工厂全光网如何避免生产网勒索病毒横向扩散

在智能制造环境中，勒索病毒真正危险的地方，往往不是“感染了一台电脑”，而是感染之后还能沿着企业内网不断寻找下一个目标。

一台办公终端中招，可能进一步访问文件服务器；研发电脑被攻陷，可能波及MES、ERP等业务系统；如果办公网、生产网、IoT网络之间缺少有效边界，攻击者就可能利用弱口令、漏洞或远程服务继续横向移动，最终从一台终端扩散到多个业务区域。

这也是传统“只在互联网出口部署防火墙”的安全体系容易出现的盲区。智慧光迅针对工业园区提出的全光网络与安全融合方案，并不是单纯依靠全光网“防勒索”，而是通过网络分区、终端准入、访问控制、入侵防护和行为审计等能力，把勒索病毒的横向传播路径一层层切断。

一、勒索病毒为什么容易在工厂内网横向扩散？

1. 网络过于扁平，一台电脑中招可能牵连整片网络

不少工厂早期建设网络时，重点是解决设备联网和办公通信，并没有按照现在的生产安全要求划分清晰的网络边界。

办公电脑、研发终端、生产设备、服务器、摄像头等设备处于相对开放的网络环境中，一旦某台终端被勒索病毒感染，攻击者就可能继续扫描其他设备，尝试利用漏洞、弱口令或远程服务进行横向渗透。

对于制造企业来说，真正需要防范的不是某一台电脑被加密，而是“单点感染”最终演变成“生产网络连锁感染”。

2. 生产网和办公网互通，病毒容易找到新的传播路径

员工通过邮件、网页下载、即时通信工具等渠道接触到恶意文件，是勒索病毒进入企业网络的常见途径之一。

如果办公网络和生产网络之间没有明确的访问边界，办公终端一旦被攻陷，就可能成为进入核心业务区域的跳板。

3. 只防网络出口，挡不住已经进入内网的病毒

传统网络安全建设容易把重点放在“外部攻击进不来”。

但勒索病毒一旦通过员工电脑、邮件附件或者文件传输进入内网，威胁就已经发生了。此时，如果内部网络仍然默认互通，仅靠出口防火墙很难阻止病毒继续向其他终端传播。

因此，工厂网络安全不能只建立一道外围防线，还需要在内部建立多个安全边界，让攻击即使突破一个区域，也无法轻易继续向生产核心区域移动。

二、全光网络搭底座，把勒索病毒限制在更小范围

1. 业务分区先行，切断病毒横向传播的“路”

防止勒索病毒扩散，首先要解决网络之间“能不能互通”的问题。

智慧光迅全光网络可以根据工厂实际业务，将办公、研发、生产、安防、访客、IoT等区域进行划分，通过PON网络的业务隔离、VLAN等方式建立不同的网络边界。

对于生产控制网，可以进一步与办公区域进行隔离，减少普通办公终端直接访问生产设备的机会。这样即使办公电脑出现感染，也不会因为网络天然互通而直接把风险带到生产区域。智慧光迅已有工业全光方案将生产网与办公网进行独立划分，并结合业务隔离实现网络边界控制。

2. 终端准入管控，避免未知设备成为感染源

勒索病毒防护不能只关注电脑，还要关注“谁正在接入网络”。

工厂里存在大量摄像头、门禁、PLC以及其他IoT设备，这些终端通常没有传统PC那样完善的身份认证机制，如果网络端口处于开放状态，未经授权的设备可能直接接入。

智慧光迅可以结合802.1X、MAC白名单、ONU序列号等方式，对终端进行准入管理。只有符合策略的设备才能进入对应网络区域，从源头减少陌生设备和非法终端接入生产网络的可能。

3. 零信任访问控制，让“接入网络”不等于“可以随便访问”

完成终端认证之后，还需要进一步限制终端能够访问什么。

例如，普通办公电脑没有必要访问生产服务器，访客终端更不应该进入研发网络；即使某台办公电脑被攻陷，也应该将它的访问范围限制在必要业务之内。

智慧光迅的企业园区方案可以将零信任与业务微隔离结合，根据用户身份、终端和业务需求进行最小权限控制。这样一来，勒索病毒即使控制了一台终端，也很难利用这台终端无限制扫描和访问其他业务区域。

4. IPS+AV多层防护，在病毒进入和扩散过程中持续拦截

网络隔离解决的是“病毒能不能继续走”，而安全防护解决的是“病毒能不能被识别和阻断”。

智慧光迅全光融合网关可以集成IPS、AV等安全能力，对漏洞攻击、恶意程序和病毒文件进行识别与拦截。对于通过邮件附件、网页下载、文件传输等方式进入企业网络的勒索木马，可以在网络侧增加检测和阻断能力。

如果已经有终端被攻陷，还可以通过异常流量识别，对高频扫描、异常文件传输、跨终端访问等行为进行监测，及时发现潜在的横向扩散活动。

5. 全量审计和云端管理，让异常行为能够快速定位

勒索病毒爆发后，最怕的是企业不知道“从哪里开始感染”。

智慧光迅可以通过日志审计记录终端接入、网络访问以及异常行为，并结合EAAS云平台进行统一监测。当出现异常跨网访问或者疑似病毒传播行为时，可以及时告警，再根据终端、区域和访问行为进行追溯。

对于拥有多个生产基地的集团企业，还可以通过云端平台统一下发安全策略，让各个厂区保持相对一致的安全标准，避免出现“总部做了防护，分厂还是裸网”的情况。

对于工厂而言，勒索病毒防护不能依赖某一台防火墙或者某一个杀毒软件。

智慧光迅提出的“通密一体”思路，是把通信能力与安全能力放到同一套网络架构中考虑：以全光网络作为通信底座，以业务隔离和访问控制划分安全边界，再通过防火墙、IPS、AV、终端认证和审计等能力形成纵深防护。

这样做的意义，并不是宣称勒索病毒“绝对无法进入”工厂网络，而是即使某个终端出现失陷，也尽可能把风险控制在局部范围内，避免从一台电脑演变成整条产线甚至整个厂区的网络事件。

FAQ

Q：通密一体的加密会不会影响生产网的实时性？

A：智慧光迅方案在PON链路层采用AES-128原生加密，加密对业务帧逐帧处理，对实时控制通信的延迟影响在工业场景可接受范围内。加密是“原生”的，不是外挂加密设备，不额外引入网络跳数。

Q：工厂已经有防火墙了，还需要做内网隔离吗？

A：需要。传统防火墙主要管控互联网出入口的南北向流量，对内网设备之间的东西向流量管控能力有限。勒索病毒横向扩散恰恰利用的就是内网设备之间的“默认互信”。边界防火墙和内网隔离是互补关系，不是替代关系。

Q：全光网改造需要把现有铜缆全部换掉吗？

A：可以分阶段实施。生产车间、AGV路线、PLC集中区域等对安全要求最高的区域优先替换为全光接入；办公区可保留现有网络，通过光网关与全光网平滑对接。智慧光迅方案支持与现有网络混合组网，逐步过渡。