3. OT资产类型与层级

在OT资产发现与攻击面管理中，第一步不是扫描，而是建立“资产类型—层级—作用”的认知地图。OT环境与IT环境最大的区别在于：资产不是按“服务器/终端/网络设备”分类，而是按物理过程控制链分层。一个温度变送器、一台PLC、一套DCS、一个历史数据库，它们处在不同的控制层级，承担不同的实时性、可用性和安全责任。只有先理解这些层级，才能判断哪些资产可以被主动探测、哪些只能被动监听、哪些一旦被扫描就可能导致停机。

一、OT资产的分层模型：从现场到企业

参考ISA-95与Purdue模型，OT资产通常划分为以下层级。理解这张层级图，是后续资产发现、流量镜像、被动指纹识别和攻击面建模的基础。

二、核心资产类型与作用详解

下面按资产类型逐一说明其在OT环境中的角色、典型协议和资产发现时的关注点。

三、资产发现的方法流程

OT资产发现不能照搬IT的“全网段扫描”。推荐采用“先被动、后主动、再核对”的三阶段流程：

1. 被动流量监听：在核心交换机镜像口或SPAN口捕获工控协议流量，识别PLC、RTU、HMI、SCADA之间的通信关系。此阶段不发送任何报文，对生产零影响。
2. 主动探测（受控）：仅对已确认的非关键网段、维护窗口内的资产进行轻量探测。优先使用厂商提供的诊断接口或SNMP只读查询，避免使用高并发扫描。
3. 台账核对与补全：将被动识别结果与现有资产台账、图纸、P&ID、网络拓扑进行比对，补全缺失的现场设备和工程站信息。

# 被动监听示例：使用 tcpdump 捕获 Modbus 流量（只读，不发送）
tcpdump -i eth1 -nn port 502 -w modbus_capture.pcap

# 使用 Zeek 解析工控协议日志
zeek -r modbus_capture.pcap /usr/local/zeek/share/zeek/policy/protocols/modbus

# 查看识别到的 Modbus 主从关系
cat modbus.log | zeek-cut id.orig_h id.resp_h func

四、典型场景：某化工厂DCS资产梳理

某化工厂在攻击面梳理前，只知道“有一套DCS”，但说不清具体资产数量和边界。通过部署被动流量探针，在DCS控制网镜像口监听72小时，识别出：

• 控制器6对（主备冗余），运行专有协议，IP地址集中在10.10.1.0/24；
• 操作站HMI 12台，其中3台同时安装了工程组态软件，属于“HMI+工程站”双重角色；
• 历史数据库1台，通过OPC DA与控制器通信，同时开放SQL端口；
• 发现2台未登记的工程师笔记本，曾在夜间接入控制网，存在违规下装风险。

这次梳理的关键结论是：工程站和临时接入的笔记本是OT攻击面中最容易被忽视的资产。它们通常不在固定台账中，却拥有下装、修改逻辑的高权限。

五、常见误区与复盘

• 误区二：只关注IP资产，忽略串口和现场总线设备。大量RTU、IED通过RS-485、Profibus接入，不占用IP，但同样是攻击面的一部分。
• 误区三：认为历史数据库“只是存数据”，风险低。历史数据库往往保存多年工艺参数，一旦被篡改，会影响批次追溯和审计合规。
• 误区四：把HMI和工程站混为一谈。HMI面向操作员，权限受限；工程站面向工程师，可修改逻辑和组态，必须单独识别、单独管控。

复盘建议：每次资产发现后，输出一份“层级—类型—协议—责任人—发现方式”的五维清单，并标注哪些资产允许主动探测、哪些只能被动监听。这份清单就是后续攻击面管理的基础底账。