以零信任打造智慧製造的資安堡壘

在邁向智慧製造的過程裡，無論是既有的 OT（Operation Technology）環境，或是新興的 IoT（Internet of Things）場景，都面臨快速攀升的資安挑戰。相較於IT環境長久以來對資安的重視與投入，OT 和 IoT 的資安意識和建置仍在起步階段。

善用及整合 IT 環境的資安基礎，是強化 OT 和 IoT 資安的捷徑。而在 IT 環境已成主流的零信任架構，同樣可部署在以設備為主的 OT 和 IoT 環境，並透過與 IT 資安機制的融合，全面強化企業整體的資安防護力。

零信任架構的準則與部署

傳統的資安作法是以界線區隔出安全的網路，將資產置於安全網路之內，但這種模式預留了太多的隱性信任，例如：相信從實體辦公室連上網路的每部電腦，導致潛在破口層出不窮。

零信任跳脫原有的概念，以集中式政策機制來保護所有資產。它的前提就是認定攻擊者有能力、持續採取行動且即將成功發動攻擊，標的包括身分、網路、設備、應用程式、基礎架構。因此，針對包括身分在內的各種情境，必須以持續評估的機制動態判定風險與信任等級，取代過往的隱性信任。

對此，微軟提出零信任的三大準則，這三大準則也呼應了美國國家安全局（NSA）零信任指導大綱、雲端安全聯盟（CSA）零信任指導準則等重要機構的建議作法。

第一個準則就是假設企業及網路已有資安破口，必須採取的行動就是轉換思維、策略和技術架構，部署相對應的防禦作法。第二個準則是明確驗證。所有信任和安全決策，都要以相關的可用資訊和遙測進行明確驗證，保護資產免受攻擊者控制並減少個別資產的攻擊面。

第三個準則是提供最低的存取權限。對於有潛在風險的資產的存取必須設限，僅提供限時限用的存取能力並搭配相關的風險政策，例如：可變式的存取控管，目標是儘可能降低風險引爆的影響範圍。

零信任涵蓋的環節包括身分、端點、應用程式、基礎架構、網路與資料。簡言之，零信任是一種主動且整合的安全作法，橫跨各個層級的數位資產，明確且持續地驗證每筆交易，只提供最低權限，並根據情報、進階檢測和即時回應來應對威脅。

OT 和 IoT 環境的零信任部署

當前資訊長和資安長面臨的多重挑戰，包括解決 IT 和 OT 各自為政的現況、確保對 OT/IoT 資安風險的可視性、將 OT/IoT 的監控與治理集中於資安監控中心（SOC），以及針對無法安裝代理程式的老舊設備確保安全性。

目前，解決 OT 安全問題的流程冗長，當設備偵測到威脅及出現警示時，都必須仰賴人力確認及手動解決，即使處理過後也無法百分之百確認威脅已被排除。此外，OT 環境的設備盤點通常是手動記錄在表單，資料更新的時間差可能成為安全破口，必須建立即時的設備盤點地圖，即時掌握任何新增的 IoT 或 OT 設備。

要在 OT/IoT 落實零信任，同樣必須遵循前述的三大準則，包括假設已有資安破口、明確驗證、最低授權。舉例來說，在假設已有資安破口的前提下，必須以更加強化的可視性來區隔環境，像是根據設備來界定修補程式的優先等級，儘可能安裝修補程式；此外，以模擬攻擊訓練來找出潛在問題，達到預防性保護的目標。

而在明確驗證部分，必須針對員工或廠商的遠端存取進行安全強化，例如：採用多因素驗證（MFA）；其次是使用資產及網路探查資料來落實網路區隔，持續監看異常行為，偵測未經授權或遭駭的設備。

混合型網路攻擊持續成長，促使 IT、OT 與 IoT 資安技術架構及功能的統合，將 IT、OT 與 IoT 的安全監控統合於單一的資安監控中心，除了提供可視性及建檔、統合式監控、事件回應、安全自動化等安全功能，還可結合機器學習和 AI 來建立現代化的威脅偵測機制。

兼顧雲端、邊緣與硬體的 IoT 資安

微軟以多年來在企業資安的經驗為基礎，推出功能完整的 OT 與 IoT 資安解決方案，包括存取控管、安全運作、資產保護、安全治理與創新安全。以 IoT 資安為例，微軟提供了以零信任所建立的服務平台、邊緣（Edge）平台及預先整合的硬體平台，協助企業進行 IoT 的零信任部署。

首先在雲端，提供了 Azure IoT Hub & DPS、Device Update for IoT Hub、Microsoft Defender for IoT，以及可為企業整體環境提供智慧化資安分析的 Microsoft Sentinel。

而在邊緣運算，則有 Azure IoT Edge、Azure IoT SDKs、Azure RTOS、Windows IoT Enterprise 等工具來協助建立 IoT 的運作機制、開發相關功能與服務，以及確保 IoT 設備的安全運作、持續更新和全面管理。

至於設備端，包括 Azure Sphere、Azure Sphere Guardian、Azure Percept、Edge Secured-Core Certified 可層層確保 IoT 及其設備的安全運作。例如：Azure Sphere 橫跨硬體、作業系統和雲端，為 IoT 提供完備的安全性；Edge Secured-Core Certified 則是針對符合各項安全要求的設備進行認證的計畫。

針對在 IoT 環境加速部署零信任，微軟也提供相關技巧，包括以強大的身分機制來驗證設備、以最低權限的存取來縮小影響範圍、以限制存取或標記設備做為補強措施並確認設備健康狀態、持續更新基礎架構以保持設備健康狀態，以及建立安全監控及事件回應機制來偵測及因應潛在威脅。

無論是 OT 或 IoT 的零信任部署，選擇適用的解決方案皆是必要的關鍵步驟，結合 IT 的零信任部署，以功能完整、橫跨雲端和地端的單一平台來統合 IT、OT 與 IoT 的資安運作，則是事半功倍的捷徑。