工業(yè)防火墻是什么

工業(yè)防火墻是一個(gè)有軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、網(wǎng)與公共網(wǎng)之間的邊界上構(gòu)造的保護(hù)屏障。工業(yè)防火墻，顧名思義就是針對(duì)工業(yè)網(wǎng)絡(luò)的，可以解析工業(yè)協(xié)議，專門針對(duì)工業(yè)病毒的，一般使用的是白名單機(jī)制；普通防火墻，也就是我們平時(shí)說的網(wǎng)絡(luò)防火墻主要是放在內(nèi)網(wǎng)與外網(wǎng)隔離的位置，不能解析工業(yè)協(xié)議，基于黑名單機(jī)制，需要定期升級(jí)病毒庫(kù)。

工業(yè)防火墻的部署方式

工業(yè)防火墻可以部署在企業(yè)網(wǎng)絡(luò)層（L 4）與生產(chǎn)管理層（L 3）之間，作為控制網(wǎng)邊界的道防線。也可以部署在生產(chǎn)管理層（L 3）和過程監(jiān)控層（L 2）之間，用于保護(hù)過程監(jiān)控層網(wǎng)絡(luò)及現(xiàn)場(chǎng)控制層網(wǎng)絡(luò)。還可部署于過程監(jiān)控層（L 2）和現(xiàn)場(chǎng)控制層（L 1）之間，用于進(jìn)行生產(chǎn)區(qū)域間隔離防護(hù)。工業(yè)防火墻可由管理平臺(tái)進(jìn)行統(tǒng)一安全管理。

工業(yè)網(wǎng)閘與防火墻的區(qū)別

首先解釋下網(wǎng)閘與防火墻的區(qū)別。從硬件架構(gòu)上來說，網(wǎng)閘為2 1的結(jié)構(gòu)，及前后主機(jī) 隔離硬件，防火墻是單主機(jī)系統(tǒng)。由于這種架構(gòu)的區(qū)別，網(wǎng)閘在數(shù)據(jù)交換時(shí)所有數(shù)據(jù)需要落地轉(zhuǎn)換，數(shù)據(jù)進(jìn)入擺渡區(qū)之前要經(jīng)過的協(xié)議剝離，到了后主機(jī)上再進(jìn)行數(shù)據(jù)封裝，故不存在內(nèi)外網(wǎng)之間的回話，連接終止與內(nèi)外網(wǎng)主機(jī)；而防火墻工作在路由模式，直接進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)，其內(nèi)部所有的TCP/IP會(huì)話都是在網(wǎng)絡(luò)之間進(jìn)行，存在被劫持和復(fù)用的風(fēng)險(xiǎn)；

其次部署位置上，網(wǎng)閘一般部署在辦公網(wǎng)和業(yè)務(wù)網(wǎng)之間，高安全與低安全區(qū)域之間，其功能主要為文件同步、數(shù)據(jù)庫(kù)同步、組播工控協(xié)議等；防火墻主要部署在網(wǎng)絡(luò)邊界，功能包括ACL,NAT,IPS等。