简介这份文档围绕工业控制系统网络安全展开面向工控运维人员、信息安全从业者及钢铁冶金等流程工业的技术管理者聚焦工控网络在工业互联网背景下的风险防护与安全加固问题。资源包内含1个docx文档压缩包约8KB篇幅精炼便于快速查阅与内部传阅。文档结合山东钢铁集团日照有限公司的实践从安全技术措施与安全管理措施两条主线切入提出实现三层安全隔离的改进思路并对工控网络的可用性、性能和服务水平进行统一监控管理最终保障工业控制系统安全稳定运行。内容涵盖工控系统安全需求分析、风险点梳理、隔离架构设计与运维管理要点适合作为工控安全方案设计、等级保护整改及日常安全管理的参考材料。目前已有88人学习关注对需要快速了解工控网络安全问题与改进路径的读者具有一定借鉴价值。1. 工业控制系统网络安全为什么“物理隔离”不再是后悔药很多人对工业控制系统ICS网络安全的第一反应是“内网物理隔离怕什么”。这个判断在十年前或许成立但今天已经变成最危险的假设。我见过不止一个现场PLC、DCS、SCADA 通过一台双网卡工程师站悄悄连上了办公网或者一个 4G 路由器被施工队接进交换机整个 OT 网络就变成了攻击面。工业控制系统网络安全的核心矛盾在于——它要同时满足可用性优先和安全防护而传统 IT 安全那套“打补丁、装杀毒、频繁重启”的做法在产线上根本行不通。一个炼钢厂的转炉控制如果因为杀毒软件扫描导致 CPU 过载几秒钟的延迟就是几十万的损失。所以这个方向要解决的问题不是“有没有漏洞”而是在不影响生产连续性的前提下把攻击面收窄、把异常行为识别出来、把响应动作限制在安全边界内。适合谁看自动化工程师转安全、做等保测评的安服人员、以及需要给工控网络做基线加固的运维负责人。接下来的内容我会按“先搞清楚问题在哪、再动手做资产梳理和流量检测、最后落到避坑和进阶技巧”的顺序展开每一步都给出可复现的命令和参数。2. 工业控制系统网络安全的典型问题从资产不清到协议裸奔2.1 资产台账靠 Excel 维护离线设备永远对不上号工控网络最基础也最致命的问题是资产台账和实际在线设备长期不一致。IT 网络里你可以用 Nmap 扫全网但在 OT 环境里一次全端口扫描就可能让老旧的西门子 S7-300 PLC 通信卡死。我见过一个水厂他们的资产表上写着 47 台设备实际用被动流量分析跑了三天发现活跃 IP 有 63 个多出来的全是历史遗留的 HMI 和一台没人认领的串口服务器。这种“黑匣子”状态直接导致两个后果第一出了安全事件不知道影响范围第二做基线检查时漏掉关键设备检查报告看起来合格实际上有 16 台设备从来没被查过。常见做法是被动资产发现 主动轻量探测结合。被动发现用镜像流量分析不发送任何数据包对生产零影响。主动探测只对已知设备列表做单端口、低频率的 TCP SYN 探测确认存活即可不做漏洞扫描。下面这段 Python 用 Scapy 解析镜像口抓到的工控协议报文提取 IP、MAC 和协议类型生成初始资产清单。from scapy.all import sniff, Ether, IP, TCP, UDP import csv from datetime import datetime assets {} def parse_packet(pkt): if IP in pkt: src_ip pkt[IP].src dst_ip pkt[IP].dst proto TCP if TCP in pkt else (UDP if UDP in pkt else OTHER) # 只记录工控常用端口减少噪音 ics_ports [102, 502, 44818, 20000, 4840, 789] if TCP in pkt and (pkt[TCP].sport in ics_ports or pkt[TCP].dport in ics_ports): key src_ip if key not in assets: assets[key] { ip: src_ip, mac: pkt[Ether].src if Ether in pkt else unknown, protocol: proto, first_seen: datetime.now().isoformat(), ports: set() } if TCP in pkt: assets[key][ports].add(pkt[TCP].sport) assets[key][ports].add(pkt[TCP].dport) # 从镜像口 eth1 抓包持续 300 秒 sniff(ifaceeth1, prnparse_packet, timeout300, store0) # 导出 CSV端口集合转成字符串 with open(ics_assets.csv, w, newline) as f: writer csv.writer(f) writer.writerow([IP, MAC, Protocol, First_Seen, Ports]) for ip, info in assets.items(): writer.writerow([info[ip], info[mac], info[protocol], info[first_seen], ,.join(map(str, info[ports]))])逻辑说明sniff的iface参数必须指向交换机镜像口对应的网卡不能指向业务网卡。timeout300表示抓 5 分钟实际生产环境建议至少跑 24 小时覆盖交接班时段。ics_ports列表里 102 是西门子 S7502 是 Modbus TCP44818 是 EtherNet/IP20000 是 DNP34840 是 OPC UA789 是冗余协议常用端口。参数调整如果现场有 ABB 或施耐德设备需要补充 55000 和 502 的变体端口。跑完后用ics_assets.csv和现有台账做 diff多出来的 IP 必须人工确认不能直接拉黑。2.2 工控协议设计时没考虑认证Modbus 和 S7 就是裸奔Modbus TCP 和西门子 S7Comm 在设计之初假设运行在封闭串行链路或专线环境没有身份认证、没有加密、没有完整性校验。这意味着任何能访问到 502 端口的人都可以直接读写线圈和寄存器。我做过一个实验用 Python 的 pymodbus 库在不知道任何密码的情况下把一台模拟 PLC 的保持寄存器值从 100 改成 0整个过程不到 3 秒。这不是漏洞这是协议特性。更麻烦的是很多工程师站软件比如 WinCC、组态王在连接 PLC 时会把工程文件里的逻辑和配方一起下发攻击者如果劫持了这条链路可以直接篡改生产配方。常见改进措施是在交换机层面做端口级访问控制 在关键链路部署工控防火墙做深度包检测。但工控防火墙不是即插即用必须先把正常通信的“白名单”跑出来。下面这段代码用 pyshark 解析 S7Comm 报文提取功能码和读写地址生成白名单规则的基础数据。import pyshark import json # 读取抓包文件过滤 S7Comm 流量 cap pyshark.FileCapture(s7_traffic.pcap, display_filters7comm) rules [] for pkt in cap: try: s7 pkt.s7comm # 提取功能码0x04 读0x05 写0x1a 请求下载 func_code s7.get_field(s7comm.func) # 提取读写区域和地址 area s7.get_field(s7comm.param.item.area) address s7.get_field(s7comm.param.item.address) length s7.get_field(s7comm.param.item.length) if func_code and area: rule { src_ip: pkt.ip.src, dst_ip: pkt.ip.dst, func: func_code, area: area, address: address, length: length } if rule not in rules: rules.append(rule) except AttributeError: continue cap.close() # 输出为 JSON供防火墙策略生成脚本使用 with open(s7_whitelist.json, w) as f: json.dump(rules, f, indent2)逻辑说明display_filters7comm只解析 S7 协议报文避免混入其他流量。func_code的取值需要对照 S7Comm 协议文档0x04 是读变量0x05 是写变量0x1a 是请求下载。白名单规则的核心是只允许已知的读写操作拒绝所有未出现的功能码。参数调整如果现场有 HMI 做趋势曲线读操作的地址范围会很大需要按地址段聚合不能逐条列。生成的s7_whitelist.json导入工控防火墙时注意防火墙的规则匹配顺序——先匹配拒绝规则再匹配允许规则否则白名单会被绕过。2.3 工程师站和 historian 是最大跳板补丁却永远打不上工控网络里 80% 的攻击路径最终都落到工程师站和 historian 服务器上。这两类机器通常跑着 Windows 7 或 Windows Server 2008因为 PLC 编程软件和组态软件只兼容这些老系统。微软早就停止支持了但你不能升级一升级组态软件就崩。我见过一个电厂工程师站上同时装着西门子 STEP 7、施耐德 Unity Pro 和一套盗版组态软件三个软件互相抢串口和授权最后运维把 Windows 防火墙全关了“图省事”。这台机器既连着 PLC 控制网又连着办公网收邮件就是一个标准跳板。改进措施不是强行打补丁而是做应用白名单 网络微隔离。应用白名单用 Windows AppLocker 或第三方工控专用白名单软件只允许 STEP 7 和组态软件的可执行文件运行其他 exe 一律拦截。网络微隔离用 VLAN 或工控防火墙把工程师站限制在只能访问特定 PLC 的特定端口。下面是一个用 PowerShell 配置 AppLocker 的示例只允许指定目录下的程序运行。# 创建 AppLocker 规则只允许 Siemens 和 Schneider 目录下的程序 $rule New-AppLockerPolicy -RuleType Exe -User Everyone -Action Allow -Path %ProgramFiles%\Siemens\Automation\* -Path %ProgramFiles%\Schneider Electric\* -Path %ProgramFiles(x86)%\Siemens\Automation\* # 默认拒绝所有其他 exe $denyRule New-AppLockerPolicy -RuleType Exe -User Everyone -Action Deny -Path * # 合并规则并应用到本地策略 Set-AppLockerPolicy -Policy $rule -Merge Set-AppLockerPolicy -Policy $denyRule -Merge # 启动 AppLocker 服务并设为自动 Set-Service -Name AppIDSvc -StartupType Automatic Start-Service -Name AppIDSvc逻辑说明-Action Allow的规则必须放在-Action Deny之前AppLocker 的匹配顺序是“显式拒绝 显式允许 默认规则”。%ProgramFiles%和%ProgramFiles(x86)%要分别写因为 64 位系统上 32 位程序装在 x86 目录。参数调整如果现场有自定义的批处理脚本或 Python 脚本需要运行必须把脚本解释器路径也加进允许列表否则运维自己的巡检脚本会被拦截。注意 AppLocker 不能拦截 DLL 和驱动所以还需要配合设备控制策略禁用 USB 存储。3. 工业控制系统网络安全避坑五条血泪经验3.1 避坑一用 Nmap 全端口扫描导致 PLC 通信中断现象对 S7-300 PLC 执行nmap -p 1-65535后PLC 的 BF总线故障灯闪烁HMI 上数据变灰产线停机 15 分钟。原因老款 PLC 的 TCP/IP 协议栈实现简陋并发连接数超过 8 个就会触发看门狗复位。Nmap 默认的 SYN 扫描并发很高直接打爆了 PLC 的连接表。解决OT 网络里永远不要做全端口扫描。用nmap -sT -p 102 --max-parallelism 1 --scan-delay 1s单端口、单线程、每秒一个包。更安全的做法是只做被动流量分析不主动发包。3.2 避坑二工控防火墙串接后忘记放行 NTP 和 DNS现象部署工控防火墙后PLC 的时钟每天慢 3 分钟 historian 的数据时间戳全部错乱趋势图对不上。原因防火墙默认拒绝所有流量只放行了 Modbus 和 S7忘了放行 PLC 到内网 NTP 服务器的 UDP 123 端口。PLC 时钟漂移导致 SOE事件顺序记录失效。解决白名单必须包含 NTPUDP 123、DNSUDP 53、SNMPUDP 161和 ICMP。如果内网没有 NTP 服务器在工程师站上装一个 Meinberg NTP 服务让 PLC 指向它。3.3 避坑三镜像口配成 Trunk 导致抓到一堆无关 VLAN 流量现象在核心交换机上配了镜像口抓包文件 10 分钟就 2GB分析时发现大量办公网的 HTTP 流量真正的 Modbus 报文被淹没。原因镜像源端口是 Trunk 口把所有 VLAN 的流量都镜像过来了。OT 网络和 IT 网络虽然逻辑隔离但物理上可能共享核心交换机。解决镜像配置里指定filter vlan 100假设 OT 在 VLAN 100只镜像 OT VLAN 的流量。如果交换机不支持 VLAN 过滤把镜像口配成 Access 模式只允许 OT VLAN 通过。3.4 避坑四用默认密码的 SNMP 读交换机状态被当成攻击现象用 SNMP v2c 的public团体字去读 OT 交换机端口状态交换机 CPU 飙升网管软件告警“SNMP 暴力破解”。原因部分工控交换机尤其是老款赫斯曼、摩莎的 SNMP 实现有缺陷短时间内大量 GET 请求会导致 CPU 过载。而且public团体字会被安全设备标记为攻击。解决改用 SNMP v3 带认证和加密团体字换成 16 位以上随机字符串。轮询间隔从 1 分钟改成 5 分钟用snmpbulkget代替snmpget减少请求次数。3.5 避坑五在虚拟化平台上跑 historian 却忘了隔离管理网现象historian 虚拟机被入侵攻击者通过 vSphere 的管理网卡直接克隆了虚拟机拿到了历史数据。原因historian 虚拟机的管理网卡和业务网卡在同一个 vSwitch 上管理网没有做隔离。攻击者从 historian 的业务网卡进入后直接访问了 ESXi 的管理接口。解决虚拟化环境里OT 虚拟机的管理网卡必须放在独立的 vSwitch 和 VLAN并且只允许运维跳板机访问。ESXi 的管理接口不要和业务网卡共用物理上行链路。4. 从基线检查到流量检测把改进措施落到可验证的指标上4.1 工控网络安全基线检查的四个必查项基线检查不是把等保测评的表格抄一遍而是要针对工控设备做可验证、可回滚的检查。我一般按四个维度做账户与口令、网络服务与端口、日志与审计、固件与配置备份。每个维度都要有明确的通过标准和检查命令。检查项通过标准检查方法不通过的处理PLC 默认口令无默认口令口令长度≥12位用 PLC 编程软件尝试连接看是否提示修改口令在编程软件里修改口令记录到密码管理器开放端口只开放业务必需端口用nmap -sT -p 102,502 --max-parallelism 1单端口探测在交换机 ACL 里封禁非必需端口日志外发日志发送到 syslog 服务器在 PLC 配置里检查 syslog 目标 IP配置 syslog 指向内网日志平台配置备份有最近 30 天内的备份检查备份服务器上的文件时间戳用编程软件导出配置存到离线介质检查频率建议账户和口令每季度一次端口和日志每月一次配置备份每周一次。注意不要用自动化工具批量扫 PLC必须逐台手动检查因为不同品牌 PLC 的响应差异很大。4.2 用 Suricata 做 Modbus 异常写操作的检测规则流量检测在 OT 环境里比 IT 环境更难因为工控协议的正常行为模式很固定反而容易做白名单。我用 Suricata 做 Modbus TCP 的异常写操作检测核心思路是记录所有写操作对高频写和异常地址写告警。下面是一条 Suricata 规则检测对保持寄存器 40001-40010 的写操作。# suricata.yaml 中启用 modbus 解析 modbus: enabled: yes ports: [502] # 自定义规则文件 modbus.rules alert modbus any any - any 502 (msg:Modbus write to holding register 40001-40010; \ modbus: function 0x06; modbus: access write; \ modbus: address 0; modbus: quantity 10; \ sid:1000001; rev:1;) alert modbus any any - any 502 (msg:Modbus write frequency anomaly; \ modbus: function 0x10; modbus: access write; \ threshold: type both, track by_src, count 10, seconds 60; \ sid:1000002; rev:1;)逻辑说明第一条规则检测功能码 0x06写单个寄存器和 0x10写多个寄存器对地址 0-9对应 40001-40010的写操作。第二条规则用threshold做频率检测同一源 IP 在 60 秒内写超过 10 次就告警。参数调整address和quantity要根据实际 PLC 的寄存器映射表修改不能照抄。threshold的count和seconds需要根据产线节拍调整——包装线可能每秒写几十次而化工反应釜可能几分钟才写一次。4.3 用 Zeek 提取工控流量元数据做行为基线Suricata 做告警Zeek 做元数据记录两者互补。Zeek 的 Modbus 和 S7 解析器可以把每次读写操作记录成结构化日志用来做行为基线。下面是一个 Zeek 脚本统计每个源 IP 对每个目标 IP 的读写次数输出到日志。# modbus_baseline.zeek load protocols/modbus module ModbusBaseline; export { redef enum Log::ID { LOG }; type Info: record { ts: time log; src: addr log; dst: addr log; func: count log; read_count: count log default0; write_count: count log default0; }; } global stats: table[addr, addr] of Info; event modbus_message(c: connection, headers: ModbusHeaders, is_orig: bool) { local src c$id$orig_h; local dst c$id$resp_h; local key [src, dst]; if (key !in stats) { stats[key] Info([$tsnetwork_time(), $srcsrc, $dstdst, $funcheaders$function_code]); } if (headers$function_code 1 || headers$function_code 2 || headers$function_code 3 || headers$function_code 4) { stats[key]$read_count 1; } else if (headers$function_code 5 || headers$function_code 6 || headers$function_code 15 || headers$function_code 16) { stats[key]$write_count 1; } } event zeek_done() { for ([src, dst] in stats) { Log::write(LOG, stats[src, dst]); } }逻辑说明modbus_message事件在每次 Modbus 报文解析时触发headers$function_code区分读写操作。功能码 1-4 是读5、6、15、16 是写。zeek_done在 Zeek 退出时把统计结果写入日志。参数调整stats表在内存里累积如果流量很大需要定期 flush 到磁盘否则 Zeek 进程会 OOM。可以在zeek_done之前加一个定时器每 5 分钟输出一次并清空表。跑一周后用日志里的read_count和write_count做基线偏离基线 3 倍以上的就告警。5. 进阶技巧用被动指纹识别未登记的工控设备5.1 为什么被动指纹比主动扫描更适合 OT 网络主动扫描在 OT 网络里是禁忌但被动指纹可以做到零打扰。工控设备的网络协议栈实现有很强的品牌特征西门子 PLC 的 TCP 窗口大小通常是 8192罗克韦尔的 EtherNet/IP 设备在 TCP 握手时会带特定的选项字段施耐德的 Modbus 设备对功能码 0x2B读设备标识的响应格式和其他品牌不一样。这些特征不需要发送任何额外数据包只靠镜像流量就能提取。我一般用p0f做 TCP/IP 层指纹用Zeek 的 DPD动态协议检测做应用层指纹两者结合能把设备品牌和型号猜个八九不离十。5.2 用 p0f 和 Zeek 日志做设备指纹关联p0f 的日志格式是文本Zeek 的日志是 TSV需要用一个 Python 脚本做关联。下面这段代码读取 p0f 日志和 Zeek 的 conn.log按 IP 和时间窗口匹配输出设备指纹报告。import re from collections import defaultdict # 解析 p0f 日志提取 IP 和 OS 指纹 p0f_fingerprints {} with open(/var/log/p0f.log, r) as f: for line in f: # p0f 日志格式时间戳 | IP | 指纹信息 match re.search(r\| (\d\.\d\.\d\.\d) \| (.), line) if match: ip match.group(1) fingerprint match.group(2).strip() p0f_fingerprints[ip] fingerprint # 解析 Zeek conn.log提取 IP 和协议 zeek_conns defaultdict(set) with open(/opt/zeek/logs/current/conn.log, r) as f: for line in f: if line.startswith(#): continue fields line.strip().split(\t) if len(fields) 6: src_ip fields[2] dst_ip fields[4] proto fields[6] zeek_conns[src_ip].add(proto) zeek_conns[dst_ip].add(proto) # 关联输出 print(IP地址\t\tp0f指纹\t\tZeek协议) for ip in sorted(set(p0f_fingerprints.keys()) | set(zeek_conns.keys())): fp p0f_fingerprints.get(ip, 未知) protos ,.join(zeek_conns.get(ip, [无])) print(f{ip}\t\t{fp}\t\t{protos})逻辑说明p0f 日志里的指纹信息包含 OS 类型、版本、网络距离等比如Linux 3.x或Windows 7 or 8。Zeek 的conn.log第 2 列是源 IP第 4 列是目标 IP第 6 列是协议。关联后如果某个 IP 的 p0f 指纹是Windows 7但 Zeek 协议里出现了 Modbus那它大概率是一台工程师站或 HMI。参数调整p0f 需要以-i eth1 -p模式运行在镜像口上-p表示混杂模式。Zeek 的日志路径根据实际安装位置调整默认在/opt/zeek/logs/current/。5.3 指纹库的维护和误报处理被动指纹的误报主要来自网络地址转换NAT和虚拟化。如果 OT 网络里有 NAT 设备多个 PLC 可能共用一个 IPp0f 指纹会混乱。虚拟化环境里虚拟机的 TCP/IP 栈由 hypervisor 实现指纹可能显示为宿主机的 OS。处理方法是在指纹报告里标注“疑似 NAT”和“疑似虚拟机”人工确认后再纳入资产台账。指纹库需要每季度更新一次因为新采购的设备可能用了新的网络芯片。我一般把指纹库存成 CSV字段包括 IP、MAC、p0f 指纹、Zeek 协议、设备类型、确认状态、备注。每次做资产盘点时先跑一遍被动指纹和上次的 CSV 做 diff新增的 IP 必须人工确认。5.4 一个具体习惯每次变更后跑一次被动指纹对比我自己的习惯是任何工控网络变更新增设备、更换交换机、调整 VLAN之后 24 小时内必须跑一次被动指纹对比。变更前导出一份资产指纹 CSV变更后 24 小时再导出一份用diff命令对比。新增的 IP 如果没有在变更工单里登记一律视为异常先隔离端口再排查。这个习惯帮我抓到过两次施工队私接路由器的事件——一次是 4G 路由器一次是家用 WiFi 路由器都是通过被动指纹发现的新 IP 和异常协议HTTP 和 DHCP暴露的。工控网络安全没有一劳永逸的方案只有持续监控和快速响应。希望帮到你。本文还有配套的精品资源点击获取 
长河君 · 2026/9/29 5:43:25 · 阅读 1.2k 工业控制系统网络安全实战：从资产梳理到流量检测的避坑指南
简介这份文档围绕工业控制系统网络安全展开面向工控运维人员、信息安全从业者及钢铁冶金等流程工业的技术管理者聚焦工控网络在工业互联网背景下的风险防护与安全加固问题。资源包内含1个docx文档压缩包约8KB篇幅精炼便于快速查阅与内部传阅。文档结合山东钢铁集团日照有限公司的实践从安全技术措施与安全管理措施两条主线切入提出实现三层安全隔离的改进思路并对工控网络的可用性、性能和服务水平进行统一监控管理最终保障工业控制系统安全稳定运行。内容涵盖工控系统安全需求分析、风险点梳理、隔离架构设计与运维管理要点适合作为工控安全方案设计、等级保护整改及日常安全管理的参考材料。目前已有88人学习关注对需要快速了解工控网络安全问题与改进路径的读者具有一定借鉴价值。1. 工业控制系统网络安全为什么“物理隔离”不再是后悔药很多人对工业控制系统ICS网络安全的第一反应是“内网物理隔离怕什么”。这个判断在十年前或许成立但今天已经变成最危险的假设。我见过不止一个现场PLC、DCS、SCADA 通过一台双网卡工程师站悄悄连上了办公网或者一个 4G 路由器被施工队接进交换机整个 OT 网络就变成了攻击面。工业控制系统网络安全的核心矛盾在于——它要同时满足可用性优先和安全防护而传统 IT 安全那套“打补丁、装杀毒、频繁重启”的做法在产线上根本行不通。一个炼钢厂的转炉控制如果因为杀毒软件扫描导致 CPU 过载几秒钟的延迟就是几十万的损失。所以这个方向要解决的问题不是“有没有漏洞”而是在不影响生产连续性的前提下把攻击面收窄、把异常行为识别出来、把响应动作限制在安全边界内。适合谁看自动化工程师转安全、做等保测评的安服人员、以及需要给工控网络做基线加固的运维负责人。接下来的内容我会按“先搞清楚问题在哪、再动手做资产梳理和流量检测、最后落到避坑和进阶技巧”的顺序展开每一步都给出可复现的命令和参数。2. 工业控制系统网络安全的典型问题从资产不清到协议裸奔2.1 资产台账靠 Excel 维护离线设备永远对不上号工控网络最基础也最致命的问题是资产台账和实际在线设备长期不一致。IT 网络里你可以用 Nmap 扫全网但在 OT 环境里一次全端口扫描就可能让老旧的西门子 S7-300 PLC 通信卡死。我见过一个水厂他们的资产表上写着 47 台设备实际用被动流量分析跑了三天发现活跃 IP 有 63 个多出来的全是历史遗留的 HMI 和一台没人认领的串口服务器。这种“黑匣子”状态直接导致两个后果第一出了安全事件不知道影响范围第二做基线检查时漏掉关键设备检查报告看起来合格实际上有 16 台设备从来没被查过。常见做法是被动资产发现 主动轻量探测结合。被动发现用镜像流量分析不发送任何数据包对生产零影响。主动探测只对已知设备列表做单端口、低频率的 TCP SYN 探测确认存活即可不做漏洞扫描。下面这段 Python 用 Scapy 解析镜像口抓到的工控协议报文提取 IP、MAC 和协议类型生成初始资产清单。from scapy.all import sniff, Ether, IP, TCP, UDP import csv from datetime import datetime assets {} def parse_packet(pkt): if IP in pkt: src_ip pkt[IP].src dst_ip pkt[IP].dst proto TCP if TCP in pkt else (UDP if UDP in pkt else OTHER) # 只记录工控常用端口减少噪音 ics_ports [102, 502, 44818, 20000, 4840, 789] if TCP in pkt and (pkt[TCP].sport in ics_ports or pkt[TCP].dport in ics_ports): key src_ip if key not in assets: assets[key] { ip: src_ip, mac: pkt[Ether].src if Ether in pkt else unknown, protocol: proto, first_seen: datetime.now().isoformat(), ports: set() } if TCP in pkt: assets[key][ports].add(pkt[TCP].sport) assets[key][ports].add(pkt[TCP].dport) # 从镜像口 eth1 抓包持续 300 秒 sniff(ifaceeth1, prnparse_packet, timeout300, store0) # 导出 CSV端口集合转成字符串 with open(ics_assets.csv, w, newline) as f: writer csv.writer(f) writer.writerow([IP, MAC, Protocol, First_Seen, Ports]) for ip, info in assets.items(): writer.writerow([info[ip], info[mac], info[protocol], info[first_seen], ,.join(map(str, info[ports]))])逻辑说明sniff的iface参数必须指向交换机镜像口对应的网卡不能指向业务网卡。timeout300表示抓 5 分钟实际生产环境建议至少跑 24 小时覆盖交接班时段。ics_ports列表里 102 是西门子 S7502 是 Modbus TCP44818 是 EtherNet/IP20000 是 DNP34840 是 OPC UA789 是冗余协议常用端口。参数调整如果现场有 ABB 或施耐德设备需要补充 55000 和 502 的变体端口。跑完后用ics_assets.csv和现有台账做 diff多出来的 IP 必须人工确认不能直接拉黑。2.2 工控协议设计时没考虑认证Modbus 和 S7 就是裸奔Modbus TCP 和西门子 S7Comm 在设计之初假设运行在封闭串行链路或专线环境没有身份认证、没有加密、没有完整性校验。这意味着任何能访问到 502 端口的人都可以直接读写线圈和寄存器。我做过一个实验用 Python 的 pymodbus 库在不知道任何密码的情况下把一台模拟 PLC 的保持寄存器值从 100 改成 0整个过程不到 3 秒。这不是漏洞这是协议特性。更麻烦的是很多工程师站软件比如 WinCC、组态王在连接 PLC 时会把工程文件里的逻辑和配方一起下发攻击者如果劫持了这条链路可以直接篡改生产配方。常见改进措施是在交换机层面做端口级访问控制 在关键链路部署工控防火墙做深度包检测。但工控防火墙不是即插即用必须先把正常通信的“白名单”跑出来。下面这段代码用 pyshark 解析 S7Comm 报文提取功能码和读写地址生成白名单规则的基础数据。import pyshark import json # 读取抓包文件过滤 S7Comm 流量 cap pyshark.FileCapture(s7_traffic.pcap, display_filters7comm) rules [] for pkt in cap: try: s7 pkt.s7comm # 提取功能码0x04 读0x05 写0x1a 请求下载 func_code s7.get_field(s7comm.func) # 提取读写区域和地址 area s7.get_field(s7comm.param.item.area) address s7.get_field(s7comm.param.item.address) length s7.get_field(s7comm.param.item.length) if func_code and area: rule { src_ip: pkt.ip.src, dst_ip: pkt.ip.dst, func: func_code, area: area, address: address, length: length } if rule not in rules: rules.append(rule) except AttributeError: continue cap.close() # 输出为 JSON供防火墙策略生成脚本使用 with open(s7_whitelist.json, w) as f: json.dump(rules, f, indent2)逻辑说明display_filters7comm只解析 S7 协议报文避免混入其他流量。func_code的取值需要对照 S7Comm 协议文档0x04 是读变量0x05 是写变量0x1a 是请求下载。白名单规则的核心是只允许已知的读写操作拒绝所有未出现的功能码。参数调整如果现场有 HMI 做趋势曲线读操作的地址范围会很大需要按地址段聚合不能逐条列。生成的s7_whitelist.json导入工控防火墙时注意防火墙的规则匹配顺序——先匹配拒绝规则再匹配允许规则否则白名单会被绕过。2.3 工程师站和 historian 是最大跳板补丁却永远打不上工控网络里 80% 的攻击路径最终都落到工程师站和 historian 服务器上。这两类机器通常跑着 Windows 7 或 Windows Server 2008因为 PLC 编程软件和组态软件只兼容这些老系统。微软早就停止支持了但你不能升级一升级组态软件就崩。我见过一个电厂工程师站上同时装着西门子 STEP 7、施耐德 Unity Pro 和一套盗版组态软件三个软件互相抢串口和授权最后运维把 Windows 防火墙全关了“图省事”。这台机器既连着 PLC 控制网又连着办公网收邮件就是一个标准跳板。改进措施不是强行打补丁而是做应用白名单 网络微隔离。应用白名单用 Windows AppLocker 或第三方工控专用白名单软件只允许 STEP 7 和组态软件的可执行文件运行其他 exe 一律拦截。网络微隔离用 VLAN 或工控防火墙把工程师站限制在只能访问特定 PLC 的特定端口。下面是一个用 PowerShell 配置 AppLocker 的示例只允许指定目录下的程序运行。# 创建 AppLocker 规则只允许 Siemens 和 Schneider 目录下的程序 $rule New-AppLockerPolicy -RuleType Exe -User Everyone -Action Allow -Path %ProgramFiles%\Siemens\Automation\* -Path %ProgramFiles%\Schneider Electric\* -Path %ProgramFiles(x86)%\Siemens\Automation\* # 默认拒绝所有其他 exe $denyRule New-AppLockerPolicy -RuleType Exe -User Everyone -Action Deny -Path * # 合并规则并应用到本地策略 Set-AppLockerPolicy -Policy $rule -Merge Set-AppLockerPolicy -Policy $denyRule -Merge # 启动 AppLocker 服务并设为自动 Set-Service -Name AppIDSvc -StartupType Automatic Start-Service -Name AppIDSvc逻辑说明-Action Allow的规则必须放在-Action Deny之前AppLocker 的匹配顺序是“显式拒绝 显式允许 默认规则”。%ProgramFiles%和%ProgramFiles(x86)%要分别写因为 64 位系统上 32 位程序装在 x86 目录。参数调整如果现场有自定义的批处理脚本或 Python 脚本需要运行必须把脚本解释器路径也加进允许列表否则运维自己的巡检脚本会被拦截。注意 AppLocker 不能拦截 DLL 和驱动所以还需要配合设备控制策略禁用 USB 存储。3. 工业控制系统网络安全避坑五条血泪经验3.1 避坑一用 Nmap 全端口扫描导致 PLC 通信中断现象对 S7-300 PLC 执行nmap -p 1-65535后PLC 的 BF总线故障灯闪烁HMI 上数据变灰产线停机 15 分钟。原因老款 PLC 的 TCP/IP 协议栈实现简陋并发连接数超过 8 个就会触发看门狗复位。Nmap 默认的 SYN 扫描并发很高直接打爆了 PLC 的连接表。解决OT 网络里永远不要做全端口扫描。用nmap -sT -p 102 --max-parallelism 1 --scan-delay 1s单端口、单线程、每秒一个包。更安全的做法是只做被动流量分析不主动发包。3.2 避坑二工控防火墙串接后忘记放行 NTP 和 DNS现象部署工控防火墙后PLC 的时钟每天慢 3 分钟 historian 的数据时间戳全部错乱趋势图对不上。原因防火墙默认拒绝所有流量只放行了 Modbus 和 S7忘了放行 PLC 到内网 NTP 服务器的 UDP 123 端口。PLC 时钟漂移导致 SOE事件顺序记录失效。解决白名单必须包含 NTPUDP 123、DNSUDP 53、SNMPUDP 161和 ICMP。如果内网没有 NTP 服务器在工程师站上装一个 Meinberg NTP 服务让 PLC 指向它。3.3 避坑三镜像口配成 Trunk 导致抓到一堆无关 VLAN 流量现象在核心交换机上配了镜像口抓包文件 10 分钟就 2GB分析时发现大量办公网的 HTTP 流量真正的 Modbus 报文被淹没。原因镜像源端口是 Trunk 口把所有 VLAN 的流量都镜像过来了。OT 网络和 IT 网络虽然逻辑隔离但物理上可能共享核心交换机。解决镜像配置里指定filter vlan 100假设 OT 在 VLAN 100只镜像 OT VLAN 的流量。如果交换机不支持 VLAN 过滤把镜像口配成 Access 模式只允许 OT VLAN 通过。3.4 避坑四用默认密码的 SNMP 读交换机状态被当成攻击现象用 SNMP v2c 的public团体字去读 OT 交换机端口状态交换机 CPU 飙升网管软件告警“SNMP 暴力破解”。原因部分工控交换机尤其是老款赫斯曼、摩莎的 SNMP 实现有缺陷短时间内大量 GET 请求会导致 CPU 过载。而且public团体字会被安全设备标记为攻击。解决改用 SNMP v3 带认证和加密团体字换成 16 位以上随机字符串。轮询间隔从 1 分钟改成 5 分钟用snmpbulkget代替snmpget减少请求次数。3.5 避坑五在虚拟化平台上跑 historian 却忘了隔离管理网现象historian 虚拟机被入侵攻击者通过 vSphere 的管理网卡直接克隆了虚拟机拿到了历史数据。原因historian 虚拟机的管理网卡和业务网卡在同一个 vSwitch 上管理网没有做隔离。攻击者从 historian 的业务网卡进入后直接访问了 ESXi 的管理接口。解决虚拟化环境里OT 虚拟机的管理网卡必须放在独立的 vSwitch 和 VLAN并且只允许运维跳板机访问。ESXi 的管理接口不要和业务网卡共用物理上行链路。4. 从基线检查到流量检测把改进措施落到可验证的指标上4.1 工控网络安全基线检查的四个必查项基线检查不是把等保测评的表格抄一遍而是要针对工控设备做可验证、可回滚的检查。我一般按四个维度做账户与口令、网络服务与端口、日志与审计、固件与配置备份。每个维度都要有明确的通过标准和检查命令。检查项通过标准检查方法不通过的处理PLC 默认口令无默认口令口令长度≥12位用 PLC 编程软件尝试连接看是否提示修改口令在编程软件里修改口令记录到密码管理器开放端口只开放业务必需端口用nmap -sT -p 102,502 --max-parallelism 1单端口探测在交换机 ACL 里封禁非必需端口日志外发日志发送到 syslog 服务器在 PLC 配置里检查 syslog 目标 IP配置 syslog 指向内网日志平台配置备份有最近 30 天内的备份检查备份服务器上的文件时间戳用编程软件导出配置存到离线介质检查频率建议账户和口令每季度一次端口和日志每月一次配置备份每周一次。注意不要用自动化工具批量扫 PLC必须逐台手动检查因为不同品牌 PLC 的响应差异很大。4.2 用 Suricata 做 Modbus 异常写操作的检测规则流量检测在 OT 环境里比 IT 环境更难因为工控协议的正常行为模式很固定反而容易做白名单。我用 Suricata 做 Modbus TCP 的异常写操作检测核心思路是记录所有写操作对高频写和异常地址写告警。下面是一条 Suricata 规则检测对保持寄存器 40001-40010 的写操作。# suricata.yaml 中启用 modbus 解析 modbus: enabled: yes ports: [502] # 自定义规则文件 modbus.rules alert modbus any any - any 502 (msg:Modbus write to holding register 40001-40010; \ modbus: function 0x06; modbus: access write; \ modbus: address 0; modbus: quantity 10; \ sid:1000001; rev:1;) alert modbus any any - any 502 (msg:Modbus write frequency anomaly; \ modbus: function 0x10; modbus: access write; \ threshold: type both, track by_src, count 10, seconds 60; \ sid:1000002; rev:1;)逻辑说明第一条规则检测功能码 0x06写单个寄存器和 0x10写多个寄存器对地址 0-9对应 40001-40010的写操作。第二条规则用threshold做频率检测同一源 IP 在 60 秒内写超过 10 次就告警。参数调整address和quantity要根据实际 PLC 的寄存器映射表修改不能照抄。threshold的count和seconds需要根据产线节拍调整——包装线可能每秒写几十次而化工反应釜可能几分钟才写一次。4.3 用 Zeek 提取工控流量元数据做行为基线Suricata 做告警Zeek 做元数据记录两者互补。Zeek 的 Modbus 和 S7 解析器可以把每次读写操作记录成结构化日志用来做行为基线。下面是一个 Zeek 脚本统计每个源 IP 对每个目标 IP 的读写次数输出到日志。# modbus_baseline.zeek load protocols/modbus module ModbusBaseline; export { redef enum Log::ID { LOG }; type Info: record { ts: time log; src: addr log; dst: addr log; func: count log; read_count: count log default0; write_count: count log default0; }; } global stats: table[addr, addr] of Info; event modbus_message(c: connection, headers: ModbusHeaders, is_orig: bool) { local src c$id$orig_h; local dst c$id$resp_h; local key [src, dst]; if (key !in stats) { stats[key] Info([$tsnetwork_time(), $srcsrc, $dstdst, $funcheaders$function_code]); } if (headers$function_code 1 || headers$function_code 2 || headers$function_code 3 || headers$function_code 4) { stats[key]$read_count 1; } else if (headers$function_code 5 || headers$function_code 6 || headers$function_code 15 || headers$function_code 16) { stats[key]$write_count 1; } } event zeek_done() { for ([src, dst] in stats) { Log::write(LOG, stats[src, dst]); } }逻辑说明modbus_message事件在每次 Modbus 报文解析时触发headers$function_code区分读写操作。功能码 1-4 是读5、6、15、16 是写。zeek_done在 Zeek 退出时把统计结果写入日志。参数调整stats表在内存里累积如果流量很大需要定期 flush 到磁盘否则 Zeek 进程会 OOM。可以在zeek_done之前加一个定时器每 5 分钟输出一次并清空表。跑一周后用日志里的read_count和write_count做基线偏离基线 3 倍以上的就告警。5. 进阶技巧用被动指纹识别未登记的工控设备5.1 为什么被动指纹比主动扫描更适合 OT 网络主动扫描在 OT 网络里是禁忌但被动指纹可以做到零打扰。工控设备的网络协议栈实现有很强的品牌特征西门子 PLC 的 TCP 窗口大小通常是 8192罗克韦尔的 EtherNet/IP 设备在 TCP 握手时会带特定的选项字段施耐德的 Modbus 设备对功能码 0x2B读设备标识的响应格式和其他品牌不一样。这些特征不需要发送任何额外数据包只靠镜像流量就能提取。我一般用p0f做 TCP/IP 层指纹用Zeek 的 DPD动态协议检测做应用层指纹两者结合能把设备品牌和型号猜个八九不离十。5.2 用 p0f 和 Zeek 日志做设备指纹关联p0f 的日志格式是文本Zeek 的日志是 TSV需要用一个 Python 脚本做关联。下面这段代码读取 p0f 日志和 Zeek 的 conn.log按 IP 和时间窗口匹配输出设备指纹报告。import re from collections import defaultdict # 解析 p0f 日志提取 IP 和 OS 指纹 p0f_fingerprints {} with open(/var/log/p0f.log, r) as f: for line in f: # p0f 日志格式时间戳 | IP | 指纹信息 match re.search(r\| (\d\.\d\.\d\.\d) \| (.), line) if match: ip match.group(1) fingerprint match.group(2).strip() p0f_fingerprints[ip] fingerprint # 解析 Zeek conn.log提取 IP 和协议 zeek_conns defaultdict(set) with open(/opt/zeek/logs/current/conn.log, r) as f: for line in f: if line.startswith(#): continue fields line.strip().split(\t) if len(fields) 6: src_ip fields[2] dst_ip fields[4] proto fields[6] zeek_conns[src_ip].add(proto) zeek_conns[dst_ip].add(proto) # 关联输出 print(IP地址\t\tp0f指纹\t\tZeek协议) for ip in sorted(set(p0f_fingerprints.keys()) | set(zeek_conns.keys())): fp p0f_fingerprints.get(ip, 未知) protos ,.join(zeek_conns.get(ip, [无])) print(f{ip}\t\t{fp}\t\t{protos})逻辑说明p0f 日志里的指纹信息包含 OS 类型、版本、网络距离等比如Linux 3.x或Windows 7 or 8。Zeek 的conn.log第 2 列是源 IP第 4 列是目标 IP第 6 列是协议。关联后如果某个 IP 的 p0f 指纹是Windows 7但 Zeek 协议里出现了 Modbus那它大概率是一台工程师站或 HMI。参数调整p0f 需要以-i eth1 -p模式运行在镜像口上-p表示混杂模式。Zeek 的日志路径根据实际安装位置调整默认在/opt/zeek/logs/current/。5.3 指纹库的维护和误报处理被动指纹的误报主要来自网络地址转换NAT和虚拟化。如果 OT 网络里有 NAT 设备多个 PLC 可能共用一个 IPp0f 指纹会混乱。虚拟化环境里虚拟机的 TCP/IP 栈由 hypervisor 实现指纹可能显示为宿主机的 OS。处理方法是在指纹报告里标注“疑似 NAT”和“疑似虚拟机”人工确认后再纳入资产台账。指纹库需要每季度更新一次因为新采购的设备可能用了新的网络芯片。我一般把指纹库存成 CSV字段包括 IP、MAC、p0f 指纹、Zeek 协议、设备类型、确认状态、备注。每次做资产盘点时先跑一遍被动指纹和上次的 CSV 做 diff新增的 IP 必须人工确认。5.4 一个具体习惯每次变更后跑一次被动指纹对比我自己的习惯是任何工控网络变更新增设备、更换交换机、调整 VLAN之后 24 小时内必须跑一次被动指纹对比。变更前导出一份资产指纹 CSV变更后 24 小时再导出一份用diff命令对比。新增的 IP 如果没有在变更工单里登记一律视为异常先隔离端口再排查。这个习惯帮我抓到过两次施工队私接路由器的事件——一次是 4G 路由器一次是家用 WiFi 路由器都是通过被动指纹发现的新 IP 和异常协议HTTP 和 DHCP暴露的。工控网络安全没有一劳永逸的方案只有持续监控和快速响应。希望帮到你。本文还有配套的精品资源点击获取