ออกแบบ Network Segmentation ด้วย VLAN บน Switch ป้องกัน Ransomware โรงงาน

8 ใน 10 ของโรงงานอุตสาหกรรมที่ผมและทีมงาน SIAM-LOGIN ได้เข้าไปช่วยแก้ปัญหาหลังจากโดน Ransomware เล่นงาน มักตกเป็นเหยื่อด้วยสาเหตุเดียวกัน นั่นคือการปล่อยให้เครือข่ายทั้งโรงงานเชื่อมต่อกันเป็นวงเดียว หรือที่สายเน็ตเวิร์กเรียกกันว่า Flat Network เคสล่าสุดที่ผมเจอเมื่อต้นปี คอมพิวเตอร์ฝ่ายบัญชีเพียงเครื่องเดียวติดมัลแวร์จากการเปิดไฟล์แนบในอีเมล แต่ผ่านไปไม่ถึง 20 นาที ไวรัสลามไปถึงเครื่องควบคุมไลน์การผลิต (PLC/SCADA) และเครื่องเซิร์ฟเวอร์หลัก จนสายการผลิตต้องหยุดชะงัก มูลค่าความเสียหายหลายล้านบาทต่อวัน

ปัญหานี้ป้องกันได้ถ้าเราวางระบบรากฐานที่ดีตั้งแต่แรก ด้วยการทำ Network Segmentation ผ่าน VLAN บนสวิตช์ เพื่อจำกัดขอบเขตความเสียหายไม่ให้กระจายไปทั่วองค์กร

ทำไม Flat Network ถึงเป็นทางสะดวกของ Ransomware

ในเครือข่ายที่เป็น Flat Network อุปกรณ์ทุกชิ้นไม่ว่าจะเป็นคอมพิวเตอร์พนักงาน กล้องวงจรปิด ปริ้นเตอร์ หรือเครื่องจักรในไลน์ผลิต จะอยู่ใน Broadcast Domain เดียวกันทั้งหมด เมื่อมีเครื่องใดเครื่องหนึ่งติดมัลแวร์ ตัว Ransomware ยุคใหม่จะเริ่มกระบวนการสแกนหาช่องโหว่อัตโนมัติทันที

พฤติกรรมนี้เรียกว่า Lateral Movement หรือการเคลื่อนที่แนวระนาบ ไวรัสจะค้นหาแชร์โฟลเดอร์ พอร์ตที่เปิดทิ้งไว้ หรือรหัสผ่านที่เดาง่ายในวงเน็ตเวิร์กเดียวกัน หากไม่มีการกั้นโซนไว้ ตัวมัลแวร์จะสามารถทะลวงเข้าถึงเครื่องสำคัญในโรงงานได้อย่างง่ายดาย โดยไม่ผ่านระบบป้องกันใดๆ เลย

หลักการออกแบบ Network Segmentation ด้วย VLAN สำหรับโรงงาน

การแก้ไขปัญหาที่ยั่งยืนที่สุดคือการแบ่งแยกวงเครือข่ายออกจากกันโดยใช้ Managed Switch ในการสร้าง VLAN (Virtual Local Area Network) จากประสบการณ์ที่ผมใช้วางระบบให้โรงงานหลายแห่ง ผมแนะนำให้แบ่งโซนพื้นฐานออกเป็น 5 VLAN หลักดังนี้ครับ

• VLAN 10 - Management Zone: สำหรับอุปกรณ์เน็ตเวิร์กหลัก เช่น Router, Core Switch, Access Point และ Firewall อนุญาตให้เฉพาะทีม IT เข้าถึงได้เท่านั้น
• VLAN 20 - Office Network: วงสำหรับคอมพิวเตอร์พนักงานทั่วไป ฝ่ายขาย ฝ่ายบุคคล และบัญชี ซึ่งเป็นจุดที่มีความเสี่ยงติดไวรัสสูงสุด
• VLAN 30 - Production & OT Zone: วงสำหรับเครื่องจักร PLC, SCADA, HMI และคอมพิวเตอร์ในสายการผลิต โซนนี้ต้องเน้นความเสถียรและความปลอดภัยสูงสุด
• VLAN 40 - IoT & CCTV: สำหรับกล้องวงจรปิด เครื่องสแกนนิ้วมือ และอุปกรณ์ IoT ต่างๆ ที่ไม่มีการอัปเดตแพตช์ความปลอดภัยบ่อยนัก
• VLAN 50 - Guest WiFi: สำหรับผู้มาติดต่อ หรือโทรศัพท์ส่วนตัวของพนักงาน ต้องแยกออกจากระบบงานหลักอย่างเด็ดขาด

ขั้นตอนการตั้งค่าบน Switch และ Firewall เพื่อตัดวงจรไวรัส

1. กำหนด VLAN Tagging บน Managed Switch

เริ่มต้นด้วยการคอนฟิก VLAN ID บนสวิตช์หลัก กำหนดพอร์ตที่ต่อกับอุปกรณ์ปลายทาง (เช่น PC, กล้อง) ให้เป็น Access Port ตาม VLAN นั้นๆ ส่วนพอร์ตที่เชื่อมต่อระหว่าง Switch ถึง Switch หรือ Switch ไปยัง Router/Firewall ให้ตั้งค่าเป็น Trunk Port เพื่อให้สามารถส่งข้อมูลของหลาย VLAN ผ่านสายเส้นเดียวกันได้โดยใช้มาตรฐาน 802.1Q VLAN Tagging

2. บังคับ Traffic ทุก VLAN ให้ผ่าน Firewall Rule

การแบ่ง VLAN บนสวิตช์อย่างเดียวเปรียบเหมือนการสร้างห้อง แต่ถ้าประตูห้องไม่ล็อก ไวรัสก็ยังเดินข้ามห้องได้อยู่ดี ดังนั้น Inter-VLAN Routing จะต้องถูกส่งขึ้นไปจัดการบน Firewall หรือ Layer 3 Switch ที่มีฟีเจอร์ความปลอดภัย

เราต้องเขียน Firewall Rule หรือ Access Control List (ACL) เพื่อบล็อกทราฟฟิกข้ามโซนโดยเด็ดขาด เช่น:

• ห้าม VLAN 20 (Office) เข้าถึง VLAN 30 (Production) โดยตรง
• ห้าม VLAN 40 (CCTV) ออกอินเทอร์เน็ต และห้ามสื่อสารกับโซนอื่น ยกเว้นเซิร์ฟเวอร์บันทึกภาพ (NVR)
• อนุญาตเฉพาะพอร์ตที่จำเป็นจริงๆ เช่น พอร์ตสำหรับยิงข้อมูลไปยังเซิร์ฟเวอร์ ERP เท่านั้น

3. ปิดพอร์ตที่ไม่ได้ใช้งานและเปิด Port Security

จุดที่ IT มักมองข้ามคือ พอร์ต LAN ตามปลั๊กผนังที่ไม่ได้ใช้งาน หากมีคนแอบนำโน้ตบุ๊กส่วนตัวมาเสียบ อาจกลายเป็นช่องโหว่ให้ไวรัสเข้าสู่ระบบได้ ผมแนะนำให้ Disable พอร์ตที่ไม่ได้ใช้งานบนสวิตช์ทั้งหมด และตั้งค่า Port Security เพื่อล็อก MAC Address ของเครื่องที่ได้รับอนุญาตเท่านั้น

ประสบการณ์จริงจากหน้างาน: ข้อผิดพลาดที่ต้องระวัง

สิ่งที่ผมมักจะเจอเวลาไปตรวจเช็กระบบให้ลูกค้า คือการปล่อยให้ VLAN 1 (Default VLAN) ทำงานอยู่ตามเดิม และใช้อุปกรณ์ทุกอย่างร่วมกันใน VLAN นี้ ซึ่งถือเป็นความเสี่ยงอย่างมากครับ เพราะแฮกเกอร์และมัลแวร์มักสแกนหา VLAN 1 เป็นอันดับแรก การ Hardening ระบบที่ถูกต้องคือการย้ายอุปกรณ์ทั้งหมดออกจาก VLAN 1 และเปลี่ยน Native VLAN ไปเป็น ID อื่นที่ไม่ใช้สตรีมข้อมูลงานจริง

นอกจากนี้ การทำ Network Segmentation ด้วย VLAN ไม่เพียงแต่ช่วยป้องกัน Ransomware เท่านั้น แต่ยังช่วยลดปริมาณ Broadcast Traffic ทำให้เน็ตเวิร์กในโรงงานทำงานได้เร็วและเสถียรขึ้นอย่างเห็นได้ชัดครับ