2. 工业控制系统与攻击面认知
工业控制系统（ICS）并非单一设备，而是由现场仪表、控制器、操作站、通信网络与上层业务系统共同构成的层级化系统。事件响应人员如果只盯着服务器或终端，往往会漏掉真正的攻击入口——那些长期在线、协议老旧、缺乏认证的现场设备。本节以典型DCS、SCADA、PLC、RTU、HMI和工业网络为对象，梳理资产、协议、拓扑与暴露面，形成后续事件响应的对象基础。
一、从层级看资产：谁在现场，谁在控制室，谁在管理层
工业控制系统通常按功能划分为若干层级。最底层是现场层，包括传感器、执行机构、变送器和驱动装置，它们直接与物理过程交互。往上是控制层，核心是PLC、RTU和DCS控制器，负责采集数据、执行逻辑、输出控制指令。再往上是监控层，由HMI、操作站、工程师站和SCADA服务器组成，操作员通过它们监视流程、下发设定值、确认报警。最上层是企业层，包括历史数据库、MES、ERP和远程维护通道，它们通过工业网络与监控层交换数据。
以典型DCS为例，其控制器通常冗余配置，通过专有网络连接I/O卡件；HMI操作站运行在Windows环境，通过OPC或专有协议读取控制器数据；工程师站则用于组态下载和逻辑修改。SCADA系统则更强调广域分布，主站通过RTU或通信前置机采集远端站点数据，通信介质可能是光纤、无线或租用线路。PLC常见于离散制造和过程控制，RTU多用于油气管道、水务和电力远动场景。理解这些差异，才能判断哪些资产一旦被篡改会直接影响物理过程，哪些资产被入侵后主要影响监视和调度。
二、协议与暴露面：看不见的入口
工业协议的设计目标长期以实时性和可靠性优先，安全性往往被放在次要位置。Modbus TCP默认无认证、无加密，任何能访问502端口的节点都可以读写寄存器；DNP3在早期版本中同样缺乏强认证，虽然Secure DNP3有所改进，但大量现场设备仍运行旧版本；OPC Classic依赖DCOM，配置复杂且容易成为横向移动的跳板；Profinet、EtherNet/IP、IEC 61850等协议各有其专有服务端口和发现机制。这些协议一旦暴露在可路由网络中，攻击者无需破解口令即可直接操作过程数据。
暴露面不仅来自协议本身，还来自网络架构。常见风险包括：控制网络与企业网络之间没有防火墙或仅做简单路由；远程维护通道使用共享账号或固定IP白名单；无线接入点覆盖到生产区域且使用弱加密；HMI和工程师站同时具备双网卡，形成跨层桥接。事件响应人员需要把这些暴露点逐一登记，而不是等到事件发生后再去翻网络图。
三、拓扑与资产清单：把“知道”变成“可查”
事件响应的第一步不是封堵，而是确认对象。建议以“资产—协议—端口—位置—责任人”为字段建立工业资产清单。资产字段至少包括：设备名称、类型（PLC/RTU/HMI/交换机/服务器）、厂商型号、固件版本、IP地址、MAC地址、所在区域（现场/控制室/机房）、所属工艺段、是否冗余、是否允许远程访问。协议字段记录该资产对外提供或发起的通信协议、端口号、是否加密、是否认证。位置字段记录物理位置和网络位置，便于现场排查时快速定位。
拓扑梳理不必追求一次性画全，可以从关键路径入手：先画控制网络的核心交换机，再标注每个端口连接了哪些控制器、HMI和上层设备；然后标注跨层连接点，例如防火墙规则、双网卡主机、VPN网关。对于SCADA广域系统，还要标注主站与RTU之间的通信路径和中间节点。拓扑图的价值在于：当某个IP出现异常流量时，能立刻判断它属于哪一层、影响哪些设备、是否跨过了安全边界。
四、从暴露面到响应对象：建立优先级
并非所有资产都同等重要。可以按“物理影响程度”和“网络可达性”两个维度做优先级划分。高物理影响、高网络可达性的资产，例如直接控制阀门或电机的PLC且其端口可从办公网访问，应列为最高优先级响应对象。高物理影响、低网络可达性的资产，例如物理隔离的SIS系统，虽然直接入侵难度大，但一旦被内部人员或供应链攻击触及，后果严重，需要重点监控内部访问。低物理影响、高网络可达性的资产，例如历史数据库或报表服务器，常被用作跳板，应关注其异常外联和账号行为。
在实际响应中，建议先冻结高优先级资产的配置和日志，再逐步排查低优先级资产是否已被用作横向移动的节点。对于无法立即断网的连续生产装置，可以采用镜像流量、临时ACL和只读账号等方式降低风险，同时保留证据。
五、形成可复用的对象基础
资产、协议、拓扑和暴露面四项信息汇总后，应形成一份可随事件更新的“响应对象档案”。档案不必复杂，但必须能回答四个问题：这台设备是什么、它和谁通信、它在哪里、它被攻破后会影响什么。对于DCS，重点记录控制器型号、冗余状态、组态版本和工程师站访问路径；对于SCADA，重点记录主站前置机、通信规约、RTU地址表和无线链路；对于PLC和RTU，重点记录固件版本、程序备份位置和物理钥匙管理；对于HMI，重点记录操作系统版本、自动登录配置和共享账号使用情况。
当事件发生时，响应人员可以直接从档案中调取对象信息，判断影响范围，决定隔离顺序和取证方式。没有这份基础，响应就会变成盲目扫描和猜测；有了它，才能把“工业控制系统”从一个抽象概念，变成一组可定位、可操作、可验证的具体对象。