3. 工业控制系统基础
工业控制系统（ICS）并不是单一设备，而是由现场控制层、监控层、历史数据层和网络连接层共同构成的“控制闭环”。在OT SOC中，理解每一类组件的职责、通信方式和安全属性，是资产建模、流量基线、告警研判和应急响应的前提。若把PLC当成普通服务器、把HMI当成普通终端，安全策略就会错位：该保护实时控制逻辑的地方被忽略，该限制人机操作权限的地方被放宽。
核心原理：从控制回路到安全属性
典型工业控制系统可抽象为四层：现场设备与仪表、控制器（PLC/RTU/DCS控制器）、监控与操作（HMI/SCADA）、历史数据库与工程站。控制信号从传感器进入控制器，经逻辑运算后驱动执行机构；HMI和SCADA负责监视与下发设定值；历史数据库保存过程数据，用于趋势、报表和审计。安全属性必须围绕“可用性优先、完整性关键、机密性次之”的工业原则展开，但并非机密性不重要，而是控制指令和组态数据的完整性一旦被破坏，可能直接导致物理后果。
关键安全属性可归纳为：
- 可用性：控制器和网络必须在生产周期内持续运行，拒绝服务或重启可能造成停机、设备损坏甚至安全事故。
- 完整性：控制逻辑、设定值、组态文件、历史数据不能被未授权修改，否则会出现“看似正常、实际失控”的隐蔽风险。
- 机密性：工艺配方、生产参数、网络拓扑和工程文件属于高价值信息，泄露可能被用于精准攻击。
- 可追溯性：操作记录、变更记录、告警日志必须可关联到人、时间、设备和工单。
- 实时性：安全措施不能引入不可接受的时延，否则会破坏控制闭环。
OT SOC视角：安全属性不是抽象口号，而是资产台账中的字段、流量基线中的特征、告警规则中的条件。例如，PLC的“完整性”对应程序下载监控，“可用性”对应CPU负载与通信超时，“可追溯性”对应工程站登录与变更日志。
组件安全属性与典型风险
PLC（可编程逻辑控制器）是离散控制和逻辑联锁的核心，通常通过梯形图、功能块或结构化文本执行循环扫描。其安全重点是程序下载保护、运行/停止模式切换、通信端口暴露和固件完整性。DCS（分布式控制系统）面向连续过程，控制器、I/O和操作站高度集成，安全重点是控制器冗余、工程师站权限、OPC接口和跨区访问。SCADA（数据采集与监视控制系统）覆盖广域场站，安全重点是主站与RTU/PLC之间的远动协议、无线链路和边界防护。RTU（远程终端单元）部署在无人值守站点，安全重点是物理防护、蜂窝/无线通信加密和本地逻辑保护。HMI（人机界面）是操作员直接交互的窗口，安全重点是账号共享、画面篡改、USB滥用和操作审计。历史数据库保存长期过程数据，安全重点是写入权限、查询接口和备份完整性。
方法流程：资产梳理与安全属性映射
在OT SOC落地时，建议按以下流程把组件与安全属性对应起来：
- 资产发现：通过被动流量、主动扫描（谨慎）、工程站导出和现场巡检，建立PLC、DCS、RTU、HMI、历史库的清单。
- 通信关系建模：记录每个控制器与HMI、SCADA、工程师站、历史库之间的协议、端口、方向和周期。
- 安全属性标注：为每个资产标注可用性等级、完整性要求、是否允许远程访问、是否涉及安全仪表功能。
- 基线生成：基于正常通信关系生成流量白名单、操作白名单和变更窗口。
- 监控与响应：将异常下载、非法IP访问、协议畸形、历史库异常写入等映射为告警，并关联到具体资产和工艺影响。
实用建议：先画“通信矩阵”再画“网络拓扑”。通信矩阵能直接暴露谁在跟谁说话、用什么协议、是否跨区，比单纯画交换机连接更有安全价值。
案例场景：HMI异常操作与历史数据篡改
某水厂SCADA系统中，操作员HMI通过工业以太网访问PLC，历史数据库从SCADA主站同步数据。某日安全运营中心发现：凌晨2点，一台HMI使用共享账号登录后，连续下发多个设定值修改指令，同时历史数据库中对应时间段的数据出现“平滑化”写入。进一步排查发现，该HMI主机被植入远程控制工具，攻击者利用共享账号和未限制的工程站权限，先修改设定值，再篡改历史数据以掩盖痕迹。
该案例暴露三个问题：第一，HMI账号共享导致操作不可追溯；第二，SCADA到历史库的写入权限过大，缺少二次校验；第三，工程站与操作站未分离，攻击者可在同一主机完成“操作+篡改”。改进措施包括：HMI强制个人账号与双因素认证，历史库写入增加签名或校验，工程站独立部署并限制下载窗口，同时对设定值修改和数据库写入建立关联告警。
常见误区与复盘
- 误区一：只关注边界防火墙。OT内部东西向流量同样关键，PLC与HMI之间的异常指令往往来自内部失陷主机。
- 误区二：把历史数据库当普通数据库。历史库的写入完整性直接影响审计和事故追溯，必须限制写入来源和写入方式。
- 误区三：忽略RTU和无线链路。无人值守站点的物理暴露和无线通信是常见突破口，需加密、认证和链路监控。
- 误区四：安全策略影响实时性。在控制器层插入过多检测或代理可能增加时延，应采用旁路镜像、单向隔离和工业协议深度解析。
关键安全属性对照清单
| 组件 | 主要职责 | 关键安全属性 | 典型监控点 |
|---|---|---|---|
| PLC | 逻辑控制、联锁、顺序控制 | 完整性、可用性 | 程序下载、模式切换、通信超时 |
| DCS | 连续过程控制、冗余控制 | 完整性、可用性、可追溯性 | 工程师站登录、控制器切换、OPC访问 |
| SCADA | 广域监视与远程控制 | 可用性、完整性、机密性 | 主站指令、远动协议、边界访问 |
| RTU | 远程站点采集与控制 | 可用性、完整性、物理安全 | 无线链路、本地逻辑、电源状态 |
| HMI | 操作员监视与操作 | 可追溯性、访问控制 | 账号登录、画面操作、USB使用 |
| 历史数据库 | 过程数据存储与审计 | 完整性、可追溯性、机密性 | 写入来源、查询接口、备份校验 |
排障提示：当出现“设定值被改但无操作记录”时，优先检查HMI共享账号、工程师站远程工具、历史库写入接口和PLC程序下载日志。不要只查网络边界，内部横向移动和合法工具滥用往往才是根因。
# 示例：工业资产通信基线片段（伪配置）
asset: PLC-01
ip: 10.10.20.11
protocol: Modbus TCP
allowed_masters:
- HMI-01 (10.10.30.21)
- SCADA-01 (10.10.40.10)
allowed_ports: [502]
monitor:
- program_download
- mode_change
- unauthorized_master
criticality: high
availability: 99.99%
integrity: signed_logic_required
综上，PLC、DCS、SCADA、RTU、HMI和历史数据库不是孤立设备，而是控制闭环中承担不同安全属性的节点。OT SOC的有效性，取决于能否把资产、通信、操作和工艺影响关联起来，形成可监控、可追溯、可响应的安全运营基线。