【项目背景】
九原区郊外一座供水加压泵站，业主做网络安全自查时被市里的通报吓到：同行业的供水设施是被境外组织盯上的重点目标。业主请我们做一次工控安全基线核查，进站之前我说了一句大实话：工控安全的检查方式跟IT网完全两回事，IT查漏洞打补丁，OT网很多设备打补丁就意味着停水。核查重点是“可达性、可操作性、可审计性”三件事。
【咨询设计】
核查用被动方式做：在泵站交换机镜像口挂一台工控审计探监听48小时，不主动扫描——S7-1200这类PLC对主动扫描敏感，历史上真有扫描导致设备重启的案例，很多同行拿IT漏扫工具往OT网里怼，属于外行行为。结果不意外：两台西门子S7-1200固件是2018年版本；工程师站TIA Portal项目密码是123456；PLC的PUT/GET通信未做访问保护，理论上同网段任何主机可读写PLC数据；组态下载无认证，谁连上谁改程序。IT网里这叫风险，OT网里这叫“水压可以被陌生人调”。
【施工规划】
整改分四步，全部利用计划检修窗口实施：第一，PLC固件升级到当前稳定版并启用访问保护，写操作限定白名单IP；第二，组态下载启用认证，工程师站专机专用；第三，IT网与OT网之间加装工控防火墙，白名单只放行组态通信和监控数据采集端口，其余全断；第四，工程师站和操作员站装主机白名单软件——OT终端跑不惯杀毒软件的实时查杀（影响实时性），白名单机制才是工控终端的主流防护。整改后重新做了48小时监测，非白名单地址对PLC的访问请求为零。
【安全补丁】
技术之外补了管理制度：PLC程序变更双人复核并留版本记录，程序备份每周离线归档；运维远程接入砍掉——原项目说支持远程调试，实际就是公网映射一个端口，直接关了，远程需求由驻场或到场替代，泵站这种关基设施宁可跑腿；每年一次渗透式核查我们免费复测。关基设施的安全不是一次工程，是持续状态。
【验收交付】
验收交付：资产测绘清单（含每台设备的固件版本和通信关系图）、基线核查报告、整改前后对比、应急预案（PLC失控时手动旁路操作卡——这份卡片和水泵说明书放在一起）。业主负责人最后说：这次核查最大的收获是知道了“谁有可能碰到我的泵”。
【售后承诺】
水务、热力、燃气这类民生设施，我们提供7×24应急响应，安全事件两小时内到场。大年三十泵站告警，打17704868686，随叫随到，终身免费技术咨询。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）