防线可被跨网入侵

凌晨两点十七分，防线某省电力公司调度中心的可被跨网告警屏幕突然跳出一行红色字符：“外部IP尝试登录SCADA系统，已绕过防火墙策略”。入侵值班员揉了揉眼睛，防线以为又是可被跨网误报——毕竟那台防火墙刚通过等保三级测评，厂商工程师拍着胸脯说“固若金汤”。入侵

三天后，防线攻击者确实没碰任何生产设备。可被跨网他们只是入侵顺着一条无人维护的VPN隧道，溜进了办公网的防线OA服务器，然后像逛自家后花园一样，可被跨网把一份《电网调度规程》的入侵PDF文件拖走了。这份文件不涉密，防线但攻击者要的可被跨网是“痕迹”——证明他们能跨过那道号称“物理隔离”的防线。

这事最讽刺的入侵地方在于：那条VPN隧道，是运维外包商三年前为远程修打印机开的。合同到期后，账号忘了注销，设备固件再没更新过。你看，真正的防线漏洞从来不在最热闹的攻防演练场，而在那些没人愿意多看一眼的犄角旮旯。

我把这类入侵叫“侧门效应”。你家正门装了十厘米厚的防盗门，可厨房窗户的纱窗破了个洞——小偷不傻，他干嘛非要撬锁？工业系统同理，大家死磕工控协议漏洞、盯紧PLC和DCS，却忘了办公网和工控网之间那道逻辑隔离，往往只靠一台老掉牙的网闸撑着。那网闸的规则表，可能还停留在五年前的系统版本。

有个数据我记了很久：某安全机构统计过，近三年针对关键信息基础设施的攻击中，超过60%的初始入侵路径，都经由IT网络横向渗透到OT网络。换句话说，大多数攻击者根本没直接打工业设备，而是先攻破某个行政人员的电脑，再借着内网漫游，一步步摸到控制系统的“后门”。

我认识一位电厂的安全主管，他做过一个“笨测试”：让团队假装成黑客，去尝试从办公网访问生产网。结果发现，有台未纳入管理的Windows服务器，居然同时插着办公网和调度专网的网线——因为某个工程师嫌切换麻烦，私自加装了一块双网卡。就这么一根线，物理隔离成了笑话。

所以别迷信“隔离”这个词。真正的隔离是动态的、持续验证的，不是画在拓扑图上的几条红线。你得假设防线一定存在缝隙，然后每隔一阵子，就蹲下来仔细看看那些缝隙有没有悄悄变大。

那晚的告警最终被证实是攻击者故意留的“到此一游”。但那位值班员后来跟我说，他再也不敢在值班室打盹了——因为谁也不知道，下一个凌晨两点十七分，那条破纱窗后面，会不会真的伸进来一只手。