为什么不能照搬 IT 做法
漏洞扫描在 IT 环境是常规动作，在 OT 环境却可能直接变成事故。原因有三：老旧控制器的协议栈实现简陋，遇到并发连接、畸形报文或大量地址解析请求容易重启或通信中断；工业协议缺少流量控制与错误恢复机制，扫描流量会挤占本就很窄的链路带宽；控制器与仪表通常无法安装扫描代理，主机侧扫描也可能干扰组态软件与实时任务。因此替代方案首推被动流量分析与受控的手工核查。
手段与适用性
| 手段 | 适用性 | 局限 |
|---|---|---|
| 被动流量分析 | 不打扰生产，可识别协议、通信关系与部分异常 | 看不到静默主机与未上线设备 |
| 离线镜像与仿真 | 可在实验室复现问题而不影响生产 | 现场版本可能与镜像存在差异 |
| 受控主动扫描 | 覆盖面较全，可核对补丁与端口状态 | 需停机窗口与厂商确认，风险最高 |
| 手工核查 | 风险最低，可确认账号、策略与配置 | 工作量大，依赖人员经验 |
| 厂商通告比对 | 定位具体型号与固件版本的已知问题 | 依赖准确的资产与固件清单 |
主动扫描的风险点
| 动作 | 风险 | 缓解方式 |
|---|---|---|
| 端口全扫描 | 连接数冲击导致控制器卡死或重启 | 限定端口清单、降低速率、单目标串行 |
| 漏洞探测插件 | 畸形报文触发协议栈异常 | 关闭高危插件，事前与厂商确认 |
| 口令猜测类探测 | 部分设备锁定账户或重启 | OT 环境禁止使用口令爆破类功能 |
| 主机扫描 | 实时任务抖动、组态软件异常 | 避开生产时段，先在测试主机验证 |
| 地址解析扫描 | 大网段地址表溢出与广播风暴 | 限定范围与速率，分批执行 |
安全开展扫描的前提
- 取得生产方与设备厂商的书面同意，明确责任划分与回退方案
- 在停机窗口或低负荷时段进行，并安排熟悉工艺的现场值守人员
- 从单个目标、低速串行开始，观察通信与工艺指标后再扩大范围
- 优先选择支持工业协议识别但不做破坏性探测的工具与配置
- 扫描后核对设备状态、通信质量与日志，确认无异常并完整记录结果
「不扫描就不知道漏洞」是伪二选一：通过准确的资产与固件清单，结合厂商安全通告做比对，可以得到大部分结论而不发送任何探测报文。前提是台账中的固件版本准确且及时更新。
在含安全仪表系统或关键联锁回路的网段上做主动扫描风险最高：即使扫描没有直接造成停机，也可能触发联锁或让控制器进入异常状态。这类网段应默认排除在扫描范围之外。