1. SCADA系统与权限审计概述
SCADA（Supervisory Control and Data Acquisition，数据采集与监视控制系统）是工业控制系统的核心组成部分，广泛应用于电力、石油、天然气、水务、轨道交通、市政供热等领域。它负责对广域分布的生产设备进行远程监视、数据采集、参数调节和报警处理。与DCS偏重局部过程控制不同，SCADA更强调"广域、分散、集中监控"的能力，其典型特征是被控对象地理分散、通信距离远、实时性要求高、可用性要求极强。
一、SCADA系统的典型架构与组件
一个完整的SCADA系统通常由现场层、控制层、监控层和管理层构成。现场层包括传感器、执行器、RTU（远程终端单元）和PLC（可编程逻辑控制器），负责采集温度、压力、流量、开关状态等过程量，并执行控制指令。控制层由PLC、RTU及通信设备组成，完成逻辑运算、闭环调节和协议转换。监控层是SCADA的核心，包括SCADA服务器、历史数据库、报警服务器、操作员站（HMI）和工程师站，负责数据汇聚、画面展示、趋势分析、报警管理和远程控制。管理层则通过OPC、数据库接口或工业防火墙与MES、ERP等系统对接，实现生产数据的上层应用。
通信协议是SCADA的"神经"。常见协议包括Modbus RTU/TCP、DNP3、IEC 60870-5-101/104、IEC 61850、OPC DA/UA等。这些协议在设计之初多强调实时性和可靠性，而对身份认证、加密和完整性校验考虑不足。例如Modbus TCP默认无认证、无加密，任何能访问502端口的设备都可能读写寄存器；DNP3虽支持Secure Authentication，但需显式启用。这一特性直接决定了SCADA权限审计的必要性——协议层面的"信任"必须由系统层面的"审计"来补足。
二、权限审计的定义与目标
权限审计（Privilege Audit）是指对系统中"谁、在什么时间、通过什么方式、对什么对象、执行了什么操作、结果如何"进行完整记录、核查与追溯的过程。在SCADA环境中，权限审计不只是IT意义上的账号管理，而是覆盖"人—账号—角色—操作—设备—数据"全链路的可追溯机制。其核心目标包括四点：第一，可追溯性，任何一次遥控、参数修改、组态下载都能定位到具体操作者和来源终端；第二，最小权限，确保操作员、工程师、管理员、审计员职责分离，避免一人拥有全部权限；第三，异常发现，通过审计日志识别越权访问、非工作时间操作、批量参数修改等可疑行为；第四，合规取证，在事故或安全事件发生后提供可采信的证据链。
在工控安全体系中，权限审计位于"预防—检测—响应"链条的检测环节。防火墙、网闸、白名单属于预防手段，入侵检测和流量分析属于检测手段，而权限审计则同时具备检测与取证双重价值。它不直接阻断攻击，但能让"谁动了什么"变得清晰可见，是纵深防御中不可替代的一环。
三、操作安全的核心挑战与法规要求
SCADA操作安全面临几类典型挑战。其一是共享账号与弱口令：许多现场为图方便，操作员站使用同一账号，甚至默认口令长期不改，导致审计日志无法定位到人。其二是权限边界模糊：工程师站往往拥有过高权限，可绕过HMI直接修改PLC逻辑，而这类操作未必进入SCADA审计范围。其三是协议无认证：Modbus、DNP3等协议本身不携带用户身份，审计只能依赖上位机日志，一旦攻击者直连PLC，审计链即断裂。其四是日志易被篡改或覆盖：本地日志存储容量有限，且高权限用户可删除日志。其五是时间不同步：各设备时钟不一致，导致跨设备事件无法按时间线还原。
法规与标准层面，等保2.0明确要求工控系统具备"安全审计"能力，包括审计范围覆盖每个用户、审计记录包含日期时间/用户/事件类型/结果、审计记录保护与备份；IEC 62443-3-3对SR 2.8（审计日志）和SR 2.9（审计处理）提出具体要求；《网络安全法》《数据安全法》以及电力监控系统安全防护规定（国家发改委14号令）也对操作留痕、日志留存期限（通常不少于6个月）作出规定。这些要求共同指向一个结论：SCADA权限审计不是可选项，而是合规与安全的底线。
四、从架构到审计的落地思路
结合前述架构，权限审计的落地应沿数据流自上而下布点。在监控层，SCADA服务器和HMI需开启操作日志，记录登录、画面切换、遥控下发、参数设定、报警确认等事件，并统一时间源（NTP）。在控制层，PLC和网关应记录程序下载、模式切换、强制点操作等关键事件，若设备不支持本地审计，则通过上位机或工业防火墙的会话日志补足。在管理层，审计日志库应独立于业务系统，采用只写或WORM存储，防止高权限用户删除。协议层面，对支持Secure Authentication的DNP3、IEC 60870-5-104启用认证，对Modbus等无认证协议则通过串口服务器、工业防火墙做访问控制与流量记录，间接形成审计证据。
以一个典型教学示例说明：某变电站SCADA中，操作员账号"op01"在凌晨2:17向10kV馈线开关下发分闸指令。审计系统应能还原：账号op01、来源IP 10.20.3.15、操作员站HMI-03、指令类型"遥控分闸"、目标点号"CB-101"、结果"成功"、前置条件"调度令号D2024-0517"。若该操作未在调度令范围内，则审计规则应触发告警。这一闭环说明，权限审计的价值不在于记录本身，而在于将记录与业务规则、时间窗口、权限矩阵进行比对，从而发现"合法账号的非法操作"。