运营技术网络安全控制

首页

Endpoint Central 帮助遵守运营技术网络安全控制

工业控制系统（ICS）的快速发展为关键基础设施带来了更高的效率和自动化，但也引入了不断增长的网络威胁。随着这些系统成为工业运营的支柱，保护它们对于保障关键基础设施和确保业务连续性至关重要。

鉴于此，运营技术网络安全控制于2022年发布，旨在增强OT/ICS生态系统的安全性。其设计为 NCA 基本网络安全控制的扩展，OTCC 提供了一个全面的框架，以应对工业网络安全的独特挑战。

NCA 对关键设施和工业控制系统（ICS）的定义：

关键设施是指其毁坏和/或功能失调可能导致组织运营中断或连续性受损的设施。

此外，工业控制系统（ICS）包括所有用于操作和/或自动化工业流程的设备、系统或网络。

运营技术网络安全控制（OTCC）包括：

• 4个主要领域。 
• 23个子领域。
• 47个主要控制。 
• 122个子控制

在接下来的章节中，我们将探讨 ManageEngine 的统一终端管理与安全解决方案 Endpoint Central 如何协助构建符合运营技术网络安全控制的全面网络安全策略。

 

序号运营技术网络安全控制Endpoint Central 的帮助方式
1-5

变更管理中的网络安全

组织OT/ICS变更管理中的网络安全需求必须被定义、记录并获批。网络安全需求必须作为OT/ICS变更管理总体需求的重要组成部分。

必须实施组织OT/ICS变更管理生命周期内的网络安全需求。

除 ECC 控制 1-6-2 和 1-6-3 外，OT/ICS变更管理中的网络安全需求至少应包含以下内容：

1-5-3-1 网络安全需求是变更管理生命周期的一部分。
1-5-3-2 变更必须在独立环境中验证后，方可应用到生产环境。 
1-5-3-3 如果OT/ICS设备被设计、测试或运行环境中功能等效但不同的设备替换，替换设备的网络安全性必须在投入生产环境前验证。
1-5-3-4 必须实施受限流程以应对例外变更。
1-5-3-5 必须实现自动化配置和资产变更检测机制。

组织OT/ICS变更管理中的网络安全需求必须定期审查，且实施效果必须度量和评估。



在对OT/ICS系统补丁的应用过程中，Endpoint Central 提供了在测试环境中测试和批准补丁的功能，然后再部署到生产环境。

Endpoint Central 的 资产清单警报 允许管理员检测OT/ICS中硬件或软件的任何变更。

2-1资产管理

确保组织拥有准确详尽的OT/ICS资产清单，以支持组织网络安全和运营要求，维护生产正常运行、安全操作、资产的机密性、完整性和可用性。

除 ECC 子领域2-1的控制措施外，OT/ICS环境的资产管理网络安全需求至少应包含以下内容：

2-1-1-1 必须以电子格式建立OT/ICS所有资产清单，并定期审查。
2-1-1-2 必须采用自动化解决方案收集资产清单信息。
2-1-1-3 OT/ICS资产清单必须安全存储。
2-1-1-4 必须识别所有OT/ICS资产的资产所有者，并在相关资产管理生命周期内持续参与。
2-1-1-5 所有资产的关键性评级必须分配、记录并由资产所有者批准。

参考 ECC 控制2-1-6，OT/ICS资产管理网络安全需求必须定期审查，且实施效果需度量和评估。

Endpoint Central 拥有综合资产管理 能力，涵盖软硬件。它可以列出网络中的OT/ICS计算机、软件及文件。

注意： 
ManageEngine 的 ServiceDesk Plus (ITSM) 利用 Endpoint Central 的代理发现终端相关资产。若需完整的资产管理、资产映射及CMDB，ServiceDesk Plus 可 与 Endpoint Central 一起满足此需求。  
2-3系统与处理设施保护

确保OT/ICS系统及处理设施（包括工作站、服务器和安全仪表系统“SIS”）免受网络风险影响。

除 ECC 控制2-3-3的子控制外，OT/ICS环境系统与处理设施保护网络安全需求至少应包含以下内容：

2-3-1-1 必须采用先进、最新的防护机制和技术，安全管理以阻止及保护免受恶意软件、高级持续威胁（APT）、恶意文件及活动的影响。
2-3-1-2 必须根据供应商实施指南或推荐，结合组织正式变更管理机制，定期审核和加固安全配置。 
2-3-1-3 必须根据供应商实施指南或推荐，结合组织正式变更管理机制，定期执行安全补丁和升级。
2-3-1-4 必须应用最小权限和最小功能原则。
2-3-1-5 安全仪表系统（SIS）控制器必须始终配置在适当模式，防止任何未授权更改，且对不当模式的更改仅限于特定时间内的例外情况。
2-3-1-6 必须部署应用白名单技术或其他类似技术，限制OT/ICS环境中允许运行的应用程序。
2-3-1-7 OT/ICS资产必须通过专用、分段且加固的工程工作站（EWS）和人机界面（HMI）进行管理和维护。
2-3-1-8 外部存储介质必须经过独立安全环境的恶意软件及APT扫描和分析。
2-3-1-9 除非已开发并正确实施安全的数据传输机制，否则必须限制生产环境中使用外部存储介质。
2-3-1-10 系统日志和关键文件必须防止未授权访问、篡改、非法修改和/或删除。
2-3-1-11 必须检测和分析未授权的应用程序、脚本、任务及更改。
2-3-1-12 必须检测和分析新的通信会话和命令执行。
2-3-1-13 必须检测和分析OT/ICS环境与外部主机之间的直接通信。

参考 ECC 控制2-3-4，OT/ICS环境中系统和处理设施保护的网络安全需求必须定期审查，且实施效果需度量和评估。



管理员可以使用 Endpoint Central 执行  端口审计 ，以识别表现出 
异常行为的端口。

Endpoint Central 帮助管理员修复 零日漏洞 和安全 配置错误。

Endpoint Central 内置了 下一代杀毒引擎 （目前为抢先体验版），利用人工智能辅助、实时行为检测及深度学习技术主动检测网络威胁。

除了实时威胁检测，Endpoint Central 还积极执行事件取证，帮助安全运营分析威胁的根源和严重性。

Endpoint Central 的反勒索软件保护您的ICS系统免受勒索软件攻击。它还通过利用微软卷影复制服务每三小时提供文件的即时、不可擦除备份。

如果文件感染勒索软件，可以使用最近的文件备份进行恢复。
Endpoint Central 通过其外部设备管理功能允许您阻止/限制外部存储设备，并可让管理员为终端用户创建可信设备列表。
Endpoint Central 的应用控制模块允许管理员 允许列表/阻止列表 OT/ICS系统中的软件应用。

Endpoint Central 利用最小权限原则，具备强大的 终端权限管理 能力，为ICS/OT系统用户提供按应用特定权限管理和按需访问。

2-4网络安全管理

确保组织OT/ICS网络免受网络风险影响。
除 ECC 控制 2-5-3 的子控制外，OT/ICS环境的网络安全管理网络安全需求至少覆盖以下内容：

2-4-1-1 OT/ICS环境必须在逻辑上或物理上与其他环境或网络分段。 
2-4-1-2 OT/ICS环境内的不同区域必须根据区域适当级别在逻辑上或物理上分段，以隔离数据流并将流量导向“瓶颈点”。
2-4-1-3 安全仪表系统（SIS）必须在逻辑上或物理上与其他OT/ICS网络分段。
2-4-1-4 无线技术（如Wi-Fi、蓝牙、蜂窝、卫星等）必须限制，仅在满足特定业务需求且正确保护时使用。 
2-4-1-5 无线技术必须在逻辑上或物理上与其他OT/ICS网络分段。 
2-4-1-6 不同区域之间的网络通信、服务和连接点必须限制到满足运营、维护及安全要求的最小范围。 
2-4-1-7 必须防止外部面向主机上常见的远程认证和访问管理服务暴露。 
2-4-1-8 仅授权的业务关键服务可从内部OT/ICS网络访问，且必须尽最大可能限制已知漏洞服务的访问。
2-4-1-9 必须防止企业区与OT/ICS区的直接通信，所有必要连接应通过专用、安全且加固的跳板主机/解决方案在DMZ区完成。
2-4-1-10 DMZ区域的远程访问点除必要外不得连接至OT/ICS网络，且必须确保会话多因素认证、记录，且仅建立限定时间内连接。 
2-4-1-11 企业区与OT/ICS区之间的所有机器对机器流量必须使用代理。 
2-4-1-12 必须使用专用网关将OT/ICS网络与企业区分段。 
2-4-1-13 必须使用专用DMZ区安置任何需企业区服务的系统。 
2-4-1-14 必须严格限制工业协议和端口的启用/使用，至满足运营、维护和安全要求的最小程度。 
2-4-1-15 生产资产的周期性补丁和升级必须经相应供应商认证，并在独立环境内测试后实施。 
2-4-1-16 必须记录、更新和维护网络架构及拓扑、区域、网络数据流、连接性和相互依赖关系的详细信息。

2-5-4，参考 ECC 控制，必须定期审查OT/ICS环境的网络安全管理网络安全需求，并度量与评估其实施效果。



Endpoint Central 的 自定义组功能 使管理员能够按需逻辑隔离ICS/OT系统，从而更有效地管理和保护它们。

限制设备连接公共Wi-Fi，或确保设备通过证书连接组织的 WiFi。 Endpoint Central 还允许管理员创建 Wi-Fi 配置文件 用于终端设备。

Endpoint Central 的网络中立架构允许管理员管理和保护ICS/OT系统，即使它们与互联网隔离。

在对OT/ICS系统补丁的应用过程中，Endpoint Central 提供了在测试环境中测试和批准补丁的功能，然后再部署到生产环境。

2-5

移动设备安全

确保移动设备（包括笔记本、手持配置设备、网络测试设备等）免受网络风险，确保敏感数据和组织信息的安全处理。

除 ECC 控制2-6-3的子控制外，OT/ICS移动设备安全网络安全需求至少应覆盖以下内容：

2-5-1-1 除非特定需要，OT/ICS移动设备使用应受限。必须进行网络安全风险评估，定义和管理风险。相关网络安全职能必须批准管理且仅在限定时间内允许使用，符合组织正式访问管理机制。
2-5-1-2 移动设备必须仅用于其预定目的，并符合各自区域的网络安全要求，方可连接至OT/ICS环境，且



Endpoint Central 的 MDM 功能帮助 简化移动操作系统及应用的更新。 我们的解决方案集成

Checkpoint Harmony ，管理员可利用其移动威胁防御（MTD）功能。 Endpoint Central 可创建自定义组，将移动设备添加并配置为仅连接OT/ICS环境。

Endpoint Central 具备

加密 Android 和 iOS 设备 及其 SD 卡的功能。 数据与信息保护

2-6

确保组织数据和信息的机密性、完整性与可用性，符合组织政策程序及相关法律法规。

除 ECC 控制2-7-3的子控制外，OT/ICS数据与信息保护的网络安全需求至少应包含以下内容： 

2-6-1-1 电子和物理数据（静态和传输中）必须按照分类级别进行保护。 
2-6-1-2 必须采用数据泄露防护（DLP）机制保护分类数据和信息。 
2-6-1-3 必须实施安全擦除机制，在OT/ICS资产退役前删除配置信息和存储数据。 
2-6-1-4 OT系统数据在除生产环境外的任何环境中的传输或使用必须受限，除非已施加严格的数据保护控制。
参考 ECC 控制2-7-4，必须定期审查OT/ICS环境中数据与信息保护的网络安全需求，度量和评估其实施效果。

Endpoint Central 具备强大的
 



数据泄露防护能力 ，允许您检测和分类数据，并通过配置数据传输策略（包括云端和外设）全面控制数据流。 Endpoint Central 协助管理员执行

远程擦除 ，保障丢失OT/ICS资产的企业数据安全。 Endpoint Central 可使用其 Bitlocker 管理功能加密 OT Windows 设备，以及使用 FileVault 加密 OT Mac 设备。

漏洞管理

2-9

确保及时发现和有效修复技术漏洞，防止或减少利用漏洞发动网络攻击的可能性。

除 ECC 控制2-10-3的子控制外，OT/ICS漏洞管理的网络安全需求至少应包含以下内容：

2-9-1-1 必须为OT/ICS环境定义漏洞评估的范围及活动，作为组织正式漏洞管理的一部分，同时确保对生产环境的影响最小或无影响。

2-9-1-1 Scope and activities of vulnerability assessments must be defined for OT/ICS environment as part of organization’s formal vulnerability management while ensuring limited or no impact on the production environment.
2-9-1-2 参照 ECC 子控制 2-10-3-3，必须及时修复对 OT/ICS 环境构成重大风险的新发现关键漏洞。 
2-9-1-3 参照 ECC 子控制 2-10-3-1，必须定期对 OT/ICS 系统进行漏洞评估。

参照 ECC 控制 2-10-4，必须审查 OT/ICS 环境中漏洞管理的网络安全要求，并定期测量和评估其实施效果。

 



Endpoint Central 提供全面的漏洞管理，能够从单一控制台持续评估和监控威胁。除了漏洞评估外，还提供检测到的漏洞的内置修复功能。

针对关键和非关键信息系统，Endpoint Central 提供 基于风险的漏洞管理 使管理员能够根据如 CVSS 评分、CVE 影响类型、补丁可用性等指标对漏洞进行优先级排序

 

获得以下客户信赖