工業(yè)防火墻的適用場(chǎng)景

工業(yè)安全網(wǎng)關(guān)可以部署在生產(chǎn)管理層（L3）與過程監(jiān)控層（L2）之間，作為控制網(wǎng)邊界的道防線，用來阻止來自企業(yè)管理信息網(wǎng)、生產(chǎn)管理網(wǎng)的病毒、木馬、網(wǎng)絡(luò)等安全威脅。也可以部置在過程監(jiān)控層（L2）和現(xiàn)場(chǎng)控制層（L1）內(nèi)各個(gè)功能區(qū)域間，幫助用戶根據(jù)業(yè)務(wù)和功能特性對(duì)控制網(wǎng)絡(luò)劃分安全域。繼而根據(jù)各區(qū)域的安全特點(diǎn)有針對(duì)性的為該區(qū)域提供安全防護(hù)策略，控制病毒或攻擊事件擴(kuò)散。

工業(yè)網(wǎng)閘與防火墻的區(qū)別

首先解釋下網(wǎng)閘與防火墻的區(qū)別。從硬件架構(gòu)上來說，網(wǎng)閘為2+1的結(jié)構(gòu)，及前后主機(jī)+隔離硬件，防火墻是單主機(jī)系統(tǒng)。由于這種架構(gòu)的區(qū)別，網(wǎng)閘在數(shù)據(jù)交換時(shí)所有數(shù)據(jù)需要落地轉(zhuǎn)換，數(shù)據(jù)進(jìn)入擺渡區(qū)之前要經(jīng)過的協(xié)議剝離，到了后主機(jī)上再進(jìn)行數(shù)據(jù)封裝，故不存在內(nèi)外網(wǎng)之間的回話，連接終止與內(nèi)外網(wǎng)主機(jī)；而防火墻工作在路由模式，直接進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)，其內(nèi)部所有的TCP/IP會(huì)話都是在網(wǎng)絡(luò)之間進(jìn)行，存在被劫持和復(fù)用的風(fēng)險(xiǎn)；

其次部署位置上，網(wǎng)閘一般部署在辦公網(wǎng)和業(yè)務(wù)網(wǎng)之間，高安全與低安全區(qū)域之間，其功能主要為文件同步、數(shù)據(jù)庫同步、組播工控協(xié)議等；防火墻主要部署在網(wǎng)絡(luò)邊界，功能包括***,NAT,IPS等。

工控防火墻概述

我們將應(yīng)用于工業(yè)控制網(wǎng)絡(luò)環(huán)境中的防火墻稱為工業(yè)控制防火墻、工業(yè)防火墻或工控防火墻（在本文中主要稱為工控防火墻）。和ICT環(huán)境的防火墻作用類似，其是一個(gè)具體設(shè)備（物理或虛擬），用于兩個(gè)網(wǎng)絡(luò)之間的隔離控制。在ICT環(huán)境中，防火墻主要用于保護(hù)一個(gè)網(wǎng)絡(luò)區(qū)域免受來自另一個(gè)網(wǎng)絡(luò)區(qū)域的網(wǎng)絡(luò)攻擊和網(wǎng)絡(luò)行為。因其隔離、防守的屬性，靈活應(yīng)用于網(wǎng)絡(luò)邊界、子網(wǎng)隔離等位置，具體如企業(yè)網(wǎng)絡(luò)出口、大型網(wǎng)絡(luò)內(nèi)部子網(wǎng)隔離、數(shù)據(jù)中心邊界等等。而在ICS環(huán)境中，工控防火墻主要部署于管理網(wǎng)（辦公網(wǎng)）與生產(chǎn)網(wǎng)之間或部署在控制設(shè)備層的邊界，對(duì)通過的工業(yè)控制網(wǎng)絡(luò)流量進(jìn)行解析、識(shí)別和控制，以抵御來自內(nèi)外網(wǎng)對(duì)工業(yè)生產(chǎn)設(shè)備的攻擊。