Cyber security of OT networks: A tutorial, survey of attacks and overview of current state of defense tools, protocols, & challenges
本文通过综合攻击分类法、防御技术、包含69起事件的量化历史记录以及全球监管格局，为指导关键基础设施的投资与韧性策略提供了一份关于OT/IT网络安全的全面教程与综述。
原始论文根据 CC0 1.0（http://creativecommons.org/publicdomain/zero/1.0/）发布到公有领域。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，世界上的关键机器——发电厂、水处理设施、医院的生命维持系统以及汽车制造厂——就像一座巨大的、古老的城堡。几十年来，这座城堡拥有一道厚实且坚不可摧的护城河，将“办公楼”（存放电子邮件和电子表格的地方）与“车间”（运行真实物理机器的地方）分隔开来。车间之所以安全，是因为没有人能进入；它是“气隙隔离”的，这意味着它在物理上与外界隔绝。
但最近，城堡的设计师们决定在办公楼和车间之间建造一座玻璃桥，以使运行更加顺畅。他们称之为 工业 4.0。虽然这座桥允许实现一些酷炫的新功能，比如在机器真正损坏之前预测其何时会发生故障，但它也无意中让车间的大门向黑客敞开了。
这篇论文是一份宏大的侦探报告，它审视了在建造这座玻璃桥时发生了什么，坏人是如何跨越它的，以及好人为了修复这一烂摊子付出了多少金钱代价。
核心发现：“办公室”是薄弱环节
这份报告中最令人惊讶的发现是，最危险的攻击通常并不是通过黑客攻击机器本身开始的。相反，黑客是从 办公楼 开始的。
可以这样理解：黑客向一名工厂经理发送一封伪造的电子邮件（网络钓鱼）。经理点击了一个链接，黑客由此获得了进入办公楼的钥匙。从那里开始，他们就可以走过那座玻璃桥进入车间。一旦进入，他们不需要成为天才工程师；他们只需要知道车间的锁已经陈旧生锈。他们会发现一个贴着“Modbus”或“DNP3”标签的门，这个门根本没有锁，或者密码仍然设置为“12345”（默认凭据）。
研究发现，在他们研究的 69 起重大攻击中，有 三分之二 是以此方式开始的。黑客不需要发明一个超级复杂的机器人来破坏机器；他们只需要欺骗办公室里的人类，然后走过一扇没锁的门。
这篇论文指出什么“不是”答案
论文非常明确地指出了什么 不能 解决问题。它明确反对仅仅依赖传统的“特征码”检测器（就像一个只拦截戴特定红帽子人的保安）的观点。
- “红帽子”问题： 如果黑客戴着蓝帽子（一种新的、未知的病毒），保安就不会阻止他们。论文显示，像 Triton 或 INCONTROLLER 这样新的、可怕的病毒往往如此独特，以至于旧的保安会完全漏掉它们。
- “直接付赎金”的迷思： 论文认为，支付赎金很少是解决方案。事实上，对于大多数重大攻击，赎金金额与造成的损失相比微不足道。例如，当 Colonial Pipeline 遭到袭击时，他们支付了约 440 万美元。但由于他们不得不关闭管道五天，他们每天损失超过 2500 万美元 的业务。赎金只是沧海一粟；真正的成本在于工厂的停产。
证据：混乱的时间线
作者们并非凭空猜测；他们整理了一份涵盖 2010 年至 2025 年 的 69 起真实案例。他们通过政府报告、法院文件和公司声明对每一件案例都进行了核实。
根据其数据，故事随时间是如何变化的：
- “特种作战”时代 (2010–2016)： 攻击非常罕见，需要超级间谍级别的技能。最著名的案例是 2010 年的 Stuxnet，它利用一个 USB 驱动器潜入伊朗的一个秘密核设施，并物理破坏了离心机。这就像是一个大师级窃贼在破解一个特定的、高科技的锁。
- “蠕虫”时代 (2017–2021)： 随后是 2017 年的 NotPetya。它甚至不是在试图破坏机器，而是一个像流感一样传播的计算机病毒。但因为它感染了运输公司的办公电脑和工厂，整个世界都停滞了。它让全球损失了约 100 亿美元。
- “勒索软件”时代 (2022–2025)： 现在，攻击无处不在。黑客不再仅仅是国家级力量；他们是犯罪团伙。他们在 2025 年袭击了 捷豹路虎 (Jaguar Land Rover)，导致英国所有的汽车生产停止了五周。论文估计这给英国经济造成了约 19 亿英镑 的损失。他们在 2024 年袭击了 Change Healthcare，影响了 1.927 亿人 的处方，造成了 24.6 亿美元 的损失。
“医疗保健”深度剖析：当机器停止运转，人类就会受苦
论文专门研究了医院的情况。在办公室里，电脑崩溃意味着你无法发送电子邮件。但在医院，电脑崩溃意味着 MRI 机停止工作，或者病人监护仪黑屏。
作者发现医院是一个“完美风暴”的汇聚点：
- 老旧机器： 他们拥有 15 到 20 年历史、无法更新的医疗设备。
- 扁平化网络： 通常，医生使用的电脑网络与生命维持设备的网络是同一个。
- 代价： 当 Ascension Health 在 2024 年遭到袭击时，他们在一年内损失了 18 亿美元。当 Synnovis（英国 NHS 的一家实验室）遭到袭击时，在短短 13 天内就有 1,134 台手术 被取消。
我们拥有的工具（以及我们需要填补的空白）
论文回顾了防御者正在使用的工具，但也坦诚地指出了它们的不足之处。
有效的部分：
- 零信任 (Zero Trust)： 想象一座城堡，即使每个人都有钥匙，在经过每一扇门时都必须出示身份证。这可以阻止黑客在进入后自由移动。
- AI 检测： AI 不再寻找“红帽子”，而是观察机器的“行为”。如果一个阀门在凌晨 3 点打开，而平时它应该是关闭的，AI 就会拉响警报。论文建议这对于发现新的、奇怪的攻击非常有效。
- 数字孪生 (Digital Twins)： 这就像为工厂建立一个视频游戏版本。黑客可以在不冒险破坏真实机器的情况下，尝试破坏这个游戏版本。
巨大的差距（我们仍未拥有的）：
- 补丁管理： 我们不能像更新手机那样去“更新”一座核电厂或一个净水器。这耗时太长，而且可能会导致故障。论文指出，我们需要更好的方法，在不关闭这些旧机器的情况下进行修复。
- 数据稀缺性： 为了训练 AI，我们需要攻击案例。但我们并没有很多黑客入侵工厂的真实案例，所以 AI 是在从一个微小且不完整的图书馆中学习。
- 旧协议： 许多机器仍在用在安全技术出现之前就已发明的语言（如 Modbus）进行交流。我们需要用新的、安全的“毯子”包裹住这些旧语言，但要在不更换整台机器的情况下做到这一点非常困难。
总结
论文得出结论：坏人变得越来越快、越来越便宜，而好人仍在摸索如何保护那座玻璃桥。
最重要的教训是？业务中断才是真正的杀手。 造成伤害最大的不是被盗的数据或赎金，而是当工厂停止制造汽车、发电厂停止发电或医院停止救治病人时。
作者建议，要赢得胜利，我们需要停止将 IT（办公楼）和 OT（车间）视为两个独立的世界。我们需要建造更好的桥梁，在每一扇门前设置更多的守卫，并使用智能 AI 来监控任何可疑行为。但在我们修补好工具和数据的差距之前，那座玻璃桥仍将是一个危险的行走之地。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。