工控安全速查

一、总原则

工控 ICS 直接管物理过程：停机代价大 → 可用性 > 完整性 > 机密性（与传统 IT 相反）。

工控安全需求优先序：先保能用再保完整，机密性排在最后。

二、核心组件

工控核心组件分工：远看 SCADA 采监视，近控 DCS 分布管，PLC 做动作，RTU 采现场。

协议常考：Modbus、OPC、DNP3；多明文、缺认证。

三、威胁与隐患

• 标志案例：Stuxnet（震网） → 破坏物理过程
• 五类威胁：自然灾害 · 内部误操作 · 功能安全故障 · 恶意代码 · 网络攻击
• 特有隐患：协议无安全设计、产品/固件漏洞、开放接入、供应链

工控特有安全隐患：协议明文缺认证，开放接入供应链。

四、保护机制速查

• 物理：核心区域门禁监控；封多余 USB/光驱
• 边界：分区；工业防火墙 / 网闸 / 单向隔离
• 身份：多因素、最小特权、改默认口令
• 远程：禁公网高危服务；确需 VPN + 限时 + 日志
• 主机：离线验证杀软或程序白名单
• 运维：监测、应急演练、冗余（电源/设备/网络）

工控边界防护设备：工业防火墙能解析，网闸单向隔内外。

工控远程访问原则：公网高危服务先关掉，确需远程走 VPN。

五、电力十六字方针

1. 安全分区：生产控制大区 / 管理信息大区
2. 网络专用：控制业务专用网
3. 横向隔离：控制与管理大区间单向隔离装置
4. 纵向认证：上下级边界认证加密访问控制

电力监控安全十六字方针：安全分区网络专，横向隔离纵向认（字头：分专横纵）。

六、等保工控扩展

• 工控对象 = 安全通用要求 + 工业控制安全扩展要求
• 技术五类 + 管理五类（与等保框架一致）
• 认名：GB/T 22239；IEC 62443（国际）

等保工控扩展要求：通用不够再加工控，分区隔离要到位。

七、易错陷阱

• 工控优先序 ≠ 传统 IT 的「机密优先」
• SCADA ≠ DCS（远程监视调度 vs 厂内分布控制）
• 功能安全故障 ≠ 信息安全入侵
• 传统防火墙 ≠ 能解析工控协议的工业防火墙
• 等保测评 ≠ 风险评估（第 18 课）

八、下午卷模板

先点可用优先 → 再写分区 + 隔离装置/工业防火墙 → 身份/远程 VPN/白名单/监测冗余 → 点名等保工控扩展；电力场景套十六字方针。