守住工控主机的最后一米 | 主机安全防护系统

2010年，臭名昭著的恶性蠕虫电脑病毒——震网病毒感染了全球超过20万台电脑，摧毁了伊朗浓缩铀工厂五分之一的离心机。该病毒会在载体内检测PLC控制软件，如果载体内没有PLC控制软件将潜伏下来并伺机自我复制到更多的载体中，例如U盘。

攻击者将含有震网病毒的U盘交给伊朗核设施内部人员。当U盘插入连接了离心机PLC的Windows主机时，病毒利用Windows LNK快捷方式文件漏洞（CVE-2010-2568），在用户毫无察觉的情况下自动执行——无需点击任何文件，无需运行任何程序，只要Windows系统读取U盘内容，攻击即已触发。

随后，震网病毒秘密篡改了西门子PLC的控制逻辑，让离心机在看似正常运行的表象下逐步加速磨损，最终导致约1000台离心机损坏，伊朗核计划被延缓数年。

这一事件的标志性意义在于： 它是人类历史上第一次通过网络攻击直接造成物理设施损毁的实战案例，而突破物理隔离的关键，正是U盘这一最不起眼的外部设备。

震网病毒是极端案例，但它揭示了一个根本性的工控安全逻辑： 在工业控制环境中，威胁的主要入口不是防火墙外的互联网，而是与工业主机频繁接触的物理设备和人员行为。

以下是在各类工业现场每天都在发生的安全隐患：

工程师调试设备时随身携带U盘，在工程师站、操作员站之间交叉使用；厂家技术人员现场服务时拷贝参数配置；维护人员用个人U盘在生产主机上传输数据——每一次插入，都是一次潜在的威胁引入机会。

笔记本电脑直连工控主机进行数据采集；便携式硬盘用于备份组态；甚至智能手机通过USB充电模式接入主机——这些行为在日常运维中极为普遍，却几乎没有任何管控。

操作员在主机上安装与生产无关的软件；调试工具被随手复制到桌面；不明来源的脚本和驱动被直接运行——这些并非恶意行为，但每一项都可能成为攻击链中的一环。

国内大量在役工控主机运行着Windows XP、Windows 7 Embedded甚至更早的系统，这些系统早已停止安全更新，缺乏现代操作系统具备的内存保护和权限隔离机制，天然处于高风险状态。

上述问题的共同特征是： 它们发生在网络边界之内，发生在每一台工控主机的本地操作系统层面 ——而这，恰恰是传统网络安全产品的盲区。

传统工业信息安全体系通常以网络为核心：工业防火墙部署在层与层之间的边界，入侵检测系统部署在管理层与控制网之间，网闸实现不同安全域之间的物理隔离。这套架构在网络层面构建了清晰的防御边界——但它假设了一个前提： 威胁来自外部，且所有内部行为都是可信的。

然而现实并非如此。当一台连接着PLC的Windows操作员站被插入带毒U盘时，网络层的防火墙看不到任何异常流量——因为恶意代码在主机本地执行，不产生网络通信。当攻击者通过工程师站的远程桌面访问OT网络时，网闸记录的是一次"正常"的运维行为。当某台主机被植入后门，防火墙的策略白名单中依然有它的身影——因为它使用的是合法的通信协议和端口。

这正是工业主机安全防护系统的核心定位：它不是替代网络安全产品，而是在网络防线的基础上，为每一台工控主机构建贴身防护——无论这台主机处于哪个网段，是否与互联网连接，是否处于物理隔离状态，只要它运行着控制逻辑，就需要主机安全防护系统的守护。

环宇博亚工业主机安全防护系统是面向工业控制场景推出的终端安全防护产品，专为工程师站、操作员站、接口机及工控服务器等工业主机设计，基于白名单机制构建主动防护能力，从操作系统层面阻断未知程序、恶意软件及违规操作的威胁。

该产品的核心设计理念可以概括为三个关键取舍：

第一，只做白名单，不依赖行为检测。 区别于传统杀软的"黑名单"逻辑——先认识病毒才能杀掉——白名单机制采用"默认拒绝"策略：不在白名单中的程序一律禁止运行，不论它是新型病毒、变种木马，还是来源不明的调试工具，均被平等拦截。这一逻辑在软件变更频率低、运行程序固定的工控场景中尤为适用。

第二，零侵入架构，不改变系统底层。 系统以用户态方式运行，不安装内核驱动，不修改系统文件，不挂载API Hook，不要求系统重启。安装过程不影响正在运行的工艺进程，卸载后不留残留在用系统——这对无法接受业务中断的工业现场尤为关键。

第三，轻量化运行，不消耗主机资源。 运行时内存占用远低于传统杀软，不执行实时文件扫描，不在后台跑特征库更新，对工控主机的CPU和内存近乎零打扰，适用于内存2GB甚至更低的在役老旧系统。

• 功能描述

系统对工业主机上允许运行的程序建立白名单库，仅白名单内的可执行文件（.exe、.dll、.bat、.ps1等）获得运行权限，白名单外的程序一律被拦截并记录。

• 运行机制

在工业主机部署阶段，安全管理员对主机上的合法应用程序进行扫描和学习，自动生成初始白名单。白名单生成后，任何试图运行的可执行文件都会与白名单数据库进行比对：匹配则放行，不匹配则拦截并触发告警。若因工作需要新增程序，管理员可通过管理控制台提交白名单扩展申请，审批通过后生效。

• 实战价值

工控主机上的应用程序通常高度固定——DCS客户端、SCADA软件、PLC编程工具、驱动程序等，日常运行范围变化极小。白名单机制将这一固定性从隐患转化为优势：即使用户的U盘被植入未知木马，只要该木马的程序不在白名单中，就无法在主机上运行。

• 功能描述

对USB存储设备、移动硬盘、光驱、蓝牙适配器等外设的接入权限进行细粒度管控，支持完全禁止、仅读、仅写等策略，并对外设的接入行为进行完整审计。

• 运行机制

当外设插入主机USB接口时，系统根据预设策略判定是否允许访问。策略可按设备类型（USB存储设备、键盘鼠标、串口设备等）、设备标识（白名单设备放行，未知设备拦截）、操作类型（读取/写入/执行）进行多维度配置。USB设备的每一次接入和拔除操作均生成时间戳日志，支持事后追溯。

• 实战价值

这是阻断震网病毒等U盘摆渡攻击的核心防线。管理员可设置USB存储设备完全禁止接入，或仅允许经过注册认证的专用U盘使用，从根本上消除U盘作为攻击载体的可能性。

• 功能描述

对工控主机上的关键系统文件（如C盘关键目录、系统配置文件）、注册表关键项以及工业应用配置文件进行完整性监控，检测任何未授权的修改操作，并在检测到变更时提供告警和自动恢复选项。

• 运行机制

系统在初始部署时对关键文件和注册表项建立基准快照（Hash值记录），此后对目标对象进行持续监控。任何修改操作——无论来自应用程序、系统更新还是恶意篡改——都会被即时捕获，并与基准值比对，确认是否为授权变更。非授权变更触发告警，重要文件可配置为自动恢复至基准状态。

• 实战价值

许多高级威胁在入侵主机后会修改系统文件以实现持久化（例如修改启动项、植入后门服务、替换系统DLL）。完整性保护使这类篡改无所遁形，为安全响应提供第一时间的发现能力。

• 功能描述

对主机上运行的进程进行实时监控，支持配置关键进程白名单——当关键工艺进程被异常终止时，系统自动重新启动该进程，保障工业控制的连续性。

• 运行机制

系统持续采集主机进程运行状态，建立正常进程的基准模型。当检测到白名单外的新进程创建，或关键进程被异常关闭时，根据策略执行拦截（对于新进程）或重启（对于关键进程），同时生成告警日志通知安全管理员。

• 实战价值

在工业控制环境中，某个进程意外退出可能导致整个控制逻辑失效。关键进程看门狗功能确保即使发生恶意终止或软件崩溃，关键业务也能在秒级内恢复，这对不允许停机的连续生产场景至关重要。

可执行程序白名单管控、动态学习新程序、白名单扩展审批流程、双模式运行（执行模式/观察模式）；

USB存储设备权限管控（禁用/只读/读写）、外设类型白名单、接入审计与追溯、移动存储设备注册管理；

系统文件完整性监控、注册表完整性监控、配置变更告警、关键文件一键恢复；

进程活动实时监控、未知进程拦截、关键进程看门狗（异常终止后自动重启）；

CPU/内存/网络流量实时监控、异常阈值告警；

全网策略统一下发、告警集中监控、报表统计分析；

支持Windows XP、Windows 7 Embedded、Windows 10等主流系统；支持主流工控软件（DCS、SCADA、PLC编程工具）。

从震网病毒到Industroyer，从乌克兰电网到沙特石化工厂，十年间每一次针对工业控制系统的重大攻击都在重复同一个教训： 攻击者总能找到进入工控主机的途径，而一旦主机失守，网络层的所有防线都将形同虚设。

工业主机安全防护系统要解决的，正是这最后一米的防御缺口——它不依赖网络边界，不假设内部可信，在每一台工控主机的本地操作系统层面，构建起默认拒绝的主动防护机制。

这不是替代网络安全，而是网络安全体系在终端层面的最后一道防线。

北京环宇博亚科技有限公司是国家高新技术企业，专精特新企业，是网络安全和数据安全的生产厂家，公司开发的AI智能防护系统、量子加密机、数据分类分级系统是公司特色产品，公司的其他安全产品，如防火墙，网闸，日志，流量，入侵，堡垒机等产品已应用于国家管网，中石油等央企单位。

行业深耕，成果斐然

环宇博亚已成功服务某省级电网调度系统（覆盖省调主站+12地调子站+86座变电站）、某央企油田SCADA系统（1,286台工控主机）、某省高速公路收费系统（200+收费站）等重大工程，实现了从"单点突破"到"体系化覆盖"的能力跃升。

在某央企油田项目中，系统连续运行6个月零生产事故，成功阻断USB违规操作47起、OPC异常指令12次，为油气生产安全提供坚实保障。

以技术立身，以安全为本

环宇博亚将持续深耕能源行业网络安全，以AI行为学习、量子加密、数据分类分级等核心技术为抓手，为石油石化、电力电网、交通运输等行业客户提供"自主、可控、可信"的安全防护体系，助力能源行业数字化转型安全稳健推进。