预案要按事件类型分剧本
一份笼统的响应预案在实际事件中几乎用不上，因为处置动作高度依赖事件类型：网络如何被进入、主机被什么感染、控制器是否被改写、恶意代码是否来自移动介质，对应的第一步动作完全不同。可行的结构是按类型分剧本，每类剧本回答七个问题：怎么发现、如何判断是否属实、第一步做什么、会影响什么、通知谁、如何恢复、如何确认恢复成功。所有剧本共享同一套前置材料：角色与联系电话清单、可用工具与账号权限、备份位置与恢复路径、以及明确列出会导致生产中断的动作清单。
基本信息
| 剧本类型 | 网络异常与未授权接入、主机被入侵或感染、控制器逻辑异常、移动介质引入、勒索加密、供应商通道滥用 |
|---|---|
| 前置准备 | 角色与联系清单、工具与权限、备份与恢复路径、停机影响动作清单 |
| 决策权 | 明确谁有权决定停机与隔离，避免现场因不敢动作而延误 |
| 沟通要求 | 对内（工艺、设备、管理层）与对外（供应商、监管、执法）分别约定口径 |
| 与取证的关系 | 预案中明确哪些处置动作会破坏证据，以及由谁决定取舍 |
| 演练与更新 | 每年至少演练一次并按结果修订，事件后必须复盘更新 |
剧本应覆盖的事件类型
- 未授权接入与网络异常：出现非授权客户端、新通信关系或扫描行为
- 主机被入侵或感染：工控主机出现异常进程、性能异常或异常外联
- 控制器逻辑异常：控制行为异常、程序被改写或参数被修改的迹象
- 移动介质引入的恶意代码：介质使用后出现异常，需追溯来源与影响范围
- 勒索与破坏性攻击：文件被加密、数据被删除或系统无法启动
- 供应商通道滥用：外部接入期间的异常操作与超授权访问
- 服务中断与可用性事件：先判断是安全事件还是设备故障，两条路径并行排查
响应阶段与关键动作
| 阶段 | 关键动作 | 注意点 |
|---|---|---|
| 发现与确认 | 核实告警、确认影响范围与是否仍在进行 | 避免先做破坏性动作，先保全信息 |
| 遏制 | 限制来源、断开必要链路、隔离受影响主机 | 断开链路前评估生产影响并取得工艺确认 |
| 取证与保全 | 保全易失信息与日志，记录操作过程 | 重启与断电会清除关键证据 |
| 恢复 | 按备份路径重建并验证功能与通信 | 恢复后确认没有残留异常，尤其是账号与配置 |
| 复盘 | 还原时间线、定位根因、更新规则与预案 | 把结论转化为具体整改项与责任人 |
预案必须事先讲清两件事：谁有权决定停机，以及哪些隔离动作会导致生产中断。没有这两个约定，现场往往二选一地犯错——因为不敢动手而让攻击持续，或者因为动作过大把安全事件升级成生产事故。