為什么OT 網絡讓攻擊者有機可乘？王海濤認為首先要從 OT 網絡自身特性、弱點說起。而要真正認清 OT 網絡，則要從專業的 OT 網絡架構——普渡模型入手。普渡模型是相關國際標準、國內標準的基礎，也是企業認識、理清工業 OT 網絡最常用的參考架構。該模型根據業務功能和覆蓋范圍將整個 OT 網絡進行了層次化劃分，這種層次化的思維也把OT網絡安全問題分解為了五大類：

普渡模型層次化思維不但便于人們分解 OT 網絡安全問題，也為組織制定“各個擊破”的威脅應對策略提供了基礎。Fortinet提出了 OT 網絡安全建設的5個最佳實踐，也對應等保 2.0 工業控制系統安全要求，包括安全網絡邊界、安全網絡運維、安全計算環境和安全網絡通訊。

王海濤進一步指出，最佳實踐不僅要從 OT 網絡自身出發，還要從攻擊者視角入手找到防護薄弱點。在熟知網絡攻擊流程的基礎上，構建一套行之有效的縱深防御體系。從攻擊者最初的社會工程、釣魚郵件到載荷投遞、安裝、植入，到最后進行外聯活動和入侵破壞，整個過程時長不定、方式不同、目標各異，相應的組織對其監測和阻止的方法也必然是不同的。

企業將各司其職的這些安全產品部署在不同防護層，建立一套“洋蔥模型”一樣的縱深防御體系，把網絡安全建設統一在一起，通過部署手段間的聯動打破整個OT 網絡攻擊鏈，在威脅實施數據層的破壞之前、實質影響 OT 過程控制之前，進行有效的，及時的阻止。

目前，Fortinet 的 OT 網絡解決方案已經實現了對這套縱深防御體系的完整部署和全面覆蓋，包含安全組網、準入控制、安全運維和安全服務四大板塊產品和功能。

這四大板塊中所有產品和功能，都是基于統一的操作系統 FortiOS ，所以這些產品和功能之間能夠進行非常有效的聯動以及原生的集成，這樣也能夠幫助企業構建效益最大化的縱深防御體系。

Fortinet縱深防御方案覆蓋包含以下三大OT安全場景應用的最佳實踐，分別是：基于意圖的 OT 網絡微分段、設備及人員的準入認證與高效和簡潔的 OT 安全運維。

基于意圖的 OT 網絡微分段。該實踐采用 FortiGate、FortiSwitch 和 FortiAP等產品和功能實現網絡分段、微分段，目的是建立不同需求的邏輯安全區域和管道，結合FortiGuard 對2000多個工控協議、及60多種工控指令的深度識別能力，實現同一VLAN區域內、不同設備間流量的精準管控，避免威脅的橫向移動。

設備及人員的準入認證。該實踐采用 FortiNAC、FortiAuthenticator 和 FortiToken 等產品和功能實現移動設備、新進設備或者是維護設備等不同類型、不同區屬的網絡動態接入控制。結合網絡微分段該實踐能夠實現設備自動歸區、自動應用區域策略以及自動接入或屏蔽。同時對于人員認證，Fortinet方案通過多因素認證和多重認證結合，基于“最小特權原則”，實現對不同人員、不同用戶組和不同場景的登錄認證及應用權限的管控。

高效和簡潔的 OT 安全運維。該實踐主要基于 FortiSIEM 安全信息事件管理系統。該系統在對全局安全信息和事件廣泛采集的基礎上，通過數據的泛化和豐富化預處理，匹配預制的告警規則，進而實現對事件和告警的自動化分類和處置，協助減少業務的停機時間，提升企業的整體運維效率。

Fortinet OT安全解決方案屢次獲得 Westlands Advisory、Frost & Sullivan 等權威第三方機構的廣泛認可。這不僅僅歸功于優質的體系化產品和功能，還有活躍且不斷發展的合作伙伴生態系統，能夠有效解決 OT 網絡環境多供應商、多平臺部署、多產品共存的集成挑戰，通過開放生態和API技術等實現有效集成和高效運維。

總結來說，Fortinet OT安全解決方案具有“產品互聯和安全功能集成”、“IDS檢測與 IPS防護結合”、“專有工業加固安全設備認證”、“全球威脅情報網絡支持” 以及“擁有全球廣泛 OT 行業成功案例”等五大優勢，這亦是Fortinet OT 安全解決方案收獲行業和客戶點贊的基礎。未來，Fortinet 還將繼續看好 OT 網絡安全的發展，并持續加大在 OT 安全領域的投入，保障更多 OT 場景下客戶的網絡安全。

要了解更多信息，請關注武漢恒景科技有限公司微信公眾號，或留言聯系我們。