performing-ot-vulnerability-scanning-safely

name	performing-ot-vulnerability-scanning-safely
description	使用被动监控、原生协议查询和经过精心控制的Tenable OT Security主动扫描，在OT/ICS环境中安全执行漏洞扫描，在不破坏工业过程或导致旧版控制器崩溃的情况下识别漏洞。
domain	cybersecurity
subdomain	ot-ics-security
tags	["ot-security","ics","vulnerability-scanning","tenable","nessus","passive-scanning","risk-management","nist"]
version	1.0
author	mahipal
license	Apache-2.0

安全执行OT漏洞扫描

适用场景

• 在带有旧版控制器的OT环境中进行漏洞评估时
• 在不影响过程可用性的情况下实施持续漏洞监控时
• 准备需要漏洞数据的IEC 62443或NERC CIP合规审计时
• 评估OT资产的基于风险的补丁优先级时
• 验证补偿控制措施是否保护了未打补丁的ICS设备时

不适用于对生产PLC进行激进主动扫描（可能导致旧版控制器崩溃）、在OT网络上使用标准Nessus配置文件进行IT漏洞扫描，或对生产OT系统进行渗透测试（参见performing-ics-penetration-testing）。

前置条件

• Tenable OT Security（原Tenable.ot/Indegy）或同等OT安全扫描平台
• 在OT网段SPAN/TAP上部署的被动监控传感器
• 在生产使用前针对每种设备类型经实验室测试验证的扫描配置文件
• 任何主动扫描的变更管理审批和维护窗口
• 供应商保修验证，确认扫描不会使支持协议失效

工作流程

步骤 1：部署被动漏洞检测

被动监控在不向OT设备发送任何数据包的情况下识别漏洞。

#!/usr/bin/env python3
"""OT安全漏洞扫描协调器。

协调被动监控、原生协议查询和精心控制的主动扫描，
在不破坏工业运营的情况下进行OT漏洞评估。
"""

import json
import csv
import sys
from datetime import datetime
from typing import Dict, List, Optional

try:
    import requests
except ImportError:
    print("安装requests: pip install requests")
    sys.exit(1)


class OTVulnerabilityScanner:
    """安全OT漏洞扫描协调器。"""

    SCAN_SAFETY_LEVELS = {
        "passive": {
            "description": "仅观察网络流量，对设备零风险",
            "risk_level": "无",
            "methods": ["流量指纹", "协议分析", "版本检测"],
            "requires_window": False,
        },
        "native_query": {
            "description": "使用原生工业协议查询设备",
            "risk_level": "极低",
            "methods": ["modbus_device_id", "s7_szl_read", "cip_identity", "bacnet_whois"],
            "requires_window": True,
        },
        "controlled_active": {
            "description": "使用OT安全配置文件进行标准漏洞检查",
            "risk_level": ,
            : [, , ],
            : ,
        },
    }

     ():
        .tenable_url = tenable_url.rstrip()
        .session = requests.Session()
        .session.headers.update({
            : ,
            : ,
        })
        .session.verify = verify_ssl
        .findings = []

     () -> :
        
        checks = {
            : scan_level,
            : target_subnet,
            : .SCAN_SAFETY_LEVELS[scan_level],
            : [],
            : [],
            : ,
        }

        prerequisites = [
            {
                : ,
                : ,
                : [, ],
            },
            {
                : ,
                : ,
                : [, ],
            },
            {
                : ,
                : ,
                : [, ],
            },
            {
                : ,
                : ,
                : [],
            },
            {
                : ,
                : ,
                : [],
            },
            {
                : ,
                : ,
                : [, , ],
            },
        ]

         prereq  prerequisites:
             scan_level  prereq[]:
                checks[].append(prereq[])

         checks

     ():
        
        ()
        ()

        :
            resp = .session.get(
                ,
                params={: site_id}
            )
            resp.raise_for_status()
            assets = resp.json().get(, [])

             asset  assets:
                asset_id = asset.get()
                vuln_resp = .session.get(
                    
                )
                 vuln_resp.status_code == :
                    vulns = vuln_resp.json().get(, [])
                     vuln  vulns:
                        .findings.append({
                            : asset.get(, ),
                            : asset.get(, ),
                            : asset.get(, ),
                            : asset.get(, ),
                            : vuln.get(, ),
                            : vuln.get(, ),
                            : vuln.get(, ),
                            : vuln.get(, ),
                            : ,
                            : vuln.get(, ),
                        })

            ()
         requests.RequestException  e:
            ()

     ():
        
        .findings.sort(key= x: x.get(, ), reverse=)

        ()
        ()
        ()
        ()
        ()

        severity_counts = {}
         f  .findings:
            sev = f.get(, )
            severity_counts[sev] = severity_counts.get(sev, ) + 

        ()
         sev  [, , , ]:
            ()

        
        ()
        ()
         i, finding  (.findings[:], ):
            ()
            ()
            ()
            ()
            ()
            ()
             finding.get():
                ()

        
         output_file:
             (output_file, , newline=)  f:
                writer = csv.DictWriter(f, fieldnames=.findings[].keys())
                writer.writeheader()
                writer.writerows(.findings)
            ()


 __name__ == :
    scanner = OTVulnerabilityScanner(
        tenable_url=,
        api_key=,
        verify_ssl=,
    )

    
    safety_check = scanner.check_safety_prerequisites(, )
    ()

    scanner.run_passive_assessment(site_id=)
    scanner.generate_prioritized_report()

核心概念

术语	定义
被动漏洞检测（Passive Vulnerability Detection）	通过分析镜像流量识别漏洞，而不向OT设备发送任何数据包
原生协议查询（Native Protocol Query）	使用工业协议（Modbus FC43、S7 SZL Read、CIP Get Attribute）安全提取设备信息
OT安全扫描配置文件（OT-Safe Scan Profile）	设计并经实验室测试以避免工业控制器崩溃的漏洞扫描器配置
补偿控制（Compensating Control）	保护未打补丁OT资产的替代安全措施（防火墙DPI、网络隔离）
OT背景中的CVSS	标准CVSS评分，针对OT影响进行调整，考虑安全、可用性和物理后果
Tenable OT Security	使用被动和基于原生协议检测的专用OT漏洞管理平台

输出格式

OT漏洞评估报告
=====================================
日期: YYYY-MM-DD
范围: [网段]
方法: [被动/原生查询/受控主动]

漏洞摘要:
  严重: [数量]
  高: [数量]
  中: [数量]
  低: [数量]

主要风险发现:
  1. [CVE] - [CVSS] - [资产] - [描述]

无法打补丁需要补偿控制的资产:
  [资产] - [原因] - [推荐控制]

补丁优先级:
  立即: [列表]
  下次窗口: [列表]
  可接受风险: [带理由的列表]