OT Security คืออะไร และทำไมโรงงานไทยต้องเริ่มใส่ใจตั้งแต่วันนี้

ลองนึกภาพเช้าวันจันทร์ดูนะครับ ถ้าคอมพิวเตอร์ในออฟฟิศโดน ransomware ทั้งแผนก ไฟล์เปิดไม่ได้ งานเดินต่อไม่ได้ทั้งวัน ก็คงวุ่นวายน่าดู แต่อย่างน้อยเครื่องจักรในโรงงานก็ยังเดินอยู่

ทีนี้ถ้าเราลองเปลี่ยนเป็นว่าสิ่งที่โดนคือ PLC ที่คุมหม้อไอน้ำ วาล์วแก๊ส หรือสายพานการผลิต ผลที่ตามมาอาจเป็นไลน์ผลิตหยุดทั้งโรงงาน ของเสียทั้งล็อต หรือในกรณีที่แย่ที่สุดคือมีคนเจ็บ ดูแล้วน่าจะเป็นเรื่องที่ฝ่ายไอทีรับมือคนเดียวไม่ไหวใช่ไหมครับ ซึ่งคนดูแลโรงงานหลาย ๆ ฝ่ายต้องเข้ามาช่วยกันด้วย

OT คืออะไรกันแน่

OT ย่อมาจาก Operational Technology ถ้าจะให้พูดง่าย ๆ ก็คือฮาร์ดแวร์และซอฟต์แวร์ที่ใช้วัดและควบคุมเครื่องจักรกับกระบวนการผลิตจริง ๆ ซึ่งต่างจากระบบไอทีที่ส่วนใหญ่ดูแลเรื่องข้อมูล

ถ้าใครเคยเดินเข้าห้องควบคุมในโรงงาน ก็น่าจะเคยเห็น OT กันมาบ้างแล้วครับ ไม่ว่าจะเป็นตู้ PLC ที่สั่งมอเตอร์กับวาล์ว หรือจอ SCADA และ HMI ที่วิศวกรนั่งเฝ้าดูกระบวนการผลิต ส่วนโรงกลั่นกับโรงไฟฟ้าก็จะใช้ระบบ DCS ที่ใหญ่กว่านั้น แล้วก็ยังมี SIS ซึ่งเป็นระบบความปลอดภัยที่คอยสั่งหยุดกระบวนการเมื่อเกิดสภาวะอันตราย ช่วงหลัง ๆ ก็มีเซนเซอร์ IIoT ที่ส่งข้อมูลจากหน้างานขึ้นคลาวด์เพิ่มเข้ามาอีก

ทำไมเอาวิธีของฝ่ายไอทีมาใช้ตรง ๆ ไม่ได้

เรามักจะเจอบ่อย ๆ ว่าหลายองค์กรเอานโยบายความปลอดภัยของออฟฟิศไปครอบโรงงานทั้งชุด แล้วสุดท้ายก็ใช้จริงไม่ได้ ซึ่งดูแล้วน่าจะเป็นเพราะสองฝั่งนี้ห่วงกันคนละเรื่องนั่นเองครับ

ฝั่งไอทีจะกลัวข้อมูลรั่วเป็นหลัก ส่วนคนหน้างานจะกลัวเครื่องหยุดกับคนเจ็บมากกว่า คอมพิวเตอร์ในออฟฟิศเปลี่ยนกันทุก 3-5 ปี แต่ PLC บางตัวทำงานมา 20 ปีแล้วและยังจะใช้ต่อไปอีกนาน ไอทีรีบูตเครื่องเพื่อลงแพตช์กันเป็นเรื่องปกติ แต่ถ้าเราลองไปรีบูตเครื่องในโรงงานดูบ้าง แค่เครื่องเดียวก็อาจแปลว่าต้องหยุดไลน์ผลิต ซึ่งผู้จัดการโรงงานส่วนใหญ่คงไม่ยอมง่าย ๆ

อีกเรื่องที่คนนอกวงการฟังแล้วมักจะตกใจ คือโปรโตคอลที่ใช้คุยกับเครื่องจักรอย่าง Modbus, DNP3 หรือ S7 ส่วนใหญ่ไม่มีการยืนยันตัวตนเลย เพราะถูกออกแบบมาตั้งแต่ยุคที่เครือข่ายโรงงานยังไม่ได้ต่อกับอะไรข้างนอก ถ้าใครเข้ามาในเครือข่ายได้ก็สั่ง PLC ได้ทันที โดยไม่ต้องใช้รหัสผ่านด้วยซ้ำครับ

"ระบบเราไม่ได้ต่ออินเทอร์เน็ตนะ"

ประโยคนี้เราได้ยินแทบทุกครั้งที่เริ่มคุยเรื่อง OT ซึ่งก็เป็นเรื่องที่พอเข้าใจได้ครับ เพราะตอนติดตั้งระบบครั้งแรก มันอาจจะแยกขาดจากข้างนอกจริง ๆ

แต่พอผ่านไปหลาย ๆ ปี ช่องทางเล็ก ๆ ก็มักจะค่อย ๆ งอกขึ้นมาเอง ผู้ขายเครื่องจักรขอลง TeamViewer ไว้ดูแลจากระยะไกล แล้วก็ไม่มีใครถอดออก เครื่องของวิศวกรมีการ์ดแลนสองใบ ต่อทั้งเน็ตออฟฟิศและเน็ตโรงงานเพราะสะดวกดี ผู้บริหารอยากเห็นยอดผลิตแบบเรียลไทม์ ก็มีคนดึงข้อมูลขึ้นแดชบอร์ดบนคลาวด์ ช่างเอาโน้ตบุ๊กกับ USB เสียบข้ามไปมาระหว่างสองฝั่ง บางที่ถึงขั้นมีเราเตอร์ 4G ซ่อนอยู่ในตู้คอนโทรลด้วย

ถ้าเราลองไล่ดูทีละช่องทาง ก็จะเห็นว่าทุกช่องทางมีคนเปิดไว้ด้วยเหตุผลที่ฟังขึ้นในตอนนั้น แต่ไม่เคยมีใครมานั่งนับรวมกันจริง ๆ ว่ามีกี่ทาง

เหตุการณ์ที่เคยเกิดขึ้นจริง

ปี 2010 มีมัลแวร์ชื่อ Stuxnet ที่เดินทางผ่าน USB เข้าไปในเครือข่ายที่ไม่ได้ต่ออินเทอร์เน็ต แล้วแก้โปรแกรมใน PLC ของ Siemens จนเครื่องหมุนเหวี่ยงในโรงงานเสริมสมรรถนะยูเรเนียมของอิหร่านพังไปจำนวนมาก ซึ่งในกรณีนี้ การไม่ต่ออินเทอร์เน็ตก็ช่วยอะไรไม่ได้เลย

ธันวาคม 2015 ที่ยูเครน ผู้โจมตีเริ่มจากอีเมลฟิชชิงธรรมดา ๆ ในออฟฟิศของการไฟฟ้า แล้วค่อย ๆ ขยับเข้าไปจนถึงระบบ SCADA ก่อนจะสั่งตัดไฟ ทำให้บ้านราว 225,000 หลังคาเรือนไฟดับไปหลายชั่วโมงกลางฤดูหนาว

ปี 2017 มีมัลแวร์ชื่อ Triton โจมตีระบบ SIS ในโรงงานปิโตรเคมีที่ซาอุดีอาระเบีย ซึ่งก็คือระบบที่มีไว้หยุดเครื่องเวลาเกิดเหตุอันตรายนั่นเองครับ

ส่วน Colonial Pipeline ในอเมริกาเมื่อปี 2021 ransomware เข้าไปถึงแค่เครือข่ายไอที แต่บริษัทก็ยังตัดสินใจหยุดท่อส่งน้ำมันไปหลายวัน เพราะไม่มั่นใจว่าฝั่ง OT ยังปลอดภัยอยู่หรือเปล่า ดูแล้วน่าจะพอเห็นภาพนะครับว่า แค่ฝั่งออฟฟิศโดน โรงงานก็อาจต้องหยุดตามไปด้วย

แล้วเรื่องนี้เป็นงานของใคร

ในหลาย ๆ องค์กร ฝ่ายไอทีมักจะมองว่าตู้คอนโทรลในโรงงานไม่ใช่ของตัวเอง เลยไม่กล้าแตะ ส่วนวิศวกรโรงงานก็มองว่าความปลอดภัยไซเบอร์เป็นงานของไอที หน้าที่ของตัวเองคือทำให้เครื่องเดิน เรื่องนี้เลยค้างอยู่ตรงกลางแบบไม่มีใครเป็นเจ้าของ คุ้น ๆ ไหมครับ

เราเคยเห็นมาทั้งสองแบบ แบบแรกคือไอทีเข้าไปจัดการโดยไม่เข้าใจหน้างาน ลงแอนตี้ไวรัสบน HMI แล้วเครื่องช้าจนวิศวกรต้องแอบถอดออก ส่วนแบบที่สองคือปล่อยให้หน้างานดูแลกันเอง แล้วทุกคนก็ยุ่งกับงานผลิตจนไม่มีใครมีเวลามาดูเรื่องนี้

แบบที่ดูแล้วได้ผลที่สุดคือการตั้งทีมเล็ก ๆ ที่มีคนจากไอทีหนึ่งคน วิศวกรโรงงานหนึ่งคน และผู้บริหารที่ให้อำนาจตัดสินใจกับทีมนี้ แล้วก็ต้องมีชื่อคนรับผิดชอบที่ชัดเจนสักหนึ่งคนด้วยนะครับ

เริ่มจากตรงไหนดี

จริง ๆ แล้วส่วนใหญ่ยังไม่ต้องซื้ออุปกรณ์อะไรเพิ่มเลยครับ สิ่งที่เรามักจะแนะนำลูกค้าเกือบทุกรายมีประมาณนี้

ทำรายการอุปกรณ์ OT ให้ครบ ทั้งรุ่น PLC เวอร์ชันเฟิร์มแวร์ ระบบปฏิบัติการของ HMI และทุกจุดที่เชื่อมออกไปข้างนอก ฟังดูเป็นเรื่องพื้นฐานมาก แต่ถ้าลองทำจริง ๆ ก็มักจะเจออุปกรณ์ที่ไม่มีใครจำได้ว่ามีอยู่
แบ่งโซนเครือข่าย โดยแยกออฟฟิศ ระบบควบคุม และระบบความปลอดภัยออกจากกัน แล้วใส่ DMZ คั่นระหว่างไอทีกับ OT ซึ่งมาตรฐาน IEC 62443 เรียกแนวคิดนี้ว่า Zones and Conduits ถ้าให้จำไว้ข้อเดียว ก็คืออย่าให้มีเส้นทางตรงจากเครื่องในออฟฟิศไปถึง PLC
รวมช่องทางเข้าถึงระยะไกลให้เหลือทางเดียว ใส่ MFA บันทึกทุกการเชื่อมต่อ และเปิดให้ผู้ขายเข้าเฉพาะตอนที่มีงานจริง ๆ ส่วนโปรแกรม remote desktop ที่กระจายอยู่ตามเครื่องต่าง ๆ ก็ควรถอนออกให้หมด
ติดตั้งระบบตรวจจับที่แค่ฟังทราฟฟิกผ่าน SPAN port หรือ network TAP โดยไม่ส่งอะไรเข้าไปรบกวนเครือข่ายควบคุม ระบบพวกนี้อ่านโปรโตคอลอุตสาหกรรมออก และจะเตือนเมื่อมีคนพยายามเขียนค่าหรืออัปโหลดโปรแกรมใหม่ไปที่ PLC
เก็บโปรแกรม PLC ค่าคอนฟิก และ image ของ HMI ไว้แบบออฟไลน์ แล้วลองกู้คืนจริงอย่างน้อยปีละครั้ง เราจะได้รู้ก่อนวันที่ต้องใช้จริงว่าไฟล์ที่เก็บไว้ใช้ได้หรือเปล่า
ป้องกันเครื่องที่แพตช์ไม่ได้ HMI ที่ยังรัน Windows รุ่นเก่าและอัปเกรดไม่ได้เป็นเรื่องที่เจอได้แทบทุกโรงงาน ไม่ต้องกังวลไปครับ วิธีรับมือคือจำกัดให้รันได้เฉพาะโปรแกรมที่อนุญาต ปิดพอร์ตกับบริการที่ไม่ได้ใช้ คุมการเสียบ USB และจำกัดว่าเครื่องไหนคุยกับมันได้บ้าง
ซ้อมรับมือเหตุการณ์ด้วยกัน แผนควรตอบได้ว่าใครมีสิทธิ์สั่งหยุดไลน์ผลิต จะตัดการเชื่อมต่อตอนไหน และถ้าต้องเดินเครื่องแบบ manual จะไหวกี่ชั่วโมง ลองนั่งซ้อมแบบ tabletop โดยให้ทั้งวิศวกรโรงงานและทีมไอทีอยู่ในห้องเดียวกันดูนะครับ หลายครั้งแค่ได้คุยกันก็เห็นแล้วว่าแผนยังขาดอะไรอยู่

การทดสอบเจาะระบบ OT ต้องใจเย็น

ถ้าเราลองเอาวิธีสแกนเครือข่ายแบบที่ทำกับระบบไอทีทั่วไปมาใช้กับโรงงาน PLC รุ่นเก่าบางตัวอาจค้างหรือรีสตาร์ทเองได้ และก็เคยมีกรณีที่การสแกนธรรมดา ๆ ทำให้ไลน์ผลิตหยุดมาแล้วด้วย

การทดสอบระบบ OT จึงควรเริ่มจากการฟังทราฟฟิกและสังเกตก่อน ตรวจเอกสารกับคอนฟิก แล้วค่อยทดสอบเชิงรุกในระบบจำลอง หรือในช่วงหยุดซ่อมบำรุงที่ตกลงกับฝ่ายผลิตไว้แล้วเท่านั้น ซึ่งคนทดสอบต้องคิดแบบผู้โจมตีได้ และต้องเข้าใจด้วยว่าคนหน้างานกังวลอะไร เพราะงานนี้ต้องหาช่องโหว่ให้เจอโดยที่การผลิตไม่สะดุดไปด้วยครับ

ถ้าจะเริ่มพรุ่งนี้

ลองเริ่มจากรายการอุปกรณ์ในข้อ 1 กับการเชื่อมต่อทุกเส้นที่ออกไปนอกโรงงานก่อน พอทำสองอย่างนี้เสร็จ การประเมินตามมาตรฐานอย่าง IEC 62443 หรือ NIST SP 800-82 ในขั้นต่อไปก็น่าจะง่ายขึ้นมาก เพราะเรารู้แล้วว่ากำลังปกป้องอะไรอยู่

ถ้าอ่านแล้วลองนึกภาพระบบในโรงงานของตัวเอง แต่ยังไม่แน่ใจว่าควรเริ่มจากตรงไหนก่อน ก็นัดคุยกับเราได้นะครับ ทาง Quackbase ยินดีให้บริการครับ