2026年7月底美国CISA联合五眼联盟、FBI等多家权威机构正式发布《CI Fortify – Advice for isolating vital systems》防护指南。这套行业全新的六步隔离蓝图彻底推翻了传统网络安全应急的处置逻辑。过往企业和基础设施运维团队遭遇网络攻击时惯用操作要么是硬扛攻击等待溯源杀毒要么是一刀切全网断机停机两种方式都存在致命缺陷。前者任由攻击者横向移动、窃取数据、篡改工控参数极易引发生产事故和公共安全事件后者直接中断民生基础服务、造成大规模经济损失属于被动且无效的应急手段。这套六步方案的核心价值是给能源、水务、交通、医疗、化工等关键基础设施提供一套可落地、可演练、可常态化复用的渐进式隔离体系。它不追求彻底杜绝网络攻击而是解决网络极端攻防场景下的核心痛点在攻击者已经渗透内网、外网链路完全不可信、第三方服务全部失效的绝境中保住最低限度的核心民生服务阻止攻击扩散实现系统离线长期稳定运行。目前国内绝大多数关基单位的应急体系仍停留在“攻击发生后被动处置”的阶段没有预设隔离策略、没有标准化切断点位、没有离线运维方案。一旦遭遇定向APT攻击、工控勒索病毒、全域网络瘫痪几乎没有有效自救能力。本文将从零拆解CISA六步隔离蓝图的底层逻辑、完整实操步骤、技术落地架构、自动化脚本、常态化演练方案同时结合国内关基保护条例、等保2.0标准完成本土化适配是政企工控运维、安全建设、应急响应的全套实战手册。1. 方案核心定位与底层逻辑区别于传统应急防护想要真正落地这套六步隔离方案不能只照搬步骤流程必须吃透其底层设计逻辑。CISA本次更新的CI Fortify框架是针对国家级网络冲突、高阶定向攻击、全域网络失稳场景设计的硬核防护体系和常规的防火墙策略、入侵防御、漏洞修补等常态防护手段完全不同。常规网络安全防护的核心目标是防攻击入侵通过边界设备、安全策略、终端防护拦截外部攻击适用场景是网络正常、链路可信、外部环境稳定的日常状态。而CISA六步隔离蓝图的预设场景是防御彻底失效攻击者已经突破边界防护、进入内网横向渗透外网、云平台、第三方运维链路全部不可信商用安全设备、云端监测系统、远程运维平台全部失效。基于这个极端场景方案确立了两个颠覆传统的核心原则也是整套体系的第一性原理。第一隔离不等于停机。所有隔离操作的唯一目标是保障核心 vital systems 可以脱离外网、脱离IT网络、脱离第三方支撑独立稳定运行数周甚至数月。所有非核心资产、非必要链路、冗余服务全部为核心系统让路杜绝无差别停机造成的公共服务瘫痪。第二渐进式隔离优于一刀切断网。紧急状态下直接切断所有网络连接会导致工控设备参数紊乱、机组骤停、管网压力失控引发物理设备损毁、安全事故。方案要求运维团队按照风险等级、业务优先级分层、分域、分步骤切断链路逐步收缩安全边界实现平稳隔离。除此之外方案明确否定了行业长期存在的错误认知。很多运维团队认为隔离是应急动作只需要在攻击发生后临时操作。但CISA通过大量实战案例证实临时隔离90%以上会出现拓扑混乱、误断核心链路、设备无法离线运行等问题。有效的隔离能力必须依托事前资产梳理、拓扑测绘、策略预设、常态化演练把应急动作转化为常态化能力。2. 关键基础设施隔离整体技术架构可视化架构图整套六步隔离方案的落地需要依托分层分域的网络架构支撑而非零散的设备策略调整。我结合CISA官方架构标准和国内工控网络建设规范梳理出可直接复用的关基网络隔离架构覆盖IT办公域、通用OT运维域、核心 vital 生产域、外部可信链路、第三方接入链路五大模块。核心设计要点核心生产域全程保持物理/逻辑双重隔离不与任何非核心网络共享硬件设备所有跨域链路设置专属隔离切断点所有外部接入链路统一收敛支持一键分级切断。title CISA六步隔离-关键基础设施分层防护架构participant 外网不可信域participant 第三方运维/云平台participant IT办公域participant OT通用运维域participant VITAL核心生产域participant 本地人工兜底运维外网不可信域–|边界防火墙/单向网关|IT办公域第三方运维/云平台–|专属加密链路可控切断点|OT通用运维域IT办公域–|跨域隔离网关(可切断)|OT通用运维域OT通用运维域–|二级隔离屏障(渐进切断)|VITAL核心生产域本地人工兜底运维–|离线本地操作|VITAL核心生产域架构运行逻辑日常状态下各域正常互联互通保障办公、运维、数据上传等常规业务预警状态下优先切断外网、第三方云平台链路阻断外部攻击入口应急隔离状态下逐级断开IT与OT、通用OT与核心生产域链路最终仅保留核心生产域独立运行依靠本地人工运维兜底。3. CISA六步隔离蓝图逐步骤实战落地核心教程本章是全文核心逐一对标CISA官方六步流程拆解每一步的实操方法、落地标准、避坑要点、输出成果完全适配国内电力、水务、燃气、轨道交通、化工、医疗等关基行业所有操作均可直接落地执行。3.1 第一步梳理甄别核心生命系统锁定最低运行资产集很多单位做安全防护和应急隔离的最大误区是资产边界模糊无法区分“必须运行的核心资产”和“可关停的冗余资产”。攻击来临后要么不敢断网导致攻击蔓延要么盲目关停核心设备引发事故。CISA明确要求所有隔离工作的前置基础是梳理出最低必要资产集合也就是在极端隔离状态下维持基础民生服务必须运行的所有软硬件资产。实操落地时运维团队需要摒弃“全资产防护”的思维以“服务存续”为唯一判定标准逐台甄别资产属性。电力行业核心资产为发电机组、主控PLC、调压调频设备、核心母线系统水务行业为取水、净水、加压、管网主控系统轨道交通为信号主控、道岔控制、供电牵引系统。同时需要明确剔除所有非核心资产办公电脑、业务报表系统、视频监控、非必要运维终端、冗余备份服务器、对外展示平台、增值业务系统。这类资产在隔离场景下可直接关停无需保留运行权限减少攻击面和运维压力。最终输出成果为《核心生命资产清单》清单必须包含资产IP、设备型号、运行功能、依赖资源、关停影响、离线运行条件六大核心字段禁止模糊笼统的资产归类。所有纳入清单的资产后续所有隔离策略、防护资源、运维预案全部优先适配。3.2 第二步定义核心服务对象明确隔离最低服务指标仅梳理资产不足以支撑隔离决策运维团队必须明确“隔离之后要保住什么服务”。CISA在指南中重点强调隔离不是保全设备而是保全民生基础服务。这一步的核心作用是给所有隔离操作设定量化取舍标准避免应急过程中因人为主观判断失误导致服务中断或过度防护。实操中需要锁定本单位服务的核心下游主体优先保障应急医院、消防、政务中心、居民核心生活区、重点民生企业等关键对象。同时针对行业特性制定可量化的最低服务指标指标必须具体、可落地、可考核杜绝模糊描述。电力行业量化指标核心片区供电覆盖率、最低供电负荷、电压稳定阈值、不间断供电时长水务行业量化指标核心区域供水流量、水压标准、净水达标参数、不间断供水时长燃气行业量化指标管网供气压力、重点片区供气保障范围。所有指标将作为隔离方案的硬性约束条件。后续任何链路切断、系统关停、策略调整操作只要会导致最低服务指标不达标一律禁止执行。这一步彻底解决了传统应急中“为了安全停服务”的本末倒置问题。3.3 第三步资产分级分域建立全网信任等级体系完成资产和服务梳理后需要对全网网络、主机、系统做等级划分和域划分为渐进式隔离提供层级依据。CISA不推荐全网统一防护策略要求基于资产重要性、暴露风险、服务属性搭建差异化信任域体系实现“高价值资产高防护、低风险资产低约束”。行业通用四级信任域划分标准可直接复用落地一级核心信任域仅包含第一步梳理的核心生命生产系统无外网直接接入仅保留本地运维权限是全网最高防护等级任何情况下优先保障运行最后执行隔离切断。二级可信运维域包含日常工控运维终端、本地监控系统、数据采集设备不直接对接外网仅对内网核心系统提供支撑可在极端场景下选择性关停。三级通用业务域包含办公系统、业务管理平台、数据统计系统无直接生产管控权限攻击风险中等应急状态下可优先关停、隔离。四级不可信外部域包含互联网出口、第三方运维链路、云平台接入、远程运维通道、外部合作单位链路是攻击主要入口预警阶段即可直接切断。分域完成后需要同步配置域间访问策略严格遵循最小权限原则。禁止低等级域主动访问高等级域高等级域仅按需向低等级域开放必要数据接口杜绝跨域越权访问。所有域边界设备开启流量审计、异常告警功能为后续隔离操作提供数据支撑。3.4 第四步全网拓扑测绘精准定位所有隔离切断点这是整套方案中技术难度最高、最关键的步骤也是国内绝大多数关基单位的短板。很多运维团队无法完整掌握全网跨域连接关系不知道攻击的横向传播路径也不清楚哪些链路可以安全切断、哪些链路绝对不能动导致应急隔离无从下手。CISA明确要求必须完成全网全链路拓扑测绘覆盖IT与OT跨网链路、厂商远程运维通道、云平台数据交互链路、上下游基础设施互联链路、备用通信链路、临时运维链路所有连接节点不得遗漏任何一条链路。测绘核心工作分为两项第一绘制完整的系统互联拓扑图标注每一条链路的协议、端口、设备、用途、依赖关系第二精准定位每一条链路的物理切断点和逻辑切断点明确对应的交换机端口、防火墙策略、路由条目、物理跳线位置。实操避坑要点重点排查隐形链路、临时链路、老旧遗留链路。很多单位长期存在过期远程运维账号、未清理的VPN通道、老旧设备互联端口这类隐形链路是高阶攻击者的主要渗透通道也是隔离失效的核心原因测绘过程中必须全部排查清理。最终输出《全网隔离点位清单》明确每一个切断点的操作步骤、操作人员、生效时间、回滚方案实现应急状态下精准、快速、无失误切断。3.5 第五步搭建软硬一体隔离屏障落地分级阻断能力前期所有梳理、测绘、分域工作最终都要落地为实际的隔离防护能力。CISA要求核心基础设施必须搭建物理隔离、逻辑隔离双重防护体系杜绝单一防护手段失效导致的隔离失败同时严格禁止核心OT生产网络与非核心网络共享任何网络硬件设备。物理隔离层面核心生产域必须实现空气间隙隔离常态化部署。核心工控交换机、路由器、PLC设备、服务器不接入任何外网和IT网络仅保留本地局域网运行。跨域数据交互全部通过单向网关、物理摆渡设备完成杜绝双向互通风险。所有外部接入链路全部配备独立物理开关支持一键物理切断。逻辑隔离层面依托防火墙、ACL策略、微分段技术实现精细化流量管控。关闭所有非必要协议和端口禁用高危远程访问协议所有跨域通信采用专属加密设备加密传输不使用设备自带的简易加密功能。针对不同信任域配置差异化阻断策略支持渐进式隔离执行。同时必须落实CISA硬性要求OT生产网络严禁与IT办公网络、第三方运维网络共享交换机、路由器、网关设备。硬件独立是工控隔离的底线要求共享硬件会导致攻击者突破任一域后直接横向渗透至核心生产系统所有逻辑隔离策略全部失效。3.6 第六步编制常态化预案持续演练迭代隔离能力技术架构和隔离策略搭建完成后最后一步是将静态配置转化为动态应急能力。CISA多次强调隔离能力不是设备能力是人员流程设备的综合能力没有常态化演练的隔离策略在真实攻击场景中完全无法落地。预案编制需要覆盖全场景、全流程、全角色。明确隔离触发阈值、分级响应标准、各岗位人员职责、链路切断顺序、隔离后运维流程、离线数据备份、人工兜底操作、故障回滚方案、事后复盘整改流程。杜绝通用化、模板化预案必须贴合本单位网络架构、设备型号、业务特性定制。演练分为桌面推演和实战演练两种形式。桌面推演每季度开展一次模拟不同攻击场景校验人员响应流程、决策逻辑、分工配合实战演练每半年开展一次真实执行链路切断、系统离线运行、人工兜底操作验证核心系统离线运行稳定性、隔离策略有效性、设备承压能力。演练后必须完成迭代整改针对演练中暴露的拓扑漏洞、策略失效、操作失误、系统不稳定等问题即时更新资产清单、拓扑图、隔离点位、防护策略和预案文档形成闭环优化。4. 渐进式隔离标准执行流程实战流程图为方便运维团队快速落地应急隔离操作我基于CISA官方规范整理出标准化渐进式隔离执行流程摒弃一刀切处置方式实现风险最小化、服务最大化适配所有关基行业应急场景。A[网络攻击/异常预警触发] -- B[判定攻击等级与渗透范围]B -- C[一级隔离切断外网第三方云链路]C -- D[二级隔离关停三级通用业务域资产]D -- E[三级隔离切断IT域与OT域互通链路]E -- F[四级隔离收缩二级运维域边界]F -- G[终极隔离核心VITAL系统空气间隙独立运行]G -- H[启动本地人工兜底运维离线监测]H -- I[攻击肃清后分级回滚恢复业务]流程核心优势全程分级推进每一步隔离操作都预留观测窗口确认当前隔离操作可遏制攻击、不影响核心服务后再执行下一步操作。完全规避极端隔离带来的设备损坏、服务骤停风险兼顾安全防护与业务存续。5. 自动化隔离脚本与配置清单可直接复制部署人工应急操作存在响应慢、误操作、遗漏点位等问题CISA指南鼓励关基单位部署自动化隔离工具实现预警触发后秒级隔离。下文提供适配华为、华三、思科主流设备的自动化隔离脚本和防火墙配置清单可直接复制部署。5.1 通用应急隔离Shell脚本Linux服务器一键阻断外部攻击链路#!/bin/bash# CISA标准 服务器应急自动化隔离脚本# 功能阻断所有外网接入、非必要内网访问保留核心本地服务# 适用关基行业OT运维服务器、业务服务器# 清空原有防火墙规则iptables-Fiptables-X# 阻断所有外网入站流量iptables-AINPUT-ieth0-s0.0.0.0/0-jDROP# 放行本地回环核心服务iptables-AINPUT-ilo-jACCEPT iptables-AOUTPUT-olo-jACCEPT# 放行核心工控内网网段自行替换为本单位核心网段iptables-AINPUT-s192.168.10.0/24-jACCEPT iptables-AOUTPUT-d192.168.10.0/24-jACCEPT# 阻断所有非核心端口、高危协议iptables-AINPUT-ptcp--dport22-jDROP iptables-AINPUT-ptcp--dport3389-jDROP iptables-AINPUT-ptcp--dport445-jDROP# 保存隔离策略serviceiptables saveechoCISA应急隔离策略已生效核心系统离线保护完成5.2 交换机应急端口隔离配置H3C设备# 批量关闭非核心运维端口阻断横向渗透 system-view interface range GigabitEthernet 0/1 to GigabitEthernet 0/20 shutdown # 仅保留核心生产端口UP状态 interface GigabitEthernet 0/24 undo shutdown # 关闭所有跨VLAN互通隔离业务域 vlan filter deny all save5.3 防火墙渐进式隔离策略配置模板# 一级隔离策略阻断所有外网、第三方链路 security-policy rule 10 deny source any destination any interface WAN rule 20 deny source any destination any interface CLOUD # 二级隔离策略阻断IT域访问OT核心域 rule 30 deny source 192.168.20.0/24 destination 192.168.10.0/24 # 放行核心本地运维流量 rule 40 permit source 192.168.10.0/24 destination 192.168.10.0/24 save脚本和配置部署后可结合态势感知平台设置自动触发条件检测到异常横向移动、批量暴力破解、未知设备接入等攻击行为时自动执行隔离操作大幅缩短应急响应时间。6. 国内关基单位落地常见误区与整改方案结合CISA官方案例和国内工控安全现状多数单位在落地隔离体系时会出现共性误区直接导致防护体系失效。本节逐一梳理问题并给出可落地的整改方案。6.1 误区一重设备部署轻资产梳理很多单位盲目部署防火墙、单向网关、安全审计设备却从未梳理核心资产和最低服务指标。设备策略配置无针对性要么过度防护阻断核心业务要么防护漏洞无法拦截攻击。整改方案优先完成核心资产清单、服务指标梳理所有安全设备策略围绕核心业务适配先定业务、再配策略、最后搭设备。6.2 误区二IT、OT网络硬件混用部分老旧场站为节约成本办公网络和工控网络共用交换机、路由设备仅通过逻辑VLAN划分隔离。攻击者突破办公网络后可直接穿透至工控系统所有逻辑隔离策略全部失效。整改方案立即完成软硬件物理拆分核心OT网络独立硬件、独立链路、独立运维杜绝跨域硬件共享。6.3 误区三无离线运维兜底方案多数单位的运维工作依赖外网、云端平台、远程运维工具系统完全离线后无法完成参数调整、设备巡检、故障处置导致隔离后系统无法长期稳定运行。整改方案搭建本地离线运维体系留存本地操作手册、离线工具、备用操作设备配齐人工兜底操作流程保障系统可离线运行数月。6.4 误区四预案模板化演练形式化网上通用的应急预案无法适配本单位架构日常演练仅走流程、不实战真实攻击场景下人员不会操作、策略不会生效。整改方案定制专属预案每半年开展一次全真实战隔离演练演练后必须复盘整改迭代优化体系。7. 本土化适配与合规落地建议CISA六步蓝图为美国标准国内关基单位不能直接照搬需要结合《关键信息基础设施安全保护条例》《网络安全等级保护2.0》《工控网络安全防护要求》完成本土化适配兼顾实战防护效果和合规要求。第一将六步隔离体系纳入年度关基安全测评、等保测评范围。资产梳理、网络分域、隔离点位、应急预案、演练记录全部作为测评佐证材料实现安全建设与合规建设统一。第二结合国内攻防态势优化隔离策略。针对国内高发的工控勒索病毒、政企定向APT攻击、内网横向渗透攻击强化隐形链路清理、内网微分段、异常流量监测能力弥补原版方案的场景短板。第三建立分级隔离审批机制。结合国内安全生产管理制度明确不同等级隔离操作的审批流程、责任人员避免应急操作与安全生产规范冲突实现安全防护、业务存续、安全生产三者平衡。8. 总结与互动话题CISA本次发布的六步隔离蓝图标志着关键基础设施网络安全防护的核心逻辑从“事前防御”转向“攻防存续”。在高阶网络对抗常态化的当下没有绝对不破的防御体系真正可靠的防护能力是攻击发生后保住核心服务、阻断攻击扩散、实现自主存续的隔离能力。这套方案的核心价值不在于全新的技术手段而在于标准化、体系化、实战化的落地流程。从资产梳理、服务定义、网络分域、拓扑测绘、屏障搭建到预案演练形成完整的安全闭环彻底解决了传统应急处置被动、盲目、无效的痛点。结合国内关基安全建设现状绝大多数单位仍处于防护体系建设的初级阶段资产模糊、拓扑不清、隔离缺失、演练不足的问题普遍存在。落地这套六步隔离体系是现阶段提升工控安全韧性、应对高阶网络攻击的最优路径。互动问题1你的单位目前是否完成IT/OT网络硬件物理隔离是否存在跨域共享设备、隐形运维链路等安全隐患互动问题2你所在行业的关键基础设施在网络攻击隔离场景下最大的业务存续难点是什么欢迎在评论区留言交流。