送料系统网络安全指南：保护工业送料设备

联网的送料器就是一个攻击面

十年前，振动料斗送料器是一个带电源线和开关的机电设备。今天，许多送料器配备了以太网控制器、Modbus TCP 或 Profinet 接口、远程监控仪表板和可通过网络更新的固件。这些功能提高了运营可见性并缩短了调试时间，但它们也引入了以前不存在的网络安全攻击面。

威胁并非理论性的。2023年，德国一家制造厂在勒索软件攻击通过共享以太网交换机从 IT 网络传播到 OT 网络后，损失了72小时的生产时间，禁用了三条装配线上的 PLC 和送料器控制器。送料器本身并非目标——它们是网络分段不足的附带损害。但效果相同：产线停工，成本以数十万欧元计。

本指南涵盖了工业送料设备特有的网络安全考量：威胁态势、网络分段策略、控制器加固、IEC 62443 合规性，以及针对可能没有专门 OT 安全团队的中小型制造商的实际步骤。它基于我们的PLC 集成指南和送料器 HMI 和报警设计指南，这些指南涵盖了联网送料器系统的功能方面。

工业送料设备的威胁态势

送料系统不是高级持续性威胁攻击者的高价值目标。但它们是可以被利用作为入口点的低价值目标，或作为更广泛攻击的附带损害。相关威胁分为四类：

IT 网络入侵的附带损害。这是最常见的场景。攻击者通过钓鱼邮件或面向公众服务器的漏洞进入企业 IT 网络，然后由于两个网络未正确分段而横向移动到 OT 网络。送料器控制器不是目标，但当攻击者加密文件共享、禁用 PLC 或用流量淹没网络时，它们会被中断。

控制器固件的供应链攻击。送料器控制器运行嵌入式固件，通常基于 Linux 或 RTOS。如果固件更新机制未受保护（无代码签名、无传输加密），能够接触到控制器的攻击者可能注入恶意固件。这是低概率但高影响的场景——受损的控制器可能错误送料、忽略安全联锁或提供进入 OT 网络的持久后门。

远程访问利用。许多送料器供应商通过 VPN、TeamViewer 或基于云的仪表板提供远程监控和故障排除。如果这些远程访问通道未正确保护（共享凭据、无 MFA、始终在线的连接），它们提供了从互联网到送料器控制器的直接路径。

内部威胁和意外配置错误。操作员或维护技术人员更改控制器参数、为方便而开放端口或将个人设备连接到 OT 网络。这些行为并非恶意，但创造了可被外部攻击者利用或导致运营中断的漏洞。

• 附带损害是最可能的场景：通过将 OT 与 IT 分段来保护送料器，而不是单独加固每台送料器。
• 远程访问是最可利用的路径：共享 VPN 凭据和始终在线的连接是最薄弱的环节。
• 固件完整性很重要：要求送料器供应商提供代码签名的固件更新。

网络分段策略

网络分段是 OT 环境中最有效的网络安全措施。目标是确保 IT 网络的入侵无法到达 OT 网络，以及一个 OT 区域的入侵不会传播到其他区域。

Purdue 模型广泛用于流程工业，定义了分层网络区域。对于使用送料系统的离散制造，简化的三区域模型更实用：

关键规则是：区域 3（IT）和区域 1（OT）之间没有直接连接。它们之间的所有流量必须通过 DMZ（区域 2），在那里可以被检查、记录和控制。区域 1 中的送料器控制器不应能访问互联网，区域 3 中的工作站不应能直接访问送料器控制器。

对于使用扁平网络（所有设备在一个交换机上）的小型制造商，实施完整的 Purdue 模型不切实际。更可行的方案是从 VLAN 分离开始：将所有 OT 设备放在单独的 VLAN 上，防火墙规则阻止来自 IT VLAN 的所有入站流量，除了特定的、有文档记录的例外（例如，历史数据库服务器在端口 502 上轮询 PLC 数据用于 Modbus TCP）。

• 从 VLAN 分离开始：即使是基本的 IT 和 OT VLAN 分割也能防止最常见的横向移动。
• 默认阻止所有 OT 入站流量：仅允许特定的、有文档记录的例外通过防火墙。
• OT 无互联网访问：送料器控制器不应因任何原因需要访问互联网。

控制器加固

送料器控制器是处理能力和内存有限的嵌入式设备。它们无法运行端点保护软件，其操作系统可能不会定期接收安全补丁。加固意味着将攻击面减少到运行所需的最低限度。

密码策略

许多送料器控制器上的默认密码是"admin"、"1234"或空白。这是调试期间首先要更改的内容，也是最常被跳过的步骤。每个控制器应有唯一的强密码（12+字符，混合大小写、数字、符号）。将密码记录在安全的密码管理器中——而不是共享驱动器上的电子表格中，也不是贴在控制器侧面。

如果控制器支持多个用户账户，为操作员（只读或有限控制）、工程师（完全控制）和管理员（配置更改）创建单独的账户。这限制了操作员凭据受损时的爆炸半径。

固件更新

控制器固件应在调试期间更新到最新稳定版本，然后按计划（每季度或每半年）更新。在应用任何更新之前，使用制造商提供的校验和或数字签名验证固件完整性。如果制造商不提供代码签名固件，询问原因——并将其视为供应商评估中的风险因素。

固件更新应从 OT 网络上的可信 USB 驱动器或专用工程工作站应用，绝不应从同时连接互联网或 IT 网络的设备应用。更新过程应记录在维护 SOP 中，包括更新导致问题时的回滚程序。

端口和服务管理

禁用送料器运行不需要的每个网络服务。嵌入式控制器上常见的不必要服务包括：Telnet（端口 23）、FTP（端口 21）、HTTP 管理界面（端口 80/443，如果未用于 HMI）和 UPnP。每个开放端口都是潜在的入口点。如果送料器通过端口 502 上的 Modbus TCP 与 PLC 通信，则只应开放端口 502，并且只能从 PLC 的 IP 地址访问。

如果控制器有基于 Web 的管理界面，通过防火墙规则将访问限制为工程工作站的 IP 地址。不要将管理界面暴露给整个 OT VLAN——仅限需要它的特定设备。

• 立即更改默认密码：联网控制器上的"admin/1234"是一扇敞开的门。
• 要求代码签名固件：如果供应商无法提供，记录风险并计划缓解措施。
• 关闭每个不需要的端口：每个开放服务都是必须防御的攻击面。

送料系统的 IEC 62443 概述

IEC 62443 是工业自动化和控制系统（IACS）安全的国际标准。它定义了评估风险、建立安全区域和指定组件及系统安全要求的框架。虽然完整的 IEC 62443 合规性通常由最终用户的企业安全策略驱动，但送料器供应商应了解影响其产品的要求。

该标准分为四个部分：

• IEC 62443-1（通用）：定义、概念和整体安全生命周期。
• IEC 62443-2（资产所有者）：风险评估、安全策略和区域/管道模型——资产所有者的责任。
• 62443-3（系统）：系统安全要求和区域及管道的安全级别（SL）目标。
• 62443-4（组件）：单个组件（控制器、HMI、传感器）的安全要求——供应商的责任。

对于送料系统，最相关的部分是 IEC 62443-4-2，它定义了组件的安全级别 1 到 4。大多数送料器控制器针对 SL 1（偶然或意外违规）或 SL 2（简单手段、低资源、低动机）。SL 3 和 SL 4（复杂的、有意的攻击）通常仅在关键基础设施中需要，而非离散制造。

影响送料器控制器设计的关键 IEC 62443-4-2 要求包括：标识和认证控制（唯一用户账户、密码复杂性）、使用控制（基于角色的访问）、数据完整性（固件验证、配置更改日志）和确定性输出（控制器在受损时必须安全失效）。如果您的送料器供应商声称 IEC 62443 合规，询问哪些部分和哪个安全级别——没有具体说明的"IEC 62443 合规"毫无意义。

远程访问安全

远程访问送料器控制器是合理的运营需求——供应商需要它进行故障排除，工厂工程师需要它进行监控。但它也是最常被利用的攻击路径。保护远程访问需要分层方法：

1. 在 DMZ 中使用专用远程访问网关。不要允许从互联网直接 VPN 连接到 OT 网络。相反，在 DMZ 中放置远程访问网关（如堡垒主机或商业 OT 远程访问平台）。网关认证远程用户、记录会话并代理到 OT 设备的连接。

2. 要求多因素认证。每个远程访问会话必须要求 MFA——而不仅仅是密码。硬件令牌、推送到注册移动设备的通知或来自认证器应用的一次性代码都是可接受的方法。没有 MFA 的共享 VPN 凭据是严重漏洞。

3. 按需连接，而非始终在线。VPN 隧道或远程访问会话应仅在需要时建立，在会话结束时断开。从供应商办公室到 OT 网络的始终在线 VPN 连接是持久的攻击面，在没有活跃故障排除会话时对任何人都没有好处。

4. 记录和监控所有远程会话。记录谁连接了、何时、到哪台设备以及执行了什么操作。此日志对于事件调查和在审计期间证明合规性至关重要。许多商业 OT 远程访问平台提供会话录制作为内置功能。

中小型制造商的实际步骤

并非每个制造商都有专门的 OT 安全团队、SIEM 平台或完整的 Purdue 模型网络架构。对于资源有限的工厂，以下步骤以最少的投资提供最高的安全回报：

步骤 1：清点每台联网的送料器控制器。您无法保护您不知道的东西。走遍车间，记录每台控制器的 IP 地址、固件版本和默认凭据状态。此清点需要几个小时，是其他一切的基础。

步骤 2：更改所有默认密码。这是影响最大的单一行动。今天就做。每个控制器使用唯一密码，存储在密码管理器中。

步骤 3：将 OT 设备放在单独的 VLAN 上。大多数可管理交换机支持 VLAN。创建一个用于 IT 设备的 VLAN 和一个用于 OT 设备的 VLAN。添加简单的防火墙规则：OT VLAN 不能访问互联网；IT VLAN 不能访问 OT VLAN，除非通过有文档记录的例外。

步骤 4：禁用每台控制器上不必要的服务。Telnet、FTP、HTTP 管理界面——如果您不使用它们，就关闭它们。每台控制器需要 10 分钟。

步骤 5：保护远程访问。用个人账户和 MFA 替换共享 VPN 凭据。如果当前的远程访问设置不支持 MFA，切换到支持的平台。商业 OT 远程访问解决方案的成本（每年 2,000-5,000 美元）与单次勒索软件事件的成本相比微不足道。

步骤 6：安排固件更新。每季度检查控制器固件更新。从可信的工程工作站应用，验证校验和，并在维护日志中记录更新。

• 先清点：您无法保护您不知道的设备。
• 默认密码是最低垂的果实：在做任何其他事情之前更改它们。
• VLAN 分离是投资回报率最高的网络变更：以 5% 的精力阻止 80% 的横向移动。
• 远程访问 MFA 是不可协商的：共享 VPN 凭据是严重漏洞。

常见问题

没有网络连接的独立送料器有风险吗？

>

不受远程攻击影响。没有以太网端口、没有 Wi-Fi 且操作员无法访问 USB 端口的送料器实际上是物理隔离的。唯一的网络安全风险是物理访问——有人可能将笔记本电脑连接到控制器的串行端口或通过服务接口替换固件。对于大多数应用，此风险可以忽略。本指南中的网络安全问题专门适用于具有网络连接（以太网、Wi-Fi 或云连接控制器）的送料器。

如果我的送料器供应商坚持远程访问以提供支持怎么办？

远程访问是合理的，但必须安全。要求供应商使用您的远程访问基础设施（您的 DMZ 网关、您的 MFA、您的日志记录），而不是他们自己的。如果供应商坚持使用自己的 TeamViewer 或 VPN，要求连接仅在活跃故障排除会话期间建立，有明确的开始和结束时间，并且您保留随时断开会话的权利。绝不允许从供应商网络到 OT 网络的始终在线远程访问。

IEC 62443 适用于送料系统吗？

IEC 62443 适用于任何工业自动化和控制系统，包括送料系统，前提是资产所有者的安全策略要求。实际上，离散制造中的大多数送料系统被纳入工厂范围的 IEC 62443 合规计划，而不是单独认证。送料器供应商的责任是提供满足资产所有者定义的安全要求的组件——通常是 IEC 62443-4-2 下的 SL 1 或 SL 2。如果您的工厂正在推进 IEC 62443 合规，请在送料器 RFQ 中包含适用的安全级别。

如何保护无法更新的旧送料器？

固件过时、无密码保护且无网络分段功能的旧送料器应在网络层面隔离。将它们放在专用 VLAN 上，不与任何其他网络区域连接。如果它们必须与 PLC 通信，使用协议转换器或防火墙，仅允许所需的特定 Modbus 或数字 I/O 流量，阻止其他一切。如果旧控制器有 Web 界面或 Telnet，禁用它或在防火墙处阻止访问。目标是使旧送料器从攻击者可能入侵的任何网络不可达。

RFQ 中应包含哪些网络安全内容？

在 RFQ 中指定以下内容：网络连接要求（哪些协议、哪些端口）、密码管理能力（唯一账户、密码复杂性、账户锁定）、固件更新流程（代码签名、校验和验证、回滚能力）、远程访问要求（您的基础设施、MFA、会话日志记录）以及适用的 IEC 62443 合规级别。还要求供应商提供控制器的安全数据表或 SBOM（软件物料清单），列出所有软件组件和已知漏洞。这正在成为 OT 采购的标准做法。

结论

送料系统的网络安全不是关于保护送料器本身——而是防止送料器成为对更广泛 OT 网络攻击的载体。最重要的措施是网络分段（将 IT 与 OT 分离）、控制器加固（更改默认密码、关闭不必要的端口、更新固件）和安全远程访问（MFA、按需连接、会话日志记录）。这些步骤并不昂贵或技术上复杂，但需要纪律和一致性。从清点和默认密码更改开始——这些需要几小时而非几周——然后逐步推进。如果您需要帮助指定新送料器安装的网络安全要求或评估现有送料设备的安全态势，请联系我们的工程团队。