關(guān)鍵詞：
防火墻
工業(yè)網(wǎng)絡(luò)
摘要：傳統(tǒng)防火墻在工業(yè)環(huán)境中的不足：一方面，為了提高安全防護能力，傳統(tǒng)防火墻在發(fā)展過程中不斷的添加新的功能，但是防火墻的安全性與其速度、功能成反比。另一方面，它不理解不支持工控協(xié)議；它不適應(yīng)工業(yè)網(wǎng)絡(luò)對實時性的要求，而且工控設(shè)備對于實時性傳輸反饋要求非常高，一個小問題就可能導(dǎo)致某個開關(guān)停止響應(yīng)了。
在能源企業(yè)的工業(yè)網(wǎng)絡(luò)中，運行著 DCS、PLC、SCADA 等各種過程控制系統(tǒng)，它們往往是生產(chǎn)系統(tǒng)的核心，負責(zé)完成基本的生產(chǎn)控制。工業(yè)防火墻可以切實保障核心生產(chǎn)控制系統(tǒng)的網(wǎng)絡(luò)安全，在不影響工業(yè)生產(chǎn)實時性的同時保護工業(yè)網(wǎng)絡(luò)數(shù)據(jù)的安全傳輸。避免過程控制系統(tǒng)遭受入侵破壞對工業(yè)生產(chǎn)造成的影響。可用過防火墻的人都說，傳統(tǒng)的防火墻在工控環(huán)境中根本沒法用？
傳統(tǒng)防火墻在工業(yè)環(huán)境中的不足
一方面，為了提高安全防護能力，傳統(tǒng)防火墻在發(fā)展過程中不斷的添加新的功能，但是防火墻的安全性與其速度、功能成反比。防火墻的安全性要求越高，需要對數(shù)據(jù)包檢查的項目（即防火墻的功能）就越繁雜越精細，對CPU和內(nèi)存的消耗也就越大，從而導(dǎo)致防火墻的性能下降，這一點與工業(yè)網(wǎng)絡(luò)對于實時性的要求是相背離的。
而另一方面，才是傳統(tǒng)防火墻最要命的地方，1它不理解不支持工控協(xié)議，這一點就等同虛設(shè)了；2它不適應(yīng)工業(yè)網(wǎng)絡(luò)對實時性的要求，而且工控設(shè)備對于實時性傳輸反饋要求非常高，一個小問題就可能導(dǎo)致某個開關(guān)停止響應(yīng)了。
華康工業(yè)防火墻在工業(yè)環(huán)境中的部署方式
隨著工信部有關(guān)《工業(yè)控制系統(tǒng)信息安全防護指南》的發(fā)布，工控安全又被提升到了一個新的高度。指南指出工業(yè)控制系統(tǒng)應(yīng)用企業(yè)應(yīng)從十一個方面做好工控安全防護工作，作為工控安全防護重要環(huán)節(jié)的邊界安全在指南的第三大點進行了重點闡述，特別指出工業(yè)控制網(wǎng)絡(luò)與企業(yè)網(wǎng)或互聯(lián)網(wǎng)之間的邊界應(yīng)通過工業(yè)控制網(wǎng)絡(luò)邊界防護設(shè)備進行安全防護，通過工業(yè)防火墻、網(wǎng)閘等防護設(shè)備對工業(yè)控制網(wǎng)絡(luò)安全區(qū)域之間進行邏輯隔離安全防護。可以看出，作為邊界防護的重要安全設(shè)備工業(yè)防火墻，在企業(yè)工控安全防護中起到了至關(guān)重要的作用。
華康工控防火墻的使用及部署主要有幾個方面，包括安全區(qū)域之間的防護、重點設(shè)備的防護、分散工控網(wǎng)絡(luò)之間的互聯(lián)、遠程維護等，下面為大家一一圖示說明。
1、安全區(qū)域之間的訪問控制和安全防護
在縱向不同層次網(wǎng)絡(luò)之間部署防火墻，控制跨層訪問并對層間數(shù)據(jù)交換進行深度過濾，防止攻擊者通過上層網(wǎng)絡(luò)向下層網(wǎng)絡(luò)的滲透和攻擊。
在同層次中平行的廠區(qū)、工藝流程和業(yè)務(wù)子系統(tǒng)之間部署防火墻，將它們分割成不同的安全區(qū)域，控制不同安全區(qū)域之間的訪問，并對區(qū)域間數(shù)據(jù)交換進行深度過濾，減少區(qū)域之間安全問題的擴散和影響。
2、重點設(shè)備的安全防護
在重點設(shè)備的前端部署防火墻，限制可以訪問它的IP地址、屏蔽非業(yè)務(wù)端口訪問、過濾非法的操作指令、記錄所有的訪問和操作，對其進行全面的安全防護和審計。
3、分散工業(yè)網(wǎng)絡(luò)的安全互聯(lián)
對作業(yè)區(qū)內(nèi)部的工業(yè)網(wǎng)絡(luò)進行安全保護，阻斷來自公用網(wǎng)絡(luò)的攻擊，實現(xiàn)作業(yè)區(qū)網(wǎng)絡(luò)的邊界安全防護。
使用VPN對作業(yè)區(qū)與調(diào)度中心之間的數(shù)據(jù)傳輸進行加密和保護，搭建安全的數(shù)據(jù)交換通道，解決兩者之間的數(shù)據(jù)傳輸安全問題。
4、安全的遠程維護
在工業(yè)網(wǎng)絡(luò)與公用網(wǎng)絡(luò)接口處部署防火墻，并啟用VPN功能，將其作為遠程維護的堡壘設(shè)備。遠程維護人員使用VPN連接到防火墻上，一方面進行身份認證，另一方面對通過公用網(wǎng)絡(luò)完成的遠程維護操作進行加密保護，實現(xiàn)安全的遠程維護。
