第 2 章：OT/ICS 環境的網絡隔離與隔離設計

## 第 2 章：OT/ICS 環境的網絡隔離與隔離設計 在上一章中，我們已經確認了智慧物流環境中存在的核心威脅。當自動導引車（AGV）、感測器、自動分揀系統以及 RFID 讀取器這些物理設備與網絡相連時，它們不再只是工具，而是成為了攻擊者入侵企業核心網路的「跳板」。 為了守護這些關鍵資產，我們必須實施嚴格的 **OT（Operational Technology，操作技術）** 與 **ICS（Industrial Control Systems，工業控制系統）** 隔離設計。本章將深入探討如何透過實體與邏輯的雙重隔離，建立一道防禦實體資產被攻擊擴散至核心 ERP/WMS 系統的防火牆。 ### 2.1 理解 OT 與 IT 的差異：為何隔離是必要的 在傳統 IT 環境中，重點在於「數據的機密性、完整性與可用性（CIA）」。然而，在 OT 環境（如倉庫自動化線路）中，**「可用性（Availability）」與「安全性（Safety）」** 是首要考量。如果一個掃描器因為安全掃描程序導致系統重啟，產線就會停擺；如果一輛 AGV 因為網路擁塞導致指令延遲，可能會造成實體碰撞。 **核心區分點：** * **IT 網路：** 用於辦公、電子郵件、人力資源管理、ERP 系統。 * **OT 網路：** 用於機器人控制、PLC（可程式邏輯控制器）、感測器網路、自動分揀帶動能管理。 **風險預警：** 如果 IT 與 OT 網路採用「扁平化（Flat Network）」架構，一旦員工的電腦感染勒索軟體，病毒將能在幾秒鐘內橫向移動（Lateral Movement）到控制機器人的控制器中，造成實體毀損或生產中斷。 ### 2.2 實體隔離：第一道防禦線 實體隔離是為了確保物理空間的限制，防止非授權人員直接接觸硬體。 1. **物理空間劃分：** 將自動化操作區（如 AGV 運行區域）與一般員工辦公區、訪客區進行實體隔絕。 2. **硬體隔離（Air Gapping）：** 對於極高風險的機器控制單元，在技術可行範圍內，應與外部網路物理隔離。雖然在現代高度連網的環境中純粹的 Air Gap 較難達成，但可以透過「單向數據閘道（Data Diode）」實現僅能上傳狀態資訊、不可從外網下載指令的單向通訊。 3. **有線與無線的物理區隔：** 倉庫內用的工業 WiFi 頻段應與一般辦公室 WiFi 異質，並在物理層面與企業 Wi-Fi 隔離。 ### 2.3 邏輯隔離與網路切片（Network Slicing） 當實體隔離無法完全實現（例如：雲端需要監控 AGV 位置時），我們必須透過嚴格的邏輯隔離來控制數據流向。 #### 2.3.1 VLAN 與子網劃分 我們必須將倉庫內的設備劃分為不同的虛擬區域網路（VLAN）。例如： * **VLAN 10 (感測設備):** 僅包含環境感測器、 RFID 讀取器。 * **VLAN 20 (自動化機器):** 僅包含 AGV、傳送帶控制器。 * **VLAN 30 (監控鏡頭):** 僅用於 CCTV 監控。 * **VLAN 40 (管理系統):** 僅用於內部維護人員進入控制後台。 #### 2.3.2 微隔離（Micro-segmentation） 微隔離技術允許我們在設備層級進行控制。例如，**即便兩台 AGV 同屬於同一個 VLAN，它們之間也不應直接通訊。** 所有跨設備的通訊必須通過防火牆或安全閘道，僅允許預定義的 IP 與連接埠（Port）。 ### 2.4 基於 Purdue 模型（Purdue Model）的架構設計 為了遵循工業標準，我們建議遵循 **Purdue 模型** 來設計倉庫的網絡拓撲，將不同職能的層級進行明確劃分： | 層級 | 定義 | | :--- | :--- | | **Level 4/5** | 企業網路（IT）：包含 ERP、辦公網路、外部網際網路。 | | **Level 3.5** | **DMZ（去軍事化區）**：用於 IT 與 OT 之間交換資料的緩衝區（如遠端維護閘道）。 | | **Level 3** | 現場控制室：包含 WMS 控制端、區域控制伺服器。 | | **Level 2** | 控制網絡：PLC 所在的區域，直接驅動自動化設備。 | | **Level 1** | 基礎設施網絡：實體控制器、驅動器、感測器與傳感器。 | **Level 0** | 物理設備層：馬達、閥門、感測器物理開關。 | **關鍵設計核心：** 任何來自 Level 4 的請求進入 Level 3 之前，必須經過 Level 3.5 的防火牆檢查。**禁止任何流量直接從 Level 0/1 跨越至 Level 4。** ### 2.5 實戰案例：AGV 隊列的防禦設計 假設有一座包含 50 台 AGV 的自動化倉庫。我們建議採取以下架構： 1. **防火牆過濾：** AGV 只被允許與特定的「區域控制器」通訊，且僅允許工業協定（如 Modbus TCP 或 PROFINET）所在的連接埠。 2. **入侵偵測系統（IDS）：** 在工業網絡中部署專業的工業 IDS，監控是否有異常指令（如：突然要求 AGV 全速運行或修改限制程序）。 3. **專用網關：** 所有來自外部供應商（如 AGV 維修商）的遠端維護，必須通過 VPN 並進入特定的 DMZ 區域，由專用網關進行隔離，不可直接進入核心控制網。 ### 2.6 本章小結 在智慧物流中，**「連通性」與「安全性」往往是矛盾的。** 我們的目標不是切斷通訊，而是建立**受控的通訊**。透過實體隔離確保物理邊界，透過 Purdue 模型規畫層級架構，並結合微隔離技術縮小攻擊面。透過這些設計，我們可以確保即便某個倉庫端設備（如 RFID 讀取器）被入侵，攻擊者也無法在網絡中橫向移動到關鍵的 ERP 系統或核心生產中心。 **下一章預告：** 我們將探討當數據必須跨越這些防禦線時，如何透過**端到端加密與數據完整性驗證**，確保貨運單據與客戶資訊在流動過程中不被篡改。 ---