3. OT安全基础概念
在OT（运营技术）安全监测与事件响应中，最容易被混淆的是一组基础概念：资产、漏洞、威胁、风险、暴露面、攻击面、纵深防御。它们不是同义词，而是构成安全分析的因果链。理解这条链，才能在告警洪流中判断“什么值得优先响应”。
一、核心概念：从资产到风险的因果链
资产是OT环境中需要保护的实体，包括PLC、DCS控制器、RTU、HMI、工程师站、历史数据库、交换机、安全仪表系统（SIS）以及工艺配方、组态工程文件等。资产具有三个关键属性：价值（对生产的重要性）、可达性（网络与物理可达程度）、脆弱性（自身缺陷）。
漏洞是资产自身存在的弱点，例如未修补的CVE、硬编码口令、默认开启的调试端口、缺乏认证的Modbus/TCP写操作。漏洞是“静态”的，只有被利用时才产生实际影响。
威胁是可能利用漏洞的外部或内部主体，包括勒索软件团伙、APT组织、恶意内部人员、误操作工程师，甚至自然环境与供应链。威胁是“动态”的，具有意图与能力。
风险是威胁利用漏洞作用于资产后造成损失的可能性与后果的组合。常用表达为：风险 = 威胁 × 漏洞 × 资产价值 × 后果。风险是决策语言，安全投入应围绕降低风险展开。
暴露面指资产对外可见、可被探测的范围，例如暴露在互联网的VPN、开放端口、可访问的远程维护通道。攻击面则更进一步，指攻击者实际可利用的入口集合，包含协议、接口、账号、供应链与人员路径。暴露面是“看得见”，攻击面是“打得进”。
关键区分：漏洞不等于风险，暴露面不等于攻击面。一个高危漏洞若资产不可达、无威胁主体关注，其实际风险可能低于一个低危漏洞被暴露在互联网且已被扫描的情况。
二、IEC 62443标准体系：把概念变成可执行要求
IEC 62443是面向工业自动化与控制系统（IACS）的国际安全标准族，它把上述概念转化为可审计、可认证的要求。其核心思想是区域与管道（Zones & Conduits）：将资产按功能与风险划分为若干区域，区域之间只允许经过定义的管道通信，从而限制攻击横向移动。
标准族主要分为四层：
- 通用层（1-x）：术语、概念、模型与指标，如IEC 62443-1-1定义基本概念。
- 策略与流程层（2-x）：面向资产所有者，规定安全管理体系、补丁管理、风险评估流程。
- 系统层（3-x）：面向系统集成商，规定系统安全要求与安全等级（SL1～SL4）。
- 组件层（4-x）：面向产品供应商，规定嵌入式设备、主机组件、网络组件的安全要求。
其中安全等级（Security Level, SL）是量化目标：SL1抵御偶然违规，SL2抵御低资源攻击者，SL3抵御中等资源攻击者，SL4抵御国家级攻击者。OT现场通常以SL2～SL3为现实目标。
三、方法流程：从资产盘点走向风险处置
落地路径可归纳为五步：
- 资产识别：通过被动流量分析、资产测绘工具与现场台账，建立资产清单，标注型号、固件、协议、责任人。
- 漏洞与暴露面评估：比对CVE、核查开放端口与远程通道，识别暴露面。
- 威胁建模：结合行业威胁情报，判断哪些威胁主体可能关注本厂工艺。
- 风险计算与排序：按后果严重度与可能性打分，输出风险清单。
- 纵深防御加固：按IEC 62443划分区域与管道，逐层落实边界、网络、主机、监测与人员控制。
实操提示：OT资产盘点优先使用被动监听，避免主动扫描导致PLC宕机。可先抓取镜像流量，再解析Modbus、S7comm、EtherNet/IP等协议识别设备。
# 被动识别OT资产示例（示意）
tcpdump -i eth1 -w ot_capture.pcap port 502 or port 102 or port 44818
# 解析Modbus/TCP设备与功能码
tshark -r ot_capture.pcap -Y "modbus" -T fields -e ip.src -e modbus.func_code
# 输出示例
192.168.10.21 3 # 读保持寄存器
192.168.10.21 16 # 写多个寄存器（需重点关注）
四、案例与误区复盘
案例：某水厂HMI通过VPN暴露在互联网，运行未修补的旧版Windows。漏洞扫描显示多个高危CVE，但工程师认为“内网没人攻击”。某日勒索软件通过该VPN进入，横向加密历史数据库，导致调度中断。复盘发现：暴露面清晰可见，攻击面真实存在，风险被严重低估。
| 概念 | 常见误区 | 正确理解 |
|---|---|---|
| 漏洞 | 有漏洞就等于有风险 | 需结合可达性与威胁 |
| 暴露面 | 内网资产没有暴露面 | 内网横向、VPN、供应链均属暴露面 |
| 攻击面 | 关闭端口就消除了攻击面 | 账号、人员、协议、供应链仍是攻击面 |
| 纵深防御 | 买一台防火墙即可 | 需多层、分区、持续监测与响应 |
| IEC 62443 | 只是产品认证 | 覆盖策略、系统、组件全生命周期 |
排障提醒：在OT事件响应中，不要先追问“哪个漏洞被利用”，而应先确认“哪些资产受影响、攻击面是否仍在开放、风险后果是否可控”。顺序错了，响应就会失焦。
掌握资产、漏洞、威胁、风险、暴露面、攻击面与纵深防御的因果链，并借助IEC 62443的区域与管道、安全等级要求，才能把抽象概念转化为可监测、可响应、可审计的OT安全能力。