2、ICS环境风险背景：关键基础设施概念、ICS面临的威胁趋势、Stuxnet等典型攻击案例分析

2.1 关键基础设施概念与范畴

关键基础设施（Critical Infrastructure, CI）是指那些一旦遭到破坏、丧失功能或数据泄露，将严重危及国家安全、国计民生和公共利益的系统和资产。在工业控制系统（ICS）环境中，关键基础设施通常涵盖以下核心领域：

领域	典型系统	ICS应用示例
能源	电网、油气管道、炼化厂	SCADA调度系统、PLC阀门控制
水利	水处理厂、大坝、灌溉系统	RTU水位监测、DCS加药控制
交通	铁路信号、机场跑道、港口调度	PLC联锁控制、交通信号SCADA
制造	汽车装配、化工反应、制药	DCS批次控制、机器人PLC
通信	基站供电、数据中心冷却	楼宇自控系统（BAS）

2.2 ICS面临的威胁趋势

随着IT与OT的深度融合，ICS环境面临的威胁呈现出以下显著趋势：

• 攻击专业化与武器化：攻击者从普通黑客转向国家级APT组织，开发针对特定PLC/DCS的定制化恶意软件。
• 攻击面持续扩大：远程运维、云边协同、5G专网等新技术的引入，使得原本封闭的OT网络暴露在更大风险中。
• 勒索软件定向化：针对工业企业的勒索攻击（如Colonial Pipeline事件）直接瞄准生产系统，造成物理停产。
• 供应链攻击频发：通过污染固件更新、篡改组态软件安装包等方式，向下游用户植入后门。
• 物理后果加剧：攻击不再局限于数据窃取，而是直接破坏物理设备（如离心机损坏、变压器爆炸）。

2.3 Stuxnet等典型攻击案例分析

2.3.1 Stuxnet（震网）—— 改变世界的网络武器

时间：2010年首次被发现
目标：伊朗纳坦兹核设施铀浓缩离心机
攻击链：

1. 初始入侵：通过感染U盘（LNK漏洞）突破物理隔离的OT网络。
2. 横向移动：利用MS10-061打印后台程序漏洞在内网传播。
3. PLC篡改：向西门子S7-315 PLC下载恶意组态代码，修改离心机转速。
4. 欺骗操作员：向HMI发送“正常”的假数据，掩盖物理破坏过程。
5. 物理破坏：使离心机在高速/低速间剧烈波动，最终导致物理损坏。

2.3.2 其他典型ICS攻击案例

案例名称	时间	目标行业	攻击手法	后果
乌克兰电网攻击	2015/2016	电力	钓鱼邮件 → 窃取VPN凭证 → 远程断开变电站断路器	22.5万用户停电数小时
Triton/Trisis	2017	石油化工	针对施耐德Triconex安全仪表系统（SIS）的恶意软件	触发安全系统停机，险些造成物理爆炸
Colonial Pipeline	2021	能源（管道）	勒索软件通过IT系统渗透至OT计费系统	美国东海岸燃油供应中断6天
Pipedream	2022	多行业	模块化恶意框架，可攻击多种PLC/RTU	被发现时处于早期部署阶段

2.3.3 攻击案例核心启示

• 物理隔离不是万能的：Stuxnet通过U盘突破气隙，供应链攻击可绕过所有网络隔离。
• OT协议缺乏认证：多数工业协议（Modbus、DNP3）无加密和认证机制，攻击者可轻易伪造指令。
• 可见性缺失：传统IT安全工具无法解析OT协议，导致攻击行为长期潜伏不被发现。
• 安全与可用性冲突：ICS环境对实时性要求极高，打补丁、重启等常规安全操作可能造成生产中断。
• 纵深防御必须落地：单一防护措施不足，需要网络分段、白名单、行为基线、物理安全等多层防护。

课程小结：理解关键基础设施的范畴是风险评估的前提；掌握ICS威胁趋势有助于识别当前最紧迫的风险场景；而Stuxnet等案例则揭示了ICS攻击从IT渗透到OT破坏的完整路径，为后续的风险评估方法论提供了实战参照。