电网网络攻击的路径演进判定：从HMI借道到协议直连的监测盲区与远程访问控制核对

电网网络攻击的路径演进判定：从HMI借道到协议直连的监测盲区与远程访问控制核对本文档提供：HMI远程操控的检测可见性核对表；协议直连操控的监测盲区判定表；擦除器与恢复障碍的应对动作表；远程访问与跳板机控制核对表；2015年Kyivoblenergo操作员工作站被接管的转折记录；2016年Industroyer协议直连与2022年Industroyer2潜伏51天的转折记录；三条线冲突时的决策规则；完整版与精简版检查项增减对照表。2026-11-06这一节的标题读完你能拿到什么这一节在全文中的功能一、2015年：操作员的鼠标自己动了，从哪几个日志能还原HMI远程操控的检测可见性核对表按会话、进程、HMI操作和UPS状态四个位置核对远程操控是否留下可追溯记录二、2016年：恶意软件直接对RTU说IEC104，HMI上可能什么都看不到协议直连操控的监测盲区判定表核对IEC101/104/61850和OPC路径上是否存在绕过HMI的直连操控通道三、擦除器跟在后面：系统恢复之前，备份还在不在擦除器与恢复障碍的应对动作表按KillDisk和多平台擦除器的目标核对备份独立性、恢复介质和固件完整性四、远程访问：VPN进来之后，跳板机拦住了什么远程访问与跳板机控制核对表按NERCCIP的跳板机、多因素认证和会话控制要求逐项核对远程路径五、Kyivoblenergo操作员看着光标打开30座变电站的断路器2015年HMI接管的转折记录用操作员视角还原从凭证窃取到断路器操作的判断连锁六、Industroyer不需要HMI，Industroyer2在网络里住了51天2016与2022年协议直连与长期潜伏的转折记录展示攻击路径从“借道工作站”到“直连协议”的演进七、HMI日志说没有异常、协议流量说断路器被操作、备份说可以恢复三条线冲突时的决策规则在可见性、协议行为和恢复能力指向不一致时确定暂停和核查条件八、完整版逐路径核对，精简版保留哪几条底线完整版与精简版检查项增减对照表按交付场景裁剪HMI核对、协议监测和远程访问控制范围按第一列在正文找对应那节，按第二列判断这节有没有当前需要的东西，按第三列判断这节对应哪个卡住的位置。一、2015年：操作员的鼠标自己动了，从哪几个日志能还原2015年12月23日，乌克兰Kyivoblenergo控制室的操作员看到光标在自己的屏幕上移动，指向断路器控制按钮，弹出确认窗口后光标点击确认，约30座变电站的断路器被依次打开。操作员抓住鼠标试图夺回控制，鼠标无响应；随后系统将操作员登出，密码已被更改，操作员无法重新登录。三个配电公司同时遭受攻击，超过23万用户停电，两个配电中心的备用电源被远程禁用。攻击者使用的BlackEnergy3通过鱼叉邮件投递，窃取了VPN凭证和操作员工作站的控制权。这一阶段的操控发生在操作员工作站内部，检测动作需要覆盖四个位置：远程会话的建立、进程的异常启动、HMI操作指令的来源，以及UPS状态是否被远程修改。表1HMI远程操控的检测可见性核对表检测位置翻查对象2015年攻击中的形态本单位应核对的状态判定条件处置动作远程会话建立VPN或远程桌面登录日志攻击者使用窃取的VPN凭证进入SCADA网络，会话来源与正常运维时段不匹配最近90天VPN登录记录中，是否存在非工作时段、非常用源IP的登录，且该登录在操作员工作站上产生了会话存在非工作时段非常用源IP的登录且产生了工作站会话，判定为“存在未授权远程会话”取该会话的登录时间、源IP和工作站名称；核对是否有对应的运维工单；无工单的标记“未授权会话”，追溯该会话期间的全部操作进程异常启动操作员工作站的进程创建日志BlackEnergy3植入后在工作站上运行，进程名伪装为系统文件工作站上是否存在从临时目录、用户目录或非标准路径启动的可执行文件；是否存在rundll32.exe加载非标准DLL的记录存在从非标准路径启动的可执行文件或rundll32加载非标准DLL，判定为“可疑进程”提取进程路径、父进程和启动时间；与工作站基线进程清单比对；基线外进程的哈希值送分析，同时检查该进程是否发起了网络连接HMI操作指令的来源SCADA操作日志中的操作人账户和会话标识攻击者通过被接管的工作站会话操作HMI，日志记录的操作人账户是操作员的账户，但实际操作输入来自远程会话操作日志中的操作人账户与同一时间窗口内的物理登录会话是否可对应；是否存在账户“在操作员未登录时”产生操作记录操作日志中的账户在同一时间窗口内没有对应的本地登录会话，判定为“操作来源不可归责”将操作日志与工作站本地安全日志按时间戳交叉比对；不可归责的操作记录提取操作类型和目标设备，核对是否与远程会话时间重叠UPS状态被远程修改UPS管理接口的配置变更记录攻击者重新配置UPS，在断路器操作前禁用了备用电源UPS管理接口是否可从SCADA网络或远程访问路径到达；最近90天是否有配置变更记录UPS管理接口可从SCADA网络或远程路径到达，且存在无工单对应的配置变更，判定为“UPS配置变更未受控”关闭UPS管理接口从SCADA网络的直接可达性；配置变更须经跳板机和工单双重控制；已发生的变更核对变更内容和时间判定条件写成：四个检测位置中，任一位置出现“未授权远程会话”“可疑进程”“操作来源不可归责”或“UPS配置变更未受控”，该工作站判定为“存在未受控远程操控痕迹”。四个位置均无异常记录，且操作日志中的账户与本地登录会话可逐条对应，判定为“远程操控路径受控”。处置动作不等待全部核查完成：可疑进程一旦发现，该工作站从网络中断开，取镜像后分析；未授权远程会话的源IP加入阻断列表，VPN凭证强制重置。表1的四个位置中，“HMI操作指令的来源”一项在2015年攻击中暴露了一个结构性弱点：SCADA操作日志记录的“操作人”是账户名，而账户名在凭证被窃取后不再代表实际操作人。核对动作把操作日志与工作站本地安全日志按时间戳交叉比对，找出“账户产生了操作，但本地没有对应的物理登录会话”的记录。这一比对可以在不中断生产的情况下执行。HMI路径的检测覆盖的是“操控经过操作员工作站”的场景。2016年的攻击改变了路径：恶意软件不再需要操作员工作站的HMI界面，它直接与RTU和IED通信。二、2016年：恶意软件直接对RTU说IEC104，HMI上可能什么都看不到2016年12月，乌克兰基辅一座输电变电站遭受CRASHOVERRIDE（Industroyer）攻击。该恶意软件框架内置了IEC60870-5-101、IEC60870-5-104、IEC61850和OPC的协议模块，可以直接与RTU和IED通信，打开断路器并将RTU置于无限循环，使断路器保持打开状态，即使电网操作员尝试关闭也无法恢复。与2015年攻击的差异在于：2015年的操控经过操作员工作站的HMI，HMI画面和操作日志是天然的监测点；2016年的操控绕过了HMI，恶意软件用协议本身的语言对RTU发出指令，HMI上可能显示正常，或者显示与指令不一致的状态。监测动作需要覆盖协议层：IEC104和IEC61850MMS路径上是否存在来自非工程站、非调度主站的连接；GOOSE和SV报文是否被非IED设备注入或篡改。表2协议直连操控的监测盲区判定表协议路径正常通信对端2016年攻击中的形态本单位应核对的状态判定条件处置动作IEC60870-5-104（TCP2404）调度主站或指定工程站与RTU/网关之间的控制连接恶意软件从被感染的主机直接向RTU发起IEC104连接，发送断路器操作指令过去90天IEC104连接的源IP清单是否与已登记的调度主站和工程站完全一致；是否存在来自工作站网段或办公网段的104连接存在非登记源IP的IEC104连接，判定为“协议直连路径未受控”在RTU或网关的ACL中仅允许登记源IP访问2404端口；非登记源IP的连接尝试记录源IP和时间；已建立的异常连接在交换机端口层阻断IEC61850MMS（TCP102）站控层IED与监控系统之间的MMS会话恶意软件的61850模块通过MMS客户端操作IEDMMS会话是否要求TLS；是否存在未认证的MMS连接；IED是否接受来自非站控层网段的MMS连接MMS连接未要求TLS或存在非站控层网段的MMS连接，判定为“MMS认证缺失”按IEC62351-4要求启用MMS的TLS和相互认证；在交换机层将站控层网段与工作站网段隔离，MMS仅允许站控层内部会话GOOSE报文保护IED之间的快速跳闸和联锁信号恶意软件或受控主机向GOOSE网络注入伪造的跳闸或闭锁报文GOOSE报文的源MAC是否可被非IED设备伪造；GOOSE接收端是否校验报文来源；是否存在来自非IED端口的GOOSE帧存在来自非IED端口的GOOSE帧，或GOOSE接收端不校验来源，判定为“GOOSE注入路径存在”在过程总线交换机上绑定IED端口与MAC地址；GOOSE报文按IEC62351-6增加认证或至少启用端口级访问控制；非IED端口禁止发送GOOSE帧SV采样值报文合并单元至保护IED的采样值SV虚假数据注入可诱导距离保护误动或拒动，小幅扰动即可造成误跳闸且难以检测SV报文的发布者是否与合并单元一一对应；保护IED是否校验SV的发布者标识；SV路径上是否存在可注入的共享介质SV发布者与合并单元不能一一对应，或SV路径经过共享介质且无发布者校验，判定为“SV注入风险”在过程总线采用点对点或隔离的SV通道；保护IED启用SV发布者校验；对SV报文实施序列号和时间戳的连续性检查OPCDA工作站或应用与SCADA服务器之间的数据访问恶意软件通过OPCDA接口读写SCADA实时数据OPCDA接口是否可从工作站网段到达；DCOM的访问权限是否限制到指定应用账户OPCDA/DCOM接口可从非指定应用账户的工作站到达，判定为“OPC接口暴露”限制OPCDA的DCOM访问权限到指定应用账户；在工作站和SCADA服务器之间部署应用层代理，只放行必要的OPC调用判定条件写成：五条协议路径中，任一条路径存在“非登记源IP连接”“MMS未认证”“GOOSE来源可伪造”“SV发布者不可校验”或“OPC接口暴露”，该路径判定为“直连操控路径未受控”。五条路径全部满足对应控制条件，判定为“协议直连路径受控”。处置动作按路径分开执行：IEC104的源IP限制在ACL层完成；MMS的TLS和相互认证按IEC62351-4执行；GOOSE和SV的端口绑定在过程总线交换机上完成；OPC的DCOM权限在工作站和服务器两端同时收紧。表2中“GOOSE报文”和“SV采样值报文”两行对应的风险与2016年攻击的协议模块不完全相同。2016年的CRASHOVERRIDE模块针对的是IEC101/104和61850MMS，GOOSE和SV的注入攻击更多出现在数字化变电站的学术分析和实验场景中。核对动作覆盖这两条路径的理由是：协议直连的攻击者一旦进入站控层或过程总线，GOOSE和SV是下一个可用的操控面；防御动作需要在攻击者到达之前就位。三、擦除器跟在后面：系统恢复之前，备份还在不在2015年攻击中，KillDisk模块擦除了系统文件并破坏了主引导记录，使设备无法重启；目标设备包括远程恢复所必需的设备。2022年的Industroyer2攻击中，擦除器覆盖了Windows、Linux和Solaris三个平台，目的是使响应和恢复更加困难。擦除器不直接操作断路器，它作用于恢复能力：当断路器被打开、变电站失电后，调度侧和现场侧需要恢复系统和通信，擦除器使恢复所需的系统、配置和工具不可用。核对动作不检查“有没有备份”，检查的是备份的独立性、恢复介质的离线状态和固件的可验证性。表3擦除器与恢复障碍的应对动作表核对项翻查对象2015/2022年攻击中的形态本单位应核对的状态判定条件处置动作备份与生产网络的隔离备份服务器或备份介质的网络位置KillDisk擦除目标设备，备份若在同一域或同一网络可达范围内，可能同时被擦除备份是否存放在与SCADA生产网络可路由的网段；备份服务器是否使用与生产域相同的账户体系备份可从SCADA生产网络到达，或备份服务器与生产共享账户，判定为“备份独立性不足”将备份存储移至不可从生产网络路由的网段；备份访问使用独立账户；已备份数据取一份离线副本，离线副本不接入任何网络恢复介质的离线状态系统安装介质、配置备份和工具包恢复所需的系统镜像和配置在设备被擦除后成为唯一重建来源恢复介质是否以离线形式保存（物理介质或与网络隔离的存储）；介质是否有校验值且校验值可查恢复介质在线可访问，或无校验值，判定为“恢复介质未受控”恢复介质离线保存，校验值记录在独立的纸质或离线台账中；每次使用前校验，使用后重新离线封存固件完整性RTU、IED和网关的固件版本和校验值2015年攻击中攻击者重写了远程终端转换器的固件，使操作员无法远程查看变电站状态现场设备的固件版本是否与厂商发布版本一致；固件写入是否需要签名验证；最近90天是否有固件变更记录存在与厂商版本不一致的固件，或固件写入无签名验证且存在无工单变更，判定为“固件完整性未验证”逐台核对RTU和IED的固件版本与校验值；与厂商发布版本比对；无签名验证的设备在网络层限制固件写入路径；已发现的异常固件从隔离网络中的已知良好副本恢复配置的可重建性SCADA和RTU的配置文件、组态和点表擦除后系统重建依赖配置文件的可用性配置文件是否有离线副本；离线副本的版本是否与运行版本一致；重建步骤是否有书面记录且经过演练配置文件无离线副本，或离线副本版本与运行版本不一致，判定为“配置不可重建”取运行配置的离线副本并记录版本号；在隔离环境中按书面步骤执行一次重建演练，记录重建用时和缺失项恢复路径的独立性从备份恢复到业务恢复的步骤和依赖2015年攻击中电话通信受到TDoS干扰，呼叫中心无法接收停电报告；恢复协调依赖独立通信恢复步骤是否依赖与SCADA共享的通信路径；是否存在独立于主网络的协调通信手段（如卫星电话或专用无线电）恢复步骤依赖SCADA共享通信路径，且无独立协调手段，判定为“恢复路径单点依赖”在恢复计划中写明独立协调通信手段的具体设备和操作步骤；该手段按备用通信链路的验证方法执行一次完整通话测试判定条件写成：五项中任一项出现“备份独立性不足”“恢复介质未受控”“固件完整性未验证”“配置不可重建”或“恢复路径单点依赖”，擦除器场景下的恢复能力判定为“未就绪”。五项全部满足对应条件，判定为“恢复能力就绪”。处置动作中“固件完整性”和“配置可重建性”两项在攻击发生前完成；“恢复路径的独立性”涉及通信手段的验证，按供电和回拨步骤执行一次完整测试。四、远程访问：VPN进来之后，跳板机拦住了什么2015年攻击的初始入口是鱼叉邮件，但攻击者进入SCADA网络的关键一步是使用窃取的VPN凭证建立远程连接。NERCCIP对电子远程访问的要求给出了控制框架：交互式远程访问须经过中间系统（跳板机），直接连接在物理上被切断；多因素认证强制执行；供应商的持久连接被拒绝，访问由运营方控制且有时间限制。Kaspersky的缓解建议进一步要求远程VPN通过专用的远程访问DMZ进入环境，使用令牌强化认证，并部署网络访问控制（NAC）强制跳板机或中间系统。核对动作是把远程访问路径上的认证方式、跳板机配置、会话记录和供应商连接逐项取出。表4远程访问与跳板机控制核对表核对项翻查对象控制要求本单位实际值判定处置动作多因素认证VPN和远程访问入口的认证配置交互式远程访问须使用多因素认证，因素类型不同且难以同时被窃取VPN使用用户名+密码+短信验证码；短信验证码与密码在同一设备上接收待确认短信验证码与密码在同一设备接收时，凭证窃取可同时获得两个因素；将第二因素改为硬件令牌或独立的认证应用，与密码接收设备分离跳板机与直接连接的切断远程访问架构图远程连接经中间系统转发，生产网络不接受来自远程网段的直接连接远程VPN连接可直接到达SCADA前端，跳板机仅用于部分供应商维护不通过在生产网络边界拒绝来自VPN网段的直接连接；远程会话先终止于跳板机，由跳板机发起至目标工作站的第二段连接；两段连接使用不同账户供应商持久连接供应商远程访问记录拒绝供应商的持久连接，访问由运营方控制且有时间限制一家RTU厂商维持了一条常开的远程维护隧道，无到期日不通过关闭常开隧道；供应商访问改为按工单申请，开通时限不超过维护窗口，会话录制开启，窗口结束自动断开会话记录与操作审计跳板机或远程访问网关的日志远程会话有录制或完整命令记录，记录与操作人可对应跳板机有会话录制，录制文件保留30天；录制文件存储在跳板机本地通过（有记录）录制文件保留期延长至与日志留存期限一致；录制文件复制到独立于跳板机的存储，防止跳板机被控制后录制被删除远程访问的源IP与时段限制防火墙和VPN的访问控制策略远程访问仅允许来自指定地理区域或指定源IP，时段与运维安排一致防火墙允许VPN网段访问SCADA前端的所有端口，时段限制为“工作日8:00—18:00”待确认将远程访问的目的端口限制到必要的管理端口；时段限制保留，非时段访问须单独申请并记录审批人判定条件写成：多因素认证的因素类型独立，跳板机在生产网络边界切断直接连接，供应商无持久连接，会话记录有且存储在独立位置，远程访问的源IP和端口有限制。五项同时成立，判定为“远程访问路径受控”。任一项“不通过”或“待确认”，该远程路径判定为“未受控”，处置动作在下一维护窗口执行；在处置完成前，该路径的远程访问权限关闭或降为只读。表4中“多因素认证”一行的“待确认”状态指向一个在2015年攻击中具有直接相关性的细节：攻击者通过鱼叉邮件获取了VPN凭证，如果第二因素与密码在同一设备上接收，凭证窃取的同时第二因素也被截获。因素类型的独立性需要在配置层面核对，不能只看“启用了多因素”的标签。表1至表4分别覆盖HMI路径、协议路径、恢复能力和远程访问。这些控制项在两次实际攻击中的连锁形态，用转折记录展开。五、Kyivoblenergo操作员看着光标打开30座变电站的断路器案例起点是2015年12月23日15:30，乌克兰Ivano-Frankivsk地区，Prykarpattyaoblenergo控制室的操作员即将结束班次。操作员面前的SCADA工作站上，光标开始自行移动。本案例基于公开事件记录，细节为合理设定，用于展示HMI操控路径上的判断连锁。第一次转折。信号：光标自行移动，指向断路器控制按钮并点击，弹出确认窗口后光标再次点击确认，断路器被打开。操作员最初的反应是抓住鼠标试图夺回控制。鼠标无响应；随后系统将操作员登出，密码已被更改，操作员无法重新登录。当时以为问题在“工作站本身出现了远程控制软件的异常”。事后核查表明，攻击者已经在此前的数月侦察中窃取了操作员凭证，并在工作站上部署了能够接管会话的工具。新信息：光标的移动不是本地故障，是远程会话在工作站内部的操作；操作员被登出和密码更改是攻击者主动执行的动作，目的是阻止本地干预。换的路：检查对象从“工作站硬件或软件故障”转向“VPN登录记录和工作站上的远程会话”。第二次转折。信号：操作员被登出后，断路器仍在被打开，约30座变电站离线。最初把原因放在“SCADA系统本身被攻破，指令从SCADA服务器发出”。核对操作日志和网络记录后发现，指令来自操作员工作站上的会话，工作站与SCADA服务器之间的通信正常，SCADA服务器本身未被直接控制。新信息：攻击者操控的是工作站，工作站是SCADA的操作入口；保护SCADA服务器不覆盖工作站被接管的情况。换的路：在工作站层面核对进程、远程会话和本地登录状态，而不是只在SCADA服务器上查操作日志。第三次转折。信号：操作员尝试重新登录失败，密码已被更改。最初把原因放在“密码被暴力破解”。核对域控和本地账户的安全日志后发现，密码更改是通过已建立的工作站会话执行的，攻击者已经具有该工作站的交互式访问权限。新信息：密码更改是攻击者保持控制的手段，不是初始入口；初始入口是更早的凭证窃取。换的路：追溯VPN登录记录，找到凭证被使用的第一个时间点，从该时间点起追溯全部远程会话。第四次转折。信号：断路器被打开后，两个配电中心的备用电源也被禁用，操作员在黑暗中无法恢复。最初把原因放在“UPS本身故障”。核对UPS管理接口的日志后发现，UPS在断路器操作之前被远程重新配置，备用电源的禁用是指令的结果。新信息：攻击者的操作序列是先禁用备用电源、再打开断路器，恢复能力在操控发生之前已被削弱。换的路：在远程访问控制中把UPS管理接口纳入受控范围，UPS配置变更须经跳板机和工单双重控制。终点。该案例的终点产出是三项修订：操作日志与工作站本地登录会话按时间戳交叉比对，找出“有操作记录但无本地登录”的不可归责操作；VPN登录的源IP和时段纳入异常检测；UPS管理接口从SCADA网络的可达路径中移除。案例的关键判断分叉集中在“光标移动被当作本地故障”“SCADA服务器未被控制但工作站被接管”“密码更改是保持控制的手段”“UPS在断路器之前被禁用”四处，四次转折按顺序存在因果链。六、Industroyer不需要HMI，Industroyer2在网络里住了51天2015年的操控经过HMI，HMI画面和操作日志是天然的监测点。2016年的CRASHOVERRIDE绕过了HMI，用IEC104和61850MMS直接对RTU和IED说话。2022年的Industroyer2把潜伏时间拉长到至少51天，并在触发前针对受害者的运行环境定制了恶意软件。三个案例的路径演进指向同一个问题：监测点需要从HMI层扩展到协议层，检测窗口需要从“操控发生时”前移到“操控发生前的侦察和潜伏阶段”。2016年：协议直连。信号：基辅一座输电变电站的断路器被打开，RTU被置于循环状态。最初把原因放在“操作员工作站再次被接管，与2015年相同”。恶意软件分析显示，CRASHOVERRIDE内置了IEC101/104、IEC61850和OPC的协议模块，可以直接与RTU和IED通信，打开断路器并保持打开状态，不依赖操作员工作站的HMI界面。新信息：攻击路径从“借道HMI”演进为“直连协议”；HMI层的日志和画面在协议直连场景中可能不产生对应的操控记录。换的路：在IEC104和61850MMS路径上核对源IP和认证状态，把协议连接的非登记来源作为独立告警项。2022年：长期潜伏与定制。信号：2022年4月8日，Industroyer2按预定时间执行，目标包括8座高压变电站。攻击者在2022年2月获得对企业网络的初始访问，横向移动到运营网络，在系统中驻留了至少51天，利用这段时间理解环境并定制恶意软件。最初把原因放在“恶意软件本身的技术先进性”。CyOTE的分析显示，攻击使用了22项技术、31个步骤和297个可观察事件，其中23项技术是触发事件的前兆，224个可观察事件与前兆技术相关，122个在51天窗口内有较高可能被感知到。新信息：防御方有51天的窗口和122个可观察事件的机会；触发事件当天的阻断不是唯一的机会，前兆阶段的检测窗口更长、影响更小。换的路：把检测能力从“断路器操作指令”前移到“凭证滥用、横向移动和协议异常连接”等前兆行为，为每一项前兆技术指定一个可翻查的日志源。终点。两个案例的终点产出是三项修订：IEC104和MMS路径的源IP限制和认证；检测规则从操控指令扩展到前兆行为，按MITREATT&CKforICS的技术编号逐项指定日志源；擦除器的应对按表3的恢复独立性核对执行，使攻击者即使触发操控也无法通过擦除器阻止恢复。案例的关键判断分叉集中在协议直连绕过HMI、51天潜伏期的前兆窗口两处；转折次数少于四次，案例开头说明每次转折的判断依据已穷尽。七、HMI日志说没有异常、协议流量说断路器被操作、备份说可以恢复矛盾出现在这个场景：表1的HMI操作日志判定为“无异常”（操作账户与本地登录会话可对应，无可疑进程），表2的协议监测判定为“协议直连路径未受控”（存在非登记源IP的IEC104连接），表3的恢复能力判定为“就绪”（备份离线、固件完整）。三条线中，HMI线指向“操控路径正常”，协议线指向“存在绕过HMI的操控通道”，恢复线指向“即使发生操控也能恢复”。矛盾的实质是三个判定系统覆盖的攻击面不同。表1的HMI日志只覆盖经过操作员工作站的操控；表2覆盖的是绕过工作站的协议直连。HMI日志“无异常”不说明协议路径上不存在非登记连接。表3的恢复能力“就绪”处理的是操控发生后的恢复，不处理操控本身是否发生。2016年的攻击已经展示了这种不一致的实际形态：HMI层可能没有对应的操控记录，断路器却通过IEC104被打开。决策规则一（HMI正常、协议路径未受控）。表1判定为“远程操控路径受控”，表2中任一协议路径判定为“直连操控路径未受控”时，以协议路径的判定为准，该变电站的操控路径状态标记为“协议层暴露”。处置动作：在下一维护窗口前，按表2对应行的处置动作限制该协议路径的来源；限制完成前，该协议路径上的断路器操作指令须由第二人通过独立通道（调度电话或独立SCADA通道）确认。HMI日志的正常状态不用于否定协议层的暴露。决策规则二（恢复就绪、协议路径未受控、前兆行为有记录）。表3判定为“恢复能力就绪”，表2判定为“协议层暴露”，同时工作站的进程日志或VPN日志中存在表1所述的可疑进程或未授权会话时，三条线同时成立，该变电站的状态标记为“操控路径暴露且前兆已出现”。处置动作：立即限制协议路径的来源，同时按前兆行为的日志源启动核查；恢复能力的就绪状态保留，但恢复计划中增加一条前提——“恢复前先确认协议路径已受控”，防止恢复过程中再次被操控。决策规则三（远程访问多因素因素不独立）。表4中多因素认证判定为“待确认”（短信验证码与密码在同一设备接收），即使表2的协议路径全部“受控”，远程访问路径的判定降为“未受控”。处置动作：将第二因素改为与密码接收设备分离的硬件令牌或认证应用；变更完成前，远程访问仅允许从登记过的源IP和时段进入，非登记来源的登录尝试触发告警并阻断。退路。三条线在30天内无法通过补充核查或控制动作达成一致状态时，取最保守的操控路径状态：该变电站的远程操控权限关闭，断路器操作改由就地控制或经独立通道确认的调度指令执行；协议路径的ACL限制和远程访问的第二因素变更在关闭期间完成。关闭状态的解除条件为：协议路径的源IP限制生效且无异常连接记录，远程访问的多因素因素独立，或HMI日志与协议监测的判定结果一致。八、完整版逐路径核对，精简版保留哪几条底线对外交付、监管报送或年度电网安全评估使用完整版：表1四个检测位置逐项核对，表2五条协议路径逐条判定，表3五项恢复能力逐项翻查，表4五项远程访问控制逐项核对。内部决策且时间受限使用精简版：表1保留远程会话建立和HMI操作指令来源两项，删掉进程异常启动和UPS配置变更；表2保留IEC104源IP限制和MMS认证两项，删掉GOOSE、SV和OPC的逐路径判定；表3保留备份独立性和配置可重建性两项，删掉恢复介质离线、固件完整性和恢复路径独立性；表4保留多因素认证和供应商持久连接两项，删掉跳板机配置、会话记录和源IP时段限制。表5完整版与精简版检查项增减对照表检查项完整版精简版删减依据底线项表1远程会话建立逐工作站核对逐工作站核对未授权远程会话是2015年操控的入口非工作时段非常用源IP的登录有工单对应或告警记录表1HMI操作指令来源与本地登录的对应逐条操作日志核对逐条操作日志核对“有操作无本地登录”是凭证被接管后最直接的痕迹操作日志中的账户与本地登录会话可逐条对应，不可对应的有核查记录表1进程异常启动、UPS配置变更逐项核对删掉时间受限时以会话和操作来源为底线无表2IEC104源IP限制逐RTU/网关核对逐RTU/网关核对非登记源IP的104连接是协议直连操控的直接通道2404端口仅允许登记源IP，非登记连接有阻断记录表2MMS认证逐IED核对逐IED核对MMS未认证时IED接受任意客户端的操作MMS连接要求TLS和相互认证，或站控层网段隔离表2GOOSE、SV、OPC路径逐路径核对删掉时间受限时以104和MMS为底线；GOOSE/SV的注入防御在完整版中执行无表3备份独立性逐备份路径核对逐备份路径核对备份与生产网络可路由时擦除器可同时作用于备份备份不可从SCADA生产网络到达，或存在离线副本表3配置可重建性逐系统核对逐系统核对配置不可重建时擦除后无法恢复配置文件有离线副本且版本与运行一致表3恢复介质、固件完整性、恢复路径独立性逐项核对删掉时间受限时以备份和配置为底线无表4多因素认证因素独立性逐入口核对逐入口核对因素不独立时凭证窃取可同时绕过两个因素第二因素与密码接收设备分离表4供应商持久连接逐供应商核对逐供应商核对常开持久连接是2015年VPN凭证被使用的通道形态供应商访问按工单开通、有时间限制、无到期日的连接已关闭表4跳板机、会话记录、源IP时段逐项核对删掉时间受限时以多因素和供应商连接为底线无精简版删掉的检查项逐项列在表5中。精简版判定为“通过”的操控路径状态在进入监管报送或年度安全评估结论前，仍须由完整版补齐表1进程和UPS、表2GOOSE/SV/OPC、表3恢复介质和固件、表4跳板机和会话记录；精简版的通过状态标记为“精简版通过，完整版待补”。来源说明信息项来源层级核对状态建议验证事项核对路径2015年攻击：BlackEnergy3鱼叉邮件投递，窃取VPN凭证，HMI操作约30座变电站断路器，超过23万用户停电，KillDisk擦除系统，TDoS干扰呼叫中心[公开信息待复核]已对照MITREATT&CK、Wired和公开分析验证动作：取VPN登录记录和HMI操作日志；验证对象：非工作时段非常用源IP的登录及其对应的工作站会话；判定标准：无工单对应的远程会话判定为未授权，操作日志与本地登录不可对应的条目列入核查从VPN网关导出最近90天登录记录，按源IP和时段筛选异常登录；从SCADA操作日志取操作记录，与工作站本地安全日志按时间戳交叉比对，不可对应的操作条目记录账户、时间和目标设备2016年CRASHOVERRIDE：内置IEC101/104、61850、OPC模块，直接操作RTU和IED，断路器保持打开循环[公开信息待复核]已对照Dragos