新的OT网络架构下信息安全的四个关键技术

       网络安全曾经是信息技术（IT）领域专属的。那些拥有计算机科学学位的人会封好入口，看住贵重物品，防止入侵者进入IT网络。由于IT网络被视为进入运营技术（OT）网络的唯一途径，很多公司认为这已经足够了。

       潜伏的威胁仍然游走在OT网络的边缘。一些员工电脑上的恶意软件、插入USB密钥或将设备接入网络的物理访问，以及偶尔的无线访问都可能会让带来风险。虽然可能导致的问题很严重，但这些事件很少发生，对很多公司来讲，这种风险被认为是可以接受的。

1 新的OT网络架构

       近年来，OT网络之间的互联比以往任何时候都更加紧密。一些企业正在运行扁平的网络拓扑，而另一些企业正在将与云通信的物联网或工业物联网（IoT/IIoT）设备和系统添加到网络中。这些较新的OT装置，绕过了网络分层或普渡模型，带来了巨大的变化。

       企业需要了解如何在不减缓数字化转型计划的情况下，适应这些不断变化的环境并支持这些网络。他们还需要考虑如何在保持网络安全警惕的同时，实现预期的业务目标。

       使用合适的技术可以降低风险。现在，企业和用户应该熟悉四个关键技术和安全概念：零信任；最小特权原则；被动和主动网络监控；和安全信息和事件管理（SIEM）集成。

       1.零信任

       零信任是过去十年中出现的最重要的安全理念之一，被许多人视为安全领域的新黄金标准。它已经被世界各地的工业公司和军事网络所采用。零信任的理念是假设攻击者可能已经在网络上了，而且没有被发现。正因为如此，公司不应该信任进入的任何设备、服务器和软件的任何通信。

       这容易让人陷入一种左右为难的困境：如果你不信任通信，那你怎么能进行通信？在零信任网络中，所有系统都必须验明正身，这是实现通信的第一步。身份证明通常通过一些机制来完成，如使用公认标准的加密、用户名和密码验证，有时还可以通过客户端证书或密钥形式的附加凭据。这其中的关键部分是负责证明“它是谁”的系统。

       对于棕地工业网络来说，零信任很难实现。许多可编程逻辑控制器（PLC）和远程终端单元（RTU）的通信方式都是门户洞开。只要与控制工程师交谈，就可以得知哪些PLC在设计上是不安全的。如果用户仅使用其IP地址，就可以通过本地协议从监控和数据采集（SCADA）系统连接到PLC或RTU，那么这很可能就是不安全的。有理由假设，很多PLC和RTU在设计上是不安全的，包括现在正在生产中使用的大多数设备。

       如果企业正在保护这些网络并希望采用零信任理念，那么通常有两种选择：一种是更换现有的PLC；另一种是消除它们不安全的通信，通常是将它们隔离在安全设备的后面。许多人正在使用运行边缘软件的简单工业PC，以使这些系统远离主控制网络，并使用MQTT Sparkplug和OPC UA等安全协议提供数据和通信。

       对于绿地网络来说，情况要容易得多。一些关注安全的现代PLC，在默认情况下被锁定，支持零信任策略。MQTT Sparkplug和OPC UA等协议以及Ignition等软件，都内置了强大的身份验证和安全性。在配置安全设置的同时，使用现代设备、协议和软件可以简化最佳实践，真正实现零信任架构。

       2.最小特权原则

       从概念上来讲，最小特权原则非常简单：用户的帐户应只能访问用户需要做的事情。许多企业都有工程团队，他们可以管理所有系统。如果企业遵循的是这一原则，那这就不是最小特权原则了。初级工程师只能访问有限数量的系统和有限的功能集。管理这些需要做更多的工作，但如果用户的帐户被泄露，或者心怀不满的员工决定采取可能损害业务的行动，最小特权原则也会降低风险。

       3.被动和主动网络监控

       许多IT团队都有IT网络的监控工具。在OT网络上使用这些监控工具也是一个好主意。入侵检测系统（IDS）可提供被动监控，这意味着它在不向网络本身添加任何内容的情况下监视网络流量。这些系统通常由人工智能和机器学习（AI/ML）工具支持，以识别模式并尝试定位异常。

       有时，入侵检测系统还采用主动网络监控，在网络上发送通信并尝试与设备对话，作为其监控的一部分。主动监控系统有时指向PLC或其它设备，以监控它们何时发生变化或变化的内容。

       如果一个零信任系统已经就位并且运行良好，即使“坏人”进入网络，也可能什么都做不了。然而，这些监控系统旨在帮助IT部门识别那些不良行为者，并将他们踢出网络，以防止他们试图找到易受攻击的系统。一些主动监控还可以识别意外变化并标记这些变化。

       4.安全信息和事件管理集成

       大多数公司的IT部门都使用安全信息和事件管理（SIEM）系统，但在OT网络上则很容易忽略这些很有价值的工具。作为一个日志分析系统，它们可以帮助识别热点并追溯发生的问题。这些系统侧重于安全性，但有时也可用于现场系统的一般故障排除和IT支持。如果一家公司配置了SIEM，而OT系统没有发送安全提要，那么可能值得探索将SCADA或其它OT系统添加到SIEM中。

       安全性是一个复杂的话题，对于当今的制造商来讲，现在需要向零信任和更好的安全性迈进。企业和用户对本文强调的网络安全技术和概念越熟悉，就越有可能做出更明智的决策。大多数制造企业还有很长的路要走，获得更好的安全性更像是一场马拉松，而不是百米冲刺。在工业领域构建更好的安全性对每个人都有帮助。