อุปกรณ์ไฟร์วอลล์: การเข้าใจพื้นฐานด้านความมั่นคงปลอดภัยของเครือข่าย

ไฟร์วอลล์ทำหน้าที่อะไรบนเครือข่ายจริง ๆ

อุปกรณ์ไฟร์วอลล์ตั้งอยู่ที่ขอบเขตระหว่างเครือข่าย ทำหน้าที่ตัดสินใจว่าข้อมูลใดจะผ่านเข้าไปได้ และข้อมูลใดจะถูกบล็อก ฟังดูเรียบง่าย แต่ความเป็นจริงนั้นซับซ้อนกว่านั้น ไฟร์วอลล์รุ่นแรกๆ ตรวจสอบเพียงส่วนหัวของแพ็กเก็ตเท่านั้นตามรายการกฎที่กำหนดไว้ เช่น ที่อยู่ไอพีต้นทาง ที่อยู่ไอพีปลายทาง และหมายเลขพอร์ต จากนั้นจึงตัดสินใจยอมให้หรือปฏิเสธแต่ละแพ็กเก็ตแยกกันไป ขณะที่อุปกรณ์ไฟร์วอลล์สมัยใหม่ทำมากกว่านั้นหลายเท่า ทั้งยังจัดเก็บตารางสถานะ ติดตามการเชื่อมต่อที่กำลังใช้งานอยู่ และวิเคราะห์รูปแบบการรับส่งข้อมูลโดยรวม ไม่ใช่แค่ตรวจสอบแพ็กเก็ตแต่ละชิ้นเท่านั้น การตรวจสอบแบบมีสถานะ (stateful inspection) นี้หมายความว่า อุปกรณ์สามารถเข้าใจได้ว่า แพ็กเก็ตนั้นเป็นส่วนหนึ่งของการเชื่อมต่อที่มีอยู่แล้ว หรือเป็นสิ่งใหม่ที่อาจน่าสงสัย

ฟังก์ชันพื้นฐานยังคงเหมือนเดิม คือ การบังคับใช้นโยบายความปลอดภัยโดยการควบคุมการรับส่งข้อมูลระหว่างโซนที่มีระดับความไว้วางใจต่างกัน แต่ความสามารถในการบังคับใช้นั้นมีความซับซ้อนเพิ่มขึ้นอย่างมาก อุปกรณ์ไฟร์วอลล์ที่ดีในปัจจุบันสามารถดำเนินการตรวจสอบแพ็กเก็ตอย่างลึกซึ้ง (deep packet inspection) ระบุแอปพลิเคชันได้ และแม้แต่กำหนดนโยบายตามผู้ใช้งานจริง สำหรับผู้ที่ดูแลเครือข่ายใด ๆ ก็ตามที่เชื่อมต่อกับอินเทอร์เน็ตสาธารณะ — ซึ่งก็คือเกือบทุกเครือข่าย — การเข้าใจหลักการพื้นฐานเหล่านี้จึงไม่ใช่เรื่องเลือกได้

เหตุใดโซลูชันแบบซอฟต์แวร์เพียงอย่างเดียวจึงไม่เพียงพอ

ไฟร์วอลล์แบบซอฟต์แวร์ที่ทำงานบนระบบปฏิบัติการทั่วไปมีบทบาทของตนเอง ไฟร์วอลล์ประเภทนี้ใช้งานสะดวก มักไม่มีค่าใช้จ่าย และติดตั้งได้ง่ายบนเครื่องแต่ละเครื่อง อย่างไรก็ตาม การพึ่งพาไฟร์วอลล์แบบนี้เป็นแนวป้องกันหลักสำหรับเครือข่ายธุรกิจจะก่อให้เกิดปัญหาหลายประการ ระบบปฏิบัติการโฮสต์เองกลายเป็นเป้าหมายที่ผู้ไม่หวังดีสามารถโจมตีได้ หากระบบปฏิบัติการพื้นฐานมีช่องโหว่ ซอฟต์แวร์ไฟร์วอลล์ที่ทำงานอยู่เหนือระบบดังกล่าวก็จะรับความเสี่ยงเหล่านั้นมาด้วย ในทางตรงกันข้าม อุปกรณ์ไฟร์วอลล์แบบฮาร์ดแวร์ทำงานบนเฟิร์มแวร์ที่ออกแบบมาเฉพาะ โดยใช้ระบบปฏิบัติการที่ถูกปรับให้เรียบง่ายและมีขนาดเล็กมาก จึงมีพื้นที่เสี่ยงต่อการถูกโจมตีน้อยกว่ามาก

ประสิทธิภาพคืออีกปัจจัยหนึ่ง ไฟร์วอลล์แบบซอฟต์แวร์ต้องแข่งขันกับแอปพลิเคชันอื่นๆ ทั้งหมดที่ทำงานอยู่บนโฮสต์เครื่องเดียวกันเพื่อใช้ทรัพยากรซีพียูและหน่วยความจำ ภายใต้ภาระงานการรับส่งข้อมูลที่หนัก กระบวนการจัดการแพ็กเก็ตอาจก่อให้เกิดความล่าช้า หรือแม้แต่ทำให้การเชื่อมต่อถูกตัดขาด อุปกรณ์ไฟร์วอลล์เฉพาะทางใช้โปรเซสเซอร์เฉพาะและฮาร์ดแวร์เร่งความเร็วเพื่อจัดการปริมาณการรับส่งข้อมูลโดยไม่กระทบต่อระบบอื่นๆ ความแตกต่างนี้มีความสำคัญมากที่สุดในสภาพแวดล้อมที่ความน่าเชื่อถือของเครือข่ายส่งผลโดยตรงต่อการดำเนินงาน เช่น โรงงานผลิต ห้องควบคุม และเครือข่ายการจัดการสิ่งอำนวยความสะดวก

การพัฒนาจากฟิลเตอร์แพ็กเก็ตไปสู่การรับรู้แอปพลิเคชัน

การเปลี่ยนผ่านจากตัวกรองแพ็กเก็ตแบบง่ายไปสู่การตรวจสอบที่รับรู้แอปพลิเคชัน ถือเป็นหนึ่งในการเปลี่ยนแปลงที่สำคัญที่สุดในเทคโนโลยีไฟร์วอลล์ตลอดทศวรรษที่ผ่านมา ไฟร์วอลล์แบบดั้งเดิมพิจารณาข้อมูลที่เลเยอร์ 3 และเลเยอร์ 4 ได้แก่ ที่อยู่ IP และหมายเลขพอร์ต ซึ่งวิธีนี้ใช้งานได้ค่อนข้างดีเมื่อแอปพลิเคชันใช้พอร์ตที่คาดการณ์ได้ เช่น HTTP บนพอร์ต 80, HTTPS บนพอร์ต 443, และ SSH บนพอร์ต 22 แต่แอปพลิเคชันสมัยใหม่มีความซับซ้อนมากขึ้น โดยมีการส่งข้อมูลผ่านพอร์ตที่ไม่ธรรมดา ใช้การเข้ารหัสซึ่งซ่อนเนื้อหาของข้อมูลที่ส่ง และเจรจาต่อรองการเชื่อมต่อแบบไดนามิก

อุปกรณ์ไฟร์วอลล์รุ่นใหม่จัดการปัญหานี้โดยการตรวจสอบข้อมูลที่ชั้นแอปพลิเคชัน ซึ่งสามารถระบุแอปพลิเคชันเฉพาะได้ไม่ว่าจะใช้พอร์ตใดก็ตาม ความสามารถนี้มีคุณค่าอย่างยิ่งในสภาพแวดล้อมเชิงอุตสาหกรรม ที่เครือข่ายเทคโนโลยีปฏิบัติการ (OT) ใช้โปรโตคอลพิเศษ เช่น Modbus, EtherNet/IP หรือ OPC ไฟร์วอลล์แบบดั้งเดิมอาจไม่สามารถแยกแยะระหว่างทราฟฟิก Modbus ที่ถูกต้องตามกฎหมายกับแพ็กเก็ตที่เป็นอันตรายซึ่งบังเอิญใช้พอร์ตเดียวกันได้ แต่อุปกรณ์ที่รู้จักแอปพลิเคชันจะทำได้

ไฟร์วอลล์มีบทบาทอย่างไรในกลยุทธ์การป้องกันแบบหลายชั้น

มาตรการรักษาความปลอดภัยเพียงหนึ่งเดียวไม่สามารถให้การป้องกันอย่างสมบูรณ์ได้ ไฟร์วอลล์ทำหน้าที่เป็นหนึ่งในหลายชั้นของแนวทางการป้องกันแบบหลายชั้น (defense-in-depth) แนวคิดนี้เรียบง่าย คือ การใช้มาตรการรักษาความปลอดภัยที่เป็นอิสระต่อกันหลายชั้น โดยแต่ละชั้นจะเสริมช่องว่างที่มาตรการอื่นอาจไม่ครอบคลุม ไฟร์วอลล์ทำหน้าที่กรองทราฟฟิกที่ระดับเครือข่าย ระบบป้องกันปลายทางจัดการภัยคุกคามที่เกิดขึ้นบนโฮสต์แต่ละเครื่อง การควบคุมการเข้าถึงกำหนดสิทธิ์ในการดำเนินการของผู้ใช้แต่ละราย และระบบเฝ้าระวังจะตรวจจับสิ่งที่หลุดรอดผ่านมาตรการอื่นไปได้

การตีพิมพ์พิเศษของ NIST ฉบับที่ 800-82 ซึ่งเป็นคู่มือด้านความมั่นคงปลอดภัยของระบบควบคุมอุตสาหกรรม ได้กล่าวถึงการจัดวางตำแหน่งและการตั้งค่าไฟร์วอลล์สำหรับสภาพแวดล้อมเทคโนโลยีปฏิบัติการอย่างเฉพาะเจาะจง คำแนะนำนี้เน้นย้ำเรื่องการแบ่งส่วนเครือข่าย — คือ การแบ่งเครือข่ายออกเป็นโซนต่าง ๆ ที่มีความต้องการด้านความมั่นคงปลอดภัยไม่เหมือนกัน และควบคุมการรับส่งข้อมูลระหว่างโซนเหล่านั้น แบบจำลองแบบโซนและช่องทาง (zone-and-conduit model) นี้ ซึ่งยังได้รับการกำหนดอย่างเป็นทางการในมาตรฐานชุด IEC 62443 ถือว่าไฟร์วอลล์เป็นกลไกหลักในการบังคับใช้ขอบเขตระหว่างโดเมนความมั่นคงปลอดภัย

ข้อจำกัดในโลกแห่งความเป็นจริงที่เปลี่ยนทุกสิ่งทั้งหมด

แนวคิดทางทฤษฎีอาจดูเรียบง่ายบนกระดาษ แต่ในทางปฏิบัติแทบจะไม่เป็นเช่นนั้นเลย โรงงานผลิตแห่งหนึ่งในภาคตะวันออกเฉียงใต้ของสหรัฐอเมริกาประสบกับความเป็นจริงข้อนี้ระหว่างโครงการปรับปรุงเครือข่าย ทีมงานได้ออกแบบสถาปัตยกรรมแบบแยกส่วน โดยใช้อุปกรณ์ไฟร์วอลล์แยกเครือข่ายไอทีขององค์กรออกจากพื้นที่การผลิต ซึ่งถือเป็นแนวทางปฏิบัติมาตรฐานตามหลักสากล อย่างไรก็ตาม เมื่อทีมงานนำกฎต่าง ๆ ไปใช้งานจริง ระบบควบคุมลอจิกแบบเขียนโปรแกรมได้ (PLC) จำนวนหนึ่งกลับเริ่มแสดงข้อผิดพลาดจากการหมดเวลาในการสื่อสาร สาเหตุเกิดจากไฟร์วอลล์กำลังตรวจสอบทราฟฟิกโปรโตคอล Modbus และทำให้เกิดความล่าช้าเล็กน้อย จนส่งผลให้ PLC ทำงานเกินขอบเขตความทนทานด้านเวลาที่กำหนดไว้

การแก้ไขปัญหาไม่ใช่การถอดไฟร์วอลล์ออก—ซึ่งจะขัดต่อวัตถุประสงค์ด้านความมั่นคงปลอดภัยอย่างสิ้นเชิง แต่ทีมงานกลับปรับการตั้งค่าระดับความลึกของการตรวจสอบใหม่ ใช้กฎที่ไม่รุนแรงเกินไปสำหรับกระแสข้อมูลที่รู้ว่าปลอดภัยอยู่แล้ว และติดตั้งอุปกรณ์ไฟร์วอลล์เฉพาะทางสำหรับภาคอุตสาหกรรมที่เข้าใจข้อกำหนดด้านเวลาของโปรโตคอลนั้นเป็นอย่างดี บทเรียนที่ได้รับการจดจำไว้ดีคือ ระบบควบคุมความมั่นคงปลอดภัยจำเป็นต้องคำนึงถึงข้อจำกัดในการปฏิบัติงานด้วย ไม่ใช่เพียงแนวทางปฏิบัติที่ดีที่สุดตามทฤษฎีเท่านั้น ไฟร์วอลล์ที่ทำให้กระบวนการผลิตหยุดชะงักย่อมแย่กว่าการไม่มีไฟร์วอลล์เลยเสียอีก เพราะผู้ใช้งานมักจะเลี่ยงหรือปิดการใช้งานมันทิ้งไป

ข้อพิจารณาเชิงปฏิบัติสำหรับการนำเข้าใช้งาน

การติดตั้งอุปกรณ์ไฟร์วอลล์จำเป็นต้องตอบคำถามพื้นฐานบางประการก่อนจะเริ่มจัดการฮาร์ดแวร์ใดๆ ได้แก่ ข้อมูลประเภทใดบ้างที่จำเป็นต้องไหลผ่านระหว่างโซนต่างๆ โปรโตคอลใดที่กำลังใช้งานอยู่ และมีข้อกำหนดเฉพาะด้านเวลาหรือความหน่วง (latency) หรือไม่ ใครบ้างที่ต้องการสิทธิ์ในการจัดการระบบ และสามารถเข้าถึงได้จากตำแหน่งใด หากระบบไฟร์วอลล์ล้มเหลว จะเกิดอะไรขึ้น—ข้อมูลจะถูกอนุญาตโดยค่าเริ่มต้น หรือถูกปฏิเสธโดยค่าเริ่มต้น

คำตอบแตกต่างกันไปตามสภาพแวดล้อม ตัวอย่างเช่น เครือข่ายสำนักงานองค์กร มีความสำคัญที่ต่างจากโรงบำบัดน้ำเสีย หรือระบบอัตโนมัติในคลังสินค้า ประเด็นร่วมกันคือ กฎไฟร์วอลล์ควรยึดหลักการให้สิทธิ์น้อยที่สุด กล่าวคือ อนุญาตเฉพาะสิ่งที่จำเป็นโดยชัดแจ้ง และปฏิเสธทุกสิ่งที่เหลือ แม้ฟังดูชัดเจน แต่ในทางปฏิบัติ ชุดกฎมักสะสมข้อยกเว้นเรื่อยๆ จนในที่สุดกลายเป็นเหมือนชีสสวิส ดังนั้น การทบทวนและปรับปรุงกฎอย่างสม่ำเสมอจึงช่วยป้องกันการลดลงของระดับความปลอดภัยแบบค่อยเป็นค่อยไป