炼厂中控室被锁三天后，我才懂工业网络安全不是办公杀毒那套

去年国庆前接了个急活，去苏北一家地方炼厂调新上的生产数据采集系统，刚下高速就被接去了中控室，进门就感觉空气不对，所有人都耷拉着脑袋，厂长把烟屁股按在矿泉水瓶里，说来了个东西，把我们所有控制PLC都锁了，要三百万比特币赎金。

我当时第一反应就是勒索病毒，可工控系统怎么会中这种玩意儿？查了整整三天，最后根儿找到了——一个过来做阀门校准的第三方工程师，带的U盘插过自己办公电脑，沾了毒，插工控机拷校准数据的时候，就这么悄咪咪进去了。

那三天全厂只能靠手动控回路，压力超了就人工开阀门，温度高了就降进料，所有人轮班盯，连中秋都没回家过。最后花了一百八十多万找专业公司解密，加上停工损失，小一千万打了水漂。本来只需要几十万就能防住的事儿，就因为侥幸，亏了底掉。

别拿互联网安全那套套工业网

我们平时聊网络安全，大多是互联网的那一套：偷用户数据、盗账号密码，最多就是网站崩了重启，大不了损失点流量。工业网不一样，它一头连着的是几十米高的压力罐，是每分钟几千转的汽轮机，是几百度的反应釜。中控室动不了，调不了压力切不了回路，真出点事，可不是赔钱那么简单。

放在十几年前，工业控制网络都是完全孤立的，不连外网，甚至不和办公网搭边，那时候基本没什么安全问题。现在不一样了，都在搞数字化转型，都要把生产数据拉去云端分析，都要远程改参数远程维护，网一打通，原来藏着的窟窿全露出来了。

很多工厂里核心的工控设备，都是用了十好几年的老伙计，原厂早就停产了，连系统补丁都找不到。你要停机打补丁？开什么玩笑，一座中型炼厂停一天，水电加产能损失就是大几十万，老板肯批这个钱吗？大多都是能拖就拖，能混就混。

我见过最夸张的，一家食品加工厂的灌装机控制系统，还跑着Windows XP，微软停止更新快十年了，工程师说换系统机器就认不出来驱动，只能这么凑合用，连杀毒软件都不敢装——装了卡得机器动不了，只能裸奔。

工业网络安全防的到底是什么

我碰到太多工厂老板，一说起工业网络安全，第一反应就是砸钱买最贵的防火墙、装最高级的杀毒，不就完了？说实话，真没用。你想啊，这次炼厂的病毒，是从内部U盘直接插进核心区的，防火墙挡在网络入口，它能挡住人手里的U盘吗？

百分之八十以上的工业安全事件，根源都不是远在天边的黑客，就是近在眼前的人或者流程漏洞。这个概率比远程黑客攻击高多了，可大多数人偏偏就忽略了这块。

还有更离谱的，我前年去一家化工厂做评估，发现他们把远程维护的端口直接挂在公网上，密码还是出厂默认的123456，问为什么不改，工程师说每次维护接VPN太麻烦，老板又不懂，只要能远程调参数就行，谁管安全啊。

当然也不是说黑客不会来，去年帮一家光伏企业排查漏洞，发现核心生产工艺的参数已经被偷走大半年了，对方蹲在他们网络里蹲了快一年，慢慢把最优配方的数据转出去，直接卖给了竞争对手，损失多少，根本算不清。

说白了，工业网络安全就防三样：防外人偷东西搞破坏，防内部不小心带毒闯祸，防第三方供应商留的后门。一样都漏不得。别觉得我小厂子没人看上，黑产现在都是自动化扫网，你有漏洞就会被盯上，跟你规模大小没关系。

做工业网络安全，顺序比价格重要

我见过太多厂子，上来就招标买几百万的安全设备，堆在机房吃灰，运维连告警信息都不会看，出了事还是抓瞎。其实真不是越贵越好，找对顺序比什么都重要。

我每次给工厂做方案，第一个要求就是先把全网图画出来，哪块管核心反应，哪块管仓储打包，哪块连办公上网，分清楚。然后把不能停、出了事会出大事的核心区，单独圈出来，切断所有非必要的连接。这个办法最老，也最有用。

比如办公网要拿生产数据，中间加个单向数据摆渡，只能生产网往办公网传，办公网的东西根本进不去核心区，这不就安全了？花不了多少钱，比你买一堆没用的设备有用多了。

很多人说，隔离了还怎么数字化转型？数字化不是把所有东西都绑在一块，是该连的连，该断的断，你不能为了拿几个分析数据，就把整个厂子的安全都搭进去，对吧？

还有就是流程管人，所有进核心区的U盘必须登记杀毒，第三方工程师进来干活，必须有本厂的人陪着，不许随便插自己的存储设备，这个制度几块钱就能落实，比什么高级设备都管用。哦对，还有那个误区，很多人说我过了等保就万事大吉了，不对，等保是底线，不是终点，你过了之后大半年不扫漏洞不改配置，该漏还是漏。得时不时拉着人练一遍，真出了事，能不能十分钟断网，能不能切手动应急，能不能把损失控制在最小，这个才是真本事。

说实话，我干这行快十年，见过太多出事的厂子，九成都是侥幸心理害的，觉得我十几年都没事，怎么会轮到我？真等中控被锁了，炉子停了，才拍大腿说当初怎么没做。工业网络安全说白了，就是给你的厂子上一把靠谱的锁，别嫌麻烦别舍不得那点钱，真等门被撬开了再补锁，就晚了。