为什么工控补丁不能照搬 IT 节奏
在办公环境里，补丁管理的目标是在最短时间内覆盖尽可能多的终端，偶尔重启代价很小。工业现场完全不同：一次重启意味着产线停摆或工艺中断，补丁可能与组态软件、控制器驱动、实时数据库产生兼容问题，而部分老旧系统已经停止更新或不允许安装非授权软件。于是工控补丁管理的重点从「打得快」变成「打得准」：先看清资产与版本，评估漏洞在本现场是否真的可被利用，再与供应商确认兼容性，然后在具备回滚能力的窗口里实施，最后记录版本与结果。
基本信息
| 前置清点 | 资产清单、操作系统与软件版本、固件版本、供应商与支持状态 |
|---|---|
| 优先级判据 | 漏洞可利用性、在本网络中的可达性、被利用后的后果、是否存在公开利用代码 |
| 兼容性确认 | 与组态软件、控制器固件、驱动、实时数据库的兼容性以厂商确认为准 |
| 实施窗口 | 检修窗口或冗余可切换时段，具备现场与远程双人配合 |
| 回滚准备 | 变更前留底系统快照或备份、保留旧版本安装包与配置 |
| 例外管理 | 不能打的补丁登记为风险例外，配补偿控制、责任人与复核时间 |
闭环流程
- 资产与版本清点：知道有哪些系统、什么版本、谁支持，是后续一切判断的基础
- 漏洞评估与排序：结合现场可达性与后果排序，而不是只按通用严重度评分排
- 供应商确认：涉及控制软件与固件的，先确认兼容性与推荐做法
- 测试验证：在与生产一致的测试环境验证功能与性能，记录验证结论
- 窗口实施：按批准的窗口执行，现场有人守机、有回滚方案与联系渠道
- 结果记录与复核：更新版本台账、关闭对应风险条目、把未修复项转入例外管理
常见情形与建议做法
| 情形 | 建议做法 |
|---|---|
| 有补丁且兼容性确认完毕 | 按窗口实施，先备份后打，实施后回归验证关键功能 |
| 补丁与组态软件冲突 | 不打补丁，转补偿控制：隔离、白名单、服务最小化，并登记例外 |
| 老旧系统厂商已停止支持 | 以隔离与终端控制为主，评估替换计划并明确风险责任人 |
| 无停机窗口 | 优先在冗余链路或备机侧实施验证，生产侧等待检修窗口 |
| 漏洞在现场不可达 | 记录判断依据，延后处理，但仍需在变更时重新评估 |
补偿控制不是「什么都不做」：把不可达改成可控、把可达范围缩小、把利用后的影响降低，都属于有效降低风险的手段。关键是把判断依据与残余风险写清楚，让接受风险的人知道自己在接受什么。