廊坊一家化工厂，办公网和生产网没隔开，一封钓鱼邮件顺着办公机摸进了工控主机。

工控网络要防的，是生产网被办公网或外网够着，防护得先把"生产网"单独圈起来，再谈别的，否则办公机一中毒，工控主机就跟着裸奔。
![image.png](https://developer.qcloudimg.com/http-save/yehe-12625089/9f27c5ee681375e5279f83a72f516903.png)
## 一、先把生产网圈起来

### 1. 网络准入控制：未登记设备进不来

提那道"隔离"：网络准入控制决定哪些设备能进生产网，未登记设备拦在外面。

### 2. 终端防火墙：只放行工艺要的通信

终端防火墙开仅访问内网、禁止所有外网，IP端口防火墙限制具体服务和地址，把生产网和办公网、外网切开。

### 3. 访客设备：单开一条受限路

访客设备单开一条受限路，用完失效。生产网切出来后，工控主机不暴露在外，办公机中毒也够不着，操作站、工程师站都进同一套准入。

### 4. 隔离不是断网

隔离不是断网，是只放行工艺要的通信，多余口子全关，业务照跑安全也保住；没登记的笔记本插上网线也进不来，运维机也单独管。化工厂的工控主机一旦被控，配方和工艺参数就保不住，隔离是头一道也是最关键一步，先把边界画死再谈别的。

## 二、不让它连出去

### 1. 违规外联报警：私自连外网就断网锁屏

降那道"外联"：违规外联报警发现私自连外网就断网锁屏。

### 2. 禁止程序访问指定端口和地址：防止对外回传

禁止程序访问指定端口和地址，防止工控程序被诱导去扫内网设备、对外回传，把回传通道先掐了。工控程序被诱导对外回传，等于把产线交给外人，外联掐断就断了这个念想。

### 3. 要联网的机器：单独登记、限时、限地址

工程师站要联外网调资料，单独登记、限时、限地址，不混进生产网。

### 4. 报警就在萌芽处

外联报警一响就断网锁屏，操作工来不及反应回传已经断了，事故扼在萌芽。
![image.png](https://developer.qcloudimg.com/http-save/yehe-12625089/70da9bbc06b2170e33f7aaf56576527a.png)
## 三、进出流量看得住

### 1. 实时流量监控和限制：异常飙升立刻提示

升那道"流量"：实时流量监控和限制盯住整网和单程序的上下行，异常飙升立刻提示，防止数据被悄悄往外搬。

### 2. 宽带流量监控和限制：单程序限速

宽带流量监控和限制给单程序限速，异常上传一眼现形。

### 3. 工控反而更好盯：基线稳，异常藏不住

工控协议本就固定，流量基线稳，突然出现的大流量先报警再说。基线建起来后异常一眼就显，不像办公网那么杂，工控反而更好盯，陌生大流量一冒头就报警，藏不住也混不过去。

## 四、终端与介质

### 1. USB设备管控：换个口子也带不走

防那道"终端"：USB设备管控禁用或限制U盘、光驱、无线网卡，防止换个口子把程序或配置带出去。

### 2. 软件黑名单：少一个能被利用的入口

禁止安装违规程序、软件黑名单挡住未登记软件，少一个能被利用的入口；电脑使用权限禁止改IP、注册表、控制面板。

### 3. 权限收到最小：改配置要审批

权限收到最小，操作员只能动该动的，改配置要审批，误改和恶意都挡一层。

### 4. 文件操作记录：留证到机器和时段

立那道"留证"：文件操作记录记新建、修改、删除、拷贝，日志集中加密存储不占终端也不易被删，敏感信息报警在异常时提示，出事能倒查到具体机器、具体时段。

### 5. 落地效果：从隔离到留证一条线

廊坊那家化工厂把生产网独立隔离、关掉外联、收住介质、开起记录之后，钓鱼邮件再也没能摸到工控主机，陌生设备也进不来生产网，从隔离到留证一条线兜住。
![image.png](https://developer.qcloudimg.com/http-save/yehe-12625089/933f09544181c69a3798c57a094c533e.png)
## 五、结尾

工控网要的不是把线全拔掉，而是把不该通的口子关严。

生产网圈起来、外联掐断、介质收住、记录开着，这四件事凑齐，办公网那边再出事也摸不到产线。

责编：小赵


工控网络要防的，是生产网被办公网或外网够着，防护得先把"生产网"单独圈起来，再谈别的，否则办公机一中毒，工控主机就跟着裸奔。

工控网络怎么防？先把生产网圈进隔离区

运维

架构设计

廊坊化工厂因办公网与生产网未隔离，钓鱼邮件入侵工控主机。防护关键在于生产网独立隔离、外联掐断、流量监控及USB管控，从边界到终端全程设防，确保办公网中毒也触及不到产线安全。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

工控网络怎么防？先把生产网圈进隔离区-腾讯云开发者社区-腾讯云

工控网络怎么防？先把生产网圈进隔离区

工控网络怎么防？先把生产网圈进隔离区

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐