工控机有必要装杀毒软件吗?一篇讲透

在工业自动化领域，"工控机要不要装杀毒软件"一直是个争论不休的话题。

有人说："我们工控机从来不联网，装杀毒软件干嘛？"

也有人说："上次装了杀毒软件，结果把我们的组态软件给杀了，产线停了两小时！"

今天，我们就来把这个问题聊透。

一、工控机面临的真实威胁

很多人觉得，工控机不联网、不浏览网页，病毒跟我没关系。

事实真的如此吗？

2010年，"震网"（Stuxnet）病毒通过U盘侵入伊朗核设施的工控系统，导致上千台离心机损毁。这个事件彻底打破了"隔离网络就安全"的幻想。

再看看近几年的案例：

某汽车工厂因勒索病毒导致产线停产3天，损失超千万

某水务公司的SCADA系统被入侵，险些造成供水事故

台积电因WannaCry病毒变种感染，损失数十亿新台币

这些攻击都有一个共同点：目标不是办公网，而是生产网。

二、装与不装的利弊分析

不装的风险

风险	说明
U盘病毒传播	设备调试、程序烧录、数据拷贝都离不开U盘
网络横向移动	办公网一旦被突破，生产网就是下一个目标
勒索软件	一旦中招，生产数据被加密，损失不可估量
合规风险	等保2.0对工控安全有明确要求

安装的好处

实时检测和拦截恶意程序

阻止U盘病毒自动运行

及时发现异常进程和网络连接

满足安全合规要求

安装的顾虑

担心杀毒软件占用系统资源，影响实时控制

担心误杀工控软件，导致生产中断

担心与工控系统不兼容

三、真正的解决方案：不是装不装，而是怎么装

问题的关键从来不是"要不要装"，而是"怎么正确地装"。

1. 选择工控专用的防护方案

普通消费级杀毒软件不适合工控环境。应选择：

支持应用程序白名单的产品

专为工控系统设计或经过工控兼容性认证的方案

支持离线病毒库更新

2. 启用白名单策略

这是工控安全的核心策略：

只允许经过认证的程序运行，其他一律拦截。

工控环境最大的特点是：运行的程序是固定的。不像办公电脑，今天装个浏览器插件，明天装个聊天软件。工控机上跑的就那几款组态软件、PLC编程软件、数据采集程序。

白名单模式天然适合工控场景，而且几乎不占用系统资源。

3. 合理的扫描策略

禁止自动扫描：关闭定时全盘扫描

手动按需扫描：在设备停机维护时进行

排除关键路径：将工控软件目录加入扫描排除列表

排除关键进程：确保实时控制进程不受干扰

4. 建立配套管理制度

技术手段永远只是一部分：

U盘管理：所有U盘使用前必须杀毒

网络隔离：生产网与办公网严格隔离，必要通信通过防火墙管控

补丁管理：建立工控系统补丁评估和更新机制

应急预案：制定病毒感染的应急处理流程

四、不同场景的建议

场景	建议
联网 + Windows系统	强烈建议安装，采用白名单+杀毒组合方案
不联网 + Windows系统	建议安装，重点防U盘病毒，定期离线更新
联网 + Linux系统	建议安装，选择Linux兼容的工控安全方案
完全隔离 + 嵌入式系统	可不安装，但需严格管控物理访问
实时性要求极高	选择白名单方案，避免传统杀毒软件的资源占用