3. ICS安全威胁与风险

3.1 ICS面临的主要威胁

工业控制系统（ICS）在数字化转型过程中，面临着日益复杂和多样化的安全威胁。与传统IT系统不同，ICS的安全事件往往直接导致物理世界的破坏，如设备损坏、生产停滞甚至人员伤亡。以下是ICS面临的三类核心威胁：

3.1.1 APT攻击（高级持续性威胁）

APT攻击是国家级或组织级黑客针对特定目标（如电力、石化、核设施）发起的长期、隐蔽、精准的入侵行动。攻击者通常通过社会工程学、零日漏洞或供应链攻击渗透进入ICS网络，潜伏数月甚至数年，逐步窃取工艺参数、破坏控制逻辑或伺机发起毁灭性打击。

3.1.2 勒索软件攻击

勒索软件通过加密ICS主机、HMI（人机界面）或PLC（可编程逻辑控制器）的配置文件，导致生产系统瘫痪。攻击者通常要求支付加密货币赎金以换取解密密钥。近年来，针对制造业和能源行业的勒索攻击呈爆发式增长，部分案例中攻击者甚至利用“双重勒索”策略（加密+数据泄露）施压。

3.1.3 内部威胁

内部威胁源于拥有合法访问权限的员工、承包商或第三方运维人员。恶意内部人员可能因经济诱惑、不满情绪或间谍活动，故意篡改控制逻辑、关闭安全联锁或泄露敏感工艺数据。此外，无意的内部威胁（如误操作、未遵循安全规程）同样可能导致严重事故。

🔍 威胁攻击链对比（内联SVG）

3.2 典型攻击案例深度分析

3.2.1 震网病毒（Stuxnet）—— 改变世界的网络武器

时间：2010年首次被发现
目标：伊朗纳坦兹核设施的铀浓缩离心机
攻击路径：

• 🔹 初始入侵：通过U盘（USB）携带恶意代码，感染内部Windows主机
• 🔹 横向渗透：利用多个零日漏洞（MS10-046、MS10-061等）在内部网络扩散
• 🔹 突破隔离：通过西门子Step7软件漏洞，向PLC写入恶意逻辑
• 🔹 物理破坏：修改离心机转速（忽快忽慢），同时向监控系统回传正常数据
• 🔹 最终后果：导致约1000台离心机物理损坏，伊朗核计划推迟约2年

3.2.2 乌克兰电网事件（2015 & 2016）—— 针对电力系统的精准打击

时间：2015年12月23日（首次） / 2016年12月（第二次）
目标：乌克兰西部电力公司（2015）、基辅地区变电站（2016）
攻击手法：

• 🔹 2015年攻击：通过鱼叉邮件植入BlackEnergy恶意软件，获取SCADA系统访问权限，远程断开7个110kV变电站断路器，导致约22.5万用户停电数小时
• 🔹 2016年攻击：使用Industroyer（CrashOverride）恶意软件，直接攻击变电站的通信协议（IEC 104、OPC DA），自动化执行断电操作，同时清除系统日志
• 🔹 共同特点：攻击者事先进行了长达数月的网络侦察，熟悉电力系统业务流程；攻击期间配合电话DoS攻击，阻碍人工恢复

3.2.3 案例对比与启示

📌 核心安全启示

1. 纵深防御：单一安全措施无法抵御APT攻击，需构建从IT到OT的多层防护
2. 网络隔离：严格划分IT网络与OT网络，实施单向网闸或防火墙策略
3. 协议安全：工业协议（Modbus、IEC 104等）缺乏认证与加密，需增加安全扩展
4. 人员培训：内部威胁防范需加强安全意识教育与权限管控
5. 应急响应：建立ICS安全事件应急演练机制，确保手动操作能力

📚 专注课程资料整理