第三方接入为什么难管
第三方接入是工控环境里最难管也最高危的通道：厂商工程师需要远程诊断控制器，承包商需要在现场用笔记本连接生产网段，运维公司需要访问历史库。这些访问的共同特征是权限高、时间短、来源不受控，而且通道一旦建立就很少被关闭。管控的目标不是禁止第三方，而是让每次接入都可审批、可限定范围、可审计、可追溯。
常见接入形态
| 远程通道 | 拨号或 VPN 进入现场路由器，再访问设备 |
|---|---|
| 厂商云模块 | 设备自带的远程维护模块或蜂窝路由 |
| 现场直连 | 厂商或承包商用自备笔记本接入控制网段 |
| 跳板代接入 | 通过堡垒机或跳板机代理厂商操作 |
| DMZ 代理 | 经工业 DMZ 的代理服务访问指定目标 |
| 临时链路 | 临时布放的无线设备或蜂窝模块 |
各环节控制措施
| 环节 | 措施 | 常见缺失 |
|---|---|---|
| 身份 | 第三方账号实名且独立于内部账号 | 共用账号与共享口令 |
| 授权 | 按需最小权限，限定到具体设备 | 一次性给予整网访问权限 |
| 时间 | 带到期时间，用后自动失效 | 通道长期保留无人复核 |
| 路径 | 统一经跳板机或 DMZ，禁止直连设备 | 厂商直接拨入控制器 |
| 审计 | 全程录屏与操作日志留存 | 无记录，事后无法复盘 |
| 终端 | 使用受控终端或受控虚拟机 | 自备设备直接接入生产网 |
落地做法
- 建立第三方接入申请单：写清目标设备、用途、起止时间与责任人
- 厂商远程模块默认关闭，需要时由本方人员在场开通，作业结束即关闭
- 现场作业要求登记与陪同，笔记本接入前先做检查，必要时使用专用接入机
- 接入过程录屏或保留完整日志，作业结束后归档备查
- 定期核对通道与账号清单，清理已结束项目遗留的账号与链路
「用完即关」必须可验证：只写制度而不设技术限制，通道通常不会被关闭。可行做法是让通道具备到期自动失效能力，并把未关闭通道纳入定期检查清单与考核。
第三方接入常与应急强关联：设备故障时厂商要求立即接入，现场来不及审批。应事前与厂商约定应急接入流程与备案清单，避免把「来不及审批」变成常态。