implementing-purdue-model-network-segmentation

name	implementing-purdue-model-network-segmentation
description	基于Purdue企业参考架构（PERA）模型实施网络隔离，将工业控制系统网络划分为从0级物理过程到5级企业的层次化安全区域，在OT和IT域之间强制执行严格的流量控制。
domain	cybersecurity
subdomain	ot-ics-security
tags	["ot-security","ics","purdue-model","network-segmentation","iec62443","defense-in-depth","dmz","scada"]
version	1.0
author	mahipal
license	Apache-2.0

实施Purdue模型网络隔离

适用场景

• 为ICS/SCADA环境设计或改造网络架构时
• 在棕地工厂中实施IEC 62443区域和通道要求时
• 创建IT/OT DMZ（3.5级）以控制企业网络和控制网络之间的数据流时
• 修复有关OT网络扁平化或IT到OT直接连接的审计发现时
• 在收购或合并后对融合的IT/OT网络进行隔离时

不适用于单个Purdue级别内的微隔离（参见implementing-zone-conduit-model-for-ics）、没有传统ICS网络的云原生环境，或纯IT环境中的网络隔离。

前置条件

• 包含每台设备Purdue级别分类的完整OT资产清单
• 显示当前拓扑、VLAN和防火墙位置的网络架构图
• 具备OT协议深度包检测（DPI）能力的工业防火墙（Palo Alto、Fortinet、Cisco）
• 了解Purdue级别之间所需的数据流（历史服务器复制、远程访问、补丁分发）
• 工厂运营部门对网络变更的变更管理审批

工作流程

步骤 1：将当前架构映射到Purdue级别

按照Purdue模型层次结构对所有网络资产和数据流进行分类。

#!/usr/bin/env python3
"""Purdue模型网络隔离规划器。

将现有OT/IT网络资产映射到Purdue模型级别，并生成
包括防火墙规则和VLAN分配的隔离建议。
"""

import json
import csv
import sys
from collections import defaultdict
from datetime import datetime
from typing import Dict, List


PURDUE_LEVELS = {
    0: {
        "name": "物理过程",
        "description": "传感器、执行器、现场仪器",
        "typical_devices": ["传感器", "执行器", "驱动器", "电机启动器"],
        "vlan_range": "100-109",
        "allowed_protocols": ["HART", "Profibus", "Foundation Fieldbus", "IO-Link"],
    },
    1: {
        "name": "基本控制",
        "description": "PLC、RTU、安全控制器",
        "typical_devices": ["PLC", "RTU", "安全控制器", "DCS控制器"],
        "vlan_range": "110-119",
        "allowed_protocols": ["EtherNet/IP", "Profinet", "Modbus/TCP", "S7comm", "OPC UA"],
    },
    2: {
        "name": ,
        : ,
        : [, , , ],
        : ,
        : [, , , , ],
    },
    : {
        : ,
        : ,
        : [, , , ],
        : ,
        : [, , , ],
    },
    : {
        : ,
        : ,
        : [, , , , ],
        : ,
        : [, , , ],
    },
    : {
        : ,
        : ,
        : [, , , ],
        : ,
        : [, , , ],
    },
    : {
        : ,
        : ,
        : [, , ],
        : ,
        : [, ],
    },
}


 :
    

     ():
        .assets = []
        .data_flows = []
        .firewall_rules = []

     ():
        
         (filepath, )  f:
            .assets = (csv.DictReader(f))
        ()

     ():
        
        classification = defaultdict()
         asset  .assets:
            level = asset.get(, )
            :
                level = (level)
             (ValueError, TypeError):
                level = ._infer_purdue_level(asset)

            classification[level].append(asset)
            asset[] = level

         classification

     () -> :
        
        device_type = asset.get(, ).lower()
        mapping = {
            : , : , : ,
            : , : , : , : ,
            : , : , : ,
            : , : , : ,
            : , : , : ,
            : , : , : ,
        }
         keyword, level  mapping.items():
             keyword  device_type:
                 level
         -

     () -> :
        
        vlan_plan = []
         level, info  PURDUE_LEVELS.items():
            assets_at_level = classification.get(level, [])
            vlan_plan.append({
                : level,
                : info[],
                : info[],
                : (assets_at_level),
                : info[],
            })
         vlan_plan

     () -> :
        
        rules = [
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
            {
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
                : ,
            },
        ]
        .firewall_rules = rules
         rules

     ():
        
        ()
        ()
        ()
        ()

        vlan_plan = .generate_vlan_plan(classification)
        ()
         v  vlan_plan:
            ()
            ()
            ()
            ()

        ()
        rules = .generate_firewall_rules()
         rule  rules:
            action_symbol =   rule[] ==   
            ()
            ()
            ()
            ()


 __name__ == :
    planner = PurdueSegmentationPlanner()
     (sys.argv) >= :
        planner.load_asset_inventory(sys.argv[])
    classification = planner.classify_assets()
    planner.print_segmentation_plan(classification)

步骤 2：配置工业DMZ（3.5级）

DMZ是IT和OT之间的关键边界。所有数据交换必须通过它进行——不允许直接连接。

# 3.5级DMZ架构配置
# 所有IT-OT数据交换流量都通过DMZ

dmz_architecture:
  zone_name: "IT_OT_DMZ"
  purdue_level: 3.5
  vlan: 150

  components:
    historian_replica:
      purpose: "OT历史服务器数据的只读副本，供IT/业务访问"
      direction: "OT将数据推送到DMZ（单向）"
      ip: "10.10.150.10"
      services:
        - port: 1433
          protocol: "SQL"
          direction: "仅接受来自3级历史服务器的入站"
        - port: 443
          protocol: "HTTPS"
          direction: "出站到4级供IT消费者访问"

    jump_server:
      purpose: "OT维护的受控远程访问点"
      ip: "10.10.150.20"
      services:
        - port: 3389
          protocol: "RDP"
          direction: "接受来自4级并需要MFA的入站"
        - port: 3389
          protocol: "RDP"
          direction: "仅出站到2级HMI"
      security_controls:
         
         
         
         

    
       
       
      
          
           
           

    
       
       
      
          
           
           

  
      
        
        
        
        

      
        
        
        
        

     

核心概念

术语	定义
Purdue模型（PERA）	按功能和信任度将工业网络组织为0-5级的层次化参考架构
3.5级DMZ	IT（4级）和OT（3级）之间的隔离区，所有跨边界数据交换在此发生
纵深防御（Defense in Depth）	分层安全方法，要求攻击者突破多个边界才能到达关键控制系统
数据二极管（Data Diode）	硬件强制执行的单向通信设备，确保数据只能从OT流向IT，不能反向
区域（Zone）	按IEC 62443定义的，共享相同安全要求的资产逻辑分组
通道（Conduit）	区域之间具有定义安全策略的受控通信路径

常见场景

场景：扁平OT网络修复

背景：审计发现企业IT系统可以直接与控制网络上的PLC通信。IT和OT之间没有DMZ，也没有防火墙。

方法：

1. 执行全面流量分析，识别所有跨越IT/OT边界的合法数据流
2. 设计包含历史服务器副本、跳板服务器和补丁暂存的DMZ架构
3. 在IT和DMZ之间部署工业防火墙（北向防火墙），在DMZ和OT之间部署防火墙（南向防火墙）
4. 逐一迁移数据流：从通过DMZ的历史服务器复制开始
5. 为远程访问实施跳板服务器，逐步废弃直接RDP访问OT系统
6. 迁移所有流量通过DMZ后，在北向防火墙阻断直接IT到OT的流量
7. 通过来自IT网络的渗透测试验证，确认没有直接到达1级控制器的路径

注意事项：不要一次性切换所有流量——逐个迁移数据流并制定回滚计划。旧版OT系统可能使用无法通过执行DPI的防火墙的协议；先在实验室彻底测试。在活跃生产环境中部署DMZ时，必须在商定的维护窗口内进行。

输出格式

PURDUE模型隔离报告
====================================
评估日期: YYYY-MM-DD
设施: [工厂名称]

当前状态:
  网络类型: [扁平/部分隔离/完全隔离]
  IT-OT边界: [无/防火墙/双防火墙DMZ]
  直接IT到PLC路径: [数量]

推荐架构:
  0-1级: VLAN 110（控制网络）
  2级:   VLAN 120（监控网络）
  3级:   VLAN 130（运营网络）
  3.5级: VLAN 150（IT/OT DMZ）
  4-5级: VLAN 200+（企业）

DMZ组件:
  - 历史服务器副本
  - 跳板服务器（启用MFA）
  - 补丁暂存服务器
  - AV中继服务器

防火墙规则: 已生成 [数量] 条规则
迁移步骤: 已规划 [数量] 个阶段