工業(yè)防火墻層層把關　保衛(wèi)工控網(wǎng)絡安全

深層管理、從嚴管理　把關工控網(wǎng)絡安全

持平而論，防火墻絕非新穎技術，防護實力愈見強悍，然新漢計算機(NEXCOM)網(wǎng)絡通訊事業(yè)部產(chǎn)品規(guī)劃處處長劉宏益指出，工控網(wǎng)絡的應用環(huán)境與企業(yè)網(wǎng)絡迥異，若擬維護工控網(wǎng)絡安全，便需采用工業(yè)防火墻進行深層管理、從嚴管理。

劉宏益解釋，企業(yè)網(wǎng)絡架構涵蓋內網(wǎng)(Intranet)、工廠(Plant Network)、工控網(wǎng)絡(Control Network)等三個層次。工業(yè)防火墻保護位于內層的工控網(wǎng)絡，其目的為控制工廠使之正常運作，數(shù)據(jù)流量不大，卻皆為操作所需的控制及監(jiān)視參數(shù)，數(shù)據(jù)價值極高。因此工業(yè)防火墻需能支持PROFINET等各式現(xiàn)場總線(Fieldbus)通訊協(xié)議，層層拆解數(shù)據(jù)封包，深入剖析封包結構與封包內容，確保封包的合法性，即所謂的深層管理。

相比之下，商業(yè)防火墻不支持現(xiàn)場總線通訊協(xié)議，封包檢測偏重郵件、網(wǎng)頁與檔案傳輸?shù)阮悇e封包，并不適用工控網(wǎng)絡。

以汽車組裝線為例，產(chǎn)在線的每個機械手臂皆為一個網(wǎng)絡節(jié)點，各自遵照控制參數(shù)運作。若封包夾帶可疑的動作控制參數(shù)，要求機械手臂執(zhí)行標準作業(yè)程序以外的動作，工業(yè)防火墻在接獲數(shù)據(jù)封包后，進行深入封包分析時，便能阻擋該數(shù)據(jù)封包繼續(xù)傳送，協(xié)助制造業(yè)者防患于未然，避免產(chǎn)線因動作控制參數(shù)受到竄改，制造出大量的不良品，徒使車廠蒙受巨額財物損失。

工控網(wǎng)絡安全從嚴管理則是因為生產(chǎn)設備有限定用途，僅執(zhí)行特定應用程序，因此工業(yè)防火墻使用白名單設定，可阻擋所有不在名單內的應用程序。反觀商業(yè)防火墻為企業(yè)網(wǎng)絡的統(tǒng)一出口，通行應用程序五花八門，實行黑名單機制，僅阻擋列舉在名單上的應用程序，放行標準相對較寬，因此工業(yè)防火墻更能有效保護工控網(wǎng)絡。

除此之外，虛擬私有網(wǎng)絡(VPN)加密通道更是工業(yè)防火墻需支持的重要功能。由于工控網(wǎng)絡接軌以太網(wǎng)絡，信息傳輸將行經(jīng)公開網(wǎng)絡環(huán)境。為確保從遠程擷取到的現(xiàn)場數(shù)據(jù)完整、正確，在公開網(wǎng)絡上架設私有信道，并在數(shù)據(jù)傳輸前先行加密，即便資料遭到竊聽，也難以被惡意破解、竄改。

耐受嚴苛考驗　牢牢保障生產(chǎn)力

工業(yè)自動化應用多元，高溫炙人的沙漠油田、火星迸射的煉鋼廠、海風鹽霧交加的風力發(fā)電廠所在多有，工業(yè)防火墻自需實行強固設計，以在高溫、高濕、高鹽的環(huán)境下維持恒常運作。再者，生產(chǎn)設備極為重視效能穩(wěn)定，對于停機時間有嚴苛的要求，在特殊、關鍵制程甚至不容機器停機，工業(yè)防火墻自然亦需具備高可用性(High Availability)，設有備援機制，在工業(yè)防火墻意外故障時，在極短時間內迅速切換，保護工控網(wǎng)絡安全。