แนวทางการติดตั้งความปลอดภัยไซเบอร์

ความปลอดภัยในการติดตั้งและทดสอบใช้งาน
ก่อนเชื่อมต่อ Ekip Connect กับเครือข่ายหรืออุปกรณ์ใด ๆ เพื่อลดความเสี่ยงจากการละเมิดความปลอดภัยและมัลแวร์ ให้ปฏิบัติตามรายการตรวจสอบความปลอดภัยนี้:

1. ระบบปฏิบัติการ

• ติดตั้งบน Windows 11 พร้อมแพตช์ความปลอดภัยล่าสุด (ขั้นต่ํา: Windows 10, สิ้นสุดการสนับสนุนอย่างเป็นทางการในเดือนมกราคม 2027)

    การป้องกันภัยคุกคาม: ช่องโหว่ระบบปฏิบัติการที่ทราบ, ช่องโหว่ด้านความปลอดภัยที่ยังไม่ได้แพตช์ และการโจมตีระดับระบบที่เพิ่มขึ้นเพื่อสิทธิ์การใช้งาน

• เปิดใช้งานการบูตอย่างปลอดภัยใน BIOS (จําเป็นสําหรับ Windows 11)

    การป้องกันภัยคุกคาม: การโจมตี Bootkit, การรันโค้ดระดับบูตโดยไม่ได้รับอนุญาต และการดัดแปลงกระบวนการบูต

2. ความปลอดภัยของเวิร์กสเตชัน

• จํากัดการเข้าถึงเวิร์กสเตชัน Ekip Connect ทางกายภาพ

  ลดภัยคุกคาม: การดัดแปลงทางกายภาพ การเข้าถึงอุปกรณ์โดยไม่ได้รับอนุญาต และการปรับแต่งฮาร์ดแวร์โดยตรง

• เปิดใช้งานการเข้ารหัสแบบเต็มดิสก์ (BitLocker หรือเทียบเท่า)

  การลดภัยคุกคาม: การขโมยข้อมูลหากเครื่องทํางานถูกขโมยหรือถูกโจมตีทางกายภาพ; การเข้าถึงข้อมูลที่เก็บไว้อย่างละเอียดอ่อนโดยไม่ได้รับอนุญาต

• ปิดการเข้าสู่ระบบอัตโนมัติ;กําหนดค่าการเข้าสู่ระบบที่มีการป้องกันด้วยรหัสผ่าน

  การลดภัยคุกคาม: การเข้าถึงโดยไม่ได้รับอนุญาตโดยผู้ก่อภัยที่มีการเข้าถึงทางกายภาพหรือผู้ที่เข้าถึงสถานีงานที่ปลดล็อก

• ตั้งค่าการล็อกหน้าจออัตโนมัติ (แนะนํา 15 นาที)

  ลดภัยคุกคาม: การเข้าถึงแอปพลิเคชัน EkipConnect และระบบที่เชื่อมต่อโดยไม่ได้รับอนุญาตในช่วงที่ผู้ใช้ไม่อยู่

• เปิดใช้งานไฟร์วอลล์ Windows ด้วยกฎการปฏิเสธขาเข้าแบบเริ่มต้น

  การลดภัยคุกคาม: การเข้าถึงเครือข่ายโดยไม่ได้รับอนุญาต, การรับส่งข้อมูลขาเข้าโดยไม่ได้รับอนุญาต และการสื่อสารแบบควบคุมและสั่งการของมัลแวร์

3. การป้องกันซอฟต์แวร์

• ติดตั้งซอฟต์แวร์แอนตี้ไวรัส + แอนตี้มัลแวร์

  การป้องกันภัยคุกคาม: การติดมัลแวร์ การรันโทรจัน และโค้ดอันตรายที่ทํางานบนเครื่องคอมพิวเตอร์

• กําหนดค่าการสแกน Scanning แบบเรียลไทม์และการสแกนเต็มรูปแบบรายวัน

  การลดภัยคุกคาม: การตรวจจับและป้องกันการรันมัลแวร์แบบเรียลไทม์; การระบุภัยคุกคามที่อยู่ในสภาพสงบหรือเพิ่งถูกเพิ่มเข้ามา

• เปิดใช้งานการอัปเดตนิยามแอนตี้ไวรัสอัตโนมัติ

  การลดภัยคุกคาม: การหลีกเลี่ยงการตรวจจับแอนตี้ไวรัสโดยมัลแวร์สายพันธุ์ใหม่หรือที่เพิ่งค้นพบ

4. การยืนยันตัวตนผู้ใช้

• ผู้ใช้ทุกคนต้องยืนยันตัวตนผ่าน MyABB (ถ้าเป็นแล็ปท็อป ABB)

  การลดภัยคุกคาม: การเข้าถึง EkipConnect โดยไม่ได้รับอนุญาตโดยผู้ใช้ที่ไม่ได้ยืนยันตัวตนหรือแอบอ้าง

• บังคับใช้รหัสผ่านที่แข็งแรง (อย่างน้อย 8 ตัวอักษร, 3 ประเภทตัวอักษร)

  การลดภัยคุกคาม: การโจมตีแบบ brute force, การโจมตีพจนานุกรม และการทายรหัสผ่านโดยผู้โจมตี

• เปิดใช้งานการยืนยันตัวตนหลายขั้นตอน (MFA) สําหรับ MyABB

  ลดภัยคุกคาม: การยึดบัญชีและการเข้าถึงโดยไม่ได้รับอนุญาต แม้ว่าข้อมูลรับรองผู้ใช้จะถูกละเมิดหรือขโมย

• ปิดใช้งานเซสชันพร้อมกันจากบัญชีผู้ใช้เดียวกัน

  การลดภัยคุกคาม: การเข้าถึงโดยไม่ได้รับอนุญาตโดยใช้ข้อมูลรับรองที่ถูกขโมยหรือถูกละเมิดบนเครื่องทํางานหรืออุปกรณ์อื่น

5. การกําหนดค่าเครือข่าย

•  ติดตั้งบนเซกเมนต์เครือข่ายการจัดการเฉพาะ (VLAN แยกต่างหาก)

  การลดภัยคุกคาม: การเคลื่อนย้ายในแนวราบของผู้โจมตีจากระบบองค์กรที่ถูกโจมตี; การเข้าถึงฟังก์ชันการจัดการที่สําคัญโดยไม่ได้รับอนุญาต

• กําหนดค่าไฟร์วอลล์ให้อนุญาตเฉพาะพอร์ตขาออกที่จําเป็นเท่านั้น:

      • พอร์ต 443/TCP (การเชื่อมต่อคลาวด์ HTTPS)

      • พอร์ต 53/UDP (DNS)

      • พอร์ต 123/UDP (NTP)

    ลดภัยคุกคาม: การสื่อสารขาออกโดยไม่ได้รับอนุญาต, การเรียกกลับคําสั่งและควบคุมของมัลแวร์ และการดึงข้อมูลออกไปยังโครงสร้างพื้นฐานของผู้โจมตี

• แยกเครือข่ายอุปกรณ์ออกจากเครือข่ายองค์กร (ต้องใช้ไฟร์วอลล์)

  การลดภัยคุกคาม: การเคลื่อนย้ายในแนวราบระหว่างเครือข่ายองค์กรและเครือข่ายอุปกรณ์สําคัญ; การเข้าถึงอุปกรณ์ที่สําคัญต่อความปลอดภัยโดยไม่ได้รับอนุญาต

6. การอัปเดตอัตโนมัติ

• เปิดใช้งานการอัปเดต Windows อัตโนมัติ

  ลดภัยคุกคาม: ช่องโหว่ระบบปฏิบัติการที่ทราบและแพตช์ความปลอดภัยระดับระบบจะถูกติดตั้งอย่างทันท่วงที

• กําหนดค่าแอนตี้ไวรัสให้อัปเดตคําจํากัดความโดยอัตโนมัติ

  การป้องกันภัยคุกคาม: การหลบหลีกการตรวจจับโดยมัลแวร์สายพันธุ์ใหม่และภัยคุกคามแบบ zero-day

7. การตรวจสอบเบื้องต้น

• ตรวจสอบว่า Secure Boot กําลังทํางานอยู่
• ตรวจสอบว่าเปิดใช้งานไฟร์วอลล์ Windows

•  ตรวจสอบว่าแอนตี้ไวรัสกําลังทํางานและอัปเดตแล้ว

  การป้องกันภัยคุกคาม: ข้อผิดพลาดในการตั้งค่า การพลาดการควบคุมความปลอดภัย และการติดตั้งฐานข้อมูลความปลอดภัยที่จําเป็นไม่ครบถ้วน

   

การตั้งค่าไฟร์วอลล์และความปลอดภัย

Ekip Connect ใช้พอร์ตเฉพาะสําหรับประเภทการสื่อสารที่แตกต่างกันการตั้งค่าไฟร์วอลล์ที่ถูกต้องเป็นสิ่งสําคัญเพื่อความปลอดภัย

พอร์ตบังคับ (จําเป็นสําหรับฟีเจอร์คลาวด์)

พอร์ต 443/TCP (HTTPS - การเชื่อมต่อคลาวด์)

• API ผู้จัดการดิจิทัล ABB ELSP
• การเข้าถึงไลบรารีเฟิร์มแวร์
• ดาวน์โหลดอัปเดตและแพตช์
• ต้องเปิดใช้งานสําหรับฟีเจอร์คลาวด์

• เข้ารหัสเสมอ (TLS 1.2 ขึ้นไป)

  การลดภัยคุกคาม: การโจมตีแบบ Man-in-the-middle (MITM) ต่อการสื่อสารบนคลาวด์ (ลดความเสี่ยงด้วยการเข้ารหัส TLS);การเข้าถึง API และไลบรารีเฟิร์มแวร์บนคลาวด์โดยไม่ได้รับอนุญาต;การดักจับการอัปเดตเฟิร์มแวร์และแพตช์ความปลอดภัย

พอร์ต 53/UDP (DNS - การแก้ไขชื่อโดเมน)

• จําเป็นสําหรับการแก้ไขปัญหาปลายทางคลาวด์ของ ABB
• ต้องเปิดใช้งานสําหรับการเชื่อมต่อคลาวด์ทุกประเภท
• ไม่มีการเข้ารหัส (โปรโตคอล DNS มาตรฐาน)

• แนะนําให้ใช้เซิร์ฟเวอร์ DNS ที่เชื่อถือได้

  การป้องกันภัยคุกคาม: การโจมตีปลอมแปลง DNS ที่เปลี่ยนเส้นทาง EkipConnect ไปยังอุปกรณ์คลาวด์ที่เป็นอันตราย;การทําลายแคช DNS;การเปลี่ยนเส้นทางการเชื่อมต่อคลาวด์โดยไม่ได้รับอนุญาต

   

พอร์ตที่แนะนํา (แนะนําอย่างยิ่ง)

พอร์ต 123/UDP (NTP - การซิงโครไนซ์เวลา)

• โปรโตคอลเวลาเครือข่ายสําหรับความแม่นยําของนาฬิการะบบ
• สําคัญสําหรับความแม่นยําและความปลอดภัยของตราประทับบันทึก
• แนะนําอย่างยิ่งแต่ไม่บังคับอย่างเคร่งครัด

• เปิดใช้งานหากการกําหนดค่าเครือข่ายอนุญาต

  การป้องกันภัยคุกคาม: การดัดแปลงและการจัดการเวลาบันทึก;การโจมตีแบบ clock skew ที่ทําให้การควบคุมความปลอดภัยตามเวลาเป็นโมฆะ;การสร้างเส้นทางการตรวจสอบและเหตุการณ์ที่ไม่ถูกต้อง

   

พอร์ตสื่อสารอุปกรณ์ (สําหรับการเชื่อมต่ออุปกรณ์)

พอร์ต 502/TCP (Modbus TCP)

• การสื่อสารระหว่างอุปกรณ์กับ Ekip Connect ผ่าน Ethernet
• สองทิศทาง (อุปกรณ์สามารถเชื่อมต่อกลับได้)
• โปรโตคอลที่ไม่เข้ารหัส (ต้องแบ่งเครือข่าย)
• เปิดใช้งานเฉพาะบนเครือข่ายอุปกรณ์ (ไม่เปิดรับสายอินเทอร์เน็ต)

• ไฟร์วอลล์ควรจํากัดพอร์ตนี้ไว้เฉพาะอุปกรณ์ที่ได้รับอนุญาตเท่านั้น

  การลดภัยคุกคาม: การสื่อสารอุปกรณ์โดยไม่ได้รับอนุญาตและการปรับเปลี่ยนพารามิเตอร์;อุปกรณ์อันตรายที่เชื่อมต่อกับอินเทอร์เฟซการจัดการ;การดักฟังทราฟฟิกอุปกรณ์ที่ไม่ได้เข้ารหัส (ลดผลกระทบโดยการแบ่งส่วนเครือข่าย);การโจมตีแบบปฏิเสธการให้บริการจากเซกเมนต์เครือข่ายที่ไม่ได้รับอนุญาต

พอร์ต 69/UDP (TFTP - โปรโตคอลการโอนย้ายไฟล์ง่าย ๆ)

• ดาวน์โหลดเฟิร์มแวร์และจัดเตรียมอุปกรณ์
• การสื่อสารสองทิศทาง
• ไม่เข้ารหัส (ใช้เฉพาะในเครือข่ายที่แยกเดี่ยว)
• จําเป็นเฉพาะระหว่างการอัปเดตเฟิร์มแวร์เท่านั้น

• สามารถปิดใช้งานได้นอกช่วงเวลาบํารุงรักษา

  ลดภัยคุกคาม: ดาวน์โหลดและติดตั้งเฟิร์มแวร์โดยไม่ได้รับอนุญาต;การฉีดเฟิร์มแวร์ที่เป็นอันตรายผ่านการโจมตี TFTP Man-in-the-middle ในการถ่ายโอนเฟิร์มแวร์ (ซึ่งลดความเสี่ยงด้วยการแยกเครือข่าย);การจัดเตรียมอุปกรณ์โดยไม่ได้รับอนุญาต;การดักฟังการถ่ายโอนเฟิร์มแวร์ที่ไม่ได้เข้ารหัส.

หมายเหตุ: ตรวจสอบให้แน่ใจว่าไฟร์วอลล์ของคุณถูกตั้งค่าอย่างถูกต้องตามพอร์ตที่ใช้งานอยู่ข้างต้นหากพบปัญหาการสื่อสาร ให้ลองปิดไฟร์วอลล์ชั่วคราว และเปิดใช้งานอีกครั้งเมื่อสิ้นสุดกระบวนการจัดเตรียม

สําหรับรายละเอียดเพิ่มเติมเกี่ยวกับแนวทางการติดตั้งความปลอดภัยของ Modbus และข้อมูลความปลอดภัย กรุณาคลิกที่นี่