中小制造企业的工业网络安全：别等停产3天才想起给工控系统设防

上周去东莞长安跑客户，那家做精密五金冲压的厂老板拉着我骂了快40分钟——上周二刚被勒索病毒锁了全部PLC程序，开机就跳出来要0.8个比特币的提示，生产线停了整整3天，光给下游客户的违约金就赔了12万。他之前还跟我说，我们工控网从来不上外网，装个360就万事大吉，哪来的风险？真的，这种话我听了没有一百也有八十。

先搞懂：工业网络安全和普通办公网安全根本不是一回事

很多人把工控网和办公网混为一谈，觉得不就是电脑连网吗，能有多大区别？区别大了。办公网里的电脑被锁了，大不了重装系统，拷备份文件，最多耽误点办公效率。工控网连着的是从传感器、PLC到执行器的全链路生产设备——网被打穿了，轻则工艺参数被篡改，批量做出来的零件全成废品；重则压力机冲过头打废模具，甚至出人身安全事故。

❗ 去年我们抽样测过珠三角127家中小制造企业，有62%的厂存在工控网和办公网无隔离直连的问题，31%的厂能从公网直接扫到未设密码的PLC设备，很多设备的默认密码从安装那天起就没改过。黑客现在都不用费劲突破你的防火墙，扫到公网上的裸露PLC，输个默认密码，直接就把程序加密了。好多老板坐下来第一句就问：我们厂小，预算有限，是不是就不配谈安全？问：我们厂只有几十台设备，一年利润才百来万，拿几十万做工业网络安全是不是太浪费？答：真不是。你算笔账——上次被锁的那家五金厂，停3天赔的违约金，加上后来找数据恢复公司花的6万，总共快20万了。根本不用一开始就上几十万的态势感知平台，先把最基础的隔离做了，花的钱可能还不到一次停机损失的1/10。

不用砸大钱：3个零门槛就能落地的安全动作

别一提到工业网络安全就觉得要花大价钱，很多动作零成本就能把80%的常见风险挡在门外。 💡 第一个动作：把工控网和办公网做物理或者逻辑隔离，别图省事儿拉根网线直连。很多人说我买个几十块的交换机就行？不对，要做单向的访问控制，或者至少在边界装个入门级的工业防火墙，只允许指定的IP、指定的端口传工艺参数，别的流量全拦。 💡 第二个动作：给所有PLC、SCADA系统做离线备份，每周把程序拷到离线的U盘里锁在柜子里。别存在联网的办公电脑上，那跟没备一样。我见过太多厂，备份文件存在被病毒锁的电脑里，哭都没地方哭。 💡 第三个动作：把所有工控设备的默认密码全改了，别用123456、admin这种弱密码。你以为黑客扫到你的设备是随机的？人家现在都是批量扫公网的IP段，看到默认密码直接就植病毒，根本不用费啥劲儿。

说到远程调试，很多运维师傅都有吐槽：每次设备出问题，厂家工程师要跑过来，一来一回大半天，耽误生产，那为了方便远程调试，把网口接出来是不是就一定会被攻击？问：我们经常需要设备厂家远程调试程序，为了方便把PLC网口接到公网，是不是就一定会中招？答：不一定，但你不能直接把网口裸接公网。现在有专门的工业远程运维网关，所有远程调试的流量都要经过网关的身份校验，每次连接都有日志留痕，就算工程师的电脑中了病毒，也碰不到核心的PLC设备。千万别图省事拿个普通的家用路由器就把网口怼上去，那跟把家门钥匙垫在门垫下面没区别。

别踩坑：这几个常见的操作其实全在给风险埋雷

跑了这么多厂，见了太多为了图方便把自己置于风险里的操作，每一个都踩过真实的坑。第一个坑：工控系统的Windows版本从来不升级，觉得升了级可能导致老程序跑不起来。确实，很多跑了十几年的老XP系统，装的PLC程序一升级就报错，但你不升级的话，那些公开的漏洞早就被黑客摸透了，人家随便打个攻击包就能进你的系统。那怎么办？不是让你硬升级系统，是你把这台机器隔离在单独的网段里，不让它碰别的生产设备，就算被攻击了，影响范围也就在这一台机器上，不会扩散到全车间。第二个坑：觉得装个杀毒软件就万事大吉。很多面向办公场景的杀毒软件，为了不影响工控程序运行，会把很多可疑的进程直接加白名单，根本拦不住专门针对工控系统的勒索病毒——比如去年闹得很凶的针对施耐德PLC的勒索病毒，普通办公杀毒软件根本识别不出来。第三个坑：找个第三方公司随便做份安全评估，就觉得万事大吉了。好多小公司的安全评估就是给你写一堆通用的报告，连你车间里的PLC型号都没搞清楚，最后给你提的建议全是“加强管理”“提高意识”这种正确的废话，根本不贴合你的实际生产流程。说真的，最烦的就是那种上来就给你报几十万方案的销售，上来就说你这不对那不对，根本不管你一年的产值有多少。工业网络安全从来不是做给监管部门看的纸面材料，是真的能帮你少出事故、少赔违约金的实在事儿。今年我们给东莞的几家电子厂做落地的时候，甚至给每个车间的设备做了单独的流量监测，哪个设备突然往外发大量数据，系统马上就给车间主任的手机发提醒——别觉得这是啥高科技，用个便宜的工业流量采集器，加上开源的监测平台，一套下来也就几千块，比你等病毒扩散了再救火划算太多。