波兰热电厂工控安全事件之后，我们能做什么？

近日波兰官方公布了热电联产电厂入侵事件细节，在工控圈刷了屏。

根据披露的内容看，这次事件的整场攻击仅靠设备原生功能与常规工控协议，以及日常运维的配置疏漏，就瘫痪了整套热电联产生产流程。

而这起事件之所以引发热议，也正是因为攻击手段并不罕见，“暴露的VPN、未隔离的专网，设备长期默认密码”这一整套出事的原因，几乎是国内大多数场站普遍存在的配置。

正如一位同行所说：“这攻击路径放我们这儿，八成也能走通。”

翻开大家的讨论和留言，有人晒亲身踩过的坑，有人无奈吐槽行业现状，字里行间能清晰看到大家对这件事的真实心态。

比如有人认为”永远的安全就是物理隔离”，甚至有人直言“只要远程联网肯定不安全，最好是不用”。

但是现实不会给你这个选项。风电、光伏场站动辄上百台机组分散在几十公里范围内，靠人去现场做运维，成本和时间都很难扛得住，远程联网运维早已是主流。

那么，如何避免波兰热电厂事件出现在自己的项目上呢？面对此次事件暴露的问题和挑战，远眸科技AMP远程接入方案给出了答案：

设备VPN端口暴露公网？——仅开放443端口

很多现场为了远程运维，把RDP、SSH、工控软件端口一个个映射出去，端口开得越多，被盯上的概率就越大。远眸方案通过仅开放443端口承载全量远程接入，从入口层面减少被扫描、被探测的风险。

登录账号轻易被破解？——强制多因素认证

针对波兰涉事场站核心设备长期使用出厂默认账号密码的问题，远眸方案采用系统对远程访问密码统一托管的方式，杜绝使用弱密码/默认账号密码登录操作，同时强制多因素认证，避免给攻击者留下最基础的入侵突破口。

专网未隔离，横向随意访问？——做好精细化权限管控

远眸方案打破专网即可信的惯性，遵循最小权限原则，实施精细化管控，让每个账号能且只能访问自己被授权的设备，内网其他资源不可见，就算单点出问题，也不会蔓延到整个场站。

图方便专网长期连通？——配备物理远程开关

通过远程接入设备自带物理远程开关，运维作业时连通、作业结束后断开，既保留了远程运维的便利，也能从物理层面消解专网长期连通带来的横向渗透风险，解决 “调试完忘拔线” 的惰性问题。

写在最后

很多时候，大家不是不懂安全的重要性，而是败给了方便，败给了侥幸。

波兰事件给我们的最大警示，不是联网危险，而是管不好联网更危险。远程运维也不该是为了方便牺牲安全，或者为了安全干脆别连。物理隔离做不到，那就把远程接入安全管到极致，让远程接入既用得方便，也守得住底线。

别让别人的事故，变成自己的教训！