工控远程运维安全实战：从VPN到零信任接入的演进路径

工控远程运维的”刚性需求”与”刚性风险”

后疫情时代的运维新常态

2020年以来的全球疫情催化了远程办公与远程运维的普及，工控领域尤甚——大量 OEM 设备厂商、自动化集成商、第三方运维服务商需要远程访问客户现场的 PLC、DCS、SCADA 系统。Gartner 2024年调研显示，78%的工业企业在过去两年扩大了远程运维的使用，平均每个大型工厂每周接收 12-20 次远程维护请求。

但需求膨胀的同时，风险也在累积。Mandiant 2025年ICS事件复盘报告披露：在他们处置的严重 OT 事件中，37%的初始入侵发生在远程运维通道，其中又以第三方维护账户被盗用、VPN 凭据泄露、远程会话劫持为主因。Claroty、Dragos、Nozomi Networks 三大工控安全厂商的年度报告反复将”第三方远程接入”列为 OT 安全的 TOP3 风险。

工控远程运维的五大独特风险

工控远程运维与 IT 远程办公存在本质差异，风险特征完全不同：

风险一：私有协议无安全机制。 S7comm、Modbus TCP、OPC UA Binary 等私有工业协议设计之初假设运行在隔离网络中，几乎没有内置认证、加密、完整性校验。一旦通道被打通，攻击者可借助这些协议直接读写控制器寄存器。

风险二：误操作代价巨大。 IT 远程办公误操作最多导致文件丢失或服务中断；OT 远程运维误操作可能导致设备损坏、工艺停车、安全事故（西门子 S7-1500 的强制重启、变频器的错误参数下发都可能导致现场事故）。

风险三：第三方信任链复杂。 远程运维不仅是企业内部行为，更涉及 OEM、集成商、维修商的多层信任链。第三方人员的背景、技能、安全意识参差不齐，账户滥用、横向移动风险难以评估。

风险四：会话长期保持。 传统 VPN 建立后会话保持数小时甚至数天，期间内部网络相当于对远程用户”全开放”。攻击者一旦获得凭据，可在会期内任意横向移动。

风险五：审计证据不足。 多数工控运维操作（如下装程序、修改组态、调试 PID 参数）缺乏结构化日志，无法在事后还原”谁、何时、通过什么路径、做了什么、影响哪些设备”。

技术方案的三代演进

第一代：传统 VPN + 跳板机（已过时）

架构：远程用户 → SSL/IPSec VPN → 跳板机（RDP/SSH） → OT 网络

优势：部署简单、用户习惯成熟 劣势：

• VPN 一旦接入即获得较宽网络权限，无协议级控制
• 跳板机仅做登录跳板，不识别 OT 私有协议
• 无会话录屏、命令拦截、操作授权能力
• 一旦 VPN 凭据泄露，攻击者可绕过所有边界防御

适用边界：仅适合小规模、对安全要求不高的辅助运维场景（如远程查看 HMI 监控画面），不适合组态、编程、调试类高风险操作。

第二代：堡垒机 + 协议网关（当前主流）

架构：远程用户 → VPN/专线 → 堡垒机（认证+授权+审计） → 协议代理网关（私有协议转换） → 工业防火墙 → OT 网络

优势：

• 堡垒机提供完整会话录屏与命令审计
• 协议代理网关将 S7comm、Modbus 等私有协议转换为受控的标准协议（如 SSH over HTTPS、OPC UA over HTTPS）
• 支持二次认证、操作授权、命令拦截

劣势：

• 接入层仍是 VPN，缺乏细粒度接入控制
• 堡垒机对部分工控专用工具（如 TIA Portal、Studio 5000、STEP 7）支持有限
• 第三方维护场景时限控制薄弱

适用边界：当前大多数中型以上工控企业的合规基线方案。

第三代：零信任接入 + 协议代理 + 堡垒机审计（推荐演进方向）

架构：远程用户 → 零信任接入代理（持续验证+动态授权） → 协议代理网关（OT 协议转换+白名单） → 工业防火墙（DPI） → OT 网络

会话全程录屏由堡垒机层或 OT 协议审计层完成。

核心能力：

• 接入前：基于身份、设备指纹、终端状态、地理位置、网络态势的多因子验证
• 接入中：基于最小权限原则的动态授权，按工单/任务/时间窗口开通
• 接入后：持续信任评估，发现异常立即断开会话
• 审计：完整的会话录屏、命令记录、文件传输、组态变更审计

与传统的本质差异：从”会话录播”升级为”接入+操作+审计+响应”四位一体。

零信任在工控场景的务实落地

落地原则：先边界后内部，先运维后业务

OT 系统的实时性、稳定性要求决定了零信任不能”一步到位”。奇固科威建议三阶段渐进：

阶段一：远程接入边界零信任化（3-6个月）

将所有外部远程访问入口（VPN、专线、第三方维护通道）改造为零信任接入。这是风险最集中、改造最容易的部分。

关键交付：

• 零信任接入代理部署
• 身份目录（企业 AD/LDAP）集成
• 第三方维护身份治理（外部 IDP 联邦）
• 工单系统集成（ITSM 驱动授权）
• 传统 VPN 渐进退役

阶段二：运维操作零信任化（6-12个月）

将远程运维操作（组态下载、程序下装、参数修改、固件升级）纳入零信任操作授权，结合堡垒机实现”接入可验证、操作可授权、行为可审计”。

关键交付：

• 运维操作分级（只读 / 受控写 / 关键操作）
• 关键操作双人授权工作流
• 操作白名单与黑名单
• 会话录屏与命令拦截
• 与变更管理系统（CMMS）联动

阶段三：内部访问零信任化（12-24个月）

对内部 OT 网络访问（车间、运维站、工程师站之间）逐步引入零信任原则。这一阶段挑战最大，需考虑大量老旧设备的兼容性。

关键交付：

• 工程师站访问控制台建模
• 工程师对控制器的细粒度授权
• 设备间通信的微隔离（Micro-Segmentation）
• 持续信任评估与异常响应

工控零信任的特殊考虑

OT 零信任与 IT 零信任虽原则相同，但落地差异显著：

维度	IT 零信任	OT 零信任
接入对象	用户、设备	用户、设备、控制器
授权粒度	应用、数据	设备 IP、协议、操作动作
时间敏感性	分钟级	秒级（实时控制）
离线能力	要求弱	要求强（控制器离线时不能停摆）
凭据管理	用户凭据为主	设备证书、机器身份为主
审计要求	操作日志	工艺级审计 + 操作日志

第三方维护的特殊治理

第三方维护的合规基线

等保2.0工控扩展要求 6.1.12 外包运维管理明确要求：

• 第三方维护应签署安全协议
• 应限定第三方维护的时间窗口与操作范围
• 应保留第三方维护的完整审计日志
• 应定期对第三方维护进行安全评估

IEC 62443-2-4 服务提供商要求也对第三方维护的认证、报告、事件响应提出了明确要求。

工程化治理五要点

基于合规基线与行业最佳实践，奇固科威建议第三方维护治理包含以下五要点：

要点一：专属身份与生命周期管理。

• 第三方维护人员使用专属账号，与企业内部账号物理隔离
• 账号生命周期绑定维保合同，到期自动停用
• 离职维护商账号立即注销，凭证不可恢复

要点二：基于工单的时限授权。

• 维保工单触发授权开通，工单结束授权关闭
• 关键操作（程序下装、固件升级）必须工单附件明确授权
• 超时自动断开会话，续期需重新审批

要点三：协议白名单与操作白名单。

• 限定可访问的设备 IP、协议端口（如仅允许 S7comm 102-04、仅访问 PLC-A 与 PLC-B）
• 限定可执行操作（只读 / 上传组态 / 下载程序 / 修改参数 分级授权）
• 关键操作（程序下装、固件升级）必须双人审批

要点四：全程会话录屏与命令审计。

• 全程会话录屏（含画面、键盘、鼠标、文件传输）
• 命令拦截与告警（rm、format、reboot、stop、kill 等高危命令拦截）
• 审计日志保存期不少于6个月，关键项目不少于1年

要点五：安全评估与持续监控。

• 第三方维护商入场前安全评估（人员背景、安全意识、技术能力）
• 维护期间持续监控（异常下载、非工作时间访问、批量操作）
• 维护后复盘报告（操作清单、变更影响、遗留风险）

与现有安全体系的协同

零信任 + 工业防火墙的纵深防御

零信任不应替代工业防火墙，而应作为接入层的”前置过滤”。推荐架构：

远程用户 → 零信任代理（接入控制）
       ↓
       协议代理网关（OT 协议转换）
       ↓
       工业防火墙（DPI 协议合规检查 + 异常阻断）
       ↓
       OT 网络

层级职责：

• 零信任层：身份、设备、上下文信任评估
• 协议代理层：私有协议→标准协议转换，操作白名单
• 工业防火墙层：协议合规性检查、异常行为阻断
• 三层职责分离，单点失陷不会直接威胁生产

与 SOC/态势感知的联动

远程运维事件应纳入 SOC 统一监控：

• 接入异常：异常时间、异常地理位置、异常设备指纹接入立即告警
• 操作异常：批量下载、非常规命令、敏感路径访问告警
• 横向移动：零信任断开会话后 SOC 应能溯源横向移动行为
• 合规审计：定期导出运维审计报告，支持合规自检

实施建议与避坑要点

避坑点一：不要忽视老旧设备兼容。 老旧 PLC、DCS 工作站可能不支持现代认证协议，零信任代理需提供协议降级能力，但同时记录降级事件用于风险评估。

避坑点二：不要忽视实时性影响。 零信任验证会带来额外延迟，对实时性要求高的场景（如高速闭环控制）需评估影响范围。奇固科威建议对实时控制层（L0-L1）保持直连，对管理层（L2-L3）实施零信任。

避坑点三：不要孤立处理接入层。 远程接入安全是体系工程，需要 IT 安全、OT 安全、运维管理、合规审计的协同推进。建议设立”远程运维治理委员会”统筹。

避坑点四：不要忽视用户体验。 安全不能以牺牲运维效率为代价，否则会催生”影子 IT”——运维人员私下建立未经授权的远程通道，反而造成更大风险。

结语：从远程接入治理到 OT 安全运营

远程运维安全是 OT 安全的”前哨”，但不应是终点。当企业完成远程接入零信任化、第三方维护规范化、运维审计结构化后，下一步应将能力外延到内部访问控制、设备间通信控制、终端行为控制，最终形成完整的 OT 安全运营体系。

奇固科威建议以”远程接入零信任化”为起点，结合工业防火墙的 DPI 能力、堡垒机的审计能力、SOC 的态势感知能力，构建”接入有验证、操作有授权、行为有审计、风险有响应”的 OT 远程运维安全闭环。

标签：远程运维零信任OTVPN替代工控堡垒机远程接入第三方维护运维审计
发布：2026-09-22 | 作者：奇固科威