关键基础设施网络安全要防什么、包含哪些能力、如何落地?

关键基础设施网络安全的核心，是保护支撑社会运转的 OT/ICS 系统与高价值资产不被定向攻击、供应链污染和恶意文件侵入。落地路径不是一次性采购，而是按“资产盘点→关键节点加固→检测响应→演练复盘”分阶段推进，优先解决边界隔离和移动介质这两个最常见入口。本文适用于能源、水务、交通、制造等运营 OT 环境的组织，以及需要审查供应商安全能力的采购方。

防护边界：先明确要保护什么

关键基础设施的典型场景包括电力与能源调度、水处理与管网、轨道交通与港口、工业生产线、医疗与公共服务系统。这些环境的共同点是：一旦停机或被篡改，影响会外溢到公众。

需要重点识别的资产类别：

• OT/ICS 控制设备：PLC、RTU、DCS、SCADA 服务器、HMI 工作站
• 工程与运维终端：工程师站、组态软件、历史数据库
• 网络边界设备：工业防火墙、隔离网关、远程接入通道
• 数据与配置：控制逻辑、组态文件、固件、补丁包
• 第三方接入点：运维供应商远程通道、承包商携带的设备与介质

防护边界应覆盖“从 IT 到 OT 的每一段跨越”，尤其是远程运维和现场介质接入这两个传统杀毒软件覆盖不到的位置。

主要威胁：四类风险最值得优先处理

针对 OT/ICS 的定向攻击

攻击者以篡改控制逻辑、中断生产为目标，往往先长期潜伏再触发。这类攻击不追求窃取数据，而是直接破坏物理过程，传统以文件扫描为中心的手段难以发现。

供应链与第三方风险

设备出厂固件、组态软件更新包、集成商交付的介质都可能被植入恶意内容。组织对上游的控制力有限，因此需要在“进入自己网络之前”设置检测点。

恶意文件与移动介质引入

现场维护常用 U 盘、移动硬盘在隔离网络之间传递文件，这是 OT 环境最现实的感染路径之一。例如需要把厂商提供的补丁包从办公网带到生产网，如果没有清洗环节，文件会连同潜在恶意代码一起进入。

未修补漏洞与弱访问控制

老旧 OT 设备难以停机打补丁，远程维护账号共享、权限过大也是常见问题。这类风险靠管理流程和访问控制收敛，而非单纯依赖补丁。

核心能力清单

其中“文件清洗与检测”是 OPSWAT 这类厂商的核心方向：在文件从低安全区进入高安全区之前完成检测与净化，而不是等文件落到控制终端再处理。

分阶段落地步骤

第一阶段：资产盘点与风险评估

1. 列出所有 OT 资产及其网络位置、负责人、通信关系。
2. 标出跨区通道、远程接入点和介质使用点。
3. 按“停机影响×被攻击可能性”排序，确定优先加固对象。

验证方法：形成一份可核对的资产清单和风险排序表，每个高风险节点都有明确责任人。

第二阶段：优先加固关键节点

1. 收敛 IT/OT 边界，默认拒绝，按业务需要逐条放通。
2. 在隔离区入口部署文件检测与清洗，所有跨区文件必须经过该节点。
3. 启用移动介质白名单，未登记介质无法接入。
4. 远程运维改为经审批的跳板通道，全程留痕。

常见卡点：业务方担心清洗环节影响文件可用性。应对方式是先在小范围试点，确认清洗后文件仍能满足生产要求，再扩大范围。

第三阶段：建立检测与响应流程

1. 集中采集边界设备与控制网络的日志。
2. 设定告警分级和升级路径，明确谁在什么时限内响应。
3. 准备隔离、取证、恢复的操作手册。

验证方法：用一次模拟告警测试从发现到响应的全流程耗时。

第四阶段：定期演练与复盘

每季度至少一次桌面推演，每年一次贴近实战的演练，复盘后更新预案和资产清单。防护效果可用“跨区文件 100% 经过检测”“未登记介质接入次数为零”“告警平均响应时间”等指标衡量。

合规与供应链审查

合规要求通常落在分区分域、访问控制、日志留存和应急演练上，具体条款需对照所在行业的主管规范核对。供应链审查建议要求供应商说明：固件与更新包的来源与完整性校验方式、交付介质是否经过检测、远程支持通道的权限与审计机制。把“文件进入生产网前必须经过检测”写入采购与运维合同，比事后追责更有效。

怎么选方案

选择防护方案时，用同一组维度比较：是否覆盖 OT 协议与隔离场景、文件检测是否支持多引擎与内容净化、能否管控移动介质、是否提供远程接入审计、部署是否需要停机。对已有工业防火墙的组织，优先补齐文件清洗与介质管控；对远程运维频繁的场景，优先做通道收敛与审计。OPSWAT 官网提供免费试用入口，可在隔离区入口先做小范围验证，再决定推广范围。