OT资产台账为何总漏掉通信耦合器?

OT资产台账漏掉通信耦合器，往往不是因为运维团队懒，而是因为台账的建模假设从一开始就把这类设备排除在外了。多数台账以“控制器、服务器、交换机、现场仪表”为骨架，通信耦合器既不像PLC那样承载逻辑，也不像交换机那样出现在网管拓扑里，它在资产分类上处于一个尴尬的夹层。等到漏洞公告修订、受影响清单扩大时，这个夹层才被照亮。

CISA对三菱电机相关漏洞公告的修订提供了一个典型样本：同一漏洞编号下新增了NZ2CT-GN耦合器和FR-D800-E变频器，变化的是资产范围，不是漏洞类型。这类修订对台账的杀伤力最大——原有排查清单看起来完整，实际却以错误的产品边界为前提。更麻烦的是，部分型号存在区域销售限制，可能通过非本地渠道采购，台账里连型号都未必记录准确。

从资产建模角度看，漏记有三个结构性原因。其一是分类粒度问题：台账通常按“设备类型”建档，而通信耦合器常被归入“附件”或“通信模块”，不单独占用资产条目。其二是责任边界问题：这类设备位于产线边缘，既不进常规补丁流程，也不在服务器团队的巡检范围内，处于运维分工的缝隙。其三是网络可见性问题：它不产生独立管理地址，不被网管系统自动发现，只能靠人工盘点，而人工盘点天然倾向于记录“有名字、有IP、有责任人”的设备。

这个漏洞的攻击条件恰好放大了台账缺陷的后果。CVSS向量包含相邻网络要求，攻击者需具备同网段访问能力并在特定时序条件下发送特制数据包，影响集中在通信完整性。这意味着风险不取决于设备本身多重要，而取决于它与工程站、维护跳板、数据采集器之间是否存在二层可达路径。台账里没有耦合器，就无法回答“哪些产线存在这种可达性”这个问题。

可操作的收敛路径是：把资产核对从“按类型查”改为“按通信路径查”，在主站、从站与耦合设备的清单中检索具体型号，同时记录固件版本、所在产线、网络分区和供应商支持状态；再梳理工程站与受影响设备之间的同网段暴露，对不必要的访问实施隔离。公告尚未列入已知利用清单，也没有确认的远程利用路径，因此当前重点是补齐资产边界，而不是等待一个统一修复版本。