วางโครงสร้าง Network Infrastructure โรงงาน ปลอดภัย รองรับ IoT

โทรศัพท์ผมดังตอนตี 1 ครึ่งจากผู้จัดการฝ่ายผลิตของโรงงานชิ้นส่วนยานยนต์แห่งหนึ่งในสมุทรปราการ ปลายสายเสียงสั่นเพราะไลน์ประกอบหยุดชะงักกระทันหัน หุ่นยนต์แขนกลดับไป 3 ตัว สแกนบาร์โค้ดส่งข้อมูลเข้า ERP ไม่ได้ พนักงานกะดึกรอกันเกือบห้าสิบชีวิต ความเสียหายคิดเป็นนาทีละหลักแสน พอผมบึ่งรถไปถึงและเช็กระบบเครือข่าย ปรากฏว่าพนักงานกะดึกเอาอุปกรณ์ Android Box และ IP Camera ราคาถูกจากบ้านมาเสียบสาย LAN ในไลน์ผลิตเพื่อจะดูบอล แต่ตัวอุปกรณ์ติดมัลแวร์และยิง Broadcast Storm ถล่มเน็ตเวิร์กทั้งโรงงานจนร่วงในพริบตา

เหตุการณ์คืนนั้นทำให้ผมเห็นชัดเจนว่า การวางโครงสร้าง Network Infrastructure โรงงานแบบยุคเก่าที่เอาทุกอย่างมารวมในวง LAN เดียวกัน (Flat Network) มันอันตรายแค่ไหน โดยเฉพาะในยุคที่โรงงานพยายามเปลี่ยนผ่านสู่ Industry 4.0 ที่มีอุปกรณ์ IoT Network เพิ่มเข้ามานับร้อยนับพันตัว

สาเหตุหลักที่ Network โรงงานยุค IoT ล่มง่ายกว่าที่คิด

โรงงานอุตสาหกรรมส่วนใหญ่มักเริ่มต้นจากระบบเครือข่ายขนาดเล็ก แล้วค่อยๆ ต่อเติม Switch เพิ่มสาย LAN ไปเรื่อยๆ เมื่อเวลาผ่านไป ระบบฝั่ง IT (สำนักงาน, ระบบบัญชี, ERP) กับฝั่ง OT (Operational Technology เช่น PLC, SCADA, แขนกล, Sensor) จึงเชื่อมถึงกันโดยไม่มีอะไรกั้น

จุดอ่อนที่ผมพบเจอประจำเป็นประจำในการทำงานจริง ได้แก่:

• การไม่มีการตัดแยกวงเครือข่าย (No Isolation): เมื่อคอมพิวเตอร์ออฟฟิศติดไวรัส มัลแวร์จะวิ่งทะลุเข้าหา PLC ในไลน์ผลิตได้ทันที
• อุปกรณ์ IoT ขาดมาตรการรักษาความปลอดภัย: Sensor หรือ Smart Meter ราคาถูกมักเปลี่ยนรหัสผ่าน Defaultไม่ได้ หรือไม่มีแพตช์อัปเดตความปลอดภัย ทำให้กลายเป็นช่องโหว่ให้แฮกเกอร์ใช้เป็นเครื่องมือ
• สภาพแวดล้อมไม่เหมาะสม: การนำ Switch เกรดออฟฟิศทั่วไปไปวางในไลน์ผลิตที่มีความร้อน ความชื้นสูง หรือมีคลื่นแม่เหล็กไฟฟ้าแทรกซ้อน ทำให้แพ็กเกจข้อมูลสูญหายและอุปกรณ์ค้างบ่อยครั้ง

4 สถาปัตยกรรมวางโครงสร้าง Network Infrastructure โรงงานอุตสาหกรรม

หากคุณเป็นผู้บริหาร IT หรือวิศวกรโรงงานที่ต้องการปรับปรุงระบบให้มีความนิ่ง ปลอดภัยตามมาตรฐาน OT Security ผมขอแนะนำแนวทางที่ผมใช้ใช้วางระบบให้ลูกค้า SIAM-LOGIN ดังนี้ครับ

1. ทำ VLAN Segmentation แยก Network Isolation ชัดเจน

สิ่งแรกที่ต้องทำทันทีคือการใช้เทคโนโลยี VLAN Segmentation เพื่อตัดแบ่งวงเครือข่ายออกจากกันโดยสิ้นเชิง โดยแบ่งกลุ่ม traffic ออกเป็นอย่างน้อย 4 วงหลัก:

• VLAN Office (IT): สำหรับคอมพิวเตอร์พนักงาน อุปกรณ์สำนักงาน ปริ้นเตอร์
• VLAN Production (OT): สำหรับ PLC, SCADA, HMI, Robot ที่ต้องเสถียรสูงสุด ห้ามอินเทอร์เน็ตเข้าถึงโดยตรง
• VLAN IoT Network: สำหรับ Sensor, IP Camera, Smart Meter, อุปกรณ์วัดค่าต่างๆ
• VLAN Guest: สำหรับผู้รับเหมาหรือซัพพลายเออร์ที่เข้ามาทำงาน ชี้ตรงออกอินเทอร์เน็ตอย่างเดียว ห้ามมองเห็นวงอื่น

การทำ Network Isolation ลักษณะนี้ จะช่วยจำกัดขอบเขตความเสียหาย หากวงใดวงหนึ่งถูกโจมตี วงอื่นจะยังคงทำงานได้ตามปกติไลน์ผลิตจะไม่หยุดชะงัก

2. กำหนด Firewall Rules และ Access Control List (ACL) เข้มงวด

เมื่อแยก VLAN แล้ว ต้องมีอุปกรณ์คอยคุมประตูทางเข้าออก การเลือกใช้ MikroTik Router หรือ Enterprise Firewall มาคั่นกลางระหว่างวง VLAN เป็นสิ่งจำเป็นอย่างยิ่ง โดยเราจะกำหนด Firewall Rules แบบ Explicit Deny (บล็อกทั้งหมดก่อน แล้วค่อยเปิดเฉพาะ Port ที่จำเป็น)

ตัวอย่างเช่น อนุญาตให้เครื่อง Server ERP ในวง IT ดึงข้อมูลจากฐานข้อมูลในวง OT ผ่าน Port 443 ได้เท่านั้น แต่ห้ามคอมพิวเตอร์ทั่วไปในวง IT ปิงหรือรีโมตเข้าไปยัง PLC ในวง OT โดยเด็ดขาด

3. เลือกใช้ Industrial Switch ในพื้นที่ไลน์ผลิต

อุปกรณ์เครือข่ายในออฟฟิศไม่เหมาะกับไลน์ผลิตครับ ผมมักแนะนำให้ลูกค้าปรับมาใช้ Industrial Switch ในจุดที่สุ่มเสี่ยง เพราะอุปกรณ์เกรดนี้ถูกออกแบบมาให้ทนความร้อนสูง ทนต่อแรงสั่นสะเทือน และมีระบบป้องกันคลื่นแม่เหล็กไฟฟ้า (ESD/EFT Protection) รวมถึงรองรับเทคโนโลยี Ring Topology ที่เมื่อสาย LAN ขาดไป 1 เส้น ระบบจะสลับไปใช้สายสำรองได้ภายในเวลาไม่ถึง 20 มิลลิวินาที

4. ตั้งค่า Bandwidth Management และ QoS ให้ระบบวิกฤตเสมอ

ในโรงงานที่มีการส่งข้อมูลมหาศาล เราต้องทำ Bandwidth Management และจัดการ Quality of Service (QoS) เพื่อจัดลำดับความสำคัญของข้อมูล Data Packet จาก SCADA หรือสแกนเนอร์บาร์โค้ดในไลน์ผลิต ต้องได้รับ Priority สูงสุดเหนือการดึงไฟล์เอกสารหรือการดูวิดีโอของออฟฟิศเสมอ

สรุป: การป้องกันดีกว่าการแก้ไขในระบบเครือข่ายโรงงาน

การปรับปรุงโครงสร้างเน็ตเวิร์กโรงงาน ไม่ใช่เรื่องของการซื้ออุปกรณ์ราคาแพงมาเปลี่ยนทั้งหมด แต่เป็นการวางสถาปัตยกรรมที่ถูกต้องตามหลัก Security และ Availability การลงทุนวางโครงสร้าง Network Infrastructure โรงงานให้ครอบคลุมตั้งแต่เนิ่นๆ จะช่วยลดความเสี่ยงจากเหตุการณ์ไลน์ผลิตหยุดชะงักที่อาจสูญเสียเงินนับล้านบาทเพียงเพราะมัลแวร์ตัวเดียว

หากโรงงานของคุณกำลังเจอปัญหาเน็ตเวิร์กล่มบ่อย หรือต้องการวางระบบใหม่ให้รองรับมาตรฐานความปลอดภัย สามารถติดต่อผมและทีมงาน SIAM-LOGIN เพื่อประเมินหน้างานและออกแบบระบบที่เหมาะสมกับงบประมาณของคุณได้ครับ