OT/ICS 工控資安方案
守護生產線連續運作
IT/OT 融合帶來的資安風險不能用 IT 工具硬套
被動式偵測、不影響生產，是工控資安的基本原則。
工控環境面臨的資安挑戰
工業 4.0 加速 IT/OT 融合，但多數工廠的資安防護仍停留在 IT 思維
工業 4.0 將 ERP、MES 與 PLC/SCADA 串聯，IT 網路上的威脅可直接橫向移動至生產控制網路，傳統 IT 安全邊界無法保護 OT 環境
大量 PLC、HMI 仍運行 Windows XP/7 或廠商已停支的嵌入式系統，無法安裝安全修補程式，存在大量已知漏洞卻束手無策
勒索軟體或針對性攻擊一旦進入 OT 網路，輕則加密 HMI 系統造成操作中斷，重則直接修改 PLC 邏輯導致設備損壞或人員安全事故
多數工廠對 OT 網路上有哪些設備、這些設備的通訊行為是否異常一無所知，異常狀況往往在產線停機後才被發現，早已錯過最佳應對時機
OT 資安防護架構
以不影響生產為前提，分層建立可視性與隔離能力
OT 網路與 IT 網路實體或邏輯隔離，建立 DMZ 緩衝區控制雙向通訊，防止 IT 威脅直接進入生產控制環境
針對 Modbus、DNP3、EtherNet/IP、OPC-UA 等工業協定進行深層封包解析，識別異常指令與未授權操作，不影響正常通訊
採被動式流量監聽建立 OT 網路行為基準，偵測新設備接入、異常通訊模式、未授權存取等行為，完全不向 OT 設備發送探測封包
依 IEC 62443 / Purdue Model 將廠區網路分為企業層、製造運營層、監控層、控制層、現場設備層，各層間設定最小通訊規則
六大服務項目
從資產盤點到持續監控，完整涵蓋 OT 資安生命週期
採被動式流量分析自動識別 OT 網路上所有設備，建立完整資產清冊（廠商、型號、韌體版本、通訊協定），作為後續防護基礎
比對 CVE 資料庫識別已知漏洞，評估網路架構風險（IT/OT 隔離現況、遠端存取管控、工程師站管理），輸出風險評估報告
依 Purdue Model 設計 OT/IT 分段架構，規劃工業防火牆部署位置與存取控制規則，建立最小通訊原則的 DMZ 緩衝區
部署 OT 專用被動式異常偵測系統，建立正常通訊行為基準，設定告警規則，提供即時可視性與事件告警能力
制定跨 IT/OT 的資安政策，包含遠端存取管控、工程師站管理規範、補丁管理策略、廠商維護人員存取控制
提供 OT 環境持續監控服務，建立 OT 專屬事件應變流程（ICS-IRP），定期進行演練，確保事件發生時有明確的處置程序
適用產業
任何依賴工控系統維持生產連續性的產業，都需要 OT 資安防護
台中大台中地區精密機械與工具機產業密集，許多工廠已推動智慧製造，CNC 設備、機器手臂與 ERP 系統直接連線。IT/OT 融合程度越高，OT 資安風險就越高，需要主動評估現況。
越來越多國際供應鏈要求供應商符合 IEC 62443 工控資安標準。我們的服務可協助企業評估合規缺口，建立符合標準的 OT 資安防護基礎。
常見疑慮
延伸閱讀
深入了解 OT/ICS 資安與工控環境防護技術
