什麼是 Purdue Model？定義、層級與最佳實務

什麼是 Purdue Model？

單一遭入侵的 HMI 工作站，就能讓攻擊者對控制實體流程的 PLC 取得直接命令權限。實務上，該工作站是位於三道強制執行的安全邊界之後，還是與您的企業電子郵件伺服器共用扁平網路，兩者之間的差異，就是 Purdue Model。

The Purdue Enterprise Reference Architecture (PERA),普遍稱為 Purdue Model，是一種階層式參考框架，將工業控制系統（ICS）網路劃分為不同的功能層級，從現場層級的實體流程到企業 IT 與外部網路。該模型由 Purdue University 的 Laboratory for Applied Industrial Control 於 1991 年由 Theodore J. Williams 與 Industry-Purdue University Consortium for Computer-Integrated Manufacturing 開發，最初是為了處理電腦整合製造中的資料流，而非網路安全。

隨著各產業將 OT 連接至 IT，這種階層式結構自然成為定義哪些內容應該與不應該跨越網路邊界通訊的基礎。如今，該模型將 ICS 環境組織為第 0 到第 5 層（外加關鍵的第 3.5 層 Industrial DMZ），每一層都有明確定義的元件、信任邊界與安全需求。

DOE 研究確認該模型「被用作所有工業控制系統框架（例如 API 1164 與 NIST 800-82）的基準架構。」

然而，了解 Purdue Model 是什麼，只是第一步。它在現代工業安全中的重要性，來自於它如何將該階層式結構轉化為具體的網路安全防護。

Purdue Model 與網路安全的關聯

Purdue Model 的核心安全價值，在於於 OT 與 IT 環境之間建立清楚的信任邊界，從而透過分層安全區域實現 縱深防禦。ISA-95 正式將其階層式方法編纂為標準化術語，而 ISA/IEC 62443 則直接以該模型為基礎建立其區域與通道安全架構。

CISA、NIST 與 DoD 在目前的 2025 指引中都積極支持 Purdue Model：

• CISA 的 2025 公告將其稱為「分層安全區域的指南」
• NIST 已將其納入 SP 800-82 Revision 3
• 美國國防部在零信任 OT 指引中引用了它

當您向稽核人員或監管機關捍衛架構決策時，Purdue Model 具有跨機構的聯邦背書。

根據網路攻擊在 2025 年，製造業占所有 IBM X-Force 2026 Index的 27.7%，連續第五年為所有產業中最高。這些數據說明了為何工業環境中的結構化分段不是可有可無的強化措施。

若要了解該分段在實務上如何運作，您需要知道每一層有哪些內容，以及各層承擔哪些安全義務。

Purdue Model 的六個層級

Purdue Model 定義了六個功能層級（0–5），以及為因應 IT/OT 匯流而新增的 Industrial DMZ。每一層都包含特定元件、具有明確定義的風險設定檔，並需要不同的安全控制。

第 0 層：實體流程

實際受控制的工業流程。感測器、致動器、閥門、馬達與生產設備都位於此處。主要要求是實體存取控制與訊號完整性保護。

第 1 層：基本控制

對實體流程進行即時可程式化控制。PLCs、RTUs、安全儀表系統 (SIS) 與智慧電子裝置會執行控制邏輯。這些都是高價值目標，因為一旦遭入侵，就能直接操控實體流程。它們通常執行即時作業系統，且不支援現代驗證或修補。DOE 將第 0 層與第 1 層一併歸類為 Safety Zone，風險設定檔為 Critical。

第 2 層：監督控制

人機互動與監督式監控。HMI、SCADA 系統、操作員工作站與本機控制伺服器位於此處。由於此層執行以 Windows 為基礎的作業系統，同時仍對第 1 層 PLC 保有直接命令權限，因此它是來自 IT 的 攻擊者橫向移動的主要目標，這也是許多環境中的關鍵監控與遏制缺口。

第 3 層：站點營運

全廠營運管理。製造執行系統 (MES)、資料歷史資料庫、批次控制系統與 OT 網路監控平台會彙整所有向上流動的 OT 資料。此層的歷史資料庫是常見的 IT/OT 橋接點，歷來也曾被利用作為環境之間的樞紐點。

第 3.5 層：Industrial DMZ (iDMZ)

此層在 1990 年代的原始模型中並不存在。 DOE 指引指出：「此層最初並非在 Purdue model 中設計；然而，隨著 OT 與 IT 持續匯流，這個抽象層對於確保通訊分離至關重要。」它包含 IT 與 OT 邊界兩側的周邊防火牆、資料二極體、Proxy 伺服器、歷史資料庫複本與跳板伺服器。沒有任何直接的 IT 到 OT 連線會穿越此區域。

第 4 層：企業網路

企業 IT 系統，包括 ERP、CRM、Active Directory 與業務應用程式。關鍵強制要求：不得與第 2 層或以下層級直接連線。

第 5 層：外部網路

面向網際網路的系統、雲端服務與供應商存取入口網站；若架構設計得當，在未穿越多重安全邊界的情況下，將不存在通往 OT 的路徑。

了解這些元件是必要的，但真正落實安全強制控管的關鍵，在於知道流量如何在它們之間流動。

Purdue Model 如何運作

Purdue Model 透過階層式通訊控制來強制執行安全性。每一層主要與其相鄰層級通訊，而 OT 區域（第 0 到第 3 層）與 IT 區域（第 4 與第 5 層）之間的所有流量，都必須通過位於第 3.5 層的 Industrial DMZ。

NIST SP 800-82 Rev. 3 明確要求防火牆規則，防止第 4 層裝置直接與第 2、1 或 0 層裝置通訊。該標準也建議組織考慮讓輸出規則與輸入規則同樣嚴格，以協助防止傳入攻擊與傳出資料外洩。

ISA/IEC 62443 透過區域與通道將此正式化。區域是共享共同安全需求的資產集合。通道是連接各區域的通訊通道，且其安全防護必須達到與其所連接之最高信任區域相同的關鍵性等級。

在實務上，資料流如下運作：

• 第 0 層感測器將資料傳送至第 1 層控制器
• 第 1 層控制器向第 2 層 HMI 與 SCADA 系統回報
• 第 2 層將資料推送至第 3 層 historian
• DMZ 中的第 3 層 historian 複本向第 4 層 IT 使用者提供資料

IT 系統絕不會直接查詢 OT

這種單向資料推送架構，並透過防火牆、存取控制，以及可選用的硬體資料二極體加以強化，可防止入侵企業網路的攻擊者觸及控制實體流程的系統。

實作 Purdue Model 的主要優勢

若正確實作，Purdue Model 可在四個營運領域帶來疊加的安全價值。

• 透過強制分段實現縱深防禦。每個 Purdue 層級都會形成攻擊者必須穿越的安全邊界。即使企業網路因勒索軟體而完全遭到入侵，適當的分段仍可防止實體流程的營運停擺。
• 符合法規與標準。 Purdue Model 是 ISA/IEC 62443 合規評估、NIST SP 800-82 架構要求，以及 CISA 現行公告的明確基礎。實作它可讓您擁有可稽核、可向監管機關辯護的架構。
• 限制橫向移動。  2025 Verizon DBIR 發現 ransomware 現已占所有資料外洩事件的 44%。在 OT 環境中，勒索軟體直接威脅營運可用性與安全性，而不只是資料。Purdue 分段可限制勒索軟體從 IT 傳播到 OT 區域。
• 對舊有系統的補償性控制。 工業設備 15 到 25 年的生命週期，意味著您的 OT 環境很可能包含無法使用現代工具修補、驗證或監控的系統。 CISA's guidance 明確建議將網路分段作為這些系統的主要防護措施。

這些優勢會相互疊加，但前提是實作必須健全。而健全的實作，始於理解那些讓 Purdue Model 比紙面上看起來更難部署的結構性挑戰。

Purdue Model 實作挑戰

Purdue Model 的原則在紙面上很清楚，但在實際工業環境中落實這些原則的營運現實並非如此。多項結構性挑戰持續在架構圖所呈現的內容與網路上流量實際行為之間造成落差。

1. IT/OT 融合會產生未文件化的架構。 現代營運需求持續在 Purdue 邊界之間建立新的連線。 Peer-reviewed research 於 2025 年發表，指出資料流需求、安全區域複雜性與通訊協定橋接是三項主要的融合挑戰。
2. 舊有系統難以套用現代安全控制。 第 1 層 PLC 與 RTU 通常執行即時作業系統並使用專有通訊協定，而大多數 IT 安全工具都無法檢查這些內容。您無法在執行 2005 年 RTOS 的 PLC 上安裝端點代理程式。以網路為基礎的分段成為您唯一可行的控制措施。
3. 營運安全限制了安全選項。 NIST SP 800-82 Rev. 3 明確要求分段必須考量「營運效能與安全」。ICS 環境無法容忍在 IT 中可接受的驗證失敗或網路延遲。任何安全控制都不能成為生產或安全系統的單點故障。
4. 雲端與 IIoT 缺乏明確的 Purdue 定位。 DOE 指出，由於即時時序需求，第 0 與第 1 層裝置不適合虛擬化或雲端託管。雲端與虛擬化適用於第 3 層及以上，但許多組織在沒有明確框架說明其歸屬位置的情況下，就整合了雲端分析與 IIoT 感測器。
5. 遠端存取違反基本原則。傳統的 VPN 解決方案通常會建立通往較低 OT 層級的直接連線，直接違反 Purdue Model 的控制階層。 CISA has documented 親俄羅斯的駭客行動主義團體已成功透過安全防護最低限度的、面向網際網路的 VNC 連線入侵 OT 控制裝置。

了解這些挑戰有助於您預先因應它們。但最危險的失敗，往往是團隊自己造成的。

應避免的常見 Purdue Model 錯誤

挑戰若屬於結構性，錯誤則是選擇：團隊在設計、部署或持續管理期間所做的決策，會削弱該模型原本旨在提供的防護。這些是 CISA 威脅獵捕人員在真實工業環境中最常遇到的錯誤。

部署 VLAN 卻未強制執行 VLAN 間存取控制。 CISA 的主動式威脅獵捕 發現某些組織已正確設定獨立的 IT 與 SCADA VLAN，卻沒有對應的防火牆規則，導致 VLAN 間路由不受限制。結果是：「IT 網路中的非特權使用者[可能]使用其憑證存取關鍵的 SCADA VLAN。」僅靠 VLAN 是網路管理工具，而非安全控制。

以下錯誤會加劇這項基礎性錯誤，而且在實際環境中同樣常見：

• 保留過於寬鬆的防火牆規則。「暫時性」的疑難排解規則（allow any/any、開放 RDP/VNC）會變成永久配置，並在稽核與人員變動後持續存在。
• 允許 IT 直接存取現場控制器。NIST SP 800-82 Rev. 3 要求防火牆規則必須防止 Level 4 裝置與 Level 2、1 或 0 通訊。違規會建立繞過所有監督控制的攻擊路徑。
• 將實作視為一次性專案。部署 Purdue 分段後便不再檢視的組織，會隨著營運需求變化而累積未記錄的連線。架構驗證必須包含實際流量分析與規則稽核，而不只是檢視圖表。
• 授予供應商對 OT 區域的廣泛遠端存取權限。 CISA 的威脅獵捕指引 將供應商遠端存取列為經常遭利用的弱點。VPN 存取若直接終止於 OT 區域，而非 DMZ 跳板伺服器，便會形成持續性的攻擊路徑。

避免這些錯誤需要刻意採取與標準一致的實務做法。

Purdue Model 最佳實務

了解可能出錯之處只完成了一半工作。另一半是在營運壓力、稽核審查與主動威脅條件下，以能夠承受考驗的方式建置並維護架構。以下實務反映了目前 CISA、NIST 與 DOE 對 ICS 環境的指引。

實作雙防火牆工業 DMZ。 CISA 的指引 明確指出：在 IT-DMZ 邊界與 OT-DMZ 邊界都部署防火牆，形成兩個獨立的強制執行點。將所有共用服務（historian、跳板伺服器、遠端存取端點）託管於 DMZ 內。DMZ 主機不得主動發起連線進入 OT 區域。

部署具備 ICS 感知能力的安全控制。標準 IT 防火牆並不足夠。CISA 要求具備 SCADA 感知能力的防火牆，能在應用層檢查工業通訊協定、應用程式允許清單 用於授權通訊協定，以及對工業通訊進行深度封包檢測。

在此基礎上，四項營運控制可在日常中強化此架構：

• 強制執行雙向通訊控制。NIST SP 800-82 Rev. 3 建議讓輸出規則與輸入規則同樣嚴格，以防止來自外部的攻擊，以及遭入侵 OT 系統向外進行的資料外洩。
• 對高安全性資料流使用資料二極體。對 historian 複寫採用由硬體強制執行的單向資料傳輸，可在實體上防止反向通訊，消除透過 historian 通道對 OT 進行命令與控制的風險。
• 依據實際流量驗證架構。將防火牆規則集與網路圖進行比對。CISA 威脅獵捕已一再發現兩者彼此矛盾。模擬攻擊者情境：嘗試從遭入侵的非特權 IT 帳戶存取關鍵 SCADA VLAN。
• 將所有遠端存取終止於 DMZ。每個供應商、員工與承包商的遠端工作階段都必須落在 Level 3.5 跳板伺服器，並具備工作階段記錄，絕不可直接進入 OT 區域。

在較高層級以零信任延伸。兩者皆 CISA 的 2025 指引 與 DoD 的 OT 零信任立場都將 零信任 視為 Purdue 的互補措施，而非替代方案。身分驗證適用於 Level 3.5 及以上層級。Level 0 到 2 則需要以網路型分段作為主要控制。

這些實務反映了該模型原始設計的運作方式。但 Purdue Model 本身並非一成不變，對於在 IT 與 OT 不再明確分離的環境中運作的團隊而言，理解其演進方式至關重要。

現代演進：IT/OT 融合與 Purdue 2.0

Purdue Model 已從 6 層架構演進為 7 層模型，並將 Level 3.5 視為必要的安全控制。安全架構師如今將其稱為「Purdue 2.0」，代表的是調適而非取代。結合 Level 3.5 iDMZ 的階層式分段原則，仍是保護實體工業流程最經過營運驗證的方法。

對於管理這些日益融合環境的安全團隊而言，跨環境可視性對於發現跨越 IT/OT 邊界的威脅，以及關聯端點、身分與網路流量中的可疑活動，變得不可或缺。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

Purdue Model 仍是聯邦認可的 ICS 網路分段，將工業環境組織為具有強制信任邊界的階層式層級。位於 Level 3.5 的 Industrial DMZ 現已成為任何已連線 OT 環境的強制要求。 

實作的成功或失敗取決於強制執行，而非設計：根據實際流量驗證防火牆規則、在 DMZ 終止所有遠端存取，並部署具備 ICS 感知能力的安全控制。由於勒索軟體存在於 44% 的入侵事件，且製造業已連續五年成為最常遭鎖定的產業，因此基於 Purdue 的分段並非可有可無。