Case Study: อุปกรณ์ OT ติดอินเทอร์เน็ตโดยไม่รู้ตัว — จาก Flat Network สู่การแบ่งโซนตาม IEC 62443 ใน 4 ขั้นตอน

สัปดาห์นี้เราเจอโจทย์คลาสสิกที่สุดจากโรงงานแปรรูปอาหารแห่งหนึ่ง: ระบบทำงานปกติทุกอย่าง แต่เมื่อทีมไอทีสแกนเครือข่ายเพื่อเตรียมขออนุมัติงบ IoT เพิ่ม กลับพบว่ามีอุปกรณ์ OT ที่ “ติดอินเทอร์เน็ตตรงๆ” โดยที่ไม่มีใครในโรงงานรู้ตัวมาก่อน กรณีแบบนี้ไม่ใช่เรื่องแปลก และตัวเลขล่าสุดยืนยันว่ามันระดับ “ระบาด” ไปแล้วทั่วโลก

สถานการณ์: ตัวเลขที่ทำให้ทุกโรงงานต้องหยุดอ่าน

งานวิจัยด้าน OT Security ล่าสุดที่วิเคราะห์ตัวอย่างจากอุปกรณ์ไฟร์วอลล์ OT กว่า 60,000 เครื่องทั่วโลก และตัวอย่างซอฟต์แวร์ 16 ล้านชิ้น พบว่าจำนวน อุปกรณ์ OT ที่เปิดใช้งานและมองเห็นได้จากอินเทอร์เน็ต เพิ่มขึ้น 332% เทียบกับช่วงสำรวจก่อนหน้า ขณะเดียวกันในภาคองค์กรทั่วไป ยังมีเครือข่ายที่ใช้สถาปัตยกรรมแบบแบน (flat network) อยู่ราว 77.7% และมีสัดส่วนการเชื่อมต่อ IoT ที่ถูกประเมินว่า “ความเสี่ยงสูง” ถึง 48.2% — เมื่อคูณสามตัวเลขนี้เข้าด้วยกันกับจำนวนอุปกรณ์เชื่อมต่อ 21.1 พันล้านเครื่อง จะได้ภาพคร่าวๆ ว่ามีการเชื่อมต่อระดับหลายพันล้านรายการที่ทำงานอยู่ในเครือข่ายที่ “แออัดและเปิดโล่ง” เกินไป

ปัญหา (Problem): ทำไมมันเกิดขึ้นได้

• เครือข่ายแบน (Flat Network) — อุปกรณ์ทุกชนิดอยู่ใน VLAN เดียวกัน เมื่อเครื่องพิมพ์ออฟฟิศโดนเจาะ ผู้โจมตีเห็นชื่อ PLC และ HMI ใน scan ถัดไปทันที
• การเข้าถึงระยะไกลแบบทางลัด — ผู้รับเหมาหรือทีมซ่อมเปิด port forwarding บนเราเตอร์เพื่อ remote เข้าเครื่องจักรจากภายนอก แล้วลืมปิด กลายเป็นอุปกรณ์ OT ที่มองเห็นจากอินเทอร์เน็ต
• มองไม่เห็น = บริหารไม่ได้ — โรงงานส่วนใหญ่ไม่มีบัญชีสินทรัพย์ IT/OT ที่เป็นหนึ่งเดียว จึงไม่รู้ด้วยซ้ำว่ามีอุปกรณ์แปลกปลอมหลุดเข้ามาในเครือข่ายเมื่อไหร่

ทางแก้ (Solution): แบ่งโซนตาม IEC 62443 ทีละขั้น

เราแนะนำแนวทางเดียวกับที่ใช้ในงานประเมินจริง คือแบ่งเครือข่ายเป็น โซน (Zone) และท่อร่วม (Conduit) ตามแนวคิดของมาตรฐานสากล IEC 62443 โดยเริ่มจาก 4 ขั้นตอนที่ทำได้จริงในโรงงานที่ยังผลิตอยู่:

1. ทำ Asset Inventory ด้วย Passive Monitoring — ติดอุปกรณ์ดักฟังทราฟฟิก (ไม่ต้องหยุดการผลิต) เพื่อทำบัญชีอุปกรณ์ทุกชิ้นที่สื่อสารในเครือข่าย OT จริง
2. แยก OT ออกจาก IT ด้วย Industrial-grade Firewall — อย่างน้อยที่สุดคือจุดเชื่อมระหว่างสายการผลิตกับเครือข่ายออฟฟิศ พร้อมกฎที่อนุญาตเฉพาะทราฟฟิกที่จำเป็นจริงๆ
3. ปิด Remote Access ทางลัดทั้งหมด — แทนที่ port forwarding ด้วย VPN Gateway สำหรับอุตสาหกรรมที่มีการบันทึก session และตรวจสอบย้อนหลังได้
4. มอนิเตอร์ต่อเนื่อง — ใช้ระบบตรวจจับการเชื่อมต่อใหม่แบบอัตโนมัติ เมื่อมีอุปกรณ์แปลกปลอมปรากฏขึ้น ทีมได้รับแจ้งทันที ไม่ใช่ไปเจออีกครั้งในปีหน้า

ผลลัพธ์ (Results): สิ่งที่เปลี่ยนไปหลังประเมิน

หมายเหตุ: ตัวเลขในตารางเป็นแนวทางผลลัพธ์จากกระบวนการประเมินตามแนวทาง IEC 62443 โดยรวม รายละเอียดขึ้นกับสภาพเครือข่ายของแต่ละโรงงาน

บทเรียนสำคัญ: ความเสี่ยงร้ายแรงที่สุดมักไม่ได้มาจากอุปกรณ์ใหม่ที่ซื้อมาแบบมีมาตรฐาน แต่มาจาก “ทางลัด” ที่มนุษย์สร้างขึ้นเพื่อความสะดวก แล้วไม่มีใครลบมันทิ้ง

Key Takeaways

• อุปกรณ์ OT ที่มองเห็นจากอินเทอร์เน็ตเพิ่มขึ้น 332% ตามผลวิจัยที่วิเคราะห์ไฟร์วอลล์ OT กว่า 60,000 เครื่องทั่วโลก
• 77.7% ของเครือข่ายองค์กรยังเป็นแบบแบน และ 48.2% ของการเชื่อมต่อ IoT ถูกประเมินว่าความเสี่ยงสูง
• จุดเริ่มต้นที่ถูกที่สุดคือ Asset Inventory — มองไม่เห็นก็บริหารไม่ได้ ใช้ passive monitoring ที่ไม่กระทบการผลิต
• แบ่งโซนตาม IEC 62443 — Zone และ Conduit ชัดเจน พร้อม Industrial-grade Firewall ที่จุดเชื่อม IT/OT
• ทุก remote access ต้องผ่าน VPN ที่มีการบันทึก session — ห้ามมี port forwarding ตรงเข้าเครื่องจักรเด็ดขาด
• ความปลอดภัยเป็นกระบวนการต่อเนื่อง — ตรวจจับอุปกรณ์ใหม่แบบอัตโนมัติคือเกราะชั้นสุดท้ายที่ต้องมี