TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
ในขณะที่ Internet of Things หรือ IoT ได้กลายเป็นประเด็นร้อนแรงของวงการ IT และธุรกิจต่างๆ เพราะอาจกลายเป็นหนึ่งในเทคโนโลยีที่เปลี่ยนโลกได้ FBI ก็เป็นหนึ่งในองค์กรที่ออกมาเตือนเรื่องความปลอดภัยในการใช้งาน IoT ซึ่งทั้งผู้ผลิตระบบ IoT ในไทยและองค์กรต่างๆ ก็ควรจะทำความเข้าใจเอาไว้แต่เนิ่นๆ และหาทางป้องกันไม่ให้ปัญหาทางด้านความปลอดภัยเกิดขึ้นมาได้
ความเสี่ยงของเทคโนโลยี Internet of Things
อุปกรณ์สำหรับระบบ IoT ส่วนใหญ่นั้นยังขาดความสามารถในการรักษาความปลอดภัย และยังสามารถทำการ Patch เพื่ออุดช่องโหว่ได้ยากหลังจากมีการ Deploy ระบบไปแล้ว อีกทั้งผู้ใช้งานเองก็ยังขาดมุมมองทางด้านความปลอดภัยในการใช้งานอุปกรณ์ IoT ด้วยเช่นกัน ซึ่งจุดนี้จะกลายเป็นโอกาสของอาชญากรไซเบอร์ทั้งหลายในการเจาะระบบเข้าไปยังอุปกรณ์ IoT และทำการโจมตีรูปแบบต่างๆ ไม่ว่าจะเป็นการโจมตีระบบอื่นๆ จากระยะไกล, การส่ง Email แอบแฝง Malware/Email หลอกลวง/Spam Email, ขโมยข้อมูลส่วนตัว หรือแม้กระทั่งขัดขวางกระบวนการรักษาความปลอดภัยในเชิง Physical ก็ตาม โดยความเสี่ยงหลักๆ ของระบบ IoT นี้ได้แก่
- การเจาะโปรโตคอล Universal Plug and Play (UPnP) ที่อุปกรณ์ IoT ใช้เพื่อให้สามารถติดตั้งและกำหนดค่าด้วยตัวเอง พร้อมทำการเชื่อมต่อไปยังระบบกลางโดยอัตโนมัติ ซึ่งถ้าอาชญากรไซเบอร์สามารถโจมตีที่จุดนี้ได้ อุปกรณ์ IoT จะกลายเป็นช่องทางการขโมยข้อมูล, ช่องทางการโจมตีระบบอื่นๆ และช่องทางการดักฟังข้อมูลได้ทันที
- การเจาะระบบผ่าน Default Password เพื่อส่ง Email ที่แอบแฝง Malware หรือ Spam Email, ขโมยตัวตันของผู้อื่น หรือแม้กระทั่งขโมยข้อมูลบัตรเครดิต
- การปรับแต่งอุปกรณ์ IoT เพื่อให้เกิดความเสียหายในเชิง Physical
- การโจมตีให้อุปกรณ์ IoT ทำงานมากเกินไปจนไม่สามารถทำงานต่อได้
- การขัดขวางการทำธุรกรรมทางธุรกิจ
ผลที่ตามมาจากความเสี่ยงของ Internet of Things
การที่มีอุปกรณ์ที่ง่ายต่อการเจาะอยู่ภายในระบบเครือข่าย จะเปิดโอกาสให้อาชญากรไซเบอร์เจาะระบบเข้ามายังเครือข่ายและเข้าถึงอุปกรณ์หรือข้อมูลต่างๆ ได้ อุปกรณ์ IoT ที่ใช้ Default Password หรือระบบ Wi-Fi ที่ไม่มีการยืนยันตัวตนนั้นถือเป็นเป้าหมายชั้นดีในการเจาะระบบ โดยมีตัวอย่างของผลลัพธ์ที่ตามมาจากความเสี่ยงของ Internet of Things ที่ไม่ปลอดภัยดังนี้
- อาชญกรไซเบอร์สามารถเจาะผ่านระบบ CCTV ที่ใช้ Default Password และเข้าถึงได้จากระบบเครือข่ายสาธารณะ ซึ่งกรณีนี้ผู้ใช้งานควรตั้งรหัสผ่านอื่น, ตั้งระบบ Wi-Fi ให้มีการยืนยันตัวตนและจำกัดสิทธิ์การเข้าถึงอุปกรณ์อื่นๆ ภายใน
- อาชญากรไซเบอร์สามารถเจาะผ่านระบบ Wi-Fi ที่เอาไว้ใช้เชื่อมต่อกับอุปกรณ์อัตโนมัติต่างๆ เช่น ระบบรักษาความปลอดภัยอาคาร, ประตูโรงรถ, เครื่องวัดอุณหภูมิ หรือแม้แต่ระบบควบคุมการเปิดปิดหลอดไฟ ซึ่ง Wi-Fi สำหรับเชื่อมต่ออุปกรณ์เหล่านี้มักไม่มีการยืนยันตัวตนใดๆ เพื่อให้ติดตั้งใช้งานได้ง่ายที่สุด ซึ่งอาชญากรไซเบอร์ก็จะใช้ช่องโหว่นี้ในการเข้าถึงระบบเครือข่ายของคุณ หรือโจมตีอุปกรณ์อัตโนมัติเหล่านี้ที่ยังคงใช้ Default Password ได้ง่ายๆ และทำการควบคุมอุปกรณ์เหล่านี้ หรือขโมยข้อมูลของคุณได้
- การโจมตีด้วย Email Spam นั้นก็อาจเกิดขึ้นผ่านการโจมตีอุปกรณ์ IoT ของอาชญากรไซเบอร์ได้ โดยใช้อุปกรณ์ IoT ที่ไม่ปลอดภัยนี้เป็นฐานในการส่ง Email Spam ได้อีกทาง
- สำหรับอุปกรณ์ IoT สาย Healthcare นั้น การถูกโจมตีโดยอาชญากรไซเบอร์น้้นหมายถึงการถูกขโมยข้อมูลสุขภาพ และการถูกควบคุมระบบดูแลรักษาสุขภาพต่างๆ ซึ่งอาจก่อให้เกิดอันตรายได้เป็นอย่างมาก และความเสี่ยงจะยิ่งสูงขึ้นถ้าระบบ IoT เหล่านี้สามารถเข้าถึงได้จากระยะไกล
- ระบบ IoT สำหรับควบคุมกระบวนการต่างๆ ในการดำเนินธุรกิจนั้น หากถูกโจมตีไปได้ก็อาจะถูกใช้สร้างความเสียหายต่อธุรกิจได้โดยตรง เช่น การกำหนดค่าให้เครื่องจักรทำงานผิดพลาด หรือหยุดการทำงานของระบบบริหารจัดการหน้าร้านทั้งหมดได้
ข้อแนะนำในการป้องกันตัวเองสำหรับผู้ใช้งาน Internet of Things
- แยกระบบเครือข่ายของ Internet of Things ออกจากระบบเครือข่ายอื่นๆ
- ปิด UPnP บน Router
- พิจารณาว่าอุปกรณ์ IoT ที่นำมาใช้งานนั้นเหมาะสมต่อวัตถุประสงค์ที่เราต้องการจริงๆ ไม่นอกเหนือไปจากนั้น
- ซื้ออุปกรณ์ IoT จากผู้ผลิตที่วางใจได้ และมีประวัติทางด้านการผลิตอุปกรณ์ที่มีความปลอดภัย
- Patch อุปกรณ์ IoT ทันทีที่ Patch ออก
- เปลี่ยนรหัสผ่านของอุปกรณ์ IoT และอุปกรณ์เครือข่ายเสมอ รวมถึงติดตั้ง Wi-Fi ให้ปลอดภัยด้วย
- ปฏิบัติตาม Best Practice ของอุปกรณ์ IoT ในการเชื่อมต่ออุปกรณ์เหล่านั้นเข้ากับ Wi-Fi และเชื่อมต่อข้อมูลระยะไกลเสมอ
- สำหรับระบบ IoT สาย Healthcare นั้น จะต้องแจ้งผู้ใช้งานให้ละเอียดถึงความสามารถและความเสี่ยงทั้งหมดที่อาจเกิดขึ้นได้ ก่อนจะให้ผู้ใช้งานนำไปใช้ และอุปกรณ์ที่สามารถรับส่งข้อมูลได้จากระยะไกลนั้นถือว่ามีความเสี่ยงสูง
- อย่าใช้ Default Password และตั้งรหัสผ่านให้ปลอดภัยตามหลักการ โดยไม่ใช้คำพื้นฐาน, ประโยคง่ายๆ หรือข้อมูลส่วนตัวที่อาจถูกเดาได้ แต่ถ้าอุปกรณ์เหล่านั้นไม่สามารถแก้ไขรหัสผ่านได้ ให้ทำการเชื่อมต่อผ่าน Wi-Fi ที่มีรหัสผ่านที่ปลอดภัย พร้อมทำการเข้ารหัสเอาไว้ด้วย
