自 2022 年 6 月 15 日起,本網站不再支援 Internet Explorer。 請使用其他瀏覽器瀏覽我們的網站,以獲得最佳的瀏覽體驗。
分享

獲得部署縱深防禦與零信任架構的實用建議

2022年4月12日
您可管理並分享您儲存在 My Moxa 中的頁面清單
Teaser Image
分享
您可管理並分享您儲存在 My Moxa 中的頁面清單

隨著 OT/IT 融合趨勢持續升溫,幾乎所有工業組織均著手強化網路安全架構,並採取各種網路安全預防措施來保護網路運作。工業組織之所以如此積極,原因之一是,關鍵基礎設施和製造設施成為了網路攻擊的首要目標。這些擔憂不是憑空想像的,近來企業頻頻受到網路攻擊,導致生產線停工一天以上的安全事件,持續攻佔新聞媒體版面。企業一旦遭受網路攻擊,不但會蒙受經濟損失,而且經媒體報導後,也會導致聲譽受損。今日,有越來越多的公司成為勒索軟體攻擊的目標。更糟的是,即便許多產業鉅子早已採取防護措施,仍然無法逃過遭受勒索軟體攻擊的厄運。由此可見,在這個緊密互連的世界中,安全風險正急速攀升,任何組織都無法幸免於難。

為扭轉局勢,CISO 和 CSO 急於取得 OT 環境的所有資訊,並了解如何在不中斷工業運作的情況下,有效地部署網路安全防護措施。然而,此舉牽一髮而動全身,在做出決策之前,他們必須審慎評估各種方法和架構。本文將探討兩種最常見的安全架構,並分享一些實用技巧,以協助工業組織在獨特的 OT 環境中順利完成部署。

縱深防禦和零信任架構

NIST 於 2020 年公布了 SP 800-207 標準文件,其中指出,零信任架構的出發點是,僅將最低的存取權限,授予需進行網路運作的特定人員。如此可避免出現下列狀況:某人有正當理由,需要存取網路,而管理員卻賦予他無限制的存取權限,使其能夠存取不相關的網路區域,導致出現安全漏洞的機率升高。

我們建議企業採用縱深防禦方法,以便透過多個安全保護層,有效強化工業運作的網路安全性。這種架構的好處是,如果第一層保護失效,您還有第二次機會保護網路。根據 IEC 62443 網路安全標準,企業的首要之務是,依照所需的保護等級,將網路劃分為不同區域。劃分後的各個區段都自成一個區域,其中所有的通訊設備都具備相同的安全等級,也就是享有相同的保護等級。如果想要進一步加強安全性,可將一個區域加入另一個區域,並採取更嚴格的安全保護措施。

藉由合併運用上面建議的兩種方法,您可透過層層保護建立固若金湯的工業運作程序。接下來,您可部署零信任機制,以便提升防護等級,讓需要存取某個網路區域的使用者,僅限存取該特定區域。即便採用了這兩種方法,大家都知道網路安全沒有所謂的萬靈丹,因此您還須從不同角度思考,以確保真正的網路安全。

部署零信任和縱深防禦網路的範例

提升網路安全意識

除了剛剛討論的零信任機制和縱深防禦網路部署外,更重要的是提高不同部門的網路安全意識,確保所有團隊成員都能養成相同的網路安全思維。企業應鼓勵員工深入了解遵循技術安全要求的好處,以提高員工遵循這些準則的意願。

然而,這需要下列條件的配合:

  • 一致的安全事件應對,以及網路監控和管理
  • 假設所有設備和網路都會受到威脅
  • 確保已建立了穩健的恢復和應對流程

為使用者與網路設備部署強大的認證機制

工業網路中最常見的一種安全風險是,使用者憑證被盜用。如果網路未採用零信任原則,那麼惡意人士只需竊取使用者憑證,便可恣意存取網路。相較之下,在採用零信任架構的網路中,惡意人士不僅需取得設備存取控制權,同時還需具有使用者認證與授權。此外,我們建議您使用信任清單來嚴密控制網路。

  • 裝置存取控制

藉由使用信任清單、流量控管和失敗登出等功能,網路設備僅允許來自可信任設備(具安全開機功能)的使用者進行存取,並避免攻擊者重複嘗試登入(如暴力破解攻擊)。

  • 使用者認證與授權

在使用者登入時,網路設備會驗證使用者憑證、紀錄使用者嘗試進行存取的次數,並根據使用者身分配發最低的存取權限。

  • 信任清單

如果企業希望進一步強化安全性,信任清單是控制網路流量的絕佳方法。一種常見的做法是,為 IP 位址和服務埠建立信任清單,然後利用深度封包檢測技術,以及讀寫權限等功能,滴水不漏地控管網路。

利用網路分段實現縱深防禦

遠端連接是工業控制系統的重要組成要件,必須加以有效管理。另一方面,內部威脅也是網路一大隱患。企業必須採取行動,將這兩種情況帶來的安全風險降到最低。適當的網路分段,可防止惡意人士在攔截遠端連線時,或在系統遭受內部威脅時,恣意存取整個網路。

  • 網路分段

分段式網路可阻止惡意人士在網路中橫向移動。企業通常會在 IT 和 OT 網路之間部署防火牆,以建立高階網路區段。但是,如果惡意人士盜取了使用者憑證,而網路又未經過適當分段的話,等於敞開了大門,任其存取 OT 網路中的設備和網路。企業可使用幾種方法劃分網路區段,包括部署防火牆。使用防火牆的一大優點是,可協助網管人員建立不同網路區域,並僅允許經核可的流量,從一個區域進入另一個區域。此外,管理者也可藉由制定安全政策和規則(例如限定 IP 位址和僅授權使用中的埠),將網路劃分為更小、更易於管理的區段,確保僅允許必要的流量通過網路。

  • 微分段

動作控制器是工業控制系統的關鍵資產之一。當這些重要資產遭到破壞,生產線將因而停擺,甚至造成各種損失並危及人身安全。資產擁有者可部署工業入侵防禦系統,以遏阻特定區域內的網路攻擊,同時保護重要資產。

此外,持續監控網路使用者和設備的異常活動,有助於阻止攻擊繼續蔓延,並使得網路維運人員能更快恢復網路運作。

Moxa 網路安全解決方案助您輕鬆穿越網路安全叢林

35 年來,Moxa 一直是工業網路領域的領導者,致力於開發安全可靠的網路解決方案,以協助您主動發現並消除 OT 環境中的網路威脅。為實踐此一承諾,Moxa 嚴格遵循安全設計(secure-by-design)規範,並根據 IEC 62443-4-2 網路安全標準,開發具精密安全功能的網路設備。這些實用的安全功能可協助企業打造零信任網路。此外,Moxa 還利用分散式 OT 入侵防禦系統功能,和具 OT 深度封包檢測功能的工業級安全路由器,來落實工業網路的縱深防禦。

更多文章

已加入詢價列表