小心意外收敛

现代工业和关键基础设施组织依赖于操作技术(OT)环境来生产其产品和服务。除了使用服务器、路由器、pc和交换机的传统信息技术(IT)操作外，这些组织还依赖于OT，如可编程逻辑控制器(plc)、分布式控制系统(dcs)和人机界面(HMIs)来运行物理工厂和工厂。虽然OT设备已投入商业使用50多年，但已经发生了彻底的转变，改变了人们操作、交互和保护OT环境的方式。

许多组织已经选择了融合他们的IT和OT环境，这可以产生许多好处，但这些决定并非没有风险。融合会产生新的攻击向量和攻击面，导致漏洞从融合基础设施的一侧开始，横向从IT蔓延到OT，反之亦然。

影响OT运营的威胁与影响IT环境的威胁不同，因此需要的安全工具和运营策略也不同。部署正确的工具可以利用融合操作的所有好处，而不会增加组织的安全暴露情况。对于组织来说，在收敛计划之前建立一个精心规划的战略是很重要的，而不是在事后才考虑安全问题。

气隙论证

当企业做出不融合IT和OT运营的战略决策时，会发生什么?许多组织出于各种原因(包括战略、技术和业务因素)遵循这条路径。通过将IT和OT系统分开，这些组织正在实施“气隙”安全策略。

传统上，当涉及到工业和关键基础设施环境时，气隙OT操作被视为黄金标准。OT基础设施作为一个“闭环”运行，与外部世界没有任何接口，在物理上与外部环境隔离。由于没有数据传输到环境之外，也没有任何外部数据传入，因此该缓冲区被视为保护组织免受安全威胁的终极方法。

虽然气隙的概念似乎很简单，但很难维持。切断连接只是保持无菌环境的一部分。还有许多其他途径可以实现所谓的隔离基础设施(参见图1)。例如，真正的隔离需要消除OT基础设施中设备的电磁辐射。这就需要一个巨大的法拉第笼来消除潜在的泄漏矢量。

多年来，人们发现了更多的攻击载体，包括从计算机到移动电话的FM频率信号、气隙计算机之间的热通信通道、蜂窝频率和近场通信(NFC)通道的利用。即使OT设备中的LED光脉冲也会使关键系统暴露在恶意活动之下。

有很多例子表明，由于一些简单无伤大雅的事情，如将外部笔记本电脑用作HMI或用于OT目的的USB u盘，导致高度强制的气隙设施遭到破坏。在平均OT环境中，超过50%的基础设施包括IT设备。在IT和OT融合方面没有具体计划的组织是风险最大的组织之一，因为除了气隙之外没有实施额外的安全措施。确保运营安全需要的不仅仅是围绕OT基础设施建立数字护城河。即使在最有利的情况下，这种隔离也几乎不可能维持。在无菌环境中引入一个看似无害的变量，可能会永久地破坏最严格执行的气隙。这就是所谓的“偶然收敛”。

虽然来自“世界其他地方”的气隙OT被认为是保护OT环境的黄金标准，但它并非万无一失。许多组织陷入了一种错误的安全感，即使他们孤立的OT基础设施根本不是孤立的。因此，它一点也不安全。

在过去10年里，越来越多的攻击事件以制造业和关键基础设施为目标。其中有一些复杂的攻击例子，它们利用“意外聚合”渗透到组织内部并在其中站稳脚跟。IT和OT环境的意外融合随时都可能发生。更令人担忧的是，许多组织在不知情的情况下发生了这种情况，而且没有后果，因为他们错误地认为是气隙在起作用。在获得立足点后，这些攻击可以持续数周甚至数月，直到发生灾难性故障。人们以为已经到位的安全措施是一种幻觉，与实际情况相去甚远。

提前警惕网络安全规划

对于大多数工业组织来说，需要警惕的安全并不是什么新鲜事。威胁向量和安全预测在不断发展，因为新出现的威胁。IT和OT运营的融合，无论是计划中的还是计划外的，几乎在所有情况下都是现实。设置适当的保障措施将有助于确保组织的安全操作。应该考虑什么?

超越传统边界的可见性

到目前为止，IT安全和OT基础设施存在于不同的世界，并且查看任何一个环境的能力都是沿着这些路线分开的。现代的攻击是无定形的，并且不加考虑地跨越传统IT和OT安全边界。跟踪这些类型的传播路径的能力需要传统可见性参数的去竖井化。能够获得IT和OT设备的单一视图，以及两个世界之间发生的对话，是至关重要的。这种“单一的玻璃窗格”视图可以帮助阐明传统安全策略无法发现的潜在攻击向量和资产盲点。

深度情境分析

无论计划中的聚合活动是否正在进行，重要的是要认识到it和OT生命周期中的显著差异。虽然IT基础设施会定期更新，但OT基础设施通常会持续几年，甚至几十年。

OT基础设施与工厂本身一样古老是很常见的。其结果是资产的完整清单，以及维护和变更管理记录，可能不是当前的。因此，关键数据可能会丢失，包括重要的细节，如型号、位置、固件版本、补丁级别、背板细节等。由于不可能保护用户甚至不知道存在的资产，因此拥有OT基础设施的详细清单，可以随着条件的变化自动更新，对于保护工业操作至关重要。

降低网络风险

当谈到现代OT环境时，网络威胁可以起源于任何地方并传播到任何地方。重要的是使用尽可能多的能力和方法来发现和减轻暴露风险，包括:

• 基于网络的检测，利用“允许/不允许”功能的策略。
• 基于异常的检测，可以发现零日攻击和有针对性的攻击，并基于组织特有的基线行为进行预测。
• 开源攻击数据库，集中来自更大安全社区的威胁情报。对潜在威胁的更多关注会产生更好的安全响应。

由于大多数攻击的目标是设备而不是网络，因此必须使用在设备级别上查询并提供安全性的解决方案。由于OT设备协议可能各不相同，因此安全性和健康检查对于设备的制造商和型号(包括设备语言)必须是唯一的。这些深度检查不应该是扫描，而是在查询性质和频率上保持精确。

2020年，有超过18500个新漏洞被披露，影响到OT设备以及传统IT资产。然而，这些漏洞中只有不到一半可以利用。充分了解与环境相关的漏洞，以及可利用漏洞和关键资产的分类列表，将使用户能够优先考虑风险评分最高的威胁，减少整体网络暴露情况。

安全有助于建立信任的生态系统

虽然为环境识别和利用最佳it和OT安全产品很重要，但产品协同工作更为重要。分层和合作安全方法的古老概念(其中各点产品可以一起工作)创建了一个不可渗透的层——解决方案的整体大于其部分的总和。

例如，OT安全解决方案为安全信息和事件管理(SIEM)系统或下一代防火墙(NGFW)提供有价值的详细信息，为安全生态系统提供了工业操作的新而重要的视图。这不仅增强了安全监控和响应，而且还从现有的安全投资中释放出更大的价值和实际效用。

规模化的网络安全解决方案

遗留IT和OT团队的血统和方法是截然相反的。这种对立远远超出了产品生命周期的时间线。

IT团队经常受到关键性能指标(kpi)的驱动，包括可用性、完整性和机密性，这导致了一种“始终安全”的心态。OT团队监控围绕环境、安全和法规的指标，从而形成一种“始终启动并忘记它”的方法。

如今，需要在整个组织(而不仅仅是IT或OT)中解决安全问题，需要将这些不同的“成长经历”结合在一起，并找到共同的基础来共同工作。如果不这样做，该组织就会面临一个巨大的网络暴露漏洞，如果不加以解决，可能会导致严重的后果。

偶然收敛，有意安全

IT和OT团队必须找到共同点，以消除计划中的和意外的IT/OT融合的重大风险因素。但任务并未就此结束。OT安全解决方案与IT安全解决方案相结合，可以成为阻止新网络威胁所需的可见性、安全性和控制的催化剂。它还将这些曾经独立的团队聚集在一起，为每个制造业、关键基础设施和工业组织提供安全所需的安全，以安全地完成其核心任务。

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。