确保隔离运行环境中的文件传输安全
公用事业部门仍然面临着持续的网络威胁，包括有针对性的恶意软件、勒索软件和零日漏洞，尤其是在 OT（运营技术）系统必须从外部来源获取数据的情况下。根据IBM 的 X-ForceThreat Intelligence 指数（X-ForceThreat Intelligence Index），能源公用事业是 2024 年第四大最受攻击的行业。
随着公用事业运营日益数字化，处理诊断报告、补丁文件和系统更新等外部文件而不暴露内部资产已成为一项核心要求。这些传输通常涉及第三方供应商和USB 驱动器等便携式介质，如果不加以适当控制，这些介质极有可能被恶意软件渗透并违反合规性要求。
为了降低这些风险，公司采用了分段式架构，将文件传输过程完全控制在各自的信任区域内。 MetaDefender Managed File TransferMFT) 和 MetaDefender Core部署在低安全性（面向外部）和高安全性（内部）环境中。每个环境都独立运行，区域之间没有直接连接。现在，文件根据特定区域的安全策略进行扫描和处理，确保外部提交的文件不会绕过内部保障措施。
内、外部上传档案都必须符合公司资安政策
公司的运营流程需要从内部工程团队和外部承包商安全接收文件。这些文件可能包括系统诊断、补丁包或更新有效载荷，必须在不影响内部系统的情况下将其引入受保护的 OT 环境。
在采用MetaDefender 解决方案之前，这些传输通常依赖于人工程序和临时工具，包括共享驱动器、不安全的文件传输和物理介质交接。特别是USB传输缺乏标准化的扫描程序，造成了引入恶意软件和政策执行不一致的风险。
为了解决这个问题，该组织在低安全性和高安全性环境中都部署了MetaDefender Managed File Transfer 和MetaDefender Core 扫描引擎。无论是通过MetaDefender Kiosk 从USB 设备还是通过MetaDefender MFT 身份验证的 Web 界面 (WebGUI) 提交文件，都是在每个区域内通过策略强制上传USB 和网络源文件来独立处理的。
MetaDefender Kiosk提供了一个上传站，用于在可移动媒体进入网络前对其进行扫描，而基于网络的上传则仅限于通过本地管理账户进行验证的用户。所有文件都根据特定区域的规则进行扫描，包括使用MetaDefender Core 进行内容标记和深度威胁检查。这可确保安全地处理提交的文件，而不会暴露在跨区的共享基础架构中。
这种结构使公司能够在低安全性和高安全性网络之间保持完全的操作隔离，同时仍允许在需要时上传文件。它还能确保对所有上传、用户操作和策略决策进行全面审计记录和跟踪，从而实现内部策略的一致执行，并帮助满足审计和合规性要求。
OPSWAT的解决方案：在分割环境中使用 MetaDefender Managed File Transfer
该公司在确定需要能够在分段网络环境中安全运行的文件传输技术后，选择了OPSWAT的MetaDefender Managed File Transfer 。一个基本要求是在每个环境中实现安全的文件上传，无论是来自内部用户还是外部供应商，同时保持低安全区和高安全区之间的严格隔离。
该解决方案部署为两个完全独立的环境。一个MetaDefender Managed File Transfer 和MetaDefender Core 实例安装在低安全区，另一个实例安装在高安全区。每个实例自主运行，对所有传入文件应用自己的安全策略和扫描工作流程。
MetaDefender Kiosks 安装在关键的上传点，以实现USB 媒体的安全传输。这些信息亭作为受控上传站，允许用户在不直接访问内部网络的情况下扫描和提交文件。还支持基于网络的上传，用户通过本地管理的账户进行身份验证。这可确保安全提交，而不会暴露内部目录服务。
通过在每个环境中执行分段、策略控制的文件工作流和分层威胁检测，该公司建立了一个安全、可审计的外部和内部文件处理流程。文件永远不会在区域之间传输，因此永远不会跨越信任边界，同时还能在任何需要的地方进行业务文件交付。
OPSWAT 技术公司提供的 3 项关键能力
文件扫描
所有通过MetaDefender Kiosk 或MetaDefender Managed File Transfer WebGUI 提交的文件都会受到多层威胁检测。文件会在接收环境中使用 MetaDefender Core对文件进行扫描，它同时应用基于签名和行为的分析来识别和阻止已知和未知的威胁。扫描策略还可以识别敏感文件类型，如国家利益（SNI）内容，以确保在监管框架下进行适当处理。
特定区域身份验证
外部用户通过MetaDefender MFT WebGUI 使用每个环境中独立管理的本地账户提交文件。这通过本地用户身份验证提供了零信任访问控制，而无需集成活动目录。所有用户操作都有审计记录，并完全归属于特定身份，支持问责制和可追溯性。
自动文件路由
经批准的文件会根据策略自动路由到每个区域内的预定义存储位置（如指定的 SMB 共享），从而降低人工处理风险，确保交付路径受控。这减少了人工操作，消除了人为错误的风险，并确保只有经过审核的文件才能交付到运行环境中。所有传输都会记录在案，任何异常都会触发策略定义的响应。
这些控制措施使公司能够在安全区之间保持严格的隔离，同时还能在一致的管理下进行文件上传和处理。
通过分段、政策驱动的文件上传建立复原力
通过对文件传输采用分层、策略控制的方法，该公司大大降低了文件传播威胁的风险，同时在信任区之间保持严格的操作边界。MetaDefender Core 可执行深度内容检查，无论文件是来自在Kiosk 扫描的USB 设备，还是通过MetaDefender MFT WebGUI提交的。
每个区域都独立处理文件，确保不会发生文件跨安全边界移动。这种分区策略与自动化工作流程和详细的审计日志相结合，使企业能够满足内部安全政策和监管要求，同时又不影响操作的灵活性。
随着威胁环境的不断变化，OT 环境仍然是高价值目标，无论文件来自何处，这一架构都为安全、可追踪的文件处理提供了面向未来的基础。
探索如何 MetaDefender Managed File Transfer如何帮助您的组织在分段环境中执行安全、可审计的文件上传和传输，请立即与专家联系。
