วางระบบ Network โรงงาน ป้องกัน Ransomware และรองรับการขยายตัว

9 ใน 10 โรงงานอุตสาหกรรมที่ผมเคยเข้าไปรีโนเวทระบบเครือข่าย มักเจอฝันร้ายเหมือนกันหมดครับ นั่นคือตอนเริ่มก่อสร้างโรงงานได้ทำการวางสาย LAN แบบขอไปที รวมฝั่งออฟฟิศเข้ากับฝั่งไลน์การผลิตไว้ในวง Subnet เดียวกันทั้งหมด พอวันดีคืนดีมีคอมพิวเตอร์ในออฟฟิศเผลอเปิดไฟล์แนบไวรัส หรือโดน Ransomware เรียกค่าไถ่ สิ่งที่เกิดขึ้นตามมาคือมัลแวร์วิ่งกระจายตามสาย LAN ไปล็อกเครื่องจักร PLC, ระบบ SCADA และเซิร์ฟเวอร์ ERP ในไลน์ผลิตจนดับยกแผง สายการผลิตหยุดชะงัก สร้างความเสียหายหลายล้านบาทภายในเวลาไม่กี่ชั่วโมง

จากประสบการณ์ตรงของผมในการวางระบบ network ให้โรงงานอุตสาหกรรมหลายแห่ง ปัญหาเหล่านี้ป้องกันได้ตั้งแต่ขั้นตอนการวางโครงสร้างเครือข่าย (Network Architecture) ครับ วันนี้ผมเลยอยากมาแชร์แนวทาง วางระบบ Network โรงงาน ที่ถูกต้อง เพื่อให้รองรับการขยายตัว ควบคุม VLAN ได้อย่างมีประสิทธิภาพ และปิดประตูไม่ให้ Ransomware ลามข้ามฝั่งได้ครับ

หลักการวางระบบ Network โรงงานอุตสาหกรรม ให้รองรับอนาคต

การวางเครือข่ายในโรงงานอุตสาหกรรมแตกต่างจากการวางเครือข่ายออฟฟิศทั่วไปอย่างสิ้นเชิงครับ เพราะโรงงานมีทั้งฝั่ง Information Technology (IT) และ Operational Technology (OT) ซึ่งมีธรรมชาติการใช้งานต่างกันมาก หากเราออกแบบไม่ดีตั้งแต่แรก การขยายไลน์ผลิตเพิ่มในอนาคตจะเป็นเรื่องยากทันที

1. แยกวง IT และ OT ด้วย VLAN Segmentation

หัวใจสำคัญที่สุดของการ วางระบบ Network โรงงาน คือการทำ VLAN Segmentation ครับ ผมมักจะออกแบบให้แยกบรอดคาสต์โดเมน (Broadcast Domain) ออกเป็นสัดส่วนชัดเจน อย่างน้อยที่สุดต้องมี VLAN ดังนี้:

• VLAN Office (IT): สำหรับคอมพิวเตอร์ฝ่ายบริหาร ฝ่ายขาย บัญชี และพนักงานทั่วไป
• VLAN Production / OT: สำหรับเครื่องจักร, PLC, HMI, เซ็นเซอร์ IoT และระบบ SCADA
• VLAN Server / ERP: สำหรับ Database Server, ERP, และ File Server องค์กร
• VLAN CCTV & IoT: สำหรับกล้องวงจรปิด และอุปกรณ์สแกนนิ้วเข้า-ออกงาน
• VLAN Guest: สำหรับซัพพลายเออร์หรือผู้มาติดต่อ ให้ออกอินเทอร์เน็ตได้เท่านั้น

การแบ่ง VLAN แบบนี้ นอกจากจะช่วยลดปัญหา Network Broadcast Storm ที่ทำให้เครือข่ายช้าแล้ว ยังเป็นปราการด่านสำคัญในการจำกัดพื้นที่ความเสียหายหากเกิดภัยคุกคามทางไซเบอร์ขึ้นด้วยครับ

2. เลือก Switch และอุปกรณ์ระดับ Industrial Grade ในไลน์ผลิต

สภาพแวดล้อมในไลน์ผลิตมักเต็มไปด้วยความร้อน ฝุ่น คราบน้ำมัน และสัญญาณรบกวนทางไฟฟ้า (EMI) จากมอเตอร์ขนาดใหญ่ ผมเห็นหลายโรงงานประหยัดงบโดยการนำ Commercial Switch เกรดออฟฟิศไปติดในตู้ควบคุมไลน์ผลิต ผลปรากฏว่า Switch แฮงก์บ่อย หรือพอร์ตเสียเร็วกว่าปกติมากครับ

สำหรับฝั่ง OT Network ผมแนะนำให้เลือกใช้ Industrial Switch ที่ผ่านการรับรองมาตรฐานทนความร้อนสูง ทนแรงสั่นสะเทือน และติดตั้งบน DIN-Rail ได้ดี อุปกรณ์เหล่านี้จะช่วยให้การเชื่อมต่อไปยัง Core Switch หลักมีความเสถียรสูงสุดครับ

3. ออกแบบ Core Switch แบบ Redundancy (High Availability)

หาก Core Switch หลักดับ หมายถึงทั้งโรงงานหยุดทำงานทันที ดังนั้นโครงสร้างระบบสายสัญญาณและ Core Switch ควรวางระบบสำรอง (Redundancy) เสมอ เช่น การเดินสาย Fiber Optic เดินคู่เป็น Ring Topology ร่วมกับการเปิดใช้งานโปรโตคอล ERPS (Ethernet Ring Protection Switching) หรือ RSTP เพื่อให้ระบบสามารถสลับเส้นทางได้ทันทีภายในไม่กี่มิลลิวินาทีหากมีสายไฟเบอร์ขาด

เทคนิคป้องกัน Ransomware ลามข้ามฝั่งในระดับ Network Level

หลายคนเข้าใจผิดว่าการป้องกัน Ransomware เป็นหน้าที่ของโปรแกรม Antivirus บนคอมพิวเตอร์เท่านั้น แต่ในความเป็นจริง Antivirus ไม่สามารถปกป้องอุปกรณ์ฝั่ง OT อย่าง PLC หรือเครื่องจักรที่ไม่สามารถลงซอฟต์แวร์ได้เลยครับ การป้องกันในระดับ Network Security จึงเป็นเรื่องจำเป็นอย่างยิ่ง

กำหนด Firewall Rule ระหว่าง VLAN อย่างเข้มงวด

หลังจากทำ VLAN Segmentation แล้ว เราต้องใช้ Firewall (ไม่ว่าจะเป็น Next-Generation Firewall หรือ Router ประสิทธิภาพสูงอย่าง MikroTik) มาทำหน้าที่เป็นประตูคอยตรวจเช็ก Traffic ข้าม VLAN โดยตั้งกฎแบบ Implicit Deny (บล็อกทุกอย่างไว้ก่อน แล้วค่อยเปิดเฉพาะพอร์ตที่จำเป็น)

ตัวอย่างเช่น อนุญาตให้เครื่องคอมพิวเตอร์ออฟฟิศเข้าถึงเฉพาะ Web App บน ERP Server ผ่านพอร์ต HTTPS (443) เท่านั้น แต่ห้ามเครื่องฝั่งออฟฟิศสื่อสารตรงไปยังเครื่องจักร PLC ในไลน์ผลิต หรือบล็อกพอร์ต SMB (445) ข้ามวงอย่างเด็ดขาด เพราะ Ransomware ส่วนใหญ่ใช้พอร์ตนี้ในการแพร่ระบาดผ่านระบบเครือข่ายครับ

ปิดพอร์ตที่ไม่ได้ใช้งานและทำ Port Security

ในตู้ Switch ตามจุดต่างๆ ของโรงงาน พอร์ตที่ไม่ได้ใช้งานควรทำการ Disable ไว้ผ่านระบบ Managed Switch เพื่อป้องกันไม่ให้คนนอกนำแล็ปท็อปมาเสียบสาย LAN แล้วแอบเชื่อมต่อเข้าเครือข่ายภายใน รวมถึงเปิดใช้งาน Port Security ล็อก MAC Address สำหรับอุปกรณ์ที่ติดตั้งอยู่ถาวร เช่น กล้องวงจรปิด หรือคอมพิวเตอร์คุมเครื่องจักร

ติดตั้ง Network Monitoring และ Centralized Log Server

เราไม่สามารถป้องกันสิ่งที่เรามองไม่เห็นได้ครับ ผมมักจะเซ็ตระบบ Centralized Log Server ร่วมกับเครื่องมือ Network Monitoring เพื่อคอยสแกนดู Traffic พฤติกรรมที่ผิดปกติ เช่น หากพบว่ามี IP ในวง Office พยายามสแกนพอร์ตไปยังวง OT หรือมีการรับส่งข้อมูลมหาศาลในช่วงกลางคืน ระบบจะทำการส่งแจ้งเตือนผ่าน Telegram หรือ Email ทันที ทำให้ทีม IT ตัดการเชื่อมต่อของเครื่องที่ติดเชื้อได้ก่อนที่ Ransomware จะแพร่กระจายเต็มโรงงาน

เคสตัวอย่างจริงจากประสบการณ์ของ SIAM-LOGIN

เมื่อปีที่แล้ว ผมได้เข้าไปดูแลโรงงานแปรรูปอาหารแห่งหนึ่งในจังหวัดสมุทรปราการ โรงงานนี้กำลังขยายอาคารผลิตใหม่ แต่ประสบปัญหาระบบ Network เดิมล่มบ่อย และเคยถูก Ransomware โจมตีจนฝั่งออฟฟิศทำงานไม่ได้ไป 3 วัน

ผมและทีมงาน SIAM-LOGIN ได้เข้าไปทำการออกแบบสถาปัตยกรรมเครือข่ายใหม่ทั้งหมด โดย:

• รื้อระบบสายสัญญาณเดิม แล้ววาง Backbone เป็น Fiber Optic 10Gbps แบบ Redundant Ring
• ติดตั้ง Core Switch และกำหนด VLAN Segmentation แยกฝั่ง Office, Production, CCTV, และ Wi-Fi แยกจากกันเด็ดขาด
• ตั้งค่า Firewall Rule บน MikroTik Router เพื่อบล็อก Traffic ที่ไม่พึงประสงค์ข้ามวง และเปิดใช้งาน VPN (WireGuard) พร้อม 2FA สำหรับวิศวกรที่ต้องการเข้ามาดูแลเครื่องจักรจากภายนอก

ผลลัพธ์คือ โรงงานสามารถเปิดไลน์การผลิตอาคารใหม่ได้อย่างราบรื่น อุปกรณ์รับส่งข้อมูลได้รวดเร็วขึ้นอย่างเห็นได้ชัด และที่สำคัญคือ เมื่อฝั่งออฟฟิศเจอไฟล์ต้องสงสัย ระบบ Firewall ก็ช่วยกักกันไม่ให้ภัยคุกคามทะลวงเข้าไปยังไลน์การผลิตได้แม้แต่น้อยครับ

สรุปแนวทางวางระบบเครือข่ายโรงงาน

การ วางระบบ Network โรงงาน ไม่ใช่แค่เรื่องของการเสียบสาย LAN ให้เครื่องจักรคุยกันได้ครับ แต่คือการออกแบบโครงสร้างพื้นฐานที่ต้องคำนึงถึงความเสถียร ความปลอดภัย และความยืดหยุ่นในการขยายตัวในอนาคต การลงทุนวางระบบ VLAN และ Security ที่ถูกต้องตั้งแต่แรก จะช่วยเซฟเงินกู้ภัยไซเบอร์และค่าเสียโอกาสในสายการผลิตได้มหาศาลครับ

หากโรงงานของคุณกำลังเจอปัญหาสายระเกะระกะ ระบบหลุดบ่อย หรือต้องการประเมินความปลอดภัยของ Network ฝั่ง IT/OT สามารถทักมาปรึกษาผมและทีมงาน SIAM-LOGIN ได้ตลอดครับ พวกเราพร้อมเข้าไปช่วยดูหน้างานและออกแบบระบบที่เหมาะสมกับงบประมาณและรูปแบบธุรกิจของคุณครับ