工业控制系统基础：ICS/SCADA/DCS/PLC架构、OT与IT网络差异、工业协议及其安全弱点
工业控制系统（ICS）是工业生产的“神经中枢”，其安全评估与IT系统有本质区别。要开展有效的风险评估，首先必须理解ICS的架构分层、设备角色、网络特性以及协议弱点。本章将系统梳理ICS/SCADA/DCS/PLC的核心架构，对比OT与IT网络的差异，并深入剖析Modbus、OPC UA、EtherNet/IP三大主流工业协议的安全弱点，为后续的风险识别与评估打下坚实基础。
2.1 ICS/SCADA/DCS/PLC 架构解析
核心原理：工业控制系统是一个分层递阶的自动化体系，通常可划分为企业层、控制层和现场设备层。理解各层的功能边界与数据流向，是风险评估的第一步。SCADA（数据采集与监控系统）侧重于广域分散设备的远程监控，DCS（分布式控制系统）强调过程控制的实时性与冗余性，PLC（可编程逻辑控制器）则是底层逻辑控制的核心执行单元。
| 系统类型 | 核心定位 | 典型应用场景 | 关键安全特征 |
|---|---|---|---|
| SCADA | 广域数据采集与远程调度 | 电力调度、油气管道、水处理 | 通信依赖广域网，协议暴露面大 |
| DCS | 过程控制与回路调节 | 化工、炼油、制药连续生产 | 控制器冗余，组态变更需严格审计 |
| PLC | 离散逻辑控制与设备联动 | 汽车产线、包装机械、机床 | 固件更新困难，运行逻辑易被篡改 |
判断方法：在风险评估现场，首先应通过“控制层级识别法”确认系统边界。查看网络拓扑图，找到工程师站与PLC之间的连接方式；检查是否存在OPC UA网关或Modbus TCP转串口设备；确认历史数据库是否直接采集控制器数据。这些特征决定了攻击面的大小。
实战场景：在某汽车焊装车间的评估中，我们发现PLC（西门子S7-300）通过CP343-1以太网模块直接连接至车间管理网，未经过任何防火墙。攻击者只需通过办公网扫描到该IP，即可使用Step7软件在线修改PLC程序块。进一步分析发现，PLC与HMI之间使用S7comm协议（未加密），攻击者可离线解析抓包数据，还原整个控制逻辑。
常见误区：许多评估人员将ICS安全等同于“给PLC加密码”。实际上，PLC密码（如S7-1200的访问保护）仅能阻止在线修改，无法防止网络抓包分析、重放攻击或中间人篡改。真正的风险在于网络架构的扁平化——OT与IT未隔离，以及协议本身的明文特性。
2.2 OT与IT网络差异：风险评估的视角
核心原理：OT网络与IT网络在可用性、完整性、机密性的优先级排序上截然不同。IT网络强调数据的机密性和完整性，而OT网络将可用性置于首位——生产线停机一分钟可能造成数十万元损失。这种优先级差异直接决定了安全策略的制定方向。
| 对比维度 | IT网络 | OT网络 | 风险评估影响 |
|---|---|---|---|
| 优先级 | 机密性 > 完整性 > 可用性 | 可用性 > 完整性 > 机密性 | 漏洞修补需考虑停机窗口 |
| 生命周期 | 3-5年技术迭代 | 15-20年稳定运行 | 老旧系统无补丁，需补偿控制 |
| 通信模式 | 请求-响应为主 | 周期性实时IO扫描 | 延迟敏感，安全设备需旁路部署 |
| 安全目标 | 防数据泄露 | 防物理设备损坏/生产事故 | 风险评估需结合功能安全（SIL） |
操作流程：在评估OT网络时，建议采用“三步走”方法。第一步，绘制网络拓扑图，标注所有跨IT/OT边界的连接点；第二步，识别关键控制器（PLC/DCS）的IP地址、固件版本和开放端口；第三步，检查是否存在未受控的远程维护通道（如4G路由器、VPN拨号）。
风险提示：切勿在OT网络中直接使用IT扫描工具（如Nmap的默认配置）进行全端口扫描。某些PLC（如罗克韦尔ControlLogix）对异常流量极为敏感，可能导致处理器停机。建议使用被动流量分析或白名单式扫描策略。
案例拆解：某水处理厂曾部署IDS（入侵检测系统）于OT核心交换机，但误报率极高。原因是OT网络中的周期性广播报文（如EtherNet/IP的CIP Safety）被IDS误判为扫描攻击。复盘发现，该IDS的规则库基于IT威胁特征，未针对工业协议进行定制。最终方案是更换为支持深度协议解析的工业防火墙，并配置白名单策略，误报率降至1%以下。
2.3 工业协议安全弱点深度剖析
核心原理：工业协议的设计初衷是保证实时性和可靠性，而非安全性。Modbus、OPC UA、EtherNet/IP三大协议代表了不同代际的工业通信技术，其安全弱点各有侧重。理解这些弱点，是评估漏洞可利用性的基础。
2.3.1 Modbus协议弱点
Modbus是应用最广泛的工业协议，其TCP版本（端口502）几乎无任何安全机制。功能码03（读保持寄存器）和06（写单个寄存器）可被任意调用，无需认证。攻击者只需构造简单的TCP报文，即可读取或篡改PLC的寄存器值。
# 攻击者使用Python构造Modbus TCP写请求（功能码06）
import socket
s = socket.socket()
s.connect(("192.168.1.10", 502))
# 事务ID(2字节) + 协议ID(2字节) + 长度(2字节) + 单元ID(1字节) + 功能码(1字节) + 地址(2字节) + 值(2字节)
payload = b"\x00\x01\x00\x00\x00\x06\x01\x06\x00\x01\x00\x00"
s.send(payload)
response = s.recv(1024)
print("写入成功，响应:", response.hex())实战场景：在某风电场评估中，我们通过Shodan搜索发现一台暴露在公网的Modbus网关（端口502）。利用功能码03读取了所有风力发电机的实时功率数据，进一步尝试写入功能码06，成功将一台发电机的功率设定值改为0，导致该机组停机。整个过程仅需5行Python代码，无需任何认证。
2.3.2 OPC UA协议弱点
OPC UA是新一代工业通信标准，支持加密和认证，但实际部署中常因配置不当而失效。常见弱点包括：安全策略设置为None（无加密）、证书验证被禁用、会话超时设置过长等。攻击者可利用这些配置缺陷实施中间人攻击或会话劫持。
| 弱点类型 | 攻击方式 | 实际影响 | 评估检测方法 |
|---|---|---|---|
| 安全策略为None | 明文抓包获取凭据 | 完全控制OPC UA服务器 | 检查服务器端点配置 |
| 证书验证禁用 | 伪造客户端证书 | 数据篡改/恶意写入 | 尝试自签名证书连接 |
| 会话超时过长 | 会话固定攻击 | 持续未授权访问 | 检查会话管理策略 |
经验提醒：评估OPC UA时，应优先检查UA Expert等工具能否以“无安全策略”模式连接。如果成功，说明服务器允许明文通信，攻击者可轻易获取所有过程数据。建议在评估报告中明确标注此风险等级为“高”。
2.3.3 EtherNet/IP协议弱点
EtherNet/IP基于CIP（通用工业协议），使用TCP/UDP 44818端口和UDP 2222端口（IO报文）。其弱点在于CIP协议本身缺乏认证机制，且IO报文使用组播传输，攻击者可加入组播组窃听或注入虚假数据。
判断方法：使用Wireshark抓取EtherNet/IP流量，检查是否存在未加密的CIP指令。重点观察“List Identity”响应——该指令会暴露设备厂商、产品类型、固件版本等信息，是攻击者侦察的第一步。若发现设备响应此指令，说明其配置为“允许未授权访问”。
案例拆解：某食品饮料厂使用罗克韦尔CompactLogix PLC，通过EtherNet/IP与变频器通信。评估中发现，PLC的“允许运行模式更改”属性被设置为“是”，攻击者可通过发送CIP“ForwardOpen”指令建立显式连接，然后发送“Reset”指令导致变频器重启。我们通过搭建测试环境复现了该攻击，确认了风险。最终建议将PLC的通信属性改为“仅监视”，并启用CIP安全选项。
常见误区：许多工程师认为“工业协议只要跑在专网里就安全”。实际上，OT网络中的横向移动（如通过受感染的HMI跳板攻击PLC）是常见攻击路径。协议本身的明文特性使得攻击者一旦进入OT网络，即可轻松实施深度攻击。
2.4 协议安全评估的实操要点
操作流程：在评估工业协议安全时，建议按以下步骤执行：
- 资产识别：使用被动监听（如Zeek + ICS插件）识别网络中的协议类型和端点。
- 配置审计：检查PLC/网关的协议配置，重点关注认证、加密、白名单设置。
- 漏洞验证：在测试环境复现已知漏洞（如Modbus功能码滥用），确认可利用性。
- 风险量化：结合CVSS评分和业务影响，确定风险等级。
风险提示：在真实生产环境中验证协议漏洞时，必须获得书面授权，并制定回退方案。建议先在离线仿真环境（如使用CODESYS软PLC）中测试，确认无副作用后再在低风险时段进行。
总结复盘：工业协议的安全弱点本质上是“设计缺陷”与“配置缺陷”的叠加。Modbus的缺陷在于协议本身无安全机制，OPC UA的缺陷在于安全功能未默认启用，EtherNet/IP的缺陷在于CIP的开放性和组播特性。风险评估应结合协议版本、设备厂商、实际配置三个维度综合判断，避免仅凭协议名称就断定风险高低。