员工电脑沦陷、产线被加密：全光 IT/OT 硬隔离如何守住“不停产”底线

员工电脑感染勒索病毒，最初可能只是办公文件无法打开，但如果办公网络与生产网络之间缺少有效隔离，攻击就可能进一步蔓延至生产服务器、工业终端和设备管理系统，造成生产数据异常，甚至影响产线运行。

对于制造企业而言，网络安全不仅关系到数据是否泄露，更关系到生产能否持续。仅依靠互联网出口防火墙，很难完全应对已经进入内网的攻击。企业需要从网络架构入手，明确 IT 办公网与 OT 生产网之间的通信边界，让办公区域出现安全事件时，尽可能避免影响生产系统。

一、办公电脑被攻陷，为什么产线也可能受到牵连？

1. IT与OT互通范围过大，攻击可能跨网蔓延

IT网络主要承载办公、邮件、文件共享及企业管理系统，OT网络则关系到生产设备、工业控制和现场数据采集。如果两者之间存在过多开放的访问通道，攻击者控制办公电脑后，就可能尝试利用共享账号、远程管理服务或系统漏洞，进一步接近生产网络。

2. 传统网络边界不清，内部访问缺少限制

一些工厂在建设网络时更关注设备能否互联，忽略了不同业务之间的访问权限。办公电脑可以访问生产服务器，普通用户能够连接设备管理接口，都会增加攻击横向扩散的机会。一旦勒索病毒进入关键业务区域，影响范围就可能超出最初的感染终端。

3. 生产系统恢复困难，停产损失远超网络故障

生产设备、工业软件和工艺数据之间存在紧密关联。遭遇勒索攻击后，即使部分电脑能够重新安装，生产系统仍可能面临配置恢复、数据核验和设备重新联调等问题。因此，企业不能只考虑感染后如何修复，更要提前限制 IT 风险进入 OT 网络的路径。

二、智慧光迅全光网络，构建IT与OT的安全边界

1. 划分IT与OT网络区域，减少跨网攻击路径

智慧光迅可结合全光网络架构，对办公、生产、服务器及设备管理等区域进行合理规划，将 IT 办公业务与 OT 生产业务分别管理，并通过访问控制策略明确跨区域通信范围。

例如，普通办公终端不应默认访问工业控制设备，生产终端也不需要直接连接无关的办公资源。对于生产数据上传、设备运维等确有需要的业务，可仅开放必要的通信路径，减少攻击者借助内部网络持续扩散的机会。

需要注意的是，网络分区并不自动等于物理硬隔离。如果企业要求 IT 与 OT 之间不存在直接网络连通，应根据安全等级和生产要求部署独立的物理网络或经过安全评估的隔离设备，避免仅依靠逻辑划分就认定实现了硬隔离。

2. 加强终端准入，减少未经授权的设备接入

智慧光迅可结合终端白名单、ONU端口绑定及适用的身份认证机制，对办公终端、生产设备和物联网终端实施接入管理，降低未知设备随意接入网络的风险。

对于摄像头、数据采集设备等哑终端，也可结合端口管理和访问策略，限制其只能访问业务所需的系统。通过明确设备身份和接入范围，减少被违规替换或未经授权接入的设备成为攻击入口的可能。

3. 配合安全域与访问控制，保护关键生产系统

在网络区域划分的基础上，企业还需要对关键服务器、生产管理平台及远程运维入口进行重点保护。智慧光迅可结合防火墙、安全域、身份认证及分级授权等能力，限制不同用户和终端能够访问的资源。

对于跨网数据交换、远程维护等场景，应采用经过评估的安全访问方式，并对关键操作进行记录。通过收紧不必要的访问权限，即使办公终端出现异常，也能降低攻击进一步触及生产核心系统的风险。

4. 结合通密一体建设，兼顾通信效率与安全保障

智慧光迅全光网以光纤承载园区多类业务，可为生产数据、设备监控和办公应用提供传输基础。在此基础上，通密一体将通信建设与安全需求统筹考虑，结合身份认证、访问控制及适用的加密措施，提升关键业务通信的安全保障能力。

对于 IT/OT 场景，通信效率与安全边界需要同步规划：既要满足生产数据采集和业务协同的需求，也要避免为了方便互通而开放过多访问通道。涉及高安全要求的生产区域时，还应根据实际架构采用独立布线、物理隔离或工业安全隔离设备，不能将光纤传输本身视为硬隔离措施。

员工电脑沦陷，不应成为产线被攻击的起点。制造企业要守住不停产的底线，关键在于提前规划 IT 与 OT 的网络边界，控制跨区域访问，并加强终端准入和关键系统防护。

智慧光迅全光网络可为企业提供灵活的网络承载基础，再结合访问控制、安全域及通密一体建设思路，帮助企业降低内部攻击扩散风险。对于需要真正实现 IT/OT 硬隔离的场景，还应通过独立物理网络或合适的隔离设备落实边界，配合备份、恢复演练和生产应急预案，进一步提升生产业务的连续性保障能力。

FAQ

Q：全光网的设备寿命和维护成本如何？

A：光纤由二氧化硅制成，不氧化、不腐蚀，在工业环境中的链路寿命可达30年量级。无源分光器无电子元器件，不需要供电和散热，故障率极低。需要维护的主要是OLT和ONU等有源设备，数量远少于传统交换机组网方案。整体来看，全光网的生命周期成本和维护投入通常低于传统铜缆方案。

Q：全光网和传统工业交换机网络相比，运维难度哪个更大？

A：全光网在运维上做了减法。传统铜缆网络有多级有源交换机，每台都要配置VLAN、ACL、路由，设备越多配置越复杂，故障点也越多。全光网采用OLT+无源分光器+ONU两层扁平架构，无源分光器不需要供电、不需要配置，需要管理的设备数量大幅减少。日常运维中，管理员只需要在EaaS平台上统一管理OLT和ONU，不需要逐台登录交换机。