เพิ่มประสิทธิภาพอุปกรณ์ไฟร์วอลล์ของคุณให้สูงสุด: เคล็ดลับด้านความปลอดภัยขั้นสูง

เหนือกว่าการตั้งค่าเริ่มต้น

การตั้งค่าเริ่มต้นของไฟร์วอลล์มีเหตุผลที่ชัดเจน — เพื่อให้ระบบเริ่มทำงานได้อย่างรวดเร็วโดยมีอุปสรรคน้อยที่สุด แต่การตั้งค่าเหล่านี้ยังหมายถึงระดับพื้นฐาน ไม่ใช่จุดสิ้นสุด ชุดกฎเริ่มต้นที่มากับอุปกรณ์ไฟร์วอลล์ส่วนใหญ่ถูกออกแบบมาให้ใช้งานได้หลากหลายสภาพแวดล้อม โดยเน้นการเชื่อมต่อเป็นหลักมากกว่าความปลอดภัย จึงอนุญาตการเข้าถึงอย่างกว้างขวางเพื่อให้การติดตั้งเบื้องต้นทำได้ง่าย ดังนั้น หากปล่อยให้การตั้งค่าเหล่านี้คงอยู่โดยไม่มีการปรับเปลี่ยน จะก่อให้เกิดความเสี่ยงที่ไม่จำเป็น

การเพิ่มประสิทธิภาพของไฟร์วอลล์ให้สูงสุดหมายถึงการก้าวข้ามการตั้งค่าเริ่มต้น หมายถึงการเข้าใจรูปแบบการจราจรเฉพาะที่เกิดขึ้นในเครือข่ายที่กำลังได้รับการป้องกัน และปรับแต่งกฎให้สอดคล้องกับรูปแบบนั้นอย่างเหมาะสม หมายถึงการนำหลักการของการให้สิทธิ์น้อยที่สุดมาใช้จริง ไม่ใช่เพียงแค่ในเชิงทฤษฎีเท่านั้น — อนุญาตเฉพาะสิ่งที่จำเป็นโดยชัดแจ้ง และปฏิเสธทุกสิ่งอื่นทั้งหมด ความพยายามที่ต้องใช้มีเพียงเล็กน้อย เมื่อเทียบกับผลดีด้านความปลอดภัยที่ได้รับ

การรักษาความสะอาดของชุดกฎ: กำจัดส่วนที่ไม่จำเป็นที่สะสมมา

ชุดกฎของไฟร์วอลล์มักจะขยายตัวขึ้นตามกาลเวลาอย่างเป็นธรรมชาติ กฎชั่วคราวที่เพิ่มเข้ามาเพื่อรองรับการเยี่ยมชมของผู้ขายกลายเป็นกฎถาวร กฎสำหรับการทดสอบแอปพลิเคชันใหม่ยังคงค้างอยู่แม้หลังจากที่แอปพลิเคชันนั้นเริ่มใช้งานจริงแล้ว ข้อยกเว้นต่าง ๆ ก็เพิ่มพูนขึ้นเรื่อย ๆ โดยแต่ละข้อเพิ่มทั้งความซับซ้อนและจุดที่อาจเกิดความเสี่ยง ผลลัพธ์คือชุดกฎที่ไม่มีใครเข้าใจอย่างลึกซึ้ง และมีการอนุญาตมากกว่าที่จำเป็นอย่างมาก

การทบทวนชุดกฎตามปกติจะจัดการปัญหานี้ กระบวนการนั้นเรียบง่าย คือ นำชุดกฎปัจจุบันออกเป็นไฟล์ บันทึกหน้าที่จริงของแต่ละกฎ ตรวจสอบว่าแต่ละกฎยังจำเป็นอยู่หรือไม่ และลบหรือปรับให้เข้มงวดยิ่งขึ้นสำหรับสิ่งที่ไม่จำเป็นอีกต่อไป การทบทวนครั้งแรกมักให้ผลลดจำนวนกฎได้มากที่สุด — องค์กรหลายแห่งพบว่าสามารถยกเลิกหรือรวมกฎได้ถึง 20–30% ของการกำหนดทั้งหมด การทบทวนในครั้งต่อๆ ไปจะตรวจจับการสะสมเล็กน้อยก่อนที่จะเพิ่มพูนจนกลายเป็นปัญหาใหญ่

การบันทึกข้อมูล: เครื่องมือวินิจฉัยที่ถูกใช้น้อยเกินไป

บันทึกไฟร์วอลล์มีข้อมูลจำนวนมากที่ยังไม่ถูกนำมาใช้ประโยชน์อย่างเต็มที่ในการติดตั้งส่วนใหญ่ ทุกการเชื่อมต่อที่ได้รับอนุญาต ทุกความพยายามที่ถูกปฏิเสธ และทุกการจับคู่กับกฎ จะสร้างรายการบันทึกขึ้นหนึ่งรายการ รายการบันทึกเหล่านี้บันทึกแบบแผนการรับ-ส่งข้อมูลปกติ เปิดเผยพฤติกรรมที่ผิดปกติ และให้หลักฐานเมื่อเกิดปัญหา อย่างไรก็ตาม หลายองค์กรมองการบันทึกข้อมูลเพียงเป็นข้อกำหนดด้านการปฏิบัติตามข้อบังคับ แทนที่จะมองว่าเป็นเครื่องมือในการดำเนินงาน

การจัดการบันทึกข้อมูลอย่างมีประสิทธิภาพเริ่มต้นจากการเข้าใจว่าสิ่งใดกำลังถูกบันทึก ไม่ใช่เหตุการณ์ทุกประเภทที่จำเป็นต้องมีระดับรายละเอียดเท่ากัน การบันทึกทุกการเชื่อมต่อที่ได้รับอนุญาตในสภาพแวดล้อมที่มีปริมาณการรับ-ส่งข้อมูลสูง จะก่อให้เกิดปัญหาด้านพื้นที่จัดเก็บข้อมูล ในทางกลับกัน การบันทึกเฉพาะการเชื่อมต่อที่ถูกปฏิเสธและเหตุการณ์ที่ผิดปกติ จะให้ข้อมูลเชิงลึกที่สามารถนำไปลงมือปฏิบัติได้ โดยไม่สร้างภาระงานเพิ่มเติม ประเด็นสำคัญคือการตั้งค่าระดับการบันทึกข้อมูลให้เหมาะสม — ละเอียดพอที่จะมีประโยชน์ แต่เลือกสรรพอที่จะจัดการได้ รวมทั้งการทบทวนบันทึกข้อมูลอย่างสม่ำเสมอ แม้จะใช้เวลาเพียงสั้น ๆ ก็ตาม เพื่อตรวจจับปัญหาที่ระบบแจ้งเตือนอัตโนมัติอาจมองข้าม

การตรวจสอบโปรโตคอลอุตสาหกรรม: เกินกว่ากฎที่อิงตามพอร์ต

กฎไฟร์วอลล์มาตรฐานที่พึ่งพาหมายเลขพอร์ตไม่สามารถให้การป้องกันเครือข่ายอุตสาหกรรมได้อย่างเพียงพอ ผู้โจมตีสามารถส่งคำสั่ง Modbus ที่เป็นอันตรายผ่านพอร์ต 502 ซึ่งเป็นพอร์ต Modbus มาตรฐาน และกฎที่อิงตามพอร์ตจะยอมผ่านคำสั่งเหล่านั้นโดยไม่ตรวจสอบเนื้อหาภายใน ไฟร์วอลล์มองเห็นพอร์ตที่ถูกต้องจึงอนุญาตให้รับส่งข้อมูลนั้นโดยไม่ตรวจสอบสิ่งที่อยู่ภายใน

อุปกรณ์ไฟร์วอลล์อุตสาหกรรมที่มีความสามารถในการตรวจสอบเชิงรู้จักโปรโตคอลจะวิเคราะห์เนื้อหาของข้อความโปรโตคอลอุตสาหกรรม โดยเข้าใจโครงสร้างของคำขอ Modbus ชุดคำสั่งของ Profinet และรูปแบบข้อมูลของ EtherNet/IP ความเข้าใจนี้ทำให้สามารถระบุความผิดปกติได้ เช่น คำสั่ง Modbus write ที่ส่งไปยังรีจิสเตอร์แบบ read-only ลำดับคำสั่งที่ไม่สอดคล้องกับรูปแบบการใช้งานปกติ หรือข้อความที่มีขนาดเกินขีดจำกัดที่สมเหตุสมผล ความผิดปกติเหล่านี้มักบ่งชี้ถึงทั้งการตั้งค่าผิดพลาดหรือการโจมตีที่กำลังดำเนินอยู่ การตรวจสอบเชิงรู้จักโปรโตคอลสามารถตรวจจับทั้งสองกรณีได้

มาตรฐาน IEC 62443 กำหนดให้บังคับใช้การควบคุมการไหลของข้อมูลแบบจำกัดระหว่างโซนประเภทนี้อย่างชัดเจน กฎที่อิงตามพอร์ตไม่สามารถตอบสนองข้อกำหนดของมาตรฐานได้ แต่การตรวจสอบที่รู้จักโปรโตคอลสามารถทำได้ องค์กรที่อยู่ภายใต้ข้อกำหนดด้านความสอดคล้องต้องตรวจสอบให้แน่ใจว่าอุปกรณ์ไฟร์วอลล์ของตนรองรับความสามารถนี้ และมีการตั้งค่าอย่างถูกต้อง

ความซ้ำซ้อนและการเปลี่ยนผ่านอัตโนมัติ: การวางแผนสำหรับสิ่งที่หลีกเลี่ยงไม่ได้

อุปกรณ์ไฟร์วอลล์จะล้มเหลวในที่สุด แหล่งจ่ายไฟเสื่อมสภาพ อัปเดตเฟิร์มแวร์ผิดพลาด หรือข้อผิดพลาดในการตั้งค่าอาจทำให้ผู้ดูแลระบบเข้าใช้งานไม่ได้ คำถามไม่ใช่ว่าความล้มเหลวจะเกิดขึ้นหรือไม่ แต่เป็นว่าเครือข่ายยังคงได้รับการปกป้องไว้หรือไม่เมื่อความล้มเหลวนั้นเกิดขึ้น

การตั้งค่าแบบพร้อมใช้งานสูงช่วยแก้ปัญหานี้โดยการจับคู่อุปกรณ์ไฟร์วอลล์เป็นคู่ในโหมดแอคทีฟ-พาสซีฟ หรือแอคทีฟ-แอคทีฟ ในโหมดแอคทีฟ-พาสซีฟ อุปกรณ์หนึ่งจะจัดการทราฟฟิกทั้งหมด ขณะที่อีกอุปกรณ์หนึ่งอยู่ในสถานะพร้อมใช้งาน หากอุปกรณ์ที่กำลังทำงานล้มเหลว อุปกรณ์ที่อยู่ในสถานะพร้อมใช้งานจะเข้ามาทำหน้าที่แทนโดยมีการหยุดชะงักน้อยที่สุด ส่วนโหมดแอคทีฟ-แอคทีฟ จะกระจายทราฟฟิกไปยังอุปกรณ์ทั้งสองเครื่อง ซึ่งไม่เพียงให้ความสามารถในการปรับสมดุลโหลด แต่ยังให้ความสำรองด้วย

ความพยายามในการตั้งค่านั้นมีความซับซ้อนไม่น้อย ตารางสถานะจำเป็นต้องซิงโครไนซ์ระหว่างอุปกรณ์ทั้งสอง เพื่อให้การเชื่อมต่อที่กำลังดำเนินอยู่สามารถคงอยู่ได้แม้เกิดการสลับอุปกรณ์ (failover) การกำหนดเส้นทางต้องคำนึงถึงการเปลี่ยนแปลงของอุปกรณ์ที่กำลังทำงานอยู่ และการทดสอบต้องยืนยันว่าการสลับอุปกรณ์ทำงานตามที่คาดไว้ อย่างไรก็ตาม ความพยายามนี้คุ้มค่ามากเมื่อแหล่งจ่ายไฟล้มเหลวตอนตีสอง และกระบวนการผลิตยังคงดำเนินต่อไปโดยไม่มีการหยุดชะงัก

สถานการณ์จริง: การเข้าถึงจากระยะไกลที่ทำได้อย่างเหมาะสม

หน่วยงานให้บริการน้ำที่ดูแลพื้นที่มหานครขนาดกลางจำเป็นต้องจัดให้มีการเข้าถึงระยะไกลสำหรับผู้ขายอุปกรณ์และผู้รับเหมาบำรุงรักษา วิธีการเดิมใช้อุปกรณ์ VPN ที่มีกฎการเข้าถึงแบบกว้างขวาง—ผู้ใช้ที่ผ่านการตรวจสอบสิทธิแล้วสามารถเข้าถึงอุปกรณ์ใดๆ บนเครือข่าย OT ได้ทั้งหมด แม้การจัดวางนี้จะใช้งานได้จริง แต่ก็สร้างความเสี่ยงอย่างมาก เพราะหากบัญชีผู้ขายถูกโจมตี ก็จะทำให้ผู้โจมตีสามารถเข้าถึงระบบควบคุมทั้งหมดได้

หน่วยงานดังกล่าวจึงออกแบบสถาปัตยกรรมการเข้าถึงระยะไกลใหม่ โดยใช้อุปกรณ์ไฟร์วอลล์ที่มีการควบคุมการเข้าถึงอย่างละเอียดเฉพาะเจาะจง ผู้ขายแต่ละรายได้รับสิทธิเข้าถึงเฉพาะระบบที่ตนจำเป็นต้องสนับสนุนเท่านั้น ส่วนผู้รับเหมาบำรุงรักษาสามารถเข้าถึงอุปกรณ์ได้เฉพาะที่สถานที่ที่ตนรับผิดชอบเท่านั้น ไฟร์วอลล์บังคับใช้ข้อจำกัดเหล่านี้ที่ระดับเครือข่าย โดยเสริมการตรวจสอบสิทธิของ VPN ด้วยกฎการอนุญาตที่จำกัดสิ่งที่ผู้ใช้ที่ผ่านการตรวจสอบสิทธิแล้วสามารถทำได้จริง การจัดวางแบบใหม่นี้ลดพื้นที่เปราะบางต่อการโจมตีลงอย่างมาก โดยไม่เพิ่มความซับซ้อนให้กับผู้ใช้ที่มีสิทธิ์ตามปกติ

การติดตามและแจ้งเตือนที่ให้ประโยชน์จริง

อุปกรณ์ไฟร์วอลล์สร้างการแจ้งเตือนขึ้นมาเพื่อเหตุผลหนึ่ง—คือดึงความสนใจไปยังเหตุการณ์ที่จำเป็นต้องตรวจสอบ แต่ปัญหา ‘ความเหนื่อยล้าจากการแจ้งเตือน’ นั้นมีอยู่จริง การได้รับการแจ้งเตือนมากเกินไป โดยเฉพาะการแจ้งเตือนที่มีคุณภาพต่ำ จะนำไปสู่การเพิกเฉยต่อการแจ้งเตือน และพลาดเหตุการณ์สำคัญ การแจ้งเตือนที่มีประสิทธิภาพจำเป็นต้องมีการปรับแต่ง: ลดจำนวนการแจ้งเตือนเท็จ จัดลำดับความสำคัญของเหตุการณ์ที่ร้ายแรงที่สุด และมั่นใจว่าการแจ้งเตือนจะถูกส่งไปยังบุคคลที่เหมาะสม

เริ่มต้นด้วยการจัดกลุ่มการแจ้งเตือนตามระดับความรุนแรง การเปลี่ยนแปลงการตั้งค่า การเข้าสู่ระบบโดยผู้ดูแลระบบ และความล้มเหลวที่ร้ายแรง ล้วนต้องการการตอบสนองทันที ส่วนการพยายามเข้าสู่ระบบซ้ำๆ จากที่อยู่ภายนอกอาจต้องมีการสอบสวน แต่บางครั้งอาจไม่จำเป็นต้องส่งการแจ้งเตือนแบบเร่งด่วนในเวลา 02.00 น. ส่วนปริมาณการรับ-ส่งข้อมูลที่เพิ่มขึ้นอย่างผิดปกติไปยังปลายทางที่ไม่คุ้นเคย จัดอยู่ในระดับกลางระหว่างสองกรณีข้างต้น การจัดกลุ่มนี้ควรสะท้อนระดับความยอมรับความเสี่ยงขององค์กรและข้อจำกัดในการปฏิบัติงาน เช่น โรงงานที่ดำเนินการตลอด 24 ชั่วโมง มีความต้องการระบบแจ้งเตือนที่ต่างออกไปจากเครือข่ายสำนักงานที่ใช้งานเฉพาะช่วงเวลากลางวัน

การทบทวนการแจ้งเตือนตามปกติ ซึ่งจัดขึ้นเป็นประจำทุกสัปดาห์หรือทุกเดือน จะช่วยระบุรูปแบบต่าง ๆ ที่การแจ้งเตือนแต่ละรายการไม่สามารถเปิดเผยได้ ตัวอย่างเช่น การแจ้งเตือนระดับความรุนแรงต่ำหลายครั้งจากแหล่งที่มาต่างกัน อาจบ่งชี้ร่วมกันว่ามีการโจมตีแบบประสานงานกัน กระบวนการทบทวนยังให้ข้อมูลย้อนกลับสำหรับการปรับแต่งอีกด้วย — การแจ้งเตือนที่พิสูจน์แล้วว่าไม่เกี่ยวข้องอย่างต่อเนื่อง สามารถปิดการแจ้งเตือนหรือปรับการตั้งค่าใหม่ได้