摄像头、PLC、自助终端装不了客户端，却同样在网络里“说话”。本文讲如何在不改动设备的前提下，识别它们并管住它们的访问。
企业网络里，有一类设备很特殊：摄像头、PLC、自助终端、打印机、门禁…… 它们不能装安全客户端，系统老旧，又不能随便停机升级，却一直在网络里收发数据。它们常被称为“哑终端”或“哑设备”。
为什么哑设备是个难题
- 装不了客户端： 传统的终端准入、终端检测都用不上；
- 不能改动： 工业场站、营业厅里的设备，停机或改配置可能影响生产与服务；
- 难以清点： 到底有多少台、是什么、谁在用，往往说不清；
- 一旦被利用，危害大： 它可能成为攻击者进入内网的跳板，或被用来横向移动。
零信任的思路：设备不能改，那就在网络侧管
既然无法在设备上做文章，思路就换成：在网络侧识别它、约束它。 大致分三步：
一、认出它（识别）
通过设备的软硬件特征、网络特征和通信特征，建立设备的“指纹”，知道网络里每台设备是谁。
二、摸清它（学习）
观察设备平时与谁通信、通信什么，形成正常访问的“基线”。哑设备的行为通常很固定，这反而便于总结规律。
三、管住它（控制）
依据设备身份与业务关系，建立白名单：只允许它访问该访问的对象，其他一律不通。
这样做的好处
- 不改动设备、不影响业务： 非侵入式，对原有运行环境干扰小；
- 范围清晰： 设备被限定在自己的“活动范围”内；
- 异常易发现： 偏离基线的访问更容易被察觉；
- 有记录可查： 访问行为有审计留痕。
可信接入防护平台走的就是这条路：面向工业现场、生产车间、营业厅、园区、网点等复杂网络环境，在不改变原有设备和业务的前提下，用非侵入式识别、软硬件指纹识别、业务学习、网络自适应、白名单访问控制和审计留痕，建立可信接入与安全访问体系。
小结
- 哑设备装不了客户端、不能改动，但依然需要被识别和约束。
- 思路是网络侧非侵入：识别、学习、白名单控制。
- 不改设备，也能让它“只做该做的事”。