《工控安全团队能力提升课程》
第4章 工控安全威胁模型
4. 工控安全威胁模型
4.1 针对工控系统的常见攻击向量
工控系统（ICS/SCADA）由于其专用协议、实时性要求及与物理世界的强耦合性，面临着独特的攻击向量。以下是最具代表性的两类攻击：
震网病毒（Stuxnet）
震网病毒是迄今为止最著名的工控定向攻击案例，它标志着网络战从数字空间向物理空间的跨越。该病毒通过感染Windows系统，利用西门子Step7软件的漏洞，修改PLC（可编程逻辑控制器）的代码，最终导致离心机超速损坏。
| 攻击阶段 | 技术细节 | 工控特性利用 |
|---|---|---|
| 初始入侵 | 通过U盘（.lnk漏洞）传播，绕过物理隔离 | 利用操作员站的外设接口 |
| 横向移动 | 利用RPC、打印服务漏洞在内网扩散 | 工控网络缺乏细粒度隔离 |
| 攻击载荷 | 替换Step7的通信DLL，隐藏恶意代码 | 篡改PLC逻辑，同时回传正常状态值 |
| 物理破坏 | 改变变频器频率，导致转子共振 | 直接操纵物理过程，造成设备损坏 |
勒索软件（Ransomware）
近年来，针对工控系统的勒索软件攻击呈爆发式增长。攻击者通过钓鱼邮件或VPN漏洞进入OT网络，加密HMI（人机界面）或工程站的数据，甚至直接锁定PLC，导致生产线停摆。典型案例包括Colonial Pipeline（影响燃油供应）和Clorox（导致日用品短缺）。
- 攻击入口：远程桌面（RDP）弱口令、钓鱼邮件、第三方VPN接入
- 影响范围：从IT网络渗透至OT网络，加密SCADA服务器或历史数据库
- 后果：生产中断、数据丢失、物理设备损坏（如强制停机导致机械应力）
- 防御难点：工控系统补丁更新周期长，无法频繁重启
4.2 威胁源分析
工控系统的威胁源可归纳为三大类：内部威胁、外部威胁和APT（高级持续性威胁）。每种威胁源的行为模式、动机和防御策略均有显著差异。
内部威胁
内部威胁往往被忽视，但却是工控安全中最常见的风险源。内部人员了解系统架构、拥有合法访问权限，且能绕过物理安全措施。
- 恶意内部人员：离职员工、被收买的技术人员，可能植入逻辑炸弹或泄露敏感配置
- 无意识内部人员：点击钓鱼邮件、使用U盘违规拷贝数据、将个人设备接入工控网络
- 第三方供应商：远程维护通道被滥用、供应商设备预置后门
外部威胁
外部威胁是工控系统面临的最常见攻击来源，通常以获取经济利益或制造混乱为目的。
- 勒索软件团伙：如LockBit、BlackCat等，针对工控企业进行双重勒索（加密+泄露）
- 黑客活动分子：针对特定行业（如能源、水利）进行DDoS攻击或篡改HMI界面
- 供应链攻击：通过污染工控软件更新包（如SolarWinds事件）或硬件植入后门
APT（高级持续性威胁）
APT攻击是最高级别的工控安全威胁，通常由国家级行为体发起，具有明确的战略目标。
| 特征 | 描述 | 工控案例 |
|---|---|---|
| 长期潜伏 | 攻击者可能在网络中潜伏数月甚至数年，收集情报 | Dragonfly组织针对能源行业持续攻击 |
| 定制化工具 | 针对特定PLC型号、SCADA软件编写专用恶意软件 | Industroyer（针对变电站IEC 104协议） |
| 多阶段攻击 | 从IT网络渗透 → OT网络侦察 → 物理破坏 | 乌克兰电网攻击（2015/2016） |
| 反取证能力 | 清除日志、使用内存驻留技术、加密通信 | TRITON（针对施耐德安全仪表系统） |
4.3 工控安全威胁模型总结
综合以上分析，工控安全威胁模型呈现以下特点：
- 攻击面扩大：OT与IT融合、远程运维、物联网设备接入增加了暴露面
- 攻击手段专业化：从通用漏洞利用转向针对工控协议（Modbus、DNP3、S7comm）的深度攻击
- 物理后果严重：不再仅是数据泄露，而是直接威胁人身安全、环境安全和国家安全
- 防御需分层：单一技术手段无法应对所有威胁，需要“管理+技术+人员”三位一体防护
在后续课程中，我们将深入讲解每种威胁的具体检测方法、应急响应流程以及安全加固技术。理解威胁模型是构建工控安全能力的第一步，也是最重要的一步。