2. OT与IT差异
在工业OT SOC安全运营中，最容易被忽视、也最容易导致误判的，是把IT安全运营的思维直接套用到OT环境。OT与IT的差异不是“程度不同”，而是“目标函数不同”：IT优先保护数据的机密性，OT优先保障生产过程的连续性与物理安全。理解这些差异，是设计OT安全运营流程、告警分级、响应策略和变更管理的前提。
一、OT系统架构：分层、分区与纵深防御
典型OT系统遵循ISA-95/Purdue分层模型，从现场设备到企业管理层形成清晰的层级结构。每一层承担不同职责，层与层之间通过工业DMZ或防火墙进行隔离。安全运营必须理解“资产在哪一层、流量从哪来、谁能访问谁”，否则无法判断告警的真实影响范围。
- L0 现场层：传感器、执行器、变送器，直接与物理过程交互。
- L1 控制层：PLC、RTU、DCS控制器、安全仪表系统SIS，执行实时控制逻辑。
- L2 监控层：SCADA、HMI、工程师站，负责监视与操作。
- L3 运营层：历史数据库、资产管理系统、MES，负责生产调度与数据归档。
- L3.5 工业DMZ：数据交换、补丁分发、远程访问跳板，是IT与OT的缓冲带。
- L4/L5 企业层：ERP、邮件、办公网，与OT严格隔离。
安全运营的关键认知是：OT资产往往生命周期长达10~20年，操作系统老旧、无法随意打补丁、不支持安装EDR代理。因此，OT SOC不能依赖“端点全覆盖”，而必须更多依赖网络流量分析、白名单基线和物理隔离策略。
二、工业控制协议：为确定性而生，而非为安全而生
IT协议如HTTP、TLS、SSH在设计时考虑了认证、加密和完整性。而工业控制协议如Modbus TCP、DNP3、OPC Classic、Profinet、EtherNet/IP、IEC 61850等，设计目标是低延迟、高确定性和简单可靠，大多缺乏认证、加密和防重放机制。
| 协议 | 典型用途 | 安全弱点 | OT SOC检测重点 |
|---|---|---|---|
| Modbus TCP | PLC读写、寄存器访问 | 无认证、无加密、功能码可被滥用 | 异常功能码、非授权主站、写操作频率 |
| DNP3 | 电力SCADA、RTU通信 | 早期版本无认证，可被中间人篡改 | 非授权主站、异常控制命令、时间同步异常 |
| OPC Classic | DCS/SCADA数据交换 | DCOM依赖、端口动态、难以防火墙管控 | 异常DCOM调用、非授权客户端连接 |
| Profinet/EtherNet/IP | 实时I/O通信 | 实时通道缺乏加密，设备识别依赖MAC | 设备仿冒、异常广播、拓扑变化 |
| IEC 61850 | 变电站自动化 | MMS/GOOSE报文可被伪造，缺乏认证 | GOOSE异常、SV报文篡改、非授权IED |
这意味着OT SOC的检测规则不能照搬IT的“登录失败”“恶意域名”等规则，而必须建立协议白名单：哪些主站可以访问哪些从站、允许哪些功能码、正常轮询周期是多少。任何偏离基线的协议行为，都可能是攻击或误配置。
三、实时性要求与可用性优先原则
OT系统的实时性要求通常以毫秒计。例如，运动控制环路可能要求1~10ms的确定性响应，SIS安全仪表系统要求在数十毫秒内完成联锁动作。一旦网络延迟抖动或安全设备引入额外时延，可能导致生产事故甚至人身伤害。
可用性优先原则的核心含义：在OT环境中，可用性（Availability）优先于机密性（Confidentiality）和完整性（Integrity）。这不是说安全不重要，而是说安全措施不能以牺牲生产连续性为代价。因此，OT SOC的响应策略必须是“先保生产、再查安全”，而不是“先隔离、再恢复”。
这对安全运营的影响体现在多个方面：
- 不能随意扫描：IT常用的Nmap全端口扫描、漏洞扫描器可能造成PLC死机或通信中断，OT中必须使用被动流量分析或经厂商认证的专用工具。
- 不能随意隔离：发现可疑主机时，直接断开网络可能导致控制器失去监控、阀门失控。正确做法是先评估影响，再通过防火墙策略或ACL进行最小化阻断。
- 不能随意重启：IT中“重启解决90%问题”在OT中可能意味着产线停机数小时，损失巨大。
- 补丁窗口极窄：OT系统通常只能在年度大修或计划停机时打补丁，安全运营必须接受“带病运行”的现实，并通过补偿控制降低风险。
四、对安全运营的具体影响与案例
某化工厂曾发生一起典型事件：IT安全团队在办公网发现一台工程师站感染了勒索软件，按照IT流程立即将该主机从网络隔离。然而，这台工程师站同时承担着DCS组态监控功能，隔离后操作员无法查看关键反应釜温度，被迫手动操作，险些导致超温事故。事后复盘发现，正确的做法应是：先确认该主机与DCS的通信关系，通过防火墙仅阻断其互联网访问，保留与DCS的监控通道，同时安排人员现场监视。
常见误区：把OT告警当成IT告警处理，直接封禁IP或关机。在OT中，封禁一个IP可能切断的是PLC与HMI之间的关键控制通道；关机可能让一台运行了8年的工控机再也无法启动。OT SOC必须建立“影响评估—最小化响应—人工确认”的流程。
另一个关键差异是资产可见性。IT资产可以通过AD、CMDB、EDR自动发现，而OT资产大量是哑设备，没有代理、没有日志、甚至没有IP。OT SOC需要结合被动流量测绘、交换机MAC表、物理巡检记录来建立资产基线。没有准确的资产清单，任何告警都无法判断影响范围。
五、OT SOC运营策略调整清单
- 告警分级以物理影响为准：优先处理可能影响L0/L1层的告警，而非按IT的CVSS评分排序。
- 响应动作必须经过影响评估：建立“阻断前检查清单”，确认目标资产的角色、通信关系和冗余情况。
- 以被动监测为主：部署SPAN/TAP流量镜像，避免主动扫描对生产造成干扰。
- 建立协议白名单基线：记录正常通信矩阵，包括源/目的IP、端口、功能码、轮询周期。
- 与工艺工程师联合值守：安全分析师不懂工艺，工艺工程师不懂安全，OT SOC需要两者协同。
- 接受补偿控制：无法打补丁时，通过网络隔离、访问控制、物理锁等方式降低风险。
总结来说，OT与IT的差异决定了OT SOC不能是IT SOC的简单复制。它需要理解分层架构中的资产位置，掌握工业协议的通信基线，尊重实时性和可用性优先原则，并将安全响应与生产连续性进行平衡。只有建立在这些认知之上的安全运营，才能真正为工业控制系统提供有效保护，而不是成为生产事故的诱因。