面对400台无法安装传统杀毒软件的老旧工控机、70个IT/OT边界控制节点、多供应商高频移动介质接入的复杂情况，如何在不停产的前提下，让安全能力真正融入生产体系？

‍

一、现场真实问题是什么

在汽车制造这样对连续性与稳定性要求极高的生产场景中，工控安全建设从来不是简单的设备部署问题。真正的难点，在于如何在不影响产线运行的前提下，让安全能力与现有生产体系实现平滑融合，并能够长期稳定运行。

近期，我司完成了某头部合资汽车制造企业的工控安全建设项目。项目并未对原有网络结构进行颠覆式改造，而是在既有体系之上，通过体系化设计与工程化交付，将安全能力逐步嵌入生产环境。

在项目初期调研中，我们对现场网络结构、系统环境及运维模式进行了系统性梳理，归纳出以下四类关键问题：

1、IT/OT边界管控缺失

IT与OT之间存在多条业务交互路径，涉及数据采集、生产调度及系统联动等多类通信场景，整体缺乏清晰的边界划分与统一的访问控制机制。现场原有防火墙为国外品牌，在策略精细化管理、业务深度适配和长期自主可控性上存在明显瓶颈，难以满足日益复杂的生产网络安全需求。

2、主机系统老旧，无法部署传统防护

现场存在大量工控机与HMI设备，操作系统以Windows XP、Windows 7为主，配置较低，无法安装传统杀毒软件。整体规模覆盖两个厂区，分别承载新能源生产与传统燃油生产相关业务，面对恶意代码和勒索软件等威胁，缺乏有效防护手段。

3、移动介质使用频繁且缺乏管控

在多供应商协同运维模式下，U盘频繁接入生产网络，但缺乏统一的安全管控手段。现场存在两类截然不同的使用场景：内部人员日常文件传输，以及外部厂商携带设备接入，两类场景的管控需求差异显著。

4、安全能力分散，缺乏统一管控与日志汇聚

生产网络中关键控制节点分布在不同业务区域，一旦引入边界控制与主机侧防护，策略规模与管理复杂度将显著提升，若无统一调度机制，难以实现策略集中编排与一致性控制。此外，现有日志体系主要集中在IT侧，生产侧安全事件缺乏统一汇聚路径，无法纳入现有监测分析体系。

二、体系化设计，四层能力协同

针对上述问题，项目整体采用体系化设计思路，围绕网络边界控制、主机运行环境、移动介质接入、安全集中管控四个关键环节统一规划，引入以下四类能力：

· 工业防火墙（70台）

· 主机安全加固系统（400个点位）

· USB安全管理系统（7台，多形态部署）

· 集中安全管理平台（统一管控）

鉴于现场大量老旧系统与自主可控要求，解决方案全面采用国产化设备，并结合现场多类型接口与接入场景进行了定制化功能开发与适配。

项目整体安全架构如下所示：

三、重构IT/OT边界

本项目共部署70台工业防火墙，用于构建IT与OT之间的精细化访问控制边界，实现生产网络通信的可控与可审计。在不改变现有网络结构与通信逻辑的前提下，完成了对原有国外品牌防火墙的平滑替代。

策略设计

防火墙策略围绕业务通信关系展开。团队逐条梳理各区域中PLC、HMI、上位机及服务器之间的通信路径，对通信对象、协议类型及交互方向进行系统化建模，构建“通用基础策略”与“业务定制策略”两层结构，确保策略与现场实际业务逻辑精准匹配。

硬件适配

针对工业现场多样化的接口接入需求，对防火墙硬件形态进行了定制化适配，通过灵活的接口模块设计，满足不同设备接入与部署环境的要求。

最终，在不引入额外生产延迟的前提下，生产网络通信实现了从粗放互通向精细化管控的平滑转变。

工业防火墙实施流程如下所示：

四、在老旧系统中构建可信运行环境

本项目对400个关键工控机及HMI点位部署主机安全加固系统，核心能力包括：

● 白名单基线管控：建立可执行模块白名单库，拦截所有未授权程序运行；

● 外设接口权限管控：基于软件策略约束USB等外设接入行为；

● 定制化交互界面：针对一线操作人员构建可视化告警与交互能力，在满足安全控制要求的同时兼顾使用体验。

策略落地流程

团队首先对主机/HMI进行资产梳理与分组，基于不同业务场景划分资产组，制定差异化白名单策略。在策略落地阶段，结合生产运行计划设置启用窗口，按批量逐步上线，通过逐台验证与动态校验机制，确保策略切换过程平滑可控，不影响现场业务运行。

主机安全加固系统部署流程如下所示：

五、移动介质的全场景管控

针对移动介质带来的持续风险，本项目构建了覆盖不同使用场景的USB管控体系，形成两种部署形态：

标准USB安全管理系统

部署在各区域内部，服务于日常运维与生产操作，用于内部人员进行文件传输时的安全检测与授权控制。

工业USB扫描站（定制化方案）

针对外部厂商人员携带设备接入的高风险场景，通过对客户原有设备进行利旧改造，将其与USB安全管理系统集成为一体化的工业USB扫描站。外部人员须在完成病毒扫描与安全确认后，方可将设备带入生产环境使用。

操作人员仅需通过触控界面即可完成病毒扫描与授权流程，安全能力以自然的方式融入现场操作过程。这种基于利旧改造的设计，在保护客户既有资产投入的同时，也提升了现场交互的统一性与便捷性。

工业USB扫描站在现场的实际部署形态如下所示：

六、化散为整，安全能力统一纳管

在整体架构中，集中安全管理平台承担『中枢』角色，统一对接工业防火墙与主机安全加固系统，实现策略集中编排、批量下发与运行状态统一监控。

平台支持基于LDAP的统一身份认证与权限管理，实现与企业域账户体系的无缝衔接；同时与现有IT侧日志系统对接，对接入安全设备产生的关键日志进行统一汇聚与关联分析，使生产侧安全事件能够纳入现有监测体系，为跨区域安全可视与统一分析提供基础支撑。

集中安全管理平台逻辑概念图如下所示：

七、不止于产品

本项目的核心价值，不仅体现在产品部署上，更体现在交付过程中的服务深度。

无论是工业防火墙的通信策略，还是主机安全加固系统的白名单基线，均基于现场业务进行人工梳理与持续优化，而非依赖模板或默认配置；USB扫描站的落地结合客户现场条件进行定制化设计，实现功能与使用体验的统一。

在项目交付阶段，我们还为客户提供了配套的应急响应预案，覆盖日常运维、异常处理及极端场景下的应急处置流程，确保在任何情况下，客户团队都具备清晰、可执行的操作路径。

这种“产品 + 服务”的交付模式，使安全能力不仅能够上线，更能够长期稳定运行。

八、不是改造者，而是融入者

工控安全的难点，历来不在技术层面，而在于它必须在一个容错率极低的环境里无感接入。产线不能停，设备不能改，系统不能动——安全能力必须在这些约束之内找到自己的位置。

这个项目所验证的，正是这样一种可能：通过体系化的设计与工程化的交付，安全能力可以不以"改造者"的姿态进入生产现场，而是以"融入者"的方式，成为生产体系本身的一部分。

随着制造业数字化的持续推进，工控系统的暴露面只会扩大，供应链与运维场景只会更复杂。单点部署解决不了体系性的问题。真正有效的工控安全，需要从项目思维转向运营思维——不是交付一次，而是持续演进。

‍