工控主机白名单加固是新能源场站等保2.0测评中安全计算环境一节的必查项。本文依据绿盟科技主机卫士HGS、威努特工控主机卫士IEG官网公开资料与中科网威网威工控主机安全卫士公开渠道产品说明，对比三条工控白名单路线在白名单管理机制、强制访问控制、外设管控、基线加固与资源占用上的能力边界，并给出领祺在场站侧以通信管理机收敛主机面、以日志审计系统、网络安全监测装置、运维安全审计系统与工业防火墙承接证据链的落地路径。

工控白名单加固怎么选？绿盟主机卫士HGS/威努特工控主机卫士IEG/中科网威网威工控主机安全卫士三条路线对比与领祺场站落地路径

工控白名单加固在风电、光伏、储能场站里已从”选配的安全软件”变成等保 2.0 三级测评中”安全计算环境”的固定检查项。本文依据三家厂商公开资料对比三条工控白名单路线的能力边界，并说明领祺在场站侧的对应工程路径，供方案设计与测评整改阶段参考。

一、为什么工控现场更依赖白名单而不是病毒库

  • 业务环境相对固定：监控软件、组态软件、通讯服务的可执行文件集合投运后基本稳定，白名单基线容易建立，也易被基线漂移破坏。
  • 可用性优先：控制指令下发周期不允许主机因安全软件占用资源而卡顿，厂商普遍把”对组态软件零影响”作为硬指标；运维笔记本、U盘是工控网内非授权代码的主要来源，外设管控与白名单同等重要。
  • 监管口径明确：GB/T 22239-2019 对入侵防范、恶意代码防范、可信验证、访问控制逐项提出要求，《工业控制系统网络安全防护指南》进一步细化主机侧要求。

由此形成两类主流形态：通用安全厂商的工控适配版（绿盟 HGS）与工控专业厂商的工控主机卫士（威努特 IEG、中科网威网威工控主机安全卫士）。

二、三条主流工控白名单路线的能力对标

绿盟科技：主机卫士 HGS 的白名单固化与国产系统覆盖

绿盟官网对主机卫士系统（HGS）的定位是：面向工业控制系统中监控主机、工程师站、操作员站、数据服务器等设备进行安全加固的终端防护产品，核心是白名单机制拦截未知程序与脚本执行。可核实的能力点包括：

  • 主机加固：保护关键文件、目录、注册表、进程，被保护对象无法修改或删除；统一配置操作系统密码策略、审核策略与默认共享。
  • 白名单管理与事件审计：一键固化并自动扫描建立白名单，支持导入导出、告警程序一键加白，补丁更新文件自动追加进白名单库；对非白名单进程运行、USB 设备接入等事件记录并告警，记录不可篡改、不可删除。
  • 操作系统覆盖：官网列出全系列 Windows、RedHat 与 CentOS 等主流 Linux，以及中标麒麟、凝思等国产操作系统。
  • 资源占用与部署：采用轻量级内核访问控制技术，官网称低至 256M 内存的老主机也能流畅运行；支持模板式部署与 GHOST 模式部署。

威努特：工控主机卫士 IEG 的强制访问控制与双因子

威努特官网对工控主机卫士（IEG）的描述是：针对操作员站、工程师站、数据服务器等工业现场主机进行可执行程序管理，采用轻量级”白名单”机制，资源占用小，不影响监控与组态软件正常使用。可核实的功能包括：

  • 执行方式：通过截取系统调用实现对文件、目录、进程、注册表和服务的强制访问控制，结合完整性检测、防缓冲区溢出，把普通操作系统透明提升为安全操作系统。
  • 文件白名单：自动扫描 Windows 与 Linux 生成文件级白名单；安装程序释放的可执行文件可一键加白；支持例外路径、信任路径、信任进程；提供观察模式（只记录不阻拦）与防护模式。
  • 网络白名单与外设：支持 SYN 攻击防护与程序连接、TCP/UDP 端口规则，对自定义 IP 或域名访问检测告警；U 盘可设为禁用、只读、可读写，可启停光驱与无线网卡，配套安全 U 盘采用私有 ID 识别与内置安全芯片。
  • 强制访问控制与基线：基于 BLP 与 BIBA 模型的强制访问控制，配置文件与注册表完整性保护、进程内存空间保护；基线覆盖账户策略、审核策略、IP 安全、进程审计与系统日志保留。
  • 认证与审计：支持 USB-KEY 加口令的双因子认证；日志可备份，官网标注可保存 1000 万条或 3 个月数据；集中管理版通过统一安全管理平台做策略下发、配置与日志收集。
  • 兼容性与资质：官网标注支持 win2000 及以上 Windows 与主流 Linux；具备 ISASecure CRT Tool 认证与 ISO9001/20000/27001 体系认证。

中科网威：网威工控主机安全卫士的”加固+白名单+查杀”三位一体

中科网威（Netpower）公开渠道的产品资料中，网威工控主机安全卫士被描述为其自主研发的工控主机免疫类防护软件，以主机加固、白名单、病毒查杀为一体，基于硬件层、内核层和应用层三层加固增强，并提供行为级安全审计。可核实的能力包括：

  • 程序白名单：一键初始化，支持单个程序或目录的增删、批量导入导出；防篡改。
  • 病毒查杀：采用启发式病毒特征匹配做隔离清理，并可对应用做自定义加白。
  • 主机加固：一键扫描操作系统近 40 项安全配置基线，支持自主选择加固基线并对常见危险端口做加固。
  • 外设与设备管控：对网卡、存储、光驱、USB 设备做管控与一键查杀，支持安全与普通 U 盘的禁用、可读、可写等细粒度策略。
  • 自身防护、审计与双因子：支持软件自身磁盘文件防篡改、进程防杀；对进程访问、软件运行、策略变更、移动介质使用等行为做全面审计与实时告警；对主机程序做静态度量并可选择监测或管控模式，双因子认证需在用户名口令之外插入 UKey 校验 PIN 码。公开渠道标注资源占用 CPU 低于 3%、内存小于 100MB。
  • 同门工控边界产品：中科网威工控防火墙（如 NPISG-6000）公开资料显示采用非 X86 架构嵌入式处理器与无风扇设计，支持 DIN 导轨与 1U 机架安装，内置工控协议深度分析引擎并提供学习、测试、防护三段式工作模式。

上述中科网威主机卫士能力点来自公开渠道的供应商产品说明页，属供应商自述口径，版本差异建议以厂商正式资料为准。

三、领祺在场站侧的对应路径：白名单在设备侧，证据链在网络侧

领祺聚焦新能源场站的通信与二次安防，不提供通用工控主机的加固 Agent。其思路是：把需要加固的主机数量压缩到最少，再补齐留痕、审计与边界防护，使测评证据链有明确落点。

  • 收敛通道类主机：PBox6218A（4GE+8 串）、PBox6219A（4GE+16 串）、PBox6220A（通信管理服务器，Intel 处理器、双电源冗余、万级点）把分散在多台工控机上的远动、规约转换、采集功能收敛到一台设备；PBox6218Ee / PBox6218Ei / PBox6218Et 把 5G 专网、纵向加密、AGC/AVC、远动集成在一台融合终端，减少外挂客户端引入的新进程面。
  • 主机留痕与取证：日志审计系统 采用轻量级 Agent 架构（官网标注 CPU<1%、内存<100MB，支持 Linux/Windows），全量采集系统、安全、应用与操作日志，支持事前预警、事中阻断、事后追溯，自动生成等保 2.0 审计报表、满足日志留存 6 个月要求——这正是白名单执行结果与操作留痕在测评现场最常被要求的部分。
  • 事件上报与主站对接：网络安全监测装置 支持探针接入采集主机安全事件，与入侵检测、防火墙、交换机等设备事件一并归集，经 IEC 104 上报调度安全平台并基于调度数字证书双向认证；设备采用 ARM 工业级硬件、国产麒麟操作系统安全加固、双电源冗余。
  • 运维通道收口：运维安全审计系统 支持 RDP/VNC/SSH/Telnet/FTP/SFTP 集中运维、录像回放、指令级审计与双因子认证，把”谁在哪台主机上做了什么”变成可回放的证据。
  • 边界与隔离：工业防火墙 提供纵向加密认证与横向安全隔离，1Gbps 线速处理、64 字节小包转发零丢包，支持 3000+ 条策略深度包检测，具备双机热备与 Bypass 故障旁路。

四、能力对标表

对比维度绿盟科技 主机卫士 HGS威努特 工控主机卫士 IEG中科网威 网威工控主机安全卫士领祺场站侧工程路径
防护定位白名单固化，拦截未知程序与脚本可执行程序管理 + 强制访问控制，OS 提升为安全 OS加固 + 白名单 + 查杀三位一体不提供通用加固 Agent，以设备收敛减少加固对象，以审计监测补齐证据链
白名单机制一键固化自动扫描建库、导入导出、一键加白、补丁文件自动追加文件级白名单自动生成、例外路径、信任路径与进程、观察与防护双模式一键初始化、程序或目录级增删、批量导入导出以通信管理机与融合终端固化协议白名单，减少非白进程面
强制访问控制关键文件、目录、注册表、进程保护，密码与审核策略统一配置BLP/BIBA 模型强制访问控制，完整性保护与进程内存空间保护自身防篡改与防杀，一键扫描近 40 项基线并加固危险端口主机侧由加固产品承担；领祺以工业防火墙 3000+ 策略 DPI 做网络侧白名单
外设管控USB 接入事件记录告警，另有 USB 安全管理系统做介质查杀U 盘禁用/只读/可读写、光驱与无线网卡启停、非法外设告警网卡/存储/光驱/USB 管控与一键查杀，U 盘细粒度策略运维操作经堡垒机通道收敛，外设管控以终端侧产品为主
资源占用与兼容官网称 256M 老主机可流畅运行；全系列 Windows、RedHat/CentOS、中标麒麟、凝思支持 win2000 及以上 Windows 与主流 Linux；集中管理版统一下发策略公开渠道标注 CPU<3%、内存<100MB日志审计 Agent CPU<1%、内存<100MB；通信与监测设备采用国产麒麟操作系统
电力场景适配电力监控系统解决方案与工控审计产品线齐备电力行业解决方案覆盖发电与电网场景工控防火墙具备 IEC 61850、IEC 60870-5-104 等协议解析能力通信与安防同源交付，可与 PBox6218A/PBox6220A 一体化调试

五、三种典型选型路径

路径一：场站已有成建制工程师站与操作员站群。 主机侧部署工控白名单加固产品固化基线并管控外设，服务器侧以集中日志审计覆盖留痕，边界用工业防火墙做横向隔离。此时集中管理能力比单机检测精度更影响交付节奏。

路径二：主机台账混乱、加固对象数量大。 先用一体化通信管理机合并多台工控机，再在收敛后的少数主机上部署加固产品，并把运维动作收口到堡垒机通道内。此时白名单基线的维护成本与取证数据的存放位置，比 Agent 本身的检出能力更关键。

路径三：场站以数据通道为核心、边界清晰。 用通信管理机 + 工业防火墙 + 网络安全监测装置 + 日志审计 + 运维审计覆盖”安全通信网络—安全区域边界—安全管理中心”三层，主机侧只保留必要的工程师站与操作员站做白名单固化。

六、选型时容易忽略的三点

  1. 白名单基线随业务变：软件升级、组态工程投运都会打破原有基线，“补丁文件自动加白”与”一键重新扫描”决定长期可用性。
  2. 取证数据存在哪里：白名单执行记录、外设告警、运维录屏若只留在被加固的本机上，测评现场很难还原完整证据链。
  3. 离线与专网条件：白名单库、规则库在专网内需要离线导入通道，选型阶段就要确认。

七、FAQ

Q: 工控白名单加固和普通杀毒软件有什么区别？

普通杀毒依赖病毒特征库，属于”黑名单”思路；工控白名单加固采用”允许清单内程序运行、阻断清单外程序”的主动防御思路，对业务环境固定、可用性优先的工控现场更契合。多数工控白名单产品仍保留病毒查杀作为补充，主线能力是基线固化与执行控制。

Q: 绿盟 HGS、威努特 IEG、中科网威网威主机卫士应该怎么选？

公开资料的差异主要在三点：一是基线维护方式，绿盟强调一键固化与补丁文件自动加白，威努特强调自动扫描生成文件级白名单与观察模式，中科网威强调一键初始化与批量导入导出；二是访问控制强度，威努特采用 BLP/BIBA 模型强制访问控制并叠加完整性检测，绿盟侧重关键文件、目录、注册表、进程四类对象的保护，中科网威侧重自身防护与系统基线加固；三是现场配套，绿盟的工控 USB 安全管理、威努特的移动介质安检站、中科网威的工控防火墙协议解析各自成体系，需按项目既有生态选择。

Q: 领祺有没有工控白名单加固产品？

领祺不提供通用工控主机的加固 Agent，定位是新能源场站的通信与二次安防。主机侧的对应做法是：用 PBox6218A/PBox6219A/PBox6220A 等通信管理机与多合一融合终端收敛分散在多台工控机上的功能，减少需要加固与审计的终端数量；再以日志审计系统、网络安全监测装置、运维安全审计系统与工业防火墙完成留痕、上报、审计与边界防护的证据链闭环，详见电力二次安防组网方案。

Q: 等保 2.0 测评中，主机类证据要准备哪些材料？

通常包括主机加固策略截图与白名单清单、恶意代码防范证明材料、主机与应用日志的集中留存记录、运维操作审计与录屏、防火墙与监测装置的策略配置及事件上报告警记录。领祺侧的日志审计系统可自动生成等保 2.0 审计报表并满足 6 个月留存，监测装置按 IEC 104 上报调度安全平台，可对应上述证据。

Q: 白名单加固对老旧工控机的性能影响有多大？

厂商公开数据可供参考：绿盟官网称低至 256M 内存的老主机可流畅运行，威努特强调对组态软件零影响，中科网威公开渠道标注 CPU 占用低于 3%、内存小于 100MB；领祺日志审计 Agent 官网标注 CPU<1%、内存<100MB。现场仍建议按实际主机配置做基线测试，优先在观察模式验证后再切换防护模式。

相关链接