工业网络安全：在OT的沉默里听见裂缝

某化工厂的DCS操作站被插了U盘。不是员工恶意——巡检需要导出趋势数据。安全部门要求封USB口。生产部门说封了就得手工抄表，抄错一个数，整批料报废。停线。三分钟。损失七位数。

我挺烦这种一刀切。说实话，OT安全的底线原则是可用性优先，不是保密性优先。但很多方案还在照搬IT那套：打补丁、上防火墙、做渗透测试。产线工程师看了直摇头。对吧？你总不能为了验证一个漏洞，把高炉停了。

边界早就不是那台防火墙了

IT/OT融合喊了这么多年，边界在哪？远程运维、云平台、移动APP、供应商远程诊断——每开一个口子，防火墙后面就多一条暗道。某水厂在边界部署了下一代防火墙，策略配得挺细。结果呢？攻击者用Modbus写功能码直接改加药量。防火墙认得IP和端口，认不得功能码。因为工控协议大多没有认证机制，Modbus TCP的写寄存器指令和读指令长得一样干净。

所以深度包检测成了刚需。不是看五元组，是看协议语义。但这里有个坑：DPI引擎对私有协议的解析依赖厂商文档。文档不全，解析就靠猜。猜错了，要么漏报，要么误杀正常指令。误杀一次，产线停半小时。工程师就把DPI旁路了。你猜怎么着？旁路之后再也不开了。

不过话说回来，边界模糊不是坏事。它逼着你承认：没有内网。只有一堆信任等级不同的区域。IEC 62443的zone和conduit模型比“内外网”二分法靠谱。但落地时别搞成画图比赛——我见过一份安全域划分方案，画了十七个zone，现场连交换机端口都数不清。条件限制很清楚：分区粒度受制于现有网络拓扑和运维习惯，不是越细越好。

PLC不会撒谎，但它的固件会

设备层才是真正的深水区。PLC固件更新周期动辄五到十年。默认口令？出厂就有。工程软件带硬编码凭证？某品牌被曝过。这不是漏洞扫描能扫出来的——扫描器发个畸形包，PLC直接死机。现场谁敢扫？

震网不是孤例。它只是第一个被公开的。后来的Industroyer、Triton，攻击目标从离心机转向安全仪表系统。Triton的恶意软件直接改SIS逻辑，让安全联锁失效。这已经越过了“数据泄露”的范畴，是物理伤害。但多数工厂的SIS和DCS之间连单向网关都没有。为什么？因为SIS厂商说加网关影响响应时间。响应时间重要还是安全重要？这是个伪命题。你得看工艺条件：某些高速联锁确实不能加网关，那就得用硬接线或者独立传感器。没有万能方案。

固件逆向和协议模糊测试是研究手段，现场不能用。折中办法是数字孪生加硬件在环。把PLC程序灌进仿真器，跑模糊测试。但孪生模型精度不够——时延、抖动、扫描周期竞争条件——漏掉的漏洞比找到的多。我见过一个案例：仿真环境里PLC响应稳定，实际现场因为背板总线负载高，一个异常帧就导致看门狗复位。所以数字孪生只能做筛选，不能替代现场验证。现场验证又得安排停机窗口。死循环。

远程运维的甜头与代价

风电场喜欢远程运维。山高路远，爬一趟塔筒两小时。装个4G路由器，VPN连回总部。方便。但某风电场的安全审计发现：路由器默认密码没改。攻击者扫到公网IP，登进去，没动风机——只是把历史功率数据改了。结果功率预测偏差，被电网罚款。攻击成本极低，破坏效果很刁钻。

零信任在OT的适用边界在哪？不是所有PLC支持802.1X。老设备连SNMP都不开。所以别硬套。可行的路径是网络微隔离加单向网关。微隔离把运维终端和控制器隔开，只放行特定会话。单向网关让数据只出不进。但单向网关影响运维效率——工程师要看实时画面，反向控制指令过不去。那就分级：只读运维走单向，写操作走带审批的跳板机。审批流程别搞太复杂，否则工程师会自己拉一条4G路由器。你堵不住。

韧性设计：承认会坏，然后呢

合规驱动有个毛病：过了等保2.0，老板觉得万事大吉。但等保是基线，不是终点。IEC 62443的SL等级也一样。真正的问题是：坏了之后多久能恢复？降级运行模式有没有？人工接管预案练过没有？

某汽车厂部署了冗余控制器。硬件冗余，热备切换。听起来很稳。真故障时切换失败——备件固件版本和主件差了两个小版本。配置管理没跟上。所以冗余硬件的可靠性不如配置一致性。你买再贵的PLC，固件版本对不上，切换就是赌博。

韧性还包括异常行为基线。OT安全运营中心现在挺热。但产线工程师不信任频繁告警的系统。误报率超过百分之五，系统就被静音了。所以基线建模得用工艺参数，不是纯网络流量。比如加药泵的电流曲线突变，比某个IP发起的连接数突增更有意义。但这需要OT和IT坐在一起调阈值。坐在一起？很多工厂连组织架构都是分开的。

趋势呢？被动资产识别在落地。不发包，旁路镜像，靠协议指纹识别设备型号和固件版本。比主动扫描安全。但识别不了加密流量里的私有协议。所以还得配合人工台账。台账别用Excel——版本一多，谁也说不清哪台PLC跑的是哪个程序。

再讲个反例。某厂上了工控安全监测平台，告警天天响。安全部门要求封禁源IP。结果封的是工程师的运维笔记本。因为笔记本中了挖矿病毒，一直在扫描内网。但工程师说那台笔记本是离线编程用的，不能封。吵了两周。平台被关了。

所以别问“工业网络安全怎么做”。问：你的运维流程里，谁有权在不停线的情况下改防火墙策略？答不上来，买再多设备也是摆设。