2023年，工业某汽车零部件厂的互联一台德国进口五轴加工中心在凌晨突然停机，屏幕上跳出一行乱码。网进维修人员查了三天，口设最后发现是备安设备内置的远程诊断模块被扫到了一个2017年就公开的漏洞。攻击者没做别的全漏，只是工业反复发送畸形数据包，就让这台价值800万的互联设备瘫了整整一周。这不是网进电影情节，是口设工业互联网安全里每天都在发生的事。

进口设备自带“后门”这件事，备安圈内人早就不惊讶了。全漏很多欧洲和日本的工业工业设备，出厂就预装了远程维护通道——厂商叫它“预测性维护”或“远程诊断”，互联说白了就是网进一条随时能进你车间的数字专线。这条专线的认证机制有多弱？我见过用固定密码的，见过用出厂默认密钥的，还见过干脆不加密、只靠“没人知道IP”来保安全的。设备厂商的逻辑是：这是给售后工程师用的，不是给黑客用的。可问题是，互联网上扫IP的机器人不跟你讲这个逻辑。

去年某石化企业做了一次内部渗透测试，结果让管理层坐不住了。他们从一台日本进口的流量计入手，通过它的Web管理界面拿到了shell权限，然后横向移动到了同一网段的DCS控制器。整个过程不到两小时。流量计本身不值钱，但它是一条跳板。进口设备往往在采购时就被要求“保留远程维护接口”，验收时没人敢删——删了厂商就不保修。安全部门知道有风险，生产部门怕停机，采购部门怕违约，三方扯皮的结果就是漏洞一直挂着。

更麻烦的是补丁。进口设备的固件更新周期长得离谱。一台西门子的老款PLC，官方最后一次安全补丁是2019年。你问厂商，答复是“该型号已进入生命周期末期”。可设备还在产线上跑，换一套要几百万。于是企业只能自己想办法：加防火墙、做网络隔离、上入侵检测。但这些手段对付IT系统还行，放到OT环境里就各种水土不服。工业协议对延迟极其敏感，你加个深度包检测，产线可能就抖了。

我见过最离谱的案例是一家食品厂。他们的意大利进口灌装线用的是Windows CE系统，连基本的TLS都不支持。安全团队想给它套一层加密隧道，结果设备直接死机——CPU太老，跑不动加密运算。最后只能把它锁在一个独立VLAN里，物理上拔掉所有对外连接。这算安全吗？算，但代价是厂商再也无法远程支持，每次故障都要等意大利工程师飞过来，一趟差旅费够买一台新设备。

问题根源不在技术，在采购逻辑。买进口设备时，安全从来不是KPI。招标文件里写的是精度、速度、良品率，没人写“请提供SBOM”或“请承诺漏洞响应时间”。设备到了现场，IT和OT两拨人互相看不懂对方的语言。IT说“你那个端口不能开”，OT说“不开设备连不上”。最后往往是一句“先跑起来再说”收场。跑起来之后，就没人再提了。

要改，得从合同改起。把安全条款写进采购协议：远程维护必须走VPN且支持双因素认证，固件更新周期不得低于五年，厂商须在24小时内响应高危漏洞。做不到的，扣尾款。这招比任何技术手段都管用。另外，别迷信“进口等于安全”。很多国产设备的安全设计反而更贴近国内网络环境，至少厂商响应快，一个电话能叫来人。

工业互联网把设备连上网，也把车间的门打开了。进口设备不是不能用，但得把钥匙攥在自己手里。别等到产线停了才想起查漏洞——那时候，损失已经按分钟算了。

(责任编辑：知识)