工业控制系统安全，是保护控制设备、工业软件、通信链路及相关数据，防止未经授权的访问、修改或破坏影响生产运行。它既要保护信息，也要维持过程控制的可靠性，并考虑人员、设备和环境的安全。
落实到工厂，可以沿着“摸清资产与依赖—限制连接和权限—验证变更—监测异常—准备恢复”推进。关键不在于装了多少安全设备，而在于谁能通过哪条路径访问哪台设备、允许做什么，以及出现故障或攻击后怎样维持可控状态。
工控安全与办公网络安全有什么不同？
运营技术（OT）指监测或改变物理过程的系统与设备，工业控制系统（ICS）是其中的重要组成部分。常见对象包括可编程逻辑控制器（PLC）、分布式控制系统（DCS）、数据采集与监视控制系统（SCADA），以及工程师站、操作员站和关联网络。OT的范围更广，不能把它与PLC或整个企业信息系统画等号。
NIST《OT安全指南》第3版强调，防护要适应OT特有的性能、可靠性和安全要求。生产现场的通信时延、控制周期、设备寿命和停机窗口，都会影响措施能否实施。办公电脑可以接受的重启、扫描或软件升级，在某些控制设备上可能造成生产中断，因此需要先确认兼容性和过程影响。
对于工业互联网的网络、平台与安全体系，工控安全主要关注连接如何影响生产控制。工艺配方、控制程序、账号及生产记录同样需要保护，不能因为强调连续运行就忽略数据的保密性和完整性。
OT网络的主要风险从哪里进入？
风险不只来自互联网。临时维护电脑、移动存储介质、跨网数据接口和内部误操作，都可能改变原本以为封闭的边界。下面按进入路径与生产后果梳理，而不是只列攻击名称。
| 风险路径 | 可能的生产影响 | 首先核对什么 |
|---|---|---|
| 远程入口暴露、共享或过期账号 | 未授权人员进入维护环境，读取信息或改变设置。 | 入口是否必要，账号对应谁，权限与期限是否受控。 |
| 办公网与控制网任意互通 | 一处受影响后，问题可能扩展到其他生产区域。 | 哪些业务确实需要跨区，是否存在绕过边界控制的连接。 |
| 维护电脑、介质或更新包未经检查 | 恶意程序、错误版本或不当配置进入现场。 | 来源、使用范围、检查记录及变更审批。 |
| 旧设备漏洞、配置偏离或误操作 | 通信异常、控制逻辑变化、参数错误或停机。 | 版本与基线、厂商支持状态、变更记录和补偿防护。 |
同一个漏洞的处置优先级不能只看评分，还要看设备是否暴露、可以被哪些主体访问、承担什么工艺功能、故障后果及现有防护。例如，一台不直接联网的控制器仍可能通过工程师站被修改；只检查控制器有没有公网地址，会遗漏这条路径。
资产盘点：把设备、连接和生产依赖一起记录
CISA等机构联合发布的OT资产清单指南将资产识别、属性收集、分类和生命周期维护结合起来。对工厂而言，清单至少应能回答设备在哪里、承担什么功能、谁负责，以及依赖谁才能运行。
建议按生产区域整理设备标识、型号与版本、用途、责任人、网络位置、通信对象、维护入口、支持状态和备份位置。并非所有字段都能从网络流量直接获得，需要结合图纸、配置记录、现场核对与供应商资料。台账中不应明文保存账号口令。
盘点也要避免干扰生产。可以先核对已有文档、现场标识和受控的流量镜像；被动观察无法发现所有不通信或不在观察范围内的设备。需要主动探测时，应确认设备兼容性、测试范围和维护窗口，不能直接把通用扫描任务推到运行中的控制网络。NIST第3版附录E分别解释了被动与主动扫描的能力和限制。
分区隔离：只保留有业务理由的通信
分区是把业务作用、风险和防护需求不同的设备分组；隔离则要通过实际访问控制限制组间通信。仅创建虚拟局域网（VLAN），如果仍允许任意路由互通，就没有完成预期的访问限制。
一种常见做法是在企业管理网与OT之间设置独立的工业隔离区（DMZ），承载受控的数据交换或远程接入服务，再按工艺与风险划分OT内部区域。它是架构方法，不是要求所有工厂照搬同一张分层图。2026年发布的OT安全连接原则强调减少暴露，并让必要访问经过中介、监控和控制。
每条允许通信的规则都应能说明源、目的、所需服务、业务用途、责任人和生效条件。例如上层系统只需要读取生产汇总数据，不应因此获得直接修改控制器程序的权限。产线之间也要审视是否真有互通需要，避免一台维护电脑默认能够访问全部区域。
远程维护：管住入口、操作范围和结束后的权限
虚拟专用网络（VPN）可以为通信提供受保护的通道，但不能单独回答“这个人该访问哪台设备、可以执行什么操作”。远程维护还需要个人身份、受限权限、受控接入路径、会话记录与到期回收。对关键主机或终端、关键应用服务的访问，应按工信部指南采用双因子认证；具体实施方式还需结合设备能力和生产约束验证。
工信部《工业控制系统网络安全防护指南》要求控制不必要的互联网暴露，并对远程维护限制访问范围和授权时间、留存日志。执行时可把一次维护请求写清：人员、设备、任务、时段、现场联系人，以及哪些变更需要另行批准。
以“供应商远程诊断产线A的设备”为教学例子：先由企业确认维护任务与窗口，给指定人员分配临时权限，经受控入口进入获准的维护环境；允许访问的对象限定为本次设备，不能顺带访问产线B。诊断如果转为改程序，需要走相应变更程序。结束后核对操作记录、确认现场状态并收回权限，不能留下长期共用账号。
补丁与监测：在生产约束下持续处置风险
对补丁、终端防护和配置加固，应先确认适用版本、供应商兼容性说明及测试条件，再安排获准的实施窗口，并准备备份和回退。工信部指南第30—31项明确了漏洞跟踪、短期无法升级时的针对性加固，以及测试验证后实施补丁或加固的要求。
暂时不能更新时，需要记录原因、影响范围、负责人和复查时间，并通过缩小访问范围、关闭非必要服务或加强监测等措施降低暴露；措施应先验证不会影响必要通信。长期失去支持的设备还应进入更新计划，不能用“工控设备不能打补丁”无限期搁置。
监测应结合正常生产基线，关注新出现的通信对象、异常维护登录、关键配置或程序变化，以及安全设备失效。告警还要与工艺事件核对：换型或获准维护可能产生正常变化，单个异常流量也不能直接证明生产已被攻击。对时间敏感的控制过程，自动阻断策略尤其需要预先验证和明确授权。
应急恢复：从可用备份到可控复产
安全预案应把生产、自动化、设备、安全和信息团队的职责接起来。发现疑似事件后，按预案报告并确认现场状态，由有权限的人员决定隔离哪些连接、采用什么运行方式及是否需要安全停机；不能让缺乏工艺信息的处置人员直接执行全网断开或重启控制设备。
多国机构联合发布的OT网络安全原则把物理安全放在首位，并提出恢复时必须考虑备份是否可信、关键系统能否被验证为安全。恢复能力因此不能只用“备份任务成功”来证明。
根据系统需要保留控制程序、配置、工程项目、必要数据和恢复所依赖的软件版本、许可证及操作说明，并保护备份，避免与生产系统共用权限后同时受损。恢复测试应在隔离测试环境或经批准的窗口进行，确认备份可读取、版本匹配、依赖齐全、系统能运行，再验证工艺功能与关键保护逻辑，最后按权限批准复产。
检查工控安全是否落地，可以用几项有明确结果的验证：无权限账号能否被拒绝，跨区规则是否只允许必要通信，维护到期后能否继续访问，关键变更能否追到操作人，备份能否在受控条件下恢复。安全团队验证访问与记录，生产和自动化团队验证过程影响，双方共同确认结果，才能把安全要求落实到日常运行。
评论留言
暂时没有留言！