บทวิเคราะห์: OT Remote Access คือประตูหลังของโรงงาน — ทำไมการเชื่อมต่อทางไกลที่สะดวกที่สุดมักเป็นช่องโหว่ที่อันตรายที่สุดในปี 2026

มีคำกล่าวที่แพร่หลายในวงการความปลอดภัย OT ว่า “ทุกการเชื่อมต่อทางไกลคือประตูที่เปิดออกทั้งสองทาง” ในอดีตวิศวกรที่ต้องเดินทางเข้าโรงงานเพื่อแก้โปรแกรม PLC หนึ่งบรรทัดอาจต้องใช้เวลาหลายชั่วโมง แต่ปัจจุบันเพียงเปิดแล็ปท็อปเชื่อมต่อจากที่ไหนก็ได้ทั่วโลก ความสะดวกนี้เองที่ทำให้ remote access กลายเป็นหนึ่งใน initial attack vector ที่ถูกใช้บ่อยที่สุดในการโจมตีโรงงานอุตสาหกรรม และนี่คือมุมมองของเราที่ Honey Corporation หลังทำงานระบบอัตโนมัติและการเชื่อมต่อ IIoT ในโรงงานมาหลายปี

เส้นทางโจมตีที่ซ้ำกันจนเป็นสูตรสำเร็จ

แบบแผนการโจมตีผ่านช่องทาง remote access มักเป็นขั้นตอนเดียวกันแทบทุกครั้ง: ผู้โจมตีได้ข้อมูลประจำตัวของบัญชี remote access (จาก phishing, ซื้อจากตลาดมืด, หรือ credential stuffing) จากนั้นเข้าสู่ระบบผ่านช่องทางที่โรงงานเปิดไว้เพื่อให้ผู้ขายเครื่องจักรหรือ integrator เข้ามาแก้ไขระบบ เมื่อเข้ามาได้ครั้งแรก สิ่งที่พบมักไม่ใช่ระบบป้องกันชั้นคุณภาพ แต่คือ เครือข่ายที่แบน (flat network) ที่มองเห็นทุกอุปกรณ์ตั้งแต่เซิร์ฟเวอร์ไปจนถึง PLC บนสายการผลิต การเคลื่อนที่แนวข้าง (lateral movement) จึงง่ายเกินไป

ปัญหาเชิงโครงสร้างมี 3 ข้อที่เจอซ้ำที่สุด ประการแรก บัญชีของ vendor ไม่มีวันหมดอายุ — เปิดให้ผู้ขายเข้ามาตอนติดตั้งเครื่องเมื่อ 3 ปีก่อน แล้วไม่เคยปิด ประการที่สอง ไม่มีการยืนยันตัวตนหลายชั้น (MFA) บนบัญชีที่มีสิทธิ์สูงสุด และประการที่สาม ไม่มีใครรู้ว่าขณะนี้มีคนเชื่อมต่อเข้ามากี่ราย เพราะไม่มีการบันทึก session หรือแจ้งเตือนการเชื่อมต่อใหม่ เหตุการณ์ในอดีตหลายกรณีที่โรงงานถูกหยุดผลิตจากมัลแวร์ สืบรายที่แล้วพบว่าจุดเริ่มต้นคือการเชื่อมต่อ vendor VPN ที่ไม่มีใครเฝ้าระวัง

เปรียบเทียบแนวทาง Remote Access ที่โรงงานใช้จริง

ข้อสังเกตจากตารางคือไม่มีแนวทางใด “ดีที่สุด” เด็ดขาด แต่มีหลักการเดียวที่แยกระหว่างโรงงานที่ปลอดภัยกับที่ไม่ปลอดภัยออกจากกัน นั่นคือ หลักการสิทธิ์น้อยที่สุดเท่าที่จำเป็น (least privilege) บนระดับ session — ผู้ขายเครื่องพิมพ์ฉลากควรเข้าถึงได้เฉพาะเครื่องพิมพ์ฉลาก ในช่วงเวลาที่นัดไว้ ภายใต้การอนุมัติของผู้ดูแลโรงงาน และมีบันทึกว่าเขาทำอะไรลงไป

มุมมองของเรา: ทิศทางปี 2026 คือ Identity-First ไม่ใช่ Perimeter-First

เมื่อเส้นแบ่งระหว่างเครือข่ายภายในและภายนอกเลือนหายลง สิ่งที่เหลือเป็นด่านหน้าป้องกันจริงคือ การยืนยันตัวตนและการอนุมัติ แนวโน้มที่เราเห็นชัดในโครงการลูกค้าคือการย้ายจากคำถาม “เข้ามาจากเครือข่ายไหน” ไปเป็น “ใคร ขอเข้าถึงอะไร ทำไม และใครอนุมัติ” ซึ่งสอดคล้องกับหลัก Zero Trust ที่เราเคยเขียนถึงในบทความก่อนหน้า องค์ประกอบที่จำเป็นมี 4 อย่าง: MFA บนทุกบัญชี remote, การอนุมัติแบบ just-in-time ที่สิทธิ์เปิดเฉพาะช่วงที่มีงานจริง, การบันทึก session เพื่อตรวจสอบย้อนหลัง และการแจ้งเตือนเมื่อมีการเชื่อมต่อใหม่ที่ผิดแบบแผน

อีกเรื่องที่มักถูกลืมคือ ความเสี่ยงจากฝั่งผู้ขายเอง — โรงงานอาจป้องกันตัวเองดี แต่ถ้าผู้ขายเครื่องจักรใช้แล็ปท็อปที่ติดมัลแวร์มาเชื่อมต่อ ประตูที่แน่นหนาก็ไร้ความหมาย สัญญาจ้างงานจึงควรมีข้อกำหนดความปลอดภัยขั้นต่ำของอุปกรณ์ที่นำมาใช้ และการเชื่อมต่อควรผ่านโซนกักกัน (demilitarized zone) ที่แยกจากเครือข่ายผลิตโดยตรง ซึ่งเป็นแนวปฏิบัติเดียวกับที่ CISA และหน่วยงานความมั่นคงปลอดภัยของประเทศอุตสาหกรรมทั่วโลกแนะนำอย่างสม่ำเสมอ

Key Takeaways

• Remote access เป็น initial attack vector ชั้นแนวหน้า — บัญชี vendor ที่ไม่มีวันหมดอายุและไม่มี MFA คือช่องโหว่ที่พบบ่อยที่สุดในการโจมตีโรงงาน
• Least privilege ต้องอยู่ระดับ session — จำกัดว่าใครเข้าถึงอุปกรณ์ไหน เมื่อไร ภายใต้การอนุมัติใคร ไม่ใช่แค่เปิด VPN ทั้งเครือข่าย
• เลือกเครื่องมือให้เข้ากับงาน — VPN ดั้งเดิม Jump Host และ Remote Access Gateway เชิงอุตสาหกรรมมีข้อแลกเปลี่ยนต่างกัน ไม่มีตัวไหนชนะทุกสถานการณ์
• บันทึกทุก session — ความสามารถตรวจสอบย้อนหลังว่าใครทำอะไรคือสิ่งที่แยกการเชื่อมต่อที่ควบคุมได้ออกจากการเชื่อมต่อที่เป็นความเสี่ยง
• ความเสี่ยงฝั่งผู้ขายคือความเสี่ยงของคุณ — กำหนดข้อบังคับความปลอดภัยขั้นต่ำในสัญญา และบังคับการเชื่อมต่อผ่านโซนกักกันเสมอ
• ทิศทางคือ Identity-First — คำถามเปลี่ยนจาก “เข้าจากเครือข่ายไหน” เป็น “ใครขอเข้าถึงอะไรและใครอนุมัติ” ตามหลัก Zero Trust