从泵站到调度，威努特四层防护筑牢城市排水工控安全防线

原创

罗怡凯
罗怡凯

威努特安全网络

2026年10月23日 08:00
北京

去阅读

城市排水行业网络安全现状

工控网络安全形势严峻

城市排水系统管着生活污水和工业废水的收集输送，也管着雨季排涝，属于城市生命线工程。泵站提升、防汛排涝、污水处理这些业务能不能稳定运行，靠的是分布在全市各点位的工业控制系统。这几年智慧水务推进得快，工控网络规模跟着扩，泵站点位多、通信方式杂，4G无线、专线、远程运维都在用，工控系统和办公网、第三方平台之间的数据交换也比过去频繁得多，暴露在外的网络面明显变大。

攻击这一侧同样在变化。水务、能源等关键信息基础设施遇到的攻击，已经从零散行为变成有组织的持续活动。公开报道过的案例里，攻击目的不只是偷数据，更多是直接干扰生产过程：安全机构多次监测到针对水务工控系统的扫描探测和漏洞利用，国内外都出现过工控系统被入侵后水泵机组异常启停、监控数据被改、生产系统被勒索病毒加密而停摆的情况。水务关系民生，防护又相对薄弱，被盯上并不意外。

还要看到工控系统自身的情况。排水工控系统大多建成时间早，一用就是很多年，不少上位机终端和现场控制器还跑在老旧的软硬件上，安全设计跟不上现在的需要。行业里重建设、轻安全的习惯没有根本转变，安全投入跟不上业务扩张的速度，防护能力和智慧水务的推进节奏之间已经有了明显差距。

国家及行业政策指引

相关法律对这类系统的要求已经很明确。《网络安全法》确立了网络运行安全和关键信息基础设施安全保护的基本制度；《数据安全法》对民生运行数据的采集、存储、使用提出了管理要求；《关键信息基础设施安全保护条例》进一步细化运营者的义务，要求设立专门安全管理机构，开展监测预警和安全审计，制定应急预案。排水工控系统承担城市排涝和水环境安全职能，符合关键信息基础设施的认定特征，这些法定义务需要落实到位。

标准方面，等级保护2.0（GB/T 22239-2019）把工业控制系统纳入了保护对象，并针对工控环境提出扩展要求。框架可以概括为\"一个中心、三重防护\"：以安全管理中心为核心，分别建设安全通信网络、安全区域边界、安全计算环境。做排水工控安全建设，这套框架可以直接对标。

行业层面，《城乡水务信息系统安全技术要求》对排水和污水处理设施的运行安全管理提出要求；城市生命线安全工程还在持续推进，排水这类市政设施的网络安全防护能力也被提到了更高的位置。合规要求叠加上业务连续运行的需要，排水企业推进工控安全体系建设已经没有太多观望空间。

城市排水工业控制系统构造

排水工控网络整体架构

排水工控网络通常分三层：水务局调度层、排水管理层、泵站现场层。水务局负责全局调度和监管，掌握各泵站工况和防汛态势。排水管理层是业务系统的主体，泵控系统、防汛系统、污水SCADA系统的上位机软件和数据库服务器都在这一层，各子系统之间的数据交换经核心交换机完成。泵站现场层由监控站、操作员站、工程师站，以及PLC、RTU、液位计、流量计等现场设备构成，机组启停控制、状态采集、工艺动作执行都在这一层落地。

组网方式上，泵站与排水管理层之间专线和4G无线混用，防汛监测点位多数走4G无线上传，污水厂内部用工控环网串起热水解、除臭、浓缩脱水、粗格栅、生物滤池等工艺段的控制流量。站点多、链路杂、层级多，是这个网络的基本形态，安全防护也因此要覆盖从现场控制层到调度管理层的整条链路。

核心业务系统介绍

1

泵控系统，排水泵站的机组监控和调度。系统由泵控系统工作站（上位机软件）、泵控服务器，以及泵站现场的监控站、操作员站、PLC、RTU组成。上位机下发启停和调节指令，PLC执行控制逻辑，液位计、流量计把运行工况实时回传，机组启停控制、状态采集、液位联动都靠这条链路。泵控系统能不能连续可靠运行，直接关系到城市的排水能力，指令被改或者机组异常停机，区域排涝就会出问题。

2

防汛系统，负责汛期的雨水情监测和排涝调度。它由防汛系统服务器和布在各点位的RTU、雨量计、液位计、流量计组成，监测数据经4G无线和专线汇聚到防汛调度中心，用于汛期泵站联合调度、闸坝联动和应急处置。防汛业务季节性很强，汛期数据量和调度频次都会明显上升，这时候监测数据失真或调度指令中断，带来的影响会被放大。

3

污水处理系统，由污水SCADA系统工作站（上位机软件）、服务器（数据库），以及热水解、除臭系统、浓缩脱水、粗格栅、生物滤池、储泥池等工艺段的PLC组成，通过厂内工控环网实现全流程自动控制。各工艺段按预设参数连续运行、前后衔接，出水水质是否稳定达标直接关系水环境安全和环保考核；工艺参数被篡改或工艺链中断，会造成直接的环保和经济损失。

排水工控系统业务与运行特性

从业务形态和工程实践看，排水工控系统有几个共同特点。也正因为这些特点，通用IT安全方案不能原样搬过来用。

连续运行要求高。泵站机组和污水处理工艺需要保持连续运行，停机维护的窗口很少，安全措施的实施不能以中断生产为代价。

站点分散、无人值守。泵站和监测点位数量多、分布广，日常主要靠远程监控，现场管控和巡检很难覆盖到位。

系统构成复杂、生命周期长。上位机、PLC、RTU的品牌型号多样，大量终端还在运行老旧操作系统，整体升级改造周期长、难度大。

协议专用、实时性要求高。 Modbus、S7等工控协议和专用组态软件是主流配置，对网络实时性和稳定性要求高，通用安全设备的过滤策略如果和业务适配不足，容易影响正常生产。

城市排水工控安全风险痛点分析

结合前面的现状和这些业务特性，排水工控系统目前有四类比较突出的痛点。典型的传导路径是这样：外部威胁经由4G无线传输、移动U盘摆渡、远程运维通道进入现场控制层，再扩散到泵控、防汛、污水SCADA等上位机系统，最后影响到排水调度和生产业务。

网络边界模糊，站点互联缺乏防护

泵站点位多、分布广，与排水管理层之间主要靠专线和4G无线互联。4G通道很难做边界防护和准入控制，存在被仿冒接入、流量被窃听的可能；专线虽然相对可信，但两端往往没有访问控制措施，一个站点被攻破就能直接通到排水管理层。另外，泵控、防汛、污水SCADA这些业务子系统之间可能存在互通，如果没有分区分域隔离和访问控制，单点被入侵后很容易扩散到全网。第三方运维人员经互联网或专线远程接入泵站设备时，接入通道同样缺少管控和审计，边界暴露的风险被进一步放大。

工控终端老旧，带洞运行风险高

操作员站、工程师站、监控站这类工控终端数量多、分布散，大量还在用老旧的Windows系统。厂商停止服务之后，安全补丁没法统一更新，系统漏洞长期暴露在外。生产又不允许随便停机，装传统杀毒软件怕误杀组态软件和控制程序，运维人员顾虑多，多数终端长期没有有效防护，实际上处于带洞运行的状态。

U盘在泵站、污水厂和调度中心之间来回拷贝数据、升级程序，是摆渡病毒进入工控网络的主要途径之一，历史上多起工控安全事件都和移动介质摆渡有关。终端对未知程序、恶意代码没有拦截能力，USB等外设接口也缺少统一管控，这个风险敞口一直都在。

协议先天脆弱，异常行为难以感知

Modbus、S7、OPC这些工控协议在排水系统里普遍使用，报文明文传输，既没有身份认证也没有完整性校验。攻击者一旦进入网络，就可以伪造或重放控制指令，现场的PLC、RTU对非法指令没有校验和拦截能力，机组被误启停、工艺参数被篡改的风险是现实存在的。

网络里也缺少面向工控协议的监测审计手段，正常业务的基线没有建立起来，违规操作、异常指令、非法接入都难以及时发现。事件发生后，各设备的日志分散且留存不全，事前监测、事中告警、事后溯源这条链条不完整，很多问题往往在业务已经受影响之后才暴露出来。

运维管控分散，安全管理体系缺失

泵站无人值守、远程运维常态化，运维账号共用、权限划分粗放的情况比较普遍。第三方运维人员的接入准入和操作行为缺少统一管控和全程审计，运维通道本身成了一个风险敞口。全网的安全设备、工控设备、服务器和数据库日志各自分散，既没有集中采集分析，也没有统一呈现。

管理上，日常安全巡检、漏洞排查、应急处置这些常态化机制不健全，专职安全运维力量也缺。重生产、轻安全的惯性之下，企业对安全建设有不少顾虑：担心安全设备串接影响生产实时性，担心误拦截正常生产指令，也缺少在工控环境里做安全运营的经验。结果是想建不敢建、建了不会用，整体安全能力的缺口比较明显。

威努特城市排水工控系统网络安全解决方案

针对排水行业的业务特点和上面这些痛点，威努特的思路是不影响生产、防护覆盖到位、合规能落地、运维能常态化。具体按分区分域、边界防护、监测审计、终端加固、集中管控来推进，从安全边界、异常流量监测、终端主机安全、安全管理中心四个层面搭纵深防御体系，总体建设内容如下图所示：

安全边界防护：分区分域，构建纵深防御边界

泵站现场层，在泵站监控站交换机上联出口部署工业防火墙，按排水控制业务白名单做细粒度管控，把非授权指令和非法访问挡在现场控制层之外。上位机服务器区域边界和污水厂工控环网核心节点同样部署工业防火墙，让泵控、防汛、污水SCADA各子系统之间实现逻辑隔离和最小化访问控制。水务局生产网与办公网这类IT/OT跨域边界部署工业互联防火墙，只开放业务必需的数据接口，阻断越权访问和横向扩散的路径，把单点失陷的影响收窄。

异常流量监测：旁路审计，及时发现安全威胁

监测类设备走旁路镜像，不串进业务链路，部署过程不改动网络、不影响生产。在核心交换机和工控环网核心交换机旁路部署工控安全监测审计系统与入侵检测系统，对全网流量持续监测，识别工控协议异常指令、违规操作、恶意扫描、暴力破解等行为并实时告警。再配合高级威胁检测系统，提高对隐蔽渗透通道、恶意代码传播的发现能力；工控漏洞扫描平台定期对工控资产做漏洞评估，形成监测、告警、评估、处置的持续检测循环。

终端主机安全：白名单防护，消除终端安全短板

泵控、防汛、污水SCADA系统的操作员站、工程师站、监控站和数据库服务器上部署工控主机卫士，按排水业务实际建立合法程序白名单，只允许经过授权的组态软件、控制程序和运维工具运行，自动拦截未知程序、勒索病毒和恶意代码的执行，同时提供外设管控，把USB等接口的使用管起来。排水管理层部署移动介质安全站，对U盘实行注册授权、专用加密和接入管控，切断摆渡病毒的传播途径。数据库服务器和关键上位机部署数据备份与恢复系统，保证核心生产数据可备份、可恢复。

安全管理中心：统一纳管，形成闭环安全运营

统一安全管理平台把全网工业防火墙、工控主机卫士、监测审计类设备纳管起来，策略统一下发，事件集中呈现。安全运维管理系统对本地和远程运维人员的账号授权、操作行为做统一管控和全程审计，降低运维通道带来的风险。日志审计与分析系统、数据库审计系统负责集中采集、留存和分析安全设备、工控设备、服务器、数据库的日志，支撑事件追溯和合规审计。工业安全态势感知平台汇聚全网安全数据做关联分析，把整体安全态势呈现出来，为预警研判和处置决策提供依据。

整体方案价值总结

1

方案分期建设，兼顾经济可行性

方案支持分期建设，排水企业可以按站点规模、业务场景和合规需求分步推进：先把泵站边界防护和上位机终端加固这些关键环节做起来，再逐步完善监测审计和安全管理中心。现有生产网络不需要大规模改造，既有网络和设备资源可以继续用，建设成本可控，经济上可行。

2

零扰布防落地，保障业务连续运行

方案按排水工控系统连续运行的要求来设计。监测审计类设备旁路部署，不改变网络结构，也不影响业务实时性。边界防护设备基于业务白名单机制，规则贴合泵站控制、防汛调度、污水处理的工艺流程，不会误拦截正常生产指令。终端防护兼容老旧操作系统和主流组态软件，可以在不停机的条件下安装部署，把安全建设对生产运行的影响降到最低。

3

安全最佳实践，支撑合规落地

威努特在工业网络安全领域做了多年，产品覆盖边界防护、终端安全、监测审计、态势感知，在市政水务行业也有不少落地实践。本方案对标等级保护2.0的\"一个中心、三重防护\"，帮助排水企业把纵深防御体系建起来，在保障泵控、防汛、污水处理等核心业务连续稳定运行的同时，满足等保合规和关键信息基础设施安全保护的要求。