OT资产的盘点：设备、协议、版本（盘点方法、工具、记录）

OT资产的盘点：设备、协议、版本（盘点方法、工具、记录）本文档提供：被动发现静默资产补全检查表；主动查询安全条件判定表；协议与固件版本核对表；台账字段规范与录入判定表；某变电站二次设备测绘四轮转折复盘示例；三套场景检查项增减表。2026-11-06这一节的标题读完你能拿到什么这一节在全文中的功能一、SPAN口上看不到的设备，才是盘点最容易漏掉的部分被动发现静默资产补全检查表；备用PLC、串口设备、仅故障时通信的IED的补全动作锁定被动发现的盲区，给出三类静默资产的补全路径二、主动查询什么时候可以发、发什么、发给谁主动查询安全条件判定表；原生协议查询的限速与排除清单把主动查询从“能不能扫”落到“满足哪几个条件才发”三、同一台PLC，协议读出来的固件版本可能和铭牌不一致协议与固件版本核对表；铭牌、原生协议、工程站文件三处版本的比对动作把版本从“抄铭牌”升级为三源交叉核对四、台账字段不是越多越好，是每一个字段都要能回答一个问题台账字段规范与录入判定表；资产标签、Purdue层级、关键性的填写深度给出可审计的台账字段和每一列的判定条件五、一台自主重启的开关控制PLC：从“已知台账里没有”到全站测绘某500kV变电站二次设备测绘复盘；四轮转折与判断连锁用完整案例展示被动盲区、主动补全和版本核对的实际顺序六、三个场景各跑哪些项，各留哪些不跑完整版、精简版、极简版检查项增减表按盘点范围和可用停机窗口决定跑多少项七、判定规则与一处绕不开的矛盾6条如果—则规则；被动完整性与主动时效性的权衡把前六节的判定收敛为可执行规则八、来源说明信息项、来源层级、核对状态、验证事项对照表标注哪些断言可直接引用、哪些需回到本地网络和图纸核实按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一、SPAN口上看不到的设备，才是盘点最容易漏掉的部分被动监控的部署方式决定了它的盲区在物理位置而不在协议覆盖。传感器接在SPAN口或TAP上，读的是经过被监控交换机端口的流量。PLC背板内部的通信不出机箱，RTU与现场设备之间的串口链路不进入以太网，工程笔记本用网线直接插到控制器上的点对点连接也不经过被监控的交换机。一台备用PLC在备用状态下不发送任何报文，一台IED只在故障跳闸时才通信，一台串口设备藏在网关后面，这三类设备在被动数据中都不会出现为“资产”。判定动作因此分两步走。第一步，从被动工具导出“已发现资产清单”，按设备类型和位置分组。第二步，拿同一站或同一工艺区域的P&ID图纸、电气一次图、控制柜布置图和交换机MAC/CAM表，逐项核对“图纸或MAC表上有、被动清单上没有”的设备。被动清单的完整性不能由被动数据本身证明，必须有一个独立于流量的参照物。表1被动发现静默资产补全检查表静默类型在被动数据中长什么样第一检查动作什么样算合格备用PLC/备用控制器完全不出现。备用状态下不发送任何网络报文从控制柜布置图或备件台账中列出备用控制器，逐台确认其是否接入网络、接入在哪个交换机的哪个端口每一台备用控制器在台账中有独立行，标注“备用”状态和接入端口；或明确记录“未接入网络”及物理位置网关后的串口设备网关本身可能被发现，串口侧设备无IP、无流量查网关的串口配置表或RTU的端口映射表，列出每个串口连接的现场设备型号和地址串口设备以“通过某网关/某串口接入”的形式出现在台账中，不因无IP而从台账中消失仅故障时通信的IED正常运行期间无流量，被动周期内可能未被捕获对照保护装置的定值单或故障录波器配置，列出所有IED；与被动清单做差集差集中的IED有明确的补全记录：是通过主动查询补上的，还是通过图纸确认存在但本次未上电直接插拔的工程笔记本点对点连接不经过SPAN，连接结束后无痕迹查工程站或笔记本的USB/网口使用记录；查变更工单中是否有“现场直接连接”的记录存在过直接连接的笔记本被登记为“临时接入资产”，记录其MAC和接入过的控制器示例行：某220kV变电站2026年9月被动发现运行两周，导出资产清单347台。对照控制柜布置图，发现2台备用测控装置未出现在清单中；对照网关串口配置，发现3台串口保护装置仅以“挂在网关下”的形式被间接识别，无独立记录；对照故障录波器配置，发现1台故障录波装置在两周内无任何通信，被动清单中无此设备。补全动作：2台备用测控装置登记为“备用，未接入”；3台串口保护装置补充独立行，标注“经GW-01串口1接入”；故障录波装置安排一次维护窗口内的主动查询。该站被动清单覆盖率从347台补至353台，差集6台全部有了去向。二、主动查询什么时候可以发、发什么、发给谁主动查询的风险不在“扫描”这个动作本身，在于发出去的报文对老旧控制器来说是不是一个它设计时没有预期过的输入。IT环境的漏洞扫描器向Level0—1设备发送通用探测包，可能导致PLC故障、现场总线饱和或安全仪表系统误动作。主动查询的适用条件因此不是“有没有工具”，是“查询报文在设备原生协议内是否与工程站的正常请求无法区分”。Claroty的SafeQueries在原生协议内发送请求，声称从PLC视角看与工程站发出的标准请求无异；Nozomi的SmartPolling作为可选附加组件，部分策略需要凭证；Armis的SmartActiveQuerying是只读原生协议查询。“安全”是一个光谱：所有主动方法都会向生产控制器发包，差异在于发送频率、是否需要凭证、以及报文与现有流量的相似程度。判定动作要具体到协议和功能码：S7的SZL读取走TCP102，CIPIdentity走44818，Modbus功能码43走502，BACnetWho-Is走47808；限速约10pps，安排在维护窗口内，安全仪表系统子网必须在排除清单中。表2主动查询安全条件判定表条件不满足时发查询的后果第一检查动作什么样算合格查询报文在原生协议内通用探测包对老旧控制器是异常输入，可能触发故障或安全动作向工具供应方索取每种协议的具体功能码和默认轮询间隔，交控制工程师审核功能码列表可查，控制工程师签字确认“与工程站正常请求同类”限速与发送窗口突发查询可能饱和现场总线或触发通信超时查工具配置中的速率限制值和计划任务的时间窗口速率不超过设定值（如10pps）；发送窗口落在批准的维护时段内，有停机或降级预案安全仪表系统排除对SIS的意外查询可能构成安全事件而非发现事件查主动查询配置中的排除子网列表，确认SIS子网是否在列SIS子网在excluded_subnets中；排除列表有版本记录和审批签字凭证管理需要凭证的查询策略在凭证泄露时成为新的攻击面查SmartPolling或同类功能的凭证存储方式和使用记录凭证存放在受控库中，查询账户为只读，使用记录可追溯示例行：某水厂2026年7月对ModbusTCP网段执行主动查询补全。查询前从工具供应方取得功能码清单：仅使用FC43（读设备标识），未使用FC1/2/3/4等可能读取过程值的功能码。速率限制10pps，窗口安排在周日02:00—04:00的批准停机时段。SIS子网10.20.30.0/24在排除列表中，配置截图存档。查询补全了11台此前未被动发现的RTU，其中8台返回了固件版本，3台仅返回厂商和型号。控制工程师在功能码清单上签字。四项条件全部通过。三、同一台PLC，协议读出来的固件版本可能和铭牌不一致固件版本是台账中最容易“抄错”的字段，因为同一台设备存在至少三个版本来源：设备铭牌或外壳标签上印刷的版本、原生协议查询返回的版本、工程站或编程软件中显示的目标/运行时版本。三者不一致的常见原因包括：设备更换过CPU模块但外壳未换、固件在维护中被升级但铭牌未更新、工程站项目文件中保存的是编程时的版本而控制器实际运行的是另一个版本。一份PLC资产登记指南把FirmwareRev列为核心字段，示例值如33.011，要求记录“已安装的精确固件版本”。判定动作是取三处读数并记录差异。铭牌读数在巡检时拍照或记录；原生协议读数来自被动流量中的设备身份报文或一次受限的主动身份查询；工程站读数来自编程软件的项目属性或在线诊断页面。三处一致时，该行判定通过。两处一致、一处不同时，台账中记录“铭牌/协议/工程站”三列的值，并在备注列写明差异原因和核实日期。三处互不相同时，该设备列入“版本待核实”，在核实前不用于漏洞匹配。表3协议与固件版本核对表版本来源怎么取不核对的后果什么样算合格铭牌/外壳标签巡检时拍照或抄录，记录型号、序列号、印刷的固件版本设备更换过模块，铭牌停留在旧版本铭牌读数有照片或抄录记录，与设备序列号绑定原生协议查询被动流量中的设备身份报文，或在满足表2条件下的一次身份查询被动流量可能只抓到型号不抓到固件，或抓到的是网关转发的旧缓存协议返回的厂商、型号、固件版本三项齐全，与IP/MAC绑定工程站/编程软件在线诊断页面、项目属性、控制器属性中的固件和运行时版本工程站保存的是项目创建时的版本，与在线版本脱节在线诊断读数与项目属性读数同时记录；不一致时以在线读数为准并注明三源差异处理三处读数并列写入台账，差异在备注列写明原因只记一个版本，漏洞匹配基于错误版本，补丁决策失效三处一致时通过；不一致时台账中有三列值和核实日期，差异设备不进入漏洞匹配示例行：某石化装置2026年8月核对3台S7-1500控制器。第一台铭牌V2.9.2，协议返回V2.9.2，工程站在线诊断V2.9.2，三源一致，通过。第二台铭牌V2.8.1，协议返回V2.9.2，工程站在线V2.9.2。差异原因：该CPU在2025年11月更换过模块，铭牌为旧模块标签。台账中三列分别记录，备注“铭牌未更新，以协议和在线读数为准”，通过。第三台铭牌V2.9.0，协议返回V2.8.1，工程站在线V2.9.0。三处不一致，列入“版本待核实”，在维护窗口用工程站重新读取在线版本后更新台账。四、台账字段不是越多越好，是每一个字段都要能回答一个问题CISA和合作机构把资产清单定义为“有组织、定期更新的系统、硬件和软件列表”，并提示没有清单就不知道有什么、也不知道该保护什么。2025年联合指南把14个属性列为高优先级，从通信协议、关键性到日志和用户账户。一份可用的OT台账要能在正常工作和事件期间快速回答五个问题：是什么（厂商、型号、角色、固件、操作系统、序列号）；在哪里（站点、工艺区域、机柜、Purdue层级、IEC62443区域）；和谁通信（协议、端口、对端、远程访问路径）；有多重要（对安全、生产、合规的关键性）；谁拥有和接触它（工程负责人、集成商、供应商支持路径、能修改它的账户）。MITREATT&CKforICS提供了中性的设备角色词汇，如PLC（A0003）、RTU（A0004）、IED（A0005）、数据历史站（A0006）、安全控制器（A0010）、跳板机（A0012）和数据网关（A0009），用这些角色替代“控制器”“设备”这类模糊词，台账中的每一行才能与攻击技术和防护措施对应。表4台账字段规范与录入判定表字段组至少包含的列空着或写模糊的后果录入判定条件身份资产标签、厂商、型号、序列号、设备角色（按MITREICS词汇）同一台设备在不同工单中用不同名称，无法合并资产标签唯一且在全生命周期内不复用；角色从受控词表中选择，不手填“其他”位置站点、工艺区域、机柜/屏位、Purdue层级、IEC62443区域知道设备存在但不知道物理位置，维护和应急响应找不到机柜/屏位可定位到具体物理位置；Purdue层级和区域有对应的网络分段依据协议与版本通信协议、端口、固件版本（三源值）、应用/运行时版本漏洞公告无法匹配到具体设备，补丁决策靠猜协议和端口来自被动流量或主动查询记录；固件版本按表3三源填写，差异有备注关键性与责任对安全/生产/合规的关键性等级、工程负责人、供应商支持路径事件发生时不知道先保护哪台、找谁关键性有定义规则（如“跳闸回路内”=高）；负责人为具体角色名或账户，不是部门名状态与生命周期运行/备用/退役、最后确认日期、下一次复核日期退役设备留在台账中，备用设备被误认为不存在状态字段与实际物理状态一致；最后确认日期在复核周期内（如季度）示例行：某供水公司2026年第二季度台账复核，抽取10行。其中1台PLC的“机柜/屏位”列为“加药间”，未写具体屏号，判定不合格，退回补填为“加药间AP-03柜”。1台RTU的“固件版本”列只有铭牌值，协议列填“Modbus”，判定不合格，补做一次受限的FC43查询，协议值写入第二列。1台退役的HMI仍标记为“运行”，判定不合格，改为“退役”并记录退役日期。其余7行五组字段齐全，判定通过。五、一台自主重启的开关控制PLC：从“已知台账里没有”到全站测绘以下案例基于公开报道中某500kV变电站开关控制PLC自主重启事件及国网上海电力二次设备资产测绘实践的公开描述，站名、时间线和操作细节为合理设定的复盘【示例案例，细节为合理设定】。该案例的关键判断分叉集中在“被动清单是否可信”和“主动查询的安全边界”两处，按四轮转折展开。起点：某500kV变电站按季度执行被动资产发现，运行两周后导出清单。巡检中发现一台开关控制PLC出现自主重启，但该PLC的型号和IP在被动清单中找不到对应行。手里的材料是两周的被动资产清单、控制柜布置图和该PLC的铭牌照片。第一轮。信号：PLC自主重启，但被动清单中无此设备。当时以为问题在被动传感器的部署位置。试了检查SPAN端口配置和传感器状态，确认传感器在线、SPAN端口覆盖了该PLC所在交换机的上行链路。新信息：该PLC与站控层之间的通信走的是串口转网口网关，网关在被动清单中存在，但串口侧的PLC从未以独立IP出现在流量中。换哪条路：从“传感器故障”转向“串口侧设备的补全”，用网关串口配置表和布置图做差集。第二轮。信号：网关的串口配置表列出4个串口，其中串口1连接的正是自主重启的PLC；被动清单中该网关只有1行，串口侧设备无记录。当时以为问题只是“台账漏了一台”。试了查该PLC的铭牌和工程站备份，发现铭牌型号与工程站项目文件中保存的CPU型号一致，但铭牌固件版本比工程站在线诊断版本低一个修订号。新信息：版本差异说明该CPU在某个时间点被更换或升级过，台账如果只记铭牌会记错版本。换哪条路：从“补一台设备”转向“对全站串口侧和网关侧设备做一次系统补全”，同时启动三源版本核对。第三轮。信号：补全过程中需要确认一台仅故障时通信的故障录波装置和两台备用测控装置的状态。备用测控装置在布置图上有位置，但未接入网络；故障录波装置有IP，但被动周期内无任何流量。当时以为可以靠主动查询一次性补全。试了在维护窗口内对故障录波装置发一次原生协议身份查询，返回了厂商和型号，但固件版本字段为空。新信息：主动查询补全了存在性，但版本字段不一定能通过单次查询获得。换哪条路：对返回固件版本的设备按表3三源核对；对不返回版本的设备，以铭牌加工程站读数为准，并标注“协议未返回版本”。第四轮。信号：补全和核对完成后，全站台账从被动清单的347行增至353行，但其中4台设备的固件版本三源不一致，2台仅有两源。当时以为问题已经收口。试了拿台账与调控云的资产记录做比对，发现调控云中有一台已退役的测控装置仍在册，而现场已拆除。新信息：台账的“状态”字段没有随物理变更更新，退役设备在另一个系统里仍然“存在”。换哪条路：把“状态与生命周期”纳入每季度复核的必查字段，退役设备由现场确认后同步更新台账和调控云记录。终点：产出补全后的站级OT资产台账（353行，五组字段齐全，差异备注完整）；一份主动查询记录（查询的协议、功能码、速率、窗口、排除子网）；一份三源版本核对表，列出4台差异设备和2台仅两源设备的核实状态。自主重启的PLC被定位到串口侧，其固件版本以协议和工程站读数为准更新入台账，重启原因另行排查。表5复盘变量表变量案例中情形如果变量不同处置变化串口侧设备接入方式PLC经网关串口接入，无独立IPPLC有独立以太网口且流量经过SPAN被动清单直接可见，第一轮不需要从串口配置表做差集，但三源版本核对仍需执行主动查询的版本返回故障录波装置返回型号但固件版本为空所有设备均返回完整固件版本三源核对简化为两源（协议+工程站），铭牌仅作序列号绑定备用设备状态备用测控装置未接入网络备用设备带电接入但无流量被动仍不可见，但可通过交换机MAC表发现端口活跃，补全路径从“图纸”变为“MAC表+图纸”跨系统状态同步调控云中退役设备未清除台账与调控云自动同步第四轮的状态比对不成立，但仍需每季度人工确认物理状态变量表中权重较高的是串口侧设备接入方式和跨系统状态同步两项。前者决定被动清单的盲区大小，后者决定台账的“状态”字段能不能在多个系统之间保持一致。六、三个场景各跑哪些项，各留哪些不跑完整版用于等保测评准备、IEC62443风险评估或年度资产测绘。覆盖表1四行、表2四行、表3四行、表4五组字段，加做表5的变量对照。执行序列：被动发现跑满一个周期（2～4周）→按表1补全静默资产→在满足表2条件下执行受限主动查询→按表3做三源版本核对→按表4逐行判定台账字段→与CMDB或调控云做状态比对。精简版用于单一站点或单一工艺区域的季度自查，可用停机窗口有限。保留表1第一行（备用PLC）和第三行（仅故障时通信的IED）、表2第一行（原生协议）和第三行（SIS排除）、表3全部四行、表4的身份和协议版本两组字段。删去的检查项逐项列明：表1第二行网关串口设备、第四行工程笔记本；表2第二行限速窗口、第四行凭证管理；表4的位置、关键性责任、状态生命周期三组字段；表5变量对照。精简版删减的依据：串口配置和工程笔记本使用记录需要跨专业调取，半天窗口内难以闭环；限速和窗口条件在被动为主、主动查询仅做少量身份读取时可由工具默认配置覆盖；位置和关键性字段的完整核对需要现场逐柜确认。执行序列：导出被动清单→补全备用和故障时通信设备→对可主动查询的设备做一次身份读取→填身份和协议版本两列→差异设备标注待核实。极简版用于值班人员或非资产管理岗位快速确认“台账里有没有这台设备”。只保留三个动作：在台账中按资产标签或IP搜索一台已知设备，看是否存在且字段非空；查该设备的固件版本列是否填写了至少一个来源的值；查该设备的“状态”列是否为“运行”或“备用”。删去的检查项逐项列明：表1全部补全动作、表2全部主动查询条件、表3三源核对、表4其余字段组、表5变量对照。极简版三个动作在15分钟内完成，回答的是“台账里有没有、版本空不空、状态对不对”，回答不了静默资产是否漏、主动查询是否安全、版本是否三源一致。表6三套场景检查项增减表检查项完整版精简版极简版表1备用PLC补全执行执行删去表1网关串口设备补全执行删去删去表1仅故障时通信IED补全执行执行删去表2原生协议查询条件执行执行删去表2限速与窗口执行删去删去表2SIS排除执行执行删去表3铭牌/协议/工程站三源核对执行执行删去表4身份字段组执行执行查资产标签是否存在表4协议与版本字段组执行执行查固件版本列是否非空表4位置/关键性/状态字段组执行删去查状态列是否为运行或备用表5复盘变量对照执行删去删去CMDB/调控云状态比对执行删去删去本主题不存在极简版替代完整版的情形。极简版三个动作回答的是单台设备的台账存在性和字段非空，回答不了静默资产覆盖率、主动查询安全性和版本一致性。等保测评和IEC62443风险评估只能走完整版。七、判定规则与一处绕不开的矛盾规则1。如果表1差集显示某台设备在图纸或MAC表上存在、在被动清单中不存在，且该设备为备用或未接入网络，则将该设备以“未接入”状态录入台账，记录物理位置和接入计划；如果该设备有独立IP但被动周期内无流量，则在满足表2条件下执行一次身份查询补全存在性和版本。规则2。如果表2中任一条件不满足（功能码未经控制工程师确认、速率或窗口未批准、SIS子网未排除、凭证管理不受控），则本次主动查询不发送；已计划的补全动作推迟到条件满足的维护窗口，期间以图纸和MAC表作为临时参照。规则3。如果表3三源版本核对中三处读数互不相同，则该设备列入“版本待核实”，在核实前不用于漏洞匹配和补丁决策；如果两处一致、一处不同，以协议和工程站在线读数为优先，铭牌差异在备注中记录更换或升级的日期和工单号。规则4。如果表4中“机柜/屏位”列只写到房间或区域、未写到具体柜号或屏号，则该行判定不合格，退回补填；如果“固件版本”列只有铭牌值而无协议或工程站值，同样退回，按表3补录第二来源。规则5。如果台账与CMDB或调控云比对发现状态不一致（一方“运行”、另一方“退役”或缺失），以现场物理确认为准更新台账，并在两个系统之间记录同步时间和确认人；如果差异涉及退役设备，退役日期和拆除记录一并归档。规则6。如果被动发现运行满一个周期（2～4周）后仍有设备仅以“网关转发”形式出现而无独立记录，则将串口配置表的核对列为该站下一季度的必做项，不得以“网关已覆盖”替代串口设备的独立台账行。矛盾落在“被动完整性的等待周期”与“主动补全的时效需求”之间。被动发现需要跑满一个周期才能对“静默资产是否存在”做出初步判断，周期短了会漏掉仅在特定工况下通信的设备（如仅故障时通信的IED）；主动查询可以在几分钟内补全一台设备的存在性和版本，但它的安全条件（功能码确认、窗口批准、SIS排除）可能需要数周的准备和审批。同一台未出现在被动清单中的设备，按被动逻辑应当“等下一个周期确认”，按主动逻辑可以“这个维护窗口补上”，两个方向在时间上指向不同的动作顺序。权衡规则按“设备是否影响跳闸、联锁或安全功能”分档。如果缺失的设备位于跳闸回路、联锁逻辑或SIS中，等待一个完整被动周期的风险高于主动查询的风险，优先走表2条件准备，在最近的维护窗口内执行受限身份查询补全；如果缺失的设备属于监测、计量或非关键辅助系统，按被动周期继续观察，主动查询仅作为可选项。退路是：当主动查询的条件在可接受的时限内无法全部满足时，以图纸、MAC表和铭牌照片三项作为临时台账依据，在台账中标注“未协议确认”，并将该设备列为下一次停机窗口的首批主动查询对象。八、来源说明表7数据来源与时效说明信息项来源层级核对状态建议验证事项核对路径被动监控安全但漏掉静默资产；主动查询可能使老旧控制器故障[公开教研共识]与CISA、NSA及行业指南交叉核对验证动作：查本地被动工具的SPAN覆盖范围和未覆盖网段；判定标准：覆盖范围有图可查，静默资产差集有补全记录打开网络拓扑图和SPAN配置，标注传感器覆盖的交换机端口；再调取被动清单与P&ID的差集清单主动查询需用原生协议功能码、限速约10pps、维护窗口、SIS子网排除[公开教研共识]与Claroty操作指南和CISAOT零信任指南交叉核对验证动作：向工具供应方索取功能码清单并交控制工程师审核；判定标准：功能码与工程站正常请求同类，SIS在排除列表查主动查询配置页的功能码、速率和excluded_subnets字段，截图存档并附控制工程师签字ClarotySafeQueries、NozomiSmartPolling、ArmisSmartActiveQuerying的原生协议查询特