水厂被攻停摆，钢厂生产线崩溃：工业网络安全为什么比你想的要命？

上个月去南京江北的化工厂做安全排查，35度的天，跟着运维王主任转了三个车间，衬衫湿得能拧出水。他一路唉声叹气，说去年隔壁园区有家做新材料的，被勒索软件锁了整条反应釜生产线，赎金要八位数，老板谈了三天，最后还是给了，不然整条线废掉，连环评都得重新做。

换十年前，谁能想到开工厂会遇到这种事？那时候工厂的控制网络，全是封闭的，别说连互联网，连企业办公网都不搭边，外来的人连网线都摸不到。现在不一样了。数字化转型喊了这么多年，远程运维要连网，生产数据要上云，供应链要互联互通，原来关起门来过日子的工业控制网，现在硬生生敞在了黑客面前。

工业网为什么原来不怕黑，现在怕得要死

很多人搞不清，工业网络和我们平时用的办公互联网，到底有啥区别。说白了，平时我们上网上班，是传数据、存文件，哪怕断网十分钟，重启一下就好。工业网络是干嘛的？是直接控制硬件的——小到机床的转速，大到电厂锅炉的温度，水厂的加氯量，全靠工业网络里的控制器发指令。

这里说的控制器，大多是PLC，说白了就是专门给工业设备做控制的小电脑，几十年前设计的时候，所有人都默认这玩意只会放在封闭的厂房里，根本不需要考虑什么安全验证，什么加密。所以你现在去看很多老工厂的PLC，连个密码都不设，只要你能连上网，就能随便改程序。

这放到封闭时代没问题，现在一联网，漏洞全露出来了。说实话，很多工厂的IT部门原来只懂管办公网，对工业控制网那套完全不熟，出了问题找设备厂商，厂商的工程师上来就远程连，连完也不改密码，相当于给黑客留了个后门。

更坑的是，很多工业设备一跑就是十几年，别说更新系统了，你敢随便停吗？停一次损失几十万，很多工厂的PLC还是十年前的老型号，厂商早就停产了，连个安全补丁都找不到，就这么裸奔着。

真出了事，到底能有多可怕

我刚入行那会，听老师傅讲过一个事，南方某城市的自来水厂，被黑客攻进去，直接改了净水环节的加氯量。要是工人发现得晚，整个城市的自来水都得超标，那后果根本不敢想。最后发现，就是水厂为了方便远程运维，把控制网直接连了互联网，端口都没做屏蔽，被黑客扫到了，直接就进去了。

前几年还有个事，某钢厂的轧钢生产线，整个控制网络被勒索软件加密了。那时候炉子里还烧着钢水呢，生产线停转，出都出不来，维修人员折腾了整整四十个小时才恢复，那损失，光钢水报废就几百万，还不算订单延误的赔偿。

你说黑客抢你啥了吗？没有，他啥都没拿，就是把你的程序锁了，问你要钱。你不给？那就一直锁着，你耗得起吗？说实话，开工厂的，哪有几个耗得起的，生产线停一天，房租人工订单违约金，加起来都比赎金多，大部分人最后都选择掏钱。

我上个月在南京遇到那个汽配厂老板，说起来就懊恼，去年外协厂的工程师来改机床程序，直接插了自己的U盘，结果带了病毒，整个车间三十多台机床全瘫了，刚好要给主机厂交订单，最后赔了两百万才了事，早知道花十几万做个安全检测，哪会出这事。

这些误区，90%的工厂都踩过

不过话说回来，现在很多工厂对工业网络安全的认知，错得离谱。第一个误区就是，我做了物理隔离，绝对安全，对吧？

物理隔离真的万能吗？你要不要外协工程师来调试程序？人家要不要插U盘拷文件？去年有统计，超过一半的工业网络攻击，都是从移动介质进来的，你物理隔离了网，防不住人带病毒进来啊。还有的工厂，物理隔离了，但是为了方便，偷偷装个4G路由器远程连，那不就是白隔了？

第二个误区，我装了企业防火墙，装了杀毒软件，不就安全了？不对。普通的IT安全设备，根本识别不了工业网的工控协议。原来工控协议比如Modbus，设计的时候根本没有身份认证，谁发指令都认，普通防火墙根本看不出来这个指令是正常运维还是黑客发的，你说怎么防？

第三个误区，我一个小工厂，没钱没名，黑客找我干嘛？黑客又不傻，现在勒索攻击都是自动化扫，只要你连了网，有漏洞，就会被盯上，不管你大厂小厂。而且小工厂抗风险能力更差，出一次事，直接就关门了，真的赔不起。

那到底该怎么做？其实也没有那么玄乎，核心就是分清楚边界，该隔离的隔离，该做监测的做监测，给所有的设备改默认密码，不要随便给陌生人开远程权限，U盘先杀毒再插，定期给PLC程序做离线备份——这些事看起来都是小事，真出事了，就能救你命。

当然也不能神化，工业网络安全不是一劳永逸的事，你买一堆设备堆那就不管了，照样会出事。安全是动态的，要定期扫漏洞，定期做演练，攻击手段天天变，你的防护也得跟着变。

现在数字化是大趋势，越来越多的工厂会连网，会上云，原来封闭时代的安全感，早就没了。很多老板觉得安全是成本，能省就省，我见过太多出事之后拍大腿的，早知道花那点钱做防护，哪会亏这么多。

这话难听，但实在。你开工厂，赚的是辛苦钱，别栽在这种本来能防的事上。