วิธีป้องกันภัยคุกคามไซเบอร์โรงงานด้วย Firewall และ VLAN

มีอยู่คืนหนึ่งตอนห้าทุ่ม สายด่วนจากผู้จัดการฝ่าย IT ของโรงงานผลิตชิ้นส่วนยานยนต์แห่งหนึ่งโทรหาผมด้วยน้ำเสียงลนลาน 'ช่างครับ เครื่อง PLC ในไลน์ผลิตหยุดทำงานหมดเลย จอคอมพิวเตอร์ที่ใช้ควบคุมหุ่นยนต์โดน Ransomware ล็อกไฟล์เรียบร้อยแล้ว!' พอผมรุดเข้าไปเช็กหน้างาน ก็พบต้นตอที่น่าตกใจ เพราะมันไม่ได้เริ่มจากแฮกเกอร์ระดับโลกที่ไหน แต่เริ่มจากพนักงานฝ่ายขายคนหนึ่งนำ Flash Drive จากบ้านมาเสียบกับคอมพิวเตอร์ออฟฟิศ แล้วมัลแวร์ก็แพร่กระจายข้ามไปถล่มเครื่องจักรในสายการผลิต (OT System) ทั้งโรงงานในเวลาไม่ถึง 20 นาที เหตุการณ์วันนั้นทำให้โรงงานต้องหยุดสายการผลิตไปเกือบ 3 วัน คิดเป็นมูลค่าความเสียหายหลายล้านบาท

จากประสบการณ์ทำระบบเครือข่ายให้โรงงานอุตสาหกรรมมาหลายสิบแห่ง ผมพบว่าจุดอ่อนที่น่ากลัวที่สุดไม่ใช่การไม่มี Antivirus ครับ แต่คือการปล่อยให้เครือข่ายเป็น Flat Network หรือการที่อุปกรณ์ทุกชิ้น ตั้งแต่คอมพิวเตอร์การเงิน กล้องวงจรปิด WiFi แขก ไปจนถึงเครื่องจักร SCADA และ PLC เชื่อมต่ออยู่ในวง LAN เดียวกันทั้งหมด

ทำไม Flat Network ถึงเป็นฝันร้ายที่สุดของภัยคุกคามไซเบอร์โรงงาน

การจัดโครงสร้างเครือข่ายแบบวงเดียวทั้งหมด (Flat Network) เปรียบเหมือนบ้านหลังใหญ่ที่ไม่มีประตูกั้นห้องเลยครับ เมื่อมีผู้บุกรุกหรือมีมัลแวร์หลุดเข้ามาทางประตูหน้าบ้าน มันจะสามารถเดินเข้าถึงห้องนอน ห้องเก็บเงิน และห้องทำงานได้ทันทีโดยไม่มีอะไรขวางกั้น

ในฝั่งของระบบอุตสาหกรรม อุปกรณ์ควบคุมการผลิตอย่าง PLC (Programmable Logic Controller) หรือระบบ SCADA ส่วนใหญ่ถูกออกแบบมาเน้นความเสถียรในการทำงานต่อเนื่องเป็นหลัก แต่ไม่ได้ถูกออกแบบมาให้มีระบบ Security เข้มงวดเหมือนคอมพิวเตอร์ทั่วไป หากอุปกรณ์ในฝั่ง IT (สำนักงาน) ติดไวรัส มัลแวร์จะสแกนหาช่องทางผ่าน Network Broadcast และโจมตีอุปกรณ์ฝั่ง OT (ไลน์ผลิต) ได้ง่ายดาย นี่คือเหตุผลว่าทำไมการป้องกันภัยคุกคามไซเบอร์โรงงานจึงต้องเริ่มจากการแยกโซนเครือข่าย

การแบ่ง VLAN Network: กำแพงกั้นห้องป้องกันไวรัสลุกลาม

โซลูชันแรกที่ผมนำมาแก้ปัญหานี้เสมอคือการทำ Network Segmentation ด้วยการแบ่ง VLAN (Virtual Local Area Network) ผ่าน Managed Switch Layer 2 หรือ Layer 3 ครับ การแบ่ง VLAN คือการย่อยเครือข่ายกายภาพเส้นเดียว ให้กลายเป็นเครือข่ายเสมือนหลายๆ วงที่ตัดขาดออกจากกันโดยสิ้นเชิง

โครงสร้าง VLAN มาตรฐานสำหรับโรงงานอุตสาหกรรมที่ผมแนะนำให้จัดกลุ่ม มีดังนี้ครับ:

• VLAN 10 (Office & ERP Zone): สำหรับคอมพิวเตอร์ฝ่ายบริหาร การเงิน การตลาด และเครื่องพิมพ์
• VLAN 20 (OT & Production Line Zone): สำหรับเครื่องจักร PLC, SCADA, HMI และหุ่นยนต์ในสายการผลิต
• VLAN 30 (IoT & CCTV Zone): สำหรับกล้องวงจรปิด ระบบ Access Control และเซนเซอร์ต่างๆ
• VLAN 40 (Guest WiFi Zone): สำหรับผู้มาติดต่อ หรือซัพพลายเออร์ที่เข้ามาใช้อินเทอร์เน็ตชั่วคราว

เมื่อเราแยก VLAN ออกจากกันแล้ว ต่อให้คอมพิวเตอร์ใน VLAN 10 ติด Ransomware มัลแวร์ตัวนั้นก็จะไม่สามารถมองเห็นหรือวิ่งข้ามไปหากลุ่มเครื่องจักรใน VLAN 20 ได้เลย เพราะอยู่กันคนละวงเครือข่ายโดยสมบูรณ์

การตั้งค่า Firewall Rules และ Inter-VLAN Routing ควบคุมการข้ามวง

แน่นอนว่าในทางปฏิบัติ ฝ่ายผลิตอาจจะยังต้องดึงข้อมูลการสั่งซื้อจากระบบ ERP ในออฟฟิศ หรือวิศวกรอาจจะต้องรีโมทเข้าไปปรับตั้งค่าเครื่องจักร ตรงนี้แหละครับคือหน้าที่ของ Firewall โรงงาน (Enterprise Firewall Router) เช่น MikroTik หรือ FortiGate ที่เข้ามาคุมตรงกลาง

การเชื่อมต่อระหว่าง VLAN ต้องผ่านกระบวนการ Inter-VLAN Routing บน Firewall เท่านั้น และเราจะปรับกฎความปลอดภัย (Access Control List - ACL) แบบ Zero Trust คือ 'บล็อกทั้งหมดไว้ก่อน (Deny All) แล้วอนุญาตเฉพาะสิ่งที่จำเป็นจริงๆ เท่านั้น (Allow Explicit)'

ตัวอย่างการตั้งค่า Firewall Rules ที่ปลอดภัยสำหรับโรงงาน:

• ไม่อนุญาตให้ VLAN Guest WiFi และ VLAN Office เข้าถึง VLAN OT ได้โดยตรงทุกกรณี
• อนุญาตให้เฉพาะ IP Address ของเครื่องวิศวกรที่ระบุไว้ เข้าถึงพอร์ต Modbus/TCP (Port 502) ใน VLAN OT ได้เฉพาะช่วงเวลาทำงาน
• บล็อกการเชื่อมต่อออกอินเทอร์เน็ตภายนอกสำหรับเครื่อง PLC และกล้องวงจรปิด เพื่อป้องกันการแอบส่งข้อมูลออก (Data Exfiltration) หรือโดนควบคุมจากระยะไกล

3 ขั้นตอนที่ SIAM-LOGIN ใช้ปรับปรุง Industrial Network Security

หากคุณเป็นเจ้าของโรงงานหรือผู้ดูแลระบบ IT ที่ต้องการยกระดับความปลอดภัยระบบเครือข่าย ผมแนะนำให้เริ่มทำตาม 3 ขั้นตอนนี้ครับ:

1. สำรวจโครงสร้างและจัดทำ Network Map (Audit & Topology)

รวบรวมรายชื่อ IP Address, MAC Address และพอร์ตการเชื่อมต่อของอุปกรณ์ทั้งหมดในโรงงาน แยกแยะให้ออกว่าอุปกรณ์ชิ้นไหนอยู่ในกลุ่ม IT และชิ้นไหนคือกลุ่ม OT

2. เปลี่ยนมาใช้อุปกรณ์ Managed Switch และ Firewall มาตรฐานสูง

เลิกใช้ Unmanaged Switch ตัวละไม่กี่ร้อยบาทในไลน์ผลิต แล้วเปลี่ยนมาใช้ Managed Switch ที่รองรับ 802.1Q VLAN และเชื่อมต่อไปยัง Gateway ซึ่งเป็น Enterprise Firewall เพื่อควบคุม Traffic ทั้งหมด

3. ทำ Port Security และปิดพอร์ต LAN ที่ไม่ได้ใช้งาน

นอกจากแบ่ง VLAN และตั้ง Firewall แล้ว ให้เปิดใช้งาน Port Security บน Managed Switch เพื่อล็อก MAC Address ของอุปกรณ์ประจำพอร์ต ป้องกันไม่ให้ใครแอบนำโน้ตบุ๊กส่วนตัวหรืออุปกรณ์แปลกปลอมมาเสียบสาย LAN ในโรงงานได้

สรุป: การป้องกันภัยคุกคามไซเบอร์โรงงาน ไม่ใช่เรื่องไกลตัว

การลงทุนวางโครงสร้างการแบ่ง VLAN Network และติดตั้ง Firewall Rules ที่รัดกุม ไม่ได้มีไว้แค่ตอบโจทย์มาตรฐาน ISO 27001 หรือเอาใจประกันภัยเท่านั้นครับ แต่มันคือเกราะป้องกันเดียวที่จะช่วยเซฟไลน์การผลิตมูลค่ามหาศาลของคุณไม่ให้หยุดชะงักเพียงเพราะความผิดพลาดเล็กๆ น้อยๆ จากการใช้งานอินเทอร์เน็ต

หากโรงงานของคุณยังใช้ เครือข่ายแบบวงเดียว (Flat Network) หรือไม่แน่ใจว่าระบบที่มีอยู่นั้นปลอดภัยพอหรือยัง ทีมวิศวกรของ SIAM-LOGIN พร้อมเข้าไปช่วยประเมินความเสี่ยง ออกแบบสถาปัตยกรรม Network และเซ็ตอัปอุปกรณ์แบบครบวงจร เพื่อให้สายการผลิตของคุณเดินหน้าได้อย่างมั่นใจและปลอดภัยจากไซเบอร์อย่างแท้จริงครับ