文章总结： 本文探讨了工业企业中因运行老旧、无法更新的操作系统和控制器而形成的僵尸基础设施安全问题。其核心要点在于，由于物理更换成本极高，这些系统只能通过非传统手段进行保护。文章指出，保障这些基础设施安全需要将网络与物理安全相结合，例如采用严格的硬件防火墙（数字混凝土）进行网络分段、通过被动网络监控建立基线以及强化物理边界防护等措施。同时，文章也揭示了行业内普遍存在的依赖eBay等渠道寻找绝版零件以维持运营的现实。 综合评分： 85 文章分类： 工业控制安全,网络安全,漏洞分析,应急响应,安全建设

工业企业的安全：保护“僵尸”基础设施

数世咨询

2026年3月30日 15:01 河北

本文关键看点：

#01

一条生产线的升级报价达到1000万美元，成本不在于购买设备，而在于施工、再认证和停机时间；

#02

有些客户会主动监控破产申请，以收购旧控制器，然后保存起来。我们正在储存过去以生存当下；

#03

使用数字混凝土（防火墙或网闸），物理安全就是网络安全。

▍以下正文内容由AI工具生成，可能存在语义偏差，请以原文为准。

✦

以下为正文

✦

如果你走在黑帽（Black Hat）或RSA大会（RSAC）的展会现场，行业会告诉你未来已来。所有的量子抗性加密、人工智能驱动的安全操作中心和云原生架构都在这里。

然后我回到我的日常工作中。

在拥有超过20年的经验，涵盖联邦政府、私营制造业和企业安全的背景下，我从各个角度看待这个行业。在我目前的双重角色中——作为财富100强公司的现场首席信息安全官（CISO）提供咨询，并作为一名现任从业者保护美国的一座大城市——我花一半的时间讨论“前沿技术”，另一半则在捍卫“生锈的边缘”。

关键基础设施和美国制造业的一个肮脏秘密不是我们在补丁更新上“落后”。而是我们在运行着经济的支柱系统，这些系统的“补丁”在物理上是不可能的。

我所说的是运行在Windows 95或自定义DOS内核上的操作技术（OT）和可编程逻辑控制器（PLC）。我说的是那些供应商在20年前就已经解散、源代码在合并中丢失、而编写逻辑的工程师在2005年去世的控制器。

没有免费的支持热线。没有GitHub存储库。只有一个闪烁的绿色指示灯，我们祈祷它永远不要变红。

补丁的物理学

这并不是懒惰的问题，而是物理和资本支出的问题。

在IT领域，当一台服务器达到其使用寿命时，你可以启动一台新的虚拟机。而在OT领域，那台“服务器”是一台物理上被水泥固定在发电厂基础上或硬连线到液压机机壳中的PLC。

更换那台5000美元的控制器并不只花5000美元。

• 在制造业：这意味着停止一条每小时产生50000美元收入的生产线，拆除并重新布线工厂车间的“神经系统”。
• 在公用事业：这意味着使用重型起重机将一台在互联网出现之前就安装的涡轮发电机吊出。
• 在市政部门：这意味着挖掘一个主要城市交叉口，以到达埋藏在地下20英尺的污水提升站。

我见过单条制造生产线的升级报价高达1000万美元——这不仅仅是硬件的费用，而是安装所需的建筑、重新认证和停工时间的成本。

因此，首席财务官说“不要”。而首席信息安全官被告知要“让它正常运转”。

“eBay供应链”

这导致了一个令普通消费者感到恐惧的现实：eBay供应链。

我亲自帮助制造和市政客户在eBay上寻找自克林顿政府时期以来就不再生产的特定控制模块。我们并不是在寻找古董；我们在寻找保持供水或生产线运转所需的特定I/O卡。

我知道有客户会积极监控破产申请，以便搜刮零件。当一家工厂关闭时，他们会收购遗留控制器，翻新后存放起来。我们正在掠夺过去以生存于现在。

保障不可保障的安全

我们的任务是保护这些“僵尸”基础设施免受拥有现代武器的国家行为者的攻击。我们无法在这些PLC上安装现代的终端检测和响应代理。它们会崩溃内核。我们无法扫描它们的漏洞。一次简单的nmap扫描可能会使一个遗留的SCADA系统离线。

我们被迫在尸体周围建立数字堡垒。以下是我们在现实世界中如何做到这一点：

• “数字混凝土”：真正的网络分段VLAN不足。如果你的遗留OT网络通过简单的规则可以与公司IT网络“对话”，你就已经失败了。我建议客户使用“数字混凝土”，严格的硬件防火墙或只允许单向流量的数据二极管。OT网络应该对外界看起来像一个黑洞：遥测数据可以流出，但没有任何东西可以流入。
• 监控网络，而不是终端：由于我们无法在一台30年的控制器上放置代理，我们必须观察网络。我们使用被动网络监控来建立“正常”的基线。如果一台与同一内部IP地址交互了15年的PLC突然尝试与不同子网中的服务器通信，那就是你的警报。
• 物理安全即网络安全：当数字锁失效时，物理锁必须保持有效。我见过评估案例，其中我们通过走进一个未上锁的公用事业小屋并将树莓派插入交换机，绕过了价值100万美元的防火墙。如果你在运行遗留设备，你的物理边界，包括围栏、锁和摄像头，成为你的主要防火墙。

现实检查

我们需要停止指责组织使用遗留技术，而是开始帮助他们保障安全。

你家附近的水泵、制造你汽车零部件的工厂，以及为你的办公室供电的电网，可能都依赖于eBay供应链。我们无法通过补丁来解决这个问题。

编写代码的人已经不在了。供应商已经破产。硬件已经过时。但任务——保持灯光亮起和水源清洁——依然存在。

作为安全领导者，我们的工作不是抱怨生锈，而是确保生锈不会变成漏洞。

* 本文为泽钧编译，原文地址：https://www.darkreading.com/cyber-risk/a-guy-who-wrote-code-died-in-2005-i-still-must-secure-it 注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

— 【 THE END 】—

🎉 大家期盼很久的#数字安全交流群来了！快来加入我们的粉丝群吧！

🎁多种报告，产业趋势、技术趋势

这里汇聚了行业内的精英，共同探讨最新产业趋势、技术趋势等热门话题。我们还有准备了专属福利，只为回馈最忠实的您！

👉 扫码立即加入，精彩不容错过！

😄嘻嘻，我们群里见！

更多推荐

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：数世咨询 null《工业企业的安全：保护“僵尸”基础设施》