3.3 工业主机卫士（终端白名单防护）

信源等级：L3 厂商官方 ｜ 最后核验：2026-09-17 厂商资料：六方云官网（6cloudtech.com）

一、产品定义

工业主机卫士是基于**「白名单」技术开发的主机防护软件，部署于工业主机（工程师站、操作员站、SCADA/历史/OPC 服务器、接口机等），实现对工业主机启动、加载、运行全运行周期**的安全防护——防病毒、木马、违规软件对工业主机造成的破坏。对应《防护指南》第 9 条「主机可采用应用软件白名单技术，只允许部署运行经企业授权和安全评估的应用软件」。

二、为什么工控主机需要白名单（背景）

• 工业主机基于 Windows 平台、长期不更换、无法打补丁（产线连续性限制），传统杀毒软件（黑名单查杀）存在滞后性与资源占用；
• 工控环境业务固定、软件固定 → 天然适合白名单：只允许已知可信程序运行，未知程序一律拦截；
• 白名单在无病毒库更新情况下即可防住勒索软件（如 Conficker/WannaCry 类传播）与未知恶意软件。

三、核心技术要点

功能	说明
精准白名单管理	自动扫描/跟踪软件安装升级、自定义添加、手工导入；内置操作系统与主流工控软件白名单库，提升部署效率
灰过白策略	集中管理端对待保护主机精细学习，自动生成「灰名单→白名单」安全策略，同类型主机策略批量化部署
轻量级	系统资源占用少，安装部署对工控系统零影响，无需重启系统；不影响工控软件的安装和升级
管理粒度	深入到主机硬件驱动层，覆盖启动引导、进程、文件、外设（USB 等）访问控制
架构	Server（工业卫士库管理工具，部署于过程监控/生产管理层工程师站或独立工作站）+ Agent（终端，部署于每个工程师站/操作员站/服务器）；Agent 支持离线独立工作

四、功能体系（六方云口径）

1. 程序白名单：阻止非法程序运行（未在白名单的 exe/dll/驱动拦截）；
2. 文件/系统保护：关键目录、注册表、系统文件防篡改；
3. 外设管控：USB 存储设备等可移动介质接入管控（配合《防护指南》第 10 条防摆渡攻击）；
4. 基线核查：主机安全配置核查（账号口令、共享、服务端口等）；
5. 资产识别：主机软硬件资产清点上报（配合资产管理要求）。

五、行业应用

电力、石油化工、煤矿、煤化工、烟草、冶金、制药、智能制造、市政、半导体、轨道交通、水处理等。

六、典型组合方案

工业主机卫士（终端白名单）  +  工控防火墙（边界）  +  监测审计（全网）  +  态势感知平台（统一管理）
       =  工控安全体系化建设（等保2.0 8.5 / 防护指南 33项 落地）

七、来源引用

1. 六方云官网：工业主机卫士产品页