物理隔离能挡什么、挡不住什么
物理隔离指控制网络与外部网络之间不存在物理连接，它确实极大提高了远程入侵的难度，也把来自互联网的自动化攻击挡在门外。但它并不覆盖全部攻击路径：移动存储介质与自带设备可以把恶意代码带进去；设备、控制器与固件在供应链环节就已被植入时，隔离不产生任何作用；内部人员或因疏忽或有意造成的影响同样不受隔离约束；现场私自加装的无线设备与移动网络会把隔离悄悄打开一个口子；维护与调试时的临时接通则是隔离网络最常见的短期破口。历史上针对隔离工业网络的公开事件，多数经由移动介质与人员操作而非直接网络穿越。
基本信息
| 有效范围 | 阻断来自外部网络的远程入侵与自动化扫描，缩小远程攻击面 |
|---|---|
| 无效范围 | 移动介质、自带设备、供应链植入、内部人员行为、无线与临时接通 |
| 典型破口 | U 盘与移动硬盘、供应商笔记本、临时接入的调试终端、私自加装的无线或移动网络设备 |
| 补强措施 | 介质管控与专用清洗终端、外来设备登记与检查、临时接通审批与登记、隔离网内部的监测能力 |
| 易错认知 | 把「隔离」当成整体安全结论，忽略终端加固、账号管理与日志审计 |
| 评估方法 | 用介质与人员路径做场景推演，逐条确认是否有补偿控制 |
典型场景
- 隔离网络的补丁与防病毒更新：必须依靠受控的介质或中转流程，这个流程本身就是重点管控对象
- 供应商上门服务：其笔记本与工具是否需要接入、如何接入、接入前是否检查，都要提前约定
- 工程数据交换：程序备份、报表导出、日志取回都要走登记与专用介质，避免随手拷贝
- 隔离网络中出问题：没有网络侧的检测数据时，只能依赖主机日志与现场取证，事前要做好准备
- 新设备投运：出厂固件与出厂配置是否可信，投运前要不要复检，属于供应链环节的判断
- 上级或监管要求数据上报：数据出口一旦建立，隔离状态即发生变化，需要重新评估方案
威胁与物理隔离的有效性
| 威胁类型 | 隔离是否有效 | 说明 |
|---|---|---|
| 互联网远程扫描与入侵 | 有效 | 不存在可达路径，攻击方无法直接连接 |
| 移动介质引入恶意代码 | 无效 | 依赖介质管控与终端侧检测 |
| 供应链与出厂植入 | 无效 | 隔离不检验设备本身的可信度 |
| 内部人员误操作或恶意行为 | 无效 | 需要权限管理与审计控制 |
| 私自加装的无线或移动网络 | 无效 | 需要现场巡检与端口、无线管理 |
| 临时接通的维护通道 | 部分有效 | 取决于接通流程是否有审批、时限与收口 |
「我们已经物理隔离了」不能作为降低其他控制措施的理由。隔离越彻底，内部往往越缺少监测与响应能力，一旦有代码进入，传播与发现的时间窗口都更长，所以隔离网络的介质管控、终端加固与日志采集反而要走得更细。