1. 课程导入
在IT世界里，安全团队已经习惯了EDR、SIEM、威胁情报平台和自动化编排。但当安全事件发生在工厂车间、变电站、水厂或油气管道时，规则会彻底改变。OT（Operational Technology，运营技术）环境的首要目标是可用性、确定性与人身安全，而不是数据机密性。一次误判导致的产线停机，可能比一次数据泄露造成更直接的物理和经济损失。因此，OT威胁狩猎与事件响应不是把IT方法照搬过来，而是需要一套理解工业控制逻辑、协议语义与物理过程的专门方法。
本课程的目标，是帮助安全从业者、工控运维人员和应急响应人员建立一套完整的OT安全运营能力：既能主动狩猎潜伏威胁，也能在事件发生时快速定位、隔离、恢复并复盘。下面从学习目标、核心概念、整体框架和学习路径四个层面展开。
一、学习目标：从被动告警到主动狩猎
完成本课程后，学习者应能达成以下能力目标：
- 理解OT环境特性：掌握PLC、RTU、HMI、SCADA、DCS、 historians等组件的角色，理解 Purdue 模型分层与IT/OT边界。
- 识别OT威胁面：能分析针对工业协议的攻击路径，包括Modbus、DNP3、OPC UA、S7comm、EtherNet/IP等。
- 构建狩猎假设：基于ATT&CK for ICS战术矩阵，提出可验证的威胁假设并设计检测逻辑。
- 执行事件响应：在不停产或最小影响前提下，完成遏制、取证、根除与恢复。
- 形成闭环改进：通过复盘将狩猎发现转化为检测规则、架构加固和应急预案。
二、核心概念：OT威胁狩猎与事件响应的基本语汇
在进入具体技术之前，需要先统一几个关键概念。
OT威胁狩猎是指在没有明确告警的情况下，主动假设攻击者已存在于OT网络中，通过日志、流量、资产配置和物理过程数据寻找异常证据。它强调“假设驱动”，而非“告警驱动”。
OT事件响应则是在确认或高度怀疑安全事件后，按照预案进行遏制、取证、根除和恢复的过程。OT响应的最大约束是：不能随意重启设备、不能随意断开关键链路、不能破坏安全仪表系统（SIS）。
Purdue模型是理解OT网络分层的基础。Level 0是物理过程，Level 1是控制器，Level 2是监控与HMI，Level 3是站点运营，Level 3.5是DMZ，Level 4/5是企业IT与云。威胁狩猎和响应必须明确“当前操作发生在哪一层”。
ATT&CK for ICS提供了针对工业控制系统的战术与技术分类，是狩猎假设和检测覆盖度评估的通用语言。
三、整体框架：四层能力模型
上图展示了本课程的整体框架，它由四个层次构成，形成从认知到行动再到改进的闭环。
基础认知层解决“我面对的是什么”。包括资产清单、网络拓扑、协议语义、Purdue分层和物理过程约束。没有这一层，狩猎假设就是空中楼阁。
威胁狩猎层解决“攻击者可能在哪里”。以ATT&CK for ICS为参考，提出假设、采集数据、检测关联、验证定性，最终输出可行动的线索。
事件响应层解决“出事了怎么办”。强调准备、识别、遏制、取证、根除、恢复和复盘，每一步都必须考虑对物理过程的影响。
持续运营闭环解决“如何越做越好”。将狩猎和响应中的发现转化为检测规则、架构加固、预案更新和人员培训。
四、方法流程：一次典型OT狩猎与响应联动
下面用一个简化场景说明狩猎与响应如何衔接。假设某水厂SCADA网络中出现异常工程站登录。
# 狩猎假设
假设：攻击者可能通过工程站向PLC下发未授权的逻辑修改。
# 数据源
- 工程站Windows安全日志（4624/4688）
- PLC配置变更日志
- Modbus/TCP写功能码流量（FC5/FC6/FC15/FC16）
- 网络流量基线（NetFlow/SPAN）
# 检测逻辑（伪代码）
IF 工程站登录来源IP不在白名单
AND 随后5分钟出现PLC写操作
AND 写操作目标寄存器不在日常工艺范围
THEN 生成高优先级狩猎线索
# 响应动作
1. 确认物理过程是否仍安全
2. 在交换机层面对异常工程站做端口隔离
3. 保存PLC当前程序与内存镜像
4. 与工艺工程师确认是否需要回滚
5. 恢复后持续监控同一路径这个流程体现了OT响应的核心原则：先确认物理安全，再谈网络隔离；先保存证据，再谈恢复。
五、案例/场景：为什么IT方法直接套用会失败
某制造企业曾将IT的EDR策略直接推送到OT网络。结果EDR agent在PLC编程终端上触发了一次强制重启，导致产线停机40分钟。事后复盘发现，该终端运行着老旧的Windows Embedded系统，且与PLC保持长连接。EDR的自动隔离动作切断了连接，PLC进入故障安全状态。
这个案例说明：OT环境中的任何安全动作都必须经过物理影响评估。狩猎可以主动，但响应必须受控。正确的做法是先在DMZ或镜像流量中完成检测，再通过变更管理流程实施处置。
六、学习路径与章节安排
本课程共30章，建议按以下路径推进：
| 阶段 | 章节范围 | 核心任务 | 产出 |
|---|---|---|---|
| 基础篇 | 第1-6章 | 理解OT架构、协议、资产与威胁面 | 资产清单、网络分区图 |
| 狩猎篇 | 第7-15章 | 掌握ATT&CK for ICS、数据源、检测假设与分析方法 | 狩猎手册、检测规则集 |
| 响应篇 | 第16-24章 | 学习准备、遏制、取证、根除、恢复与沟通 | OT应急预案、响应剧本 |
| 运营篇 | 第25-30章 | 建立持续监控、复盘改进与团队能力体系 | 运营指标、改进路线图 |
学习过程中，建议始终带着三个问题：这个对象在Purdue哪一层？它的异常会影响什么物理过程？我的动作会不会造成停机？把这三个问题变成习惯，OT威胁狩猎与事件响应就不再是IT方法的简单移植，而是一套真正适配工业环境的安全能力。