什麼是 OT 安全？定義、挑戰與最佳實務

什麼是 OT 安全？

根據 DOJ 發布的資訊，2021 年 5 月，DarkSide 勒索軟體攻擊迫使 Colonial Pipeline 停止營運五天，且該公司支付了 440 萬美元贖金。入侵方式並非零時差漏洞利用。攻擊者濫用遠端存取與憑證弱點，接著將 IT 端的立足點轉化為營運中斷。

OT 安全是保護用於監控與控制關鍵基礎設施中實體流程之硬體與軟體系統的專業領域。依據 NIST SP 800-82r3 的定義，這些系統包括工業控制系統 (ICS)、監控控制與資料擷取 (SCADA) 網路、分散式控制系統 (DCS)，以及可程式化邏輯控制器 (PLCs)。

OT 資產會直接支配實體結果。遭入侵的 PLC 可能開啟閥門、使渦輪過熱，或關閉水處理流程。當這些系統失效時，其後果不僅止於資料遺失，還可能擴及設備毀損、環境破壞，以及對人類生命的威脅。

OT 安全與網路安全的關係

如果您來自 IT 安全背景，您應該已經知道 CIA 三元組：機密性、完整性、可用性。 OT 安全 則完全顛倒了這個優先順序。

根據 SANS Institute，「OT 網路安全的主要目標是維持工業營運的安全性、可靠性與可用性。」在實務上，這表示：

• 可用性 排名第一。發電廠或自來水公用事業若為了套用安全修補而離線，可能危及公共安全。
• 完整性 排名第二。控制命令必須準確執行，機械設備才能進行安全且可預測的運作。
• 機密性 排名第三。相較於失去對實體流程的營運控制，資料遭竊的重要性較低。

這種優先順序的反轉造成了根本性的張力。您在 IT 環境中仰賴的安全控制，例如深度封包檢測、積極的修補週期，以及即時防毒掃描，都可能引入延遲，進而干擾以毫秒為精度的 OT 作業。正如 NIST SP 800-82r3 所述，OT 系統「可能影響實體世界，因此，適用於 ICS 的風險定義必須納入對潛在真實世界後果的考量。」

這種優先順序的轉變會形塑 OT 安全計畫中的每一項架構決策，從您如何進行網路分段，到您如何處理弱點管理。以下元件將該原則轉化為具體控制措施。

OT 安全的核心元件

建立 OT 安全計畫需要五項基礎元件，每一項都必須因應工業環境的營運限制進行調整。

1. 以 Purdue Model 為基礎的網路分段

Purdue Enterprise Reference Architecture (PERA) 提供了一個階層式框架，用於將 OT 網路與 IT 網路分離。根據 DOE publication，此模型定義了六個層級，從第 0 層（感測器與致動器等現場裝置）到第 5 層（包括供應商支援與雲端存取的外部連線）。對現代環境而言，一項關鍵補充是第 3.5 層，也就是非軍事區 (DMZ)，其承載資料歷史資料庫等共用服務，以防止企業 IT 與 OT 控制系統之間的直接流量。 CISA segmentation guidance 要求設置多層 DMZ，並在每個邊界實施防火牆強制控管。

2. 資產盤點與可視性

您無法保護看不見的東西。 CISA inventory guidance 概述了一種分階段方法：定義範圍、指派治理角色，然後進行實體檢查與邏輯調查，以彙整包含關鍵性與安全組態等屬性的資產清單。

一項特殊挑戰是休眠裝置。備援控制器、冗餘安全系統與緊急設備在正常運作期間維持非作用狀態，無法被被動式網路監控看見，且可能遭攻擊者利用。

3. 安全的遠端存取

供應商遠端存取既是營運上的必要條件，也是持續存在的弱點。根據 Defense-in-Depth guide，供應商合約經常要求遠端存取設備，而攻擊者會利用這些連線作為入侵點。保護此通道需要在 DMZ 區段中部署跳板伺服器、多重要素驗證、暫時性的角色型存取，以及強式加密。

4. 以風險為基礎的修補程式管理

修補 OT 系統與修補 IT 端點在本質上截然不同。根據 CISA's roadmap，「ICS 擁有者與營運者基於許多原因不會套用修補程式，包括營運流程中斷的風險或成本，以及供應商未能為特定設備提供修補程式。」

當無法直接修補時，您會部署補償性控制：在弱點資產周圍加強網路分段、應用程式白名單、更嚴格的存取限制，以及加強對利用嘗試的監控。

5. OT 專屬的行為監控

工業環境受益於行為異常監控，因為 OT 網路流量遵循可預測、可重複的模式。根據 NIST IR 8219，行為監控可在異常資料干擾營運之前將其捕捉，從而提升 ICS 的可靠性。有效的監控需要針對工業通訊協定的特定能力，例如 Modbus、DNP3、EtherNet/IP 和 PROFINET。

這五個元件共同構成 OT 安全計畫的基礎。下一步是將它們納入一個不會中斷生產的營運模型中。

OT 安全如何運作

OT 安全透過分層防禦運作，以因應工業環境的限制條件。

步驟 1：繪製環境地圖

您的安全計畫始於資產探索。您會對現場裝置進行實體檢查、對網路通訊進行邏輯調查，並記錄每一個控制器、感測器、HMI 和工程工作站。此資產清冊直接對應到 Purdue Model 各層級，讓您清楚掌握每一層中有哪些資產存在。

步驟 2：分段與隔離

以 Purdue Model 作為藍圖，您可在網路區域之間建立強制執行邊界。 防火牆 搭配預設拒絕規則集，可控制每個邊界上的流量。位於 3.5 層的 DMZ 會承載歷史資料庫和報表伺服器等共用服務，同時防止企業網路與控制系統之間的直接通訊。

步驟 3：建立基準

PLC 會反覆執行相同的控制邏輯。 SCADA 輪詢間隔遵循固定排程。您會將這些正常通訊模式擷取為基準，然後標記偏差：非預期的協定命令、先前從未通訊過的裝置之間出現新連線，或 PLC 邏輯的變更。

步驟 4：監控與回應

持續監控會觀察強制執行邊界以及區域內的網路流量。當異常出現時，例如對 PLC 發出未經授權的寫入命令，或企業網路對第 1 層控制器發起非預期連線，您的回應程序就會啟動。OT 事件回應 與 IT 回應不同，因為隔離遭入侵的系統可能會關閉關鍵流程。回應計畫必須將營運持續性與實體安全納入考量。

步驟 5：透過生命週期管理維護

OT 安全不是一次性的部署。您需要持續更新資產清冊、在新弱點出現時重新評估風險，並在修補程式仍不可用時測試補償性控制。將弱點評估與 CISA 的 Known Exploited Vulnerabilities Catalog 交叉比對，以便排定修補優先順序。

一旦您能可靠地執行這些步驟，下一個問題就會變成攻擊者最可能從哪裡進入：答案愈來愈常是您整合後的 IT/OT 邊界。

為何 IT/OT 整合會增加風險

OT 安全中最大的單一結構性轉變，就是 IT 與 OT 網路的整合。根據 DOE Supply Chain Report，這種整合「持續增加」，隨著能源產業系統連接 ICT 與 OT 以提升效率，也帶來新的風險。 NSTAC Strategy Report 點出了這個矛盾：連線能力帶來效率效益，同時也讓 OT 系統暴露於其原本從未設計來處理的威脅之下。

整合會產生您的安全計畫必須處理的特定攻擊路徑：

• 扁平化網路架構，根據 CISA landscape report，由於網路邊界薄弱或不存在，攻擊者可橫向移動進入 SCADA 環境。
• 利用舊式協定，透過 Modbus、DNP3 和 ICCP 等未加密的工業協定進行利用，這些協定在傳輸資料時沒有加密或驗證機制。
• 遠端存取弱點，透過 VPNs 和供應商支援通道繞過適當的驗證或監控。

對於管理整合環境的安全主管而言，網路中的 IT 端是對手接觸 OT 資產的主要入口點。如果您已經以 XDR 方法來思考，請將相同的可視性思維套用到連接企業端點與控制網路的路徑上。理解這些路徑也能揭示為何在實務上建立 OT 安全計畫如此困難。

OT 安全中的挑戰

即使已有既定框架與政府指引，建立 OT 安全計畫仍面臨獨特障礙。

1. 無法更新的舊式系統：該 DOE report 強調，舊式 SCADA 裝置在設計時並未將網路安全納入考量，且嘗試升級它們可能會破壞其他已連接系統之間的相依性。您可能正在保護執行於不受支援作業系統上的 PLC，這些系統具有硬編碼密碼、未加密通訊協定，以及若未經廣泛測試或系統停機便無法修補的限制。
2. 營運停機限制： 對 OT 系統套用修補程式需要停機。對於 24/7 的發電設施或水處理廠而言，任何中斷都伴隨風險。這項限制迫使您更常依賴補償性控制，而非直接修復。
3. 多樣化的威脅行為者： 如今，無論是高度成熟的國家級行為者還是低技術門檻的駭客行動主義者都將 OT 視為目標。根據 2025 年 12 月的一份 聯合公告，親俄羅斯的駭客行動主義團體已成功使用基本方法鎖定 SCADA 網路，在某些情況下還同步發動 DDoS 攻擊，以利於入侵 SCADA。與此同時，一則 CISA 警示說明攻擊者如何在 2015 年干擾烏克蘭 Prykarpattyaoblenergo，導致約 225,000 名客戶停電數小時。
4. 跨職能協調： OT 安全需要 IT 安全、控制工程師、廠區操作人員與實體安全人員之間的協作。沒有任何單一領域能掌握全貌。該 SANS 2025 報告發現，將現場技術人員納入桌上演練的組織，展現真實整備能力的可能性幾乎高出一倍。
5. OT 環境中的可視性缺口： 閒置裝置、未記錄資產以及加密的供應商連線會形成盲點。根據 SANS 2025 報告，目前有 49% 的事件可在 24 小時內識別，但仍有將近五分之一需要超過一個月才能完成修復。

這些限制不會改變目標，但會重塑您的應變手冊。公認的框架提供了可用來系統性因應這些限制的結構。

OT 安全框架與法規遵循

有數個框架可指導組織如何建立與衡量 OT 安全計畫。最廣泛採用的三個是 NIST SP 800-82、 IEC 62443，以及 NERC CIP。各自承擔不同功能，而大多數成熟計畫都會結合不只一種框架。

NIST SP 800-82 第 3 版於 2023 年 9 月發布，是美國聯邦政府用於保護工業控制系統的主要指南。它為 OT 安全提供以風險為基礎的方法，並與 NIST Cybersecurity Framework 2.0保持一致，其中包括較新的 Govern 功能，將 OT 網路安全治理提升至組織層級。NIST SP 800-82 屬於描述性而非規範性文件：它告訴您應考量哪些事項以及如何評估風險，但將具體實作決策留給各組織自行決定。可將其視為您計畫管理的骨架。

IEC 62443由 ISA 與 IEC 共同維護，補足了 NIST SP 800-82 未明確規定的技術細節。當 NIST 描述要達成什麼時，IEC 62443 則定義如何建構您的計畫以達成目標。它屬於規範性標準，涵蓋四個標準系列中的一般概念、政策與程序、系統層級安全，以及元件層級安全。其最具代表性的貢獻是安全等級（SL）模型，將控制措施對應到您的防禦必須承受之threat actor能力：

• SL-1: 防範意外或非故意的暴露。
• SL-2：防範使用基本方法與有限資源的蓄意攻擊。
• SL-3：防範具備中等資源與自動化專業知識的複雜攻擊。
• SL-4：防範具備深厚 OT 專業知識的國家級或資金充足對手。

IEC 62443 中的區域與通道模型，直接影響組織如何實作本文前面所述的 Purdue Model 分段。

NERC CIP（關鍵基礎設施保護）標準則採取完全不同的方法。它們是北美大電力系統營運商的強制性標準，並規定了資產識別、存取管理、事件通報與復原規劃的特定安全控制。受 NERC CIP 約束的組織必須面對可稽核要求，且不遵循將受到執法處罰。如果您在能源產業營運，NERC CIP 並非可選項。

SANS 2025 報告證實，受監管的組織並不比同業遭遇更少事件，但在事件發生時，其財務損失與安全影響大約少 50%。法規遵循會迫使組織投資於基礎能力，包括資產可視性、記錄，以及變更偵測，而這些也正是有效threat detection and response的基石。

在實務上，這些框架以組合方式運作時效果最佳。請將 NIST SP 800-82 作為您的計畫管理架構，並將 IEC 62443 作為您的技術實作規範。即使沒有法規強制要求的組織，也能從採用這些標準作為結構化成熟度路徑中受益。有了這個基礎，您就能將框架要求轉化為日常營運實務。

OT 安全最佳實務

根據 NIST SP 800-82r3、IEC 62443 標準，以及 CISA 發布的指引，以下實務構成成熟 OT 安全計畫的基礎。

1. 實施縱深防禦的網路分段。 遵循 Purdue Model 建立具階層的區域，並在每個邊界以防火牆強制執行預設拒絕規則集。絕不可允許企業 IT 與 OT 控制網路之間有直接流量。
2. 維持持續更新的資產清冊。 遵循 CISA 的分階段方法：定義範圍與治理、執行實體與邏輯盤點，並擷取高優先屬性，包括關鍵性、韌體版本與安全組態。將閒置裝置納入考量。
3. 對所有遠端存取強制執行多重要素驗證。 在 DMZ 區段中使用跳板伺服器，為供應商授予暫時性的角色型存取，並記錄所有遠端工作階段。消除外部各方對 OT 網路的直接連線能力。
4. 採用風險導向的修補程式管理。 在規劃的維護時段內安排修補。當無法修補時，部署補償性控制：應用程式白名單、強化分段，以及提高監控。將弱點與 CISA 的 Known Exploited Vulnerabilities Catalog 交叉比對。
5. 部署 OT 專用的行為監控。 建立正常通訊模式的基準並標記偏差。監控工業通訊協定（Modbus、DNP3、OPC-UA）中的未授權命令。將監控整合至更廣泛的安全營運中，以獲得統一可視性。
6. 建立跨職能的事件回應計畫。 除了 IT 安全人員外，也應納入控制工程師與廠場操作員。進行由工程團隊主導的桌上演練，模擬隔離遭入侵裝置可能中斷關鍵流程的情境。

將這些最佳實務延伸到日常營運，起點是強化對手最常用來進入 OT 的 IT 端控制措施。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點摘要

OT 安全保護控制關鍵基礎設施中實體流程的工業系統，將可用性與安全性置於資料機密性之上。IT/OT 融合擴大了暴露面，使傳統系統面臨風險。有效的計畫需要基於 Purdue Model 的縱深防禦分段、嚴謹的資產清冊、風險導向的修補程式管理，以及 OT 專用的行為監控。 

NIST SP 800-82 和 IEC 62443 等框架提供結構化的成熟度路徑，而以自主防護保護 IT 邊界可直接降低已連線營運環境的風險。