วางระบบ Network โรงงานอย่างไรให้รอดจาก Ransomware ด้วย Fortinet
โรงงานอุตสาหกรรม 8 ใน 10 แห่งที่ผมเคยเข้าไปช่วยวางระบบ Network หรือเข้าไปกู้ภัยไอที มักจะมีจุดตายเดียวกันโดยที่ฝ่ายบริหารไม่เคยรู้ นั่นคือการปล่อยให้เครือข่ายสำนักงาน (IT Network) ต่อตรงเข้ากับเครือข่ายไลน์การผลิต (OT Network) โดยไม่มีการกั้น Zone ที่เข้มงวดพอ พอพนักงานออฟฟิศเผลอคลิก Link มัลแวร์ในอีเมล เพียงแค่ 15 นาที Ransomware ก็วิ่งข้าม VLAN ไปล็อกเครื่อง SCADA และ PLC ในสายการผลิตจนเครื่องจักรหยุดทำงานทั้งโรงงาน มูลค่าความเสียหายต่อวันสูงถึงหลักล้านบาท
จากประสบการณ์ของผมและทีมงาน SIAM-LOGIN การป้องกัน Ransomware ไม่ใช่แค่การลง Antivirus ที่เครื่องคอมพิวเตอร์ แต่หัวใจสำคัญคือการออกแบบสถาปัตยกรรม วางระบบ Network โรงงาน ให้มีกลไกตัดวงจรการแพร่ระบาด และอุปกรณ์ที่ตอบโจทย์ความปลอดภัยระดับอุตสาหกรรมได้ดีที่สุดตัวหนึ่งในตลาดปัจจุบันก็คือ Fortinet Firewall ครับ
ทำไม Ransomware ถึงระบาดจากออฟฟิศลงสู่สายการผลิต (IT/OT Convergence)
ในยุคอุตสาหกรรม 4.0 โรงงานส่วนใหญ่ต้องการดึงข้อมูล Real-time จากเครื่องจักรขึ้นระบบ ERP หรือ MES ทำให้สายสัญญาณ Network ถูกเชื่อมต่อถึงกัน แต่ระบบควบคุมในโรงงาน (OT) เช่น HMI หรือ PLC มักเป็นระบบเก่าที่อัปเดต Patch แทบไม่ได้ หากไวรัสหลุดเข้ามาใน IT Zone มันจะทำการค้นหาช่องโหว่และขยายผลกระจายตัวไปทางข้าง (Lateral Movement) เข้าสู่ OT Zone ทันที
ถ้าคุณใช้เพียง Router หรือ L3 Switch ทั่วไปแจก IP และ Routing ทราฟฟิกหากันเฉยๆ ทราฟฟิกที่เป็น Ransomware จะไหลผ่านได้สะดวกเหมือนวิ่งบนทางด่วน ดังนั้น การนำ Fortinet Firewall (FortiGate) เข้ามาทำหน้าที่เป็นผู้รักษาประตูระหว่าง IT และ OT จึงเป็นโซลูชันที่ผมแนะนำลูกค้าเสมอ
5 ขั้นตอนวางระบบ Network โรงงานด้วย Fortinet ป้องกัน Ransomware 100%
1. ทำ Network Segmentation แบ่งแยก IT Zone และ OT Zone ตามมาตรฐาน Purdue Model
หลักการแรกที่ผมทำเสมอเมื่อวางระบบให้โรงงาน คือการตัดเส้นทางเชื่อมต่อตรงทั้งหมด แล้วนำ Fortinet Firewall มาคั่นกลางระหว่าง Corporate Network (IT) กับ Plant Network (OT) พร้อมกำหนด Policy ให้สื่อสารกันได้เฉพาะพอร์ตและไอพีที่จำเป็นเท่านั้น เช่น อนุญาตให้เฉพาะ Server Database ดึงข้อมูลจาก SCADA ผ่านพอร์ตที่กำหนด ส่วนทราฟฟิกอื่นๆ ให้ Block ทั้งหมด
2. ใช้ Micro-segmentation ภายในไลน์การผลิตด้วย Virtual Wire Pair
หลายครั้งโรงงานไม่อยากเปลี่ยนโครงสร้าง IP Address ของเครื่องจักรเดิมเพราะเสี่ยงต่อระบบหยุดทำงาน ผมมักแก้ปัญหานี้ด้วยการใช้ฟีเจอร์ Virtual Wire Pair หรือ Transparent Mode ของ FortiGate วางคั่นระหว่างโซนเครื่องจักรแต่ละสายการผลิต วิธีนี้ช่วยให้เราทำ Micro-segmentation กั้นไม่ให้ Ransomware วิ่งข้ามจากไลน์ผลิต A ไปไลน์ผลิต B ได้ โดยไม่ต้องเปลี่ยน IP Address ของเครื่องจักรแม้แต่เครื่องเดียว
3. เปิดใช้งาน OT-Aware IPS และ Application Control บน Fortinet
Fortinet มีจุดแข็งคือหน่วยประมวลผล SPUS/CP9 และฐานข้อมูล FortiGuard ที่มีข้อมูลโปรโตคอลอุตสาหกรรมโดยเฉพาะ เช่น Modbus, DNP3, Ethernet/IP, Profinet เมื่อเราเปิดใช้งาน Intrusion Prevention System (IPS) ตัว Firewall จะแสกนลึกลงไปถึง Packet ระดับอุตสาหกรรม หากมีคำสั่งที่ผิดปกติหรือมีพฤติกรรมคล้ายการโจมตี Ransomware ระบบจะทำ Drop Packet และแจ้งเตือนทันที
4. เข้มงวดเรื่อง Remote Access ของ Vendor ด้วย ZTNA หรือ SSL VPN + MFA
ช่องทางยอดนิยมที่ Hacker ใช้แอบปล่อย Ransomware คือการแฮกผ่านช่องทาง Remote Maintenance ของ Vendor ข้างนอก ผมมักตั้งค่าให้ซัพพลายเออร์เข้าใช้งานผ่าน Fortinet ZTNA (Zero Trust Network Access) หรือทำ SSL VPN ที่บังคับต่อ Authentication ผ่าน RADIUS Server ของ SIAM-LOGIN พร้อมเปิด Multi-Factor Authentication (MFA) ผ่านแอปพลิเคชัน มือถือ เพื่อยืนยันตัวตน 2 ชั้นก่อนยอมให้แตะต้องเครือข่ายโรงงาน
5. ทำ SSL Inspection และตัดการเชื่อมต่อกับ C2 Server
Ransomware ยุคใหม่จะทำการเข้ารหัสไฟล์ได้ มันต้องส่งคำสั่งไปคุยกับ Command & Control (C2) Server บนอินเทอร์เน็ตเพื่อขอ Encryption Key ก่อน การเปิดฟังก์ชัน SSL Deep Inspection ร่วมกับ Web Filtering บน Fortinet จะช่วยแกะตรวจทราฟฟิกที่ซ่อนมาใน HTTPS และบล็อกการเชื่อมต่อไปยังโดเมนอันตรายทันที ทำให้ Ransomware ทำงานไม่สมบูรณ์และหยุดการเข้ารหัสไฟล์ได้ทันเวลา
เคสจริงจากประสบการณ์: ปกป้องไลน์ผลิตชิ้นส่วนยานยนต์จากมัลแวร์เรียกค่าไถ่
เมื่อปีที่แล้ว มีโรงงานผลิตชิ้นส่วนยานยนต์แห่งหนึ่งในนิคมอุตสาหกรรมมาบตาพุด ติดต่อให้ผมเข้าไปช่วยด่วน หลังจากเครื่องคอมพิวเตอร์ฝ่ายจัดซื้อติด Ransomware และไวรัสเริ่มพยายามสแกนหาเครื่องในเครือข่าย
โชคดีที่สัปดาห์ก่อนหน้านั้น ผมเพิ่งเข้าไปวางโครงสร้าง Network และติดตั้ง FortiGate 100F กั้นระหว่าง IT และ OT เอาไว้ ผลคือ IPS และ Antivirus Profile บน Fortinet บล็อกทราฟฟิกการสแกนและตัดการเชื่อมต่อทันที ทำให้ Ransomware จอดนิ่งอยู่แค่เครื่องจัดซื้อเพียงเครื่องเดียว สายการผลิต 4 ไลน์ยังคงเดินเครื่องได้ตามปกติ เซฟมูลค่าสินค้าผลิตไม่ทันออเดอร์ไปหลายล้านบาท
สรุป: ความปลอดภัย Network โรงงาน เริ่มต้นที่การออกแบบ
การป้องกัน Ransomware ในโรงงานอุตสาหกรรมไม่ใช่เรื่องของการซื้ออุปกรณ์ราคาแพงมาตั้งไว้อย่างเดียว แต่เป็นเรื่องของการออกแบบ Topology สถาปัตยกรรมเครือข่าย การทำ Network Segmentation และการตั้งค่า Security Policy บน Firewall ให้ครอบคลุมทั้ง IT และ OT หากคุณกำลังดูแลระบบไอทีในโรงงาน ลองสำรวจดูครับว่า Network ของคุณเปิดโล่งถึงกันหมดหรือเปล่า ถ้าใช่ นั่นคือความเสี่ยงที่คุณต้องรีบปิดช่องโหว่ก่อนจะสายเกินไปครับ
คำถามที่พบบ่อยเกี่ยวกับบทความนี้ (FAQ)
Q: ทำไมแค่ลง Antivirus ที่คอมพิวเตอร์ออฟฟิศถึงไม่พอสำหรับโรงงาน?
เพราะเครื่องจักรและอุปกรณ์ฝั่ง OT หลายชนิด เช่น PLC หรือ SCADA ไม่สามารถติดตั้ง Antivirus ได้ หาก Ransomware ข้ามจาก IT Zone มายัง OT Zone ได้ ก็จะเข้าโจมตีอุปกรณ์เหล่านี้โดยตรง การใช้ Fortinet Firewall ทำ Network Segmentation จึงเป็นคำตอบที่ปลอดภัยกว่า
Q: การติดกั้น Fortinet Firewall ระหว่าง IT และ OT จะทำให้ไลน์การผลิตทำงานช้าลงไหม?
ไม่ช้าลงครับ หากเลือกสเปกเครื่อง FortiGate ให้เหมาะสมกับปริมาณทราฟฟิก และใช้ประโยชน์จากชิปประมวลผล Hardware Acceleration (NP/CP) ของ Fortinet ซึ่งสามารถตรวจสอบ Packet ข้อมูลด้วยความเร็วระดับ Gbps โดยไม่เกิด Latency ในไลน์ผลิต
Q: โรงงานเดิมที่มีโครงสร้าง Network แบบ Layer 2 ผืนเดียว สามารถใส่ Fortinet เข้าไปกั้นได้ไหม?
ทำได้ครับ โดยใช้โหมด Virtual Wire Pair หรือ Transparent Mode ของ Fortinet Firewall ซึ่งวางคั่นระหว่าง Switch ได้ทันทีโดยไม่ต้องเปลี่ยน IP Address หรือรื้อโครงสร้างระบบเดิมของโรงงาน
ต้องการความช่วยเหลือหรือจ้างวางระบบ Network?
ทีมวิศวกร SIAM-LOGIN ยินดีให้คำปรึกษา ออกแบบระบบ และจัดส่งทีมเข้าติดตั้งหน้างาน