《Computers & Security》：Attacks against industrial control systems in wireless networks
将无线技术集成到工业控制系统（Industrial Control Systems, ICSs）中，推动了工业自动化的变革，实现了更大的灵活性、可扩展性和远程监控能力。然而，这也扩大了攻击面，使ICS暴露于更广泛且持续增长的网络威胁之中。本工作对无线使能的ICS攻击进行了全面综述，重点关注WirelessHART、ISA100.11a、IO-Link Wireless、ZigBee、Wi-Fi和5G等广泛使用的协议。通过使用系统化的威胁分类法，研究人员分析了现有协议漏洞、真实世界影响及缓解策略，并最后概述了开发更具韧性的无线ICS架构的方向。
1. 引言
现代关键工业部门技术的快速发展加速了关键基础设施的数字化和网络集成，实现了实时监控、数据驱动优化和远程过程控制。工业控制系统（Industrial Control Systems, ICSs）受这些发展的影响最为深远，因为它们几乎集成于所有工业过程，并负责关键基础设施（如发电、油气分配、水处理、化学处理和智能制造）的安全可靠运行。然而，尽管具有诸多优势，无线通信在ICS中的集成也引入了该领域此前不存在的重大网络安全挑战。例如，与传统有线设置不同，支持无线的ICS组件（如传感器和控制器）暴露于广泛的网络威胁之下，包括干扰（jamming）、欺骗（spoofing）、中间人（Man-in-the-Middle, MITM）攻击及特定协议漏洞利用。ICS安全受到破坏不仅会干扰工业过程，还可能对关键基础设施的安全构成风险。
尽管已有多种安全措施被提出，例如入侵检测系统（Intrusion Detection Systems, IDSs）、加密、防火墙或应急响应计划，真实世界事件仍持续暴露关键漏洞。近期针对无线ICS组件的网络攻击，如VPNFilter恶意软件和对Unitronics可编程逻辑控制器（Programmable Logic Controllers, PLCs）的攻击，证明了攻击者即使对被认为安全的系统也能利用无线弱点。此外，ICS内对无线通信日益增长的依赖要求解决方案超越传统IT安全方法。无线ICS的威胁格局受多重因素影响：相关协议（如WirelessHART、ISA100.11a、IO-Link Wireless、ZigBee、WIA-PA、Wi-Fi或5G）、特定领域的运营约束（如变电站自动化与流程制造相比）以及运行时可靠性。这表明需要开发新颖的主动式、多层级且协议感知的安全策略。然而，若缺乏对该领域研究与实践现状的全面理解，则无法实现这一目标。
为解决此问题，本工作对无线使能ICS的现有网络威胁及相应缓解策略进行了系统性综述。为界定范围并指导综述结构，我们制定了以下研究问题：
RQ1：ICS环境中采用的主要无线通信协议有哪些，每种协议相关的特定协议漏洞是什么？
RQ2：ICS环境中哪些类型的无线使能网络攻击最为普遍，它们在目标协议、运营影响和工业领域方面有何不同？
RQ3：文献中提出了哪些缓解策略，它们在应对真实世界ICS部署中的威胁方面效果如何？
为回答上述研究问题，我们提出以下关键贡献：
•对ICS中的关键无线协议（如WirelessHART、ISA100.11a、ZigBee、IO-Link Wireless、Wi-Fi、5G）进行安全分析，重点关注协议特定漏洞。
•提出一个结构化的无线ICS攻击分类法，按类型、领域、受影响协议和运营影响进行分类。
•分析真实世界事件和仿真研究，以情境化并验证已识别的威胁。
•审查现有的多层级缓解策略，包括物理层防御、密码机制、人工智能驱动的入侵检测和形式化验证方法。
•提出一个比较性威胁-防御矩阵，以支持战略性风险评估和缓解规划。
•最后，识别关键研究挑战和未来方向。
本文其余部分结构如下：第2节提供ICS架构基础的背景信息。第3节概述相关工作。第4节描述本综述使用的方法论，包括搜索策略和选择标准。在第5节中，无线ICS威胁按协议、工业领域、影响严重性、真实世界事件和仿真研究进行分类。第6节总结相关防御机制并将其映射到已识别的威胁。第7节讨论已识别攻击与相应缓解技术的结合。第8节描述开放性挑战和未来研究方向。最后，第9节总结全文并概述主要发现。
2. 背景
本节简要介绍ICS架构的基本背景信息。
2.1. 工业控制系统（ICS）的一般架构
理解ICS架构对于评估其网络安全至关重要。与传统信息技术（Information Technology, IT）系统不同，ICS旨在监控、控制和管理油气、能源、水处理、交通和制造等领域的物理过程。这些系统对持续运营和公共安全至关重要，使其成为网络攻击的诱人目标。ICS通常由分布在大面积区域内的设备和组件组成，必须实时运行以保持工业过程安全高效地运行。由于其规模和复杂性，ICS通常被划分为多个独立区域，每个区域具有各自的功能和安全需求。多项国际标准，如IEC TS 62443-1-1:2009和NIST 800-82，从运营和安全视角提供了理解ICS架构的模型。表示ICS架构的一种常见方式是通过三层模型，将系统划分为企业区（Enterprise Zone）、控制区（Control Zone）和现场区（Field Zone）。
企业区是顶层，包含组织的主要IT基础设施，如业务系统、企业资源规划工具和外部网络接口。它作为公司系统与运营技术（Operational Technology, OT）之间的连接点，通常连接到互联网或第三方网络。尽管使用标准IT协议，但在此区域必须应用严格的安全措施，以防止横向攻击到达运营区域。
控制区位于企业系统和物理设备之间，托管监督系统，如分布式控制系统（Distributed Control Systems, DCS）、监控与数据采集（Supervisory Control and Data Acquisition, SCADA）服务器和人机界面（Human-Machine Interfaces, HMIs）。尽管它可能与企业IT共享一些网络功能，如TCP/IP通信，但控制区优先考虑确定性性能、高可靠性和容错能力。确保此层的完整性对于维持工业过程的连续和安全监控至关重要。
现场区构成架构的基础，包含负责过程控制的物理组件，如传感器、执行器和可编程逻辑控制器（PLCs）。这些设备实时运行，收集环境数据并执行直接影响物理过程的命令。此层内的通信通常依赖非IP工业协议（如WirelessHART、Modbus、PROFIBUS）和专为恶劣操作条件设计的专用接口。由于其在物理系统中的关键作用和直接交互，现场区组件需要最高级别的可靠性、时间精度和安全保障。
这些区域形成层级结构，其中数据从现场级测量向上流向企业级决策系统，而控制命令则沿相反方向传播。由于每层相互依赖，任何区域的漏洞都可能影响整个系统。
2.2. 工业控制系统的组件
ICS由多样化的硬件和软件组件组成，共同管理和自动化物理过程。尽管配置可能有所不同，从独立控制器到分布在大地理区域的大规模网络，ICS的基本组件保持一致的功能角色。这些包括控制单元、接口设备、通信基础设施以及传感/执行元件。本节描述支持ICS领域内可靠运行和交互的关键组件。
2.2.1. 可编程逻辑控制器（PLCs）
PLC是基于微处理器的工业设备，使用传感器输入和预定义控制算法执行确定性控制逻辑。作为许多ICS配置中的主要控制组件，PLC通过向执行器传输输出信号将数字命令转换为物理动作。它们设计用于高耐久性，在极端温度、机械应力和电磁干扰下可靠运行。
2.2.2. 远程终端单元（RTUs）
RTU是微处理器控制的现场设备，用于数据采集和远程控制，特别是在有线基础设施不实用的位置。通常部署在公用事业（如水分配系统和电网）中，RTU与传感器和执行器接口，执行基本控制逻辑，并将遥测数据传输到中央SCADA或DCS系统。它们经常依赖无线或长距离通信信道，扩展系统覆盖范围。
2.2.3. 智能电子设备（IEDs）
IED是智能现场设备，如传感器、执行器、继电器和开关，集成了测量、控制和通信功能。这些设备提供本地处理能力，支持边缘决策并促进实时反馈控制，同时减少对中央系统的依赖。IED在去中心化自动化中发挥关键作用，并经常直接与PLC、RTU或网关通信。
2.2.4. 人机界面（HMIs）
HMI是基于软件的系统，为操作员提供关于工业过程的实时信息，并支持对工作流的手动控制。无论是在控制室还是远程访问，HMI连接到SCADA服务器或直接与控制器接口，使操作员能够监控系统状态、调整参数、响应警报和生成报告。
2.2.5. 通信基础设施
可靠和安全的通信网络对于协调ICS组件间的操作至关重要。它们支持监督平台、控制设备和现场区设备之间的无缝数据交换。这些网络的主要元素包括：
•远程访问点是分布式SCADA环境中使用的基于无线电的设备，支持对地理上分散的设备（如RTU和IED）进行远程配置、监控、诊断和控制。虽然它们扩展了运营范围，但如果配置不当或保护不足，远程访问点可能引入重大安全漏洞。
•控制网络将监督控制组件（如SCADA服务器或HMI）连接到可编程控制器（PLC和RTU）。控制网络通常基于IP，确保集中式命令可靠地传递到本地控制单元，并将遥测数据传回以进行监控和分析。
•现场总线网络促进IED（如传感器和执行器）与PLC或RTU之间的通信。这些网络通常采用专用工业协议和针对低延迟、确定性通信优化的物理介质。现场总线架构通常限制设备与控制器之间的直接连接，而是使用分段、协议特定的链路来保持定时精度和系统稳定性。
2.3. 无线网络中的ICS架构
无线ICS架构旨在支持关键工业功能，同时满足实时控制要求。它们保留传统的三区ICS模型，但将无线通信集成到所有层级。
在现场区，无线传感器和执行器使用WirelessHART、ISA100.11a、IO-Link Wireless和ZigBee等协议收集数据并执行控制任务。这些设备与PLC或RTU接口以确保过程连续性。控制区托管SCADA系统、DCS服务器和HMI，管理过程反馈、支持操作员交互，并支持移动诊断和远程控制。此区域内的无线连接增强了灵活性和响应能力。
此外，为确保遗留系统与现代系统之间的互操作性，通常采用通过网关或接入点结合有线和无线通信的混合网络架构。
2.4. 用于ICS的无线协议和标准
本节审查工业控制系统中常用的标准和协议，并解决我们的第一个研究问题（RQ1），该问题涉及ICS环境中采用的主要无线通信协议及其协议特定漏洞。
2.4.1. WirelessHART
这是第一个专门为工业环境中的过程测量和控制开发的开源无线通信协议。它在2.4 GHz ISM无线电频段运行，采用时分多址（Time Division Multiple Access, TDMA）框架实现实时通信。该标准以其鲁棒性和强安全特性著称，经过精心设计以满足工业自动化的严格要求，代表了流程工业的重大进步。基于WirelessHART的网络采用网状拓扑，通过在设备之间建立多条通信路径来增强可靠性和覆盖范围。这种配置即使在恶劣的工业环境中也能确保数据传输的韧性。中央网络管理器负责网络的配置、管理和优化，在协调通信和维护可靠性方面发挥关键作用。网关充当WirelessHART网络与工厂自动化系统之间的接口，而接入点则促进无线现场设备集成到网络中。
2.4.2. IO-Link Wireless（IOLW）
IOLW是广泛采用的IO-Link标准的低延迟、高可靠性无线扩展，为满足工业4.0自动化需求而开发。到2016年，已部署超过五百万个IO-Link节点。IOLW支持工业环境中传感器、执行器和控制器之间灵活、可扩展和高效的实时数据交换。然而，在拥挤频段中的共存管理带来了实施挑战。
2.4.3. 工业自动化无线网络-过程自动化（WIA-PA）
WIA-PA是为在过程自动化环境中实现安全可靠的实时无线通信而开发的标准。它通过基于信标的时间同步、带冲突避免的载波侦听多址访问（Carrier Sense Multiple Access with Collision Avoidance, CSMA/CA）优先级和TDMA/FDMA调度等机制，提高网络访问效率，确保可靠的数据包传输，并最小化延迟。数据包聚合方案用于减少路由器中的转发延迟和能耗。WIA-PA包含集成安全功能；然而，密钥管理和授权仍然是持续挑战。精确的时间同步支持稳定运行，而新兴的边缘计算集成带来了本地数据处理和减少延迟等优势。尽管如此，当前网关实现缺乏原生边缘支持，突显了对增强网关架构和数据管理策略的需求。
2.4.4. ISA100.11a（或IEC 62734）
这是为工业自动化和过程控制应用开发的无线网络标准。为满足可靠性、可扩展性和实时性能的严格要求而设计，它在2.4 GHz ISM频段运行，支持高达250 kbps的数据速率，同时保持低功耗。该标准与IEEE 802.15.4兼容，并结合了6LoWPAN等高级网络功能，非常适合工业物联网（Industrial Internet of Things, IIoT）和边缘计算应用。ISA100.11a支持星型和网状网络拓扑，实现可扩展部署，并包含强大的安全机制，包括数据验证、访问控制和加密，以确保在恶劣环境中的韧性。
2.4.5. ZigBee
ZigBee是一种基于IEEE 802.15.4的无线通信标准，针对物联网（Internet of Things, IoT）和无线传感器网络（Wireless Sensor Network, WSN）应用中的低功耗和安全数据传输进行了优化。由ZigBee联盟开发，支持网状网络并实现长电池寿命，适用于工业控制、建筑自动化、环境监测和医疗保健系统。尽管具有优势，ZigBee在2.4 GHz ISM频段的运行可能引起干扰问题，特别是在Wi-Fi密集的环境中，导致吞吐量降低和数据包丢失增加。尽管ZigBee包含多种安全机制，某些漏洞仍然存在，推动了异常检测系统的集成。
2.4.6. 5G
该技术提供极低延迟、高吞吐量和海量设备连接。这些特性使其适用于实时控制、预测性维护和智能制造。典型的5G-IIoT设置包括核心网络部分，如基站、边缘节点和云服务器，它们与传感器、执行器和智能设备连接。边缘和雾计算通过本地处理数据帮助改善响应时间，而云系统用于存储大量数据和运行分析。基于5G的工业系统的安全性通过加密、认证和信任管理来确保。主要支持技术包括用于创建定制虚拟网络的网络切片、用于时间关键操作（如机器人技术）的超可靠低延迟通信（URLLC）、用于高速数据传输的增强移动宽带（eMBB）以及用于大规模设备连接的大规模机器类型通信（mMTC）。人工智能和机器学习的应用进一步实现了异常检测、预测分析和系统优化。
2.4.7. Wi-Fi
Wi-Fi在ICS中被广泛使用，因为它相比有线网络提供灵活性和更低的安装成本。它支持传感器和控制器等设备之间的时间敏感通信，适用于工业应用。然而，Wi-Fi可能引起影响敏感测量仪器的干扰，这可能降低数据可靠性。最近的进展如Passive Wi-Fi降低了能耗，同时保持与现有基础设施的兼容性，支持低功耗传感器网络和IoT应用。此外，Wi-Fi HaLow在sub-1 GHz频段运行，提供更长的范围和更低的功耗，非常适合工业物联网环境。
3. 相关工作
许多现有研究已审查了对ICS的威胁，特别强调无线通信中的漏洞。尽管这些综述提供了有用的见解，但它们通常在范围上有限，侧重于特定协议、某些工业部门或一般架构方面。在本节中，我们根据其主要分析视角审查我们认为与我们的工作最相关的先前综述：协议聚焦、架构与领域聚焦、检测与缓解聚焦、以及物理与无线电层聚焦。然后我们将它们与本工作的范围进行比较。
协议聚焦综述：若干工作聚焦于少数特定无线协议。Raptis等人审查了WirelessHART和ISA100.11a，强调了干扰和洪泛等威胁；然而，他们的分析仅限于协议比较，排除了更广泛的无线采用、真实世界事件和新出现的威胁。Alcaraz和Lopez同样评估了ZigBee PRO、WirelessHART和ISA100.11a。然而，他们的分析不包括动态威胁建模或基于案例的证据。Panchal等人采用更窄的范围，调查了基于Wi-Fi的攻击，如邪恶双胞胎和MITM攻击，而没有提供对工业无线协议栈的协议特定见解。总的来说，这些协议聚焦综述提供了对单个标准的详细分析，但它们不跨协议比较漏洞模式，也不涵盖本工作中考虑的新标准，如5G和IO-Link Wireless。
架构与领域聚焦综述：第二组工作按系统架构或工业领域而非协议组织威胁。Tsiknas等人提供了IIoT威胁的高层概述，强调零日漏洞和多层保护；然而，他们对ICS领域影响的分类仍然有限。Ma等人提出了围绕架构区域（如Purdue模型中的区域）组织的威胁模型，但对无线特定风险的重视相对较少。Pliatsios等人采用面向领域的视角，聚焦于油气和SCADA环境中的异常检测框架。尽管他们的领域级分析很详细，但他们不跨协议或部门比较攻击向量。总的来说，这些架构和面向领域的研究提供了有用的组织结构，但通常缺乏协议级粒度。本综述提出的协议与领域双重分类法解决了这一差距。
检测与缓解聚焦综述：该组工作主要审查防御机制。Benisha和Ratna聚焦于无线网络化控制系统中的拒绝服务（Denial-of-Service, DoS）缓解，而Suaboot等人分析了SCADA系统的入侵检测技术，而没有详细考虑无线协议安全。Bhamare等人将讨论扩展到云集成ICS环境和基于机器学习的入侵检测，但没有涉及协议级方面。Botvinkin等人和Januário等人提出了基于中间件的SCADA传感器网络保护机制；然而，他们也没有提供无线协议的比较分析。总的来说，这些研究表明现有的防御方法很少与其旨在缓解的特定协议级漏洞相关联。本综述通过在两个表格中提供这种映射来解决这一差距。
物理与无线电层聚焦综述：最后一组研究检查物理层或链路层的威胁。Raza等人讨论了工业无线传感器网络中的漏洞，包括窃听和篡改，但没有聚焦于工业标准或缓解策略。Ramotsoela等人和Reaves与Morris分别检查了入侵检测和无线电级漏洞，但都没有将这些威胁与ICS环境中的运营中断联系起来。Angueira等人以更高的技术深度分析了PHY/MAC层对策；然而，他们的综述在很大程度上仍是理论性的，缺乏真实世界示例。总的来说，这组的无线电层粒度很有价值，但与协议聚焦综述一样，它未与真实世界事件证据或跨领域运营影响联系起来。
3.0.7.1. 总结
我们可以观察到，与相关工作相比，本综述在ICS环境中对WirelessHART、ZigBee、IO-Link Wireless、5G、WIA-PA和传统Wi-Fi进行了比较分析，将无线攻击映射到其运营影响。它整合了来自真实世界事件、仿真研究和新兴研究（如移动访问漏洞和不安全的边缘部署）的发现。分析进一步突出了新风险，包括人工智能驱动的干扰和对抗性欺骗，同时综合了2005年至2025年间跨协议、领域和系统层的文献。
表1（相关综述与本工作的比较）展示了本综述与先前工作相比的更广泛范围和贡献，解决了无线ICS网络安全中的基础性和先前被忽视的领域。
4. 搜索方法论
本节概述用于识别和选择纳入本综述文章的分步方法论。审查过程遵循PRISMA 2020指南推荐的结构化方法，并组织为四个主要阶段：搜索、筛选、资格评估和选择。此外，我们还指定了从论文中提取的数据以供进一步分析。
4.1. 搜索策略
相关文献从六个主要数字图书馆收集，涵盖2010年1月至2025年9月期间：IEEE Xplore、ACM数字图书馆、Scopus、SpringerLink、ScienceDirect和Google Scholar。在预定义的数据库选择之后，进行了基于自动关键词的搜索以识别相关研究。搜索查询结合了三个主要类别的术语：
•系统术语：ICS、SCADA、IIoT、OT、工业控制。
•通信术语：WirelessHART、ISA100.11a、IO-Link Wireless、ZigBee、Wi-Fi、5G、WIA-PA。
•安全术语：攻击、威胁、漏洞、入侵、缓解。
此外，每个搜索查询都根据各搜索引擎的特定语法和要求进行了调整。使用的查询示例为：
(“ICS” ∥ “SCADA” ∥ “IIoT”)∧(“Wireless”)∧(“Attack” ∥ “Threat” ∥ “Vulnerability”)
在自动搜索之后，我们使用Wohlin和Prikladnicki提出的滚雪球策略进行了手动文献搜索，以识别可能被遗漏的论文。通过审查初步检索论文的参考文献列表，我们发现了额外的相关出版物纳入。
4.2. 筛选与资格评估
所有检索期间获得的论文均被评估以确定其是否符合以下标准：
纳入标准：
IC1：论文涉及无线使能工业控制系统（ICS）或运营技术（OT）的安全方面。
IC2：论文聚焦于识别漏洞、描述攻击或提出缓解策略。
IC3：论文提供了理论分析、仿真、测试台实验或真实世界案例研究支持的证据。
排除标准：
EC1：论文与ICS无关，或仅聚焦于消费级IoT或通用IT系统。
EC2：论文是概念性或观点性的，缺乏方法论细节。
EC3：论文未经同行评审，或仅作为海报或简短摘要呈现。
论文被选中必须满足所有纳入标准且不满足任何排除标准：(IC1∧IC2∧IC3)∧?(EC1∨EC2∨EC3)。
4.3. 选择结果
在实施搜索并应用上述方法论后，获得以下结果。对六个科学数据库的自动搜索最初产生509篇相关论文（阶段I）。然后根据纳入和排除标准筛选标题和摘要（阶段II），产生369篇潜在合适的论文。随后删除重复和明显无关的论文（阶段III），剩余140篇。最后，经过全文审查，128篇论文被选入本综述。所有审查由两名评审员独立进行，任何分歧通过讨论解决直至达成共识。
4.4. 为未来分析提取的数据
对于后续分析，从纳入本综述的论文中提取了以下信息：
•协议焦点：WirelessHART、ISA100.11a、IO-Link Wireless、ZigBee、Wi-Fi、5G和WIA-PA。
•攻击类型：干扰、欺骗、重放、注入、路由操纵等。
•验证方法：理论分析、仿真、测试台实验或真实世界证据。
•工业领域：智能电网、水处理、制造业和石化行业。
•缓解策略：频率/时间分集、密码机制、入侵检测和网络分段。
5. 针对工业控制系统的无线攻击
本节提供针对ICS的无线攻击的结构化概述，按协议级漏洞、影响严重性、工业领域、真实世界事件、基于仿真的分析和新兴威胁进行分类。这回答了我们的第二个研究问题（RQ2），该问题审查了ICS环境中哪些类型的无线使能网络攻击最为普遍，以及它们在目标协议、运营影响和工业领域方面的差异。
5.1. 无线协议和技术攻击
我们首先详细分析针对ICS中使用的主要通信协议的无线攻击。这包括ICS特定协议，如WirelessHART、WIA-PA和ISA100.11a，以及通用技术如Wi-Fi、ZigBee和5G，这些技术在现代工业环境中被越来越多地采用。讨论聚焦于有记录的、基于证据的与协议设计缺陷、安全假设和实现弱点相关的漏洞，范围从选择性干扰和重放攻击到冒充和信令漏洞利用。每个协议被单独检查，以基于同行评审研究的发现说明其攻击面的范围和严重性。
本小节分析的无线协议根据三个主要标准选择：它们在真实世界ICS部署中的相关性、学术研究解决特定协议漏洞的可用性，以及它们在工业标准中的采用程度。WirelessHART和ISA100.11a等协议由于有丰富的经验和建模数据而得到更详细的分析，而其他协议包括WIA-PA和Wi-Fi由于已记录的攻击场景数量有限而被较简要地讨论。EnOcean、WiMAX和Z-Wave等协议由于缺乏关于其在ICS环境中使用的充分证据或缺乏漏洞聚焦研究而被排除在本研究之外。
5.1.1. WirelessHART
该协议采用TDMA实现确定性调度，确保可预测的通信和精确的同步。然而，这种确定性也使其容易受到智能干扰（smart jamming）的影响，这是一种选择性干扰技术，对手针对特定时隙以破坏高优先级或控制相关的传输。此外，使用共享广播会话密钥使协议暴露于会话劫持，对手可以控制活动通信会话，以及命令重放攻击，其中先前记录的合法消息被重新发送以改变系统行为。此外，弱的设备认证可能导致女巫攻击（Sybil attack），允许单个对手冒充多个节点并干扰路由和资源分配。Stojanovski和Kulakov还证明，受感染的节点可以泄漏定时数据，从而实现基于调度的协调攻击，其中恶意行为与已知协议操作同步以最大化影响。
多项研究进一步表明，WirelessHART的确定性特性使其特别容易受到基于时隙的耗尽攻击，攻击者重复触发传输以消耗节点能量或破坏同步。Cheng等人描述了一类利用可预测信道跳变模式的选择性干扰攻击，通过逆向工程伪随机频率序列。这允许对手干扰高价值传输，同时最小化自身能量使用。其他已识别的威胁包括命令注入，其中恶意指令被插入控制消息以绕过完整性验证，以及定时攻击，其通过可预测的时隙定时推断操作调度或破坏通信。这些漏洞因WirelessHART密钥管理方案中的有限熵而加剧，在弱加密配置下可能实现统计密钥推断和冒充攻击。近期研究还强调了能量耗尽攻击，攻击者利用重复调度耗尽设备电池，以及针对无线电和数据计划漏洞的更广泛协议利用策略。
这些漏洞并非纯粹理论性的：工业自动化测试台确认WirelessHART加入过程中的弱点允许未经授权的节点注册和重放先前捕获的控制命令，而Abbas等人表明时隙定时中的去同步可以实现选择性干扰和虚假数据注入，破坏过程控制回路内的稳定性。值得注意的是，WirelessHART的弱点与其说源于缺乏安全机制，不如说源于其确定性调度和共享密钥设计被利用的方式——这与接下来讨论的几种协议形成对比，后者完全缺乏可比的安全原语。
5.1.2. IO-Link Wireless
IO-Link不为其命令流提供加密，使其容易受到中间人（MITM）攻击，对手在传感器和执行器之间拦截、修改或注入恶意数据包，可能导致未经授权的操作或隐藏关键事件。由于其在拥挤的2.4 GHz ISM频段运行，该协议也暴露于干扰攻击，这可能严重降低通信可靠性和实时性能。Doebbert等人还强调了重放攻击的风险，其中先前捕获的有效传输被重新发送以操纵系统状态。设备配对期间缺乏认证为冒充和欺骗引入了机会，允许未经授权的节点模仿合法设备。此外，基于广播的时间同步可能通过洪泛攻击被利用，使主设备不堪重负或消耗链路容量。进一步的风险包括电池耗尽攻击，受感染的节点故意延长通信会话以耗尽电源资源，以及利用可预测信道特性的RF层嗅探和欺骗以破坏数据机密性和系统可用性。
对传感器-执行器控制链的评估进一步证明了这些漏洞的实际可利用性：未加密的服务信道管理帧可以被操纵以使主-从设备对去同步，导致过时的过程值到达高层控制器，可能触发虚假警报。与WirelessHART（漏洞主要源于错误配置的安全机制）不同，IO-Link Wireless因缺乏加密本身而暴露。因此，对服务信道流量进行认证加密比通常WirelessHART所需的密钥管理改进更为根本的缓解优先事项。
5.1.3. WIA-PA
WIA-PA由于其分层拓扑和网状路由结构，特别容易受到路由层攻击。在汇聚攻击（sinkhole attack）中，恶意节点广播伪造的最优路由以吸引网络流量并选择性地丢弃数据包。黑洞攻击（blackhole attack）通过丢弃所有接收到的数据包来扩展此攻击，有效切断通信信道。类似地，hello洪泛攻击通过广播过量的问候消息来利用邻居发现，耗尽节点能量并破坏网络形成。Qi等人进一步证明了WIA-PA对静态信任关系的依赖和缺乏动态密钥协商使其暴露于重放、冒充和基于定时的洪泛攻击。这些弱点在资源受限的环境中尤为严重，因为为节省能源而简化了密码机制，为对手提供了低成本、协议特定的破坏机会。此外，WIA-PA可能受到缓冲区溢出和实现差距漏洞利用的影响，攻击者利用测试不足的固件路径或遗留协议栈触发内存损坏或意外的状态转换。
WIA-PA的证据相对弱于WirelessHART或IO-Link Wireless，因为大多数发现来自仿真或实验室测试台而非实时部署；尽管如此，原型测试台证实受感染的路由节点可以在分层网络（如配电和制造控制）中引起控制回路延迟和数据包丢失，类似于真实世界的ICS故障。这种证据差距本身具有信息性：WIA-PA的路由层弱点在理论上看起来至少与上面记录的弱点一样严重，但运营验证的相对稀缺意味着其真实世界风险比WirelessHART或IO-Link Wireless更难量化。
5.1.4. ISA100.11a
尽管在架构上ISA100.11a比WIA-PA更安全，但当配置薄弱或密码假设放宽时，它仍然容易受到攻击。其对计划通信和共享会话参数的依赖为重放攻击创造了机会，其中捕获的帧被重传以触发不正确的过程行为。如果加密配置错误或密钥更新延迟，对手可以执行窃听或流量分析以推断操作状态和定时调度。ISA100.11a的伪随机跳频机制也可能通过频率模式预测而受到损害，允许有针对性的选择性干扰，以最小干扰破坏关键数据包。此外，路由发现过程容易受到汇聚和黑洞攻击，其中恶意节点广播伪造的最优路由以拦截或丢弃必要的数据包。缺乏严格的端到端消息认证也可能导致冒充和路由注入，特别是在重用密钥或未能分离信任域的系统中。Morris等人证明了遗留组件重用和错误配置可以绕过预期的安全控制。更近期的研究确定了遮蔽攻击（overshadowing attacks）和虚假基站，其中恶意节点模仿合法信标以诱导切换错误或拦截控制平面流量。
化工厂现场研究直接说明了这种运营脆弱性：证书续订延迟和配置不当的备用信道使过程数据暴露于拦截和重放，而基于仿真的分析表明，高重关联延迟允许攻击者推断会话标识符并在维护期间注入伪造更新。这两个标准表明，更强的架构安全性（如ISA100.11a与WIA-PA相比更鲁棒的设计）并不一定转化为更强的运营安全性。对于ISA100.11a，主要限制是仔细配置和时间精度，而对于较不成熟的WIA-PA，主要弱点源于设计级限制。
5.1.5. Wi-Fi
ICS环境中的Wi-Fi安全通常反映企业或家庭网络的安全状况，经常依赖默认设置、弱的网络分段或过时的加密方案。因此，使用Wi-Fi的工业系统仍然暴露于众多攻击向量。一个常见示例是去认证攻击（deauthentication attack），对手利用未受保护的管理帧发送伪造的解除关联请求，强制断开合法设备并启用MITM或DoS场景。继续使用WEP和WPA等已弃用协议进一步使系统暴露于针对认证握手的暴力破解和重放攻击。近期研究强调了来自流氓接入点的额外风险，恶意热点模仿可信基础设施以窃取凭据或注入恶意流量，以及语义攻击，其中精心设计的基于Wi-Fi的有效载荷在应用层操纵ICS逻辑。其他关键漏洞包括MAC层自私退避攻击，利用竞争解决算法垄断传输时隙，以及PACMAN攻击，结合移动性和信道感知以破坏共存并降低网络性能。
与此模式一致，工业Wi-Fi审计已识别出重用预共享密钥和配置错误的RADIUS认证使工程工作站能够跨段入侵控制网络的案例，而重现信标洪泛和去认证场景的测试台实验确认此类错误配置级联为PLC通信周期内的数据包丢失和时间违规。与上述ICS原生协议不同，Wi-Fi在工业环境中的暴露与其说源于协议特定的设计缺陷，不如说源于在控制网络环境中直接重用企业和消费级配置实践，这些实践从未为此类环境设计。
5.1.6. ZigBee
虽然ZigBee专为低功耗工业和IoT应用而设计，但它从其简化的信任架构和轻量级加密机制中继承了几个漏洞。一个常见问题是重放攻击，其中被拦截的合法消息被重新发送以操纵设备行为或获得未经授权的访问。频繁使用静态网络密钥和弱加密算法进一步使ZigBee网络暴露于暴力破解和字典攻击，特别是在使用默认或可预测密钥时。关联洪泛是另一个普遍威胁。对手重复发送加入请求以使协调器过载，导致资源耗尽和DoS。对手还可能执行未经授权的地址操纵，在传输过程中修改路由路径以实现选择性数据包丢弃或窃听。Wang和Hao证明了对ZigBee的干扰、数据包注入和冒充攻击可以使用低成本硬件和最少资源实施。更近期的研究确定了对抗性机器学习和白盒漏洞利用，它们操纵设备决策，以及语音克隆攻击，利用工业环境中启用ZigBee的语音接口。
这种模式也出现在基于ZigBee的工业部署中，默认信任中心密钥和遗留链路密钥可以启用流氓节点注入、拓扑操纵和重放攻击，改变发送到SCADA网关的传感器数据。与Wi-Fi一样，具有强制执行密钥轮换的更新协议修订版在工业测试台中提高了安全性。然而，ZigBee也显示了对对抗性机器学习操纵的新兴暴露，这是本综述中审查的其他协议尚未记录的一种威胁。
5.1.7. 5G
将5G集成到ICS环境中带来了主要优势，如超可靠低延迟通信（URLLC）和大规模设备连接，但由于技术的复杂性和云原生架构，它也显著扩大了攻击面。J. Li等人识别了访问认证中的漏洞，可以通过利用弱或配置错误的身份验证允许未经授权的设备加入工业网络。另一个关键问题是禁用安全功能，对手停用加密或完整性机制以拦截或更改控制命令。非法终端访问，特别是在SCADA集成的5G部署中，可以让未经授权的端点重路由数据流或检索敏感遥测数据。这些威胁因对终端访问和核心网络切片的DoS攻击而进一步加剧，利用软件定义网络和网络功能虚拟化（Network Function Virtualisation, NFV）依赖性使虚拟控制服务过载。配置错误或默认设置也可能使边缘和控制平面组件暴露于中间人攻击和切片隔离失败，削弱多服务环境中租户之间的分离。新兴的5G特定风险包括预编码器欺骗、选择性定位参考信号（Positioning Reference Signal, PRS）欺骗、国际移动用户识别码（IMSI）捕获器和分组转发控制协议（Packet Forwarding Control Protocol, PFCP）信令攻击，它们利用未受保护的信令信道和反馈机制。为应对这些挑战，近期研究提出了混合后量子密码（hybrid post-quantum cryptographic, HPQC）方案，用于保护5G认证和密钥交换，标志着增强未来基于5G的ICS连接韧性的潜在方向。
对5G使能工业网络的现场评估表明，混合边缘到云控制架构中未经验证或配置错误的网络功能可能在TSN控制回路中引入时间不一致，导致机器人制造测试台中的瞬时运动延迟和同步错误。与其他主要在链路或会话层产生风险的协议不同，5G主要通过其云原生和虚拟化核心暴露。因此，其缓解优先事项聚焦于网络功能验证和切片隔离保证，而非仅无线电接口。
表2（无线ICS攻击到协议的映射，按ICS安全区域分组）总结了我们对针对每种无线协议的已知攻击的分析结果。攻击根据其发生区域分类：现场、控制、企业、跨区域，以及与5G和AI等未来技术相关的新兴威胁。同行评审证据支持的已确认漏洞用（?）表示，而未知或未验证的风险用（-）表示。
在我们检查的协议中，我们观察到一个共同限制：ICS中的当前无线技术仍然严重依赖静态防御、弱或未充分执行的密码学，以及有限的上下文感知监控。WirelessHART和WIA-PA暴露了固定调度和刚性信任假设的风险，IO-Link Wireless和ZigBee突出了缺少加密或密钥管理不善造成的弱点，ISA100.11a和Wi-Fi显示了错误配置和遗留部署如何破坏安全性。相比之下，5G引入了植根于其云原生、虚拟化核心的不同风险特征，使网络功能验证和切片隔离成为中心缓解优先事项。
总体而言，重放是影响最广泛的漏洞，影响除5G外的所有审查协议。这反映了对静态或长期凭据的持续依赖，而非保证新鲜度的机制。IO-Link Wireless从设计角度来看是最弱的协议，因为其暴露直接源于命令流加密的缺失而非部署错误。如表2所示，所评估的协议均不能抵抗
