工业网络安全：别拿智能制造的命根子不当回事

去年去长三角一家做汽车底盘件的工厂调研，老板拉着我叹气，说生产线停了12小时，直接损失快三百万，追根溯源就是供应商来调试设备，插了个带毒的U盘。病毒顺着内网直接爬到了PLC控制系统，整条线动都动不了。这不是段子。是2023年真真切切发生的事。

为什么工业网络安全突然成了活命的本钱？

放在十年前，没人会问这个问题。那时候工业网都是封闭的，不连外网，设备都是专人操作，哪来那么多攻击？现在不一样了。智能制造要降本，要远程运维，要设备上云，要上下游数据打通，原来封得严严实实的内网，硬生生开出了无数个口子。你开放了数据，就等于开放了攻击入口。黑客 ransomware 一锁，你不交钱就别开工，有多疼只有老板自己知道。

问：我们工厂已经买了大牌防火墙，还需要单独做工业网络安全吗？答：这是我听过最多的问题，也是最多人踩的坑。普通防火墙是给IT办公网做的，根本识别不了Modbus、S7这些工业协议，别说拦攻击了，有时候还会把正常生产数据误拦，导致生产线莫名其妙停车。更何况大部分攻击根本不是从外网进来的——供应商的U盘、运维工程师的笔记本、外包商的远程接入，哪一个不是突破口？

工业网络安全最容易踩的三个坑

我跑过几十家不同规模的制造工厂，见过太多钱花了，事没办成的例子，总结下来就是三个坑： 1. ❗ 直接把IT安全那套搬去工业网 IT领域杀毒软件动不动升级、重启，工业生产线能说重启就重启吗？我见过工厂半夜给控制器更病毒库，重启之后参数全乱，生产出来的零件全废，赔客户的钱够买十套安全方案了。 2. ❗ 只防外网，不防内网很多工厂防火墙摆在外网口做样子，内网随便连，车间工人拿个手机连wifi就能进控制系统。别说有意破坏，就是一不小心碰错了参数，都能出大事故。 3. ❗ 舍不得小钱，吃大亏一套能落地的工业网络安全方案，撑死了几十万，很多老板一听报价就摇头，说我这工厂开了十年都没事，花这冤枉钱干嘛？真等到生产线停了，一天损失都不止这个数，拍大腿都没用。真是急死人！问：我们就是个几十人的小加工厂，会被黑客盯上吗？答：别觉得小工厂就安全。黑客现在最喜欢攻供应链，拿小工厂当跳板，进去搞下游的大厂。去年国内某头部新能源车企的供应链攻击事件，源头就是一家做注塑件的小工厂，服务器被攻破，黑客顺着供应链网络摸到了车企的核心研发网，你说找谁说理去？

现在能落地的工业网络安全，到底该怎么做？

说实话，不用搞那些花里胡哨的概念，适合工厂的才是对的。我给很多工厂做咨询，都是从这几步开始：首先，做好分层隔离，别把所有网混在一起。办公网、生产网、控制网，该隔就隔，别嫌麻烦。办公网中了病毒，别传染到生产网，这就已经挡住了八成风险。远程运维要开权限？那就用零信任接入，谁来访问都要验身份，用完就收回权限，别一直开着端口敞着门。然后，先搞清楚你到底有多少资产要防护。很多工厂连自己有多少台PLC、多少台传感器、哪些连了网都说不清楚，谈什么防护？十年前的老设备，大多都有公开漏洞，厂商早就停止更新补丁了，这种情况别慌，把它隔离在单独的分区，只开放必要的访问权限就行，比啥都不做强一万倍。最后，做异常监测，别等出事了才发现。正常生产的时候，PLC只会和固定的服务器通信，要是突然往境外发数据，或者突然有陌生IP改参数，系统直接报警切断，把损失控制在几小时以内，而不是停个三五天才发现被攻击了。说实话，现在没有哪个工厂敢说自己百分百安全。但只要你把基础的防护做了，就能挡住90%以上的攻击，真碰到高级攻击，也能把损失降到最低。现在很多工厂花几百万上千万买新设备，搞智能化改造，却在工业网络安全上只肯挤出来几万块意思一下。这就像是你买了个几百万的豪车，不装防盗门，停在没人看守的路边，不偷你偷谁？别等生产线停了，才想起工业网络安全这回事。到那时候，真的晚了。