工控资产识别与可视化实战：从被动监测到主动治理

工控资产识别为何成为 OT 安全的”第一公里”

看不见的资产，看得见的损失

2024年Dragos《ICS/OT Cybersecurity Year in Review》报告披露：在他们调查的严重 OT 事件中，68%的事后溯源发现，受害企业对其关键控制器的固件版本、补丁状态、暴露路径均无准确记录。Claroty Team82在同年披露的勒索软件复盘里，将”资产底数缺失”列为OT事件响应的第一障碍——应急团队往往需要数小时才能定位”哪些控制器在线、跑什么固件、与哪些上位机相连”，而攻击窗口只有分钟级。

资产底数不清带来三重后果：

后果一：补丁管理无法闭环。 没有准确的资产指纹，补丁推送就变成”无的放矢”——安全团队不知道哪台 PLC 还停留在 V13 固件、哪台已经升级到 V17，更不知道哪些补丁会影响工艺连续性。

后果二：威胁检测失去基准。 异常流量检测依赖”正常行为基线”，而基线必须建立在资产指纹之上。没有”正常设备-正常协议-正常通信”的三元组，就无法识别”异常的 PLC 出现在未授权的网段”。

后果三：应急响应失去抓手。 当勒索软件在内网横向移动时，应急团队最需要的不是告警，而是”控制器A到控制器B之间是否存在授权通道、HMI 是否被感染、DCS 服务器是否为单点故障”等可回答的问题。

IT 资产管理的范式不能直接套用

很多企业把 IT 领域的 CMDB、自动化发现、Agent 采集方法直接搬到 OT 场景，结果普遍失败。差异主要体现在五个维度：

维度	IT 环境	OT 环境
协议	标准化 TCP/IP、HTTP、SNMP	私有工业协议（S7comm、Modbus、OPC UA、DNP3、IEC 104）
资产类型	服务器、PC、网络设备	PLC、DCS、RTU、HMI、变频器、仪表、智能传感器
采集方式	Agent、SNMP 轮询、SSH	受限：主动扫描可能导致控制器故障
变更频率	频繁但受变更流程管控	受限：停机窗口短，变更常”做而不记”
资产元数据	标准化（厂商、型号、序列号）	不一致（私有命名规则、临时编号）

这套差异决定了 OT 资产识别必须有独立的方法论和工具链，不能简单复用 IT 资产管理平台。

资产识别的四类核心方法

方法一：被动流量分析（推荐作为基础）

被动流量分析通过镜像核心交换机、工业防火墙、网闸等关键节点的流量，从中解析出通信的资产、协议、功能码、寄存器地址、固件标识等信息。其核心优势是对生产零影响——只读流量不发送任何探测包。

典型解析维度：

• 二层/三层指纹：MAC 地址 OUI、IP 段、VLAN 标识、TCP/UDP 端口
• 协议指纹：Modbus 设备地址、Modbus 功能码、S7comm 组件 ID（CPU 类型、序列号、固件版本）、OPC UA 节点命名空间、DNP3 链路层地址
• 应用指纹：HTTP/HTTPS Banner、SNMP SysDescr、PROFINET 站名、BACnet 设备实例号
• 行为指纹：周期性通信（心跳、轮询）、突发通信（告警、下载）、通信对象稳定度

局限：被动分析只能看到”正在通信”的资产，对长期断电、备用、库存的设备无感知；此外加密协议（如OPC UA Binary over HTTPS）需要配合证书或中间盒解密才能解析深层指纹。

方法二：主动探测（限定场景使用）

主动探测通过发送定制化的低速率探测包，根据响应识别资产类型、协议版本、固件信息。在 OT 环境中应严格限定：

适用场景：

• 与生产网络隔离的测试环境（Factory Lab、Engineering 副本）
• 计划停机窗口内的盘库扫描
• 风险已评估的特定网段（如办公网络对 OT 的接入区）

禁用场景：

• 生产控制网（Level 1-2）任何时间
• 关键装置连续运行期间
• 未授权的第三方维护网络

奇固科威建议参照 IEC 62443-3-3 SR 1.11（Network Service Authenticity），将主动探测纳入变更审批与监控范围，探测行为本身也需像攻击向量一样被审计。

方法三：资产指纹库与知识图谱

资产指纹库是 OT 资产识别的”字典”。其核心挑战是：OT 私有协议多样、厂商私有命名规则、固件版本命名不统一。建设思路有三条：

思路一：基于标准协议扩展字典。 Modbus、PROFINET、OPC UA 等标准协议有官方 DDF（Device Description File）或 EDS（Electronic Data Sheet），可系统收集构建字典。

思路二：基于已知 CVE 反向构建。 CISA、NVD、CNVD、工控漏洞库中已有大量”厂商+型号+固件+CVE”的组合，可倒推出指纹模式。

思路三：基于厂商 SDK/API 集成。 西门子、罗克韦尔、施耐德、ABB 等主流厂商提供官方的设备发现 API（如 Siemens PRONETA、Rockwell FactoryTalk Diagnostics），可作为权威数据源。

指纹库字段建议（最小可用集）：

网络层：MAC、IP、VLAN、协议端口、子网归属
设备层：厂商、型号、固件版本、序列号、硬件版本
协议层：协议类型、功能码/寄存器范围、设备文件哈希
风险层：已知漏洞CVE列表、补丁状态、暴露面评分
业务层：所属Zone/Conduit、工艺段、责任人、维修商

方法四：动态基线与变更检测

静态资产清单只能反映”盘点那一刻”的状态，而 OT 资产状态时刻在变（备件替换、固件升级、临时接入）。动态基线通过持续比对”应有资产 vs 实际资产”，发现三类异常：

• 新增资产：识别未授权设备接入（影子设备、第三方维护设备）
• 资产变更：识别固件升级、配置修改、关键参数变更
• 资产消失：识别意外断电、设备故障、恶意失联

动态基线要求资产识别系统具备实时性和历史回溯能力，通常以”资产变更事件流”形式存储，支持任意时间点的状态还原。

资产可视化体系的建设路径

阶段一：基础盘库（1-3个月）

目标：建立覆盖核心控制网络的资产基线清单。

关键动作：

1. 在核心交换机、工业防火墙、DCS 核心交换机部署流量镜像
2. 部署被动资产识别探针（建议至少覆盖 L1-L3 三层网络）
3. 运行 4-8 周被动采集，建立初始指纹库
4. 与设计图纸、DCS 组态文件交叉验证，补全元数据

交付物：初始资产清单（核心控制器 + HMI）、协议分布统计、暴露面评分报告

阶段二：可视化呈现（3-6个月）

目标：从”清单”升级为”可视化”。

关键动作：

1. 建立 Purdue 模型分层视图（L0-L5 资产分布）
2. 建立 Zone/Conduit 安全域视图（IEC 62443-3-2 合规要求）
3. 建立业务视图（按装置/工艺段/责任部门聚合）
4. 集成 GIS、3D 工厂模型，实现空间可视化

交付物：资产可视化大屏、合规自检报告、Zone/Conduit 划分建议

阶段三：动态运营（6个月以上）

目标：从”一次性盘库”走向”持续运营”。

关键动作：

1. 建立资产变更事件流，与 SIEM/SOC 平台集成
2. 建立资产风险评分（结合 CVE 库、暴露面、补丁状态）
3. 建立工单联动机制（资产变更触发审批/审计）
4. 建立定期巡检与差异比对（季度/半年度）

交付物：资产运营月报、变更审计日志、风险趋势分析

与合规要求的对齐

等保2.0工控扩展要求

• 6.1.2 网络架构：要求”应绘制网络拓扑图，并能准确反映网络结构”，资产可视化是基础
• 6.1.3 边界防护：要求”应划分安全区域并明确边界”，资产清单是 Zone/Conduit 划分的前提
• 6.1.5 接入控制：要求对接入设备进行认证，资产指纹是认证的基础
• 6.1.7 恶意代码防范：要求识别工控设备类型以部署针对性方案

IEC 62443-3-2 区域划分

IEC 62443-3-2 标准明确要求：

• 安全区域（Zone）划分必须有清晰的资产清单支撑
• 通道（Conduit）必须列出所有通信资产与协议
• 每个 Zone 必须有明确的资产清单与责任人

IEC 62443-3-3 系统要求

• SR 2.1 设备标识：所有可访问设备需唯一标识
• SR 2.2 设备认证：标识必须支持认证机制
• SR 3.4 软件与信息完整性：需识别所有软件组件及其版本

资产可视化是上述合规要求的最低执行前提。

奇固科威资产识别方案要点

奇固科威 OT 资产识别方案遵循”被动为主、主动为辅、指纹库驱动、动态基线运营”的方法论，核心能力包括：

• 协议深度解析：支持 S7comm、S7comm-Plus、Modbus、OPC UA、DNP3、IEC 104、PROFINET、EtherNet/IP、BACnet 等百余种工业协议
• 指纹库：内置超 10 万条厂商-型号-固件组合，关联 CISA/NVD 漏洞库
• 可视化：Purdue 模型分层 + Zone/Conduit 合规视图 + 业务视图三模一体
• 动态基线：实时资产变更事件流，支持任意时间点状态还原
• 合规对齐：自动生成等保2.0/IEC 62443 合规自检报告

结语：资产识别不是项目，而是运营

很多企业把资产识别当作一次性项目来做，结果三年后清单已面目全非。OT 资产的特殊性决定了它必须是持续运营的能力——只有把资产识别嵌入到变更流程、应急响应、风险评估、合规审计的日常工作中，资产可视化才能真正成为 OT 安全的”第一公里”。

下一阶段，企业应在此基础上建设威胁检测与响应能力，将资产指纹与行为基线、威胁情报联动，实现从”看见资产”到”看见风险”的跨越。

标签：资产识别工控可视化被动流量分析资产管理Purdue模型基线核查OT安全运营
发布：2026-09-22 | 作者：奇固科威