运营技术（OT）环境中文件分发所蕴含的隐性风险

在大多数运营技术（OT）环境中，将文件导入关键系统需要遵循一系列特定的步骤。这一过程通常始于供应商送来固件、承包商带来补丁，或是维护团队进行配置更新。这些文件会经过扫描、审批并移交。然而，在这些流程与文件最终到达可编程逻辑控制器（PLC）或人机界面（HMI）之间，安全团队却完全失去了对该文件的追踪。

为应对这一挑战，人们采用了多种方法。基于网络的解决方案负责处理IT系统与OT系统之间的文件传输，而基于信息亭的工作流程则在入口处对可移动存储介质进行检查。但该问题中有一部分始终未能得到解决，即文件在经过验证后，在传输至关键系统的过程中会发生什么。

大多数运营技术（OT）运营商都已建立了完善的内置检查工作流程。通常，可移除介质和临时设备在进入隔离的运营技术环境之前都会经过扫描，且审批记录会被存档。这些控制措施虽必不可少，但都存在一个共同的局限性：它们仅建立了一个“信任点”。

传统操作技术（OT）系统在设计之初并未考虑对传入的数据进行核查。可编程逻辑控制器（PLC）、人机界面（HMI）和传统工程工作站通常无法运行EDR（Endpoint 检测与响应）代理，也无法验证传入的文件是否与原始批准内容一致。当设备连接后，文件默认处于可访问状态。

这些限制导致关键系统中每次文件分发的安全性，都取决于每位操作员是否严格遵循手动验证步骤。指望每位操作员在每个站点都严格遵循每个步骤，这是一种流程假设，而非安全控制措施。

现在，问题应该从“该文件在扫描时是否干净？”转变为“我们能否确认，在将其部署到关键系统时，它仍然是同一个文件？”

在受监管的行业中，确认文件从审批到部署期间未发生变更至关重要。一旦文件通过检查点，就必须有相应的机制来确认其是否发生了变更。

在OT环境中，该问题仍未得到解决，当前大多数工作流程都缺乏检测验证后修改的机制。如果文件在验证后因错误或蓄意篡改而被修改，OT目标系统将无法检测到。扫描记录仍然有效，批准信息也仍会被记录在案。 一个三天前被验证为安全、此后遭到修改的文件，与一个三天前被视为安全且此后未被修改的文件看起来完全相同。分发该文件的操作员无法通过可靠的方式区分两者。

验证并非仅限于MetaDefender Kiosk 这一环节。如果已通过验证的文件在扫描后、部署前被修改，系统会自动将其屏蔽并隐藏。在这种情况下，该文件必须再次通过验证，才能被访问。

该机制可确保文件完整性，因此操作员无需手动执行此操作。这使得安全模型从“扫描一次后分发”转变为“持续验证直至部署”。