编者按
美国国家安全局10月8日发布题为《运用零信任原则强化美国国防部关键运营技术（OT）环境》的网络安全信息表，旨在将零信任安全原则应用于支持国防、国家安全和关键基础设施任务的OT系统。
该指南指出，OT系统是所有关键任务服务和关键基础设施的基石，但许多OT系统在设计之初并未充分考虑当今日益频繁、复杂和规模扩大的网络威胁；OT设备监控并控制工业控制系统的物理过程，降低其漏洞对军事行动和公众健康至关重要，美国国防部及其支持机构必须加强OT环境保护以确保任务弹性并防范敌对干扰或破坏；各机构为提高效率、韧性和任务效能开始将AI融入OT环境，但也可能引入新的风险、攻击面和中断机会，需将AI赋能系统策略性整合到现有OT架构中；攻击者正利用AI能力以前所未有的速度和规模自动化侦察、加速漏洞利用开发并开展网络攻击，目标是拒止、削弱、干扰、欺骗或破坏美国的关键基础设施，凸显出保障OT环境安全和实施零信任原则的重要性；零信任补充而非替代现有网络安全和网络卫生实践，假定系统可能或已被入侵并持续验证用户、设备、工作流程和通信，从而加强对未经授权访问、横向移动和攻击者持续存在的防护；美国国防部OT零信任指南确定84项活动以实现全面零信任能力，本指南重点介绍26项可立即实施的高影响力活动，旨在加强整体OT网络安全态势，使各机构能够在OT系统存在技术限制的情况下实现零信任目标。
该指南指出，采用零信任原则对于增强传统OT系统的安全性至关重要，可确保符合美国国家安全指令的要求，同时在关键基础设施中实现纵深防御；尽管系统老化和功能限制带来重大挑战，但前进方向在于利用补偿性控制措施，在无需彻底改造硬件的情况下提供现代化保护；该指南概述了如何调整和实施零信任概念，以加强系统安全并将OT环境的成熟度从目标级提升到高级；该指南建议的高影响力活动，为各机构提供了一个可管理的起点，以便从基于边界的防御过渡到可验证、有弹性和自适应的架构；各机构通过重点关注相关高影响力目标级活动，可以实现零信任的基础态势，从而优先保护最脆弱的关键任务功能；为维护传统OT环境安全，各机构需对现有基础设施进行全面评估，并优先落实以下十项高影响力措施。
一是确保远程访问安全。该指南指出，确保远程访问安全可以减少非必要的外部暴露，并通过受控、被监控且具备身份识别功能的访问路径来管理所有远程访问；当需要连接到OT环境外部时，必须确保其安全性；向第三方供应商、原始设备制造商、系统集成商和维护人员提供的远程访问权限应受到与内部远程访问相同甚至更高级别的审查。此项措施涉及6项活动：OT环境中的初始身份验证；面向OT环境的多因素身份验证；面向OT环境的基于角色的动态访问；实施OT环境的授权和访问管理；在OT环境中实施特权访问管理（第1部分）；面向OT环境的生命周期管理（第1部分）。
二是保护OT数据。该指南指出，涉及OT系统的通信应使用经批准的加密技术来保护传输中和静态的关键数据，无论其位于网络何处，并根据数据敏感性、运行要求和风险应用额外的保护措施；OT数据的机密性和完整性必须得到保护，直到在授权和受监控的OT环境中进行处理。此项措施涉及1项活动，即“保护传输中的OT数据”，涵盖了广泛的保护措施，包括确保OT资产之间通信的可用性、可靠性、机密性、完整性和真实性。
三是盘点OT资产。该指南指出，建立非自然人实体的集中式清单至关重要，该清单应包含一份动态的、定期更新的OT资产列表，例如硬件、软件、网络设备和组件；资产清单应记录高优先级属性，例如关键性、角色/类型、制造商/型号、操作系统或固件版本、IP/MAC地址、物理位置以及使用的端口/服务；结合资产基线，应对用户和账户、应用程序和代码以及当前设备配置进行盘点。此项措施涉及4项活动：盘点OT环境中的非人员实体；盘点OT环境中的用户；盘点OT应用与代码；OT设备配置管理。
四是增强OT环境可见性。该指南指出，在OT环境中，保持整个系统运行基线信息处于最新状态，对于管理风险、应对事件以及保障运营至关重要；定义此运行基线时，应识别各OT资产、其运行功能、其对工业流程的作用以及其在OT环境中的通信和交互方式；应根据OT资产的关键性、运行功能和安全要求对其进行分类，以支持风险评估、策略制定和零信任实施；应建立并维护权威的OT资产清单和运行基线信息库，支持在整个OT环境中对资产进行一致的识别、管理和访问，并确保对当前清单和运行基线信息的访问。该措施涉及2项活动：OT数据标记治理；盘点数据库。
五是利用OT网络威胁情报。该指南指出，对于美军而言，使用已知的OT网络威胁情报至关重要；应将相关的OT安全数据源和遥测数据集成到安全监控功能中，例如面向OT的安全信息和事件管理（SIEM）解决方案，以提高威胁可见性、事件关联性和警报能力；在适用情况下，应将SIEM功能与安全编排、自动化和响应（SOAR）功能集成，以支持协调分析、工作流自动化和响应操作；需要整合从系统访问执行点采集的数据，以便对OT系统内由网络威胁情报驱动的数据预警及响应情况进行监测。该措施涉及2项活动：OT网络威胁情报计划（第1部分）；OT网络威胁情报计划（第2部分）。
六是加固智能控制器。该指南指出，智能控制器是网络空间和物理空间之间的主要接口，缺乏现代化的内置安全功能，必须利用外部零信任控制加以保护，以防止数字攻击演变为物理故障；虽然将设备升级到供应商最新的安全型号通常是最佳解决方案，但在初始实施OT风险缓解措施时，需要进行工程审查、测试、停机协调、应急计划制定以及供应商支持；OT系统加固需要采用基于风险的方法，该方法需考虑网络安全目标、运行需求以及安全变更对安全性和可用性的潜在影响；各机构应优先开展能够最大限度降低风险并最大限度减少对关键运行中断的加固活动；在无法立即应用补丁的情况下，各机构应评估补偿控制措施，根据资产的关键性和风险暴露程度确定修复优先级，并制定计划维护活动以降低风险，同时保持运营连续性；为确保安装和配置过程的安全，各机构应为智能控制器和其他OT设备建立并维护经批准的安全配置；在技术可行的情况下，各机构应将控制器配置为使用安全协议，例如HTTPS、SSH以及用于管理活动和远程访问的安全OT协议；限制智能控制器行为体的权限可以降低OT网络安全攻击潜在影响，了解智能控制器的编程方式以及启用的功能，能够帮助系统操作员更好地掌握OT流程的运行状况，同时还能缩小智能控制器的攻击面。此项措施涉及4项活动：为OT环境实施漏洞和补丁管理工具；OT设备配置管理；OT环境中的默认拒绝策略；OT环境的二进制文件、代码和硬件配置。
七是通过分段和监控加强网络。该指南指出，应实施逻辑网络分段，根据运行功能、角色、关键性和通信需求对OT资产进行隔离；在支持的情况下，配置托管网络基础设施，包括虚拟局域网、路由器和防火墙，以强制执行授权通信路径、限制不必要的流量并生成审计日志；各机构可通过定义和强制执行授权的通信协议和连接路径，识别未经授权协议的使用、非预期通信路径，或偏离已批准运行通信的情况，从而进行调查并采取适当的应对措施；应部署适用于OT的网络监控功能，持续观察网络通信并检测与已批准运行行为的偏差，包括实施入侵检测系统、端点检测与响应和集中式安全监控等技术。该项措施涉及3项活动：实施微隔离；实施OT环境连接策略；为OT环境实施端点检测与响应工具。
八是确保工程工作站和人机界面安全。该指南指出，工程工作站和人机界面计算机应启用所有日志记录功能；各机构必须对OT流程实施强有力的安全措施，特别是逻辑分段和数据隔离；工程工作站的访问权限必须仅限于明确授权给用户角色的功能和指令，角色权限和特权应与执行授权任务所需的资产、对象和资源紧密绑定，确保用户和其他所有流程调用要素只能执行已批准的活动；策略要求应限制恶意攻击者从各种常见入口点启动脚本和代码的能力；确保设备仅供OT系统使用并存放在上锁位置，是防止篡改和未经授权的使用的最有效安全实践之一。该措施涉及5项活动：数据防泄漏分析；OT环境中的日志解析；基地/营地/哨站/站点分段；OT文件优先级和监控；实施OT环境的授权和访问管理。
九是强化Active Directory和域控制器。该指南指出，必须持续监控、维护和升级支持OT环境身份验证的域控制器；实施基于策略的访问控制，或在适用情况下实施基于属性的访问控制，在授权访问特定资源和执行特定操作前持续评估身份、角色、属性、设备状态和其他上下文因素，可以降低未经授权的用户冒充合法用户在网络中自由移动的风险；强化域控制器的一些示例包括实施分层管理模型、强密码策略和身份验证、最小权限原则以及通过组策略对象进行安全配置。此项措施涉及1项活动，即“OT环境中的默认拒绝策略”。
十是安全地验证和评估零信任控制。该指南指出，应优先采用被动评估技术对安全加固及相关零信任活动进行验证，以最大程度地降低OT环境的运行风险；系统所有者应依赖配置审计、日志分析和被动网络监控来验证安全控制、访问策略和网络分段是否按预期运行；如有必要采用主动评估技术，则应在批准的维护窗口期内进行周密的计划、协调和执行，并特别注意避免对0级和1级设备以及其他对运行敏感的资产造成干扰。该项措施涉及1项活动，即“OT平面分段”。
奇安网情局编译有关情况，供读者参考。
运用零信任（ZT）原则加固
美国国防部关键运营技术（OT）环境
一
执行摘要
运营技术（OT）系统是所有关键任务服务和关键基础设施的基石。然而，许多此类系统在设计之初并未充分考虑当今的网络威胁——而这些威胁的频率、复杂性和规模都在不断增加。美国国防部及其支持机构必须加强OT环境的保护，以确保任务的弹性执行，并保护关键基础设施免受干扰性或破坏性敌对活动的侵害。
运营技术（OT）设备监控并控制着工业控制系统（ICS）的物理过程，例如楼宇自动化和备用电源系统。降低这些系统中的漏洞对于保障军事行动和公众健康至关重要。为了应对这些挑战，本网络安全信息表（CSI）列出了与零信任（ZT）理念相符的高影响力活动，旨在加强整体OT网络安全态势。这些建议提供了切实可行的补偿控制措施，使各机构能够在OT系统存在技术限制的情况下实现零信任目标。
零信任（ZT）是对现有网络安全和网络卫生实践的补充，而非替代。ZT假定系统可能或已经遭到入侵，并持续验证用户、设备、工作流程和通信。将这些原则应用于运营技术（OT）系统，可以加强对未经授权访问、横向移动和攻击者持续存在的防护。攻击者正在利用超级智能（SI）能力，以前所未有的速度和规模自动化侦察、加速漏洞利用程序的开发并开展网络攻击，这使得在OT系统中实现零信任目标比以往任何时候都更加重要。
为了提高效率、韧性和任务效能，各机构开始将超级智能（SI）融入运营技术（OT）中。然而，这也可能无意中引入新的风险、攻击面和中断机会。为了确保安全运行，需要将SI赋能的系统策略性地整合到现有的OT架构中。
鉴于这些不断变化的挑战，近期美国国家政策强调在关键基础设施中整合网络安全、零信任和超级智能（SI）治理。根据第14409号行政命令、第11号国家安全总统备忘录（NSPM-11）和第12号国家安全总统备忘录（NSPM-12），本网络安全信息表（CSI）为强化传统运营技术（OT）系统提供了一条切实可行的路径。美国国防部的OT零信任指南确定了84项活动，这些活动共同实现了全面的零信任能力；本CSI重点介绍了26项各机构可以立即实施的高影响力活动。通过优先采取关键措施来确保远程访问安全、强化智能控制器、增强可见性并实施微隔离，各机构可以打破工业控制系统（ICS）网络攻击链，并成功地将OT环境过渡到主动式零信任架构。
二
介绍
运营技术（OT）系统的使用寿命通常超过 50 年，由此产生的庞大遗留系统给现代化改造带来了巨大挑战。从工程角度来看，这种长寿命固然令人印象深刻，但也可能导致严重的网络安全漏洞。由于系统年代久远、采用专有技术以及存在运营限制，实施零信任（ZT）功能（例如强身份验证、网络分段、持续监控和策略执行）变得更加困难，需要采用定制化的方法才能实现零信任目标。许多此类遗留系统已停止供应商支持，无法接收关键补丁或更新。
如今，敌对攻击的范围已远超间谍活动和侦察，其目标往往是拒止、削弱、干扰、欺骗或破坏美国的关键基础设施。此类攻击的后果因行业而异，并可能造成重大而广泛的损害。受影响的行业包括但不限于能源、水务、农业、公共卫生和政府机构。例如，乌克兰电网遭受了有据可查的网络攻击；美国水利基础设施也遭受了网络攻击，其中包括2026年夏季明尼苏达州供水系统遭到入侵，导致大量用户更改密码，并引发了人们对配置文件可能已被窃取的担忧；此外，针对多个行业（例如Colonial Pipeline、公共卫生和政府机构）的勒索软件攻击也造成了区域性停电和破坏，扰乱了多个行业的运营。这些攻击对国家安全、经济以及公共卫生和安全构成威胁。
“伏特台风”组织与美国关键基础设施遭受的大规模入侵有关，它体现了运营技术（OT）系统面临的持续威胁。该组织并非寻求立即破坏，而是专注于网络间谍活动和为未来冲突做准备。通过长期隐蔽访问，“伏特台风”旨在根据其地缘政治目标，在选定的时机瘫痪关键系统，例如电网。这些入侵通常始于攻破IT网络，然后再转向OT环境。为了实现这一目标，该组织采用“离地攻击”（LOTL）技术，利用系统自带工具来逃避检测。正如美国网络安全和基础设施安全局（CISA）和其他相关机构所指出的，“伏特台风”会在发动攻击前进行详尽的侦察，以掌握目标的网络架构和运行协议。在应对高级持续性威胁（APT）时，重要的是要假设环境已被入侵，这与零信任（ZT）的核心原则相一致。
这些敌对活动与SANS“工业控制系统（ICS）网络杀伤链”密切相关，该杀伤链描述了攻击者从侦察和初始访问到操纵工业流程和造成物理影响的一系列活动。零信任并非仅仅依赖于边界防御，而是在整个环境中应用持续验证、最小权限访问和策略执行，以干扰杀伤链的多个阶段，从而阻止攻击者建立持久立足、横向移动或实现行动目标。
国家行为体和黑客行动主义团体发起的攻击凸显了保障运营技术（OT）环境安全和实施零信任（ZT）原则的重要性。这些行为体利用远程访问配置错误、旧设备漏洞和默认密码，入侵了供水和污水处理系统（WWS）以及能源基础设施。实施零信任支柱和概念，例如复杂密码、多因素身份验证、宏隔离和微隔离、安全远程访问以及对用户、设备、工作负载和机器间通信的持续验证，可以破坏SANS“工业控制系统网络攻击链”的多个阶段，显著降低攻击者建立持久立足、横向移动和影响工业流程的机会。这些团体的意图似乎是扰乱运营、展示能力并凸显潜在的物理危害。
同样，与伊朗有关联的攻击者的活动也凸显了关键基础设施易受未经授权的远程访问。正如美国政府机构发布的联合网络安全公告AA26-097A中所强调的，攻击者专门针对水务和污水处理行业的可编程逻辑控制器（PLC），利用暴露于互联网的设备和默认的管理凭证进行攻击。这些事件进一步验证了零信任架构的必要性；通过实施遵循基于属性的访问控制（ABAC）原则的基于策略的访问控制（PBAC），各机构可以在授予访问权限之前持续验证用户、设备、资产和资源，从而减轻高级持续性威胁（APT）攻击中主要攻击途径的影响。
这些恶意攻击活动表明，利用信任关系、暴露资产和静态访问控制是行之有效的。这些威胁不断演变，并开始利用先进的超级智能（SI），包括能够自动执行复杂分析和决策的前沿模型，以加速对运营技术（OT）环境的攻击。具备超级智能（SI）能力的攻击者可以快速识别先前未知的漏洞，自动开发漏洞利用程序，发起极具说服力的社会工程攻击，同时协调针对多个目标的协同攻击，并优化在复杂的网络物理环境中的攻击路径。随着超级智能（SI）能力的普及，关键基础设施的所有者和运营者应预见到针对数字系统及其控制的物理流程的日益适应性强的威胁。由于超级智能（SI）使攻击者能够以更快的速度、更高的精度和更大的规模执行这些活动，因此，零信任的持续验证、基于策略的决策以及对人类和非人类身份的全面可见性对于保护运营技术（OT）环境和实现抵御不断演变的威胁的弹性运营变得日益重要。
三
目标受众
本网络安全信息表（CSI）主要面向国家安全系统（NSS）、国防部和国防工业基地网络系统所有者以及负责保护这些关键系统的运维人员提供指导。美国国家标准与技术研究所（NIST）、美国网络安全和基础设施安全局（CISA）也提供了支持本CSI的其他指南。本指南与美国国防部网络安全参考架构和补充性的美国国防部零信任指导相一致，包括面向 IT 环境的《美国国防部零信任参考架构》和《美国国防部零信任战略》，以及面向运营技术（OT）活动和成果的零信任指南。本文件概述了如何调整和实施零信任概念，以加强系统安全并将OT环境的成熟度从目标级提升到高级。
四
背景
第14028号行政命令《提升国家网络安全》、第12号美国国家安全总统备忘录《国家安全系统网络安全国家政策》以及第22号国家安全备忘录《关键基础设施安全与韧性》均呼吁采取重大措施，通过实施符合零信任原则的IT和OT安全关键功能来应对国家安全风险。此外，第14144号行政命令《加强和促进国家网络安全创新》也指示采取进一步行动。这些行动包括：
在第三方软件供应链中落实透明度和安全性
使政策与实践保持一致
保障国家安全系统和削弱影响系统
采取额外措施以打击重大恶意网络活动
为满足这些要求，美国国防部国家安全系统（NSS）运营技术（OT）需要能够打破现有网络攻击链、有效控制关键OT系统流程并建立系统运行可见性的近期零信任（ZT）解决方案，以便识别并支持根除任何当前和未来的敌对活动。这些缓解措施必须在无法原生支持许多ZT功能或满足适用ZT活动和结果的传统OT环境和组件中进行实施。
运营技术（OT）是美国关键基础设施的基础支柱。与传统IT不同，OT由集成的电气、机械和气动控制组件构成，例如可编程逻辑控制器（PLC）和分布式控制系统（DCS），这些组件与物理世界交互，以管理电网、水处理和制造。
这些系统的遗留特性造成了一个重大的任务风险悖论：尽管其设计旨在确保数十年的物理可靠性，但其网络安全架构却已过时。这些老旧资产通常缺乏原生加密、现代身份验证协议，或者无法在不中断关键服务的情况下进行修补。这种技术过时，加上物理硬件的老化，造成了严重的安全漏洞。随着这些设计本身就不安全的系统为了满足现代效率需求而日益联网，它们也成为了敌对势力攻击的高价值目标，一旦遭受数字攻击，就可能导致灾难性的物理故障。
五
零信任
零信任（ZT）假定存在敌对入侵，并采用“永不信任，始终验证”的原则。ZT基于美国国家标准与技术研究所（NIST）SP 800-207的基本原则，代表着从基于边界的安全模式向一种默认不信任任何实体的模型转变，该模型要求基于身份、设备状态和会话上下文持续评估访问权限。采用ZT理念意味着在制定网络安全和访问决策时，要从根本上重新评估各机构的信任边界，将运行环境、系统、资产、用户和流程综合考虑。它将传统的基于边界的安全模型扩展为一种更动态的方法，并假定默认情况下不信任任何实体。ZT旨在使用与用户、设备、应用程序、资产、对象和资源关联的角色和属性，通过基于策略的访问控制（PBAC）持续评估和授权所有行为体的操作。这种方法融合了持续监控、威胁情报和动态策略执行，以提供全面的访问控制、分段和数据保护。
零信任（ZT）实施持续评估并强制执行身份验证和授权，以实现全面的访问控制，其依据包括但不限于行为主体身份、设备态势、资产敏感性、资源属性、会话上下文、策略要求以及观测到的行为。
当已建立的信任或置信度发生变化时，访问决策会通过重新认证、重新授权或策略更新进行动态调整。美国国防部首席信息官（CIO）制定了零信任框架（ZT Framework），作为指导美国国防部及其任务合作伙伴在军事和国防网络中设计、实施和完善零信任架构（ZTA）的全面蓝图。虽然该框架为推进零信任架构的采用奠定了基础，但成功实施的关键在于确保已部署的功能与零信任架构的基本原则保持一致，例如持续授权、基于策略的访问控制、完全可见性和动态决策，而不仅仅是改进现有的网络安全实践。
美国国防部首席信息官（CIO）的零信任框架利用七大支柱对关键功能域（用户、设备、数据等）进行分类，并采用45项能力来定义实现零信任架构（ZTA）所需的具体技术要求和安全功能。本网络安全信息表（CSI）确定了 26 项高影响力活动，这些活动作为战术“操作指南”，概述了为满足零信任框架的诸多成果和能力要求而必须完成的具体任务和流程变更，从而大幅降低传统运营技术（OT）环境中的风险。下图以图形方式描述了美国国防部零信任框架的七大支柱。
在大型复杂运营环境（例如军事基地）中实施零信任原则，需要严密的规划、协调的管理以及持续的验证，以确保所有访问和交互均已获得授权。在大型环境中采用零信任原则和概念可能是一项艰巨的任务。以下场景说明了零信任原则的应用。
明确验证：所有人员和设备必须使用生物识别、RFID徽章或多因素身份验证（MFA）访问令牌进行身份验证，并对其设备启用“合规连接（C2C）”检查。对于远程设备，如果传统硬件无法原生支持C2C代理，各机构应采用基于代理的态势验证。
最小权限访问：网络安全分析师获得两小时的额外访问权限来修补雷达系统，权限随后自动失效。所有账户和访问权限均采用即时控制，并受时间和地点限制。
微隔离：系统被分隔成不同的区域，以确保一个漏洞不会影响所有系统，类似于船舶上的隔舱。物理隔离确保所有系统不会同时受到影响。
以身份为中心的访问：所有军事基地人员的徽章扫描都是唯一的，并且与个人绑定，当在未经授权的区域使用时，会触发警报并自动锁定。
用户和实体行为分析：一位通常从马里兰州登录的用户突然尝试从海外访问并下载大量航班数据；访问权限被自动撤销并标记为待调查。
零信任（ZT）原则最初旨在改进基于IT的安全架构，但它也能应对新兴技术、运营环境以及扩展的网络空间（包括运营技术）中的网络安全挑战。然而，由于传统OT系统独特的运营限制、安全要求和较长的生命周期，许多OT环境在零信任的应用和现代化方面落后于IT环境。尽管传统OT资产可能缺乏支持现代安全代理的原生处理能力，零信任（ZT）的实施可以演进并应用于OT领域，作为一种整体性方法的一部分，将网络安全能力与运营流程、治理、任务需求以及基于风险的决策相融合。诸如支持零信任的网关、加固型网络设备、微隔离和持续监控等技术可以提升传统环境的网络安全态势；然而，这些功能必须集成到更广泛的运营环境中，才能在混合IT/OT环境中实现对关键流程的有效授权、访问控制和保护。
高影响力OT零信任缓解措施
鉴于老旧基础设施的复杂性，本网络安全信息表（CSI）优先考虑26项高影响力活动，这些活动能够立即提供补偿性控制。该方法论聚焦于“用户”“设备”“数据”“网络与环境”“应用与工作负载”“可见性与分析”支柱，选择的活动旨在将传统资产纳入保护性安全区内，而无需进行侵入式硬件改造。通过重点关注这些高影响力目标级活动，各机构可以实现零信任（ZT）的基础态势，从而优先保护最脆弱的关键任务功能。
实施以下26项已确定的高影响力零信任目标活动，可通过以持续的、基于证据的验证取代隐式信任，从而降低关键漏洞。这通过加强对授权操作的验证与管控能力，同时降低与未经授权的访问、未经批准的流程，以及可能影响关键任务职能的未经授权的配置变更相关的运营风险，改善了传统运营技术（OT）环境的防护态势。
确保远程访问安全：仅允许授权人员访问。
保护OT数据：对所有出站数据进行加密，以维护数据的机密性和完整性。如果OT协议不支持加密，其他选项包括安全代理、安全飞地、网关或隧道。
盘点OT资产：维护准确的OT资产清单，这是构建可防御架构的基础步骤。
增强OT环境可见性：持续识别和分类OT资产并监控网络通信，以建立正常的运行基线并检测异常或恶意活动。
利用OT网络威胁情报：了解对手的战术、技术和程序。
强化智能控制器：保护设备安全，执行代码和日志分析，同时确保其满足运行（可用性）要求。
通过分段和监控来加强网络：加强OT环境中的安全控制，包括网络、系统、设备和其他运营资产，同时持续监控人类和非人类行为体的潜在威胁、漏洞和未经授权的活动。
保护工程工作站和人机界面：通过实施适当的授权、最小权限和监控控制，保护工程工作站、人机界面、控制器、应用程序、服务和机器间通信，以防止对OT系统的未经授权访问、滥用或操纵。
通过强化Active Directory和域控制器来加强安全性：利用这些机制在整个网络中实施强大的安全策略。
安全地验证和评估零信任控制：尽可能使用被动技术验证零信任控制，例如配置审核、日志分析和交换端口分析器（SPAN）/测试接入点（TAP）网络监控。仅在必要时，于批准的维护窗口期内执行主动测试，以避免干扰对运行至关重要的OT资产，并确保工业运营的持续安全性、可靠性和可用性。
1
确保远程访问安全
确保远程访问安全可以减少非必要的外部暴露，并通过受控、被监控且具备身份识别功能的访问路径来管理所有远程访问。当需要连接到OT环境外部时，必须确保其安全性。美国国家安全局（NSA）和其他机构已发布针对包含OT组件的关键基础设施实体的安全远程访问建议。其中一项首要建议是移除OT环境与公共互联网的“直接”连接。OT组件通常缺乏强大的身份验证或授权机制，因此连接到公共互联网会带来严重风险。
其他建议包括使用虚拟专用网络（VPN）、要求使用强密码（OT零信任活动1.8.1）、过渡到防钓鱼MFA（OT零信任活动1.3.1）、强制执行最小权限原则（包括基于角色的访问控制）（OT零信任活动1.2.2）、禁用休眠账户（OT零信任活动1.2.1），以及最终实施特权访问管理（PAM）解决方案（OT零信任活动1.4.1）。
向第三方供应商、原始设备制造商（OEM）、系统集成商和维护人员提供的远程访问权限对运营技术（OT）环境构成重大风险，并且是已确认的OT入侵事件的常见途径。此类访问应受到与内部远程访问相同甚至更高级别的审查。根据“面向OT环境的生命周期管理（第1部分）”（OT零信任活动1.5.1），所有第三方和OEM访问均应使用防钓鱼的多因素身份验证（MFA）进行身份验证，并通过基于策略的访问控制（PBAC）进行授权，且仅限于已批准的用户、设备和资源。访问应经过明确批准、限定时间、持续监控，并在授权的“运用零信任（ZT）原则加固美国国防部关键运营技术（OT）环境”活动完成后立即终止。在可行的情况下，供应商访问应通过受控访问网关或特权访问管理（PAM）解决方案进行管理，这些方案提供会话记录、审计和实时监控功能，以降低未经授权的操作影响关键OT流程的风险。
2
保护OT数据
涉及OT系统的通信应使用经批准的加密技术来保护传输中和静态的关键数据，无论其位于网络何处，并根据数据敏感性、运行要求和风险应用额外的保护措施。通常，这些数据的机密性和完整性必须得到保护，直到在授权和受监控的OT环境中进行处理。依赖通信数据的OT系统流程通常对时间和干扰非常敏感；因此，数据篡改、注入和损坏对OT流程的影响与更改设备配置一样严重。例如，对时间敏感的OT数据包括直接来自控制系统、传感器和资产的时间序列工业数据。保护传输中的数据应使用OT零信任活动5.4.3“保护传输中的OT数据”。与传统的IT网络安全概念中主要强调网络流量加密的“传输中”数据保护不同，此OT零信任活动涵盖了更广泛的保护措施。这些措施包括确保OT资产之间通信的可用性和可靠性，以及机密性、完整性和真实性，同时还要考虑工业环境独特的运行和协议要求。加密可能是这项活动的一个组成部分，但它本身并不能满足OT零信任要求的目的。
3
盘点OT资产
建立非自然人实体（NPE）的集中式清单至关重要（OT零信任活动2.1.1）。该清单包含一份动态的、定期更新的OT资产列表，例如硬件、软件、网络设备和组件。资产清单会记录高优先级属性，例如关键性、角色/类型、制造商/型号、操作系统或固件版本、IP/MAC地址、物理位置以及使用的端口/服务。如果没有全面的OT资产清单，各机构将无法可靠地识别环境中运行的资产，也无法建立权威的安全和运营管理基线。
结合资产基线，对用户和账户（尤其是服务账户）进行盘点至关重要（OT零信任活动1.1.1）。此外，还必须盘点应用程序和代码（OT零信任活动3.1.1）以及当前设备配置（OT零信任活动2.6.2）。这些盘点工作可以手动完成，也可以通过自动化流程完成。
4
增强OT环境可见性
在运营技术（OT）环境中，系统可见性源于对资产清单（硬件、软件、网络组件等）及其功能、关键性和通信路径的了解。保持整个系统运行基线信息处于最新状态，对于管理风险、应对事件以及保障运营至关重要。定义此运行基线时，应识别每个OT资产、其运行功能、其对工业流程的作用以及其在OT环境中的通信和交互方式。为资产清单和基线的维护分配角色和职责。根据OT资产的关键性、运行功能和安全要求对其进行分类，以支持风险评估、策略制定和零信任实施。
建立并维护权威的OT资产清单和运行基线信息库。该信息库可以采用集中式系统或联合式架构，但必须支持在整个OT环境中对资产进行一致的识别、管理和访问，并确保对当前清单和运行基线信息的访问。保护集中式信息库或系统中使用的数据。建立用于捕获、组织和呈现这些信息的统一模式和标准。这些标准应支持通用的命名约定、依赖关系识别以及资产间关系的可视化，以增进对资产的理解并支持有效的零信任策略决策。从零信任的角度来看，数据标记以及识别和盘点数据库的要求，可参见OT零信任活动4.1.1“OT数据标记治理”和OT零信任活动4.4.5“盘点数据库”。
5
利用OT网络威胁情报
对于美国国防部和军种组成机构而言，使用已知的OT网络威胁情报至关重要。应将相关的OT安全数据源和遥测数据集成到安全监控功能中，例如面向OT的安全信息和事件管理（SIEM）解决方案，以提高威胁可见性、事件关联性和警报能力。在适用情况下，应将SIEM功能与安全编排、自动化和响应（SOAR）功能集成，以支持协调分析、工作流自动化和响应操作。需要与从系统访问执行点所采集的数据进行整合，以便对运营技术（OT）系统内由网络威胁情报（CTI）驱动的数据预警及响应情况进行监测。更多详细信息可参阅OT零信任活动7.5.1“OT网络威胁情报计划（第1部分）”和OT零信任活动7.5.2“OT网络威胁情报计划（第2部分）”。
6
加固智能控制器
为了安全高效地运行，OT系统利用智能控制器来保护、监控和执行流程。在传统环境中，智能控制器是网络空间和物理空间之间的主要接口；由于它们缺乏现代化的内置安全功能，因此必须使用外部零信任控制进行保护，以防止数字攻击演变为物理故障。虽然将设备升级到供应商最新的安全型号通常是最佳解决方案，但在初始实施OT风险缓解措施时，需要进行工程审查、测试、停机协调、应急计划制定以及供应商支持。初始的关键安全措施是配置智能控制器上的内置安全功能，并验证设备配置是否符合已批准的功能、运行要求和流程逻辑。这些活动尤为重要，因为智能控制器直接影响物理流程的运行，并且通常作为监控系统和现场设备之间控制命令通信的中心节点。对这些设备进行不当配置或未经授权的更改可能会影响流程的可用性、安全性或运行完整性。OT系统加固需要采用基于风险的方法，该方法需考虑网络安全目标、运行需求以及安全变更对安全性和可用性的潜在影响。各机构应优先开展能够最大限度降低风险并最大限度减少对关键运行中断的加固活动。
打补丁是此方法的一个组成部分，但在OT环境中，由于维护窗口期有限、系统可用性要求、供应商支持限制以及对连接设备的潜在影响等因素，打补丁可能面临挑战。当无法立即应用补丁时，各机构应评估补偿控制措施，根据资产的关键性和风险暴露程度确定修复优先级，并制定计划维护活动以降低风险，同时保持运营连续性。制定补丁管理计划，利用测试或开发环境来检查新补丁的下游影响，选择对控制器执行的关键操作影响最小的补丁窗口，并优先为风险暴露程度最高的控制器打补丁。这些建议与OT零信任活动2.5.1“为OT环境实施漏洞和补丁管理工具”相一致。虽然漏洞和补丁管理不能替代零信任访问控制，但它们可以提供重要的安全态势信息，从而支持零信任决策。持续了解资产漏洞、配置状态和修复进度，使各机构能够就访问、分段和风险缓解做出更明智的策略决策。
许多OT系统使用的智能控制器通常仍保留厂商默认密码，并且使用不安全的协议传输指令。为了确保安装和配置过程的安全，各机构应为智能控制器和其他OT设备建立并维护经批准的安全配置。这包括始终更改默认的管理员凭据、应用适当的密码策略、禁用非必要的不安全服务，以及在支持的情况下启用安全的管理协议。
许多OT设备最初部署时采用的默认配置可能不符合各机构的安全要求。在技术可行的情况下，各机构应将控制器配置为使用安全协议，例如HTTPS、SSH以及用于管理活动和远程访问的安全OT协议。这些做法通过维护已知且受控的设备配置，支持OT零信任活动2.6.2“OT设备配置管理”。
在当前运营需求无法全面实施安全配置的情况下，各机构应记录例外情况，评估相关风险，纳入补偿控制措施，并制定计划，以便在运营条件允许时完成必要的加固活动。
另一种降低OT网络安全攻击潜在影响的方法是限制智能控制器行为体的权限，这与OT零信任活动1.7.1“OT环境中的默认拒绝策略”相一致。大多数控制器可以限制访问级别或强制执行登录要求，从而限制对终端控制器的访问（例如，查看级别和更改级别）。“查看”级别就是一个强制执行最小权限访问的示例，它限制授权行为体只能监控控制器和系统进程，而不能更改控制器的运行状态。一些供应商会提供用于管理智能控制器功能的额外访问级别，但就初始安全需求而言，必须控制和监控设备配置变更，并在设备日志中进行记录。
了解智能控制器的编程方式以及启用的功能，能够帮助系统操作员更好地掌握OT流程的运行状况，同时还能缩小智能控制器的攻击面。OT零信任活动3.3.1“OT环境的二进制文件、代码和硬件配置”建议禁用未使用的逻辑，以防止攻击者将其用于恶意活动。
7
通过分段和监测来加强网络
实施逻辑网络分段，根据运行功能、角色、关键性和通信需求对OT资产进行隔离。在支持的情况下，配置托管网络基础设施，包括虚拟局域网、路由器和防火墙，以强制执行授权通信路径、限制不必要的流量并生成审计日志。这些活动支持OT零信任活动5.4.1“实施微隔离”。
可通过OT零信任活动2.2.1“实施OT环境连接策略”完成对所需协议使用情况的审核。通过定义和强制执行授权的通信协议和连接路径，各机构可以识别未经授权协议的使用、非预期通信路径，或偏离已批准运行通信的情况，从而进行调查并采取适当的应对措施。
部署适用于OT的网络监控功能，持续观察网络通信并检测与已批准运行行为的偏差。在适当且有支持的情况下，实施入侵检测系统（IDS）、端点检测与响应（EDR）和集中式安全监控等技术，以提高OT活动的可见性，并支持及时调查和响应。建立预期网络通信的基线，并配置监控功能以识别未经授权的协议、异常通信路径或其他网络异常行为。这些活动支持OT零信任活动2.7.1“为OT环境实施端点检测与响应（EDR）工具”。
8
确保工程工作站和人机界面的安全
工程工作站（EW）和人机界面（HMI）通常采用基础的IT微型计算机和显示器构建。如果安全措施不到位，攻击者可以利用内置工具攻击OT系统进程。由于这些计算机通常使用传统操作系统，因此有多种方法可以增强其安全性和防护能力。随着零信任（ZT）原则融入HMI和EW设计，整体系统安全性可以得到提升。理想情况下，这些设备应启用所有日志记录功能；至少，应启用访问、应用程序和外部连接（例如以太网、USB、显示器、无线等）的事件日志记录。日志记录建议在OT零信任活动4.4.1“数据防泄漏（DLP）分析”中有所提及，并且是更广泛的零信任目标的核心组成部分，即捕获和解析所有系统事件以进行分析（与OT 零信任活动7.1.2“OT环境中的日志解析”相关）。
对于OT流程，各机构必须实施强有力的安全措施，特别是逻辑分段和数据隔离。OT零信任活动5.3.2“基地/营地/哨站/站点分段”可解决这些问题，以保护供应商软件免受未经授权的更改，并确保静态数据免受系统上未经授权用户的访问。工程工作站计算机通常存储全部或部分系统图纸、网络图、标准操作规程（SOP）和设计，如果保护不当，这些信息可能会成为攻击的重要目标。OT零信任活动4.4.3“OT文件优先级和监控”可解决文件活动监控中是否存在不当访问或修改的问题。
用户一旦获得工程工作站的授权，其访问权限必须仅限于其分配角色明确授权的功能和指令。角色权限和特权应与执行授权任务所需的资产、对象和资源紧密绑定，确保用户和其他所有流程调用要素只能执行已批准的活动。策略要求应限制恶意攻击者从各种常见入口点（例如工程工作站）启动脚本和代码的能力。OT零信任活动1.2.1“实施OT环境的授权和访问管理”支持限制未经授权的用户访问系统和软件。值得注意的是，最有效的安全实践之一是确保这些设备仅供OT系统使用，并存放在上锁的位置，以防止篡改和未经授权的使用。
9
通过强化Active Directory和域控制器
来加强安全性
支持运营技术（OT）环境用户身份验证的域控制器（DC）服务器（例如Active Directory）必须持续监控、维护和升级。对于系统所有者和网络安全响应人员而言，几乎没有比未经授权的用户冒充合法用户在网络中自由移动更具挑战性的场景了。实施基于策略的访问控制（PBAC），或在适用情况下实施基于属性的访问控制（ABAC），通过在授权访问特定资源和执行特定操作之前持续评估身份、角色、属性、设备状态和其他上下文因素，有助于降低这种风险。即使使用泄露的凭据，这也能限制用户执行超出策略明确允许范围的活动。强化DC涉及多方面的方法，通常以互联网安全中心（CIS）、美国国家标准与技术研究所（NIST）和美国国防信息系统局（DISA）安全技术实施指南（STIG）等标准为指导。强化DC的一些示例包括实施分层管理模型、强密码策略和身份验证、最小权限原则以及通过组策略对象进行安全配置。用户监控在OT零信任活动1.7.1“OT环境中的默认拒绝策略”中有所提及。
10
安全地验证和评估零信任控制
对安全加固及相关零信任活动的验证应优先采用被动评估技术，以最大程度地降低运营技术（OT）环境的运行风险。系统所有者应依赖配置审计、日志分析和被动网络监控（例如，交换端口分析器或测试接入点流量分析）来验证安全控制、访问策略和网络分段是否按预期运行。如有必要采用主动评估技术，则应在批准的维护窗口期内进行周密的计划、协调和执行，并特别注意避免对0级和1级设备以及其他对运行敏感的资产造成干扰。这种方法支持持续验证零信任目标，同时维护工业运营的安全性、可靠性和可用性，并得到了OT零信任活动5.3.1“OT平面分段”的支持。
六
概括
采用零信任原则对于增强传统运营技术（OT）系统的安全性至关重要，它能确保符合第14028号行政命令、第14409号行政命令、第12号国家安全总统备忘录和第22号国家安全总统备忘录指南的要求，同时在关键基础设施中实现纵深防御。尽管这些系统的老化和功能限制带来了重大挑战，但前进的方向在于利用补偿性控制措施，在无需彻底改造硬件的情况下提供现代化的保护。
为维护传统OT环境的安全，需要对现有基础设施进行全面评估，然后确定以下高影响力措施的优先级：
确保远程访问安全
保护OT数据
盘点OT资产
增强OT环境可见性
利用OT网络威胁情报
加固智能控制器
通过细分和监测来加强网络
确保工程工作站和人机界面的安全
通过强化Active Directory和域控制器来加强安全性
安全地验证和评估零信任控制
通过关注这些战略重点，各机构可以弥合架构差距，有效地在弹性、可验证的零信任环境中保护传统硬件。
该网络安全信息表（CSI）从更广泛的零信任框架中确定了26项高影响力活动，为各机构提供了一个可管理的起点，以便从基于边界的防御过渡到可验证、有弹性和自适应的架构。
对传统运营技术（OT）系统进行战略评估，并结合有针对性的安全增强措施，可以显著提升系统防护能力。通过零信任（ZT）缓解措施正面应对传统系统特有的挑战，即使在预算和技术限制以及不断演变的攻击者技术和能力面前，也能显著增强系统的安全态势，并保持对关键OT资产的控制。
附录：OT零信任优先实施活动
以下零信任（ZT）活动是基于一种侧重于“非侵入式安全覆盖”的风险降低方法论而确定的优先事项。之所以选择这些特定任务，是因为对于那些无法原生支持现代安全代理的遗留资产而言，它们能够提供最高程度的对抗威胁遏制能力以及运营可见性。
声明：本文来自奇安网情局，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
