performing-ot-vulnerability-assessment-with-claroty

name	performing-ot-vulnerability-assessment-with-claroty
description	本技能涵盖使用Claroty xDome平台在OT环境中执行漏洞评估，实现全面资产发现、风险评分、漏洞关联和修复优先级排序。内容涉及通过流量分析进行被动漏洞识别、OT设备安全主动查询、与CVE数据库和ICS-CERT公告集成，以及考虑运营影响和补偿控制措施的基于风险的优先级排序。
domain	cybersecurity
subdomain	ot-ics-security
tags	["ot-security","ics","scada","industrial-control","iec62443","vulnerability-assessment","claroty"]
version	1.0.0
author	mahipal
license	Apache-2.0

使用Claroty执行OT漏洞评估

适用场景

• 按照IEC 62443或NERC CIP要求进行定期OT漏洞评估时
• 首次部署Claroty xDome并执行初始资产发现和风险评估时
• 将新发布的ICS-CERT公告与OT资产清单进行关联时
• 在有限维护窗口内对OT漏洞修复进行优先级排序时
• 为CIP-010-4漏洞评估要求生成合规证据时

不适用于对PLC和安全系统进行主动漏洞扫描（参见performing-ot-network-security-assessment的被动方法）、仅IT漏洞管理（使用标准漏洞扫描器），或渗透测试（参见performing-ics-penetration-testing）。

前置条件

• 在OT网络上部署了传感器的Claroty xDome或CTD（持续威胁检测）
• 用于被动资产发现的网络SPAN/TAP访问
• 用于漏洞跟踪的CISA ICS-CERT公告订阅
• 包含所有OT设备固件版本的资产清单
• 维护窗口期间补丁部署的变更管理流程

工作流程

步骤 1：配置资产发现和漏洞关联

配置Claroty执行被动和主动安全发现，建立包含固件版本的完整资产清单用于漏洞关联。

#!/usr/bin/env python3
"""OT漏洞评估管理器。

将OT资产清单与ICS-CERT公告和CVE数据进行关联，
以识别、优先排序和跟踪OT漏洞。设计用于
与Claroty xDome API集成或独立运行。
"""

import json
import sys
from collections import defaultdict
from dataclasses import dataclass, field, asdict
from datetime import datetime

import requests


@dataclass
class OTAsset:
    asset_id: str
    name: str
    vendor: str
    model: str
    firmware_version: str
    asset_type: str  # PLC, HMI, RTU, historian, switch等
    purdue_level: str
    ip_address: str
    protocol: str
    criticality: str  # critical, high, medium, low
    zone: str


@dataclass
class OTVulnerability:
    vuln_id: str
    cve_id: str
    title: str
    severity: str  # critical, high, medium, low
    cvss_score: float
    affected_vendor: str
    affected_product: str
    affected_versions: str
    description: str
    ics_cert_advisory: str = ""
    remediation: str = ""
    patch_available: bool = False
    compensating_controls:  = 



 :
    asset: OTAsset
    vulnerability: OTVulnerability
    risk_score:  = 
    risk_rating:  = 
    exploitability:  = 
    operational_impact:  = 
    compensating_controls:  = field(default_factory=)
    remediation_priority:  = 


 :
    

     ():
        .assets = []
        .vulnerabilities = []
        .risk_assessments = []

     ():
        
         a  assets_data:
            .assets.append(OTAsset(**a))
        ()

     ():
        
        ()
        :
            
            url = 
            resp = requests.get(url, timeout=)
            resp.raise_for_status()
            data = resp.json()

            ics_vulns = []
             vuln  data.get(, []):
                
                ics_vendors = [
                    , , , ,
                    , , , , ,
                    , , , ,
                ]
                vendor = vuln.get(, ).lower()
                 (v  vendor  v  ics_vendors):
                    ics_vulns.append(vuln)

            ()
             ics_vulns

         Exception  e:
            ()
             []

     ():
        
        ()

         asset  .assets:
             vuln  .vulnerabilities:
                 (vuln.affected_vendor.lower()  asset.vendor.lower() 
                    vuln.affected_product.lower()  asset.model.lower()):
                    
                    ra = RiskAssessment(asset=asset, vulnerability=vuln)
                    ._calculate_risk_score(ra)
                    .risk_assessments.append(ra)

        ()

     ():
        
        
        base = ra.vulnerability.cvss_score

        
        criticality_weights = {
            : ,  
            : ,      
            : ,    
            : ,       
        }
        criticality = criticality_weights.get(ra.asset.criticality, )

        
        level_weights = {
            : ,
            : ,
            : ,
            : ,
            : ,
        }
        level_factor = level_weights.get(ra.asset.purdue_level, )

        
        comp_reduction =   ra.compensating_controls  

        ra.risk_score = (base * criticality * level_factor * comp_reduction, )
        ra.risk_score = (ra.risk_score, )

         ra.risk_score >= :
            ra.risk_rating = 
            ra.remediation_priority = 
         ra.risk_score >= :
            ra.risk_rating = 
            ra.remediation_priority = 
         ra.risk_score >= :
            ra.risk_rating = 
            ra.remediation_priority = 
        :
            ra.risk_rating = 
            ra.remediation_priority = 

     ():
        
        
        sorted_ra = (.risk_assessments, key= x: -x.risk_score)

        report = []
        report.append( * )
        report.append()
        report.append()
        report.append()
        report.append()
        report.append( * )

         sev  [, , , ]:
            findings = [ra  ra  sorted_ra  ra.risk_rating == sev]
             findings:
                report.append()
                 ra  findings[:]:
                    report.append()
                    report.append()
                    report.append()
                    report.append()
                    report.append()
                     ra.vulnerability.patch_available:
                        report.append()
                    :
                        report.append()

         .join(report)

     ():
        
        data = {
            : datetime.now().isoformat(),
            : (.assets),
            : (.vulnerabilities),
            : [
                {
                    : ra.asset.name,
                    : ra.asset.ip_address,
                    : ra.vulnerability.cve_id,
                    : ra.risk_score,
                    : ra.risk_rating,
                    : ra.remediation_priority,
                }
                 ra  (.risk_assessments, key= x: -x.risk_score)
            ],
        }
         (output_file, )  f:
            json.dump(data, f, indent=)


 __name__ == :
    assessment = OTVulnerabilityAssessment()
    advisories = assessment.fetch_ics_advisories()
    ()

核心概念

术语	定义
Claroty xDome	为OT/IoT环境提供资产发现、漏洞管理和威胁检测的网络物理系统保护平台
被动发现（Passive Discovery）	通过分析网络流量识别OT资产而不发送任何数据包，对生产环境安全
安全主动查询（Safe Active Query）	以安全速率使用原生工业协议查询OT设备，收集详细资产信息而不干扰运营
OT风险评分	结合CVSS基础评分、资产关键性、Purdue级别和补偿控制措施的OT适用风险评级
ICS-CERT公告	CISA发布的工业控制系统漏洞安全公告，包含供应商特定修复指导
虚拟打补丁（Virtual Patching）	在无法立即应用固件补丁时，部署IPS/防火墙规则阻止已知漏洞利用

工具和系统

• Claroty xDome: 全面的OT/IoT资产发现、漏洞管理和持续威胁检测平台
• Claroty CTD: 用于OT环境被动网络监控的持续威胁检测传感器
• CISA ICS-CERT: 发布ICS漏洞通知和缓解指导的美国政府咨询服务
• Dragos平台: 具有资产可见性和漏洞管理功能的备选OT安全平台
• Nozomi Networks Guardian: 具有漏洞关联和风险评分的OT监控平台

输出格式

OT漏洞评估报告
=====================================
工具: Claroty xDome / 手动评估
日期: YYYY-MM-DD
已扫描资产: [N]

风险摘要:
  严重风险: [N]个漏洞影响[N]个资产
  高风险: [N]个漏洞影响[N]个资产
  中风险: [N]个漏洞影响[N]个资产
  低风险: [N]个漏洞影响[N]个资产

主要风险:
  [风险评分] [CVE-ID] 影响 [资产名称] ([区域])
    修复: [补丁/补偿控制措施]
    时限: [下次维护窗口/立即]