工業(yè)網(wǎng)閘與防火墻的區(qū)別

首先解釋下網(wǎng)閘與防火墻的區(qū)別。從硬件架構(gòu)上來(lái)說(shuō)，網(wǎng)閘為2 1的結(jié)構(gòu)，及前后主機(jī) 隔離硬件，防火墻是單主機(jī)系統(tǒng)。由于這種架構(gòu)的區(qū)別，網(wǎng)閘在數(shù)據(jù)交換時(shí)所有數(shù)據(jù)需要落地轉(zhuǎn)換，數(shù)據(jù)進(jìn)入擺渡區(qū)之前要經(jīng)過(guò)的協(xié)議剝離，到了后主機(jī)上再進(jìn)行數(shù)據(jù)封裝，故不存在內(nèi)外網(wǎng)之間的回話，連接終止與內(nèi)外網(wǎng)主機(jī)；而防火墻工作在路由模式，直接進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)，其內(nèi)部所有的TCP/IP會(huì)話都是在網(wǎng)絡(luò)之間進(jìn)行，存在被劫持和復(fù)用的風(fēng)險(xiǎn)；

其次部署位置上，網(wǎng)閘一般部署在辦公網(wǎng)和業(yè)務(wù)網(wǎng)之間，高安全與低安全區(qū)域之間，其功能主要為文件同步、數(shù)據(jù)庫(kù)同步、組播工控協(xié)議等；防火墻主要部署在網(wǎng)絡(luò)邊界，功能包括ACL,NAT,IPS等。

工業(yè)防火墻的邊界防護(hù)

邊界防護(hù)的場(chǎng)景主要針對(duì)工控網(wǎng)絡(luò)的過(guò)程監(jiān)控層與生產(chǎn)管理層通信的場(chǎng)景，生產(chǎn)管理層與過(guò)程監(jiān)控層之間通過(guò)OPC協(xié)議或者ODBC等數(shù)據(jù)庫(kù)協(xié)議進(jìn)行數(shù)據(jù)交互，邊界防護(hù)主要是防范來(lái)自企業(yè)生產(chǎn)管理層和互聯(lián)網(wǎng)的威脅，需要結(jié)合傳統(tǒng)網(wǎng)絡(luò)信息安全與工控網(wǎng)絡(luò)安全的特點(diǎn)，防止生產(chǎn)管理層的網(wǎng)絡(luò)病毒和惡意攻擊時(shí)，威脅通過(guò)通訊服務(wù)器蔓延到工控網(wǎng)絡(luò)，影響生產(chǎn)和業(yè)務(wù)正常運(yùn)行。

邊界防護(hù)的重點(diǎn)在于防護(hù)生產(chǎn)管理層和互聯(lián)網(wǎng)的惡意攻擊，保證生產(chǎn)管理層的可信任主機(jī)訪問(wèn)過(guò)程監(jiān)控層的合法數(shù)據(jù)，確保生產(chǎn)管理層和互聯(lián)網(wǎng)的設(shè)備受到惡意攻擊后，工控網(wǎng)絡(luò)不會(huì)受到影響，保證工控網(wǎng)絡(luò)正常運(yùn)行

工業(yè)防火墻產(chǎn)品構(gòu)架

1、基礎(chǔ)系統(tǒng)是由力控華康根據(jù)工業(yè)網(wǎng)絡(luò)通信特點(diǎn)和安全防護(hù)要求定制開(kāi)發(fā)的底層運(yùn)行平臺(tái)，為防火墻上層業(yè)務(wù)模塊提供必要的運(yùn)行環(huán)境和安全保障。

2、 業(yè)務(wù)模塊是工業(yè)防火墻的業(yè)務(wù)處理單元，主要用于完成對(duì)于工業(yè)網(wǎng)絡(luò)協(xié)議的識(shí)別、解析、深度過(guò)濾和攻擊防護(hù)。

3、配置管理采用B/S架構(gòu)，用于對(duì)工業(yè)防火墻進(jìn)行策略配置和運(yùn)行監(jiān)控，是與防火墻進(jìn)行人機(jī)交互的接口。

工業(yè)防火墻分析

1.工業(yè)協(xié)議的深度解析：傳統(tǒng)防火墻對(duì)傳統(tǒng)應(yīng)用的協(xié)議有著廣泛的支持，但是對(duì)工控協(xié)議基本沒(méi)有涉足，如果將傳統(tǒng)防火墻用于工控場(chǎng)景，只能起到基礎(chǔ)的五元組策略防護(hù)。

2.策略的動(dòng)態(tài)防御：工控環(huán)境中，管理網(wǎng)與控制網(wǎng)連接場(chǎng)景中，服務(wù)器往往設(shè)在控制網(wǎng)（比如：OPC服務(wù)器），客戶端設(shè)立在管理網(wǎng)（OPC客戶端），OPC服務(wù)器固定端口，客戶端是隨機(jī)端口，沒(méi)有動(dòng)態(tài)策略，使得必須開(kāi)放管理網(wǎng)全端口均可訪問(wèn)控制網(wǎng)設(shè)備，從而埋下重大隱患。

因此，在當(dāng)前的信息安全技術(shù)和市場(chǎng)中，工業(yè)防火墻已經(jīng)是傳統(tǒng)防火墻的。正是因?yàn)檫@個(gè)原因，《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》中明確指出，應(yīng)在工控場(chǎng)景部署工業(yè)防火墻。