4、威胁模型与风险分析：针对过程控制层的典型攻击路径、威胁源、攻击树与风险矩阵

过程控制层（Process Control Layer）是工业控制系统（ICS）的“大脑”与“神经中枢”，直接承担着实时数据采集、闭环调节、逻辑联锁与安全保护等关键任务。与IT网络不同，过程控制层的通信协议（如Modbus TCP、OPC UA、PROFINET）、实时性要求（毫秒级响应）以及长达数十年的设备生命周期，决定了其威胁模型必须从“机密性优先”转向“可用性与完整性优先”。本章将系统性地梳理针对过程控制层的攻击路径、威胁源分类、攻击树构建方法以及风险矩阵评估流程，帮助安全工程师与工控运维人员建立一套可落地的威胁建模与风险量化方法论。

上图展示了过程控制层威胁建模与风险分析的整体逻辑链路。从威胁源识别出发，映射到具体攻击路径，再通过攻击树进行结构化分解与量化，最终输入风险矩阵进行等级评定，形成可执行的安全缓解策略。下面将逐一展开每个环节的核心原理、操作流程与实战要点。

4.1 威胁源识别与分类

核心原理：威胁源是可能对过程控制层造成损害的实体或事件。在ICS环境中，威胁源不仅包括传统网络攻击者，还涵盖物理操作、供应链污染、环境因素等。根据ISA/IEC 62443标准，威胁源可分为三大类：恶意行为者（黑客、内部人员、恐怖分子）、非恶意行为者（误操作员工、经验不足的维护人员）、环境/自然因素（火灾、雷击、设备老化）。每一类威胁源都有其独特的动机、能力与攻击偏好，直接影响后续攻击路径的选择。

判断方法：威胁源识别应基于“资产-威胁-脆弱性”三元组进行。具体操作流程如下：

1. 资产清单梳理：列出过程控制层所有关键资产（控制器、HMI、工程站、历史数据库、通信网关、现场仪表），并标注其业务重要性（如SIL等级、是否涉及安全联锁）。
2. 脆弱性扫描：结合CVE漏洞库、ICS-CERT公告以及厂商安全通告，识别资产已知漏洞（如PLC的未授权访问漏洞、OPC UA实现缺陷）。
3. 威胁源画像：针对每类威胁源，评估其访问能力（是否可物理接触）、技术能力（是否掌握工控协议逆向）、资源投入（是否有国家背景支持）。
4. 历史事件复盘：参考行业安全事件（如乌克兰电网攻击、TRITON恶意软件事件），提取常见威胁源特征。

4.2 典型攻击路径分析

核心原理：攻击路径是威胁源从初始入口到达目标资产（如PLC控制器）的完整链路。过程控制层的攻击路径通常跨越IT/OT边界，利用协议漏洞、工程站弱点或物理接口。每条路径都包含前置条件（如网络可达性、凭据获取）、利用动作（如发送恶意Modbus帧）和最终效果（如覆盖控制逻辑）。

操作流程：攻击路径分析可采用“假设-验证-记录”三步法：

• 假设路径：基于威胁源画像，列出所有可能的入侵起点（如企业网邮件钓鱼、Wi-Fi接入点、USB接口）。
• 验证可达性：通过网络拓扑分析、防火墙规则审查、物理访问控制评估，确认路径是否畅通。
• 记录路径属性：为每条路径标注利用难度（1-5分）、检测概率（高/中/低）、所需权限（无/低/高）。

以下为过程控制层最常见的六条攻击路径：

1. IT/OT边界突破：攻击者通过钓鱼邮件入侵IT网络，利用DMZ区未加固的OPC网关跳转至过程控制层。
2. 现场总线协议滥用：直接向Modbus TCP端口502发送恶意写指令，修改保持寄存器值（如温度设定点）。
3. 工程站入侵：利用工程站（如西门子Step 7）的远程代码执行漏洞，下载恶意项目文件至PLC。
4. 控制器固件篡改：通过固件更新机制植入Rootkit，隐藏恶意逻辑并阻止合法更新。
5. 远程维护接口：攻击者破解VPN或拨号调制解调器，直接接入控制网络。
6. 物理USB投递：在控制室或现场操作员站插入恶意U盘，利用Windows自动运行功能执行载荷。

4.3 攻击树构建与量化

核心原理：攻击树是一种树形结构，根节点表示攻击者的最终目标（如“导致反应釜超压”），子节点表示达成目标所需的子步骤，叶子节点为不可再分的原子攻击。攻击树支持AND（所有子节点必须满足）和OR（任一子节点满足即可）两种逻辑关系。通过为每个叶子节点分配攻击成本、成功概率、检测难度等属性，可以量化整棵树的攻击可行性。

构建步骤：

1. 定义根目标：必须与业务影响挂钩（如“非计划停车”、“设备损坏”、“环境污染”），而非纯技术指标。
2. 逐层分解：从根目标出发，问“要达成此目标，需要哪些前置条件？”直到分解为可操作的技术动作。
3. 标注逻辑门：明确每个节点的AND/OR关系。例如，要远程篡改PLC逻辑，需要“网络可达”AND“获得工程站权限”AND“绕过PLC写保护”。
4. 属性赋值：为叶子节点分配三个关键指标：攻击成本（时间/金钱/人力）、成功概率（基于漏洞可利用性）、被发现概率（基于监控能力）。

以下是一个针对“DCS控制器拒绝服务”的攻击树简化示例：

根目标：导致DCS控制器拒绝服务（DoS）
├── OR 子目标1：网络层泛洪
│   ├── AND 条件1.1：能够访问控制网络
│   │   ├── 叶子A：突破边界防火墙（成本:3, 概率:0.4）
│   │   └── 叶子B：物理接入交换机（成本:5, 概率:0.2）
│   └── 叶子C：发送大量Modbus广播帧（成本:1, 概率:0.8）
├── OR 子目标2：应用层漏洞利用
│   ├── 叶子D：利用OPC UA内存溢出漏洞（成本:4, 概率:0.3）
│   └── 叶子E：发送畸形PROFINET帧（成本:2, 概率:0.5）
└── OR 子目标3：资源耗尽
    └── 叶子F：反复触发PLC日志写入（成本:1, 概率:0.7）

量化分析：对于OR节点，整体成功概率 = 1 - Π(1 - 子节点概率)；对于AND节点，整体概率 = Π(子节点概率)。攻击成本取子节点成本之和（AND）或最小值（OR）。通过计算，可以识别出“高概率、低成本”的关键路径，作为优先防御对象。

4.4 风险矩阵评估与处置决策

核心原理：风险矩阵将风险定义为可能性与影响程度的乘积。在过程控制层，影响维度需扩展为生产安全（人员伤亡、设备损坏）、环境合规（排放超标、泄漏）、业务连续性（停产损失、恢复时间）。风险矩阵通常采用5×5或4×4网格，将风险分为低、中、高、严重四个等级。

评估流程：

• 可能性评级：结合攻击树计算的路径概率、历史威胁情报、现有控制措施有效性，给出1-5级（几乎不可能~频繁）。
• 影响评级：从安全、环境、生产三个维度分别打分，取最高值作为最终影响等级。例如，导致SIL2安全功能失效应直接评为5级。
• 风险值计算：风险值 = 可能性 × 影响。风险值≥15为严重，10-14为高，5-9为中，<5为低。
• 处置策略：针对不同等级采取缓解（降低可能性）、规避（消除路径）、转移（购买保险）、接受（残余风险）四种策略。

4.5 案例拆解：某电力企业DCS系统风险分析闭环

背景与约束：某燃煤电厂DCS系统采用某知名品牌，控制网络与厂级信息网通过单向隔离装置连接。电厂要求全年非计划停机时间不超过24小时，且必须满足国家能源局网络安全等级保护三级要求。安全团队需在两周内完成DCS层威胁建模与风险分析。

初始现象与目标：在前期检查中发现，DCS工程师站存在USB接口未封禁、部分控制器使用默认口令、OPC通信未加密等问题。目标是通过系统分析，输出风险登记册并确定前三项优先整改项。

分析过程：

1. 威胁源识别：通过访谈和日志审查，确认主要威胁源为“外部黑客（通过IT网络渗透）”和“内部维护人员误操作”。
2. 攻击路径映射：绘制了从厂级信息网→隔离装置→历史数据库→工程师站→PLC的五条路径，其中“通过历史数据库的OPC接口写入恶意指令”被评估为最高风险。
3. 攻击树量化：针对“篡改锅炉燃烧控制逻辑”目标，构建攻击树。计算得出通过“利用OPC UA漏洞+弱口令”路径的成功概率为0.35，成本为2（低）。
4. 风险矩阵评估：该路径可能性为4（很可能），影响为5（可能导致锅炉MFT动作，机组跳闸），风险值=20，属于严重等级。

实际操作步骤：

• 立即封禁工程师站所有USB口，并启用外设管控软件。
• 将DCS控制器密码策略改为12位以上强密码，并每季度轮换。
• 在OPC服务器与历史数据库之间部署工业防火墙，仅允许白名单IP和特定功能码通信。
• 对DCS网络开展漏洞扫描，发现3个高危漏洞（涉及PLC固件），制定固件升级计划。

结果对比与复盘：整改后，通过模拟攻击测试，利用相同路径的成功概率从0.35降至0.05，风险值降至4（低）。复盘发现，初期风险分析的最大障碍是资产台账不完整，导致部分老旧控制器未被纳入评估范围。后续建立了资产自动发现机制，并每半年更新一次威胁模型。