勒索软件别只防办公室：仓库自动化网（WMS/WCS/PLC/AMR）的安全分段实战

先讲一个仓库自动化网安全的常识，很多人一听就摇头，但它是真的：仓库里最危险的电脑，往往不在办公室，而在控制柜旁边那台常年不关机的工程机上。这就像你家大门装了指纹锁，后门却一直用一根铁丝挂着——办公室的邮箱装了再好的防护，攻击者只要找到一条通往控制网的路，分拣线、堆垛机、AMR 照样停给你看。这篇不讲保险理赔，也不讲事后怎么跟保险公司算账，只讲事前怎么把网切开，让办公室出事不停产。

我做集成的时候见过一个典型场面：一座自动化仓，WMS 在办公网段，WCS 和 PLC 在控制网段，中间按理说应该隔开，实际上为了调试方便，工程师的笔记本既连办公无线，又插着控制网的网线，等于人肉搭了一座桥。还有一次，供应商远程维护用的账号是几个项目共用的，密码多年没换，谁离职了都不知道。这两个场面都不需要什么高深攻击手法，普通钓鱼邮件加一个被盗的账号就够了。2021 年那起美国输油管道事件就是公开的教训：办公室系统出事之后，运营方出于安全考虑主动停运，物理世界的流动跟着停了。仓库也一样，控制网一旦被怀疑失守，第一个动作往往是停线，而不是继续出货。

仓库 OT 网络安全，先画一张资产图再谈买设备

原理先说清楚。仓库自动化网分几层：最底层是传感器和执行器，往上是 PLC 和控制器，再往上是监控和操作站，然后是仓级的运营系统，最上面是办公网和互联网。业界把这种分层叫普渡模型，从零层到五层，中间还专门留了一个三点五层工业隔离区，用来隔开办公网和控制网。国际标准 IEC 62443 把这个思路落成制度：按安全要求把资产划成区，区与区之间的每条通信路径叫导管，每条导管都要有明确的允许清单。翻译成人话就是：谁能跟谁说话，要白纸黑字写下来，没写上的，一律不许通。

资产盘点是第一步，而且必须动手数，不能靠图纸。图纸上画的是设计，现场跑的是现实，两个东西经常对不上。盘点清单至少包括：每台 PLC 和控制器的型号与固件版本、每台 WCS 服务器和操作站、每个 AMR 的通信方式、每台交换机和无线接入点、所有远程接入账号、所有还在用的老旧设备。老旧设备要单独标出来：有些控制器厂商已经不提供补丁了，这种设备不能靠打补丁解决，只能靠隔离解决。盘点的时候顺手做一件事：把默认口令全部改掉，把没人用的账号全部停掉。这两件事不花钱，但能挡住一大批最常见的入侵路径。

第二个场景是我亲历的调试教训。有个项目上线前夜，现场为了赶进度，把一台临时调试电脑直接接进了控制网，调试完也没人拔线。三个月后例行检查才发现这台电脑还在网上，还装着办公软件，还能收到邮件。你可以理解为：控制网里混进了一个能上网的陌生人，而这个人每天还在收外面的信。后来我们定的规矩是：调试电脑进控制网要登记、要设有效期、到期自动断网，调试网口平时物理封住。这个规矩听起来麻烦，但比事后解释为什么控制网里有台能上网的电脑要便宜得多。

普渡分段怎么做，仓库 OT 网络安全的四道墙

分段落到仓库里，我建议按四道墙来做，每道墙解决一个问题。

第一道墙在办公网和控制网之间，也就是三点五层工业隔离区。所有跨网的数据交换都走这个隔离区：数据摆渡、镜像服务器、跳板机，绝不允许办公电脑直连 PLC。WMS 给 WCS 下任务，走隔离区里定义好的接口；WCS 回传状态，也走同一条路。接口能窄就窄，只放行业务需要的协议和端口，别图省事放整个网段。

第二道墙在控制网内部，按功能分区。分拣区、存储区、AMR 车队、公用设施，各自成区，区与区之间只放必要的导管。比如 AMR 调度系统需要和 WCS 说话，那就只放这一条导管；分拣机的 PLC 不需要访问互联网，也不需要访问办公网，那就什么都不放。分区的好处是：一个区出事，别的区还能跑，至少不是全仓一起停。

第三道墙管远程接入。供应商远程维护是刚需，但不能是常开的后门。我的做法是：远程接入默认关闭，需要时由仓方临时开通，限定时间、限定设备、限定账号，全程留日志，结束自动关闭。供应商账号一人一号，禁止共用，离职和项目结束立即停用。这就像给供应商一把有有效期的临时钥匙，而不是直接配一把万能钥匙。

第四道墙是补丁窗口和备份。控制网的补丁不能照搬办公室那套随到随打：PLC 和 WCS 的补丁要先在测试环境验证，再排进停机窗口，分批打。打补丁之前先备份控制器程序和系统配置，备份要离线保存一份，并且真的恢复过一次。没恢复过的备份只是个传说，出事的时候才发现备份文件损坏，是最常见的二次事故。

下面这张表是我给客户做方案时的分界线，照着它买东西，不容易买错：

补丁窗口、备份与手动降级演练，缺一个都不算完工

对伪需求，我要直接开炮。第一种伪需求是“上一套全网扫描加自动封堵就万事大吉”。控制网里很多老设备经不起主动扫描，扫一次可能直接把控制器扫宕机，扫描只能在测试环境和维护窗口里小心做。第二种伪需求是“买最贵的下一代防火墙”。防火墙买回来，策略还是全放通，等于花大钱买了个摆设。第三种伪需求是“把所有系统都上云就安全了”。上云解决的是办公侧的问题，控制网的 PLC 和 AMR 还是要在现场跑，云解决不了现场分段的问题。

手动降级演练是整套方案里最容易被砍掉、也最不该砍掉的一环。演练的剧本很简单：假设 WCS 断了、AMR 调度断了、网络断了，仓库还能不能出货？纸单流程有没有？人工拣选和人工复核的单子打不打得出来？叉车司机和复核员知不知道去哪里领纸单？演练一年至少做一次，而且要真的断网演，别只在会议室里讲一遍。讲一遍的演练，应付不了真实断网时的慌乱。

还有一个维护的坑：人员流动。集成商项目结束、供应商换人、仓库换班长，账号和接入权限经常没人回收。我的清单里有一条硬规矩：人员和供应商变动，权限复核必须在一周内完成，变动清单由仓方签字。这个流程不性感，但它是所有技术措施的地基，地基松了，墙砌得再高也没用。

最后回到钱的问题。这钱花得值不值，看这一个数：断网之后，靠纸单加手动作业，你的仓每小时还能出多少单，能撑几个小时不断供。这个数就是手动降级能力的真实刻度。分段、备份、演练花的每一分钱，最终都是在买这个数。先把这个数测出来，再决定预算往哪道墙上加。你家的仓，今天断网一小时，还能出多少单？