作者：约翰·哈彻 | 2026年4月27日
---
咱干弱电这行二十多年了，天天跟楼宇里那些设备打交道。你肯定也遇到过这种情况：业主让你查查监控系统咋回事，你一上IT工具，结果把人家空调搞停了。这事儿我碰过不止一回。
今天咱聊聊OT可见性这事儿。OT就是操作技术，说白了就是楼宇里那些控制设备，比如楼宇自控系统、空调、门禁这些。这些玩意儿平时默默干活儿，但你要是想看清楚它们，麻烦就来了。
Carl Henriksen，网络安全公司OryxAlign的老板，他说了：这活儿越来越难干。你看不见设备，安全就白搭。但你要是用IT那套工具，设备又容易出问题。
咱们先说说为啥这事儿这么拧巴。传统IT安全工具，比如主动扫描、在线检测这些，用起来容易给控制系统添堵。举个例子，你在一栋办公楼里用BACnet（楼宇自控协议）调空调系统，这玩意儿得实时通讯才能维持温度。你突然来个扫描，搞不好就延迟了，空调停了，业主投诉就来了。
英国工程技术学会（IET）的《建筑环境网络安全实践规范》说得明白：楼宇设备越来越复杂，依赖IT和通讯技术，这本身就是个新漏洞。为啥？因为很多老设备设计的时候压根没考虑现代安全可见性。
但你直接把IT那套工具搬到工地上，比如服务器和电脑上的扫描工具，十有八九会出事儿。轻则设备反应慢，重则整个系统瘫了。所以咱们得用工程思维来搞可见性，得保证设备不停、空间不乱、服务不中断。
这有个矛盾：你看不见设备，安全就是瞎扯。但你要是用IT方法去看，设备又容易出事儿。美国国家标准与技术研究院（NIST）在《操作技术安全指南》里也说了：OT安全得考虑性能、可靠性和安全这些独特要求。所以IT那套方法用在工地上得小心。
咋办？用被动监控。就是通过SPAN（端口镜像）或TAP（网络分路器）观察网络流量，不直接碰设备。这样既能了解通讯情况，又不影响设备运行。比如你在楼宇自控系统上装个被动监控，它能发现资产和暴露风险，还不会给系统增加负担。以前靠人工记录设备清单，不准确，现在能看清全貌。
但光有可见性还不够。你得把网络结构理顺。很多楼宇里，空调、门禁这些系统直接连到企业网，没规划也没隔离。这就容易出事儿。一旦企业网被攻破，攻击者就能轻松摸到关键设备。老设备又没法装安全代理或深度包检测，网络一合并就暴露了。
英国国家网络安全中心（NCSC）在OT指南里说：得确保OT环境和企业网或互联网的连接是安全的。设计原则就是帮工程师搞出安全可靠的系统。
这事儿一步一步来。先搞清楚哪些设备连着网，通讯咋走的，正常啥样。然后根据重要性或信任等级，用VLAN（虚拟局域网）或网络隔离这些方法分区域。最后持续监控，确保边界有效。
在活楼宇里，网络安全得从开始就融入架构。想提高韧性，别光问“能不能看见设备”，得问“能不能安全、持续地看见”。
我举个实际例子。去年我帮一个商场做安全评估。他们IT部门用主动扫描工具查网络，结果把楼宇自控系统搞得一团糟，空调停了半天，租户投诉不断。后来我们用被动监控，通过SPAN端口看流量，三天就发现了十几个老旧BACnet设备没隔离，直接暴露在企业网上。我们建议用VLAN隔离，再装个被动监控，问题解决了。费用不到两万，但避免了更大的损失。
再比如，一个医院项目。他们门禁系统用的是老式RS485转TCP/IP，没做安全隔离。我们被动监控发现，这系统跟挂号系统共用网络。一旦挂号系统被攻破，门禁也能被控制。我们建议用防火墙隔离，再装个被动监控，确保通讯正常。这事儿花了五千块，但避免了潜在的安全漏洞。
所以，老铁们，记住：别拿IT那套工具硬套OT设备。用被动监控，看清楚再动手。网络结构得规划好，该隔离隔离，该监控监控。安全这事儿，得从工程角度搞，别光靠IT思维。咱干弱电的，得让设备稳当，别让业主骂娘。