《ICS环境风险评估实战》
第3章 风险评估基础
3. 风险评估基础
在工业控制系统（ICS）环境中，风险评估是安全管理的核心环节。它帮助我们识别关键资产、发现潜在威胁与脆弱性，并量化风险等级，从而制定有效的安全策略。本节将系统讲解风险评估的定义、核心三要素以及风险计算公式。
3.1 风险评估的定义
风险评估 是指对信息资产（包括硬件、软件、数据、人员等）所面临的威胁、存在的脆弱性以及威胁利用脆弱性后可能造成的损失进行量化或定性分析的过程。其目的是确定风险等级，为风险处置提供决策依据。
在ICS环境中，风险评估不仅关注IT层面的安全，更强调对生产过程、人员安全、环境影响的综合考量。一个完整的风险评估流程通常包括：
- 资产识别：梳理ICS环境中的所有关键资产（如PLC、RTU、HMI、工程师站、历史数据库等）。
- 威胁识别：分析可能对资产造成损害的事件或行为（如网络攻击、物理破坏、误操作等）。
- 脆弱性识别：发现资产中可能被威胁利用的弱点（如未打补丁的系统、弱口令、不安全的通信协议等）。
- 风险计算：综合资产价值、威胁发生概率、脆弱性严重程度，计算风险值。
- 风险评价：将计算出的风险值与预设的风险接受准则进行比较，确定风险等级。
3.2 风险三要素：资产、威胁、脆弱性
风险由三个核心要素构成，它们之间的关系可以用一个经典的“风险三角”模型来表示。下面通过一个内联SVG图直观展示三要素及其相互作用：
下面分别对三个要素进行详细说明：
| 要素 | 定义 | ICS环境示例 | 关键属性 |
|---|---|---|---|
| 资产 Asset |
对组织具有价值的任何事物，包括硬件、软件、数据、人员、服务、声誉等。 | PLC控制器、DCS系统、HMI界面、工业数据库、工程师站、现场仪表、通信网络、操作人员。 | 资产价值（CIA三性：机密性、完整性、可用性）、资产位置、资产所有者。 |
| 威胁 Threat |
可能对资产造成损害的事件、行为或环境条件。威胁可能来自内部或外部。 | APT攻击、勒索软件、内部人员误操作、物理破坏（如火灾、洪水）、供应链攻击、协议漏洞利用。 | 威胁源、威胁动机、威胁能力、发生频率。 |
| 脆弱性 Vulnerability |
资产中存在的、可能被威胁利用的弱点或缺陷。 | 未及时更新的固件、默认口令、未加密的通信（如Modbus/TCP明文）、不安全的远程访问、缺乏日志审计。 | 脆弱性严重程度、可利用性、影响范围。 |
3.3 风险计算公式
在ICS风险评估中，最常用的风险计算公式基于“风险三要素”模型，其基本形式为：
风险值 (R) = 资产价值 (A) × 威胁可能性 (T) × 脆弱性严重程度 (V)
其中：
- 资产价值 (A)：通常基于CIA三性（机密性、完整性、可用性）进行赋值，取值范围一般为1~5（或1~10）。
- 威胁可能性 (T)：威胁事件发生的概率，取值范围一般为1~5（或1~10）。
- 脆弱性严重程度 (V)：脆弱性被利用后对资产造成的影响程度，取值范围一般为1~5（或1~10）。
在实际应用中，为了更精确地反映ICS环境的特点，有时会引入“影响程度”和“可能性”两个维度，采用矩阵法进行风险等级划分。下面是一个典型的风险等级矩阵示例：
在实际的ICS风险评估项目中，我们通常采用以下步骤进行风险计算：
- 资产赋值：根据资产在CIA三性上的重要程度，对每个资产进行赋值（1~5）。
- 威胁评估：分析每种威胁发生的可能性（1~5），可参考历史事件、行业报告、威胁情报等。
- 脆弱性评估：对每个资产存在的脆弱性进行扫描或人工检查，评估其严重程度（1~5）。
- 风险值计算：使用公式 R = A × T × V 计算风险值。
- 风险等级划分：根据风险值对照矩阵，确定风险等级（如：很低、低、中、高、很高）。
下面是一个ICS风险评估计算示例，展示如何对某个具体的资产进行风险量化：
| 资产名称 | 资产价值 (A) | 威胁描述 | 威胁可能性 (T) | 脆弱性描述 | 脆弱性严重程度 (V) | 风险值 (R=A×T×V) | 风险等级 |
|---|---|---|---|---|---|---|---|
| PLC-01（生产线控制） | 5（可用性极高） | 勒索软件攻击 | 4（高） | 未安装安全补丁，使用默认口令 | 5（严重） | 100 | 很高 |
| HMI-02（监控界面） | 4（完整性重要） | 内部人员误操作 | 3（中） | 权限管理不严格，无操作审计 | 3（中） | 36 | 中高 |
| 工程师站 | 3（机密性较高） | USB设备感染 | 2（低） | 未禁用USB端口，无杀毒软件 | 4（高） | 24 | 中 |
3.4 ICS环境风险评估的特殊考虑
与传统的IT风险评估相比，ICS环境的风险评估具有以下特殊性：
- 可用性优先：在ICS中，系统的可用性（Availability）通常优先于机密性和完整性，因为生产中断可能导致巨大的经济损失甚至安全事故。
- 实时性要求：ICS系统对实时性要求极高，安全措施不能引入明显的延迟。
- 物理安全与网络安全的融合：ICS环境中的物理安全（如门禁、摄像头）与网络安全（如防火墙、入侵检测）需要协同考虑。
- 供应链风险：ICS设备通常来自特定供应商，供应链中的后门或漏洞可能带来严重威胁。
- 人员因素：操作人员、维护人员的安全意识和操作规范对风险有重要影响。
3.5 本节小结
本节我们学习了风险评估的基础知识，核心要点包括：
- 风险评估的定义：识别资产、威胁、脆弱性，并量化风险的过程。
- 风险三要素：资产（Asset）、威胁（Threat）、脆弱性（Vulnerability），三者相互关联，共同决定风险水平。
- 风险计算公式：R = A × T × V，通过矩阵法可直观划分风险等级。
- ICS特殊考虑：可用性优先、实时性要求、物理与网络安全融合、供应链风险、人员因素等。
掌握这些基础概念，是后续进行实战风险评估的基石。在下一节中，我们将深入探讨ICS环境中的资产识别与分类方法。