【51CTO.com原創稿件】2010年，震網病毒襲擊了伊朗的核設施，導致離心機損壞，核計劃推遲了兩年。

2013年，紐約八大泄洪閘被攻擊。

2014年，美國密歇根的交通燈被攻擊和控制。

2015年，烏克蘭電網系統被攻擊導致斷電。

2017年，馬士基船運公司被勒索病毒攻擊，導致停運，損失高達16億人民幣。

2018年，臺積電引勒索病毒導致多個半導體加工工廠停產，損失高達17億人民幣。

2019年，國際鋁業劇透因遭到勒索病毒攻擊而導致停產。……

近年來，諸如以上針對工業控制系統的各種網絡攻擊事件正在日益增多。究其原因，我們不難發現，隨著互聯網在工業控制系統中的廣泛應用，Operational Technology (OT)和IT網絡的融合帶來了更多的安全風險。工業設備啟用IP成為網絡生態系統的一部分，這些以前受保護的隔離設備周圍的壁壘正在坍塌。

智能制造潮流下，IT與OT融合帶來新安全風險

以前，OT與IT隔離，運行專有的控制協議，運行在專有硬件和專有嵌入式操作系統上，由銅纜或者雙絞線連接，而現在OT與公司IT網絡互聯，采用通用Internet協議，運行在由從IT發端的通用硬件和主流IT操作系統上，越來越多的通過標準Wi-Fi協議連接。總之，以前完全隔離和各自專用的兩者緊密的連接在一起，帶來了更多的攻擊面。

針對OT安全攻擊，在近日舉行的媒體溝通會上，Fortinet技術總監張略向媒體記者分析道，在OT網中，絕大多數攻擊先從IT網進入，比如IT網的病毒、釣魚郵件、勒索軟件，接著開始橫向傳播，進入到OT網中的工業控制系統ICS、工業控制協議和SCADA。然后會有回連黑客的C&C服務器，進行生產數據的盜取，甚至更加嚴重的破壞。事實上在每一個步驟當中，無論是IT的第一階段，還是開始橫向移動的第二階段，以及最后的回連和破壞的階段，其實都是有能力發現和阻止的。

[[284629]]

Fortinet技術總監張略

當前哪些行業最容易受到OT攻擊呢? 對此，張略表示，制造、能源、交通運輸三大行業較為容易受到OT攻擊。其中，制造行業中的家電、汽車、芯片生產廠商的OT安全現狀更加急迫些，還有油田、電網等能源行業領域。另外，隨著5G時代的帶來，車輛的信息化程度加深，交通運輸行業也面臨更多的安全風險。

在此背景下，國內企業的OT安全防護現狀如何呢?張略為大家分享了下面這張PPT： 

另外，張略坦言，通過與國內眾多制造行業中知名企業的深入交流，國內OT安全管理目前相對較大的障礙是安全認知。因為IT與OT的管理者，在技術融合時，雙方的認知沒有先于技術而融合。這個過程中會產生誤解，或者不理解為什么一定要做區域劃分，為什么一定要做安全可視化，認知沒有達到統一，效果也可想而知。當然，我們也看到頭部的制造型企業，不乏意識先進，對于隔離和OT網存在的弊端有很清晰地了解，并有了解決問題的方向，這些頭部的生產企業確實是我們未來的希望之星。

“無論是對于有意識的已經開始進行設計規劃的企業，還是對于一些意識不是很強的企業，我們均保持著一塊探討，進行人員意識的培訓，并分享這些實踐，我們希望建立一個IT與OT融合狀態下安全健壯的網絡。” 張略表示。

IT與OT融合狀態下，如何構建安全健壯的網絡?

“工業4.0”趨勢下，究竟該如何應對因OT與IT融合而帶來的安全風險，構建安全健壯的網絡?在Fortinet看來，當OT和IT連接起來以后，OT安全措施和IT的措施是可以類比的，比如要進行安全域的劃分，安全通信，進行網關的控制，無線網的控制，漏洞的管理控制，這就涉及到AI和比較火熱的技術，這個過程中Fortinet都有完整的解決方案。 

當日媒體溝通會上，Fortinet正式公布新OT安全架構，以及Fortinet工控安全整體解決方案。該解決方案不僅能夠對于已知威脅提供可視化和防御能力，還可以通過防火墻與集中管理解決方案，以及與工業控制網絡與安全可見性與控制廠商Nozomi等多種集成方案的聯動來發現和阻止異常行為，并制造欺騙“迷宮網絡”，為工業企業更加放心地擁抱工業互聯網提供了可靠保障。

“通過將Fortinet的參考架構應用于工業控制Purdue模型，Fortinet能夠在儀表總線網絡、流程控制局域網、區域總控網絡、生產區域、企業環境等不同層面構建安全控制能力與分段安全保護”，張略指出：“目前，Fortinet Security Fabric安全架構已經實現了與Nozomi Networks解決方案的集成，提供了基于SCADA(數據采集與監視控制系統)安全的主動防御能力。”

Fortinet Security Fabric的風險管理框架在不同場景下均能提供高適應性的安全能力，這些場景包括：

針對已知威脅的可見性和分段保護：在此類場景中，Fortinet方案提供了FortiGate防火墻、FortiGuard威脅情報服務等組件，實現了從監控網絡到流程控制網絡的主動防護，以及對于常見的ICS/SCADA協議、基于工業協議的IPS特征的識別和監控，并可以通過集中安全管理報告實現自動化安全防護。

異常檢測和響應：FortiSIEM安全信息與事件管理解決方案可以在統一可擴展的解決方案中提供可見性、關聯性、自動響應和補救措施建議，FortiGate則可以提供從監控網絡到控制網絡的主動防護，在與Nozomi對網絡的被動監控能力融合起來之后，幫助用戶對于異常行為進行及時響應。

OT Security Fabric自動化聯動：通過與Nozomi終端 等第三方解決方案商的的聯動與集成，增強在檢測、發現、響應異常行為，并作出自動阻截攻擊的能力。

攻擊欺騙：FortiDeceptor作為一個輕量級的，專門針對OT網絡的蜜罐，可以快速創建一個偽造的“迷宮網絡”，以誘使攻擊者進行攻擊，進而檢測到攻擊者的活動詳細信息，以在攻擊真正造成損害之前進行遏制。

據張略介紹，OT環境與設施安全的重要性，以及物理與安全環境的復雜性決定著工控安全解決方案必須滿足在可用性、可見性、穩定性等方面的嚴苛需求。Fortinet提供了面向工控安全嚴苛環境、滿足工業標準和合規性的軟硬件設計，不僅符合工業環境需求，還能夠在封閉網絡下進行更新，確保在任何時候都能提供穩定的安全防護能力。

Fortinet關于OT安全的思考

記者了解到，在工控安全方面，Fortinet有著豐富的實施經驗，在幫助用戶進行安全區域劃分、網絡隔離設計、防火墻訪問控制策略設計、安全網絡規劃等方面創新性見解。截止目前，Fortinet已服務于制造業中的重要企業，應用了基于生產網絡等OT安全部署與實踐。

Fortinet主要有三大業務，分別是：SD-WAN、云安全、OT安全。Fortinet對OT安全的重視程度，由此可見一斑。然而，我們不可否認，觀察整個OT安全市場，收益還相對較小，Fortinet為何花費如此大的精力來做OT安全呢?

對此，張略表示：“在未來的某個時刻，OT工業互聯網安全將會成為所有人關注的焦點。而作為一家安全廠商，我們需要在安全風險爆發前準備好，把握住OT安全市場機遇，我們愿意先進行戰略性投入，為OT工業互聯網安全保駕護航。”

據悉，為了更好地應對OT與IT融合帶來的安全挑戰，近日Fortinet與四家OT專業公司攜手，擴大OT客戶可用的解決方案范圍。RAD，Indegy和SecurityMatters三位新的OT安全專家與長期合作伙伴Nozomi Networks一起提供了OT特定命令和協議的高級可見性，聯動Fortinet 安全架構，保護OT網絡在新興的工控網絡領域的安全性。這些合作伙伴通過在Fortinet的OT漏洞掃描和策略執行中添加深度數據包檢查和上下文分析功能，增強了OT網絡安全防護能力。

【51CTO原創稿件，合作站點轉載請注明原文作者和出處為51CTO.com】