工控系统网络安全评估：IEC 62443与供应链安全实践

2021年Colonial Pipeline勒索攻击事件让整个美国东海岸的燃油供应瘫痪了六天。这一事件之后，工控安全从"合规检查项"变成了"董事会级议题"。但很多企业在Colonial Pipeline之后的第一反应是"去买更好的防火墙"，结果花了几百万买设备，安全评估做完之后发现最薄弱的环节不是网络边界，是内网的访问控制策略和设备供应商的安全能力。

工控安全的本质是OT（运营技术）安全和IT（信息技术）安全的融合。IT安全团队熟悉网络安全但不懂工控协议，工控团队懂工艺但不懂攻击手法。这两个群体之间的沟通鸿沟，是工控安全落地最难的部分。

一、安全评估：知道自己在哪里比知道敌人是谁更重要

工控安全建设的第一步不是买设备，是做评估。但很多企业的评估方式是"请乙方来做渗透测试"，等乙方出具渗透报告，然后按报告逐项整改。这个方法有问题——渗透测试只能发现已知漏洞，无法评估整体安全架构的合理性，而且渗透测试本身有破坏生产系统的风险。

正确的评估方法是"架构审计+资产清点+威胁建模"。

架构审计是指从网络拓扑图和系统架构文档出发，审查当前网络分区的合理性。关键问题包括：OT网络和IT网络是否做到了物理或逻辑隔离？不同安全等级的控制系统是否分在了不同的网络安全区？远程访问通道（VPN、维护电脑直连）是否在审计范围内？

资产清点是指建立完整的OT资产清单，包括控制器型号、固件版本、通讯协议、开放的端口和服务。资产清点是很多企业安全评估中最容易被跳过的步骤——"我们厂里有多少台PLC？"这个问题在很多工厂得不到准确的答案。没有完整的资产清单，就无法做漏洞管理和补丁管理。

威胁建模是指根据资产清单和工艺流程，分析每个资产的威胁面和潜在攻击路径。比如：一台连接互联网的MES服务器，如果被攻破能间接操控哪些PLC？一台支持远程维护的工业交换机，如果被攻破能横向影响到哪些工段？这种"攻击链"分析比单纯的漏洞扫描更能反映真实风险。

二、IEC 62443分区架构：从边界防护到纵深防御

IEC 62443（工业自动化和控制系统安全）是工控安全领域最权威的国际标准，它的核心理念是"分区和区域"（Zones and Conduits）。

分区是指把功能相同、安全等级相同的系统划到同一个安全区域内，不同区域之间的通讯必须经过控制点（如工业防火墙）。区域内部假设所有资产相互信任，区域边界是信任边界。

典型的工控系统分区方式：

企业IT网络区：ERP、OA、邮件等办公系统。这一层和OT网络必须隔离。

DMZ区（Demilitarized Zone）：IT和OT之间的缓冲区，部署 historians、MES 接口服务器等需要双向通讯的节点。DMZ是单向数据流——数据可以从OT流向DMZ，再从DMZ流向IT，但TCP连接不能直接从IT穿透到OT。

过程控制网络区（PCN）：DCS/PLC所在的核心控制网络。这一区域内部根据功能再细分：基础控制层（传感器、执行器、控制器）、操作监控层（HMI、工程师站、SCADA服务器）。

现场设备网络区：现场仪表、IO从站、驱动器等。这一区域的安全管控最弱，但影响范围也有限——一台现场仪表被攻陷不会直接导致停机，但可能影响控制质量。

分区架构的合理性决定了纵深防御的有效性。如果分区太少，不同安全等级的控制系统混在一个区域内，边界防火墙失效时攻击者可以长驱直入；如果分区太多，管理和维护成本急剧上升，而且误报率增加。

三、零信任网络在OT环境的落地

零信任（Zero Trust）是IT安全领域的主流理念，核心原则是"永不信任，始终验证"——无论访问请求来自内网还是外网，都要经过身份验证和授权检查。零信任在IT网络中有成熟的实施方案，但在OT环境中落地需要特殊考虑。

OT网络对网络延迟和抖动极度敏感。工业控制网络的实时性要求是毫秒级甚至微秒级，任何引入延迟的中间件（如身份认证服务器）都必须经过严格的性能评估。零信任的某些机制（如每次访问都做MFA多因素认证）在OT环境中是不现实的——操作员在紧急工况下不可能等待30秒输入密码。

OT环境零信任的落地建议采用"渐进式"方案：第一步先在所有工程师站和HMI上启用最小权限账户，工程师平时用普通权限账户，需要做重大配置变更时才临时提升到管理员权限；第二步在远程访问通道（VPN、维护VPN）上强制启用MFA；第三步在IT-OT边界部署工业级下一代防火墙，实现基于角色的访问控制（RBAC）。

四、补丁管理：工控系统的特殊挑战

IT安全的核心实践之一是及时打补丁，但这条规则在OT环境中执行起来非常困难。原因是工控设备的补丁需要设备供应商提供，而很多老旧设备（如运行Windows XP的HMI）供应商已经停止支持，但设备不能轻易更换——换一套DCS系统的成本和停机损失是天文数字。

工控环境的补丁管理策略应该是：

第一，识别哪些设备可以打补丁、哪些不能。对于能打补丁的设备，建立明确的补丁管理流程：测试环境验证→风险评估→计划停机窗口→正式上线→验证。每一步都要有记录。

第二，对不能打补丁的老旧设备，用补偿性控制措施降低风险。比如用工业防火墙把老旧设备隔离在独立分区，限制对该设备的访问来源；又比如在该设备前增加单向数据网关，只允许数据从工控系统向外传，不允许外部指令传入。

第三，建立资产清单，记录每台设备的供应商支持状态和EOS（End of Support）日期。EOS日期前12个月开始评估替代方案，避免设备突然失去支持后措手不及。

五、供应链安全：被忽视的最后一块短板

Colonial Pipeline攻击的入口点是一台VPN服务器的弱口令，而VPN服务器是第三方供应商用于远程维护的。攻击者没有直接攻击工控系统本身，而是攻击了供应链中最薄弱的一环。

工控系统的供应链安全问题包括：设备供应商的远程维护通道是否安全？系统集成商交付的设备是否留有后门？固件更新包是否被篡改？第三方运维人员的账户管理是否合规？

供应商远程访问的管理要点：要求所有远程访问必须经过工业防火墙的VPN通道，不允许直连；远程访问会话必须录像存档，事后可追溯；供应商账户采用临时账户+多因素认证，工作完成后立即禁用；建立供应商安全能力评估标准，将安全评估结果纳入供应商入围条件。

固件和软件更新的安全验证要点：固件更新包必须经过完整性校验（SHA-256哈希比对官方发布值）；在测试环境验证更新包不影响控制系统功能；保留历史固件版本，以便回滚。

六、写在最后

工控安全不是买设备，是建立能力。防火墙买来了不会配置等于没买，零信任架构设计出来不会运营等于没有。

建议每个有工控系统的企业至少配备一个既懂IT安全又愿意学习工控工艺的"OT安全负责人"，这个角色是IT团队和工控团队之间的桥梁。没有这个角色，工控安全的策略和工控现场的实际需求永远是脱节的。

工控安全建设的优先级建议：先把资产清点和网络分区搞清楚，这是所有后续工作的基础；再把边界防火墙和远程访问管住，防止外部入侵；最后在关键控制回路引入完整性监控和异常检测，建立起主动发现威胁的能力。这个顺序不能反。