上周去江浙某汽车零部件厂做现场排查，安全负责人一见面就拍桌子骂——上个月刚花大价钱上了和总部办公网同款的下一代防火墙，结果产线的PLC通信延迟直接飙到120ms，整条冲压线停了4小时，损失快七位数。
说实话，这种事我见太多了。
很多人对工业网络安全的认知，还停留在“给设备装个杀毒软件、加个防火墙”的层面。但产线不是办公室。你对着电脑弹个广告顶多耽误5分钟。对着正在运行的机床弹个安全验证弹窗，那可是能出安全事故的。
最容易被忽略的“隐形后门”：老旧设备的通信协议裸奔
90%以上运行超过10年的制造类工厂，产线上的控制器都还在用没有任何加密机制的老通信协议。Modbus RTU、S7comm、Profibus这些协议从设计之初，就根本没考虑过网络安全的问题——数据在网线上传的时候，是完全明文的。
你只要在产线的接入交换机上插个U盘大小的流量采集设备，就能直接读到所有PLC的实时运行参数，甚至能直接给控制器下发修改工艺参数的指令。之前接触过一家做精密轴承的厂子，就是因为产线的交换机没设端口隔离，被内部离职的员工连上去改了磨床的进给参数，整批高精度轴承全部尺寸超差，直接报废了小半仓库的货。
别信那些上来就让你全换设备的供应商，纯纯割韭菜。
问：我们厂的老设备都是十几年前买的，根本不支持加密协议，难道为了个安全就要全换？那成本谁担？
答：真不用全换。你可以在OT网络和IT网络之间加个专用的工业协议网关，把所有跨网的通信流量做协议转换和白名单校验——只有预先报备过的指令才能跨网传，其他的全拦。通常一套网关的成本，还不到换一台中型PLC的三分之一。
对绝大多数中小制造企业来说，把网络白名单做扎实，就已经挡住了80%的潜在风险。真没必要上来就堆什么高级威胁检测、大数据分析的花架子，那些东西在产线上的实用性，远不如把哪些IP能访问哪些设备的规则理清楚来得实在。
别乱开远程运维端口——这是现在OT侧被入侵最多的入口
做了这么多现场排查，我发现一个很有意思的现象：几乎没有哪个黑客是直接攻破了企业的核心安全边界进的OT网，全都是顺着开在公网上的远程运维端口摸进来的。
我之前去一个汽配厂排查，光在出口防火墙上数到的开放的远程端口就有17个，分别给不同的设备厂商留的，每个端口的密码都是设备商初始设置的，连管理员自己都记不清哪个端口对应哪个厂商。我当时看着那个配置列表，后背都冒冷汗。
很多设备厂商为了省上门的差旅成本，会要求工厂在出口防火墙开个VPN端口，远程直连到产线的控制器上做调试。去年有个做休闲食品加工的厂子，就是因为设备商给的运维账号是初始密码“123456”，被全网扫端口的机器人盯上，直接把灌装机的温度参数改到了设定值以上，整批待灌装的果酱全部结块报废，损失了快两百万。
问：设备厂商每次调试都要跑现场，差旅费一年下来快几十万，全靠远程运维省成本，这端口不开真不行？
答：不是不让开，是别直接把端口暴露在公网上。你可以用带双因子身份认证的零信任工业接入平台，每次运维的连接都要做人员身份校验、设备权限校验，所有操作全程录屏存证——就算账号漏了，没有对应的动态验证码，黑客根本连不上。
💡 提个醒：很多工厂觉得“我们就是个小厂子，黑客根本看不上”，别天真了。现在扫公网端口的机器人24小时不停，只要你有个没设密码的开放端口，最多3天就会被扫到。
安全合规不是做纸面台账——产线的安全策略真的要跑一遍
我见过太多企业，为了过等保测评，花几万块找咨询公司做了厚厚的安全台账，上面写着“OT网络与IT网络完全物理隔离”“所有设备定期更新补丁”，结果现场一查，产线的交换机上直接牵了根网线到行政部的办公网，就为了方便行政人员把产线的生产报表拷到自己电脑上做月度汇报。
这种隔离做了跟没做有什么区别？
- ✅ 每季度拉一次全网络的拓扑图，把所有连在OT网络上的设备列出来，别漏了那些藏在机柜最里面的老交换机、临时牵的网线
- ✅ 每半年做一次离线的渗透测试——注意是离线，别直接在运行的产线上扫，容易把设备扫宕机
- ❗ 别把给办公网做的安全策略直接拷到OT网上用，什么自动更新补丁、自动弹窗提醒，这些操作在产线上分分钟能出生产事故
我见过太多企业，在工业网络安全上花了几百万，最后还是因为一根临时牵的网线、一个没改密码的运维账号被入侵。钱花了，事没办成。
说穿了，还是没搞懂工业网络安全和普通办公网安全的本质区别。
办公网安全的核心是防数据泄露。
OT侧安全的核心是保生产连续。
这俩目标，从根上就不一样。