大多數IT運營人員都明白，關鍵基礎設施在危機情況下應當進行隔離，但許多人並不知道如何在最大限度保障安全的同時將業務中斷降至最低。
如今，多個全球機構聯合發布了一份名為"CI Fortify"的分步行動指南。該指南由美國網路安全和基礎設施安全局（CISA）聯合美國、英國、澳大利亞、加拿大和紐西蘭"五眼聯盟"安全機構共同發布，旨在幫助各組織隔離和分離關鍵系統，防止惡意行為者在遭受攻擊時造成大規模破壞，並為攻擊後的安全重建提供支撐。
指南強調："最終目標必須是使關鍵服務能夠在隔離狀態下持續運行。"
網路攻擊者，尤其是國家支持的行為者，正日益將運營技術（OT）系統作為攻擊目標，實施間諜活動或破壞電力、供水等關鍵基礎設施。
這導致一些組織不得不將系統完全下線。例如，CAF銀行本周因第三方軟體漏洞暫停了在線服務，致使其服務的慈善機構無法正常發放薪資。同周，明尼蘇達州水務公司的OT服務也在一次協同網路攻擊中遭到破壞。
為幫助可能面臨類似情況的組織，該指南提出了所謂的"隔離關鍵路徑"，包含六個可執行步驟：
識別關鍵系統和網路
識別關鍵客戶
確定網路和主機的通用關鍵等級與信任級別
識別潛在隔離點並繪製與關鍵系統的連接圖
構建有效的分離與隔離節點
制定並測試隔離方案
前兩步相對直接：明確支撐關鍵服務所需的最小系統集合，然後根據主要客戶的需求設定服務目標，例如維持運營所需的電力兆瓦數或供水量。
劃分不同關鍵等級意味著需要根據系統性質和威脅暴露程度，將網路、主機和系統劃分到不同區域，風險管理流程將在其中發揮重要作用。
完成系統分類後，指南建議繪製關鍵網路與其他系統之間的互聯點，並持續更新。需要納入考量的連接包括：擁有遠程訪問權限的供應商（如顧問、承包商或託管服務提供商）的連接；雲環境（包括私有雲）的連接；不可信網路的連接；以及公用事業或調度等同級關鍵網路的連接。
同樣重要的是，要識別可能降低信任度或增加網路脆弱性的連接，例如運營商提供的網路，或Wi-Fi、衛星、無線點對點、移動網路等連接。各機構建議運營商識別這些連接中已有的防護機制，例如加密手段。
此外，運營商還應了解每個連接的業務背景，包括流經其中的資訊類型、對運營的重要程度，以及對系統所有者或第三方提供商的意義。與互聯點相關的技術資訊也應詳細記錄，例如網際網路網關資訊、網路架構圖、防火牆、路由器和VPN配置，以及緊急聯繫方式。
指南指出："這些關鍵技術資訊是構建隔離控制措施的必要基礎。"
通常認為，零信任網路因設備之間默認互不信任，可以降低對隔離的需求。但指南強調，網路與服務之間的隔離節點仍是必要的，並且在遏制攻擊、限制對運營的整體影響、阻礙攻擊者橫向移動以及縮短事件恢復時間方面"極為有效"。
指南明確指出："各組織必須在關鍵系統中構建物理隔離節點，以具備在隔離狀態下運行的能力。"
這意味著與非OT網路之間，在交換、路由、計算、中繼器或多路復用器層面實現零連接或零共享基礎設施。此外，電力、冷卻、備用發電和物理安全系統等關鍵資源不得受非關鍵網路控制。
指南建議，企業應強化OT邊界，完全隔離管理和運維系統，並保護網路控制平面。同時可實施管理網路控制措施，如虛擬局域網（VLAN）、多協議標籤交換（MPLS）、IP訪問控制列表、路由阻斷，以及將惡意數據包在到達伺服器前丟棄的黑洞路由。
不過，各機構也承認，對於部分擁有龐大分散業務規模的企業運營系統而言，完全物理隔離在運營層面可能不可行。
在第三方通信不可避免的分布式關鍵基礎設施中，OT邊界應通過強加密手段加以保護。此外，專用通信路徑（如波長或光纖配對）有助於防止數據與非關鍵系統共享。
指南同時指出，第二層和第三層服務應進行加密，限制或禁止遠程訪問，並禁用不必要的服務。企業不應依賴OT設備內置的加密功能，而應在運營商鏈路上使用專用加密設備。
指南警告，運營商提供的任何服務最終都應被視為"不可信且潛在的敵對方"。
鑑於上述情況，各機構建議運營商了解OT與非OT系統之間的依賴關係，並構建專用OT能力。依賴關係可能存在於共享路由、虛擬化、交換、儲存、文檔管理、Active Directory，以及證書和身份驗證服務中。必須充分理解這些依賴關係，才能防止物理隔離情況下出現意外的性能問題或服務質量下降。
企業還需明確在長期隔離期間的運營方式，因為這可能引發運營和安全風險。例如，系統可能無法按時完成補丁合規更新，移動儲存設備可能因得不到更新而感染風險上升，外部可見性也可能下降。
隔離系統乍看似乎是一項艱巨任務，為此各機構建議採用漸進式方案。這有助於"逐步隔離"通往關鍵OT及支撐系統的路徑，同時保持業務流程的連續性。
為保護自身安全，企業應按以下順序依次採取行動：
禁止遠程工作人員通過非OT環境中的跳板主機等中間節點訪問OT系統；
禁止從企業系統對OT系統進行本地遠程訪問；
隔離非OT環境與OT環境之間的所有連接；
隔離分散OT系統與OT系統之間的低優先級連接；
完全隔離OT環境和關鍵系統。
指南指出："隨著網路威脅形勢的惡化，逐步撤銷對OT系統的訪問權限，可能有效阻止或干擾針對關鍵OT及支撐系統的攻擊。"
Q&A
Q1：CI Fortify指南是由哪些機構發布的？主要針對哪類組織？
A：CI Fortify指南由美國網路安全和基礎設施安全局（CISA）聯合英國、澳大利亞、加拿大、紐西蘭共同發布，屬於"五眼聯盟"安全機構的協作成果。該指南主要面向運營關鍵基礎設施的組織，如電力、供水、金融等行業，幫助其在遭受網路攻擊時對關鍵系統進行有效隔離，防止攻擊擴散並支持事後安全重建。
Q2：CI Fortify指南提出的六步隔離方案具體是哪六步？
A：六步分別是：第一，識別關鍵系統和網路；第二，識別關鍵客戶及其服務需求；第三，確定網路和主機的關鍵等級與信任級別；第四，識別潛在隔離點並繪製與關鍵系統的連接圖；第五，構建有效的分離與隔離節點；第六，制定並測試完整的隔離方案。這六步形成一條系統性的"隔離關鍵路徑"，幫助組織在危機中有序響應。
Q3：零信任網路是否能替代物理隔離？
A：不能完全替代。雖然零信任網路通過設備間默認互不信任來降低風險，但CI Fortify指南明確強調，網路與服務之間的物理隔離節點依然必要，且在遏制攻擊、阻止攻擊者橫向移動、縮短恢復時間方面"極為有效"。零信任是一種持續驗證機制，而物理隔離則是在極端情況下切斷攻擊路徑的最後防線，兩者互補而非替代。
