3、风险评估基础概念：资产、威胁、脆弱性、风险、残余风险、风险接受准则，以及风险计算模型（如CVSS、DREAD）
工业网络安全风险评估的起点，是建立一套统一、可沟通、可复用的概念框架。与IT网络不同，工业控制系统（ICS）的风险评估必须同时考虑物理过程、控制逻辑、通信协议和人员操作，任何单一维度的分析都可能导致评估失真。本章将围绕风险评估的六大核心概念——资产、威胁、脆弱性、风险、残余风险、风险接受准则——展开，并深入解析CVSS与DREAD两种主流风险计算模型，帮助你在实际项目中建立从识别到量化的完整思维链路。
上图展示了本章的核心概念关系：资产、威胁、脆弱性三者共同作用于风险评估，而风险计算结果需要经过残余风险与风险接受准则的校验，最终形成可操作的处置决策。CVSS与DREAD作为两种主流计算模型，分别从漏洞技术特征和威胁场景两个维度提供量化依据。下面我们将逐一深入每个概念的内涵与实战应用。
3.1 资产识别与价值评估
核心原理：在工业环境中，资产不仅仅是服务器或工作站，还包括PLC、RTU、DCS控制器、HMI、工业交换机、传感器/执行器、SCADA软件、历史数据库、控制回路逻辑、工艺配方数据，甚至包括物理过程本身（如反应釜温度控制、传送带速度调节）。资产识别的核心是回答“什么东西一旦受损，会影响生产安全、产品质量或人员健康”。
判断方法：建议采用“三层资产清单法”：
- 物理层：列出所有硬件设备，记录型号、固件版本、所在位置、网络归属（如PLC-01属于Cell Area A）。
- 逻辑层：识别软件系统、协议服务（Modbus TCP、PROFINET、OPC UA）、数据流（如配方下发、报警记录）。
- 业务层：将资产与生产工艺步骤关联，标注其失效对产量、质量、安全的影响等级（高/中/低）。
| 资产类别 | 典型示例 | 价值维度 | 评估要点 |
|---|---|---|---|
| 硬件设备 | 西门子S7-1500 PLC | 可用性、完整性 | 停产损失、维修周期 |
| 软件系统 | WinCC SCADA | 机密性、完整性 | 配方数据、报警配置 |
| 数据资产 | 工艺参数趋势库 | 机密性、完整性 | 历史追溯、质量分析 |
| 物理过程 | 反应釜温度控制回路 | 安全性、可用性 | 超温爆炸风险 |
| 人员角色 | 工程师站维护账号 | 机密性、责任性 | 越权操作风险 |
3.2 威胁建模与脆弱性分析
核心原理：威胁是可能对资产造成损害的潜在原因，包括恶意攻击（黑客、勒索软件）、意外事件（误操作、配置错误）、环境因素（断电、雷击）。脆弱性是资产本身存在的弱点，如未修补的漏洞、弱口令、不安全的协议、缺乏访问控制。威胁利用脆弱性，才能对资产造成影响。
判断方法：威胁建模推荐使用STRIDE方法（Spoofing欺骗、Tampering篡改、Repudiation抵赖、Information Disclosure信息泄露、Denial of Service拒绝服务、Elevation of Privilege权限提升），结合工业场景调整。脆弱性分析则需结合漏洞扫描（如使用Nessus针对ICS插件）、配置审计（检查是否启用SNMP v1）、协议分析（是否明文传输Modbus命令）。
背景：该厂使用PLC控制加氯量，远程运维通过VPN接入。
初始现象：安全团队发现PLC的编程端口（102端口）暴露在运维网段。
关键数据：PLC固件版本为2018年，存在CVE-2020-15782（西门子S7-1200/1500拒绝服务漏洞）；VPN账号使用默认密码“admin123”。
分析过程：
1. 威胁建模：攻击者可能通过VPN进入运维网段，利用默认密码获取VPN权限；
2. 横向移动：扫描发现PLC开放102端口，尝试利用CVE-2020-15782发送畸形报文导致PLC停止响应；
3. 影响评估：PLC停止响应将导致加氯量失控，可能造成水质不达标或过度加氯。
实际操作：
- 立即修改VPN密码，启用双因素认证；
- 在防火墙上限制仅允许特定IP访问PLC 102端口；
- 联系供应商升级PLC固件。
结果对比：修复后，漏洞扫描显示102端口不再暴露，VPN登录日志无异常。
复盘经验：工业环境中的“小问题”（默认密码、暴露端口）往往被忽视，但结合工艺影响后风险极高。威胁建模必须与业务影响绑定，而非仅看技术漏洞。
3.3 风险计算模型：CVSS与DREAD
核心原理：风险值通常由“威胁发生的可能性”与“影响程度”两个维度决定。CVSS（通用漏洞评分系统）主要针对单个漏洞的技术严重性，而DREAD从五个维度对威胁场景进行主观评分，更适合在项目早期进行威胁排序。
CVSS v3.1计算要点：
- 基础指标：攻击向量（AV）、攻击复杂度（AC）、所需权限（PR）、用户交互（UI）、机密性/完整性/可用性影响（C/I/A）。
- 评分范围：0.0-10.0，9.0以上为严重，7.0-8.9为高危，4.0-6.9为中危，0.1-3.9为低危。
- 工业环境修正：CVSS未考虑安全功能（如安全仪表系统SIS）的可用性优先级，需结合ICS-CERT建议进行环境评分调整。
DREAD模型应用：每个威胁从以下五个维度打分（1-10分）：
- Damage Potential（潜在损害）：对资产完整性和可用性的破坏程度。
- Reproducibility（可复现性）：攻击能否稳定复现。
- Exploitability（可利用性）：攻击难度，是否需要特殊工具或技能。
- Affected Users（受影响用户）：影响范围，如单台PLC还是整个车间。
- Discoverability（可发现性）：漏洞被发现的难易程度。
| 对比维度 | CVSS | DREAD |
|---|---|---|
| 适用对象 | 单个漏洞 | 威胁场景/攻击路径 |
| 数据来源 | 漏洞库（NVD）、扫描器 | 专家头脑风暴、威胁建模 |
| 量化方式 | 公式计算，客观性较强 | 主观评分，依赖团队经验 |
| 工业适配性 | 需环境修正（如考虑安全功能） | 可自定义维度权重 |
| 输出形式 | 0-10分数值 | 总分（5-50分）或平均分 |
3.4 残余风险与风险接受准则
核心原理：在实施安全控制措施（如补丁、防火墙规则、访问控制）后，仍然存在的风险称为残余风险。风险接受准则是组织预先设定的阈值，用于判断残余风险是否可接受。若残余风险超过接受准则，则需追加控制措施或转移风险（如购买保险）。
操作流程：
- 计算初始风险值（结合CVSS/DREAD与资产价值）。
- 列出已实施的控制措施及其有效性（如防火墙阻断、IDS检测）。
- 计算残余风险 = 初始风险 × (1 - 控制措施有效性系数)。
- 将残余风险与接受准则对比：若低于阈值，则记录为“已接受”；若高于阈值，则返回步骤2追加措施。
风险接受准则的制定要点：
- 必须由管理层正式批准，而非仅由安全团队决定。
- 应区分不同系统等级：如SIS系统（安全仪表系统）的接受准则应严于普通办公系统。
- 定期评审（建议每年一次），因为生产环境、威胁态势会变化。