工业网络安全：你家楼下奶茶店的制冰机，可能比你公司的OA系统还容易被黑

上个月去苏州工业园蹲点，帮一家做预制菜的工厂做安全排查。

刚进车间，我盯着墙上那个连着生产网的控制屏愣了三秒。

屏幕旁边，伸出来一根WiFi天线。

问车间主任，这WiFi是干嘛的？

哦，给老板传监控视频的，方便他在外地出差的时候看车间有没有人摸鱼。

密码呢？

啥密码？没设啊，信号好。

我当时真的差点把手里的测试设备掉地上。

别拿OT当IT：差的那点距离，可能是炸掉整条生产线的缺口

很多人对工业网络安全的认知，还停留在“我们工厂又不存什么用户身份证信息，黑客来干嘛”。这就是把OT（运营技术）和平时接触的IT（信息技术，比如办公电脑、OA系统、企业邮箱）搞混了。IT网络被攻破了，大不了就是文件加密锁了，员工邮件发不出去，修个两三天，业务不会塌。但OT网络呢？这里连的是控制传送带的开关、冷库的温度传感器、调配原料的阀门、给锅炉送气的管道。一旦被黑，不是文件丢了的事——是整条线直接停。

去年邻市有个做汽车零部件的厂，就是因为生产网里混进了勒索病毒，把控制涂装机器人的程序全锁了。整条线停了3天，光待工工资加给主机厂的订单违约金，够给全厂区换三套最顶级的防护设备。

为啥大家对OT的防护这么不上心？说白了，很多车间里的设备，都是十几二十年前装的。那时候谁能想到，这些连个显示屏都没有的铁疙瘩，有一天要联网？就像那个预制菜厂里的冷库温度传感器，2012年采购的，用的是连基本身份验证都没有的Modbus通讯协议——说直白点，这个协议就像老式弄堂里的公共水龙头，谁都能拧开，谁都能往水管里灌脏东西。

很多厂为了省成本，根本不给这些老设备做隔离，直接把它们连到生产网上。更有甚者，为了方便远程抄个表、调个参数，直接把设备端口暴露在公网上。上次我扫到一个做饲料加工的厂，他们的粉碎机控制端口，连密码都没有，全球任何人都能发指令让机器转或者停。你说这要是被人恶意搞一下，一车间的料全糊在机器里，损失算谁的？

那些被吹上天的防护方案，为什么在车间里经常不好使

说个很真实的吐槽。很多安全厂商推给工厂的防护产品，本质上还是给IT网络做的那套。就像你给天天在工地踩泥的工人，送了一双亮面的正装皮鞋。好看是好看，走两步就磨破脚。

之前碰到个做食品加工的厂，花了大价钱装了台大牌防火墙，结果刚上线就把生产线的实时通讯给拦了。温度传感器的数据传不到控制屏上，冷库的温度一路飘到零上10度，差点把存了两吨的牛肉全放坏。车间主任追着厂商的工程师骂了整整一下午。

为啥会这样？因为普通的防火墙根本不认OT网络里跑的那些老协议。它只知道“这个数据包是陌生IP发的，拦了”。但它不知道，这个数据包其实就是隔壁车间的传感器发过来的温度值，是生产线正常运行必须的。

真正好用的工业网络防护，从来不是上来就把所有网都掐断。第一步永远是先摸清楚整个网络里到底有啥——哪个是温度传感器，哪个是控制传送带的PLC（就是给生产线发指令的小电脑），哪个是用来抄电表的终端。然后基于白名单机制做管控：只有这些已知设备之间的正常通讯是被允许的，任何陌生设备发过来的数据包，直接拦在门外。

说个最容易被忽略的细节。很多车间的工人，图方便，会把自己的私人U盘插到控制屏上，拷生产报表、存排班表。这个U盘要是带了病毒，那等于直接把生产网的大门给撬开了。之前某省的一个水厂，就是因为检修工插了个带病毒的私人U盘，导致整个供水控制系统瘫痪了大半天，半个城区的居民停了水。你说冤不冤？

最容易踩的认知坑：装了防护，就等于百分百安全

每次碰到工厂老板，说“我们去年花了几十万上了防护系统，现在安全得很”，我都忍不住要多问两句。

真的，哪有什么一劳永逸的安全啊。上次去那个做奶茶原料的厂做复查，发现给供应商留的远程维护账号，居然还是默认的123456。这个账号是当初卖设备的工程师留的，用来远程调试搅拌机的，从装好到现在，快两年了，从来没人改过密码。你想啊，这个账号的权限大到能直接控制搅拌机的转速，密码就这么随便放着，和你家大门的钥匙挂在门框上有啥区别？

还有的厂，为了做数字化转型，要把生产数据传到云端，要在手机上看实时生产进度。这时候最忌讳的，就是为了方便，直接把生产网和互联网打通。正确的做法是架一道单向数据传输的通道——数据可以从生产网传到管理网、传到云端，但是外面的任何指令，绝对不能顺着这个通道进到生产网的设备里。

之前有个做精密轴承的厂，一开始想把所有生产网全物理隔离，说这样最安全。结果车间主任跟我抱怨，说以前在手机上就能看的生产进度，现在要跑三楼的控制室去查，一天跑十几趟，腿都细了。后来给他们搭了单向传输的通道，数据往外传没问题，外面的包进不来，两边都满意。

其实哪有那么多高深的黑科技啊。

工业网络安全说白了，就是给那些天天在车间里转、连个正经屏幕都没有的老设备，穿件合身的防护衣。

别等哪天生产线停了，冷库的货全化了，供水中断了，才想起来当初怎么就懒得给那个老传感器改个密码。

对了，上次那个预制菜厂的老板，听完我排查的结果，当天就把那个没密码的WiFi给关了。

挺好。

毕竟谁也不想，自己花了几百万建的生产线，栽在一个没设密码的WiFi上。