工程师站的特殊风险
工程师站（也叫编程站、EWS）上安装着 PLC、DCS 或专用控制器的组态与编程软件，它能做的事情包括修改控制逻辑、下载程序、调整参数。这意味着一旦它被控制，攻击者不需要理解网络协议就可以通过合法工具写入恶意逻辑。同时工程师站通常还面临现实的约束：编程软件与控制器固件版本强绑定，不能随意升级操作系统或补丁；有时还必须连接多个网段调试不同系统；工程文件常以本地文件夹形式存放。加固因此要在「保证工程能力可用」与「收敛攻击面」之间找平衡。
基本信息
| 主要风险点 | 编程软件的写入能力、移动介质、网络共享、远程桌面、跨网段调试 |
|---|---|
| 专用化要求 | 不安装办公软件、不用于上网收发邮件、不承担日常办公用途 |
| 账号策略 | 日常使用非特权账号，提权操作单独授权，禁止多人共用同一账号 |
| 软件控制 | 只允许安装组态编程所需软件，禁止自行安装其他工具与浏览器插件 |
| 外设控制 | 端口按需启用，移动介质需经登记与检查，调试接口用完关闭 |
| 工程文件管理 | 多副本、异地存放、版本可回溯，重要变更前先备份再下载 |
加固项清单
- 专用主机：工程师站只做工程用途，不装办公软件与娱乐软件，不接打印机与个人外设
- 账号最小权限：日常工作使用非特权账号，涉及程序下载与参数修改时按需提权并记录
- 软件白名单：只允许运行组态软件与必要系统组件，阻止未知程序与脚本执行
- 外设与接口管控：移动介质与调试接口纳入登记，串口与调试端口使用后关闭
- 网络收敛：工程师站只在需要时连接控制网，减少同时处于多个网段的时间
- 工程文件备份：程序与组态文件按版本备份到受控位置，下载前先备份当班在用版本
- 操作留痕：程序下载、参数修改等关键动作有记录，能回答「谁在什么时候改了哪台设备」
加固项与注意点
| 加固项 | 做法 | 注意点 |
|---|---|---|
| 系统专用化 | 剥离办公用途 | 先与使用者沟通，避免因不便而被私自恢复 |
| 账号权限 | 日常非特权、提权受控 | 需与组态软件的权限模型匹配 |
| 软件白名单 | 只放行必要程序 | 组态软件更新时要同步维护清单 |
| 外设管控 | 登记与检查后使用 | 现场常有紧急需求，需留合规的快速通道 |
| 文件备份 | 版本化多副本 | 备份介质本身也要管控与校验 |
| 补丁策略 | 受控评估后实施 | 与控制器固件、组态软件兼容性必须先行确认 |
工程师站补丁通常很难及时打：操作系统补丁可能与老版本组态软件或控制器驱动冲突。这种情况下补偿措施应落在别处——网络隔离、外设管控、软件白名单、以及关键动作留痕，用纵深而不是单点解决。