办公网被攻破后如何阻止横向直达生产网？全光网+零信任的答案

办公网一台电脑中毒了，多久会影响到生产网？

有工厂的答案是——几十分钟。攻击者通过钓鱼邮件渗透办公网，随后在内部网络横向移动，一路摸到生产系统，最终锁死MES、加密工艺数据、操控PLC。整条产线被迫停产，不是在几个小时后，而是在当天上午。

有工厂的答案是——永远影响不到。因为办公网和生产网在逻辑层面就是分开的，攻击者连“门”都找不到。

差别不在运气，在网络架构。

一、从“办公电脑”到“产线停摆”，攻击者怎么做到的？

攻击路径并不复杂，只用了三步：

第一步：钓鱼邮件，打开第一扇门

攻击者利用AI生成一封语法完美、高度定制的钓鱼邮件，伪装成供应商报价单或系统升级通知。员工点击邮件中的链接或附件——第一扇门被打开了。AI生成的钓鱼邮件占比已突破56%，人永远是最薄弱的环节。2026年前四个月，设备代码钓鱼攻击数量较2025年下半年增长了1380%。

第二步：内网横向移动，从一台电脑“游”到所有电脑

木马病毒具备主动向内网扩散的能力——扫描内网其他设备、尝试弱密码登录、利用系统漏洞自动传播。在一张没有隔离的内网里，病毒从一台电脑扩散到整个办公网，只需要几十分钟。富士康北美工厂攻击中，Nitrogen勒索团伙正是通过深度横向移动，从办公网一路渗透到了生产网，最终导致数条高端生产线停产约一周，窃取8TB数据。

可口可乐旗下乳制品品牌Fairlife遭Anubis勒索软件攻击时，攻击路径如出一辙：先通过IT办公网络找到突破口，再横向渗透打通办公IT系统与产线OT工控网络。核心服务器被锁定，生产线停摆超过72小时，约180万加仑乳制品无法按时加工出货。

第三步：突破OT边界，从办公网“跳”到生产网

如果办公网与生产网之间没有隔离，攻击者就能从办公电脑直接访问PLC控制器、MES服务器、AGV调度系统。这是从“IT事件”变成“生产事故”的分水岭。很多工厂的办公网和产线网在同一个大二层里，员工终端一旦中招，攻击者在办公网里横向移动，因为没有隔离边界，很快就能探到生产网的PLC和上位机。

二、传统方案为什么拦不住？

边界防火墙：看得见外网，看不见横向移动

传统防火墙部署在网络边界，能挡住来自互联网的攻击。但病毒在内网横向移动——从一台服务器跳到另一台服务器——这种“从内到内”的流量，防火墙默认放行。边界防火墙对横向移动基本“失明”。

杀毒软件：只管终端，不管网络

杀毒软件只管“这台电脑有没有毒”，不管“病毒有没有从这台电脑跑到那台电脑”。勒索病毒还往往先终止杀毒进程再加密——终端杀毒在病毒运行前就被“干掉”了。

三、全光网+零信任：五道“卡”，让横向移动无处可走

智慧光迅“通密一体”方案的核心逻辑是：不再靠“墙”去挡，而是让每一次跨域访问都必须经过验证。全光网+零信任的组合，在办公网和生产网之间筑起4道“卡”：

VLAN硬隔离——一张光纤网、多业务分区不串扰

对于需要在同一张光纤网上承载多业务的场景，全光网在光纤网内部通过VLAN硬隔离划分生产、办公、访客、IoT等独立区域，阻断威胁在网内横向渗透。实现一张网多业务、分区不串扰。配合精细化QoS保障生产控制和远程会议优先通行，办公大流量也不会挤占生产实时控制流量。

终端准入——陌生设备“插上也进不来”

智慧光迅部署“802.1X端口准入+MAC白名单+身份认证”三重准入机制。员工私接路由器、外来笔记本、未做安全检测的设备——插上网线也拿不到IP地址，根本进不了内网。产线哑终端同样纳入白名单认证管控，自动阻断私接设备，杜绝非法终端入网。三重准入从网络、设备、用户三个维度实现全维度管控，守住内网入口。

工业协议白名单——进来也发不了指令

车间里的PLC、SCADA等工控协议在设计之初强调的是实时与可靠，并不强调身份校验。一旦被探到端口，攻击者就能尝试读取或下发控制指令。

智慧光迅方案配置工业协议白名单——只允许合法的工控协议流量通过，非授权流量一律拦截。配合工控入侵检测、生产数据链路加密、操作行为全程审计层层叠加，既防外部渗透，也管内部越权。攻击者即使突破了前两道卡进入了生产网，也无法用非法协议操控PLC和产线设备。

零信任持续校验——跨域访问，每次都要“验明正身”

零信任的核心原则是“永不信任，始终验证”。智慧光迅方案在融合网关统一划分独立安全域，配置跨网访问控制、全流量审计。跨业务域的访问按零信任思路做持续校验与最小权限管控，核心数据实施加密与访问控制。每一次从办公网到生产网的访问，都必须经过身份验证和权限检查——不是“进来一次就随便逛”，而是“每一步都要验”。

智慧光迅全光网+零信任立体化防护体系，突破传统防火墙、终端杀毒单点防护、被动防御的局限，摒弃单一设备补漏的防护模式，从网络底层重构安全架构。通过隔离分区、全终端准入、工控协议管控、持续权限校验的多层闭环防护，有效阻断病毒内网横向移动路径，规避办公网安全风险向生产网扩散蔓延。

FAQ

Q：零信任在工业场景中怎么落地？

A：零信任的核心是“永不信任，始终验证”。在工业场景中，每一次从办公网到生产网的访问都必须经过身份验证和权限检查。智慧光迅方案在融合网关统一配置跨网访问控制，配合全流量审计，实现“每一次跨域都要验身份”。

Q：工控协议白名单是什么？

A：车间里的PLC、SCADA等设备使用Modbus、BACnet等工控协议通信。这些协议天生缺乏加密和认证机制。白名单机制只允许合法的工控协议流量通过，非授权流量一律拦截——攻击者即使进入了生产网，也无法用非法协议操控设备。