运营技术领域的零信任：CISA 新指南对您的安全架构有何要求

针对运营技术（OT）的零信任是一种安全架构，它消除了工业网络中的默认信任，要求在授予任何运营系统或物理流程的访问权限之前，必须根据身份、上下文和风险对每个用户、设备和数据传输进行持续验证。与信息技术（IT）不同，OT 零信任必须在不干扰连续运行、安全系统或无法运行现代安全代理的旧设备的情况下运行。

美国五个政府机构：网络安全与基础设施安全局（CISA）、国防部、能源部、联邦调查局（FBI）和国务院，联合发布了迄今为止关于工业网络安全最具权威性的声明：《将零信任原则应用于运营技术》。其信息明确无误。 零信任已不再是仅适用于IT环境的框架。如今，对于运营OT系统的所有组织而言——无论是能源电网、水处理设施还是政府设施——这已成为其理应采取的安全态势。

如果您是正在阅读本文的OT安全负责人，问题不在于“零信任”是否是正确的方向，而在于如何弥合政府强制性合规/审计要求与设施现状之间的差距——这些设施仍在使用数十年历史的设备，团队人手紧张，而董事会却在追问您对此采取了哪些措施。本文将解答这一问题：CISA指南在每个支柱方面究竟提出了哪些要求，以及OPSWAT平台如何与这些要求一一对应。

该指南指出了每个运营技术（OT）零信任计划必须解决的三大支柱：全面的资产可视性、强大的身份与访问管理（IAM），以及主动的供应链风险管理。指南还指出了推动这一紧迫性的威胁行为者——例如Volt Typhoon等国家支持的黑客组织，美国网络安全与基础设施安全局（CISA）已观察到这些组织预先潜伏在运营技术网络中，以维持持久存在并等待激活。

在 IT 领域，零信任是通过软件来实现的——包括身份提供商、端点代理以及可在数小时内更新的访问策略。 OT（运营技术）环境受制于诸多限制，使得直接采用IT方法行不通：例如，具有20年生命周期的老旧PLC（可编程逻辑控制器）无法运行现代身份验证代理；严格的运行时间要求，一个探测数据包就可能导致意外停机；以及网络安全与物理安全之间存在直接关联，而IT系统根本不具备这种关联性。

CISA的指南对这些限制坦率地指出了。在老化的工业基础设施中全面实施零信任需要数年时间以及巨额投资。这种矛盾确实存在。

该指南明确指出，威胁环境不会坐等这些计划成熟。随着运营技术（OT）系统与信息技术（IT）网络的互联程度日益加深，且越来越多地被远程监控，传统的“物理隔离”假设已不再成立。攻击者早已适应了这一变化。组织当前实施的防护措施——即便是渐进式的——将决定在长期转型过程中，有多少攻击面会暴露在外。问题不在于是否开始，而在于从何处着手。

CISA 的指南指出了运营技术（OT）领域“零信任”的三个优先事项：全面的资产可视性、强大的身份和访问管理，以及主动的供应链风险管理。该指南还点名了具体威胁行为者——Volt Typhoon 以及与国家有关联的组织——这些行为者正在利用这些控制措施本应弥补的漏洞。

OPSWAT平台正是为此而打造。无需接触任何设备即可实现被动式运营技术（OT）资产发现。Hardware隔离，使整类远程攻击在物理上成为不可能。在每个文件传输节点（网络、USB、数据传输）应用 Deep CDR™ 技术。在任何连接到达控制系统之前，即在会话层面上实施身份和访问控制。

在现场控制（OT）环境中，资产可视化意味着通过被动监控方法（这些方法不会产生可能干扰敏感控制系统的流量），对工业网络上的每台设备（包括老旧的可编程逻辑控制器（PLC）、远程终端单元（RTU）和人机界面（HMI））及其固件版本和协议，建立并持续更新完整的设备清单。

这正是大多数运营技术（OT）安全计划存在最大未解决漏洞的地方；其原因在于架构层面，而非组织层面。Industrial 所依托的设备构成与IT环境有着根本性的差异。 典型的 OT 网络包含 PLC、RTU、DCS 控制器、传感器、继电器、HMI、工程工作站以及日益增多的 IIoT 设备，每种设备都使用其设计时指定的特定协议进行通信：Modbus、EtherNet/IP、DNP3、PROFINET、OPC-UA 以及数十种专有变体。 标准的IT发现工具无法解析这些协议。它们无法理解Modbus功能代码的语义，无法解读DNP3数据对象，也没有模型来区分EtherNet/IP隐式消息交换中的正常行为与异常行为。当这些工具遇到OT设备时，要么返回不完整的数据，要么产生接收设备从未设计过处理的意外流量。

第二种情况绝非假设。在运营技术（OT）环境中进行的主动扫描，已导致生产设施出现计划外的流程中断和设备锁定。正因如此，CISA指南才建议采用被动监控作为OT资产发现的适当方法，而在对运行时间有严格要求的环境中，这一建议更是不可妥协的。 通过网络TAP或SPAN端口部署的被动收集技术，在监听流量时不会注入可能干扰敏感控制系统的查询。它观察通信对象、通信方式以及正常状态的表现，且不会触及受监控网络中的任何设备。

这种方法必须解决的覆盖问题，因 OT 通信模式的特性而变得更加复杂。许多设备仅在特定的运行事件期间进行通信：PLC 可能只在生产周期内传输数据，继电器可能只在故障状态下报告，现场传感器可能产生间歇性的突发流量，且这些流量之间夹杂着漫长的静默间隔。 如果监控窗口未能涵盖所有运行模式，就会导致资产清单不完整——而清单中缺失的资产，恰恰是无法得到保护、隔离或监控的资产。 根据 SANS 2025 年《ICS/OT 网络安全现状》数据，资产可视性仍是工业组织的首要安全投资重点，但仅有不到八分之一的组织表示能够对其环境实现从初始网络访问到对物理流程潜在影响的全流程可视化。这一差距并非资金问题，而是方法论问题。

Volt Typhoon 正是利用了这一漏洞。该组织已知的攻击手法是混入正常的网络运行中——利用合法协议、授权路径和标准管理工具——在 OT 环境中建立持久访问通道。如果无法全面掌握网络中的内容以及正常行为的特征，这些技术就几乎无法被察觉。

OPSWAT OT 安全平台MetaDefender Security™ 通过被动资产发现和深度 OT 协议分析来解决这一问题。该平台通过监听网络流量而非生成流量，在不接触被监控设备的情况下，构建完整的资产清单和行为基线——同时在单一的原生 OT 界面中提供漏洞和补丁管理以及合规性报告。异常会话、意外的设备通信以及未经授权的协议交互，在尚未对运营造成影响之前即可被检测出来。

OT领域最棘手的IAM挑战在于，攻击者越来越多地利用合法的访问途径——如有效的凭证、受授权的远程会话以及标准工程工具——而非软件漏洞。在FBI与CISA近期发布的联合安全通告中，与伊朗有关联的攻击者利用标准工业通信端口连接到面向互联网的PLC，并像受授权的操作员一样与控制系统进行交互。

在运营技术（OT）环境中部署最广泛的远程访问解决方案——VPN——引入了一类结构性风险，而非配置性风险。VPN 建立了直接的网络级连接，这打破了普渡模型（Purdue Model）的层次隔离，将第三方供应商接入控制网络段，且缺乏细粒度的会话控制，也没有实施最小权限原则的机制。 无论隧道供应商端是受感染设备还是安全设备，都拥有通往生产系统的直接网络路径。对于缺乏原生身份验证能力的传统 OT 终端，风险暴露程度进一步加剧。这些设备无法记录访问事件、无法执行会话策略，也无法终止未经授权的连接。任何现有安全措施都必须完全部署在设备上游，否则便形同虚设。MetaDefender Industrial （OPSWAT工业防火墙）直接解决了分段问题——即使供应商会话已进入网络内部，也能强制实施基于区域的分段并控制横向移动。

CISA 的指南明确指出了忽视这一问题的严重后果。与国家相关的威胁行为者利用标准的工业通信端口，而非通过软件漏洞，成功访问并操控了面向互联网的可编程逻辑控制器（PLC），其操作方式与授权操作员完全一致。凭证看似正确，协议也符合预期。由于访问层没有任何机制来评估会话的合法性，因此该会话未被标记为可疑。

MetaDefender OT Access 在任何连接到达 OT 资产之前，就在会话层面上OT Access 零信任OT Access 。无论是内部工程师、按计划进行的 OEM 维护窗口，还是首次连接的第三方承包商，每个远程会话都会经过单独身份验证，访问范围限定在最低必要权限内，且设有时间限制并被完整记录。会话会被记录并持续监控，如果行为超出预期参数范围，可实时终止会话。 除该特定会话明确要求的内容外，不存在任何常驻网络访问、持久隧道或通往资产的路径。对于无法参与现代身份验证的旧式设备，MetaDefender OT Access 在连接管理层OT Access 管控，因此无论设备本身具备何种能力，该控制机制始终有效。

在运营技术（OT）领域，供应链风险涵盖数字和物理传输事件：通过网络推送的软件更新、供应商携带至现场的笔记本电脑、USB 加载的固件，以及从IT网络传输到物理隔离控制网络的工程文件。每一种情况都可能导致恶意内容进入系统，一旦系统遭到入侵，将直接影响物理流程。

在任何软件组件到达运营技术（OT）边界之前，其完整性就应得到验证。MetaDefender Software 在传输链的 IT 端解决了这一问题——通过与软件物料清单（SBOM）数据进行比对，验证供应商提供的工程工具、固件包和工业软件更新；确认组件在传输过程中未被篡改；并在批准传输前识别出未知组件。 当文件到达Kiosk 点或MFT 工作流时，它已经通过了 IT 层的完整性检查。因此，边界控制措施只是对已做出的决策进行强化，而非对从未做出的决策进行补救。

这是基于网络的控制措施无法完全解决的攻击面——但一旦供应商进入系统内部，网络层的强制执行仍发挥着关键作用。MetaDefender Industrial Firewall 对于检查每个供应商会话的实际工业协议有效载荷Firewall 即使第三方连接已获授权，防火墙也会验证命令是否符合该会话预期的功能代码和数值范围——从而实时阻止来自受感染供应商工具或被篡改更新的恶意命令。 它还强制执行严格的通信路径：连接供应商的设备只能访问其被限定范围内的特定系统，从而在供应链漏洞尚未横向扩散至OT区域之前将其遏制。对于OT组件中已知的CVE漏洞（供应商补丁尚未发布的情况——在OT领域往往需要数月时间），Industrial Firewall 网络层Firewall 虚拟补丁，无需接触设备即可阻止攻击利用。

MetaDefender 是OPSWAT可移动存储介质安全解决方案，可在可移动存储介质进入安全区域之前对其进行拦截和检查。 每个文件都会通过 Metascan™Multiscanning 30 多个反恶意软件引擎Multiscanning ，并由 Predictive Alin AI 进行评估以实现执行前的零日漏洞检测，随后通过 Deep CDR™ 技术进行处理——该技术将文件还原至已知安全状态，在清除嵌入式威胁的同时，保留技术人员执行工作所需的合法内容。MetaDefender Media Firewall 是OPSWAT可移动存储介质扫描强制执行解决方案，将此强制措施扩展至终端层级的USB ——通过基于硬件的验证机制，确保只有经MetaDefender Kiosk 扫描并批准的可移动存储介质Kiosk 连接到受保护的工作站，无论该工作站位于设施内的何处。MetaDefender 是OPSWAT先进端点保护解决方案，部署在关键端点上，用于验证可移动存储设备中的文件是否已由MetaDefender Kiosk 进行过首次扫描和处理。这确保了只有经过验证的文件才能被端点打开、复制或访问，同时阻止未经授权或未扫描的文件进入关键环境。

对于跨越网络区域的数据传输——无论是从 IT 网络进入 OT 网络，还是从云连接系统进入隔离的控制环境OPSWAT数据二极管解决方案MetaDefender Diode™ 均可提供由硬件强制执行的单向数据流。这包括从 OT 网络流向 IT 系统、分析平台或云基础设施以供监控和报告的运营数据，例如历史数据、传感器遥测数据以及工艺数据。 没有任何入站命令、连接请求、软件更新或有效载荷能够反向穿越该边界。这种安全保障并不依赖于正确的配置、定期更新的软件或访问凭证的完整性，因为这些软件层面的因素均无法突破硬件限制。 对于那些运行无法升级、无法运行终端代理且无法承受因安全问题导致的停机时间的传统控制系统的组织而言，这是 CISA 指南以及更广泛的工业安全社区一致认可的、作为适当技术解决方案的架构。

MetaDefender File Transfer™ (MFT) 旨在满足那些需要在不同区域之间传输运营文件，并要求具备全面检查、审计日志记录和工作流控制功能的组织的结构化传输需求。该解决方案在每次传输过程中强制执行内容验证，确保文件传输路径本身不会成为一个无人监管的入口点。

并非所有边界都能通过策略来保护。有些边界需要物理隔离。跨域解决方案（CDS）在运营技术（OT）网络与信息技术（IT）网络之间建立硬件级别的边界，确保任何软件配置错误、凭证被盗或零日漏洞都无法打开入站通道。MetaDefender Optical Diode MetaDefender 安全网关™ 均通过通用标准 EAL4+ 认证，并[支持符合 NERC CIP、IEC 62443、 NRC 5.71、NIST 800-82 及 ISO 27001](opswat)——这些标准构成了能源、核能、化工及国防领域关键基础设施管理的完整框架体系。

CISA指南与NIST CSF（网络安全框架）2.0的六大功能——治理、识别、保护、检测、响应、恢复——相一致。下表将各项要求与相应的OPSWAT 进行了对应：

在运营技术（OT）领域，零信任并非一种可以购买的产品。CISA的指南对此观点明确——工具和技术虽不可或缺，但仅靠它们还远远不够。 组织真正需要的是一个专为“可用性、安全性和合规性不可妥协”的环境打造的平台。OPSWAT在CISA要求的全范围内实现了这一架构——从初始访问开始的收件箱，到命令终止于关键系统的硬件强制边界。

如上表所示OPSWAT 在单一平台上OPSWAT NIST CSF 2.0 所有六个功能模块中与 CISA 标准相符的每一类控制措施——这一覆盖范围是任何专注于运营技术（OT）的纯技术供应商都无法比拟的。您是否准备好评估您的 OT 环境在 CISA 零信任框架下的现状？

与专家聊天 →