制造业 OT 安全实战指南

认识 OT：当"钢铁世界"遇上"比特世界"

在深入 Cyber Vision 之前，我们先花几分钟建立一个共同认知基础——什么是 OT？它和 IT 有什么不同？为什么制造业的安全问题如此特殊？

什么是 OT（运营技术）？

OT（Operational Technology，运营技术）是指用于监控和控制物理过程的硬件与软件系统。在一座工厂里，OT 就是那些让机械手臂焊接、让传送带运转、让化学反应维持精确温度的技术集合。

如果说 IT 管理的是"信息的流动"，那么 OT 管理的是"物质和能量的流动"。IT 的世界是屏幕、服务器和数据库；OT 的世界是 PLC（可编程逻辑控制器）、SCADA（数据采集与监控系统）、DCS（分布式控制系统）和无数传感器与执行器。

IT 与 OT 的核心差异

制造业的"数字中枢"：从 ERP 到 PLC

一座现代化工厂的数字系统通常按 Purdue 模型（ISA-95）分为多个层级，从上到下依次是：

• Level 4–5（企业层）：ERP（企业资源规划）、PLM（产品生命周期管理）、BI（商业智能）、SRM（供应商关系管理）——这些是 IT 团队的主场。
• Level 3（运营管理层）：MES（制造执行系统）、APS（高级计划排程）、WMS（仓储管理系统）、Historian（历史数据库）——IT 与 OT 的交汇地带，也是攻击者最爱的"跳板"。
• Level 2（监控层）：SCADA 服务器、HMI（人机界面）——操作员通过这些界面监控和操作产线。
• Level 1（控制层）：PLC（可编程逻辑控制器）、DCS 控制器、CNC（数控机床控制器）——直接控制物理设备的"大脑"。
• Level 0（现场层）：传感器、执行器、阀门、电机——与物理世界直接交互的"手和脚"。

了解了 IT 与 OT 的差异，以及制造业数字系统的层级结构后，让我们看看当安全防线失守时，会发生什么——

一次停产事故的警示

2024 年某日凌晨，华东某汽车零部件工厂的 MES 系统突然无响应，整条产线在 12 分钟内全线停机。这不是设备故障——而是一次精心策划的网络攻击。

攻击时间线

📊 事故影响总计

接下来，让我们系统性地了解：OT 安全的威胁有多严峻？IT 团队该如何行动？Cisco Cyber Vision 能提供什么帮助？

制造业 OT 安全的三重挑战

制造业正面临前所未有的网络安全压力——攻击手段升级、攻击面扩大、合规要求趋严。理解这三重挑战，是制定有效防御策略的第一步。

⚔️ 挑战一：攻击手段持续升级

如果说十年前针对工业控制系统（ICS）的攻击还是少数国家级黑客组织的"专属能力"——想想 2010 年的 Stuxnet 或 2017 年的 TRITON——那么今天，OT 攻击已经完全"民主化"。暗网市场上可以买到现成的 ICS 漏洞利用工具包，勒索软件即服务（RaaS）团伙已将制造业列为首要目标。更令人担忧的是，AI 正在加速这一趋势。

⚖️ 挑战二：合规监管全面升级

2024 至 2025 年是全球 OT 安全合规的转折之年。欧盟 NIS2 指令已于 2024 年 10 月正式生效，IEC 62443 被越来越多的行业标准和采购要求引用，中国《关键信息基础设施安全保护条例》持续深化执行。对于在全球运营的制造企业，合规已从"锦上添花"变为"生存前提"。

🌏 全球主要 OT 安全法规一览

👁️ 挑战三：看不见，就保护不了

前两重挑战——攻击升级和合规压力——都指向同一个根本问题：可见性缺失。这是制造业 OT 安全的"阿喀琉斯之踵"。

三重挑战总结

为什么 IT 团队必须主动出击

OT 安全不再是"工厂的事"——当 IT 与 OT 网络深度融合，威胁便沿着以太网线缆自由穿梭。真正的问题不是"要不要管"，而是"从哪里开始管"。

3.1 IT / OT 融合：正在消失的"气隙"

在工业 4.0 时代，MES（制造执行系统）、Historian（历史数据库）和远程运维网关已将 IT 与 OT 紧密相连 [8]。传统"气隙"名存实亡——超过 89% 的制造企业已部署某种形式的 IT/OT 互联 [9]。攻击者只需在 IT 侧获得一个立足点，便可沿 Purdue 模型逐层渗透到车间级控制器。

3.2 谁来负责？IT 与 OT 的"责任真空"

3.3 Cisco 工业安全之旅：四阶段路线图

保护 OT 环境不是一蹴而就的"大爆炸"项目，而是一段渐进式旅程。Cisco 将其归纳为四个递进阶段，每一步都构建在前一步的基础之上 [11]。

3.4 四阶段如何映射到 NIST CSF 2.0 框架

3.5 IT 主导、OT 协同——"网络即平台"

既然"可视化"是一切的起点，那 Cyber Vision 究竟是什么？它如何工作？下一章，我们将深入 Cisco Cyber Vision 的产品架构与核心能力。

什么是 Cisco Cyber Vision？

4.1 两层架构：Sensor + Center

Cyber Vision 采用经典的边缘计算 + 集中分析双层架构。传感器（Sensor）部署在尽可能靠近 OT 设备的网络接入层，执行深度包检测（DPI），仅将轻量级元数据（约占原始流量的 2–5%）上传至中心（Center）[8]。中心负责聚合、关联分析、漏洞匹配、IDS 规则比对，并提供统一 Web UI 和北向 API。

4.2 Cyber Vision Center — 大脑

Center 是 Cyber Vision 的集中管理与分析平台，负责接收传感器元数据，执行以下核心功能：

• 资产聚合 — 将多传感器发现的同一设备自动合并为单一资产视图
• 漏洞匹配 — 基于 Cisco 知识库（KDB）将资产信息与已知 CVE 关联
• Snort IDS — 内置 Snort 引擎，支持社区规则 + Talos 订阅规则
• 异常检测 — 学习网络基线行为，标记偏差（新设备、新协议、新连接等）
• 风险评分 — 为每个资产计算 0–100 综合风险分，驱动优先级排序
• 北向集成 — pxGrid（ISE）、REST API（Splunk/SIEM）、CSDAC（FMC）、XDR
• Web UI — 新版 UI（5.3+）采用 React，支持拓扑地图、流量矩阵、事件时间线

Center 部署形态

4.3 Sensor 家族 — 眼睛与耳朵

传感器是 Cyber Vision 的"感知末梢"，负责在网络边缘执行深度包检测（DPI），解码工业协议内容，提取设备属性、变量值、通信关系等元数据。

4.4 五大核心能力

理解了 Center + Sensor 的基础架构后，让我们深入 Cyber Vision 提供的五大核心能力——也是制造业 OT 安全的"五步走"逻辑：先看清，再评估，然后监控，最后响应和协同。

4.5 许可证模型

Cyber Vision 采用按端点（per-endpoint）而非按传感器计费的模型，分为两个层级：

了解了"是什么"，接下来看"怎么运作"——第五章将深入 DPI 引擎、协议解码、标签系统和风险计算的技术细节。

工作原理深度解析

从数据包到决策——逐层拆解 Cyber Vision 的技术引擎

如果说第四章回答了"是什么"，本章将回答"怎么做到的"。Cyber Vision 的核心竞争力可以归纳为一条流水线：抓包 → 解码 → 建模 → 评分 → 告警。我们将沿着这条流水线，从交换机 ASIC 一直追踪到最终的风险仪表盘。

5.1 深度包检测（DPI）引擎

Cyber Vision 传感器的 DPI 引擎是整个系统的"感知层"。它以 IOx 容器的形式运行在 Cisco 工业交换机（如 IE3400、Catalyst 9300 系列）的专用 CPU 核心上，与交换转发面完全隔离，不占用数据面资源 [14]。

关键设计要点

5.2 协议解码：读懂 OT 的"方言"

IT 世界的流量大多是 HTTP/TLS/DNS——"标准普通话"。但 OT 世界是"方言的海洋"：一条汽车产线可能同时跑着 EtherNet/IP（美系）、PROFINET（德系）、CC-Link（日系）、Modbus/TCP（通用）等截然不同的工业协议。Cyber Vision 的 DPI 引擎内置 400 余种工业及 IT 协议解码器，能够逐层解析到应用层语义——不仅知道"谁跟谁通信"，还能理解"在做什么操作" [16]。

重点协议解码能力一览（节选）

5.3 Tag 系统：OT 资产的"数字画像"

每个被发现的资产，Cyber Vision 都会自动赋予一组 Tag（标签）。Tag 是整个系统实现自动化分类、风险评估和策略联动的基石。Tag 分为两大类：

5.4 风险评分模型

Cyber Vision 为每个资产计算一个 0–100 分的风险评分，并在仪表盘中以颜色标识。分数越高，风险越大。其核心公式：

5.5 被动发现 vs 主动发现

Cyber Vision 提供两种互补的资产发现方式。理解它们的差异是正确部署的关键。

5.6 基线与异常检测工作流

发现资产只是起点。Cyber Vision 的真正价值在于持续监控——建立"什么是正常的"（基线），然后实时检测"什么偏离了正常"（异常）。

多基线管理：适应 OT 的复杂运行状态

工厂不是 7×24 始终如一的——生产班次、维护窗口、换线调试期间的"正常"截然不同。Cyber Vision 支持为同一网络创建多个基线，并按场景切换 [19]：

5.7 完整数据流水线总览

最后，让我们把所有环节串联起来，形成 Cyber Vision 从"数据包到决策"的完整视图：

部署指南 — 从规划到上线

Cyber Vision 的核心设计哲学是"不再为安全单独建网"——利用已有的工业交换机作为传感器，将部署成本与复杂度降至最低。本章将按规划 → 准备 → 部署 → 验证四步，提供可直接落地的实施指引。

6.1 部署前规划 —"四问清单"

正式部署前，IT/OT 联合项目组需回答以下四个核心问题。这些问题的答案直接决定架构选型与资源投入。

6.2 Center 部署规划

Cyber Vision Center 是整个平台的大脑，通常部署在 IT DMZ 或 L3.5 层。根据监控资产规模，可选不同部署形态 [20]：

Center 网络模式：单接口 vs 双接口

防火墙放行端口清单（Center ↔ Sensor 通信）

如使用单接口模式，以上端口需在 IT/OT 防火墙上放行（传感器→Center 方向）[22]。

6.3 传感器硬件前提与平台兼容性

Network Sensor 以 IOx 容器形式运行在 Cisco 工业交换机中。部署前需确认三项前提：平台型号、IOS-XE 版本、存储介质 [22]。

6.4 部署四步流程

以 IE3400 + Network Sensor（最常见的车间接入场景）为例，完整部署只需四个步骤。整个过程可在 15 分钟内完成单台交换机的传感器上线 [23]。

! 1. 格式化 SD 卡（首次）
Switch# format sdflash:
Format operation will destroy all data. Continue? [confirm] y

! 2. 启用 IOx
Switch(config)# iox

! 3. 验证 IOx 状态
Switch# show iox-service
IOxService    : Running
dockerService : Running
Libvirtd      : Running

! ── 方案 A：ERSPAN（以 IE3400 为例）──
Switch(config)# monitor session 1 type erspan-source
Switch(config-mon-erspan-src)# source interface Gi1/0/1 - 24 both
Switch(config-mon-erspan-src)# destination
Switch(config-mon-erspan-src-dst)# erspan-id 1
Switch(config-mon-erspan-src-dst)# ip address 10.x.x.x    ← IOx 容器 IP
Switch(config-mon-erspan-src-dst)# origin ip address 10.x.x.y
Switch(config-mon-erspan-src-dst)# no shutdown

! ── 方案 B：RSPAN（IE3400）──
Switch(config)# vlan 2508
Switch(config-vlan)# remote-span
Switch(config)# monitor session 1 source interface Gi1/0/1 - 24 both
Switch(config)# monitor session 1 destination remote vlan 2508
! AppGigabitEthernet 1/1 连接 IOx 容器
Switch(config)# interface AppGigabitEthernet1/1
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 2508,<mgmt-vlan>

6.5 拓扑场景与传感器布放策略

制造业车间网络拓扑多样，不同拓扑对传感器位置的选择有直接影响。以下是三种典型场景及其最佳布放策略 [24]：

6.6 NAT 穿越与特殊场景

制造业中 NAT（网络地址转换）普遍存在——不同产线使用相同的 IP 段是常态。传感器的部署位置相对于 NAT 边界至关重要 [24]。

6.7 PCAP 上传 — 零部署快速 PoC

对于需要快速评估价值但尚未获得产线停机窗口的项目，Cyber Vision 支持直接上传 PCAP 文件进行离线分析——无需在任何交换机上安装传感器 [25]。

6.8 SEA 集成 — 传感器与端点安全二合一

自 v5.3 起，Cisco 推出了 Cyber Vision + Secure Equipment Access（SEA）一体化 IOx 应用。在同一台工业交换机的 IOx 容器中，同时运行 CV 传感器（OT 可见性）和 SEA 代理（安全远程访问网关），无需额外硬件 [25]。

6.9 部署上线清单（Checklist）

将本章所有要点提炼为可打印的部署清单，便于现场工程师逐项勾选。

传感器部署完成后，Cyber Vision 的价值才真正释放。下一章将展示如何通过 ISE · Secure Firewall · XDR · Splunk 四大生态集成，将 OT 可见性转化为可执行的安全策略。

生态集成：从可见到可控的闭环

Cyber Vision 不是孤岛——它是 Cisco 安全架构的 OT 数据引擎

Cyber Vision 生态集成全景

🛡️ 7.1 ISE 集成：pxGrid + SGT 微分段

为什么 ISE 集成是"最高优先级"？

在第三章的安全旅程中，阶段二——网络分段被 Cisco 视为工业安全 ROI 最高的投资。而 ISE（Identity Services Engine）正是实现分段策略的核心平台。Cyber Vision 与 ISE 的集成，解决了一个根本性难题：OT 设备不做 802.1X 认证，ISE 怎么知道它们是什么？

答案是：Cyber Vision 充当 OT 世界的"身份提供者"，通过 pxGrid 协议把丰富的资产属性推送给 ISE，让 ISE 能够对 OT 设备执行基于身份的策略——即使这些设备从未做过任何认证。

集成架构与数据流

关键数据字段（Cyber Vision → ISE）

SGT 微分段实战流程

以 IEC 62443 Zone & Conduit 模型为目标，典型的 ISE 微分段实施分 4 步：

ISE 集成配置要点速查

🔥 7.2 Secure Firewall 集成：CSDAC + 动态对象

问题：防火墙规则如何跟上 OT 资产变化？

传统防火墙策略基于静态 IP 地址，但 OT 环境的现实是：设备可能使用 DHCP（尤其是移动工站、AGV）；生产线扩容时新设备不断上线；CVE 披露后需要紧急对受影响设备实施"虚拟补丁"。手动维护 IP 列表 = 运维噩梦 + 安全延迟。CSDAC（Cisco Secure Dynamic Attributes Connector）解决了这个问题。

CSDAC 架构与数据流

CSDAC 做了什么？

• 拉取：定期从 Cyber Vision REST API 查询资产列表及其属性（设备类型、供应商、漏洞、风险分数等）
• 转换：根据预定义的映射规则，将 OT 资产属性转换为 FMC 的动态对象（Dynamic Objects）
• 推送：将动态对象更新至 FMC / cloud-delivered FMC
• 自动生效：引用动态对象的防火墙规则无需重新部署即可自动更新

虚拟补丁（Virtual Patching）实战场景

动态对象映射示例

Firewall 集成配置要点

🎯 7.3 XDR 集成：IT/OT 统一威胁管理

Cisco XDR：统一检测与响应平台

Cisco XDR（原 SecureX）是 Cisco 的扩展检测与响应平台，旨在将多个安全产品的告警、上下文和响应能力统一到一个界面。Cyber Vision 与 XDR 的集成，实现了 OT 威胁事件在企业级 SOC 的可见性。

集成能力概览

IT + OT 联合调查场景

XDR 集成配置要点

📊 7.4 Splunk / SIEM 集成：合规与审计

为什么需要 SIEM 集成？

对于许多制造企业而言，Splunk 或其他 SIEM 平台（QRadar、Sentinel 等）才是安全运营的"真正中心"。SOC 团队的日常工作流在 SIEM 中完成，合规审计报告从 SIEM 中导出。因此，Cyber Vision 的数据必须能够流入 SIEM，才能真正被消费。

集成方式：多通道

Splunk OT Security Add-on 亮点

🔐 7.5 Secure Equipment Access (SEA) 集成

什么是 SEA？

Cisco Secure Equipment Access（SEA）是 Cisco 专为 OT 环境设计的零信任远程访问（ZTNA）解决方案。它解决了工业环境中一个长期痛点：第三方供应商和远程工程师需要访问产线设备进行维护，但传统 VPN 提供的是"一旦连接就全网可达"的粗粒度访问。

SEA 提供的是基于身份、时间、设备的细粒度远程访问：特定人员，只能在特定时间窗口内，访问特定的 OT 设备，且所有操作被完整记录。

Cyber Vision + SEA 的协同价值

SEA 关键特性

🗺️ 7.6 集成能力总览与选型建议

集成能力矩阵

分阶段集成建议

总结与行动指南

🔄 回到文章开头的那家工厂……

还记得第一章里那个因勒索软件瘫痪 11 天、损失 3,200 万元的制造工厂吗？让我们重新审视那个时间线，这次假设工厂已部署了 Cisco Cyber Vision——看看结局会如何改变。

8.1 核心要点回顾

纵观全文，我们可以提炼出五个关键认知：

8.2 部署前后价值对比

以下 KPI 基于行业基准数据和 Cisco 客户案例，展示部署 Cyber Vision 后的典型改善效果：

8.3 推荐行动路线图

无论您是刚开始关注 OT 安全的 IT 团队，还是已有一定基础的制造企业，以下三阶段行动路线图可供参考：

8.4 常见问题速答（FAQ）

8.5 立即开始

📘 术语表（Glossary）

本文中涉及的关键术语速查，按字母排序。

📚 延伸阅读

• Cisco 工业安全解决方案
• Cyber Vision 产品页
• Cisco OT 安全博客
• Cisco Live 技术大会

📄 主要参考文档

• Cisco Cyber Vision Data Sheet
• Cyber Vision v5.4 Technical Design Manual
• What's New in Cyber Vision 5.5
• Industrial Security 3.1 Design Guide
• Cisco Live: BRKSEC-2096, BRKIOT-2073
• ISA/IEC 62443-3-3 White Paper
• NIS2 Compliance White Paper
• Harness the Power of Networking WP