引言：OT-IT 融合下的資安新邊界
當今全球，從發電廠、石油精煉廠到智慧工廠和交通控制中心，關鍵基礎設施的核心運作都依賴於運營技術（Operational Technology, OT）系統。這些系統通常包括工業控制系統（ICS）、可程式邏輯控制器（PLC）、監視控制與資料擷取（SCADA）系統等。在過去，這些 OT 系統與外部世界物理隔離，形成所謂的「氣隙」（air-gapped）網路，被視為相對安全的獨立實體。
然而，隨著工業物聯網（IIoT）的興起和數位化轉型的深入，OT 環境與企業資訊技術（IT）網路的融合已是大勢所趨。這種融合雖然帶來了前所未有的營運效率、遠端監控和數據分析能力，卻也打破了傳統的物理隔離，將 OT 系統暴露在日益複雜和惡劣的網路威脅之下。勒索軟體、國家級駭客組織和有組織的犯罪集團，正將攻擊的觸角從傳統的 IT 環境，延伸到可能造成嚴重物理破壞和人身傷害的 OT 系統。
在這樣的背景下，OT 資產盤點（OT Asset Inventory） 不再是一個可有可無的後勤工作，而是一切 OT 資安防禦策略的起點和基石。你無法保護一個你不知道它存在、不知道它在運作、不知道它如何與其他系統互動的資產。一份精準、動態且全面的資產清單，是實施任何資安控制、進行風險評估、應對事件響應和滿足法規合規性的先決條件。
本報告將提供一份全面且深入的指南與架構藍圖，詳細解析 OT 資產盤點的每一個環節。我們將探討其核心價值、實施中的獨特挑戰、現代化的技術與方法、以及如何將其無縫整合到更廣泛的企業資安防護體系中。這份報告旨在為關鍵基礎設施、製造業、能源和公用事業等領域的資安決策者和技術實施者，提供一份實用且具備前瞻性的參考。
第一章：OT 資產盤點的核心價值與戰略意義
OT 資產盤點的重要性遠超過單純的「資產列表」。它為企業帶來多維度的戰略性價值，這些價值對於保障業務持續運營和提升企業韌性至關重要。
1. 實現全面的資產可見性（Comprehensive Asset Visibility）
在許多 OT 環境中，資產的清單往往是不完整的，甚至存在大量的「影子 OT」（Shadow OT）——那些未經授權或未被IT/OT團隊知曉的設備。OT 資產盤點的首要目標就是揭示這些隱藏的資產。它能夠提供：
2. 為風險評估提供堅實基礎（Foundation for Risk Assessment）
資安風險評估的公式通常是：風險 = 威脅 x 漏洞 x 資產價值。一個精準的資產清單是這個公式的起點。
- 資產價值： 資產盤點能夠幫助企業對 OT 資產進行分類，並根據其在生產流程中的關鍵性來賦予價值。例如，控制整個生產線的 SCADA 伺服器，其資產價值遠高於一個非核心的監控攝影機。
- 漏洞評估： 透過將資產清單與公共漏洞與暴露（CVE）資料庫進行對比，企業可以自動識別哪些設備存在已知的、可被利用的漏洞。
3. 強化漏洞管理與修補優先級排序（Vulnerability Management & Prioritization）
在 OT 環境中，由於設備生命週期長且無法頻繁修補，全面修補所有漏洞是不切實際的。因此，基於風險的優先級排序至關重要。精準的資產盤點能夠將漏洞資訊與資產的關鍵性、網路可見性以及威脅情報相結合，從而幫助企業專注於那些最有可能被利用且影響最大的漏洞。這使得企業能夠將有限的資源投入到最能降低風險的行動上。
4. 支援事件響應與恢復（Incident Response & Recovery）
當資安事件發生時，每一秒都至關重要。一份即時更新的 OT 資產清單能夠為事件響應團隊提供「單一真相來源」，幫助他們：
5. 確保法規合規性與審核（Regulatory Compliance & Audits）
全球各地的監管機構都在收緊對關鍵基礎設施的資安要求。許多標準和法規，如 IEC 62443 和 NIST CSF，都將「資產識別與管理」列為核心要求。一份全面的 OT 資產清單是證明企業滿足這些要求的關鍵證據，有助於簡化審核流程，並避免因不合規而產生的法律風險和罰款。
第二章：OT 資產盤點的獨特挑戰與陷阱
儘管 OT 資產盤點價值巨大，但其複雜性也遠超 IT 資產管理。企業在實施過程中可能遭遇以下獨特挑戰：
1. 傳統 IT 工具的「侵入性」與危險性
傳統的 IT 網路掃描工具，如 Nmap，通常使用主動式探測技術來發現資產。這種技術會向網路中的設備發送大量的探測封包。然而，許多 OT 設備，尤其是那些老舊的、低效能的控制器，對此類流量極為敏感。一次主動掃描就可能導致設備崩潰、停機甚至永久損壞，造成巨大的生產損失。因此，安全第一是 OT 環境中資產盤點的首要原則。
2. 工業協議的複雜性與多樣性
OT 網路使用的通訊協議與 IT 截然不同。Modbus、EtherNet/IP、DNP3、OPC UA 等工業協議缺乏標準化，且許多是專有的。傳統的 IT 網路監控工具無法解析這些協議，也無法從中提取出設備的詳細資訊。這使得資產盤點工具必須具備專門的OT協議解析能力。
3. 網路隔離與物理限制
儘管 IT-OT 融合是趨勢，但許多 OT 網路仍然是部分或完全物理隔離的。這使得資安團隊無法從遠端進行自動化盤點，必須派遣技術人員到現場，進行手動記錄。這個過程不僅耗時耗力，而且人為錯誤的風險高。此外，在某些高風險環境（如爆炸性或輻射性區域），手動盤點甚至是不可能的。
4. 遺留系統（Legacy Systems）的困境
OT 環境中普遍存在使用數十年以上的「遺留系統」。這些設備可能運行著老舊的作業系統（如 Windows XP、Windows 7），缺乏現代網路介面，且無法安裝任何代理程式或安全更新。對於這些設備，傳統的資產發現工具束手無策，只能依賴於人工盤點或特定的工業協定監聽。
5. 缺乏專業知識與跨職能協作的挑戰
IT 和 OT 團隊在工作文化、專業知識和目標上有著顯著差異。IT 團隊注重數據的機密性，而 OT 團隊則將系統的可用性和可靠性置於首位。這種「文化隔閡」常常導致協作困難。IT 團隊可能不了解 OT 設備的敏感性，而 OT 團隊可能缺乏足夠的資安意識。成功的 OT 資產盤點需要這兩個團隊的緊密合作。
第三章：現代 OT 資產盤點的架構藍圖與實施指南
為了解決上述挑戰，現代的 OT 資產盤點方案已經發展出一套專門的、非侵入式的方法論和架構藍圖。這套藍圖的核心是「安全第一，全面可見」。
1. 數據收集層：被動式監聽（Passive Monitoring）
這是 OT 資產盤點的基石。在這個層面，專用的感測器（Sensors）被部署在 OT 網路中的關鍵位置，如在網路骨幹、交換機埠鏡像（SPAN Port）或 TAP（Test Access Point）上。這些感測器以非侵入式的方式被動地監聽網路流量，而不向任何 OT 設備發送探測封包。它們能夠解析 OT 專有協議，從中提取設備資訊，如製造商、型號、固件版本、IP 位址，以及它們之間的通訊關係。這種方法對生產運作完全無害，是 OT 環境的首選。
2. 數據處理與分析層：統一數據平台
收集到的原始網路流量數據被傳輸到一個中央管理平台。這個平台具備專門的分析引擎，能夠對海量的數據進行處理和關聯分析，以：
3. 資產管理與可見性層：單一儀表板
在這個層面，處理和分析後的資產資訊被可視化呈現。企業可以透過一個直觀的儀表板，全面查看所有 OT 資產的狀態、類型、位置和安全態勢。儀表板應提供：
- 資產清單： 一份動態、即時更新的 OT 資產清單。
- 資產分類： 根據資產類型、角色和關鍵性進行分類，並可自定義標籤。
- 威脅與風險地圖： 將資產清單與漏洞資訊相結合，以地圖形式顯示整個 OT 網路的風險分布，高風險資產將被重點標註。
- 變動監控： 當有新設備上線、設備從網路中移除、或配置發生更改時，自動發出警報。
4. 整合與應用層：實現價值閉環
OT 資產盤點的真正價值在於與其他資安工具和框架的整合。這個層面將資產清單作為一個統一的數據來源，與：
- 漏洞管理系統整合：自動推送資產資訊和漏洞報告。
- 安全資訊和事件管理（SIEM）系統整合：為 SIEM 提供關鍵的 OT 流量和資產上下文，幫助資安團隊更準確地分析日誌和事件。
- 身分與存取管理（IAM）系統整合：為零信任架構提供基礎數據。
- 資產管理資料庫（CMDB）整合：將 OT 資產資訊同步到企業整體的 CMDB 中。
第四章：將 OT 資產盤點融入資安框架與法規標準
單獨的 OT 資產盤點方案無法提供全面的防護。它必須被整合到更廣泛的資安框架中，以實現其最大價值。
1. 與 IEC 62443 標準的對應
IEC 62443 是國際公認的工業自動化與控制系統（IACS）資安標準。在 IEC 62443 的核心要求中，「資產識別與管理」是第一條。一個全面的 OT 資產盤點方案能夠幫助企業滿足這條要求，並為實施後續的技術控制、漏洞管理、風險評估等環節提供數據支持。
2. 支援 NIST CSF 的實施
美國國家標準與技術研究院（NIST）的網路安全框架（CSF）是另一個廣泛採用的標準。在 NIST CSF 的五個核心功能中，識別（Identify）是第一步。這包括資產管理、業務環境、治理、風險評估和風險管理策略。OT 資產盤點方案直接支援「資產管理」功能，為其他四個功能提供必要的資訊，從而成為實施整個 NIST CSF 的基石。
3. 實現零信任架構（Zero Trust Architecture）
零信任是一種「永不信任，始終驗證」的思維模式。在 OT 環境中實現零信任的第一步，就是對所有資產進行身份認證。精準的 OT 資產盤點方案能夠為每台設備建立一個獨特的身份標識，並根據其身份、角色和行為，對其與其他設備之間的通訊進行嚴格控制。這使得即使駭客成功入侵了一個設備，其「橫向移動」能力也會被極大限制。
第五章：成功實施 OT 資產盤點的組織與流程建議
技術只是成功的一半，另一半是組織與流程。
1. 建立 IT-OT 跨職能團隊
打破 IT 和 OT 之間的組織孤島是成功的關鍵。企業應成立一個由 IT 資安專家、OT 工程師、業務經理和高層管理者組成的跨職能團隊。這個團隊將定期開會，共同制定資安策略，解決技術與文化上的衝突，並確保 OT 資產盤點專案能夠順利進行。
2. 制定明確的政策與流程
OT 資產盤點不是一個一次性的專案，而是一個持續性的流程。企業應制定一份正式的資產管理政策，明確規定：
- 範圍： 哪些 OT 資產需要被盤點，其涵蓋範圍應包括所有網路和設備。
- 頻率： 資產清單更新的頻率。
- 職責： 明確 IT 和 OT 團隊在資產盤點中的職責。
- 工具： 規定所使用的工具和技術。
3. 從小處著手，逐步擴展
OT 資產盤點是一個複雜的工程。企業不應試圖一次性盤點所有資產。一個更穩健的方法是從一個非關鍵的、規模較小的 OT 網路作為試點，逐步實施資產盤點。這不僅能夠積累經驗，驗證工具的有效性，還能證明其價值，為後續在整個企業範圍內推廣奠定基礎。
4. 將盤點流程融入日常運營
OT 資產盤點的最終目標是使其成為 OT 日常運營的一部分。這需要 OT 團隊和資安團隊之間的緊密協作。例如，在安裝新設備或對現有設備進行重大更改時，OT 團隊應負責即時向資產管理平台報告，以確保資產清單的即時性和準確性。
結論：OT 資產盤點是保障數位工業未來的基石
在 OT-IT 深度融合的今天，OT 資產盤點已不再是可選的，而是保護關鍵基礎設施、保障業務持續運營、並遵守法規的必要條件。正如本報告所闡述的，儘管其面臨著獨特的挑戰，但透過採用現代化的非侵入式技術，並將其與更廣泛的資安框架和組織流程相結合，企業能夠有效地克服這些困難。
OT 資產盤點提供了一個全面的藍圖，指導企業從缺乏可見性的困境中走出，走向一個可見、可控且安全的數位工業未來。它不僅僅是一個資安工具，更是企業管理數位化轉型風險、提升營運韌性，並在日益嚴峻的網路威脅環境中，維持其核心競爭力的基石。透過將資產盤點作為起點，企業能夠為實現零信任架構、強化威脅建模和提升事件響應能力奠定堅實的基礎，從而在工業互聯互通的時代，守護物理世界的安全。
資料來源：https://industrialcyber.co/industrial-cyber-attacks/ot-asset-inventory-guide-and-architecture-blueprint-released-to-secure-critical-infrastructure/