工业网络安全基础：OT与IT的区别、常见工业协议与典型工控架构
工业控制系统（ICS）是电力、石油、化工、制造、交通等国家关键基础设施的“神经中枢”。在 IEC 62443 系列标准中，对工业自动化与控制系统的网络安全防护，首先建立在对 OT（运营技术）环境的深刻理解之上。与传统的企业 IT 网络相比，OT 网络在可用性要求、通信模式、设备生命周期和风险优先级上存在本质差异。本章将系统梳理 OT 与 IT 的核心区别，剖析 Modbus、OPC UA 等主流工业协议的机理与安全弱点，并拆解 PLC、DCS、SCADA 三种典型工控架构的组成与信任边界，为后续章节的风险评估与安全加固奠定基础。
上图从宏观视角展示了 OT 与 IT 的边界、典型工业协议以及三种工控架构的定位。在 IEC 62443 的框架中，企业 IT 网络通常位于区域 4/5，而工业 OT 网络则根据功能划分为区域 0/1/2/3。安全设计的核心在于通过工业防火墙、网闸等边界防护设备，在保障实时控制流的前提下，阻断非授权访问。接下来，我们将逐一深入每个知识模块。
2.1 OT 与 IT 的本质差异：从 CIA 到 AIC
核心原理：可用性优先的思维转变
传统 IT 安全遵循 CIA 三元组，即机密性（Confidentiality）、完整性（Integrity）、可用性（Availability），且机密性通常排在首位。然而在 OT 环境中，这一优先级被彻底颠覆。对于一条正在运行的高炉生产线或一条 500kV 输电线路，可用性（A）是第一位的，其次是完整性（I），最后才是机密性（C）。原因在于：OT 系统直接控制物理设备，任何非计划停机都可能导致设备损坏、安全事故、环境污染或大规模停电。例如，在化工生产中，一个 DCS 控制器若因网络攻击重启，可能导致反应釜温度失控，引发爆炸。
| 对比维度 | IT 系统 | OT 系统 |
|---|---|---|
| 首要目标 | 数据机密性与业务连续性 | 物理过程可用性与人员安全 |
| 系统生命周期 | 3-5 年，频繁升级 | 10-20 年，甚至更长 |
| 补丁策略 | 月度补丁，自动推送 | 需停机验证，周期以季度/年计 |
| 通信模式 | 请求-响应为主，突发流量 | 周期性实时数据流，确定性延迟 |
| 安全焦点 | 防外部入侵、数据泄露 | 防误操作、防物理破坏、防蠕虫横向移动 |
| 故障影响 | 业务中断，经济损失 | 设备损坏、人员伤亡、环境灾难 |
判断方法：识别 OT 环境的四个信号
在实际评估中，可以通过以下四个信号快速判断一个系统是否属于 OT 范畴：
- 是否存在物理过程交互：系统是否通过传感器、执行器直接控制物理对象？
- 是否使用专用工业协议：如 Modbus、Profibus、OPC UA 等，而非标准 TCP/UDP 应用。
- 实时性要求是否在毫秒级：例如运动控制要求 1ms 周期，而 IT 事务通常允许 100ms 以上延迟。
- 设备是否具有长生命周期且专有：如 PLC 固件版本 5 年未更新，且无法安装杀毒软件。
案例拆解：某汽车制造厂 IT/OT 融合项目
某大型汽车制造厂在推进工业 4.0 时，将生产线的 PLC 数据通过 OPC UA 网关上传至 IT 层的 MES 系统。初期，IT 团队按照常规做法，在 PLC 与 MES 之间部署了 IT 防火墙，并启用了严格的访问控制列表（ACL）。然而，上线后频繁出现 PLC 通信超时报警。分析发现，IT 防火墙的深度包检测（DPI）功能引入了 20-50ms 的额外延迟，而 PLC 与机器人控制器之间的 PROFINET 实时通信要求循环周期为 4ms。最终，团队将防火墙策略调整为白名单模式，仅放行 OPC UA 端口（4840），并关闭 DPI 功能，同时将 OPC UA 网关部署在独立的安全区（区域 3），才解决了问题。这个案例说明，OT 安全方案必须基于对实时性和协议特性的深刻理解，不能简单套用 IT 安全设备。
2.2 常见工业协议解析：Modbus、OPC UA 与实时以太网
核心原理：从串口到以太网的安全演进
工业协议是 OT 网络的“语言”。理解其机制是分析安全威胁的前提。Modbus 是最古老的工业协议之一，诞生于 1979 年，最初用于 PLC 与 HMI 之间的串口通信。其报文结构简单，功能码（如 01 读线圈、03 读寄存器）直接操作数据。然而，Modbus TCP 协议在 TCP/IP 之上完全没有认证、加密和完整性校验，攻击者只需构造一个合法的 Modbus 帧，即可读写任意寄存器，甚至修改 PLC 的启停逻辑。相比之下，OPC UA（统一架构）是新一代标准，它基于面向服务的架构（SOA），支持证书认证、AES 加密和签名，并定义了丰富的信息模型（如设备对象、变量、方法），能够跨平台运行。
| 协议名称 | 传输层 | 安全特性 | 典型应用场景 | 主要安全弱点 |
|---|---|---|---|---|
| Modbus RTU/TCP | 串口/TCP | 无认证、无加密 | PLC 与 HMI、电表采集 | 功能码注入、寄存器篡改 |
| OPC UA | TCP/HTTPS | 证书、加密、签名 | IT/OT 数据集成、MES 对接 | 证书管理复杂、配置错误 |
| PROFINET | 工业以太网 | 无内置安全（依赖网络层） | 运动控制、实时 IO | 实时数据被干扰、设备身份伪造 |
| EtherNet/IP | TCP/UDP | 无内置安全 | 离散制造、装配线 | CIP 报文攻击、DoS |
| DNP3 | 串口/TCP | 可选认证（SAv5） | 电力 SCADA、变电站 | 早期版本无认证、广播风暴 |
判断方法：如何识别网络中的异常协议行为
在 OT 安全监测中，可以通过以下特征判断协议异常：
- Modbus 功能码异常：频繁出现 08（诊断）或 0x2B（封装接口）等非业务功能码。
- OPC UA 会话异常：同一 IP 在短时间内建立大量会话，或证书验证失败日志激增。
- PROFINET 实时帧抖动：通过抓包分析，发现循环周期从 4ms 变为 10ms，可能表明网络拥塞或受到干扰。
实战场景：Modbus 中间人攻击演示
假设某水处理厂使用 Modbus TCP 控制加氯泵的启停。攻击者通过 ARP 欺骗进入 OT 网络，利用 Wireshark 抓取正常报文，发现 HMI 向 PLC 发送功能码 05（写单个线圈）以启动泵。攻击者随后构造一个伪造报文，将线圈值改为 0（停止），并持续发送。由于 Modbus 无序列号或时间戳，PLC 无法识别报文来源，导致加氯泵频繁启停，影响水质。防护措施包括：在工业交换机上启用端口安全，绑定 MAC 地址；部署工业防火墙，仅允许 HMI 的 IP 访问 PLC 的 502 端口，并设置白名单功能码。
2.3 典型工业控制系统架构：PLC、DCS 与 SCADA
核心原理：三种架构的定位与组成
PLC（可编程逻辑控制器）是单机或小规模控制的“肌肉”，擅长高速逻辑控制，如包装线、机械臂。DCS（分布式控制系统）是过程工业的“大脑”，强调多回路调节与冗余，如炼油厂的反应釜温度控制。SCADA（数据采集与监控系统）是广域调度的“眼睛”，负责远程监控大量分散站点，如电网调度中心对数百个变电站的监控。三者并非互斥，现代大型工厂往往同时使用 PLC 和 DCS，而 SCADA 则作为上层调度平台。
| 架构类型 | 核心组件 | 控制规模 | 典型行业 | 安全关注点 |
|---|---|---|---|---|
| PLC | CPU 模块、I/O 模块、编程软件 | 几十到几百点 | 汽车制造、食品包装 | 固件篡改、逻辑炸弹 |
| DCS | 控制器、I/O 卡件、工程师站、历史站 | 数千到数万点 | 化工、电力、制药 | 控制器冗余失效、组态文件篡改 |
| SCADA | 调度中心、RTU/PLC、通信网络 | 跨地域，数千站点 | 电网、油气管道、铁路 | 通信链路中断、RTU 被控 |
操作流程：对现有工控系统进行资产盘点
在实施 IEC 62443 之前，必须完成资产盘点。推荐流程如下：
- 物理层发现：通过机柜巡检，记录所有 PLC/DCS 控制器的型号、序列号、固件版本。
- 网络层扫描：使用主动扫描工具（如 Nmap）或被动监听（如 Wireshark）识别 IP 地址、开放端口。注意：主动扫描可能影响老旧设备，需在停机窗口进行。
- 应用层识别：通过抓包分析，识别运行中的协议（Modbus、OPC UA 等）及其数据流向。
- 绘制网络拓扑：明确各区域（Zone）的边界，标注防火墙、路由器的位置。
案例拆解：某电网 SCADA 系统的安全加固
某省级电网调度中心管理着 200 余座 110kV 变电站，每个变电站部署 RTU 通过 IEC 60870-5-104 协议与主站通信。在一次红蓝对抗演练中，蓝队通过钓鱼邮件获取了运维人员的 VPN 凭据，进入调度数据网，尝试向 RTU 下发遥控指令（如跳闸）。由于 104 协议无认证，主站无法辨别指令来源。加固措施分三步：第一，在调度数据网边界部署纵向加密认证装置，对 104 报文进行签名；第二，在变电站侧安装智能终端，实现指令白名单校验，仅允许主站下发的合法操作序列；第三，将运维人员的远程访问改为堡垒机+动态令牌，并全程录像审计。加固后，再次演练时，蓝队即使获得凭据，也无法伪造带有效签名的遥控指令。