1. 课程导入
工业OT SOC（Operational Technology Security Operations Center）安全运营工程，是把安全运营中心的方法体系落到工业控制系统、生产网络与关键基础设施现场的一门交叉工程学科。它既不同于传统IT SOC以资产台账、终端EDR、日志SIEM为中心的运营方式，也不同于纯工控安全产品交付，而是强调“可观测、可判断、可处置、可复盘”的闭环能力，并且必须尊重OT侧对可用性、实时性、确定性与人身安全的硬约束。
一、核心概念：OT SOC到底在运营什么
OT SOC的运营对象不是“服务器和终端”，而是生产过程的连续性与可控性。它的核心概念可以归纳为四组：
- 资产与拓扑：PLC、DCS控制器、RTU、HMI、工程师站、历史库、OPC服务器、工业交换机、安全网关。资产不仅要记录型号与IP，还要记录固件版本、所属产线、工艺角色与停机代价。
- 通信与协议：Modbus TCP、OPC UA、S7comm、EtherNet/IP、IEC 60870-5-104、DNP3、Profinet等。OT SOC关注的是“谁在什么时间对哪个寄存器/点位做了什么”，而不是简单的五元组。
- 行为与基线：正常生产具有强周期性。工程师站下载、HMI轮询、控制器间心跳都有稳定节律，偏离节律往往比恶意特征更有价值。
- 事件与响应：从告警到工单、从隔离到旁路、从取证到恢复，每一步都要有审批与回退路径，避免“安全动作导致停产”。
理解这些概念的关键，是建立“以工艺为中心”的判断视角：同一条异常流量，在办公网是扫描，在OT网可能是误配置的轮询；同一个高危漏洞，在IT可立即打补丁，在OT可能需要等到年度大修窗口。
二、整体框架：从现场到运营中心的五层结构
工业OT SOC的工程框架通常分为现场层、汇聚层、监测层、分析层与运营层。下图给出本节最需要建立的整体认知：数据自下而上流动，处置指令自上而下受控下发，安全能力与生产网络之间通过工业DMZ和单向/受控通道隔离。
这张图强调两个方向：数据上行用于看见现场，指令下行用于受控处置。任何绕过汇聚层直接向PLC下发阻断策略的做法，都属于高风险操作，必须经过变更审批与回退验证。
三、方法流程：一次OT安全运营闭环
OT SOC的日常运营可以抽象为六步闭环，每一步都对应明确的输入、输出与责任人：
- 资产发现：被动流量识别为主，主动扫描需在维护窗口并限定速率，避免打挂老旧控制器。
- 基线建立：按产线、班次、工艺阶段建立通信矩阵与点位访问基线。
- 异常检测：结合规则、行为与工艺语义，输出带上下文的分级告警。
- 研判确认：由OT工程师与安全分析师联合判断是攻击、误配置还是工艺变更。
- 受控处置：优先旁路观察、限速、会话阻断，最后才考虑隔离；关键操作双人复核。
- 复盘改进：更新基线、补充检测规则、修订应急预案，形成知识沉淀。
# 示例：OT资产被动识别结果片段（示意）
asset_id ip role protocol vendor last_seen
PLC-L3-07 10.20.31.17 controller S7comm Siemens 2025-06-11 09:41
HMI-L3-02 10.20.31.22 hmi S7comm Siemens 2025-06-11 09:41
EWS-ENG-01 10.20.31.40 engineering S7comm Siemens 2025-06-11 08:12
RTU-WTR-05 10.20.42.9 rtu DNP3 SEL 2025-06-11 09:40
四、案例场景：一次“异常下载”的运营处置
某水厂OT SOC监测到工程师站EWS-ENG-01在非检修时段向PLC-L3-07发起程序下载。若按IT思路，可能直接阻断并告警。但OT运营的正确路径是：先确认是否有变更工单，再核对下载来源与目标是否匹配，随后在工业DMZ侧限制该会话，并通知工艺负责人现场确认控制器状态。
| 阶段 | 关键动作 | OT特有约束 |
|---|---|---|
| 发现 | 流量解析识别S7comm下载功能码 | 不能主动扫描，依赖镜像流量 |
| 研判 | 比对变更工单与资产归属 | 需工艺人员参与确认 |
| 处置 | DMZ侧限速/阻断，保留PCAP | 不得直接重启控制器 |
| 恢复 | 确认程序版本与运行状态 | 以可用性优先，逐步恢复 |
| 复盘 | 补充非工时下载检测规则 | 规则需避免误伤正常检修 |
五、职业能力地图：你需要在四个维度上成长
工业OT SOC安全运营工程师的能力不是单一技能，而是“工控理解 + 安全运营 + 工程落地 + 沟通协同”的复合体。可以用下面的清单自评：
- 工控基础：能读懂P&ID、网络拓扑、PLC程序结构，理解扫描周期与实时性要求。
- 安全运营：掌握SIEM/IDS规则、告警分级、事件响应流程与取证基本方法。
- 工程能力：能配置镜像口、工业防火墙策略、日志采集器与时间同步。
- 协同沟通：能与工艺、设备、IT、管理层对话，把安全风险翻译成生产语言。