上周去苏州一家做精密轴承的数字化车间聊，信息部的张工一见面就吐槽，说去年跟风上的所谓工业蜜罐，扔在OT网段里大半年，连个像样的扫描包都没收到——合着花了十几万买了个摆设。
很多人对工业蜜罐的认知，还停留在“把IT侧抓黑客的蜜罐IP挪到生产网段就行”的层面。这完全是两码事。
IT环境里的蜜罐，面对的是互联网上海量的随机扫描脚本，只要开个80、443端口，挂个假的登录页面，每天能收到几百次爆破尝试。但OT网段不一样，这里的流量是高度固定的：PLC发的控制报文、HMI刷的实时数据、工程师站的调试指令，每一类包的格式、来源、时间点都有规律。攻击者也不是瞎逛的，真正针对工业系统的入侵，都是先摸清楚资产清单、找好薄弱入口，再一步步横向移动。
你要是直接把IT蜜罐丢在OT网段，返回的报文全是通用TCP响应，连个真实PLC的协议指纹都没有，稍微有点经验的扫描脚本扫一下就知道是假的，根本不会浪费时间往下打。
问：我们厂之前试过把互联网上常用的开源蜜罐装在工程师站旁边，连IT侧的告警都没跳几次，是我们配置错了吗？
答：大概率是你选的蜜罐“演技太假”。OT环境里的设备是有固定脾气的——比如某型号的西门子S7-1200 PLC，开放的端口、返回的协议报文是有固定格式的，你装的开源蜜罐只会回通用的TCP握手包，稍微有点经验的攻击脚本扫一下就知道是假的，根本不会浪费时间往下打。说白了，工业蜜罐要“演得像”，得把真实设备的指纹、协议响应、甚至日常的流量波动都复刻到位，不是找个IP开个端口就算数。
。
现在针对制造业的勒索团伙，早就摸透了生产网的脾气：不会一上来就加密，先花3-7天的时间扫资产、试弱口令、摸清楚哪个网段是生产核心、哪个网段是旧的淘汰设备，等把整个内网的路径摸得一清二楚，再下手加密。这时候如果你在那些容易被摸到的“软位置”摆上工业蜜罐——比如旧HMI的IP、淘汰工程师站的空地址、第三方运维常接入的临时网段——只要有非授权的扫描包过来，就说明攻击者已经摸到内网了。
说真的，去年浙江一家做汽车零部件的厂，就是靠架在旧生产线网段的工业蜜罐，提前发现了针对MES系统的横向扫描，当时离勒索病毒加密整个生产网还有48小时，硬生生把损失压到了不到2万——要是等生产停了再反应，一天的损失都得六位数！
问：那我们上工业蜜罐的话，是不是得把车间里所有旧设备的IP都占上？会不会影响正常生产？
答：完全没必要占所有IP，更别碰正在跑生产的网段。我一般给客户的建议是，把工业蜜罐部署在OT网和办公网的边界、淘汰设备遗留的空IP段、还有第三方运维常接入的临时网段——这几个地方是攻击者最爱摸的位置。至于会不会影响生产？只要你别把蜜罐的IP和真实生产设备撞了，别开那些会触发生产联锁的写权限，连半毛钱影响都没有。上次有个客户紧张到要把蜜罐和生产网做物理隔离，其实大可不必——它本来就是个“空架子”，没有真实的生产数据，也接不进PLC的控制回路。
别信那些吹得天花乱坠的厂商宣传，我这几年踩过的坑攒出来的经验，真的比销售给的PPT靠谱多了：
✅ 别信“一套蜜罐通吃所有工业协议”的宣传。现在的工业协议五花八门，Modbus、Profinet、EtherNet/IP、OPC UA，每个协议的响应逻辑都不一样，你买的蜜罐要是连基本的协议指纹都模拟不像，还不如把钱省下来给车间买几台新的温湿度传感器。
❗ 别把告警阈值设得太高。很多厂一开始上系统，但凡有个包碰蜜罐就弹告警，没一周信息部的人就把告警通道关了——这等于白装。正确的做法是，把来自办公网、外部运维接入点的扫描行为设为高优先级告警，来自日常生产网段的正常流量直接过滤掉，别搞信息轰炸。
💡 可以把工业蜜罐和现有的OT资产台账打通。比如你台账里记着某台旧设备已经淘汰半年了，结果蜜罐发现有人在扫这个IP，直接联动资产系统把这个IP的风险等级标红，比你人工挨个盘库效率高10倍都不止。
说个丢人的事，我去年给一个化工企业做方案的时候，一开始图省事，给他们推荐了某款卖得挺火的工业蜜罐，结果上线之后发现，这玩意模拟的OPC UA服务器连基本的节点浏览请求都回不对，上线3周只抓到了两个运维的调试包，差点被客户的信息主管赶出门。后来换了个能自定义协议响应的开源方案，自己照着真实设备的报文改了2天，才终于能抓到真实的扫描流量——你看，哪有什么开箱即用的完美方案，工业场景的东西，永远得贴着实际情况调。
上周张工给我发消息，说他们把之前买的那套假蜜罐拆了，照着车间里真实的旧HMI、淘汰的PLC的报文，自己搭了三个模拟节点，刚上线一周就抓到了两次来自办公网段的弱口令扫描——就是他们公司外包的IT人员，拿着之前的运维脚本瞎扫呢。
你说这事儿闹的。
工业蜜罐从来不是什么高大上的网络安全神器。它就是个放在路边的空钱包，专门骗那些想顺手捞一把的人。你演得越像，它就越有用。你要是随便扔个塑料壳子在那，谁都能看出来是假的，那还不如不摆。
免责声明：文章内容来自互联网，本站仅作为分享，不对其真实性负责，如有侵权等情况，请与本站联系删除。
转载请注明出处：别再把普通蜜罐硬套进车间：工业蜜罐的真实落地坑位与实战逻辑 https://www.dachanpin.com/a/tg/71793.html
