正如 OT 技术与 IT 技术不同，威胁、可能的对手和潜在危害也不同。

OT 风险比 IT 风险更为极端。它可能导致社会混乱、个人伤害、国家经济受损以及国家安全受到威胁。欢迎来到 OT 安全。

操作技术是指用于操作物理设备的硬件和软件，通常在工业环境中使用。这包括全系列的 ICS 和 SCADA 系统及其组件、从工厂车间收集数据并向其发送指令的 IoT 设备、可编程逻辑控制器以及允许人类操作员监视和控制其余 OT 系统的人机界面 (HMI) 设备。

这些系统的性质意味着它们高度集中在关键基础设施领域。正如 OT 技术与 IT 技术不同，威胁、可能的对手和潜在危害也不同。这就是我们所说的 OT 安全。

2025 年 OT 安全——概述 

所有网络安全都是对手与防御者之间的持续战斗。所有战斗都有起有落。2025 年的 OT 也将如此：防御者会获胜，对手也会获胜。ADAMnetworks 创始人兼首席执行官 David Redekop将 2025 年描述为 OT 的“好坏参半”。 

“随着旧设备达到使用寿命并被替换，新的默认设置将消除犯罪分子唾手可得的易于破解的凭证，”他解释道。“另一方面，攻击者的工具将继续发展；因此，一旦攻击者成功植入网络，可利用主机和服务的发现就会比以往更加高效，从而缩短驻留时间并加快攻击速度。”

Viakoo副总裁 John Gallagher担心，OT 仍被视为 IT 的弱势一方。“OT 通常缺乏传统 IT 系统的保护，并且通常由非 IT 人员配置和管理（因此更容易被利用）。这就是为什么 IoT 设备通常使用默认密码、不在分段网络上并且固件补丁落后的原因。”

他特别担心，已经受到攻击的系统（尤其是物联网设备）将在 2025 年被利用。“OT 系统经常用于发起 DDoS 攻击，这些设备已经部署了僵尸网络大军，等待被激活。到 2025 年，这些僵尸网络可能会发起更复杂的攻击，而且由于采用了多态编码等方法，它们将更难被发现。”

RunSafe Security创始人兼首席执行官乔·桑德斯 (Joe Saunders)对这些威胁的看法非常明确。他警告说：“我们可以肯定，民族国家、对手和 APT 将瞄准 OT 设备、软件供应链和关键基础设施本身，并可能破坏它。”

“这些攻击将变得越来越具有破坏性，从民族国家预先部署资产以在未来破坏基本服务，到不法分子通过勒索软件攻击寻求经济利益。到 2025 年，”他继续说道，“如果美国排名前 20 的城市因勒索软件攻击而失去一项关键服务（无论是电信还是水务），那也不足为奇。”

不过，他补充道：“我仍然乐观地认为，美国将在保护关键基础设施方面取得巨大进展。”

但别忘了，人工智能效应是 OT 面临的新威胁。Frenos 增长与战略高级副总裁 Vivek Ponnada 表示：“到 2025 年，更复杂的攻击可能会利用人工智能来提高准确性，而不是使用该技术来创建恶意代码，目的是让攻击更难检测和防御。”

Phosphorus Cybersecurity的 CSO John Terrill担心新的 OT 恶意软件。“我预计明年我们将看到更复杂的 OT 恶意软件。”过去十年来，OT 恶意软件不断发展，对不同的设备和协议提供了更多支持，而直到最近，人们还认为这些设备和协议还很模糊，难以操纵。 

“这包括漏洞和技术库，例如暴力破解密码的能力。随着攻击者适应曾经不太了解的 OT 世界，很明显，下一代 OT 恶意软件支持多种协议、多种设备，并且比过去脆弱的技术工具更加注重结果。”

危险在于，更好、更易于访问的恶意软件将使 OT 攻击更多地落入以经济为动机的犯罪分子（例如勒索软件）的手中，而不仅仅是精英国家行为者。

规定

哪里有威胁，哪里就有法规。OT 自动受到大多数 IT 法规的约束，但针对特定关键行业和特定 OT 设备还有一些额外的法规。 

Armis OT 首席技术官 Carlos Buenano 表示：“随着 OT 系统面临的威胁不断扩大，世界各地的监管机构正在出台更严格的 OT 网络安全合规要求。”他以美国 NERC CIP 的持续发展以及欧盟的 NIS2 和 CER 指令为例。 

最新的CIP-003 版本 9 的生效日期为 2026 年 4 月 1 日。NIS2（网络和信息系统）扩大了其范围，涵盖了 OT 密集型关键行业，例如能源、交通、医疗保健、制造业和水利。与 NIS2 密切相关的 CER（关键实体复原力指令）于 2024 年 10 月 18 日生效。（NIS2 于 2024 年 10 月 17 日生效 - 虽然由于它是指令而不是法规，但实际实施（即生效时间）在细节和日期上可能因不同的欧盟成员国而异）。

“到 2025 年，组织不仅必须实施这些保护措施，还必须通过审计和持续风险评估来证明合规性，”Buenano 补充道。

安全设计是硬件和软件的隐性而非显性要求。“2025 年，这将成为 OT 产品制造商的一大关注点，”Illumio 关键基础设施总监 Trevor Dearing 表示。“制造商需要解决漏洞、提供自动更新并遏制潜在威胁，同时确保这些做法不会对此类设备的性能产生负面影响。”

虽然法律并未明确要求“安全设计”（在没有可衡量的客观指标的情况下很难实现），但法律还是敦促和鼓励这样做。例如，CISA 于 2024 年 5 月 8 日发布了“安全设计承诺”，“这是一项专注于企业软件产品和服务的自愿承诺……”其中指出，“物联网设备和消费产品等实体产品不在承诺范围内，但希望展示这些领域进展的公司可以这样做。”

有迹象表明监管方面正在取得一些进展，但对于它们能否强制实施更安全的 OT 硬件，人们的怀疑仍然存在。“尽管在制造方面取得了一些进展——英国的《产品安全和电信基础设施 (PSTI) 法案》和美国提出的物联网设备网络信任标志——但它们只是迈出了一小步，而且几乎完全专注于智能消费物联网产品，而不是任务关键型 OT 网络物理系统，如 PLC、HMI、RTU 和 SCADA 系统，”Phosphorus Cybersecurity 的安全策略师 John Vecchi 说。

“像英国这样的法律强制组织不采用默认密码是一个开始，”加拉格尔补充道：“但还有很长的路要走。即使制造商改进了固有的设备安全性，用户通常也不是 IT 人员，在密码更改、固件更新和使用证书方面也不是本地人。”

这对于 2025 年的 OT 供应商和用户来说都将成为问题。法规隐含地要求安全性，但对于如何实现安全性却提供很少的建议。

物联网/工业物联网

物联网设备（通常称为工业物联网，指工业环境中的设备）及其固有问题（丢失和遗忘但仍保持连接、不安全且经常使用默认密码）在业务转型和 OT 的提升中发挥着重要作用。但它们将成为 2025 年 OT 的一个特殊痛点。CSC 首席技术官 Ihab Shraim 警告说：“物联网设备的爆炸式增长将大大扩大攻击面。” 

“确保互联系统的安全，特别是关键基础设施的安全，将成为私营和公共部门的首要任务。”他以智慧城市为例：“网络犯罪分子将利用市政物联网基础设施的弱点，针对交通系统、公共设施和监控网络进行攻击。” 

该原则将适用于所有 OT 领域，从工厂车间到关键服务——物联网被广泛认为是 OT 的唾手可得的成果。

Kyndryl全球网络和边缘计算业务负责人 Paul Savill量化了物联网的增长。“预计到 2030 年，全球物联网设备部署数量将增至 254 亿台以上，几乎是 2020 年 87.4 亿台设备的三倍。”

但他补充说，用于与物联网设备通信的私有5G 网络的兴起也加剧了这一问题。“私有 5G 网络的普及将产生一把双刃剑，”他说。“虽然它们提供了尚未开发的加速数字化转型的潜力，但私有 5G 网络实现的自动化也允许黑客对暴露的网络进行自主搜索。”

此外，“随着各组织继续利用私有 5G 网络来构建比传统网络技术更可靠的连接，其漏洞可能会对整个连接的基础设施产生连锁反应。一个软件或设备黑客就可能摧毁整个组织的所有关键任务资产。”

地缘政治和 OT

我们不能忽视地缘政治对安全的影响，尤其是对 OT 的影响。Barrier Networks 高级 SOC 分析师 David Neeson 警告称：“当前的地缘政治格局对工业组织的安全产生了严重影响。这种影响将持续到 2025 年。”

“与此相关的一大威胁是俄罗斯目前正在进行的破坏乌克兰盟友国家的工作。我们可以预见，俄罗斯国家支持的行为者将目光投向北约成员国，目的是夺取水、天然气和电力等关键物资，”他继续说道。

他认为，攻击很可能会瞄准传统 IT 网络，然后通过业务转型开辟的路线转向 OT。“这些攻击将是危险的，如果工业组织没有做好准备，它们可能会严重损害目标国家及其公民。”但俄罗斯并非唯一值得我们担忧的因素。

“根除已受攻击的 ICS/OT/IoT 设备的成本和精力是巨大的；因此，问题在于谁控制它们（以及出于什么目的），以及是否有有效的缓解措施（如果不是补救措施）。”

他预计，到 2025 年，以 OT 为重点、受地缘政治驱动的国家活动将有所增长。“俄罗斯/乌克兰冲突的趋势可以作为一个很好的学习案例，”他表示。“最初，网络攻击以数据为重点，然后转向使用 OT 设备收集情报，现在则变得更加物理化——正如喷洒在莫斯科上空的‘摩天大楼高’的污水柱（据 The Register 报道，推测是来自乌克兰的网络攻击）所证明的那样。”

俄罗斯在乌克兰境内和周边地区也十分活跃。IOActive 研究与战略高级副总裁 John Sheehy 指出：“2024 年，与俄罗斯有关的威胁行为者在整个欧盟 (EU) 开展了一场物理破坏活动，目标是关键基础设施、国防工业和欧盟社会的其他要素。” 

“我评估，与俄罗斯有关的威胁行为者可能会加强侦察、建立持久性，并对为欧盟成员国服务的液化天然气（LNG）出口和进口设施发动试探性网络攻击，这符合俄罗斯将天然气出口到这些国家的战略，以及其最近在欧盟的行动活动，”他补充道。

“简而言之，”Vecchi 说，“如果过去的一年可以作为参考的话，对 OT 和 ICS 网络物理系统的威胁只会在频率、复杂性和范围上继续上升。从最近的攻击和恶意软件（如FrostyGoop和Fuxnet）到僵尸网络（如 Volt Typhoon 的KV-Botnet），民族国家、黑客活动分子和勒索软件团伙不仅越来越关注 OT 端点，而且还在利用对这些系统的更深入了解，使他们的恶意软件更有效、更有针对性。”

他指出，这些 OT 设备缺乏基本的安全保障。“我们可能会看到威胁行为者转向更少依赖复杂的 ICS 恶意软件的攻击，而更多地利用网络连接的 OT 设备固有的内置功能来造成网络物理中断。这种策略将与更通用且本质上与设备无关的 ICS 恶意软件相结合，允许攻击者针对整个类别的设备（如 PLC 和 HMI），而不是仅针对特定的设备和制造商。”

Praxis Security Labs首席执行官兼创始人 Kai Roer介绍了一个需要考虑的额外概念。他建议：“当今技术的最大转变之一是从全球化转向保护主义……随着我们走向保护主义和孤立主义，我们都必须重新校准我们的传感器。”

他不再认为，确保 OT 安全只能局限于技术控制。“安全团队必须努力了解地缘政治和地缘金融趋势和方向，并分析它们可能对他们、他们的行业以及他们的国家和盟友产生的影响。”

我们会看到更多攻击吗？“我认为答案是肯定的。”攻击会变得更加复杂吗？“肯定会，”他说。

但他继续说道：“在我看来，可怕的是，如果你的敌人购买了或已经购买了你使用的核心技术，而他现在控制了这些技术，你将如何保护自己？这是一个真实的情况，必须由董事会、高管和安全团队进行讨论。”在受地缘政治启发的保护主义和孤立主义时代以及政治势力范围不断变化的情况下，你在友好全球化期间购买产品的制造商可能不再是你的朋友。

Cloud Range技术副总裁 Tom Marsland也介绍了国际关系发生更广泛转变的可能性。“美国军方和领导层认为‘大国竞争’。即使是现在，美国军方也在讨论‘在大国竞争中保持优势’的变化。预计国家针对 OT 的活动将会增加，因为我们的 OT 中有很多是支持我们军事和情报部门的关键基础设施。”

Redekop 补充道：“考虑到传统战争的实际成本，OT 攻击者的成本和附带损害都很低——只需要配备对抗性网络工具的先进红队即可。”地缘政治让世界变得可怕，地缘政治 + OT 让世界变得危险。

破坏性网络犯罪

由于 OT 涉及网络物理设备，破坏性的网络损害转化为破坏性物理损害的可能性是显而易见的——而且在热战和冷战时期，民族国家出于民族目的进行侵略的可能性同样明显。但针对 OT 的犯罪活动的可能性也很高。

在业务转型之前，OT 与 IT 的其他部分是分开的，通常是通过物理隔离，使用神秘的技术。只有精英攻击者才能攻击 OT。这种情况不再适用。“随着 OT 系统和 IT 系统变得更加融合，攻击者已经找到了造成破坏的方法，而无需依赖复杂的攻击手段，”Darktrace 产品总监 Oakley Cox表示。

“这就是为什么去年一些最具破坏性的攻击都来自黑客行动主义和以经济为目的的犯罪团伙——例如反以色列黑客组织劫持互联网暴露的 PLC，以及勒索软件攻击导致医院运营取消。”

更容易获得 OT 加上主要网络犯罪家族的能力不断增强，将导致出于经济动机的勒索攻击增加（另请参阅《网络洞察 2025：恶意软件方向》）。我们已经在医疗保健勒索软件攻击的激增中看到了这一点。出于勒索目的，这种物理威胁很容易转移到其他关键基础设施部门。

这其中的地球物理危险在于，在高度紧张的时期，有政治倾向的网络犯罪分子可能不太关心避免对某些目标造成物理损害和人身伤害。

Cox 表示：“到 2025 年，我们预计威胁团体出于政治意识形态或经济利益的动机而造成的网络物理破坏将会增加，从而使 OT 威胁形势在复杂性和规模上更接近 IT 形势。风险最大的行业是那些严重依赖物联网传感器的行业，包括医疗保健、交通运输和制造业。”

防守加时赛

2025 年针对 OT 的威胁将会增加，而成功的 OT 攻击可能造成的危害也会加剧。OT 安全性是否能够得到足够的改善以应对这些威胁？部分可能，但足够吗？可能不会。可以肯定地说，2025 年 OT 威胁的增长速度将快于 OT 安全性的改善速度。 

“在未来一年，我们不会看到制造商在 OT 设备安全方面发生太大变化，”Vecchi 表示。“对于设备制造商来说，现实情况是，安全性充其量只是其开发生命周期和制造流程中的事后考虑，而制造商更注重提供功能丰富的实用产品，而不是设计安全的设备。” 

他警告说，朝着正确方向迈出的小步还不够。“尽管在制造方面取得了一些进展，但这只是迈出了第一步，而且几乎完全专注于智能消费物联网产品，而不是工业物联网、PLC、HMI、RTU 和 SCADA 系统等任务关键型 OT 网络物理设备，”他说。

传统上，运营技术需要保持运行（以避免整个制造过程停工），这仍然是至关重要的——人们不愿意也不信任变革。“OT 的性质意味着变革是缓慢的，” DeNexus首席执行官兼创始人 Jose Seara 指出。“供应商提供的升级或替换通常需要停机，这必须仔细规划。此类变更还与远程设施的资源可用性有关，必须考虑安全性。”

即使有意愿提高安全性，也未必有实现的可能。“大多数组织面临的问题是，他们的大部分业务都是使用传统产品进行的，而这些产品本身没有更好的保护物联网设备的方法，”Stratascale 网络安全专业服务高级总监 Justin Flynn表示。

“因此，从在传统环境中提供更安全的产品的角度来看，答案是否定的。但是，应该增加建立缓解控制措施（例如分段）和反应控制措施（例如事件响应）来处理这些情况。”

Savill 认为，安全的 5G 实施可能会有所帮助。“虽然私有 5G 网络带来了新的威胁，但它们也允许公司完全控制其网络基础设施，如果实施得当，可以提供更好的安全性、数据隐私结果和灵活性。”

但他认为这必须包括零信任集成方法。“零信任集成通过创建多个可见性点以及自动检测和响应来确保关键应用程序、数据和系统的保护，并可以减少攻击面。”

简而言之，到 2025 年，针对 OT 的威胁可能会比我们防御这些攻击的能力增长得更快。在妥善解决 OT 特定弱点（主要是由制造商解决）之前，防御 OT 潜在攻击和爆炸半径的主要防御措施可能是在防御 IT 方面已经学到的经验教训。