1. 课程导入
在工业互联网、智能制造与关键信息基础设施持续融合的背景下，OT（Operational Technology，运营技术）网络正从封闭走向互联。PLC、DCS、SCADA、RTU、HMI、工业交换机、边缘网关等设备一旦暴露在可被探测、可被访问的路径上，就会形成可被利用的攻击面。OT资产发现与攻击面管理，正是围绕“看清资产、识别暴露、评估风险、持续收敛”建立的一套工程化方法。
本节核心问题：OT资产发现与攻击面管理到底解决什么问题？它和传统IT资产管理、漏洞扫描、态势感知有什么区别？学习完本课程后，你应具备哪些可落地能力？
一、核心定义：从“资产台账”到“攻击面收敛”
OT资产发现，是指通过主动探测、被动流量分析、协议识别、设备指纹、配置采集、资产导入与人工核验等手段，识别OT网络中存在的设备、系统、服务、端口、协议、固件版本、拓扑关系与业务归属，并形成可持续更新的资产台账。它回答的是“有什么、在哪里、谁负责、运行状态如何”。
攻击面管理（ASM，Attack Surface Management），是在资产发现基础上，进一步识别资产暴露面、脆弱性、错误配置、信任关系、可达路径与攻击链风险，并通过优先级排序、修复验证与持续监测，收敛可被攻击者利用的入口。它回答的是“哪里可能被攻破、先处理什么、处理后是否真正收敛”。
在OT场景中，两者不是割裂的：资产发现是攻击面管理的输入，攻击面管理是资产发现的业务目标。没有资产发现，攻击面管理就是空中楼阁；没有攻击面管理，资产发现就退化为静态表格。
二、OT与IT资产管理的差异：为什么不能照搬IT方案
OT网络具有协议多样、设备生命周期长、可用性优先、变更窗口严格、现场分布广等特点。传统IT扫描器在OT网络中可能造成PLC停机、控制器误动作或网络拥塞，因此不能简单套用。下表对比了IT与OT资产发现的关键差异。
| 维度 | IT资产发现 | OT资产发现 |
|---|---|---|
| 首要目标 | 安全合规与漏洞管理 | 生产连续性与安全并重 |
| 探测方式 | 主动扫描为主 | 被动流量优先，主动探测需审批 |
| 协议对象 | TCP/IP、HTTP、SSH等 | Modbus、S7、DNP3、OPC UA、EtherNet/IP等 |
| 设备特征 | 更新快、标准化程度高 | 生命周期长、型号杂、固件旧 |
| 变更窗口 | 相对灵活 | 需避开生产高峰与检修窗口 |
| 风险后果 | 数据泄露、服务中断 | 物理过程失控、停产、安全事故 |
三、方法流程：从发现到收敛的闭环
一个可落地的OT资产发现与攻击面管理流程，通常包含六个阶段：范围界定、数据采集、资产建模、暴露分析、风险排序、修复验证。每个阶段都需要与生产、运维、安全团队协同。
- 范围界定：明确要覆盖的厂区、车间、产线、控制域与网络边界，确定采集方式与变更窗口。
- 数据采集：通过SPAN镜像、TAP分流、防火墙日志、工业协议深度解析、资产导入等方式获取原始数据。
- 资产建模：将流量与日志归一化为设备、服务、端口、协议、拓扑、责任人等资产属性。
- 暴露分析：识别互联网暴露、跨域可达、弱口令、默认配置、未授权访问与高危端口。
- 风险排序：结合业务重要性、利用难度、影响范围与修复成本，确定处置优先级。
- 修复验证：通过复测、流量复核与配置核查，确认攻击面是否真正收敛。
四、典型场景：从“未知资产”到“可管可控”
某汽车零部件工厂在推进等保与工控安全项目时，发现车间网络中存在大量未登记设备：既有老旧的西门子S7-300 PLC，也有新接入的视觉检测工控机与无线AP。安全团队最初采用IT扫描器进行全网段扫描，导致一条产线PLC通信异常，被迫停机检修。
复盘后，团队调整为“被动优先、主动审批”的策略：
# 被动采集示例：通过SPAN镜像捕获Modbus流量
tcpdump -i eth1 -w ot_modbus.pcap 'tcp port 502'
# 使用工业协议解析工具提取资产指纹
tshark -r ot_modbus.pcap -Y "modbus" -T fields \
-e ip.src -e ip.dst -e modbus.func_code -e modbus.unit_id
# 输出示例
192.168.10.21 192.168.10.50 3 1
192.168.10.22 192.168.10.50 16 2
192.168.10.23 192.168.10.51 1 1通过上述方式，团队在不影响生产的前提下识别出37台未登记设备、12个高危开放端口与5条跨域可达路径，并据此建立资产台账与攻击面清单。随后按“先隔离、再修复、后验证”的顺序，优先处置了暴露在办公网的PLC调试端口。
经验提示：OT资产发现的第一原则是“不干扰生产”。任何主动探测都应经过变更审批，并优先选择被动流量分析、设备导入、配置备份解析等低风险手段。
五、常见误区与复盘要点
- 误区一：把资产发现当成一次性项目。OT网络会因技改、检修、临时接入而持续变化，资产台账必须持续更新。
- 误区二：只关注IP和端口，忽略协议与业务语义。Modbus功能码、S7机架槽号、OPC UA节点等才是OT资产的关键指纹。
- 误区三：用IT扫描器直接扫OT网段。可能造成控制器宕机、网络风暴或生产事故。
- 误区四：发现资产后不闭环。没有责任人、没有修复验证、没有复测，攻击面依然存在。
- 误区五：只做技术发现，不做管理协同。OT资产发现需要生产、运维、安全、厂商多方配合。
复盘要点：每次资产发现或攻击面收敛后，应记录“发现方式、影响范围、处置动作、验证结果、遗留风险”，形成可追溯的运营记录，而不是只更新一张表格。
六、学习目标与课程框架
完成本课程后，你应能够：
- 解释OT资产发现与攻击面管理的定义、边界与业务价值。
- 识别常见工业协议与设备指纹，选择合适的采集方式。
- 使用被动流量、日志、配置与导入手段建立OT资产台账。
- 分析暴露面、脆弱性与可达路径，完成风险排序。
- 制定修复验证与持续监测方案，推动攻击面收敛。
- 结合等保、关基保护与行业规范，形成可落地的运营流程。
课程整体按“基础认知—技术方法—工具实操—场景案例—运营体系”递进展开。第1章建立全局认知与学习路径；后续章节将逐步深入协议解析、资产发现工具、攻击面建模、风险排序、修复验证与持续运营。学习时建议结合真实或仿真OT网络环境，边学边练，把每一节的输出物沉淀为资产台账、暴露清单与处置记录。
OT资产发现与攻击面管理不是一次扫描、一份报告，而是一项持续运营能力。它的价值在于让不可见的OT资产变得可见，让可见的暴露面变得可控，让可控的风险持续收敛。掌握这条主线，后续每一章的技术细节都会落在同一个目标上：在保障生产连续性的前提下，把攻击面压到最小。