教程篇(7.2) 01. 介绍 & OT安全 ❀ Fortinet 网络安全架构师 NSE7

在本课中，你将了解运营技术（OT）。

完成本课程后，你应该能够实现上图显示的目标。

在本节中，你将了解什么是OT。

OT是通过直接监控和控制工业设备、资产、流程和事件来检测或导致变化的硬件和软件。

　　OT安全可以定义为用于保护人员、资产和信息的做法和技术。OT安全性还可用于启动企业OT系统的状态更改。

　　例如，电力公司使用OT来降低成本，提高运营效率，监测和控制发电和配电。

OT用于监控、控制、保护和操作不同的物理设备。

　　OT是独一无二的，因为它存在于许多行业，如制造、汽车、医疗系统、军事系统、电力、炼油厂、管道、化学品、水等。

　　OT也可以在所有类型的环境条件下运行，包括最恶劣的环境条件。

上图显示了工业工厂的高级企业视图。它可能是电网控制中心、风电场、石油钻井平台、食品和饮料厂或海港。从根本上说，所有这些类型的运营网络往往都具有类似的技术和结构。

　　这两个部分代表了企业的IT端和企业的OT端的简化模型。每个网络由不同的子网络组成。在IT部分，你可以看到内部网和与远程站点或分支的远程连接。在那下面，你会看到一个DMZ网络，将OT方面从IT方面、流程网络、控制网络和现场网络中分割出来。

IT和OT共享功能，如TCP和IP通信以及其他允许远程访问设备和监控资源的协议。IT和OT还运行类似的操作系统，如Windows和不同的Linux发行版。

　　对于IT来说，安全是指确保系统和数据的机密性、完整性和可用性的能力。对于OT来说，安全是指人、设备和环境的身体健康，防止对人和物的伤害和损害。

OT的主要组成部分在上图上。

　　● ICS由用于监测和控制工业过程的系统组成。

　　● SCADA系统从工厂、工厂或其他偏远位置的各种传感器收集数据，并将这些数据发送到中央计算机进行控制。

　　● PLC将传感器和远程终端单元（RTU）连接到SCADA系统。PLC实时收集和传递数据进出SCADA系统。

　　● IED向其他电力系统设备发出命令，如断路器和电容器组。它接收来自传感器和其他电力设备的数据。

ICS是OT的主要组成部分。ICS包括管理各种工业流程的不同类型的设备、系统、控制和网络。最常见的是SCADA系统和分布式控制系统（DCS）。

SCADA是一个实时收集数据的系统，以协助OT环境中的设备控制和监测条件。它包括传感器、PLC、RTU、DCS等。SCADA是OT系统不可或缺的组成部分，因为它可以帮助你可视化和控制OT环境。

运营技术的最小组件是部署在OT设备上或附近的各种传感器、监视器、执行器和其他技术。该设备无处不在，包括发电机、管道、风扇、可编程逻辑控制器（PLC）、RPU、工业机器人等。这些传感器是lloT的例子。

在本节中，你将了解OT网络的Fortinet安全架构。

上图显示了所有可以集成到Fortinet安全架构的产品。所有这些产品都由FortiGaurd服务提供支持。

OT框架代表核心功能，由整个组织结构中常见的网络安全活动、预期结果和最佳实践组成。这个OT安全框架主要由以下五个并发和连续功能组成：

　　● 资产识别/管理

　　● 访问控制

　　● 网络分割

　　● 日志记录和监控

　　● 风险管理

资产识别和管理包括任何ICS的以下活动：

　　● 识别资产和创建资产库存。资产识别使你能够记录OT网络上的所有硬件和软件。

　　● 定位所有关键资产。你可以记录所有关键资产的位置。

　　● 识别关键资产正在使用哪些网络协议。这是通过使用工具完成的。

　　● 网络拓扑的创建。通过资产识别和管理活动收集信息，你可以创建准确的网络拓扑。

　　NGFW、FortiNAC和FortiSIEM可以在OT网络中使用，以实现上较显示的所有目标。

OT环境中访问控制的主要目标是轻松安全地访问资产。你不想允许不良行为者、供应商或工作人员访问所有资产。你希望只允许经批准的运营商安全地访问允许的应用程序。通过在OT环境中实施访问控制，你将为运营商提供轻松、最重要的是安全地访问已批准的应用程序。

　　FortiAuthenticator、FortiNAC和FortiClient以及FortiToken可以帮助你在环境中实现访问控制。

分割可以通过执法边界或建立符合你的OT环境要求的区域和管道来实现。最重要的边界是IT/OT边界，因为它将确定通过独特的接入点（AP）访问的OT安全周界。在NERC-CIP标准中，这个AP被称为电子接入点（EAP），这是一项要求。所有入站和出站通信，包括来自公司网络的访问、远程连接或位于云中的应用程序，都应通过EAP进行，使其成为基础设施的最关键部分。

你需要在IT和OT环境中完全的日志可见性。日志记录和报告是框架中的关键要素，因为它有助于审计师进行威胁搜索和发现OT网络可能存在的威胁。

　　在审查事件时，单视窗窗格方法的优势是关键。利用Fortinet安全架构，运营商和事件响应人员可以链接访问日志、设备信息和网络流量，以便在事件后取证期间提供完整的画面。

为任何组织规划威胁追踪策略是一项关键任务。审计员应该能够遵循一套通过报告寻找威胁的准则，并及时应对威胁。FortiSOAR是一种可用于自动修复报告事件的产品。

　　风险管理也是关于在发生之前评估可能出错的事情。你需要考虑如何操纵工业控制系统，以及物理、环境和财务后果。这将驱动你想要实施的控制类型。

　　FortiManager和FortiAnalyzer可以为Fortinet网络安全范围提供安全评级。它将根据ICS指南提供评级，如NIST CSF或CIS前20名最佳实践。

在本节中，你将了解带有Fortinet架构设备的OT网络的工业架构。

公用事业或火车运营商等资产所有者受到机构的监管，这些机构可以通过机构、机构和监管机构发布的政策和指令强制遵守多项标准。

　　该表显示了ICS最重要的标准和指南。知道名字都至关重要。最重要的一套标准是多行业的网络安全标准（IEC 62443）。IEC 62443专门针对OT安全，适用于所有工业部门。Fortinet围绕它建立了其参考架构。

NIST网络安全框架整合了行业标准和最佳实践，以帮助组织管理其网络安全风险。该框架不仅帮助组织了解其网络安全风险，如威胁、漏洞和影响，还有助于如何通过定制措施减少这些风险。

IEC 62443标准引入了适用于区域和管道的安全级别（SL）概念。安全级别是通过研究特定设备，然后根据其在系统中的位置确定它应该具有的安全级别来定义的。安全级别分为四个不同的级别：

　　● 第1级：随意暴露——无意的操作员错误

　　● 第2级：资源少的蓄意攻击

　　● 第3级：具有中等资源的故意攻击

　　● 第4级：拥有大量资源的蓄意攻击

　　如果你正在对抗拥有广泛资源和能力的网络勒索集团，那么你应该努力达到4级安全级别。

　　定义区域的安全级别目标后，你应该确定区域内的设备是否可以满足相应的安全级别。如果他们不能，有必要计划哪些对策可以帮助实现SL目标。这些对策可以是技术（例如防火墙）、管理（例如政策和程序）或物理（例如，锁门）。

OT传统上是根据普渡模型细分的。OT安全已根据这些操作需求映射到所需的细分：使用、灵活性、物理流程的可用性和安全。

　　所有重要的实物资产都放置在实体工厂的地板上。这些实物资产配备了传感器(lloT)。

　　工厂车间被分成控制区域，控制区域由过程自动化元素、控制过程的服务器、PLC、RTU和执行过程的IED组成。控制区区域位于远离操作和控制区的地方。

　　运营和控制区由服务器、工程工作站、操作员工作站和DMZ组成，你可以在其中找到共享服务、管理和分析、历史记录以及OT和IT之间共享的数据。

　　企业区是传统IT驻留并与外部互联网连接的地方。

在上图中，你可以看到如何将安全性应用于普渡模型的每个部分。

　　控制区有三个层次。0级将有lloT设备。这些设备需要从1级和2级进行分割。

　　1级通常有连接到以太网交换机的PLC、RTU和IED。这些设备的可见性至关重要，可以使用FortiGate或FortiNAC或两者一起完成。

　　在2级，你将找到控制1级PLC、RTU和IDE的流程和程序。有必要用防火墙分割对这些服务器进行细分，甚至微分，以及包括应用程序控制和虚拟修补的策略。此外，FortiEDR可以部署在这些服务器上，以确保直接在服务器上的流程可用性和安全性。

　　3级是制造区，3.5级是管理区。在3级，你会发现服务器和工作站。这些服务器用于身份验证、工程工作站、操作员工作站、OT应用程序和供应链管理应用程序。3.5级包括用于管理运营的服务器。在这些区域，下一代防火墙（NGFW）和切换是解决方案的基本要求。身份验证、双重身份验证和策略控制（包括设备、用户、应用程序和协议控制）是必须的。

　　随着IT和OT的融合，你必须考虑普渡模型第4级和第5级的管理和高级威胁保护。高级威胁保护包括SIEM和SOAR，以及IOC和威胁情报。