過去兩年全球各大行業遭受網路攻擊頻繁，而製造業更成為遭受網路攻擊次數最多的行業之一，其中原因主要是工業控制系統（ICS）逐步連上了網際網路，讓各種工業級場域的營運技術（OT）和資訊技術（IT）進入多網融合的各種應用，使得以往封閉式的OT基礎設施需要面對來自網路世界的安全威脅。然而，現代製造業想要保持競爭力，就不能再與外界隔絕，而是要運用連網的種種優勢。
本文將從網路安全的角度探討兩個智慧製造應用場景： （1）即時監控設備互連的大規模設施及（2）整合多個網路以實現最佳化管理，所面臨的關鍵挑戰，以及提供如何保護這些應用場景免受網路威脅的建議。
針對智慧製造系統而來的網路威脅
雖然工業4.0的興起促使OT和IT基礎設施的連結和多網融合，藉由智慧製造實現更高的生產效率和創造更大的價值，但也使過去一直處於封閉環境運作的OT系統開始承受各種網路攻擊的風險，在工業領域的網路威脅數量持續增加。再者，製造業對停機時間容忍度極低的特性，更讓製造業成為熱門的網路攻擊目標。
針對成為網路攻擊目標的工業應用深入研究後，可以發現一些共同的挑戰及需要迫切改進的範疇。讓我們用兩個實際的工業應用案例探究網路威脅如何影響相關運作，以及在網路攻擊事件中如何提升其防禦力和減低風險。
案例1：大規模設備的即時監控及控制系統應用
在大規模工業網路中使用即時監控和控制的相關應用，會越來越容易受到網路威脅。這些應用通常需要大規模部署許多連網設備，以利從現場收集、傳送和分析大量數據並將其傳送到控制中心，因此，必須關注以下情境中的安全風險：
- 生產場域內有數百個可編程邏輯控制器（PLC）和感測器需要連接起來，以利收集有關製造設備狀況和優化能源使用的相關數據。這些設備每個都是一個節點，可能會成為網路攻擊的目標，例如攻擊可以透過未經授權的訪問或惡意軟體入侵。
- 當這些設備連結的網路逐步擴張，如果沒有將網路作妥善的分割和隔離，只要有一個節點受到攻擊，整個網路就可能受到威脅。
在部署這些應用時，操作人員應該考慮同時在系統網路中採用縱深防禦的機制，包括選擇安全的設備、構建堅固的網路防禦層，並需要識別網路狀態，以確保網路的安全性和可用性。
選擇通過國際安全認證或基於國際標準（如IEC 62443和NERC CIP）設計具有安全功能的設備，則可保障新增網路節點的安全基礎。網路區段分割和威脅預防則可提供另一層保護，以防突如其來的入侵和避免威脅蔓延到其他網路節點。最後必須一提的是，若要了解網路狀態並能即時回應任何問題或異常情況，則需要持續監控網路節點的安全狀態。
案例2：將諸多工業設備整合至網路中以優化管理
另一個在製造場域容易受到網路安全威脅的應用，是將諸多的工業設備連結並透過網路優化管理。在傳統上的做法是，工業工程師會建立一個封閉的網路環境，並為機器分配IP位址；然而，要能遠端控制和集中管理工業設備，卻是需要將工業網路連上網際網路的。
當這些一直在封閉環境運作的設備連接到集中式管理系統，並由於配置錯誤而導致不同設備具有重複的IP位址時，若情況嚴重還可能會造成網路停擺。然而，如果為所有設備重新配置IP位址，不僅整體作業耗時，而且容易產生安全漏洞。此外，當它們連接到網際網路時，會面臨各種網路威脅，特別是可預測的IP位址，很快就會成為網路攻擊目標。
要解決這類透過網路將大規模製造場域眾多機器集中控管的問題，必須簡化管理模式和增強其安全性。例如，
系統整合商可以利用網路位址轉換（NAT）技術來保護IP位址，不但讓IP位址免受窺探，更可簡化設備和系統的整合。相關的硬體解決方案已有提供入侵偵測與防禦系統，可以自動阻止來自未經授權IP位址的數據。綜合使用這些工具，可以為連結大量設備的網路提供一個堅實的保護層。
跨越OT網路安全障礙，實現智慧數位新未來
當製造業邁向數位轉型，必須因應OT和IT多網融合而不斷精進網路安全機制，以保護連網設備免於新興的網路威脅。定期監控網路基礎設施並讓防護機制保持在最新狀態，是安全策略中重要的環節，不但可保護連結的系統，更能夠降低成本高昂的停機風險。然而，OT工程師可能對最新IT專業的培訓或經驗不足，因而難以同時保持系統的智慧功能和安全性。為了抵禦設備連網後帶來的網路威脅，系統整合商和工業營運商可以部署與時俱進的工業網路解決方案，並採用針對OT網路設計的縱深防禦方法，則可增進網路安全的關鍵機制。
相關文章：三個心法檢視網路安全，部署 OT 資安少走冤枉路
本文為投稿文章，不代表社方立場。