工业控制系统（ICS）中，网络分段（Zone）与安全网关（SG）的作用是什么？请结合实际案例说明如何设计ICS的网络架构以降低攻击面？

国家工业信息安全发展研究中心2026届校招-智库研究及咨询难度：中等

答案

1) 【一句话结论】网络分段通过隔离不同安全等级的设备降低横向移动风险，安全网关作为受控桥梁执行访问控制，两者协同遵循“隔离+受控通信”原则，可显著降低ICS攻击面。

2) 【原理/概念讲解】
网络分段（Zone）：在ICS中，将功能或安全等级不同的设备（如控制层PLC、操作层HMI、管理层IT服务器）划分为多个逻辑/物理隔离的安全区域（Zone），通过防火墙、工业交换机等设备限制区域间通信，防止攻击在区域间横向传播。类比：家庭装修中不同房间（客厅、卧室）用门隔离，防止病毒从客厅传到卧室。
安全网关（SG）：位于不同Zone之间的设备，负责受控的通信（如数据采集、命令下发），执行访问控制策略（如允许控制层到操作层的实时数据，禁止反向或非授权通信），类似“海关”，检查货物（数据）是否合规。

4) 【示例】
假设一个工厂的ICS包含控制层（Zone1：PLC、DCS）、操作层（Zone2：HMI）、管理层（Zone3：IT服务器）。设计步骤：

划分Zone：将控制层、操作层、管理层分别归入Zone1、Zone2、Zone3。
分段：用工业防火墙/交换机隔离Zone1与Zone2、Zone2与Zone3。
部署SG：
- Zone1与Zone2间部署SG1，配置策略：允许PLC到HMI的实时数据（如4-20mA信号），禁止HMI到PLC的命令（防止操作层误操作影响控制层）；
- Zone2与Zone3间部署SG2，允许HMI到管理层的监控数据（如历史数据），禁止管理层的非授权命令（如修改PLC参数）。
  此设计下，攻击者即使突破Zone2（操作层），也无法直接访问Zone1的控制设备，且SG2限制了管理层的非授权访问，攻击面大幅降低。

5) 【面试口播版答案】
面试官您好，针对您的问题，核心结论是网络分段通过隔离降低横向移动风险，安全网关作为受控桥梁执行访问控制，两者结合可显著降低ICS攻击面。首先解释概念：网络分段（Zone）是把ICS设备按功能/安全等级分成不同区域（比如控制层、操作层、管理层），用防火墙/交换机隔离，防止攻击在区域间横向传播，就像家庭不同房间用门隔开，防止病毒从客厅传到卧室。安全网关（SG）是不同区域间的“海关”，负责受控通信，比如允许控制层到操作层的实时数据，禁止反向或非授权通信，类似海关检查货物是否合规。然后对比两者：Zone侧重隔离，SG侧重受控通信。适用场景上，Zone用于分离不同安全等级的设备，SG用于连接不同Zone的受控通信。举个例子，假设一个工厂的ICS，控制层（PLC）在Zone1，操作层（HMI）在Zone2，管理层（IT服务器）在Zone3。我们用防火墙隔离Zone1和Zone2，Zone2和Zone3。在Zone1和Zone2之间部署SG1，配置策略：允许PLC到HMI的实时数据（如4-20mA信号），禁止HMI到PLC的命令（防止操作层误操作影响控制层）；在Zone2和Zone3之间部署SG2，允许HMI到管理层的监控数据（如历史数据），禁止管理层的非授权命令（如修改PLC参数）。这样设计后，攻击者即使突破Zone2（操作层），也无法直接访问Zone1的控制设备，且SG2限制了管理层的非授权访问，攻击面大大降低。总结来说，网络分段和安全网关协同，通过“隔离+受控通信”原则，有效降低ICS的攻击面。

6) 【追问清单】

问题1：如果Zone之间需要双向通信，如何设计安全网关的策略？
回答要点：双向通信需双向策略，比如允许Zone1到Zone2的数据，同时允许Zone2到Zone1的受控命令（如确认信号），但需严格限制命令类型和频率。
问题2：网络分段是否会影响ICS的实时性？
回答要点：实时性方面，需优化网络延迟，选择低延迟的防火墙/交换机，确保关键数据传输不受影响。
问题3：安全网关的部署位置如何选择？
回答要点：安全网关部署在Zone边界，靠近受控通信路径，避免中间节点增加延迟。
问题4：如果ICS中有移动设备（如手持终端）接入，如何处理？
回答要点：移动设备接入需单独Zone（如移动设备Zone），通过SG与操作层通信，并限制移动设备的权限（如只读访问）。
问题5：网络分段与安全网关的维护成本如何？
回答要点：维护成本包括策略更新、设备监控，需定期审计和测试，确保策略有效性。

7) 【常见坑/雷区】

将网络分段和安全网关的作用混淆，比如认为安全网关是唯一的隔离手段，而网络分段是多余的。
忽略实时性要求，过度分段导致关键数据传输延迟。
安全网关策略过于宽松，允许非授权通信。
未考虑ICS的特殊协议（如Modbus、DNP3），安全网关需支持这些协议。
忽略物理隔离（如工业交换机与办公交换机分离），只考虑逻辑分段。