เมื่อภัยคุกคามทางไซเบอร์ต่อระบบควบคุมอุตสาหกรรมซับซ้อนขึ้น การป้องกันโดยอาศัยสัญชาตญาณหรืออุปกรณ์เดี่ยวๆ ไม่เพียงพอ สิ่งที่วงการความมั่นคงปลอดภัย OT ต้องการคือ กรอบความเข้าใจภัยคุกคามที่เป็นระบบ นั่นคือ MITRE ATT&CK for ICS ฐานข้อมูล TTPs (Tactics, Techniques, & Procedures) ที่จำแนกพฤติกรรมการโจมตีระบบอุตสาหกรรมออกเป็นขั้นตอนที่ตรวจสอบและวางแผนป้องกันได้อย่างชาญฉลาด
MITRE ATT&CK for ICS คืออะไร?
MITRE ATT&CK for ICS เป็นส่วนหนึ่งของ MITRE ATT&CK Framework ที่ออกแบบเฉพาะสำหรับระบบควบคุมอุตสาหกรรม (Industrial Control Systems) โดยจำแนกวิธีการโจมตีออกเป็น 11 Tactics (เป้าหมายเชิงกลยุทธ์) และภายในแต่ละ Tactic มี Techniques (วิธีการเฉพาะ) ที่ผู้โจมตีใช้จริง ทำให้ทีมรักษาความปลอดภัยเข้าใจเส้นทางการโจมตีทั้งหมด ไม่ใช่แค่จุดเริ่มต้นหรือจุดสิ้นสุด
จุดเด่นของ ATT&CK for ICS คือการอ้างอิง การโจมตีจริงที่เคยเกิดขึ้น เช่น การโจมตีโรงไฟฟ้ายูเครน (2015, 2016), มัลแวร์ TRITON ที่โจมตี Safety Instrumented System (2017), & การก่อกวนระบบน้ำประปาในสหรัฐอเมริกา (2021) ทำให้แต่ละ Technique มีหลักฐานเชิงประจักษ์รองรับ
11 Tactics ของ ATT&CK for ICS
| ลำดับ | Tactic | คำอธิบาย | ตัวอย่าง Technique |
|---|---|---|---|
| 1 | Initial Access | การเข้าถึงเครือข่าย OT เป็นครั้งแรก | Spearphishing, External Remote Services, Drive-by Compromise |
| 2 | Execution | การรันโค้ดบนระบบเป้าหมาย | Command-Line Interface, Scripting, User Execution |
| 3 | Persistence | การรักษาการเข้าถึงให้อยู่ได้นาน | Modify Program, Scheduled Task, System Firmware |
| 4 | Privilege Escalation | การยกระดับสิทธิ์ในระบบ | Exploitation for Privilege Escalation, Valid Accounts |
| 5 | Defense Evasion | การหลบหลีกเครื่องมือตรวจจับ | Masquerading, Encrypted Channel, Rootkit |
| 6 | Credential Access | การขโมยข้อมูลประจำตัว | Credential Dumping, Brute Force, Sniffing |
| 7 | Discovery | การสำรวจโครงสร้างเครือข่าย & อุปกรณ์ | Network Connection Enumeration, I/O Module Discovery |
| 8 | Lateral Movement | การขยายการโจมตีในเครือข่าย | Default Credentials, Exploitation of Remote Services |
| 9 | Collection | การรวบรวมข้อมูลจากระบบ SCADA/DCS | Automated Collection, Data from Information Repositories |
| 10 | Command & Control | การสื่อสารระหว่างมัลแวร์กับเซิร์ฟเวอร์ควบคุม | Commonly Used Port, Encrypted Channel, Standard Application Layer Protocol |
| 11 | Inhibit Response Function | การปิดกั้นการตอบสนองของระบบ (เฉพาะ ICS) | Alarm Suppression, Data History Manipulation, Denial of Control |
Tactics เฉพาะของ ICS (ไม่มีใน Enterprise ATT&CK)
นอกจาก 11 Tactics ข้างต้น ATT&CK for ICS ยังมี Tactics พิเศษที่ไม่พบในเวอร์ชัน Enterprise เพราะเกี่ยวข้องกับกระบวนการทางกายภาพโดยตรง:
- Impact: ทำลายหรือรบกวนกระบวนการผลิต เช่น ปิดวาล์ว, สั่งมอเตอร์ทำงานเกินพิกัด, หรือสั่งระบบป้องกันอัคคีภัยผิดพลาด
- Inhibit Response Function: ปิดระบบเตือนภัย (Alarm) ทำให้ผู้ควบคุมไม่รู้ว่าระบบกำลังผิดปกติ ซึ่งเป็นเทคนิคที่ใช้ในการโจมตีโรงไฟฟ้ายูเครนปี 2015
การนำ ATT&CK for ICS ไปใช้ในโรงงาน
1. Threat Modeling & Risk Assessment
ทีมความปลอดภัยใช้ ATT&CK for ICS เป็น checklist เพื่อประเมินว่าแต่ละ Technique สามารถเกิดขึ้นกับระบบของตนได้หรือไม่ และมีการควบคุมใดบ้างที่ป้องกันอยู่ ตัวอย่างเช่น หากพบว่า Default Credentials (T0837) ยังใช้งานได้ใน PLC บางรุ่น ก็ต้องเร่งเปลี่ยน password & เพิ่ม Network Segmentation
2. Purple Team Exercise
ทีม Red Team จำลองการโจมตีตาม ATT&CK Techniques ที่เกี่ยวข้องกับสภาพแวดล้อม OT ของโรงงาน ส่วน Blue Team พยายามตรวจจับ & ตอบโต้ ผลลัพธ์คือ heatmap ที่แสดงว่า Technique ใดมีการป้องกันแน่นหนา & Technique ใดยังมีช่องว่าง
3. SIEM & Detection Rule Mapping
การแมป ATT&CK Technique ID กับ detection rule ใน SIEM หรือ IDS/IPS ช่วยให้ทีมตอบสนองเหตุการณ์ทราบทันทีว่าเป็นส่วนหนึ่งของ kill-chain ขั้นใด เช่น หากตรวจพบ Network Connection Enumeration (T0840) ก็จะรู้ว่าผู้โจมตีอยู่ในขั้น Discovery & ต้องเร่งบล็อกก่อนขยายไป Lateral Movement
กรณีศึกษา: การโจมตีโรงไฟฟ้ายูเครนปี 2015 ผู้โจมตีใช้ ATT&CK Techniques ตั้งแต่ Spearphishing (Initial Access) ผ่าน Credential Dumping (Credential Access) ไปถึง Lateral Movement ผ่าน VPN & Modify Program บน HMI จากนั้น Alarm Suppression (Inhibit Response) & Operating Mode Switching ปิด breaker ทำให้ไฟฟ้าดับกว่า 230,000 คน เป็นเวลา 1-6 ชั่วโมง & ทำลายเฟิร์มแวร์ผ่าน Firmware Destruction เพื่อปิดกั้นการกู้คืน
การเปรียบเทียบ ATT&CK for ICS กับ NIST CSF
| มิติ | NIST CSF (OT Profile) | MITRE ATT&CK for ICS |
|---|---|---|
| มุมมอง | Defensive (ป้องกัน-ตรวจจับ-ตอบสนอง) | Offensive (เข้าใจผู้โจมตี-เข้าใจวิธีการ) |
| โครงสร้าง | 5 Functions: Identify, Protect, Detect, Respond, Recover | 11 Tactics + Techniques พร้อมตัวอย่างจริง |
| การใช้งานหลัก | Governance, Maturity Assessment, Roadmap | Threat Modeling, Detection Engineering, Red Teaming |
| ความเฉพาะเจาะจง | ครอบคลุมทุกมิติ (รวม people, process) | เจาะจงพฤติกรรมการโจมตีทางเทคนิค |
| การเสริมกัน | ใช้ร่วมกันได้ดี: NIST CSF กำหนดว่าต้องทำอะไร, ATT&CK for ICS บอกว่าผู้โจมตีทำอย่างไร ช่วยออกแบบการป้องกันได้ตรงจุด | |
Key Takeaways — สรุปประเด็นสำคัญ
- ภาษาร่วม — ATT&CK for ICS สร้างภาษามาตรฐาน (Tactic ID, Technique ID) ให้ทีม Red, Blue, & Management สื่อสารกันได้ตรงจุด ลดความสับสน
- เข้าใจ Kill-Chain — การโจมตี OT ไม่ได้จบในขั้นเดียว ATT&CK for ICS เผยเส้นทาง 11 ขั้นตอนที่ผู้โจมตีใช้จริง ทำให้วางแผนป้องกันได้ครอบคลุม
- Tactics เฉพาะ ICS — Inhibit Response Function & Impact เป็น Tactics ที่ไม่มีใน Enterprise เพราะเกี่ยวข้องกับกระบวนการทางกายภาพโดยตรง
- การันตีด้วยเหตุการณ์จริง — ทุก Technique อ้างอิงการโจมตีที่เคยเกิดขึ้นจริง เช่น Ukraine 2015, TRITON 2017 ทำให้ไม่ใช่ทฤษฎีลอยๆ
- เสริม NIST CSF — ใช้ ATT&CK for ICS บอกว่าผู้โจมตีทำอย่างไร แล้วแมปไปยัง NIST CSF Functions เพื่อปิดช่องว่างได้อย่างเป็นระบบ
- Detection Engineering — การแมป Technique ID กับ SIEM/IDS rule ช่วยจัดลำดับความสำคัญของการแจ้งเตือน & ปรับปรุงความแม่นยำ
- Purple Team — การฝึกซ้อมโดยใช้ ATT&CK for ICS เป็น scenario ทำให้ทีมเตรียมพร้อมกับเทคนิคการโจมตีที่ใช้จริง ไม่ใช่แค่แบบฝึกหัดทฤษฎี
บทสรุป
MITRE ATT&CK for ICS ไม่ใช่เครื่องมือซอฟต์แวร์ แต่เป็น กรอบความคิด & ภาษาสากล ที่ทำให้ทีมรักษาความปลอดภัย OT เข้าใจภัยคุกคามอย่างเป็นระบบ โดยอ้างอิงการโจมตีจริงที่เกิดขึ้นในโลกความเป็นจริง เมื่อนำไปใช้ร่วมกับ NIST CSF, IEC 62443 & SIEM/IDS จะสร้างระบบป้องกันที่ครอบคลุมทั้งมิติ Governance (NIST) & มิติเชิงเทคนิค (ATT&CK) สำหรับโรงงานอุตสาหกรรมที่กำลังสร้าง Security Operations Center การเริ่มต้นด้วยการแมป ATT&CK Techniques กับระบบตรวจจับที่มีอยู่คือก้าวแรกที่ให้ผลตอบแทนสูงสุดในระยะสั้น