老旧设备的现实约束
早期投运的设备与仪表普遍存在这些限制：口令长度上限很短、不接受特殊字符、没有失败锁定机制、不允许修改默认账号名、不支持外部认证与集中管理，甚至个别设备的维护口令由厂商在固件中保留。这些限制无法通过管理制度消除，因为设备本身不支持。正确做法是把风险从口令环节转移到它上游的环节：既然口令弱，就不让不该到达的人到达设备；既然改不了口令，就把口令集中保管并限制其可见范围；既然不能自动轮换，就用人工轮换加记录来替代。同时应评估设备替换计划，把「永久无法加固」的资产显式列入改造清单。
基本信息
| 典型限制 | 口令长度与字符集受限、无失败锁定、不能改默认账号、不支持集中认证与审计 |
|---|---|
| 上游补偿 | 网络分域与访问控制、前置网关、集中入口加堡垒机、来源地址限制 |
| 口令保管 | 集中存放于受控位置，明确可见范围，避免写在设备旁或现场文件中 |
| 轮换方式 | 人工按周期更换并记录，更换前后确认对上下游系统无影响 |
| 残余风险 | 登记在风险例外清单中，写明责任人、补偿控制与复核时间 |
| 长期方案 | 对既无法加固又承担关键功能的设备，列入替换或加装前置防护的计划 |
变通做法清单
- 限制到达路径：让设备只对必要的源地址开放管理访问，其余一律不可达
- 前置集中入口：把访问收敛到堡垒机或维护网关，由入口承担认证与留痕
- 口令集中保管：设备口令统一存放并控制可见范围，避免散落在多人手中
- 人工轮换与记录：按周期更换，记录更换时间、执行人与影响确认结果
- 口令差异化：避免所有老旧设备共用同一口令，降低一次泄露的影响面
- 补偿控制登记：把不能消除的风险写清并指定责任人，避免变成无人负责的模糊地带
- 替换计划：评估设备生命周期，对无法加固的关键设备安排更新或加装防护设备
限制与变通手段
| 设备限制 | 变通手段 | 残余风险 |
|---|---|---|
| 口令长度或字符集受限 | 延长轮换周期并集中保管，网络层限制来源 | 仍可能存在可猜测口令，依赖访问路径控制 |
| 不能修改默认账号 | 限制管理来源，纳入前置网关后面 | 默认账号名公开，需要额外的访问控制兜底 |
| 无失败锁定机制 | 在集中入口侧限制尝试次数与来源 | 直连路径若仍存在则无保护 |
| 不支持外部认证 | 用集中入口充当认证层 | 入口之后的横向访问仍需额外控制 |
| 无审计能力 | 入口侧记录会话，配合网络侧流量记录 | 设备本地操作无法归因到人 |
「设备太老改不了」是现状而不是结论。合规的做法是把限制、变通手段、残余风险、责任人与计划一起写下来：既不假装已经合规，也不放任不管。评审时要能回答「如果这台设备被非法访问，谁能发现、多久能发现」。