前言
很多政企基础设施安全团队长期存在一个认知误区：觉得外网黑客攻击只会偷数据、敲勒索，不会对实体生产设备造成实质性破坏。这种思维盲区，让大量电力、水务、化工企业的OT工控系统裸奔运行多年。
2026年CISA与FBI联合发布的高危预警，彻底打破了这种侥幸心理。与伊朗官方关联的APT组织，不再局限于传统IT网络的渗透窃密，把核心攻击目标锁定在北美水电能源体系的Rockwell PLC工控设备。攻击者的核心目的很明确，不是牟利，而是通过篡改工控逻辑、操控生产设备，造成供水中断、电力停机等实体基础设施瘫痪，实现网络战层面的战略威慑。
这次攻击事件绝非孤立个案，是地缘冲突下国家级OT对抗常态化的典型信号。对比俄乌冲突中大量工控设备被定向爆破、远程操控的案例，能够清晰看到一个趋势：未来关键基础设施的网络攻击，全部会从数据层攻击转向物理层破坏。
国内绝大多数水务、电力、新能源企业，目前的安全防护体系依旧侧重IT边界防火墙、终端杀毒、数据加密，对OT网络的设备暴露、弱口令漏洞、程序篡改风险毫无应对能力。护网行动中，蓝队失分最严重的场景，也集中在PLC异常检测、工控流量溯源、OT应急处置板块。
本文从真实攻击链路出发，拆解伊朗APT组织针对Rockwell PLC的全套攻击手法、TTP行为特征，提供可直接落地的设备排查SOP、网络架构改造方案、流量检测规则、自动化巡检脚本，同时结合工业安全标准ISA-62443搭建可复用的OT防御体系，完全适配政企日常安全运维、护网攻防演练、等保合规整改场景。
1 事件复盘：伊朗APT攻击美国水电基础设施完整态势
1.1 官方预警核心信息梳理
本次威胁预警由美国CISA、FBI牵头，联合NSA、能源部、环境保护署多机构同步发布，属于国家级最高等级工控威胁通报。预警明确指向伊朗革命卫队下属APT黑客团伙，攻击活动从2025年末开始蓄力，2026年进入规模化扩散阶段。
攻击者放弃了传统互联网攻击的低成本模式，针对性瞄准美国民生刚需基础设施，核心目标覆盖城市污水处理厂、市政供水系统、火力/水力发电站、油气输送枢纽。和Colonial Pipeline勒索攻击不同，本次行动没有勒索盈利诉求，全程以破坏基础设施正常运转、制造公共安全危机为核心目标。
本次攻击无公开CVE漏洞编号，这是很多安全从业者容易忽略的关键点。无CVE不代表无风险，恰恰说明攻击者利用的不是通用公开漏洞，而是工控设备原生配置缺陷、运维管理漏洞、私有协议特性开展定向攻击。这类攻击手段没有公开特征库，传统漏洞扫描工具无法检测，防御难度远高于常规漏洞利用。
1.2 本次攻击的核心差异化威胁点
市面上多数安全分析文章只提及“伊朗黑客攻击工控设备”，但没有讲清楚这次威胁的致命之处，我结合一线工控运维经验，提炼四个核心高危特征，也是国内企业最容易踩坑的风险点。
第一，攻击阵地彻底从IT网转向OT网。以往网络攻击集中在企业办公系统、业务服务器、数据中台，就算被攻破，最多造成数据泄露、系统宕机，不会影响实体生产。本次攻击直接穿透至生产控制层，操控PLC、SCADA核心设备，直接干预设备启停、工艺参数、生产逻辑，实现网络攻击到物理破坏的闭环。
第二，目标设备高度聚焦Rockwell全系工控产品。北美水电能源行业大面积部署Rockwell Allen‑Bradley ControlLogix、CompactLogix系列PLC，攻击者针对该设备的EtherNet/IP私有协议、程序编译机制、权限管控缺陷做了长期技术深耕，攻击链路成熟、成功率极高，且具备极强的针对性免杀能力。
第三，双行业覆盖造成连锁安全风险。水务系统被攻击会导致净水设备停机、污水超标排放、居民供水中断；电力系统被攻击会引发机组跳闸、区域停电、电网波动。两大基础民生行业同时暴露，会形成城市公共安全连锁崩塌效应，危害远超单一行业攻击。
第四，攻击行为完全服务地缘政治博弈。本次APT活动不受商业利益驱动，攻击者拥有充足的人力、算力、情报资源，会持续迭代攻击手法、更换IP节点、规避安全设备检测，不会因为单次预警通报就停止活动，属于长期持续性高危威胁。
1.3 国内基础设施同源风险对照
很多人觉得这是美国的安全事件，和国内企业无关，这是极大的认知错误。国内市政水务、县域电厂、新能源电站、化工园区，大量采购进口Rockwell工控设备，存量设备规模超百万台。
更严峻的是，国内中小基础设施企业的OT运维乱象远比美国严重。大量厂区PLC设备直接公网暴露、长期使用默认弱口令、IT和OT网络完全打通、无任何流量审计机制、程序常年无备份校验。美国企业尚且被精准攻破，国内同源设备的暴露风险只会更高。
护网行动近几年的红队攻击演练中，Rockwell PLC弱口令暴露、程序篡改、内网横向移动，已经成为红队高频利用的突破口，真实攻防场景和本次伊朗APT攻击链路高度重合。
2 技术拆解：伊朗APT针对Rockwell PLC完整攻击链路（TTP全复盘）
我结合CISA披露的IOC指标、工控攻击日志、红队实战经验，完整还原攻击者从外网侦查到内网破坏、持久化驻留的全流程链路，每一个环节都对应可落地的检测和防御手段。
2.1 攻击整体流程架构图
下图为伊朗APT针对工控基础设施的标准化攻击链路，完整覆盖外网侦查、边界突破、设备控制、内网扩散、持久化破坏全流程：
attacker: 外网攻击者
internet: 公网环境
firewall: 企业边界防火墙
plc: Rockwell PLC工控设备
hmi: HMI/SCADA监控平台
ot内网: OT生产内网设备集群
attacker->>internet: 全网端口资产测绘扫描
internet->>firewall: 探测开放工控端口
firewall->>plc: 边界放行导致设备暴露
attacker->>plc: 弱口令爆破/配置漏洞入侵
plc->>hmi: 篡改工程文件与监控参数
attacker->>ot内网: 内网横向移动扫描
attacker->>plc: 植入后门、锁定远程权限持久化
attacker->>ot内网: 触发设备异常、生产停机破坏
```
2.2 阶段一：全网资产侦查与精准定位
攻击者不会盲目发起攻击，前期会通过全网测绘工具批量抓取暴露在公网的工控资产，核心探测目标和端口固定。
核心扫描端口：EtherNet/IP 44818端口（Rockwell PLC核心通信端口）、Modbus TCP 502通用工控端口、S7 102端口。同时扫描设备开放的Web管理端口、FTP文件传输端口、SNMP监控端口、Telnet远程登录端口。
通过端口回包特征，攻击者可以精准识别设备品牌、型号、固件版本、工程文件名称、设备部署场景（水厂/电厂/化工），筛选出未加固、存在默认配置漏洞的薄弱目标。除此之外，攻击者会利用社工手段搜集企业运维人员邮箱、账号密码，为后续暴力破解、账号劫持做准备。
2.3 阶段二：边界突破与设备入侵
这是整个攻击链路中成功率最高的环节，90%的工控沦陷案例都出在这里。
国内绝大多数企业的边界防火墙没有针对工控协议的防护策略，直接放行44818、502等工控端口，导致PLC设备直接暴露公网。攻击者利用Rockwell设备默认无访问校验、无协议校验的缺陷，直接发起连接请求。
主流入侵手段分为两种：第一种是弱口令爆破，设备出厂默认账号密码未修改，空密码、admin/admin、admin/123456等弱口令可以直接登录设备后台；第二种是利用设备配置漏洞，老旧固件版本的Rockwell PLC支持未授权远程上传、修改工程文件，无需验证身份即可写入恶意程序。
2.4 阶段三：程序篡改与生产逻辑破坏
成功接入PLC设备后，攻击者不会立刻破坏设备，会先读取本地ACD工程文件，分析原有生产控制逻辑。随后植入自定义恶意AOI功能模块，复用设备原生指令，隐藏恶意代码。
这种篡改方式极具迷惑性，普通运维人员查看程序时，无法识别陌生模块异常。攻击者可以通过恶意模块，随意修改设备启停逻辑、水位阈值、电压参数、告警规则。同时篡改HMI监控界面数据，让运维后台显示正常数值，现场设备却已经异常运行，彻底规避人工巡检排查。
2.5 阶段四：持久化驻留与内网横向扩散
单次入侵无法满足长期网络战需求，攻击者会做双重持久化操作。硬件层面，将PLC物理开关锁定为远程编程模式，无论设备重启、断电，都保留远程修改权限；系统层面，新建隐藏后门账号，清除本地操作日志，规避设备溯源审计。
完成单设备控制后，攻击者以沦陷PLC为内网跳板，扫描整个OT网段的工控设备、交换机、运维工作站，批量渗透同厂区、同网段的所有生产设备，扩大攻击覆盖范围，实现全域设备可控。
2.6 阶段五：定向物理破坏与舆情威慑
在地缘冲突关键节点，攻击者会批量触发恶意程序，关停水处理设备、切断电力机组、触发设备过载报警，造成生产停滞、基础设施瘫痪，同时制造公共安全舆情压力，达成战略威慑目的。
3 实战落地：Rockwell PLC安全排查SOP（完整可执行清单）
结合本次APT攻击漏洞特征，我整理出一套完整的PLC安全排查流程，分为资产暴露排查、设备基线加固、工程文件校验、权限管控、流量审计五大模块，所有操作均适配政企日常运维、护网自查场景，可直接落地执行。
3.1 外网资产暴露紧急排查（最高优先级）
所有工控安全问题的根源，基本都是设备外网暴露。优先完成全网资产梳理，杜绝PLC、SCADA设备直接对公网开放。
第一步，全域资产测绘。对内网所有网段、公网出口IP进行扫描，统计所有Rockwell ControlLogix、CompactLogix系列PLC设备，登记IP地址、设备型号、固件版本、开放端口、部署位置，建立专属资产台账，杜绝影子设备。
第二步，边界端口封堵。在防火墙、上网行为管理设备中，批量封堵公网入站方向的44818、502、102、21、23端口，禁止外网直接访问工控设备。所有工控端口仅保留内网互通权限，彻底切断外网攻击入口。
第三步，远程运维管控。删除所有临时外网映射规则、端口转发策略，禁止工控设备直接开通公网远程访问权限。所有远程运维操作必须通过企业专属VPN+堡垒机跳转，开启多因素认证，留存完整操作日志。
第四步，闲置通道清理。关停厂区工控设备的蜂窝4G/5G远程模块、临时无线运维通道，这类临时通道是APT组织重点扫描的薄弱突破口。
3.2 PLC设备基线安全加固
资产排查完成后，对所有存量设备做标准化基线加固，修复设备原生配置漏洞。
固件升级方面，将所有v35.011以下版本的Rockwell Logix控制器，在生产窗口期完成离线固件升级，修复设备未授权程序写入、无身份校验高危漏洞。工控设备升级必须离线操作，规避升级过程中的网络攻击风险。
服务精简方面，批量关闭设备闲置协议与服务，包括Web网页管理服务、FTP文件传输、SNMPv1/v2监控服务、Telnet远程登录服务，仅保留生产必需的EtherNet/IP工业协议，减少攻击面。
硬件管控方面，日常无程序修改、无运维调试时，将PLC物理模式开关固定为Run运行档位，禁止远程编程、远程修改程序，从硬件层面杜绝恶意篡改。仅在设备调试、程序更新时临时切换至Program档位，操作完成立即复位。
安全策略方面，开启PLC系统保护机制，设置高强度独立加密密钥，禁用空白密码、厂商默认密码，关闭设备匿名访问权限。
3.3 工程文件完整性校验（防篡改核心）
APT攻击最隐蔽的手段就是篡改工程文件，常规巡检无法发现，必须通过哈希校验实现精准检测。
第一步，全量备份工程文件。将厂区所有PLC设备的ACD工程文件离线导出，存储至物理隔离的备份服务器，禁止备份文件接入生产网络，避免备份文件被同步篡改。
第二步，批量计算哈希值。对所有离线备份文件计算SHA256哈希值，建立哈希台账，绑定设备编号、文件版本、备份时间。后续每次巡检都比对在线运行文件与离线备份文件的哈希值，数值不一致即可判定程序被篡改，立即停机排查。
第三步，代码模块审计。逐一审视工程内部所有AOI复用模块、自定义逻辑代码，删除陌生新增模块、无用途冗余代码、异常修改指令。所有程序新增、修改操作必须留存审批记录。
第四步，操作权限锁定。仅授权固定工程师工作站可下发、修改PLC程序，其余终端全部禁止程序上传、改写权限，杜绝随意修改生产逻辑的行为。
3.4 账号权限精细化管控
弱口令、通用账号是攻击者最容易利用的入口，必须实现账号权限最小化管控。
清理所有设备默认admin、engineer、guest通用账号，删除闲置过期账号、临时运维账号，杜绝账号共用现象。为每一位运维人员配置独立专属账号，绑定人员身份信息。
划分三级权限体系：普通操作员仅拥有设备查看、实时监控权限，无法修改参数；技术人员拥有常规参数调整权限，无程序改写权限；核心工程师拥有程序上传、逻辑修改、设备配置权限，权限全程留痕。
统一密码规范，所有工控设备密码设置12位以上大小写字母+数字+特殊符号组合，90天强制轮换，禁止密码复用、弱密码、默认密码。
3.5 流量日志常态化审计检测
工控攻击无明显特征，必须依靠持续流量监控、日志审计发现异常行为。
在OT网络边界、核心交换机部署流量审计设备，持续采集44818、502等核心工业协议流量，建立厂区正常业务流量基线。对超出基线的异常流量、陌生IP访问、高频连接请求实时告警。
配置核心告警规则：外网IP访问工控端口、非工作时段程序上传修改、AOI模块新增变更、账号暴力破解、批量设备异地登录、程序哈希值异常。所有日志留存时长不低于6个月，同步至独立日志服务器，禁止本地日志删除、覆盖、篡改。
4 自动化巡检：PLC安全检测脚本与配置文件（可直接复制）
为降低人工运维成本，提升护网自查效率，我编写了两套完整可落地的自动化脚本，分别实现PLC端口扫描、文件哈希校验功能，Windows、Linux环境均可直接运行。
4.1 工控端口暴露扫描Python脚本
该脚本可批量扫描指定网段的工控开放端口，快速排查外网、内网PLC设备暴露风险，输出异常设备清单。
importsocketimportthreadingfromqueueimportQueue# 配置扫描网段与工控核心端口SCAN_NET="192.168.1."START_IP=1END_IP=254SCAN_PORTS=[44818,502,102,21,23]THREAD_NUM=50queue=Queue()result_list=[]defport_scan(ip,port):try:sock=socket.socket(socket.AF_INET,socket.SOCK_STREAM)sock.settimeout(0.8)res=sock.connect_ex((ip,port))ifres==0:print(f"[高危暴露]{ip}:{port}端口开放（工控高危端口）")result_list.append(f"{ip}:{port}")sock.close()exceptExceptionase:passdefscan_thread():whilenotqueue.empty():ip,port=queue.get()port_scan(ip,port)queue.task_done()defmain():print("开始批量扫描工控高危端口，排查设备暴露风险...")forip_numinrange(START_IP,END_IP+1):ip=SCAN_NET+str(ip_num)forportinSCAN_PORTS:queue.put((ip,port))# 启动多线程扫描fortinrange(THREAD_NUM):t=threading.Thread(target=scan_thread)t.daemon=Truet.start()queue.join()# 输出扫描结果iflen(result_list)>0:print("\n========== 高危暴露设备清单 ==========")forresinresult_list:print(res)else:print("\n未发现工控端口暴露设备")if__name__=="__main__":main()4.2 PLC工程文件哈希校验脚本
自动遍历指定文件夹下所有ACD工程文件，计算SHA256哈希值，生成校验台账，快速检测文件篡改。
importhashlibimportosimportcsv# 配置工程文件存放路径FILE_PATH="./PLC_Project_File"# 输出校验报告路径REPORT_PATH="./PLC_Hash_Check_Report.csv"defget_sha256(file_path):sha256=hashlib.sha256()try:withopen(file_path,"rb")asf:whilechunk:=f.read(4096):sha256.update(chunk)returnsha256.hexdigest()exceptExceptionase:returnf"读取失败：{str(e)}"defmain():result_data=[]ifnotos.path.exists(FILE_PATH):os.mkdir(FILE_PATH)print("请将PLC ACD工程文件放入PLC_Project_File文件夹后重新运行")return# 遍历所有工程文件forroot,dirs,filesinos.walk(FILE_PATH):forfileinfiles:iffile.endswith(".acd"):file_full_path=os.path.join(root,file)hash_val=get_sha256(file_full_path)result_data.append([file,file_full_path,hash_val])print(f"已校验：{file}| SHA256：{hash_val}")# 生成CSV台账withopen(REPORT_PATH,"w",newline="",encoding="utf-8-sig")asf:writer=csv.writer(f)writer.writerow(["文件名","文件路径","SHA256哈希值"])writer.writerows(result_data)print(f"\n校验完成，报告已生成：{REPORT_PATH}")if__name__=="__main__":main()4.3 防火墙工控端口封堵配置（华为/华三通用）
提供边界设备通用封堵策略，直接阻止外网访问工控高危端口，适配主流防火墙设备。
# 外网入站方向禁止所有工控高危端口访问 security-policy rule deny-ot-port source-zone untrust destination-zone trust destination-port 44818 502 102 21 23 action deny rule permit-all source-zone untrust destination-zone trust action permit5 架构改造：基于ISA-62443的IT/OT隔离防御体系
单点设备加固只能解决临时风险，想要长期抵御APT级别的定向攻击，必须重构IT与OT网络架构。目前国内90%的工控安全沦陷，都源于IT/OT网络无隔离、无分段、无权限管控。
5.1 工业网络安全架构图
A[互联网外网] – 边界防火墙 --> B[企业IT办公网]
B – 单向数据隔离/iDMZ区域 --> C[OT生产控制网]
C – 微分段划分 --> D[水务工控区域]
C – 微分段划分 --> E[电力工控区域]
C – 微分段划分 --> F[通用设备区域]
D --> G[Rockwell PLC集群]
E --> H[电力SCADA系统]
F --> I[现场传感器/执行器]
J[离线备份服务器] – 物理隔离 --> C
```
5.2 三层网络分区隔离方案
严格遵循ISA-62443工业安全标准，搭建外网、IT网、工业DMZ、OT生产网四层隔离架构，彻底阻断横向攻击链路。
外网边界层：部署下一代防火墙，封堵所有工控端口，仅开放办公、业务必需端口，杜绝外网直接渗透生产网络。
IT办公网络层：承载企业办公、ERP、行政业务、运维管理系统，该区域允许接入互联网，存在较高攻击风险，禁止主动访问OT生产网络。
工业DMZ隔离区：作为IT与OT唯一数据中转通道，部署工业防火墙、数据二极管、堡垒机。所有OT生产数据仅单向同步至IT网络，IT网络无法向OT网络下发任何控制指令，从架构层面杜绝IT侧沦陷后牵连生产网。
OT生产控制层：划分为独立安全域，内部实施微分段管控。按照水务、电力、机组、工艺环节拆分子网，不同区域之间仅放行必要通信流量，单一设备沦陷无法横向扩散全网。
5.3 工控零信任防御落地策略
传统边界防护模式已经无法抵御APT攻击，必须落地工控零信任理念。
摒弃内网可信默认规则，所有设备、所有访问请求无论内外网，都需要完成身份认证、权限校验、流量审计。针对PLC设备、SCADA系统、运维终端做专属身份绑定，未授权终端禁止接入OT网络。
工业防火墙开启协议深度解析功能，对EtherNet/IP、Modbus等工业协议做精细化校验，拦截异常程序写入、寄存器篡改、参数批量修改等高危操作，不仅仅依赖端口放行规则。
核心生产区域部署单向数据二极管硬件设备，实现物理级单向数据传输，彻底杜绝外网、IT网向生产网的攻击渗透。
5.4 应急容灾恢复架构
APT攻击具备隐蔽性，无法做到100%提前拦截，必须搭建快速恢复体系，降低攻击损失。
搭建物理隔离的离线程序备份库，所有PLC工程文件、系统配置定期离线备份，备份服务器不接入任何网络，避免被攻击者篡改、删除。
制定PLC程序快速回滚预案，明确篡改、异常故障场景下的停机流程、程序恢复步骤、设备校验标准，确保10分钟内完成核心设备程序还原。
配置专属应急运维终端，终端全程物理隔离，仅在应急处置时临时接入OT网络，规避日常终端带毒入侵风险。定期开展工控应急演练，模拟程序篡改、设备停机、内网沦陷场景，打磨团队处置能力。
6 护网专项：OT/ICS蓝队防御核心策略
本次伊朗APT攻击的TTP特征，完全贴合近几年护网红队工控攻击套路，我结合多轮护网实战经验，整理蓝队核心防御要点，针对性规避失分风险。
6.1 重点防御资产聚焦
护网攻防演练中，红队优先突破的工控设备集中在Rockwell、西门子、施耐德三大品牌，其中Rockwell PLC因为存量大、漏洞多、防护薄弱，是最高频攻击目标。蓝队需要将所有水务、电力核心PLC、SCADA设备列为重点防护资产，优先完成加固、巡检、监控。
6.2 核心告警规则配置
摒弃传统通用告警规则，针对性配置APT工控攻击专属检测规则：非授权IP接入工控端口、非工作时段程序变更、AOI模块新增修改、PLC运行模式异常切换、设备哈希值变更、批量账号登录失败、跨网段工控流量访问。
关闭海量无效告警，聚焦高危实体操作告警，避免告警淹没导致漏报、误报。
6.3 日常运维红线规范
护网期间严格禁止工控设备公网映射、临时端口转发、账号共用、弱口令使用、IT/OT网络混接。所有临时运维操作全程审批、全程留痕，操作结束立即清理权限、关闭端口。
每日定时执行自动化巡检脚本，核对设备端口状态、程序哈希值、账号权限、流量日志，提前发现潜在入侵痕迹。
7 行业总结与风险预判
地缘政治驱动下的工控网络战，已经从远期威胁变成当下常态化风险。国家级APT组织不再局限于数据窃取，转向实体基础设施破坏，水电、能源、化工等关键行业，已经成为网络对抗的核心战场。
国内大量基础设施企业的安全防护体系，还停留在传统IT安全层面，完全适配不了OT工控的攻防对抗场景。设备暴露、配置漏洞、权限混乱、无校验机制、无隔离架构，多重风险叠加，导致工控系统极易被定向攻破。
对于政企安全团队而言，当下最核心的工作，不是堆砌安全设备，而是落地真实有效的排查加固、架构改造、常态化巡检。用第一性原理看待工控安全，回归设备本身、网络本身、运维本身的基础安全问题，才能从根源抵御APT级别的定向攻击。
未来工控网络攻击会持续迭代，攻击者会绕过传统安全设备，利用更多设备原生漏洞、运维短板开展攻击。企业必须建立常态化威胁研判、自查整改、攻防演练机制，持续优化防御体系，适配不断变化的对抗场景。
互动提问
1. 你们厂区的Rockwell PLC设备是否存在公网暴露、弱口令、IT/OT混接的遗留问题？最快的整改落地方式是什么？
2. 护网攻防演练中，你遇到过哪些高频工控攻击手法，现有防御体系存在哪些短板？