工控防火墻概述

我們將應(yīng)用于工業(yè)控制網(wǎng)絡(luò)環(huán)境中的防火墻稱為工業(yè)控制防火墻、工業(yè)防火墻或工控防火墻（在本文中主要稱為工控防火墻）。和ICT環(huán)境的防火墻作用類似，其是一個(gè)具體設(shè)備（物理或虛擬），用于兩個(gè)網(wǎng)絡(luò)之間的隔離控制。在ICT環(huán)境中，防火墻主要用于保護(hù)一個(gè)網(wǎng)絡(luò)區(qū)域免受來自另一個(gè)網(wǎng)絡(luò)區(qū)域的網(wǎng)絡(luò)攻擊和網(wǎng)絡(luò)行為。因其隔離、防守的屬性，靈活應(yīng)用于網(wǎng)絡(luò)邊界、子網(wǎng)隔離等位置，具體如企業(yè)網(wǎng)絡(luò)出口、大型網(wǎng)絡(luò)內(nèi)部子網(wǎng)隔離、數(shù)據(jù)中心邊界等等。而在ICS環(huán)境中，工控防火墻主要部署于管理網(wǎng)（辦公網(wǎng)）與生產(chǎn)網(wǎng)之間或部署在控制設(shè)備層的邊界，對通過的工業(yè)控制網(wǎng)絡(luò)流量進(jìn)行解析、識別和控制，以抵御來自內(nèi)外網(wǎng)對工業(yè)生產(chǎn)設(shè)備的攻擊。

工業(yè)防火墻的邊界防護(hù)

邊界防護(hù)的場景主要針對工控網(wǎng)絡(luò)的過程監(jiān)控層與生產(chǎn)管理層通信的場景，生產(chǎn)管理層與過程監(jiān)控層之間通過OPC協(xié)議或者ODBC等數(shù)據(jù)庫協(xié)議進(jìn)行數(shù)據(jù)交互，邊界防護(hù)主要是防范來自企業(yè)生產(chǎn)管理層和互聯(lián)網(wǎng)的威脅，需要結(jié)合傳統(tǒng)網(wǎng)絡(luò)信息安全與工控網(wǎng)絡(luò)安全的特點(diǎn)，防止生產(chǎn)管理層的網(wǎng)絡(luò)病毒和惡意攻擊時(shí)，威脅通過通訊服務(wù)器蔓延到工控網(wǎng)絡(luò)，影響生產(chǎn)和業(yè)務(wù)正常運(yùn)行。

邊界防護(hù)的***在于防護(hù)生產(chǎn)管理層和互聯(lián)網(wǎng)的惡意攻擊，保證生產(chǎn)管理層的可信任主機(jī)訪問過程監(jiān)控層的合法數(shù)據(jù)，確保生產(chǎn)管理層和互聯(lián)網(wǎng)的設(shè)備受到惡意攻擊后，工控網(wǎng)絡(luò)不會受到影響，保證工控網(wǎng)絡(luò)正常運(yùn)行

工業(yè)防火墻分析

1.工業(yè)協(xié)議的深度解析：傳統(tǒng)防火墻對傳統(tǒng)應(yīng)用的協(xié)議有著廣泛的支持，但是對工控協(xié)議基本沒有涉足，如果將傳統(tǒng)防火墻用于工控場景，只能起到基礎(chǔ)的五元組策略防護(hù)。

2.策略的動態(tài)防御：工控環(huán)境中，管理網(wǎng)與控制網(wǎng)連接場景中，服務(wù)器往往設(shè)在控制網(wǎng)（比如：OPC服務(wù)器），客戶端設(shè)立在管理網(wǎng)（OPC客戶端），OPC服務(wù)器固定端口，客戶端是隨機(jī)端口，沒有動態(tài)策略，使得必須開放管理網(wǎng)全端口均可訪問控制網(wǎng)設(shè)備，從而埋下重大隱患。

因此，在當(dāng)前的信息安全技術(shù)和市場中，工業(yè)防火墻已經(jīng)是傳統(tǒng)防火墻的。正是因?yàn)檫@個(gè)原因，《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》中明確指出，應(yīng)在工控場景部署工業(yè)防火墻。