工控安全运维日常巡检应该做哪些内容？

工控安全运维日常巡检应该做哪些内容？

A: 工控安全运维与IT安全运维差异显著：工控场景必须兼顾网络安全、生产连续性、合规要求三者。建议建立标准化的巡检SOP，覆盖以下五大维度：

一、资产可视巡检（每日）

• 新增设备检测：是否有未授权设备接入工控网络
• 设备状态变化：PLC/DCS/SCADA服务器在线状态
• 网络拓扑变化：是否有新VLAN、新网段建立
• 异常设备行为：设备在非维护时段上线

二、漏洞与补丁巡检（每周）

• 新披露工控漏洞订阅（CISA ICS-CERT、CNNVD、CNVD）
• 资产漏洞匹配（识别受影响设备）
• KEV新增条目跟踪（CISA Known Exploited Vulnerabilities）
• 补丁状态跟踪（已应用、待应用、不适用）
• 风险接受文档更新

三、配置合规巡检（每周）

• 工业防火墙策略合规性：是否新增放通规则、是否临时规则长期未清理
• 工程师站口令策略：弱口令、默认口令、长期未更换口令
• USB管控状态：是否有违规USB使用告警
• 远程访问日志：异常时段、异常地点、异常操作
• 工业IDS规则更新与误报管理

四、日志审计巡检（每日）

• 工业防火墙日志：放行/拒绝/异常连接
• 工业IDS告警：高危事件、规则命中
• HMI/工程师站登录日志：异常登录尝试、账号异常
• SCADA/DCS操作日志：参数修改、模式切换、报警
• PLC程序变更记录：梯形逻辑下载/上载
• 第三方运维操作日志

五、告警响应巡检（每日多次）

• 实时告警处置：高危告警30分钟内初步响应
• 事件升级机制：何时升级到IT安全团队、何时报告管理层
• 告警研判：是否为真实攻击事件、是否为设备故障、是否为合规告警
• 告警处置记录与跟踪

巡检周期建议：

巡检类型	频次	责任人
实时告警处置	7×24	值班SOC分析师
日志审计	每日	值班SOC分析师
资产/告警	每日	OT安全工程师
漏洞跟踪	每周	漏洞管理工程师
配置合规	每周	合规工程师
全面安全评估	每月	OT安全负责人
渗透测试/红蓝对抗	每年	外部专家+内部红队

关键原则：

• 生产安全第一：任何安全操作不得影响生产连续性
• 双人确认：重大操作（如防火墙策略变更）必须双人确认
• 变更可追溯：所有变更必须留痕、可审计
• 应急可恢复：巡检中发现的问题必须有可执行的应急方案

推荐工具支撑：工控SIEM、工控IDS、资产可视平台、合规管理平台、自动化巡检脚本（需经过严格测试）。