3. 工控系统安全威胁分析：针对工控系统的攻击类型、攻击面与攻击链分析

工控系统（ICS/SCADA）从诞生之初的“信息孤岛”逐步走向数字化与网络化，其封闭性假设已被彻底打破。无论是震网（Stuxnet）对物理世界的精准打击，还是近年来勒索软件对制造业与能源行业的毁灭性加密，都表明工控系统已成为国家级网络对抗与网络犯罪的双重目标。本章将系统梳理针对工控系统的主要攻击类型，深入剖析其暴露的攻击面，并基于攻击链模型（Cyber Kill Chain）拆解一次典型攻击从侦察到影响物理世界的完整路径，帮助安全人员建立“以攻击者视角看防御”的威胁建模能力。

3.1 针对工控系统的主要攻击类型

3.1.1 核心原理：从IT攻击到OT攻击的演变

传统IT攻击以窃取数据、加密勒索或破坏信息系统可用性为目标，而工控系统攻击的最终目标往往是影响物理世界——改变工艺流程、破坏设备、造成安全事故或环境污染。这种本质差异决定了攻击手法、攻击路径和防御策略的根本不同。工控攻击通常分为三大类：国家级APT攻击（如震网）、勒索软件攻击（如WannaCry对制造业的冲击）、以及内部威胁与误操作（据统计占比超过30%）。

3.1.2 判断方法：如何识别攻击类型

安全团队在应急响应或威胁狩猎时，可通过以下特征快速判断攻击类型：

• 攻击来源与动机：国家级APT通常具有高度定向性，攻击时间与目标业务强相关；勒索软件则具有广撒网特征，且会留下勒索信。
• 攻击链长度：震网类攻击链极长（从IT到OT纵深渗透），勒索软件攻击链相对较短（快速加密变现）。
• 对物理世界的影响：若发现PLC逻辑被篡改、工艺参数异常、设备非预期启停，则高度疑似震网类物理破坏攻击。
• 网络行为特征：Modbus/TCP等工控协议中出现异常读写指令、广播风暴或非预期组播，提示OT层已被渗透。

3.1.3 案例拆解：震网（Stuxnet）——物理破坏的“教科书”

震网是首个被公开确认的、以破坏物理基础设施为目标的网络武器。其攻击过程极具代表性：

1. 初始投递：通过5个Windows零日漏洞和U盘摆渡方式进入伊朗纳坦兹核设施的隔离网络。
2. 内网渗透：利用打印后台服务漏洞（CVE-2010-2729）在内网横向传播，最终感染控制离心机的西门子S7-300 PLC。
3. 物理破坏：恶意代码篡改PLC的PID控制参数，使离心机转速在异常区间剧烈波动，同时向监控系统回传正常数据，掩盖物理异常。
4. 结果：约1000台离心机物理损坏，伊朗核计划被拖延约2年。

复盘要点：震网的成功在于对工控协议和物理过程的深度理解——攻击者不仅懂网络，更懂离心机的转速-共振-损坏模型。这提醒我们，工控安全防御必须结合工艺知识，建立“物理过程基线”监控。

3.2 工控系统攻击面分析

3.2.1 核心原理：攻击面的分层与暴露

工控系统攻击面可从网络架构和物理访问两个维度展开。网络架构上，按照IEC 62443标准，工控系统分为Level 0（现场设备）至Level 4（企业IT）五个层级，层间连接点（如OPC网关、防火墙规则、远程维护通道）是攻击者重点突破的区域。物理访问层面，USB接口、调试串口、未锁闭的机柜、运维笔记本电脑都是潜在入口。

3.2.2 判断方法：攻击面暴露度评估清单

3.2.3 实战场景：一次针对老旧PLC的攻击面利用

某水处理厂使用西门子S7-200 PLC（已停产，存在多个已知漏洞），通过串口连接至现场触摸屏，触摸屏通过以太网接入控制网络。攻击者首先通过Shodan发现该厂暴露在公网的HMI远程桌面端口（3389），利用弱口令进入HMI系统，随后通过HMI与PLC的串口通信链路，向PLC发送恶意读写指令，修改加氯量参数。由于PLC无认证机制，攻击成功且未留下任何日志。

关键教训：老旧设备（如S7-200）无法修复漏洞，必须通过网络隔离（将PLC置于独立VLAN）、协议白名单（仅允许HMI的固定IP访问PLC）和物理访问控制（锁闭机柜、禁用调试口）来补偿风险。

3.3 工控攻击链（ICS Cyber Kill Chain）深度拆解

3.3.1 核心原理：从IT Kill Chain到ICS Kill Chain的扩展

传统Lockheed Martin Cyber Kill Chain包含7个阶段（侦察→武器化→投递→利用→安装→C2→行动），但工控攻击链需要额外关注“物理影响”阶段。ICS攻击链通常分为两个阶段：IT阶段（突破边界、建立据点、横向移动至OT网络）和OT阶段（识别关键设备、发送恶意指令、造成物理影响）。两个阶段之间存在明显的“跳板”节点，如工程站、历史数据库（Historian）、OPC服务器。

3.3.2 判断方法：攻击链各阶段的检测与阻断点

1. 侦察阶段：检测互联网扫描行为、钓鱼邮件探测。阻断点：收敛互联网暴露面、邮件网关过滤。
2. 武器化与投递：检测恶意附件、U盘插入、供应链软件篡改。阻断点：终端防护、USB管控、软件签名校验。
3. 漏洞利用与安装：检测异常进程、服务创建、注册表修改。阻断点：补丁管理、应用白名单。
4. C2通信：检测非标准端口外联、DNS隧道、工控协议异常。阻断点：OT边界出口过滤、协议深度检测。
5. 横向移动：检测IT→OT异常连接、工程站与PLC的非预期通信。阻断点：VLAN隔离、访问控制列表（ACL）。
6. 物理影响执行：检测PLC逻辑变更、工艺参数偏离、设备非预期启停。阻断点：物理过程监控、PLC逻辑完整性校验。

3.3.3 案例拆解：乌克兰电网攻击（2015）——攻击链的完整闭环

2015年12月，乌克兰Kyivoblenergo电力公司遭遇攻击，导致约22.5万用户断电3小时。攻击链如下：

• 侦察与投递：攻击者向电力公司员工发送携带恶意宏的钓鱼邮件（伪装为简历），成功获取IT网络权限。
• 横向移动：利用窃取的VPN凭证进入OT网络，识别SCADA系统（使用西门子WinCC）和串口服务器。
• 物理影响：攻击者通过远程操作，将SCADA系统与变电站RTU的通信断开，同时向RTU发送恶意固件，使其无法响应远程指令。
• 辅助破坏：对UPS系统发起DoS攻击，并调用电话系统发起大量呼叫，延迟人工恢复。

复盘经验：此次攻击展示了攻击者对电力业务的理解——他们不仅破坏SCADA，还阻断了“人”的恢复路径。防御方应建立离线应急响应预案（如手动操作断路器、备用通信手段），并定期演练。

3.3.4 常见误区与总结复盘