2. OT与IT的差异

在OT资产发现与攻击面管理工作中，最容易被忽视、也最容易导致误判的，是把IT的安全思维直接套用到OT环境。OT（Operational Technology）面向的是物理过程的测量、控制与执行，IT面向的是信息的存储、处理与传输。两者在目标、约束、设备生命周期和安全优先级上存在根本差异。理解这些差异，是后续资产识别、协议解析、风险评估和处置策略设计的前提。

一、OT系统的核心特点

OT系统通常由现场仪表、执行机构、PLC、RTU、DCS控制器、HMI、工程师站、历史数据库和工业网络设备构成。它的第一目标是保障物理过程的连续、稳定与安全，而不是数据保密或办公效率。由此衍生出几个鲜明特点：

• 可用性优先：停机可能意味着停产、设备损坏甚至人身伤害，因此系统设计以“不停”为最高原则。
• 确定性实时：控制指令必须在确定的时间窗口内到达，延迟抖动可能直接导致控制失稳。
• 长生命周期：PLC、DCS等设备往往运行10～20年，操作系统老旧、补丁难以随意安装。
• 专用协议：Modbus、PROFINET、EtherNet/IP、OPC UA、IEC 60870-5-104、DNP3等协议以过程数据为中心，安全机制薄弱。
• 物理耦合：网络中的一次写操作可能直接改变阀门开度、电机转速或断路器状态。

二、工业控制协议与实时性要求

工业协议大多诞生于封闭专网时代，强调简单、高效、实时，而非加密与认证。例如Modbus TCP没有身份认证，任何能访问502端口的节点都可以读写寄存器；PROFINET和EtherNet/IP依赖工业以太网的实时通道；OPC UA虽然具备较强的安全模型，但现场大量部署的仍是早期无安全配置的版本。

实时性要求进一步限制了安全手段。IT中常见的深度包检测、代理转发、TLS握手、频繁扫描，在OT中可能引入毫秒级甚至更大的抖动。对于运动控制、电力保护、化工联锁等场景，几毫秒的延迟就可能触发误动作。因此，OT资产发现通常优先采用被动流量分析，而不是主动扫描；必须主动探测时，也要严格限制并发、速率和时间窗口。

典型OT协议与端口示例：
Modbus TCP        502/tcp
EtherNet/IP       44818/tcp, 2222/udp
PROFINET          34962-34964/udp
IEC 60870-5-104   2404/tcp
DNP3              20000/tcp, 20000/udp
OPC UA            4840/tcp
S7comm            102/tcp

三、OT与IT差异对比

四、可用性优先原则对安全管理的影响

可用性优先不是一句口号，它直接改变了安全管理的动作顺序和工具选择。在IT中，发现漏洞后通常尽快打补丁；在OT中，补丁必须先经过实验室验证、厂商确认、停机窗口审批，甚至可能因为无法停机而长期采用补偿控制。在IT中，扫描器可以全速遍历网段；在OT中，一次不当扫描可能导致PLC通信超时、HMI画面卡死，甚至触发保护动作。

因此，OT攻击面管理更强调以下策略：

1. 先看清，再动手：通过镜像端口、TAP或SPAN采集流量，建立资产台账和通信基线。
2. 最小化主动探测：仅在维护窗口对非关键网段进行低速、低并发探测。
3. 分区隔离：用工业防火墙或DMZ划分控制区、监控区和管理区，限制横向移动。
4. 补偿控制：对无法修补的老旧设备，通过访问控制、白名单和流量审计降低风险。
5. 变更管控：任何安全策略调整都要评估对实时性和生产连续性的影响。

五、典型场景与常见误区

某化工厂曾使用IT漏洞扫描器对DCS网络进行全端口扫描，结果导致多台HMI与控制器通信中断，操作员无法查看关键参数，被迫紧急切换手动控制。事后复盘发现，扫描器的高并发SYN包超出了老旧控制器的连接处理能力。这个案例说明：在OT中，工具的正确性不等于使用的安全性。

常见误区包括：把OT资产当成普通IT主机管理；认为“内网隔离就不需要安全”；忽视协议本身的无认证特性；在未评估实时性影响的情况下部署安全代理；以及只关注已知漏洞，却忽略非法写入和异常控制指令。更合理的做法是，把OT攻击面管理建立在资产可见、通信可测、行为可基、变更可控四个支点上。

总结来看，OT与IT的差异不是简单的“环境不同”，而是安全目标排序、技术约束和操作方式的系统性差异。只有把可用性优先、实时性约束和工业协议特性纳入资产发现与攻击面管理的每一步，才能既看清风险，又不伤害生产。