设备网络安全风险：OT网络的脆弱性扫描与分段（扫描方法、分段、监控）

设备网络安全风险：OT网络的脆弱性扫描与分段（扫描方法、分段、监控）本文档提供：表1目录与定位表；表2扫描方法选择判定表；表3被动扫描部署参数核对表；表4资产清单完整度判定表；表5暴露面与脆弱性定级表；表6分段基线通信矩阵表；表7工业防火墙DPI规则核对表；表8分段验收判定表；表9监控基线偏离告警表；式(1)暴露面风险值计算式；表10gate评审表；表11排查表；表12-a三套场景保留项表；表12-b三套场景删掉项表；表13决策规则表；表14示例变量表；表15来源表。

2026-11-05表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、扫描先选方法，OT环境主动扫一次可能停一条线表2扫描方法选择判定表，示例PLC网段选被动锁定扫描方法入口二、被动扫描看三处部署参数，SPAN口镜像不全等于白扫表3被动扫描部署参数核对表，示例SPAN口双向镜像核对传感器部署条件三、资产清单按Purdue层数行，缺层就是盲区表4资产清单完整度判定表，示例Level1缺2台PLC锁定资产清单缺口四、暴露面从开放端口和协议功能码往外数，按风险值定级表5暴露面与脆弱性定级表、式(1)，示例Modbus写功能码开放算出暴露面风险值五、分段先画通信矩阵，基线没跑够不动手割接表6分段基线通信矩阵表，示例Level2到Level1只留Modbus读锁定通信矩阵基线六、工业防火墙规则按功能码写，Modbus写码默认拒绝表7工业防火墙DPI规则核对表，示例只放行功能码1/2/3/4核对DPI白名单规则七、割接后按三列数值验收，通不通报文说话表8分段验收判定表，示例越界流量为0放行分段验收八、监控盯基线偏离，三列告警对应三种动作表9监控基线偏离告警表，示例新MAC出现在Level1触发监控告警动作九、gate评审四道门，退回项写清补件日期表10gate评审表，示例暴露面门2026-12-10放行四道门评审十、表填完了gate开不了，先查这七处表11排查表，示例SPAN镜像方向排查gate缺口十一、完整版、精简版、极简版各保留哪些检查项表12-a保留项表、表12-b删掉项表选择版本检查项十二、扫描窗口撞上生产排程，按这四条规则裁表13决策规则表，示例被动扫描2至4周基线裁决资源撞车十三、从空白资产表到gate放行，某OT安全工程师走了一遍表14示例变量表，示例基线采集周数复现案例推进十四、文末数据来源与核对路径表15来源表，示例被动扫描部署口径核对来源动作按第一列在正文找对应那节，按第二列判断这节有没有要用的东西，按第三列判断这节是否对应当前卡住的位置。一、扫描先选方法，OT环境主动扫一次可能停一条线OT安全工程师拿到一条汽车焊装线的网段清单，第一行是Level1PLC网段，设备型号含S7-1500和Modbus/TCP远程IO。扫描方法选择按表2逐网段判，第一行Level1PLC网段。表2扫描方法选择判定表网段Purdue层看哪列什么样算选对方法不合格形态怎么改PLC控制网段Level1设备类型、协议、是否允许注入报文选被动扫描，或经确认的维护窗口主动扫直接对在线PLC跑Nmap全端口改为被动扫描，SPAN口镜像SCADA/HMI网段Level2操作系统类型、是否可停选被动扫描为主，主动扫限只读探测用IT漏洞扫描器全速扫换只读被动模式或停扫工程师站网段Level3是否有EDR、能否装代理可选轻量主动扫描或代理采集装通用IT扫描代理导致蓝屏改用无代理被动发现DMZ历史库Level3.5对外暴露端口主动扫描可接受，限非生产时段生产时段全端口扫排维护窗口表2成品块输入：Level1PLC网段的设备类型、协议、是否允许注入报文；动作：取设备类型与“允许主动扫描”条件对照，取协议与“主动扫描是否安全”对照；输出：在扫描计划表“方法”列填“被动”；判定：设备类型为PLC/RTU或协议为Modbus/TCP、S7comm且未确认维护窗口的，填“被动”通过；填“主动扫描”且无维护窗口确认的退回改方法。在OT环境中，主动扫描向PLC注入报文可能导致通信中断或控制器异常，Level3以下以被动监控为硬性前提。二、被动扫描看三处部署参数，SPAN口镜像不全等于白扫选定被动扫描后，工程师在核心交换机上配置SPAN口。三处参数按表3逐项核。表3被动扫描部署参数核对表参数打开什么看哪列什么样算合格不合格形态怎么改SPAN口镜像方向交换机SPAN配置页源端口、方向源端口覆盖待监控网段全部上联口，方向为双向只镜像了单向或漏了上联口补源端口、改双向镜像带宽余量SPAN会话状态页镜像流量与端口带宽镜像流量峰值不超过端口带宽70%峰值90%导致丢包拆分会话或换TAP传感器可见性传感器资产发现列表已发现设备数覆盖资产清单中该网段设备≥95%只发现60%补SPAN源或改TAP部署表3成品块输入：第1行SPAN源端口和方向、第2行镜像流量与带宽、第3行已发现设备数；动作：逐项取配置值和状态值与合格条件对照；输出：在扫描部署记录表“部署合格”列填“是”或“补配”；判定：三项全部合格填“是”，镜像方向单向或设备覆盖率低于95%填“补配”并重配。被动传感器通常部署在Level2/3边界或关键分界点的SPAN端口或TAP上，只监听、不注入流量。SPAN只转发镜像口配置的流量，截断或过载的镜像会在负载下丢包，导致网段“变暗”。三、资产清单按Purdue层数行，缺层就是盲区被动扫描跑满2周后导出资产清单，按Purdue层逐层数行。Level1应有PLC12台、远程IO8台，实际只发现PLC10台、远程IO6台。按表4逐层核。表4资产清单完整度判定表Purdue层打开资产清单哪段数什么什么样算覆盖不合格形态换哪条路Level0/1Level1资产段PLC、RTU、远程IO行数与工程台账差异≤2台且关键PLC全部在列缺2台PLC、2台远程IO补SPAN源或现场核MACLevel2Level2资产段HMI、SCADA服务器行数每台有IP、MAC、协议、固件版本固件版本列空白补厂商型号库或现场读版本Level3Level3资产段工程师站、历史库行数每台有角色和对等通信对象只有IP无角色补通信关系或访谈确认Level3.5DMZ资产段跳板机、补丁服务器行数每台有对外暴露端口清单端口清单空白从防火墙会话表反推表4成品块输入：Level1资产段行数、工程台账PLC和远程IO数；动作：取清单行数与台账数对照，取关键PLC是否在列对照；输出：在资产清单“完整度”列填“缺2台PLC/2台远程IO”；判定：差异≤2台且关键PLC全部在列填“覆盖”，缺关键PLC填“盲区”并补SPAN或现场核对。被动发现从流量中提取设备身份、关系、协议上下文，遗留设备可能不响应主动探测，只能靠流量中的通信行为补全。四、暴露面从开放端口和协议功能码往外数，按风险值定级资产清单补齐后，工程师发现Level1一台Modbus/TCP远程IO对Level2开放了功能码6（写单寄存器）和功能码16（写多寄存器），Level2到Level1的HMI也开放了502端口双向写。暴露面按式(1)算风险值。式(1)暴露面风险值=开放写功能码数×受影响设备数×可达路径数开放写功能码数：该网段内被允许通过的Modbus写功能码种类数（功能码5、6、15、16等）。受影响设备数：能收到该写功能码的设备台数。可达路径数：从非可信区域到达该设备的独立网络路径条数。代入数值：开放写功能码2个（6和16），受影响设备4台（2台远程IO+2台PLC），可达路径2条（Level2HMI直连、Level3工程师站经路由可达）。风险值=2×4×2=16。该公式有两处易错。第一处：只数端口不数功能码，502端口开放但只允许读功能码1至4，风险值应为0而非按“502开放”计。第二处：可达路径按“逻辑连接”数，把同一VLAN内的多跳算成多条路径，导致风险值虚高。校验方法：打开工业防火墙会话表或被动扫描的协议功能码统计，取写功能码种类数；打开资产清单取该协议下设备台数；打开网络拓扑图数从非可信区到该网段的独立路径条数。三数代入式(1)，算出的风险值与表5风险值列对照，两值一致为通过。工业协议DPI可按功能码做白名单，只允许读功能码（如0x03）通过、拒绝写功能码（0x06/0x10），是降低暴露面风险值的直接手段。表5暴露面与脆弱性定级表暴露项开放写功能码数受影响设备数可达路径数风险值定级Modbus远程IO写功能码24216高Level2HMI对PLC写1212低工程师站直连PLC1111低定级规则：风险值≥12为高，6至11为中，小于6为低。高风险项进分段优先修复清单。表5成品块输入：第2行三项乘数；动作：三数相乘并与定级区间对照；输出：在暴露面表“风险值”列填“16”、“定级”列填“高”；判定：风险值≥12填“高”并进分段优先清单，6至11填“中”补规则，小于6填“低”观察。五、分段先画通信矩阵，基线没跑够不动手割接暴露面定级完成后，进入分段设计。被动扫描已积累3周流量，按Purdue层画出通信矩阵。Level2到Level1当前有Modbus读写双向、OPCUA读、S7comm读写三类流量。按表6锁定必须保留的通信路径。表6分段基线通信矩阵表源层目标层协议功能码/方向是否必须保留依据处置Level2Level1Modbus/TCP功能码1/2/3/4读保留HMI画面刷新需要防火墙放行读Level2Level1Modbus/TCP功能码6/16写按需保留仅配方下发时段使用限时放行或改走Level3Level3Level1S7comm读写不保留工程师站直连属历史遗留割接后走Level2跳板Level2Level3.5OPCUA读保留历史库采集放行单向读表6成品块输入：第2至5行通信路径；动作：逐行取协议、功能码/方向与“必须保留”条件对照，取依据列与操作需求对照；输出：在通信矩阵“处置”列填“放行读”“限时放行”“不保留改道”；判定：有明确操作需求且最小功能码可满足的填“放行”，无当前操作需求的历史路径填“不保留”并改道。分段设计必须以被动监控积累的流量基线为依据，基线采集至少2至4周，确保合法通信路径不被割断。六、工业防火墙规则按功能码写，Modbus写码默认拒绝通信矩阵锁定后，工程师在Level2和Level1之间部署工业防火墙。规则按表7逐条核，Modbus502端口只放行读功能码。表7工业防火墙DPI规则核对表规则项打开防火墙哪页看哪列什么样算合格不合格形态怎么改源/目的区域规则第1行源Zone、目的Zone源Level2、目的Level1明确源填“any”限定为Level2网段Modbus允许功能码规则第2行功能码列表只列1/2/3/4含6/16且无时间限制移除写码或加时间对象写码限时规则第3行时间对象写码仅在配方下发窗口生效写码全天放行绑定维护窗口时间对象非IP协议规则第4行协议类型非IP工业协议显式拒绝默认放行补拒绝规则日志规则第5行日志开关允许和拒绝均记录源IP、功能码只记录拒绝开启允许日志表7成品块输入：第2行Modbus功能码列表、第3行时间对象；动作：取功能码列表与“只含1/2/3/4”对照，取写码时间对象与“限维护窗口”对照；输出：在防火墙规则表“DPI合格”列填“是”或“修改”；判定：允许功能码只含读码且写码绑定时间对象填“是”，含写码全天放行填“修改”并移除或加时间对象。工业防火墙的DPI能识别Modbus功能码并按白名单过滤，只允许读功能码通过、拒绝写功能码，可防止未授权的PLC参数修改。规则未启用DPI或允许写功能码是配置核查中的高风险项。七、割接后按三列数值验收，通不通报文说话防火墙以“监控模式”挂载2周后再切“执行模式”，割接后按表8验收。三列数值来自防火墙日志和被动传感器。表8分段验收判定表验收项打开什么看哪列什么样算合格不合格形态换哪条路越界流量防火墙拒绝日志拒绝计数割接后24小时拒绝计数为0或仅已知测试流量拒绝计数持续增长查源IP补通信矩阵合法通信可用性被动传感器协议会话Level2到Level1Modbus读会话数与割接前基线差异≤5%会话数下降20%恢复被误拒规则写功能码越权尝试防火墙DPI日志被拒绝的功能码6/16计数有尝试则记录源IP和功能码，无尝试也可接受写码被放行且无时间对象回退规则并重配表8成品块输入：第1至3行三列数值；动作：取拒绝计数与“0或已知测试流量”对照，取读会话数与基线差异对照，取写码放行记录与时间对象对照；输出：在验收记录表“分段验收”列填“通过”或“回退”；判定：三项均合格填“通过”，任一不合格填“回退”并查通信矩阵补漏。85%的OT违规涉及横向移动，扁平网络使勒索软件在数分钟内扩散；分段的验收标准必须落在实际流量的通过和拒绝计数上，不能以“防火墙已部署”替代。八、监控盯基线偏离，三列告警对应三种动作分段验收通过后，被动传感器转入持续监控。基线包括每台设备的通信对端、协议、功能码、通信频率。按表9比对偏离。表9监控基线偏离告警表偏离类型打开什么看哪列什么样算告警首次动作升级动作新设备或新MAC被动传感器资产变化页新增资产列表出现基线外MAC/IP查交换机MAC表定位端口端口隔离并现场确认协议/功能码偏离协议行为页该设备功能码统计基线中无写码的设备出现功能码6/16查源IP和操作工单防火墙临时封禁源IP通信频率突升流量趋势页该设备会话频率偏离基线3倍以上持续5分钟查该时段操作记录联动SIEM并通知OT值班表9成品块输入：第1至3行三类偏离；动作：逐行取当前值与基线值对照，取持续时间和倍数与告警条件对照；输出：在监控记录表“告警”列填“是/否”并写首次动作；判定：偏离条件触发填“是”并执行首次动作，未触发填“否”继续观察。OT监控以被动为主，Level3以下严格避免主动扫描；告警的价值在于把偏离关联到可执行动作，而非停留在仪表盘。九、gate评审四道门，退回项写清补件日期扫描、分段、监控三块填完后过gate。四道门按表10顺序过。表10gate评审表门打开哪张表看哪列什么样算合格不合格形态补件日期写哪扫描门表3第2至4行部署合格三项全部“是”SPAN方向单向gate记录补件栏写2026-12-08暴露面门表5第2行定级高风险项有对应分段处置高风险项无处置写2026-12-10分段门表7第2至5行、表8第2至4行DPI合格、验收通过规则全部合格且验收通过写码全天放行写2026-12-12监控门表9第2至4行首次动作三类偏离均有首次动作记录新设备告警无动作写2026-12-15表10成品块输入：四张表对应行；动作：逐门取合格列对照；输出：在gate记录表填通过门和退回门；判定：四门合格列均有值且补件日期有日期填“放行”，任一退回门填“停gate”。十、表填完了gate开不了，先查这七处gate记录表退回栏填了扫描门和分段门两行，状态栏仍“待放行”。按表11排查。表11排查表检查点打开什么数什么合格条件不合格形态换哪条路SPAN镜像方向交换机SPAN配置数源端口和方向覆盖全部上联口且双向漏一个上联口补源端口资产清单层数表4第2至5行数各层有IP和MAC行各层关键设备在列Level1缺2台PLC补SPAN或现场核MAC暴露面风险值表5第2至4行数高风险项高风险项均有分段处置高风险无处置补分段方案通信矩阵表6第2至5行数“保留”和“不保留”行每条流量有处置依据写码“按需保留”无时间对象加时间对象或改道DPI功能码表7第2行数允许功能码只含读码含6/16且无时间限制移除或加时间对象分段验收表8第2至4行数合格项三项合格越界拒绝计数增长补矩阵或回退监控动作表9第2至4行数有首次动作的行三类偏离均有动作新设备告警无动作补动作并演练表11成品块输入：七行检查点；动作：逐行打开对应表数合格行或数值；输出：在排查记录表填缺口项；判定：七行均合格填“可重新提交gate”，任一不合格填缺口项并补。十一、完整版、精简版、极简版各保留哪些检查项监管报送或首次分段选完整版，年度复审且时间受限选精简版，个人学习或非OT岗位选极简版。按表12-a保留、表12-b删掉。表12-a三套场景保留项表版本适用场景保留检查项重跑动作不能妥协的底线完整版监管报送或首次分段表2至表9全部检查项、式(1)修复后重跑全量校验写功能码默认拒绝、越界流量为0精简版年度复审且时间受限表3部署、表4Level1、表5高风险、表6通信矩阵、表7DPI功能码、表8验收修复后只重跑失败项写码默认拒绝、验收通过极简版个人学习或非OT岗位表2方法选择、表4Level1行数、表7功能码列跑关键校验，不符按表11第5行排查不主动扫描生产PLC表12-a成品块输入：版本行；动作：按场景选版本并抄保留项；输出：在gate记录版本列填版本名；判定：保留项有值且底线项有值填版本名，任一空白退回选版本。公式增减：完整版跑式(1)，精简版只对高风险项跑式(1)，极简版不跑式(1)、直接看功能码是否含写码。表12-b三套场景删掉项表版本删掉检查项完整版保留表2至表11全部检查项精简版表3第2行镜像带宽余量精简版表4Level0/1以外层精简版表9第4行通信频率突升极简版表3、表5、表6、表8、表9极简版式(1)极简版表10监控门和暴露面门表12-b成品块输入：版本行；动作：按版本逐行核删掉项；输出：在版本检查单勾掉对应项；判定：保留项有值且删掉项未进本次gate，版本检查单签字。十二、扫描窗口撞上生产排程，按这四条规则裁分段割接窗口原定2026-12-10，但该焊装线12月连续生产无停机窗口，被动扫描基线尚差1周满4周；防火墙监控模式挂载2周也需要跨生产时段。按表13四条规则裁。表13决策规则表如果看到什么执行动作判定失效条件退路生产排程连续无停机窗口扫描和监控模式挂载均走生产时段，不安排主动扫描被动传感器在峰值丢包加TAP或拆SPAN会话基线采集不足4周延长基线至4周，割接日期顺延顺延后超出季度节点用3周基线+工程台账交叉验证防火墙写码规则需要配方下发窗口写码限时对象按实际配方下发时段配置配方下发时段不固定写码改走Level3跳板审批路径极简版审核发现PLC可主动扫描升级为完整版，强制被动-only升级后仍有主动扫描计划暂停该网段扫描，改SPAN监听表13成品块输入：四行条件列；动作：逐条取观察值对照；输出：在gate记录填停门项和退路；判定：条件列有值且动作列有记录，失效条件出现时退路有具体动作。矛盾陈述：季度分段目标要求2026-12-10完成割接并过gate；被动扫描基线要求4周连续流量，截至12-10仅积累3周；防火墙监控模式挂载2周需要跨过至少一次配方下发时段；同一条焊装线在12月不安排停机窗口。实质分析：基线不足4周时，配方下发时段的写功能码路径可能未被完整捕获，割接后写码限时规则可能误拒或漏拒。权衡规则：割接日期顺延至2026-12-17，基线补齐至4周；防火墙监控模式维持2周挂载，配方下发时段用工程台账补录一次人工抓包；写码规则先按“默认拒绝+人工审批放行”执行，待完整基线后再转自动限时。退路：若12-17仍无停机窗口，割接拆为两段，先切读功能码白名单，写码路径保留原状并加审批日志，下一维护窗口再切写码。十三、从空白资产表到gate放行，某OT安全工程师走了一遍示例案例，细节为合理设定。某OT安全工程师拿到焊装线Level1至Level3的空白资产表和分段验收表，手里有交换机SPAN配置权限、工业防火墙监控模式授权和3周被动扫描数据。起点是Level1有2台PLC未出现在资产清单中，Level2到Level1的Modbus502双向开放且写功能码6/16全天可用。分步操作：工程师先打开表2，取Level1PLC网段的设备类型和协议，选被动扫描，在核心交换机配置双向SPAN，传感器部署在Level2/3边界。3周后导出资产清单，按表4逐层数行，Level1缺2台PLC和2台远程IO。随后打开表5和式(1)，数出开放写功能码2个、受影响设备4台、可达路径2条，风险值16，定级“高”。再打开表6，从被动流量提取Level2到Level1的Modbus读会话和写会话，标记读功能码1至4保留、写码限配方下发时段。最后在工业防火墙上配置DPI规则，502端口允许功能码1/2/3/4，写码绑定时间对象。第一次转折。信号：资产清单Level1缺2台PLC。假设：SPAN漏了某个上联口。试了什么：检查交换机SPAN源端口，发现只镜像了主用上联口，备用上联口未纳入。新信息：备用上联口承载冗余PLC的通信，被动传感器看不到。换哪条路：补备用上联口到SPAN源列表，重扫3天，2台PLC和2台远程IO补入清单。第二次转折。信号：Modbus写功能码6/16在Level2到Level1全天可用，风险值16。假设：写码只在配方下发时使用，平时应拒绝。试了什么：对照操作记录，发现过去3周写码会话集中在每周二和周四的配方切换时段，其余时段无写码。新信息：写码需求有时段边界。换哪条路：DPI规则允许功能码1/2/3/4全天，功能码6/16仅在周二/周四配方窗口放行，其余时间拒绝并记录源IP。第三次转折。信号：防火墙监控模式挂载第1周，拒绝日志出现Level2某HMI对Level1PLC的S7comm尝试。假设：通信矩阵漏了一条历史路径。试了什么：查该HMI的工程配置，确认其保留了一条旧的S7comm诊断连接，基线3周内未触发是因为诊断功能未启用。新信息：该路径在割接后可能被维护人员唤起，若直接拒绝会影响故障排查。换哪条路：将S7comm诊断路径改为经Level3跳板机审批访问，Level2HMI不再直连Level1；防火墙对Level2到Level1的S7comm显式拒绝并记录。第四次转折。信号：基线差1周满4周，12月无停机窗口。假设：3周基线已覆盖主要通信，可先割接。试了什么：对比第1至3周和第4周（部分）的流量，发现第4周出现一次非计划的手动写码，源为Level3工程师站直连。新信息：3周基线漏掉了低频但存在的越界写码路径。换哪条路：割接顺延至基线满4周，Level3到Level1的S7comm写路径在通信矩阵中标记“不保留”，割接后经Le