2. OT与IT的差异

在OT威胁狩猎与事件响应中，最危险的做法之一，是把IT安全中形成的直觉直接套用到工业控制系统上。IT环境追求机密性、完整性和可用性，通常以“先隔离、再排查、后恢复”为响应节奏；而OT环境的核心目标是保障物理生产过程连续、安全、稳定运行。一次误判、一次强制关机、一次错误的网络扫描，都可能造成产线停机、设备损坏甚至人身安全事故。因此，理解OT与IT的差异，是开展威胁狩猎和事件响应的前提。

一、OT环境特点：从“信息资产”到“物理过程”

OT环境由PLC、RTU、DCS、HMI、工程师站、历史数据库、工业交换机、安全仪表系统等组成，它们直接或间接控制阀门、电机、泵、压缩机、机械臂等物理设备。与IT资产相比，OT资产具有明显的“物理耦合”特征：

• 实时性要求高：控制回路通常以毫秒到秒级周期运行，网络抖动或延迟可能直接导致控制失稳。
• 停机成本极高：一次非计划停机可能造成数十万到数百万元损失，甚至影响公共安全。
• 系统封闭且专用：大量使用专有协议、专用硬件和定制操作系统，通用安全工具难以直接部署。
• 变更窗口稀缺：补丁、升级、重启往往需要配合检修计划，不能像IT一样随时进行。
• 人员角色分离：OT工程师关注工艺稳定，IT安全团队关注威胁与漏洞，双方语言和目标存在差异。

二、可用性优先原则：响应顺序与IT相反

IT安全事件响应的经典顺序是“遏制—清除—恢复”，必要时可以断网、关机、重装。但在OT中，可用性优先原则要求我们重新排序：先保生产，再保调查；先隔离影响面，再考虑取证；先确认物理安全，再执行技术操作。

例如，当发现工程师站存在可疑外联时，IT习惯立即拔网线或封禁IP。但在OT中，该工程师站可能正在下载PLC程序或参与关键控制，贸然断网可能导致控制中断。更稳妥的做法是：先通过交换机镜像或防火墙日志确认通信行为，评估是否影响控制回路，再与工艺人员确认可接受的处置窗口，最后选择“限制性阻断”而非“直接断开”。

三、协议差异：OT协议为确定性而生

OT网络大量使用Modbus、DNP3、IEC 60870-5-104、IEC 61850、OPC UA、Profinet、EtherNet/IP、S7comm等协议。它们的设计目标不是安全，而是确定性、实时性和互操作性。与HTTP、TLS等IT协议相比，OT协议通常具有以下差异：

• 缺乏认证与加密：许多协议默认明文传输，命令可被伪造或重放。
• 面向控制而非会话：通信以周期轮询、读写寄存器、遥控命令为主，行为模式固定。
• 协议状态简单：没有复杂的会话协商，异常检测更依赖基线行为而非协议语义。
• 专有扩展多：厂商私有功能码和地址映射普遍，通用解析工具容易误判。

威胁狩猎时，应重点关注“偏离基线的控制命令”。例如，某PLC平时只接受来自HMI的写线圈请求，突然出现来自工程师站的写寄存器操作，即使协议合法，也可能是攻击者在篡改设定值。

# 示例：Modbus TCP 异常写操作狩猎思路
# 正常基线：HMI(10.10.1.20) -> PLC(10.10.2.10) 功能码 05/06
# 异常信号：工程师站(10.10.1.50) -> PLC 功能码 16 (写多个寄存器)
alert modbus_write_multiple_registers
  src_ip != 10.10.1.20
  dst_ip == 10.10.2.10
  threshold: 1 occurrence
  severity: high
  note: "非HMI来源的批量写寄存器，需确认是否为合法变更"

四、资产寿命与网络分区：长期运行与纵深隔离

OT资产寿命通常为10到20年，部分现场设备甚至超过30年。这意味着：操作系统可能早已停止支持，补丁无法安装，硬件备件难以获取，安全能力无法通过升级获得。与此同时，OT网络并非完全扁平，而是通过分区实现纵深防御。

典型的OT网络分区包括：企业区、DMZ、生产控制区、现场设备区、安全仪表区。不同区域之间通过防火墙、数据二极管或单向网关隔离。威胁狩猎时，必须理解数据流向和信任边界，否则容易把正常跨区通信误判为攻击。

对比维度	IT环境	OT环境
首要目标	机密性、完整性、可用性	可用性、完整性、机密性
响应节奏	快速隔离、重启、重装	先保生产，谨慎处置
协议特征	HTTP/TLS，认证加密普遍	Modbus/DNP3，明文且无认证
资产寿命	3～5年	10～20年甚至更长
网络结构	相对扁平，边界模糊	分区隔离，纵深防御
变更窗口	随时可变更	依赖检修计划

五、案例场景：一次“误报”背后的分区认知

某水厂安全团队发现，生产控制区的一台历史数据库服务器持续向企业区某IP发送大量数据。IT团队初步判断为数据外泄，准备立即封禁。但OT工程师指出，这是每日定时向企业区报表系统同步生产数据的正常业务，路径经过DMZ防火墙，属于设计内数据流。若贸然封禁，将导致报表中断，影响调度决策。

复盘发现，问题不在于通信本身，而在于狩猎规则没有结合网络分区和业务基线。正确的做法是：先建立“区域—资产—协议—方向—周期”的通信基线，再对偏离基线的行为进行告警。例如，历史数据库向企业区同步数据是允许的，但若同一服务器突然向现场设备区发起Modbus写操作，则高度可疑。

六、本节要点回顾

• OT环境以物理过程为核心，实时性、停机成本和物理安全优先于信息资产保护。
• 可用性优先原则要求响应动作先评估生产影响，避免直接断网、关机、重启。
• OT协议为确定性设计，普遍缺乏认证加密，狩猎应关注偏离基线的控制命令。
• 资产寿命长、补丁困难，安全策略需接受“无法修复”的现实，转向隔离与监测。
• 网络分区是OT纵深防御的基础，威胁狩猎必须结合区域、方向、协议和业务基线。