告别VPN？工业远程运营的网络安全新思路

远程操作在给工业运营带来便利的同时，也埋下了不少安全隐患。本文将探讨如何借助有效的网络安全方案，实现既安全又有韧性的远程监控与维护。

图片来源：CE

远程访问工厂车间的机器，能为制造商节省大量时间和成本。无需等待现场工程师，企业就能快速解决问题，避免了高昂的差旅费和设备停机带来的损失。

远程监控已成为全球化制造运营的必备条件。Dragos公司产品副总裁Nick Shaw指出：“远程诊断、预测性维护、以及分布式运营的支持，都是远程监控的典型应用场景。”此外，它还能在事故后协助系统恢复，确保控制安全平稳运行。

远程工业运营的潜在风险

远程操作会暴露网络给未授权人员，给运营技术（OT）环境带来重大安全隐患。Cox说：“远程接入时，相当于向承包商和第三方开放了网络，他们可访问工具和数据，干扰过程甚至影响安全。很多系统使用传统协议，设计之初并未考虑安全因素。”

要从安全、生产力和质量角度看待风险。Shaw认为：“最大风险包括利用远程连接控制关键系统，攻击者一旦进入OT环境，就可能触发物理损坏或停产。”

网络连接的扩展增加了攻击面和潜在入侵点。传统OT系统缺乏内置安全控制，连入外部网络后易受现代威胁。身份验证漏洞可能让未授权人员获得系统访问权；若网络分段不当，IT与OT集成加剧可能让攻击者横向移动。

远程访问工具也可能引入未修补的漏洞。远程监控常需凭证，而这些凭证正是攻击目标。许多工业协议缺乏加密，敏感运营数据在传输过程中存在泄露风险。

虚拟专用网络的利弊

虚拟专用网络（VPN）在服务器之间建立通道。Skkynet销售总监Gurvie Waraich表示：“服务商会记录信息。只有保持警惕才能生存。企业必须高度重视隐私和数据所有权，因为万物皆云。”企业被要求将数据上传至云端，但这些数据到底归谁所有？

最大风险之一是使用过时VPN，它们存在能被攻击者利用的漏洞。Cox认为，VPN虽重要，但也是风险点。如果攻击者得知VPN端点，就可能造成破坏。许多OT人员部署VPN后却不更新、管理不当，时间越长风险越大。IT部门在VPN部署与安全运维上更有经验，但直接将传统VPN接入OT网络风险颇高。然而由于系统本地部署，VPN又是不得不用。

Wesco高级副总裁Scott Dowell在文章中指出：“VPN尤其会给OT网络带来重大风险，可能授予对关键系统的广泛访问权限。若缺乏适当安全措施，VPN会为未授权访问打开大门，让恶意行为者渗透整个网络，包括敏感的OT基础设施。”

攻击者利用VPN自身弱点或窃取用户凭证，就能进入工业过程。鉴于OT系统常用旧协议，本身就易受威胁，未授权访问可能导致运营中断甚至设备物理损坏。缺乏严格安全控制和监控机制时，企业整个运营框架都面临风险。

与其使用VPN，不如采用专为OT设计的网络安全平台，在受控环境下实现远程访问。Dowell建议考虑包含虚拟服务器环境的解决方案，该方案配置工程师所需资源与工具，无需拨入VPN。虚拟网络能让工程师安全连接，同时阻止外部不受信任网络访问。此外还能整合硬件、节省成本；通过轻松创建虚拟机提高灵活性与可扩展性，并借助集中工具简化管理。

VPN通常授予广泛网络访问权限，而非限制在特定资源上，违背最小权限原则。VPN漏洞频频被威胁者利用，近期针对工业企业的攻击就是例证。

此外，VPN往往缺乏针对OT的安全控制与监控，其认证方法可能无法充分保护关键系统。VPN建立的持续连接可能成为对敏感网络的长期入侵途径，尤其是权限过高账户被攻破时。

有效的网络安全解决方案

数据二极管、网络分段和多因素认证都是适用于远程操作与监控的有效方案。不过Winebrenner认为，最有效的策略需要融合多种互补技术与实践。

对于IT环境，基于身份的访问控制可精准管理用户权限；对于OT与物联网，基于网络的微分段技术能使OT安全专家依据运营需求和风险定义清晰边界，且执行清晰边界，而无需改变底层基础设施。

像Elisity等先进平台支持这一策略，在满足IT和OT独特需求的同时提供统一管理界面。具备OT协议感知能力的网络监控方案可实现对工业网络流量的可视化监控。对于单向数据流需求，软件定义微分段能在无需专用硬件的情况下强制执行单向流量模式。

此外，零信任方法至关重要。应关闭所有默认访问，严格筛选授予对象，确保防火墙等到位。若需开放访问，必须通过既定流程并明确授权。

▲图2：数据二极管模式下的隧道/镜像。图片来源：Skkynet

“不应有直接访问PLC、设备及传统协议的路径。”Cox说：“对集成商来说，能访问PLC程序并修改固然好，但涉及安全时最好亲临现场。企业必须明确远程访问的真网络分段与多层防护很重要，零信任亦然。但Cox认为，TLS认证或加密、双因素认证、强密码是关键且较易实施。最要紧的是保持系统最新、定期打补丁、设置审计日志，并培训员工和培训员工与承包商培训。

对于ICS环境，应从专门设计的远程访问方案入手，选取具有多因素认证、会话记录、加密通信及精细访问控制的产品。Shaw表示，网络分段与针对OT协议的特定功能可进一步降风险。此外，对ICS网络进行可视化和监控必不可少，以便审查访问并检测威胁。

Winebrenner指出，基于硬件的数据二极管在单向传输上具有安全优势，但缺乏灵活性，难适应需要频繁更改配置的动态环境，硬件实施也限制部署位置且增加成本。许多工业应用需要双向通信，使单向二极管不切实际。

在某些场景下，数据二极管可能大材小用。比如从远程油井读取温度，仅监测而不带控制，可能无需二极管；但若该设备与控制阀门相连，则或许有必要。

数据二极管只允许单向流动。若存在完全物理隔离的安全网络，可用二极管传出数据，对历史数据传输有用，但无法反向通信。Cox表示：“若要传出数据，需借助数据库或OPC UA、MQTT协议。二极管供应商必须支持这些协议，并针对无状态连接设计。”

在仅关注数据存储的场景中，二极管可作过渡方案，但成本较高。如果搭建合适的DMZ、部署防火墙并采用适合的协议，就能以更低成本达到相同效果。如今用户不仅需要历史数据，还需要实时信息以及一定程度远程操作，比如确认报警。

相较数据二极管，现代基于软件定义的微分段方案提供更灵活替代，能在必要时实现逻辑单向强制访问，同时支持安全双向通信。Winebrenner解释：“这种方法充分利用现有网络基础设施，更具扩展性和运营灵活性，同时维持强大安全控制，由OT安全专家制定策略，而非强加IT模式。”

网络分段有助于实施安全远程访问计划：将供应商的访问限制在特定资产内，防止远程访问OT设备的系统与网络其他部分交互。

推动集成与韧性

实现OT与IT融合对远程运营安全至关重要，但必须尊重两种环境的差异。传统方法严格分离，而现代数字化转型需要设置适当边界的前提下安全集成。统一安全治理机制能确保政策一致性、简化事件响应、实现全面可视化。

填补差距的解决方案应遵循OT安全应遵循OT原则，由OT团队根据运营需求和风险评估设计控制。Winebrenner建议制造企业追求Gartner提出的“可控融合”——战略性集成并配备适当安全控制，而非完全统一或严格分离。

随着工业企业采用远程监控，选用能增强韧性而非阻碍发展的安全方案至关重要。传统方法常迫使企业在安全性、运营需求和成本间艰难权衡。现代微分段平台提供替代方案，无需重新配置网络、增添新硬件或代理，即可执行基于网络的安全策略。

通过利用现有网络基础设施作为执行框架，有效方案能让工业企业仅需数天就能实施安全远程监控。这种方法既尊重OT环境独特要求，又允许OT安全团队依据专业理解定义和执行控制边界。最重要是缩减攻击面、降低横向移动风险——这正是大多数工业网络安全事件中被利用的主要途径。

制造企业必须认真对待数字化转型，提高数字化水平，开展远程运营，传输数据至云端，实现OT与IT协同。成功的企业也展现出企业文化转变：组织全员培训，沟通顺畅，合作应对挑战，以更安全的方式达成目标，从而降低风险。