Claroty 安全遠程訪問（SRA）

適用于工業(yè)網(wǎng)絡(luò)可靠且融合的高度安全遠程訪問

工業(yè)網(wǎng)絡(luò)遠程訪問的挑戰(zhàn)

我們創(chuàng)建了 Claroty SRA 來解決 OT 遠程訪問的挑戰(zhàn)。更具體地說，雖然 OT 遠程訪問是工業(yè)企業(yè)的關(guān)鍵必需品，但長期以來，由于三個重要原因，它一直存在風險和困難：

最終用戶的復雜性：

提高平均無故障時間

由于大多數(shù)傳統(tǒng)的遠程訪問工具都是為 IT 網(wǎng)絡(luò)設(shè)計的，因此它們通常具有繁瑣的訪問機制和接口，不適合 OT 需求。在使用這些工具之前，最終用戶不僅需要長時間的入門和培訓，而且工具的復雜性和低效率意味著無論用戶接受多少培訓，他們可能仍然難以根據(jù)需求盡快修復工業(yè)資產(chǎn)。這些條件增加了用戶的平均無障礙時間（MTTR），在必須立即進行緊急維修以避免或減少停機時間或其他嚴重后果的情況下，這可能會有問題。

管理員的復雜性：

增加總體擁有成本

內(nèi)部和第三方用戶必須在需要遠程訪問工業(yè)資產(chǎn)時以進行維護或其他目的。但是，管理此訪問權(quán)限需要管理員維護成本高昂的復雜基礎(chǔ)架構(gòu)，同時滿足用戶的載入和故障排除需求。第三方用戶可能特別難以支持，因為他們通常無法與其他供應商的用戶共享跳轉(zhuǎn)服務(wù)器或其他基礎(chǔ)架構(gòu)，從而使管理員的工作進一步復雜化。此過程即昂貴又耗時，對于 OT 環(huán)境而言，傳統(tǒng)遠程訪問工具的總擁有成本（TCO）很高。

可視化和安全控制較差：

增加風險敞口

OT 遠程用戶可能會進行未經(jīng)授權(quán)的更改，從而給操作帶來風險。使用傳統(tǒng)的遠程訪問工具使網(wǎng)絡(luò)安全人員無法了解用戶的活動，并且無法使這些人員為用戶實施基于角色和策略的訪問控制，從而使這些風險變得更加復雜。另一個問題，這些工具本質(zhì)上是不安全的，因為它們往往使用易受攻擊的 RDP 協(xié)議，并通過打破普渡模型來違反工業(yè)網(wǎng)絡(luò)安全，這是最佳做法。因此，網(wǎng)絡(luò)安全人員無法識別或控制誰從何處、何時或為什么登錄。他們也無法識別或響應與這些用戶活動相關(guān)的事件，所有這些都使 OT 環(huán)境面臨更大的風險。

關(guān)于 Claroty SRA

Claroty SRA 通過為內(nèi)部和第三方用戶提供對 OT 環(huán)境可靠且融合的高度安全遠程訪問，解決了 OT 遠程訪問的挑戰(zhàn)。與傳統(tǒng)的遠程訪問解決方案（其中大部分專為 IT 網(wǎng)絡(luò)設(shè)計）不同，Claroty SRA 專為滿足工業(yè)網(wǎng)絡(luò)的特定操作、管理和安全需求而構(gòu)建。結(jié)果是一個獨特的解決方案，可以減少平均修復時間（MTTR），最大限度地降低配置和管理 OT 遠程用戶訪問的成本和復雜性，并減少 OT 環(huán)境因未托管、不受控制和不安全的訪問而帶來的風險。

主要優(yōu)點

· SRA 通過隨時隨地更快、更輕松地連接和修復 OT、IoT 和 IIoT 資產(chǎn)來減少 MTTR 并延長正常運作時間。

· SRA 通過提供靈活的配置選項、集中式管理以及內(nèi)部和第三方用戶所需的一切，降低了安全、可靠、值得信賴的 OT 遠程訪問的復雜性和成本。

· SRA 使您能夠控制、保護和了解網(wǎng)絡(luò)中的所有遠程連接和活動，從而最大限度地降低 OT 遠程訪問的風險。

SRA 特性和功能

降低平均無故障時間（MTTR）的用戶體驗

通過降低 OT 遠程訪問的最終用戶復雜性，SRA 使用戶能夠在必要時更快更輕松地訪問、排除故障和修復工業(yè)資產(chǎn)。亮點包括：

· 準時制（JIT）用戶配置：SRA 通過 SAML 和 OpenID Connect（OIDC）與各種身份供應商（IdP）集成，使管理員能夠自動執(zhí)行和簡化 SRA 用戶帳戶的創(chuàng)建，作為單點登錄過程的一部分。這意味著新用戶可以自動添加到 SRA 并立即開始使用 SRA，所有這些都不需要管理員執(zhí)行任何其他步驟。

· 高效的身份驗證和訪問：SRA 還提供本機多因素身份驗證，并且不使用跳轉(zhuǎn)服務(wù)器。因此，授權(quán)的 SRA 用戶可以在最需要的時候快速安全地進行身份驗證和訪問。

· 直觀的界面：SRA 界面反映了每個用戶的本地技術(shù)體驗，提供無與倫比的可用性，無學習障礙，也無需大量培訓。

· 高可用性：SRA 包括高可用性機制，確保用戶無論在何種情況下都能保持訪問權(quán)限。

降低管理 OT 遠程訪問總體擁有成本的管理功能

SRA 通過提供靈活的配置選項、集中式管理以及內(nèi)部和第三方用戶支持其 OT 遠程訪問項目所需的一切，降低了管理員較高的 OT 遠程訪問總擁有成本（TCO）。亮點包括：

· JIT 用戶預配：除了使 SRA 用戶受益之外，JIT 用戶預配還使 SRA 管理員能夠通過自動執(zhí)行為新 SRA 用戶預配和保護訪問以及載入的手動且耗時的過程來節(jié)省大量時間和資源。

· 靈活的部署和配置選項：部署和配置 SRA 都不需要使用跳轉(zhuǎn)服務(wù)器、復雜的防火墻規(guī)則或傳統(tǒng)遠程訪問解決方案常見的昂貴且復雜的架構(gòu)組件。因此，SRA 管理員可以花費更少的時間和金錢來部署和管理用戶的遠程訪問基礎(chǔ)架構(gòu)，從而降低其總體擁有成本。

· 全面支持所有 OT 遠程訪問項目：SRA 是真正的 OT 遠程訪問一站式解決方案，因為它包括支持所有 OT 遠程訪問項目所需的全部特性和功能。其中包括 OT 專用用戶界面，用于多因素身份驗證，密碼保險存儲，安全文件管理，高可用性，肩并肩監(jiān)控等多個選項。這意味著您可以滿足內(nèi)部和第三方用戶的 OT 遠程訪問需求，而無需采購、部署和維護多個解決方案。

訪問和身份驗證控制，將遠程用戶帶來的風險降至最低

SRA 管理員可以跨多層控制訪問工業(yè)網(wǎng)絡(luò)，并具有特定性，以確定誰可以訪問哪些資產(chǎn)、如何、何時、出于什么目的以及使用哪些協(xié)議。亮點包括：

· 安全身份驗證：SRA 包括本機多因素驗證和憑據(jù)管理選項，支持實施密碼的良性要求，并提供與基于 SAML 和 OIDC 的身份供應商集成的能力。

· 與身份供應商集成：選擇將系統(tǒng)與其現(xiàn)有身份供應商集成的 SRA 管理員可以自動將企業(yè)中已有的基于 SAML 或 OIDC 的身份驗證策略和密碼要求的實施擴展到其 SRA 用戶帳戶，從而確保 OT 員工和第三方的強用戶身份驗證。此功能還使前員工的 SRA 憑據(jù)自動失效，從而消除了特權(quán)提升和密碼重用攻擊中常用的高風險攻擊媒介。

· 基于角色和策略的訪問：SRA 管理員可以在多個級別和地理位置為工業(yè)資產(chǎn)定義和實施極其精細的訪問控制，最終簡化用戶工作流程，同時保護關(guān)鍵功能免受不必要的訪問。此類控件支持零信任和最小特權(quán)安全原則。

· 安全批準和緊急訪問：對于遠程訪問時構(gòu)成安全風險的資產(chǎn)，可以創(chuàng)建其他策略以確保每個資產(chǎn)環(huán)境的良好和可操作性。

以固有的安全架構(gòu)和功能來減少攻擊面

將工業(yè)網(wǎng)絡(luò)中的關(guān)鍵資產(chǎn)與外部連接隔離并主動防范惡意軟件對于減少攻擊面以及遠程用戶帶來的風險至關(guān)重要。SRA 通過以下方式提供這些功能：

· 對傳輸中的數(shù)據(jù)使用加密隧道：SRA 將傳輸中的數(shù)據(jù)拆分到兩個加密隧道之中，以減少連接到網(wǎng)絡(luò)的設(shè)備數(shù)量、防火墻中開放端口的數(shù)量，從而減少攻擊面。

· 保留普渡模型：所有 SRA 部署選項都遵循保留普渡模型的工業(yè)網(wǎng)絡(luò)安全最佳做法，有助于確保一個連接點不提供廣泛的網(wǎng)絡(luò)訪問。

· 殺毒解決方案集成：SRA 與所有基于 ICAP 的殺毒解決方案集成。此功能通過提高對工業(yè)資產(chǎn)執(zhí)行遠程維護和相關(guān)任務(wù)所需的上傳文件的安全性，幫助保護您的工業(yè)網(wǎng)絡(luò)免受惡意軟件的侵害。如果此類文件是惡意的，SRA 用戶將立即收到通知，并阻止他們將其上傳到相應的資產(chǎn)。

簡化審計和優(yōu)化調(diào)查的監(jiān)控功能

通過提供遠遠超過大多數(shù)傳統(tǒng)遠程訪問技術(shù)提供的基本日志記錄功能和有限的審計跟蹤的全面監(jiān)視功能，SRA 讓您能夠全面地、實時地了解 SRA 用戶的活動，簡化審計并優(yōu)化事件調(diào)查。亮點包括：

· 實時、肩并肩監(jiān)控：SRA 管理員可以選擇實時監(jiān)控活動 SRA 會話，以便在必要時輕松排除故障、進行用戶監(jiān)控和緊急終止有風險的會話。

· 完整長度的視頻記錄：除了保存所有遠程會話的詳細日志外，SRA 還自動記錄每個會話的完整長度的視頻，以支持響應行動、調(diào)查和審計。

遠程事件管理的廣泛支持

SRA 與 Claroty 持續(xù)威脅檢測（CTD）無縫集成，使 Claroty 平臺成為業(yè)界第一個提供全面集成遠程事件管理能力的工業(yè)網(wǎng)絡(luò)安全解決方案。這些功能跨越整個事件生命周期，使您能夠從任何位置檢測、調(diào)查和響應最廣泛的可能的攻擊面工業(yè)網(wǎng)絡(luò)安全事件。因此，您可以針對遠程、分布式或高度可變的工作環(huán)境，輕松地發(fā)展和調(diào)整企業(yè)的整體安全狀況和工作流。亮點包括：

· 接收與 OT 遠程用戶活動相關(guān)的警報：當用戶通過 SRA 連接到工業(yè)網(wǎng)絡(luò)時，當用戶參與未經(jīng)授權(quán)的或異常的活動時，如配置下載或預定維護窗口之外服務(wù)資產(chǎn)，CTD 觸發(fā)警報。這些警報包括 SRA 用戶、會話意圖、相關(guān)指標、涉及的資產(chǎn)、并進行根本原因分析，以支持優(yōu)先排序和分類工作。

· 調(diào)查 OT 遠程用戶活動：所有與 OT 遠程用戶活動相關(guān)的 CTD 警報都包括到相關(guān) SRA 會話的直接鏈接，以及實時監(jiān)控該會話的能力。如果會話不再活躍，警報將直接鏈接到一個完整長度的視頻記錄，可以查到調(diào)查目的。

· 回應 OT 遠程用戶獲得：與 OT 遠程用戶活動相關(guān)的所有 CTD 警報還使管理員能夠在認為有必要作為響應操作時立即斷開關(guān)聯(lián)的 SRA 會話，以防止、遏制或補救因未經(jīng)授權(quán)的更改或 OT 遠程用戶進行的其他活動而造成的任何損害。

關(guān)于 Claroty

Claroty 是一家工業(yè)網(wǎng)絡(luò)安全公司。Claroty 深受全球性大型企業(yè)的信賴，可幫助客戶揭示、保護和管理其 OT、IoT 和 IIoT 資產(chǎn)。它的綜合平臺與客戶現(xiàn)有的基礎(chǔ)設(shè)施和計劃無縫連接，同時提供全方位的工業(yè)網(wǎng)絡(luò)安全控制，以實現(xiàn)可視化、威脅檢測、風險和漏洞管理以及安全遠程訪問，所有這些都大大降低了總擁有成本。Claorty 得到了領(lǐng)先的工業(yè)自動化供應商的支持和采用，擁有廣泛的合作伙伴生態(tài)系統(tǒng)和屢獲殊榮的研究團隊。