用ZTNA的思维进行OT安全建设

门前大桥下

　　制造业从自动化到数字化、智能化，已经迈入工业互联网时代，此背景下的OT网络安全建设面临着全面的挑战。尤其当万物互联打破了传统的普渡模型分层限制，网络边界已经无法像过去那样内外清晰区分。正因如此，OT网络安全建设该何去何从?

　　工业互联网时代OT安全面临四大新挑战

　　首先，工业互联网的创新业务模式使得云计算、SaaS应用在智能化生产中被大量运用(如柔性生产、订单驱动、用户定制、生产即服务等)，更有5G、WiFi6等新型的网络接入，打破了传统的普渡模型分层限制，形成了云管-IoT-监控深度集成的闭环体系，对OT网络安全建设带来新的挑战。

　　其次，制造业数字化转型的核心——IoT/IIoT迅速扩大了企业网络的攻击平面，也带来了巨大的安全挑战：例如，物联网设备被攻陷后可能导致威胁的横向移动、物联网设备身份验证泄露会造成未经授权的设备登录网络窃取数据，并导致勒索软件、DDoS攻击、欺诈邮件等威胁频发。

　　第三，边缘计算带来了网络安全性能挑战，边缘计算需要数据上行、指令下行、即时响应等，还需要对数据在边缘层进行即时分析，这种边缘交互，不但要对边缘层海量现场设备、数据进行编排，还要针对边缘层内的软硬件系统的全生命周期的运维管理，网络流量远超传统，网络安全处理能力相应受到严峻挑战。

　　最后，以灯塔工厂为代表的数字化创新带来的挑战，灯塔工厂大量使用新技术、IIoT设备与工业新协议、5G MES、5G机器视觉AI质量检测，以及更加智能化的昂贵机台越来越多，开放的新技术以及越来越多的设备对网络稳定性和网络安全有着更加苛刻的要求。

　　“一个原则”“全面能力”“一个方法”

　　一个原则

　　工业互联网时代，应对新的网络安全威胁形势，OT网络安全建设首先要遵循一个原则，即CIA倒置原则。从OT客户角度来看，生产的持续性、稳定性、不中断性是压倒一切的，这与信息安全领域“CIA”安全模型的优先顺序完全相反，IT网络安全对机密性有着较高的要求，而OT安全最在意的是可用性。

　　全面能力

　　其次是要打造全面的安全能力。工业互联网体系庞大，覆盖了IT/OT，相应的安全能力要覆盖从 IT网络到OT网络整个链条，从设备到网络到主机到数据到协议等全体系，需要借助普渡模型的层次化思维，建立起一个纵深防御体系。

　　一个方法

　　第三是采用零信任的方法。传统的“信任”理念网络安全思维已经无法应对工业互联网这种庞大、多变的体系，因其不但边缘难以定义，随时随地还会有新的“边缘”出现，一切变得“不可信”。只有基于零信任的方法进行细致的安全域以及普渡分层划分，借助安全身份认证的措施，把不可信的访问主体变成可信访问，才能扭转局面。

　　资料来源于网络，详情请点击：

什么是网络访问控制（https://www.fortinet.com/cn/products/network-access-control）

LTE/5G 无线广域网（https://www.fortinet.com/cn/products/wireless-wan-fortiextender）