文章总结： 本文阐述了工控系统风险评估的核心逻辑，即风险由威胁与脆弱性构成。文章介绍了从资产发现与识别、基于MITREATT&CK框架的威胁场景构建到行为基线监测与漏洞管理的全流程。建议建立资产全生命周期管理与事件关联分析，遵循事前预防优于补救的原则，参考国标构建主动防御体系。 综合评分： 89 文章分类： 安全建设,网络安全,安全运营,技术标准

【工业控制系统网络安全系列课程】第2课-工业控制系统的网络安全风险

原创

老付话安全 老付话安全

老付话安全

2026年2月3日 20:35 山东

点击蓝字

关注我们

关注我，带给你不一样的精彩

世界因你的沉淀而出彩

始于理论，源于实践，终于实战

老付话安全，每天一点点

激情永无限，进步看得见

严正声明

本号所写文章方法和工具只用于学习和交流，严禁使用文章所述内容中的方法未经许可的情况下对生产系统进行方法验证实施，发生一切问题由相关个人承担法律责任，其与本号无关。

特此声明！！！

本文字数：

2303字

阅读时间：

10分钟

风险并非抽象概念，它由“威胁”和“脆弱性”共同构成。随着入侵者知识积累与攻击手段日益复杂，系统面临的风险也随之演变。我们常说的“风险”，实质上是在威胁利用系统脆弱性之后，可能对业务造成的负面影响。因此，建立有效的风险防护体系，必须从识别威胁与脆弱性入手。

那么，如何开展风险评估？ 典型的风险分析应包括以下几个步骤： 首先，进行工控系统资产梳理，明确其业务价值； 其次，识别已有的安全防护措施； 接着，分析资产脆弱性及面临的威胁，例如系统存在哪些漏洞； 最后，进行安全风险综合分析，形成整体判断。 在这一过程中，我们可以参考国家标准《GB/T 20984-2022 信息安全风险评估规范》和《GB/T 36466-2018 工业控制系统风险评估实施指南》，确保评估的系统性与合规性。

风险评估与管理的理念，其实自古有之。 汉代《申鉴》中提到：“一曰防，二曰救，三曰戒。先其未然谓之防，发而止之谓之救，行而责之谓之戒。防为上，救次之，戒为下。” 这句话精准概括了安全工作的三个层次：事前预防、事中处置、事后追责。对我们而言，预防永远优于补救，这也正是风险评估的核心价值——在风险发生之前，系统性地识别并控制它。

工业控制系统风险评估的具体流程整个过程以资产为核心，贯穿始终，主要包括： 资产发现 → 资产识别 → 资产可视 → 资产配置 → 资产告警。 目标是建立资产在物理和逻辑位置上的完整基线，实现全生命周期的可知、可视、可管。

风险识别第一步：资产识别评估，识别系统暴露或差距的第一步是识别可能易受攻击的系统组件，例如操作系统、应用程序或通信;基 于他们在网络中的位置，或者他们做什么。

首先，资产发现是建立安全基线的第一步。我们需要摸清家底，建立涵盖物理位置与逻辑连接的资产清单。 其次，资产识别是获取资产的详细属性，例如制造商、型号、操作系统、IP/MAC地址、通信协议、固件版本与补丁状态等，这些信息是后续风险评估的基础。

接下来，查找威胁向量。在第一步中发现的组件中，存在已识别的漏洞。可以使用公告、供应商通知、代码或其他高级工具来查找威胁。

首先，资产发现是建立安全基线的第一步。我们需要摸清家底，建立涵盖物理位置与逻辑连接的资产清单。 其次，资产识别是获取资产的详细属性，例如制造商、型号、操作系统、IP/MAC地址、通信协议、固件版本与补丁状态等，这些信息是后续风险评估的基础。

资产识别与评定：

• 网络拓扑与数据流审查：除了资产本身，网络结构与数据流动同样关键。我们需要绘制清晰的网络拓扑图，并识别关键的数据流。通过对通信路径与流量的分析，可以预判潜在的攻击路径与风险点，为脆弱性评估提供网络层面的依据。

• 绘制网络拓扑图

• 识别并分析数据流

• 风险预判

从基础的制造商、操作系统、协议，到动态的互联关系、风险等级，再到通信上下文与行为监测，这是一个由静态属性向动态行为、由个体向关系延伸的立体化识别体系。

了解威胁是风险评估的另一支柱。 我们可以借助MITRE ATT&CK for ICS框架，系统性地梳理攻击者在工控环境中的战术、技术与所用工具。正所谓“纵使风云变幻，终究不离其宗”，该框架为我们提供了构建风险场景的通用语言。

基于ATT&CK框架，我们可以构建贴合自身业务的风险场景。 每个场景都应包含明确的威胁行为、利用的脆弱性、影响的资产及可能造成的后果。同时，我们需要建立场景的评分标准，通常从技术可行性、潜在影响、威胁来源动机与能力等维度进行综合评价。

这里以PLC和工程师站为例，展示了具体的风险场景描述。 例如，攻击者可能通过网络钓鱼获取工程师站凭证，进而向PLC发送恶意指令，导致生产中断。我们可以通过关联威胁向量、资产价值、脆弱性等级等因素，对场景风险进行量化计算。

为了有效检测威胁，我们需要为关键资产建立行为基准。通过持续监测，识别偏离正常基线的异常操作、指令或流量，从而在攻击链的早期发现威胁迹象。

单一日志往往难以判断风险全貌，因此我们需要进行事件关联分析。通过预设的关联规则，将不同设备、不同时间的安全事件进行串联分析，还原攻击路径，提升告警的准确性与可操作性。

例如，我们可以设定一条规则：如果“同一IP在短时间内多次尝试登录不同设备”且“随后出现异常工艺指令下发”，则生成高风险告警。这类规则能帮助我们从海量日志中快速定位真实攻击。

在脆弱性评估方面，目前有两种主流思路： 一是传统漏洞管理，通常使用CVSS等通用评分系统对漏洞进行评级； 二是更先进的基于风险的漏洞管理，它要求我们站在攻击者视角，对资产暴露面进行持续性的检测、分析、预警、处置与监控，使漏洞管理真正与业务风险挂钩。

对于复杂的风险决策，我们可以采用层次分析法这样的定量工具。 AHP通过将风险因素分层、两两比较、计算权重，帮助我们更科学地判断各类风险的相对重要性，支撑优先级排序与资源分配。

漏洞管理的能力建设并非一蹴而就，通常遵循一个成熟度模型： 从初期的被动响应，到建立标准化流程，再到实现主动预警与持续优化，最终与业务风险管理深度融合。我们可以据此评估自身所处的阶段，并规划发展路径。

根据风险评估结果，制定缓解所有漏洞和威胁向量的方案。实施并遵循补丁管理策略。收紧防火墙规则，并监控或删除 路由器和 VPN 连接。

暴露是潜在威胁向量与网络现有防御能力之间的差距。通过系统地识别系统的暴露情况，用户可以开始做出提高安全标准的明智选择。 这反过来可以帮助为组织定义一个强大而有效的网络安全策略，该策略将在业务运营和最适用的防御措施之间提供平衡。

end

往期内容回顾****

| | | — | | 安全评估实施 | | 安全工程与运营之系统安全工程 | | 安全评估标准 |

@请赐予我力量，关注和转发是最大的支持@

+VX：TCMAFNS119  欢迎进群交流

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：老付话安全 老付话安全 老付话安全《【工业控制系统网络安全系列课程】第2课-工业控制系统的网络安全风险》