超级管理员
楼主
近期 OT 安全态势的关键结论是：暴露在公网的 PLC 已成头号目标。对制造企业来说，网络分段是性价比最高的防护动作。但纯隔离会牺牲效率，需要平衡。
先做资产盘点，别急着买设备 第一步永远是搞清楚你有什么。
- 所有控制器（PLC、RTU）的 IP 地址和型号。
- 每一台有没有公网可达路径（包括端口映射、VPN、远程运维盒子）。
- HMI 和 SCADA 服务器的位置。
- 工程站（装了编程软件的电脑）在哪里。
这份清单本身就有价值——很多工厂做完盘点才发现，自己有几台设备的远程维护端口是常年开放的。
第一优先：消除公网可达资产 这是所有公告里反复强调的单点最高优先级动作。
大多数受害单位都有控制器挂在公网地址上。这是部署层面的系统性失误，不是厂商缺陷。
具体做法：
- 取消所有到控制器网段的端口映射。
- 远程运维走 VPN 加跳板机，不直接暴露。
- 厂商远程接入账号要按需开通、用完关闭。
第二优先：IT/OT 之间做分段 经典的 Purdue 模型把 Level 0-2（现场设备、控制、监控）和 Level 3+（生产管理、企业）分开。
实操上不需要一步到位，可以按这个顺序：
- 先在生产网和办公网之间加一道防火墙，默认拒绝。
- 梳理出真正需要跨网的流量（比如 MES 读设备数据、ERP 下发工单），逐条开白名单。
- 上单向网关或者数据二极管，用于只需要上传不需要下发的场景。
第三优先：工程站的保护 工程站（装了 TIA Portal、CODESYS、GX Works 这类软件的电脑）价值极高——它拥有对控制器的完整编程权限。
威胁研究里已经出现专门针对 OT 工程站和 IT 到 OT 路径的攻击组织。
建议：
- 工程站不接公网，不上办公网邮件和浏览器。
- 专机专用，不兼做办公。
- 项目文件单独备份和版本管理。
平衡效率的部分 纯隔离会让数据上不来，MES 和 ERP 就成了空壳。
解决办法是设计明确的「数据出口」：
- 只出不进的场景，用单向网关。
- 需要双向的，用带白名单的工业防火墙，限定到具体协议和具体点位。
- 远程维护用按需开通的 VPN，带完整审计日志。
一个常被忽略的点 「不联网就不危险」是错觉。厂商远程接入、蜂窝链路、未打补丁的 VPN 设备、扁平的 IT/OT 网络都提供替代入口。
即使号称物理隔离的站点，分段和监控同样必要。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。