等保2.0工控系统安全加固指南：从边界防护到设备审计

1. 等保2.0下的工控系统加固，为什么这次和以前不一样

"工控系统、等保2.0、安全加固方案"这三个词放在一起，基本就是近两年工控安全圈里最常听到的组合。2019年12月1日，GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》正式实施，最大的变化之一就是把工业控制系统单独纳入了等级保护范围，作为专门的扩展要求。过去我们常说工控安全靠"物理隔离+没人碰"来保平安，现在这套逻辑已经行不通了。PLC、DCS、SCADA、HMI这些设备和网络，必须正式面对等保2.0这把尺子。

这篇内容来自我本人在化工、钢铁、能源行业多个工控等保加固项目里摸爬滚打的实际经验。我梳理了一份可以直接套用的加固思路，从网络架构、设备加固、协议审计、管理流程四个层面展开，也会把实施过程中容易踩的坑和教训单独拿出来说。适合甲方自动化/信息中心的主管、安全集成商实施工程师、测评机构的新手测评员做参考。整篇不追求堆砌术语，重点是把手上的活儿说清楚。

1.1 等保2.0给工控系统增加的"硬指标"

等保2.0相较于等保1.0，不只是把名称从"信息安全"换成了"网络安全"。更实质的变化是标准体系里新增了云计算、移动互联、物联网、工业控制系统等扩展要求。拿工业控制系统来说，新标准把安全要求覆盖到物理环境、网络通信、区域边界、计算环境、安全管理体系等多个层面。其中有几个要求，对甲方和集成商来说是完全新鲜而且棘手的。

第一，安全区域边界。过去工控网络和企业办公网之间经常只隔着一台二层交换机，甚至直接网线互通，现在必须做安全分区和边界防护。等保2.0要求工控系统与企业信息系统之间应采用访问控制设备实现区域隔离，并且要有明确的访问控制策略。这个要求直接推动了OT和IT的分家。

第二，通信网络防护。工控系统的业务流量通常跑着Modbus/TCP、S7comm、OPC UA、DNP3这些工业协议，其中大量协议本身没有认证和加密机制，等保2.0要求对工控网络采取防攻击、防嗅探的措施。例如在关键网段部署工控安全监测系统，对工控协议做深度解析和异常检测，这是等保1.0时代提都没有提过的。

第三，设备计算环境加固。PLC、DCS控制器、HMI、工程师站全部纳入检查范围。常见要求包括：禁止使用默认口令、对账户权限进行分离、关闭无用的端口和服务、加强恶意代码防范、做好配置备份和恢复。说白了，过去PLC密码设为123456没人管，现在抽查到就是直接扣分项。

第四，安全管理要求。等保2.0对安全管理制度、应急预案、安全培训、运维审计提出了非常具体的要求。尤其要注意审计要求，日志要留存不少于90天，实际测评中很多机构会要求半年以上，并且要保护审计记录不被删除、修改或覆盖。很多老工程师跟我说"我们这设备根本记不了日志"，这是各厂家和集成商要动脑筋的地方——通过上位机采集或旁路监测设备来补齐审计能力。

1.2 先摸清家底：没有拓扑、没有资产清单，加固就是盲人摸象

我在项目里见过不止一次，客户拿着一张画了很多年、连工程师站IP都标错的拓扑图，就让我们开始加固。结果做边界策略的时候，把生产线上关键通讯给切断，直接造成产线停工。所以我坚持，任何加固项目的启动动作一定是资产调研。

第一步是把网络拓扑画清楚。大网段是怎么分的，从核心交换机到控制网的接入交换机，再到每台PLC、每个HMI、每台工程师站的物理位置和IP地址，都要落到图上。这是个脏活累活，但必须做。大多数时候我会带实施人员到现场，逐台设备确认连接关系，而不是光靠一张老图对照着看。

第二步是识别节点类型和业务流量。要知道哪些是PLC、哪些是DCS控制器、哪些是HMI，它们之间走的是什么协议、什么端口。如果是在生产期间，不建议直接对PLC网段跑大规模扫描，扫描器发出的TCP探测很容易让老式PLC的CPU负荷上升，甚至死机。稳妥的办法是，找一个停机检修窗口，同时结合交换机端口镜像，用流量分析把所有业务会话摸清楚，再整理成一张业务白名单清单。

第三步是清点薄弱点。默认口令、暴露在外的维护接口、私自接的Wi-Fi、光驱和USB口、随意接入的笔记本电脑等等，全部记录成问题清单，之后按等保要求的优先级排序，形成加固计划。

等保2.0的落地从来不是"买一堆安全设备装上就完事"。不把资产和拓扑搞清楚就开始上设备，大概率会把隐患当成安全来加固，越加越乱。

2. 网络架构加固：分区隔离是第一步，也是决定性的一步

2.1 OT和IT必须分家，别指望那台"办公内网"交换机

很多老厂的工控网络是历史原因长歪的：管理网、MES网、控制网在同一台交换机上，服务器和PLC之间只靠VLAN隔离，甚至有工程师直接拿一台笔记本从办公桌网线插到PLC调试口。这种结构在等保2.0下是注定过不了测评的。

加固的第一步，是把工控系统的控制区域和企业办公网/MES网从二层和三层同时切开。标准的做法是，在生产网和企业网之间部署工业防火墙或具备深度包检测能力的边界防护设备，把非授权的跨区访问全面阻断。

举例来说，MES要读取PLC数据，常见流量是OPC UA或Modbus TCP。正确的规则应该是这样：只在源和目标之间放行明确的工作端口，比如Modbus TCP的502、OPC UA的4840，其余全部拒绝；同时对应用层做解析，仅允许合法的数据读取指令，尽量禁止写入、重启等操作指令。这比单纯做IP加端口控制要有效得多。

特别要注意的是，所有跨区访问都必须经过受控的边界设备，不要在边界设备旁边再加一条"临时网线"。这种临时线九成会一直留在那里，成为安全链条上的后门。我在项目里见过最典型的案例，客户说装了工业防火墙做了隔离，结果数据库服务器为了同步数据偷偷接了一条网线，直接把隔离变成摆设，最后被测评机构查出来，整改通知单写得相当难看。

2.2 厂区内部也要"分区、阶级、分层"，不能一个扁平大网段走天下

等保2.0对工业控制系统的区域划分，提倡"安全域"的概念。实际落地就是按照"企业网络、监控网络、控制网络"三个层级来切分，控制层级越高，对外暴露面越小。

我在项目里习惯把网络分成几个区域：

每个区域之间用工业防火墙或交换机ACL做边界。区域内部还可以根据装置、车间继续划分微段，避免一个车间被攻破之后横向扩散到全厂。有些大型化工项目，甚至会在关键装置的控制网之间建立纵向认证和加密通道，这更贴近电力监控系统的纵向加密模型，但思路是通用的。

还有一个很关键的细节：远程维护通道。很多工控系统开了远程维护拨号或专线通道，在测评里往往被视为高风险。我的处理方式是，远程维护必须走独立的加固通道，启用双因素认证，运维操作全程录屏审计，维护窗口结束立即关闭。这个问题处理不好，整个边界加固的成效都会大打折扣。

2.3 边界设备怎么选：工业防火墙、网闸、路由器，别买错型号

在工控环境里，普通IT防火墙往往不合适。很多IT防火墙不支持深度解析工业协议，最多做到IP和端口五元组控制。而工控网络最需要的，恰恰是能识别Modbus、S7comm、OPC UA内容并做应用级控制的设备。所以大部分工控等保项目，我会推荐两类设备组合落地。

一是工业防火墙。这类设备专门为工业环境设计，通常采用无风扇、导轨式安装，支持DDPI深度包检测功能。比如，你可以把Modbus TCP的规则设定为：仅允许功能码03读保持寄存器和04读输入寄存器通过，对05、06、15、16这些写操作指令单独放行给特定的工程师站。这样即使攻击者突破了边界，也极难随意操控PLC。

二是工业网闸。网闸的工作原理是物理隔离加数据摆渡，适合那些根本不希望双向通信的场合，比如把现场数据单向送到管理网的历史数据库。部署网闸后，数据只能单向流动，管理网任何请求都进不了控制网，安全性极高。代价是延迟更高、部署成本更大，且很多协议需要单独适配。

选择时还要考虑旁路审计设备。等保2.0测评中，审计项目会查得比较细，单靠防火墙日志往往不够。建议在核心交换机和关键汇聚点旁路部署工控安全审计系统，通过交换机镜像口抓取实时流量，对异常指令、非法访问、误操作做记录和告警。这个设备的作用，后面第3节的协议加固里还会反复提到。

概括起来，选型逻辑应该是：边界要"堵"，用工业防火墙；高安全单向场景要"断"，用网闸；流量要"看"，用旁路审计或安全监测系统。三者各司其职，才能覆盖等保2.0的边界和通信要求。

3. 设备与通信加固：PLC、DCS、HMI，一个都不能漏

3.1 工程师站和HMI的加固：琐碎活儿里藏着大雷

设备加固是整个项目里最琐碎、最考验耐心的部分。工程师站和HMI大多基于Windows，常见的系统是Windows 7、Windows 10甚至Windows XP。对这些主机的加固，我列了一个操作清单，照着做基本不会漏项。

• 关闭不必要的系统服务，尤其是Remote Registry、Telnet、FTP以及无关的Web服务。
• 禁用光驱自动运行和USB存储设备，通过组策略把USB读写功能按需封禁。
• 卸载或禁用与生产无关的软件，包括即时通讯工具、浏览器、游戏等。
• 开启本地安全策略，设置密码复杂性要求、账号锁定阈值、审计策略，本地管理员密码改成一次性初始化的强密码。
• 补丁管理。工控主机打补丁不能像办公电脑那样"补丁日直接推送"，必须先在一个与生产隔离的测试环境里验证兼容性，确认对DCS驱动无影响之后再分批推送。对特别老旧、系统已停止支持的主机，用应用白名单软件兜底。

主机加固最大的痛点是兼容性。我亲眼见过一个项目，为了满足"安装恶意代码防范产品"的测评要求，客户在DCS操作员站上装了一款商业杀毒软件，结果启动扫描时把操作员站内存占满，监控画面直接卡死。后来换成轻量级的应用白名单软件，只允许可信进程执行，不走病毒库，CPU占用常年低于百分之三，问题才彻底解决。工控环境的防病毒不是"装个杀毒"这么简单，白名单机制比特征库更新更适合工业现场的运行节奏。

3.2 PLC和DCS控制器的加固：密码、固件、程序保护三件套

很多工程师认为PLC是黑匣子，外部攻击者根本接触不到。但等保2.0测评中，控制器口令和访问控制是必查项。控制器侧能做的加固集中在三个重点。

一是口令策略。把PLC的原厂默认密码全部改掉，不同工程师站、不同控制器的口令分开管理，最高级别的维护口令要放在密码保险柜里，由专人保管并定期更换。同时设置访问控制，在PLC的通讯模块或上位机软件里，限制只有特定IP的工程师站才能发起在线连接和修改程序。

二是固件和补丁。PLC固件本质上是完整的操作系统，同样存在漏洞。必须通过官方渠道获取经过厂商验证的固件升级包，先在测试环境验证，再在停机窗口升级。严禁在生产期间在线升级，也严禁从不可信的第三方网站下载所谓"升级包"。这几年出现过不少伪造的PLC固件包植入后门的案例，固件来源这一条要当作底线来管。

三是程序保护。DCS、PLC项目文件都有工程权限管理功能，应该把程序上载、下载、修改、监视等操作分别授权给不同的角色。生产过程中，普通操作员不允许把在线程序下载到控制器，只有经过变更流程批准、且在停机窗口操作的工程师才能执行。这些权限在等保测评中也会被列入审查范围，并且是很多企业在测评中失分的重灾区。

3.3 工业协议的审计与防护：面对裸奔的老协议，既要堵死也要看住

Modbus/TCP、S7comm、OPC UA这些工业协议，诞生时为了兼容性和实时性，几乎没有考虑安全设计。以Modbus/TCP为例，连认证都没有，只要知道IP和端口就能读写寄存器，简直是工控界的"公共汽车"。所以协议层面的加固，只能靠外部设备来补。

我在前面提到过旁路审计设备，这里具体说下规则怎么设。以Modbus的审计规则为例：

• 建立业务白名单基线，记录正常运行中的主站IP、从站IP、功能码和寄存器区段。
• 对不在白名单里的功能码、异常访问来源，以及大量重复的扫描行为进行告警。
• 对特定高危指令单独设防，例如向PLC下发写多个寄存器、复位、热重启等指令时，除了受控工程站来源之外，一律告警。

这些规则在实施前，一定要先在测试环境里观察一段时间。真实产线上存在各种偶发流量，比如某些HMI启动时会广播读一批寄存器，这类流量如果被误判为异常，会产生大量误报，最后安全平台变成"狼来了"，没人看告警，也就失去了审计的意义。

如果条件允许，还可以在关键链路上启用工业防火墙的指令白名单，把对PLC的写操作和程序上下载功能强制收敛到最多两台工程师站，其他任何主机，包括HMI，都只能进行只读访问。对于老设备来说，这可能是整个项目里性价比最高的安全加固动作。

4. 管理侧加固：制度、备份和应急，等保2.0要的是体系不是一堆盒子

4.1 制度先行：管理台账和角色权限分离

很多甲方以为花了钱买了安全设备就算完成等保，结果测评机构进场一翻文件，发现安全管理制度没有修订、账号权限没有定期审计，直接扣掉一大块分数。管理侧加固在等保2.0里占比不低，建议从三块开始做。

第一块是建立资产台账。把之前摸底梳理的设备、IP地址、业务流量、责任人，全部写入企业安全管理制度，作为常态化管理的基础。以后每台新设备上线，都要走变更流程并在台账中登记。这份台账在测评现场是要拿给测评老师看的，同时也是后续每年自查的依据。

第二块是账号权限分离。在工控系统和相关管理平台里，把管理员、操作员、审计员的角色分开，实现三权分立。管理员负责配置变更，操作员只负责日常监盘和操作，审计员独立查看日志，三个角色互相制约。定期，一般按季度，组织对账号权限进行复核，删除离职和调岗人员的账号。很多老厂账号权限常年不审，离职工程师的远程运维账号还挂在PLC上，这是测评时的高频问题。

第三块是安全意识培训。操作员对仿冒邮件、U盘毒化、非法外联没有概念，边界做得再强也容易被内部突破。至少每半年组织一次工控安全意识培训，内容要结合一线实际案例，不要空喊口号。等保测评对培训计划、签到表、考核记录都有明确的检查项，该留痕的要留痕。

4.2 备份与恢复：程序丢了，比被黑客盯上还头疼

工控环境最怕的不是攻击，而是配置丢失。一个PLC的程序有数万条逻辑，一旦误删或损坏，恢复起来不是几天能搞定的事。所以我一直强调，备份与恢复是管理侧加固里最重要的一环，权重甚至高于某些安全设备的采购。

备份的对象包括：PLC和DCS的控制程序、HMI组态工程、数据库数据、关键网络安全设备和交换机的配置文件。备份策略要做到本地保留一份、异地或离线再保留一份，并设置版本轮换，比如保留最近6个月的版本。

更重要的是，必须定期做恢复演练。有些企业机房里的备份介质放了两年都没碰过，真到恢复测试时发现存储介质损坏或备份格式不兼容。建议至少每半年选一台设备做一次恢复演练，记录演练过程，发现问题及时调整备份方案。等保2.0测评中，备份策略、备份介质存放、恢复记录都属于评估项。做一次恢复演练的证明意义，比单纯在移动硬盘里存几份工程文件大得多。

4.3 安全审计与运维闭环：日志要“存得住、查得出、有人看”

等保2.0对审计的要求非常硬性：安全审计应启用记录和安全事件审计功能，审计记录至少保存90天，且应避免受到未预期的删除、修改或覆盖。这直接卡住了很多缺乏集中日志能力的工控系统。

补齐方式有几种：能在设备上配置syslog的，就把日志统一发送到日志服务器或工控安全管理平台；不能直接输出的，通过串口或数据采集器转存；网络流量类日志，依靠旁路审计设备记录。日志要每天检查，至少做到每周汇总，发现异常告警必须闭环处理——不是看一眼就删除，而是确认风险是否已经解除。

运维闭环的核心是"发现、处置、复盘"。比如审计平台告警某工程师站的PLC写操作指令异常增多，安全小组就要当天核实原因，是误操作、恶意代码，还是合规操作被误报。处理结果要记录在案并回写平台。很多安全系统装了没过三个月就变成无人值守的摆设，就是因为缺少运行维护闭环。一套不产生价值的审计系统，迟早连自己都会被业务部门停掉。

5. 实施现场最容易踩的5个坑

5.1 在生产期间做大规模扫描和策略下发，后果可能很严重

我亲眼见过一个真实教训。项目组为了赶进度，在产线运行时间用扫描工具探测PLC网段，结果扫描器发起的异常TCP包导致几台老型号PLC的CPU负荷飙升，其中一台直接进入停机自检状态，产线被迫停线半小时。加固项目再急，也不能拿生产开刀。所有涉及控制网络的扫描、策略变更、固件升级，一律安排停机窗口，并且提前做好回退预案。做之前写变更单，做之后立刻验证业务是否正常，这两步不能省。

5.2 不分青红皂白全局改强密码，操作员会崩溃

有的安全人员习惯性把所有系统密码统一改成高强度复杂密码，并设置30天过期。结果操作员为了登录HMI，把密码抄在终端边上，安全性不升反降。正确的做法是分级分类：操作员账户优先考虑可用性和易记性，密码复杂度适中但长度足够；维护和管理账户采用高强度密码并定期更换；只有极高权限的账户才启用双因素认证。密码策略必须和实际工艺操作流程妥协，宁可复杂而实用，不要复杂而失效。

5.3 杀毒软件和工控应用不兼容，装完反而更危险

前面讲的DCS操作员站被杀毒软件卡死就是典型。工控主机的防护思路应该是白名单优先，特征库次之。如果测评要求明确需要恶意代码防范能力，选产品时一定要拿到工控厂商的兼容性测试报告。部署后先在一两台机器上试运行一到两周，确认没有性能问题、误杀问题之后再全面推广。不要嫌慢，这个验证周期在工控环境里是必要的。

5.4 边界设备旁边私拉网线，"隔离"等于零

这是最让人哭笑不得的坑。为了远程调试方便，有的工程师在工业防火墙外侧又接了一条跳线直达PLC交换机。相当于门锁装好了，窗户却一直开着。边界加固完成后，要安排一次全网物理链路复核，检查所有跨区链路是否都经过受控设备，并形成链路台账。后续每一次网络变更都要更新台账，禁止私拉乱接。这条我现在都会写进验收文档里，作为硬性要求。

5.5 备份了但没验证，应急时才发现备份不可用

很多客户在测评前临时补做备份，把所有工程文件往移动硬盘里一拷就算完事。等真正出了事故要恢复时，发现移动硬盘损坏或者版本对不上。应对方法没有太多技巧，就是定期验证。要把备份验证写进月度或季度运维计划，形成记录并留存。这一条既是测评的证据，也是关键时刻真正能救命的操作。

最后说一点我个人的体会。工控系统等保2.0的加固，不是短期项目，更不是"堆盒子"的买卖。它本质上是一次对老工艺逻辑的重新梳理。当你把每一台PLC、每一条业务流量、每一个账户都拿在手里过一遍的时候，你会对这套控制系统产生平时根本不可能得到的理解。很多时候，业务部门抱怨安全影响生产，问题其实出在加固方式太粗暴，而不是出在"安全需求"本身。

用停机窗口、分步走、先备份、再变更，把边界做扎实，把设备白名单跑顺，把审计日志真正用起来，哪怕只是先完成其中一部分，工厂的整体安全水平都会明显上一个台阶。等保2.0给了我们一套相对科学的尺子，但尺子能不能量出价值，最终还得看现场怎么干活。希望这份梳理能给正在做工控等保加固的同行一些参考。以后有机会，我再把具体的防火墙规则配置、审计平台选型，以及和测评机构沟通的细节分别展开聊。