดต้องการคำปรึกษาเกี่ยวกับการเลือกสเปก Fortinet Firewall การออกแบบ VLAN หรือการจัดวางระบบความปลอดภัยในองค์กร ทีมงาน SIAM-LOGIN พร้อมให้คำแนะนำจากประสบการณ์จริง สามารถติดต่อพวกเราได้ตลอดเวลาครับ