2026年7月底，美国CISA联合五眼联盟、FBI等多家权威机构正式发布《CI Fortify – Advice for isolating vital systems》防护指南。这套行业全新的六步隔离蓝图，彻底推翻了传统网络安全应急的处置逻辑。过往企业和基础设施运维团队遭遇网络攻击时，惯用操作要么是硬扛攻击等待溯源杀毒，要么是一刀切全网断机停机，两种方式都存在致命缺陷。前者任由攻击者横向移动、窃取数据、篡改工控参数，极易引发生产事故和公共安全事件；后者直接中断民生基础服务、造成大规模经济损失，属于被动且无效的应急手段。

这套六步方案的核心价值，是给能源、水务、交通、医疗、化工等关键基础设施，提供一套可落地、可演练、可常态化复用的渐进式隔离体系。它不追求彻底杜绝网络攻击，而是解决网络极端攻防场景下的核心痛点：在攻击者已经渗透内网、外网链路完全不可信、第三方服务全部失效的绝境中，保住最低限度的核心民生服务，阻止攻击扩散，实现系统离线长期稳定运行。

目前国内绝大多数关基单位的应急体系，仍停留在“攻击发生后被动处置”的阶段，没有预设隔离策略、没有标准化切断点位、没有离线运维方案。一旦遭遇定向APT攻击、工控勒索病毒、全域网络瘫痪，几乎没有有效自救能力。本文将从零拆解CISA六步隔离蓝图的底层逻辑、完整实操步骤、技术落地架构、自动化脚本、常态化演练方案，同时结合国内关基保护条例、等保2.0标准完成本土化适配，是政企工控运维、安全建设、应急响应的全套实战手册。

1. 方案核心定位与底层逻辑（区别于传统应急防护）

想要真正落地这套六步隔离方案，不能只照搬步骤流程，必须吃透其底层设计逻辑。CISA本次更新的CI Fortify框架，是针对国家级网络冲突、高阶定向攻击、全域网络失稳场景设计的硬核防护体系，和常规的防火墙策略、入侵防御、漏洞修补等常态防护手段完全不同。

常规网络安全防护的核心目标是防攻击入侵，通过边界设备、安全策略、终端防护拦截外部攻击，适用场景是网络正常、链路可信、外部环境稳定的日常状态。而CISA六步隔离蓝图的预设场景是防御彻底失效：攻击者已经突破边界防护、进入内网横向渗透；外网、云平台、第三方运维链路全部不可信；商用安全设备、云端监测系统、远程运维平台全部失效。

基于这个极端场景，方案确立了两个颠覆传统的核心原则，也是整套体系的第一性原理。

第一，隔离不等于停机。所有隔离操作的唯一目标，是保障核心 vital systems 可以脱离外网、脱离IT网络、脱离第三方支撑，独立稳定运行数周甚至数月。所有非核心资产、非必要链路、冗余服务全部为核心系统让路，杜绝无差别停机造成的公共服务瘫痪。

第二，渐进式隔离优于一刀切断网。紧急状态下直接切断所有网络连接，会导致工控设备参数紊乱、机组骤停、管网压力失控，引发物理设备损毁、安全事故。方案要求运维团队按照风险等级、业务优先级，分层、分域、分步骤切断链路，逐步收缩安全边界，实现平稳隔离。

除此之外，方案明确否定了行业长期存在的错误认知。很多运维团队认为隔离是应急动作，只需要在攻击发生后临时操作。但CISA通过大量实战案例证实，临时隔离90%以上会出现拓扑混乱、误断核心链路、设备无法离线运行等问题。有效的隔离能力，必须依托事前资产梳理、拓扑测绘、策略预设、常态化演练，把应急动作转化为常态化能力。

2. 关键基础设施隔离整体技术架构（可视化架构图）

整套六步隔离方案的落地，需要依托分层分域的网络架构支撑，而非零散的设备策略调整。我结合CISA官方架构标准和国内工控网络建设规范，梳理出可直接复用的关基网络隔离架构，覆盖IT办公域、通用OT运维域、核心 vital 生产域、外部可信链路、第三方接入链路五大模块。

核心设计要点：核心生产域全程保持物理/逻辑双重隔离，不与任何非核心网络共享硬件设备；所有跨域链路设置专属隔离切断点；所有外部接入链路统一收敛，支持一键分级切断。

title CISA六步隔离-关键基础设施分层防护架构
participant 外网不可信域
participant 第三方运维/云平台
participant IT办公域
participant OT通用运维域
participant VITAL核心生产域
participant 本地人工兜底运维

外网不可信域–>|边界防火墙/单向网关|IT办公域
第三方运维/云平台–>|专属加密链路+可控切断点|OT通用运维域
IT办公域–>|跨域隔离网关(可切断)|OT通用运维域
OT通用运维域–>|二级隔离屏障(渐进切断)|VITAL核心生产域
本地人工兜底运维–>|离线本地操作|VITAL核心生产域
```

架构运行逻辑：日常状态下，各域正常互联互通，保障办公、运维、数据上传等常规业务；预警状态下，优先切断外网、第三方云平台链路，阻断外部攻击入口；应急隔离状态下，逐级断开IT与OT、通用OT与核心生产域链路，最终仅保留核心生产域独立运行，依靠本地人工运维兜底。

3. CISA六步隔离蓝图逐步骤实战落地（核心教程）

本章是全文核心，逐一对标CISA官方六步流程，拆解每一步的实操方法、落地标准、避坑要点、输出成果，完全适配国内电力、水务、燃气、轨道交通、化工、医疗等关基行业，所有操作均可直接落地执行。

3.1 第一步：梳理甄别核心生命系统，锁定最低运行资产集

很多单位做安全防护和应急隔离的最大误区，是资产边界模糊，无法区分“必须运行的核心资产”和“可关停的冗余资产”。攻击来临后，要么不敢断网导致攻击蔓延，要么盲目关停核心设备引发事故。CISA明确要求，所有隔离工作的前置基础，是梳理出最低必要资产集合，也就是在极端隔离状态下，维持基础民生服务必须运行的所有软硬件资产。

实操落地时，运维团队需要摒弃“全资产防护”的思维，以“服务存续”为唯一判定标准，逐台甄别资产属性。电力行业核心资产为发电机组、主控PLC、调压调频设备、核心母线系统；水务行业为取水、净水、加压、管网主控系统；轨道交通为信号主控、道岔控制、供电牵引系统。

同时需要明确剔除所有非核心资产：办公电脑、业务报表系统、视频监控、非必要运维终端、冗余备份服务器、对外展示平台、增值业务系统。这类资产在隔离场景下可直接关停，无需保留运行权限，减少攻击面和运维压力。

最终输出成果为《核心生命资产清单》，清单必须包含资产IP、设备型号、运行功能、依赖资源、关停影响、离线运行条件六大核心字段，禁止模糊笼统的资产归类。所有纳入清单的资产，后续所有隔离策略、防护资源、运维预案全部优先适配。

3.2 第二步：定义核心服务对象，明确隔离最低服务指标

仅梳理资产不足以支撑隔离决策，运维团队必须明确“隔离之后要保住什么服务”。CISA在指南中重点强调，隔离不是保全设备，而是保全民生基础服务。这一步的核心作用，是给所有隔离操作设定量化取舍标准，避免应急过程中因人为主观判断失误，导致服务中断或过度防护。

实操中，需要锁定本单位服务的核心下游主体，优先保障应急医院、消防、政务中心、居民核心生活区、重点民生企业等关键对象。同时针对行业特性，制定可量化的最低服务指标，指标必须具体、可落地、可考核，杜绝模糊描述。

电力行业量化指标：核心片区供电覆盖率、最低供电负荷、电压稳定阈值、不间断供电时长；水务行业量化指标：核心区域供水流量、水压标准、净水达标参数、不间断供水时长；燃气行业量化指标：管网供气压力、重点片区供气保障范围。

所有指标将作为隔离方案的硬性约束条件。后续任何链路切断、系统关停、策略调整操作，只要会导致最低服务指标不达标，一律禁止执行。这一步彻底解决了传统应急中“为了安全停服务”的本末倒置问题。

3.3 第三步：资产分级分域，建立全网信任等级体系

完成资产和服务梳理后，需要对全网网络、主机、系统做等级划分和域划分，为渐进式隔离提供层级依据。CISA不推荐全网统一防护策略，要求基于资产重要性、暴露风险、服务属性，搭建差异化信任域体系，实现“高价值资产高防护、低风险资产低约束”。

行业通用四级信任域划分标准，可直接复用落地：

一级核心信任域：仅包含第一步梳理的核心生命生产系统，无外网直接接入，仅保留本地运维权限，是全网最高防护等级，任何情况下优先保障运行，最后执行隔离切断。

二级可信运维域：包含日常工控运维终端、本地监控系统、数据采集设备，不直接对接外网，仅对内网核心系统提供支撑，可在极端场景下选择性关停。

三级通用业务域：包含办公系统、业务管理平台、数据统计系统，无直接生产管控权限，攻击风险中等，应急状态下可优先关停、隔离。

四级不可信外部域：包含互联网出口、第三方运维链路、云平台接入、远程运维通道、外部合作单位链路，是攻击主要入口，预警阶段即可直接切断。

分域完成后，需要同步配置域间访问策略，严格遵循最小权限原则。禁止低等级域主动访问高等级域，高等级域仅按需向低等级域开放必要数据接口，杜绝跨域越权访问。所有域边界设备开启流量审计、异常告警功能，为后续隔离操作提供数据支撑。

3.4 第四步：全网拓扑测绘，精准定位所有隔离切断点

这是整套方案中技术难度最高、最关键的步骤，也是国内绝大多数关基单位的短板。很多运维团队无法完整掌握全网跨域连接关系，不知道攻击的横向传播路径，也不清楚哪些链路可以安全切断、哪些链路绝对不能动，导致应急隔离无从下手。

CISA明确要求，必须完成全网全链路拓扑测绘，覆盖IT与OT跨网链路、厂商远程运维通道、云平台数据交互链路、上下游基础设施互联链路、备用通信链路、临时运维链路所有连接节点，不得遗漏任何一条链路。

测绘核心工作分为两项：第一，绘制完整的系统互联拓扑图，标注每一条链路的协议、端口、设备、用途、依赖关系；第二，精准定位每一条链路的物理切断点和逻辑切断点，明确对应的交换机端口、防火墙策略、路由条目、物理跳线位置。

实操避坑要点：重点排查隐形链路、临时链路、老旧遗留链路。很多单位长期存在过期远程运维账号、未清理的VPN通道、老旧设备互联端口，这类隐形链路是高阶攻击者的主要渗透通道，也是隔离失效的核心原因，测绘过程中必须全部排查清理。

最终输出《全网隔离点位清单》，明确每一个切断点的操作步骤、操作人员、生效时间、回滚方案，实现应急状态下精准、快速、无失误切断。

3.5 第五步：搭建软硬一体隔离屏障，落地分级阻断能力

前期所有梳理、测绘、分域工作，最终都要落地为实际的隔离防护能力。CISA要求核心基础设施必须搭建物理隔离、逻辑隔离双重防护体系，杜绝单一防护手段失效导致的隔离失败，同时严格禁止核心OT生产网络与非核心网络共享任何网络硬件设备。

物理隔离层面，核心生产域必须实现空气间隙隔离常态化部署。核心工控交换机、路由器、PLC设备、服务器，不接入任何外网和IT网络，仅保留本地局域网运行。跨域数据交互全部通过单向网关、物理摆渡设备完成，杜绝双向互通风险。所有外部接入链路全部配备独立物理开关，支持一键物理切断。

逻辑隔离层面，依托防火墙、ACL策略、微分段技术，实现精细化流量管控。关闭所有非必要协议和端口，禁用高危远程访问协议，所有跨域通信采用专属加密设备加密传输，不使用设备自带的简易加密功能。针对不同信任域，配置差异化阻断策略，支持渐进式隔离执行。

同时必须落实CISA硬性要求：OT生产网络严禁与IT办公网络、第三方运维网络共享交换机、路由器、网关设备。硬件独立是工控隔离的底线要求，共享硬件会导致攻击者突破任一域后，直接横向渗透至核心生产系统，所有逻辑隔离策略全部失效。

3.6 第六步：编制常态化预案，持续演练迭代隔离能力

技术架构和隔离策略搭建完成后，最后一步是将静态配置转化为动态应急能力。CISA多次强调，隔离能力不是设备能力，是人员+流程+设备的综合能力，没有常态化演练的隔离策略，在真实攻击场景中完全无法落地。

预案编制需要覆盖全场景、全流程、全角色。明确隔离触发阈值、分级响应标准、各岗位人员职责、链路切断顺序、隔离后运维流程、离线数据备份、人工兜底操作、故障回滚方案、事后复盘整改流程。杜绝通用化、模板化预案，必须贴合本单位网络架构、设备型号、业务特性定制。

演练分为桌面推演和实战演练两种形式。桌面推演每季度开展一次，模拟不同攻击场景，校验人员响应流程、决策逻辑、分工配合；实战演练每半年开展一次，真实执行链路切断、系统离线运行、人工兜底操作，验证核心系统离线运行稳定性、隔离策略有效性、设备承压能力。

演练后必须完成迭代整改，针对演练中暴露的拓扑漏洞、策略失效、操作失误、系统不稳定等问题，即时更新资产清单、拓扑图、隔离点位、防护策略和预案文档，形成闭环优化。

4. 渐进式隔离标准执行流程（实战流程图）

为方便运维团队快速落地应急隔离操作，我基于CISA官方规范，整理出标准化渐进式隔离执行流程，摒弃一刀切处置方式，实现风险最小化、服务最大化，适配所有关基行业应急场景。

A[网络攻击/异常预警触发] --> B[判定攻击等级与渗透范围]
B --> C[一级隔离：切断外网+第三方云链路]
C --> D[二级隔离：关停三级通用业务域资产]
D --> E[三级隔离：切断IT域与OT域互通链路]
E --> F[四级隔离：收缩二级运维域边界]
F --> G[终极隔离：核心VITAL系统空气间隙独立运行]
G --> H[启动本地人工兜底运维+离线监测]
H --> I[攻击肃清后分级回滚恢复业务]
```

流程核心优势：全程分级推进，每一步隔离操作都预留观测窗口，确认当前隔离操作可遏制攻击、不影响核心服务后，再执行下一步操作。完全规避极端隔离带来的设备损坏、服务骤停风险，兼顾安全防护与业务存续。

5. 自动化隔离脚本与配置清单（可直接复制部署）

人工应急操作存在响应慢、误操作、遗漏点位等问题，CISA指南鼓励关基单位部署自动化隔离工具，实现预警触发后秒级隔离。下文提供适配华为、华三、思科主流设备的自动化隔离脚本和防火墙配置清单，可直接复制部署。

5.1 通用应急隔离Shell脚本（Linux服务器一键阻断外部攻击链路）

#!/bin/bash# CISA标准 服务器应急自动化隔离脚本# 功能：阻断所有外网接入、非必要内网访问，保留核心本地服务# 适用：关基行业OT运维服务器、业务服务器# 清空原有防火墙规则iptables-Fiptables-X# 阻断所有外网入站流量iptables-AINPUT-ieth0-s0.0.0.0/0-jDROP# 放行本地回环核心服务iptables-AINPUT-ilo-jACCEPT iptables-AOUTPUT-olo-jACCEPT# 放行核心工控内网网段（自行替换为本单位核心网段）iptables-AINPUT-s192.168.10.0/24-jACCEPT iptables-AOUTPUT-d192.168.10.0/24-jACCEPT# 阻断所有非核心端口、高危协议iptables-AINPUT-ptcp--dport22-jDROP iptables-AINPUT-ptcp--dport3389-jDROP iptables-AINPUT-ptcp--dport445-jDROP# 保存隔离策略serviceiptables saveecho"CISA应急隔离策略已生效，核心系统离线保护完成"

5.2 交换机应急端口隔离配置（H3C设备）

# 批量关闭非核心运维端口，阻断横向渗透 system-view interface range GigabitEthernet 0/1 to GigabitEthernet 0/20 shutdown # 仅保留核心生产端口UP状态 interface GigabitEthernet 0/24 undo shutdown # 关闭所有跨VLAN互通，隔离业务域 vlan filter deny all save

5.3 防火墙渐进式隔离策略配置模板

# 一级隔离策略：阻断所有外网、第三方链路 security-policy rule 10 deny source any destination any interface WAN rule 20 deny source any destination any interface CLOUD # 二级隔离策略：阻断IT域访问OT核心域 rule 30 deny source 192.168.20.0/24 destination 192.168.10.0/24 # 放行核心本地运维流量 rule 40 permit source 192.168.10.0/24 destination 192.168.10.0/24 save

脚本和配置部署后，可结合态势感知平台设置自动触发条件，检测到异常横向移动、批量暴力破解、未知设备接入等攻击行为时，自动执行隔离操作，大幅缩短应急响应时间。

6. 国内关基单位落地常见误区与整改方案

结合CISA官方案例和国内工控安全现状，多数单位在落地隔离体系时，会出现共性误区，直接导致防护体系失效。本节逐一梳理问题并给出可落地的整改方案。

6.1 误区一：重设备部署，轻资产梳理

很多单位盲目部署防火墙、单向网关、安全审计设备，却从未梳理核心资产和最低服务指标。设备策略配置无针对性，要么过度防护阻断核心业务，要么防护漏洞无法拦截攻击。整改方案：优先完成核心资产清单、服务指标梳理，所有安全设备策略围绕核心业务适配，先定业务、再配策略、最后搭设备。

6.2 误区二：IT、OT网络硬件混用

部分老旧场站为节约成本，办公网络和工控网络共用交换机、路由设备，仅通过逻辑VLAN划分隔离。攻击者突破办公网络后，可直接穿透至工控系统，所有逻辑隔离策略全部失效。整改方案：立即完成软硬件物理拆分，核心OT网络独立硬件、独立链路、独立运维，杜绝跨域硬件共享。

6.3 误区三：无离线运维兜底方案

多数单位的运维工作依赖外网、云端平台、远程运维工具，系统完全离线后，无法完成参数调整、设备巡检、故障处置，导致隔离后系统无法长期稳定运行。整改方案：搭建本地离线运维体系，留存本地操作手册、离线工具、备用操作设备，配齐人工兜底操作流程，保障系统可离线运行数月。

6.4 误区四：预案模板化，演练形式化

网上通用的应急预案无法适配本单位架构，日常演练仅走流程、不实战，真实攻击场景下人员不会操作、策略不会生效。整改方案：定制专属预案，每半年开展一次全真实战隔离演练，演练后必须复盘整改，迭代优化体系。

7. 本土化适配与合规落地建议

CISA六步蓝图为美国标准，国内关基单位不能直接照搬，需要结合《关键信息基础设施安全保护条例》《网络安全等级保护2.0》《工控网络安全防护要求》完成本土化适配，兼顾实战防护效果和合规要求。

第一，将六步隔离体系纳入年度关基安全测评、等保测评范围。资产梳理、网络分域、隔离点位、应急预案、演练记录，全部作为测评佐证材料，实现安全建设与合规建设统一。

第二，结合国内攻防态势优化隔离策略。针对国内高发的工控勒索病毒、政企定向APT攻击、内网横向渗透攻击，强化隐形链路清理、内网微分段、异常流量监测能力，弥补原版方案的场景短板。

第三，建立分级隔离审批机制。结合国内安全生产管理制度，明确不同等级隔离操作的审批流程、责任人员，避免应急操作与安全生产规范冲突，实现安全防护、业务存续、安全生产三者平衡。

8. 总结与互动话题

CISA本次发布的六步隔离蓝图，标志着关键基础设施网络安全防护的核心逻辑，从“事前防御”转向“攻防存续”。在高阶网络对抗常态化的当下，没有绝对不破的防御体系，真正可靠的防护能力，是攻击发生后保住核心服务、阻断攻击扩散、实现自主存续的隔离能力。

这套方案的核心价值不在于全新的技术手段，而在于标准化、体系化、实战化的落地流程。从资产梳理、服务定义、网络分域、拓扑测绘、屏障搭建到预案演练，形成完整的安全闭环，彻底解决了传统应急处置被动、盲目、无效的痛点。

结合国内关基安全建设现状，绝大多数单位仍处于防护体系建设的初级阶段，资产模糊、拓扑不清、隔离缺失、演练不足的问题普遍存在。落地这套六步隔离体系，是现阶段提升工控安全韧性、应对高阶网络攻击的最优路径。

互动问题1：你的单位目前是否完成IT/OT网络硬件物理隔离？是否存在跨域共享设备、隐形运维链路等安全隐患？

互动问题2：你所在行业的关键基础设施，在网络攻击隔离场景下，最大的业务存续难点是什么？欢迎在评论区留言交流。