เมื่อพูดถึง “มัลแวร์” สิ่งแรกที่หลายคนนึกถึงอาจเป็นไฟล์อันตราย โปรแกรมเรียกค่าไถ่ หรือโทรจันที่แอบทำงานอยู่ใน Windows และ Linux แต่ในโลกของความมั่นคงปลอดภัยไซเบอร์ มีภัยคุกคามอีกประเภทหนึ่งที่อันตรายกว่า เพราะมันสามารถซ่อนตัวอยู่ในตำแหน่งที่ระบบปฏิบัติการแทบมองไม่เห็น
ตำแหน่งนั้นคือ Firmware
เฟิร์มแวร์เป็นซอฟต์แวร์ระดับต่ำที่ควบคุมการทำงานของฮาร์ดแวร์ ตั้งแต่ BIOS/UEFI ของคอมพิวเตอร์ ไปจนถึงระบบควบคุมภายใน Router, Switch, Network Interface Card, Baseband, BMC รวมถึงโมดูลสื่อสารต่าง ๆ
และหากผู้โจมตีสามารถฝังโค้ดอันตรายลงไปในชั้นนี้ได้สำเร็จ สิ่งที่เกิดขึ้นอาจไม่ใช่แค่ “เครื่องติดมัลแวร์”
แต่มันอาจหมายถึงว่า ตัวอุปกรณ์เองกลายเป็นส่วนหนึ่งของการโจมตี
เมื่อ Format เครื่องก็อาจไม่ช่วยอะไร
วิธีรับมือมัลแวร์ทั่วไปที่ผู้ดูแลระบบคุ้นเคยคือ สแกนไวรัส ลบไฟล์ต้องสงสัย ติดตั้งระบบปฏิบัติการใหม่ หรือในกรณีรุนแรงก็ Format Disk ทั้งลูก
มาตรการเหล่านี้มีประสิทธิภาพเมื่อมัลแวร์อาศัยอยู่ในระดับระบบปฏิบัติการหรือระบบไฟล์
แต่ถ้ามัลแวร์ซ่อนอยู่ใน Firmware ของอุปกรณ์ ภาพจะเปลี่ยนไปทันที
ลองจินตนาการว่าคุณลบข้อมูลในเครื่องทั้งหมด ติดตั้งระบบปฏิบัติการใหม่ และอัปเดตซอฟต์แวร์ทุกตัวจนมั่นใจว่า “สะอาด”
จากนั้นเครื่องเปิดขึ้นมาใหม่
Firmware ที่ถูกแก้ไขก็เริ่มทำงานก่อนระบบปฏิบัติการ และสามารถนำโค้ดอันตรายกลับเข้าสู่ระบบอีกครั้งได้
นี่คือหนึ่งในเหตุผลที่ภัยคุกคามระดับ Firmware ถูกมองว่าเป็น Persistence Mechanism ที่มีประสิทธิภาพสูงมาก
เพราะในบางสถานการณ์ การติดตั้งระบบใหม่ไม่ได้แตะต้องพื้นที่ที่มัลแวร์ซ่อนตัวอยู่เลย
Firmware คือ “โลกใต้ดิน” ของระบบคอมพิวเตอร์
คอมพิวเตอร์และอุปกรณ์เครือข่ายในปัจจุบันมีชั้นซอฟต์แวร์มากกว่าที่เราเห็นบนหน้าจอ
ก่อนที่ Windows หรือ Linux จะเริ่มทำงาน อาจมี Firmware หลายชุดเริ่มทำงานไปแล้ว เช่น
BIOS หรือ UEFI ทำหน้าที่เตรียมฮาร์ดแวร์และเริ่มกระบวนการ Boot
Firmware ของ Network Interface Card ควบคุมการส่งและรับข้อมูลผ่านเครือข่าย
BMC หรือ Baseboard Management Controller ช่วยให้ผู้ดูแลระบบสามารถจัดการ Server จากระยะไกล แม้ระบบปฏิบัติการจะยังไม่ทำงาน
Firmware ภายใน Router และ Switch ควบคุมการส่งข้อมูลระหว่างเครือข่าย
รวมถึง โมดูล Cellular, Wi-Fi, Bluetooth และอุปกรณ์ IoT ซึ่งหลายชนิดมี Processor และหน่วยความจำของตัวเอง
ในมุมมองด้านความปลอดภัย สิ่งเหล่านี้เปรียบเหมือน “คอมพิวเตอร์ขนาดเล็กที่ซ่อนอยู่ภายในคอมพิวเตอร์อีกทีหนึ่ง”
และนั่นคือสิ่งที่ทำให้มันน่าสนใจสำหรับผู้โจมตี
อุปกรณ์เครือข่ายคือเป้าหมายที่น่ากังวลเป็นพิเศษ
Router และ Switch อยู่ในตำแหน่งที่สำคัญอย่างมาก เพราะข้อมูลจำนวนมหาศาลต้องเดินทางผ่านอุปกรณ์เหล่านี้
หาก Endpoint เครื่องหนึ่งถูกโจมตี ความเสียหายอาจจำกัดอยู่เพียงเครื่องเดียว
แต่ถ้าอุปกรณ์ที่เป็นเส้นทางกลางของเครือข่ายถูกควบคุม ผลกระทบอาจครอบคลุมอุปกรณ์จำนวนมากพร้อมกัน
ผู้โจมตีที่สามารถควบคุม Firmware ของอุปกรณ์เครือข่ายอาจมีศักยภาพในการเฝ้าดูการเชื่อมต่อ เปลี่ยนเส้นทาง Traffic สร้างช่องทางสื่อสารลับ หรือใช้ตัวอุปกรณ์เป็นจุดเริ่มต้นในการเคลื่อนที่เข้าสู่ระบบส่วนอื่น
ที่น่ากังวลกว่านั้นคืออุปกรณ์ประเภทนี้มักเปิดใช้งาน 24 ชั่วโมงตลอดทั้งปี
เซิร์ฟเวอร์อาจถูกรีบูต
เครื่องพนักงานอาจถูกเปลี่ยน
ระบบปฏิบัติการอาจถูกติดตั้งใหม่
แต่ Router หรือ Switch บางตัวอาจทำงานต่อเนื่องเป็นเวลาหลายปีโดยแทบไม่มีใครตรวจสอบ Firmware ภายในอย่างจริงจัง
ช่องโหว่ที่ผู้ดูแลระบบมักมองไม่เห็น
ปัญหาสำคัญไม่ได้เกิดจากเทคโนโลยีเพียงอย่างเดียว แต่เกิดจาก “ขอบเขตการมองเห็น” ของระบบรักษาความปลอดภัยด้วย
Security Operations Center ส่วนใหญ่มักให้ความสำคัญกับ Log จาก Firewall, Endpoint Detection and Response, Active Directory, Cloud Platform และ Application Server
แต่ Firmware ของอุปกรณ์จำนวนมากอาจไม่ได้ส่ง Log ที่ละเอียดเพียงพอออกมาเลย
บางอุปกรณ์ไม่มีระบบตรวจสอบ Integrity ของ Firmware
บางอุปกรณ์ใช้ Firmware รุ่นเก่าที่หยุดได้รับการอัปเดตแล้ว
บางองค์กรไม่รู้ด้วยซ้ำว่า Router, Switch หรือโมดูลสื่อสารที่ใช้งานอยู่กำลังใช้ Firmware เวอร์ชันใด
สถานการณ์จึงคล้ายกับมีห้องหนึ่งอยู่ในอาคารที่เต็มไปด้วยระบบรักษาความปลอดภัย แต่ห้องนั้นไม่มีกล้อง ไม่มีเซนเซอร์ และแทบไม่มีใครเปิดประตูเข้าไปดู
แน่นอนว่า หากผู้โจมตีต้องการซ่อนตัวเป็นเวลานาน ห้องแบบนี้ย่อมเป็นสถานที่ที่น่าสนใจ
Supply Chain: การโจมตีอาจเริ่มก่อนอุปกรณ์มาถึงองค์กร
อีกหนึ่งประเด็นที่ทำให้ภัยระดับ Firmware ซับซ้อนคือ Supply Chain
อุปกรณ์หนึ่งชิ้นอาจประกอบด้วยชิ้นส่วนจากผู้ผลิตหลายบริษัท
Chip จากบริษัทหนึ่ง
Controller จากอีกบริษัท
Firmware จากผู้พัฒนารายหนึ่ง
Driver จากอีกทีมหนึ่ง
จากนั้นทั้งหมดจึงถูกประกอบและส่งต่อผ่านผู้จัดจำหน่ายหลายทอด
ห่วงโซ่ที่ยาวขึ้นหมายถึงพื้นที่ที่ต้องเชื่อถือมากขึ้น
หาก Firmware หรือกระบวนการอัปเดตในจุดใดจุดหนึ่งถูกแทรกแซง องค์กรปลายทางอาจได้รับอุปกรณ์ที่มีความเสี่ยงโดยไม่เคยมีใคร “แฮ็กเข้ามา” ผ่าน Firewall ขององค์กรเลย
นี่คือเหตุผลที่แนวคิดด้าน Cybersecurity สมัยใหม่ไม่ได้มองเฉพาะว่า
“ระบบของเราถูกเจาะหรือยัง?”
แต่ต้องถามเพิ่มด้วยว่า
“สิ่งที่เรานำเข้ามาในระบบสามารถเชื่อถือได้มากแค่ไหน?”
ทำไม Antivirus ถึงมองไม่เห็น?
Antivirus และ EDR ส่วนใหญ่ทำงานอยู่ในระดับระบบปฏิบัติการ
พวกมันสามารถตรวจสอบ Process, Memory, File System และพฤติกรรมของโปรแกรมได้อย่างละเอียด
แต่ Firmware บางประเภททำงาน “ต่ำกว่า” ชั้นนั้น
จึงเกิดปัญหาสำคัญคือ
เครื่องมือรักษาความปลอดภัยอาจกำลังตรวจสอบระบบจากชั้นที่ผู้โจมตีมีสิทธิ์ควบคุมอยู่ก่อนแล้ว
ยิ่งไปกว่านั้น Firmware จำนวนมากเป็นโค้ดเฉพาะของผู้ผลิต ทำให้การวิเคราะห์และตรวจสอบทำได้ยากกว่าโปรแกรมทั่วไป
การเปลี่ยนแปลงเพียงเล็กน้อยใน Binary อาจตรวจพบได้ด้วยการเปรียบเทียบ Hash หรือ Digital Signature แต่หากองค์กรไม่เคยเก็บค่ามาตรฐานหรือไม่เคยตรวจสอบ Firmware Integrity มาก่อน ก็อาจไม่มีข้อมูลอ้างอิงให้เปรียบเทียบตั้งแต่แรก
สัญญาณเตือนอาจไม่ใช่ “ไวรัสถูกตรวจพบ”
ภัยคุกคามประเภทนี้อาจไม่ได้ประกาศตัวด้วยหน้าต่างแจ้งเตือน หรือไฟล์ชื่อแปลก ๆ ในเครื่อง
สิ่งที่พบอาจเป็นเพียงอาการผิดปกติเล็ก ๆ เช่น
อุปกรณ์สร้างการเชื่อมต่อออกไปยังปลายทางที่ไม่คาดคิด
Firmware Version ไม่ตรงกับ Asset Inventory
ค่า Configuration เปลี่ยนกลับหลังจากรีบูต
อุปกรณ์ที่ควรหยุดสื่อสารกลับยังคงมี Traffic
การ Update Firmware ล้มเหลวโดยไม่มีเหตุผลชัดเจน
หรืออุปกรณ์มีพฤติกรรมต่างจากเครื่องรุ่นเดียวกันในเครือข่าย
แต่สิ่งเหล่านี้ไม่ได้หมายความว่าอุปกรณ์ติดมัลแวร์ทันที เพราะอาจเกิดจาก Bug หรือ Configuration Error ได้เช่นกัน
สิ่งสำคัญคือองค์กรต้องมี Baseline เพื่อให้รู้ว่า “พฤติกรรมปกติ” ของอุปกรณ์แต่ละประเภทควรเป็นอย่างไร
หากไม่มี Baseline ความผิดปกติก็แทบไม่มีความหมาย เพราะเราไม่มีสิ่งใดให้เปรียบเทียบ
สิ่งที่ฝ่าย IT และ Security ควรเริ่มทำ
การรับมือภัยระดับ Firmware ไม่ได้หมายความว่าองค์กรต้องเปิดอุปกรณ์ทุกเครื่องเพื่อวิเคราะห์ Chip ภายใน
แต่ควรเริ่มจากการสร้าง Visibility ก่อน
องค์กรควรมี Asset Inventory ที่ไม่ได้ระบุเพียงว่า “มี Router กี่ตัว” แต่ควรรู้ถึง Model, Hardware Revision, Firmware Version และสถานะการสนับสนุนจากผู้ผลิต
Firmware Update ควรมาจากแหล่งที่เชื่อถือได้ และควรตรวจสอบ Digital Signature หรือ Hash เมื่อผู้ผลิตรองรับ
กลไกอย่าง Secure Boot, Measured Boot, TPM และ Hardware Root of Trust สามารถช่วยลดความเสี่ยงจากการแก้ไขส่วนประกอบในกระบวนการเริ่มระบบได้
อุปกรณ์บริหารจัดการ เช่น BMC หรือ Management Interface ไม่ควรเปิดให้อยู่ใน Network Segment เดียวกับระบบทั่วไปโดยไม่จำเป็น
Network Monitoring ก็ควรให้ความสำคัญกับอุปกรณ์ Infrastructure ไม่ต่างจาก Endpoint เพราะบางครั้งสิ่งผิดปกติที่สำคัญที่สุดอาจไม่ได้เกิดขึ้นบนเครื่องของผู้ใช้งาน แต่อยู่ที่อุปกรณ์ซึ่ง Traffic ทุกเครื่องต้องผ่าน
และที่สำคัญคือควรมี Incident Response Plan สำหรับ Firmware โดยเฉพาะ
เพราะในเหตุการณ์บางประเภท การ “Reinstall OS” อาจไม่ใช่การกำจัดภัยคุกคามที่เพียงพอ
Zero Trust ไม่ควรหยุดอยู่แค่ผู้ใช้และเครื่องคอมพิวเตอร์
แนวคิด Zero Trust มักถูกสรุปด้วยประโยคว่า
“Never trust, always verify.”
แต่ในทางปฏิบัติ หลายองค์กรมักนำแนวคิดนี้ไปใช้กับ User Identity, Endpoint และ Application เป็นหลัก
คำถามคือ แล้ว Hardware และ Firmware ล่ะ?
หากเราไม่เชื่อ User โดยอัตโนมัติ
ไม่เชื่อ Device โดยอัตโนมัติ
ไม่เชื่อ Network โดยอัตโนมัติ
ก็คงไม่มีเหตุผลที่จะเชื่อว่า Firmware ทุกชุดที่กำลังทำงานอยู่ในอุปกรณ์นับพันชิ้นนั้นปลอดภัยเพียงเพราะมันถูกติดตั้งมาจากโรงงาน
Zero Trust ในระดับที่ลึกขึ้นจึงต้องรวมถึงความสามารถในการพิสูจน์ว่าอุปกรณ์กำลังใช้ Firmware ที่ถูกต้อง ไม่ถูกแก้ไข และยังอยู่ในสถานะที่ผู้ผลิตสนับสนุน
ภัยที่น่ากลัวที่สุด อาจเป็นสิ่งที่เราไม่เคยมองหา
โลก Cybersecurity มักเป็นการแข่งขันระหว่าง “ผู้ที่พยายามซ่อน” กับ “ผู้ที่พยายามมองเห็น”
เมื่อองค์กรเพิ่มความสามารถในการตรวจจับ Endpoint ผู้โจมตีก็มองหาพื้นที่ที่ Endpoint Detection มองไม่ถึง
เมื่อระบบปฏิบัติการปลอดภัยขึ้น เป้าหมายก็อาจเคลื่อนลงไปยังชั้นที่ต่ำกว่า
Firmware และอุปกรณ์เครือข่ายจึงกลายเป็นพื้นที่ที่องค์กรไม่ควรมองข้ามอีกต่อไป
เพราะภัยคุกคามระดับนี้ไม่จำเป็นต้องส่งเสียงดัง
มันอาจไม่เข้ารหัสไฟล์
ไม่แสดงข้อความเรียกค่าไถ่
ไม่ทำให้เครื่องช้าลงอย่างเห็นได้ชัด
และอาจไม่ปรากฏในหน้าจอ Antivirus เลย
มันเพียงแค่ต้องอยู่ในตำแหน่งที่เหมาะสม เฝ้ามองข้อมูลที่วิ่งผ่าน และรอเวลาที่ต้องการ
ในโลกที่เราตรวจสอบทุกไฟล์ ทุกบัญชีผู้ใช้ และทุกการเชื่อมต่อบนเครือข่าย บางทีคำถามด้านความปลอดภัยที่สำคัญที่สุดอาจไม่ใช่
“มีอะไรผิดปกติอยู่ในระบบปฏิบัติการหรือไม่?”
แต่เป็น
“ก่อนที่ระบบปฏิบัติการจะเริ่มทำงาน มีอะไรตื่นขึ้นมาก่อนมันแล้วบ้าง?”