工业网络安全：别以为OT网不连外就高枕无忧了

上周，我接到一个电话。电话那头，一家汽车零部件厂的IT主管声音都在抖：“PLC全线停摆，HMI上只剩一张勒索信。生产已经瘫了快12小时。”他们认定OT网“物理隔离”，绝对安全。可后来发现事故源头竟是一台违规接入了OT网段的临时调试笔记本——它之前被插到过IT网，染了恶意程序。这事儿让我想起那句话：隔离是最大的幻觉。

OT（操作技术）网络，根本不像你想的那样孤立。 随便走进一家工厂，你会看到：工程师带着U盘在工程师站和笔记本之间来回倒数据，远程维护通道常年开着，现场层设备上可能还插着来路不明的WIFI dongle。更别提那些早就被人忘掉的、暴露在外的modbus端口。说实话，这年头搞工控安全的，谁要还说“我们隔离得很好”，我只能苦笑。

那些你以为安全的地方，恰恰全是坑

干了十几年自动化，我看过太多匪夷所思的设计。比如有的产线，PLC跟人机界面之间走的是串口转以太网，没有任何鉴权——随便一个带modbus客户端的设备接上去就能改参数。更夸张的，一些老旧控制器甚至保留着出厂密码，而手册在官网上就能下载。说白了，漏洞比筛子还多。

还有一次，某水务集团曝出被黑客通过互联网控制SCADA系统。怎么进去的？查了一圈，原来是一台用于远程查看数据的OPC服务器，因为方便外包维护，开了个3389端口映射到公网，密码还是弱得吓人的“water123”。💡记住，任何暴露在公网的服务，哪怕只有几分钟，都会成为靶子。

这几年搞数字化转型，OT与IT交融的速度快得让人喘不过气。MES系统要从PLC拿数据，就得打通网络；云端质量分析要上数，就得开OPC UA接口。融合本身没错，但很多项目里，安全压根没被当成前置条件——等系统跑起来了，才想起打补丁、加防火墙。结果呢？防线到处是窟窿。

说几个你不得不知道的真事儿

2017年，某半导体厂的工控系统感染了WannaCry变种。原因简单到让人抓狂：一台不在资产管理清单上的工控机，好几个月没更新补丁，还绑定了共享文件夹。蠕虫一进来，直接横扫。停线两天，损失上亿。

2021年，美国Colonial Pipeline输油管道被勒索，攻击者是通过一个VPN账号潜入的。那个账号早就没人用了，但没注销，密码还泄露在暗网。你瞧，不是只有高科技APT才可怕，一个废弃的远程账号就能让全美东海岸缺油。

这些事儿最扎心的共同点？——都不是什么高深莫测的零日漏洞。就是资产管理疏漏，就是基本安全卫生没搞好。❗我发现很多老板愿意花大钱买高级威胁检测平台，却不愿搞一次全网资产扫描。舍本逐末，莫过于此。

到底该怎么防？

首先，别再笃信“空气隔离”神话。 真正的隔离需要严格的物理和流程管控，而绝大多数工厂做不到。既然做不到，就老老实实做网络分段：用VLAN把控制器、监控层、管理网分开，层间加上工业防火墙和单向网关。尤其是关键控制器前面，务必部署深度包检测，只允许必要的工艺指令通过。

其次，资产清点是地基。 你必须知道自己网里究竟有哪些东西：IP、固件版本、开放的端口、运行的协议。这事儿听着简单，实际极难。很多老设备，一扫描就歇菜，得靠被动监听流量来发现。但再难也得做——你没法保护你看不见的东西。

第三，补丁管理要策略化。 OT环境不能像IT那样野蛮打补丁。停产窗口宝贵，测试环境有限。所以得评估风险，对高危漏洞及时修补，中低危的用虚拟补丁（IPS规则）临时防护。💡通常，我会建议每季度安排一次维护窗口，集中处理。

问：把控制器锁在机柜里，加上密码，不就安全了吗？

答：想得太简单了。物理安全当然重要，但攻击者很少直接碰机柜。他们更喜欢通过工程电脑、远程维护链接、甚至供应链攻击（比如被篡改的固件更新包）来下达恶意指令。再说，很多控制器的密码只是应用层保护，固件本身可能留了后门，或者协议缺陷导致认证可被绕过。所以，除了物理防护，还必须有网络侧的异常行为检测——比如突然出现大量寄存器写操作，或者从未见过的IP试图连接PLC，这些都能及时告警。

问：工业安全产品是不是IT安全那套挪过来就行？

答：绝对不是。工业协议五花八门，对实时性和可靠性要求极高。IT防火墙根本解不开Modbus TCP的内容，更别说Profinet、EtherNet/IP之类的了。你得上专门的工业防火墙、工业IDS，它们能解析工控协议，理解上下文（比如“组态下载”这种操作才允许改变逻辑），并适应-40°C到70°C的车间环境。此外，工业安全还得考虑功能安全影响——一条误报导致紧急停机，后果可能比攻击本身还严重。所以工业安全产品的规则集必须保守，报警机制要分级，不能让操作员信息过载。

问：我们花钱做了等保测评，能否保证安全？

答：等保是合规基线，不是万能药。它给你划了最低标准，但威胁在不断演进。很多攻击者就是研究等保要求，然后找那些“合规但未实质安全”的缺口下手。比如，要求有日志审计，但没规定日志要实时分析；要求网络隔离，但没说必须监控跨区流量。因此，合规之后还得持续做风险评估、渗透测试和红蓝对抗。安全是动态过程，不是一次认证就完事。