工业网络安全：别让产线变成‘待宰羔羊’

说实话，这两年跑过的工厂，但凡上点规模的，没有一家不把‘数字化转型’挂嘴边。但你要是冷不丁问一句‘OT网安全怎么做的’，对方眼神立马开始飘忽——这种感觉，就像你去相亲，对方说房车俱备，结果一问房贷还有三十年。对吧？

✅ 工业网络安全，这词现在听起来比‘工业4.0’还烫嘴。为啥？因为真出事了。去年某车企焊接车间被勒索，机械臂停在半空，整个产线瘫了三天。最后发现入侵入口居然是一台连了外网的工控机——那台机器上还跑着Windows XP，补丁停留在2014年。❗这不是段子，是血淋淋的现实。

OT和IT的‘柏林墙’，早就该炸了

搞工厂的人都懂，运营技术(OT)那帮工程师和信息技术(IT)那帮人，过去简直是两个物种。IT嫌OT设备老旧、协议封闭、没法管。OT嫌IT天天让你打补丁、装杀软，搞不好就把产线搞死机。结果呢？两边互相嫌弃，中间地带就成了黑客的ATM机。

但事情正在起变化。去年IEC 62443标准突然被全球头部制造商写进了供应商准入条款——我一个做自动化朋友，被客户逼着去学什么‘区域与管道’模型，回来直骂娘。不过话说回来，这玩意还真不是花架子。它核心就一句话：把产线切成一块一块，块与块之间只允许必要的数据流。听着简单，真落地，光梳理那几百个PLC之间的通讯关系就能让人掉层皮。

💡 我现在去评估，已经不按传统套路出牌了。先不看你防火墙策略，直接让你把最近的网络拓扑图调出来——八成会看到一张乱成麻花的Visio图，上面还标着几十台‘幽灵’设备，连资产台账里都没有。这些玩意，就是定时炸弹。

你以为隔了就安全？天真

有人会说：我物理隔离了啊，产线网根本不联外网。没错，十年前这么干还行。现在呢？一条自动化产线，PLC要连MES拿工单，MES要连ERP查库存，ERP还要对接云平台的预测性维护模块……物理隔离早就成了皇帝的新衣。攻击者现在精得很：他们先通过供应链，比如给某个维护工程师发钓鱼邮件，拿下他的手提电脑，然后趁他带着电脑进厂调试设备时，直接通过网线横向移动到工控网。这种手法有个学名，叫‘air-gap hopping’，翻译过来就是‘隔空打牛’，听着就邪门。

问：既然物理隔离不靠谱，那我们在OT边界上一堆防火墙，再搞个IPS/IDS，总行了吧？
答：千万别有这种‘堆料就能赢’的想法。工业协议太野了，像Modbus、Profinet、EtherNet/IP这些，设计初衷就没考虑安全。一个正常的写寄存器指令，在IDS看来就是合法操作，但它可能直接让电机反转，把传送带撕成两半。去年有个案例，攻击者就是通过伪造Modbus报文，精准修改了变频器的频率设定值，导致离心机超速爆炸。这不是IT安全那套特征库能防住的，你得能解码协议内容，结合工艺参数去做异常检测——也就是现在常说的‘工业协议深度包解析(DPI)’。

问：那我们小厂，没预算上那么贵的DPI设备，咋整？
答：先把能做的做了，别哭穷就躺平。起码三件事：第一，把工控机、HMI这些‘弱鸡’的操作系统升级到能打补丁的版本，实在升不了就用白名单，非允许程序禁止运行；第二，把USB口全封了，或者至少用带病毒扫描的工业级USB安全锁；第三，把所有默认口令改掉，尤其是PLC的‘admin/admin’，这玩意在Shodan上能搜出一大把，简直是给黑客递钥匙。这三板斧下来，能挡住80%的脚本小子。

人，才是最毒的‘零日漏洞’

说了半天技术，其实最让我心里发毛的，永远是那些满不在乎的操作工和维护班长。不是贬低，是真的意识没跟上。有一次我在某电厂，看见一个外包人员直接把自己的手机用数据线插到工程师站主机上充电——旁边就是汽轮机控制柜。我当场差点心梗。问他们为啥，答曰：‘方便，而且这台电脑又不联网，怕啥？’ 唉。这种场景下，你上再多堡垒机、网闸都没用，一举就能破功。

所以现在搞‘工业网络安全’，如果不把培训、考核、奖惩制度一并设计进去，那就是在沙滩上盖城堡。我知道的几个狠厂，已经开始搞‘红蓝对抗’了：红队专门想歪招，比如把染毒U盘扔在食堂门口，看有没有人捡起来插到工控机上。结果呢？还真有。这样的人，直接通报处罚，扣安全绩效。你别觉得不近人情，这东西不出事则已，一出事整条产线报废，全部工人放假，哪个更狠？

❗最后奉劝一句：别等出了事才想起来搞安全。工业网络安全不是买几台盒子、刷几个合规报告就能交代的。它是持续的过程，是人和系统的持久博弈。与其纠结勒索病毒会不会来，不如现在就去车间转转，看看哪个蠢货又把调试笔记本直接接入了生产网。

毕竟，黑客可不会陪你演习。