随着 OT/IT 融合的趋势不断普及，几乎所有工业企业都开始着手加固网络安全，采取预防措施保障正常运营。企业之所以这么做，主要是因为关键基础设施和生产设备更容易成为网络攻击的目标。这并不是在杞人忧天。我们常看到这样的新闻：某家企业由于遭受网络攻击，停产一天（甚至更久）。网络攻击不但会带来资金损失，还有可能会让公司成为新闻焦点，损害公司声誉。勒索软件攻击的目标也在日益扩大，即使是已经采取预防措施的大型企业也难以幸免。这些攻击事件表明，如今高度互联的世界充满风险，没有任何机构可以高枕无忧。
毫无疑问，首席安全官 (CSO) 和首席信息安全官 (CISO) 亟需进一步理解 OT 环境，以及如何在不干扰正常生产运营的前提下有效部署网络安全措施。这是个十分复杂的问题，公司在决定采用哪些措施和架构之前需要审慎考虑。本文将探讨当前最常用的两个安全架构并提供实用建议，帮助工业企业更好地将这些架构应用于各自的 OT 环境。
深度防御与零信任架构
根据美国国家标准与技术研究院 (NIST) 特刊 800-207，零信任架构的关键在于为需要操作网络的人员开放最低限度的访问权限。我们可以让有正当事由的人员访问网络，但没有必要授予无限制访问权限让他们自由访问所有网络，因为这会增加网络遭遇攻击的概率。零信任架构则可以规避这一点。
我们还可以采取深度防御策略，其中包括多层安全防护，为生产运营网络安全保驾护航。深度防御背后的原理是，即使第一层防护失效，还有第二次机会来保护其他区域和线路免受侵害。网络安全标准 IEC 62443 建议，部署深度防御时应根据所需防护等级为网络分区。每个分区叫做区域 (Zone)，区域内的所有通信设备同属一个安全等级，也就是说他们的防护等级相同。如果想要进一步加强保护，还可以将一个区域置于另一个具备额外安全措施的区域内。
将上述两个措施结合起来，我们可以在多层保护的基础上进行生产运营，再利用零信任策略，确保根据具体情况授予有限的访问权限，进一步增强网络安全。对这两种措施进行分析可以看出，网络安全问题没有绝佳方案，需要多角度全面考虑，确保网络安全无虞。
零信任与深度防御网络应用示例
提高网络安全意识
除了应用零信任架构和深度防御网络以外，提高各部门的网络安全意识、确保所有团队成员以同样的理念看待网络安全也十分重要。应鼓励员工了解遵循技术安全要求的益处，从而提高他们遵守安全指南的意愿。
这需要：
- 统筹协调安全响应及网络监管
- 假设所有设备和网络都会遭受攻击，为最坏的情况做准备
- 确保具备强大的恢复能力和响应流程
对用户和网络设备执行严格的授权认证
用户凭证泄露是工业网络面临的一大险境。如果网络访问没有遵循零信任原则，入侵者可能只需要一条用户凭证就可以访问整个网络。但在零信任网络架构中，入侵者需要同时获得设备访问控制和用户授权认证才能访问网络。此外，还可以利用信任列表对网络进行更精细的控制。
通过信任列表、速率控制和故障注销，可以只允许配备安全启动功能的受信设备访问网络设备，防止遭受暴力破解和其他依靠反复尝试达成的网络攻击。
登录设备时验证用户凭证，网络设备即可记录所有用户的访问尝试，并根据不同职位开放最低限度的访问权限。
如果企业想要加强网络安全，信任列表是控制网络流量的好方法。常用做法是为 IP 地址和设备端口建立信任列表，利用深层数据包检测技术精准控制读写权限等网络访问行为。
利用网络分区构建深度防御
远程连接是工业控制系统的关键组成部分，必须有效管理。同时，内部威胁也会给网络带来风险。必须采取措施减少远程连接和内部威胁造成的风险。恰当的网络分区能防止侵害远程连接的入侵者和威胁系统安全的内部人员访问整个网络。
网络分区可以防止恶意数据在网络中横向移动。企业通常会在 IT 和 OT 网络之间部署防火墙，创建高级别网络分区。然而，如果网络没有正确分区，一旦攻击者获得用户凭证，就很有可能有权访问 OT 网络及其中的设备。有许多手段能帮助实现网络分区，部署防火墙就是其中之一。防火墙的优势之一在于它能帮助管理员为网络分区，只有通过许可的数据才能在区域之间传输。此外，利用 IP 地址、经授权访问启用端口等安全策略和规则，能将网络划分为更小、更易管理的区域，确保只有特定数据能进入网络。
运动控制器是工业控制系统的关键资产之一。如果这些关键资产受到攻击，企业生产可能会陷入停滞，甚至导致威胁人员生命安全等严重损害。因此，资产所有者应部署工业入侵防御系统，将网络攻击影响控制在遭受袭击的区域内，从而保护关键资产。
此外，持续监控网络中用户和设备的异常行为能阻止攻击扩散，有利于专业人员快速恢复网络。
选择 Moxa 网络安全解决方案，筑牢网络安全防线
作为 35 年持续领跑工业网络行业的先锋，Moxa 致力于开发安全可靠的网络解决方案，主动识别和消除 OT 环境中的网络威胁。Moxa 信守承诺，严格遵守“安全始于设计”原则，根据网络安全标准 IEC 62443-4-2 开发具备安全功能的网络设备。实用的安全功能可以帮助企业建立零信任网络。同时，Moxa 利用分布式 OT 入侵系统和具备深层 OT 数据包检测功能的工业安全路由器打造深度防御工业网络。
了解 Moxa 网络安全解决方案的更多信息，请访问 Moxa微网站。