工业零信任架构：别拿办公室的安全方案硬闯生产车间

去年去长三角某汽车焊装车间做调研，客户的信息部主任拍着控制台跟我吐槽：去年照着网上抄的零信任方案上了一套，结果把PLC的正常握手流量给拦了，整条线停了42分钟，损失快两百万。你说这叫什么事？很多人现在一提工业零信任架构，第一反应就是把互联网公司那套”永不信任、始终验证”搬过来，给每个设备装agent，每次访问都弹权限校验。完全忘了OT环境里跑的是什么——是响应延迟要求毫秒级的PLC，是断网了也能连续跑三个月的老旧传感器，是连TCP/IP协议都没跑全的老式数控系统。

别踩坑：OT环境的零信任和IT侧根本不是一回事

💡 先给个最基础的认知差：IT系统宕机最多影响员工办不了公，OT系统宕机是真的要出安全事故、真金白银赔的。 IT侧的零信任逻辑是”人-设备-应用”的三层校验，所有终端都在可控范围内，延迟要求最高也就百毫秒级。OT侧的逻辑完全反过来：首先要保生产连续，其次才是安全。你总不能因为要做安全，把跑了十几年的生产线停了来做改造吧？

你给运行了12年的西门子S7-300PLC装安全agent？门都没有。那个PLC的固件版本还停留在2018年，你装个监控agent直接占满它的内存，程序跑飞了谁担责？问：我们厂现在跑的都是服役超过10年的老旧OT设备，根本装不了安全客户端，难道就不配做工业零信任架构了？答：当然不是。现在主流的OT侧零信任根本不要求给生产设备装agent——靠网络侧的流量镜像做无代理识别就行。你把交换机的SPAN口流量引到零信任分析平台，平台自动识别哪个IP对应哪个PLC、哪个是扫描枪、哪个是数据采集网关，所有访问规则直接在网络边界和核心交换机上配置，碰都不碰生产设备的系统。去年我们给山东某轮胎厂做的项目，全厂120多台服役超10年的老设备，零改造上线，从来没影响过生产节拍。

真正落地的工业零信任架构，第一步根本不是上设备

见过太多厂商上门，上来就给客户报个几百万的方案，让客户先把零信任网关、分析平台全买了，再谈改造的事。结果呢？很多厂连自己的OT网络资产台账都不全——哪个网段连着注塑机，哪个私接的WiFi连了生产网，哪个供应商的远程账号一年都没改密码，一概不知。这时候把网关切过去，规则配错，直接断生产。 ❗ 见过最离谱的案例：某食品加工厂做零信任改造，规则配错把车间温湿度传感器的上报流量拦了，车间里38度，发酵罐的温度飘了两度，整批8吨的酸奶全部报废，赔了客户两百多万。

现在国内头部制造企业做工业零信任架构，第一步全是先做3个月的离线资产测绘： – 所有OT网段的IP、设备类型、固件版本、开放端口全部摸清楚，连哪个车间的运维笔记本私接了生产网都列出来 – 把所有的异常访问流量先标出来：比如本来应该从MES服务器发往PLC的指令，突然从办公网的一个笔记本发过来了，直接告警 – 把所有跨区域的访问规则先列成白名单，比如从集团总部要访问车间的SCADA系统，必须走专用的零信任通道，不能直接从公网拉VPN 问：我们厂已经上了传统的工业防火墙，是不是就算做完工业零信任架构了？答：差得远。传统工业防火墙是基于端口和IP的静态规则——只要你是从允许的IP过来，不管你是运维工程师还是刚拷了病毒的U盘，都能畅通无阻访问。工业零信任架构的核心是做基于身份的动态访问控制：就算你从允许的IP过来，如果你是要访问核心PLC的参数修改权限，平台还要校验你现在的登录身份、你的操作权限、甚至你当前的操作场景——比如你半夜两点没人的时候要改PLC参数，系统直接给你拦了，触发双人审批，根本不给勒索病毒留横向移动的空间。

别被厂商忽悠：工业零信任架构的投入根本不需要一步到位

很多厂商现在都在吹”全域零信任改造”，让客户一次性把全厂区的网络全部推翻重来，投入动辄几百万上千万。说实话，真没必要。你完全可以分阶段推进： ✅ 先把核心的PLC、SCADA服务器、Historian数据库的访问通道用零信任管控起来，这部分占整个OT资产价值的70%，投入可能只需要全厂区改造的20% ✅ 先把远程运维的通道全部切到零信任平台——以前很多厂的设备供应商远程运维都是直接开VPN，密码一年都不换，这就是勒索病毒最容易钻的空子，把这部分管控住，能挡掉80%的外部入侵风险 ✅ 分批次把非核心的设备、老旧的传感器逐步纳入平台，根本不需要一开始就追求100%覆盖不过话说回来，也别觉得工业零信任架构是遥不可及的东西。现在很多做的好的工厂，从最开始的远程运维通道管控，到后来的核心区访问控制，前后花了两年时间，慢慢把整个网络的安全边界搭起来，从来没因为改造影响过生产，去年的勒索病毒攻击潮里，隔壁厂都被加密了生产文件，他们厂连个告警都没出。别等被病毒堵了生产线、赔了几百万的损失才想起做安全。真到那时候，你就算把零信任平台堆成山，也换不回停线的时间。