整合 IT/OT 系統已成為工業經營者提升效能、鞏固競爭優勢的關鍵策略。然而，隨著 IT/OT 融合加深，安全風險也隨之升高，特別是在現場設備連網的狀況下。工業系統之所以容易遭受網路攻擊，主要原因在於：使用不安全的舊型設備（例如套用不安全的預設設定或採用過時的通訊協定）、現場設備可視性不足，以及未將 OT 網路區隔。在此情況下，全面提升網路韌性，對工業組織而言至關重要，以便有效減輕安全風險，才能充分發揮 IT/OT 融合所帶來的效益。請閱讀本文，深入了解如何在融合的 IT/OT 系統中提升網路安全性。
意識到網路安全的重要性後，各國政府開始實施更嚴格的法規，以防堵針對關鍵基礎設施發動的網路攻擊。這些法規強制要求工業組織採取網路安全防護措施，以減輕單一資安事件對國家安全造成的影響。例如，歐盟的 NIS2 指令要求關鍵基礎設施與重要服務的營運單位，必須採取適當的安全防護措施，當發生資安事件時，需向主管機關通報1。美國的《關鍵基礎設施網路安全事件通報法案》（CIRCIA）則要求關鍵基礎設施單位，必須向網路安全暨基礎設施安全局（CISA）通報重大網路安全事件及勒索軟體付款紀錄2。藉由增強網路韌性，工業經營者可確保 IT/OT 系統整合的安全性，同時協助組織適應變動環境並遵守政府法規。
增強網路韌性的 3 個考量
當面對突如其來的網路中斷時，能夠迅速應變、快速復原，同時維護日常營運與品牌形象，正是企業韌性最具體的表現。為了強化企業韌性，建立堅實的網路韌性至關重要，如此方能在遭受網路攻擊後迅速恢復正常運作。人員、政策和技術，都是影響網路韌性的要素。從網路規劃的角度來看，請考慮以下三點，以增強企業的網路韌性。
考量 1：盡可能縮小攻擊面
縮小工業網路的攻擊面，是減少系統停機時間並加快威脅回復速度的關鍵。藉由將安全漏洞局限在少數設備中，企業可更有效地保護系統安全。「縱深防禦（Defense-in-Depth）」是實現此目標的常用策略。為了有效實施此策略，我們建議採用遵循「安全始於設計（secure-by-design）」準則的網路設備，並建立分層式網路防禦架構。工業經營者應選擇符合網路安全標準（如 IEC 62443 與 NIST CSF）的網路設備。這些標準為關鍵資產、系統與設備提供基本的安全指引，讓資產擁有者能在穩固的基礎上建立安全網路架構。
建置多層式網路防護機制固然有不少好處，但許多工業組織卻因預算受限，難以全面採用這樣的防護策略。我們建議透過以下三個簡單步驟，快速實施工業網路的分層式保護方案。
-
現場設備防護：未受到妥善保護的網路關鍵資產，很容易成為駭客攻擊的目標。在關鍵資產前端部署工業入侵防禦系統（IPS），可有效即時地阻擋已知的惡意攻擊行為。此外，這些 IPS 設備還可為無法更新修補程式的舊設備提供虛擬修補功能，以增強現場設備的安全性。
-
Layer 2 和 Layer 3 網路區隔：將網路劃分為多個較小的設備群組，對每個群組實施存取控制，以減輕遭遇未經授權存取的風險。您可透過 VLAN 和子網路劃分功能，管理各個群組的網路存取和流量，確保可信賴的通訊。
-
邊界防護：IT/OT 融合使得原本隔離的工業網路不再封閉。因此，保護不同網路之間的邊界顯得格外重要。在網路邊界部署工業防火牆，有助於在 LAN 和 WAN、OT 和 IT 網路之間，建立安全的網路區隔。工業防火牆可依據您的安全需求與網路規模，對工業網路中的應用進行微區隔，以強化整體防護效果。
只要遵循這三個步驟，您可輕鬆實現分層式網路安全防護。如果您的工業應用暴露的攻擊面較大，您可進一步採取其他安全措施。例如，透過 VPN 建立安全的遠端存取通道，當工程師使用工業應用程式從遠端存取現場設備時，有效降低潛在的攻擊風險。
考量 2：加速偵測安全事件
駭客無時無刻都在想辦法繞過您的分層式防禦，要阻擋每一次攻擊並不容易。因此，網管人員必須能全面洞察整體網路，從網路設備狀態到網路流量都需一目了然。為了快速發現安全漏洞，您需採用能夠視覺化網路狀態、監控網路設備與流量，且即時警吿異常狀況的網路管理工具。
您也可在關鍵資產前端部署其他進階的網路安全解決方案，例如入侵偵測系統（IDS），以及早發現異常狀況。它們可偵測異常活動並即時通知網管人員，但不會干擾網路的正常運作。如此一來，網路可不間斷地運作，而且只需一名網管人員，便可判斷是否有任何異常活動急需處理。
考量 3：在遭受攻擊後迅速恢復運作
NIS2 指令已將營運永續性列為關鍵的網路安全風險管理措施3。遭受攻擊時，當務之急是減輕損失並維持運作。為了快速抵禦網路攻擊並恢復運作，您需建立事件通報與復原規劃的機制。定期備份網路設備的配置也很重要，這是提高攻擊後復原效率、減少重新配置工作的關鍵。此外，您須持續監控網路安全事件，經常為所有網路設備進行安全更新，以防止類似攻擊再次發生。有些網路管理工具可集中備份配置、大規模部署韌體，亦可建立可監控網路安全事件的儀表板，讓網管人員能大幅縮短網路復原時間。審慎選擇合適的工具，有助於大幅縮短復原時間，讓網路迅速恢復運作。
Moxa 安全網路解決方案助力強化網路韌性
工業組織必須部署安全的工業網路，以增強其網路韌性。然而，對 OT 操作人員而言，在不影響既有運作的前提下，簡化安全網路的部署，乃重中之重。Moxa 提供全方位的安全網路解決方案，可強化工業網路安全性，以確保前瞻效能和工業可靠度。Moxa 是少數率先取得 IEC 62443-4-1 認證的領導廠商之一，證明我們的安全開發生命週期（SDL）符合國際標準。此外，我們的多項網路產品也通過 IEC 62443-4-2 認證，進一步鞏固我們在全球工業安全領域的卓越地位。我們的成功案例，充分展現我們協助客戶提升網路設備安全性的決心。
為強化網路安全性，Moxa 乙太網路交換器具備多項安全功能，且通過 IEC 62443-4-2 SL2 認證，可全面保護設備和網路。Moxa 安全路由器和工業防火牆整合了 IPS、IDS、DPI、VPN 等進階安全防護功能，方便您打造分層式網路安全系統，讓您的關鍵資產、網路基礎設施和網路邊界，獲得最完整的保護。藉由將網路狀態視覺化，我們的管理軟體可清楚顯示設備狀態、即時發送異常警示，亦支援儀表板功能，以追蹤安全事件。
請瀏覽 Moxa 網站，深入了解我們的安全網路解決方案。
1 NIS2 指令：網路與資訊系統安全的新規範
2 2022 年《關鍵基礎設施網路安全事件通報法案》（CIRCIA）
3 歐洲議會與理事會指令（EU）第 2022/2555 號（2022 年 12 月 14 日）