2. 工业安全基础

工业安全日志关联分析的第一步，不是急着写规则或接日志，而是先建立“资产—网络—协议—行为”的工业现场认知。只有理解控制系统如何分层、OT与IT在目标和约束上有何不同，才能判断哪些日志值得采集、哪些事件必须关联、哪些告警不能简单套用IT经验。

一、工业控制系统架构：从现场设备到企业管理

典型工业控制系统（ICS）可划分为五层结构，日志关联分析需要跨层采集并建立时间与资产映射。

• 现场设备层：传感器、执行器、变频器、智能仪表，通过4-20mA、HART、IO-Link等信号接入。日志以设备诊断、通道状态为主。
• 控制层：PLC、DCS控制器、安全仪表系统（SIS）、远程终端单元（RTU）。记录程序下载、模式切换、I/O强制、故障码等关键事件。
• 监控层：SCADA、HMI、工程师站、历史数据库。产生操作记录、报警确认、画面切换、配方修改等日志。
• DMZ/边界层：工业防火墙、数据二极管、OPC UA网关、跳板机。记录会话建立、协议转换、访问拒绝等。
• 企业管理层：MES、ERP、资产管理系统。提供工单、批次、维护计划等业务上下文。

跨层关联的价值在于：把“控制层程序下载”与“监控层工程师登录”以及“边界层VPN接入”放在同一时间线上，才能还原一次完整操作。下图展示典型分层架构与日志源分布。

二、OT与IT的核心差异：为什么不能照搬IT安全

OT（运营技术）与IT（信息技术）在目标、可用性、协议、生命周期和补丁策略上存在本质差异。日志关联分析必须尊重这些差异，否则会产生大量误报或漏报。

三、常见工业安全威胁与攻击链

工业安全威胁通常沿“初始访问—横向移动—控制劫持—物理影响”链条展开。日志关联分析的目标是在链条早期发现异常组合。

• 勒索软件：加密HMI/历史库，导致监控失效。关联线索：大量文件写操作 + SMB异常 + 备份删除。
• 供应链攻击：篡改PLC程序或固件。关联线索：非计划程序下载 + 工程师站异常登录 + 固件校验失败。
• 未授权远程访问：VPN账号泄露或跳板机滥用。关联线索：非工作时间VPN登录 + 直接访问控制层 + 协议扫描。
• 协议滥用：Modbus无认证，攻击者直接写线圈。关联线索：异常源IP + 写功能码 + 高频请求。
• 内部误操作：配方错误、I/O强制未复位。关联线索：操作日志 + 报警风暴 + 工艺参数越限。

# 典型关联规则伪代码：非工作时间程序下载
WHEN plc_program_download
  AND engineer_login.time NOT IN work_hours
  AND vpn_session.src_ip NOT IN whitelist
THEN alert severity=high
  correlate with: hmi_operation, firewall_deny

四、合规要求与日志留存

工业安全合规框架为日志关联分析提供了最低要求。常见包括IEC 62443、等保2.0（工业控制系统安全扩展要求）、NIST SP 800-82等。核心要求集中在：身份鉴别、访问控制、安全审计、入侵防范和事件响应。

五、案例与复盘：一次“合法”操作引发的停机

某化工厂夜间发生反应釜超压联锁停机。初步排查未发现攻击痕迹，但日志关联还原了完整链条：

1. 23:14 工程师通过VPN从外部接入，登录工程师站。
2. 23:16 打开PLC编程软件，进行程序下载。
3. 23:18 修改了联锁设定值，未走变更审批。
4. 23:22 反应釜温度异常上升，SIS触发联锁。
5. 23:23 HMI报警风暴，操作员确认停机。

复盘结论：单看任何一条日志都像“正常操作”，但把VPN、登录、程序下载、设定值修改、报警串联后，才能判定为“未授权变更导致工艺失控”。这正是工业安全日志关联分析的核心价值。