ICS 免受 VPN 和算法的物理保护

工业控制系统物理防护机制：从算法到可控攻击面

在工业控制系统（ICS）中，对网络安全措施的信任建立在基础机制之上：物理原理、数学理论和算法。VPN和防火墙主要依赖算法，由于缺乏真实环境测试，其信任度较低。量子加密设备和数据二极管采用物理屏障，能提供更强的外部威胁防护。

技术系统中的信任来源

设备信任通过科学验证、真实环境测试和定期诊断建立。在航空领域，这包括强度计算、静态破坏测试和检查。同样，电气柜中的自动保护装置也通过工厂测试和维护验证。

在ICS网络安全中，算法的真实环境测试是不可能的：无法向防火墙或VPN网关输入所有异常数据包组合。能源领域的继电保护系统在物理模拟器上用真实电流测试，这在网络安全中无法实现。

按机制分类的网络安全解决方案

ICS的硬件和软硬件复合体按信任度分为不同类别：

| 产品 | 物理机制 | 数学理论 | 算法 | 总分 |

|--------------------|----------|----------|----------|------|

| 防火墙 | — | — | -3 | -3 |

| VPN加密设备 | — | +1 | -3 | -2 |

| 量子加密设备 | +3 | +1 | -3 | +1 |

| 数据二极管 | +3 | — | — | +3 |

| L1层物理断开器 | +3 | — | — | +3 |

物理机制提供最高信任度（+3），因为若无硬件访问，攻击不可能发生。数学理论（+1）在理论上可证明，但实现过程易受攻击。算法（-3）存在错误和后门风险。

攻击面度量 S_attack

为评估ICS对外部威胁的脆弱性，在OSI模型的L1–L4层引入攻击面概念：

$$ S_{attack} = \sum_{节点} 节点权重 \left( \sum_{物理端口} 端口权重 \left( \sum_{TCP/UDP端口} 软件端口权重 \right) \right) $$

• 节点权重：设备关键性（如PLC—高）。
• 端口权重：物理接口重要性。
• 软件端口权重：服务脆弱性（如RDP—关键）。

仅考虑外部端口。

使用系数dt的动态管理

对ICS的远程访问需求很少——每年约50小时。引入二元系数 dt ∈ {0,1}，反映物理连接状态：

$$ S_{attack} = \sum ( 节点权重 \left( \sum ( dt \cdot 端口权重 \cdot \sum 软件端口权重 ) \right) ) $$

优势：

• dt=0：端口物理断开，攻击面最小化。
• dt=1：为诊断或配置承担可控风险。

实现dt的设备

• 数据二极管：dt始终为0，物理层单向数据传输。适用于监控，不适用于控制。
• 以太网L1层物理断开器：按需物理断开/切换通道。与VPN结合实现可控访问。

关键要点

• 物理机制（L1层物理断开器、数据二极管）提供最高信任度，不依赖算法。
• VPN仅部分减少攻击面；无dt时，风险仍高。
• 管理dt可在99%时间内最小化脆弱性，不损失功能。
• 结合产品类别：物理机制+数学理论，实现多层ICS防护。
• 网络安全算法的真实环境测试不可行——依赖已验证的物理屏障。

ICS防护架构需平衡多种机制。VPN无法替代物理控制，但与L1层物理断开器配对，可提供可控攻击面。

— Editorial Team