5 แนวทางตั้งค่า Firewall ป้องกัน Ransomware สำนักงาน SME

เช้าวันจันทร์ตอนแปดโมงครึ่ง โทรศัพท์ผมดังขึ้น ปลายสายเป็นเจ้าของบริษัทสำนักงานบัญชีแห่งหนึ่ง น้ำเสียงเขาสั่นเครือพร้อมพูดว่า "ช่างครับ ช่วยด้วย! ไฟล์งานใน NAS ทั้งหมดเปิดไม่ได้เลย มันกลายเป็นนามสกุลแปลกๆ แถมมีไฟล์ข้อความแปะไว้หน้าเดสก์ท็อปเรียกเงิน 50,000 ดอลลาร์" วันนั้นผมต้องรีบซิ่งรถไปที่หน้างานเพื่อดึงสายแลนตัดวงจรเครือข่ายทันที ก่อนที่เชื้อร้ายจะลุกลามไปยังคอมพิวเตอร์เครื่องอื่นจนหมดบริษัท

เหตุการณ์วันนั้นทำให้ผมเห็นว่า ธุรกิจ SME จำนวนมากมักตกเป็นเป้าหมายของแฮกเกอร์ เพราะคิดว่าบริษัทตัวเองเล็ก คงไม่มีใครสนใจ ทั้งที่ความจริงแล้ว มัลแวร์ และ Ransomware ยุคนี้ใช้สคริปต์อัตโนมัติสแกนหาช่องโหว่บนอินเทอร์เน็ตตลอด 24 ชั่วโมง โดยเฉพาะอุปกรณ์เน็ตเวิร์กที่ไม่ได้มีการตั้งค่าความปลอดภัยอย่างถูกต้อง ในฐานะคนที่ทำระบบ network ให้กับองค์กรและ SME มาหลายปี ผมจึงสรุป 5 เทคนิคสำคัญในการตั้งค่า Firewall ป้องกัน Ransomware ที่ท่านสามารถนำไปปรับใช้กับเครือข่ายสำนักงานได้จริงครับ

1. ปิด Port Forwarding อันตราย แล้วเปลี่ยนมาใช้ VPN เข้าถึงภายใน

ความผิดพลาดอันดับหนึ่งที่ผมเจอในเครือข่ายสำนักงาน SME คือการทำ Port Forwarding เพื่อเปิดให้พนักงานจากข้างนอกรีโมตเข้ามาทำงาน โดยเฉพาะ RDP (Port 3389) และ SMB Protocol (Port 445) เพื่อดึงไฟล์จาก NAS หรือ Server

แฮกเกอร์ใช้เครื่องมือ Brute Force หรือใช้ประโยชน์จากช่องโหว่ Zero-day เพื่อสุ่มรหัสผ่านเข้ามาล็อกอิน หากเข้ามาได้สำเร็จ Ransomware จะถูกนำมาปล่อยและเข้ารหัสไฟล์ทันที ทางแก้ที่ถูกต้องคือ ปิด Port Forwarding เหล่านี้บน Router หรือ Firewall ให้หมด แล้วเปลี่ยนไปสร้าง SSL VPN หรือ WireGuard VPN สำหรับให้พนักงานภายนอกเชื่อมต่อเข้ามายังเครือข่ายภายในอย่างปลอดภัยเท่านั้น

2. ตัดวงจรการแพร่ระบาดด้วย VLAN Isolation

เมื่อมัลแวร์หลุดเข้ามาในเครื่องคอมพิวเตอร์พนักงานเพียงเครื่องเดียว (เช่น เผลอคลิกลิงก์ในอีเมลฟิชชิ่ง) สิ่งที่ Ransomware จะทำต่อไปคือกระบวนการ Lateral Movement หรือการสแกนหาเครื่องอื่นๆ ในเครือข่ายเดียวกันเพื่อกระจายเชื้อ

หากเครือข่ายสำนักงานของคุณเป็น Flat Network (ทุกคนอยู่วง IP เดียวกันหมด) เครื่อง NAS, Server บัญชี, เครื่องพิมพ์ และคอมพิวเตอร์พนักงานจะเห็นกันหมด Ransomware จะเข้ารหัสไฟล์ข้ามเครื่องได้ภายในไม่กี่นาที ผมแนะนำให้แบ่งวงโซนเครือข่ายด้วย VLAN Isolation แยกต่างหากระหว่าง:

• VLAN Staff: สำหรับคอมพิวเตอร์พนักงานทั่วไป
• VLAN Server / NAS: สำหรับเครื่องเก็บข้อมูลที่ต้องจำกัดสิทธิ์
• VLAN Guest: สำหรับ WiFi ผู้มาติดต่อ (เข้าอินเทอร์เน็ตได้อย่างเดียว)
• VLAN IoT / CCTV: สำหรับกล้องวงจรปิดและอุปกรณ์อัจฉริยะ

จากนั้นเขียน MikroTik Firewall Rules หรือ Firewall Policy อนุญาตให้เฉพาะเครื่องที่จำเป็นเท่านั้นที่สามารถสื่อสารข้าม VLAN ได้

3. ตั้งค่า Outbound Firewall Rules (Egress Filtering)

คนส่วนใหญ่มักโฟกัสแค่การกันคนนอกไม่ให้เข้าบ้าน (Inbound Rules) แต่ลืมบล็อกทางออกจากบ้าน (Outbound Rules) ทั้งที่ Ransomware ยุคใหม่เมื่อเข้าเครื่องได้แล้ว มันจะต้องแอบเชื่อมต่อออกไปหาเครื่องแม่ข่ายของผู้พัฒนา (C2 - Command and Control Server) เพื่อรับกุญแจเข้ารหัส หรือดึงข้อมูลสำคัญออกไปขู่เรียกไถ่

การทำ Egress Filtering บน Firewall คือการจำกัดพอร์ตขาออก ให้เครื่องคอมพิวเตอร์ในวงแลนออกอินเทอร์เน็ตได้เฉพาะพอร์ตที่จำเป็น เช่น HTTP (80), HTTPS (443), DNS (53) เท่านั้น และบล็อกพอร์ตอันตรายขาออก เช่น Port 445 (SMB), Port 135-139 (NetBIOS) หรือพอร์ตการส่งอีเมลดิบที่อาจถูกใช้ส่งต่อสแปม การทำแบบนี้จะช่วยสกัดไม่ให้มัลแวร์ติดต่อกับ C2 Server ได้

4. บล็อกพอร์ตและโปรโตคอลเก่าที่ไม่จำเป็นบน Router/Firewall

บริการเก่าๆ ที่ตกยุคแล้วมักเป็นประตูซ่อมที่แฮกเกอร์ชอบใช้เจาะ หากคุณใช้ MikroTik หรือ Firewall แบรนด์อื่นๆ ผมแนะนำให้ตรวจสอบและปิดบริการเหล่านี้บนตัว Firewall เอง และปิดไม่ให้ทราฟฟิกข้ามเครือข่ายใช้งาน:

• SMBv1: โปรโตคอลแชร์ไฟล์เวอร์ชันเก่าที่มีช่องโหว่ร้ายแรง (เช่น ช่องโหว่ EternalBlue ที่มัลแวร์ WannaCry เคยใช้)
• Telnet (Port 23) และ HTTP (Port 80): สำหรับการบริหารจัดการอุปกรณ์ ให้เปลี่ยนไปใช้ SSH (Port 22) หรือ HTTPS (Port 443) แทน
• UPnP (Universal Plug and Play): อนุญาตให้อุปกรณ์ภายในเปิด Port Forwarding ออกไปยังโลกภายนอกเองได้โดยอัตโนมัติ ซึ่งมัลแวร์ชอบแอบใช้ฟีเจอร์นี้มาก ควร Disable ทันที

5. ใช้งานระบบตรวจจับภัยคุกคาม (IPS/IDS) และ Web Content Filtering

แนวทางสุดท้ายคือการเพิ่มระบบการกรองเชิงลึก (Deep Packet Inspection) บนอุปกรณ์ Firewall ระดับองค์กร เช่น การเปิดใช้งาน IPS/IDS (Intrusion Prevention/Detection System) เพื่อคอยสแกนหาพฤติกรรมความผิดปกติของทราฟฟิกในเครือข่าย เช่น มีเครื่องในวงแลนพยายามสแกนพอร์ตเพื่อนร่วมเครือข่ายอย่างผิดปกติ

นอกจากนี้ การเปิดใช้ Web Content Filtering หรือ DNS Filtering เพื่อบล็อกการเข้าถึงเว็บไซต์อันตราย เว็บไซต์การพนัน หรือโดเมนที่เพิ่งจดทะเบียนใหม่ (Newly Registered Domains) จะช่วยลดความเสี่ยงที่พนักงานจะพลาดกดดาวน์โหลดไฟล์มัลแวร์ลงเครื่องได้มากกว่า 80%

สรุป: Firewall ที่ดี ไม่ใช่แค่ซื้อมาเสียบปลั๊ก แต่คือการปรับแต่งที่รัดกุม

เหตุการณ์ของลูกค้ารายนั้นจบลงด้วยความบอบช้ำ เพราะต้องกู้ข้อมูลย้อนหลังกลับมาจาก Backup Offline และสูญเสียเวลาทำงานไปหลายวัน เหตุการณ์นี้สอนให้รู้ว่า Firewall ราคาแพงแค่ไหน หากปล่อยค่าตั้งต้นจากโรงงาน (Default Settings) ไว้ หรือเปิด Port Forwarding สุ่มสี่สุ่มสี่ ก็ไม่ต่างอะไรกับการล็อกประตูหน้าบ้าน แต่เปิดประตูหลังบ้านทิ้งไว้ครับ

หากเครือข่ายสำนักงาน SME ของคุณยังไม่มีการวางโครงสร้าง Security Policy หรือไม่แน่ใจว่าอุปกรณ์ MikroTik และ Firewall ที่ใช้งานอยู่ปลอดภัยพอหรือยัง สามารถปรึกษาทีมงาน SIAM-LOGIN เพื่อประเมินและวางระบบ Network Infrastructure ที่รัดกุม ปลอดภัยจากภัยคุกคามไซเบอร์ได้ครับ