1. 课程导入
在工业数字化转型与IT/OT融合的背景下，操作技术（Operational Technology，OT）环境正从封闭走向互联。PLC、DCS、SCADA、RTU、HMI、工业网关与历史数据库之间形成了复杂的控制与数据链路，一旦遭受攻击或误操作，后果往往不是"数据泄露"，而是产线停机、设备损坏、环境事故甚至人身安全风险。因此，OT安全监测与事件响应不是IT安全的简单复制，而是一套围绕"可用性优先、安全兜底、可恢复运行"构建的专门能力体系。
一、学习目标：从"知道风险"到"能处置事件"
本课程围绕四个能力层次展开，逐层递进：
- 认知层：理解OT与IT的差异，掌握Purdue模型、IEC 62443分区与管道、OT资产与协议特征，能识别典型攻击面。
- 监测层：掌握OT流量镜像、SPAN/TAP、工业协议深度解析、白名单与基线建模，能部署并读懂监测数据。
- 分析层：能结合资产、通信关系、工艺参数与日志，判断异常是攻击、故障还是误操作，降低误报与漏报。
- 响应层：能按事件分级启动响应流程，执行隔离、阻断、降级运行、取证与恢复，并完成复盘改进。
换句话说，学完本课程，你应当能够独立回答三个问题：现场发生了什么？它是否构成安全事件？我下一步该做什么且不影响生产？
二、核心价值：为什么OT安全监测与响应不可替代
OT安全的价值可以用"三个不可逆"来概括：停机不可逆（一次非计划停机可能造成数十万至数百万损失）、物理后果不可逆（阀门误动、电机超速可能直接损坏设备）、信任不可逆（一次事故会动摇客户与监管信心）。
与IT安全相比，OT监测与响应的价值重心明显不同：
| 维度 | IT安全 | OT安全 |
|---|---|---|
| 首要目标 | 机密性优先 | 可用性与安全性优先 |
| 停机容忍度 | 可重启、可打补丁 | 停机窗口极窄，需计划审批 |
| 资产生命周期 | 3～5年 | 10～20年，老旧系统多 |
| 协议特征 | TCP/IP为主，可加密 | Modbus、OPC、Profinet等，多无认证 |
| 响应手段 | 隔离、重装、封禁 | 需先评估工艺影响，慎用主动阻断 |
| 事件后果 | 数据与业务损失 | 可能引发物理与人身安全事故 |
因此，OT安全监测与响应的核心价值在于：用最小的生产扰动，换取最大的风险可见性与事件可控性。
三、整体知识框架：五层能力模型
本课程的知识体系可归纳为"资产—监测—分析—响应—治理"五层，下图展示了各层之间的支撑关系与数据流向：
五层之间不是孤立的：资产层提供"保护对象"，监测层提供"眼睛"，分析层提供"判断力"，响应层提供"手脚"，治理层提供"规则与记忆"。缺少任何一层，监测都会退化为"告警洪水"，响应都会变成"拍脑袋停机"。
四、方法流程：一次OT安全事件的完整处置路径
下面给出本课程贯穿始终的标准处置流程，后续章节会逐环节展开：
- 发现：由监测平台、工艺报警、现场人员或第三方通报触发。
- 初判：确认受影响资产、所在分区、是否涉及安全仪表系统（SIS）。
- 分级：按影响范围与工艺风险定为一般、较大、重大、特别重大。
- 遏制：优先采用旁路隔离、访问控制收紧、会话阻断，避免直接断电。
- 取证：保存流量、日志、内存与配置快照，保证证据链完整。
- 恢复：在验证工艺安全后逐步恢复，并持续观察异常复现。
- 复盘：输出时间线、根因、改进项，更新检测规则与应急预案。
五、案例场景：一次典型的Modbus异常写入
某水厂监测平台发现：一台工程师站于凌晨2:17向加药间PLC发起Modbus功能码06（写单寄存器）请求，将药剂投加量从35%改为92%。该通信此前从未出现过，且源IP不属于任何已登记资产。
时间 源IP 目的IP 功能码 寄存器 值
02:17:03 10.20.3.77 10.20.8.15 06 40021 92
02:17:04 10.20.8.15 10.20.3.77 06 40021 92 (确认)
02:17:09 10.20.3.77 10.20.8.15 06 40022 88分析层结合资产台账发现10.20.3.77为未登记设备，行为基线显示该PLC仅接受来自SCADA服务器的写入。响应层随即在交换机ACL中阻断该IP，保留镜像流量，通知工艺人员现场确认药剂浓度，最终判定为一次针对工业控制系统的未授权操作尝试。复盘后，团队补充了"非白名单源写入"检测规则，并将该网段纳入资产发现范围。
六、常见误区与学习建议
- 误区一：把OT当成IT来防。直接套用漏洞扫描、强制杀毒、频繁重启，可能直接导致控制器停机。
- 误区二：只买设备不建流程。没有分级标准与响应预案，再好的监测平台也只能产生告警。
- 误区三：忽视工艺知识。不懂工艺流程，就无法判断"参数异常"是攻击还是正常调节。
- 误区四：追求零误报。OT监测的目标是"关键事件不漏、可运营的误报率"，而非绝对零告警。
七、学习路径建议
建议按"先建认知、再练监测、后学响应、最后做综合演练"的顺序推进：
- 第1～6章：OT基础、架构与风险认知，建立共同语言。
- 第7～15章：监测采集、协议解析、资产发现与基线建模。
- 第16～23章：分析研判、事件分级、响应流程与取证恢复。
- 第24～30章：治理运营、演练复盘与综合案例，形成闭环能力。
每学完一个模块，建议在实验环境或仿真平台上完成一次"监测—分析—响应"的小闭环练习，把知识转化为可复用的操作习惯。OT安全监测与事件响应最终考验的不是工具数量，而是在压力下仍能按流程做出正确判断的能力。