结合某市烟草物流中心网络现状，梳理工控网络安全风险如下：生产控制网与企业管理网互联互通，在实现物流分拣业务自动化的同时，也将企业管理网络中的安全风险（如扫描嗅探、入侵攻击、病毒等）带入生产控制网络。分拣线PLC控制器缺乏安全保护，易受错误指令及异常流量攻击风险，造成生产安全事件发生。工控系统网络缺乏必要的安全监测与审计手段，安全风险和安全事件无法预警、定位及追溯。根据对某市烟草物流分拣系统及工控系统的安全风险与漏洞分析，对该网络系统提出如下安全整改设计：

在生产控制网与企业管理网的边界串行部署工业网闸设备，借助基于私有协议的数据摆渡和业务白名单的安全策略，实现网络隔离与业务流量单向传输，保障工控网络免受源自互联网的攻击威胁。

在重要PLC系统前部署工控防火墙，进行专项安全防护与细粒度的工控指令控制。

针对上位机终端操作系统老旧、漏洞频发的问题，通过部署工控主机卫士产品，进行基于白名单机制的主机进程、外设、应用程序的行为管控。

新建运维管理区，部署工控监测审计系统、工控漏洞扫描系统及工控态势感知平台，对工控网络进行实时安全监测、定期漏洞扫描与安全设备集中管控，达到全网安全态势可查、可管、可审、可控的安全要求。