Fortinet發布工控安全整體解決方案，為工業互聯網安全護航
近幾年，OT是特別熱的一個話題，與它相對的詞是IT，主要原因是生產環節在向IT應用融合，從生產環境層面來說，比如能源、製造、監測、水利、電力等，這些都是生產環境，統稱OT（Operation?Technology ）環境，中國是製造業大國，這一領域的潛力非常巨大。
但在實際生產過程中，企業往往需要運營橫跨複雜IT和OT的基礎設施，這給工業環境安全帶來了全新的挑戰，尤其是在OT安全方面，在與與IT融合過程中，如何有效防禦網路攻擊減少損失，成為工業企業迫切需要解決的難題。
對此，Fortinet於日前正式公布最新的Operational Technology（OT）安全架構，以及Fortinet工控安全整體解決方案。該解決方案不僅能夠對於已知威脅提供可視化和防禦能力，還可以通過防火牆與集中管理解決方案，以及與工業控制網路與安全可見性與控制領導廠商Nozomi等多種集成方案的聯動來發現和阻止異常行為，並製造欺騙「迷宮網路」，為工業企業更加放心地擁抱工業互聯網提供了可靠保障。
Fortinet中國區技術總監張略
哪些行業最容易受到OT安全威脅？
工業互聯網的發展，進一步增強了基礎設施的自動化控制、可視化、以及數據洞察能力，但同時，也引入了更加複雜的安全環境，眾多企業用戶將面臨著網路攻擊直達生產一線的高危風險。那麼，哪些行業最容易受到OT安全威脅呢？
Fortinet中國區技術總監張略表示，製造型企業非常容易受到攻擊，特別是先進位造業。如果把製造業細分的話，家電、汽車、晶元生產等行業的OT安全的現狀更加急迫一些，還包括能源，比如很多新能源生產基地、油田以及需要監控的電網，都屬於非常大的OT和IOT的安全運營環境。
一直以來，OT安全威脅給企業帶來的損失都是災難性的，其後果不堪設想。根據國際權威機構調查結果顯示，互聯網可訪問的工業控制系統（ICS） 6大類最常見的漏洞為網路邊界保護、識別和認證、資源分配、物理訪問控制、帳戶管理和基礎功能，這些問題佔總問題的三分之一。其中，企業和ICS網路之間的邊界隔離不足，以及無法檢測到關鍵系統非法訪問活動是最常見的弱點。而針對這些安全漏洞，網路攻擊者正在利用不斷進化的惡意軟體，對網路上暴露的工控系統發動攻擊。
而為了獲取更深入的智能數據洞察，互聯網可訪問的工業控制系統（ICS）數量每年都在增加，其集成的聯網終端在數量與種類上也不斷到達新高，這讓ICS處於巨大的網路安全風險之中。ICS系統牽一髮而動全身，比如發電設施、熱力供應設施、污水處理設施等關鍵基礎設施，一旦因為網路攻擊而中斷，不僅會帶來不利的經濟影響，還可能導致災難性的生命損失。
「近兩年頻繁發生的船運公司、半導體加工廠、鋁業公司因為勒索病毒而停產，足以證明關鍵基礎設施架構被攻擊的危險真實存在。」Fortinet技術總監張略指出，在ICS數字化攻擊鏈中，網路攻擊者往往制定了周密的計劃，並通過「準備—數字化滲透—標準攻擊—攻擊開發」和「調優—驗證—ICS攻擊」等方式來執行攻擊計劃，由於組織嚴密、準備充分，工業企業很難用現有技術手段形成有效防禦。
那麼，工業企業該如何有效防止OT安全帶來的威脅？
Fortinet 為工業互聯網安全提供哪些解決方案？
OT環境與設施安全的重要性，以及物理與安全環境的複雜性，決定著工控安全解決方案必須滿足在可用性、可見性、穩定性等方面的嚴苛需求。Fortinet提供了面向工控安全嚴苛環境、滿足工業標準和合規性的軟硬體設計，不僅符合工業環境需求，還能夠在封閉網路下進行更新，確保在任何時候都能提供穩定的安全防護能力。
「Fortinet有著豐富的工控安全實施經驗，在幫助用戶進行安全區域劃分、網路隔離設計、防火牆訪問控制策略設計、安全網路規劃等方面獨到的見解，為OT工業互聯網安全保駕護航。」張略如是說道。
同時，張略還強調，通過將Fortinet的參考架構應用於工業控制Purdue模型，Fortinet能夠在儀錶匯流排網路、流程式控制制區域網、區域總控網路、生產區域、企業環境等不同層面構建安全控制能力與分段安全保護。
目前，Fortinet Security Fabric安全架構已經實現了與Nozomi Networks解決方案的集成，提供了基於SCADA（數據採集與監視控制系統）安全的主動防禦能力。
Fortinet Security Fabric的風險管理框架在不同場景下均能提供高適應性的安全能力，這些場景包括：
（1）針對已知威脅的可見性和分段保護：在此類場景中，Fortinet方案提供了FortiGate防火牆、FortiGuard威脅情報服務等組件，實現了從監控網路到流程式控制制網路的主動防護，以及對於常見的ICS/SCADA協議、基於工業協議的IPS特徵的識別和監控，並可以通過集中安全管理報告實現自動化安全防護。
（2）異常檢測和響應：FortiSIEM安全信息與事件管理解決方案可以在統一可擴展的解決方案中提供可見性、關聯性、自動響應和補救措施建議，FortiGate則可以提供從監控網路到控制網路的主動防護，在與Nozomi對網路的被動監控能力融合起來之後，幫助用戶對於異常行為進行及時響應。
（3）OT Security Fabric自動化聯動：通過與Nozomi終端 等第三方解決方案商的的聯動與集成，增強在檢測、發現、響應異常行為，並作出自動阻截攻擊的能力。
（4）攻擊欺騙：FortiDeceptor作為一個輕量級的，專門針對OT網路的蜜罐，可以快速創建一個偽造的「迷宮網路」，以誘使攻擊者進行攻擊，進而檢測到攻擊者的活動詳細信息，以在攻擊真正造成損害之前進行遏制。
未來兩年，重點布局這三點
在談及到Fortinet未來兩年左右的發展時，張略表示，公司會重點布局SD-WAN，雲安全和OT安全三個方面。
對於這三個方面的佔比，他介紹道，SD-WAN佔比最大，雲安全每年以80%-90%的增量在增加業務，OT方面，全球的整個OT還處在客戶教育、啟蒙、適用的階段。
張略還表示，OT攻擊最難防的一點在於客戶本身對OT的深入理解，雖然現在社會各界都很重視，因為目前企業和機構對OT安全風險的深入理解不充分，所以很自然的產生了疑慮，進而在生產環境中部署緩慢，這導致很多OT網路的風險是敞開的，不利於我們向智能製造升級轉型。
「相對來說，國內安全行業的行業屬性比較強，有些友商對於政府做得比較好，有些友商軍隊做的特別好，我們之間沒有交集，對於有交集的廠商來說，我們希望做一些互補的事情。比如我們在做網路安全比較好，但是主機安全不是很擅長，希望跟他們做一些互補性的操作，再比如他們願意做一些安全諮詢，我們本身是解決方案和設備生產廠商，你做安全諮詢，我來做大的框架下的部分。」張略指出，這種互補性的合作多一些，可以給企業帶來更加可靠的安全保障。
