2026年工业控制系统安全考核试题题库及答案

2026年工业控制系统安全考核试题题库及答案一、单项选择题（共20题，每题1分，共20分。每题只有一个正确答案）1.工业控制系统通用层级划分中，以下不属于操作技术（OT）域专属层级的是？A.现场设备层B.过程控制层C.网络传输层D.过程监控层2.2024年以来针对工业领域的勒索病毒攻击呈现明显的OT导向特征，该类攻击的核心目标是？A.加密办公终端文件索取赎金B.致瘫生产工艺迫使企业支付赎金C.窃取企业财务数据售卖牟利D.篡改企业官网页面实施政治示威3.根据《关键信息基础设施安全保护条例》及等保2.0修订要求，关键信息基础设施所属的工业控制系统安全审计日志留存时长应不少于？A.3个月B.6个月C.12个月D.24个月4.工业控制系统常用的ModbusTCP协议的默认通讯端口是？A.21B.102C.502D.80805.零信任架构在工业控制系统场景下落地的核心原则是？A.默认信任OT域内所有设备的访问请求B.仅对跨OT-IT边界的访问进行身份校验C.默认不信任所有访问请求，无论来源是内部还是外部D.优先保障访问便捷性，降低身份校验对实时性的影响6.工业防火墙与传统IT防火墙的核心差异是？A.具备更高的吞吐率B.支持工控协议深度包解析与指令级过滤C.支持VPN接入功能D.具备更低的时延7.国家网信办2025年工业安全事件通报显示，导致工控安全事件发生的最主要诱因是？A.工控设备存在高危漏洞B.设备使用默认口令或弱口令C.勒索病毒攻击D.内部人员误操作8.化工领域DCS系统控制器冗余切换的时间阈值应满足什么要求？A.不超过工艺允许的最大中断时长，通常为毫秒级B.不超过1秒C.不超过5秒D.无明确要求，只要能完成切换即可9.依据《工业数据分类分级指南》，以下属于工业核心数据的是？A.企业人事考勤数据B.高危工艺的实时控制参数C.产品营销方案D.办公系统运行日志10.关键信息基础设施所属工业控制系统的应急演练频率应不低于？A.每年1次B.每年2次C.每季度1次D.每月1次11.工业控制系统漏洞扫描作业应安排在以下哪个时段开展？A.生产高峰时段B.工作日上班时段C.停产检修时段D.任意时段均可12.针对工业控制系统运维人员的钓鱼攻击最常使用的伪装载体是？A.明星八卦类邮件附件B.工艺参数调整通知类邮件附件C.彩票中奖类邮件附件D.社保补缴类邮件附件13.工业互联网场景下，连接OT域与IT域的边缘计算网关必须具备的核心安全功能是？A.内置WiFi热点方便现场运维B.支持多协议转换与细粒度访问控制C.自带挖矿程序边缘算力复用D.支持公网远程调试功能14.工业控制系统补丁管理的正确流程是？A.收到厂商补丁推送后立即在生产环境部署B.补丁无需测试，直接安装即可C.先在测试环境验证补丁兼容性与安全性，再在生产环境分批部署D.为了避免影响生产，所有补丁都不安装15.ModbusTCP协议的原生安全缺陷是？A.传输速率低B.无内置身份认证与加密机制，报文明文传输C.兼容性差D.传输距离短16.安全仪表系统（SIS）与基本过程控制系统（BPCS）的网络应满足什么隔离要求？A.无需隔离B.逻辑隔离C.物理隔离D.仅需通过防火墙配置访问规则即可17.接入工业控制系统的工业云平台应至少符合等保几级要求？A.一级B.二级C.三级D.四级18.工业控制系统远程运维的正确方式是？A.直接将设备公网IP暴露，通过远程桌面连接B.通过加密VPN接入，采用多因素身份认证，全程操作审计C.仅通过账号密码认证即可接入D.使用第三方远控工具直接接入19.全球首个专门针对工业控制系统的恶意代码“震网”的攻击目标是？A.伊朗核设施离心机控制系统B.乌克兰电网控制系统C.委内瑞拉石油管道控制系统D.美国水厂控制系统20.工业控制系统安全的核心目标是？A.优先保障核心数据不泄露B.优先保障系统不被非法入侵C.优先保障生产工艺连续稳定运行，防范人员伤亡、环境破坏等安全事故D.优先保障运维操作便捷性二、多项选择题（共10题，每题2分，共20分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.工业控制系统的常见攻击面包括？A.现场层PLC、RTU、智能仪表等设备B.控制层工程师站、HMI等终端C.监控层SCADA服务器、历史数据库等D.生产管理层MES、ERP等系统2.等保2.0工业控制系统扩展要求中关于访问控制的正确表述有？A.禁止工业控制系统直接连接公网，确需连接的需部署单向隔离装置B.对不同控制域之间的访问进行细粒度隔离与权限控制C.对运维人员执行最小权限授权，仅授予操作必需的权限D.允许办公网普通用户直接访问控制层设备3.针对工控勒索病毒的常态化防御措施包括？A.组态文件、控制程序、工艺参数等核心数据定期离线备份，遵循3-2-1备份原则B.部署工控流量监测系统，实时识别异常访问与恶意指令C.关闭所有非必要的端口与服务，禁用设备默认口令D.定期开展勒索病毒专项应急演练，提升应急响应能力4.依据《工业数据分类分级指南》，以下属于工业重要数据的有？A.核心生产工艺配方参数B.生产运行实时监控数据C.设备全生命周期运维数据D.企业年度财务审计报告5.零信任架构在工业控制系统场景下的落地措施包括？A.对所有访问请求执行持续身份验证，不区分内外部来源B.对工控协议操作指令执行细粒度权限控制，仅允许合法指令通过C.默认信任OT域内部所有设备的访问请求，降低对实时性的影响D.对所有操作行为执行全程审计，满足溯源要求6.PLC设备的安全配置要点包括？A.启用身份认证功能，修改默认口令，采用强口令策略B.关闭不必要的远程编程、调试功能，确需使用的采取加密认证措施C.定期备份PLC程序与配置参数，离线存储D.直接将PLC绑定公网IP，方便远程运维7.工业控制系统安全事件应急响应的核心流程包括？A.事件监测与研判，确认事件类型与影响范围B.快速隔离受感染设备，阻断攻击扩散路径C.溯源分析，排查攻击入口与失陷资产D.恢复生产系统，开展复盘整改，填补安全短板8.工业互联网平台的典型安全风险包括？A.接入的海量边缘设备存在未修复漏洞，易被攻击者利用作为入侵入口B.平台汇聚的核心生产数据存在泄露、篡改风险C.OT-IT融合打通了攻击路径，攻击者可从IT域渗透至OT域D.平台身份认证机制不完善，易被未授权访问9.安全仪表系统（SIS）的安全管理要求包括？A.SIS与BPCS物理隔离，禁止接入非授权网络B.SIS控制逻辑修改需经过工艺、安全、运维多部门审批，修改后开展功能验证C.SIS报警信息实时上传至SCADA系统，确保异常及时处置D.运维人员可根据需求随时修改SIS控制逻辑10.工业控制系统安全培训的覆盖对象应包括？A.一线生产操作人员B.工艺工程师、运维工程师C.企业安全生产负责人D.行政、财务等办公人员三、判断题（共15题，每题1分，共15分。正确打√，错误打×）1.ModbusTCP协议传输报文为明文，无内置身份认证与加密机制，易被攻击者篡改、伪造。2.工业控制系统的安全优先级为保密性>完整性>可用性，与IT系统完全一致。3.为了方便运维，可以将HMI设备开启远程桌面功能并绑定公网IP。4.关键信息基础设施所属工业控制系统的安全审计日志留存时长不得少于12个月。5.工业控制系统的补丁安装与IT系统一致，收到厂商推送后应立即在生产环境部署。6.工业防火墙可对OPCUA、Modbus、S7等主流工控协议执行深度包解析，过滤非法操作指令。7.震网病毒是全球首个专门针对工业控制系统的恶意代码，通过篡改PLC控制逻辑实现物理破坏。8.工业核心数据一旦泄露、篡改，将对国家安全、公共利益造成特别严重的损害。9.零信任架构会显著增加工业控制系统的时延，完全不适合OT场景落地。10.工业控制系统远程运维仅需账号密码认证即可，无需额外的多因素认证措施。11.DCS系统控制器冗余切换时允许中断控制10秒以上，不会对生产造成影响。12.工业控制系统漏洞扫描作业可在生产高峰时段开展，不会影响生产运行。13.作为OT-IT融合的核心节点，工业边缘网关必须具备访问控制与入侵检测功能。14.针对工业控制系统的攻击仅会造成经济损失，不会引发人员伤亡、环境破坏等次生事故。15.生产现场的PLC设备无需设置口令，仅依靠物理接触限制即可保障安全。四、简答题（共5题，每题6分，共30分）1.简述操作技术（OT）系统与信息技术（IT）系统的核心安全需求差异，以及工业控制系统安全防护的核心原则。2.简述工业互联网场景下OT-IT融合带来的主要安全风险及对应防护措施。3.简述工业控制系统勒索病毒常态化防御体系的建设要点。4.简述安全仪表系统（SIS）功能安全与网络安全的协同管理要求。5.简述等保2.0三级工业控制系统的核心扩展要求。五、案例分析题（共1题，10分）案例背景：某大型煤化工企业2025年12月发生工控安全事件，攻击者通过伪装成“工艺参数调整通知”的钓鱼邮件入侵企业办公区财务终端，随后通过IT与OT边界配置错误的防火墙规则渗透进入MES系统，横向移动至控制层工程师站后篡改了气化炉的压力控制参数，导致气化炉超压报警，所幸SIS系统及时触发联锁切断进料，未造成人员伤亡与爆炸事故，但导致生产线停产36小时，直接经济损失1200万元。溯源发现：OT与IT边界工业防火墙仅配置了粗粒度访问规则，允许MES网段对工程师站网段的全端口访问；工程师站使用出厂默认口令，未启用身份认证功能；OT域未部署任何流量监测与入侵检测设备，攻击者在OT域横向移动72小时未被发现；企业从未开展过工控安全培训与应急演练。请回答以下问题：1.分析本次事件发生的主要原因（至少答出5点，5分）2.给出针对性的整改方案（至少答出6点，5分）六、计算题（共1题，5分）某炼化企业现场控制层共部署120台PLC设备，每台PLC的漏洞扫描时长为15分钟，企业每年安排2次停产检修窗口，每次检修窗口的可用安全测试时间为4小时，现有漏洞扫描工具最多支持同时扫描2台设备，要求每台PLC每年至少完成2次漏洞扫描，忽略设备切换的时间损耗，请计算：1.每次检修窗口最多可完成多少台PLC的单次漏洞扫描？（2分）2.现有条件是否满足所有PLC每年至少扫描2次的要求？若不满足，至少需要增加多少台相同并发能力的漏洞扫描工具？（3分）答案与解析一、单项选择题答案与解析1.答案：C解析：工业控制系统通用Purdue模型将OT域划分为现场设备层、现场控制层、过程监控层、生产管理层，网络传输层属于IT系统的层级划分，不属于OT域专属层级。2.答案：B解析：2024年以来OT导向型勒索病毒的核心目标是致瘫生产工艺，以停产损失要挟企业支付高额赎金，而非单纯加密办公文件或窃取数据。3.答案：C解析：《关键信息基础设施安全保护条例》明确要求关基设施的安全审计日志留存时长不少于12个月，工控系统作为关基设施的核心组成部分需遵循该要求。4.答案：C解析：ModbusTCP协议默认端口为502，21为FTP默认端口，102为S7协议默认端口，8080为HTTP代理常用端口。5.答案：C解析：零信任核心原则是“永不信任，始终验证”，无论访问请求来自内部还是外部，都需要执行持续的身份校验与权限验证。6.答案：B解析：工业防火墙与传统IT防火墙的核心差异是支持主流工控协议的深度包解析，可实现指令级的细粒度过滤，适配OT域的防护需求。7.答案：B解析：国家网信办2025年工业安全事件通报显示，68%的工控安全事件由默认口令、弱口令被利用引发，是最主要的安全诱因。8.答案：A解析：化工领域高危工艺对控制中断的容忍度极低，DCS控制器冗余切换时间需控制在工艺允许的最大中断时长内，通常为毫秒级，避免触发工艺联锁。9.答案：B解析：高危工艺的实时控制参数属于工业核心数据，一旦篡改将直接引发安全事故，其余选项均属于普通办公数据或一般业务数据。10.答案：B解析：关基设施所属工控系统的应急演练频率不低于每年2次，一般工控系统不低于每年1次。11.答案：C解析：漏洞扫描可能对工控设备运行造成影响，需安排在停产检修时段开展，避免影响正常生产。12.答案：B解析：针对工控运维人员的钓鱼攻击通常伪装成与工作相关的工艺调整、运维通知等内容，提升诱骗成功率。13.答案：B解析：边缘网关作为OT-IT融合的核心节点，需支持多工控协议转换与细粒度访问控制，阻断跨域攻击路径。14.答案：C解析：工控系统补丁需先在测试环境验证兼容性与安全性，确认不会影响生产运行后再分批部署，避免因补丁不兼容导致生产中断。15.答案：B解析：ModbusTCP协议设计之初未考虑安全需求，无内置身份认证与加密机制，报文明文传输，易被攻击者篡改、伪造。16.答案：C解析：SIS作为生产安全的最后一道防线，需与BPCS物理隔离，避免攻击扩散至SIS导致联锁失效。17.答案：C解析：接入工控系统的工业云平台属于重要业务系统，需至少符合等保三级要求。18.答案：B解析：工控远程运维需通过加密VPN接入，采用多因素身份认证，全程操作留痕审计，避免未授权访问。19.答案：A解析：震网病毒的攻击目标是伊朗核设施的离心机控制系统，通过篡改PLC控制逻辑导致离心机损坏。20.答案：C解析：工控系统直接控制物理生产过程，安全核心目标是保障生产连续稳定运行，防范人员伤亡、环境破坏等安全事故，优先级高于数据保密性与系统防入侵要求。二、多项选择题答案与解析1.答案：ABCD解析：工业控制系统从现场层到管理层的所有设备、终端、系统均属于攻击面，攻击者可从任意层级发起攻击。2.答案：ABC解析：等保2.0工控扩展要求明确禁止普通办公用户直接访问控制层设备，其余选项均为正确要求。3.答案：ABCD解析：四个选项均为工控勒索病毒的常态化防御措施，涵盖数据备份、边界防护、检测响应、应急演练等多个维度。4.答案：ABC解析：企业年度财务审计报告属于普通办公数据，不属于工业重要数据范畴，其余选项均属于工业重要数据。5.答案：ABD解析：零信任架构默认不信任所有访问请求，包括OT域内部的请求，选项C错误，其余均为正确落地措施。6.答案：ABC解析：PLC直接绑定公网IP会将设备暴露在公网中，易被攻击者入侵，选项D错误，其余均为正确配置要点。7.答案：ABCD解析：四个选项均为工控安全事件应急响应的核心流程，涵盖监测、隔离、溯源、恢复全流程。8.答案：ABCD解析：四个选项均为工业互联网平台的典型安全风险，覆盖边缘层、平台层、网络层多个维度。9.答案：ABC解析：SIS控制逻辑修改需经过严格审批，禁止运维人员随意修改，选项D错误，其余均为正确管理要求。10.答案：ABCD解析：工控安全培训需覆盖所有相关人员，包括一线操作人员、技术人员、管理人员，甚至办公人员，提升全员安全意识。三、判断题答案与解析1.答案：√解析：ModbusTCP协议原生无安全机制，报文明文传输，易被篡改伪造。2.答案：×解析：工控系统安全优先级为可用性>完整性>保密性，与IT系统的保密性优先完全不同。3.答案：×解析：将HMI绑定公网IP会将设备暴露在公网中，易被攻击者入侵，严禁此类操作。4.答案：√解析：关基设施所属工控系统日志留存不少于12个月，符合法规要求。5.答案：×解析：工控补丁需先测试再部署，避免因补丁不兼容导致生产中断。6.答案：√解析：工业防火墙支持主流工控协议深度解析，可实现指令级过滤。7.答案：√解析：震网是全球首个专门针对工控系统的恶意代码，通过篡改PLC逻辑实现物理破坏。8.答案：√解析：工业核心数据的泄露、篡改会对国家安全、公共利益造成特别严重损害，符合工业数据分类分级要求。9.答案：×解析：当前轻量级零信任架构已适配工控场景的低时延要求，可在不影响生产实时性的前提下落地。10.答案：×解析：工控远程运维需采用多因素认证，提升访问安全性。11.答案：×解析：DCS控制器冗余切换需控制在毫秒级，10秒以上的中断会触发工艺联锁，导致生产中断。12.答案：×解析：漏洞扫描需在停产检修时段开展，避免影响生产运行。13.答案：√解析：边缘网关作为跨域节点，需具备访问控制与入侵检测功能，阻断攻击路径。14.答案：×解析：针对化工、核电等高危领域工控系统的攻击会引发爆炸、泄漏等事故，造成人员伤亡与环境破坏。15.答案：×解析：攻击者可通过内网横向移动访问PLC，仅依靠物理接触限制无法保障安全，需设置强身份认证。四、简答题答案1.答：（1）安全需求差异：①IT系统核心需求优先级为保密性>完整性>可用性，重点保障数据不泄露、不篡改；②OT系统核心需求优先级为可用性>完整性>保密性，重点保障生产工艺连续稳定运行，避免安全事故。（2）核心防护原则：①业务连续性优先原则：所有防护措施不得影响正常生产运行；②分层纵深防御原则：按照Purdue模型分层划分安全域，逐层部署防护措施；③最小权限原则：所有访问、操作仅授予必需的最小权限；④全生命周期安全原则：覆盖设备采购、部署、运维、报废全流程的安全管理；⑤可审计可追溯原则：所有操作全程留痕，满足事件溯源要求。2.答：（1）主要安全风险：①攻击面扩大：原本物理隔离的OT域通过IT网络暴露，攻击者可从IT域渗透至OT域；②协议安全缺陷放大：工控协议原生无安全机制，跨网传输时易被篡改、伪造；③数据安全风险：OT域核心生产数据上传至IT域或工业云时，存在泄露、篡改风险；④运维复杂度提升：跨OT-IT域的运维权限易被滥用，引发未授权操作。（2）防护措施：①边界防护：在OT-IT边界部署工业隔离网关或单向网闸，仅允许必要的业务流量通过；②流量监测：部署工控流量监测系统，对跨网流量进行实时监测，识别异常行为；③数据加密：核心生产数据传输、存储采用国密算法加密，防范数据泄露；④统一身份管理：建立跨域统一身份认证体系，对运维人员执行多因素认证与最小权限授权；⑤定期渗透测试：每季度开展跨域渗透测试，排查攻击路径，及时修复漏洞。3.答：工控勒索病毒常态化防御体系涵盖以下要点：（1）数据备份体系：核心组态文件、控制程序、工艺参数定期全量备份，离线存储，遵循3-2-1备份原则（3份备份、2种存储介质、1份离线存储），定期验证备份可用性。（2）边界防护体系：OT域与IT域、OT内部不同控制域之间部署工业防火墙，关闭非必要端口与服务，禁止OT设备直接连接公网。（3）检测响应体系：部署工控流量监测系统与入侵检测系统，建立正常业务流量基线，针对勒索病毒横向移动、文件加密等特征设置告警规则，每年开展至少2次专项应急演练。（4）终端防护体系：在OT终端部署轻量级工控防病毒软件，禁用移动存储介质自动运行功能，确需使用的需经过病毒查杀。（5）管理体系：建立完善的口令管理、补丁管理、运维管理制度，定期开展安全培训，提升全员安全意识。4.答：SIS功能安全与网络安全协同管理要求如下：（1）隔离要求：SIS需与BPCS物理隔离，禁止接入任何非授权网络，所有访问SIS的操作需经过严格的身份认证与审计。（2）配置要求：SIS控制逻辑修改需经过工艺、安全、运维多部门审批，修改前后需开展功能安全验证，所有操作全程留痕。（3）测试要求：定期开展SIS功能安全测试与网络安全测试，测试需在停产检修时段开展，避免影响正常生产。（4）应急要求：SIS触发报警时，首先研判是功能故障还是网络攻击，按照应急预案分类处置，避免误联锁导致生产中断。5.答：等保2.0三级工控系统核心扩展要求如下：（1）访问控制：禁止工控系统直接连接公网，确需连接的需部署单向隔离装置；不同控制域之间执行细粒度访问控制；禁用默认口令，采用强口令策略，定期更换。（2）安全审计：审计日志覆盖所有设备与操作，留存时长不少于6个月，关基工控系统不少于12个月，日志不可篡改、删除。（3）入侵防范：部署工控入侵检测系统，实时监测异常流量与操作，发现入侵行为及时告警。（4）设备