工业网络安全：为何你的产线正暴露在黑客面前

凌晨三点，工厂的报警器突然响了。不是火灾，不是机械故障——是网络攻击。这种情况，我遇到过。去年帮一家汽车零部件厂做安全评估，发现他们的PLC直接暴露在公网上，连密码都是默认的1234。说实话，我整个人都傻了。

被忽视的OT系统

多数人以为工厂的网络是隔离的。物理隔离嘛，不连着互联网，安全得很。错。现在哪还有完全隔离的工控网？MES要连ERP，设备要远程维护，甚至给客户看个生产进度都得开个端口。结果就是，OT（运营技术）和IT的边界越来越模糊。更糟的是，OT系统上的软件老旧得掉渣——Windows XP还在跑，补丁打不上，杀毒软件装不了。一旦暴露，就是待宰的羔羊。

我见过最离谱的：某个工厂的工程师为了方便，用QQ远程传程序。对，就是普通的QQ。他们甚至建了个群，美其名曰“技术交流群”。这不叫交流，这叫给黑客开后门。❗

勒索软件盯上制造业

勒索软件早就不是只加密办公文件了。现在专挑生产线下手。加密你的PLC程序，锁死HMI，或者直接让机械臂停摆。你想交赎金？那边说，先付比特币，再给你个解密工具，还不保证能用。去年，某知名车企产线停摆三天，损失上亿。原因？一封钓鱼邮件，一个员工点开了附件。就这样，整个工厂从IT网被渗透到了OT网。

问：中小型工厂资金有限，怎么防勒索攻击？
答：说实话，中小厂最容易中招。我的建议是做好三件低成本的事：第一，网络分段，把办公网和工控网用防火墙隔开，别偷懒；第二，补丁管理，不能升级系统的至少用虚拟化隔离；第三，备份，而且备份一定要离线，别让攻击者一块儿加密了。这三样花不了多少钱，但能挡住80%的攻击。💡

工控协议的致命缺陷

Modbus、Profinet、EtherNet/IP……这些协议设计之初就没考虑安全。没有认证，没有加密，明码传输。也就是说，任何接入网络的人都可以伪造指令。比如，给变频器发个“停止”命令，或者修改传感器阈值，让系统误以为温度正常，其实早该停机了。几年前有个攻击案例，攻击者利用Modbus的未授权读写功能，远程篡改了离心机的转速，结果嘛，设备损坏只是小事，差点酿成大事故。

这事儿细思极恐。我们依赖的自动化系统，底层毫无防护。而且，很多工控设备连日志都没有，被攻击了都不知道是谁干的。修复？只能重装，然后继续裸奔。

问：有安全协议为什么不用？比如OPC UA，它支持加密。
答：问题就出在兼容性上。老设备根本升不了级，换设备又贵得离谱。老板一句“能用就行”，就把风险转嫁给了整个工厂。不过话说回来，新建产线或者采购新设备时，一定要把安全功能纳入评估。支持OPC UA的网关也能在老设备前加一道屏障。关键是，别在采购单上只写技术参数，要加一条：需通过网络安全压力测试。对吧？

人能捅多大的篓子

技术漏洞还能用技术堵，人的漏洞才最致命。我常跟客户讲，你们花几十万买防火墙，却不培训员工识别钓鱼邮件，等于给装甲车上安了把纸锁。工厂里常有的场景：维修人员带着笔记本到处插网口，U盘满天飞，Wi-Fi接入点私自架设。每一个动作都可能引入恶意软件。有一次，我在一家厂房的角落发现一个无线路由器，SSID叫“FAW_guest”，一问才知道，是车间主任嫌手机信号差自己装的，连密码都没设。😱

安全意识不是开个会念几页PPT就完事了。要模拟攻击，要让员工亲眼看到点开一个可疑链接后，产线是怎么瘫痪的。恐惧是最好的老师，这话放在网络安全上，一点没错。

问：如何快速建立工厂网络安全管理制度？
答：从人入手，别上来就搞一堆文件。第一步，盘点资产，别说你们不知道有多少设备联网了——大部分还真不知道；第二步，制定最小权限原则，操作员别给管理员权限；第三步，应急响应预案，别等出事了再想找谁修；第四步，定期演练，模拟攻击看各部门怎么反应。这几步落实了，起码能做到“被打了知道疼”。✅

云化趋势下的新风险

这几年工业上云喊得震天响。设备数据上云，远程运维，AI质检……好处是明摆着的，但安全风险也指数级上升。云平台一旦被攻破，下面连着的成千上万设备全完蛋。你以为云服务商会负责安全？他们只负责基础架构，你的应用、配置、数据，出了事儿还是你的。前不久，一个塑料加工厂的云MES被攻破，订单、配方全泄露，竞争对手直接抄去用。老板气得跳脚，最后只能打官司，可官司赢了市场也丢了。