4. 工控安全威胁模型
在工业控制系统（ICS）环境中，传统的IT安全威胁呈现出截然不同的攻击路径与破坏效果。本章节深入剖析APT攻击、勒索软件、内部威胁与供应链攻击在工控场景下的独特行为模式与杀伤链特征。
4.1 APT攻击：定向、潜伏、物理破坏
高级持续性威胁（APT）在工控场景下具有鲜明的“三步走”特征：初始入侵 → 横向移动 → 破坏物理过程。攻击者往往通过鱼叉邮件或USB摆渡进入办公网，随后逐步渗透至控制层，最终篡改PLC逻辑或触发异常工况。
4.2 勒索软件：从数据加密到生产瘫痪
工控勒索软件不再满足于加密文件，而是直接锁定HMI画面、加密PLC固件或篡改SCADA数据库。由于ICS环境无法轻易重装系统，企业往往被迫支付赎金。典型攻击链：钓鱼附件 → 域控沦陷 → 加密工程站 → 锁定操作员界面。
- 🔒 加密对象差异：IT勒索加密文档，工控勒索加密组态文件、配方参数、历史数据库
- ⏱️ 恢复难度：工控系统缺乏快照机制，重装需原厂工程师到场，恢复周期以周计
- 💰 赎金金额：工控场景勒索金额通常是IT场景的3~10倍，因停产损失巨大
4.3 内部威胁：权限滥用与误操作
内部威胁在工控场景下尤为隐蔽，包括恶意内部人员（如离职员工植入逻辑炸弹）和无意误操作（如工程师错误修改PID参数导致反应釜超温）。工控系统缺乏用户行为审计，使得内部威胁难以追溯。
4.4 供应链攻击：上游污染，下游遭殃
工控供应链攻击通过污染硬件固件、篡改组态软件更新包或植入恶意DLL库，实现“一次投毒，全网沦陷”。由于ICS设备生命周期长达10~20年，固件漏洞难以修补，供应链攻击成为最危险的长期威胁。
- 📦 攻击向量：固件更新劫持、开源库投毒、证书伪造、硬件JTAG后门
- 🔍 检测难点：固件签名验证缺失、SBOM（软件物料清单）不透明
- 🛡️ 防御策略：建立可信供应链白名单、固件哈希校验、硬件信任根
4.5 威胁模型对比总结
💡 核心要点：工控安全威胁模型的核心差异在于物理后果。APT追求破坏，勒索追求金钱，内部威胁源于信任，供应链攻击利用信任链。构建纵深防御时，必须针对每种威胁的工控特性设计针对性检测与响应机制。