4. 被动流量探测识别工控资产
在工业控制系统（ICS）环境中，资产识别是风险评估的基石。与传统的IT环境不同，ICS资产不仅包含计算设备，还涵盖了直接控制物理世界的硬件、专用软件以及承载实时通信的网络设施。本节将系统性地梳理这三类核心资产，帮助您建立完整的资产清单视图。
4.1 硬件资产
硬件资产是ICS的“四肢”，直接与物理过程交互。它们通常具有长生命周期、实时性要求高、固件更新困难等特点。
| 资产类别 | 典型设备 | 关键属性 | 风险关注点 |
|---|---|---|---|
| 控制器 | PLC、RTU、DCS控制器 | 固件版本、扫描周期、I/O模块 | 未授权访问、固件篡改、拒绝服务 |
| 传感器 | 温度变送器、压力传感器、流量计 | 量程、精度、通信协议（4-20mA/HART） | 信号干扰、数据欺骗、物理损坏 |
| 执行器 | 调节阀、变频器、电机启动器 | 动作时间、行程、驱动方式 | 误动作、卡涩、过载攻击 |
4.2 软件资产
软件资产是ICS的“大脑”和“神经中枢”，负责逻辑运算、人机交互与数据管理。其漏洞往往成为攻击者突破的关键跳板。
- 组态软件：如西门子Step 7、罗克韦尔Studio 5000。用于编写PLC逻辑、配置硬件参数。风险点：工程文件泄露、在线下载/上传未加密。
- HMI（人机界面）：如WinCC、Intouch。提供操作员监控画面。风险点：脚本注入、未授权画面切换、历史数据篡改。
- 工业数据库与中间件：如PI System、OPC Server。负责数据采集与转发。风险点：OPC DCOM漏洞、SQL注入、认证绕过。
- 嵌入式固件：运行在控制器内部的实时操作系统。风险点：后门账户、缓冲区溢出、签名验证缺失。
4.3 网络资产
网络资产是ICS的“血管”，负责连接各组件。工业网络具有实时性、确定性、协议私有化等特点，与传统IT网络差异显著。
| 资产类型 | 典型设备 | 协议/接口 | 安全要点 |
|---|---|---|---|
| 工业交换机 | 管理型/非管理型交换机 | Profinet、EtherNet/IP、MRP环网 | 端口镜像、VLAN隔离、STP攻击 |
| 工业防火墙 | 硬件防火墙、软件白名单 | OPC UA、Modbus TCP过滤 | 规则误配、性能瓶颈、固件漏洞 |
| 网关/路由器 | 协议转换器、工业VPN网关 | 串口转以太网、NAT穿透 | 配置泄露、隧道劫持 |
| 无线接入点 | 工业AP、WIA-PA网关 | WPA2-Enterprise、跳频 | 信号干扰、密钥破解、中间人攻击 |
4.4 ICS资产综合架构示意
以下SVG图展示了硬件、软件、网络资产在典型ICS环境中的分层关系，帮助理解资产间的依赖与交互。
4.5 资产识别清单模板（示例）
在实际评估中，建议使用以下结构化表格进行资产登记，确保无遗漏。
| 资产ID | 资产名称 | 类型 | 厂商/型号 | 固件/版本 | 位置 | 通信协议 | 关键程度 |
|--------|----------------|--------|------------------|-----------|------------|----------------|----------|
| HW-001 | 西门子S7-1200 | 控制器 | Siemens 6ES7 | V4.5 | 车间A区 | Profinet | 高 |
| SW-002 | WinCC V7.5 | HMI | Siemens | 7.5 SP2 | 中控室 | OPC DA | 高 |
| NW-003 | SCALANCE X208 | 交换机 | Siemens | V6.2 | 控制柜 | MRP环网 | 中 |
| HW-004 | 罗斯蒙特3051 | 传感器 | Emerson | N/A | 管道B段 | 4-20mA HART | 高 |
提示：资产识别应结合物理巡查、网络扫描、配置审计和人员访谈四种手段，确保清单的完整性与准确性。