1. 工业安全概述：工业控制系统（ICS）安全现状、HMI面临的主要威胁与安全防护的重要性

1.1 工业控制系统（ICS）安全现状——说实话，情况不太乐观

咱们先聊聊大环境。工业控制系统，也就是常说的ICS，这些年暴露出来的问题越来越多。我入行那会儿，大家觉得工控系统是封闭的，跟互联网不沾边，安全？不存在的。但你看现在，IT和OT深度融合，以前那种“物理隔离”的幻想早就破灭了。

我个人习惯把ICS安全现状总结成三个字：“老、乱、多”。

• 老：很多PLC、DCS、HMI设备用了十年以上，系统还是Windows XP、Windows 7，补丁都打不上。我在一个化工厂项目里见过一台HMI，系统是2003年的，你敢信？
• 乱：网络边界模糊，无线接入随意，U盘乱插。有一次我去现场排查，发现操作员把HMI的USB口插了个手机充电器——嗯，这还算好的，至少没插U盘。
• 多：攻击面越来越多。从震网病毒到勒索软件，针对工控系统的攻击事件每年都在翻倍。说白了，以前黑客看不上工控，现在发现这里“油水”足，而且防护弱。

1.2 HMI面临的主要威胁——这些坑，我踩过不少

HMI是操作员和现场设备之间的“窗口”。窗口一旦被砸，后果很严重。我根据项目经验，把HMI的主要威胁归纳为以下几类：

1.2.1 未授权访问——最基础的漏洞，也是最常见的

你想想看，很多HMI的登录界面就是个摆设。默认密码不换，或者干脆没有密码。我在一个水处理项目中遇到过，HMI的工程师账户密码是“123456”，操作员账户密码是“123”。我当时就问现场负责人：“你们这密码是防君子的吧？”他苦笑说：“方便嘛。”

未授权访问的直接后果是什么？操作员能改参数，工程师能下装程序，甚至一个实习生都能把整个产线停了。嗯，这里要注意，权限管理不是限制谁，而是保护谁。

1.2.2 数据篡改——你看不见的“内鬼”

这个威胁更隐蔽。攻击者不直接搞破坏，而是偷偷改几个数值。比如温度传感器显示正常，实际已经超限了；或者压力值被改小，报警阈值被调高。操作员看着屏幕一切正常，现场可能已经出事了。

我曾经在调试一个化工反应釜的HMI时，发现趋势曲线有异常跳变。查了半天，发现是上位机数据库被人改了历史数据。虽然那次是内部测试，但给我提了个醒：HMI显示的数据，不一定就是现场的真实数据。

1.2.3 拒绝服务攻击——让操作员变成“瞎子”

这个很好理解。攻击者通过大量无效请求，让HMI的通信接口瘫痪，或者让画面卡死。操作员看着屏幕转圈圈，现场设备还在跑，你说急不急？

我记得有个项目，HMI用的是OPC DA通信。某天突然画面全灰了，操作员急得满头汗。后来发现是有人用扫描工具扫了OPC端口，导致服务器响应不过来。说白了，HMI的网络通信防护，不能只靠防火墙。

1.2.4 恶意软件植入——U盘是最大的“搬运工”

震网病毒就是通过U盘进入工控网络的。现实中，操作员用U盘拷个报表、更新个画面文件，太常见了。但U盘一旦带毒，HMI就是第一个受害者。

我建议所有HMI项目，USB口要么物理封死，要么做白名单管理。别嫌麻烦，真出了事，停产一天的损失够你买几百个U盘了。

1.3 安全防护的重要性——别等出事了再后悔

为什么要做安全防护？我直接说三点：

1. 保命：工业事故不是闹着玩的。HMI被篡改导致设备误动作，轻则设备损坏，重则人员伤亡。这个责任，谁都担不起。
2. 保钱：停产损失、设备维修、数据恢复，哪样不要钱？我见过一个工厂因为勒索软件攻击，停产三天，损失超过两千万。而一套完善的HMI安全防护方案，成本可能不到十万。
3. 保合规：现在很多行业都有安全标准，比如等保2.0、IEC 62443。你不做安全防护，验收都过不了。

1.4 我的个人经验总结

做了这么多年工控安全，我最大的感受是：安全不是买几个设备、装几个软件就能解决的。它需要从设计阶段就开始考虑，贯穿整个生命周期。

我习惯在HMI开发初期就做“威胁建模”。说白了，就是先假设自己是个坏蛋，想想怎么搞破坏。然后针对每个可能的攻击路径，设计防护措施。比如：

• 用户登录必须用强密码 + 双因素认证
• 操作日志必须完整记录，且不可篡改
• 通信数据必须加密 + 校验
• U盘、网络接口必须做白名单

嗯，这些内容后面章节会详细讲。这里先给大家打个底：HMI安全防护，不是选择题，而是必答题。

---

公众号:蓝海资料掘金营，微信deep3321