4. OT网络架构与分区
在OT资产发现与攻击面管理中，网络架构决定了“资产在哪里、谁能访问谁、流量应该走哪条路”。如果网络是扁平的一张网，扫描器可以轻易从办公网摸到PLC，攻击者一旦进入IT侧就能横向移动到生产控制区。因此，理解Purdue模型、IEC 62443分区与管道、DMZ以及工业防火墙的隔离设计，是后续资产测绘、暴露面收敛和访问关系建模的基础。
一、Purdue模型：OT网络的层级参照
Purdue模型是工业控制系统网络分层的经典参考，它把从现场设备到企业IT划分为多个层级，帮助安全人员判断资产归属和通信边界。
| 层级 | 名称 | 典型资产 | 安全关注点 |
|---|---|---|---|
| Level 0 | 现场设备层 | 传感器、执行器、变送器 | 物理安全、信号完整性 |
| Level 1 | 基本控制层 | PLC、RTU、安全仪表系统 | 控制逻辑、固件、串口/现场总线 |
| Level 2 | 监督控制层 | SCADA、HMI、工程师站 | 人机交互、组态、实时监控 |
| Level 3 | 生产管理层 | 历史库、MES、资产管理系统 | 生产数据、批次、工单 |
| Level 3.5 | 工业DMZ | 数据代理、跳板机、镜像库 | IT与OT之间的缓冲隔离 |
| Level 4/5 | 企业IT层 | ERP、邮件、办公终端、云服务 | 身份、互联网暴露、横向移动 |
Purdue模型的价值在于“分层”和“边界”。资产发现时，我们应把每个资产标注到对应层级，并记录它是否跨越层级通信。例如，一台工程师站位于Level 2，却直接访问Level 4的数据库，这就是异常路径，可能成为攻击面。
二、IEC 62443分区与管道：从层级到安全域
IEC 62443在Purdue模型基础上进一步提出“分区（Zone）”和“管道（Conduit）”概念。分区是一组具有相同安全需求的资产集合，管道是分区之间允许通信的受控通道。分区不是简单按楼层或部门划分，而是按功能、信任级别和通信需求划分。
例如，一条包装产线可以划分为“包装控制分区”，包含该产线的PLC、HMI和变频器；该分区与“工厂历史分区”之间只允许通过一个OPC UA管道传输生产数据。这样，即使包装控制分区内某台HMI被感染，攻击者也不能直接访问历史库或其他产线。
分区设计三原则：
- 同分区资产具有相似安全等级和业务功能；
- 分区之间默认拒绝，仅开放必要管道；
- 管道需明确协议、端口、方向、源和目的，并可审计。
三、工业DMZ：IT与OT之间的缓冲带
工业DMZ通常位于Purdue Level 3.5，是IT和OT之间的隔离缓冲区。它的核心思想是：不允许IT侧直接访问OT控制区，也不允许OT控制区直接访问互联网或企业ERP。双方只能与DMZ中的代理、镜像或跳板机交互。
常见DMZ组件包括：
- 数据代理服务器：从历史库采集数据，再以只读方式提供给IT侧；
- 补丁与杀毒更新服务器：OT侧终端从DMZ获取更新，而不是直接连互联网；
- 远程访问跳板机：外部运维人员先接入DMZ，再经审批进入OT；
- 日志与流量镜像库：集中收集OT侧日志，供安全分析使用。
在资产发现中，DMZ往往是“暴露面最集中”的区域。我们需要重点识别DMZ中哪些资产同时连接IT和OT，哪些端口对两侧开放，以及是否存在绕过DMZ的直连路径。
四、工业防火墙与网络隔离设计
工业防火墙与普通IT防火墙的差异在于：它需要支持工业协议深度解析，如Modbus、OPC UA、S7、EtherNet/IP等，并能识别协议功能码和寄存器读写操作。网络隔离设计则是在分区和管道基础上，通过防火墙、VLAN、ACL、单向网关等技术实现访问控制。
# 示例：工业防火墙策略片段（伪配置）
zone OT_CONTROL 10.10.20.0/24
zone OT_DMZ 10.10.30.0/24
zone IT_CORP 10.10.40.0/24
rule allow OT_CONTROL -> OT_DMZ tcp 4840 # OPC UA 只读采集
rule allow OT_DMZ -> IT_CORP tcp 443 # 数据代理上传
rule deny IT_CORP -> OT_CONTROL any # IT 禁止直连控制区
rule deny OT_CONTROL -> IT_CORP any # 控制区禁止直连企业网
隔离设计还要考虑“南北向”和“东西向”流量。南北向是层级之间的通信，如Level 2到Level 3；东西向是同一层级内不同分区之间的通信，如两条产线之间的PLC通信。很多OT网络只关注南北向防火墙，却忽略了东西向横向移动风险。
五、场景案例：从扁平网络到分区隔离
某水厂原有网络为一个大二层网络，办公电脑、SCADA服务器、PLC和摄像头都在同一网段。资产扫描时发现，办公区一台普通PC可以直接访问PLC的502端口。攻击面评估认为，一旦办公PC被钓鱼，攻击者可直接对PLC发起写操作。
改造方案如下：
- 按Purdue模型重新划分VLAN：办公区、SCADA区、PLC区、DMZ区；
- 在SCADA区与PLC区之间部署工业防火墙，仅允许SCADA对PLC的特定功能码读写；
- 在SCADA区与企业办公区之间建立工业DMZ，历史数据经代理单向传输；
- 关闭PLC区到办公区的所有路由，禁止跨区直连；
- 对DMZ中的代理服务器进行资产测绘，确认无多余端口暴露。
改造后，办公PC无法直接访问PLC，攻击者必须突破DMZ和工业防火墙两层边界，攻击面显著收敛。
六、常见误区与复盘
误区一：把Purdue层级当成物理位置。层级是逻辑安全边界，不是楼层。同一机柜内可能同时存在Level 1和Level 2资产，仍需逻辑隔离。
误区二：只画分区不定义管道。分区之间如果没有明确管道，运维人员会临时开通“全通”规则，导致隔离失效。
误区三：DMZ只做数据代理，不做访问控制。DMZ资产本身也可能被攻陷，必须限制其到OT侧的连接。
误区四：忽略东西向流量。同一层级内不同分区之间的通信，往往是横向移动的捷径。
复盘时，建议把每个分区、管道、防火墙策略与资产发现结果关联起来：哪些资产属于哪个分区，哪些管道实际存在流量，哪些策略与流量不符。只有把架构图、流量图和资产清单三者对齐，OT攻击面管理才有可靠基础。