郵件伺服器
Mail Server
釣魚郵件與惡意附件的第一入口，AI-IPS 在邊界攔截夾帶的惡意流量與 C2 回連。
Smart Factory Defense Architecture
AI-IPS & ICS-Cracker 智慧工廠防護架構
整合主動防禦與紅隊檢驗，打造可驗證的工業資安防線。AI-IPS 以 inline 方式佈署於每一層網路邊界，即時偵測並阻擋工業威脅；ICS-Cracker 則從 IT 與 OT 兩側發起受控攻擊，驗證這些防護是否真的擋得住。
網際網路 / 外部威脅
1 DMZ 外部緩衝區
郵件伺服器 Mail Server 防火牆 Firewall 外部網路 External Network
AI-IPS
全層 inline 主動防禦
2 IT 企業網隔離 辦公與管理網段
個人電腦 PC 網路交換器 Network Switch SIEM Security Monitoring 時間伺服器 NTP Server 網域控制器 Active Directory 檔案伺服器 File Server
ICS-Cracker
由此側發起受控攻擊模擬，驗證本層防護是否真的擋得住。
AI-IPS
全層 inline 主動防禦
3 中間層 工業區域隔離層
網路交換器 Network Switch 訊息中介軟體 Message Broker 區域交換器 Zone Switch
AI-IPS
全層 inline 主動防禦
4 OT 層 控制現場層
防火牆 Firewall 閘道器 Gateway 網路交換器 Network Switch 監控與資料擷取系統 SCADA 工程師工作站 Engineer PC 人機介面 HMI 可程式控制器 PLC
ICS-Cracker
由此側發起受控攻擊模擬，驗證本層防護是否真的擋得住。
AI-IPS
全層 inline 主動防禦
5 工廠設備層 產線設備與端點
金屬加工數控生產機 CNC Machine 工業機械手臂 Robotic Arm CNC 車銑控制器 CNC Controller 非產線端點 Edge Endpoints
AI-IPS 佈署於 DMZ、IT、中間層、OT 與設備層之間的每一道邊界；ICS-Cracker 由 IT 企業網與 OT 控制層兩側發起紅隊驗證路徑。
圖例說明
工業網路實體節點
實體設備與伺服器之間的實際連線
工業控制網路（OT）
控制現場與設備層的通訊路徑
AI-IPS 全面 inline
每層邊界皆有 AI-IPS 主動防禦／阻擋
紅隊驗證路徑
ICS-Cracker 模擬攻擊的進入方向
五層 防護分區
依 IEC 62443 區域與管道（Zones & Conduits）概念切分，每一層都有明確的資產範圍、防護責任與驗證方式。
對外服務與企業內網之間的緩衝地帶，是外部威脅進入工廠的第一道入口。
AI-IPS 主動防禦／阻擋
在對外邊界執行 inline 檢測，攔截釣魚郵件夾帶的惡意流量、C2 回連與已知漏洞利用封包，避免威脅由 DMZ 向內橫向擴散。
此層主要資產 3
防火牆
Firewall
負責基本連線過濾，但無法理解工業協定語意，需由 AI-IPS 補上深度封包檢測。
外部網路
External Network
所有外部威脅的來源，僅允許經 DMZ 中繼的必要流量進入內網。
左右滑動檢視更多資產
承載日常辦公、身分驗證與資安監控的企業網段，也是勒索軟體最常見的落腳點。
AI-IPS 主動防禦／阻擋
深度解析 AD 認證、檔案共享與內部橫向移動行為，對異常帳號操作與可疑連線即時告警並阻擋，事件日誌同步匯出至 SIEM 供後續追查。
ICS-Cracker 紅隊驗證
從 IT 側模擬釣魚落地後的實際攻擊鏈：憑證竊取、橫向移動與網域提權，驗證 IT 與 OT 之間的隔離是否真的無法被穿越。
此層主要資產 6
個人電腦
PC
員工端點是勒索軟體最常見的落地點，需監看其對內網的異常連線行為。
網路交換器
Network Switch
承載辦公網段流量，透過 VLAN 與 AI-IPS 阻擋未授權的跨網段存取。
SIEM
Security Monitoring
集中彙整資安事件，AI-IPS 告警與日誌以 Syslog 匯入，供關聯分析與稽核。
時間伺服器
NTP Server
提供全廠一致的時間基準，時戳不一致會讓事件回溯與證據鏈失去可信度。
網域控制器
Active Directory
掌握全企業身分驗證，一旦被提權即等同全網淪陷，須嚴密監控異常認證行為。
檔案伺服器
File Server
IT 與 OT 交換檔案的中繼點，也是惡意程式橫向擴散的常見途徑。
左右滑動檢視更多資產
IT 與 OT 之間的資料交換樞紐，負責把現場資料上送、把管理指令下達，是隔離成敗的關鍵。
AI-IPS 主動防禦／阻擋
檢視 Broker 的發佈／訂閱流量與跨區連線，確認資料只朝允許的方向流動，阻擋未授權的反向控制通道與協定濫用。
此層主要資產 3
網路交換器
Network Switch
工業區域隔離層的骨幹，確保各區域流量只依規劃好的路徑轉送。
訊息中介軟體
Message Broker
IT 與 OT 的資料交換樞紐，AI-IPS 檢視發佈／訂閱流量，防止反向控制通道成形。
區域交換器
Zone Switch
連接各生產區域，以區域切分限制威脅一旦入侵後的擴散範圍。
左右滑動檢視更多資產
實際下達控制指令的現場網段，任何異常寫入都可能直接影響製程與人員安全。
AI-IPS 主動防禦／阻擋
原生解析 Modbus TCP、OPC UA、S7comm、EtherNet/IP 等工業協定的指令語意，辨識非授權暫存器寫入、異常控制指令與韌體下載行為，並在毫秒等級完成阻擋。
ICS-Cracker 紅隊驗證
依 MITRE ATT&CK for ICS 場景，對 PLC、HMI 與 SCADA 執行受控攻擊模擬：非授權寫入、控制指令注入與協定層 DoS，量化 AI-IPS 的實際阻擋率。
此層主要資產 7
防火牆
Firewall
OT 邊界的基本管制，搭配 AI-IPS 才能辨識工業協定層的惡意指令。
閘道器
Gateway
轉換不同工業協定的節點，協定轉譯處是最常被忽略的攻擊面。
網路交換器
Network Switch
控制網段的骨幹，AI-IPS 可以 Inline 或鏡像方式介入監看流量。
監控與資料擷取系統
SCADA
掌握全廠監控畫面與歷史資料，遭竄改將導致操作員誤判現場狀態。
工程師工作站
Engineer PC
具備 PLC 程式下載權限，是攻擊者最想取得的跳板。
人機介面
HMI
操作員下達指令的介面，異常畫面或未授權操作需要即時攔截。
可程式控制器
PLC
直接控制實體製程，非授權暫存器寫入可能造成設備損壞或人員危害。
左右滑動檢視更多資產
直接產生價值的產線設備，多為長生命週期、難以更新、無法停機的老舊系統。
AI-IPS 主動防禦／阻擋
為無法安裝防護軟體的老舊設備提供虛擬修補（Virtual Patching），以網路層阻擋取代設備端更新，在不停機的前提下降低已知弱點被利用的風險。
此層主要資產 4
金屬加工數控生產機
CNC Machine
長生命週期設備難以更新，以虛擬修補在網路層阻擋已知弱點被利用。
工業機械手臂
Robotic Arm
動作指令遭竄改可能造成撞機與人員傷害，需監看控制流量的合理性。
CNC 車銑控制器
CNC Controller
加工參數若被惡意修改，將造成良率下降與難以追查的品質異常。
非產線端點
Edge Endpoints
量測儀器與工控 PC 等邊緣設備常被忽略，OPS 可在離線環境完成掃描與檢查。
左右滑動檢視更多資產
可驗證的 工控資安防線
防護不是一次性專案，而是「佈署 → 驗證 → 優化」的持續循環。
持續主動防禦與阻擋
AI-IPS 全時 inline 運作，跨五層邊界提供不中斷的即時防護與流量可視性。
定期紅隊驗證優化
ICS-Cracker 週期性重跑相同場景，確認防護規則沒有隨環境變動而失效。
符合法規、資安可證
驗證過程與結果直接轉為 IEC 62443、CRA、SEMI E187 稽核可用的結構化證據。