为什么工控系统不能和办公网混用
在一家制造厂里，车间的自动化生产线正有条不紊地运行着。突然，办公室有人点开一封带病毒的邮件，整个网络开始异常，接着生产线上多台设备停机。排查发现，病毒从办公电脑一路渗透进了控制系统的PLC。这种情况并不少见，根源就在于工控系统和办公网没有真正隔离。
工业控制系统（ICS）负责监控和操作物理设备，比如电机、阀门、传送带。它们的设计初衷是稳定运行，而不是应对网络攻击。很多设备甚至还在用Windows XP或老旧的专用系统，打不了补丁，也装不了杀毒软件。一旦和开放的办公网连在一起，就像把家门钥匙挂在了公司前台。
常见的错误连接方式
有些企业为了“方便管理”，直接用一根网线把工控网络和办公网络接通，或者共用同一个路由器。更有甚者，在工控操作员站上装QQ、浏览网页，只为传个文件。这些操作看似省事，实则埋下巨大隐患。
还有人认为“我们内网很安全”，但实际上，80%的工控安全事件都来自内部。一个U盘、一次远程维护、一个员工误操作，都可能成为突破口。去年某水厂就因工程师用个人笔记本接入控制系统调试，导致勒索病毒入侵，供水调度瘫痪数小时。
真正的隔离该怎么做
物理隔离是最彻底的方式。工控网络和办公网完全断开，数据交换通过单向网闸实现——只允许工控数据发出去，不允许外部数据传进来。比如生产数据可以送到MES系统做分析，但办公网无法反向访问控制器。
如果必须双向通信，就得部署工业防火墙。它不像普通防火墙只看IP和端口，还能识别Modbus、Profibus等工控协议，阻止异常指令。例如，设定规则只允许SCADA服务器向PLC发送写命令，其他任何设备尝试写入都会被拦截。
<rule name="allow-modbus-scada-to-plc">
<source>192.168.10.10</source>
<destination>192.168.20.5</destination>
<protocol>modbus-tcp</protocol>
<action>permit</action>
</rule>日常管理也不能松懈
即便技术上做了隔离，管理制度也得跟上。操作员站禁止安装无关软件，USB接口应禁用或审计。外来设备接入前必须经过安全检查，远程维护采用双因素认证+跳板机，不留后门。
某汽车厂的做法值得参考：他们把所有工控设备纳入独立VLAN，网络边界部署日志审计系统，任何异常连接尝试都会触发报警。IT人员每月做一次渗透测试，模拟攻击路径，及时修补漏洞。
工控系统不是普通电脑，它的稳定直接关系到人身安全和生产连续性。与其事后救火，不如先把隔离做扎实。一张网卡、一道防火墙、一条策略，可能就是防止一场重大事故的关键。