第1章：ATT&CK for ICS：工业控制系统版矩阵概览
大家好，我是老张。在工控安全这行摸爬滚打十几年，今天咱们来聊聊ATT&CK for ICS这个框架。说实话，我第一次看到这个矩阵的时候，心里就一个感觉——终于有人把工控攻击的套路给系统化了。
你想想看，传统的IT安全框架，拿到工控环境里用，总有点水土不服。为什么？因为工控系统的攻击逻辑，跟IT系统完全是两码事。攻击者不是为了偷数据，而是为了搞破坏、让生产线停摆、让反应釜超压。嗯，这就是ICS矩阵存在的意义。
1.1 从IT到ICS：攻击思维的转变
我个人习惯把ATT&CK for ICS看作是MITRE ATT&CK的「工控特供版」。它保留了原框架的矩阵结构，但战术和技术都针对工业控制系统做了定制。
举个例子，IT矩阵里有「数据窃取」这个战术，但在ICS矩阵里，你找不到这个。取而代之的是「影响」——说白了就是让物理设备出问题。我在项目中遇到过一家化工厂，攻击者没偷任何数据，就是让PLC反复启停，最后泵体直接烧了。这就是典型的ICS攻击思维。
核心差异点：
- IT攻击：以数据为中心（窃取、加密、勒索）
- ICS攻击：以物理过程为中心（破坏、操控、拒绝服务）
- IT攻击目标：服务器、数据库、终端
- ICS攻击目标：PLC、RTU、DCS控制器、SCADA服务器
1.2 ICS矩阵的战术全景
ATT&CK for ICS目前定义了12个战术。我挑几个重点的跟你聊聊。
| 战术ID | 战术名称 | 我的理解 |
|---|---|---|
| TA0101 | 初始入侵 | 攻击者怎么摸进工控网络的 |
| TA0102 | 执行 | 恶意代码怎么在工控设备上跑起来 |
| TA0103 | 持久化 | 攻击者怎么赖着不走 |
| TA0104 | 权限提升 | 从操作员站搞到工程师站权限 |
| TA0105 | 防御规避 | 绕过工控安全设备的检测 |
| TA0106 | 凭证访问 | 偷工程师账号、硬编码密码 |
| TA0107 | 发现 | 扫描工控网络、识别设备型号 |
| TA0108 | 横向移动 | 从IT网跳到工控网 |
| TA0109 | 收集 | 采集工艺参数、报警信息 |
| TA0110 | 命令与控制 | 通过工控协议回传指令 |
| TA0111 | 控制 | 直接操控PLC/DCS的输出 |
| TA0112 | 影响 | 造成物理破坏或生产中断 |
这里我要特别强调一下「控制」和「影响」这两个战术。很多刚入行的朋友容易搞混。控制是攻击者拿到了操作权限，比如能修改PLC的设定值。影响是攻击已经造成了后果，比如电机过载烧毁。一个是手段，一个是结果。
1.3 ICS特有的战术深度解析
初始入侵：攻击者怎么进来的？
工控系统的初始入侵，跟IT系统不太一样。IT系统可能靠钓鱼邮件、漏洞利用。工控系统呢？我见过最离谱的一次，攻击者是通过运维人员的笔记本电脑带进来的。那台笔记本在家连过公网，中了木马，拿到厂里一插工控网，完蛋。
常见的初始入侵方式包括：
- 面向公网的工控设备：有些PLC直接暴露在公网上，默认密码都没改
- 供应链攻击：在工控软件或固件里植入后门
- 可移动介质：U盘、移动硬盘带入恶意软件
- 远程访问漏洞：VPN、远程桌面被攻破
避坑指南：我曾经见过一个水处理厂，他们的SCADA系统居然用TeamViewer做远程维护。攻击者扫到开放的端口，直接连上去，密码还是「admin123」。嗯，这种案例在工控行业真的不少见。
控制战术：攻击者怎么操控设备？
控制战术，说白了就是攻击者拿到了「方向盘」。在工控系统里，控制手段跟IT系统完全不同。攻击者不会去执行什么PowerShell脚本，而是直接修改PLC的梯形图逻辑。
我记得有个经典案例，攻击者修改了PLC里控制阀门开度的逻辑。原本是压力高了自动关小阀门，攻击者改成压力高了反而开大阀门。结果管道直接爆了。这就是控制战术的可怕之处——你看着设备还在运行，但逻辑已经变了。
常见的控制技术包括：
- 修改PLC程序：上传恶意梯形图或ST代码
- 修改设定值：改变PID控制的参数
- 模拟IO信号：伪造传感器数据欺骗操作员
- 直接控制执行器：远程开关断路器、阀门
影响战术：攻击者要达成什么效果？
影响战术是ICS矩阵的终点。攻击者做这么多事，最终目的就是造成物理影响。我把它分为几个层次：
- 拒绝服务：让PLC死机、SCADA卡死、操作员站蓝屏
- 操控过程：让生产参数偏离正常范围
- 物理破坏：造成设备损坏、管道破裂、电机烧毁
- 安全影响：引发火灾、爆炸、有毒物质泄漏
我的经验：做工控安全评估时，我习惯先看「影响」再反推「控制」。比如，如果攻击者想让反应釜超温爆炸，他需要控制哪些参数？修改哪个PLC的逻辑？这样倒着分析，更容易找到关键防护点。
1.4 针对PLC/SCADA/DCS的攻击技术
不同工控设备，攻击手法也不一样。我简单总结一下：
| 设备类型 | 常见攻击技术 | 典型案例 |
|---|---|---|
| PLC | 修改梯形图、固件篡改、STOP/RUN切换 | Stuxnet修改S7-300的OB1组织块 |
| RTU | 伪造DNP3报文、修改点表配置 | 乌克兰电网攻击中修改RTU遥测数据 |
| SCADA | SQL注入、HMI画面篡改、报警抑制 | 攻击者修改HMI上的压力显示值 |
| DCS | 修改组态逻辑、控制器间通信劫持 | Triton攻击施耐德Triconex安全仪表系统 |
这里要注意，攻击PLC和攻击SCADA服务器，技术栈完全不同。PLC攻击往往需要懂梯形图、ST语言，甚至要逆向固件。SCADA攻击则更多是传统的IT攻击手法，比如SQL注入、Web漏洞利用。
1.5 物理安全与网络安全的结合
这一点我特别想多说两句。很多企业把物理安全和网络安全分开管，这是大忌。你想想看，攻击者能不能直接走进控制室，插个U盘到工程师站？能不能翻墙进变电站，直接物理接触RTU？
我在一个电力项目里就遇到过这种情况。他们的网络安全做得很好，防火墙、IDS、终端防护全上了。但物理安全呢？控制室的门禁是坏的，随便进。结果有人进去，在工程师站后面装了个硬件键盘记录器。嗯，再强的网络安全也防不住物理接触。
物理安全与网络安全结合的几个关键点：
- 控制室访问控制：门禁、生物识别、访客登记
- 设备物理防护：机柜上锁、防拆封条、摄像头监控
- 运维接口管理：串口、USB口、调试口要封堵或监控
- 环境安全：温湿度监控、漏水检测、消防联动
一句话总结：ATT&CK for ICS不是让你背战术列表的，而是帮你建立「攻击者视角」。你站在攻击者的角度想问题，才能知道自己的工控系统哪里最薄弱。
好了，第一章就聊这么多。下一章咱们深入讲讲初始入侵的具体技术，包括怎么通过工控协议漏洞摸进网络。到时候我会分享一个我亲身经历的PLC漏洞利用案例，挺有意思的。
课后思考：你负责的工控系统里，如果攻击者要造成「影响」，最可能从哪个战术入手？是初始入侵的薄弱点，还是控制战术的漏洞？想清楚这个，你就知道该优先加固哪里了。
咨询更多资料，