为什么OT 网络让攻击者有机可乘？王海涛认为首先要从 OT 网络自身特性、弱点说起。而要真正认清 OT 网络，则要从专业的 OT 网络架构——普渡模型入手。普渡模型是相关国际标准、国内标准的基础，也是企业认识、理清工业 OT 网络最常用的参考架构。该模型根据业务功能和覆盖范围将整个 OT 网络进行了层次化划分，这种层次化的思维也把OT网络安全问题分解为了五大类：

普渡模型层次化思维不但便于人们分解 OT 网络安全问题，也为组织制定“各个击破”的威胁应对策略提供了基础。Fortinet提出了 OT 网络安全建设的5个最佳实践，也对应等保 2.0 工业控制系统安全要求，包括安全网络边界、安全网络运维、安全计算环境和安全网络通讯。

王海涛进一步指出，最佳实践不仅要从 OT 网络自身出发，还要从攻击者视角入手找到防护薄弱点。在熟知网络攻击流程的基础上，构建一套行之有效的纵深防御体系。从攻击者最初的社会工程、钓鱼邮件到载荷投递、安装、植入，到最后进行外联活动和入侵破坏，整个过程时长不定、方式不同、目标各异，相应的组织对其监测和阻止的方法也必然是不同的。

企业将各司其职的这些安全产品部署在不同防护层，建立一套“洋葱模型”一样的纵深防御体系，把网络安全建设统一在一起，通过部署手段间的联动打破整个OT 网络攻击链，在威胁实施数据层的破坏之前、实质影响 OT 过程控制之前，进行有效的，及时的阻止。

目前，Fortinet 的 OT 网络解决方案已经实现了对这套纵深防御体系的完整部署和全面覆盖，包含安全组网、准入控制、安全运维和安全服务四大板块产品和功能。

这四大板块中所有产品和功能，都是基于统一的操作系统 FortiOS ，所以这些产品和功能之间能够进行非常有效的联动以及原生的集成，这样也能够帮助企业构建效益最大化的纵深防御体系。

Fortinet纵深防御方案覆盖包含以下三大OT安全场景应用的最佳实践，分别是：基于意图的 OT 网络微分段、设备及人员的准入认证与高效和简洁的 OT 安全运维。

基于意图的 OT 网络微分段。该实践采用 FortiGate、FortiSwitch 和 FortiAP等产品和功能实现网络分段、微分段，目的是建立不同需求的逻辑安全区域和管道，结合FortiGuard 对2000多个工控协议、及60多种工控指令的深度识别能力，实现同一VLAN区域内、不同设备间流量的精准管控，避免威胁的横向移动。

设备及人员的准入认证。该实践采用 FortiNAC、FortiAuthenticator 和 FortiToken 等产品和功能实现移动设备、新进设备或者是维护设备等不同类型、不同区属的网络动态接入控制。结合网络微分段该实践能够实现设备自动归区、自动应用区域策略以及自动接入或屏蔽。同时对于人员认证，Fortinet方案通过多因素认证和多重认证结合，基于“最小特权原则”，实现对不同人员、不同用户组和不同场景的登录认证及应用权限的管控。

高效和简洁的 OT 安全运维。该实践主要基于 FortiSIEM 安全信息事件管理系统。该系统在对全局安全信息和事件广泛采集的基础上，通过数据的泛化和丰富化预处理，匹配预制的告警规则，进而实现对事件和告警的自动化分类和处置，协助减少业务的停机时间，提升企业的整体运维效率。

Fortinet OT安全解决方案屡次获得 Westlands Advisory、Frost & Sullivan 等权威第三方机构的广泛认可。这不仅仅归功于优质的体系化产品和功能，还有活跃且不断发展的合作伙伴生态系统，能够有效解决 OT 网络环境多供应商、多平台部署、多产品共存的集成挑战，通过开放生态和API技术等实现有效集成和高效运维。

总结来说，Fortinet OT安全解决方案具有“产品互联和安全功能集成”、“IDS检测与 IPS防护结合”、“专有工业加固安全设备认证”、“全球威胁情报网络支持” 以及“拥有全球广泛 OT 行业成功案例”等五大优势，这亦是Fortinet OT 安全解决方案收获行业和客户点赞的基础。未来，Fortinet 还将继续看好 OT 网络安全的发展，并持续加大在 OT 安全领域的投入，保障更多 OT 场景下客户的网络安全。

要了解更多信息，请关注武汉恒景科技有限公司微信公众号，或留言联系我们。