一、工業(yè)網(wǎng)絡(luò)安全現(xiàn)狀堪憂
在當(dāng)今的工業(yè)環(huán)境中，面臨著諸多嚴(yán)峻的網(wǎng)絡(luò)安全威脅。工業(yè)現(xiàn)場(chǎng)的網(wǎng)絡(luò)環(huán)境極為重要，同時(shí)又對(duì)網(wǎng)絡(luò)干擾和病毒入侵等情況非常敏感。一旦這一環(huán)境遭到破壞，很可能對(duì)生產(chǎn)環(huán)境造成難以估量的巨大損害，甚至?xí)l(fā)災(zāi)難性的事故。
從實(shí)際情況來看，工業(yè)互聯(lián)網(wǎng)中物聯(lián)網(wǎng)設(shè)備數(shù)量正快速增長(zhǎng)，然而其安全性卻存在缺失，這使得整個(gè)工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)面臨著龐大的安全威脅。并且，網(wǎng)絡(luò)里使用的眾多設(shè)備和系統(tǒng)往往缺乏必要的安全防護(hù)措施，極易被攻擊者利用。要知道，工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)中存儲(chǔ)和處理的數(shù)據(jù)具有高度的敏感性，一旦發(fā)生泄露或者被篡改的情況，必然會(huì)對(duì)工業(yè)生產(chǎn)以及經(jīng)濟(jì)發(fā)展帶來重大損失。
再看網(wǎng)絡(luò)物理系統(tǒng)(CPS)，它作為工業(yè)互聯(lián)網(wǎng)的核心組成部分，承擔(dān)著連接物理設(shè)備和網(wǎng)絡(luò)系統(tǒng)，實(shí)現(xiàn)工業(yè)生產(chǎn)自動(dòng)化和智能化的重任。但其自身存在脆弱性，主要體現(xiàn)在網(wǎng)絡(luò)和物理設(shè)備相互影響，以及對(duì)實(shí)時(shí)性、可靠性有著高要求方面。攻擊者恰恰可以利用這些脆弱點(diǎn)，通過網(wǎng)絡(luò)攻擊或者物理攻擊的手段，對(duì)工業(yè)生產(chǎn)過程進(jìn)行破壞或者干擾。
惡意代碼也是常見的安全威脅之一，像病毒、木馬、蠕蟲等惡意代碼，能夠通過電子郵件、惡意網(wǎng)站、U 盤等各種各樣的途徑進(jìn)入工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)。一旦感染網(wǎng)絡(luò)中的設(shè)備或系統(tǒng)，便會(huì)對(duì)工業(yè)生產(chǎn)過程造成破壞、干擾，嚴(yán)重時(shí)會(huì)致使設(shè)備癱瘓。
此外，DDoS 攻擊同樣不容小覷，攻擊者利用大量僵尸網(wǎng)絡(luò)或其他惡意資源，對(duì)目標(biāo)網(wǎng)站或服務(wù)器發(fā)起大量服務(wù)請(qǐng)求，使得目標(biāo)網(wǎng)站或服務(wù)器崩潰或癱瘓，進(jìn)而對(duì)工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)中的關(guān)鍵設(shè)備或系統(tǒng)產(chǎn)生嚴(yán)重影響，導(dǎo)致工業(yè)生產(chǎn)過程中斷。而且這種攻擊還很難防御和溯源，給工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全帶來重大威脅。
還有高級(jí)持續(xù)性威脅(APT 攻擊)，攻擊者針對(duì)特定目標(biāo)，展開長(zhǎng)期、持續(xù)、有組織的攻擊，通常會(huì)借助網(wǎng)絡(luò)釣魚、水坑攻擊等方式，將惡意代碼植入目標(biāo)網(wǎng)絡(luò)，經(jīng)過長(zhǎng)時(shí)間潛伏和滲透，竊取敏感數(shù)據(jù)或者破壞工業(yè)生產(chǎn)過程，其隱蔽性和破壞性強(qiáng)。
供應(yīng)鏈攻擊也是常見的攻擊方式，攻擊者針對(duì)工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)中的供應(yīng)商或合作伙伴進(jìn)行攻擊，把惡意代碼或其他安全威脅植入相關(guān)產(chǎn)品或服務(wù)中，最終影響到其他用戶，同樣具有很強(qiáng)的隱蔽性和破壞性，能在不直接攻擊工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)的情況下，達(dá)到破壞生產(chǎn)過程或竊取敏感數(shù)據(jù)的目的。
面對(duì)如此嚴(yán)峻的工業(yè)網(wǎng)絡(luò)安全形勢(shì)，工業(yè)安全隔離網(wǎng)閘的重要性愈發(fā)凸顯，它能針對(duì)性地對(duì)工控網(wǎng)絡(luò)所面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)進(jìn)行防護(hù)，為工業(yè)生產(chǎn)筑牢安全防線。
二、網(wǎng)閘究竟是什么
網(wǎng)閘的定義與基本原理
網(wǎng)閘(全稱：安全隔離與信息交換系統(tǒng))是從安全隔離的概念演變而來，旨在滿足不同安全域之間既要安全隔離又需進(jìn)行數(shù)據(jù)交換的需求。它通常由內(nèi)部處理單元、外部處理單元和專用隔離部件組成，是部署于兩個(gè)不同安全域之間，實(shí)現(xiàn)應(yīng)用代理服務(wù)、協(xié)議轉(zhuǎn)換、信息流訪問控制、內(nèi)容過濾和信息交換等功能的產(chǎn)品。
其基本的工作原理是先切斷網(wǎng)絡(luò)之間的通用協(xié)議連接，將數(shù)據(jù)包進(jìn)行分解或重組為靜態(tài)數(shù)據(jù)，然后對(duì)靜態(tài)數(shù)據(jù)展開安全審查，涵蓋網(wǎng)絡(luò)協(xié)議檢查、代碼掃描等環(huán)節(jié)，確認(rèn)安全的數(shù)據(jù)才會(huì)流入內(nèi)部單元，最后內(nèi)部用戶憑借嚴(yán)格的身份認(rèn)證機(jī)制獲取所需數(shù)據(jù)。
在通用系統(tǒng)架構(gòu)方面，常見的有 “2+1” 系統(tǒng)架構(gòu)，也就是采用雙主機(jī)架構(gòu)，包括內(nèi)端機(jī)、外端機(jī)以及隔離控制單元。隔離控制單元運(yùn)用專用的私有協(xié)議，負(fù)責(zé)內(nèi)端處理單元和外端處理單元之間的通信，以此增強(qiáng)工業(yè)控制網(wǎng)絡(luò)邊界的安全防護(hù)能力，內(nèi)端機(jī)與外端機(jī)相互獨(dú)立，依靠隔離控制單元來實(shí)現(xiàn)彼此通信。
網(wǎng)閘的發(fā)展歷程回顧
從技術(shù)發(fā)展階段來看，網(wǎng)閘大致經(jīng)歷了三代變化：
第一代網(wǎng)閘：采用單機(jī)隔離卡技術(shù)，借助物理隔離卡把一臺(tái)設(shè)備上的硬盤物理分割為兩個(gè)分區(qū)，分別與內(nèi)外網(wǎng)絡(luò)相連，構(gòu)建出兩個(gè)獨(dú)立的環(huán)境，解決了單機(jī)非實(shí)時(shí)信息交換的需求，但沒辦法開展連續(xù)實(shí)時(shí)的業(yè)務(wù)。
第二代網(wǎng)閘：原理是利用單刀雙擲開關(guān)使得內(nèi)外網(wǎng)的處理單元分時(shí)存取共享存儲(chǔ)設(shè)備來完成數(shù)據(jù)交換，通過應(yīng)用層數(shù)據(jù)提取與安全審查，杜絕基于協(xié)議層的攻擊，既保障了安全，又使得連續(xù)實(shí)時(shí)業(yè)務(wù)得以開展。不過，這一代網(wǎng)閘由于內(nèi)外網(wǎng)共用存儲(chǔ)設(shè)備，不能滿足物理隔離要求，并且受電子開關(guān)切換速度限制，整體處理性能偏低，容易出現(xiàn)吞吐量低、并發(fā)連接數(shù)少以及交換延遲大等情況，甚至存儲(chǔ)設(shè)備也會(huì)因頻繁通電斷電而影響壽命，導(dǎo)致數(shù)據(jù)交換過程中斷。
第三代網(wǎng)閘：利用全新理念的專用交換通道 PET(Private Exchange Tunnel)技術(shù)，依靠專用高速硬件通信卡、私有通信協(xié)議和加密簽名機(jī)制來實(shí)現(xiàn)。專用高速硬件通信卡大幅提高了處理能力，私有通信協(xié)議和加密簽名機(jī)制則保證了數(shù)據(jù)交換的機(jī)密性、完整性和可信性，在確保安全性的同時(shí)，還能提供更出色的處理性能，以適應(yīng)復(fù)雜網(wǎng)絡(luò)對(duì)隔離應(yīng)用的需求。
隨著各行業(yè)業(yè)務(wù)系統(tǒng)的迅速發(fā)展，網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大，不同行業(yè)需求和政策要求各異，網(wǎng)閘也針對(duì)不同行業(yè)的應(yīng)用場(chǎng)景，衍生出了傳統(tǒng)網(wǎng)閘、工業(yè)網(wǎng)閘、單向光閘、電力專用單向隔離裝置等不同類別的產(chǎn)品，在不同領(lǐng)域發(fā)揮著重要的安全防護(hù)作用。
三、網(wǎng)閘在工業(yè)上的關(guān)鍵作用
安全隔離功能
在工業(yè)環(huán)境中，網(wǎng)閘的安全隔離功能至關(guān)重要。它通過專用隔離設(shè)備，例如采用 “2+1” 雙主機(jī)架構(gòu)模式里的隔離控制單元，將內(nèi)端主機(jī)系統(tǒng)和外端主機(jī)系統(tǒng)分隔開來。在這個(gè)過程中，使得內(nèi)外網(wǎng)主機(jī)之間原本通用的網(wǎng)絡(luò)協(xié)議連接被切斷，像 TCP、UDP、ICMP 等協(xié)議都無法直接連通，讓系統(tǒng)間不存在通信的物理連接、邏輯連接及信息傳輸協(xié)議，外部基于這些協(xié)議的惡意程序也就沒辦法通過網(wǎng)閘進(jìn)入內(nèi)網(wǎng)。
比如說，在一些大型油氣生產(chǎn)企業(yè)的工控網(wǎng)與辦公網(wǎng)之間部署工業(yè)隔離網(wǎng)關(guān)(單向網(wǎng)閘)后，就能實(shí)現(xiàn)工控網(wǎng)生產(chǎn)實(shí)時(shí)數(shù)據(jù)傳輸?shù)狡髽I(yè)核心交換機(jī)，同時(shí)保證核心交換機(jī)數(shù)據(jù)無法進(jìn)入工控網(wǎng)，有效隔離了互聯(lián)網(wǎng)病毒、木馬程序等，保障了工控網(wǎng)絡(luò)的運(yùn)行安全。正是這種強(qiáng)大的隔離能力，從根源上阻斷了外部網(wǎng)絡(luò)可能對(duì)內(nèi)網(wǎng)發(fā)起的攻擊路徑，為工業(yè)內(nèi)部網(wǎng)絡(luò)筑牢了安全的 “城墻”，保障內(nèi)部網(wǎng)絡(luò)安全穩(wěn)定地運(yùn)行，使其免受外部潛在威脅的干擾和破壞。
數(shù)據(jù)加密與隱私保護(hù)
網(wǎng)閘在工業(yè)應(yīng)用場(chǎng)景下，對(duì)于數(shù)據(jù)的加密與隱私保護(hù)有著完善的機(jī)制。它會(huì)利用諸如 TLS/SSL 等加密算法對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行加密處理，這一加密涵蓋多個(gè)方面。
在數(shù)據(jù)的傳輸通道方面，通過加密保障數(shù)據(jù)在傳輸時(shí)不會(huì)被竊取，即使數(shù)據(jù)在網(wǎng)絡(luò)中傳輸被不法分子截獲，沒有對(duì)應(yīng)的解密密鑰，也無法獲取其中的真實(shí)內(nèi)容。對(duì)于數(shù)據(jù)存儲(chǔ)安全，加密后的存儲(chǔ)形式讓數(shù)據(jù)在靜態(tài)存放時(shí)也處于保密狀態(tài)，防止內(nèi)部數(shù)據(jù)泄露風(fēng)險(xiǎn)。而且，還涉及到數(shù)據(jù)訪問權(quán)限控制，嚴(yán)格規(guī)定了哪些用戶、哪些設(shè)備可以對(duì)特定的數(shù)據(jù)進(jìn)行訪問，未獲得授權(quán)的對(duì)象根本無法觸及相應(yīng)數(shù)據(jù)。
例如在工業(yè)自動(dòng)化控制系統(tǒng)中，不同設(shè)備之間傳輸生產(chǎn)過程控制、設(shè)備監(jiān)控等關(guān)鍵環(huán)節(jié)的數(shù)據(jù)時(shí)，網(wǎng)閘的加密與權(quán)限控制功能就能確保這些數(shù)據(jù)無論是傳輸中還是存儲(chǔ)狀態(tài)下，其隱私性和完整性都能得到可靠的保護(hù)，防止敏感的工業(yè)生產(chǎn)數(shù)據(jù)被竊取或篡改，進(jìn)而避免企業(yè)因數(shù)據(jù)安全問題遭受知識(shí)產(chǎn)權(quán)損失以及其他經(jīng)濟(jì)損失等情況發(fā)生。
身份驗(yàn)證與訪問控制
網(wǎng)閘在工業(yè)環(huán)境的數(shù)據(jù)傳輸以及設(shè)備管理過程中，實(shí)施著嚴(yán)格且多維度的身份驗(yàn)證與訪問控制措施。
一方面，它會(huì)采用基于證書的認(rèn)證方式，就像是給每個(gè)被允許訪問的設(shè)備和用戶都發(fā)放了一張專屬的 “電子證”，只有持有合法有效證書的對(duì)象才能嘗試進(jìn)行下一步操作。同時(shí)，還常常運(yùn)用多因素身份驗(yàn)證手段，比如除了證書驗(yàn)證外，還結(jié)合密碼、動(dòng)態(tài)驗(yàn)證碼、指紋識(shí)別等多種方式，進(jìn)一步增強(qiáng)驗(yàn)證的準(zhǔn)確性和安全性。
例如在企業(yè)的工業(yè)互聯(lián)網(wǎng)場(chǎng)景里，當(dāng)維護(hù)人員想要遠(yuǎn)程接入工業(yè)系統(tǒng)對(duì)設(shè)備進(jìn)行實(shí)時(shí)監(jiān)控和故障排除時(shí)，必須先經(jīng)過網(wǎng)閘嚴(yán)格的身份驗(yàn)證流程，只有通過驗(yàn)證，確認(rèn)是獲得授權(quán)的合法維護(hù)人員，才能夠訪問相應(yīng)的關(guān)鍵系統(tǒng)和獲取所需的數(shù)據(jù)，以此確保只有符合要求的人員和設(shè)備可以與工業(yè)網(wǎng)絡(luò)中的重要資源進(jìn)行交互，大程度降低非法訪問帶來的安全風(fēng)險(xiǎn)。
漏洞管理與安全更新
由于網(wǎng)閘常常運(yùn)行在工業(yè)環(huán)境中，而工業(yè)環(huán)境中的設(shè)備和系統(tǒng)往往存在長(zhǎng)時(shí)間沒有更新的情況，所以確保網(wǎng)閘軟件和固件的安全性就顯得尤為關(guān)鍵。
網(wǎng)閘的生產(chǎn)廠商需要及時(shí)關(guān)注并檢測(cè)可能出現(xiàn)的漏洞，一旦發(fā)現(xiàn)，就要迅速發(fā)布相應(yīng)的安全補(bǔ)丁和更新內(nèi)容，然后積極推廣這些更新到客戶正在使用的網(wǎng)閘設(shè)備上。因?yàn)橐坏┯新┒创嬖谇椅醇皶r(shí)修復(fù)，惡意攻擊者就可能利用這些已知漏洞，通過網(wǎng)絡(luò)發(fā)起針對(duì)性的攻擊，進(jìn)而影響整個(gè)工業(yè)網(wǎng)絡(luò)的安全，像造成生產(chǎn)中斷、數(shù)據(jù)泄露等嚴(yán)重后果。
例如在一些電力、化工等行業(yè)的工業(yè)自動(dòng)化控制系統(tǒng)中，如果網(wǎng)閘存在未修復(fù)的漏洞，可能通過漏洞入侵，干擾生產(chǎn)過程控制環(huán)節(jié)，導(dǎo)致電力供應(yīng)故障或者化工生產(chǎn)流程出現(xiàn)危險(xiǎn)狀況等，所以及時(shí)的漏洞管理與安全更新是保障工業(yè)網(wǎng)閘持續(xù)安全運(yùn)行，守護(hù)工業(yè)網(wǎng)絡(luò)安全的重要環(huán)節(jié)。
防火墻與流量監(jiān)控
網(wǎng)閘在工業(yè)應(yīng)用里通常配備了防火墻功能，這一功能就像是一個(gè) “網(wǎng)絡(luò)安全衛(wèi)士”，可以對(duì)未經(jīng)授權(quán)的網(wǎng)絡(luò)流量進(jìn)行有效的過濾和阻止。無論是外部網(wǎng)絡(luò)想要非法闖入的惡意攻擊流量，例如常見的 DDoS 攻擊、入侵嘗試等，還是一些不符合安全策略的異常流量，都會(huì)被防火墻攔截在工業(yè)網(wǎng)絡(luò)之外。
同時(shí)，網(wǎng)閘還具備流量監(jiān)控功能，它可以實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)中的流量情況，幫助管理員快速察覺異常流量和行為。比如某個(gè)工業(yè)設(shè)備突然產(chǎn)生了遠(yuǎn)超正常水平的數(shù)據(jù)傳輸流量，或者出現(xiàn)不符合常規(guī)通信模式的流量走向，管理員就能通過流量監(jiān)控及時(shí)發(fā)現(xiàn)這些異常跡象，進(jìn)而判斷是否存在安全威脅，并迅速采取相應(yīng)的應(yīng)對(duì)措施，保障工業(yè)網(wǎng)絡(luò)的安全穩(wěn)定運(yùn)行，避免因異常流量帶來的潛在風(fēng)險(xiǎn)對(duì)工業(yè)生產(chǎn)造成影響。
例如在工業(yè)互聯(lián)網(wǎng)應(yīng)用場(chǎng)景中，眾多設(shè)備之間相互通信協(xié)作，如果沒有網(wǎng)閘的防火墻與流量監(jiān)控功能，惡意攻擊者發(fā)起的流量攻擊可能使整個(gè)網(wǎng)絡(luò)陷入癱瘓，影響到從生產(chǎn)一線到管理層面等各環(huán)節(jié)的數(shù)據(jù)交互和正常運(yùn)作，而有了這些功能就能提前預(yù)警、及時(shí)處置，確保工業(yè)網(wǎng)絡(luò)的有序運(yùn)行。
物理安全和環(huán)境保護(hù)
作為部署在工業(yè)環(huán)境中的物理設(shè)備，網(wǎng)閘需要周全地考慮物理安全性以及環(huán)境保護(hù)方面的問題。工業(yè)現(xiàn)場(chǎng)往往存在諸多復(fù)雜的情況，像電磁干擾可能影響網(wǎng)閘設(shè)備內(nèi)部電路的正常運(yùn)行，導(dǎo)致數(shù)據(jù)傳輸錯(cuò)誤或者設(shè)備出現(xiàn)故障；溫度變化如果超出設(shè)備正常工作的范圍，可能造成電子元件性能下降甚至損壞；而且還有可能面臨物理損壞的風(fēng)險(xiǎn)，比如受到撞擊、震動(dòng)等情況。
所以，網(wǎng)閘在設(shè)計(jì)制造時(shí)就充分考慮到了這些因素，具備防塵、防水、抗震等特性。例如采用堅(jiān)固的外殼以及合理的內(nèi)部結(jié)構(gòu)設(shè)計(jì)，使其在面對(duì)一定程度的震動(dòng)、灰塵侵襲或者意外濺水時(shí)，依然能夠保持穩(wěn)定運(yùn)行，確保長(zhǎng)時(shí)間穩(wěn)定地為工業(yè)網(wǎng)絡(luò)提供安全隔離與數(shù)據(jù)交換等服務(wù)，不因外界物理環(huán)境因素而出現(xiàn)頻繁故障，保障工業(yè)生產(chǎn)過程中網(wǎng)絡(luò)環(huán)節(jié)的可靠性。
四、工業(yè)網(wǎng)閘產(chǎn)品及特性
鐵牛科技工業(yè)安全網(wǎng)閘
鐵牛科技工業(yè)安全網(wǎng)閘采用了 “2+1” 架構(gòu)，也就是雙主機(jī)加隔離板的設(shè)計(jì)，這種架構(gòu)具備高可靠性和容錯(cuò)能力，能夠有效防止單點(diǎn)故障，即便出現(xiàn)故障也能維持系統(tǒng)的穩(wěn)定運(yùn)行。其適用于多個(gè)領(lǐng)域，像是電力物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)以及智能制造等領(lǐng)域都是它發(fā)揮作用的舞臺(tái)，并且還憑借自身豐富的技術(shù)積累與行業(yè)經(jīng)驗(yàn)，為石化、交通、電力、鋼鐵、礦業(yè)、水利等行業(yè)的信息系統(tǒng)(如 MES、ERP)提供數(shù)據(jù)處理與安全服務(wù)，助力用戶提升效率、創(chuàng)造價(jià)值。
在通信協(xié)議支持方面，內(nèi)網(wǎng)側(cè)支持 Modbus、DLT645、T188、IEC104、PLC、OPCDA、OPCUA 等多種工業(yè)標(biāo)準(zhǔn)協(xié)議，能很好地適配不同工業(yè)設(shè)備的通信需求；外網(wǎng)側(cè)則支持能耗國(guó)標(biāo)、MQTT 定制、HTTP 定制等行業(yè)專用協(xié)議，為企業(yè)的數(shù)據(jù)通信提供了靈活的解決方案。
從硬件設(shè)計(jì)來看，它采用標(biāo)準(zhǔn) 19 英寸 2U 機(jī)柜，契合工業(yè)環(huán)境和能耗平臺(tái)通信接入的安全防護(hù)要求。設(shè)備還具備模塊化、可擴(kuò)展、低功耗、高度集成以及配置靈活等特性，同時(shí)提供雙電源接入接口，一旦電源出現(xiàn)異常會(huì)有報(bào)警提示，多方位保障設(shè)備穩(wěn)定運(yùn)行。另外，產(chǎn)品通過了 CE 和 FC 的電磁兼容測(cè)試，以及公安部的安全測(cè)試，符合行業(yè)標(biāo)準(zhǔn)與安全要求。而且系統(tǒng)支持設(shè)備密鑰和工程參數(shù)的管理、備份與恢復(fù)，方便企業(yè)對(duì)設(shè)備配置和數(shù)據(jù)安全策略進(jìn)行管理。像 TN-1808S 采用標(biāo)準(zhǔn) 1U 機(jī)架式設(shè)計(jì)，內(nèi)外側(cè)分別提供 8 路 RS458 通訊，4+4 路 10M/100M 自適應(yīng)工業(yè)以太網(wǎng)接口，有著低功耗、高性能、易安裝等特點(diǎn)，適用于工業(yè)控制通訊等場(chǎng)合；TN-2608S 采用標(biāo)準(zhǔn) 2U 機(jī)架式設(shè)計(jì)，內(nèi)側(cè)提供 8 路 RS458 通訊，6+6 路 10M/100M/1000M 自適應(yīng)工業(yè)以太網(wǎng)接口，同樣支持多種通訊方式，具備低功耗、高性能、易安裝以及雙電源冗余供電設(shè)計(jì)等優(yōu)勢(shì)，也適用于工業(yè)控制通訊等場(chǎng)合。總之，鐵牛科技工業(yè)安全網(wǎng)閘以其出色的架構(gòu)、廣泛的適用性、多樣的協(xié)議支持以及可靠的硬件設(shè)計(jì)等特點(diǎn)，在工業(yè)場(chǎng)景中有著重要地位。
TN-1808
TN-1408
TN-2068
五、網(wǎng)閘在工業(yè)領(lǐng)域的應(yīng)用案例展示
海螺水泥集團(tuán)案例
海螺水泥，在數(shù)字化轉(zhuǎn)型方面有著積極的探索與實(shí)踐，而網(wǎng)閘在其轉(zhuǎn)型過程中發(fā)揮了關(guān)鍵作用。
早在 2016 年，蕪湖海螺水泥智能工廠全面啟動(dòng)，力控華康與浙大中控合作，梳理底層 DCS 控制系統(tǒng)實(shí)時(shí)數(shù)據(jù)，并提供了 5 臺(tái)工業(yè)安全網(wǎng)閘。這些網(wǎng)閘通過 OPC 協(xié)議從熟料線、水泥磨、發(fā)電系統(tǒng)等取模擬量數(shù)據(jù)，轉(zhuǎn)發(fā)標(biāo)準(zhǔn) OPCServer，然后能管系統(tǒng)、巡檢系統(tǒng)、MES 系統(tǒng)等再從網(wǎng)閘轉(zhuǎn)發(fā)的 OPCServer 獲取數(shù)據(jù)。設(shè)備部署在水泥廠底層控制系統(tǒng)、發(fā)電系統(tǒng) OPCServer 與能管系統(tǒng)、巡檢系統(tǒng)、MES 系統(tǒng)之間，實(shí)現(xiàn)了物理隔離需求，保證了數(shù)據(jù)安全傳輸。
到 2017 年，全椒海螺智能工廠啟動(dòng)，力控華康與南京朗坤合作，提供 2 臺(tái)工業(yè)安全網(wǎng)閘，分別部署在生產(chǎn)和發(fā)電系統(tǒng)，實(shí)現(xiàn)不同控制系統(tǒng)安全隔離及數(shù)據(jù)梳理。
從整體的技術(shù)方案來看，其工業(yè)安全網(wǎng)閘內(nèi)部采用特殊的 2+1 雙獨(dú)立主機(jī)架構(gòu)，控制端接入工業(yè)控制網(wǎng)絡(luò)，借助采集接口完成各子系統(tǒng)數(shù)據(jù)的采集；信息接入到企業(yè)管理網(wǎng)絡(luò)，完成數(shù)據(jù)到調(diào)度中心的傳輸。雙主機(jī)之間依靠專有的 PSL 網(wǎng)絡(luò)隔離傳輸技術(shù)，截?cái)?TCP 連接，割斷穿透性的 TCP 連接。PSL 的物理層運(yùn)用專用隔離硬件，鏈路層和應(yīng)用層采用私有通信協(xié)議，數(shù)據(jù)流采用 128 位以上加密方式傳輸，充分保障數(shù)據(jù)安全，實(shí)現(xiàn)了數(shù)據(jù)自我定義、自我解析和自我審查，避免傳輸機(jī)制被病毒感染，有力地為控制系統(tǒng)網(wǎng)絡(luò)數(shù)據(jù)安全保駕護(hù)航。
通過這樣的部署和技術(shù)應(yīng)用，海螺水泥集團(tuán)在實(shí)現(xiàn)數(shù)字化運(yùn)營(yíng)，構(gòu)建集團(tuán)六大核心能力，朝著 “建設(shè)智能工廠，打造智慧海螺，數(shù)字化轉(zhuǎn)型” 目標(biāo)邁進(jìn)的過程中，工業(yè)安全網(wǎng)閘為其筑牢了工業(yè)網(wǎng)絡(luò)安全防線，障數(shù)據(jù)在不同系統(tǒng)間安全、準(zhǔn)確、完整地傳輸，讓各業(yè)務(wù)系統(tǒng)得以穩(wěn)定運(yùn)行，也助力海螺水泥集團(tuán)鞏固其在行業(yè)內(nèi)的地位，成為工業(yè)企業(yè)數(shù)字化轉(zhuǎn)型中成功運(yùn)用網(wǎng)閘保障網(wǎng)絡(luò)安全的典型案例。
其他行業(yè)應(yīng)用案例
除了在水泥行業(yè)的出色表現(xiàn)，網(wǎng)閘在電力、石油、石化、交通等眾多不同行業(yè)也有著廣泛且重要的應(yīng)用實(shí)例，彰顯出其通用性和對(duì)各工業(yè)場(chǎng)景網(wǎng)絡(luò)安全保障的強(qiáng)大貢獻(xiàn)。
在電力行業(yè)，例如某電力集團(tuán)在信息化建設(shè)當(dāng)中明確了雙網(wǎng)建設(shè)原則，重要業(yè)務(wù)系統(tǒng)、日常辦公計(jì)算機(jī)處于內(nèi)部網(wǎng)絡(luò)，而像綜合數(shù)據(jù)庫系統(tǒng)、OA 系統(tǒng)、郵件系統(tǒng)和網(wǎng)銀系統(tǒng)等所需要的基礎(chǔ)數(shù)據(jù)卻來自外部業(yè)務(wù)網(wǎng)絡(luò)甚至互聯(lián)網(wǎng)絡(luò)。內(nèi)外部網(wǎng)絡(luò)分開建設(shè)雖保護(hù)了內(nèi)部信息安全，但物理斷開造成了應(yīng)用與數(shù)據(jù)的脫節(jié)，影響行政效率。這時(shí)通過在內(nèi)網(wǎng)與外網(wǎng)之間邊界處部署隔離網(wǎng)閘，實(shí)現(xiàn)雙網(wǎng)隔離，保證數(shù)據(jù)的互聯(lián)互通。隔離網(wǎng)閘上部署數(shù)據(jù)庫同步模塊，可將外網(wǎng)數(shù)據(jù)庫中的特定數(shù)據(jù)同步到內(nèi)網(wǎng)數(shù)據(jù)庫中，反向則不允許數(shù)據(jù)庫信息傳輸；或者配置內(nèi)網(wǎng)數(shù)據(jù)庫的映射模式，在外端機(jī)啟用數(shù)據(jù)庫代理模塊，實(shí)現(xiàn)外網(wǎng)業(yè)務(wù)系統(tǒng)對(duì)數(shù)據(jù)庫的訪問需求。這有效保障了電力集團(tuán)業(yè)務(wù)系統(tǒng)的正常運(yùn)轉(zhuǎn)以及數(shù)據(jù)的安全交互，避免了內(nèi)外網(wǎng)因隔離帶來的數(shù)據(jù)流通障礙，還增強(qiáng)了網(wǎng)絡(luò)安全性，防止外部網(wǎng)絡(luò)攻擊威脅到內(nèi)部核心業(yè)務(wù)。
石油石化行業(yè)同樣離不開網(wǎng)閘的安全防護(hù)。像網(wǎng)神 SecSIS3600 石油行網(wǎng)閘，部署在網(wǎng)絡(luò)與生產(chǎn)網(wǎng)之間，為石油生產(chǎn)過程中的數(shù)據(jù)傳輸和系統(tǒng)安全保駕護(hù)航。在石油生產(chǎn)的復(fù)雜網(wǎng)絡(luò)環(huán)境里，存在大量涉及生產(chǎn)工藝、設(shè)備運(yùn)行等敏感數(shù)據(jù)，網(wǎng)閘切斷內(nèi)外網(wǎng)之間通用網(wǎng)絡(luò)協(xié)議連接，防止外部網(wǎng)絡(luò)的惡意程序、病毒等入侵生產(chǎn)網(wǎng)，保障了石油生產(chǎn)系統(tǒng)的穩(wěn)定運(yùn)行。同時(shí)，對(duì)于一些需要從外部獲取數(shù)據(jù)或者向外部傳輸特定數(shù)據(jù)的應(yīng)用場(chǎng)景，網(wǎng)閘可以在確保安全的前提下，實(shí)現(xiàn)數(shù)據(jù)的安全擺渡，滿足企業(yè)運(yùn)營(yíng)管理和生產(chǎn)監(jiān)控等不同環(huán)節(jié)的數(shù)據(jù)交互需求。
在交通領(lǐng)域，以智慧交通系統(tǒng)為例，交通控制中心需要與眾多分布在不同區(qū)域的交通設(shè)備(如信號(hào)燈、電子眼等)進(jìn)行數(shù)據(jù)通信，同時(shí)要保證內(nèi)部核心控制網(wǎng)絡(luò)的安全。網(wǎng)閘在這里就發(fā)揮了隔離與數(shù)據(jù)交換的重要作用，它可以將交通控制中心的內(nèi)部網(wǎng)絡(luò)與外部接入的設(shè)備網(wǎng)絡(luò)隔離開，外部設(shè)備采集到的交通流量、路況等數(shù)據(jù)經(jīng)過網(wǎng)閘的安全審查后，安全地傳輸?shù)娇刂浦行膬?nèi)部網(wǎng)絡(luò)，供相關(guān)系統(tǒng)進(jìn)行分析處理，進(jìn)而實(shí)現(xiàn)智能交通指揮調(diào)度等功能。而控制中心內(nèi)部的關(guān)鍵指令等數(shù)據(jù)同樣可以通過網(wǎng)閘安全地傳輸?shù)酵獠吭O(shè)備執(zhí)行，且不會(huì)受到來自外部網(wǎng)絡(luò)的非法訪問和攻擊威脅，保障整個(gè)智慧交通系統(tǒng)的平穩(wěn)、安全運(yùn)行。
從這些不同行業(yè)的應(yīng)用案例可以看出，網(wǎng)閘憑借其安全隔離、數(shù)據(jù)加密、身份驗(yàn)證、漏洞管理等多方面的功能特性，能夠很好地適配不同工業(yè)場(chǎng)景下的網(wǎng)絡(luò)安全需求，成為保障各工業(yè)領(lǐng)域網(wǎng)絡(luò)安全，助力企業(yè)安全生產(chǎn)和數(shù)字化運(yùn)營(yíng)的關(guān)鍵設(shè)備。
六、網(wǎng)閘助力工業(yè)未來發(fā)展
對(duì)工業(yè)互聯(lián)網(wǎng)安全的意義
隨著工業(yè)互聯(lián)網(wǎng)的蓬勃發(fā)展，網(wǎng)絡(luò)正朝著開放互聯(lián)的方向大步邁進(jìn)。在這樣的大趨勢(shì)下，工業(yè)生產(chǎn)中的各類關(guān)鍵信息基礎(chǔ)設(shè)施的安全、可靠運(yùn)行變得愈發(fā)重要，而網(wǎng)閘在其中扮演著少不了的角色。
工業(yè)互聯(lián)網(wǎng)涵蓋了眾多關(guān)鍵領(lǐng)域，像電力、化工、制造業(yè)等，這些領(lǐng)域里存儲(chǔ)和傳輸著大量關(guān)乎生產(chǎn)運(yùn)行、企業(yè)機(jī)密以及國(guó)家安全的數(shù)據(jù)信息。例如在電力行業(yè)，電網(wǎng)的實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)、電力調(diào)配指令等一旦遭到泄露或者篡改，可能會(huì)引發(fā)大面積停電事故，影響社會(huì)的正常運(yùn)轉(zhuǎn)；化工生產(chǎn)中，工藝流程數(shù)據(jù)、設(shè)備控制參數(shù)若被惡意獲取或更改，甚至可能導(dǎo)致嚴(yán)重的爆炸、泄漏等災(zāi)難性后果。
而網(wǎng)閘能夠憑借其強(qiáng)大的安全隔離功能，在工業(yè)互聯(lián)網(wǎng)的不同安全域之間構(gòu)建起堅(jiān)固的 “屏障”。它切斷了內(nèi)外網(wǎng)之間基于通用網(wǎng)絡(luò)協(xié)議的直接連接，有效阻止外部網(wǎng)絡(luò)中的病毒、惡意軟件、攻擊等安全威脅向內(nèi)網(wǎng)滲透，從根源上保障了關(guān)鍵信息基礎(chǔ)設(shè)施不會(huì)輕易遭受外部攻擊，為工業(yè)生產(chǎn)的穩(wěn)定運(yùn)行提供了基礎(chǔ)保障。
同時(shí)，網(wǎng)閘的數(shù)據(jù)加密與隱私保護(hù)機(jī)制，使得在工業(yè)互聯(lián)網(wǎng)中傳輸和存儲(chǔ)的敏感數(shù)據(jù)都能處于保密狀態(tài)，無論是生產(chǎn)過程中的實(shí)時(shí)數(shù)據(jù)，還是涉及企業(yè)核心技術(shù)、商業(yè)機(jī)密的數(shù)據(jù)，都能避免被竊取或泄露的風(fēng)險(xiǎn)。另外，通過嚴(yán)格的身份驗(yàn)證與訪問控制，網(wǎng)閘確保只有合法授權(quán)的人員和設(shè)備才能訪問相應(yīng)的工業(yè)網(wǎng)絡(luò)資源，防止非法訪問帶來的數(shù)據(jù)泄露和系統(tǒng)破壞風(fēng)險(xiǎn)。
總之，在工業(yè)互聯(lián)網(wǎng)日益開放且安全形勢(shì)嚴(yán)峻的當(dāng)下，網(wǎng)閘對(duì)于保障關(guān)鍵信息基礎(chǔ)設(shè)施安全、可靠運(yùn)行有著至關(guān)重要的意義，是守護(hù)工業(yè)生產(chǎn)安全的關(guān)鍵防線之一。
未來發(fā)展前景展望
從目前網(wǎng)閘在工業(yè)領(lǐng)域的應(yīng)用情況來看，其已經(jīng)在眾多行業(yè)展現(xiàn)出了優(yōu)秀的安全防護(hù)能力，并且隨著工業(yè)的持續(xù)發(fā)展以及技術(shù)的不斷進(jìn)步，網(wǎng)閘有著廣闊的發(fā)展前景。
在技術(shù)改進(jìn)方面，未來網(wǎng)閘有望進(jìn)一步融合人工智能、大數(shù)據(jù)分析等前沿技術(shù)。例如，借助人工智能的機(jī)器學(xué)習(xí)算法，可以讓網(wǎng)閘對(duì)網(wǎng)絡(luò)中的異常流量和潛在威脅進(jìn)行更精準(zhǔn)、快速的識(shí)別與預(yù)警。通過對(duì)大量工業(yè)網(wǎng)絡(luò)數(shù)據(jù)的分析學(xué)習(xí)，網(wǎng)閘能夠自動(dòng)適應(yīng)不同工業(yè)場(chǎng)景下的安全需求，動(dòng)態(tài)調(diào)整安全策略，實(shí)現(xiàn)智能化的安全防護(hù)。
在應(yīng)用拓展層面，隨著工業(yè) 4.0、智能制造等理念的深入推進(jìn)，工業(yè)網(wǎng)絡(luò)的規(guī)模和復(fù)雜度會(huì)不斷提升，這將促使網(wǎng)閘在更多細(xì)分工業(yè)領(lǐng)域得到應(yīng)用。比如在新興的智能物流、智能醫(yī)療設(shè)備制造等領(lǐng)域，網(wǎng)閘可以保障物流機(jī)器人之間、醫(yī)療設(shè)備與管理系統(tǒng)之間的數(shù)據(jù)交互安全，助力這些新興產(chǎn)業(yè)健康發(fā)展。
而且，隨著國(guó)家對(duì)于工業(yè)信息安全重視程度的不斷提高，相關(guān)政策法規(guī)也會(huì)日益完善，這將進(jìn)一步推動(dòng)工業(yè)企業(yè)積極部署網(wǎng)閘產(chǎn)品，擴(kuò)大市場(chǎng)需求。預(yù)計(jì)未來幾年，網(wǎng)閘在工業(yè)領(lǐng)域的市場(chǎng)規(guī)模會(huì)持續(xù)擴(kuò)大，產(chǎn)品功能也會(huì)更加多樣化和專業(yè)化，不僅局限于現(xiàn)有的安全隔離、數(shù)據(jù)交換等功能，可能會(huì)拓展出如與工業(yè)云平臺(tái)更好融合、針對(duì)工業(yè)物聯(lián)網(wǎng)設(shè)備的深度安全管理等新功能，多方位滿足工業(yè)發(fā)展對(duì)網(wǎng)絡(luò)安全的更高要求
地址：北京市昌平區(qū)宏福大道創(chuàng)意空間309
電話：010-58546570
郵箱：jiang2136@126.com
傳真：010-58546570
點(diǎn)擊交流