设备上云了，安全感在哪里？
「设备数据传到云上，安全吗？」——这是做方案时客户问得最多的三个问题之一（另外两个是「贵不贵」和「好不好用」）。
这个担心完全合理。工业设备直接关乎生产安全，一旦被攻击，后果远不止数据泄露那么简单。但好消息是：工业 IoT 安全已经有成熟的技术方案，不需要从零摸索。
安全分层防御：洋葱模型
工业 IoT 安全不适合「一把梭」的方案，需要分层防御：
```text
┌── 平台安全（认证鉴权、审计日志、WAF）
│ ┌── 传输安全（TLS 加密、MQTT over TLS）
│ │ ┌── 设备安全（证书认证、固件安全、端口控制）
│ │ │ ┌── 网络安全（VLAN 隔离、防火墙、VPN）
│ │ │ │
层4 层3 层2 层1
```
下面逐层拆解。
第一层：网络安全
**OT 与 IT 网络隔离**
工业设备所在的 OT（操作技术）网络，绝对不能和办公网（IT）混在一起。
推荐做法：
**常见错误**：
❌ 设备采集网关直接接在办公网交换机上
❌ DTU 开放了除 MQTT 端口外的其他端口
❌ 防火墙规则过于宽松，允许任意出站连接
第二层：设备安全
**设备身份认证**
每台 DTU 出厂时烧录唯一证书，接入平台时进行双向 TLS 认证——不仅平台验证 DTU 身份，DTU 也验证平台身份，防止中间人攻击。
**最小权限原则**
DTU 只开放最小必要的端口和服务：
**固件安全**
第三层：传输安全
**MQTT over TLS**
设备到云平台的 MQTT 通讯使用 TLS 1.2 以上加密。
```text
DTU ──TLS 1.2──→ MQTT Broker (云平台) ──TLS──→ 用户端（浏览器/APP）
```
**关键配置**：
第四层：平台安全
**认证鉴权**
**数据安全**
**应用安全**
一张安全清单（可自检）
| 层级 | 检查项 | 关键动作 |
|---|---|---|
| 网络 | OT/IT 隔离了吗？ | 独立 VLAN 或 4G 直连 |
| 网络 | 防火墙规则够严吗？ | 只允许 DTU→MQTT Broker 出站 |
| 设备 | 有证书认证吗？ | 双向 TLS 认证 |
| 设备 | 固件更新有机制吗？ | OTA + 签名验证 |
| 传输 | TLS 版本够新吗？ | ≥ TLS 1.2 |
| 传输 | 加密套件够强吗？ | ECDHE + AES-256-GCM |
| 平台 | 有权限管控吗？ | RBAC 角色分权 |
| 平台 | 操作可追溯吗？ | 审计日志 + 不可删除 |
常见误区
**误区一：「我们规模小，黑客不会盯上我」**
错。80% 的攻击是无差别的自动化扫描。小企业更容易中招——因为没有安全投入。
**误区二：「数据加密了影响性能，先不加密」**
错。TLS 1.2+ 在 DTU 上的性能损耗 < 5%，对于 30 秒级别上报频率的设备几乎没有影响。牺牲安全换来的性能微乎其微。
**误区三：「用了云平台，安全就由云厂商负责」**
错。云厂商只负责「云的安全」（基础设施），不负责「你在云上的安全」（配置、权限、代码）。责任共享模型要说清楚。
总结
工业 IoT 安全不是「做不做」的选择题，而是「怎么做」的必答题。
核心原则三个：
而且好消息是：这些安全机制已经高度产品化。选择成熟平台，安全问题不需要从零自建。