为什么资产梳理最难
资产梳理是工控安全一切工作的起点：不清楚有哪些控制器、固件什么版本、由谁维护，分区设计、加固与应急响应都无从下手。工控资产梳理的特殊难点在于不能依赖主动扫描，老旧控制器对异常报文与并发连接非常敏感，一次扫描就可能造成停机。可行路径是资料审查、被动流量发现与现场人工核对三者结合，最后形成有责任人的可维护台账。
台账应含字段
| 唯一编号与资产类别 | 控制器、HMI、交换机、串口服务器、仪表、无线设备等 |
|---|---|
| 型号与固件版本 | 含冗余伙伴的版本一致性，避免主备固件不一致 |
| 所属区域与网段 | 对应区域与管道的编号，便于后续策略核对 |
| 网络标识与协议 | IP、MAC、开放的协议与端口 |
| 责任部门与联系人 | 工艺责任人、控制责任人与厂商支持联系人 |
| 生命周期状态 | 在保、停产、待技改，以及备件库存情况 |
| 远程维护属性 | 是否允许远程接入、由谁开通与关闭 |
| 核查记录 | 上次核查日期、数据来源与置信度 |
四步梳理法
- 资料汇总：电气图纸、网络拓扑、组态项目文件、采购与维保清单，先建立待核实清单
- 被动发现：从交换机镜像口或分流器采集流量，识别通信对端与协议，全程不发送探测报文
- 现场核对：按机柜与现场逐个确认设备铭牌、固件版本与运行状态，纠正资料偏差
- 入账定责：录入台账并标注来源与置信度，指定更新责任人与复核周期
发现手段对比
| 手段 | 优点 | 局限 |
|---|---|---|
| 资料审查 | 无风险，可覆盖历史信息 | 图纸与实际常年不符 |
| 被动流量分析 | 不打扰生产，能看到真实通信关系 | 看不到静默设备与未上线资产 |
| 现场人工核对 | 最准确，可确认铭牌与固件 | 工作量大，需要生产方配合 |
| 受控主动扫描 | 覆盖较全，识别速度快 | 需停机窗口与厂商确认，风险高 |
台账里出现「未知来源的通信对端」是必然的。把未知项单列并跟踪，比追求一次梳理就百分之百完整更实际；长期看，未知项数量的变化本身就是有效的管理指标。
用 IT 网管软件或漏洞扫描器做 OT 资产发现，在很多装置上属于事故级操作。若确需主动扫描，应在停机窗口内、经厂商与生产方书面确认后，从单点低速率开始并准备回退方案。