วางโครงสร้าง Network Segmentation แยก VLAN ป้องกันไซเบอร์

ตีสองครึ่งของคืนวันเสาร์ เสียงโทรศัพท์ผมดังขึ้น ปลายสายเป็น IT Manager ของโรงงานผลิตชิ้นส่วนแห่งหนึ่งในสมุทรปราการ เสียงเขาตื่นตระหนกจนจับใจความแทบไม่ได้ 'พี่ครับ ไวรัสแลนซอมแวร์มันล็อกไฟล์เครื่องฝ่ายบัญชีหมดเลย แล้วตอนนี้มันกำลังลามข้ามไปเครื่องควบคุมเครื่องจักรในฝ่ายผลิตแล้วครับ!' พอผมรีบ Remote เข้าไปดู ก็พบฝันร้ายที่คนทำระบบทุกคนไม่อยากเจอ เครือข่ายทั้งหมดของโรงงานนี้ถูกวงไว้ในวงแลนเดียว หรือที่พวกผมเรียกว่า Flat Network อุปกรณ์ทุกชิ้นตั้งแต่คอมพิวเตอร์พนักงาน กล้องวงจรปิด ยันเครื่องแม่ข่ายเซิร์ฟเวอร์ คุยกันได้โดยไม่มีอะไรคั่น เมื่อเครื่องหนึ่งติดเชื้อ มันจึงกระจายตัวไปทั่วยกออฟฟิศภายในเวลาไม่ถึงสิบนาที

เหตุการณ์คืนนั้นทำให้ผมต้องนั่งแก้งานข้ามคืน และกลายเป็นบทเรียนราคาแพงที่ทำให้ผมต้องย้ำกับลูกค้า SIAM-LOGIN ทุกรายเสมอว่า การออกแบบ VLAN และการทำ Network Segmentation ไม่ใช่เรื่องทางเลือกสำหรับองค์กรอีกต่อไป แต่เป็นเกราะป้องกันภัยคุกคามไซเบอร์ชั้นแรกสุดที่คุณต้องมี

ทำไมวงเครือข่ายแบบ Flat Network ถึงเป็นอันตรายรุนแรง

หลายบริษัทมักเริ่มต้นด้วยการต่อ Router เข้ากับ Switch แล้วเสียบสายแลนให้ทุกคนใช้งานได้ทันที วิธีนี้ง่าย ประหยัด แต่ในมุมมองด้านความปลอดภัยไซเบอร์ มันเปรียบเสมือนบ้านหลังใหญ่ที่ไม่มีประตูกั้นระหว่างห้องนอน ห้องครัว และห้องเก็บเงิน

เมื่อแฮกเกอร์ฝังมัลแวร์เข้าเครื่องพนักงานผ่านอีเมลตกหลุม (Phishing Email) สิ่งแรกที่มัลแวร์จะทำคือการสำรวจเครือข่ายรอบตัว หรือที่เรียกว่า Lateral Movement เพื่อค้นหาช่องโหว่ของเครื่องอื่นในวง Subnet เดียวกัน หากคุณไม่มีการกั้นโซน มัลแวร์จะสามารถสแกนเจอเครื่อง Server ที่เก็บข้อมูลสำคัญ และเข้าจู่โจมได้อย่างง่ายดาย

โครงสร้างการแบ่งโซน VLAN สำหรับองค์กรยุคใหม่

จากประสบการณ์ที่ผมไปวางระบบให้องค์กรและออฟฟิศขนาดกลางถึงใหญ่ การทำโซนเครือข่ายที่ปลอดภัยและดูแลรักษาง่าย ควรกระจายกลุ่มใช้งานออกเป็น Subnet และ VLAN ID แยกจากกันอย่างเด็ดขาด ดังนี้ครับ

1. Management VLAN (VLAN 10)

วงนี้มีไว้สำหรับพอร์ตบริหารจัดการอุปกรณ์เครือข่ายโดยเฉพาะ ไม่ว่าจะเป็น Core Switch, Access Point, MikroTik Router หรือ IP PDU อนุญาตให้เข้าถึงได้เฉพาะเครื่องของทีม IT ผ่านการยืนยันตัวตนที่เข้มงวดเท่านั้น

2. Corporate Staff VLAN (VLAN 20)

สำหรับคอมพิวเตอร์และโน้ตบุ๊กของพนักงานในองค์กรที่ลงทะเบียนถูกต้อง วงนี้จะสามารถออกอินเทอร์เน็ตได้ และเข้าถึงระบบงานที่จำเป็นตามสิทธิ์ของแต่ละแผนก

3. Server & Data Center VLAN (VLAN 30)

โซนเครื่องแม่ข่ายที่เก็บฐานข้อมูล ERP, File Server และระบบ Authentik หรือ Radius Server วงนี้ต้องถูกบล็อกไม่ให้เชื่อมต่อโดยตรงกับเครื่องพนักงานทั่วไป ต้องผ่านกฎ Firewall Policy อย่างเคร่งครัด

4. IoT & CCTV VLAN (VLAN 40)

กล้องวงจรปิด เครื่องสแกนนิ้วมือ คีย์การ์ด และอุปกรณ์อัจฉริยะต่างๆ มักเป็นจุดอ่อนที่ถูกแฮกเกอร์ใช้เป็นทางผ่านเนื่องจาก Firmware ไม่ค่อยได้รับการอัปเดต จึงต้องแยกไว้วงเฉพาะและตัดสิทธิ์การออกอินเทอร์เน็ตภายนอกหากไม่จำเป็น

5. Guest WiFi VLAN (VLAN 50)

โซนสำหรับผู้มาติดต่อหรืออุปกรณ์ส่วนตัวของพนักงาน (BYOD) วงนี้จะถูก isolation ห้ามมองเห็นอุปกรณ์อื่นในองค์กรอย่างสิ้นเชิง ทำหน้าที่เพียงส่งผู้ใช้ไปยังหน้า Captive Portal เพื่อล็อกอินใช้งานอินเทอร์เน็ตเท่านั้น

หัวใจสำคัญ: กฎ Firewall Policy และ Inter-VLAN Routing

การแบ่ง VLAN บน Layer 2 Switch เป็นเพียงครึ่งทางของความปลอดภัยครับ การควบคุมทราฟฟิกบน Layer 3 ด้วย Firewall Router หรือ MikroTik คือจุดที่จะตัดสินว่าระบบคุณรอดหรือร่วงเมื่อโดนโจมตี

แนวคิดที่ผมใช้ในการตั้งค่ากั้นโซนเสมอคือหลักการ Zero Trust และ Default Deny นั่นคือ การสั่งบล็อกการสื่อสารระหว่าง VLAN ทั้งหมดเป็นค่าเริ่มต้น (Drop All Inter-VLAN Traffic) แล้วค่อยเปิดอนุญาตเฉพาะ Port และ IP ที่จำเป็นจริงๆ เท่านั้น เช่น

• อนุญาตให้ VLAN 20 (Staff) เรียกใช้บริการ Web App บน VLAN 30 (Server) ผ่าน Port 443 ได้เท่านั้น แต่ห้ามปิงหรือ SSH ข้ามวง
• ห้าม VLAN 40 (CCTV) ส่งข้อมูลไปยัง VLAN อื่นๆ โดยเด็ดขาด ให้อนุญาตบันทึกภาพไปยัง NVR Server ในพอร์ตที่กำหนดเท่านั้น
• ตัดการเชื่อมต่อจาก VLAN 50 (Guest) ไม่ให้เข้าถึง IP Address ภายในขององค์กรทุกกรณี

แนวทางการปรับปรุงระบบเครือข่ายเดิมโดยไม่กระทบงาน

หากองค์กรของคุณกำลังใช้งานระบบเดิมอยู่ การจะรื้อทำ Network Segmentation ใหม่ทั้งหมดอาจฟังดูเป็นเรื่องใหญ่ แต่จากประสบการณ์ของผม เราสามารถทำแบบค่อยเป็นค่อยไปได้ครับ

เริ่มต้นจากการสำรวจทราฟฟิกจริงในระบบ (Network Mapping) เพื่อดูว่ามีอุปกรณ์อะไรบ้าง และใครต้องคุยกับใคร จากนั้นทำการกำหนด Trunk Port เชื่อมต่อระหว่าง Switch กับ Router หลัก กำหนด VLAN Tagging (802.1Q) แล้วค่อยๆ ย้ายอุปกรณ์ทีละกลุ่มเข้า Subnet ใหม่ ในช่วงแรกอาจตั้งกฎ Firewall ให้ Log ดูทราฟฟิกก่อนล็อกจริง เพื่อป้องกันไม่ให้กระทบกับการทำงานปกติของพนักงาน

การลงทุนวางโครงสร้าง การออกแบบ VLAN อย่างถูกต้องตั้งแต่เนิ่นๆ ใช้งบประมาณน้อยกว่าค่ากู้คืนระบบและค่าเสียหายเมื่อโดนแลนซอมแวร์เล่นงานหลายเท่าตัวครับ หากคุณต้องการคำปรึกษาเกี่ยวกับการจัดโครงสร้างเครือข่ายองค์กรให้ปลอดภัย ทีมงาน SIAM-LOGIN พร้อมนำประสบการณ์จากสนามจริงไปช่วยดูแลระบบของคุณครับ