【原】落了一层灰的工业设备，需要安全弹性

智会社 2023-12-29 发布于北京

展开全文

也许已经落了厚厚的一层灰，但丝毫不影响工业设备的正常生产。10年不停机，在工业制造领域，并不在少数。尤其对于流程型工业生产而言，产品制造的各道工序紧密相连，局部停机意味着全线停机和巨大的经济损失。

所以，无论是改造或者升级，工业制造企业都希望将设备的停机发生次数降到最低，他们最在意的是连续性生产。

随着工业互联网从概念普及走向落地深耕，一场围绕工业制造领域的数字化革新在所难免。工业制造企业深知，OT与IT的融合不仅带来的是降本增效，还有安全风险。在此过程中，如何为融入数字化的工业生产线补上安全“窟窿”？

一个弹性的OT安全成为必然。

OT领域有一个倒置的CIA模型

我们知道，在信息安全领域，机密性、完整性和可用性组成了著名的 “CIA”金字塔安全模型，IT网络安全对机密性有着较高的要求。不过把这个模型放到OT网络中，CIA模型发生倒置，与IT安全不同，OT安全最在意的是可用性。

也就是说，OT企业对于可能影响连续性生产的改造都持谨慎态度，安全建设的最终目的是保障业务连续性，但如果因此增加停机风险显然不是他们愿意看到的。正如Fortinet中国区技术总监张略在日前召开的2022 Fortinet工业互联网安全发展峰会上所说，“OT的安全体系需要更加有弹性，更有适应性，才能够真正在OT环境中进行落地。”

显然，在提升安全性的同时，把对业务的影响降到最低，并且让安全服务于业务连续性保障是OT安全的核心，这是弹性安全的重要表现。

保持对OT安全的敬畏之心

OT系统有着其特殊性，“要对OT安全保持一份敬畏之心，如果只是把IT安全解决方案简单地改改，加一些与OT业务系统相关的特征，拿来作为OT安全的解决方案，这是缺乏对OT系统的尊重和敬畏的。”Fortinet北亚区首席技术顾问谭杰如是说。

那么，怎样才能称得上对OT安全有一份敬畏之心呢，或者说如何打造一个适配且能够发挥价值的OT安全解决方案？

● 首先，一定要懂工业、懂工业互联网安全场景。OT网络中运行了大量的专有工控协议，如果对协议识别不足、不清楚运行的应用、不能分辨正常还是恶意流量，显然也就做不到对OT安全的有效监控、控制和防御。

● 其次，一定要具备创新能力。随着勒索攻击的兴起，在巨大的利益面前，针对OT系统的攻击逐渐呈现APT化，所以在高级的威胁面前，需要用前沿的IT思维和IT安全方法论保护OT系统，当然前提一定要对OT业务和场景进行兼容适配。

● 再者，一定要对OT安全产品进行特殊的设计和打磨，以满足工业环境的要求。众所周知，工业制造涉及能源、机械、电子电器等众多细分行业，不同的行业呈现出温度、粉尘、振动等不同的工业环境，这就需要OT安全设备在一些严苛的工业环境中保证稳定正常运行。

这一系列因素不仅是对OT安全保持的敬畏之心，也是OT系统下弹性安全的具体体现，最终满足工业制造企业对可用性的高要求。

适应OT系统特殊要求

以前沿IT安全架构赋能OT安全

带着一份对OT安全的敬畏之心和在IT安全领域的成功技术积淀，Fortinet对OT安全进行了深入布局，并已取得成功。根据Fortinet发布的2022年第二季度财报显示，Fortinet OT订单收入增长超75%，显现出自身OT安全解决方案的市场欢迎度。

既然OT的未来发展方向是与IT进行融合，在安全保护方面自然也需要用前沿的IT安全模型进行部署，显然这对于IT安全领域的领导者Fortinet来说是一个先天优势。谭杰将Fortinet具备的优势总结为四大方面：专用硬件、软件适配、专用威胁情报和丰富的实践案例与服务经验。

以专用硬件举例，针对IEC 61850和IP防护等级要求，Fortinet设计了一系列加固型的防火墙产品，并采用了专用安全处理器从根本上提高了硬件设备的运行速度、支持的网络规模、安全过滤的效率等，从而提升了设备的稳定性和对复杂工业环境的适应性。在软件能力及OT安全体系协同上，Fortinet DPI适用于70多种OT协议，500+ Security Fabric生态系统集成的威胁情报、安全运营、软硬件协同等打造了一流的集成解决方案。特别是Fortinet Security Fabric将自身和专业伙伴的产品、安全能力有机整合到一个平台中形成一个智能联动、弹性灵活的防御体系。

这套体系映射在OT环境的Purdue模型分层框架中，能够为工业制造企业提供充分理解且适应OT系统要求的全面安全保护。

除了在适应OT系统的特殊性之外，以普适性的前沿IT安全架构赋能OT安全同样能够发挥巨大价值。其中，以零信任架构最为典型。“通过沿用IT零信任架构，将所有OT的网络设备甚至包括操作的人员先经过身份认证、安全认证后才再以合适的权限接入到OT网络中对OT进行操作和更改，我们发现把它运用到OT安全环境里面是非常贴合的。”张略表示。

此外，微隔离、蜜罐等也是应用OT网络防护的利器。站在攻击者的视角，当他们侵入OT网络一定会横向移动寻找生产PC、攻击控制更多的PLC，如何应对？通过防火墙+交换机联动的系统开启微隔离模式，建立白名单基线，开启HMI到PLC的定向定点访问，PLC之间互访进行严格控制和安全过滤，可防止黑客进行横向迁移。

进而还可以在OT网部署HMI和PLC的蜜罐陷阱系统实现主动安全捕获，并主动发邮件通知安全运营团队实施隔离阻断。Fortinet资深安全工程师庄喆皓表示，通过部署OT蜜罐对攻击流量做嗅探，这是Fortinet的一大创新，OT蜜罐并不影响业务连续性，它对于在工业互联网中发现未知威胁来说，是一个关键的技术。