implementing-ot-incident-response-playbook

# 实施OT事件响应剧本

## 适用场景

- 首次为OT构建专用事件响应程序
- 现有IT IR剧本未涵盖ICS/SCADA特定要求
- 准备应对EKANS或LockerGoga等OT勒索软件场景
- 将IR程序与IEC 62443和NERC CIP事件报告要求对齐
- 进行事件后审查以提升OT IR能力

**不适用于**无OT组件的纯IT事件响应（使用标准NIST 800-61剧本）、日常OT安全监控（参见implementing-dragos-platform-for-ot-monitoring），或桌面推演设计（参见performing-ics-tabletop-exercise）。

## 前置条件

- 带关键性评级和安全系统识别的OT资产清单
- 已定义的角色：OT IR负责人、IT SOC分析师、工厂运营经理、过程安全工程师
- 通信计划，包括带外通道（OT事件可能影响IT通信）
- PLC程序、HMI配置和历史数据的已知良好备份
- ICS供应商、Dragos/Claroty支持和CISA ICS-CERT的联系信息

## 工作流程

### 步骤 1：定义OT特定事件分类和响应程序

```python
#!/usr/bin/env python3
"""OT事件响应剧本引擎。

按照SANS PICERL生命周期，针对安全性、
可用性和跨团队协调的ICS特定考虑因素，
实施结构化的OT事件响应程序。
"""

import json
import sys
from datetime import datetime
from enum import Enum
from typing import Dict, List, Optional


class OTIncidentSeverity(Enum):
    SEV1_SAFETY = "SEV1-SAFETY"  # 安全系统受损
    SEV2_PROCESS = "SEV2-PROCESS"  # 主动过程操控
    SEV3_ACCESS = "SEV3-ACCESS"  # 未授权OT访问
    SEV4_RECON = "SEV4-RECON"  # OT网络侦察
    SEV5_IT_SPILLOVER = "SEV5-IT-SPILLOVER"  # 有OT暴露的IT事件


class OTIncidentCategory(Enum):
    RANSOMWARE = "ransomware"
    MALWARE_ICS = "malware_ics_specific"
    UNAUTHORIZED_ACCESS = "unauthorized_ot_access"
    PROCESS_MANIPULATION = "process_manipulation"
    SIS_COMPROMISE = "safety_system_compromise"
    DATA_EXFILTRATION = "ot_data_exfiltration"
    SUPPLY_CHAIN = "supply_chain_compromise"
    INSIDER_THREAT = "insider_threat"


# OT的PICERL阶段定义
PICERL_PHASES = {
    "preparation": {
        "description": "事件发生前的准备工作",
        "ot_specific": [
            "维护所有PLC程序和HMI配置的离线备份",
            "记录每个过程区域的安全关闭程序",
            "建立带外通信（卫星电话、模拟无线电）",
            "预置适用于气隙OT网络的取证工具",
            "维护备用PLC和工程师工作站",
            "每季度进行OT桌面推演",
        ],
    },
    "identification": {
        "description": "检测并确认OT安全事件",
        "ot_specific": [
            "将OT IDS告警与历史数据中的过程异常相关联",
            "验证过程偏差是由网络攻击还是操作原因引起",
            "检查安全仪表系统（SIS）状态和完整性",
            "审查工程师工作站日志中的未授权访问",
            "检查PLC模式变化（RUN/STOP/PROGRAM转换）",
            "评估事件是否仅限于IT或已蔓延到OT",
        ],
    },
    "containment": {
        "description": "限制事件的蔓延和影响",
        "ot_specific": [
            "未经工厂运营批准，绝不关闭OT系统",
            "在工业防火墙处隔离受影响网段（而非断电）",
            "如怀疑远程操控，将PLC切换到本地/手动模式",
            "在维持OT内部通信的同时断开DMZ处的IT-OT管道",
            "在任何修复操作之前保留取证证据",
            "在整个遏制过程中维持安全系统运行",
        ],
    },
    "eradication": {
        "description": "从OT系统中清除威胁",
        "ot_specific": [
            "将运行中的PLC程序与已知良好备份进行比较",
            "从黄金镜像重建被攻陷的工程师工作站",
            "验证历史数据完整性以发现操控证据",
            "检查OT特定位置的持久化机制（HMI上的启动脚本、计划任务）",
            "验证PLC和RTU上的固件完整性",
            "如需根套件级别修复，与ICS供应商协调",
        ],
    },
    "recovery": {
        "description": "将OT运营恢复正常",
        "ot_specific": [
            "从经验证的离线备份恢复PLC程序",
            "在工程监督下分阶段重启过程",
            "在重启期间密切监控过程变量异常",
            "在恢复自动操作前验证安全系统功能",
            "仅在OT经验证清洁后重新启用IT-OT连接",
            "记录事件期间任何过程变量漂移",
        ],
    },
    "lessons_learned": {
        "description": "事件后审查和改进",
        "ot_specific": [
            "在2周内进行IT/OT联合事件后审查",
            "根据观察到的攻击技术更新检测规则",
            "如果横向移动成功，修订网络分段",
            "根据实际恢复时间更新PLC备份计划",
            "按要求向CISA ICS-CERT和行业ISAC报告",
            "在90天内测试更新后的剧本",
        ],
    },
}


class OTIncident:
    """表示一个活跃的OT安全事件。"""

    def __init__(self, title: str, severity: OTIncidentSeverity,
                 category: OTIncidentCategory, affected_systems: List[str]):
        self.id = f"OT-IR-{datetime.now().strftime('%Y%m%d-%H%M%S')}"
        self.title = title
        self.severity = severity
        self.category = category
        self.affected_systems = affected_systems
        self.created = datetime.now().isoformat()
        self.current_phase = "identification"
        self.timeline = []
        self.decisions = []
        self.containment_actions = []

    def log_event(self, phase: str, action: str, actor: str, notes: str = ""):
        """记录一个事件响应操作。"""
        entry = {
            "timestamp": datetime.now().isoformat(),
            "phase": phase,
            "action": action,
            "actor": actor,
            "notes": notes,
        }
        self.timeline.append(entry)
        return entry

    def log_decision(self, decision: str, rationale: str, approved_by: str):
        """记录事件响应期间的关键决策。"""
        entry = {
            "timestamp": datetime.now().isoformat(),
            "decision": decision,
            "rationale": rationale,
            "approved_by": approved_by,
        }
        self.decisions.append(entry)
        return entry


class OTPlaybookEngine:
    """执行OT事件响应剧本。"""

    def __init__(self):
        self.playbooks = self._build_playbooks()

    def _build_playbooks(self) -> Dict:
        """构建特定类别的OT IR剧本。"""
        return {
            OTIncidentCategory.RANSOMWARE: {
                "name": "OT勒索软件响应",
                "reference": "SANS ICS勒索软件防御剧本",
                "immediate_actions": [
                    "未经管理层和法务批准，不得支付赎金",
                    "立即在DMZ防火墙处断开IT-OT管道",
                    "验证SIS/安全系统是否独立运行",
                    "将关键过程切换到手动/本地控制",
                    "保留勒索信和加密文件样本用于取证",
                    "评估勒索软件是否已到达2级或以下",
                ],
                "containment_steps": [
                    "通过禁用OT主机之间的SMB/RDP阻止横向移动",
                    "在维持关键过程通信的同时隔离受影响的VLAN",
                    "禁用OT环境的远程访问VPN",
                    "检查备份基础设施是否完好（勒索软件针对备份）",
                    "清点哪些OT系统被加密，哪些仍可运行",
                ],
                "recovery_priority": [
                    "1. 安全仪表系统（SIS）",
                    "2. 关键过程控制器（连续过程中的PLC）",
                    "3. 供操作员查看的HMI",
                    "4. 数据连续性历史服务器",
                    "5. 工程师工作站",
                    "6. IT-OT连接（最后）",
                ],
                "reporting": [
                    "CISA：按CIRCIA要求在72小时内报告",
                    "行业ISAC：在24小时内共享IOC",
                    "NERC（如适用）：对BES影响在1小时内报告",
                ],
            },
            OTIncidentCategory.SIS_COMPROMISE: {
                "name": "安全系统受损响应",
                "reference": "TRITON/TRISIS事件经验教训",
                "immediate_actions": [
                    "立即通知过程安全团队",
                    "验证物理安全装置功能正常（泄压阀、防爆片）",
                    "如SIS完整性不确定，考虑受控过程关闭",
                    "将SIS网络与所有其他网络隔离",
                    "检查SIS是否处于旁路模式或已被解除武装",
                    "联系SIS供应商紧急支持（Schneider Triconex、HIMA等）",
                ],
                "containment_steps": [
                    "将SIS工程师工作站从网络物理断开",
                    "采集SIS工程师工作站的取证镜像",
                    "根据出厂基线验证SIS控制器固件和逻辑",
                    "检查是否有未授权的TriStation/安全协议连接",
                    "检查所有工程师工作站的TRITON指标",
                ],
                "recovery_priority": [
                    "1. 验证所有物理安全屏障完好",
                    "2. 从离线备份（与供应商基线对比验证）重载SIS逻辑",
                    "3. 重新投用前进行完整的SIS验证测试",
                    "4. 由过程安全工程师进行独立验证",
                ],
                "reporting": [
                    "CISA ICS-CERT：针对SIS攻击立即通知",
                    "过程安全监管机构（OSHA、HSE）：按司法管辖区要求",
                    "SIS供应商：联系进行根本原因分析",
                ],
            },
        }

    def execute_playbook(self, incident: OTIncident):
        """为事件执行适当的剧本。"""
        playbook = self.playbooks.get(incident.category)
        if not playbook:
            print(f"[!] 没有针对 {incident.category.value} 的特定剧本。使用通用OT IR程序。")
            return

        print(f"\n{'='*70}")
        print(f"OT事件响应剧本已激活")
        print(f"{'='*70}")
        print(f"事件ID: {incident.id}")
        print(f"标题: {incident.title}")
        print(f"严重程度: {incident.severity.value}")
        print(f"类别: {incident.category.value}")
        print(f"剧本: {playbook['name']}")
        print(f"参考: {playbook['reference']}")
        print(f"激活时间: {incident.created}")
        print(f"受影响系统: {', '.join(incident.affected_systems)}")

        print(f"\n--- 即时行动（在前15分钟内执行）---")
        for i, action in enumerate(playbook["immediate_actions"], 1):
            print(f"  {i}. {action}")

        print(f"\n--- 遏制步骤 ---")
        for i, step in enumerate(playbook["containment_steps"], 1):
            print(f"  {i}. {step}")

        print(f"\n--- 恢复优先级顺序 ---")
        for item in playbook["recovery_priority"]:
            print(f"  {item}")

        print(f"\n--- 报告要求 ---")
        for req in playbook["reporting"]:
            print(f"  - {req}")

        # 打印PICERL阶段指引
        print(f"\n--- PICERL阶段检查清单 ---")
        for phase, info in PICERL_PHASES.items():
            print(f"\n  [{phase.upper()}] {info['description']}")
            for item in info["ot_specific"][:3]:
                print(f"    - {item}")


if __name__ == "__main__":
    engine = OTPlaybookEngine()

    # 示例：OT勒索软件事件
    incident = OTIncident(
        title="在3级历史服务器上检测到勒索软件",
        severity=OTIncidentSeverity.SEV2_PROCESS,
        category=OTIncidentCategory.RANSOMWARE,
        affected_systems=["HIST-01", "HIST-02", "ENG-WS-03", "HMI-AREA1"],
    )

    engine.execute_playbook(incident)
```

## 核心概念

| 术语 | 定义 |
|------|------|
| PICERL | SANS事件响应生命周期：准备（Preparation）、识别（Identification）、遏制（Containment）、清除（Eradication）、恢复（Recovery）、经验教训（Lessons Learned） |
| ICS4ICS | 工业控制系统事件指挥系统 - 将FEMA ICS适配到OT网络安全响应 |
| 安全仪表系统（SIS） | 防止危险条件的独立安全控制器；SIS被攻陷可能造成人身伤害 |
| 手动/本地模式（Manual/Local Mode） | 使用本地面板控制操作PLC而非远程SCADA；当远程访问被攻陷时使用 |
| CIRCIA | 关键基础设施网络事件报告法案，要求在72小时内向CISA报告 |
| 已知良好备份（Known-Good Backup） | 经验证的PLC程序和配置离线副本，用作恢复的可信基线 |

## 常见场景

### 场景：勒索软件从IT蔓延到OT 3级

**背景**：勒索软件加密企业IT系统，并通过防护不足的IT/OT管道蔓延到3级历史服务器。2级HMI开始显示连接错误。

**处理方法**：
1. 立即激活勒索软件OT IR剧本
2. 在DMZ防火墙处断开IT-OT连接（南北两侧防火墙）
3. 验证PLC仍在运行且过程稳定（PLC独立于IT运行）
4. 如果网络化HMI受影响，将操作员切换到本地HMI面板
5. 评估哪些2/3级系统被加密，哪些仍可运行
6. 优先恢复HMI可见性，然后是历史服务器，再是工程师工作站
7. 从离线备份恢复 — 未经沙箱测试，切勿尝试使用攻击者提供的工具解密
8. 按CIRCIA要求在72小时内向CISA报告

**注意事项**：不要关闭PLC来"保护"它们免受勒索软件影响 — PLC运行固件而非Windows，通常不受勒索软件影响。关闭PLC会中断物理过程。在IT侧完全修复之前，切勿重新连接IT-OT管道。

## 输出格式

```
OT事件响应报告
==============================
事件ID: OT-IR-YYYYMMDD-HHMMSS
严重程度: SEV[1-5]
类别: [类别]
状态: [活跃/已遏制/已清除/已恢复/已关闭]

时间线:
  [时间戳] - [阶段] - [操作] - [执行人]

受影响系统:
  安全系统: [状态]
  过程控制器: [状态]
  HMI/SCADA: [状态]
  历史服务器: [状态]

决策日志:
  [时间戳] - [决策] - [理由] - [批准人]

已采取的遏制措施:
  1. [操作和时间戳]

恢复状态:
  [系统] - [已恢复/待恢复] - [预计完成时间]
```