做设备联网改造，很多问题在方案阶段就埋下了。结合近期的安全事件，梳理三个必须先想清楚的点。
第一件：用什么协议，以及协议的安全能力
工业协议大多诞生于「网络是可信的」那个年代。Modbus TCP、S7 这类协议，本身没有认证，也没有加密。
这意味着：任何能访问到端口的人，都能读数据、也能写数据。
所以要么把这些协议关在内网里，要么在传输层加保护（隧道、网关），不要直接暴露。
OPC UA 的情况好一些，它本身设计了安全通道、证书认证和信息模型。如果设备支持，优先用 UA。
第二件：网络拓扑怎么分
推荐的三层结构：
- 企业管理网：办公、ERP、邮件。
- 生产监控网：MES、SCADA、历史库。
- 设备控制网：PLC、HMI、仪器仪表。
层间通过受控的网关或单向网闸通信，不允许直连。
为什么要分三层而不是两层
因为生产监控网需要和企业网交换数据（工单下发、报工上传），又需要和设备网通信（采集、控制）。如果只有两层，要么业务数据进不了设备，要么办公网能直接摸到 PLC。
第三件：权限怎么给
设备联网之后，访问者从「车间的几个人」变成「系统里的所有相关角色」。
这带来两个变化：
- 要按角色定义权限：谁能读数据、谁能下发参数、谁能改程序。
- 要有审计：谁在什么时候改了什么，必须可追溯。
容易被忽略的两个点
第一，远程维护通道。为了方便厂商远程调试开的通道，往往是整个系统里最弱的环节。要限定时间窗口、限定来源 IP、用完就关。
第二，工程站的防护。工程师站通常装了全套编程软件，且有设备的高权限。它本身是一台普通 PC，会中毒、会被钓鱼。必须单独加固。
顺带提一句本月的安全动态
SonicWall 发布了 SMA1000 系列 Appliance WorkPlace 接口 SSRF 漏洞（CVE-2026-102255）的热修复，未认证攻击者可远程低复杂度利用。
Dell System Update 修复了 CVE-2026-86360，一个严重路径穿越漏洞，未认证远程攻击者可以 root 权限执行代码，需升级到 2.3.0.0 或更高。
一句话
设备联网的价值在数据采集，风险在控制通道。方案设计阶段就把这两条路径分开，比事后补救省事得多。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。