工厂里有数百台联网设备——你真的知道它们在做什么吗？

IP摄像头、PLC控制器、暖通空调系统、门禁面板、智能电表。现代企业中充斥着从未以安全为设计前提的联网设备，而大多数组织根本不清楚这些设备在网络上究竟在做什么。

这就是IoT与OT安全的盲区。而且这个盲区正在持续扩大。

联网设备的结构性安全问题

传统的终端安全手段——杀毒软件、EDR探针、补丁管理——对IoT和OT设备根本无效。你无法在PLC上安装探针，也无法在不停产的情况下为楼控系统打补丁。这些设备安静地挂在网络上，有时长达数年，成为组织安全架构中难以忽视的致命盲点。

攻击者对此了如指掌。工业控制系统、IP摄像头和智能楼宇基础设施已多次出现在重大安全事件中。攻击不一定直接针对设备本身，而是将其作为跳板，进而横向渗透进入核心网络。

OT/IoT安全监控的实际架构

好消息是：你根本不需要在设备上安装任何东西。通过被动网络监控——在OT网段部署传感器——即可在完全不干扰生产运行的前提下，获得全网可见性。

现代开源IoT/OT安全栈的典型构成如下：

• 被动网络传感器（Zeek或Suricata）部署于OT网段——捕获所有流量，不影响任何业务
• 协议感知检测——能够解析Modbus、BACnet、MQTT等工控协议，精准标记异常行为
• 设备清单与指纹识别——自动发现网络中所有设备，陌生设备接入时立即告警
• SIEM集成（Wazuh + OpenSearch）——将IoT告警与整体安全态势进行关联分析
• 自动化工单创建（DFIR-IRIS）与告警通知（PagerDuty / 企业微信）——确保团队真正响应，而非仅仅收到通知

flowchart TD
    subgraph OT["OT / IoT Network Segment"]
        D1[PLC / SCADA]
        D2[IP Cameras]
        D3[HVAC / BMS]
        D4[Smart Meters]
    end

    TAP["Passive Sensor — Zeek / Suricata\n(no agent install required)"]

    subgraph SIEM["SIEM — Wazuh + OpenSearch"]
        DEC["Custom Decoders\nModbus · BACnet · MQTT"]
        INV["Device Inventory & Fingerprinting"]
        COR["Alert Correlation & Rule Engine"]
    end

    subgraph RESPONSE["Incident Response"]
        IRIS["DFIR-IRIS\nCase Management"]
        SOAR["Shuffle SOAR\nPlaybook Automation"]
        ALERT["PagerDuty / LINE Notify\nOn-call Alerting"]
    end

    IT["IT Network\nServers · Endpoints · FortiGate · VMware"]

    OT -->|mirror port / TAP| TAP
    TAP --> DEC
    TAP --> INV
    DEC --> COR
    INV --> COR
    IT -->|syslog / agent| COR
    COR --> IRIS
    IRIS --> SOAR
    SOAR --> ALERT

最终形成一个覆盖服务器、终端及设施内所有联网设备的统一SOC。

开源如何重塑成本结构

Claroty、Nozomi Networks、Dragos等企业级OT安全平台功能强大，但其定价面向的是超大型企业。制造业、设施管理和医疗行业的中型企业，往往难以承受此类采购成本。

基于开源的IoT/OT监控栈能够以远低于商业产品的成本，实现同等核心能力——被动可见性、异常检测、自动化告警。关键在于选择一个既懂技术、又了解你业务场景的实施伙伴。

Simplico的实施路径

Simplico已为制造、物流及企业IT领域的客户构建了完整的SOC基础设施。我们的技术栈——Wazuh、OpenSearch、DFIR-IRIS以及Shuffle SOAR——已在Windows、Linux、FortiGate和VMware环境中正式投产运行。

将这套体系扩展到IoT和OT网络，是顺理成章的下一步。我们部署被动传感器，针对客户的设备类型编写自定义Wazuh解码器，并将所有内容整合进安全团队已在使用的仪表盘与告警流水线中。

soc-integrator：统一流水线，告别人工衔接

让这套方案真正落地的关键，是我们自主研发的 Simplico soc-integrator——一个基于FastAPI构建的中间件服务，负责将SOC各层组件自动串联。

当Wazuh触发告警后，soc-integrator立即接管：在DFIR-IRIS中自动创建结构化工单，在Shuffle SOAR中触发对应处置剧本，并通过PagerDuty通知值班人员——全程无需人工介入。对于IoT和OT环境而言，这一点尤为关键：设备异常从检测到响应必须在秒级完成，而非分钟级。

许多使用开源SOC工具的组织，往往需要花费数周时间手动配置各组件之间的Webhook和API对接。soc-integrator将这套集成逻辑预先实现、测试并打包交付，开箱即用。您的团队专注于处置事件，而非调试集成问题。

无需推倒重建，无需高昂授权费用，只需在此前的盲区中建立真正的可见性——以及一条真正能够闭环的响应流水线。

准备好看清网络中到底发生了什么吗？ 欢迎通过 hello@simplico.net 或访问 simplico.net 与我们展开对话。