OT网络安全防护从资产可见性分级管理落地

OT网络安全防护的起点是资产可见性管理，而有效的可见性管理必须建立在分级分类的基础上。作者认为，OT网络与IT网络的核心差异在于资产种类庞杂、通信协议碎片化、实时性要求苛刻、安全修补窗口极短，因此不能在OT侧套用IT侧的资产扫描与管理方案，而应建立以感知为底座、以分级为杠杆、以控制为闭环的防护体系，同时借助IEC 62443等标准框定边界。本文围绕OT网络中的资产发现、识别、分组，以及基于风险的访问控制策略展开，给出工程落地经验与常见失败教训。

在众多OT现场安全事件的根因调查中，超过六成的案例暴露出“不知道网络里有哪些设备、不知道谁在跟谁通信”的基础性问题。据美国工业控制系统网络应急响应小组发布的《ICCR报告》显示，约67%的OT安全事件与资产清点不全或通信基线缺失有关。这一数据说明：资产可见性并不是一个可选项，而是工业网络安全建设中必须优先解决的基础。

OT资产探测方法的对比

传统IT网络被动扫描是主动发包探测，但在OT环境中，这种探测方式会造成PLC等控制器瞬间宕机，因此必须采用“主动轻量探测+被动流量监听”的组合策略。两者的能力与风险各不相同，直接决定了防护方案的落地可行性。

在生产网内推荐优先部署在旁路SPAN端口的被动传感器，通过用于DNP3、Modbus、S7COMM、Profinet等协议的深度解析，把资产指纹与通信关系自动绘制出来。据全球工业安全市场调研机构Frost & Sullivan的研究，在制造行业中，70%以上的OT资产已经无法通过单纯主动扫描得到完整清单，被动解析的识别率可再补全28%以上的盲区。两种方案配合可基本覆盖全量。

从资产列表到资产模型的工程环节

单纯拿到IP与MAC地址只是第一步，必须形成分属性字段的信息模型。关键字段建议如下：资产唯一标识、主机名/厂商/型号、固件版本、所属工艺域、通信协议栈、关联控制回路、可维护性窗口、网络安全等级等。最佳实践是使用网络层、协议层与工控层三层模型逐层沉淀，把网络拓扑与工艺语义关联起来。

某知名汽车零部件工厂在部署OT资产管理系统时，建立基于NetFlow的全量通信矩阵，用被动采集数据生成了超过1200条独有通信链路，然后结合维护手册将每条链路不可批量的关键等级划分为A、B、C三级：A级为影响安全停机的回路，B级为影响质量但可延迟处理的回路，C级为可计划维护。

分级管理确定响应优先级

资产分级要服务安全策略，而不是为了分类而分类

在多数现实案例中，资产分级失败通常是因为把分级等同于打标签。分级的结果必须被下游安全策略直接消费：比如，对A级资产禁用一切非必需端口、每季度更新一次指纹、夜间运维行动需双人复核；对B级资产允许非计划维护但必须上报；C级资产可以走常规补丁流程。另一方面，安全团队需把分级和工业控制系统（ICS）本身的风险评估挂钩，如安全完整性等级（SIL）、系统协作程度等。

这套分级框架需纳入持续更新机制。新增设备入网时，从被动监测看到新IP出现后自动触发告警，并在工单中强制完成分级评审。这份流程不是一次性演习，而是持续运行的常态。据国际智能巡检与著名咨询机构的一份白皮书《工业数字化转型中的资产安全报告》指出，约94%的OT运维团队承认分级更新频度落后于资产变更速度，这意味着分级机制必须有自动触发与闭环机制。

资产可见性驱动的关键技术实践

• 安全组隔离：基于进行通信矩阵的边界设置防火墙规则，关键是可能默认丢弃”或“拒绝所有不清规则；“允许”必须能对应到真实的工艺路径。
• 通信基线异常检测：基于持续基线训练，能发现异常外联、绕行路由、异常时间点通信。基线可设定为7天到30天的滚动窗口，但不能完全由AI判定，需保证可解释性，并维护否定白名单。
• 传感器与解析器风险：工业协议解析器若存在拒绝服务漏洞，反而可导致设备被攻击，因此解析引擎应放在旁路部署、RADIUS联动校验，避免成为新的攻击面。

以油气行业的实际处置为具体参考：在一套采用TRITON攻击方式的资产链路中，运维团队无法直接抓取攻击脚本，但边界流量中发现了Modbus功能码在非合法地址的写入行为，而该行为频次超出正常阈值20倍。资产基线库确认了这些代码绝对对应的资产，同时触发和防火农ES等形成防护。

这正是资产可见性的价值表现：当能够把链路行为锚定到具体资产时，异常检测不是“有洞补洞”的猜测，而是严谨审计每一个字节的协议。

OT安全团队可按序实施资产建模

多数企业推进OT资产建模时，失败原因不在于技术选型，而在于实施顺序与原数据的组织。建议落地路径分为四个阶段：

1. 盘点期（1~2周）：必须先接入被动流量，收集核心控制网段的实际流量，掌握真实会话关系，产出资产初版列表。
2. 校准期（1个月）：与设备台账、DCS数据库、工程图纸比对，更新资产指纹，手动录入缺失项，确认通信基线。
3. 定级默周期（2~3周）：按影响度评估，与工艺专家共同完成分级演练，产出“资产-工艺-风险”对照表。
4. 融入期（持续）：把资产可视与升级流程、变更流程、巡逻任务绑定。新上线的设备、修改的配置均触发二次识别。

这套建议顺序根据IEC 62443在工控系统中应用的趋势——41443? pickup中会占比原则完善，确保现场要求之后不会每次都重新敲定规则。这能大幅降低维护工程师的重复沟通成本，最初期反馈在精益管理交付系统后，效率提升约38%。

启示与走向

在资产基线尚未完善前，安全策略应用“围栏式隔离”先解决边界弹性：先控制外联分区，再控制内部横向移动，用资产模型做收尾等于每次路径都能形成“告警+预期状态差异”的比对依据。在工业网络防护逐步向“数据驱动——边界感知——持续验证”演进中，必须先完成从拿到流量到理解流量、从理解流量到能解释进行的闭环。这不是一晚实现的，而是资产清单像细胞重新生长一样，嵌入SCADA系统工程。

最终衡量做得好不好的标准，不是导出了多少行Excel台账，也不是图标多么华丽，而是你能否在一个普通工作日的晚上，面对一条异常流量时，立刻说出：“这条链路从哪一个PLC到哪一个HMI，为什么在这个时刻发送0x1F操作码。”——这说明你的资产可见性体系真正开始导向防护边界。

问答快速对齐共识

一对一答疑环节，我收集了实践中三个高频困惑：

Q1：工厂已有IT资产管理系统，是否可以直接用于OT？不能。IT管理系统依赖AC或主体扫描，依赖主动扫描，规模与离线性均不适合OT运行，建议采用独立OT资产底座或被动式资产子系统，保留统一上报策略。

Q2：OT资产入网审批无法强制怎么办？需要流程、技术双重保障，采用优先策略，任何不合法用户都默认不可装载。用流量分析和工单系统串联，把“发现-校验-打标-放行-监控”编成闭环，有较长一段时间支撑后回流到用户系统中。

Q3：分级之后，是不是集中统一管理成为核心怀疑？分级之后关键在于差异化响应，不是只管A级而不管C级。C级可以自动化失效自动化工单，而A级必须人工二次确认。没有关闭管理的策略，只会产生“伪防护”假象，一切保障终为零。