ความปลอดภัยไซเบอร์ในภาคอุตสาหกรรม: เหตุใดการเชื่อมต่อโรงงานเข้ากับอินเทอร์เน็ตจึงสร้างความเสี่ยงรูปแบบใหม่

การเชื่อมต่อระบบ OT ของโรงงานเข้ากับอินเทอร์เน็ตทำให้ระบบเหล่านี้เผชิญกับช่องทางโจมตีที่ไม่เคยถูกออกแบบมาให้รับมือได้ ระบบ OT ไม่ว่าจะเป็น PLC ตัวควบคุม SCADA และแพลตฟอร์ม DCS ถูกสร้างขึ้นเพื่อความน่าเชื่อถือและการทำงานต่อเนื่อง ไม่ใช่เพื่อความปลอดภัย ระบบส่วนใหญ่ยังใช้ระบบปฏิบัติการรุ่นเก่าที่ไม่สามารถแพตช์ได้โดยไม่หยุดสายการผลิต และส่วนใหญ่ทำงานบนเครือข่ายแบบแฟลตที่ไม่มีการแบ่งเซกเมนต์ การบุกรุกเพียงจุดเดียวสามารถเคลื่อนตัวในแนวราบจากระบบ IT ไปยังพื้นที่การผลิตได้ภายในไม่กี่นาที ทำให้สายการผลิตหยุดทำงาน เครื่องจักรเสียหาย หรือเกิดเหตุการณ์ด้านความปลอดภัย คู่มือนี้ครอบคลุมความเสี่ยงเฉพาะของการเชื่อมต่อ OT ลักษณะของสถาปัตยกรรมความปลอดภัยพื้นฐาน และสิ่งที่ผู้ผลิตไทยต้องจัดการก่อนเชื่อมต่อระบบปฏิบัติการเข้ากับเครือข่ายภายนอก

เหตุใดความปลอดภัย OT จึงแตกต่างจากความปลอดภัย IT

ความปลอดภัย IT ปกป้องข้อมูล ส่วนความปลอดภัย OT ปกป้องกระบวนการทางกายภาพ

ในโลกของ IT ระบบสามารถถูกปิดใช้งานชั่วคราวเพื่อแพตช์ รีสตาร์ทหลังเกิดเหตุการณ์ และกู้คืนจากข้อมูลสำรองได้ แต่ในโลกของ OT การปิดใช้งาน PLC หมายถึงสายการผลิตหยุดทันที การรีสตาร์ทระบบ SCADA อาจต้องเริ่มกระบวนการผลิตใหม่ทั้งหมด ความสามารถในการยอมรับดาวน์ไทม์แทบเป็นศูนย์ แนวทางความปลอดภัย IT มาตรฐาน เช่น การแพตช์บ่อยครั้ง เอเจนต์ที่ปลายทาง และการรีสตาร์ทเป็นประจำ จึงไม่สามารถนำมาใช้กับสภาพแวดล้อม OT ได้โดยตรง

ระบบ OT ยังมีอายุการใช้งานที่ยาวนาน พื้นที่การผลิตในโรงงานอาจยังใช้ PLC ที่ติดตั้งมาแล้วกว่า 15 ปี บนระบบปฏิบัติการที่ไม่ได้รับการอัปเดตด้านความปลอดภัยมานานนับทศวรรษ ระบบเหล่านี้ไม่เคยถูกออกแบบมาให้เชื่อมต่ออินเทอร์เน็ต โมเดลความปลอดภัยของระบบตั้งอยู่บนสมมติฐานว่าจะถูกแยกออกจากเครือข่ายภายนอกโดยสิ้นเชิง สมมติฐานนี้ใช้ไม่ได้อีกต่อไป เมื่อเครือข่ายเดียวกันต้องรองรับทั้งทราฟฟิกควบคุมการผลิตและการเชื่อมต่อกับระบบ ERP การตรวจสอบระยะไกล หรือระบบส่งข้อมูลขึ้นคลาวด์

เกิดอะไรขึ้นเมื่อเครือข่าย OT และ IT หลอมรวมกัน

การเชื่อมต่อในยุค Industry 4.0 ไม่ว่าจะเป็นเซนเซอร์ IIoT การเชื่อมต่อกับระบบ ERP การเข้าถึงเพื่อบำรุงรักษาระยะไกล และระบบจัดเก็บข้อมูลบนคลาวด์ ล้วนต้องการให้เครือข่าย OT และ IT แลกเปลี่ยนข้อมูลกัน การหลอมรวมนี้จำเป็นต่อการดำเนินงาน แต่ก็สร้างพื้นที่การโจมตีรูปแบบใหม่ขึ้นมาด้วย

ความเสี่ยงคือการเคลื่อนตัวในแนวราบ ผู้โจมตีที่เข้าถึงเครือข่าย IT ได้ผ่านอีเมลฟิชชิง ข้อมูลรับรองของผู้ให้บริการที่ถูกขโมย หรือช่องโหว่ในระบบที่เปิดสู่อินเทอร์เน็ต สามารถเคลื่อนตัวไปยังเครือข่าย OT ได้ หากทั้งสองเครือข่ายไม่ได้ถูกแบ่งเซกเมนต์อย่างเหมาะสม เมื่อเข้าถึงเครือข่าย OT ได้แล้ว ผู้โจมตีก็จะสามารถเข้าถึงระบบควบคุมการผลิตได้ทันที

ผลกระทบที่เกิดขึ้นแตกต่างจากการถูกโจมตีในฝั่ง IT โดยสิ้นเชิง การโจมตีด้วยแรนซัมแวร์ต่อระบบ IT จะเข้ารหัสไฟล์ ในขณะที่การโจมตีด้วยแรนซัมแวร์ต่อระบบ OT จะทำให้การผลิตหยุดชะงัก หากผู้โจมตีเข้าใจกระบวนการผลิต ก็สามารถสั่งการให้เครื่องจักรเสียหายหรือก่อให้เกิดอันตรายด้านความปลอดภัยได้ การกู้คืนต้องใช้เวลาเป็นวันหรือเป็นสัปดาห์ ไม่ใช่เพียงไม่กี่ชั่วโมง

เหตุการณ์จริงล้วนเป็นไปตามรูปแบบนี้ การโจมตี Colonial Pipeline ในปี 2021 เริ่มต้นจากข้อมูลรับรอง VPN ที่ถูกขโมย การโจมตีด้วยแรนซัมแวร์ต่อ Nordex ในปี 2022 ทำให้การผลิตของหนึ่งในผู้ผลิตกังหันลมรายใหญ่ที่สุดของยุโรปหยุดชะงัก ทั้งสองกรณีจุดเริ่มต้นคือระบบ IT แต่ผลกระทบที่เกิดขึ้นเป็นความเสียหายทางกายภาพ

ความเสี่ยงเฉพาะสำหรับระบบ OT ของโรงงานในไทย

ผู้ผลิตไทยที่กำลังเชื่อมต่อระบบ OT เป็นครั้งแรก ต้องเผชิญกับความเสี่ยงที่มีลักษณะเฉพาะร่วมกันหลายประการ

เครื่องจักรรุ่นเก่าที่ไม่สามารถแพตช์ได้: พื้นที่การผลิตส่วนใหญ่ในภาคอุตสาหกรรมของไทยใช้เครื่องจักรที่มีอายุแตกต่างกันปะปนกัน PLC และตัวควบคุมจากช่วงปี 2000 ถึงต้นปี 2010 ใช้ระบบปฏิบัติการที่ไม่มีอัปเดตด้านความปลอดภัยให้ใช้งานอีกต่อไป ระบบเหล่านี้ไม่สามารถแพตช์ได้ ทำได้เพียงแยกออกจากเครือข่ายอื่นเท่านั้น

สถาปัตยกรรมเครือข่ายแบบแฟลต: โรงงานหลายแห่งสร้างเครือข่าย OT ขึ้นเพื่อความน่าเชื่อถือ ไม่ใช่เพื่อการแบ่งเซกเมนต์ เวิร์กสเตชันวิศวกรรมที่ใช้ตั้งโปรแกรม PLC อยู่บนเครือข่ายเซกเมนต์เดียวกันกับระบบอีเมลขององค์กร โดยไม่มีไฟร์วอลล์คั่นกลางแต่อย่างใด

การเข้าถึงระยะไกลที่ไม่มีการควบคุม: การเข้าถึงเพื่อบำรุงรักษาระยะไกลที่เปิดไว้ในช่วงโควิด และมักไม่เคยถูกรัดกุมด้านความปลอดภัยในภายหลัง ถือเป็นหนึ่งในช่องทางบุกรุก OT ที่พบบ่อยที่สุด ผู้ผลิตจำนวนมากยังมีเซสชันการเข้าถึงระยะไกลที่ใช้งานอยู่โดยไม่มีการยืนยันตัวตนหลายปัจจัย (MFA) ไม่มีการบันทึกเซสชัน และไม่มีการจำกัดระยะเวลาการเข้าถึง

การเข้าถึงของบุคคลที่สาม: ผู้จำหน่ายเครื่องจักร ผู้ผสานระบบ และผู้รับเหมาบำรุงรักษา มักมีสิทธิ์เข้าถึงระบบ OT ระยะไกลแบบถาวร แต่ละรายคือช่องทางบุกรุกที่อาจเกิดขึ้นได้ สิทธิ์การเข้าถึงที่ให้ไว้สำหรับโครงการหนึ่งมักถูกปล่อยทิ้งไว้โดยไม่ถูกเพิกถอนอย่างไม่มีกำหนด

สถาปัตยกรรมความปลอดภัย OT พื้นฐานควรมีลักษณะอย่างไร

มาตรฐาน ISA/IEC 62443 คือกรอบอ้างอิงสำหรับความปลอดภัยไซเบอร์ภาคอุตสาหกรรม โดยกำหนดระดับความปลอดภัยตามโซนและช่องทางเชื่อมต่อ (conduit) แต่ละโซนมีข้อกำหนดด้านความปลอดภัยเฉพาะของตนเอง และการสื่อสารระหว่างโซนต้องผ่านช่องทางเชื่อมต่อที่มีการควบคุมเฉพาะเจาะจง

ในทางปฏิบัติ สถาปัตยกรรมพื้นฐานสำหรับโรงงานไทยที่เชื่อมต่อเครือข่ายประกอบด้วย

• การแบ่งเซกเมนต์เครือข่าย: แยกเครือข่าย IT และ OT ออกจากกันด้วยไฟร์วอลล์หรือ DMZ และแบ่งเซกเมนต์เครือข่ายย่อยของ OT ตามหน้าที่การใช้งานเพิ่มเติม โดยแยกระบบควบคุมการผลิตออกจากเวิร์กสเตชันวิศวกรรม และแยกออกจากเซิร์ฟเวอร์ historian ไม่มีทราฟฟิกวิ่งตรงระหว่าง IT และ OT โดยไม่ผ่านการตรวจสอบ
• การมอนิเตอร์เฉพาะ OT: เครื่องมือความปลอดภัย IT ไม่รองรับโปรโตคอลของ OT เช่น Modbus, PROFINET, EtherNet/IP หรือ DNP3 แพลตฟอร์มมอนิเตอร์ OT จะสังเกตทราฟฟิก OT แบบพาสซีฟโดยไม่รบกวนการผลิต และตรวจจับความผิดปกติจากพฤติกรรมของกระบวนการ
• การควบคุมการเข้าถึงระยะไกล: การเข้าถึงระยะไกลทั้งหมดต้องผ่าน jump server ที่มีการยืนยันตัวตนหลายปัจจัย (MFA) เปิดใช้งานการบันทึกเซสชัน กำหนดสิทธิ์เข้าถึงแบบจำกัดเวลาต่อเซสชัน ไม่ใช่ข้อมูลรับรองแบบถาวร และทบทวนพร้อมเพิกถอนสิทธิ์ผู้จำหน่ายเมื่อโครงการปิดตัวลง
• บัญชีทรัพย์สิน OT: บัญชีทรัพย์สิน OT ที่ครบถ้วนต้องครอบคลุม PLC, HMI, ตัวควบคุม และอุปกรณ์เครือข่ายทุกชิ้น โรงงานส่วนใหญ่ยังไม่มีบัญชีดังกล่าว เพราะคุณไม่สามารถปกป้องสิ่งที่มองไม่เห็นได้
• แผนตอบสนองเหตุการณ์เฉพาะสำหรับ OT: ใครควรได้รับแจ้งเมื่อระบบการผลิตแสดงพฤติกรรมผิดปกติ ขั้นตอนการแยกเซกเมนต์ที่ถูกบุกรุกโดยไม่ต้องหยุดทั้งสายการผลิตคืออะไร และใครมีอำนาจสั่งปิด PLC ได้

สิ่งที่ผู้ผลิตไทยควรทำเป็นลำดับแรก

ก่อนเชื่อมต่อระบบ OT ใดๆ เข้ากับเครือข่ายภายนอก ควรดำเนินการให้ครบ 3 ขั้นตอนต่อไปนี้

ทำแผนผังเครือข่าย ระบุอุปกรณ์ทุกชิ้น การเชื่อมต่อทุกจุด และจุดที่ทราฟฟิก IT และ OT มาบรรจบกันในปัจจุบัน ผู้ผลิตจำนวนมากมักค้นพบการเชื่อมต่อที่ไม่มีเอกสารบันทึกไว้ระหว่างขั้นตอนนี้

แบ่งเซกเมนต์ก่อนเชื่อมต่อ ติดตั้งไฟร์วอลล์หรือ DMZ ระหว่างเครือข่าย IT และ OT ก่อนเปิดใช้งานการเชื่อมต่อในยุค Industry 4.0 ใดๆ ข้อมูลสามารถไหลผ่าน DMZ ได้ แต่ทราฟฟิกโดยตรงทำไม่ได้

ตรวจสอบการเข้าถึงระยะไกล ระบุเซสชันการเข้าถึงระยะไกลที่ใช้งานอยู่กับระบบ OT ทุกเซสชัน เพิกถอนข้อมูลรับรองแบบถาวรของผู้จำหน่าย และติดตั้งการยืนยันตัวตนหลายปัจจัย (MFA) บนเส้นทางการเข้าถึงที่เหลือทั้งหมด ขั้นตอนเดียวนี้ช่วยกำจัดช่องทางบุกรุกที่พบบ่อยที่สุดได้

ทั้งสามขั้นตอนนี้ไม่จำเป็นต้องใช้งบประมาณด้านความปลอดภัยจำนวนมาก แต่ต้องใช้เวลา แผนผังเครือข่ายที่ถูกต้อง และอำนาจในการบังคับใช้การควบคุมการเข้าถึง

คำถามที่พบบ่อย

ความเสี่ยงด้านความปลอดภัยไซเบอร์จากการเชื่อมต่อระบบ OT ของโรงงานเข้ากับอินเทอร์เน็ตมีอะไรบ้าง

ระบบ OT ถูกออกแบบมาให้แยกตัวจากเครือข่ายภายนอกโดยสิ้นเชิง ไม่ใช่เพื่อความปลอดภัยเครือข่าย การเชื่อมต่อระบบเหล่านี้กับเครือข่ายภายนอกทำให้ PLC, SCADA และแพลตฟอร์ม DCS เสี่ยงต่อการเคลื่อนตัวในแนวราบจากเครือข่าย IT แรนซัมแวร์ และการถูกบุกรุกผ่านการเข้าถึงระยะไกล ผลกระทบที่เกิดขึ้นแตกต่างจากการถูกโจมตีฝั่ง IT การผลิตหยุดชะงัก เครื่องจักรอาจเสียหาย และระบบความปลอดภัยอาจได้รับผลกระทบ การกู้คืนต้องใช้เวลาเป็นวันหรือเป็นสัปดาห์

ความปลอดภัย OT แตกต่างจากความปลอดภัย IT อย่างไร

ความปลอดภัย IT ปกป้องระบบข้อมูลที่สามารถแพตช์ รีสตาร์ท และกู้คืนจากข้อมูลสำรองได้โดยส่งผลกระทบต่อการดำเนินงานน้อยที่สุด ส่วนความปลอดภัย OT ปกป้องกระบวนการผลิตทางกายภาพ ซึ่งดาวน์ไทม์หมายถึงการสูญเสียการผลิตและความเสี่ยงต่อเครื่องจักร ระบบ OT ใช้ซอฟต์แวร์รุ่นเก่าในวงจรการใช้งานที่ยาวนาน ไม่สามารถทนต่อดาวน์ไทม์ที่จำเป็นสำหรับการแพตช์มาตรฐานได้ และใช้โปรโตคอลอุตสาหกรรมที่เครื่องมือความปลอดภัย IT ไม่รองรับ

การเคลื่อนตัวในแนวราบในการโจมตีไซเบอร์ต่อ OT คืออะไร

การเคลื่อนตัวในแนวราบคือเทคนิคที่ผู้โจมตีใช้เพื่อเคลื่อนย้ายจากจุดเข้าถึงเริ่มต้น ซึ่งโดยทั่วไปคือระบบ IT ไปยังเครือข่าย OT เป้าหมายที่ควบคุมการผลิต หากเครือข่าย IT และ OT ไม่ถูกแบ่งเซกเมนต์ ผู้โจมตีที่เข้าถึงได้ผ่านฟิชชิงหรือข้อมูลรับรองของผู้จำหน่ายที่ถูกขโมย ก็สามารถเข้าถึงระบบควบคุมการผลิตได้โดยไม่ต้องอาศัยช่องโหว่เพิ่มเติมใดๆ

มาตรฐาน ISA/IEC 62443 สำหรับความปลอดภัยไซเบอร์ภาคอุตสาหกรรมคืออะไร

ISA/IEC 62443 คือมาตรฐานอ้างอิงระดับสากลสำหรับการรักษาความปลอดภัยระบบควบคุมภาคอุตสาหกรรม โดยกำหนดระดับความปลอดภัยตามโซน และระบุการควบคุมที่ใช้กำกับการสื่อสารระหว่างโซน เป็นกรอบมาตรฐานที่ถูกอ้างอิงมากที่สุดในการประเมินความปลอดภัย OT และเป็นพื้นฐานของโปรแกรมความปลอดภัย ICS ส่วนใหญ่ในภาคการผลิต

ผู้ผลิตไทยควรทำอย่างไรก่อนเชื่อมต่อระบบ OT เข้ากับเครือข่ายภายนอก

มี 3 ขั้นตอนที่ควรทำก่อนเชื่อมต่อเครือข่ายภายนอกใดๆ ได้แก่ ทำแผนผังเครือข่าย OT ให้ครบถ้วน แบ่งเซกเมนต์ IT และ OT ด้วยไฟร์วอลล์หรือ DMZ และตรวจสอบการเข้าถึงระยะไกลทั้งหมดเพื่อเพิกถอนข้อมูลรับรองแบบถาวรของผู้จำหน่าย พร้อมติดตั้งการยืนยันตัวตนหลายปัจจัย ขั้นตอนเหล่านี้จัดการกับช่องทางบุกรุกที่พบบ่อยที่สุด 3 ช่องทางโดยไม่จำเป็นต้องใช้งบประมาณจำนวนมาก

มีเครื่องมือมอนิเตอร์ความปลอดภัย OT อะไรบ้าง

แพลตฟอร์มมอนิเตอร์เฉพาะ OT เช่น Claroty, Dragos และ Nozomi Networks สังเกตทราฟฟิกเครือข่าย OT แบบพาสซีฟด้วยความเข้าใจโปรโตคอลอุตสาหกรรม โดยตรวจจับความผิดปกติจากพฤติกรรมของกระบวนการ แทนที่จะใช้การจับคู่ signature และไม่รบกวนการผลิต เครื่องมือความปลอดภัย IT มาตรฐานไม่เหมาะสมกับสภาพแวดล้อม OT และอาจก่อให้เกิดความไม่เสถียรเมื่อนำไปใช้งานบนฮาร์ดแวร์ OT รุ่นเก่า

ก้าวต่อไป

Gradion ทำงานร่วมกับผู้ผลิตทั่วทั้งประเทศไทยและภูมิภาคเอเชียตะวันออกเฉียงใต้ในด้านการประเมินความปลอดภัย OT การแบ่งเซกเมนต์เครือข่าย และการออกแบบโปรแกรมความปลอดภัย ICS ติดต่อทีมของเราเพื่อเริ่มต้นด้วยการทำแผนผังเครือข่าย