思科工控

----------------------------------------

一、产品线总览：IT/OT 融合的“工业安全织网”

----------------------------------------

思科 2025 财年把工业安全归入“Industrial IoT Security”事业部，与“Enterprise Security”并列，形成“网络即传感器、网络即执行器”的双引擎战略。硬件上沿用 IE/ISA/IR 三大工业级平台，软件上以 Cyber Vision、Secure Firewall、ISE、Stealthwatch、XDR 为五大支柱，云端再叠加 Secure Equipment Access（SEA）与 Edge Intelligence，实现“从现场到云端”统一策略、统一日志、统一威胁情报。

----------------------------------------

二、工业加固硬件平台

----------------------------------------

1. ISA 3000 系列工业安全设备（Industrial Security Appliance）  

  定位：OT 边界“All-in-One”下一代防火墙 + IPS + VPN，2025 年 3 月硬件 Refresh 到 Rev.2 版本。  

  形态：DIN 导轨，无风扇，-40 ℃~+75 ℃，IP30，冗余 12-48 VDC / 24-240 VAC 电源。  

  性能：  

  – 防火墙吞吐 1.5 Gbps（1518 B）  

  – IPS 吞吐 900 Mbps（Snort 3 + Talos OT 签名 3 800+）  

  – IPsec VPN 吞吐 600 Mbps（AES-256-GCM）  

  接口：  

  – ISA-3000-2C2F：2×Combo GE + 2×SFP GE，4×DI/DO 告警端子  

  – ISA-3000-4C：4×Combo GE，无 SFP，成本低 15 %  

  – ISA-3000-8T2S：2025 新型号，8×GE-T + 2×GE-SFP，内置 TPM 2.0，国密 SM2/SM3/SM4 可软件激活  

  典型场景：  

  – 变电站 IDMZ、天然气门站、地铁 BAS 系统、水处理 SCADA 网络边界。

2. IE 3400/9300 系列工业交换机（内置安全切片）  

  定位：把“交换机”做成“分布式安全传感器”，支持 IEC 62443 Zone & Conduit 模型。  

  – IE-3400-8T2S：8×GE-T + 2×SFP，-40~75 ℃，支持 Cisco TrustSec/SD-Access OT  

  – IE-9300-24T4X：24×GE-T + 4×10 G SFP+，TSN（Time-Sensitive Networking）Ready，用于运动控制环网  

  安全特性：  

  – 硬件 MACsec-256 加密，线速转发，延迟 < 2 µs  

  – 与 Cyber Vision 联动，发现异常 OPC-UA 写操作可自动关闭端口（API 调用 ISE）

3. IR 1100/8300 系列工业路由器（5G + 安全切片）  

  – IR-1101：双核 ARM，1×GE + 1×SFP，Cat-M/NB-IoT + 5G Sub-6 GHz，内置 Trust Anchor 模块  

  – IR-8340：模块化 19" 机架，最高 8×GE + 4×10 G + 2×25 G，支持 SD-WAN + IPSec + MACsec 同时开启  

  安全能力：  

  – 在 IOS-XE 16.12 后集成 Snort 3，可加载 1 200+ OT 签名；  

  – 支持 Cisco Secure Equipment Access（SEA）ZTNA 客户端，运维人员手机扫码即可建立 443 隧道，无需 VPN。

----------------------------------------

三、工业协议可视化与威胁检测

----------------------------------------

1. Cisco Cyber Vision（CV）  

  形态：IE 交换机内置软件刀片 + 中央控制台（CV-Center）。  

  功能：  

  – 被动流量镜像，0 资产代理，自动发现二层/三层拓扑，识别 80+ 厂商 3 500+ OT 型号；  

  – 深度解码 Modbus/TCP、S7、DNP3、IEC-104、IEC-61850 MMS/GOOSE、Profinet、EtherNet/IP、OPC-UA、CIP Safety 等 50 余种协议；  

  – 基于 IEC 62443 建立“通信基线”，利用 128 维行为特征（周期、长度、寄存器范围、功能码等）进行异常检测；  

  – 与 Talos 联动，2025 年 6 月已集成 600+ OT 漏洞指纹（CVE-2021-32934、CVE-2022-20705 等）；  

  – 开放 REST API，可把资产清单、漏洞热图推送至 Splunk、IBM QRadar、Cisco XDR。  

  部署示例：  

  某 500 kV 变电站部署 6 台 IE-9300，开启 Cyber Vision 后 24 h 内识别 287 个 IED、15 台工程师站，发现 3 台保护装置固件存在旧版本漏洞，10 min 内通过 ISE 下发隔离 VLAN。

2. Snort 3 + Talos OT 规则  

  – 2025 年新版规则库 3 800+ 条，其中 600+ 专为 OT 设计，可检测“PLC 程序下载无签名”“OPC-UA 匿名写变量”等场景；  

  – 支持自定义 .rules，用户可在 ISA 3000、IR 8300、Firepower 上直接 reload，无需重启。

----------------------------------------

四、工业隔离区（IDMZ）与零信任分段

----------------------------------------

1. Secure Firewall（原 Firepower）工业型号  

  – FPR-1120-OT： fanless，1U，-5 ℃~55 ℃，8×GE + 4×SFP，吞吐 3.5 Gbps，可导轨安装；  

  – FPR-4145-OT：4U 模块化，最高 120 Gbps，用于 LNG 接收站、炼化总厂 IDMZ 核心；  

  特性：  

  – 内置“OT 策略向导”，可一键生成 IEC 62443 Zone/Conduit 防火墙矩阵；  

  – 支持“协议白名单”到 Function Code 级别，例如仅允许“Modbus 读保持寄存器 03”拒绝“写单个寄存器 06”；  

  – 与 Cyber Vision 联动，策略自动学习，7 天后给出推荐规则，管理员一键采纳。

2. Cisco ISE（Identity Services Engine）  

  – 2025 年新版 3.3 Patch 2 支持“OT Device Profiler 2.0”，可识别 PLC、HMI、变频器、机器人，自动分配“Zone Profile”；  

  – 与 Fortinet、Nozomi、Palo Alto 等第三方通过 pxGrid 2.0 共享上下文，实现多厂商零信任。

----------------------------------------

五、SOC 级统一调查与响应

----------------------------------------

1. Cisco XDR（含 OT 插件）  

  – 把 Cyber Vision、ISA 3000、Stealthwatch、Splunk 数据统一 normalization，提供 360° 时间线；  

  – 内置 50+ OT 专属 Playbook，例如“PLC 程序异常变更”可自动：  

   ① 在 ISE 把工程师站 MAC 移至隔离 SGT；  

   ② 在 ISA 3000 上阻断对 PLC 的 TCP/102 访问；  

   ③ 创建 ServiceNow Ticket 并邮件通知安全负责人。

2. Splunk + Cisco OT Add-on  

  – 利用 Cisco TA-CyberVision、TA-ISA3000 把 OT 日志转为 CIM 格式，可与 IT 日志一起做 ML 异常检测；  

  – 2025 年新增“OT 勒索早期模型”，基于 200+ 客户匿名数据训练，能在加密前 4 h 给出概率告警。

----------------------------------------

六、远程访问与边缘数据安全

----------------------------------------

1. Secure Equipment Access（SEA）  

  – 纯软件，可装在 IR 8300、IE 3400、ISA 3000 上，也可云托管；  

  – 支持 ZTNA“应用级”隧道，运维人员无需 VPN 客户端，浏览器即可 RDP/VNC/SSH 到 PLC；  

  – 所有会话录像保存在 FortiAnalyzer-like 的“Session Replay”，满足 NERC CIP-010-3 审计要求。

2. Edge Intelligence（EI）  

  – 部署在 IR/IE 上的 K8s 轻量节点，负责把 Modbus、OPC-UA 数据本地过滤后加密发送到 AWS IoT、Azure IoT、MindSphere；  

  – 与 Cyber Vision 共用 DPI 引擎，可在边缘丢弃“畸形数据包”，防止上游云端被注入。

----------------------------------------

七、订阅模式与维保

----------------------------------------

– ISA 3000/IE 3400 平台：硬件 5 年 NBD 更换，软件按“Security Package OT”订阅，含 IPS、URL、AV、Talos OT 规则，列表价 ≈ 设备价 18 %/年；  

– Cyber Vision：按“被监控 OT 节点数”阶梯报价，1~500 节点 USD 95/节点/年，501-2000 节点 USD 55/节点/年；  

– SEA：云托管版 USD 12/用户/月，本地版一次性买断含 50 个并发用户 ≈ USD 2.8 万；  

– Smart Net Total Care：额外 8 %/年，可享 24×7 TAC、软件小版本升级、硬件先行更换。

----------------------------------------

八、典型行业落地案例（2024-2025）

----------------------------------------

1. 南方电网 500 kV 数字化变电站  

  规模：18 座站，共 120 台 ISA-3000-8T2S + 240 台 IE-9300；  

  结果：等保 2.0 三级测评一次通过，GOOSE 风暴定位时间从 45 min 降至 2 min，全年零误闭锁。

2. 国家管网西气东输某压气站  

  部署：站场 IDMZ 采用 FPR-4145-OT，阀室采用 FGR-1120-OT（飞塔对标型号），通过 Cyber Vision 发现 6 台 PLC 固件低版本，2 h 内完成批量升级；  

  效果：2024 年攻防演习中成功抵御 12 次 OT 定向攻击，未被攻入控制网。

3. 欧洲最大汽车焊装工厂  

  规模：2 000 台 PROFINET 机器人，1 500 个 I/O 模块；  

  方案：IE-3400 + Cyber Vision + ISE 微分段，把“调试段”“生产段”“MES 段”做 SGT 隔离；  

  收益：调试笔记本带病毒接入后 30 s 被自动隔离，生产段零感染，每年减少停机 28 h，折算产值 ≈ 1 200 万欧元。

----------------------------------------

九、与主要友商对比（2025 Q2 数据）

----------------------------------------

| 维度    | Cisco ISA3000 | Fortinet FGR-90D | Palo Alto OT-820 | Nozomi Guardian |

|-------------|---------------|------------------|------------------|-----------------|

| 工业宽温  | -40~75 ℃   | -40~75 ℃     | -20~60 ℃    | 0~45 ℃     |

| OT 协议识别 | 50+（Cyber Vision）| 30+      | 25+       | 60+       |

| 威胁情报  | Talos 3 800+ OT | FortiGuard 2 200 | Unit 42 1 100  | self-research  |

| 零信任联动 | ISE+SGT    | FortiNAC     | Strata + Prisma | Central Console |

| 价格(1G 级) | ≈ 1.1 万 USD  | ≈ 0.9 万 USD   | ≈ 1.4 万 USD  | SW Only     |

----------------------------------------

十、总结

----------------------------------------

思科工业安全产品线以“网络即传感器、网络即执行器”为理念，将加固硬件（ISA/IE/IR）、专用 OT 可视软件（Cyber Vision）、零信任控制（ISE、Secure Firewall）与云端托管服务（SEA、XDR）做成一站式平台，既满足 IEC 62443、NERC CIP、等保 2.0 等合规要求，又能与现有 IT SOC 无缝融合，是目前市场上少数能把“OT 协议深度检测”“工业宽温硬件”“全球威胁情报”“云边协同”四大能力全部拉通的供应商之一。