2026年情报驱动主动防御报告：保障运营技术环境安全

核心观点

• 工业控制系统（ICS）的攻击面正在迅速扩大，互联网暴露的 OT 设备和服务数量大幅增加，传统上认为的隔离工业环境已不复存在。
• 攻击者在对 OT 环境造成实际影响之前，会经历一个长期的“前奏阶段”，在此阶段，攻击活动是高度可感知的，为防御者提供了可利用的窗口期。
• 通过结合威胁情报和预测分析，组织可以在网络边缘进行主动防御，在攻击者造成实际损害之前就将其拦截。

关键数据

• 2024 年，Cortex Xpanse 分析了超过 61,000 个部署在 OT 环境中的防火墙，发现互联网暴露的 OT 设备和服务数量同比增长 332%，达到近 2000 万个。
• 基于对 27 个公开披露的 OT 网络事件的 CyOTE 分析，82.8% 的攻击活动发生在触发高后果事件之前，平均潜伏时间为 185 天。

研究结论

• 组织应将检测和分析的重点转移到网络边缘，利用边缘威胁情报了解攻击活动何时开始对 OT 风险产生影响。
• 应用预测分析来预测攻击者可能的下一步行动，并专注于干预效果最显著的领域。
• 建立 OT-SOC（安全运营中心）功能，将威胁情报和预测洞察力结合，在攻击的早期阶段进行干预，并在 OT 环境受到损害之前就将其阻断。
• OT-SOC 框架应遵循安全优先、业务对齐、合规驱动、纵深防御、持续改进和与 IT/企业 SOC 紧密集成等指导原则。
• OT-SOC 功能的建设应遵循分阶段路线图，逐步提升能力、复杂性和弹性。

OT-SOC 框架

• 该框架分为多个层级，从设备层到企业层，涵盖了 OT 环境的各个层面。
• 框架强调了跨网络可见性、上下文丰富的分析和对 OT-SOC 和 IT-SOC 之间结构化的信息共享。
• OT-SOC 服务包括主动、被动、合规和恢复等类别，并通过持续改进周期来不断提升性能。

建议

• 组织应优先收集来自历史记录、HMI 和跳转主机等高价值来源的日志。
• 通过分阶段路线图逐步建立 OT-SOC 功能，实现从被动防御到主动防御的转变。
• 加强与国家实验室和行业领导者的合作，共享威胁情报和最佳实践。