工业网络安全：别让老生产线毁在看不见的黑客手里

我去年在东莞跑工厂，碰到一个做精密注塑的老板，蹲在厂门口抽烟，眼睛红得像兔子。他们那条给苹果做配件的生产线，因为勒索病毒锁了全部PLC程序，停了三天，赔给客户的违约金就有210万。而他之前，连工业网络安全这五个字，都没听说过。

很多工厂老板还觉得“我们断网就安全了”

这真的是最大的误区。很多传统工厂的老设备都用了十几年，从来没连网，现在为了赶数字化转型的风口，硬接了企业内网，原来藏在物理隔离下的漏洞，一下子全暴露在攻击者面前了。

问：我们工厂已经把办公网和工业网物理隔离了，还不够安全吗？答：物理隔离真不是万能保险箱。上个月我对接的一个汽配加工厂，就是设备厂商的工程师过来修模具，插了个带病毒的私人U盘，直接把整个车间八台CNC的控制系统全染了。物理隔离防得住外网的黑客，防不住内部带进来的病毒，也防不住内部人员的误操作啊。说实话，现在大部分工业通讯协议，都是几十年前设计的，当年根本没人想到会有黑客盯着工厂生产线，像常用的Modbus、S7协议，连最基础的身份验证都没有，只要你能连进设备网络，就能随便改生产参数，甚至锁走全部程序。

2024年工厂做工业网络安全最容易踩的三个坑

❗ 坑一：只买防火墙，不管工控终端安全很多工厂老板觉得，我装了防火墙，就等于把大门锁好了。实际上呢，你的生产线上的HMI人机界面，很多还跑着Windows XP系统，微软早就停止更新补丁了，有一堆公开漏洞摆在那，防火墙防不住从内部进来的攻击，更补不了终端的窟窿。 💡 坑二：随便给第三方厂商开远程运维权限现在大部分工业设备都支持远程运维，很多工厂为了省事儿，直接给厂商开了全权限的VPN通道，从来不改默认密码，也不做访问限制。去年国内有好几起大规模工控入侵事件，都是从厂商的远程通道进来的，厂商这边的网络出问题，你工厂直接跟着遭殃。 ✅ 坑三：不做离线备份，中招了只能乖乖交赎金我统计过最近两年接触过的11起工业勒索病毒事件，7家没有做定期的程序离线备份，最后要么交几百万赎金，要么只能花几个月重新调试整条生产线，损失翻好几倍。问：我们是中小工厂，一年利润才几百万，花几十万做工业网络安全实在扛不住，有没有低成本的方案？答：真的不用砸大钱。先做三件最基础的事，成本几千块都不到：第一，把办公网和生产网做VLAN分段隔离，普通员工的电脑碰不到生产设备的网段；第二，禁用私人U盘，进厂的U盘统一杀毒登记；第三，每周把所有PLC和CNC的加工程序做一次离线备份，存在不连网的移动硬盘里。这三件事做完，能挡住80%以上的常见攻击，不比你出事了赔几百万强？

现在最新的工业网络安全实践，核心是什么

现在国内头部的新能源车企、电子代工厂，都在推零信任架构，核心就是一句话：永不信任，始终验证。哪怕是工厂内部的运维工程师，要修改核心设备的参数，也要刷工牌加人脸验证，所有操作都会留审计日志，出问题能立刻查到源头。不过话说回来，零信任对中小工厂确实太复杂了，没必要硬上。但是核心思路可以直接拿过来用：不要默认“内部人就都能碰生产设备”，给不同的人分不同的权限，不该碰的碰不到，就已经赢了大半。太亏了。我见过太多工厂，花几百万上千万上数字化改造，连个几万块的安全网关都舍不得买，最后出点事，几年的利润全赔进去。今年很多工控厂商都推出了轻量化的工业安全网关，专门给中小工厂做，一万多块就能覆盖一整条生产线，还能实时监测异常流量——比如有人突然批量下载所有PLC程序，直接就给老板发短信报警，相当实用。工业数字化跑得越快，脚下的坑就越多。那些看不见的网络攻击，才是老生产线、新工厂最大的隐形杀手。多留个心眼，总没错。对吧？