去年秋天，金川金川集团下属一家冶炼厂的终端工控网络里，突然多出一台没登记在册的安全笔记本。它接入了核心PLC网段，防护不到四十分钟就被安全运营中心揪出来——靠的金川不是什么高级威胁情报，而是终端一套终端准入策略在后台默默比对MAC地址与资产台账。这事后来被内部通报，安全罚了车间主任两千块。防护听起来有点小题大做，金川但金川的终端人说，工业现场最怕的安全就是“没想到”。

金川做终端安全，防护跟互联网公司完全两个路子。金川他们面对的终端不是几万台云主机，而是安全散落在矿山、冶炼厂、化工厂里的工控机、操作站、老旧的Windows XP盒子，甚至还有跑DOS的称重终端。这些设备不能随便打补丁，重启一次可能影响整条产线。所以他们的第一原则很土：先保生产，再谈安全。白名单机制是主力，不是黑名单杀毒。每台终端的进程、端口、外设使用都要报备，USB口默认禁用，真要插U盘得走审批流程，而且只能读不能写。

我翻过一份金川某镍车间的终端防护日志。去年六月，一台操作站连续触发七次告警，原因是有人试图用蓝牙适配器连接手机。系统自动阻断了蓝牙协议，但没关机，也没弹窗——因为操作工正在盯着炉温曲线。安全软件静默记录，事后由安全员找班组长核实。这种“不打扰生产”的设计思路，在别处很少见。互联网安全讲究实时阻断、立刻响应，工业现场反而要容忍一点“延迟处置”。

另一个有意思的细节是补丁管理。金川搞了一套离线补丁分发系统，每个月由集团安全部测试完微软补丁后，刻成光盘或者通过单向光闸摆渡到内网。为什么不用WSUS？因为很多工控软件跟特定补丁冲突，比如罗克韦尔的RSLogix 5000在某个.NET更新后会崩溃。他们自己建了个兼容性矩阵表，Excel做的，密密麻麻标着红绿黄。这东西看着原始，但比任何自动化工具都靠谱。

终端防护的边界也在变。以前只管PC和服务器，现在连DCS操作台、智能仪表、巡检PDA都纳进来了。金川龙首矿的井下终端通过5G专网回传数据，安全策略得跟着无线信号跑。他们试过把防火墙策略下推到CPE，结果发现井下设备漫游时IP会变，白名单直接失效。后来改成基于设备指纹的准入，MAC+硬盘序列号+CPU ID三重绑定，才算稳住。

说到人，金川的终端安全其实靠“两条腿”：一条是技术管控，一条是班组自查。每个车间都有兼职安全员，每月要交终端违规报告。报告内容很具体——谁插了手机、哪台机器装了盗版输入法、哪个USB口封条破了。集团安全部不只看告警数量，更看整改闭环率。有个数据挺实在：2023年全集团终端违规事件同比下降37%，但主动上报数上升了2倍。这说明什么？不是问题变少了，是大家敢报了。

当然也有头疼的事。老设备跑不了新版EDR，只能靠网络层流量分析补位。金川选了两家国产厂商做流量探针，在核心交换机上做镜像，重点盯S7、Modbus、OPC UA这些工控协议。误报率不低，但安全团队自己写脚本过滤，把已知的组态软件轮询流量加进白名单。这种活没法外包，得懂工艺的人自己调。

最后说个观察。金川的终端安全文档里，出现频率最高的词不是“防御”“检测”，而是“可用性”。这跟互联网安全圈天天喊的“零信任”“纵深防御”不太一样。工业现场的逻辑很简单：终端活着，生产才能活着。安全措施要是让操作工多按三次确认键，他们就会想办法绕过去。所以金川的策略是——把安全做进流程里，别做在流程外。该禁的禁死，该放的放明白，剩下的交给制度和巡检。这套办法不酷，但管用。