《工业控制系统安全入门》
第4章 ICS安全基础概念
4. ICS安全基础概念
工业控制系统（ICS）的安全体系与传统IT安全有着本质区别。在理解ICS安全时，必须首先掌握三个核心基础概念：CIA三元组的特殊含义、安全区域与管道模型以及纵深防御原则。这些概念构成了ICS安全架构的基石。
4.1 CIA三元组在ICS中的特殊含义（可用性优先）
在传统信息安全中，CIA三元组通常遵循“机密性→完整性→可用性”的优先级顺序。然而，在工业控制系统中，这一优先级发生了根本性逆转：可用性（Availability）被置于最高优先级。
| 属性 | 传统IT优先级 | ICS优先级 |
|---|---|---|
| 可用性 | 第三位（可接受短暂中断） | 第一位（必须7×24连续运行） |
| 完整性 | 第二位 | 第二位（确保控制指令准确） |
| 机密性 | 第一位 | 第三位（生产数据相对开放） |
为什么ICS中可用性优先？
- 生产连续性：化工、电力、水处理等流程一旦中断，可能导致数小时甚至数天的停产，造成巨大经济损失。
- 人身安全：某些工业过程（如反应釜温度控制）的中断可能引发爆炸、有毒气体泄漏等灾难性事故。
- 设备保护：突然停机可能损坏昂贵的工业设备（如汽轮机、压缩机）。
- 物理过程惯性：许多工业过程无法像IT系统那样“重启恢复”，需要复杂的重新启动程序。
4.2 安全区域与管道模型
安全区域与管道模型（Zone and Conduit Model）是ICS安全架构设计的核心方法论，源自IEC 62443标准。该模型将工业网络划分为不同的安全区域，区域之间通过管道进行受控通信。
模型核心要素
| 要素 | 定义 | 示例 |
|---|---|---|
| 安全区域 (Zone) | 具有相同安全需求的资产逻辑分组，共享相同的安全策略 | 控制区、安全区、DMZ区、企业办公区 |
| 管道 (Conduit) | 连接不同安全区域的通信路径，实施访问控制和流量过滤 | 防火墙、VPN隧道、单向网闸 |
| 安全等级 (SL) | 区域所需的安全保护级别（SL 1~4） | SL 2：中等保护；SL 4：最高保护 |
模型设计原则
- 最小权限：每个区域只开放必要的通信端口和协议。
- 单向通信：安全区通常只接收控制区指令，不反向发送数据。
- 分级保护：高安全等级区域（如安全区）采用更严格的访问控制。
- 物理隔离：关键区域之间使用物理单向网闸而非软件防火墙。
4.3 纵深防御原则
纵深防御（Defense in Depth）是ICS安全的核心战略思想，强调通过多层、多样化的安全控制措施来保护工业控制系统，即使某一层被突破，其他层仍能提供保护。
纵深防御的七层模型
| 层级 | 名称 | 措施示例 | ICS特有考量 |
|---|---|---|---|
| 1 | 物理安全 | 机柜锁、门禁、视频监控 | 防止未授权人员直接接触控制器 |
| 2 | 网络安全 | 防火墙、IDS/IPS、VLAN划分 | 工业协议深度包检测（DPI） |
| 3 | 主机安全 | 白名单、补丁管理、防病毒 | 工控主机禁用USB口、禁用不必要的服务 |
| 4 | 应用安全 | 安全编码、输入验证、会话管理 | HMI/SCADA软件安全配置 |
| 5 | 数据安全 | 加密传输、数据备份、完整性校验 | 控制指令的完整性校验（如CRC） |
| 6 | 管理安全 | 安全策略、人员培训、应急演练 | ICS安全运维规程（SOP） |
| 7 | 供应链安全 | 供应商评估、固件签名、物料清单 | 工控设备固件完整性验证 |
纵深防御在ICS中的关键实践
- 网络分段：将ICS网络划分为多个安全区域，区域间使用防火墙或网闸隔离。
- 白名单技术：在工控主机上仅允许已授权的应用程序运行，阻止未知恶意软件。
- 工业协议深度检测：防火墙/IDS能够解析Modbus、DNP3、PROFINET等工业协议，检测异常指令。
- 物理隔离与逻辑隔离结合：关键安全系统（如SIS）采用物理单向网闸，非关键系统采用VLAN逻辑隔离。
- 安全运维流程：建立变更管理、补丁测试、应急响应等规范化流程。
💡 核心要点： ICS安全不是单一技术方案，而是“管理+技术+物理”三位一体的综合防护体系。可用性优先、区域隔离、纵深防御三者相辅相成，共同构建工业控制系统的安全基石。