精密齿轮厂零信任落地警示：车间老设备，才是内网最隐蔽的突破口

一家精密齿轮制造企业，去年投入不菲预算开展零信任改造。办公网络的建设成果可圈可点：人员访问业务系统强身份核验、基于角色精细化授权、异常登录实时告警，整套方案的汇报材料也做得十分完善。

可在年底安全评估中，评估团队在车间角落发现一台2015年的三坐标测量设备，搭载早已停止支持的Windows 7系统，直连企业内网，办公网内任意电脑都能扫描访问。追溯半年前那场勒索攻击，入侵入口正是这台设备：攻击者突破办公网后横向移动，借助这台无人运维、无法安装安全防护软件的老旧仪器，一路渗透至工艺文件服务器。

这类场景在制造业比比皆是。零信任理念本身没有问题，但直接照搬互联网行业“以身份为中心、每次访问均核验”的方案，落地到生产车间往往处处碰壁。

制造业落地零信任，绕不开三大现实难题

◆工业设备改造存在硬限制 车间老旧设备、专用控制器、精密测量仪器，大量运行着早已停服的操作系统。这类设备无法安装安全客户端、不能随意打补丁，部分设备甚至只能等到春节停产窗口期才能重启。想直接在设备本体部署零信任代理，基本没有可行性。

◆生产连续性拥有最高优先级 互联网业务中断几分钟仅影响用户体验；产线每停机一小时，都会产生实实在在的经济损失。任何“先断网核验，再放行访问”的设计，放到车间现场，大概率会被生产负责人直接否决。

◆工业设备缺少标准化身份体系 人员具备成熟账号体系，但车间设备没有统一身份标识。很多设备仅依靠IP作为识别依据，网段变更即识别失效，更无法实现访问过程中的持续身份校验。

务实落地路径：不推倒重建，循序渐进收敛风险

第一步：摸清资产，先做全网可见性

在做访问授权之前，首要前提是摸清车间到底有哪些设备、设备之间存在哪些通信关系。可采用被动流量采集方案，无需安装客户端、不改动原有设备，自动梳理资产清单与通信拓扑。很多企业完成这一步才发现，内网潜伏着大量此前完全未知的离线设备。

第二步：网络分段隔离，隔离风险边界

将办公网、车间网、设备网按需划分子网，网段之间默认阻断通信，仅对业务必需的访问通路做定向放行。针对无法改造的老旧设备，通过网关、前置代理将其“隔离围控”，访问请求统一经过网关检测。不动设备本体，杜绝设备裸奔在内网，这是制造业性价比最高的安全手段。

第三步：收紧访问权限，最小权限落地

人员侧执行角色化授权，按需开通权限、使用完毕及时回收；设备侧依靠设备指纹、数字证书建立白名单，陌生设备接入内网自动触发告警。遵循默认拒绝原则，所有例外访问必须经过审批流程。这一步落地阻力最大，但也是零信任能够真正起效的核心。

第四步：轻量化持续验证，兼顾安全与效率

并非一次登录就永久放行。针对高危操作，例如批量导出图纸、访问核心工艺库，增加二次校验；对异常行为，如夜间陌生终端接入、短时间大量下载文件，实时触发告警。核验机制必须轻量化，不能工程师每一次操作都弹出校验窗口——繁琐的验证只会倒逼用户寻找绕过安全策略的办法。

核心思路：优先“围控风险”，而非执着“改造设备”

制造业的零信任，绝非采购一套产品、做完一期项目就大功告成，而是持续收敛风险的长期工程：先摸清资产可见性，再做网络分段，收紧访问权限，最后叠加持续访问校验。

不要一上来就计划全部替换老旧设备，一方面企业很难获批高额预算，另一方面生产车间也很难提供长时间停机改造窗口。针对无法改造的老旧设备，依托网关、堡垒机、单向网闸等手段进行边界围控，收窄访问路径至可控范围，远比强行改造更加贴合工厂实际。

上邦在制造业安全建设中，深耕这类“笨功夫”：先梳理清楚核心数据资产与全网访问关系，逐步关停不必要的跨网通路，最终实现每一次核心图纸、工艺文件的访问，都留存完整可审计日志。方案理念并不花哨，但适配产线工况、不影响正常生产，能够真正落地。