世经论坛：零信任在OT环境下靠谱吗？

世界经济论坛 (WEF) 日前发布研究报告《网络空间安全的零信任模型：向理解和实施迈进》中指出，目前形式的零信任概念主要应用于IT领域。然而，随着IT和OT（运营技术）系统跨行业融合，在数字化时代保持两者的安全是一项挑战。因此，零信任的概念必须超越仅对IT环境的覆盖，以确保整个组织免受网络风险和威胁。

WEF的研究报告中指出，“尽管某些零信任实践（例如，网络分段和多因素身份验证）可以从IT环境中采用逐步转向OT环境，但重要的是要了解OT系统在设计时并未考虑到网络安全，这是不容忽视的现实。

因此，在OT环境中全面实施零信任概念面临重大障碍，例如认为生产线必须保持运行、安全是一个障碍，OT员工的网络能力的缺陷或不足是另外一个重大问题。

WEF报告还评估了OT环境缺乏技术准备的情况涉及多种因素，包括运营空间中大量遗留系统不支持现代身份验证（如多因素身份验证）。它还表示，主要工业协议中的协议支持缺失，物联网 (IoT) 和IIoT设备中存在计算资源限制。此外，报告确定并评估了物理和逻辑隔离网络之间的管理是一项挑战。最后，世界经济论坛表示缺乏先例，实施示例在很大程度上是未知的。

该机构引用了施耐德电气正在采用的方法，该方法侧重于将当前和未来的OT安全工作与一系列植根于零信任最佳实践的核心原则相结合。

当前和未来的努力包括通过跨工业个人计算机 (PC) 和人机界面软件 (HMIS) 的基于身份的身份验证来改进工厂环境中的身份验证；关键系统的基于角色的访问控制；尽可能更换过时的、遗留的或设计不安全的设备。它还列出了加强对第三方供应商和制造合作伙伴的安全监督，以及根据 IEC 62443标准对控制系统进行认证，以确保工业自动化和控制系统的开发和维护。

此外，WEF报告还涉及对所有OT设备（如 PC、可编程逻辑控制器 (PLC) 和打印机）进行系统备份、恢复和管理。它还呼吁就即将到来的变化对OT操作人员进行教育培训。最后，报告补充说，自从该组织启动该计划以来，努力将随着时间的推移转化为影响。

WEF表示，零信任概念在整个网络安全领域获得的巨大吸引力可归因于向混合工作实践的转变，这种工作需要更安全的工作环境，无论是在内部还是外部。该方法与基于边界的安全模型形成对比，它假设没有用户或设备可以被固有地信任。而基于边界的案例模型认为企业网络内的任何事物都是安全和值得信赖的。然而，鉴于威胁可能来自外部和内部，零信任并不是解决组织内所有网络安全挑战的灵丹妙药。

“虽然不是一个新概念，但由于多种原因，零信任在过去几年中变得更加引人注目，”世界经济论坛表示。“首先，它是美国总统第14028号行政命令的核心特征，重点是改善国家的网络安全态势。该行政命令呼吁政府机构实施零信任，作为实现网络安全方法现代化的一部分。”

美国政府的行政命令是在去年对美国关键基础设施进行多次网络安全攻击后发布的，其中包括对油气管道公司Colonial Pipeline的一次攻击。它促使政府做出了决定性举措，通过提高对威胁的可见性，同时利用适当的资源和权威来最大限度地及早发现其网络上的网络安全漏洞和事件，从而实现美国关键基础设施及其网络安全方法的现代化。

WEF表示，对零信任概念的关注增加，部分原因是大规模转向远程工作，以及“自带设备”(BYOD) 做法的日益普及，这些做法强调组织需要确保他们的安全。这也成为疫情蔓延形势下，劳动力和数字工作场所变化的直接结果。

WEF表示，虽然每个组织都应根据实施的可行性分析应考虑哪些背景原则，但零信任行动小组确定了零信任的五项指导原则。其中包括假设网络威胁可能来自企业网络边界的内部和外部，并映射网络的“保护表面”，包括“皇冠上的宝石”，例如关键应用程序、数据、设备和用户，除了维护自动化以及对这些资源的持续可见性。

零信任还包括持续动态地验证和验证所有用户/设备对所有资源的访问权限，根据用户/设备的角色将用户访问权限限制为仅对必要资源的访问权限，并确保安全控制不会对最终用户体验产生负面影响。

世界经济论坛呼吁组织将零信任概念视为需要系统地进行并不断重新审视的旅程，而不是将其视为目的地。为了顺利完成这一旅程并成功部署零信任模型，该机构建议确保整个组织的支持，并产生切实的影响，理解和映射“皇冠上的宝石”，引入适当的控制机制，实施零信任模型，并维护，监控和改进模型。

WEF报告称，随着创新从IT和OT环境的角度继续改变工业环境，可以采用新兴技术来实现新的网络能力并改善现有网络能力。

“生物识别和人工智能 (AI) 等技术可以在支持零信任的一些基本原则方面发挥关键作用，”WEF认为。“例如，面部、指纹和语音识别可用于识别用户、验证访问和检测入侵。除其他外，人工智能可以自动实时检测威胁和异常行为。从长远来看，这将使组织能够采取预防措施而不是响应措施，”它补充道。

世界经济论坛表示，为避免围绕新兴技术的炒作，组织应该了解他们已经拥有的技术，并确定这些技术与应该加速向零信任转变的新技术有何不同。还值得强调的是，单一的新技术不会负责实施单一的零信任原则。相反，它需要与其他技术同步工作，以确保遵守安全模型的所有规定。

WEF表示，零信任概念的部署必须与新技术和网络安全行业的数字化转型保持同步。例如，向云技术的转变意味着组织将其宝贵的资产和数据存储在其边界以外，从而难以在整个网络中应用单一的安全控制系统。

从零信任的角度来看，物联网设备的广泛使用也是一个挑战