Tenable.ot：为IT安全人员和OT工程师提供了全面的安全工具和报告

Tenable.ot

工业网络安全解决方案概要

 

逼近的安全网络风暴

当今的工业运营往往同时覆盖复杂的IT(信息技术)和OT(运营技术)基础设施。在一个标准的工业和重要基础设施环境中，通常共存着数以千计的设备，并且通过工业物联网不断接入。这给工业环境安全工作带来了严峻的考验，尤其是网络安全威胁正在变得更加难以检测、调查和修复。

 

工业网络安全的挑战

当今复杂的运营技术（OT）环境已经成为新兴攻击的目标。IT和OT的融合以及两者环境中LoT的快速运用，不断增加着整体攻击面和攻击媒介。

 

如果达不到全面覆盖，那么攻击的可能性就不再是“如果”的问题，而是“何时”的问题。

 

工业控制器已经成为了针对工业运营和重要基础设施的主要攻击焦点。根据工业类型的不同，这些控制器也可能称为可编程逻辑控制器（PLC）、远程终端单元（RTU）或分布式控制系统（DCS）。

 

这些控制器可靠性极高，而且控制对象无所不包，，从冷却站到涡轮机、电网、石油和天然气等等。

 

事实上是工业控制系统（ICS）使得一切保持运转。得益于其可靠性，这些设备大部分已经投入使用多年。它们是推动现代化社会的主力，也因此成为攻击的引爆点。

 

全面的ICS网络安全

Tenable.ot 能够保护工业网络免受网络威胁、恶意内部人员和人为错误的侵害。从威胁检测和防范，到资产追踪、漏洞管理、配置控制和设备完整性检查，Tenable的ICS安全功能最大限度提升了运营环境的可见性、安全性和控制性。

 

Tenable.ot为IT安全人员和OT工程师提供了全面的安全工具和报告。它还针对融合IT/OT领域和ICS活动提供了无与伦比的可见性，并且通过单一虚拟管理平台跨所有站点及其各自的OT资产（从Windows服务器到PLC底板）带来清晰的情景认知。

 

解决方案组件

360度可见性

攻击容易在IT/OT基础设施中传播。通过单一平台管理并衡量所有OT和IT系统中的网络风险，从而实现对融合攻击面的完整可见性。Tenable 还可原生集成业内领先的IT全和运营工具，例如安全信息和事件管理（SIEM）解决方案、日志管理工具、新一代防火墙和工单系统。这些功能共同构建出一个彼此信任的生态系统，其中所有安全产品都能作为整体协同运作，确保环境安全。

 

威胁检测和防范

Tenable.ot 利用多元检测引擎寻找可能影响OT运营的高高风险事件和行为。这些引擎包括：

 

基于策略的引擎：通过这项独有的功能可以激活预定义的策略或创建自定义策略，将表明可能存在网络威胁或操作错误的特定精细活动列入白名单和/或黑名单，以便触发警报。这些策略还可以触发对预定义情景的主动检查。这项功能对于发现并未引起注意的风险事件（如恶意软件、侦查活动、从人机接口（HMI）查询设备固体版本等）而言至关重要。

 

行为异常引擎：系统根据流量模式检测与网络流量基准间的偏差。模式基准包括时间范围、协议、设备等因素的结合。此外，它还允许检测网络中表明有恶意软件或流氓设备的可疑扫描。随后，该引擎会向团队发送上下文感知型的警报和相关详细信息，可供快速做出响应并对发生的情况启动取证调查。

特征码更新引擎：Tenable.ot 与开放信息安全基金会（OISF）合作，充分利用Suricata特征码集以及Tenable的专有特征码规则。通过众包数据，可以在所有阶段中检测攻击，获得与可疑流量有关的上下文警报，从而检测出可能存在侦查、漏洞利用、已安装的恶意软件、横向传播等。威胁检测引擎会接收新的特征码更新，随着威胁的发展不断解决新威胁。

 

资产清单和主动检测

Tenable.ot 利用开创性的专利技术，为基础设施提供了无与伦比的可见性，不仅在网络层面，更可深入设备层面。它结合原生通信协议主动查询ICS环境中的IT以及OT设备，从而识别出网络中的所有活动和操作。

 

基于风险的漏洞管理

Tenable.ot利用全面且详细的IT和OT资产追踪能力，通过预测优先级分析为ICS网络中的每一个资产生成漏洞和风险等级。这些报告包含了风险评分和详细洞见以及防范建议。

 

Tenable的漏洞评估涵盖了固件版本、相关CVE、专有研究、默认密码、开放端口、已安装的修补程序等多种参数。这使得拥有授权的人员能够在攻击者利用漏洞之前，快速识别需要优先修复的最高风险。

 

配置控制

Tenable.ot能够追踪恶意软件和用户对网络或直接对设备执行的变更。

配置控制提供了设备配置随时间变化的完整历史记录，包括特定梯形逻辑段、诊断缓冲区、标签表等细分记录。这使得管理员能够建立带有“上一个经过确认的良好状态”的备份快照，从而加快恢复并遵守业内法规。

 

Tenable.ot组件

 

核心平台

直接从网络(通过连接到交换机的span端口或通过网络分流器)和/或使用传感器的数据馈送（来自捕获到的网络流量）采集和分析网络流量。

 

主动检测插件：（可选）

包括设备查询功能，可用于增强基于设备的安全性和可见性。

 

传感器

可以在包含待监控设备的网段部署选配的小型轻量级传感器，设备可经由托管交换机连接到一个传感器。