3. 工业网络安全威胁模型
工业网络（OT网络）与传统IT网络在威胁模型上存在本质差异。IT网络的核心资产是数据机密性，而OT网络的核心资产是生产连续性、设备安全与人员安全。理解工业网络的威胁模型，是设计安全防护体系的前提。本章从威胁源、攻击路径、典型攻击类型三个维度展开，并结合生产影响分析，帮助学员建立针对工业场景的威胁建模能力。
3.1 威胁源分析：谁在攻击工业网络
核心原理
工业网络的威胁源可分为六大类：外部攻击者（包括国家级APT组织、网络犯罪团伙、黑客活动分子）、内部人员（包括误操作员工、离职报复者、被收买的内鬼）、供应链相关方（设备厂商、软件供应商、系统集成商）、第三方运维人员（远程维护工程师、外包服务团队）、物理入侵者（通过USB、调试口、未锁机柜进入）以及环境因素（自然灾害、电力波动等）。与IT网络不同，工业网络的威胁源往往具有更强的针对性——攻击者通常明确知道目标是什么，且攻击动机多为破坏生产或勒索赎金，而非单纯窃取数据。
判断方法
在实际安全评估中，建议通过以下步骤识别威胁源：
- 资产盘点：梳理所有连接到工业网络的设备、系统、接口和人员。
- 访问关系分析：绘制数据流图，明确谁可以访问什么资源。
- 历史事件复盘：分析过去一年内的安全事件、误操作记录、异常访问日志。
- 威胁情报比对：将自身行业、地域、业务特点与公开威胁情报关联。
案例拆解
某汽车零部件工厂在部署安全监测系统后，发现每周五下午均有来自海外IP的异常登录尝试，目标指向一台老旧PLC的维护端口。经溯源，该IP属于一家已终止合作的设备供应商。进一步调查发现，该供应商仍保留着远程维护账号，且密码从未修改。此案例说明，供应链威胁源往往是最容易被忽视的入口。该工厂随后立即撤销所有第三方账号，并启用双因素认证。
3.2 攻击路径：从边界到生产核心的六条通道
核心原理
攻击路径描述了威胁源到达生产系统的具体通道。在工业网络中，常见的攻击路径包括：边界突破（利用VPN漏洞、防火墙策略缺陷）、横向移动（从IT网络跳板进入OT网络，或在不同PLC之间跳转）、协议滥用（利用Modbus TCP、OPC UA、S7comm等工业协议本身的设计缺陷）、物理接触（通过USB、串口、调试网口直接接入）、供应链投毒（在设备固件或组态软件中预置后门）以及无线入侵（利用工厂内未加密的WiFi、蓝牙或4G模块）。
操作流程
攻击路径分析应遵循“以资产为中心”的方法：
| 步骤 | 操作内容 | 输出物 |
|---|---|---|
| 1 | 识别所有网络边界（IT/OT边界、OT内部区域边界） | 网络拓扑图 |
| 2 | 标注所有开放端口、服务、协议 | 端口/服务清单 |
| 3 | 分析各区域间的信任关系 | 信任矩阵 |
| 4 | 模拟攻击者视角，寻找可达路径 | 攻击路径图 |
| 5 | 对每条路径进行风险评估（可能性×影响） | 风险优先级列表 |
实战场景
某化工企业曾遭遇一次典型的“IT-OT横向移动”攻击。攻击者首先通过钓鱼邮件攻破IT网络的域控服务器，然后利用IT与OT网络之间未严格隔离的跳板机，使用窃取的管理员凭据登录了位于OT网络的工程师站。从工程师站出发，攻击者通过S7comm协议向多台西门子S7-300 PLC下发恶意指令，导致反应釜温度控制异常。整个攻击链耗时约72小时，但实际对生产造成影响仅用了不到10分钟。
3.3 典型攻击类型详解
核心原理
工业网络中的典型攻击类型可归纳为四类：网络扫描与资产探测、中间人攻击（MITM）、拒绝服务攻击（DoS）和恶意注入攻击。这四类攻击往往组合使用，形成完整的攻击链。
3.3.1 网络扫描与资产探测
攻击者通过发送特定协议请求（如Modbus功能码0x01读取线圈状态、S7comm的SZL读取系统状态），识别网络中的PLC、RTU、HMI等设备型号、固件版本和运行状态。这类攻击本身不直接破坏生产，但为后续攻击提供情报支撑。检测方法包括：监控异常频率的协议请求、识别非标准功能码调用、关注来自非工程师站的扫描行为。
3.3.2 中间人攻击（MITM）
在工业网络中，MITM攻击通常发生在工程师站与PLC之间、HMI与PLC之间或PLC与远程IO之间。攻击者通过ARP欺骗、DNS劫持或交换机端口镜像劫持，篡改或伪造工业协议报文。例如，攻击者可以修改温度传感器的量程值，使PLC误判温度正常，而实际温度已严重超标。MITM攻击的隐蔽性极强，因为PLC和HMI显示的“正常值”都是被篡改后的数据。
3.3.3 拒绝服务攻击（DoS）
工业网络中的DoS攻击可分为网络层和应用层两类。网络层DoS通过洪水攻击（如SYN Flood、UDP Flood）耗尽设备资源；应用层DoS则利用工业协议漏洞，如发送大量异常功能码请求、构造畸形报文导致PLC固件崩溃。对生产的影响表现为：PLC通信中断、HMI无响应、看门狗超时触发安全停机。更危险的是，某些PLC在受到DoS攻击后会进入“故障安全”状态，导致整个产线非计划停车。
3.3.4 恶意注入攻击
恶意注入是后果最严重的攻击类型，包括：指令注入（直接向PLC下发恶意控制指令）、逻辑注入（修改梯形图或功能块，植入恶意逻辑）、固件注入（刷写恶意固件，实现持久化控制）。2015年乌克兰电网事件中，攻击者通过修改变电站的固件，导致数万用户停电数小时。恶意注入攻击的检测难度极大，因为攻击者注入的指令在语法上完全合法，且可能只在特定条件下触发。
案例拆解：针对PLC的完整攻击链
某食品饮料工厂的灌装线遭遇了一次组合攻击，攻击过程如下：
| 阶段 | 时间 | 攻击行为 | 生产影响 |
|---|---|---|---|
| 侦察 | 第1天 | 扫描发现灌装线PLC（IP:192.168.10.25）开放502端口（Modbus TCP） | 无 |
| 利用 | 第2天 | 利用Modbus功能码0x2B读取设备标识，确认PLC型号为某品牌中型PLC | 无 |
| MITM | 第3天 | ARP欺骗，劫持HMI与PLC之间的通信 | 操作员看到的数据被篡改 |
| 注入 | 第3天 | 向PLC写入恶意指令，将灌装量从500ml改为300ml | 产品批量不合格 |
| DoS | 第4天 | 发送大量异常请求，导致PLC通信模块死机 | 产线停机4小时 |
复盘发现，该工厂的PLC未设置任何访问控制，且HMI与PLC之间未启用任何认证机制。攻击者仅需一台接入生产网络的笔记本电脑即可完成全部攻击。
3.4 对生产的影响评估与量化
核心原理
工业网络安全事件对生产的影响可分为四个层级：设备层（设备损坏、寿命缩短）、产线层（停机、降速、废品率上升）、工厂层（订单延误、交付违约）、企业层（品牌受损、合规处罚、股价波动）。影响评估应同时考虑直接损失（设备维修费、废品成本）和间接损失（停机损失、机会成本）。
量化方法
建议使用“生产影响指数”（PII）进行量化评估：
PII = (停机时间 × 单位时间产值) + (废品数量 × 单位成本) + (设备维修费用) + (安全事件响应人力成本) + (合规罚款/赔偿)例如，某汽车焊装车间停机1小时，产值损失约50万元，废品损失约5万元，设备维修约10万元，响应人力约2万元，合计PII约67万元。这还不包括因交付延迟导致的客户罚款。
常见误区
- 只关注IT安全指标：如病毒查杀率、补丁覆盖率，而忽略OT特有的安全指标（如PLC通信异常率、协议合规率）。
- 低估“软影响”：如操作员对系统信任度下降、安全事件后的心理阴影，这些难以量化但影响深远。
- 忽视“级联效应”：一条产线停机可能影响后续工序，甚至导致全厂停产。
3.5 威胁建模实战：从理论到落地
核心原理
威胁建模是将威胁源、攻击路径、攻击类型和生产影响整合为系统化方法的过程。推荐使用STRIDE-Lite模型（针对OT场景简化）：Spoofing（伪装）、Tampering（篡改）、Repudiation（抵赖）、Information Disclosure（信息泄露）、Denial of Service（拒绝服务）、Elevation of Privilege（提权），外加Lateral Movement（横向移动）。
操作流程
- 定义安全目标：明确需要保护的关键功能（如紧急停车、温度控制、批次管理）。
- 绘制数据流图：标注所有通信路径、信任边界、数据存储。
- 应用威胁模型：对每个数据流节点逐一分析STRIDE-Lite威胁。
- 评估风险等级：结合生产影响指数（PII）和攻击可能性，确定风险优先级。
- 制定缓解措施：针对高风险项，设计技术和管理双重控制措施。
案例拆解：某水处理厂威胁建模
某市政水处理厂对加氯系统进行威胁建模，发现以下高风险项：
| 威胁 | 攻击路径 | PII（万元/次） | 可能性 | 风险等级 | 缓解措施 |
|---|---|---|---|---|---|
| 氯气投加量被篡改 | MITM（HMI→PLC） | 500（环境污染罚款） | 中 | 高 | 部署工业防火墙+PLC侧白名单 |
| PLC被DoS攻击 | 网络洪水 | 80（停机损失） | 高 | 高 | 交换机端口限速+异常流量检测 |
| 远程维护账号泄露 | VPN暴力破解 | 200（数据泄露+控制权丢失） | 低 | 中 | 双因素认证+会话超时 |
该厂根据威胁建模结果，优先部署了工业防火墙和PLC通信白名单，并在三个月内完成了整改。后续模拟攻击测试中，成功阻断了90%以上的攻击路径。