边界隔离是起点，不是终点
工控网络的安全建设，多数单位是从“把生产网和办公网隔开”开始的。这一步非常必要，但它只解决了“外面的人进不来”，没有解决“已经进来的人能做什么”。而现实中的工控事故，很大一部分并不是被正面攻破，而是通过运维笔记本、U 盘、第三方远程运维、供应商设备这些“合法通道”进入生产网的。
另一个必须提前接受的约束是：OT 安全的第一优先级是可用性。 在 IT 环境里，误拦一次请求只是体验问题；在生产网里，误拦一条控制指令可能意味着停机甚至安全事故。这决定了工控安全的手段必须比 IT 更克制——宁可少拦，不可误停。
四层落点
第一层：分区分域。 按功能与安全等级把生产网络划分为若干安全区，例如现场控制层、过程监控层、生产管理层、以及与企业网的交界区。分区之后的关键动作是收敛区域之间的通道——只保留业务必需的通信路径，并明确每条路径的方向与协议。这一层做好了，后面几层才有清晰的施力点。
第二层：边界防护。 在区域之间部署具备工业协议深度解析能力的防护设备，做到协议级、甚至指令级的访问控制。与 IT 防火墙的最大区别是：它需要理解 Modbus、OPC、S7 等工业协议的语义，能够识别“读寄存器”和“写寄存器”的差别，并对写操作施加更严格的白名单。
第三层：网络监测。 通过流量镜像识别到底有哪些资产在网络上（工控环境普遍存在大量未登记的设备），建立通信行为基线，对偏离基线的行为告警。这一层的价值常被低估：它往往能在没有明显攻击特征的情况下，发现“某台设备突然开始和不该通信的地址通信”这类早期信号。
第四层：主机加固与安全运营。 对工程师站、操作站、服务器做补丁与配置加固，同时把前面几层产生的告警接入运营流程，形成闭环。工控环境的补丁管理需要格外谨慎，通常采用“先在测试环境验证、再在停机窗口实施”的节奏，并准备好回退方案。
几个容易走过场的地方
- 只做了分区，没有收敛通道：区域之间仍然“全通”，分区就只剩形式；
- 资产台账不准：不清楚生产网上有多少设备，后续所有策略都建立在错误的基础上；
- 白名单上线后不再维护：工艺调整、设备更换后白名单未同步，最终只能被运维关掉；
- 把 IT 的监控思路直接搬到 OT：只盯病毒与漏洞，忽略工艺行为异常；
- 缺少演练：预案写了但从未验证，真出事时不知道先切哪里。
落地建议
如果刚开始建设，建议的顺序是：先摸清资产，再划分区域，然后收敛通道，最后才是加设备。反过来做——先买一批设备接上去——往往会出现“设备上线了，但不知道该配什么策略”的尴尬局面。
一句话总结：工控纵深防御的目标不是把生产网包成铁桶，而是让每一次跨区通信都有明确的理由、可核对的策略和可回溯的记录。