|
项目挑战：网安落地与制造 半导体制造环境的高度敏感性 零宕机要求：所有安全设备的部署、策略变更必须确保不影响精密测试设备的正常运行，测试机台的意外停机成本极高。 协议兼容性与性能：FortiGate必须在不引入延迟或丢包的前提下，深度解析SECS/GEM等复杂工业协议。现场PoC阶段需在真实生产流量环境下验证性能。 设备供应商限制：部分ATE设备供应商对网络配置有严格限制，安全方案需兼容且不违背供应商要求。 部署与运维的复杂性 网络架构变更影响：实施新的隔离策略可能影响现有生产流程的数据流，需极其精细的规划和割接方案。 运维团队技能提升：客户原有IT团队可能缺乏OT安全运维经验，需提供针对性强的培训，并确保Fortinet统一OS(FortiOS)带来的管理界面一致性真正降低其学习曲线。 方案详情 Security Fabric编织智能防护网 核心架构：基于Fortinet Security Fabric构建的“纵深防御、智能联动、统一管理”安全架构。 关键组件及部署细节： IT/OT核心边界防护 深度SECS/GEM等协议检查：利用FortiOS内置的工业协议库，识别异常消息结构、非预期命令(如未经授权的Start/Stop/Abort)、参数篡改。 工业虚拟补丁(IVP)：针对已知但未修复的工控系统及软件漏洞，通过FortiGate实时拦截针对这些漏洞的攻击流量(如恶意HSMS消息利用缓冲区溢出漏洞)，保护脆弱终端。 严格访问控制：基于源/目的IP、端口、用户(集成AD/LDAP)、应用(识别SECS/GEM流量)实施最小权限访问控制列表(ACL)，仅允许必要的通信(如MES服务器->ATE控制器，工程师站->Prober/Handler)。 IT/OT流量隔离：彻底阻断非必要的IT到OT的访问。 OT网络内部威胁主动诱捕 高仿真诱饵：部署模拟ATE控制器接口(如响应SECS/GEM通信)、模拟MES接口、模拟工程师工作站、模拟PLC/HMI的诱饵系统。这些诱饵高度仿真，吸引攻击者(外部渗透者、内部恶意人员)。 自动化威胁响应：一旦FortiDeceptor检测到与诱饵的恶意交互(如端口扫描、漏洞探测、登录尝试、异常协议指令)，立即通过Security Fabric API通知边界FortiGate。FortiGate根据策略自动阻断该威胁源的IP地址，阻止其在OT网络内的进一步活动。 进行IT/IoT网络分区管控 创建独立安全域：为办公用户(IT域)、各类IoT设备(IoT域)创建逻辑隔离的安全域(VLAN+VDOM或策略)。 精细化IoT管控：对IoT设备实施严格策略：仅允许其与特定管理服务器/云平台通信，禁止主动发起与其他域(尤其是IT和OT域)的连接。应用识别阻止非授权协议。 进行未知威胁深度行为分析 多引擎联动分析：接收来自所有FortiGate(IT/OT边界、IT内部)和FortiDeceptor提交的可疑文件(如通过邮件、网页下载进入IT或OT的文件)和URL。 高级威胁检测：在隔离的沙箱环境中执行文件，动态分析其行为(如尝试连接C&C、修改系统文件、注入恶意代码)，检测绕过传统签名的零日恶意软件、APT载荷。检测结果实时返回给提交设备，更新其本地威胁情报。 实现统一日志管理、分析与合规审计 集中日志收集：接收并存储所有FortiGate、FortiDeceptor、FortiSandbox产生的海量日志(流量日志、安全事件日志、操作日志、工业协议审计日志)。 长期合规存储：配置满足客户要求的6个月或更长时间的日志保留策略。 关联分析与可视化：利用内置AI/ML引擎进行日志关联分析，将网络访问、安全事件、蜜罐告警、沙箱结果进行关联，生成针对半导体生产环境的专属仪表盘。 自动化报告：生成满足合规要求的审计报告，展示安全态势。 资料来源于网络，详情请点击： 云交付,云服务安全Web网关-FortiSASE安全访问服务边缘(SASE)-Fortinet（https://www.fortinet.com/cn/products/cloud-access-security-broker）业务的极限平衡
| 
/1 
发表于 
