OTPatch Management 适用于物理隔离环境：完整的离线补丁部署工作流

• OT补丁管理并非只是IT补丁管理的时间周期更长。安全 依赖关系、经过认证的供应商配置、较长的资产生命周期，以及对非计划重启的近乎零容忍态度，这些因素几乎改变了该流程的每个步骤。
• 物理隔离的网络虽然失去了自动补丁更新的覆盖范围，但对补丁更新的需求并未消失。 无法与外部通信的终端设备 将从基于云的扫描和更新服务中消失，除非通过离线存储库和本地管理在隔离区域内恢复其可见性。
• 绝不应仅凭CVSS严重性评分来确定OT补丁的优先级。 在决策时，除评分外，还应综合考虑漏洞利用的 成熟度、网络可达性、资产关键性以及对运营安全的影响；否则，两个评分相近的漏洞可能会得到错误的处理。
• 可移动存储介质是一个控制点，而非一种便利。 在通过源头验证、签名和哈希值校验以及恶意软件检测，确认其安全无虞之前，应将每个 补丁包及其承载设备均 视为不可信。
• MetaDefender Endpoint™ 通过一个终端代理实现漏洞和补丁管理、可移动存储介质保护以及 BadUSB 防御，并借助 My 的 OPSWAT™Central Management提供 集中式可视化管理， 但治理、测试和供应商审批仍由组织自行负责。

无法连接互联网的终端设备将无法纳入基于云的漏洞扫描、更新库和策略同步范围，这意味着除非在本地采取措施恢复覆盖范围，否则这些设备也会从合规性报告中消失。手动、基于电子表格的补丁管理可以在一段时间内作为替代方案，但当规模扩大时就会失效：非正式的USB 传输无法留存记录，部署结果无法被记录，每次审计都变成了一次事后重建工作。

离线补丁库、本地集中管理以及受控的传输路径，能够重现云自动化在联网环境中提供的覆盖范围，同时无需建立会削弱“空气隔离”本身效果的实时连接。

• 获取和初步验证在生产环境之外进行，地点位于一个可访问互联网的区域，以便下载供应商更新并运行初步的签名和哈希校验。
• 离线补丁库负责管理经过批准的操作系统和第三方应用程序更新，并在隔离网络内维护版本控制、版本替代情况追踪以及同步记录。
• 本地集中式管理无需依赖云服务、外部身份提供商或回传许可机制，即可分发策略、安排部署、收集端点状态并生成报告。
• 最终的策略执行和部署仍由本地运维团队控制，因此，即使外部来源遭到入侵或出现延迟，也绝不可能将变更直接推送到生产环境。

可重复的离线补丁应用工作流分为六个阶段，每个阶段都会产生明确的决策、交付物和审批记录，从而确保整个流程从头到尾均可追溯。

1. 清点与发现。维护 一份包含硬件和软件版本、网络区域、安全功能及支持状态的资产清单，然后将其与供应商安全公告及离线漏洞扫描结果进行关联分析，以确定适用的更新。

2. 按风险优先级排序。对 每个候选补丁，应 根据可利用性、暴露程度、资产关键性及安全后果进行评分 （而非仅依据严重性评分），并在其进入工作流之前，确认其与固件、操作系统及供应商支持的兼容性。

3. 验证并批准该软件包。 在正式批准变更之前，需验证 源代码的真实性、数字签名和加密哈希值，在隔离的预发布环境中扫描恶意软件，并进行代表性测试。

4. 传输与准备。 通过受控的可移除存储介质传输 已批准的软件包，传输后重新验证，并在部署窗口开始前将其准备就绪。

5. 分阶段部署。 在经批准的维护时段内发布 补丁，并明确端点目标、在支持的情况下采用静默安装设置，同时控制重启操作并设定停止条件。

6. 验证、回滚和报告。确认 安装状态、服务健康状况和安全功能的行为，若验收标准未通过，则触发经过测试的回滚，并记录结果、异常情况和证据，以备审计审查。

一份将网络安全事件发生概率与运营后果进行权衡的优先级矩阵，能为团队提供一种一致的决策流程，而不是对每个高严重性问题都采取相同的处理方式。

当补丁被推迟而非立即应用时，该例外情况需要明确的责任人、技术依据、有效期以及补偿性控制措施，并且每当发现利用活动或供应商指导方针发生变化时，均需重新审查。永久性且未经审查的例外情况，正是审计人员首先发现的漏洞。

在策略对其进行验证之前，补丁包及其所承载的可移除存储介质均应被视为不可信。一种“先检查后处理”的证据链机制，可在文件在OT网络内可访问之前，确认其来源、完整性和内容安全性。

• 来源验证。 仅从供应商门户或经过认证的分发渠道获取 更新，并记录来源、获取时间、软件包版本以及下载人员的身份信息。
• 签名和哈希验证。 在传输前，请检查 数字签名、证书有效性以及供应商发布的加密哈希值。有效的签名可证明文件的真实性，但仅凭签名本身并不能证明该包在特定的OT环境中是安全的。
• 恶意软件检测。 在隔离的测试环境中扫描 整个软件包（包括嵌套的压缩包、安装程序、脚本和驱动程序），并对判定为可疑的文件采取预先定义的隔离和拒绝措施。
• 可移除存储介质和BadUSB防护。要求 对设备进行授权并进行访问前扫描，从而在受感染的驱动器和伪造设备（包括冒充键盘的BadUSB攻击）在OT终端上执行任何操作之前将其拦截。
• 证据链记录。记录 存储介质的标识、保管人、哈希值、检查结果、审批情况、转移时间及目的地，以便在审计期间能够还原每次转移的过程。

部署经过验证的补丁仍属于运营变更，成功的部署不仅要修复漏洞，还必须同样确保流程控制、安全性和可恢复性。

• 构建一个具有代表性的测试环境。 在可行的情况下，尽可能复现 关键硬件、操作系统版本、应用程序和通信环境，并记录测试环境与生产环境之间不可避免的差异。
• 部署前请确认兼容性。请查阅 设备供应商的指导说明、应用认证信息及驱动程序依赖关系，若补丁超出供应商支持的配置范围，则需额外审批。
• 分阶段分圈实施部署。首先 从影响较小且具有代表性的资产入手 ，评估结果，然后逐步扩展，而不是一次性对整个环境进行修补，同时应明确暂停标准和紧急停止权限。
• 控制安装和重启操作。 在支持的情况下，采用 无干扰安装方式，并根据供应商指南、冗余设计以及工厂批准的要求，抑制或协调重启操作。
• 验证系统状态，然后完成闭环。 根据可量化的验收标准，检查 服务的启动、控制逻辑、告警和安全功能，并在部署开始前准备好经过测试的回滚方案，包括配置备份和恢复介质。

那些仍在使用旧版操作系统和专用工程应用程序的长期运行终端，往往超出了主流 IT 补丁工具的覆盖范围，因此需要采取单独的处理方式，而不是将其完全排除在计划之外。

• 在选择任何更新之前，必须对旧版操作系统终端设备进行精确的版本、架构及厂商批准基线的盘点，并且该流程中应内置离线包支持和回滚功能。
• 诸如浏览器、运行时环境和远程访问工具等第三方应用程序通常不属于操作系统的原生更新渠道，因此需要具备独立的版本检测、依赖项解析以及离线安装程序支持。
• 无法打补丁的系统仍需文档：说明为何无法打补丁或打补丁不安全，指定负责人员，确定审查日期，并制定替换或迁移路线图。
• 网络分段、应用程序白名单和可移动存储介质限制等补偿性控制措施，虽然能降低无法打补丁的资产所面临的风险，但并不能消除潜在的漏洞，且随着威胁形势的变化，需要定期进行审查。

集中式证据收集使合规报告成为补丁更新工作流中的常规产出，而非每次安排审计时都需要手动重建的过程。

• 应保留的记录：资产 范围、漏洞状态、审批记录、文件哈希值、签名结果、检查结论、媒体活动、部署结果、异常情况和回滚事件，所有记录均应附有可追溯的时间戳。
• 覆盖率指标：跟踪 库存覆盖率、补丁部署率、逾期整改情况以及例外情况，并按站点和资产关键性进行分类，以确保汇总百分比不会掩盖那些后果严重的漏洞。
• 风险降低指标：将 “补丁部署时间”和“暴露窗口”数据与“回滚率”及“非计划停机时间”进行配对分析 ，因此，如果更快的补丁部署导致系统不稳定，则绝不能将其视为成功。
• 框架对齐：将 资产清单、风险评估、变更控制和监控实践与《IEC 62443》以及当前运营技术（OT）安全指南《NIST SP 800-82 第3版》中的相关目标进行对照 。框架对齐有助于开展审计，但不能替代认证，也不能单独保证合规性。

在讨论任何具体产品之前，应以供应商中立的要求作为评估依据：真正的离线运行、本地集中管理、广泛的终端和应用程序覆盖范围、外围存储介质保护，以及能够生成符合审计要求的证据且不依赖云服务的集中式报告功能。

• 离线功能必须经过验证，而非仅凭假设。应要求 在物理隔离的环境中进行演示，而非直接认为联网产品在离线状态下也能以相同方式运行。
• Endpoint 以及应用程序覆盖范围。验证 对该组织已安装的 Windows、macOS、Linux 和旧版系统的实际支持情况，包括脱机软件包格式和回滚可见性。
• 外围媒体保护。请确认 该平台能够对设备进行授权、在访问文件前进行扫描，并防范“BadUSB”攻击，而不是将数据传输路径交给一个独立且未连接的工具。
• 集中式报告与治理。 针对包括媒体被拒和安装失败在内的各种场景（而不仅仅是成功运行的情况），测试 基于角色的访问权限、部署状态、异常工作流以及证据导出功能。

MetaDefender Endpoint™ 是OPSWAT 推出的一款先进的端点防护解决方案，旨在保护端点免受外部存储介质传播的威胁，监控设备合规性，检测漏洞，并在联网和隔离环境中实现补丁更新。该方案可检测 980 多个应用程序和操作系统中的漏洞，并支持对 580 多个第三方应用程序及操作系统更新进行自动补丁更新，其“无干扰补丁更新”功能可在维护时段内避免打断操作员的屏幕显示。

可移动存储介质防护功能基于 Metascan™Multiscanning 和 Deep CDR™ 技术：MetaDefender Endpoint 会自动检测并阻止对USB 驱动器的访问，直到所有文件均经过扫描并确认无病毒，同时还能防御 BadUSB、Rubber Ducky 及其他设备伪造攻击，而无需在终端上先执行该文件。

集中化可视化功能由My 的OPSWAT™（Central Management ）提供，该解决方案支持本地部署或云部署，可在不依赖互联网连接的情况下分发策略、收集部署状态并跨站点生成报告，从而使安全团队能够从一个中心位置，在多个相互隔离的OT站点上运行相同的离线工作流。