工控防火墻概述

 我們將應用于工業控制網絡環境中的防火墻稱為工業控制防火墻、工業防火墻或工控防火墻（在本文中主要稱為工控防火墻）。和ICT環境的防火墻作用類似，其是一個具體設備（物理或虛擬），用于兩個網絡之間的隔離控制。在ICT環境中，防火墻主要用于保護一個網絡區域免受來自另一個網絡區域的網絡攻擊和網絡行為。因其隔離、防守的屬性，靈活應用于網絡邊界、子網隔離等位置，具體如企業網絡出口、大型網絡內部子網隔離、數據中心邊界等等。而在ICS環境中，工控防火墻主要部署于管理網（辦公網）與生產網之間或部署在控制設備層的邊界，對通過的工業控制網絡流量進行解析、識別和控制，以抵御來自內外網對工業生產設備的攻擊。

工業防火墻的邊界防護

 邊界防護的場景主要針對工控網絡的過程監控層與生產管理層通信的場景，生產管理層與過程監控層之間通過OPC協議或者ODBC等數據庫協議進行數據交互，邊界防護主要是防范來自企業生產管理層和互聯網的威脅，需要結合傳統網絡信息安全與工控網絡安全的特點，防止生產管理層的網絡病毒和惡意攻擊時，威脅通過通訊服務器蔓延到工控網絡，影響生產和業務正常運行。

 邊界防護的***在于防護生產管理層和互聯網的惡意攻擊，保證生產管理層的可信任主機訪問過程監控層的合法數據，確保生產管理層和互聯網的設備受到惡意攻擊后，工控網絡不會受到影響，保證工控網絡正常運行

工業防火墻分析

 1.工業協議的深度解析：傳統防火墻對傳統應用的協議有著廣泛的支持，但是對工控協議基本沒有涉足，如果將傳統防火墻用于工控場景，只能起到基礎的五元組策略防護。

 2.策略的動態防御：工控環境中，管理網與控制網連接場景中，服務器往往設在控制網（比如：OPC服務器），客戶端設立在管理網（OPC客戶端），OPC服務器固定端口，客戶端是隨機端口，沒有動態策略，使得必須開放管理網全端口均可訪問控制網設備，從而埋下重大隱患。

 因此，在當前的信息安全技術和市場中，工業防火墻已經是傳統防火墻的。正是因為這個原因，《工業控制系統信息安全防護指南》中明確指出，應在工控場景部署工業防火墻。