《International Journal of Critical Infrastructure Protection》：From backup restoration to Minimum Viable Factory Recovery: A systematization of ransomware recovery in manufacturing systems
勒索软件对关键制造业基础设施的恢复不仅是一个备份恢复问题。生产能力依赖于信息技术（IT）、运营技术（OT）、物理过程、质量、物流、身份识别和供应商系统的耦合。在勒索软件攻击后，工厂可能重建了服务器，但仍无法安排生产计划、验证操作员身份、信任工程工作站、放行产品、重新连接OT资产或协调供应商。本文将制造业勒索软件恢复重新定义为关键基础设施的连续性和相互依赖性问题。研究人员进行了一项基于PRISMA指南的多声部综述，涵盖学术文献、标准与政府指导、威胁框架、公开事件材料以及经过验证的全文/源页面证据锚点。该综述识别出九种有来源支持的恢复故障模式：依赖关系盲区、不可信恢复点与备份过度信任、身份信任崩溃、缺乏恢复证明、不安全的OT重新连接、分割假设失效、能力不匹配、无管理的降级运行以及供应商依赖失效。随后，研究人员引入了最低可行工厂恢复（MVF Recovery）：在当前的依赖、证据、身份、数据、网络、OT、质量放行和供应商约束下，能够恢复的最小运营可接受、可信且有意义的生产能力。MVF Recovery是一个分析性决策支持目标，而非对完全恢复、实施、正式安全认证或监管授权的声明。该分类法和MVF构建需要独立的实证验证，论文还推导出恢复生命周期和基准测试方向作为次要输出。其贡献在于为关键制造业基础设施中基于能力的勒索软件恢复提供了经过证据校准的基础。
主体总结
1. 引言
本文指出关键制造业基础设施与通用企业计算存在本质区别，因为数字恢复与物理生产密不可分。工厂不会仅仅因为加密服务器被重建或备份被恢复而恢复。生产能力依赖于身份服务、工程工作站、制造执行系统（MES）、历史数据库、质量数据库、企业资源计划（ERP）、物流平台、供应商接口、操作人员、维护程序、安全约束以及OT资产（如HMI、PLC、传感器、执行器和SCADA组件）的紧密耦合链。勒索软件因此可以在不直接破坏工厂车间每台机器的情况下中断生产：它可能消除可见性、阻止调度、破坏工程系统信任、禁用质量放行、阻止安全的OT重新连接或打破供应商/客户协调。制造业恢复具有特殊性：时间敏感和顺序敏感；存在网络物理安全约束；常见遗留OT、现代IT、供应商维护设备、远程访问和棕地IIoT网关的组合；部分恢复可能有意义但有风险；干扰会级联到客户、供应商、关键部门和区域经济。
2. 背景与相关工作
2.1 勒索软件恢复超越恶意软件清除：历史研究强调攻击行为、检测、预防和数据恢复，但制造业恢复还需恢复安全协调的生产能力。恢复在不确定性下进行，响应者可能不知道攻击者首次进入时间、哪些凭证被窃取、备份是否在加密前被触及、恢复基础设施是否可信。
2.2 ICS/OT约束：OT系统监控和控制物理过程，失败可能影响安全、质量、设备、环境和服务连续性。恢复排序至关重要，恢复的HMI、历史数据库、工程工作站或域控制器可能技术上在线，但状态、凭证、网络路径或过程影响不受信任时，不安全连接。
2.3 关键基础设施相互依赖与连续性：关键基础设施文献强调相互依赖过程、级联中断和最低可接受服务。网络韧性可理解为在维持系统过程连续性（可能降级）的同时吸收和适应网络事件的能力。
2.4 取证、证据与面向证明的恢复：工厂操作员需要知道备份是否足够干净、身份服务凭证是否可信、OT设备重新连接是否受控。本文使用“恢复证明”表示可审计的证据包，包括恢复源、入侵评估、身份状态、配置验证、依赖一致性、OT重新集成检查、降级模式限制、监控计划和残余风险。
2.5 恢复演练、模型与准备：混合演练结合模拟和桌面活动，帮助参与者推理影响工厂的网络事件并确定安全响应。OT准备研究强调风险基础的安全范围界定。
2.6 最接近的相关工作：Benmalek的CPS勒索软件综合框架、Ilau等人的组织恢复决策模型、Dafoe等人的技术数据恢复、Staves等人的ICS事件响应与恢复框架。本文在此基础上聚焦制造业特定恢复问题。
2.7 本文定位：本文位于这些研究流的交叉点，综合了依赖建模、信任重建、证据、OT安全、质量放行可行性、降级运行和供应商协调。
3. 方法论
3.1 综述设计与范围：采用PRISMA指导的多声部综述，结合学术文献、政府与标准指导、威胁框架、行业报告、公开事件材料和公司/监管披露。目的不是估计恢复失败的总体流行率，而是识别有来源支持的恢复故障模式、校准声明强度并推导可辩护的恢复目标。
3.2 搜索与筛选：学术搜索涵盖Google Scholar（通过Publish or Perish）、PubMed、IEEE Xplore、ACM数字图书馆、ScienceDirect和Scopus。灰色文献包括CISA、NIST、NCSC、ENISA、MITRE ATT&CK for ICS、Kaspersky ICS CERT、Dragos等。搜索字符串组合勒索软件术语与制造业、ICS、OT、网络物理系统、SCADA、恢复、韧性、备份、事件响应和供应链术语。初始ScienceDirect导出上限在修订期间通过UI下载解决，最终多声部语料库包含797条记录：342条合格核心学术记录、427条背景学术记录和28条灰色/事件来源。
3.3 编码、编码手册与裁定：筛选分两个阶段：标题/摘要筛选和源级资格评估。编码方案将每个来源分配到故障模式和证据类别：直接支持、推断支持、背景支持或排除。由于最终手稿为单一作者，不声称独立筛选、独立编码或整个语料库的评估者间信度，但进行了结构化一致性检查。
3.4 证据校准与验证：使用来源质量来校准来源能支持的最强声明。高影响分类声明通过可访问的全文、官方指导页面、公司声明、标准文件、公开事件材料和作者提供的PDF进行验证。验证并非意味着所有342条合格核心学术记录都作为完整全文阅读，而是对高影响声明和代表性锚点进行全文/源页面验证。
3.5 方法局限与补充材料：工作流程是PRISMA指导而非完全符合PRISMA。访问限制、异构来源类型、实时数据库漂移和单一作者编码阻止了完全可复制性或评估者间信度的声明。方法论受公共报告偏见、访问限制和制造业恢复数据敏感性的限制。
4. 有来源支持的恢复故障分类
4.1 概述与证据计数解释：分类法围绕四个恢复问题类别组织：依赖失败、信任与验证失败、重新集成失败和运营能力失败。证据计数代表已裁定的源级支持记录，而非事件频率。分类法不是流行率估计，也不是独立验证的完整总体分类。
4.2 代表性证据锚点：表格提供了每个故障模式的主要锚点，显示最强声明如何得到支持。
4.3 FM01依赖盲区：当恢复规划将系统视为独立资产而非生产任务的组件时发生。制造能力依赖于数字、物理、人力和外部依赖链。一条缺失的依赖可阻止恢复的应用程序产生有效输出。证据锚点包括供应链和关键基础设施研究以及ICS/IIoT勒索软件研究。
4.4 FM02不可信恢复点与备份过度信任：当响应者假设最新或最可用的备份是干净、完整且运营合适的，而未验证入侵状态、依赖一致性或攻击者持久性时发生。勒索软件可删除、加密、损坏或预入侵备份。即使备份完整，恢复受污染的身份系统、工程工作站或配置库也可能重新引入入侵。
4.5 FM03身份信任崩溃：当身份验证、授权、特权账户、域控制器、令牌、服务账户、远程访问或管理工作站无法再被信任时发生。勒索软件通常通过凭证窃取、横向移动、远程管理工具和共享服务传播。
4.6 FM04缺乏恢复证明：当响应者无法证明恢复的系统是干净、配置正确、运营有效且可接受使用时发生。恢复决策需要证据包，而不仅仅是运营直觉。
4.7 FM05不安全的OT重新连接：当恢复的IT或OT资产在安全、信任、配置和过程影响验证前重新连接到生产网络时发生。OT系统与物理过程交互，重新连接HMI、工程工作站、历史数据库或PLC接口系统可影响命令、可见性、警报、设定点和操作员决策。
4.8 FM06分割假设失败：当恢复假设IT/OT分割、气隙或网络分区阻止了传播，但实际路径通过远程访问、域信任、共享服务、可移动介质、网关或供应商连接存在时发生。分割通常是部分的、降级的、配置错误的或在运营和维护期间被绕过。
4.9 FM07能力不匹配：当恢复的资产不对应于恢复的生产能力时发生。工厂可恢复服务器但仍无法生产、检查、放行、发运或协调工作。生产需要端到端能力：订单接收、材料可用性、调度、过程控制、质量验证、包装、物流和客户沟通。
4.10 FM08降级模式无管理：当手动或部分运营在没有定义的限制、安全控制、证据要求或转换标准的情况下使用时发生。降级运营可保持连续性，但也可创建未记录的工作区、质量风险、安全暴露和不一致的恢复证据。
4.11 FM09供应商依赖失败：当恢复规划专注于内部资产而忽视供应商、客户、物流提供商、远程供应商、外包IT/OT服务或共享平台时发生。制造恢复通常依赖外部方，供应商事件可停止工厂，而工厂事件可传播给客户和合作伙伴。
5. 最低可行工厂恢复
5.1 动机：第4节显示制造业勒索软件恢复不能仅通过资产可用性判断。九个故障模式汇聚到一个问题：响应者需要一个代表不确定条件下受限生产能力的客观目标。MVF Recovery提供该目标。
5.2 定义：最低可行工厂恢复是在勒索软件中断后恢复受限但有效生产任务所需的最小可信系统、身份、数据、网络路径、OT接口、程序、人员、质量放行能力和外部依赖集。MVF任务应至少指定生产范围、吞吐量和持续时间、安全包络、质量有效性、依赖集、信任状态、证据包、降级模式限制、监控和回滚以及授权边界。
5.3 运营标准与授权边界：给出了将MVF从概念转化为可审查重启决策的示例标准。值是站点可配置阈值而非普遍处方。布尔公式是决策门的紧凑表示，而非声称运营重启可简化为通用公式。
5.4 与相邻恢复概念的区分：MVF Recovery与业务连续性规划、灾难恢复、任务关键功能分析和RTO/RPO目标相关但不同。那些概念仍是必要的，但它们本身不回答勒索软件特定的重启问题。
5.5 分析模型：将制造环境表示为依赖图G=(V,E)，节点是系统、身份、数据存储、OT组件、程序、人员、材料、质量当局和外部伙伴，边表示生产所需的依赖关系。每个节点或边具有可用性、信任、证据、安全/运营状态和质量/放行状态的属性。MVF(M)当且仅当所有关键依赖满足阈值且定义了降级模式限制和回滚条件。
5.6 MVF成功条件：一个MVF决策应满足六个条件：能力条件、依赖条件、信任条件、证据条件、质量放行条件和重新集成条件。
5.7 分类法到MVF的映射：表格显示每个故障模式对应的MVF设计要求和示例控制问题。
5.8 工作实例：Norsk Hydro/LockerGoga：公开事件事实与MVF解释分离。MVF阅读实例不会问Hydro作为整体是否在单一时间点恢复，而会问特定业务领域、工厂、生产线、产品系列或时间窗口的受限生产任务是否可辩护。
5.9 与业务连续性和事件响应的关系：MVF Recovery补充而非替换业务连续性规划、灾难恢复、事件响应、质量管理和OT安全工程。应作为恢复准备的一部分预先准备，但必须在事件期间使用当前证据实例化。
6. 基于证据的恢复生命周期
6.1 目的：生命周期将MVF转化为运营阶段。每个阶段解决第4节中的一个或多个故障模式。
6.2 阶段1：任务影响评估：响应者首先识别受影响的生产任务：产品线、批次、订单类型、客户承诺、质量过程、放行路径、供应商流和物流步骤。
6.3 阶段2：依赖建模：为每个候选任务构建依赖图，涵盖IT系统、OT资产、身份、数据、人员、手动程序、质量和可追溯性记录、材料、供应商和物流。包括隐藏依赖如服务账户、时间同步、工程工作站、证书服务、远程供应商访问、历史数据库馈送、实验室系统、隔离状态和质量放行数据。
6.4 阶段3：干净状态选择：使用证据而非仅基于新近度选择恢复点。评估备份年龄、入侵窗口、恶意软件持久性、凭证暴露、数据一致性、依赖兼容性和运营适用性。
6.5 阶段4：MVF规划：组织在当前证据下选择可支持的受限生产任务。任务可使用降低的吞吐量、有限产品系列、隔离生产单元、手动调度、受限远程访问、替代供应商通信或临时质量放行工作区。
6.6 阶段5：验证与模拟：在实时重新连接前，在隔离或受控设置中验证MVF计划。验证可包括测试恢复、凭证重置验证、配置比较、恶意软件扫描、配方验证、质量数据审查、可追溯性检查、OT通信检查和降级程序的桌面批准。
6.7 阶段6：恢复证明：组装证据包，记录恢复内容、来源、假设、验证结果和残余风险。包应可被技术响应者、运营管理、安全利益相关者、质量利益相关者以及相关审计员或监管者理解。
6.8 阶段7：分阶段重新集成：恢复的系统通过受控门重新引入：隔离恢复网络、有限连接、监控、操作员确认、安全批准和增量生产使用。
6.9 阶段8：监控的生产恢复：MVF生产在增强监控和明确限制下开始。限制可能包括降低吞吐量、受限产品系列、手动质量检查、放行前隔离规则、阻止远程访问、临时供应商程序或增强日志记录。退出标准定义何时扩展生产、保持降级模式、扣留产品或回滚。
6.10 生命周期输出：生命周期应产生三个具体输出：MVF任务声明、MVF依赖档案和恢复证明包。
7. 基准测试方向与评估蓝图
7.1 范围：本文不发布可执行基准，而是概述使制造恢复评估更明确的基准测试方向。有用的基准应衡量恢复计划是否恢复可信、有证据支持、可质量放行的生产能力。
7.2 场景维度：制造勒索软件恢复基准应至少变化七个维度：生产任务、依赖图、入侵状态、恢复选项、降级模式选项、外部约束和授权约束。
7.3 比较基线：未来评估应将MVF感知恢复与简单基线比较：最新备份优先、资产优先、IT优先、依赖感知和MVF感知。
7.4 指标与计算规则：候选指标应捕获能力、信任、安全、质量和证据。示例包括达到MVF的时间、所需依赖恢复百分比、未解决依赖计数、重用未信任身份数量、虚假干净恢复决策、不安全重新连接尝试、证据完整性、降级模式持续时间、生产有效性、质量放行状态和供应商/客户协调状态。给出了示例指标族和每个指标族旨在防止的恢复错误。
7.5 公开事件知情评估场景：Norsk Hydro/LockerGoga事件可激发可复现基准而不暴露敏感恢复细节。基准应构建具有类似恢复结构的消毒场景。
7.6 评估设置：未来评估可在几个现实水平进行：桌面场景、离散事件或图模拟、网络靶场或OT测试台、回顾性匿名案例研究。蓝图与所有四种兼容，但声明应校准到使用的评估设置。
7.7 局限：基准测试制造恢复困难，因为真实事件数据敏感、安全约束特定于站点、生产模型变化、质量放行规则通常保密。蓝图应视为研究议程。
8. 讨论、局限与研究议程
8.1 主要发现：主要发现是制造业勒索软件恢复应通过恢复的生产能力而非恢复的资产来判断。备份、恶意软件清除和系统重建是迈向能力目标的中间步骤。
8.2 制造业为何特殊：制造业特殊因为恢复决策影响物理生产、产品有效性和下游供应链。许多企业系统可相对隔离地恢复，工厂通常不能。MES依赖身份、调度、配方、质量数据、历史数据库、设备状态、操作员和供应商/客户流。OT系统可能遗留、安全关键、供应商维护或对停机敏感。恢复的应用程序在质量数据库、工程工作站、身份提供者、供应商接口或物理过程不可用时仍可能不可用。
8.3 对关键基础设施保护的贡献：本文连接勒索软件恢复与四个关键基础设施主题：相互依赖、连续性、受控重新集成和有效输出。MVF Recovery提供连接这些主题到可操作恢复决策的分析目标。
8.4 候选模式与报告不足：弱支持模式从主要分类中移出但仍重要：资产中心恢复指标、手动剧本脆弱性、恢复期间再感染和质量放行阻塞。这些模式应作为研究缺口。
8.5 实践意义：分类法可作恢复准备检查表。MVF规划可帮助响应者选择受限生产任务并避免基于资产恢复声明恢复。MVF最实际用途是桌面演练和演习设计。
8.6 研究议程：列出了八个未来研究方向：基于能力的恢复指标、匿名恢复案例库、质量放行与可追溯性恢复研究、OT重新集成证据、身份恢复协议、供应商协调模型、基准语义和恢复孪生系统原型。
8.7 恢复孪生系统含义：恢复孪生指模拟恢复计划的决策支持系统。本文贡献在于定义恢复目标和故障模式，而非实现系统。
8.8 伦理、安全与数据敏感性考虑：详细恢复时间线、网络图、供应商依赖、身份重建步骤、备份架构和OT重新连接序列可能揭示可利用信息。基准和案例报告应匿名化敏感细节，同时保留恢复相关结构。安全、质量和合规声明需要谨慎。
8.9 有效性威胁：综述受公共证据可用性、访问限制、单一作者编码和报告偏见限制。构建有效性风险：如“安全”“可信”“干净”和“恢复”等术语对不同团队含义不同。外部有效性受限：制药、汽车装配、食品加工、半导体制造和能源输送系统在安全、质量和监管约束上不同。
8.10 边界：本文不提供部署恢复系统、可执行基准或正式安全验证方法。也不声称MVF Recovery替换业务连续性规划、事件响应或OT安全工程。
9. 结论
制造业勒索软件恢复是一个能力恢复问题。工厂可重建服务器、恢复备份或重新连接应用程序，同时仍无法以运营可接受方式生产、验证质量、认证操作员、协调供应商或证明恢复系统可信。本文综合学术、指导、事件和验证的全文/源页面证据，识别九种有来源支持的恢复故障模式。引入MVF Recovery作为在当前依赖、证据、身份、数据、网络、OT、质量放行和供应商约束下恢复最小运营可接受、可信且有意义生产能力的分析目标。MVF Recovery将恢复问题从“哪些资产回来了？”转变为“哪些受限生产任务可以有效恢复？”推导的生命周期和基准方向为未来恢复评估、恢复孪生研究和实践者准备提供基础。核心信息是：在制造业中，勒索软件恢复应通过生产能力、依赖完整性、信任重建、质量放行可行性和受控重新集成来评估，而非仅通过资产恢复。
