攻击没碰到产线，产线还是停了：OT/IT 分段先做哪一步

一个常见的误会："黑客攻击的是办公网，产线没事。"现实是，多数工业侧安全事件的第一跳都发生在 IT 侧——办公终端中了招，横向一爬，摸到生产网，PLC 停机、产线急停。攻击者可能从头到尾没"碰"过产线设备，产线却停了，损失按小时计价。

OT/IT 分段，就是掐断这"一爬"的路。

一、为什么办公网是产线的软肋

办公网直连互联网，邮件、网页、U 盘都是入口，员工随手点开一封钓鱼邮件，终端就沦陷了；

生产网追求稳定，设备常年不打补丁、固件老旧，Windows 系统停服多年的工控机不在少数。

网一旦直通，办公网里的勒索软件、挖矿程序顺着网络找生产设备，而生产设备的防护能力几乎为零——一个入口，全网失守。

更棘手的是产线设备的"不可再生"属性——办公电脑中毒可以重装，产线控制系统中招，停产损失、订单违约是按小时计算的，两者不在一个量级。

二、分段先做哪一步

第一刀，物理隔离：生产网与办公网分开组网，生产流量走独立的光纤承载。PON 架构适合这个场景——光纤直达车间，工业级 ONU 连接 PLC、AGV 与机器视觉设备，办公区走另一套业务平面，物理上就不在一个网里。

第二刀，白名单：生产网内启用工业协议白名单机制，只有授权的协议和指令能在网内通行，异常指令进不了 PLC；配合工控入侵检测，实时发现针对工业协议的异常行为，产线数据全程加密。

第三刀，审计：生产网的操作行为全程记录，谁在什么时间对哪台设备下过指令，事后可查——出了事件能定位，平时也形成威慑。很多工厂担心分段影响效率，实际恰恰相反：生产网瘦身后流量干净、时延稳定，调度指令反而更快；办公网没了生产流量混杂，IT 排障也简单了。

三、分段不是把生产网封闭起来

分段之后，生产数据照样要往 MES、ERP 里送，远程运维也少不了。这些跨网访问走受控通道：最小权限、按需开通、全程加密，生产网的"门"只给授权的人开，而且开了有记录。分段封闭的是风险，不封闭业务。落地顺序建议从"摸家底"开始：把产线上有哪些设备、哪些协议、哪些跨网数据流列清楚，分段方案才有依据——拍脑袋划网，划出来的多是漏洞。

产线被攻击，路径几乎都从 IT 侧绕进来。智慧光迅以全光为底座、音视频为引擎、安全为护盾，打造 “通密一体”解决方案，依托梦想网关实现实名认证、日志留存、安全防护、物理隔离、协议白名单、全程审计等功能，筑牢安全防线

FAQ

Q：生产网和办公网隔离后，数据怎么上报？

A：通过受控的跨网通道定向传输，按最小权限开通，全程加密并有审计记录。

Q：车间电磁环境复杂，光纤扛得住吗？

A：光信号不感应电磁场，天然抗强电磁干扰，适合车间与配电房周边布线。

Q：分段改造要停产吗？

A：新旧网络可并行建设、分批切换，产线割接安排在检修窗口，具体以生产排期为准。