同城58网 科技 在机器的轰鸣加油声中,Fortinet下半场“弹”射过人

在机器的轰鸣加油声中,Fortinet下半场“弹”射过人

“下半场”的说法,不妨在世界杯期间借用。科技企业习惯将互联网的“下半场”,称为产业互联网。延伸此定义,安全产业的“下半场”就在工业互联网,就在机器的轰鸣加油声中展开。

更衣室中的战术布置不得而知,但安全产业进入“下半场”,Fortinet并没有更换主力队员,甚至也没有进行阵型调整。主教练只是再次强调,要加强“前、中、后”三条线的衔接;加强对重点球员的针对性防守;加强攻防两端的“弹性”。

回顾此前战局,黑客集团与安全企业,在“上半场”杀得你来我往。黑色球衣的一方,摆出了“勒索攻击和APT攻击”的双前锋阵型;白色球衣的一方,以安全操作系统坐镇中场,防火墙、ZTNA零信任、SD-WAN、沙盒、蜜罐、EDR等几员大将,则各司其位。

此格局也会延续到“下半场”。

其实,安全产业的“下半场”早已经开始。从“震网事件”算起,过去12年针对工业互联网的攻击从来没有停止。近期引发产业关注的事件如,2022年,美国农业制造商AGCO被勒索软件攻击,丰田汽车的供应商也遭到网络攻击,14家工厂的28条生产线停止运转。

究其原因,“IT与OT正在加速融合。”Fortinet中国区总经理李宏凯所说的就是“OT设备IT化”。这样的变化如,OT设备正在广泛使用TCP/IP协议;科技企业也试图以统一的操作系统,调度管理不同协议的IoT设备;制造企业更开始大范围使用人工智能、数字孪生、云原生的先进的数字技术。

如此快速的融合,显然符合工业4.0发展趋势,生产网络因此获得充沛的外部数据能量补充,变得更智能柔性、敏捷高效,制造企业也将更快速地响应市场变化。

挑战也随之而来。

就像“打开窗户,新鲜空气进来了,苍蝇蚊子也进来了。”原本安全物理隔离的OT网络,现在为了融合必须打开通路,让信息自由进出工业互联网。IDC就因此预测:2025年,全球IoT连接设备数量将到达519亿,由此引发的网络攻击也将增加一倍。

更可怕的是,黑客还在使用APT攻击、勒索软件等先进的手段,对那些老旧的、没见过世面的、很久没有“打补丁”的设备下手,对工业安全体系进行降维打击。

既然IT和OT的融合不可避免,既然黑客在使用IT式的攻击手段,对OT系统降维攻击,OT安全与IT安全也就会很多相似之处。“企业应该以零信任思维为指导,结合普渡模型和Fortinet Security Fabric安全架构,构建全面、智能、弹性的OT安全体系。”Fortinet中国区技术总监张略提到了几个关键词。

张略所说的“零信任”方法论,已在IT系统中广泛应用,针对OT设备和操作人员的安全认证、身份认证、接入权限,正可以借用此方法论进行安全管控。

CSMA(网络安全网格架构)方法论也可沿用至OT网络。2021年,Gartner提出CSMA理念,其核心是将安全设备由点连成面,再将面整合成为立体的防御架构。例如,以不同的产品组合,构成身份认证平台、安全访问隔离平台、高级威胁防御平台,再将上述平台进行联动构成立体防御体系。

这与Fortinet提出的Security Fabric安全架构,简直是异曲同工。Security Fabric安全架构是由FortiOS驱动,且具有丰富的开放式生态系统。它在一套平台与架构中就能实现原生集成所有的安全能力,不论这些能力是否由Fortinet产品提供,都能在不断扩大的攻击面中快速发现并响应威胁。

由此也就可了解,Fortinet在OT安全领域的基本思路。安全产业的“下半场”,Fortinet仍是沿用Security Fabric的基本阵型。场上队员也仍是由FortiOS操作系统坐镇中场,防火墙、ZTNA零信任、SD-WAN、沙盒、蜜罐、EDR等几员大将,在不同的区域各司其位。

但IT安全和OT安全也有显而易见的不同,这就非常考验安全企业的临场表现。OT系统对“可用性”的要求特别高,因为无论如何石油管道都不能停止输油,电网都不能停止供电。这要求系统和人工同时参与对威胁攻击判断,以减少误报。就如足球比赛中,场上裁判和VR裁判两者互补合作的关系。

OT系统对“实时性”要求也非常高。以制造业为例,高级计划和排程系统(APS)、生产过程执行管理系统(MES)、数据采集与监视控制系统(SCADA)等,都对实时性有较高要求,而上述生产系统稍有打盹,就会导致生产流程的滞缓,就会导致良品率下降,甚至更严重的后果。

不过,OT系统也有“不实时”的一面,设备更新和“打补丁”就很不实时。IT设备的更换周期通常在5年左右,OT设备的生命周期,可能是10或20年。没准你上初中时,这些设备就已经开始运转生产。

或者说,OT设备中那些老旧版本软件中的漏洞,就经常被忘记,而给OT设备“打补丁”进行安全升级,就像你开着前苏联时代的伏尔加,到修理店保养,不仅贵,而且还不一定有配件,不一定有人会修。

不过正所谓“知己知彼”。针对上述OT系统特性,针对黑客对OT系统攻击的特点,下半场的Fortinet,没有改变阵型,但实时进行了四项战术调整:

首先,Fortinet强调场上队员要防止伤病。

Fortinet的防火墙、交换机、无线AP等硬件,都已满足IEC 61850-3/IP防护等级要求,在防火、防尘、防震动、防电磁辐射,以及高低温适应能力方面,都有大幅度提升。

其次,Fortinet强调团队之间的三角短传。

Fortinet一直引以为傲的是硬件技术,其网络处理器已经更新至第7代(NP7);内容处理器已经更新至第9代(CP9);SoC系统已经升级至第4代(SoC4)。配备这样硬核的安全设备,改变了单核的中场控制体系,解放了CPU的利用率,提升了设备的稳定性。

第三,Fortinet在场下加强了对“对方球队和球员”的情报搜集和分析的工作。

除此前已经建立的威胁情报网外,Fortinet还特别针对各种OT攻击,病毒,渗透,建立了专属的威胁情报网络。实现了既有本地计算和防护,又有云端情报与本地服务的交互,整体提升了系统防御效果。

第四,回看比赛录像,研究对手。

过去十余年间,Fortinet已经服务于国际国内诸多头部客户,积累了丰富的OT安全经验,建立了底蕴深厚的OT安全专家团队,而此能力将为更多的用户提供,更专业的运维和运营服务。

但这还不是Fortinet的杀手锏。

正如Fortinet中国区总经理李宏凯所说,IT与OT的融合是大势所趋;正如IDC的预测,OT设备每年都在快速增加;也正如企业面向的现实,祖孙三代的OT设备在一起工作,他们希望根据业务的成长,资产价值不同,像搭乐高积木一样构建OT安全体系。

Fortinet将此定位为智能弹性的OT安全体系。

例如,企业可选择以OT防火墙为起步支点,此后再将安全体系弹性扩展到生产网络,建立有线安全、无线安全、态势感知解决方案,再进一步延伸建设广域网安全体系,构建端点检测与响应(EDR)解决方案。

当然,这一切就来自于Fortinet的顶层设计。

Purdue模型是工业自动化和控制系统(包括网络和安全要求)的经典指南,而且自提出以来的30年,几乎没有改变过。金字塔形式的Purdue模型将企业和运营划分为不同的区域,并在不同区域之间建立工业化的非军事区或隔离区。内置安全功能则可以防止从第0层到第5层之间的安全泄露。

Fortinet则将Security Fabric架构与Purdue模型结合,形成对OT安全的顶层设计。

例如在企业网络和和外部网络之间的5.5层,设立IT边界;在企业的IT系统和OT系统之间的3.5层,设立OT边界;在工厂的工控系统(HMI)和PLC(可编程逻辑控制器)等控制器之间的2.5层,设立工控系统(ICS)边界。此外,在企业的安全区域(安全仪表系统)之上,也建立了安全控制系统边界。

如此进行顶层设计,是在5.5层、3.5层、2.5层之间,完成了大层隔离,在此南北向隔离的基础上,Fortinet还将进一步完成东西向的精细微隔离,即在工厂之间、基台之间进行微隔离。

以此顶层设计为基础,用户可以逐步弹性建设OT安全体系,网络准入控制(NAC)、Web应用、API安全、安全远程访问、高级威胁防御(ATP)、终端安全、主动安全、蜜罐等解决方案,也会出现在该出现的位置。

而此就是Fortinet的核心理念:

■ 基于Security Fabric安全架构构建OT弹性安全体系,秉承统一设计、分步实施的理念,能够灵活应对各种场景的安全挑战,保障工业互联网应用的可靠性与安全性。

本文来自网络,不代表本站立场,转载请注明出处:https:

企业,架构,轰鸣,下半场,加油声,操作系统,设备,产业,攻击,工业,李宏凯,设备,系统,Fabric,张略

同城58网后续将为您提供丰富、全面的关于企业,架构,轰鸣,下半场,加油声,操作系统,设备,产业,攻击,工业,李宏凯,设备,系统,Fabric,张略内容,让您第一时间了解到关于企业,架构,轰鸣,下半场,加油声,操作系统,设备,产业,攻击,工业,李宏凯,设备,系统,Fabric,张略的热门信息。小编将持续从百度新闻、搜狗百科、微博热搜、知乎热门问答以及部分合作站点渠道收集和补充完善信息。