OT 和 IT 是两套网络

IT 网络怕数据泄露，OT（Operational Technology）网络怕停产。这两件事的安全目标完全不同，直接把企业那套杀毒软件、EDR 搬去 PLC 上，轻则把系统跑死，重则直接停线。早年震网病毒震掉伊朗核设施离心机，就是从 U 盘捅进 OT 网络的经典案例。

OT 安全的第一原则是"可用性优先"。任何安全措施都不能影响产线连续运行，这是它和 IT 最大的差别。
工业安全配图：盾牌包裹工厂网格与锁具，两侧防火墙屏障
纵深防御不是装一个防火墙就完事，是一层一层把 OT 包起来

这篇讲的是把 OT 网络关进笼子的具体做法：分区、白名单、加密、运维通道。

纵深防御的四层模型

行业里常用 Purdue 模型把工厂从下到上分五层：现场设备层（传感器、执行器）、控制层（PLC、DCS）、监控层（SCADA、HMI）、操作层（MES、历史库）、企业层（ERP、云平台）。安全设计就是在每层之间设门，跨层访问必须穿过防火墙和审计。

四层防御要点
  • 物理层机柜锁、门禁、USB 口封死。
  • 网络层VLAN 分区、工业防火墙、单向网关。
  • 主机层白名单、禁用不必要服务、补丁管理。
  • 应用层账号最小权限、操作审计、数据加密。

网络分区与防火墙

最关键的一步是把"办公网"和"生产网"彻底分开。生产网里再按车间、按产线细分 VLAN。跨区访问必须经过工业防火墙，规则默认拒绝，只放行已知业务。

// 典型防火墙规则（默认拒绝）
// 允许：SCADA 服务器(10.0.1.10) -> PLC(10.0.2.20) TCP 102  (S7)
// 允许：MES(10.0.3.30) -> 历史库(10.0.3.40) TCP 1433
// 拒绝：办公网(192.168.0.0/16) -> 生产网(10.0.0.0/8) 全部
// 允许：单向网闸：生产网 -> 数据中心 (只出不进)

上云场景一定要用"单向光闸"或"数据二极管"：生产数据只往外发，云端绝对不能反向写 PLC。

白名单与主机加固

OT 主机上不要装杀毒软件（会拖死实时进程），改用"白名单"：只允许已知程序运行，其他一律阻断。代表产品有 McAfee Application Control、威努特白名单。

  • HMI、工程师站只保留必要软件，Office、浏览器全部卸掉。
  • USB 口默认禁用，确需用的走审计专用 U 盘。
  • 补丁不追新，只打工业认证过的补丁，先在测试环境跑一个月。
  • 账号按角色最小授权：操作工只能看画面，工程师才能改程序。