工业网络安全：当PLC成了黑客的提线木偶

去年某化工厂的那次停车事故，起因竟是工程师站上一台没打补丁的Windows 2000。没错，你没看错——2024年了，还有人在跑Win2k。这事儿说来挺讽刺的，我们一边吹嘘工业4.0、智能工厂，另一边核心产线还在裸奔。说实话，每次看到那些把IT安全方案直接往车间里套的项目，我都想掀桌子。

OT安全不是IT安全的“转基因版本”

在办公室网络里，你打补丁、装EDR、搞零信任，没问题。可到了车间，实时控制是命脉——你让一台PLC延迟超过10毫秒，整条线可能就废了。更别提那些二十年陈酿的控制器，跑着专有协议，连个像样的认证都没有。有一次去某水厂，他们的SCADA系统登录密码竟然是“admin/admin”，还振振有词：“断网的，怕啥？” 结果呢？一个U盘就把Slammer蠕虫带了进去。所以，别指望把Nessus往OT网里一扔就完事儿——那可能直接把老旧PLC扫宕机，生产停了，安全主管也就别想干了。

于是我们得面对现实：OT安全，得用“悄悄地进村，打枪的不要”那套方法。被动流量监听、协议深度解析、资产指纹识别……这些才是基本功。但说来容易，多少厂子连自己有多少个IP都说不清？

从震网到勒索软件：攻击在降维打击

震网那会儿，攻击OT还得靠特工物理摆渡，成本高得吓人。现在呢？勒索软件团伙都学会自动化扫描Modbus端口了。2023年某汽车零部件商被黑，攻击者通过IT网横向移动，最后加密了西门子S7-1500的工程文件，还嚣张地留了句话：“你们的产线停一分钟损失多少？我们只要50个比特币。” ——你看，连绑匪都算过ROI了。问：“我们用的都是西门子或罗克韦尔的PLC，固件也没升级，会被勒索软件盯上吗？” 答：别侥幸。勒索软件很少直接感染PLC固件（虽然技术上可行，比如Pipedream工具包就展示了能力），但它们会攻击上位机、数据库、历史站。一旦工控机被锁，操作员屏幕一片血红，你还怎么控制生产？更恶劣的是，攻击者现在会先偷数据再加密——你的工艺配方、生产节拍成了暗网上的商品。所以，问题往往不在PLC本身，而在那台二十四小时不关机的工程师站，以及它上面那个弱口令的RDP连接。

我见过的最荒唐的事，是某食品厂IT和OT之间就隔了个家用路由器，还开着WPS功能——随便一个脚本小子都能破。事后他们厂长挠头：“不是说有防火墙吗？” 那是NAT，不是防火墙！

纵深防御？先搞定资产可视化再说

工业安全圈子最爱念叨“纵深防御”，但对大多数工厂而言，这俩字跟念经差不多。部署个工业IDS要几十万，还得有人盯着，中小企业根本扛不住。我倒是觉得，第一步应该是搞清楚自己到底有什么。去年给一个金属加工厂做评估，他们说“大概有200台设备在线”。结果被动扫描一下午，发现光是私自接入的HMI、PLC、摄像头就超过400个，还有好几个打开着Telnet端口的废弃控制器——简直是黑客的后花园。资产清单永远比想象中混乱，尤其当生产线是分期扩建、设备来自不同集成商的时候。问：“我们小厂，预算实在有限，工业网络安全怎么起步才不踩坑？” 答：先做三件零成本或低成本的事，别一上来就谈AI检测、态势感知——那是给有钱有人的大厂准备的。 1. 网络分段：至少把OT网和IT网逻辑隔开，用个VLAN也好过直接插在一台交换机上。 2. 关闭闲置端口：那些没用到的USB口、网口、调试接口，物理封住或BIOS禁用。 3. 部署简单的网络监控：开源工具如Zeek配合OT规则，或者低成本的轻量级工业审计设备，先看清谁在跟谁说话。做完这三样，你的攻击面已经缩小了60%。剩下的钱，去买个靠谱的工控防火墙比什么都强。最后说个我的执念：备份。定期离线备份工程文件和控制器配置，并演练恢复流程。这年头，遭遇攻击是大概率事件，但能不能在四小时内拉起产线，才是衡量安全成效的真正标尺。而不是你那本厚厚的合规报告。