在数字化浪潮席卷工业领域的今天，OT （运营技术）终端安全已成为保障关键基础设施安全运营的重中之重。2024 年底，美国最大的上市水务与污水公司 American Water 遭遇了严重的网络安全事件。虽然此次攻击未对运营或水质造成影响，但 American Water 暂时关闭了客户计费平台，有 14 个州的 1400 多万人受到影响。
这一事件凸显了强化关键基础设施各个方面网络安全的紧迫性。面对停机、安全风险及财务损失，OT 安全从业者必须跳出传统的网络安全框架，重新审视运营技术安全管理（OTSM）工作。
罗克韦尔自动化将探讨一个常被忽视的重要环节——终端安全。了解终端安全如何融入整体安全战略、阅读成功案例并了解实施方法。
什么是终端安全？
终端安全帮助保护 OT 网络中的每台设备和系统免受网络威胁。本质上，它就像为工厂或设施中的每台设备配备一个保安。
● 监控设备的异常行为
●控制哪些软件可以运行
●定期更新软件
OT 中边界安全的局限性
边界安全就像 M&M 糖果。一旦黑客突破外壳，就能接触到系统的关键数据或组件。以下是几种攻击突破边界安全的方式：
●网络钓鱼：员工收到看似来自合法供应商的邮件，内容涉及关键 OT 设备软件更新。如果员工点击邮件，就会无意中在设备上安装恶意软件，从而让攻击者进入 OT 网络。
●供应链攻击：制造工厂从不满足安全规范的供应商处购买工业控制系统和可编程逻辑控制器，恶意固件会危及他们的系统。
●内部威胁：废水处理厂的工程师在浏览个人网站时，意外下载恶意软件到工作计算机，并将其引入 OT 网络。
终端管理与边界安全的对比
许多组织并没有采用强有力的网络安全措施来管理 OT 环境中的终端。相反，他们把重心放在网络边界或基于网络的安全策略上，这些策略侧重于通信安全，却忽视了终端配置，从而使终端成为攻击的薄弱环节。
因此，多层次的安全防护至关重要。多重防护层让攻击者更难突破，有力保护组织的关键数据和基础设施。
监控工具与终端安全的对比
很多人倾向于使用被动异常检测工具进行 OT 安全管理，因为它们能够监听网络内的日常流量来检测异常行为。通过观察终端行为来识别风险迹象的方法实际上为时已晚，因为此时网络上已经发生了危险事件。监控工具无法有效降低终端的安全风险，而终端正是最需要加强的环节。
好消息是，OT 安全终端管理解决方案能够显著减少攻击面，帮助保护那些易受恶意软件、黑客和其他网络风险攻击的目标设备。但要获得最佳效果，企业需要改变思维方式。
OT 安全管理：整体方法
OT 安全管理为客户提供了解组织 OT 资产、系统和网络的全面视角。全面的 OT 安全策略需要多层防护来确保基础设施的安全。以下是整体安全战略中的其他关键层面：
●网络分段：通过防火墙、虚拟局域网（VLAN）和隔离网络来隔离关键系统，限制潜在网络攻击的影响。
●漏洞管理：通过渗透测试等评估识别威胁，并通过打补丁和软件更新来减少这些威胁。
安全政策：为组织制定 OT 安全措施，涵盖最佳实践、可接受的使用方式和访问控制。
●事件响应计划：引导组织有效应对网络攻击，制定检测与响应程序，包括隔离、清除和恢复等策略。
终端安全是 OT 安全管理的核心部分，它保护工业控制系统和可编程逻辑控制器免受恶意软件和其他网络威胁。终端安全应对威胁的方式包括：杀毒软件、入侵检测系统（IDS）和防火墙。
为什么终端保护 对 OT 安全管理至关重要
终端保护是 OT 安全管理的基石。通过确保 OT 环境中每台设备的安全，可以大大减少攻击面，提升整体防御水平。
终端保护可通过以下方式减少攻击面：
●定期打补丁：及时应用安全更新和补丁，修补恶意软件可能利用的已知漏洞。
●应用白名单：限制未经授权的软件执行，防止恶意代码的植入。
●设备控制：控制对外部设备（如 USB 驱动器等）的访问，降低恶意软件传播的风险。
●加强系统配置：实施安全的默认配置，关闭不必要的服务，减少攻击面。
减少 OT 环境中的攻击面
很多 OT（运营技术） 所有者和运营商不愿意在终端使用代理。但问题是，直接连接终端打补丁、调整并对其进行跟踪和管理，能够显著降低风险。
通过采用这种强有力的终端管理解决方案，OT 安全从业者能够大幅降低风险，并节省大量时间和成本。一家大型制药公司的项目后期分析显示，他们通过这种方法，节省了超过 60 万美元的劳动力成本，同时将安全成熟度提升了一倍。
这种方法的核心在于改变现状，接受代理和无代理的分析，并将其应用到目标资产上。企业还需要将资产清单自动化，在没有补丁的情况下灵活运用补充控制措施。同时，利用公司总部或租赁的云平台的可见性，将稀缺的技术资源扩展到更广泛的工业资产。通过这种以资产为中心的方法，在企业的日常决策中融入 OT 背景，确保风险消除举措准确落实到最需要保护的资产。
减少 OT 环境中攻击面的实践：
●实施多层防御策略
将终端保护与防火墙、入侵检测系统和网络分段等其他安全措施结合
●定期进行安全评估
持续评估终端安全措施的有效性，识别需要改进的地方
●及时了解最新威胁
跟踪攻击途径和漏洞，确保防御措施始终有效
通过优先考虑终端保护并采用全面的 OT 安全方法，组织能够大大降低网络攻击风险，确保运营的安全性和可靠性。
一家制药公司通过加强终端管理，显著提升了网络安全防护。通过增强特定于资产的可见性和控制力，他们发现了可能导致严重网络攻击的关键漏洞。
终端管理帮助他们：
●发现数百个未打补丁的关键漏洞，如 NotPetya 和 WannaCry
●识别出超过 100 个固件版本存在已知漏洞的 PLC
●在两周内将整体网络风险减少了一半
●在关键资产上的重大风险（如漏洞的影响）减少了近三分之二
通过优先考虑并实施终端管理，企业及时识别并解决了这些关键风险，这种主动出击的方法显著提升了安全性，防止了潜在的灾难性网络事件。
一家排名北美前五的石油天然气生产商请罗克韦尔协助保障其各种 ICS 和 DCS 供应商系统的安全。公司高层意识到他们面临的脆弱性，并迫切需要一个供应商中立的解决方案，以帮助他们：
●增强 OT 环境的可见性
●管理各种供应商系统
●在人员有限的情况下实施相关政策和流程
通过全面评估和采用“立足全球，因地制宜”的方法，能源公司通过终端安全取得了显著成效：
●深入了解 OT 环境
●识别并堵塞漏洞
●快速应对威胁
这种增强的可见性和自动化修复能力提高了公司的整体安全防护，降低了操作风险，强化了对网络攻击的防御。
如何在 OT 环境中实施终端保护
OT 安全守卫者的目标是将中断的频率、持续时间和影响程度降至最低，企业需要尽最大努力缩减所有资产的攻击面。
简而言之，企业需要将 OT 系统的权限最小化、定期打补丁、添加诸如杀毒软件和白名单等最先进的网络安全工具，并做好备份计划。
同时，遵循标准的安全流程，如用户/帐户管理、监控和检测。按照以下五个步骤建立 OT 环境中的终端保护：
●创建资产清单并识别安全漏洞和差距
●制定保护策略，优先保护关键系统
●在相关环境中部署这些策略。分阶段实施，减少干扰
●持续管理关键资产，确保防御始终有效
●培训员工和专业人员，帮助他们识别可疑活动
OT 终端打补丁与强化
新技术令人兴奋，但企业必须清楚认识到，由于多年来未能及时打补丁和强化终端，OT 网络安全领域面临严重的技术风险亟需弥补。
唯一能够充分保护我们资产的办法就是直接解决问题。直接管理终端可以有效提供系统级最小特权详情报告，帮助锁定并去除不必要或不安全的软件，从而大幅增强安全性。这种方式能显著降低发生重大故障的风险以及对 OT 资产的冲击。
终端安全是全面 OT 安全管理计划的核心。通过确保 OT 环境中每台设备的安全，企业可以显著减少攻击面，提升整体防御能力。
通过全面评估当前的终端安全状况、识别漏洞并采取适当的对策，企业可以增强防御，保护资产不受威胁。
