4. OT常见威胁与攻击类型
OT（运营技术）环境的安全威胁与IT环境有显著差异。IT系统关注数据机密性与完整性，而OT系统首要保障的是可用性、确定性与物理安全。一旦OT网络被攻破，后果往往不是数据泄露，而是产线停机、设备损坏甚至人员伤亡。因此，理解OT常见威胁类型，是构建监测与响应能力的前提。本章围绕勒索软件、APT、供应链攻击、协议滥用、物理破坏与内部威胁六类威胁展开分析。
一、核心原理：OT威胁的六大类型
OT威胁可以从"攻击者意图"和"攻击路径"两个维度理解。勒索软件追求快速变现，APT追求长期潜伏与战略破坏，供应链攻击利用信任链，协议滥用利用OT协议本身缺乏认证的缺陷，物理破坏与内部威胁则来自"人"和"现场"维度。六类威胁并非孤立，常组合出现，例如APT先通过供应链植入后门，再滥用协议横向移动，最终配合内部人员实施物理破坏。
二、六类威胁详解与监测要点
| 威胁类型 | 典型手法 | OT特有影响 | 监测信号 |
|---|---|---|---|
| 勒索软件 | 钓鱼邮件、RDP爆破、漏洞利用 | HMI/历史库被加密，产线停机 | 文件批量重命名、异常加密进程 |
| APT | 鱼叉钓鱼、0day、长期驻留 | 窃取工艺参数、预置破坏逻辑 | 异常外联、计划任务、隐蔽隧道 |
| 供应链攻击 | 污染固件、更新包、第三方组件 | 设备出厂即带后门，难以清除 | 固件哈希异常、非授权更新 |
| 协议滥用 | 伪造Modbus/DNP3指令、重放 | 直接操控PLC，绕过上位机 | 非法功能码、异常写寄存器 |
| 物理破坏 | 现场篡改接线、拔插模块、破坏设备 | 直接导致设备损坏或安全事故 | 门禁记录、机柜开合传感器 |
| 内部威胁 | 越权操作、恶意配置、数据外带 | 合法身份做非法操作，难识别 | 异常时段操作、权限提升 |
三、典型场景：从供应链到物理破坏的组合攻击
某水厂曾遭遇一次典型组合攻击：攻击者先通过第三方SCADA软件更新包植入后门（供应链攻击），随后利用Modbus协议无认证的缺陷，直接向PLC写入异常寄存器值（协议滥用），导致加药泵持续运行。与此同时，内部人员因不满情绪，在现场关闭了报警蜂鸣器（内部威胁+物理破坏），使异常未被及时发现。最终造成药剂浪费与设备损坏。该案例说明：单一威胁检测不足以应对组合攻击，必须建立跨维度关联分析能力。
常见误区：许多OT团队认为"网络隔离就安全了"。实际上，物理隔离无法防御内部威胁、供应链植入和现场物理破坏。空气间隙（Air Gap）在现实中常被USB、维护笔记本、无线模块打破。
四、监测与响应方法流程
- 资产基线：建立PLC、HMI、交换机、固件版本的完整清单，记录正常通信矩阵。
- 流量监测：部署OT专用IDS，解析Modbus、DNP3、OPC等协议，识别非法功能码与异常写操作。
- 主机监测：在HMI/工程师站部署白名单，监控进程、USB、计划任务变化。
- 物理监测：整合门禁、机柜传感器、视频，关联现场访问与网络事件。
- 关联分析：将网络、主机、物理三类日志送入SIEM，建立组合告警规则。
- 响应处置：按预案隔离、取证、恢复，并复盘更新检测规则。
# 示例：Modbus异常写寄存器检测规则（伪代码）
IF protocol == "Modbus/TCP"
AND function_code IN (5, 6, 15, 16) # 写线圈/寄存器
AND source_ip NOT IN whitelist_eng
AND register_addr IN critical_registers
THEN alert("非法Modbus写操作", severity=HIGH)
复盘要点：每次事件后应回答三个问题——攻击者如何进入？为何未被早期发现？哪些监测盲区需要补齐？将答案转化为新的检测规则和资产基线更新。
综上，OT威胁的六种类型各有特点又相互交织。监测与响应的核心不是追求"零威胁"，而是建立可见性、关联性与快速恢复能力。只有把网络、主机、物理和人员四个维度统一纳入监测体系，才能在面对勒索、APT、供应链、协议滥用、物理破坏与内部威胁时，做到早发现、准定位、快响应。