车间里看不见的炸弹：聊聊工控安全防护
你随手插的U盘，就是开了锁的城门
很多车间老师傅都觉得，我们这工控系统又不上网，哪来的黑客病毒？那都是互联网的事，跟我们造零件没关系。错得离谱。病毒才不管你连不连网，它就藏在U盘里，藏在运维人员带的笔记本硬盘里，你只要给它一个接口，它就钻进去。 上次听同行说，南方一个汽车配件厂，就是U盘带了病毒，把整条焊接线的PLC程序给锁了，开不了机，厂商过来解锁要收六位数，还得等三天，那三天停产的损失，比攒十年防护设备的钱都多。
工厂车间数控操作面板插U盘场景
你别以为只有恶意勒索才叫出事，有些普通的病毒，就会乱改你存的基准参数，你找都找不到，就像我昨天碰到的那个，偏个几毫米，你挨个查机械间隙查模具磨损，最后才想到是系统出了问题，整整浪费一下午，人工坯料钱都打了水漂。
别瞎信物理隔离就是万能保险箱
现在一提工控安全，很多车间负责人一拍胸脯：我们全物理隔离，绝对安全。物理隔离不等于绝对安全啊。隔离的是网络，隔不住人啊。 人天天进进出出，U盘天天插来插去，运维人员的笔记本有时候要接办公网拷图纸，转头就接工控机调试参数，这不就是悄悄把两个网连起来了？很多厂的所谓防护，就是装个落灰的杀毒软件，病毒库还是好几年前的，能防住什么新病毒？说白了就是摆给安检查的样子活。 还有那些用了十几年的老工控系统，本来设计的时候就没考虑安全这回事，漏洞一堆，厂商早就停产停更了，你就算想补漏洞都找不到补丁，硬打补丁还容易把整个系统搞崩，更麻烦。
工厂工业控制网络安全隔离示意图
我见过最离谱的，为了方便外地厂商远程调试，直接把工控网挂到了公网上，连个登录密码都不设，这不就是把自家保险柜密码写在工厂大门的墙面上吗？谁都能进来逛一圈。
做防护不是堆设备，要贴著现场走
做防护不是堆设备，要贴著现场走
很多人觉得工控安全防护就是买一堆贵得吓人的防火墙，堆在机房就完事了，其实根本不是这么回事。对于大部分中小加工厂来说，权限分级加专用存储，才是成本最低效果最好的防护手段。 什么意思？第一，所有往工控机插的存储设备，全部专用U盘专用，不许用私人U盘，不许用拷过其他地方文件的U盘，每次用之前先查杀，固定专人保管，不用的USB口直接封死，从源头断了来路。 第二，权限给我卡死，普通操作工只能调个进给速度、调整生产计数这类基础参数，改程序、下程序的核心权限，只有班长或者专门的维修师傅才有，密码定期换，权限钥匙随身带，不会谁都能碰核心程序。 第三，如果真的需要办公网往工控网传数据，就在两个网之间加个单向传输装置，只能工控网往外出数据，不能反过来进，就算办公网沾了病毒，也钻不到工控网里面来。
说实话，这些操作花不了多少钱，比你出事之后停产抢修、赔损失划算一万倍。昨天修完那台冲床，我跟老板说，回去赶紧给所有车间定规矩，把不用的USB口全封了。老板点头点得像捣蒜，说这次亏的钱够买一百个专用U盘了。 很多事就是这样，出事之前都觉得是无关紧要的小事，谁能想到一个几块钱的U盘，能搞掉几十万的产能。工控安全防护，防的从来不是遥不可及的黑客，就是你我每天随手做的那些小事。
