最佳实践| 构筑工控安全防线，护航智慧港口高效运转

在智能化浪潮席卷全球的今天，码头正加速迈向“数字港口”、“智慧物流”的新时代。自动化装卸系统、码头集装箱管理系统（TOS系统）、门机控制系统、智能监控系统……这些工控系统正让港口效率不断提升。交通运输部相关文件强调需完善网络安全防护体系，强化关键信息基础设施防护能力，要求加强码头自动化控制、生产作业等系统的安全管理与风险评估，落实等级保护制度，推进商用密码技术应用。

某大型港口集团积极响应政策，推动传统码头智能化升级：在装卸操作端，码头已经建设了高水平的自动化作业链，远控桥吊和远控龙门吊规模化运行实现垂直运输“无人化”模式。然而，在当前网络安全威胁加剧的背景下，码头生产网络频发未授权设备接入事件，导致网络风暴、视频卡顿等现象，严重影响码头生产业务。

安全风险评估是保障系统稳定运行和防范网络攻击的关键环节。由于该港口涉及诸多自动化设备（如桥吊、龙门吊、集装箱堆垛机）、运输调度系统以及视频监控等，这些系统往往高度依赖于网络通信。

长扬科技通过对桥吊和龙门吊系统的生产网络风险评估，发现该港口工控系统存在诸多网络安全隐患，因此提出加强该港口生产业务系统安全防护能力的整体解决方案。该项目为同类港口数字化转型中的安全防护提供了重要实践参考，也为该港口的可持续发展奠定了坚实基础。

长扬科技对标等保2.0和《关键信息基础设施安全测评要求》，对该港口桥吊、龙门吊生产业务系统合规情况、现场安全隐患情况、安全技术和安全管理执行情况进行现场调研，借助长扬专业的工业互联网测绘设备，结合人工分析进行了资产梳理、生产网流量分析、漏洞分析、网络拓扑绘制等，全面识别该码头生产网存在的安全隐患。

根据风险评估结果，公司结合该港口生产业务的具体情况，提出了有针对性的港口码头工控安全防护对策和整改建议书，防范和化解工控系统安全风险、将风险控制在可接受的水平、最大限度的保障码头生产业务系统安全提供科学依据。

与此同时，长扬科技结合等保2.0要求进行逐项核查，现场结合实际业务场景摸排风险，定位生产系统存在的工控安全隐患。

• 通信网络风险：关键设备/链路冗余不足；OT-IT边界缺乏细粒度防护；远控操作台与PLC间无防护措施。码头生产网使用了大量无线传输设备，通过物联网采集装置直接发送到了互联网云端。

• 区域边界风险：生产网存在未授权接入；工控协议漏洞（如Modbus、OPC、Profinet等）和端口开放易导致数据篡改。

• 计算环境风险：操作系统/应用软件高危漏洞；外设接口管理缺失；终端操作无实时监测。主机存在默认密码、未打补丁系统、远程服务暴露等风险。

• 安全管理风险：设备状态不可感知；分散式管理形成安全孤岛。

长扬科技从该港口实际情况出发，将项目分为两期建设，实现了其工控安全从基础防护到纵深防御的整体提升。

一期：基础防护

1. 网络优化、边界防护

• 核心和接入交换机使用堆叠设计保证业务高可用、互联链路采用端口聚合保障链路高可用；核心部件全部采用冗余设计。

  
  

• 远控到现场部署工业防火墙，实时检测工控网络中的攻击行为，通过内置的工控威胁库及威胁特征检测规则，实时对网络中的入侵进行处置和告警。

2. 计算环境主机加固

• 远控主机部署工控主机卫士进行主机防护及加固，降低了恶意代码感染及外设滥用的风险。

3. 管理中心工业态势感知

• 部署工业安全态势感知平台，收集系统内的网络日志、安全日志、系统运行日志，安全配置基线，通过与工业漏洞库分析对标，可视化展现资产态势、威胁态势、攻击态势和风险态势．为安全管理、安全应急处理、安全运维提供技术支撑。

二期：纵深防御

• 新建工控安全管理区，部署网络准入系统实现未授权设备和外接设备的身份准入；

  
  

• 部署入侵检测系统实时监测恶意代码；

  
  

• 部署工控安全管理平台实现多品牌设备的统一管理；

  
  

• 部署日志审计系统集中存储各系统安全日志进行溯源取证；

  
  

• 部署安全运维管理平台实现运维人员的规范操作和审计；

该期项目从“一个中心，三重防护”角度进行了整体防护，完全满足等保2.0 三级要求。

• 满足合规：满足合规要求，满足《网络安全技术网络安全等级保护基本要求》GBT22239-2019中相关技术、管理要求，结合港口生产业务特点开展工控系统安全防护建设；

  
  

• 提升防护：为该港口自动化系统安全稳定运行提供了基础保障，实现病毒、木马等恶意程序的防护，可防范内外部人员攻击、软件后门利用等多种威胁，显著加强在智慧港口码头建设过程中安全防范能力，防止因安全事故造成生产停线，提升港口的运营效率，降低风险成本；

  
  

• 优化配置：在满足合规前提的要求下同时最大限度利用该港口现有资源，同时有效结合其整体安全防护要求，保护港口的重要信息资产，防止机密信息泄露或被窃取，最大限度的提升桥吊、龙门吊系统安全防护水平；

  
  

• 形成示范：针对工控系统的技术特点以及港口企业自身的业务特点，从管理到技术形成全面覆盖，并满足了行业监管以及未来业务发展的需要，为更多港口及码头企业安全运行保障提供了可供参考的路径与模式，起到了标杆示范作用。