Micro-segmentation ในเครือข่าย OT: เหตุใด VLAN แบบดั้งเดิมไม่เพียงพออีกต่อไป

บทความนี้เป็นการวิเคราะห์ในมุมมองของวิศวกรระบบที่ทำงานจริงในโรงงานอุตสาหกรรม — มิใช่บทความวิชาการ แต่เป็นเสียงสะท้อนจากประสบการณ์ติดตั้งและดูแลระบบ OT ที่ Honey Corporation สะสมมาตลอดหลายปี

หากย้อนกลับไป 10 ปี คำว่า “Network Segmentation” ในโรงงานอุตสาหกรรมแปลว่าง่ายๆ คือ “Air Gap” — แยกระบบ OT ออกจาก IT โดยสมบูรณ์ ไม่มีสายเคเบิลเชื่อม ไม่มีการสื่อสารข้าม วิธีนี้ใช้ได้ดีในยุคที่โรงงานยังไม่ต้องการข้อมูลเรียลไทม์จากสายการผลิต แต่ปี 2026 ปรัชญานี้ตายแล้ว และสิ่งที่มาแทนคือ Micro-segmentation

ทำไม Traditional Segmentation ไม่พอแล้ว?

Network Segmentation แบบดั้งเดิมที่ใช้ VLAN และ Subnet แบ่งตามโมเดล Purdue Reference Architecture (Level 0–5) ยังคงเป็นรากฐานที่ดี แต่มีข้อจำกัดร้ายแรงในโลกความจริงของโรงงานยุคใหม่:

ปัญหาที่พบจริงในโรงงาน: เมื่อผู้โจมตีสามารถเจาะเข้า VLAN เดียวของ OT ได้ (เช่น ผ่าน Engineering Workstation ที่ถูก compromise) อุปกรณ์ OT ทุกตัวใน VLAN นั้นก็ตกอยู่ในอันตรายทันที — เพราะภายใน VLAN ไม่มีการควบคุมการสื่อสารระหว่างอุปกรณ์ การเคลื่อนที่ในแนวราบ (Lateral Movement) เกิดขึ้นได้โดยอิสระ

ข้อมูลจาก Zero Networks ระบุว่า 75% ของการโจมตี OT เริ่มจากการเจาะ IT และเมื่อผู้โจมตีเข้าสู่เครือข่าย IT ได้แล้ว หากไม่มีการควบคุมการสื่อสารระดับละเอียดระหว่างอุปกรณ์ การเคลื่อนที่จาก IT สู่ OT ก็เป็นเพียงเรื่องเวลา

Micro-segmentation คืออะไร?

Micro-segmentation คือการควบคุมการสื่อสารระหว่างอุปกรณ์ ในระดับแต่ละเครื่อง (Asset-Level) ไม่ใช่แค่ระดับเครือข่าย (Network-Level) แทนที่จะใช้ VLAN เป็นขอบเขตการแยก แต่ละอุปกรณ์จะมีนโยบายการสื่อสารเฉพาะที่กำหนดว่า:

• อุปกรณ์ A สามารถคุยกับอุปกรณ์ B ผ่าน Port X ได้
• อุปกรณ์ A ไม่สามารถคุยกับอุปกรณ์ C ได้เลย
• อุปกรณ์ B สามารถคุยกับอุปกรณ์ D ได้เฉพาะในช่วงเวลาที่กำหนด

กฎเหล่านี้บังคับใช้ที่ระดับ Network Layer (ผ่าน Software-Defined Network หรือ Host-Based Agent) ไม่ใช่ที่ Firewall ตัวเดียวที่เป็น choke point

การวิเคราะห์: คุ้มค่าแค่ไหนสำหรับโรงงานไทย?

การวิเคราะห์นี้อิงจากประสบการณ์ของ Honey Corporation ในการประเมินและออกแบบระบบรักษาความปลอดภัยให้โรงงานอุตสาหกรรมหลากหลายประเภทในไทย

3 สถานการณ์ที่ Micro-segmentation จำเป็นมาก

สถานการณ์ที่ 1: โรงงานที่มี Third-party Remote Access

โรงงานส่วนใหญ่ในไทยมีให้ผู้รับเหมาหรือผู้ผลิตเครื่องจักร Remote Access เข้ามาดูแลระบบ จากข้อมูลของ Zero Networks 65% ของสภาพแวดล้อม OT มี Remote Access ที่ไม่ปลอดภัย และ 1 ใน 4 Penetration Test พบ Default Credentials Micro-segmentation ช่วยจำกัดว่า Third-party สามารถเข้าถึงได้เฉพาะอุปกรณ์ที่รับผิดชอบเท่านั้น ไม่สามารถเคลื่อนที่ไปยังเครื่องอื่นได้

สถานการณ์ที่ 2: IT-OT Convergence Environment

เมื่อระบบ MES, ERP และ SCADA เชื่อมต่อกัน มีจุดเชื่อม (bridge) ระหว่าง IT และ OT หลายจุด ถ้าใช้แค่ VLAN แยก ผู้โจมตีที่เจาะผ่าน bridge จะเข้าถึงทุกอุปกรณ์ใน VLAN นั้นได้ทันที Micro-segmentation ทำให้แม้เจาะเข้าได้ ก็ยังถูกจำกัดอยู่ที่อุปกรณ์เดียว

สถานการณ์ที่ 3: Ransomware Containment

Ransomware ที่โจมตี OT มักใช้เทคนิค Lateral Movement เพื่อแพร่กระจาย Ransomware ที่มุ่งเป้า OT เพิ่มขึ้น 60% ในปี 2024 และอุตสาหกรรมการผลิตเป็นเป้าหมายอันดับ 1 ติดต่อกัน 4 ปีซ้อน Micro-segmentation เป็นเกราะป้องกันสำคัญที่จำกัดการแพร่กระจายของ Ransomware ให้อยู่ในวงจำกัด

ความท้าทายในการนำไปใช้จริง

การวิเคราะห์จะไม่ครบถ้วนถ้าไม่พูดถึงความท้าทาย เพราะ Micro-segmentation ไม่ใช่เวทมนตร์:

1. ต้องมี Visibility ก่อน — หากยังไม่รู้ว่ามีอุปกรณ์อะไรบ้างและคุยกันอย่างไร ไม่สามารถเขียนนโยบายได้ ต้องเริ่มจาก Passive Network Discovery ก่อนเสมอ
2. Latency Sensitivity — โปรโตคอล Real-Time เช่น PROFINET IRT (cycle time < 1ms) หรือ EtherCAT (cycle time ~30µs) ไม่ทน Latency เพิ่มได้ ต้องเลือกเทคโนโลยี Micro-segmentation ที่ไม่แนะนำ delay
3. Legacy Device — PLC หรือ RTU เก่าบางรุ่นไม่รองรับ Host-Based Agent ต้องใช้ Network-Based Enforcement แทน
4. Change Management — เมื่อมีการเพิ่ม/ลบอุปกรณ์หรือเปลี่ยนแปลงกระบวนการผลิต นโยบาย Micro-segmentation ต้องอัปเดตตาม

มุมมองของเรา: เริ่มต้นอย่างไร?

จากประสบการณ์ของ Honey Corporation เราแนะนำแนวทาง Phased Approach ในการนำ Micro-segmentation มาใช้ในโรงงาน:

Phase 1 (เดือน 1–3): Visibility & Baseline — ติดตั้ง Passive Discovery เพื่อสร้าง Asset Map และเรียนรู้พฤติกรรมการสื่อสารปกติ

Phase 2 (เดือน 4–6): Critical Asset Protection — เริ่มจากอุปกรณ์ที่สำคัญที่สุด เช่น Safety PLC, Engineering Workstation, Historian

Phase 3 (เดือน 7–12): Expand & Refine — ขยายไปยังอุปกรณ์อื่นๆ และปรับปรุงนโยบายตามข้อมูลจริง

Key Takeaways

1. Traditional Segmentation ยังจำเป็น — VLAN + Purdue Model เป็นรากฐาน แต่ไม่เพียงพอในยุค IT-OT Convergence
2. Micro-segmentation ลด Blast Radius — จากทั้ง VLAN เหลือเพียงอุปกรณ์เดียว ลดความเสียหายอย่างมาก
3. 75% ของการโจมตี OT เริ่มจาก IT — การแยกอุปกรณ์ระดับละเอียดช่วยตัดเส้นทาง Lateral Movement
4. ต้องเริ่มจาก Visibility — ไม่มี Asset Map ที่แม่นยำ ไม่สามารถเขียนนโยบายได้
5. เลือกเทคโนโลยีที่ต่ำ Latency — โปรโตคอล Real-Time เช่น EtherCAT ไม่ทน delay เพิ่ม
6. เริ่มจาก Critical Asset — ไม่ต้องทำทุกอุปกรณ์ในครั้งเดียว เริ่มจาก Safety PLC และ Engineering Workstation ก่อน
7. Ransomware มุ่งเป้า OT เพิ่ม 60% — Micro-segmentation คือเกราะกำลังสำคัญในการจำกัดการแพร่กระจาย