ขอบเครือข่ายเสียแล้วยังต้องทำอย่างไรต่อ

การแจ้งเตือนล่าสุดจาก National Cyber Security Centre (NCSC) เปิดเผยว่ากลุ่มแฮกเกอร์รัสเซีย APT28 ใช้ช่องโหว่ของเราเตอร์เพื่อทำ DNS hijacking** ส่งผลให้หลายองค์กรพบกับจุดอ่อนที่มักถูกละเลยในระดับขอบเครือข่าย การเกิดเหตุเช่นนี้บ่งชี้ว่ารูปแบบการป้องกันแบบดั้งเดิมซึ่งพึ่งพา “perimeter security” กำลังสูญเสียประสิทธิภาพและต้องได้รับการปรับโฉมใหม่อย่างเร่งด่วน

Overview

รูปแบบการรักษาความปลอดภัยที่อิงขอบเขต (perimeter‑based) ถูกออกแบบมาเมื่อข้อมูลส่วนใหญ่อยู่ในศูนย์ข้อมูลภายในองค์กรและพนักงานทำงานจากสำนักงาน การวาดเส้นแบ่งระหว่างระบบ “เชื่อถือได้” กับ “ไม่เชื่อถือได้” นั้นค่อนข้างชัดเจนและสามารถป้องกันได้ด้วยไฟร์วอลล์หรือระบบตรวจจับการบุกรุก (IDS) อย่างไรก็ตาม การเปลี่ยนแปลงของสภาพแวดล้อมไอทีในยุคดิจิทัล ทำให้เส้นแบ่งนี้เบลอกว่าที่เคยเป็นมาก่อน

ขณะนี้อุปกรณ์ระดับขอบเครือข่าย (edge devices) ปรากฏอยู่ทั่วทุกแห่ง ตั้งแต่โรงงาน, ร้านค้าปลีก, สถานีไฟฟ้า ไปจนถึงที่ตั้งของลูกค้าเอง ทำให้พื้นที่โจมตีกระจายออกไปอย่างกว้างขวาง นอกจากนี้หลายระบบ IoT/OT ยังไม่มีความสามารถด้านการรักษาความปลอดภัยขั้นสูง จึงเปิดช่องทางใหม่สำหรับผู้ร้ายไซเบอร์ได้ง่ายขึ้น

Key Incidents

เหตุการณ์ที่แสดงให้เห็นถึงปัญหานี้มีอย่างน้อยสองกรณีสำคัญ:

• APT28 ใช้เราเตอร์ที่ยังไม่ได้รับการอัปเดตเพื่อทำ DNS hijacking ตามคำแถลงของ NCSC ทำให้สามารถดักจับและเปลี่ยนเส้นทางข้อมูลขององค์กรหลายแห่งได้โดยไม่ถูกตรวจพบ
• กลุ่มแฮกเกอร์ชาวจีนที่เกี่ยวข้องกับ Volt Typhoon ใช้ไฟร์วอลล์รุ่นเก่า FortiGate 300D ที่หมดอายุการสนับสนุนและไม่ได้รับแพตช์ ทำให้สามารถขโมยข้อมูลผู้ดูแลโดเมน, ยกระดับสิทธิ์, สร้างบัญชีใหม่ และตั้งค่าการคงอยู่ (persistence) เพื่อตอบสนองต่อการรีสตาร์ทอุปกรณ์

ตามรายงานของ FBI การโจมตีเหล่านี้ไม่ได้รับการตรวจพบเป็นเวลา มากกว่า 300 วัน และเทคนิคเดียวกันถูกใช้เพื่อเข้าถึง เกิน 100 บริษัทยูทิลิตี้ ในสหรัฐฯ ทั้งสองกรณีแสดงให้เห็นว่าการพึ่งพาขอบเครือข่ายเพียงอย่างเดียวนั้นไม่เพียงพอ

Why Perimeter Security Fails

เหตุผลหลักที่โมเดลดั้งเดิมล้มเหลวมีหลายประการ หนึ่งในนั้นคือ การกระจายของอุปกรณ์ขอบ ที่มักไม่มีระบบรักษาความปลอดภัยระดับองค์กร นอกจากนี้ การจัดการซอฟต์แวร์บนอุปกรณ์เหล่านี้มักพึ่งพาเครื่องมือที่ทำงานบนเครือข่ายหลัก หากเครื่องมือเหล่านั้นถูกโจมตีหรือหยุดทำงาน ผู้ดูแลจะสูญเสียความสามารถในการมองเห็นและควบคุมในช่วงเวลาที่สำคัญที่สุด

ปัจจัยด้านมนุษย์ก็เป็นส่วนสำคัญเช่นกัน ตาม Verizon’s 2025 Data Breach Investigations Report พบว่า **60 % ของการรั่วไหลเกิดจากข้อผิดพลาดของผู้ใช้หรือข้อมูลรับรองที่ถูกขโมย ผู้โจมตีจึงไม่จำเป็นต้องทำการแฮกระบบลึกซึ้ง เพียงแต่ใช้บัญชีที่มีสิทธิ์ถูกต้องเข้าถึงและเคลื่อนย้ายภายในเครือข่ายได้อย่างรวดเร็ว การพึ่งพาการตรวจสอบรหัสผ่านเพียงอย่างเดียวจึงไม่สามารถป้องกันการโจมตีเช่นนี้ได้

Emerging Countermeasures

เพื่อรับมือกับสถานการณ์ที่คาดว่าจะเกิดขึ้นต่อไปหลายองค์กรกำลังมองหาแนวทาง **out‑of‑band management (OOBM) ซึ่งทำงานบนเส้นทางแยกจากเครือข่ายการผลิตโดยเฉพาะ ทำให้สามารถจัดการอุปกรณ์แม้ในช่วงที่เครือข่ายหลักถูกโจมตีหรือหยุดทำงานได้

• เส้นทางการสื่อสาร OOBM ถูกออกแบบให้ ปลอดภัยสูง และแยกจากช่องทางที่ผู้ร้ายมักโจมตี
• สามารถ รีบูตระยะไกล, ปรับตั้งค่าใหม่ หรือแม้แต่เข้าถึงอุปกรณ์ที่ถูกปิดไฟได้โดยไม่ต้องเข้าสู่ระบบหลักขององค์กร
• การแยกการจัดการจากเครือข่ายผลิตทำให้ ความเสี่ยงต่อการโจมตีด้วยข้อมูลรับรอง ลดลงอย่างมีนัยสำคัญ

ผลประโยชน์เชิงปฏิบัติรวมถึงการลดจำนวนการส่งทีมเทคนิคไปยังไซต์, เร่งเวลาในการกู้คืนข้อมูล, และรักษาการควบคุมในช่วงวิกฤติที่เครื่องมือจัดการซอฟต์แวร์ทำงานไม่เต็มที่

Impact & Recommendations

จากเหตุการณ์และแนวโน้มล่าสุด ผู้บริหารด้านความปลอดภัยควรพิจารณาเปลี่ยนมุมมองจาก “ป้องกันไม่ให้ผู้โจมตีเข้ามา” ไปสู่ “เตรียมพร้อมรับมือเมื่อการละเมิดเกิดขึ้น” การเพิ่ม visibility และ control ในระดับขอบเครือข่ายเป็นหัวใจของความยืดหยุ่น

ข้อแนะนำที่สำคัญประกอบด้วย:

• ตรวจสอบและอัปเดตเฟิร์มแวร์ของอุปกรณ์ขอบอย่างสม่ำเสมอ รวมถึงการกำจัดอุปกรณ์ที่หมดอายุการสนับสนุน
• ใช้โซลูชัน OOBM หรือเทคโนโลยีที่ให้การเข้าถึงและควบคุมแยกจากเครือข่ายหลัก
• ปรับปรุงกระบวนการจัดการข้อมูลรับรองด้วยระบบ Zero‑Trust และการตรวจสอบหลายปัจจัย (MFA) เพื่อลดความเสี่ยงจากการขโมยรหัสผ่าน

เมื่อองค์กรสามารถรักษาความต่อเนื่องของการมองเห็นและควบคุมได้ แม้ในช่วงที่เครือข่ายหลักถูกทำลาย พวกเขาจะมีโอกาสสูงกว่าในการจำกัดผลกระทบและฟื้นตัวอย่างรวดเร็ว

Summary

เหตุการณ์ล่าสุดจาก APT28 และ Volt Typhoon แสดงให้เห็นว่าการพึ่งพา perimeter security อย่างเดียวไม่เพียงพอในยุคที่ขอบเครือข่ายกระจายกว้างไกล การนำแนวทาง out‑of‑band management มาประยุกต์ใช้และเสริมการป้องกันข้อมูลรับรองจะช่วยเพิ่มความยืดหยุ่นให้กับองค์กรต่อการโจมตีในอนาคต.