工業(yè)防火墻應(yīng)用場景

工業(yè)防火墻的應(yīng)用場景主要包括以下三種：

（1） 部署于隔離管理網(wǎng)與控制網(wǎng)之間工業(yè)防火墻控制跨層訪問并深度過濾層級(jí)間的數(shù)據(jù)交換，阻止攻擊者基于管理網(wǎng)向控制網(wǎng)發(fā)起攻擊。

（2） 部署于控制網(wǎng)的不同安全區(qū)域間工業(yè)防火墻可將控制網(wǎng)分成不同的安全區(qū)域，控制安全區(qū)域之間的訪問，并深度過濾各區(qū)域間的流量數(shù)據(jù)，以阻止區(qū)域間安全風(fēng)險(xiǎn)的擴(kuò)散。

（3） 部署于關(guān)鍵設(shè)備與控制網(wǎng)之間工業(yè)防火墻檢測訪問關(guān)鍵設(shè)備的IP，阻止非業(yè)務(wù)端口的訪問與操作指令，記錄關(guān)鍵設(shè)備的所有訪問與操作記錄，實(shí)現(xiàn)對(duì)關(guān)鍵設(shè)備的安全防護(hù)與流量審計(jì)。

傳統(tǒng)防火墻沒有工控防火墻的特性

傳統(tǒng)防火墻軟硬件設(shè)計(jì)架構(gòu)不適應(yīng)工業(yè)網(wǎng)絡(luò)實(shí)時(shí)性和生產(chǎn)環(huán)境的要求。首先，工業(yè)網(wǎng)絡(luò)環(huán)境中工控設(shè)備對(duì)于實(shí)時(shí)性傳輸反饋要求非常高，一個(gè)小問題就可能導(dǎo)致某個(gè)開關(guān)停止響應(yīng),這就要求接入的工控防火墻也必須具備工業(yè)網(wǎng)絡(luò)的實(shí)時(shí)性要求。而一般的傳統(tǒng)防火墻主要應(yīng)用于傳統(tǒng)的ICT環(huán)境，在軟硬件架構(gòu)設(shè)計(jì)之初就未考慮過工業(yè)網(wǎng)絡(luò)的實(shí)時(shí)性，因此傳統(tǒng)防火墻無法適應(yīng)工業(yè)網(wǎng)絡(luò)實(shí)時(shí)性要求。其次，工業(yè)生產(chǎn)對(duì)網(wǎng)絡(luò)安全設(shè)備的環(huán)境適應(yīng)性要求很高，很多工業(yè)現(xiàn)場甚至是在無人值守的惡劣環(huán)境。因此工控防火墻必須具備對(duì)工業(yè)生產(chǎn)環(huán)境可預(yù)見的性能支持和抗干擾水平的支持。例如，一般部署在工業(yè)現(xiàn)場的防火墻以導(dǎo)軌式為主，該環(huán)境對(duì)防火墻的環(huán)境適應(yīng)性要求就很高，產(chǎn)品往往要求無風(fēng)扇、寬溫支持等。傳統(tǒng)防火墻無法適應(yīng)工業(yè)網(wǎng)絡(luò)嚴(yán)苛復(fù)雜的生產(chǎn)環(huán)境。

工業(yè)防火墻的終端防護(hù)

終端防護(hù)的目的是保護(hù)重要的工控設(shè)備，包括PLC、RTU、DCS控制器等工業(yè)控制系統(tǒng)的大腦。工業(yè)防火墻部署在控制器與上位機(jī)之間，通過一系列的安全策略，防御工業(yè)針對(duì)特定控制器漏洞的特征攻擊，允許合法的數(shù)據(jù)訪問控制器，保護(hù)控制器安全，為了使業(yè)務(wù)正常運(yùn)行。

終端防護(hù)的***在于保護(hù)控制器數(shù)據(jù)不被惡意篡改，防止對(duì)控制器的已知漏洞進(jìn)行攻擊，保證控制器正常運(yùn)行。