Anybus CompactCom与网络弹性法案

HMS Networks 如何为工业设备制造商减轻嵌入式连接的网络安全负担

从工程选择到合规责任

《网络弹性法案》（CRA）从根本上改变了维护嵌入式工业连接的意义。对设备制造商而言，连接不再只是一个技术实现问题。它已成为产品中受监管的组成部分，要求具备安全开发、持续漏洞管理、固件更新机制、文档记录以及长期生命周期支持。

采用自研芯片加协议栈方案的设备制造商，将面临持续而沉重的合规负担。过去那些足以支撑产品功能实现的技能、流程和资源，如今已不足以应对——合规要求不再局限于产品上市，而是覆盖产品从上市到退役的完整生命周期。

Anybus CompactCom正是为此而生。它用一套由HMS开发、测试、编写文档并持续维护的现成通信接口，替代设备制造商的自研连接方案。这样一来，设备制造商可以将连接层的大量网络安全工作转移给HMS，同时仍然对完整设备及其CRA合规性保持清晰的所有权。 使用Anybus CompactCom并不能免除设备制造商对完整产品CRA合规性的责任，但它能显著减少与通信接口相关的范围、工作量和风险。

HMS提供的服务：减轻CRA工作量

下表将 CRA 相关的关键责任与 HMS 通过 Anybus CompactCom 提供的能力进行了对照，同时列出了仍需设备制造商承担的责任部分。

已在使用 Anybus CompactCom？CRA 使其更具价值

对于已经在使用 Anybus CompactCom 的设备制造商，CRA 为在更多产品、型号和未来平台上标准化并扩大其应用提供了明确理由。

如果没有一致的连接策略，每个产品型号或平台世代都可能需要单独的安全流程、文档和更新机制，导致合规工作量随时间成倍增加。通过标准化采用 Anybus CompactCom，设备制造商可以依托单一、经过验证的 HMS 生命周期来管理连接安全、更新与文档，而无需逐产品维护这些工作。

在CRA框架下，采用经过验证且持续维护的通信接口，其价值更加突出。

漏洞管理：供应链视角

漏洞管理是CRA给设备制造商带来的较复杂的义务之一。这份责任不只涉及自己的产品，还要覆盖整个供应链。 在 CRA 框架下，机器制造商、设备制造商和连接提供商各自都扮演着"带有数字元素的产品制造商"的角色。每一方都有义务处理其产品中的已知可利用漏洞。在实践中，这形成了一条责任链：

•工业设施所有者向机器制造商报告漏洞

•如果漏洞源自设备，机器制造商向设备制造商报告

•如果漏洞源自连接方案，设备制造商向连接提供商报告

图1 CRA 漏洞管理链路——从工业设施所有者到连接提供商，安全公告与更新沿供应链反向传递

CRA 对漏洞处理设定了严格的截止日期，要求制造商建立产品安全事件响应小组（PSIRT），使其能够对收到的报告做出及时响应。每个制造商还必须主动监测其所使用组件中的漏洞，而不仅仅依赖客户报告。 对于设备制造商，尤其是那些尚未建立安全流程或没有专门安全团队的制造商来说，这是一项沉重的运营负担。

HMS如何应对

从HMS的角度看，Anybus CompactCom 的漏洞管理基础设施已经就绪：

•负责任披露： HMS 在 hms-networks.com/cybersecurity 提供了专门的渠道，用于报告 HMS 产品中的漏洞。

•安全警示与更新： HMS 发布安全公告和固件更新，可通过 hms-networks.com/support/tech-support/cdis 订阅。

•PSIRT： HMS 运营产品安全事件响应职能团队，能够在 CRA 规定的时限内处理收到的漏洞报告。

•持续测试： 代码审查、静态分析、渗透测试、模糊测试和漏洞扫描持续应用于 Anybus CompactCom。

当设备制造商使用 Anybus CompactCom 时，他们直接受益于这套基础设施。不必为连接层自建和维护漏洞监测与披露能力，而是可以依赖 HMS 来管理这些工作，并在漏洞被识别时收到结构化、及时的信息。

在 CRA 的各项义务中，漏洞管理最消耗运营精力。好在连接层这部分工作，HMS 已经替您处理妥当。

固件更新：设备级与机器级

固件更新管理是CRA框架下设备制造商面临的另一项复杂课题，尤其在设备集成至机器的场景中更为突出。

设备级固件更新

使用 Anybus CompactCom 的设备通常至少包含两个需要更新的固件组件：

•主机固件： 设备制造商自有的应用固件

•Anybus CompactCom（ABCC）固件： CompactCom 通信接口固件，由 HMS 维护

在大多数情况下，设备制造商要求 ABCC 固件与主机固件匹配，因为两者经过配套测试，不能独立互换。这意味着固件更新通常必须协调进行，两个组件作为兼容的一对同时更新。

HMS 支持以下三种实际更新场景：

•主机固件通过控制台端口更新，ABCC 固件通过以太网接口更新

•主机固件和 ABCC 固件均通过控制台端口更新

•主机固件和 ABCC 固件均通过以太网接口更新

图2 使用 Anybus CompactCom 的设备包含两个组件：Anybus CompactCom 和主机 CPU。每个组件的固件可以通过控制台端口、以太网接口或两者结合更新。

机器级固件更新

在机器层面，挑战更大。正如设备制造商在发布前测试主机和ABCC固件的兼容性一样，机器制造商在部署更新之前也需要验证固件在机器内所有设备上的兼容性。这意味着机器更新通常打包为覆盖所有组件的单一更新，而不是逐设备更新。 从可用性角度来看，这要求为完整机器提供单一的更新接口。在实践中，部署后，终端用户通常无法访问单个设备的控制台端口。因此，完整机器更新的**可行路径是通过以太网接口同时更新主机和ABCC固件。 HMS支持这一场景。ABCC固件可通过以太网接口更新，使其能够与主机固件一起纳入协调的机器级更新中。这保持了所有组件之间的版本一致性，无需物理访问单个设备。

图3 机器级固件更新通过单一升级接口协调进行，允许PLC、连接设备及其嵌入式通信接口一起更新，保持所有组件之间的版本一致性。

通过以太网接口支持机器级固件更新对于在已部署的机器中实现实际CRA合规至关重要。HMS产品出厂即支持此功能。

选择合适的Anybus CompactCom型号

HMS提供两种主要的Anybus CompactCom 40型号。选择哪种取决于设备的预期用途和运行环境。

Anybus CompactCom 40 - 适用于可信的工业（OT）环境

标准版 Anybus CompactCom 40 适用于在可信且分段的工业网络中运行的设备，这些网络具有受限的访问权限和明确的运行条件。按照《安全设备集成指南》中关于“预期用途”的指导进行集成后，Anybus CompactCom 40 可以为 OT 环境提供充足的CRA 相关连接安全性。

图4 Anybus CompactCom 40（标准版）在可信 OT 环境中提供充足的 CRA 连接能力。

Anybus CompactCom 40 IIoT Secure - 用于互联 IT/IIoT 环境

对于需要 IT 或 IIoT 连接、Web 访问，或在可信网络之外进行安全通信的设备，建议选择 Anybus CompactCom 40 IIoT Secure。它提供额外的保护机制，包括：

•IT协议上的加密通信

•身份验证与访问控制

•安全启动及每次启动时的固件完整性验证

图5 Anybus CompactCom IIoT Secure 为 IT/IIoT 互联应用提供所需的 CRA 连接安全。

IIoT Secure减少了对外部额外安全措施（如防火墙）的需求，并在IT连接和IIoT应用中实现安全通信。IEC 62443-4-2的TÜV认证计划于2026年完成。

无论您的设备运行在可信的OT网络中还是IT/IIoT连接的环境中，都有适合您CRA连接需求的Anybus CompactCom型号。

仍属于您的责任

使用Anybus CompactCom可显著减少与连接相关的CRA工作范围，但不能免除设备制造商对完整产品的责任。无论采用何种连接方式，以下责任始终由设备制造商承担：

•最终产品风险评估

•正确的设备配置，包括禁用未使用的服务和接口

•用户手册及预期使用文档

•主机应用安全

•使机器制造商在集成设备时能够实现CRA合规的说明

•完整设备的合规性评估和合规声明

HMS提供的《安全设备集成指南》给出了关于预期用途、默认安全配置和集成指导的实用建议，帮助设备制造商高效地履行这些责任。

不是消除责任，而是减少维护符合CRA要求的连接方案的范围、工作量和长期风险。

评估您的连接策略

CRA 为采用自研芯片+协议栈连接方案的设备制造商创造了一个明确的决策点：在产品的全生命周期内，继续在内部维护这套方案，是否是稀缺的工程和安全资源的最佳使用方式？ 对许多设备制造商来说，答案是否定的。所需的持续投入——安全开发流程、漏洞监控、固件更新机制、SBOM维护、文档和长期生命周期支持——是一项日益沉重的内部负担，而Anybus CompactCom正是为了减轻这些负担而设计的。

对于那些已经在使用Anybus CompactCom的制造商，CRA进一步强化了在其产品和平台中标准化使用它的价值，从而随时间推移减少每个产品的合规工作量。

如需迈出下一步，请联系HMS专家或了解更多信息：

了解更多关于CRA的信息

作者简介

Jens Jakobsen 博士 HMS Networks 产品安全经理

Jens Jakobsen博士是HMS Networks的产品安全经理，负责领导公司加强工业通信产品的网络安全，保护联网设备免受新兴威胁。他曾任职于HMS Networks、施耐德电气和摩托罗拉解决方案，在工业通信和网络安全领域拥有丰富的技术与领导经验，持有七项电信及工业通信技术领域的授权**。