随着数字转型以及OT/IT融合的加速推进，针对于关键基础设施和其他OT系统的攻击也飞速增长。如今，水处理设施、能源供应商、工厂和化工厂等支撑着人们日常生活的基础设施都陷入了风险之中。恶意分子对OT系统的干扰或操纵会对公民、环境以及经济造成真实的物理伤害。

然而，与信息技术（IT）领域相比，OT领域安全工具的发展要落后许多。人们普遍对用于保护工业环境远程访问的常见安全工具缺乏足够的信心。

工业环境中的传统安全策略强调一个“隔离”，不仅要与互联网隔离，与其他内部系统也要保持隔离。然而随着时间的推移，OT系统对外界的开放程度同网络威胁的数量不断增长，普通的隔离策略已不再适用于如今的OT环境。此时由于缺乏专门的安全工具来应对OT系统所面临的威胁，许多组织不得不将多种IT解决方案拼凑起来使用，结果却往往不尽人意。

由于一些重要原因，专为IT环境设计的安全解决方案无法满足OT系统的实际需求。

原因 1：比起保密性，OT系统更需要优先保障可用性

尽管IT和OT都致力于确保系统的机密性（对敏感数据和资产的保护）、完整性（数据在其生命周期内的准确性）以及可用性（资源和基础设施的可访问性与可响应性），但它们对于CIA三要素的重视程度却存在差异。

•IT系统中优先级最高的是保密性。IT处理的对象是数据，并且IT 的利益相关者更加关心这些数据的安全性，从商业机密到用户和客户的个人信息都涉及其中。

•OT系统中优先级最高的是可用性。OT操作的是重型设备以及工业流程，对于它们而言，可用性就等同于操作过程的安全性。在工业领域中，当涉及到例如高炉或工业锅炉这样的重型设备时，停机时间是无法接受的。这是因为在停机期间，生产过程中断，可能会导致诸如温度失控、压力积聚或材料损坏等严重的安全问题。因此，OT系统的首要目标要是确保设备的持续可用性，进而确保工业过程的安全性和稳定性。

在工业环境中，OT组件主要关注的是实时的操作以及工业过程的连续运行，因此安全性并不是最初的关注点。所以它们大多数在设计阶段就没有将安全需求纳入考虑。同时这也反映着IT环境和OT环境的本质差异，使得IT安全工具在OT环境中的实施变得具有挑战性。

原因 2: OT系统运行于那些始终保持开启状态的遗留系统上

对于在IT领域工作的人来说，很难想象现代的IT环境中仍然使用着过时的操作系统（如Windows XP）或几十年前的主机会是怎样的。然而，在OT领域，这种情况却是现实存在的。无论是出于利润还是出于安全考虑，OT系统始终要以最高的效率运行。为了实现这一效果，OT组件要比其它组件的设计寿命长得多。

对于几乎所有基于IT的工具来说，安装、更新和修复活动都需要停机来进行。但在工业环境中，停机时间是绝对无法接受的。对于OT系统来说，停机时间就意味着将安全性置于风险之中。

另外，在OT环境中，许多传统系统和设备都是过时的，它们通常无法与现代的安全或身份验证工具进行有效的通信，从一开始就限制了这些安全平台的实际效率。如果没有像Cyolo这样的安全解决方案，对传统的应用程序进行改造以支持现代的安全协议，那么IT工具在保护OT系统方面的能力就一定会受到严重限制。

原因 3: IT工具需要连接网络

IT安全解决方案通常需要外部连接，因为服务器必须与应用程序（以及用户）进行数据交互才能执行其基本功能。相比之下，OT系统对于如何以及何时与互联网连接通常具有特定的要求，即使是在数字化转型的当下也是如此。然而并非所有情况下都可以对IT工具进行配置以满足这些要求。

在工业环境中，OT系统负责运行和监控物理设备以及工艺流程，而IT系统则负责处理和管理数据。所以这两个系统可以通过接口进行通信和交互，无需建立持续的连接。这样一来，OT环境就可以在充分利用自动化、生产数据以及其他数字化转型工作优势的同时，又避免为不法分子创建不必要的访问点。

原因 4: OT系统高度多样化

IT世界普遍采用了TCP/IP协议来作为通信的标准协议，而OT世界则没有达成类似的共识。OT系统中所使用的通信协议多种多样，并且这些协议通常由原始设备的制造商来决定。

以可编程逻辑控制器（PLC）为例，如果一个OT操作员从多个供应商处购买PLC设备，每个供应商在满足IEC-61131标准方面可能会采用不同的方法和实现方式。那么结果就是，OT工程师需要学习和维护与供应商数量相同的软件和协议类型。

即使是在OT领域内部，不同的通讯协议之间也经常互不兼容，所以就更不用提它们与IT安全工具中常用协议的兼容性了。每个OT环境通常都会有其独特的通信协议与设备要求，所以很难找到某一具体的IT安全工具来完全覆盖特定环境中所有OT用例的需求。

原因 5: OT系统是脆弱的

由于其多样性以及持续运行的特性，基本的IT流程和安全最佳实践很容易对OT系统的正常运行带来干扰。

• 即使是被动扫描，也可能会使脆弱的OT系统被迫离线。随着扫描范围的缩小，以及扫描活动被限制，只能在离线系统上进行的同时，安全覆盖范围也会降低到无法接受的水平。

• 通常在终端设备上显示的登录横幅（logon banners）可能会干扰关键OT系统的自动登录过程。

由于在OT环境中实现可见性更加困难，所以在部署新工具之前，往往很难预测其后果。因此在引入新工具之前，OT系统通常需要进行更加广泛的测试和验证。

OT环境需要特有的解决方案

俗话说的好，战略先于工具。在OT环境中工作的IT团队以及安全人员必须提前花费时间了解来并接受OT的理念和需求，从而与OT相关利益相关者合作，共同定义最佳实践。

尽管如此，合适的工具仍是十分必要的。网络安全市场中充斥着噪音与误导。IT和OT领域种的利益相关者必须共同在承诺使用特定工具或供应商之前做出明智的决策。

OT领域应在不危及工人、运营以及周遭人安全的前提下，充分利用现代安全控件所带来的好处。选择正确合适的解决方案不仅可以加强安全防御、抵御潜在的攻击，同时也能够使安全对创新起到推动作用，而不是阻碍其发展。

数世咨询点评

在当今的数字化时代，IT/OT融合早已成为了发展的主旋律，尤其是长达三年的的新冠疫情更是进一步掀起了“远程办公”的浪潮，促使各行各业对数字化工具和协作平台需求的激增。

尽管融合过程中会面临各种已知或未知的风险，但其所带来的效能及收益等方面的数字化红利却也是无法拒绝的，IT/OT融合将会是历史的必然走向。

由于OT与IT的一些本质差异，IT安全解决方案总是无法完全适用于OT环境。不仅如此，OT面临的网络威胁更是会向着多样化、复杂化并且难以预测的方向发展。因此OT系统的安全问题更需要一种紧密集成、可扩展、高灵活且富有弹性的解决方案，这就需要企业明晰IT与OT安全间的差异以及自身独特的安全需求，进而采取有针对性的措施来进行整体的安全布局。

另外，考虑到OT威胁的严重性，OT组织在进行数字化转型的同时更是要抛弃基于边界的安全方法，采取零信任的安全理念，坚守持续验证已经最小权限原则。

* 本文为茉泠编译，原文地址：https://thehackernews.com/2023/06/5-reasons-why-it-security-tools-dont.html

声明：本文来自数世咨询，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。