适用场景

OT 安全的铁律：可用性优先。工控设备常年不重启、系统老旧不打补丁，任何改动都要评估对生产的影响。

配置步骤（流量监测与告警）

# 1) 镜像口旁路采集工控流量（不串接，避免影响生产）
# 2) 基线：正常指令序列、正常通信对
# 3) 告警：异常指令、异常主机接入、非工作时间通信
# 4) 处置：告警后人工确认，不自动阻断

关键参数与建议

  • 分区隔离：生产网与办公网物理/逻辑隔离，边界用工业防火墙或单向网关
  • 资产清单：PLC、HMI、工控机、交换机型号固件与责任人
  • 加固：关闭不必要服务/端口、修改默认口令、禁用外网
  • 监测：工控协议白名单、异常指令告警（不主动阻断）
  • 应急：明确断网、降级、人工接管流程

容易踩的坑

  • 串接部署影响生产可用性
  • 无基线，告警淹没
  • 自动阻断误伤生产指令

验证与巡检

# 验证：基线学习 1~2 周后模拟异常通信，确认告警
  • 巡检：基线更新、告警处置记录

小结

OT 项目验收：隔离验证通过、资产清单完整、异常告警可用、应急预案演练过。三条缺一条都不算合格。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。