2. ICS基础架构
工业控制系统（ICS）是工业自动化与信息化深度融合的产物，其本质是一套用于监控、控制和数据采集的软硬件综合体。要理解ICS的安全防护，首先必须厘清其物理架构与逻辑层次。SCADA、DCS、PLC、RTU、HMI这五大核心组件并非孤立存在，而是通过特定的网络拓扑与通信协议协同工作，构成了从现场设备到企业管理的完整控制链路。本章将逐一剖析这些组件的功能定位、技术特征及其在安全防护中的关键作用，帮助学员建立对ICS基础架构的系统性认知。
一、核心组件功能定位与原理
1. SCADA（数据采集与监控系统）
核心原理：SCADA是整个ICS的“神经中枢”，负责从广域分布的现场设备（如变电站、输油管道、水处理厂）采集遥测（实时数值）和遥信（开关状态）数据，经过处理后呈现给操作员，并下发遥控/遥调指令。其典型架构包含MTU（主站终端单元）、通信前置机、历史数据库和Web发布服务。SCADA系统通常部署在控制中心，通过冗余通信链路（光纤、无线、卫星）与远端RTU/PLC通信。
安全关注点：SCADA主站是攻击者最青睐的目标，一旦被攻破，攻击者可伪造全站数据或下发恶意指令。其通信协议（如Modbus TCP、DNP3、IEC 60870-5-104）普遍缺乏认证与加密机制，存在严重的中间人攻击风险。
2. DCS（分布式控制系统）
核心原理：DCS强调“分散控制、集中管理”，主要应用于流程工业（化工、电力、冶金）的连续生产过程。它将控制功能分散到多个现场控制站（每个控制站管理特定工艺段），通过冗余的高速控制网络（如ControlNet、FF HSE）连接工程师站、操作员站和历史站。DCS的控制器通常执行PID回路调节、联锁逻辑和顺序控制，其I/O卡件支持热插拔和冗余配置。
安全关注点：DCS的专有协议（如Honeywell的CDA、Yokogawa的Vnet/IP）往往缺乏公开文档，安全研究人员难以进行漏洞挖掘，但这并不意味着安全。DCS的冗余机制（控制器冗余、网络冗余）在网络安全设计时需考虑故障切换的平滑性，避免因安全设备（如防火墙）阻断导致冗余链路失效。
3. PLC（可编程逻辑控制器）
核心原理：PLC是工业现场最底层的控制执行单元，采用循环扫描方式工作：读取输入→执行用户程序→刷新输出。其编程语言以梯形图（LD）、功能块图（FBD）和结构化文本（ST）为主。PLC直接连接传感器（数字量/模拟量输入）和执行器（继电器、变频器、气动阀），响应时间通常在毫秒级。现代PLC还支持EtherNet/IP、Profinet等工业以太网协议，具备远程调试和固件升级能力。
安全关注点：PLC的固件更新机制常被忽视，攻击者可植入恶意固件实现持久化控制。此外，PLC的“运行/编程”模式切换开关若暴露在远程可操作状态，攻击者可将PLC切换至编程模式并上传恶意程序，导致物理过程失控。
4. RTU（远程终端单元）
核心原理：RTU专为恶劣环境和远程站点设计，具备低功耗、宽温工作、抗电磁干扰等特性。它主要完成模拟量/数字量采集、数据缓存、协议转换和远程控制输出。RTU通常部署在无人值守站点（如油气井口、电力铁塔、水文监测站），通过无线（4G/5G、LoRa、卫星）或有线方式与SCADA主站通信。其通信协议以IEC 60870-5-101/104、DNP3为主。
安全关注点：RTU的物理安全防护薄弱，攻击者可直接接触设备进行串口调试或固件提取。其无线通信链路容易被截获或干扰，需部署VPN或国密加密隧道。RTU的本地存储（如配置参数、历史数据）通常未加密，存在敏感信息泄露风险。
5. HMI（人机界面）
核心原理：HMI是操作员与控制系统交互的窗口，以图形化方式展示工艺流程图、实时趋势、报警列表，并提供操作按钮和参数设定界面。现代HMI基于Windows或Linux平台，支持Web访问和移动端APP。HMI与PLC/DCS控制器之间通过OPC UA、Modbus等协议通信，其脚本引擎（如VBScript、JavaScript）可实现复杂动画和业务逻辑。
安全关注点：HMI是APT攻击的初始突破口，攻击者常利用HMI的漏洞（如CVE-2021-22646）获取控制网络访问权。HMI的截图、键盘记录和剪贴板数据可能泄露工艺参数。此外，HMI的远程桌面功能（RDP）若暴露在互联网，将直接导致控制网络沦陷。
二、组件间通信机制与数据流
ICS各组件间的通信遵循ISA-95/IEC 62264的层级模型，从上至下分为企业网络层（L3/L4）、控制网络层（L2）和现场设备层（L0/L1）。数据流以“上行采集、下行控制”为主，同时存在横向的工程师站组态下发、操作员站指令广播等流量。
| 通信方向 | 典型协议 | 数据特征 | 安全风险 |
|---|---|---|---|
| SCADA主站 ↔ RTU/PLC | Modbus TCP、DNP3、IEC 104 | 周期性轮询（秒级）、突发报警 | 明文传输、无认证、可被伪造 |
| HMI ↔ PLC/DCS | OPC DA/UA、S7comm、Profinet | 高频读写（毫秒级）、大流量 | OPC Classic依赖DCOM，易受RPC攻击 |
| 工程师站 ↔ 控制器 | 专有组态协议（如Step7、RSLinx） | 组态上传/下载、固件更新 | 未加密的固件包可被篡改 |
| 企业层 ↔ 控制层 | OPC UA、MQTT、RESTful API | 聚合数据、KPI报表 | 接口暴露面大，需严格ACL |
实战场景：某水处理厂SCADA系统通过Modbus TCP轮询分布在3公里外的5个RTU站点。安全团队在部署入侵检测系统（IDS）时发现，攻击者利用Modbus功能码0x10（写多个寄存器）向RTU发送了非法的“氯气投加量”设定值。由于Modbus协议无会话认证，IDS仅能通过“功能码+寄存器地址+数值范围”的基线模型检测异常。最终通过部署协议白名单（仅允许特定主站IP访问RTU）和值域校验（氯气投加量必须在0-5mg/L）成功阻断攻击。
三、ICS架构的安全防护设计要点
1. 网络分段与纵深防御
遵循“层次分明、边界控制”原则，将企业网、控制网、现场设备网划分为独立的安全域。在边界部署工业防火墙（如Tofino、SISCO），启用基于协议深度解析的访问控制规则。例如，仅允许SCADA主站以Modbus TCP访问RTU的502端口，且禁止写入功能码0x10（除非在特定维护窗口）。
2. 协议安全增强
对于存量系统，可采用协议网关（如协议转换器）将明文Modbus转换为带TLS加密的Modbus Secure。对于新建系统，优先选用OPC UA（内置证书认证和加密）、PROFINET with Security等安全协议。需注意，协议转换会增加延迟（通常<5ms），需评估对实时控制的影响。
3. 组件加固与基线核查
PLC/RTU应禁用未使用的服务端口（如FTP、Telnet），修改默认口令，启用日志审计功能。HMI操作系统应安装白名单软件（如Application Control），禁止非授权程序执行。定期备份控制器固件和组态文件，并校验其哈希值。
4. 物理安全与供应链安全
RTU机柜应加装门禁和防拆报警，现场调试端口（如RS-232、USB）应物理封堵。采购环节需验证固件签名，防止恶意植入。对于关键基础设施，建议采用国密算法（SM2/SM3/SM4）实现通信加密和身份认证。
常见误区警示：许多企业认为部署了防火墙和IDS就万事大吉，却忽略了ICS的“可用性优先”原则。安全策略的配置必须经过严格的离线测试，避免因误阻断导致生产停机。例如，某电厂在防火墙上启用“严格TCP状态检测”后，导致DCS控制器间的冗余心跳包被丢弃，引发控制器切换震荡。安全策略的变更应遵循“变更管理流程”，并在测试环境中验证。
四、案例拆解：某油气管道SCADA系统安全加固项目
背景与约束：某国家级油气管道公司下辖12个压气站和3个调度中心，SCADA系统采用ABB Symphony Plus，RTU使用施耐德SCADAPack。管道全长1800公里，穿越多种地形，通信依赖光纤+4G备份链路。安全团队需在不中断生产的前提下，提升系统对网络攻击的检测与响应能力。
初始现象与目标：在一次内部红队演练中，攻击者通过钓鱼邮件获取了调度中心操作员PC的权限，并利用该PC作为跳板，尝试向RTU下发“超压保护旁路”指令。虽然演练被及时制止，但暴露了以下问题：①操作员PC可直连RTU网络；②SCADA主站与RTU之间无加密；③缺乏对异常指令的实时告警。项目目标为：实现控制网络微隔离、通信加密、异常行为检测。
关键输入数据与参数：
- RTU通信轮询周期：5秒（Modbus TCP，端口502）
- 正常指令特征：功能码0x03（读保持寄存器）占比92%，0x06（写单寄存器）占比7%，0x10（写多寄存器）占比1%
- 允许写入的寄存器范围：压力设定值（40001-40010）、流量设定值（40011-40020）
- 禁止写入的寄存器：安全联锁旁路（40050）、紧急切断阀控制（40051）
分析判断过程：安全团队首先梳理了SCADA主站与各RTU的通信矩阵，发现部分压气站的RTU存在“跨站访问”现象（即A站主站可访问B站RTU），这不符合最小权限原则。其次，通过流量镜像分析，确认存在少量来自非授权IP的Modbus探测包。最后，评估了加密改造的可行性：RTU的CPU负载在加密后需增加15%，且需支持TLS 1.2协议栈。
实际操作步骤：
- 网络微隔离：在每个压气站部署工业防火墙，配置规则仅允许调度中心SCADA主站IP访问本站RTU的502端口，禁止跨站访问。同时，将操作员PC迁移至独立VLAN，通过堡垒机进行运维。
- 通信加密：在SCADA主站前端部署协议加密网关，将Modbus TCP封装为Modbus/TLS。RTU侧通过固件升级支持TLS，并预置证书。测试表明，加密后轮询延迟增加2ms，满足控制要求。
- 异常检测：部署基于机器学习的IDS，建立Modbus指令基线模型。重点监控功能码0x10的写入目标寄存器，若发现写入40050或40051，立即触发告警并阻断会话。
- 变更管理：所有防火墙策略和固件升级均先在实验室环境验证，经审批后在生产窗口（凌晨2:00-4:00）实施，并准备回退方案。
结果对比与复盘：加固后，红队再次演练时，即使攻破操作员PC，也无法直接访问RTU网络（微隔离生效）。通过加密网关，攻击者无法嗅探或篡改Modbus指令。IDS在演练中成功检测到3次异常写入尝试并自动阻断。项目代价包括：新增硬件设备投资约80万元，RTU固件升级耗时2个月，期间需协调各站点停机窗口。复盘经验：①ICS安全必须从架构层面入手，而非单纯堆叠安全产品；②协议加密需考虑老旧设备的兼容性，必要时采用“加密网关+设备侧升级”的混合方案；③异常检测模型的训练数据需覆盖季节性工况变化（如冬季管道压力波动），避免误报。
五、总结与常见误区
核心要点回顾：SCADA负责广域监控与调度，DCS擅长流程工业的分布式控制，PLC是底层逻辑执行单元，RTU适应远程恶劣环境，HMI提供人机交互界面。五者通过层级化网络协同工作，形成“采集-决策-执行”的闭环。安全防护应围绕“网络分段、协议安全、组件加固、物理防护”四个维度展开。
经验提醒：在评估ICS安全风险时，务必先绘制完整的“数据流图”和“信任边界图”。很多企业只关注了SCADA主站与RTU的通信，却忽略了工程师站临时接入笔记本电脑、HMI的USB口插拔U盘等隐性路径。建议每季度进行一次“架构审查”，对照实际物理连接与网络拓扑，确保安全策略与真实环境一致。
常见误区清单：
- 误区一：认为PLC/RTU“功能简单，不会成为攻击目标”。实际上，2015年乌克兰电网事件中，攻击者正是通过篡改RTU固件导致变电站跳闸。
- 误区二：将IT安全解决方案（如杀毒软件、漏洞扫描）直接套用到ICS。ICS设备对扫描流量极其敏感，可能导致控制器死机。
- 误区三：忽视物理安全。攻击者只需在RTU机柜旁用笔记本电脑接入调试口，即可绕过所有网络安全措施。
- 误区四：认为“专有协议=安全”。DCS的专有协议虽然不公开，但通过逆向工程或内部人员泄露，攻击者同样可以构造恶意报文。