第1章 SCADA安全概述

1. SCADA安全概述：工业控制系统(ICS)与SCADA系统定义

大家好，我是老张，在工控安全这行摸爬滚打了十几年。今天咱们开始聊SCADA安全，第一节课，我先带大家把基础概念捋清楚。

很多人一听到「工业控制系统」就觉得特别高大上，其实说白了，就是用来控制工业设备的计算机系统。你想想看，工厂里的流水线、发电站里的汽轮机、水厂里的水泵，这些设备怎么自动运转？靠的就是ICS。

而SCADA系统，是ICS里最核心的一种。全称叫「监控与数据采集系统」。我习惯把它理解成「工业大脑」——它负责远程监视和控制那些分布在广阔地理范围内的设备。比如输油管道，几百公里长，每个阀门、每个泵站的状态，都得靠SCADA系统实时盯着。

核心定义：SCADA系统是一种用于远程监控和控制工业过程的计算机系统，它通过采集现场数据、执行控制指令，实现对分布式工业设施的集中管理。

我记得刚入行那会儿，有个老前辈跟我说过一句话，我一直记到现在：「SCADA系统要是出了问题，不是丢数据，是丢命。」这话一点不夸张。2010年的震网病毒事件，就是通过SCADA系统攻击了伊朗的核离心机，直接导致物理设备损坏。所以，搞SCADA安全，咱们肩上扛的是真责任。

SCADA系统的架构，这些年变化太大了。我把它分成四个阶段，大家看看自己接触过哪些。

最早的SCADA系统，就是一台计算机直接连现场设备。一台机器管一个站，数据不共享，控制不联动。说白了，就是个「电子仪表盘」。那时候的安全？基本没有。谁碰得到那台机器，谁就能控制整个系统。

后来网络技术发展了，SCADA开始用局域网把多台计算机连起来。有了主站、子站的概念。主站负责集中监控，子站负责现场数据采集。这个阶段，安全问题开始冒头——因为网络通了，病毒也能顺着网线跑进来了。

互联网普及后，SCADA系统开始接入企业内网甚至外网。远程运维、数据上云，效率是高了，但攻击面也大了。我在项目中遇到过一家化工企业，他们的SCADA系统直接连着办公网，结果员工电脑中了勒索病毒，顺着网络把控制系统的历史数据全加密了。嗯，那次教训很深刻。

现在的主流架构，是云平台做大数据分析和AI预测，边缘网关做实时控制和数据预处理。说白了，就是「云上算大账，边上干细活」。这种架构的好处是灵活，坏处是——安全边界更模糊了。

避坑指南：我曾经帮一家水厂做安全评估，发现他们还在用2005年的单机架构SCADA。老板觉得「没联网就安全」，但现场工程师用U盘拷数据，直接把病毒带进去了。所以，别以为老架构就安全，人的操作才是最大的漏洞。

搞工控安全，必须搞清楚OT和IT的区别。我见过太多IT安全专家，拿着IT那套思路来搞OT，结果碰一鼻子灰。

实时性要求极高：控制指令延迟超过50毫秒，设备可能就出事故了。IT网络里丢几个包无所谓，OT网络里丢一个包，可能就炸了。
系统不能随便重启：IT服务器可以半夜打补丁重启，OT系统？你试试看。化工厂的反应釜正在高温高压运行，你重启控制系统？那叫谋杀。
协议五花八门：Modbus、Profibus、DNP3、IEC 61850……这些协议设计之初就没考虑安全，明文传输、无认证、无加密。我习惯叫它们「裸奔协议」。
生命周期长：IT设备3-5年换代，OT设备用10-15年很正常。Windows XP在IT领域早淘汰了，但在很多SCADA系统里还在跑。

现在大家都在谈IT和OT融合。为什么？因为工业互联网、智能制造需要数据打通。OT设备产生的数据，要送到IT系统里做分析、做优化。但融合也带来了新问题——OT系统暴露在了IT网络的风险之下。

我举个例子。一家汽车制造厂，把生产线的数据通过OPC UA协议传到MES系统，MES再连到企业ERP。结果IT部门的员工误操作，把一台染了病毒的笔记本电脑接入了车间网络，病毒顺着OPC UA通道直接感染了PLC。那次停产损失，够买好几套安全设备了。

重要提醒：IT/OT融合不是简单地把两个网络连起来。必须做安全隔离——工业防火墙、单向网闸、安全网关，这些设备一个都不能少。我曾经见过一个案例，企业为了省成本，直接用交换机把OT和IT网络连在一起，结果被勒索病毒一锅端。省下的钱，还不够付赎金的零头。

所以，我的建议是：融合要分步走。先做资产梳理，搞清楚OT网络里到底有哪些设备、跑什么协议。然后做网络分区，把关键控制区、非关键监控区、办公区严格隔离开。最后才是数据交换，而且必须经过安全审查。

好了，第一节课就到这里。下一节咱们聊SCADA系统的通信协议安全，我会重点讲Modbus和DNP3的那些坑。大家回去可以想想：你所在的企业，OT和IT网络是怎么连的？有没有做隔离？

本节要点回顾：