OT安全不是IT安全的“转基因版本”
在办公室网络里，你打补丁、装EDR、搞零信任，没问题。可到了车间，实时控制是命脉——你让一台PLC延迟超过10毫秒，整条线可能就废了。更别提那些二十年陈酿的控制器，跑着专有协议，连个像样的认证都没有。有一次去某水厂，他们的SCADA系统登录密码竟然是“admin/admin”，还振振有词：“断网的，怕啥？” 结果呢？一个U盘就把Slammer蠕虫带了进去。 所以，别指望把Nessus往OT网里一扔就完事儿——那可能直接把老旧PLC扫宕机，生产停了，安全主管也就别想干了。
从震网到勒索软件：攻击在降维打击
震网那会儿，攻击OT还得靠特工物理摆渡，成本高得吓人。现在呢？勒索软件团伙都学会自动化扫描Modbus端口了。2023年某汽车零部件商被黑，攻击者通过IT网横向移动，最后加密了西门子S7-1500的工程文件，还嚣张地留了句话：“你们的产线停一分钟损失多少？我们只要50个比特币。” ——你看，连绑匪都算过ROI了。 问：“我们用的都是西门子或罗克韦尔的PLC，固件也没升级，会被勒索软件盯上吗？” 答：别侥幸。勒索软件很少直接感染PLC固件（虽然技术上可行，比如Pipedream工具包就展示了能力），但它们会攻击上位机、数据库、历史站。一旦工控机被锁，操作员屏幕一片血红，你还怎么控制生产？更恶劣的是，攻击者现在会先偷数据再加密——你的工艺配方、生产节拍成了暗网上的商品。所以，问题往往不在PLC本身，而在那台二十四小时不关机的工程师站，以及它上面那个弱口令的RDP连接。
纵深防御？先搞定资产可视化再说
工业安全圈子最爱念叨“纵深防御”，但对大多数工厂而言，这俩字跟念经差不多。部署个工业IDS要几十万，还得有人盯着，中小企业根本扛不住。我倒是觉得，第一步应该是搞清楚自己到底有什么。 去年给一个金属加工厂做评估，他们说“大概有200台设备在线”。结果被动扫描一下午，发现光是私自接入的HMI、PLC、摄像头就超过400个，还有好几个打开着Telnet端口的废弃控制器——简直是黑客的后花园。资产清单永远比想象中混乱，尤其当生产线是分期扩建、设备来自不同集成商的时候。 问：“我们小厂，预算实在有限，工业网络安全怎么起步才不踩坑？” 答：先做三件零成本或低成本的事，别一上来就谈AI检测、态势感知——那是给有钱有人的大厂准备的。 1. 网络分段：至少把OT网和IT网逻辑隔开，用个VLAN也好过直接插在一台交换机上。 2. 关闭闲置端口：那些没用到的USB口、网口、调试接口，物理封住或BIOS禁用。 3. 部署简单的网络监控：开源工具如Zeek配合OT规则，或者低成本的轻量级工业审计设备，先看清谁在跟谁说话。 做完这三样，你的攻击面已经缩小了60%。剩下的钱，去买个靠谱的工控防火墙比什么都强。 最后说个我的执念：备份。定期离线备份工程文件和控制器配置，并演练恢复流程。这年头，遭遇攻击是大概率事件，但能不能在四小时内拉起产线，才是衡量安全成效的真正标尺。而不是你那本厚厚的合规报告。免责声明：文章内容来自互联网，本站仅作为分享，不对其真实性负责，如有侵权等情况，请与本站联系删除。
转载请注明出处：工业网络安全：当PLC成了黑客的提线木偶 https://www.dachanpin.com/a/tg/65148.html
