物理接触意味着什么
工控信息安全与物理安全天然相连：能接触设备的人，能力远大于远程攻击者。直接插拔网线、连接调试口、更换存储介质或打开机柜后门，都可以绕过绝大多数网络侧防护。反过来，物理措施也为信息安全提供支撑：机柜上锁、门禁记录与视频留存是事后追溯的依据。两者应放在同一套控制体系中设计，划分依据是「谁能以物理方式接触到哪一类资产」。
物理接触的等价能力
| 接入交换机空闲端口 | 获得该网段全部通信能力 |
|---|---|
| 连接控制器调试口 | 可下装逻辑或读取组态 |
| 接触工程师站 | 获取凭据、工具与离线逻辑 |
| 插拔存储介质 | 引入代码或带走数据 |
| 接入无线设备或蜂窝模块 | 建立长期隐蔽通道 |
| 断开或短接链路 | 直接影响生产过程 |
按物理位置分级
| 位置 | 典型资产 | 建议措施 |
|---|---|---|
| 控制室 | 操作员站、SCADA 服务器 | 门禁、上锁、作业与操作记录 |
| 电气间与机柜 | PLC、交换机、网关 | 机柜上锁、钥匙管理、开箱告警 |
| 现场设备区 | 仪表、阀岛、就地控制箱 | 防拆、巡检、限制可接入端口 |
| 无人站点 | RTU、通信箱 | 防拆告警、异常自动上报、定期巡检 |
| 厂商维护通道 | 远程模块与调试口 | 审批启用、临时开通、用后关闭 |
落地结合点
- 把物理访问记录与网络安全事件一起分析：异常登录时间常与现场作业相关
- 机柜钥匙与系统权限一并管理，避免有钥匙就等同于有操作权限
- 交换机空闲端口默认关闭，防止现场随手接入
- 无线接入点与蜂窝模块纳入台账，定期核查是否仍然存在与必要
- 离线介质使用需要登记与查毒流程，避免成为摆渡通道
- 施工与检修期间的临时接入要纳入审批，完工后核查并拆除
无人站点的物理风险常被低估：设备箱一旦被打开，攻击者可以长时间接入而不被发现。这类站点的防护重点应是防拆告警、异常自动上报与定期巡检，而不是照搬机房的门禁方案。
把物理安全完全交给安保部门、把信息安全完全交给信息部门，会让两者之间的空白地带长期无人负责，而现场恰恰是攻击者最方便利用的地方。