一家制药企业发现，其楼宇管理系统——在 200 台 HVAC 控制器上运行 Modbus TCP——三年来一直可以从企业 IT 网络直接访问：没有防火墙、没有身份验证、没有日志记录。外部渗透测试人员证明，只需发送一条 Modbus 写多寄存器命令（功能码 0x10）即可修改洁净室的温度设定值。潜在影响：数以百万计的产品批次损失以及违反 FDA 合规要求。这并非假设场景——德国联邦信息安全局（BSI）在其年度安全报告中记录的 2024 年德国某化工厂攻击事件与此如出一辙。
挑战显而易见：Modbus RTU 和 Modbus TCP 仍是全球部署最广泛的工业协议，据估计约有 70 亿个 Modbus 节点在运行（Modbus Organization，2025 年）。然而该协议诞生于 1979 年，面向物理隔离网络上的串行通信设计——完全没有网络安全的概念。本指南提供一套符合 IEC 62443 的实用方法来保护 Modbus 网关和 OT 网络，并为自动化工程师给出具体的实施步骤。
为什么 IEC 62443 是工业网络安全的新基准
IEC 62443 是一项由多部分组成的国际标准，定义了工业自动化与控制系统（IACS）的网络安全要求。其结构分为四个层级：
| 标准 | 范围 | 关键要求 |
|---|---|---|
| IEC 62443-1 | Concepts & Models | Zone & conduit model, security lifecycle, risk assessment framework |
| IEC 62443-2 | 资产所有者策略 | Security program (Part 2-1), risk assessment (Part 2-2), patch management |
| IEC 62443-3 | 系统要求 | Security levels SL 1-4 (Part 3-3), system architecture design (Part 3-2) |
| IEC 62443-4 | 元件要求 | Secure development lifecycle (Part 4-1), component technical requirements (Part 4-2) |
区域与管道模型（IEC 62443-3-2）是基础架构。区域（zone）是共享相同安全策略和信任级别的资产逻辑分组。管道（conduit）是区域之间执行安全控制的通信路径。该模型与网络分段直接对应——VLAN、防火墙和 DMZ 在网络层实现区域与管道。
欧盟网络韧性法案（CRA）— 关键截止日期
自 2026 年 6 月起，欧盟 CRA 要求所有含数字元素的产品报告漏洞并提供安全更新。对于工业设备制造商而言，这实际上强制要求在欧洲销售的产品符合 IEC 62443。不合规将面临被逐出市场的风险，以及最高 €1500 万或全球营业额 2.5% 的罚款。
如何保护 Modbus 网关：分步加固指南
步骤1：梳理您的 Modbus 攻击面
在实施控制措施之前，先记录每个 Modbus TCP 端点及其暴露情况：
- 清点所有 Modbus 设备：IP 地址、单元 ID、支持的功能码、固件版本
- 识别网络路径：哪些 VLAN 可以访问 Modbus 设备？是否存在从 IT 到 OT 的路径？
- 评估功能码暴露：哪些设备接受写命令（FC 5、6、15、16）？这些是风险最高的端点
- 检查默认凭据：许多 Modbus 网关出厂时使用 admin/admin，甚至完全没有身份验证
步骤2：实施区域和管道架构
根据信任级别将网络划分为 IEC 62443 区域：
- 区域 0——现场设备：串行总线（Modbus RTU）上的传感器、执行器和 I/O 模块。安全依靠物理隔离和 RS-485 总线分段。
- 区域 1——控制网络：PLC、HMI 和 Modbus TCP 网关。由具备 Modbus 深度包检测能力的工业防火墙保护。
- 区域 2——DMZ：数据二极管、OPC UA 服务器和历史数据库节点。这是 OT 与 IT 之间唯一获准的通路。
- 区域 3——企业 IT：ERP、MES 和云端分析。不得直接访问区域 0 或区域 1。
关键规则：禁止 IT 到 OT 的直接路径
企业 IT（区域 3）与控制网络（区域 1）之间的所有通信都必须经过 DMZ（区域 2）。这意味着：不允许来自 IT 工作站的直接 Modbus TCP 连接、不允许绕过 DMZ 的 VPN 通道，也不允许 IT 与 OT 域之间共享身份验证。
步骤3：加固 Modbus TCP 网关
部署具备 Modbus 感知能力的安全网关，其应提供：
- 功能码过滤：阻断写命令（FC 5、6、15、16），仅放行经授权的来源
- 寄存器范围限制：限制可访问的保持寄存器和线圈范围
- 源 IP 白名单：只有经授权的 PLC 和 HMI 才能下发 Modbus 命令
- 会话超时：空闲 TCP 连接 30 秒后关闭（防止连接劫持）
- 流量日志：为所有 Modbus 命令记录带时间戳的日志以备审计（IEC 62443-3-3 SR 6.1）
在构建 Modbus 安全网关时，网段之间的电气隔离对安全和防护都至关重要。ModulesLink 数字隔离模块可提供：
- 5000VDC 隔离：防止网络区域之间的地环路和共模攻击
- CMTI >100kV/μs：对故障注入攻击中使用的快速瞬变免疫
- 数据速率 150Mbps：支持 Modbus TCP 吞吐量而不成为瓶颈
- -40°C 至 +125°C：在严苛工业环境中可靠运行
步骤4：加密 Modbus 通信
由于 Modbus TCP 是明文协议，必须在传输层或隧道层添加加密：
- IPsec VPN 隧道：加密站点之间的所有 Modbus TCP 流量。使用基于证书认证的 IKEv2。推荐用于站点到站点连接。
- WireGuard 隧道：轻量、快速且可审计。非常适合连接远程 Modbus 网关，延迟开销极低（<1ms）。
- TLS 封装（Modbus/TCP Security）：Modbus Organization 发布了一个 TLS 规范（Modbus TCP Security），将 Modbus TCP 封装在 TLS 1.3 之中。部分现代网关已支持。
- OPC UA 网关转换：在区域边界将 Modbus 数据转换为 OPC UA（其原生支持 TLS 和身份验证）。这是新建安装的推荐方案。
第5步：实施监控与事件响应
IEC 62443-3-3 SR 6 要求审计日志与入侵检测：
- 部署 OT 专用 IDS：使用 Claroty、Nozomi 或 Dragos 等能够理解 Modbus 协议语义（而不仅是数据包头）的工具
- 监控 Modbus 功能码模式：对异常写入命令、寄存器范围扫描或快速轮询变化发出告警
- 建立基线流量画像：正常的 Modbus 通信遵循可预测的模式——相同的轮询速率、相同的寄存器范围、相同的源/目标对
- 制定事件响应手册：针对特定场景定义处置措施——检测到未授权写入、未知源 IP、固件篡改企图
实际应用：污水处理厂 IEC 62443 合规
背景：一座服务 50 万居民的市政水处理厂运行着 150 台 Modbus RTU 设备（流量计、余氯分析仪、阀门执行器），通过 RS-485 总线连接至 12 台 Modbus TCP 网关。整个 OT 网络为扁平结构——无网络分段、无防火墙，且 SCADA 服务器采用双宿主方式同时接入 OT 网络与市政 IT 网络。
安全评估发现:
- 任意 IT 工作站均可访问 Modbus TCP（无身份验证）
- 12 台网关中有 8 台使用默认凭据
- 无 Modbus 命令日志记录
- 过程控制与企业管理 IT 之间无网络分段
- RS-485 总线跨多栋建筑且无隔离
已实施的解决方案:
- 部署了包含 4 个区域（现场、控制、DMZ、企业）的 IEC 62443 区域/管道架构
- 在区域边界部署了支持 Modbus 深度包检测的工业防火墙
- 更换了网关默认凭据并实施了基于证书的身份验证
- 在建筑边界加装 ModulesLink 5000V 隔离型 RS-485 收发器，对串行总线进行分段
- 部署了用于 Modbus 流量监控的 OT 专用 IDS
- 将 SCADA 连接迁移为经由 DMZ 的 OPC UA
结果:
- 达到 IEC 62443 SL-2 合规（通过 TÜV 认证）
- 消除了所有 IT 到 OT 的直接通信路径
- 所有 Modbus 命令均具备完整审计轨迹，满足法规合规要求
- 实施后 12 个月内未发生任何网络相关安全事件
- 在 2026 年 6 月截止日期前即满足 EU CRA 要求
专家提示：IEC 62443 合规的 8 个最佳实践
- 从风险评估入手（IEC 62443-3-2）：在购买任何安全产品之前，先开展正式的风险评估，识别关键资产、威胁载体和所需安全等级。以此确定您的 SL 目标（SL-1 至 SL-4）。
- 切勿将 Modbus TCP 暴露于互联网：如需远程访问，应通过 DMZ 建立 VPN 隧道——切勿直接暴露 Modbus TCP 端口（502）。这是 OT 网络中最常见的严重漏洞。
- 在区域边界使用电气隔离：网段之间的物理隔离可防止接地回路、共模干扰及某些基于硬件的攻击。ModulesLink 数字隔离器具备 5000VDC 隔离耐压，是此用途的理想选择。
- 实施纵深防御，而非单一防火墙：IEC 62443 要求多个相互独立的安全层。当某一控制措施失效时，其余层级仍可维持防护。典型层级包括：物理安全、网络分段、协议过滤、应用身份验证和监控。
- 规划补丁管理：IEC 62443-2-3 要求建立文档化的补丁管理流程。对于无法立即打补丁的 OT 系统，应实施补偿性控制措施（网络隔离、增强监控）并记录风险接受决策。
- 对 RS-485 总线进行物理分段：RS-485 总线上一台设备失陷即可影响该总线上的所有设备。请使用隔离型 RS-485 收发器按安全区域对总线分段。ModulesLink RS-485 模块具备 5000V 隔离，可实现独立的总线网段。
- 记录一切，选择性告警：IEC 62443-3-3 SR 6.1 要求全面的审计日志。但告警疲劳切实存在——应将 SIEM 配置为仅对可处置事件（未授权写入、未知来源、固件变更）告警，同时记录所有数据以供取证分析。
- 检验您的事件响应能力：至少每年举行一次桌面演练，模拟 OT 特有场景——Modbus 命令注入、PLC 固件篡改、HMI 工作站勒索软件。记录经验教训并更新响应手册。
常见问题：IEC 62443 与工业网络安全常见问题
IEC 62443 是工业自动化与控制系统（IACS）网络安全的国际标准，适用于任何运行、维护或供应工业控制系统的组织——包括制造商、系统集成商和资产所有者。随着《欧盟网络弹性法案》（EU Cyber Resilience Act）于 2026 年生效，IEC 62443 合规正成为在欧洲销售工业设备的强制性要求。
Modbus TCP 没有原生安全机制（无身份验证、无加密、无完整性校验）。但可以通过纵深防御加以防护：借助 VLAN 和防火墙进行网络分段、采用 VPN 隧道（IPsec/WireGuard）实现加密传输、使用具备功能码过滤和访问控制的 Modbus 感知网关，以及建立结构化安全边界的 IEC 62443 区域/管道架构。ModulesLink 通信模块为安全网关设计提供隔离的物理层。
IEC 62443 定义了四个安全等级：SL-1 防范随意或偶然的违规行为，SL-2 防范资源有限的简单手段，SL-3 防范资源中等的高明手段（黑客活动组织），SL-4 防范资源充足的先进手段（国家级攻击者）。大多数工业应用以 SL-2 或 SL-3 为目标。
EU CRA（法规 2024/2847）要求在欧盟销售的所有含数字元素产品：1）采用安全开发实践进行设计；2）提供漏洞处理和安全更新；3）在 24 小时内报告被积极利用的漏洞；4）根据风险类别满足特定安全要求。工业控制系统属于“关键”类别，适用最严格的要求。合规性通常通过 IEC 62443 认证来证明。
IT 安全优先考虑机密性（CIA 三要素），而 OT 安全优先考虑安全性与可用性（SAC 三要素）。在 OT 中，导致生产过程停机的安全控制可能比其防范的威胁更糟。关键差异在于：OT 系统无法按月度周期打补丁，Modbus 等 OT 协议缺乏原生安全机制，OT 设备生命周期长达 15-20 年，且 OT 网络要求确定性通信，安全叠加层不得干扰这种通信。
保护工业网络已不再是可选项——EU Cyber Resilience Act 等法规要求和针对 OT 的攻击日益复杂化，使 IEC 62443 合规成为一项业务要务。核心原则十分明确：将网络划分为区域与管道、在每个边界过滤 Modbus 流量、对跨区域通信加密，并监控一切。从风险评估开始，实施纵深防御，并在区域边界使用电气隔离模块，防止电气威胁与网络威胁在整个网络中传播。
需要用于 IEC 62443 安全架构的隔离通信模块？了解 ModulesLink 数字隔离器——5000VDC 隔离、CMTI >100kV/μs，或联系我们的工程团队获取针对具体应用的选型建议。