对于制造业IT/OT安全负责人来说，有一个两难困境始终难以回避：等保2.0要求定期完成漏洞扫描，但产线设备容不得任何扫描导致的异常；公司要求持续监控工控网络，但OT专业人手几乎没有；数字化转型推进得越快，工程师站和PLC之间的边界就越模糊，安全团队却要用IT的工具来守住OT的防线。
制造业的网络安全挑战，从根本上有别于传统IT安全：漏洞扫描一旦导致设备异常，停产一小时的损失可能远超安全事件本身。这篇文章从IT和OT的本质差异讲起，重点回答"如何在不影响生产的前提下完成安全管理"这一核心问题，覆盖技术方法、合规框架和选型判断三个维度。
OT安全和IT安全在防护对象、扫描方式上有哪些本质区别？
OT安全和IT安全的核心目标不同，这决定了两者在防护对象和扫描方式上存在结构性差异，不能简单套用同一套工具。
防护目标差异：IT安全优先机密性，OT安全优先可用性
IT安全的首要任务是保护数据的机密性。服务器宕机可以重启，数据泄露才是最严重的损失。OT安全的首要任务是保障运行可用性：PLC（可编程逻辑控制器）控制着实体产线，HMI（人机界面）操控着物理设备，SCADA（监控与数据采集）系统管理着整个工厂的生产流程。任何导致这些设备停止响应的操作，都可能直接造成产线停工。安全优先级的根本不同，决定了防护策略不能照搬。
防护对象差异：OT设备与IT设备的生命周期和系统架构有何不同？
IT设备以服务器、PC、交换机为主，操作系统标准化（Windows、Linux），补丁更新频繁，设备生命周期通常在3到5年。OT设备则是另一套世界：PLC、DCS（分布式控制系统）、RTU（远程终端单元）、IED（智能电子设备）等设备大量采用专有操作系统和工业协议（如Modbus、DNP3、Profinet、S7），生命周期往往超过10年甚至20年，很多设备设计之初没有考虑过网络安全。两者并存于同一个工厂环境时，用统一的IT安全策略覆盖OT设备，会产生大量不可见的安全盲区。
扫描方式差异：为什么传统漏洞扫描器不能直接用于OT设备？
这是制造业安全团队遇到的最直接问题。传统IT漏洞扫描器的工作方式是主动发送探测包，通过设备对数据包的响应来判断其版本和漏洞。这种方式对OT设备可能是灾难性的：PLC等工控设备在设计时没有预期会接收这类探测流量，异常数据包可能导致设备重启、卡死甚至损坏，从而引发真实的产线停工。
因此，工业环境中的漏洞评估必须使用与设备"母语"相符的方式与之通信，而不是依赖通用的网络扫描逻辑。这是OT网络安全方案选型中最核心的技术门槛之一。Tenable是一家专注漏洞与暴露风险管理的网络安全公司，其 OT Security平台用于提升工业控制系统和OT环境的可视化与风险管理能力。该产品结合被动流量分析与安全主动查询（Safe Active Querying）技术，通过工业协议与设备进行只读通信，在获取资产与配置数据的同时尽量降低对生产系统运行的影响。
IT/OT融合给传统物理隔离带来了哪些新的攻击路径？
物理隔离曾是OT安全的主要手段，今天这条防线已经很难维持，而且正在制造新的安全盲区。
工厂数字化过程中有哪些常见的IT/OT融合路径？
工业数字化转型带来了以下几条常见的融合路径，每一条都可能成为攻击的入口：
• 远程运维接入：工程师通过VPN远程登录工厂内网进行设备调试，将外部网络与OT环境短暂连通
• 第三方供应商维护：设备厂商工程师携带接触过外部网络的笔记本，通过USB或直连端口更新PLC程序
• 数据分析平台对接：工厂将产线数据推送至ERP、MES（制造执行系统）或云端分析平台，形成数据通道
• IIoT（工业物联网）设备接入：大量传感器、摄像头、环境监控设备联网，扩大了暴露面
即使组织在战略上无意融合IT和OT，一台曾经连接过外部网络的笔记本被用来给车间设备做维护，就可能在隔离环境中留下持续的安全隐患，这在工业网络安全领域被称为"偶然融合"（accidental convergence）。
IT/OT融合之后，攻击者如何从办公网络进入产线？
当IT网络和OT网络之间存在通路，攻击者不再需要直接攻击工控设备。更常见的路径是：从企业办公网络的一个漏洞（如钓鱼邮件获取的员工凭证）开始，横向移动到工程师站，再从工程师站接触到PLC或SCADA系统。IT网络中习以为常的漏洞——Active Directory（活动目录）配置错误、弱密码、未打补丁的Windows工作站——在IT/OT融合的环境中，都可能成为攻击产线的跳板。
这一现实在中国制造业尤为突出。中国是全球智能制造数字化进程最快的市场之一，IT/OT融合的深度和速度持续加快，而工控安全的专业团队建设往往滞后于数字化部署节奏。大多数制造企业的OT安全责任目前由IT团队兼管，而IT背景的安全人员对工业协议、工控设备特性的了解存在明显盲区。
产线全年无休的前提下，如何完成合规要求的漏洞扫描？
这是制造业IT/OT安全负责人最常遇到的执行难题。合规要求需要定期完成漏洞评估，但传统扫描方式可能导致设备异常，且产线排不出专门的停机窗口。
OT环境漏洞扫描面临哪三个核心难点？
工控环境的漏洞扫描难点，集中在以下几个方面：
• 部分OT资产平时不通过网络主动通信（休眠设备），纯被动流量监测无法发现这类设备，导致资产底数不清 • 传统扫描工具发送陌生探测流量，OT设备可能无法正常处理，存在导致异常的风险
• 许多OT设备运行专有操作系统，通用漏洞扫描器无法识别其软件版本和配置状态，检测结果不准确
这三个问题叠加，导致很多制造企业长期处于"不敢扫、扫不准、看不全"的状态。
技术解法：被动监测与主动安全查询结合
应对这一问题，目前工业网络安全领域普遍采用两种技术组合使用的方式：
• 被动网络监测（Passive Network Monitoring）：通过流量镜像或旁路方式侦听网络中的所有通信，对生产网络零影响。可以实现实时威胁感知、异常行为检测、工业协议识别，以及新设备接入告警，适合7×24小时持续运行。
• 主动安全查询（Safe Active Querying）：可按需或周期性执行，通过工业设备所使用的原生协议与PLC、HMI、DCS等进行通信，在只读前提下获取更细粒度的资产与配置数据，例如设备型号、固件版本、网络配置及部分安全相关信息（如已知漏洞匹配情况）。该方式避免使用通用IT扫描的异常探测流量，旨在在可控风险范围内补充被动监测难以获取的资产信息，同时尽量降低对生产环境的影响。
Tenable OT Security采用上述两种能力结合的混合发现方式，可以覆盖到那些在正常状态下不通过网络通信的休眠资产，这是纯被动监测无法做到的。
OT安全合规要求：IEC 62443、等保2.0、NERC-CIP分别覆盖什么？
制造业的OT安全合规涉及多个框架，不同企业需要满足的要求因行业、规模和市场不同而有所差异。以下是三个最常被提及的框架各自的覆盖范围和适用对象。
IEC 62443：工业自动化和控制系统的国际安全标准
IEC 62443是专门针对工业自动化和控制系统（IACS，Industrial Automation and Control Systems）制定的系列国际标准，目前是全球制造业和关键基础设施领域引用最广泛的OT安全框架。
核心要求包括：
• 将工业网络划分为不同安全区（Security Zone）和管道（Conduit），按区域实施不同等级的防护
• 对OT环境进行持续监控和资产识别
• 建立针对工控系统的风险评估和漏洞管理流程
• 分别对设备制造商（Component）、系统集成商（System）和资产所有者（Facility）三个层级提出差异化要求
IEC 62443适用范围广，从离散制造到流程工业（石化、电力、水处理）均有覆盖。跨国制造企业和面向全球市场出口的中国企业，通常以IEC 62443作为OT安全体系建设的基础框架。
等保2.0（网络安全等级保护制度2.0）：中国制造业的本土合规要求
等保2.0是中国本土法规，2019年正式施行，将工业控制系统纳入等级保护范畴。对于工厂和关键基础设施运营企业而言：
• 工业控制系统通常需要达到等保三级要求
• 技术要求涵盖资产识别、安全区域划分、边界防护、访问控制、安全审计和漏洞管理
• 等保评测需要定期执行，评测结果需向主管部门报备
等保2.0是在中国运营的制造企业的强制性合规底线，不满足要求将面临监管通报和整改要求。
NERC-CIP：北美电力行业的关键基础设施保护标准
NERC-CIP（北美电力可靠性公司关键基础设施保护标准）主要适用于北美的电力系统运营商，但对两类中国企业同样高度相关：
• 在北美、欧洲、中东有业务的中国能源和储能企业（如储能电站出口商）
• 计划进入北美市场或与北美电网运营商合作的企业
NERC-CIP对关键网络资产（Critical Cyber Asset）要求持续监控、配置变更管理和定期漏洞评估，且有明确的审计机制，不合规将面临高额罚款。
三个合规框架如何对应不同类型的企业？
• IEC 62443：全球制造业与关键基础设施通用，强调工业网络分区和持续监控
• 等保2.0：中国境内强制，适用于工业控制系统定级达到三级以上的企业
• NERC-CIP：北美电力行业强制，中国出海能源企业需重点关注
Tenable OT Security支持将安全态势自动映射到上述标准，并生成对应的合规报告，可直接用于等保评测和内外部审计提交。
工业网络安全方案的选型门槛：技术能力与合规资质如何评估？
工控安全方案选型的评估维度与传统IT安全产品有较大不同。选型判断可以从技术能力、合规落地、实施路径三个层面依次展开。
技术能力层面：哪五项能力是硬门槛？
资产发现的深度：仅能识别IP地址和设备类型，和能获取到固件版本、背板插槽配置、用户账号列表、控制逻辑（梯形图段）、热补丁状态之间，是两个完全不同的能力级别。资产清单的颗粒度直接决定漏洞评估的准确性。
工业协议识别范围：方案是否原生支持Modbus、DNP3、IEC 61850、Profinet、S7、BACnet等主流工业协议，决定了它能否真正读懂产线上发生了什么。缺乏这一能力的方案对OT安全事件基本是"看得见但读不懂"。
主动查询的安全性证明：厂商声称"不影响生产"，需要问清楚：查询是否只读？是否用设备原生协议通信？是否有主流设备厂商的验证报告？对于 Tenable OT Security，其安全主动查询机制通过只读通信和原生协议交互，已在多个工业场景中得到应用，选型时可要求厂商提供相关部署案例或技术说明作为参考依据。
IT/OT统一管理视图：如果两类资产的漏洞风险分别在两套平台管理，漏洞在两个域之间的横向移动风险就无法被完整看见。统一视图意味着一张资产清单、一套优先级评分逻辑、一个风险仪表盘。
与现有平台的集成能力：方案是否提供标准REST API，能否将告警和资产数据推送至现有SIEM（安全信息与事件管理）或SOAR（安全编排、自动化与响应）平台，决定了OT安全能否融入整体安全运营，而不是成为另一个数据孤岛。
合规落地层面：如何评估本地支持与资质认可？
合规报告生成能力：方案是否能自动将安全态势映射到等保2.0、IEC 62443等合规框架，并生成可直接提交审计的报告。这直接影响安全团队在等保测评前的准备工作量。
本地支持能力：工控安全部署通常需要现场工程师深度介入，包括旁路交换机配置、流量镜像设置、初始设备发现调优等。本地是否有原厂工程师团队、能否提供中文支持，是落地实施顺畅与否的关键因素。
第三方评测认可：出海制造企业和能源企业往往需要所选产品出现在Gartner、Forrester或IDC等权威评测报告中，以满足海外客户或监管方的尽职调查要求。
选型判断的参考：Tenable OT Security 各行业落地案例
以下三个案例来自Tenable在中国市场的实际交付，展示了Tenable OT Security在不同行业场景下的落地能力。
• 汽车制造业：高度自动化的整车工厂普遍面临产线资产底数不清、工控漏洞无法精准识别、网络故障溯源困难三类问题，加之跨国企业总部的安全审计要求往往直接施压到本地工厂。Tenable OT Security帮助此类客户建立完整的产线资产清单，通过主动资产探询以及Tenable特有的扫描技术，将需重点处置的漏洞聚焦到少数关键项，同时支持通信行为历史溯源和PLC配置变更审计，满足总部合规要求的同时提升日常运维效率。
• 关键基础设施（储能出海）：中国储能企业在向海外输出设备时，越来越多地面临业主方附加的网络安全建设要求，须满足IEC 62443等国际标准及属地监管规范，且部署方式不能对设施的实时控制和运行稳定性产生任何影响。Tenable OT Security以流量侦听加按需主动资产探询的方式部署，以无感知的方式持续运行，经多个海外项目的生产环境验证，两种探测方式均未对运行网络造成影响，同时可完整满足IEC 62443及属地合规要求。
• 智能制造（跨国工厂）：某跨国制造企业的中国工厂被评为灯塔工厂，IT/OT深度融合程度高，资产类型复杂，安全可视化能力的缺失会直接影响其面对集团安全审查的合规底气。Tenable OT Security帮助此类客户从零建立OT安全监控体系：从资产全量发现、漏洞优先级梳理，到异常流量实时告警和Playbook响应定制，逐步构建起覆盖全产线的防御能力。
制造业的IT/OT安全是一个不断演进的挑战：数字化程度越深，融合带来的攻击面就越复杂，而保持产线运行的压力又让安全操作的容错空间极小。这正是工控安全需要专门方法论、专用工具和专业落地支持的原因，也是Tenable在制造业、能源、关键基础设施领域持续深耕的核心场景。
制造业工控系统网络安全管理常见问题解答
OT安全与IT安全的核心区别是什么？
IT安全优先保护数据机密性；OT安全优先保障运行可用性，PLC、HMI、SCADA一旦停止响应即可能导致停产。优先级不同，防护策略不可通用。
为什么传统漏洞扫描器不能直接用于OT设备？
传统扫描器靠主动发送探测包判断漏洞，但OT设备在设计时并未考虑过要处理这类探测流量，异常数据包可能导致设备重启、卡死甚至损坏，引发停产。
IT/OT融合带来了哪些新的攻击路径？
远程运维、第三方供应商维护、数据平台对接、IIoT设备接入等场景，都可能让原本物理隔离的OT网络与外部产生连接，形成"偶然融合"。攻击者常从IT网络薄弱环节（钓鱼邮件、弱密码、AD配置错误）入手，横向移动至工程师站，再渗透至PLC或SCADA。
OT环境的漏洞扫描面临哪些核心难点？
- 休眠资产不主动通信，纯被动监测发现不了.
- 主动探测流量可能导致设备异常.
- 专有系统下通用扫描器难以准确识别版本和配置
三者叠加，企业常处于"不敢扫、扫不准、看不全"的状态。
在不影响生产的前提下，如何完成合规漏洞扫描？
行业普遍采用被动网络监测（流量镜像或旁路侦听）与主动安全查询（按需通过工业原生协议只读通信）相结合的方式。Tenable OT Security即采用这一混合发现机制，可覆盖被动监测无法发现的休眠资产。
IEC 62443、等保2.0、NERC-CIP分别是什么、适用于哪些企业？
- IEC 62443：工业自动化和控制系统国际标准，跨国制造企业与出口型中国企业常用.
- 等保2.0：中国境内强制性合规底线，工控系统通常需达等保三级
- NERC-CIP：北美电力行业标准，对中国能源/储能出海企业同样相关，不合规面临高额罚款
评估工业网络安全方案的技术能力，应看哪几项硬门槛？
- 资产发现深度（固件版本、控制逻辑等细粒度信息，而非仅IP和设备类型）
- 工业协议识别范围（Modbus、DNP3、IEC 61850、Profinet、S7、BACnet等）
- 主动查询是否只读、用原生协议、有厂商验证报告（如Tenable OT Security的安全主动查询机制，即通过只读通信和原生协议与设备交互）
- IT/OT统一管理视图
- 与SIEM/SOAR等平台的集成能力
