IT與OT破冰關鍵

2020 / 05 / 06

安碁工業控制資訊安全研究團隊

由於ICS逐漸採用IT技術方案以提升企業業務系統之連接、資料交換與遠端存取能力，並被設計為可使用工業標準之工業主機、作業系統和網路協議，ICS已經開始類似於IT系統。此一轉變使ICS與外部的接觸變多，原先仰賴之隔離安全性逐漸消失，因而衍生許多資安保護需求。

IT現有資安解決方案無法直接導入OT場域
工業控制系統（Industrial Control Systems，ICS）發展之初是屬於孤立之系統，使用專門的硬體及軟體來運行專有之控制協議（Proprietary），與傳統的資訊科技（Information Technology，IT）系統幾乎沒有一點相似，然而，隨著網際網路協定（Internet Protocol，IP）之普及，IP協定正逐步取代專有之控制協議，隨之增加網路安全性漏洞與網路入侵威脅事件之可能性。

在典型之IT環境中，已設計許多資安服務及資安解決方案來達成資安保護，但將這些服務及設備導入至維運科技（Operation Technology，OT）場域實施時，我們則需考量OT環境與IT環境先天特性上之差異：
● OT場域強調可用性（Availability）至上，資安服務及資安解決方案不得影響場域既有服務之正常運行。
● 不同於IT環境，OT場域之設備生命週期長達20年至40年，此一特性使OT場域存在許多老舊之設備，這些老舊設備的CPU及網路封包處理速度，幾乎已經無法符合現行IT資安解決方案要求之最低規格。
● 大量的遺留系統（Legacy system）存在於OT場域中，且為避免影響場域可用性，場域設備大多無法安裝更新程式。
● 為避免影響場域既有服務之正常運行，在多數場域之SCADA、HMI主機無法安裝端點型之資安解決方案，如：防毒軟體。有鑑於OT與IT先天上之差異，將IT既有之資安服務及資安解決方案導入OT環境時，須採取特殊之預防措施，甚至需要為OT場域量身定制專有之解決方案，若貿然將資安解決方案導入場域，輕則影響場域正常服務運行、異常停機，重則造成民生不便或演變工安意外等無法預期之後果。

需為OT場域量身定制專有之資安解決方案
安碁工業控制資訊安全研究團隊在各領域之OT場域實施OT資安服務時，觀察到國內OT場域的共通現象－為實現特定功能之資料交換，OT網路與異質網路（如：IT網路、網際網路）或多或少都必須連接，因此無法達成100%的實體隔離。一旦OT網路與異質網路並非實體隔離時，有許多的資安問題將隨之因應而生，而為了實時監控偵測立即威脅，OT SOC資訊安全監控中心（Security Operation Center，SOC）之建置及維運則成為勢在必行之資安策略。

然而，目前國內多數組織資安預算、人力資源等限制，無法於IT環境外，另行建置一套OT SOC平台，在此限制之下，若未考量資安因素，貿然將OT資安設備事件日誌從OT環境拋送至現有之IT SOC，可能增加OT場域之資安風險。安碁資訊參酌國內外多個工控安全組織發布之網路隔離建議，提出OT SOC資訊收容安全防護機制，以強化OT SOC與IT SOC整合之安全性。

OT SOC資訊收容安全防護機制，透過兩種方式提供高強度的OT SOC安全防護。第一，建立OT SOC資訊收容安全防護層（Industrial Demilitarized Zone，IDMZ）。該架構在異質網路（如：IT網路）與OT網路間架設IDMZ，此區放置OT網路與異質網路須共同存取資料之系統，讓內部網路系統或使用者不會直接存取工業控制網路內的設備或機器，降低OT資產被攻擊或影響之風險。第二，雙防火牆安全架構，使OT封包單向傳輸、只出不進。考量當組織遭受到大量攻擊或資料交換頻繁時，單一防火牆可能面臨功能喪失或效能降低等情況，為強化安全防護能量，在IDMZ網路邊界架設一對防火牆，分別對內部網路與OT網路進行網路封包過濾，並確保OT網路封包採單向傳輸，只出不進。

結語
IT與OT資訊安全的協作，除了必須同時考量組織IT端與OT端現有的網路架構、OT場域之特性，據以規劃適用於OT環境之資安解決方案外，IT資訊人員與OT場域人員對於「安全」思維的不同（OT場域人員所強調之安全為工業安全safety，IT資訊人員強調之安全則為資訊安全security，兩者之間存在極大之差異）、資安意識警覺之差異、兩者背景不同導致觀念落差，亦須一併納入考量。

當組織規劃制定OT資安策略時，往往委派IT資訊人員進行規劃，然而，IT資訊人員不了解OT場域的特性、OT網路架構；OT場域人員則往往不具備資訊背景，不懂IT及資訊安全。若貿然的由IT資訊人員以IT資安現有思維規劃OT資安策略時，可能導致OT資安策略無法順利施行，更甚之，在施行過程中，影響工控設備正常運行，造成工安意外。

為避免此一情形發生，在組織規劃制定OT資安策略之前，應使IT資訊人員及OT場域人員互相交流－IT資訊人員分享資安概念、OT場域人員分享OT場域之特性，當兩種不同背景的人互相理解後，邀請IT資訊人員及OT場域人員一同制定OT資安策略，如此一來，所規劃之策略方能稱得上是因地制宜、適材適用的良好策略。此外，組織應適時調整資安策略，以因應瞬息萬變的資安攻擊事件。