6.工业网络安全设备认知

守好OT与IT的那道门工业防火墙与安全隔离网闸课程导入·学习目标想一想办公网中了勒索病毒，几分钟后产线PLC全部停摆——这道门，本不该开着。利用工控边界防护设备，对OT网与IT网或互联网之间的边界进行安全防护，禁止OT网直接与IT网或互联网连接。两员大将：工业防火墙、安全隔离网闸。本节课三个小目标01说出：工业防火墙的作用与四大功能02理解：网闸的2+1结构与物理隔离03分清：两者的三大区别与选用场景学习方法防火墙是“查证放行的门卫”，网闸是“不通车的摆渡码头”。工业防火墙：查证放行的“门卫”防火墙技术：结合各类安全管理与筛选的软硬件设备，在内、外网之间构建一道相对隔绝的保护屏障。工业防火墙用于工控安全领域：保护工业控制系统不受恶意攻击和意外故障影响，保证数据的保密性、完整性和可用性。与传统防火墙最大的区别内置工业通信协议的解析和过滤功能：针对工业协议采用深度包检测技术和应用层通信跟踪技术，做到对非法指令的阻断、非工控协议的拦截，起到保护控制器的作用。LIF-1500工业防火墙部署位置：每个独立生产单元的边界具备Bypass机制，延时一般只是微秒级安全隔离网闸：不通车的“摆渡码头”使用带有多种控制功能的固态开关读写介质，连接两个独立主机系统的信息安全设备。从物理上隔离、阻断了对内网具有潜在攻击可能的一切网络连接。工业安全隔离网闸系统结构：2+1前主机+后主机+隔离硬件（防火墙是单主机系统）数据怎么过？交换时所有数据需要落地转换：进入摆渡区前彻底剥离协议，到后主机再重新封装。因此不存在内外网之间的会话，连接终止于内外网主机。主要功能：文件同步、数据库同步、组播工控协议一般部署在办公网与业务网之间、高安全与低安全区域之间工业网闸vs普通网闸：能识别和过滤工业通信协议工业防火墙在现场的四大作用①网络数据安全保障对物理网络进行安全分区，对工业控制系统ICS进行网络安全保护，避免非法入侵和病毒攻击②业务网络策略制定在TCP/IP协议栈、端口层和应用层多个层面进行策略禁止和授权：限制IP、子网、协议、端口和应用程序③功能扩展具有VPN、负载均衡、DDoS防御、反病毒、审计和日志记录接口④性能优化提高数据传输速度和效率，平衡网络负载；支持实时报警与流量统计工业防火墙不仅保证数据的安全性、完整性和流畅性，还为工业控制系统的稳定运营和数字化转型提供“绿色通道”。辨析：防火墙vs网闸，三大区别对比项工业防火墙安全隔离网闸系统结构单主机系统2+1：前主机+后主机+隔离硬件①功能支持更高层次的协议过滤和应用过滤，能检测过滤应用层数据（HTTP、FTP、SMTP）；基于策略控制数据流动主要工作在数据链路层或传输层，隔离和管理网络流量，控制跨网数据传输②应用场景保障专属工业控制网络的通信安全；用于核心区域、重点设备交互区，或公网与工控网的边界在层次化工业网络中调节流量、隔离不同区域，保障协议和数据安全③安全策略高级策略管理+多种检测：把所有出入口和内部交换点都视为潜在攻击点物理隔离+逻辑分区：按规则过滤流量，限制不必要的数据流数据是否落地不落地，存在会话必须落地转换，协议彻底剥离，无内外网会话实际部署：怎么选、怎么配？选工业防火墙要“看得懂”工业协议、要拦非法指令；要在生产单元边界做细粒度策略控制。选安全隔离网闸要生产网与企业网彻底物理隔离；要切断木马、蠕虫的传播路径，还要能安全交换文件与数据库。网闸的价值在保证安全隔离的前提下，实现生产网与企业网之间的数据安全交换，满足国家及行业对安全隔离的政策法规要求。结论：两者各有任务与优劣——根据实际需求和目标，灵活地选择和部署，才是最佳方案。课堂小结·课后思考这节课记住三句话防火墙单主机、查工业协议、拦非法指令、微秒级网闸2+1结构、数据落地、协议剥离、无会话共同任务守住OT与IT之间的那道边界课后思考网闸让数据“落地转换、彻底剥离协议”，安全性极高——那为什么工厂不干脆全用网闸？提示：想想实时性