看得見，卻擋不住 — OT 資安防禦的致命落差

文章撰寫：Max Chang / 奧登資訊工程師

在幾乎每一場 OT 資安事件中，都有同一個時刻反覆出現。

告警觸發了。偵測平台做到了它該做的事。有人看見了威脅。

然後，一切開始慢下來，等待政策確認、等待控制啟動、等待核准流程走完，在那 30 到 45 分鐘的窗口裡，現代勒索軟體早已完成攻擊。

這不是偵測失敗，這是一道更深層的落差：整個產業投入大量資源建立「看見威脅」的能力，卻沒有同等投入在「阻止威脅」上。就算看得見，為什麼還是擋不住？

近看：工廠裡那些從未被關上的門

針對工業控制設備的攻擊事件持續增加，目標包含廣泛部署於全球工廠的 Rockwell Automation 與 Allen-Bradley PLC，例如 CompactLogix 與 Micro850 系列。但 TXOne Networks 的研究人員提出了一個根本的問題：這些設備為何至今仍直接暴露在公開網路上？

答案讓人不安，這些漏洞根本不是新的。網路裸露的 PLC、未受保護的遠端存取工具、持續開放的 SSH 服務，早在多年前就已被記錄在案。真正改變的是威脅環境：地緣政治緊張使國家級攻擊者對關鍵基礎設施的興趣大幅升溫，讓原本「可接受的暴露風險」一夕之間成了迫切危機。

漏洞早已被記錄、風險早已被識別，但因為「還沒出事」而從未被認真處理，直到威脅環境改變，舊缺口成了新危機。

應對起點是回歸基礎：將 PLC 置於防火牆後方；遠端連線強制透過 VPN 或 零信任網路存取與多因素驗證管控，停用預設帳號，趁停機維護時落實修補。同樣不能忽略的是進出工廠的外接設備—隨身碟、工程師筆電、維護工具，都可能在不知情的情況下將惡意程式帶入 OT 環境。

遠看：整條供應鏈都是攻擊面

工廠的 PLC 是一個具體場景。但把視角拉開，「擋不住」的代價正在以更大規模上演。

港口是最清晰的例證。一座港口的數位系統涵蓋導航告警、貨物管理、壓載水控制、CCTV 與門禁管理，每一個系統都是潛在入侵入口。船舶也不例外—遭攻擊的導航系統可能造成碰撞或擱淺，通訊中斷則讓船員無法對外求援。勒索軟體攻擊下，停機損失往往遠高於支付贖金的代價。

隨著 OT 與 IT 加速融合，可被攻擊的範圍已經沒有明確的邊界。 法規能設定底線，但無法替代主動防禦。

填補落差：防護必須以機器速度運作

近看與遠看，一道共同問題：防護的速度，始終跟不上威脅的移動。OT 環境中的關鍵設備往往無法修補、無法安裝監控軟體、無法承受停機。即時攔截機制讓生產團隊顧慮重重；網路分段計畫則常因規則制定曠日費時而擱置。

真正有效的 OT 防護必須以機器速度運作，而非依賴人為協調：

• 虛擬修補：彌補無法實體更新的老舊設備漏洞

• Inline 防護搭配 Hardware Bypass：即時攔截威脅，確保生產流量不中斷

• AI 輔助政策生成：將網路分段建置時間從數個月壓縮至數天

• 統一架構：防護範圍從單一資產無縫擴展至整個生產區域

此外，並非所有漏洞風險都相等。有效防護需要結合資產使用情境，了解哪些設備真正暴露、對生產帶來多大風險，而不只是對照一份 CVE 清單。

TXOne 產品如何對應這道落差

TXOne Networks 提供涵蓋設備層、端點層、網路層與統一治理的完整解決方案：

防護維度	產品線	核心防禦功能與優勢
設備入境管控 (Device Inspection)	Element	Portable Inspector 是免安裝攜帶式掃描工具，可對無法連網的設備進行惡意程式掃描。 Safe Port 作為固定式入境管理站，讓所有外接設備進入 OT 環境前都必須通過安全掃描。
端點防護 (Endpoint Protection)	Stellar	以應用程式白名單為核心，只允許已知合法程序執行，涵蓋 Windows XP 至 Windows 11，讓老舊工控設備不成為防禦盲點。
網路防禦 (Network Defense)	Edge	EdgeIPS 與 EdgeFire 支援超過 180 種工業協議的深度封包檢測，即時阻斷針對特定 CVE 的利用嘗試；Hardware Bypass 確保安全設備異常時生產流量不受影響。EdgeOne 透過被動式網路監控，持續追蹤連網設備的狀態與異常行為。
統一安全治理 (Unified Management)	SageOne	匯聚來自 Element、Stellar、Edge 各產品的安全資訊，提供跨設備層、端點層、網路層的整體態勢視圖，讓資安團隊從單一平台掌握全局、識別優先風險。

結語

偵測工具有了，告警機制有了，威脅看得見了。但看得見，從來就不等於擋得住。

真正的防禦需要一套以 OT 現實為前提的防護邏輯：不以犧牲生產為代價，在設備、網路、端點各層全面落實零信任原則，以機器速度完成阻斷。