首先，了解 OT 环境的独特威胁态势至关重要。传统的 IT 安全检测方法在这方面存在不足，因为它们需要不同的灵敏度阈值和对网段或设备组的更精细监控，以及 OT 特定的检测机制。与侧重于数据窃取的 IT 攻击不同，OT 攻击通常以物理影响为目标。此外，正如最近的例子所表明的那样，OT 环境中的勒索软件呈上升趋势，并直接影响控制系统的可用性和安全性。

其次，监控 OT 环境需要考虑多个方面，例如供应商访问管理、设备管理和网络通信。控制和监督供应商对 OT 和物联网网络的访问具有挑战性，因为外部和内部网络之间的连接可以通过 VPN、直接移动连接和跳转主机等各种方式发生。另一个障碍是设备管理，它包括更新机制和防止未经授权的访问或操纵。在 OT 和 IoT 设备上实施定期更新例程和部署端点检测与响应 (EDR) 通常是有限的或不可行的。设备的多样性、它们的使用寿命和设备特定的操作系统使得部署安全软件来监控 OT 设备变得困难和繁琐。

第三，传统的 IT 网络检测方法需要深入的协议知识，在 OT 上下文中，这包括传统规则集中没有的各种不同协议和攻击场景。OT 网络设备使用传统 IT 网络中不常见的通信协议连接 IoT 传感器和机器。就更具侵入性的安全解决方案而言，主动漏洞扫描方法在 OT 环境中也可能存在问题，因为它们可能会导致中断甚至中断。这同样适用于入侵防御系统 (IPS)，因为它们可能会阻止网络数据包，从而影响 OT 环境中的稳定性和业务连续性。因此，网络检测与响应 (NDR)解决方案等被动网络检测系统更适合此目的。

如何有效监控和保护我的 OT 环境?

虽然安全访问管理和设备生命周期管理必不可少，但它们的无缝实施可能极具挑战性。在这种情况下，网络检测和响应 (NDR) 解决方案提供了一种非侵入式且有效的方法来监控 OT 环境。通过专注于 OT 设备的通信模式、IT 与 OT 之间的交集以及第三方对 OT 网络的访问，NDR 系统提供全面的可见性和检测功能，而不会中断工业运营和业务流程。

特别是，具有高级基线功能的 NDR 解决方案擅长识别可能表明 OT 网络内恶意活动的新的和异常的通信模式。这些 NDR 系统利用流信息作为基线，通过了解谁与谁通信以及以何种频率通信，提供独立于协议和设备的异常检测。NDR 无需手动配置这些参数，而是学习基线并在异常请求或频率变化时向安全团队发出警报。此外，灵活的用例框架允许为特定于 OT 的监控设置微调阈值，包括能够设置具有特定于网络区域的粒度的负载监控。而且，

因此，NDR 解决方案的被动监控功能对于 OT 和 IoT 环境至关重要，在这些环境中，替代监控方法可能难以实施或导致中断。ExeonTrace是一个特别强大且易于实施的 ML 驱动的 OT 环境 NDR 系统，它分析来自传统 IT 环境、OT 网络和跳转主机网关的日志数据，以提供网络活动的全面和整体视图。其中，集成各种第三方日志源（例如 OT 特定日志）的灵活性至关重要。此外，ExeonTrace 与其他 OT 特定检测平台集成的能力增强了其功能并确保了广泛的安全覆盖范围。