3. 工业远程访问的威胁与风险场景
工业远程访问把原本封闭在控制网络内的工程能力延伸到了互联网边界之外。便利性的另一面，是攻击面被成倍放大：一条为设备厂商开放的远程维护通道，可能同时成为勒索软件、凭证窃取和横向移动的入口。理解威胁，不能停留在“远程访问有风险”这种笼统判断，而要看清每条攻击路径上真实存在的对象、接口和可利用条件。
勒索软件：从远程通道到生产停摆
工业场景中的勒索软件攻击，通常不是直接加密PLC或DCS控制器，而是先攻陷IT侧或远程接入基础设施，再向OT侧扩散。典型路径是：攻击者通过暴露在公网的VPN网关、RDP端口或第三方远程维护软件获得初始访问，随后在工程站、历史服务器、跳板机上部署勒索载荷。2021年美国科洛尼尔管道事件中，攻击者正是通过一个未启用多因素认证的VPN账号进入IT网络，最终导致输油管线主动停运。这里的关键风险点在于：远程通道一旦被攻陷，攻击者获得的不只是某台主机，而是进入工业网络的“合法入口”。
勒索软件对工业现场的直接破坏往往通过工程站实现。工程站上通常安装有PLC编程软件、组态软件和OPC服务器，攻击者加密工程文件后，现场工程师无法下载程序、无法修改逻辑，恢复生产被迫依赖备份或重装。更严重的情况是攻击者利用工程站向控制器下发恶意逻辑，造成物理设备误动作。因此，远程访问治理中必须把工程站视为高价值目标，限制其远程可达性，并对其上的工程文件做离线备份。
凭证窃取：合法身份被冒用
工业远程访问的凭证问题比IT环境更棘手。现场常见共享账号、默认密码、长期不更换的维护口令，以及为方便厂商维护而设置的“永久有效”账号。攻击者获取凭证的方式包括：暴力破解暴露的RDP/VPN登录口、钓鱼邮件骗取工程师账号、从第三方厂商的跳板机内存中抓取凭据、以及从代码仓库或配置文件中读取硬编码密码。
凭证一旦泄露，攻击者就以合法身份登录，传统基于IP或端口的防护很难识别。例如某汽车零部件工厂的远程维护账号被外包人员泄露后，攻击者连续数周在夜间登录工程站，逐步摸清网络结构后才发动攻击。这类“低慢小”行为说明：仅靠账号密码无法证明操作者身份，必须叠加多因素认证、设备指纹和操作审计。对于厂商维护账号，还应设置有效期、限定可访问的设备和时段，避免“一次授权、长期可用”。
横向移动：从跳板机到控制器
攻击者进入远程接入点后，下一步是横向移动。工业网络中常见的横向路径包括：从VPN跳板机到工程站，从工程站到PLC，从历史服务器到数据库，以及通过共享文件夹、远程桌面、OPC UA接口和未加密的工业协议进行探测。由于很多OT网络缺乏微隔离，一旦突破边界，攻击者可以在较短时间内到达关键控制器。
横向移动的检测难点在于，工业协议本身往往缺少认证和加密。Modbus TCP、S7通信、EtherNet/IP等协议在设计时假设网络是可信的，攻击者可以伪装成HMI或工程站向PLC读写寄存器。因此，远程访问治理不能只守边界，还要在OT网络内部按区域划分安全区，限制工程站与控制器之间的访问关系，并对异常读写行为做监测。
未授权固件变更：最隐蔽的破坏
相比勒索软件，未授权固件变更更隐蔽，后果也更难恢复。攻击者获得工程权限后，可以向PLC、RTU、安全仪表系统或网络设备刷入篡改后的固件，植入后门、修改控制逻辑或破坏安全联锁。2017年“TRITON”恶意软件攻击安全仪表系统，试图修改SIS控制器逻辑，就是典型的固件与逻辑层攻击。此类攻击不一定立即造成停机，但可能在特定条件下触发危险动作。
防范固件变更，需要从远程访问链路上切断“可写”能力。例如，远程维护只开放只读诊断权限，固件升级必须经过现场确认和签名校验；对控制器固件版本建立基线，定期比对哈希值；在网络层限制只有指定工程站能访问控制器的编程端口。这些措施的核心是：远程访问不应默认拥有修改控制逻辑和固件的权限。
供应链远程维护风险
设备厂商、系统集成商和运维外包方的远程维护，是工业远程访问中最难治理的部分。厂商通常要求“随时可连、权限较高、工具自带”，而企业往往缺乏对其操作的可见性。风险包括：厂商跳板机成为攻击跳板、厂商账号被共享或转借、维护工具携带恶意代码、以及厂商离场后账号未及时回收。
治理思路是把供应链远程维护纳入统一访问平台，而不是让厂商直连现场。具体做法包括：为每个厂商建立独立账号并绑定具体设备；通过堡垒机或零信任网关代理访问，全程录屏和命令审计；维护窗口外自动禁用账号；要求厂商使用企业提供的安全终端或经过验证的工具。这样既保留远程维护效率，又把“谁在什么时候对哪台设备做了什么”变成可追溯的记录。
真实事件带来的共同教训
把上述场景放在一起看，会发现几个反复出现的共性。第一，初始入口高度集中在远程接入设施：VPN、RDP、厂商维护软件是最高频的突破口。第二，凭证是攻击链上最脆弱的一环：弱口令、共享账号、缺少多因素认证，让攻击者以极低成本获得合法身份。第三，横向移动之所以容易，是因为OT网络内部普遍缺乏隔离和监测。第四，固件与逻辑层攻击最难发现，也最难恢复，必须靠权限约束和基线比对来防御。第五，供应链远程维护是治理盲区，需要把厂商访问纳入统一平台而非放任直连。
对工业远程访问而言，威胁建模的价值在于把“可能被攻击”转化为“具体哪条路径、哪个账号、哪台设备、哪种操作需要被限制和记录”。只有把每条攻击路径上的关键节点识别出来，后续的访问控制、审计和监测才有明确的落点。