工业网络安全：别等工厂停线才想起补窟窿

上个月去长三角跑了三家制造工厂，听完技术负责人吐槽，后背发凉。有一家做汽车底盘零部件的，去年秋天被勒索软件加密了整条生产线的工控机，停了三天三夜，光订单违约金加产能损失就快两千万，老板肉疼到连说半年睡不着觉。之前他们的观点很典型：我的工厂不连外网，物理隔离，能出啥安全问题？谁能想到，一个运维用来拷生产报表的U盘，就把病毒带进去了。

很多工厂的安全防线，其实是纸糊的

国内现在几百万家制造业工厂，八成以上的中小型工厂，工控系统还是五六年前甚至十年前的老设备。当初设计这些系统的时候，所有人都默认工业网络是封闭的，根本没考虑过网络安全这回事。别说做分区隔离、入侵检测了，很多设备的管理密码还是出厂默认的123456或者admin，改都没改过。这几年搞数字化转型，大家都要上工业互联网，要远程看数据，要远程运维，本来封闭的工控网，硬生生撕开了口子连到了公网，藏了几十年的漏洞一下子全露出来了。

去年工信部网络安全产业发展中心发的工业控制系统漏洞抽查报告，超过六成的在用工控系统存在高危可利用漏洞，其中超过三成的漏洞，工厂根本不敢打补丁。为什么？打补丁就要重启系统，重启系统就要停生产线，停一天损失几十万上百万，谁敢随便动？说实话，很多工厂老板算账算得很明白：被攻击的概率是玄学，停线损失是实打实的，那就赌一把呗，反正轮不到我。这种侥幸心理，简直就是给黑客送人头。

现在的黑产，早就盯上工业这块肥肉了

前几年大家提起工业网络攻击，都觉得是国家级黑客干的大事件，离普通中小企业远得很。早就不是这样了。黑产已经把工业网络当成了新的提款机。你想想，工厂都是订单式生产，旺季停一天损失几十万，别说三天了，为了赶紧恢复生产，很大概率会乖乖交赎金。我前阵子看国内头部安全厂商发的半年行业报告，今年接到的工业勒索攻击求助，比去年同期涨了70%还多。有个黑客团伙专门盯着南方的食品加工厂，提前两三个月就通过办公网漏洞悄悄潜入，慢慢摸进工控网，藏在角落不声张，等中秋国庆旺季开工，直接把所有PLC程序加密，勒索百万级的赎金，一出手一个准。

你说我办公网和工控网物理隔离，总安全了吧？错。很多工厂为了方便运维拷数据，天天用同一个U盘在两个网之间来回摆渡，这不就是给病毒开门？还有很多外包的运维工程师，图方便直接用民用远程工具连工控机调试，密码存在浏览器里，一撞库全漏，黑客直接登进去就能改参数。去年还有个出事的钢铁厂，就是外包运维把远程端口直接开在了公网上，黑客搜一下就能找到，进去改了高炉的参数，差点出人命。今年上半年公开披露的工业网络安全事件就有37起，很多工厂怕影响客户信任，出事了都捂着，实际数字，估计翻两倍都不止。

工业网络安全，真不是买堆设备堆完就了事

很多工厂老板一提起做安全，第一反应就是我买个防火墙，买个入侵检测，往机房一放，这不就完事了？大错特错。工业网络和普通互联网完全不是一回事。互联网追求安全和速度，工业系统第一要求是稳定不宕机。你加的任何安全设备，只要带来几毫秒的延迟，都可能影响PLC的控制精度，出一堆次品，损失比被攻击还大。我认识一个千万吨级钢铁厂的安全主管，之前为了过合规检查，硬上了一整套安全设备，结果试车的时候轧钢线延迟了200毫秒，直接出了一炉废钢，亏了一百多万，差点被开除。

那现在到底该怎么做？其实行业里已经跑通了很多可行的方案。比如适配工业场景的轻量型零信任架构，不是上来就封死所有端口，而是按最小权限原则分配访问权，哪个运维能访问哪个设备，什么时候能访问，都卡得死死的，对系统延迟的影响几乎可以忽略不计。还有针对不敢打补丁的痛点，现在有了工业漏洞仿真验证平台，打补丁前先在1:1仿真环境里跑一遍，测试会不会影响生产，没问题再上线，彻底解决了运维的后顾之忧。

不过话说回来，不管多好的技术和设备，最后都要靠人管。我见过太多工厂，花了几百万买了安全设备，买回来往机房一扔，没人定期更新规则，没人定期扫漏洞，和没买有啥区别？很多中小企业的运维，连自己工控网里有多少台设备，都是什么型号，开了哪些端口，都摸不清楚，更别说发现异常流量了。

现在国家要求重点行业的企业定期做工业网络安全评估，其实真不是为难企业，这几年出事的太多了，小到几十人的零部件加工厂，大到几百亿的集团，只要有漏洞，黑客都不会放过。前阵子跟一个安全行业的老朋友吃饭，他说今年明显感觉不一样了，之前都是我们求着老板做安全，现在都是老板主动找过来，说隔壁厂刚停线，你赶紧过来给我查查，我出钱。早做总比晚做好，几万几十万的安全投入，比起停线一天损失几十万，真的太划算了。

毕竟，真等生产线停了，站在车间门口看着一堆工人没事干，再慌着找黑客交赎金，那就晚了。