4. OT常见威胁
OT威胁狩猎不能只盯着“有没有病毒”，而要先建立威胁全景：谁在攻击、从哪条路径进来、想破坏什么、会造成什么后果。与IT环境相比，OT威胁的最终目标往往不是窃取数据，而是让产线停机、阀门失控、保护失效或安全仪表系统（SIS）被旁路。因此，理解常见威胁类型及其在OT中的落地方式，是后续狩猎假设、检测规则和响应预案的起点。
一、五类威胁的OT画像
下面这张关系图把五类威胁与OT典型入口、攻击目标和可观测信号放在同一张图上，便于在狩猎时快速定位“该看哪里”。
二、勒索软件：从“加密文件”到“停线要价”
OT勒索软件的典型路径是：先通过IT侧钓鱼或暴露的远程桌面进入，再借助共享目录、跳板机或工程站横向移动到OT。进入OT后，攻击者不一定加密PLC程序，而是加密HMI、历史库、工程站和备份服务器，让操作员“看不见、控不了、恢复慢”。更危险的是双重勒索：先窃取工艺图纸、配方和运行数据，再加密并威胁公开。
狩猎时应重点关注：非计划停机前后的异常登录、批量文件重命名、备份服务被删除、工程站出现陌生进程、以及HMI与PLC通信突然中断。下面是一段典型的异常日志线索：
Event: 4624 登录类型10（远程交互）
User: ENGINEER01
Source: 10.20.30.41 → 10.50.10.12（工程站）
Time: 02:13:07（非检修窗口）
Event: 4688 新进程
Process: vssadmin.exe delete shadows /all /quiet
Parent: cmd.exe
Host: SCADA-HMI-02三、供应链攻击与内部威胁：信任被滥用
供应链攻击利用的是“合法更新、合法远程支持、合法备件”这条信任链。攻击者可能篡改PLC固件、工程软件安装包、OPC服务器组件，或伪装成供应商远程运维人员接入。内部威胁则来自拥有权限的人：误下装错误逻辑、越权修改联锁、离职人员保留账号、承包商私接设备。两者共同点是“看起来合法”，因此不能只靠黑名单，而要靠基线比对和行为异常。
| 威胁类型 | 典型入口 | 关键狩猎信号 | 优先响应动作 |
|---|---|---|---|
| 勒索软件 | IT横向、远程桌面、U盘 | 批量加密、备份删除、HMI失联 | 隔离网段、保留内存镜像、启用离线备份 |
| 供应链攻击 | 固件更新、远程支持、第三方软件 | 固件哈希变化、异常外联、非计划下装 | 暂停更新通道、核验签名、回滚固件 |
| 内部威胁 | 工程站、账号、调试口 | 越权下装、联锁旁路、非工作时间操作 | 冻结账号、双人复核、审计变更记录 |
| APT组织 | 钓鱼、0day、供应链 | 长期低频外联、隐蔽隧道、定向探测 | 长期监控、威胁情报比对、分段遏制 |
| 物理破坏与协议滥用 | 现场网络、串口、无线 | 伪造Modbus写、异常广播、门禁异常 | 物理隔离、协议白名单、现场核查 |
四、APT组织与协议滥用：精准与隐蔽
APT组织针对OT通常有明确目标：电网、水务、石化、制造关键产线。它们会长期潜伏，先摸清网络拓扑、PLC型号、SIS逻辑，再在关键时刻发起破坏。协议滥用则是APT或内部人员常用的“最后一公里”：直接利用Modbus、DNP3、S7等协议缺乏认证的弱点，伪造主站指令写线圈、改设定值、停泵或关闭阀门。由于这些操作在协议层“完全合法”，传统防火墙很难识别。
五、案例与复盘：一次“合法”下装引发的停线
某水厂凌晨发生加药泵异常停机。调查发现，攻击者先通过供应商VPN进入工程站，利用窃取的工程师账号在凌晨2点下装修改后的PLC逻辑，将加药泵联锁条件改为“液位低时停泵”，随后删除工程站日志。由于下装使用的是合法账号和合法工程软件，初期告警未触发。复盘发现三个缺口：一是供应商远程会话未做二次审批；二是PLC逻辑变更未与基线比对；三是SIS旁路未记录。改进措施包括：远程运维强制双人授权、下装前后自动哈希比对、SIS旁路必须触发工单和告警。
综上，OT威胁狩猎要把勒索软件、供应链攻击、内部威胁、APT和协议滥用放在同一张攻击面上理解：它们可能单独出现，也可能组合使用。只有把资产基线、协议基线、账号基线和物理基线同时建立起来，才能在“看似正常”的OT流量和操作中，识别出真正危险的偏离。