污水处理厂IT/OT扁平网络的分区改造路径
某城市污水处理厂承担城区约60%的污水处理量,其监控系统由3套PLC、2台SCADA服务器、6台HMI和1台同时连接办公网与生产网的工程师站组成。全厂使用172.16.0.0/16单一网段,办公终端、视频监控、SCADA服务器和PLC处于同一广播域,核心交换机上没有任何ACL。去年办公网一台终端感染勒索软件后通过SMB横向传播,加密了报表服务器的共享目录,所幸未波及PLC。厂方按上级集团计划每月只有一次4小时停机窗口(凌晨0点至4点),其余时间必须连续运行,任何超过15分钟的中断都可能造成尾水超标并触发环保处罚。厂区常有12台外包运维人员自带的笔记本电脑直接插到接入交换机上,PLC厂商远程维护时通过一台4G路由器拨入内网。SCADA服务器运行在已停止支持的Windows Server 2012 R2上,PLC编程软件要求固定IP且不支持802.1X,曾发生过一次交换机配置错误导致的2小时通信中断。安全团队建议在生产网与办公网之间部署工业防火墙并划分区域,运维负责人担心串联设备故障导致停产。厂里没有完整的资产清单和流量基线,年度安全预算仅80万元,只能先做一个项目,上级集团要求三个月内提交整改方案。安全团队只有2人,且都不熟悉工控协议。
1. 在缺少资产清单和流量基线、预算只够做一个项目的情况下,第一个项目应该做什么?请给出实施顺序和判断依据。
Read the worked answer
应遵循“先看得见、再管得住”的顺序,第一个项目选择在办公网与生产网之间部署带流量学习能力的工业防火墙,而不是先做终端加固或买漏扫。
理由:
- 分区边界是唯一能同时阻断“办公网→生产网”这条已证实被利用的横向路径的控制点,收益最大且与上次事件直接对应。
- 白名单策略必须基于真实会话,没有基线就上线阻断必然导致停产,所以第一步应是低成本、零停机的流量采集:在核心交换机配置镜像口做被动监听,运行2~4周,同时用被动流量识别补齐资产清单,并与PLC厂商的图纸核对。
- 时间表可以满足三个月:第1
4周流量采集与资产梳理(几乎零成本),第58周旁路监听模式部署并生成白名单,第9~12周在停机窗口内切为阻断模式。 - 80万元预算下,不建议同时做终端加固和边界隔离,否则两头都做不深;SCADA服务器EOL问题先用主机防火墙、禁用不必要服务和补丁替代措施处理,列入下一财年计划。
判断依据始终是“风险降低量÷实施风险与成本”,而不是控制措施的先进程度。
2. 运维负责人反对串联部署工业防火墙。请给出至少两种可选落地方式并比较优缺点,说明你如何回应他的顾虑。
Read the worked answer
方案A:工业防火墙透明串联 + 硬件Bypass
- 优点:能真正阻断非法会话,支持工控协议深度解析,bypass在设备断电或故障时物理直通。
- 缺点:需要一次停机窗口接线,bypass切换必须实测,仍存在极短的切换风险。
方案B:核心交换机ACL/VRF隔离
- 优点:不新增串联节点,故障风险最低,利用现有设备,可立即实施部分策略。
- 缺点:策略粒度和工控协议识别能力弱,变更依赖网络管理员,难以做到应用层白名单。
方案C:单向网关/数据二极管
- 适合仅需把生产数据送到办公侧做报表的场景,安全性最高,但成本高、部署复杂,且不能替代双向运维通道的管控。
回应顾虑的做法:不要用口头承诺,而用工程证据--要求厂商提供bypass切换测试报告;在非生产时段做一次拔电与断电测试并记录恢复时间;准备回退脚本、配置备份和厂商驻场;合同中写明故障响应SLA;同时保留一台备用交换机作为应急旁路。先以旁路监听模式运行一个月,让运维看到设备不会影响生产,再谈串联,沟通阻力会显著降低。
3. 针对工程师站双网卡、外包人员自带笔记本和厂商4G远程拨入,分别给出处置建议。
Read the worked answer
工程师站双网卡:这是当前最危险的路径,等于把生产网和办公网直接桥接,使前面所有分区失效。应取消双网卡,在生产网内设置一台堡垒机/跳板机,启用双因素认证和会话录屏,运维人员经跳板机访问HMI和PLC;如确需跨区取数,改为由生产侧单向推送数据到办公侧采集服务器。
外包笔记本:在接入交换机上划出独立的“外包接入区”VLAN,只允许访问跳板机的RDP端口,其余全部拒绝;启用端口安全/MAC绑定和闲置端口关闭;无法部署802.1X时,用端口隔离加接入审批流程替代,并对外包机器做接入前检查(补丁、杀毒、无本地管理员权限)。所有操作经跳板机留痕。
厂商4G远程拨入:改为按需开通--平时关闭,工单审批后临时启用,使用一次性账号加双因素,会话结束立即回收;4G路由器放在独立VLAN并做源地址与目标地址白名单,禁止直接访问PLC网段,只允许到跳板机。有条件时用厂商专用远程运维平台替代裸4G拨号。
三项措施的共同逻辑是把“人”的接入点收敛到少数可审计的跳板路径上,而不是依赖对每一台终端的信任。