營運技術（OT）環境中檔案分發所隱藏的風險

在大多數工業控制系統（OT）環境中，將檔案導入關鍵系統的流程通常遵循特定的步驟順序。這通常始於供應商送來韌體、承包商帶來修補程式，或是維護團隊執行配置更新。這些檔案會經過掃描、核准，並進行交接。然而，在這些程序與檔案抵達可程式邏輯控制器（PLC）或人機介面（HMI）之間，資安團隊往往會完全失去對該檔案的追蹤。

為應對這項挑戰，目前採用了多種方法。基於網路的解決方案負責處理 IT 與 OT 系統之間的檔案傳輸，而基於服務站的作業流程則會在入口處檢查可移除儲存媒體。然而，問題中有一部分始終未能解決，那就是檔案在經過驗證後，於傳輸至關鍵系統的過程中會發生什麼情況。

大多數營運技術（OT）營運商都已建立完善的內建檢查工作流程。通常，可移除式儲存媒體和臨時裝置在進入隔離的營運技術環境前會先進行掃描，並將核准紀錄存檔。這些控制措施雖屬必要，但存在一個共同的限制：它們僅建立了一個「信任時刻」。

舊有的營運技術（OT）系統在設計之初，並未考慮要對傳入的資料進行核實。可程式邏輯控制器（PLC）、人機介面（HMI）以及舊式工程工作站，通常無法執行 EDR（Endpoint 偵測與回應）代理程式，也無法驗證傳入的檔案是否符合原始核准內容。當裝置連線時，檔案預設即會開放存取。

這些限制使得關鍵系統中每次檔案分發的安全性，取決於每位操作員是否遵循手動驗證步驟。依賴每位操作員在每個站點都遵循每個步驟，這是一種流程假設，而非安全控制措施。

現在，問題的焦點應從「該檔案在掃描時是否乾淨？」轉變為「我們能否確認，在將其部署至關鍵系統時，它仍是同一個檔案？」

在受監管的行業中，確認檔案從核准到部署期間未曾變更至關重要。一旦檔案通過檢查點，就必須有一套機制來確認其是否曾發生變更。

在 OT 環境中，此問題仍未解決，目前多數工作流程缺乏偵測驗證後修改的機制。若檔案在驗證後因錯誤或蓄意篡改而遭到修改，OT 目標系統將無法偵測到此情況。掃描紀錄仍被視為有效，且核准紀錄亦會保留。 一個三天前經驗證為安全、但此後已被修改的檔案，與一個三天前被視為安全且未經修改的檔案看起來完全相同。負責分發該檔案的操作員沒有可靠的方法來區分兩者。

驗證程序並不僅止於MetaDefender Kiosk 。若經驗證的檔案在掃描後、部署前遭到修改，系統會自動將其封鎖並隱藏。在此情況下，該檔案必須再次通過驗證，才能恢復存取權限。

此機制可確保檔案完整性，因此操作員無需手動執行此步驟。這使得安全模型從「掃描一次後分發」轉變為「持續驗證直至部署」。