3. ICS/SCADA安全威胁全景：常见攻击向量、威胁源与历史攻击案例
工业控制系统（ICS）与数据采集与监控系统（SCADA）的安全威胁并非抽象概念，而是由具体的攻击向量、明确的威胁源以及真实发生的攻击事件共同构成的立体图景。理解这一全景是开展工业安全防护的认知起点。与IT系统不同，ICS环境往往运行着数十年寿命的遗留设备，使用专有协议，且对可用性和实时性要求极高，这使得其面临的威胁呈现出显著的行业特殊性。本章将系统梳理攻击者进入工业网络的路径（攻击向量）、发起攻击的主体（威胁源），并通过“震网”与“乌克兰电网攻击”两个里程碑案例，剖析攻击从初始突破到物理影响的完整杀伤链。
3.1 常见攻击向量：攻击者如何进入工业网络
3.1.1 核心原理：攻击向量的本质是“信任边界”的突破
攻击向量是攻击者从外部环境进入ICS/SCADA系统所利用的具体路径或媒介。工业网络通常采用“洋葱模型”进行分层防御，从企业IT网络（L3层）到过程控制网络（L2层），再到现场设备网络（L1/L0层）。攻击向量的核心原理在于：攻击者寻找并利用各层之间信任关系的薄弱点，例如IT与OT网络之间的单向网关配置错误、运维人员对USB设备的盲目信任、或远程维护通道的弱认证机制。理解攻击向量不仅是罗列威胁，更是要识别“攻击面”——即所有可被利用的入口点总和。
3.1.2 主要攻击向量分类与判断方法
| 攻击向量 | 典型手法 | ICS环境特点 | 检测与判断要点 |
|---|---|---|---|
| 钓鱼攻击 | 鱼叉式钓鱼邮件、水坑攻击、伪装成供应商通知 | 运维人员邮箱与IT系统互通，安全意识薄弱 | 检查邮件头SPF/DKIM记录、附件宏行为、链接域名信誉 |
| USB/可移动介质 | U盘摆渡、恶意充电宝、工程组态文件拷贝 | 工程师站频繁使用U盘更新组态或传输程序 | 监控USB设备接入日志、Autorun.inf异常、文件哈希比对 |
| 远程访问 | VPN暴力破解、RDP横向移动、拨号调制解调器后门 | 供应商远程维护需求、老旧拨号备份链路 | 审计远程会话时长、异常登录时间、多因素认证覆盖率 |
| 供应链攻击 | 固件后门、软件更新劫持、硬件植入 | PLC/RTU固件更新频率低，校验机制缺失 | 验证数字签名、固件哈希比对、更新包来源追溯 |
3.1.3 案例拆解：USB摆渡攻击的完整路径
背景与约束：某化工企业的DCS系统与办公网物理隔离，但工程师站需要定期从设计院获取更新的组态文件。2019年，攻击者将恶意软件植入设计院发送的U盘中。
初始现象：DCS操作员站出现偶发性画面卡顿，历史趋势曲线数据丢失。
分析判断过程：安全团队通过分析工程师站的主机日志，发现U盘插入后自动执行了名为“update_config.exe”的文件，该文件实际是远控木马。木马通过DCS的OPC接口扫描并尝试连接历史数据库服务器。
实际操作步骤：
- 立即隔离受感染的工程师站，并断开其与DCS控制器的网络连接。
- 在核心交换机上抓取OPC流量，确认木马是否已横向移动至其他节点。
- 对所有近期接入过U盘的工程站进行全盘扫描，并比对文件哈希。
- 建立U盘“白名单”机制，仅允许经过杀毒和哈希校验的专用U盘接入。
结果与复盘：事件未造成生产事故，但暴露了“物理隔离≠安全”的误区。复盘发现，该企业缺乏对USB端口的集中管控，且未对组态文件进行沙箱执行验证。后续引入了USB安关，并强制要求所有外部文件必须经过“隔离清洗”流程。
3.2 威胁源：谁在攻击ICS/SCADA系统
3.2.1 核心原理：威胁源的动机与能力决定攻击复杂度
威胁源是发起攻击的主体，其动机（经济、政治、军事、个人恩怨）和资源（资金、人员、零日漏洞储备）直接决定了攻击的深度和持久性。国家行为者通常具备“高级持续威胁”（APT）能力，能够针对特定ICS设备开发定制化恶意软件；内部人员则拥有合法的系统访问权限，其攻击往往更难防范；网络犯罪团伙则更倾向于勒索软件攻击，追求快速经济回报。
3.2.2 威胁源对比分析
| 威胁源 | 主要动机 | 典型能力 | 攻击目标 | 检测难度 |
|---|---|---|---|---|
| 国家行为者 | 地缘政治、军事打击、情报窃取 | 零日漏洞、定制恶意软件、长期潜伏 | 关键基础设施（电网、核设施、水处理） | 极高 |
| 内部人员 | 经济勒索、报复、无意过失 | 合法凭证、系统知识、物理访问 | 生产数据、控制逻辑、设备可用性 | 中高 |
| 网络犯罪团伙 | 勒索赎金、数据窃取转卖 | 通用恶意软件、RaaS（勒索软件即服务） | IT系统、备份系统、虚拟化环境 | 中 |
| 黑客活动分子 | 政治抗议、社会关注 | DDoS、网站篡改、简单漏洞利用 | 对外网站、公开服务器 | 低 |
3.2.3 实战场景：区分APT攻击与内部人员操作失误
当DCS系统出现异常时，安全分析师需要快速判断威胁源类型。以下为判断路径：
- 若异常发生在凌晨2点，且使用了合法的供应商远程维护账号：优先怀疑国家行为者或前雇员窃取的凭证。检查该账号是否开启了多因素认证，以及是否有异常的隧道转发行为。
- 若异常发生在白班交接时段，且操作员站有物理接触痕迹：优先排查内部人员。调取门禁记录和视频监控，核对操作员登录时间与DCS操作日志是否吻合。
- 若系统出现勒索信或文件加密：基本可判定为网络犯罪团伙。此时应优先切断IT与OT的边界，防止勒索软件通过OPC或文件共享扩散至PLC。
3.3 历史攻击案例深度拆解
3.3.1 震网（Stuxnet）：网络武器的“教科书”
背景与约束：2010年被发现的震网病毒，据信由美国与以色列联合开发，目标是伊朗纳坦兹核设施的铀浓缩离心机。攻击者面临的核心约束是：无法直接接入核设施的物理隔离网络，且需要对西门子S7-300 PLC进行精确控制而不触发安全系统。
初始现象与攻击链：震网通过U盘摆渡进入内部网络，利用Windows打印服务漏洞（CVE-2010-2568）实现自我复制。其精妙之处在于：
- 隐蔽传播：使用有效的Realtek和JMicron数字签名证书，绕过杀毒软件。
- 定向破坏：感染S7-300 PLC后，修改离心机转速控制逻辑，使转速在超高速和极低速之间剧烈波动，导致离心机物理损坏。
- 欺骗监控：同时向操作员站发送“正常”的传感器读数，掩盖物理破坏过程。
关键数据与结果：据估计，震网导致约1000台离心机（约占总数的1/5）报废，使伊朗核计划倒退约两年。该案例首次证明了网络攻击可以造成物理世界的实体破坏。
复盘经验：震网暴露了ICS安全的三大盲区：一是对PLC等底层设备缺乏完整性校验；二是OT网络内部缺乏东西向流量监测；三是安全更新机制在隔离网络中失效。现代ICS防护必须引入“异常行为基线”概念，而非仅依赖特征码检测。
3.3.2 乌克兰电网攻击（2015/2016）：从IT到OT的实战演练
背景与约束：2015年12月，乌克兰Kyivoblenergo电力公司遭受攻击，导致约22.5万用户断电数小时。攻击者（疑为俄罗斯Sandworm组织）的目标是SCADA系统，而非IT系统。
攻击过程拆解：
| 阶段 | 具体操作 | 技术细节 |
|---|---|---|
| 初始入侵 | 鱼叉式钓鱼邮件投递BlackEnergy恶意软件 | 邮件附带恶意Excel宏，下载BlackEnergy木马建立据点 |
| 凭证窃取 | 使用Mimikatz抓取域管理员哈希 | 获取SCADA系统远程维护账号的明文密码 |
| 远程操控 | 通过VPN接入SCADA网络，操作人机界面（HMI） | 攻击者直接点击HMI上的“断开断路器”按钮，而非篡改PLC逻辑 |
| 破坏性攻击 | 部署KillDisk恶意软件，擦除工作站磁盘 | 同时攻击UPS（不间断电源）通信模块，延迟恢复供电 |
| 拒绝服务 | 对呼叫中心发起电话洪水攻击 | 阻止用户报修，掩盖攻击规模 |
结果与代价：2016年12月，乌克兰再次遭受攻击，攻击者使用Industroyer恶意软件直接向变电站的IEC 104协议发送控制指令，表明攻击工具已从“利用HMI”升级为“直接攻击工业协议”。
复盘经验：乌克兰事件证明，攻击者不一定需要高深的PLC编程知识，只要获取了合法的HMI访问权限，即可造成物理影响。防护重点应放在：1）对远程访问实施严格的多因素认证；2）在SCADA网络部署工业防火墙，限制HMI与变电站之间的非必要协议；3）建立“断路器操作”等关键动作的异常检测规则。