OT-SOC（工控安全运营中心）需要建设哪些能力？

OT-SOC（工控安全运营中心）需要建设哪些能力？

A: OT-SOC（Operational Technology Security Operations Center）是面向工业控制系统的专业安全运营中心。其与传统IT-SOC的本质差异在于：①监测对象不同（PLC/DCS/SCADA/SIS等工控资产）；②响应约束不同（不能简单断网/重启）；③运营要求不同（24×365连续运行）。OT-SOC应具备以下四大核心能力：

1. 资产可视能力（Asset Visibility）
   • 建立完整的工控资产清单（型号、固件、网络位置、责任人）
   • 持续被动资产发现（基于网络流量分析）
   • 资产变更检测（新设备接入、配置变更）
   • 推荐工具：Claroty、Nozomi Networks、Dragos Platform
2. 威胁监测能力（Threat Detection）
   • 工控协议深度解析（Modbus、S7Comm、DNP3、IEC 104等）
   • 基于行为基线的异常检测（不同于IT的签名检测）
   • 工控漏洞利用监测（如CVE-2021-22681等认证绕过漏洞）
   • 工控威胁情报订阅（Dragos、Mandiant、CISA ICS-CERT）
   • 推荐工具：奇固科威工控IDS、Dragos、Nozomi
3. 事件响应能力（Incident Response）
   • 工控事件分级（不同于IT的CIA分级，工控更关注安全完整性）
   • 工控应急响应预案（不是简单的隔离/封禁）
   • OT-IT联动响应（确认影响范围后再决策）
   • 取证能力（工控场景的取证约束）
   • 与生产系统运维团队协同响应
4. 合规管理能力（Compliance Management）
   • 等保2.0工控扩展要求合规监控
   • 关基保护条例合规支撑
   • 行业合规（NERC CIP、IEC 62443等）
   • 安全审计日志集中存储（180天以上）

OT-SOC技术栈（典型构成）：

• 数据采集层：网络流量镜像（SPAN/TAP）、Syslog、SNMP Trap、资产代理
• 分析层：SIEM平台（Splunk/Elastic/Sentinel）+ 工控专用分析引擎
• 威胁情报层：威胁情报平台（MISP/OpenCTI）+ 工控专项情报
• 响应层：SOAR（自动化响应剧本）+ 工控专用剧本
• 展示层：态势感知大屏、运维驾驶舱

OT-SOC与IT-SOC的关系：

• 不建议独立建设：OT-SOC完全独立建设会导致人员能力不足、投资浪费。建议在企业SOC下设立OT专项小组。
• 统一指挥、分专业执行：SOC统一指挥调度，OT小组负责工控专项监测与响应。
• 人员组成：OT安全分析师必须同时具备网络安全和工控工艺背景。

建设路径建议（12-18个月）：

1. 阶段一（3个月）：资产可视能力建设、威胁情报订阅
2. 阶段二（6个月）：威胁监测能力建设、工控IDS部署
3. 阶段三（12个月）：事件响应能力建设、SOAR集成
4. 阶段四（18个月）：合规管理能力建设、持续优化

关键成功因素：OT安全运营经验丰富的专业人才（最难培养）、与生产运维团队的深度协同、持续投入的运营预算。