วิธีป้องกันภัยคุกคามไซเบอร์ในองค์กร ด้วย Network Security และ Captive Portal

ออฟฟิศสถาปนิกและออกแบบตกแต่งย่านสาทรที่ผมเพิ่งเข้าไปช่วยวางระบบเมื่อเดือนก่อน เจอแจ็คพอตเข้าอย่างจัง เมื่อคอมพิวเตอร์พนักงานในฝ่ายประเมินราคาถูกมัลแวร์เรียกค่าไถ่หรือ Ransomware ล็อกไฟล์แบบยกแผนก สาเหตุไม่ได้มาจากคนนอกเจาะระบบเข้ามาตรงๆ หรอกครับ แต่เกิดจากลูกค้าที่มาร่วมประชุมขอรหัส WiFi ออฟฟิศไปใช้งาน แล้วนำเครื่องโน้ตบุ๊กส่วนตัวที่มีมัลแวร์ซ่อนอยู่มาเชื่อมต่อเครือข่ายเดียวกับเครื่อง NAS ที่เก็บไฟล์งานทั้งหมดของบริษัท

เหตุการณ์แบบนี้ไม่ใช่เรื่องใหม่ แต่เป็นช่องโหว่พื้นฐานที่หลายองค์กรมองข้าม บทความนี้ผมจะเล่าถึงวิธีป้องกันภัยคุกคามไซเบอร์ด้วยการวางโครงสร้างระบบ Security และการประยุกต์ใช้ Captive Portal เพื่อล็อกดาวน์เครือข่ายองค์กรให้ปลอดภัยครับ

ทำไม WiFi แจกฟรีในออฟฟิศ ถึงเป็นจุดเริ่มต้นของภัยคุกคามไซเบอร์

เวลาที่เราให้ Password WiFi แก่ซัพพลายเออร์หรือผู้มาติดต่อ นั่นหมายความว่าเรากำลังยื่นลูกกุญแจประตูบ้านชั้นในให้เขาไปโดยไม่รู้ตัว หากเครือข่ายภายในไม่มีการแบ่งแยกโซน (Network Segmentation) อุปกรณ์ของผู้มาติดต่อจะมองเห็นเซิร์ฟเวอร์ เครื่องพิมพ์ และคอมพิวเตอร์ของพนักงานในองค์กรได้ทั้งหมด

เมื่อเครื่องภายนอกมีไวรัส Ransomware หรือ Botnet ติดมาด้วย มัลแวร์เหล่านั้นจะทำการสแกนหาช่องโหว่ข้ามเครื่องผ่าน Protocol ภายใน เช่น SMB หรือ NetBIOS ทันที และนี่คือจุดที่การตั้งค่า Network Security เข้ามามีบทบาทสำคัญในการหยุดยั้งความเสียหาย

3 ขั้นตอนการตั้งค่า Network Security และ Captive Portal ในองค์กร

จากประสบการณ์การวางระบบให้ลูกค้าของ SIAM-LOGIN ผมสรุปแนวทางที่ทำได้จริงและเห็นผลทันทีออกเป็น 3 ส่วนหลัก ดังนี้ครับ

1. ตัดแยกวง VLAN ระหว่าง Corporate และ Guest อย่างเด็ดขาด

สิ่งแรกที่ต้องทำคือการแยก traffic ของพนักงานออกจากผู้มาติดต่ออย่างสมบูรณ์ โดยใช้ VLAN (Virtual Local Area Network) แยกวง IP Address ออกจากกัน เช่น VLAN 10 สำหรับพนักงาน และ VLAN 20 สำหรับ Guest จากนั้นตั้งค่า Firewall MikroTik หรือ Core Switch ให้บล็อกการสื่อสารข้ามวง VLAN โดยสิ้นเชิง ให้วง Guest สามารถวิ่งออกอินเทอร์เน็ตได้อย่างเดียวเท่านั้น

2. ยืนยันตัวตนผู้ใช้งานด้วย Captive Portal และ Radius Server

การแจก Pre-Shared Key หรือรหัสผ่าน WiFi ชุดเดียวใช้งานทั้งออฟฟิศ ถือเป็นความเสี่ยงอย่างมาก เราควรเปลี่ยนมาใช้ระบบ Captive Portal หน้าล็อกอินยืนยันตัวตนก่อนเข้าใช้งานอินเทอร์เน็ต

• สำหรับพนักงาน: ผูกการล็อกอินเข้ากับ Radius Server หรือ Active Directory โดยใช้บัญชีส่วนบุคคล เพื่อให้ระบุตัวตนได้ชัดเจนว่าใครทำอะไรในระบบ
• สำหรับ Guest: ให้ลงทะเบียนผ่าน Captive Portal โดยรับ OTP ทาง SMS หรือจำกัดเวลาใช้งานด้วย One-Time Ticket รหัสผ่านจะหมดอายุทันทีเมื่อใช้งานครบตามกำหนด

3. บันทึก Traffic Logs ให้ถูกต้องตาม พ.ร.บ.คอมพิวเตอร์

นอกจากเรื่องความปลอดภัยแล้ว การจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ (Log File) เป็นเวลาไม่น้อยกว่า 90 วัน คือหน้าที่ตามกฎหมายที่ผู้ประกอบการปฏิเสธไม่ได้ การมี Captive Portal ร่วมกับ Log Server จะช่วยผูกข้อมูล IP Address, MAC Address และ identity ของผู้ใช้งานเข้าไว้ด้วยกัน หากเกิดเหตุการณ์บุกรุกหรือกระทำผิด เราจะสามารถตรวจสอบย้อนหลังได้อย่างแม่นยำ

ข้อควรระวังในการคอนฟิกระบบที่หลายคนมักพลาด

บ่อยครั้งที่ผมไปตรวจเช็กระบบแล้วพบว่า มีการเปิด Captive Portal ไว้จริง แต่ลืมปิดบริการบางอย่างใน Router เช่น การเปิดให้ย้อนกลับมาเข้าหน้า Web Management ของ MikroTik จากวง Guest ได้ หรือไม่ได้จำกัด Bandwidth ของผู้มาติดต่อ ทำให้วง Guest ดึงเน็ตจนสายงานหลักขององค์กรกระตุก

การปรับปรุงระบบ Security ไม่ใช่แค่การซื้ออุปกรณ์ราคาสูงมาปลั๊กอิน แต่คือการออกแบบนโยบายความปลอดภัย (Security Policy) และลงมือตั้งค่ากฎ Firewall Rule ให้รัดกุมที่สุดครับ