2. 工业控制系统基础
在IEC 62443体系中，理解工业控制系统（ICS）的物理与逻辑结构，是后续开展区域划分、管道建模、风险评估和安全等级（SL）分配的前提。OT（运营技术）与IT（信息技术）虽然都涉及计算与通信，但设计目标、运行约束和安全优先级存在本质差异。本节从OT/IT差异入手，梳理DCS、SCADA、PLC三类典型架构，并分析工业协议的安全挑战。
一、OT与IT的核心差异
IT系统追求机密性、完整性和可用性（CIA），通常以机密性优先；OT系统则把可用性和安全性放在首位，很多场景下“停机”比“数据泄露”后果更严重。OT设备生命周期常达15～25年，补丁窗口极窄，甚至不允许重启；而IT设备3～5年即更新换代。OT网络流量模式稳定、协议确定，IT流量则突发、多样。这些差异决定了不能把IT安全方案直接套用到OT环境。
| 对比维度 | IT | OT |
|---|---|---|
| 首要目标 | 机密性优先 | 可用性、安全性优先 |
| 设备生命周期 | 3～5年 | 15～25年 |
| 补丁与重启 | 可频繁进行 | 窗口极窄，常需停机审批 |
| 通信协议 | TCP/IP、HTTP、TLS | Modbus、PROFINET、OPC UA等 |
| 实时性要求 | 秒级可接受 | 毫秒级确定性 |
| 典型威胁 | 数据泄露、勒索 | 物理破坏、停产、人身伤害 |
二、DCS、SCADA与PLC架构
PLC（可编程逻辑控制器）是现场控制层的核心，直接连接传感器和执行器，执行梯形图、功能块等逻辑，扫描周期通常为1～100ms。PLC通过现场总线或工业以太网与上位系统通信。
DCS（分布式控制系统）面向连续过程工业（化工、电力、冶金），由工程师站、操作员站、历史站、控制器和I/O卡件组成，强调闭环控制的确定性和冗余。DCS的控制器与I/O通常为专有协议，网络相对封闭。
SCADA（数据采集与监视控制）面向广域分散设施（电网、油气管道、水处理），由RTU/PLC、通信通道、SCADA服务器和人机界面（HMI）组成，强调远程遥测遥控。SCADA常跨越广域网，暴露面更大。
典型层级关系：现场设备层（传感器/执行器）→ 控制层（PLC/DCS控制器/RTU）→ 监控层（HMI/SCADA服务器/工程师站）→ 管理层（MES/ERP）。IEC 62443的区域与管道模型正是沿这一层级进行划分。
三、典型工业协议及其安全短板
工业协议在设计之初多假设运行在封闭专网中，普遍缺乏认证、加密和完整性保护。常见协议包括：
- Modbus TCP：无认证、无加密，功能码可被伪造，攻击者可任意读写线圈和寄存器。
- PROFINET / EtherNet/IP：实时以太网协议，依赖设备信任，缺乏报文级认证。
- OPC UA：较新，支持证书认证和加密，但配置复杂，旧设备兼容性差。
- IEC 60870-5-104 / DNP3：电力与水务广域协议，早期版本无安全机制，DNP3 Secure Authentication为可选扩展。
- IEC 61850：变电站自动化协议，GOOSE/SV报文对时延极敏感，加密会引入不可接受的抖动。
误区：认为“OT网络物理隔离就安全”。实际上，U盘摆渡、远程运维通道、第三方供应商接入、无线模块等都可能打破隔离。IEC 62443强调纵深防御，而非单一隔离。
四、案例与复盘：某水厂SCADA攻击事件
某水厂SCADA系统通过蜂窝路由器远程访问RTU，路由器使用默认口令且未限制源地址。攻击者登录后修改RTU中的化学投加量设定值，导致水质异常。复盘发现：远程通道未纳入区域与管道模型，RTU协议（DNP3）未启用安全认证，且无异常设定值监测。
改进措施包括：将远程访问纳入IEC 62443区域划分，部署跳板机与多因素认证；对DNP3启用Secure Authentication；在SCADA层增加设定值变化告警与白名单校验。该案例说明，OT安全必须同时覆盖架构、协议和运维流程。
# 示例：Modbus TCP 未授权读取保持寄存器（仅用于教学演示）
# 攻击者可直接读取 PLC 寄存器，无需任何认证
modbus_client --tcp -a 1 -r 40001 -c 10 192.168.10.20
# 返回结果示例
[40001] = 1024
[40002] = 512
[40003] = 0
...
# 无认证、无加密，任何能访问该网段的设备均可读取或写入工程建议：在IEC 62443风险评估中，先绘制资产与通信关系图，识别每个区域和管道的协议、方向、数据敏感度，再针对无认证协议部署补偿控制（如单向网关、深度包检测、白名单防火墙），而不是试图直接替换老旧协议。
掌握OT/IT差异、DCS/SCADA/PLC架构和工业协议短板，是后续进行区域划分、管道建模和SL分配的基础。只有把物理架构、通信路径和安全属性对应起来，才能设计出既满足生产可用性又具备纵深防御能力的工业网络安全方案。