新闻中心

NEWS CENTER

首页

原创丨工控防火墙入侵防护实践

随着互联网的普及和网络资源共享的进一步加强，信息安全问题日益突出。黑客们可以轻易通过拒绝服务的攻击手段，导致企业网络瘫痪；木马、病毒等恶意软件也经常通过邮件、恶意的 Web 网页、文档下载等应用层途径进行入侵，病毒的危害范围和扩散速度加大。网络安全问题日益严重，如何创建一个安全的网络环境也成为一个热门课题。

工控防火墙采用先进的高性能多核架构，运行自主可控的操作系统，搭载接口丰富的硬件平台，结合智能路由等全面的网络层支撑以及双机热备，保障业务处理高效可靠，场景支撑灵活全面；配备 WAF 级别的入侵防御功能和独特实时病毒拦截技术的病毒防护功能，通过单路径并行处理的安全检测引擎和应用识别功能，实现对用户、应用和内容的深入分析，为用户提供安全智能的一体化防护体系。

目前，因工控系统安全防护不到位而发生的安全事件日益增多：

案例一澳大利亚水处理厂污水泄露事故

原创丨工控防火墙入侵防护实践

2001年1月至4月，澳大利亚昆士兰Maroochy水处理厂发生了46次不明原因的控制设备功能异常事件，导致数百万公升污水进入地区供水系统。事后调查这46次异常事件是由一位与水厂有争执的合约工程师Vitek Boden通过无线网络侵入水厂控制系统所进行的破坏。

案例二 “震网”病毒

原创丨工控防火墙入侵防护实践

2010年6月，“震网”病毒开始在全球范围大肆传播，感染超过4.5万网络及相关主机。大部分的感染发生在伊朗，造成布什尔核电站推迟启动，致使伊朗浓缩核设施1000台离心机故障。

工控系统安全防护的薄弱，为不安因素提供了可趁之机，从而导致了这类安全事件的发生。由此可见工控系统安全防护的重要性。

工控防火墙的存在，就可以在一定程度上避免这种安全危机情况的发生。接下来让我们跟随笔者一起了解一下工控防火墙的架构、安全策略、入侵防护以及在工控系统中的应用场景。

工控防火墙架构

工控防火墙采用多业务高性能并行架构，在硬件架构上运行自主知识产权的安全OS，高效的并行调度算法和内存管理机制提高了流量转发报文的性能。另外，将CPU处理的数据根据其特性分为Data Plane（数据面）和Control Plane（控制面）两类，简称DP和CP。在多核系统一部分CPU专职CP工作，大部分CPU专职DP工作。这样就避免了因系统调度，导致设备转发性能降级或者无法响应管理操作等现象。具体DP和CP的CPU分布根据用户场景定义。

在网络驱动层增加“session-aware”层，根据会话之间“资源无关性”，将不同会话分配到不同CPU，避免CPU资源冲突，极大提高了多核使用效率。

原创丨工控防火墙入侵防护实践

从数据层面看，工控防火墙系列的DP主要处理转发相关的工作，通过对数据包一次解析，按层次由对应模块处理，可以节省不同模块间重复解析数据包所消耗的资源，从而降低网络延迟。

原创丨工控防火墙入侵防护实践

一体化安全策略

工控防火墙采用一体化安全策略，管理员只需要通过一条策略便可完成对源接口、源地址、用户、目的接口、目的地址、应用、服务、时间等维度的匹配，并针对应用、URL、入侵防御、病毒查杀等内容进行统一管控，使用方便，维护简单。

原创丨工控防火墙入侵防护实践

入侵监测与防御

Gartner 报告指出企业面临的网络攻击中 70%来自应用层，传统防火墙以及应用层安全设备功能单一，面对复杂的应用层攻击捉襟见肘。

工控防火墙在蠕虫、后门、木马、间谍软件、Web攻击、拒绝服务等攻击的防御方面具备了完善的检测、阻断、限流、审计报警等防御手段，实时完善攻击特征库，提供最及时、最全面的入侵防御。

工控防火墙可检测和防御针对工控协议的网络攻击，产品内置 1000 多种 SCADA 特征库，使用特征匹配和异常分析的方法识别并阻断网络攻击行为（如各种 DoS、DdoS 攻击行为）。

原创丨工控防火墙入侵防护实践

入侵防御安全引擎通过多个流程将报文逐步分解，主要包括：协议解码、自定义规则匹配、签名防护等等。

4000种预定义攻击特征
实时在线更新
提供WAF级别的安全防护，有效的防御和预警Web服务器的攻击，包括网页防爬虫、网页防篡改、HTTPS防护、DDoS攻击防护、Web攻击过滤、漏洞防护自学习等
处理网络类威胁，包括安全漏洞、木马后门、可以行为、CGI访问、CGI攻击、缓存溢出、拒绝服务、蠕虫病毒、网络数据库攻击、间谍软件、安全扫描、网络设备攻击、欺骗劫持
保证基础网络安全
分级事件及操作配置
虚拟补丁管理

部分攻击者具有网络中特有的攻击方式或者尚未出现过的漏洞，此时特征库尚未覆盖到。入侵防御安全引擎提供自定义规则功能，通过对进入设备报文的协议类型、协议字段、字段内容形成匹配条件，并通过逻辑与、逻辑或形成多条件匹配的方式实现入侵防御。安全管理员可以使用自定义规则功能，自己写签名进行防护。自定义规则检测是基于流检测的，支持多种协议字段，其中包括IP、UDP、TCP、FTP、HTTP、ICMP、POP3、SMTP协议。对于字符串字段，可支持正则和非正则匹配的方式。灵活多样，防御力强。

原创丨工控防火墙入侵防护实践