4. OT安全威胁 landscape

OT安全威胁 landscape 与IT安全威胁 landscape 有本质差异。IT侧的核心资产是数据与算力，攻击者追求信息窃取、横向渗透或加密勒索；OT侧的核心资产是物理过程的可用性、安全性与确定性，攻击者一旦触达PLC、DCS、SIS或工程站，其后果可能直接表现为停产、设备损毁、环境事故乃至人身伤害。因此，理解OT威胁不能只看漏洞数量，而要从攻击动机、攻击者能力、攻击路径与物理后果四个维度建立整体图景。

一、攻击动机：从经济勒索到地缘对抗

OT攻击动机大致可分为四类。第一类是经济勒索，以勒索软件团伙为代表，通过加密IT侧系统倒逼停产，或直接攻击OT网络中的HMI、历史库与工程站。第二类是地缘政治与破坏，由国家背景APT组织执行，目标多为电力、水务、油气、制造与交通，追求长期潜伏、预置破坏能力或战时快速瘫痪。第三类是竞争情报与商业间谍，窃取工艺配方、生产参数、产能数据与供应链信息。第四类是内部人员与误操作，包括离职人员报复、承包商越权操作与配置错误，这类“非恶意”事件在OT事故中占比极高。

动机决定了攻击者的时间尺度与隐蔽性要求。勒索团伙追求数天内变现，动作快、噪声大；APT组织追求数月甚至数年的驻留，强调低慢小、伪装成正常工程流量。防御方若用同一套检测策略应对两类威胁，必然顾此失彼。

二、APT组织与典型TTP

针对工业环境的APT组织通常具备OT协议理解能力与工程软件知识。其典型TTP包括：通过IT-OT边界跳板机或VPN进入；利用工程站作为跳板连接PLC；滥用合法工程协议（如S7comm、Modbus、OPC UA）下发未授权指令；篡改HMI显示值以掩盖物理异常；在安全仪表系统（SIS）逻辑中植入旁路条件。与IT APT不同，OT APT更关注过程控制逻辑而非文件系统，传统EDR与杀毒软件往往难以发现。

典型组织如Sandworm、XENOTIME、CHERNOVITE等，分别对应电网破坏、SIS安全逻辑攻击与工业控制协议攻击。它们的共同特征是：先侦察、再建立持久化、最后在合适时机触发物理后果。防御重点在于工程站行为基线、PLC逻辑完整性校验与OT网络流量白名单。

三、勒索软件与供应链攻击

勒索软件对OT的威胁并非直接加密PLC，而是瘫痪支撑OT运行的IT基础设施：MES、ERP、历史数据库、备份服务器、域控与远程运维通道。一旦这些系统不可用，生产调度、批次追溯与远程支持中断，工厂被迫停线。更危险的是，部分勒索团伙已开始窃取OT工程文件并威胁公开，形成“双重勒索”。

供应链攻击则从可信通道切入：被污染的工程软件更新、被篡改的固件、被入侵的第三方运维商、被劫持的远程维护VPN。由于OT环境普遍信任“来自供应商的更新”，供应链攻击往往绕过边界防护。典型事件如NotPetya通过乌克兰财务软件更新传播，间接导致全球多家制造企业停产；SolarWinds事件则暴露了IT管理软件供应链的连锁风险。

四、典型事件复盘：从震网到Colonial Pipeline

震网（Stuxnet，2010）是OT攻击的里程碑。它通过U盘与Windows漏洞进入隔离网络，针对西门子S7-300 PLC修改变频器频率，同时向HMI回放正常数据掩盖异常，最终导致离心机损坏。复盘要点：物理隔离不等于安全，工程站与移动介质是薄弱环节；攻击者具备工艺知识，能伪造过程视图。

乌克兰电网事件（2015/2016）展示了APT的协同作战能力：先通过钓鱼获取凭证，再远程操作SCADA下发断电指令，并利用电话呼叫中心阻断用户报修。2016年Industroyer恶意软件直接实现IEC 60870-5-101/104协议攻击，说明协议级攻击工具已成熟。

Colonial Pipeline（2021）是勒索软件影响OT的典型：攻击者通过一个未启用MFA的VPN账号进入IT网络，窃取数据并加密，导致管道主动停运。虽然OT网络未被直接入侵，但IT与OT的业务耦合使IT事件迅速转化为能源供应危机。

五、常见误区与复盘要点

• 误区一：物理隔离就安全。震网证明隔离网络仍可通过介质、供应链与工程站被突破。
• 误区二：OT不需要身份认证。工程协议普遍缺乏认证与加密，攻击者可伪造合法指令。
• 误区三：只防IT边界。第三方运维、无线AP、蜂窝路由与USB是更常见的入口。
• 误区四：备份等于恢复。若备份与生产网络同域、未验证恢复流程，勒索时同样被加密。

综上，OT威胁 landscape 的核心不是“有多少漏洞”，而是谁在攻击、为什么攻击、通过哪条路径、会造成什么物理后果。只有把动机、攻击者、路径与后果串成一条链，才能把有限的防护资源投入到真正决定生产连续性的控制点上。