【51CTO.com原创稿件】2010年，震网病毒袭击了伊朗的核设施，导致离心机损坏，核计划推迟了两年。

2013年，纽约八大泄洪闸被攻击。

2014年，美国密歇根的交通灯被攻击和控制。

2015年，乌克兰电网系统被攻击导致断电。

2017年，马士基船运公司被勒索病毒攻击，导致停运，损失高达16亿人民币。

2018年，台积电引勒索病毒导致多个半导体加工工厂停产，损失高达17亿人民币。

2019年，国际铝业剧透因遭到勒索病毒攻击而导致停产。

……

近年来，诸如以上针对工业控制系统的各种网络攻击事件正在日益增多。究其原因，我们不难发现，随着互联网在工业控制系统中的广泛应用，Operational Technology (OT)和IT网络的融合带来了更多的安全风险。工业设备启用IP成为网络生态系统的一部分，这些以前受保护的隔离设备周围的壁垒正在坍塌。

智能制造潮流下，IT与OT融合带来新安全风险

以前，OT与IT隔离，运行专有的控制协议，运行在专有硬件和专有嵌入式操作系统上，由铜缆或者双绞线连接，而现在OT与公司IT网络互联，采用通用Internet协议，运行在由从IT发端的通用硬件和主流IT操作系统上，越来越多的通过标准Wi-Fi协议连接。总之，以前完全隔离和各自专用的两者紧密的连接在一起，带来了更多的攻击面。

针对OT安全攻击，在近日举行的媒体沟通会上，Fortinet技术总监张略向媒体记者分析道，在OT网中，绝大多数攻击先从IT网进入，比如IT网的病毒、钓鱼邮件、勒索软件，接着开始横向传播，进入到OT网中的工业控制系统ICS、工业控制协议和SCADA。然后会有回连黑客的C&C服务器，进行生产数据的盗取，甚至更加严重的破坏。事实上在每一个步骤当中，无论是IT的第一阶段，还是开始横向移动的第二阶段，以及最后的回连和破坏的阶段，其实都是有能力发现和阻止的。

Fortinet技术总监张略

当前哪些行业最容易受到OT攻击呢? 对此，张略表示，制造、能源、交通运输三大行业较为容易受到OT攻击。其中，制造行业中的家电、汽车、芯片生产厂商的OT安全现状更加急迫些，还有油田、电网等能源行业领域。另外，随着5G时代的带来，车辆的信息化程度加深，交通运输行业也面临更多的安全风险。

在此背景下，国内企业的OT安全防护现状如何呢?张略为大家分享了下面这张PPT：

另外，张略坦言，通过与国内众多制造行业中知名企业的深入交流，国内OT安全管理目前相对较大的障碍是安全认知。因为IT与OT的管理者，在技术融合时，双方的认知没有先于技术而融合。这个过程中会产生误解，或者不理解为什么一定要做区域划分，为什么一定要做安全可视化，认知没有达到统一，效果也可想而知。当然，我们也看到头部的制造型企业，不乏意识先进，对于隔离和OT网存在的弊端有很清晰地了解，并有了解决问题的方向，这些头部的生产企业确实是我们未来的希望之星。

“无论是对于有意识的已经开始进行设计规划的企业，还是对于一些意识不是很强的企业，我们均保持着一块探讨，进行人员意识的培训，并分享这些实践，我们希望建立一个IT与OT融合状态下安全健壮的网络。” 张略表示。

IT与OT融合状态下，如何构建安全健壮的网络?

“工业4.0”趋势下，究竟该如何应对因OT与IT融合而带来的安全风险，构建安全健壮的网络?在Fortinet看来，当OT和IT连接起来以后，OT安全措施和IT的措施是可以类比的，比如要进行安全域的划分，安全通信，进行网关的控制，无线网的控制，漏洞的管理控制，这就涉及到AI和比较火热的技术，这个过程中Fortinet都有完整的解决方案。

当日媒体沟通会上，Fortinet正式公布新OT安全架构，以及Fortinet工控安全整体解决方案。该解决方案不仅能够对于已知威胁提供可视化和防御能力，还可以通过防火墙与集中管理解决方案，以及与工业控制网络与安全可见性与控制厂商Nozomi等多种集成方案的联动来发现和阻止异常行为，并制造欺骗“迷宫网络”，为工业企业更加放心地拥抱工业互联网提供了可靠保障。

“通过将Fortinet的参考架构应用于工业控制Purdue模型，Fortinet能够在仪表总线网络、流程控制局域网、区域总控网络、生产区域、企业环境等不同层面构建安全控制能力与分段安全保护”，张略指出：“目前，Fortinet Security Fabric安全架构已经实现了与Nozomi Networks解决方案的集成，提供了基于SCADA(数据采集与监视控制系统)安全的主动防御能力。”

Fortinet Security Fabric的风险管理框架在不同场景下均能提供高适应性的安全能力，这些场景包括：

针对已知威胁的可见性和分段保护：在此类场景中，Fortinet方案提供了FortiGate防火墙、FortiGuard威胁情报服务等组件，实现了从监控网络到流程控制网络的主动防护，以及对于常见的ICS/SCADA协议、基于工业协议的IPS特征的识别和监控，并可以通过集中安全管理报告实现自动化安全防护。

异常检测和响应：FortiSIEM安全信息与事件管理解决方案可以在统一可扩展的解决方案中提供可见性、关联性、自动响应和补救措施建议，FortiGate则可以提供从监控网络到控制网络的主动防护，在与Nozomi对网络的被动监控能力融合起来之后，帮助用户对于异常行为进行及时响应。

OT Security Fabric自动化联动：通过与Nozomi终端 等第三方解决方案商的的联动与集成，增强在检测、发现、响应异常行为，并作出自动阻截攻击的能力。

攻击欺骗：FortiDeceptor作为一个轻量级的，专门针对OT网络的蜜罐，可以快速创建一个伪造的“迷宫网络”，以诱使攻击者进行攻击，进而检测到攻击者的活动详细信息，以在攻击真正造成损害之前进行遏制。

据张略介绍，OT环境与设施安全的重要性，以及物理与安全环境的复杂性决定着工控安全解决方案必须满足在可用性、可见性、稳定性等方面的严苛需求。Fortinet提供了面向工控安全严苛环境、满足工业标准和合规性的软硬件设计，不仅符合工业环境需求，还能够在封闭网络下进行更新，确保在任何时候都能提供稳定的安全防护能力。

Fortinet关于OT安全的思考

记者了解到，在工控安全方面，Fortinet有着丰富的实施经验，在帮助用户进行安全区域划分、网络隔离设计、防火墙访问控制策略设计、安全网络规划等方面创新性见解。截止目前，Fortinet已服务于制造业中的重要企业，应用了基于生产网络等OT安全部署与实践。

Fortinet主要有三大业务，分别是：SD-WAN、云安全、OT安全。Fortinet对OT安全的重视程度，由此可见一斑。然而，我们不可否认，观察整个OT安全市场，收益还相对较小，Fortinet为何花费如此大的精力来做OT安全呢?

对此，张略表示：“在未来的某个时刻，OT工业互联网安全将会成为所有人关注的焦点。而作为一家安全厂商，我们需要在安全风险爆发前准备好，把握住OT安全市场机遇，我们愿意先进行战略性投入，为OT工业互联网安全保驾护航。”

据悉，为了更好地应对OT与IT融合带来的安全挑战，近日Fortinet与四家OT专业公司携手，扩大OT客户可用的解决方案范围。RAD，Indegy和SecurityMatters三位新的OT安全专家与长期合作伙伴Nozomi Networks一起提供了OT特定命令和协议的高级可见性，联动Fortinet 安全架构，保护OT网络在新兴的工控网络领域的安全性。这些合作伙伴通过在Fortinet的OT漏洞扫描和策略执行中添加深度数据包检查和上下文分析功能，增强了OT网络安全防护能力。

【51CTO原创稿件，合作站点转载请注明原文作者和出处为51CTO.com】