วิธีออกแบบ Network Infrastructure และไซเบอร์ด้วย Next-Gen Firewall

นิคมอุตสาหกรรมแห่งหนึ่งในจังหวัดระยอง เมื่อต้นปีที่ผ่านมา สายด่วนของ SIAM-LOGIN สั่นไม่หยุด เสียงปลายสายจากฝ่าย IT แจ้งด้วยความตื่นตระหนกว่า เครื่องจักรในไลน์ผลิตหยุดทำงานกะทันหัน เพราะระบบควบคุมถูกไวรัสเรียกค่าไถ่แพร่กระจายข้ามมาจากฝั่งออฟฟิศ ทั้งที่โรงงานแห่งนั้นติดตั้งไฟร์วอลล์รุ่นดั้งเดิมไว้ที่ประตูหน้าของเครือข่ายแล้ว

เหตุการณ์วันนั้นทำให้นึกถึงความจริงข้อหนึ่งในโลกไอที เหตุใดการป้องกันเพียงแค่ IP Address และ Port แบบเดิมถึงไม่เพียงพออีกต่อไป วันนี้ผมเลยอยากนำประสบการณ์จริงจากการเข้าไปแก้ปัญหาหน้างาน และการวางโครงสร้างระบบให้ลูกค้าองค์กรหลายสิบแห่ง มาแชร์วิธีก่อร่างสร้าง Network Infrastructure ที่ปลอดภัย สู้กับภัยคุกคามยุคนี้ได้ด้วย Next-Gen Firewall ครับ

ทำไมระบบเครือข่ายเดิม ถึงรับมือภัยคุกคามยุคนี้ไม่ได้?

สมมติว่า Network Architecture ขององค์กรเปรียบเหมือนบ้าน ไฟร์วอลล์แบบดั้งเดิม (Stateful Firewall) ทำหน้าที่เหมือนยามหน้าบ้านที่ตรวจดูแค่บัตรประชาชน ถ้าระบุว่ามาจากพอร์ตมาตรฐานอย่าง Port 80 หรือ 443 ยามก็ปล่อยให้ผ่านเข้าประตูทันที โดยไม่เคยเปิดดูเลยว่าพัสดุที่ถือเข้ามาซ่อนมัลแวร์หรือคำสั่งโจมตีไว้ข้างในหรือไม่

ในทางกลับกัน การนำ Next-Gen Firewall เข้ามาประมวลผล จะเปรียบเหมือนการติดตั้งเครื่องเอ็กซเรย์ความละเอียดสูงพร้อมผู้เชี่ยวชาญตรวจค้นสิ่งของอย่างละเอียด อุปกรณ์จะใช้เทคโนโลยี Deep Packet Inspection (DPI) เพื่องัดแงะตรวจสอบข้อมูลทุกแพ็กเก็ตที่วิ่งผ่าน แม้ว่าจะมีการเข้ารหัส SSL/TLS ไว้อย่างมิดชิดก็ตาม ซึ่งทำให้ระบบสามารถตรวจจับและยับยั้งมัลแวร์หรือภัยคุกคามที่ซ่อนมากับรับส่งข้อมูลปกติได้อย่างแม่นยำ

4 ขั้นตอนออกแบบ Network Infrastructure ให้ปลอดภัยและเสถียรสูง

การวางโครงสร้างเครือข่ายให้แข็งแกร่ง ไม่ใช่แค่การซื้ออุปกรณ์ราคาสูงมาเสียบปลั๊กแล้วจบ แต่เป็นเรื่องของการวาง Network Architecture ให้มีระบบระเบียบ ซึ่งผมมักใช้วิธีปฏิบัติตาม 4 ขั้นตอนนี้เป็นหลักในการทำงานจริงครับ

1. การแบ่งโซนเครือข่ายด้วย VLAN Segmentation

กติกาข้อแรกในการสร้าง Cyber Security ที่ดี คือการห้ามมัดรวมทุกอุปกรณ์ไว้ในวงเครือข่ายเดียวกันเด็ดขาด ผมมักเข้าไปจัดโครงสร้างเครือข่ายใหม่โดยใช้ VLAN Segmentation แยกโซนตามระดับความสำคัญและการใช้งาน:

• VLAN Office: สำหรับคอมพิวเตอร์พนักงานทั่วไป มีสิทธิ์เข้าถึงเฉพาะเซิร์ฟเวอร์ที่เกี่ยวกับการทำงาน
• VLAN Production / OT: สำหรับเครื่องจักรและระบบควบคุมการผลิต ตัดขาดจากการออกอินเทอร์เน็ตโดยตรง
• VLAN Server / DMZ: โซนสำหรับจัดเก็บข้อมูลสำคัญและเซิร์ฟเวอร์ที่ต้องให้บริการภายนอก
• VLAN Guest / Hotspot: สำหรับผู้มาติดต่อ จำกัดให้ใช้อินเทอร์เน็ตได้เท่านั้น ไม่สามารถมองเห็นอุปกรณ์ภายในวงอื่นได้เลย

2. ตั้งค่า Next-Gen Firewall ตรวจสอบด้วยนโยบาย Zero Trust

เมื่อแบ่ง VLAN เรียบร้อยแล้ว ข้อมูลที่จะวิ่งข้ามไปมาระหว่าง VLAN ทุกเส้นจะต้องถูกบังคับให้วิ่งผ่าน Next-Gen Firewall เพื่อตรวจสอบตามหลักการ Zero Trust หรือการไม่ไว้วางใจทราฟฟิกใดๆ จนกว่าจะผ่านการตรวจสอบสิทธิ์

ในขั้นตอนนี้ เราจะเปิดใช้งานฟีเจอร์ Intrusion Prevention System (IPS) เพื่อคอยดักจับพฤติกรรมที่ผิดปกติ เช่น การพยายามสแกนหาช่องโหว่ภายในวง LAN หรือการส่งข้อมูลกลับไปยังเซิร์ฟเวอร์แฮกเกอร์ หากพบความเสี่ยง อุปกรณ์จะทำการบล็อกทราฟฟิกนั้นทันทีแบบเรียลไทม์

3. ทำระบบเชื่อมต่อภายนอกอย่างปลอดภัยด้วย SSL VPN และ Multi-WAN

สำหรับการทำงานระยะไกล การเข้าถึงเซิร์ฟเวอร์จากภายนอกควรทำผ่าน SSL VPN ที่มีการยืนยันตัวตนหลายปัจจัยเสมอ นอกจากนี้ การออกแบบ Network Infrastructure ให้รองรับการทำงานต่อเนื่อง (High Availability) ควรใช้อินเทอร์เน็ตอย่างน้อย 2 สายนครหลวงหรือต่างจังหวัด ทำหน้าที่เป็น Multi-WAN Load Balancing เพื่อป้องกันอินเทอร์เน็ตล่ม

4. การเก็บบันทึก Log ตามกฎหมายเพื่อวิเคราะห์ย้อนหลัง

การป้องกันระบบความปลอดภัยไซเบอร์ที่ดี ต้องมาคู่กับการตรวจสอบย้อนหลังได้ Next-Gen Firewall จะถูกตั้งค่าให้ส่ง Traffic Log และ Syslog ไปยัง Log Server ศูนย์กลาง เพื่อให้สอดคล้องกับข้อบังคับ พ.ร.บ. คอมพิวเตอร์ และช่วยให้ทีม IT สามารถวิเคราะห์หาสาเหตุเมื่อเกิดเหตุการณ์ผิดปกติได้อย่างรวดเร็ว

ประสบการณ์ตรงจากสนามจริง: ผลลัพธ์หลังการปรับปรุง

จากเคสโรงงานที่ระยองที่ผมเล่าไว้ตอนต้น หลังจากที่ทีมงาน SIAM-LOGIN เข้าไปรื้อระบบและวาง Network Architecture ใหม่ด้วยการแบ่ง VLAN พร้อมติดตั้ง Next-Gen Firewall ปรากฏว่าในอีก 3 เดือนถัดมา มีพนักงานนำ Flash Drive จากบ้านที่มีมัลแวร์มาเสียบเข้าเครื่องคอมพิวเตอร์ในออฟฟิศ

ผลคือ ระบบ Intrusion Prevention System บน NGFW ตรวจพบการพยายามแพร่กระจายมัลแวร์ข้ามวง และทำสั่งกักกัน (Quarantine) เครื่องนั้นออกจากระบบทันทีภายใน 3 วินาที ทำให้ไลน์การผลิตทั้งหมดทำงานได้ตามปกติโดยไม่ได้รับผลกระทบเลยแม้แต่น้อย

การลงทุนกับ Network Security ไม่ใช่เรื่องของความฟุ่มเฟือย แต่คือการซื้อความอุ่นใจและป้องกันความเสียหายมูลค่ามหาศาลที่อาจเกิดขึ้นกับธุรกิจครับ