任务4.2 工控网络边界安全防护

工控网络边界安全防护任务工控网络边界安全防护要求CONTENTS目录0102工控网络边界安全防护技术03工业防火墙配置实操04工控网络边界安全防护【任务背景】工控系统作为国家关键基础设施的重要组成部分，已经成为黑客、黑产、极端势力攻击的重要目标，生产企业数字化、网络化、智能化发展的同时，网络安全隐患和风险陡然加剧，众多信息系统从彼此孤立向数据互通、系统互联的全联通方向发展，给工业生产智能化带来的新安全挑战与风险。

随着工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与企业网或互联网互通，使得其他网络的安全风险很容易渗透到工控网络。与此同时，工业生产网内部各业务单元之间如果未采取边界防护措施，一旦某个业务单元遭受病毒感染和恶意公司，将可能蔓延至整个工业网络，造成严重后果。工控网络边界安全防护【任务背景】工控网络的边界防护技术是一种用于保护工控网络内部资源不受外部网络攻击的技术。它通过在工控网络的边界设置防护设备(如防火墙、入侵检测系统等)，防止外部网络对工控网络的内部资源进行攻击。

工控网络的边界防护技术主要包括包过滤、状态检测、应用层防火墙等。包过滤是通过检查网络数据包的内容，阻止与规则不符的数据包进入工控网络。状态检测是通过跟踪网络连接的状态，阻止不符合状态的连接进入工控网络。应用层防火墙是通过检查网络应用层的协议，阻止不符合协议的应用进入工控网络。工控网络边界安全防护【任务简介】工业防火墙是通过监测网络流量，对进出网络的数据包进行过滤，同时对网络服务进行监控，及时发现和阻止恶意攻击，用于保护业务环境下的网络资源、防止未经授权的访问和数据泄露的安全防护系统，本任务是掌握工业防火墙的基本概念、工作原理，并能够熟练进行工业防火墙的相关配置。【任务目标】

对工业控制网络实施分区分域管理，对无线接入设备、远程访问设备实施严格访问控制。通过对工业防火墙的策略配置和网络模式配置，实现在不同业务场景或系统场景中的应用。工控网络边界安全防护任务工控网络边界安全防护要求CONTENTS目录0102工控网络边界安全防护技术03工业防火墙配置实操04工控网络边界安全防护要求1.工控网络边界安全防护通用要求：

•各区域边界的工业防火墙基于五元组对数据进出访问控制。

•工业入侵检测可对内外部的入侵行为进行监测，自带恶意代码可对节点的恶意进行防范，并及时更新特征库。

•工业日志审计系统对系统涉及的资产运行产生的日志进行审计，对远程的访问进行审计和分析。

•工业防火墙对数据的访问可以基于应用协议进行控制，能发现新型的攻击行为且分析。2.安全防护思路（工业控制系统扩展要求）：

•工控系统与办公网及其他外部网络之间应采用工业防火墙等进行隔离，配置禁止通用的网络服务，防护机制失效时会自动报警。

•拨号类服务会对终端服务器进行加固且对传输进行加密和控制。

•对无线通信的传输进行加密且能识别未授权的设备。工控网络边界安全防护任务工控网络边界安全防护要求CONTENTS目录0102工控网络边界安全防护技术03工业防火墙配置实操04工业防火墙

工业防火墙是一款应用于工控网络安全的串行防护产品，用于解析、识别与控制所有通过工业控制网络的数据流量，以抵御来自内外网对工控设备的攻击。

工业防火墙的主要功能包括工业协议深度解析、包过滤、端口扫描防护、安全审计、恶意代码防护、漏洞防护、访问权限限定等。

工业防火墙相比于传统防火墙能更好地满足工业现场的特殊要求，主要包括以下特点：（1）专门针对工业控制系统和工业物联网环境设计，具有强大的安全功能，能够检测和阻止各种网络攻击。（2）可划分安全区域，提供从边界、区域到终端的完整防护。（3）降低网络被入侵的风险，防止安全威胁迁移扩散。（4）解决工业系统间因缺少隔离引起的安全问题。工业防火墙

工业防火墙的应用场景主要包括以下三种：

（1）部署于隔离管理网与控制网之间

工业防火墙控制跨层访问并深度过滤层级间的数据交换，阻止攻击者基于管理网向控制网发起攻击。工业防火墙

（2）部署于控制网的不同安全区域间

工业防火墙可将控制网分成不同的安全区域，控制安全区域之间的访问，并深度过滤各区域间的流量数据，以阻止区域间安全风险的扩散。工业防火墙

（3）部署于关键设备与控制网之间

工业防火墙检测访问关键设备的IP，阻止非业务端口的访问与非法操作指令，记录关键设备的所有访问与操作记录，实现对关键设备的安全防护与流量审计。工控网络边界安全防护相关技术1.网络隔离技术

隔离技术基本原理：通过专用物理硬件和安全协议在内网和外网的之间架构起安全隔离网墙，使两个系统在空间上物理隔离，同时又能过滤数据交换过程中的病毒、恶意代码等信息，以保证数据信息在可信的网络环境中进行交换、共享，同时还要通过严格的身份认证机制来确保用户获取所需数据信息。工控网络边界安全防护相关技术2.工业网闸

工业网闸部署于两个不同安全级别的工业网络之间，采用“2+1”系统架构，通过协议落地，以信息“摆渡”的方式实现数据交换，模拟手动拷盘动作，保证只有系统明确要求传输的数据可以通过。实现物理隔离与协议隔离的同时进行高效率的安全数据交换，真正意义上杜绝安全风险传递和泄密事件的发生。工控网络边界安全防护相关技术3.入侵防御系统入侵防御系统（IPS）是区域边界安全防护的重要手段。入侵防御系统可有效针对传统的ARP攻击、DDoS攻击，以及隐藏于流量中的病毒、木马、蠕虫、溢出等攻击，并可解析出应用中的异常行为、异常流量，全面深入到2-7层进行深度检测并进行实时阻断。该系统不但对基于网络2、3层的基本攻击方式能够很好的防护，对于4-7层更是可以深入分析，将嵌套在内容中的各种攻击方式识别出来，并可进一步利用异常行为、异常流量为未知威胁提供分析数据。工控网络边界安全防护任务工控网络边界安全防护要求CONTENTS目录0102工控网络边界安全防护技术03工业防火墙配置实操04工业防火墙配置实操【实操任务】

通过对工业防火墙的配置，实现工业控制系统网络边界安全防护，本实验场景为智能制造行业中的实际业务环境，在整体网络拓扑中，挑选其中的一个上位机(windows系统)进行工业防火墙的基本操作与配置，整