工厂里最尴尬的一幕，往往是停机两个小时没人上报，但某天早上打开 ERP，发现供应商报价、订单排产、工艺参数被人打包下走过一遍，才有人追问一句：这活儿谁有权限？问了一圈，没人答得上来。制造业数据的麻烦就在这儿：它不躺在某一个保险柜里，而是散在 ERP、PLM、MES、共享盘，甚至某台车间电脑的 Excel 里。散着放的东西，守起来天然就难。
制造业数据的软肋，在“视角宽”而不是“权限高”
一说加固，多数人先想到给管理员账号上双因素、改密码。方向没错，但攻击者算的是另一笔账：从哪个账号进去能看到最多东西、又最不容易惊动人。按这个标准，最吃香的恰恰是那些权限看着不起眼的岗位：生产计划、跟单、采购、仓库主管。他们不需要系统管理员那种改配置的本事，但能看见的东西横跨订单、产能、物料价格和交期。
一份完整的排产表配上一份供应商名录，落到同行手里意味着什么，不用多说。偏偏这些东西锁在一个普通的、没人盯的业务账号里：密码规则松、常年不换、习惯在车间公用电脑上登，出了事也不一定第一时间有人发现。攻击者不需要攻破核心系统，只要把这几个账号攒齐，拼出来的画面比图纸还完整。
共用账号，是把日志审计当场废掉的那种
车间一台电脑三个人轮着用，一个账号反复登；仓库更省事，直接开一个管理级别的公用号。这种做法的代价不在密码会不会被猜到，而在事后你根本查不出是谁。日志里清一色同一个用户名、同一个内网地址，导出动作一大串，你没法判断那是一次正常交接班，还是有人赶在下班前打包。
共用账号还有个副作用：没人愿意为它负责。密码忘了谁改、权限该不该收、这个人调岗了账号怎么处理，全卡在“大家都用”这几个字上。真要追溯，只能从时间点反推，误差大到基本不能用来定性。
最先被盯上的，常常是外部协作账号
供应商门户、外协厂的 VPN、设备厂商的远程维护通道，这类账号天生要对外开放，而且常常由对方的人保管。密码在别人手里，什么时候换、谁在用，你这边说不太清。被问起“现在有几个外部账号是活的”，很多厂拿不出一份准确名单。
设备远程运维最典型：服务商为修一次故障开个通道，修完忘了关，一挂好几年，端口还在、账号还在、密码还是当年那个。这类入口不需要多高的技术，稍微扫一扫就能撞见。对外账号该定期核对，留多久、谁能批，写成明文规矩比口头约定靠谱。
接口账号和服务账号，藏在配置文件里
ERP 和 MES 对接、WMS 拉数据、报表工具读库，都得有一个服务账号。这类账号的密码一般写死在配置文件或脚本里，常年不动，为了省事权限还给得很宽，直接连库。它不出现在任何人的密码本上，也不进入职离职的流程，几年下来就长成一个大家都知道存在、谁都没在管的口子。
要找出它们有个笨办法：翻数据库的连接记录，看哪些用户名是固定频率、半夜也在连、从来不换密码。那些基本就是接口账号。找到之后不必一刀切停掉，先收权限、换密码，再把密码挪进配置管理里。
先说偷，再谈加密
不少厂把勒索病毒理解成“文件被锁”，但现在的套路里，加密前那一步往往是先把数据搬走，再回来谈条件。所以账号被撬和勒索病毒发作，很多时候是同一件事的两段。日志里那些异常时段的大批量读取、临时压缩包生成，往往就是前奏。
备份能不能救命，看两点：备份是否离线或不可写，跟生产机挂在同一套存储上的备份，出事时一起完蛋；以及有没有真做过恢复演练。没演练过的备份只能算心理安慰，这话不好听，但确实是这么回事。
账号这层怎么自查
不用搞得多玄，就几件笨事。先把活跃账号导出来，重点看三类：离职超过一个月还留着的、多人共用的、对外开放的。再看权限，尤其是“能批量导出”和“能直连数据库”这两种，逐个问一句是不是真需要。最后翻日志，过去半年的导出记录和非常规时段的登录记录，一周内多半能翻出点东西。
顺带把登录地和设备也核一遍。同一个业务账号上午在厂区、下午从另一个城市的 IP 登进来，这种记录不需要多高深的分析就能看出来，关键是有没有人每周真的去看一眼。
出事了先做什么
顺序比动作重要。先冻结可疑账号、把日志原件留好（别在同一个系统上边查边改，改完就没证据了），再去判断泄露范围：是报价表、工艺图纸，还是客户名单。不同类型的东西，后面跟着的麻烦完全不一样。涉及个人信息的，还得看合规口径怎么要求，具体以监管部门和相关服务商的官方说明为准，别拿网上的帖子当依据。
真要我排个优先级，账号清单这件事应该排在买设备和加防火墙前面。一张写清楚谁有什么权限、谁在什么时候登录过的表，往往比任何一台盒子都先救命。下次开会过安全预算，不妨先让人答一个简单问题：我们厂现在到底有多少个账号是活的。
【版权声明】：本站内容若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
