工控安全产线分区验收：边界、白名单与日志清单

先给结论：工控安全验收最容易签错字的，不是"设备装没装"，而是产线分区边界有没有按工艺链路切开、白名单有没有从学习态真正切到防护态、日志能不能把一条异常指令回溯到具体的人和点表。这三件事在站内已发布的产品页里都有可核对的原文：奇安信工业防火墙（ISG）写的是"具有学习、告警和防护三单式稳妥制定工业防火墙安全策略……最终切换到防护模式"；奇安信工业主机安全防护系统（IEP）写的是"只有白名单内的软件才可以运行，其它进程的运行都会被阻止"；奇安信工业安全监测与审计系统写的是"可审计指令对象的详细操作内容……并提供抓包功能"。验收时把这三句话当成三个交付物去要证据，比逐台点设备数量有效得多。本文所有规格原文均引自本站已发布产品页，可点开逐条核对；站内产品页不公开价格，本文不编造任何金额，也不引用站外行情数据。

深圳的离散制造、电子装配、水务与园区运维项目里，产线网络常常是"边生产边改造"：PLC、DCS、SCADA、上位机、MES 与办公网混在几台老交换机后面，验收会上拿到的往往只有一张拓扑图和一叠设备签收单。这种情况下谈"过没过等保"没有意义，更实际的做法是把产线按边界切成可核对的单元，逐单元交出策略、白名单与日志三类证据。下面按验收顺序拆开，并给出一份可直接抄进验收表的对照清单。

一、先分区：没有分区图，边界与白名单都无从验起

分区不是画在 PPT 上的色块，而是要能回答"这条链路上，哪些通信被允许、由哪台设备判定、判定结果记在哪里"。北信源工控隔离网关的产品页把边界形态写得很具体——"在物理层采用了两个独立高性能嵌入式主机，双主机之间采用基于总线通信的隔离卡实现两个安全区之间的非网络方式的数据交换"，并提供"测点管控模式"和"隧道管控模式"两种数据摆渡模式；北信源工控边界认证机则写"只允许通过 port 1（Mng）端口对认证机进行管理"，以及"只有按照网络安全管理者制定的认证信息表中的设备才能进行正常通讯"。这两条正好是验收表里该要的两份证据：安全区之间的数据交换方式，以及接入设备的准入依据。

分区颗粒度建议按"工艺单元 / 产线段"切，而不是按楼层或 IP 段切。原因是白名单与工艺点表绑定，同一楼层里两条不同产线的指令集并不通用。下表把常见的分区对象与站内可核对的产品页对应起来。

分区对象	站内可核对的产品页（真实原文）	验收要交出的证据
生产控制层与办公网 / MES 之间	北信源工控隔离网关："两个独立高性能嵌入式主机……非网络方式的数据交换"；"测点管控模式……隧道管控模式"；支持 Modbus、OPC、DNP 等工业协议	隔离拓扑图、摆渡模式配置截图、跨区访问白名单导出
产线段之间的逻辑边界	奇安信工业防火墙（ISG）："通过对不同边界采取纵深防御的逻辑隔离防护，并借助四重白名单体化的精细化管控方式"；"支持 OPC、Modbus、S7、IEC104 等多达二十余种"工业协议	每条边界的策略清单、工业协议识别清单、点表映射表
现场接入层（PLC / RTU / 边缘终端）	奇安信工业互联网边缘可信防护系统："通过设备指纹级身份认证机制，确定接入的唯一性"；"IOT 设备指纹库 2000+，工业协议识别能力 120+，工业协议深度解析 30+"	资产台账与指纹库命中记录、非法接入告警样例
运维 / 第三方远程接入通道	H3C SecPath A2210-G 运维审计系统："默认资产数 3000""字符会话并发数 4000""图形会话并发数 1000"；零信任访问控制系统下 aTrust-1000-B2010G："最大理论建议并发用户数：1200""理论并发隧道数（Tunnel）：300"	账号授权清单、会话审计记录、并发数与隧道数的容量核对

分区图定稿后，再让集成商把每台设备归属到具体分区，并写进验收表第一列。这一列空着，后面的策略、白名单、日志三项都会变成"全套设备都装了但说不清保护了哪条产线"。

二、边界隔离：把"学习态"当成未完工，而不是已交付

工业防火墙最常见的验收争议是：设备在线、策略也在，但一直停留在学习/告警模式，从未切到防护。奇安信工业防火墙（ISG）的产品页把这条路径写成三步——"学习时通过实时监听网络之间流量，自动生成白名单列表，学习结束后自动校验生成白名单列表的准确性，最终切换到防护模式从而维护工业网络边界安全"，并标注"具有学习、告警和防护三单式稳妥制定工业防火墙安全策略"。验收时必须要求提供"当前处于防护模式"的截图与切换时间记录，否则白名单只是候选清单，没有拦截效力。

同一产品页还给出"满足等保2.0和行业安全的基本合规要求，并可对日志进行回溯查询"，以及"支持用户导入工业点表信息，该点表信息可以映射到工业协议白名单策略、日志等功能模块"。点表映射是工艺侧与安全侧的翻译层，缺了它，策略表里的数字没人能复核。天融信昆仑系列工业防火墙系统给出了另一种可核对的表述："基于白名单的工业指令级'四维一体'深度防护技术，对工控协议的完整性、功能码、地址范围和工艺参数范围进行深度过滤和防护"，并写"支持超过 2000+ 通用协议和 30+ 工业协议的识别"。这些原文可以直接抄进验收表的"策略粒度"一栏。

核对项	站内规格原文	不通过时的典型表现
白名单状态	奇安信工业防火墙（ISG）："学习、告警和防护三单式"；"学习结束后自动校验……最终切换到防护模式"	长期停在学习态，告警一堆但无阻断记录
工业协议粒度	ISG："精准的工业协议指令级控制、深度数据包解析引擎……支持 OPC、Modbus、S7、IEC104 等多达二十余种"；昆仑工业防火墙："对工控协议的完整性、功能码、地址范围和工艺参数范围进行深度过滤"	只有 IP / 端口五元组，没有功能码与地址范围
工业点表映射	ISG："支持用户导入工业点表信息，该点表信息可以映射到工业协议白名单策略、日志等功能模块"	策略表与安全侧都无法与工艺变量对上
现场环境适应性	ISG："采用导轨式或机架式安装，满足 IP40 规范，宽温、无风扇设计。支持电口／光口原生 Bypass 和冗余电源设计"；北信源工控边界认证机："符合 IP40 防护等级……支持在 -40℃~85℃ 温度环境下正常工作""可在 5ms 内实现自愈"	办公级设备进现场，断电即断网，无 Bypass
合规与回溯	ISG："满足等保2.0和行业安全的基本合规要求，并可对日志进行回溯查询"	无法出合规自查材料，出事无日志可查

需要提醒的是，工业防火墙不等于办公网防火墙。后者在多篇站内文章里按吞吐量、并发与功能授权核对（见 企业防火墙选型：吞吐量、并发与功能授权核对表 与 下一代防火墙栏目），而前者多了一条工艺语义：能不能读懂点表、能不能按功能码拦指令。工控安全栏目下的 天融信工业防火墙系统、天融信工业入侵检测与审计系统 与 昆仑工业防火墙 可作为横向比对的第二、第三来源。

三、主机白名单：两本账要分开验

产线里最常见的是"网络侧有防火墙，但上位机还能随便插 U 盘、装软件"。主机白名单是另一本账。奇安信工业主机安全防护系统（IEP）的产品页写得很直白："扫描工业主机的进程，对经过确认的可执行程序生成一个唯一的特征码，特征码集合起来形成特征库，即白名单。只有白名单内的软件才可以运行"；同一页面还给出"主机安全加固"的例外机制——"当有正常修改需要允许时，可以将正常访问进程名或进程路径加入到例外设置中，实现操作的允许，其他修改行为均进行阻止和记录日志"。验收时除了看白名单是否生效，还要看例外清单有没有审批记录，否则例外就是后门。

老旧系统与国产化兼容是深圳产线的硬约束。IEP 的产品页明确写"对 WinXP、Win2000 等老旧操作系统，Ubuntu、Redhat、Centos 等 Linux 发行版，以及麒麟、欧拉、统信、凝思等众多国产化操作系统实现适配……可在 512M 内存等低配硬件上稳定运行"；天融信昆仑系列工业主机卫士系统写"兼容工业环境中的主流 Windows、Linux 和国产操作系统（麒麟、统信和凝思等）"，并提供"可读、可写、禁用等多种细粒度安全策略"的 USB 外设管理。这段原文可以直接用来核对"产线老机器能不能装、装了会不会拖慢"。

主机侧核对项	站内规格原文	验收动作
进程白名单	奇安信 IEP："只有白名单内的软件才可以运行，其它进程的运行都会被阻止"；昆仑工业主机卫士："通过扫描、学习及人工方式建立应用白名单，阻止白名单外的文件启动或加载"	拷入一个未登记的可执行文件，验证被阻断并留日志
关键目录 / 注册表	IEP："可针对核心工业参数配置等重要文件、目录及注册表进行保护，不允许进行修改、删除以及目录、文件重命名等操作"；昆仑主机卫士："支持关键目录与注册表防护功能"	尝试改工艺配置文件，验证拦截与告警
例外与外设	IEP："将正常访问进程名或进程路径加入到例外设置中……其他修改行为均进行阻止和记录日志"；昆仑主机卫士："支持可读、可写、禁用等多种细粒度安全策略，并提供专属安全 U 盘"	抽查例外清单审批单、U 盘授权策略
老旧 / 国产系统兼容	IEP："对 WinXP、Win2000 等老旧操作系统……以及麒麟、欧拉、统信、凝思等众多国产化操作系统实现适配，与众多工业生产软件实现稳定、兼容运行，可在 512M 内存等低配硬件上稳定运行"	逐台登记 OS 版本，确认 agent 已覆盖且不影响组态软件
集中管控与级联	IEP："通过控制中心对网内所有工业主机进行安全策略管理、配置下发……针对于分部和总部可进行级联部署和配置、风险管理"；天融信工业安全集中管理系统	确认多厂区策略能统一下发、状态能汇总

主机侧与网络侧的两本白名单不能互相替代：网络侧管"哪些通信被允许"，主机侧管"哪些程序能跑"。验收表建议分两栏签字，避免出现"全网只上了一种白名单"却按两项打勾的情况。

四、日志与监测审计：能不能回溯到"人、指令、点表"

合规条款落在产线上，最后都要落到日志。奇安信工业日志收集与分析系统给出的采集口径很全："支持 Syslog、SNMP Trap、JDBC、SFTP/FTP、SMB、API、Kafka、文件读取、日志代理方式采集"，并写"秒级完成 10TB 级的日志数据的搜索"；奇安信工业安全监测与审计系统则写"可审计指令对象的详细操作内容""具备对工艺工业流程相关的变量点表的监控实时能力，打通了业务数据和安全数据"，并给出"400万+威胁情报，5000＋入侵检测规则，3000万＋病毒库规则""工业协议识别及解析能力……识别 120+、解析 30+"。验收时不要只看"日志平台在线"，要现场挑一条历史告警，让它反查到指令对象与操作人。

部署方式也影响生产连续性。ISD 写"ISD 旁路工作模式不影响现有工业生产""无损工控漏洞检测能力 4000+"；北信源工控安全评估系统写"采用非验证式漏洞探测的方式进行漏洞检测，不影响工业现场的正常工艺流程"；北信源工控等保检查工具箱写"实现工业控制系统等保检查从计划到文书全流程自动化"。对不能停机的产线，"无损 / 旁路"是必须写进验收表的硬条件。

日志 / 审计核对项	站内规格原文	验收动作
采集覆盖面	奇安信工业日志收集与分析系统："支持 Syslog、SNMP Trap、JDBC、SFTP/FTP、SMB、API、Kafka、文件读取、日志代理方式采集"；"对 IT/OT 资产进行分组管理"	列全日志源清单，核对是否有遗漏的控制设备
指令级 / 点表级审计	奇安信工业安全监测与审计系统："可审计指令对象的详细操作内容""具备对工艺工业流程相关的变量点表的监控实时能力"；"并提供抓包功能"	挑一条异常指令，现场回溯到点表变量与时间
威胁检测能力	ISD："400万+威胁情报，5000＋入侵检测规则，3000万＋病毒库规则"；"工业协议识别及解析能力……识别 120+、解析 30+，IT 协议识别能力 1700+"；北信源工控安全评估系统："支持识别国内外知名厂商的 PLC、DCS、SCADA 等"	抽查规则库版本与更新时间，导出一条检测告警
无损 / 旁路部署	ISD："旁路工作模式不影响现有工业生产"；"无损工控漏洞检测能力 4000+"；北信源工控等保检查工具箱："采用非验证式漏洞探测……不影响工业现场的正常工艺流程"	确认扫描窗口与生产排程不冲突、无主动写入
留存与检索	工业日志收集与分析系统："秒级完成 10TB 级的日志数据的搜索"；"既可以部署在物理服务器中，也可以部署在虚拟机和 Docker 容器中……也支持国产化平台部署"；IT 侧的留存口径见 深圳日志留存180天怎么验 与 日志审计栏目	按本单位留存周期抽查最早一条日志能否检出

顺带说清一个边界：工控日志平台管的是 IT/OT 设备与工艺行为日志，办公网的数据库访问审计、运维操作审计是另外两条线，分别对应 数据库审计栏目 下的 H3C SecPath D2000-E（"支持旁路部署模式……通过端口镜像方式捕获数据流量进行审计"，"统计报表至少提供 55 种"）与 运维堡垒机栏目 下的 H3C SecPath DS2000-MGT。混在一张表里验收，容易出现"日志量很大但工艺指令一条都没记"的错判。更多日志容量与留存口径可参考 数据库审计多少钱一套。

五、判断标准：签字前让供应商回答这 6 个问题

把前面四节压成一张可执行的验收问答。每个问题都对应上文的规格原文，答不上来就不要在验收单上打勾。

#	要问的问题	合格答案应该长什么样
1	产线分成几个安全区，区与区之间用什么方式交换数据？	能给出分区图与设备归属表；跨区方式可对应 隔离网关 的"非网络方式的数据交换"或 ISG 的"逻辑隔离防护"
2	工业防火墙现在是学习态还是防护态？切换记录在哪？	有防护态截图、切换时间与白名单校验记录，对应 ISG 的"学习、告警和防护三单式"
3	工业点表能不能映射到策略与日志？举一条指令说明。	能演示点表导入与映射，对应 ISG 的"点表信息可以映射到工业协议白名单策略、日志等功能模块"
4	主机白名单覆盖哪些上位机？例外清单谁审批？	有逐台 OS 与 agent 清单、例外审批记录；兼容口径对应 IEP 的 WinXP / 麒麟 / 512M 内存适配原文
5	挑一条上周的告警，能否回溯到指令对象、点表变量与操作人？	现场可查，对应 ISD 的"可审计指令对象的详细操作内容""提供抓包功能"与 日志系统 的 10TB 级秒级检索
6	漏洞检查会不会影响生产？扫描窗口怎么排？	给出旁路 / 无损方案与排程，对应 ISD"旁路工作模式不影响现有工业生产"、北信源评估系统"非验证式漏洞探测"

另外两条容易被忽略：一是工业现场的硬件适应性，ISG 写"满足 IP40 规范，宽温、无风扇设计……支持电口／光口原生 Bypass 和冗余电源设计"，工控边界认证机 写"-40℃~85℃""5ms 内实现自愈"，机柜与供电条件要按 机柜功率密度与供电预算 单独核对；二是合规材料能否成套导出，奇安信工业安全检查工具箱写"内置电力模板、工信模板、等保2.0模板""支持生成工业网络安全报告，报告内容包括工业网络的资产情况、流量情况、漏洞情况、流量威胁情况"，北信源工控等保检查工具箱写"从计划到文书全流程自动化"。测评前的材料准备可参看 商用密码改造验收，密评前必核这6项清单 与 信息安全服务栏目。

六、常见问题（FAQ）

Q1：产线不能停机，白名单学习期怎么安排才安全？

先用旁路 / 镜像观察，不动生产流量。奇安信工业防火墙（ISG）写明"学习时通过实时监听网络之间流量，自动生成白名单列表，学习结束后自动校验生成白名单列表的准确性，最终切换到防护模式"，这段顺序本身就是排程依据：学习期要覆盖一个完整生产周期（含换线、班次切换与月度作业），校验通过后再切防护，切换窗口安排在非生产时段并留出回退方案。监测审计系统的"旁路工作模式不影响现有工业生产"也支持在不改网络的前提下先做观察。

Q2：办公网防火墙能不能直接用在产线边界？

不建议按同一套标准验收。办公网侧常按吞吐量、并发、功能授权核对，H3C SecPath TAP8000 规格表给的是"整机处理能力/交换容量 1.12Tbps 6.4Tbps 3.6Tbps""包转发率 830Mpps 2300Mpps 2000Mpps""高度 1U"这类带宽与包数口径；产线边界多一层工艺语义，要能"支持 OPC、Modbus、S7、IEC104 等多达二十余种"工业协议并做"工业协议指令级控制"（ISG 原文）。两类设备可在同一项目里并存，但验收项要分开列，参见 企业防火墙选型。

Q3：白名单会不会把正常工艺软件挡住？

会，所以要验收例外机制而不只是验收"拦得住"。IEP 的原文给出可控路径："当有正常修改需要允许时，可以将正常访问进程名或进程路径加入到例外设置中，实现操作的允许，其他修改行为均进行阻止和记录日志"；昆仑工业主机卫士写"通过扫描、学习及人工方式建立应用白名单"。上线前把组态软件、数采服务、杀毒与备份代理逐台登记，先用学习态跑一段，再对例外逐条审批。IEP 还明确"与众多工业生产软件实现稳定、兼容运行，可在 512M 内存等低配硬件上稳定运行"，老机器要单独实测。

Q4：日志留存多久算够？工控日志和普通 IT 日志一样吗？

留存周期按本单位所属行业与等保要求定，本文不替任何单位给数字。可核对的是平台能力：奇安信工业日志收集与分析系统写"秒级完成 10TB 级的日志数据的搜索""支持国产化平台部署"；IT 侧的留存与核验口径见 深圳日志留存180天怎么验？堡垒机上线清单 与 日志审计栏目 下 A2000-V（"支持主机资产管理，包括 Windows、Linux/Unix 等"）。工控日志的价值在于"能回溯到指令对象与点表变量"（ISD 原文），光有容量、没有工艺语义，出事仍然查不动。

Q5：等保检查工具箱和工业防火墙是什么关系，能互相替代吗？

不能。奇安信工业安全检查工具箱定位是"为监管安服机构提供一站式评估工具""内置电力模板、工信模板、等保2.0模板"，做的是阶段性自查与出报告；工业防火墙做的是持续的边界拦截，主机白名单做的是持续的进程管控，监测审计做的是持续留痕。验收时把"检查工具"和"防护措施"分开列，别拿一份评估报告当作三项措施都已落地。

Q6：分区、供电、机柜、网络这些配套要不要一起验？

要，但各归各的验收口径。工业现场设备要求"IP40 规范、宽温、无风扇""原生 Bypass 和冗余电源"（ISG），机柜功率、UPS 后备时间与制冷量按 机柜功率密度与供电预算 核；接入层交换容量与包转发率按 深圳接入交换机怎么配 核；综合布线与物理验收可参看 综合布线验收、机房UPS电池更换验收清单。相关产品可在本站 POE交换机、无线接入点、存储服务器、NAS存储、NVR监控主机、视频监控摄像头 栏目逐项核对。

七、深圳本地：谁来做这份验收表

工控安全验收要同时读懂工艺点表、等保条款和现场机柜条件，靠一份通用模板套不下来。深圳市华南腾飞科技有限公司（龙华区）· 华南腾飞技术团队常驻深圳，做产线分区梳理、边界策略核对、白名单上线陪跑与日志回溯验证，也可按 工控安全栏目 下已发布的 工业主机安全防护、工业防火墙、监测审计、日志收集与分析、安全检查工具箱 等真实产品页逐档出配置与验收清单。周边安全线还能同步核 下一代防火墙、日志审计、WAF网页防火墙、数据安全、运维堡垒机、数据库审计、AI安全、零信任访问控制、商用密码改造、信息安全服务，以及 路由网关、存储服务器、超融合、AI应用、机房带电清洗设备、带电清洗耗材 等栏目，避免一张验收单上出现多套互相矛盾的口径。

需要一份能直接签字的工控安全验收清单？

把产线工艺链路清单（PLC / DCS / SCADA / 上位机型号与数量）、现有网络拓扑、是否允许停机窗口、以及已有的等保或行业合规要求这四项发给我们，可按站内已发布产品页的真实规格逐单元核对分区边界、白名单状态、工业点表映射与日志回溯能力，输出可交付的验收表与整改清单，不做模糊报价。深圳市华南腾飞科技有限公司（龙华区）· 华南腾飞技术团队：13510444731 / 15815529276，也可通过 联系我们 留言或查看 解决方案。更多选型与验收口径见 新闻资讯。

本文技术参数与功能描述均引自本站已发布产品页规格表原文，型号与档位可点击正文链接逐条核对；站内产品页不公开价格，本文未编造任何金额或站外数据；配置与报价以实际询价与合同为准。