什么是 IT/OT 融合？
中型企业面临着企业级威胁，却没有企业级预算。IT/OT融合将信息技术与运营技术系统集成，从而创建统一的可视性。 Open XDR 平台和人工智能驱动 SOC 各项能力可以实现全面保护。
这位制造业高管盯着生产车间的监视器，眼睁睁地看着数百万的收入每小时蒸发。最初只是一次简单的电子邮件钓鱼攻击，却不知何故侵入了他们的工业控制系统，导致整条生产线瘫痪。听起来很熟悉？这种情况在2024年反复上演，攻击者发现IT和OT网络之间的传统界限已经悄然消失。
亲身体验人工智能驱动的安全！
探索 Stellar Cyber 的尖端 AI，实现即时威胁检测和响应。立即安排您的演示！
了解 IT 和 OT 系统之间的根本区别
信息技术与运营技术之间的区别比大多数安全专业人士意识到的要深。这两个领域最初独立发展是有充分理由的，但如今，这些理由却在融合环境中造成了危险的盲点。
信息技术专注于业务流程、数据管理和通信系统。您的电子邮件服务器、ERP 系统和云应用程序都属于这一领域。IT 团队优先考虑在可接受的停机时间内确保数据机密性和业务连续性。
运营技术控制着物理过程和工业设备。SCADA系统、可编程逻辑控制器和人机界面都在此领域运行。OT团队将安全性、可用性和实时响应置于一切之上。
工业控制系统架构图显示了 IT 和 OT 网络与安全角色和控制的集成。 https://www.opensecurityarchitecture.org/cms/library/patternlandscape/293-sp-023-industrial-control-systems
这些根本性的差异所带来的集成挑战远不止技术兼容性。仅从系统生命周期来看：IT 部门每 3-5 年更新一次硬件，而 OT 设备通常运行 15-25 年。补丁更新计划也反映了这种差异；IT 部门每月都会进行安全更新，而 OT 系统仅在计划的维护时段内接收更新。
但这对您的安全态势有何影响？因为攻击者不尊重这些传统界限。
融合环境中日益增长的威胁形势
遗留基础设施漏洞造成攻击通道
大多数工业环境依赖于老旧的OT系统，这些系统早于现代网络安全概念的出现。这些系统的设计初衷是提高可靠性和效率，而非安全性。默认密码、未加密的通信和过时的操作系统构成了攻击者日益频繁利用的入口点。
2024年，针对西班牙一家生物能源工厂的Ransomhub攻击完美地展现了这一漏洞。攻击者获得了SCADA系统的访问权限，加密了超过400 GB的运营数据，并持续控制着关键基础设施。此次攻击之所以得逞，是因为工业协议的设计初衷并非抵御复杂的网络威胁。
您的环境中目前有多少未打补丁的工业系统正在运行？大多数组织都无法自信地回答这个问题。
技能差距加剧了每一项安全挑战
IT 专业人员了解网络、应用程序和数据流。但如果你问他们梯形逻辑编程或工业通信协议，他们只会一脸茫然。相反，OT 工程师擅长流程优化和设备维护，但往往缺乏网络安全专业知识。
这种知识缺口会引发危险的假设。IT 团队在不了解 OT 运营需求的情况下实施安全控制。OT 团队在不考虑安全影响的情况下进行网络变更。双方对融合攻击面的可见性都不完整。
结果如何？两个团队都无法充分调查或有效应对安全事件。
协议漏洞导致横向移动
Modbus、DNP3 和 EtherNet/IP 等工业通信协议旨在实现可信网络内的可靠通信。它们缺乏 IT 安全团队习以为常的内置身份验证、加密或访问控制功能。
当这些协议通过融合举措进入IT网络时，它们就为横向移动创造了通道。攻击者利用这些路径从受感染的IT系统进入OT环境，通常不会被察觉。
最新分析显示，47% 的 OT 资产攻击向量最终可追溯至 IT 网络漏洞。这一统计数据反映出，缺乏适当安全控制的融合会放大两个领域的风险。
网络架构图显示了分层 IT 和 OT 系统与防火墙、核心层和访问单元的集成，以实现 IT/OT 融合。 https://www.controleng.com/core-architecture-strategies-for-it-ot-network-integration/
事件响应协调失败
大多数组织为 IT 和 OT 环境分别设立事件响应团队。这些团队使用不同的工具，遵循不同的流程，并根据不同的优先级开展工作。当事件跨越两个领域时（融合事件不可避免地会出现这种情况），协调就会中断。
2024年江森自控勒索软件攻击事件就体现了这一挑战。此次攻击扰乱了IT系统和楼宇自动化网络的运行，需要多个拥有不同专业知识和优先级的响应团队进行协调。
您的组织能否有效协调跨 IT 和 OT 领域的事件响应？大多数组织都做不到，因为他们从未测试过这些场景。
IT 和 OT 融合的战略要务
数字化转型需要数据集成
现代制造业需要实时洞察生产流程、供应链和质量指标。这种洞察依赖于将 OT 数据与 IT 分析平台相集成。实现这种集成的组织能够通过预测性维护、优化生产计划和改进质量控制获得竞争优势。
通过统一监控提高运营效率
IT/OT融合实施的主要优势（基于行业研究）
构建安全的IT/OT融合架构
跨域实施零信任原则
NIST SP 800-207 零信任架构提供了一个用于保护融合环境的框架。其核心原则“永不信任，始终验证”同样适用于 IT 和 OT 系统。然而，实施需要了解每个领域的独特需求。
OT 环境的零信任必须兼顾实时运营需求和遗留系统的限制。网络微分段至关重要，但分段必须保留必要的运营通信。多因素身份验证可以保护接入点，而备用接入方法则可确保紧急情况下的运营连续性。
受控接口的网络分段
适当的网络分段可以隔离 OT 系统，同时确保必要的数据流畅通。工业隔离区 (iDMZ) 在 IT 和 OT 网络之间提供受控接口。这些区域可以过滤通信、检查流量并记录所有交互，以进行安全监控。
分段策略应与普渡模型保持一致，在企业系统、制造运营和现场设备之间建立清晰的边界。每个边界都需要根据互联系统的关键程度和风险状况实施适当的安全控制。
通过统一安全运营 Open XDR
传统安全工具难以应对融合环境，因为它们缺乏对 IT 和 OT 领域的可见性。 Open XDR 平台通过规范化来自不同来源的数据并应用人工智能驱动的分析来应对这一挑战，从而检测整个攻击面上的威胁。
安全运营中心的核心功能（SOC）：安全监控、威胁检测和事件响应。 https://fidelissecurity.com/cybersecurity-101/learn/what-is-soc-security-operations-center/
现代人工智能驱动 SOC 这些功能使安全团队能够通过统一的控制台监控两个域。机器学习算法可以检测跨 IT 和 OT 系统的异常行为，识别出特定领域工具可能遗漏的威胁。
将威胁映射到 MITRE ATT&CK 的 ICS 威胁
MITRE ATT&CK 工业控制系统框架提供了一种结构化方法来理解和防御融合环境威胁。该框架映射了与 OT 环境特别相关的对手战术和技术。
组织机构应使用此框架评估其防御覆盖范围，并识别检测能力方面的差距。定期进行差距分析，确保安全控制措施既能应对传统的 IT 威胁，也能应对特定于 OT 的攻击媒介。
中型市场组织的实施策略
分阶段实现融合
中型企业很少拥有进行全面融合改造的资源。分阶段实施的方法能够帮助企业在有效管理风险和成本的同时实现效益。
第一阶段重点是建立基本的可视性和网络分段。组织需要清点所有连接的设备，实施网络监控，并在 IT 和 OT 网络之间创建受控接口。
第二阶段整合了安全监控和事件响应功能。统一 SIEM 平台开始从两个领域收集数据，响应团队建立协调程序。
第三阶段通过数据集成和高级分析来优化运营。企业将实施预测性维护，优化生产流程，并充分实现融合优势。
建立跨领域专业知识
成功需要培养横跨 IT 和 OT 领域的专业知识。组织可以通过交叉培训项目、聘请混合型专业人员或与专业安全提供商合作来构建这种能力。
培训计划应涵盖IT专业人员的OT基础知识和OT人员的网络安全基础知识。IT专业人员和OT人员都需要了解工业协议、流程安全要求以及业务连续性方面的考量。
供应商选择和集成
选择了解 IT 和 OT 需求的供应商。安全解决方案必须支持工业协议、满足可用性要求，并与现有运营系统集成。
评估供应商时，应考虑其在工业环境中的业绩记录，而不仅仅是传统IT安全市场。寻找能够提供统一可视性且不影响运营需求的解决方案。
安全IT/OT集成的未来
随着数字化转型计划的扩展，融合趋势正在加速。掌握安全集成的组织将获得可持续的竞争优势。而那些忽视融合安全性的组织将面临日益复杂的威胁带来的生存风险。
5G、边缘计算和工业物联网等新兴技术将进一步模糊IT和OT领域之间的界限。安全策略必须不断发展以应对这些新现实，同时保持推动业务成功的卓越运营。
成功的企业不应将IT/OT融合视为一个技术项目，而应将其视为企业管理风险、运营和竞争定位方式的根本性转变。那些以安全为核心、战略性地推进这一转型的企业，将在日益互联的工业格局中脱颖而出，变得更加强大。
您准备好迎接这场变革了吗？问题不在于您的组织是否会实现IT/OT融合，而在于您能否掌控这一进程，还是沦为其中的牺牲品。
方面 | 信息技术（IT） | 运营技术（OT） |
主要焦点 | 业务流程和数据管理 | 物理过程和工业控制 |
系统可用性 | 可接受 99.9% 的正常运行时间 | 需要 99.99% 的正常运行时间 |
安全优先 | 机密性、完整性、可用性（CIA） | 可用性、安全性、完整性 |
网络协议 | TCP/IP、HTTP/HTTPS、SMTP | Modbus、DNP3、Profibus、以太网/IP |
生命周期 | 3-5年 | 15-25年 |
数据类型 | 商业交易、文件、电子邮件 | 传感器数据、控制命令、警报 |
实时要求 | 近实时可接受 | 毫秒级响应时间至关重要 |
人员 | IT管理员、软件工程师 | 工程师、技术员、操作员 |
修补计划 | 每月定期补丁 | 仅限计划维护时段 |
系统架构 | 以网络为中心，云支持 | 以流程为中心，传统上采用隔离 |
主要风险 | 数据泄露、恶意软件、违反合规性 | 生产停工、安全事故、设备损坏 |
监测方法 | 日志分析、端点监控 | SCADA系统、HMI仪表板 |
