OTPatch Management 適用於隔離環境：完整的離線修補工作流程

• OT 修補程式管理並非 merely 將 IT 修補程式管理的時程拉長。安全 依賴關係、經認證的供應商配置、漫長的資產生命週期，以及對非預定重新啟動近乎零容忍的態度，這些因素幾乎改變了該流程的每一個步驟。
• 物理隔離的網路雖然失去了自動修補程式的覆蓋範圍，但對修補的需求並未因此消失。 無法與外部通訊的端點 將從雲端掃描與更新服務中消失，除非透過離線儲存庫和本地端管理，在隔離區域內恢復該可見性。
• 絕不應僅憑 CVSS 嚴重性分數來決定 OT 修補程式的優先級。 在決策時，除了分數之外，還應將漏洞利用的 成熟度、網路可達性、資產關鍵性以及對營運安全的影響一併納入考量；否則，兩個評級相似的漏洞可能會得到錯誤的處理方式。
• 可移除媒體是一個控制點，而非一種便利措施。每個 修補程式套件及其載體，在經過來源驗證、簽章與雜湊值檢查，以及惡意軟體檢測並確認可安全傳輸之前，均應被視為不可信。
• MetaDefender Endpoint™ 透過單一端點代理程式，提供漏洞與修補程式管理、可移除媒體保護以及 BadUSB 防禦功能，並透過 My 的 OPSWAT™Central Management實現 集中式監控； 但治理、測試及供應商核准仍由組織自行負責。

無法連上網際網路的終端裝置將無法納入基於雲端的漏洞掃描、更新儲存庫及政策同步範圍，這意味著除非有措施在本地端恢復相關覆蓋範圍，否則這些裝置也會從合規報告中消失。雖然透過電子試算表進行的手動修補作業可在短期內作為替代方案，但當規模擴大時，此方法便會失效：非正式的「USB 」傳輸過程缺乏紀錄、部署結果未被記錄，而每次稽核都變成一場事後重建的作業。

透過離線修補程式儲存庫、內部部署的集中式管理以及受控的傳輸路徑，可在連網環境中重現雲端自動化所提供的防護範圍，同時無需建立會削弱「空氣間隙」本身有效性的即時連線。

• 獲取與初步驗證是在生產環境之外進行的，地點位於一個具備網際網路連線的區域，以便下載供應商更新，並執行初步的簽名與雜湊檢查。
• 離線修補程式儲存庫負責彙整經核准的作業系統及第三方應用程式更新，並在隔離網路內維護版本控制、版本替換追蹤及同步紀錄。
• 本地集中式管理可在不依賴雲端服務、外部身分識別供應商或回傳授權的情況下，分發政策、排程部署、收集端點狀態並產生報告。
• 最終的政策執行與部署仍由當地運維團隊掌控，因此即使外部來源遭到入侵或出現延遲，也絕不可能將變更直接推送到生產環境。

一套可重複執行的離線修補工作流程分為六個階段，每個階段都會產生明確的決策、產出物及核准紀錄，確保整個流程從頭到尾皆可追溯。

1. 盤點與偵測。建立 一份資產清單，其中應包含硬體與軟體版本、網路區域、安全功能及支援狀態等資訊，並將其與廠商安全公告及離線漏洞掃描結果進行比對，以識別適用的更新。

2. 優先考量風險。 針對每個候選修補程式，應 依據可被利用性、暴露範圍、資產關鍵性及安全後果進行評分 （而非僅依據嚴重性分數），並在修補程式進入工作流程前，確認其與韌體、作業系統及廠商支援的相容性。

3. 驗證並核准該套件。 在正式核准變更之前，應驗證 來源的真實性、數位簽章及加密雜湊值，於隔離的測試環境中掃描惡意軟體，並執行具代表性的測試。

4. 傳輸與預置。 透過受控的可移除儲存媒體傳輸 已核准的套件，傳輸完成後重新驗證，並在部署時段開始前將其預置於本地端。

5. 分階段部署。請 在核准的維護時段內推送 修補程式，並設定明確的端點目標、在支援的情況下採用靜默安裝設定、重新啟動控制措施，以及停止條件。

6. 驗證、回滾及報告。確認 安裝狀態、服務運作狀況及安全功能行為；若未能通過驗收標準，則觸發已測試過的回滾程序，並記錄結果、例外情況及相關證據，以供稽核審查。

一份將網路攻擊發生機率與營運後果進行權衡的優先級矩陣，能讓團隊以一致的方式來制定決策，而非將每項高嚴重性發現一視同仁。

當修補程式被延後而非立即套用時，該例外情況必須有明確的負責人、技術依據、有效期限，以及相應的補救措施，並在惡意攻擊活動或供應商指引有所變更時重新進行審查。永久性且未經審查的例外情況，正是稽核人員最先發現的漏洞。

在政策驗證完成之前，修補程式套件及其所載的可移除儲存媒體均應被視為不可信。透過「先檢查後處理」的追蹤鏈機制，可在檔案於 OT 網路內可存取之前，確認其來源、完整性及內容安全性。

• 來源驗證。 僅從供應商入口網站或經認證的分發管道取得 更新，並記錄來源、取得時間、套件版本以及負責下載人員的身份。
• 簽名與雜湊驗證。 在傳輸前，請檢查 數位簽名、憑證有效性，以及供應商公布的加密雜湊值。有效的簽名可佐證真實性；但僅憑簽名本身，並不能證明該套件在特定的 OT 環境中是安全的。
• 惡意軟體檢查。 在隔離的暫存環境中，對 整個套件（包括嵌套的壓縮檔、安裝程式、腳本及驅動程式）進行掃描 ，並針對可疑的檢測結果設定明確的隔離與拒絕措施。
• 可移除儲存媒體與 BadUSB 防護。要求進行 裝置授權與存取前掃描，以便在受感染的儲存裝置及偽造裝置（包括冒充鍵盤的 BadUSB 攻擊）於 OT 終端機上執行任何操作之前，即予以阻擋。
• 保管鏈紀錄。記錄 媒體識別碼、保管人、雜湊值、檢查結果、核准狀況、轉移時間及目的地，以便在審計期間能重現每次轉移的過程。

部署經過驗證的修補程式仍屬營運變更，而成功的部署不僅要修復漏洞，還必須同樣確保流程控制、安全性和可恢復性。

• 建立一個具代表性的測試環境。 在可行範圍內，盡可能重現 關鍵硬體、作業系統版本、應用程式及通訊環境，並針對測試環境與生產環境之間無法避免的差異進行記錄。
• 部署前請確認相容性。請檢視 設備供應商的指引、應用程式認證及驅動程式依賴關係，若修補程式超出供應商支援的配置範圍，則須取得額外批准。
• 分階段分環推行。先 從影響較小且具代表性的資產著手 ，評估結果後再逐步擴大範圍，而非一次修補整個環境；同時應明確定義暫停標準與緊急停止權限。
• 控制安裝與重新開機程序。 在系統支援的情況下，應採用 「無干擾安裝」模式；並依據供應商指引、冗餘設計及廠方核准，抑制或協調重新開機程序。
• 驗證系統狀態，然後完成閉環。 根據可量化的驗收標準，檢查 服務啟動、控制邏輯、警報及安全功能，並在部署開始前備妥經測試的回滾計畫，其中應包含配置備份及恢復媒體。

那些仍在使用舊版作業系統及專用工程應用程式的長期運作終端設備，往往超出主流 IT 修補工具的涵蓋範圍，因此需要另闢途徑，而非完全被排除在計畫之外。

• 在選定任何更新之前，舊版作業系統的端點必須精確清點其版本、架構及廠商核准的基準設定，且該流程須內建離線套件支援與還原功能。
• 瀏覽器、執行環境及遠端存取工具等第三方應用程式，通常不屬於作業系統原生更新管道的範圍，因此需要具備專屬的版本偵測、依賴項解析以及離線安裝程式支援功能。
• 無法修補的系統仍需相關文件：說明為何無法進行修補或修補不安全、指定負責人、審查日期，以及系統替換或遷移的路線圖。
• 諸如網路分段、應用程式白名單及可移除媒體限制等補償性控制措施，雖能降低無法安裝修補程式的資產所面臨的風險，但並未消除根本的漏洞，且隨著威脅情勢的變化，仍需定期進行檢討。

透過集中式證據蒐集，合規報告已成為修補工作流程中的例行產出，而非每次安排稽核時都必須進行的手動重建作業。

• 應保留的紀錄：資產 範圍、漏洞狀態、核准紀錄、檔案雜湊值、簽章結果、檢查結論、媒體活動、部署結果、例外情況及回滾事件，所有紀錄均須附有可追溯的時間戳記。
• 覆蓋率指標：追蹤 庫存覆蓋率、修補程式部署率、逾期修復項目及例外情況，並按站點和資產關鍵性進行分組，以確保總體百分比不會掩蓋高風險的缺口。
• 風險降低指標：將 「修補程式部署時間」與「暴露窗口」的數據，與「回滾率」及「非計畫性停機時間」進行配對分析 ，因此若加速部署修補程式導致系統不穩定，則絕不應將其視為成功。
• 框架對齊：將 資產清點、風險評估、變更控制及監控措施與 IEC 62443 及 NIST SP 800-82 第 3 版（現行營運技術安全指南）中的相關目標進行對應 。框架對齊有助於進行稽核；但其本身並不能取代認證，亦無法單憑此即保證符合規範。

在討論任何特定產品之前，應以「廠商中立」的標準作為評估依據：真正的離線運作能力、本地集中式管理、廣泛的端點與應用程式涵蓋範圍、周邊媒體保護，以及能產生符合稽核要求的證據且不依賴雲端服務的集中式報告功能。

• 離線功能必須經過實證，而非僅憑假設。應要求 在物理隔離的環境中進行示範， 而非單憑連網產品在離線狀態下也能以相同方式運作這一點就予以採信。
• Endpoint 以及應用程式涵蓋範圍。驗證 該組織已安裝的 Windows、macOS、Linux 及舊版系統是否獲得實際支援，包括離線套件格式與還原可見性。
• 周邊媒體防護。請確認 該平台會對裝置進行授權、在存取檔案前執行掃描，並能防範 BadUSB 攻擊，而非將資料傳輸路徑交由獨立且未連線的工具處理。
• 集中式報告與治理。 針對包含媒體遭拒及安裝失敗等情境（而不僅是成功執行），測試 基於角色的存取權限、部署狀態、例外工作流程以及證據匯出功能。

MetaDefender Endpoint™ 是OPSWAT 推出的一套先進端點防護解決方案，旨在保護端點免受外接媒體傳播的威脅、監控裝置合規性、偵測漏洞，並在連網與隔離環境中皆能執行修補作業。該解決方案可偵測 980 多種應用程式與作業系統中的漏洞，並能針對 580 多種第三方應用程式及作業系統更新執行自動修補，其「無干擾修補」功能可確保在維護時段內不會中斷操作員的螢幕畫面。

可移除媒體防護功能基於 Metascan™Multiscanning 及 Deep CDR™ 技術：MetaDefender Endpoint 會自動偵測並封鎖對USB 驅動器的存取，直到所有檔案均經掃描並確認無病毒為止；此外，該功能還能防禦 BadUSB、Rubber Ducky 及其他裝置偽造攻擊，且無需先在終端裝置上執行該檔案。

集中式可視性源自My OPSWAT™Central Management ，該解決方案可部署於本地端或雲端，能跨據點分發政策、彙整部署狀態並生成報告，且無需依賴網際網路連線，因此資安團隊可從單一位置，在多個相互隔離的 OT 據點執行相同的離線工作流程。