工業(yè)網(wǎng)閘與防火墻的區(qū)別

首先解釋下網(wǎng)閘與防火墻的區(qū)別。從硬件架構(gòu)上來(lái)說(shuō)，網(wǎng)閘為2+1的結(jié)構(gòu)，及前后主機(jī)+隔離硬件，防火墻是單主機(jī)系統(tǒng)。由于這種架構(gòu)的區(qū)別，網(wǎng)閘在數(shù)據(jù)交換時(shí)所有數(shù)據(jù)需要落地轉(zhuǎn)換，數(shù)據(jù)進(jìn)入擺渡區(qū)之前要經(jīng)過(guò)的協(xié)議剝離，到了后主機(jī)上再進(jìn)行數(shù)據(jù)封裝，故不存在內(nèi)外網(wǎng)之間的回話，連接終止與內(nèi)外網(wǎng)主機(jī)；而防火墻工作在路由模式，直接進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)，其內(nèi)部所有的TCP/IP會(huì)話都是在網(wǎng)絡(luò)之間進(jìn)行，存在被劫持和復(fù)用的風(fēng)險(xiǎn)；

其次部署位置上，網(wǎng)閘一般部署在辦公網(wǎng)和業(yè)務(wù)網(wǎng)之間，高安全與低安全區(qū)域之間，其功能主要為文件同步、數(shù)據(jù)庫(kù)同步、組播工控協(xié)議等；防火墻主要部署在網(wǎng)絡(luò)邊界，功能包括***,NAT,IPS等。

工業(yè)防火墻的各項(xiàng)功能

硬件結(jié)構(gòu)：采用DIN軌安裝和機(jī)架式安裝，防護(hù)端采用雙路供電、寬溫、寬壓、無(wú)風(fēng)扇設(shè)計(jì)，滿足電力EMC四級(jí)要求和IP40防護(hù)等級(jí)。

學(xué)習(xí)模式：學(xué)習(xí)模式狀態(tài)下，業(yè)務(wù)全通。防護(hù)端智能學(xué)習(xí)通信流量，并自動(dòng)產(chǎn)生相應(yīng)防護(hù)策略庫(kù)，采用鑒別的方式選用防護(hù)策略。

警告模式：警告模式狀態(tài)下，業(yè)務(wù)全通。依據(jù)防護(hù)策略，對(duì)符合的安全通信流量形成日志，對(duì)不符合的通信流量進(jìn)行告警，供參考判斷。

防護(hù)模式：防護(hù)模式狀態(tài)下，防護(hù)端基于防護(hù)策略進(jìn)行控制。放行符合安全策略的，并記錄日志，阻斷不符合安全策略的通信和等攻擊行為，并記錄日志，以郵件等方式告警。

工控防火墻的標(biāo)準(zhǔn)化

智能工廠采用標(biāo)準(zhǔn)化的以太網(wǎng)絡(luò)，實(shí)現(xiàn)實(shí)時(shí)監(jiān)控、遠(yuǎn)程管理，對(duì)于生產(chǎn)、管理效率提升有莫大價(jià)值，不容任何惡意攻擊***。歷經(jīng)2010年伊朗廠遭駭?shù)戎卮笫录?，用戶紛紛?duì)工業(yè)設(shè)備安全有所警覺(jué)，捍衛(wèi)設(shè)備生產(chǎn)力價(jià)值的過(guò)程中，可望發(fā)揮關(guān)鍵助力的工業(yè)防火墻，未來(lái)發(fā)展前景自然看俏。工控網(wǎng)絡(luò)接軌以太網(wǎng)絡(luò)，信息傳輸將行經(jīng)公開(kāi)網(wǎng)絡(luò)環(huán)境。為確保從遠(yuǎn)程擷取到的現(xiàn)場(chǎng)數(shù)據(jù)完整、正確，在公開(kāi)網(wǎng)絡(luò)上架設(shè)私有信道，并在數(shù)據(jù)傳輸前加密，即便資料遭到，也難以被惡意、竄改。

工業(yè)防火墻分析

1.工業(yè)協(xié)議的深度解析：傳統(tǒng)防火墻對(duì)傳統(tǒng)應(yīng)用的協(xié)議有著廣泛的支持，但是對(duì)工控協(xié)議基本沒(méi)有涉足，如果將傳統(tǒng)防火墻用于工控場(chǎng)景，只能起到基礎(chǔ)的五元組策略防護(hù)。

2.策略的動(dòng)態(tài)防御：工控環(huán)境中，管理網(wǎng)與控制網(wǎng)連接場(chǎng)景中，服務(wù)器往往設(shè)在控制網(wǎng)（比如：OPC服務(wù)器），客戶端設(shè)立在管理網(wǎng)（OPC客戶端），OPC服務(wù)器固定端口，客戶端是隨機(jī)端口，沒(méi)有動(dòng)態(tài)策略，使得必須開(kāi)放管理網(wǎng)全端口均可訪問(wèn)控制網(wǎng)設(shè)備，從而埋下重大隱患。

因此，在當(dāng)前的信息安全技術(shù)和市場(chǎng)中，工業(yè)防火墻已經(jīng)是傳統(tǒng)防火墻的。正是因?yàn)檫@個(gè)原因，《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》中明確指出，應(yīng)在工控場(chǎng)景部署工業(yè)防火墻。