1. 工控主机防护到底在防什么1.1 先搞清楚工控主机和普通办公主机的本质区别很多人一听到“主机防护”脑子里第一反应就是装杀毒软件、打补丁、关端口。这套思路放在办公终端上没大毛病但直接搬到工业控制系统里轻则导致产线停机重则让PLC误动作、阀门乱开那可不是闹着玩的。我在现场做过不少工控安全的项目最深的体会就是工控主机和IT主机是两种完全不同的生物。办公电脑追求的是“安全优先、可用性其次”中个病毒大不了重装系统而工控主机追求的是“可用性第一、安全第二”一台HMI或者工程师站如果因为杀毒软件全盘扫描导致CPU飙到100%操作员点不动画面那造成的损失是按分钟算钱的。所以工控主机防护的核心矛盾在于你既要防住攻击又不能干扰生产。这个平衡点找不准方案做得再漂亮也是纸上谈兵。1.2 工控主机面临的典型威胁长什么样从我这几年接触到的实际案例来看工控主机面临的威胁大致可以分成这么几类第一类是移动介质引入的病毒。这个绝对是重灾区。现场工程师拿个U盘去拷程序、拷组态U盘在办公电脑和工控主机之间来回插病毒就这么进来了。我见过某化工厂的工程师站中了Conficker蠕虫整个控制网络里几十台机器互相感染最后不得不全厂停机清理。第二类是网络横向渗透。现在很多工控网络和办公网络做了逻辑隔离但隔离不彻底的情况太常见了。攻击者从办公网渗透进来之后利用工控协议比如Modbus、S7comm的脆弱性直接对PLC下发指令。第三类是主机自身漏洞。工控主机最要命的就是操作系统版本老旧。Windows XP、Windows 7在工控现场比比皆是有些甚至还在跑Windows 2000。这些系统微软早就不支持了漏洞补丁根本打不上一打补丁组态软件可能就跑不起来了。第四类是配置不当。默认口令、开放不必要的服务、共享目录权限过大这些问题在工控现场一抓一大把。我做过一次资产梳理发现某厂30多台工控主机里有20多台用的是默认管理员密码你说这怎么防1.3 防护策略的总体思路白名单为主最小化干扰基于上面这些威胁特征工控主机防护的总体思路应该是以白名单机制为核心辅以必要的访问控制和审计手段把对生产的影响降到最低。为什么是白名单而不是黑名单道理很简单。黑名单是“我知道坏的我把它拦住”但工控环境里你根本不知道下一个病毒长什么样而且工控主机往往没有条件实时更新病毒库。白名单是“我只允许已知的、可信的程序运行”其他一律禁止。这个思路在工控场景下天然合适因为工控主机的软件环境是相对固定的——就那几个组态软件、就那几个可执行文件不会像办公电脑那样天天装新软件。当然白名单也不是万能的。它最大的挑战在于“基线怎么建”和“变更怎么管”。这个后面我会详细讲。2. 主机防护策略的分层设计与选型考量2.1 第一层网络访问控制——先把门看住主机防护的第一道防线不在主机上而在网络层面。我的习惯是先做网络访问控制把工控主机“能跟谁说话”这件事管起来。具体做法是在工控网络的汇聚交换机或者防火墙上做ACL策略只允许必要的通信路径。比如操作员站只能跟它对应的PLC通信不能访问其他车间的PLC工程师站只能在特定时间段访问PLC平时禁止所有工控主机禁止直接访问互联网禁止工控主机之间的横向通信除非业务确实需要这里有个实操细节做ACL之前一定要先抓包。我见过太多人凭经验拍脑袋写ACL结果上线之后发现某个组态软件用了非标准端口或者某个OPC通信走了动态端口直接把生产搞停了。正确做法是在交换机上做端口镜像抓至少一周的流量把所有通信关系梳理清楚再写策略。注意工控协议很多是基于广播或者组播的比如Profinet、EtherCAT。做ACL的时候要特别小心别把必要的广播流量给拦了否则设备发现都发现不了。2.2 第二层主机加固——把系统本身弄结实网络层管住了“谁能进来”接下来就要管“进来之后能干什么”。主机加固的目标是减少攻击面让即使攻击者进来了也干不了太多事。主机加固主要包括这么几个方面账户与口令管理。这是最基础但最容易被忽视的。我要求所有工控主机必须做到禁用默认账户、删除无用账户、口令长度至少12位且包含大小写字母数字特殊字符、定期更换。听起来很基础对吧但我在现场见过太多“admin/admin”的组合了。服务与端口最小化。工控主机上跑的服务越少越好。远程桌面、文件共享、打印服务、无线服务这些如果业务不需要统统关掉。我一般会拿一个基线清单逐项核对关一个勾一个。补丁管理。这个要特别谨慎。工控主机的补丁策略跟IT主机完全不一样。我的原则是能不打就不打非打不可的必须先在测试环境验证。验证周期至少两周确认组态软件、数据库、通信驱动都正常之后才能在停产检修窗口打补丁。外设管控。USB口是病毒进入工控主机的主要通道。我的做法是物理封堵所有USB口只保留一个经过认证的加密U盘可以使用。这个加密U盘要带写保护开关在办公电脑上只能读不能写在工控主机上才能写。2.3 第三层白名单防护——把“能跑什么”管死白名单是工控主机防护的核心。它的原理很简单只允许已知的、可信的程序运行其他一律禁止。白名单产品选型的时候我主要看这几个指标评估维度关键问题我的经验值对系统性能的影响CPU占用增加多少内存占用增加多少CPU增加不超过5%内存不超过200MB基线建立方式是自动学习还是手动配置自动学习人工确认纯手动太累变更管理新增程序怎么审批支持离线审批不能依赖网络与组态软件的兼容性会不会误拦组态软件的子进程必须支持进程树白名单自身安全性白名单软件自己被篡改了怎么办支持自保护不能被轻易卸载白名单部署最大的坑在于基线建立。我的做法是先让工控主机在“学习模式”下跑至少一个完整的生产周期比如一个批次的生产把所有运行过的程序、脚本、DLL都记录下来然后人工审核这个列表把明显不该有的东西删掉剩下的作为基线。这里有个细节组态软件经常会在运行时动态生成临时文件或者调用系统组件这些如果没加到白名单里生产过程中就会弹窗拦截操作员一点“允许”白名单就形同虚设了。所以基线建立的时候一定要把组态软件的安装目录、临时目录、系统目录都考虑进去。2.4 第四层日志审计——出了事能查前面三层是防这一层是“防不住的时候能查”。工控主机的日志审计主要记录这几类事件程序启动和停止谁在什么时候运行了什么外设接入和拔出U盘什么时候插的拷了什么文件账户登录和操作谁在什么时候登录了改了什么配置网络连接主机跟谁通信了日志的存储要注意两点一是本地存储空间要够工控主机硬盘通常不大日志写满了会导致系统异常二是日志要能导出最好支持Syslog转发到日志服务器这样即使主机被攻陷日志也不会丢。3. 实操过程与核心环节实现3.1 前期调研摸清家底再动手工控主机防护最忌讳的就是“上来就干”。我见过一个项目乙方工程师到了现场直接装白名单软件结果把组态软件的一个关键进程给拦了操作员画面直接卡死产线停了两个小时。所以前期调研必须做扎实。调研内容包括资产清单。每台工控主机的IP、MAC、操作系统版本、补丁情况、运行的软件、开放的端口、连接的设备全部要登记造册。这个清单不是抄来的是一台一台现场确认的。通信关系。用抓包工具比如Wireshark在交换机镜像口抓至少一周的流量梳理出每台主机的通信对端和端口。这个工作很枯燥但绝对不能省。业务窗口。跟生产部门确认好哪些时间段可以停机做测试哪些时间段绝对不能碰。这个信息决定了你的实施计划怎么排。软件兼容性。把现场用到的组态软件、数据库、通信驱动都列出来跟白名单厂商确认兼容性。如果有不兼容的要么换产品要么想别的办法。3.2 试点部署先拿一台机器试水调研做完之后不要一下子全面铺开。我的做法是先选一台“影响最小”的工控主机做试点。什么叫影响最小就是这台机器停了生产还能继续跑或者至少不会造成安全事故。试点部署的步骤备份系统。用Ghost或者类似工具把整个系统盘备份一份万一出问题可以快速回滚。安装白名单软件。安装过程中选择“学习模式”不要选“防护模式”。跑一个完整生产周期。让这台机器正常生产白名单软件在后台记录所有运行的程序。导出学习结果。把学习到的程序列表导出来人工审核。切换到防护模式。审核通过之后切换到防护模式观察至少一周。记录问题。把试点过程中遇到的所有问题都记录下来比如误拦了什么、性能有没有下降、操作员有没有抱怨。试点跑通了再考虑推广到其他机器。3.3 基线建立的具体操作基线建立是白名单部署最核心的环节。我以某主流白名单产品为例说一下具体操作第一步开启学习模式。在管理控制台上把目标主机设置为“学习模式”学习周期建议设置为7到14天覆盖一个完整的生产周期。第二步触发所有业务场景。学习期间要确保所有业务场景都跑一遍。比如正常生产、配方切换、报表导出、程序下载、故障处理。这些场景下运行的程序都要被学习到。第三步导出学习报告。学习结束后导出程序列表。这个列表通常包含程序路径、文件哈希、数字签名、运行次数。第四步人工审核。这一步最关键。审核原则是有数字签名的、来自知名厂商的程序保留系统自带的核心程序保留组态软件安装目录下的程序保留临时目录下的、来源不明的、运行次数极少的程序删除明显是病毒或者可疑程序的删除并排查来源第五步生成基线。审核后的列表就是基线。把基线导入白名单软件切换到防护模式。第六步变更管理流程。基线不是一成不变的。后续如果有新程序要运行必须走变更审批流程提交申请、说明用途、提供程序文件、安全审核、测试验证、加入白名单。实操心得基线建立的时候我习惯把“哈希校验”打开。这样即使有人把合法程序替换成恶意程序哈希对不上照样拦得住。3.4 外设管控的落地方法外设管控是工控主机防护里最容易落地、效果也最明显的一项。我的做法是“物理技术”双管齐下。物理层面用USB端口锁把工控主机上所有USB口封住。USB端口锁就是一个小塑料块插进去之后没有专用工具拔不出来。成本很低一个几块钱但效果很好。技术层面部署外设管控软件只允许特定的加密U盘接入。这个加密U盘要满足几个条件带写保护开关在办公电脑上只能读不能写带硬件加密芯片U盘丢了数据也泄露不了有唯一标识管控软件能识别管理层面建立U盘使用登记制度。谁用了U盘、在哪个机器上用的、拷了什么文件都要登记。这个制度听起来很繁琐但真出了事这就是追溯的依据。3.5 日志审计的配置要点日志审计的配置要注意几个细节日志级别。不要什么都记也不要什么都不记。我一般建议记录程序启动/停止、外设接入/拔出、账户登录/注销、配置变更、网络连接建立。程序运行过程中的详细操作日志除非有特殊需求否则不记不然日志量太大。日志轮转。工控主机硬盘小日志必须做轮转。我一般设置单个日志文件不超过50MB保留最近10个文件总占用不超过500MB。超过之后自动覆盖最旧的文件。日志转发。如果条件允许把日志通过Syslog转发到日志服务器。这样即使主机被攻陷日志也不会丢。转发的时候要注意Syslog用的是UDP协议不保证可靠传输所以关键日志最好在本地也保留一份。时间同步。所有工控主机的时间必须同步否则日志的时间戳对不上事后分析的时候根本串不起来。我一般会在工控网络里部署一个NTP服务器所有主机都跟它同步。4. 常见问题与排查技巧实录4.1 白名单误拦了组态软件怎么办这是最常见的问题。组态软件在运行过程中会动态加载一些DLL或者调用系统组件如果这些没在白名单里就会被拦截。排查思路查看白名单软件的拦截日志确认被拦的是什么程序确认这个程序是不是组态软件的正常组件如果是把程序路径和哈希加入白名单如果不是排查来源可能是病毒避坑技巧在基线建立阶段把组态软件的安装目录整个加入白名单而不是只加几个exe文件。组态软件的安装目录通常是固定的整个目录加白名单不会带来太大安全风险但能避免很多误拦。4.2 白名单软件导致主机性能下降怎么办有些白名单软件对系统性能影响比较大特别是在程序启动的时候要做哈希校验会拖慢启动速度。排查思路用性能监视器查看白名单软件的CPU和内存占用确认是持续占用还是只在程序启动时占用如果是持续占用考虑换产品如果只是启动时占用可以接受的话就接受不能接受的话调整校验策略避坑技巧选型阶段一定要做性能测试。我一般会在测试环境模拟工控主机的典型负载然后对比安装白名单前后的性能差异。CPU增加超过10%的我基本不考虑。4.3 工控主机不能打补丁怎么防漏洞这是工控安全的经典难题。很多工控主机因为兼容性问题补丁打不上系统漏洞一直存在。补偿措施网络层封堵在防火墙或者交换机ACL上封堵利用该漏洞的端口和协议主机层加固关闭不必要的服务减少攻击面白名单防护即使漏洞被利用攻击者下载的恶意程序也运行不了加强监控对利用该漏洞的攻击行为做重点监控一旦发现立即告警避坑技巧对于不能打补丁的主机我建议做“虚拟补丁”。就是在网络层或者主机层针对特定漏洞的攻击特征做拦截。这个需要安全厂商的支持但效果不错。4.4 操作员嫌麻烦把白名单软件卸载了怎么办这是管理问题不是技术问题。但技术手段也能解决一部分。技术手段白名单软件开启自保护不能被轻易卸载卸载需要管理员密码密码由安全团队掌握卸载行为会产生告警安全团队能及时发现管理手段跟生产部门沟通好说明白名单的重要性把白名单软件的运行状态纳入日常巡检对私自卸载的行为进行考核避坑技巧我一般会在工控主机上装一个“看门狗”程序定期检查白名单软件是否在运行。如果发现被卸载或者停止立即告警并且可以配置为自动重启白名单软件。4.5 常见问题速查表问题现象可能原因排查方法解决方案组态软件画面卡死白名单拦截了组态软件的子进程查看白名单拦截日志将组态软件安装目录加入白名单主机启动变慢白名单软件启动时做全盘哈希校验查看启动日志和性能监视器调整校验策略只校验关键目录U盘插上没反应外设管控软件拦截了未认证U盘查看外设管控日志使用认证的加密U盘日志文件占满硬盘日志轮转配置不当查看日志目录大小调整轮转策略设置上限白名单软件被卸载操作员嫌麻烦私自卸载查看看门狗告警开启自保护加强管理主机时间不对NTP同步失败检查NTP配置和网络连通性修复NTP同步手动校准时间5. 一些掏心窝子的经验总结5.1 工控主机防护不是装个软件就完事了我见过太多项目乙方把白名单软件一装验收报告一写就算完事了。结果运行三个月白名单里加了几百条规则什么乱七八糟的程序都放进来了防护效果基本为零。工控主机防护是一个持续运营的过程。基线要定期审核变更要走流程日志要定期查看策略要定期优化。没有这个运营机制再好的产品也是摆设。5.2 跟生产部门搞好关系比什么都重要工控安全最大的阻力往往不是技术而是生产部门的不配合。你让他停机做测试他说生产任务紧你让他装白名单他说影响操作你让他登记U盘他说太麻烦。我的经验是从一开始就把生产部门拉进来。做调研的时候让他们参与做试点的时候让他们见证做培训的时候让他们主讲。让他们觉得这个事是他们自己的事而不是安全部门强加给他们的负担。5.3 不要追求100%的安全追求“可接受的风险”工控安全没有100%的安全。你不可能把所有漏洞都补上不可能把所有攻击都拦住不可能把所有风险都消除。你要做的是把风险降到“可接受”的水平。什么叫可接受就是万一出了事你能快速发现、快速响应、快速恢复不会造成人员伤亡和重大生产事故。这个目标比追求100%安全现实得多。5.4 最后分享一个小技巧如果你刚开始做工控主机防护不知道从哪里下手我建议你先做一件事把所有工控主机的USB口封住。这个动作成本最低、效果最明显、阻力最小。封住USB口之后病毒进入工控主机的主要通道就断了你就有时间慢慢去做其他防护措施。等USB口封住了再做网络访问控制再做主机加固最后做白名单。这个顺序是我踩了无数坑之后总结出来的希望对你有用。