2. OT与IT的差异
在OT安全监测与事件响应中，最容易被忽视、也最容易导致误判的，不是工具能力不足，而是把IT的安全假设直接套用到OT环境。OT（Operational Technology）关注的是物理过程的连续运行，IT关注的是信息的机密性、完整性与可用性；两者在架构、协议、时间约束和安全目标上存在系统性差异。理解这些差异，是设计监测点、制定告警策略和开展事件响应的前提。
一、OT系统架构：分层与隔离的物理过程闭环
典型OT系统按功能分为多层：现场设备层（传感器、执行器、变频器、保护装置）、控制层（PLC、RTU、DCS控制器、安全仪表系统SIS）、监控层（SCADA/HMI、工程师站、历史数据库）、以及与企业IT相连的DMZ与业务层。与IT的“服务器—终端—云”扁平结构不同，OT架构的核心特征是纵向分层、横向分区、以物理过程为中心。控制层设备直接驱动阀门、电机、断路器，任何中断都可能转化为设备损坏、停产甚至人身伤害。
因此，OT网络通常采用工业防火墙或数据二极管实现区域隔离，SCADA与现场控制之间往往存在严格的单向或受限通道。安全监测若在控制层随意发起主动扫描、漏洞探测或流量注入，可能干扰控制器的确定性周期，造成误动作。监测应以被动流量镜像、SPAN端口、串接旁路为主，避免对生产链路产生额外时延与抖动。
二、工业控制协议：为确定性而生，而非为安全而设计
OT广泛使用Modbus、Profibus、Profinet、EtherNet/IP、OPC UA、DNP3、IEC 61850等协议。这些协议诞生于封闭专网时代，设计目标是简单、实时、可靠，普遍缺乏认证、加密和完整性校验。例如Modbus/TCP没有身份认证，任何能访问502端口的设备都可以读写寄存器；DNP3虽支持安全认证扩展，但现场大量存量设备并未启用。
这给安全监测带来两个直接后果：其一，协议解析必须“懂语义”，不能只看端口和IP。同样是Modbus写操作，写设定值与写线圈输出对物理过程的影响完全不同；其二，异常判定要结合工艺上下文，例如某寄存器在换班时段被写入，可能是正常操作，也可能是攻击者篡改配方。监测系统需要建立“设备—协议—寄存器—工艺含义”的映射基线。
# 典型Modbus/TCP异常监测规则（伪代码）
if protocol == "Modbus/TCP" and function_code in [5,6,15,16]:
if src_ip not in allowed_engineer_stations:
alert("非授权写操作", severity="high")
if register_addr in safety_critical_registers:
alert("安全关键寄存器被修改", severity="critical")
if write_frequency > baseline * 3:
alert("写入频率异常，疑似批量篡改", severity="high")三、实时性要求：毫秒级周期不可被打断
OT系统的实时性是硬约束。PLC扫描周期通常在1～50毫秒，运动控制可达微秒级，SIS安全联锁要求在数十毫秒内完成动作。网络抖动、丢包或额外时延都可能导致控制失稳。IT安全中常见的“全流量深度包检测”“主动漏洞扫描”“终端代理轮询”在OT中可能直接引发生产事故。
因此，OT监测设备必须满足：旁路部署不串接、镜像流量不改变转发路径、解析时延可控、资源占用可预测。在无法旁路的关键链路上，宁可降低检测粒度，也不能引入不可接受的时延。监测策略应区分“在线实时检测”和“离线深度分析”，把高开销的关联分析放到历史数据侧完成。
四、可用性优先原则：CIA顺序的倒置
IT安全强调机密性（C）、完整性（I）、可用性（A）；OT安全则把可用性放在首位，顺序常为A > I > C。这不是理论偏好，而是由物理后果决定的：一条产线停机每小时可能损失数十万至数百万元，医院供氧系统中断可能危及生命。因此，OT事件响应中“先隔离、后取证”的IT惯性思维需要调整——贸然断开控制网络可能比攻击本身造成更大损害。
| 对比维度 | IT环境 | OT环境 | 对安全监测的影响 |
|---|---|---|---|
| 安全目标优先级 | C > I > A | A > I > C | 告警分级需以“是否影响生产”为首要判据 |
| 系统生命周期 | 3～5年 | 10～25年 | 大量老旧设备无日志、无补丁，监测依赖流量 |
| 协议特征 | HTTP/TLS等，自带加密认证 | Modbus/DNP3等，多数无认证 | 必须做协议深度解析与工艺语义映射 |
| 实时性约束 | 秒级可接受 | 毫秒级硬实时 | 禁止主动扫描，优先旁路镜像 |
| 补丁与重启 | 可频繁重启 | 停机窗口极有限 | 虚拟补丁、访问控制、白名单更可行 |
| 事件响应方式 | 隔离主机、断网取证 | 先保生产，再降级隔离 | 需预置“安全停机”与“手动接管”预案 |
五、案例与误区复盘
案例：某水厂SCADA操作员站感染勒索软件。IT团队按惯例立即断开该站网线，导致操作员无法监控加药过程，余氯一度失控。事后复盘发现，正确做法应是先切换到备用HMI或手动模式，再对受感染主机做网络访问限制，而非直接断链。这说明OT响应必须与工艺人员协同，“保运行”优先于“清病毒”。
常见误区：
- 把OT当成“带PLC的IT”，直接套用IT的EDR、漏扫和补丁策略；
- 认为OT网络物理隔离就绝对安全，忽视U盘、工程师站和远程运维通道；
- 监测系统只看IP和端口，不解析工业协议语义，导致大量误报与漏报；
- 事件响应中先隔离后汇报，未与生产调度确认，造成次生停产。
综上，OT与IT的差异不是程度差异，而是目标与约束的结构性差异。安全监测必须尊重OT的分层架构、协议语义、实时约束和可用性优先原则，才能在不过度干扰生产的前提下，及时发现针对工业过程的真实威胁。