隨著信息技術的迅速發展和工業控制系統的數字化進程，工業互聯網已成為推動工業生產和管理的重要力量。然而，工業互聯網的快速發展也帶來了新的安全挑戰和風險。因此，加強工業互聯網安全實訓，提高從業人員的安全意識和技能，具有重要的現實意義和深遠的影響。

隨著博智工控防火墻新版本的正式發布，用于工業互聯網安全教育與實訓、競賽和演練的虛擬工控防火墻配套發布。產品通過虛擬化技術能夠實現設備的快速部署和靈活擴展，適應不同規模和需求的安全環境。

近期，博智虛擬工控防火墻作為博智孿生仿真靶場的配套虛擬安全防護設備，在多個工業互聯網安全實驗室成功使用。學生通過工業互聯網安全攻擊防護實訓，可以提高工業互聯網安全的認識和意識，理解工業互聯網的安全威脅和攻擊，進而掌握工業互聯網安全防護的關鍵技能，為今后從事相關工作打下堅實的基礎。

傳統云防火墻在工業互聯網安全中的不足

云防火墻是專門為云計算環境設計的虛擬化網絡安全產品，例如公有云和私有云環境、軟件定義的網絡（SDN）和軟件定義的廣域網（SD-WAN）。但其應用環境還是局限于云計算網絡，它對于工業控制網絡環境還有諸多的不適應，主要體現在以下幾個方面：

·云防火墻主要是針對通用網絡協議進行審核和防護，不能對工業控制網絡協議和應用數據的內容進行解析和檢查。

·云防火墻基于黑名單機制，為及時應對新發現的系統和軟件漏洞，以及面臨不斷更新的網絡攻擊手段和威脅需要不斷升級，不符合工業現場特點。

虛擬工控防火墻在工業互聯網安全中的優勢

·全新一代增強級工控防火墻，全面提升和擴展了入侵防御、URL過濾、病毒過濾、網絡掃描防護、IP/MAC綁定等功能，可識別和預防網絡中病毒傳播、惡意攻擊等行為，避免其影響控制網絡和破壞生產流程。

入侵防御告警

訪問控制告警

提供流量帶寬管理、NAT及IPv6隧道等功能，可滿足更多維度的網絡環境需求，更加適應當前工業網絡環境與信息化網絡環境相融合的發展趨勢。

NAT

IPSec VPN

提供針對工業協議的指令級深度檢測，實現對Modbus、S7等主流工業協議和規約的細粒度檢查和過濾，并支持智能協議識別和輔助自學習工業白名單的規則生成。

工業協議深度檢測

工業白名單規則

虛擬工控防火墻的典型部署拓撲

邊界隔離部署：部署在控制網絡邊界（如管理網與控制網之間），阻斷來自上層網絡（管理網）的安全威脅，實現縱向防護。

區域間隔離部署：部署在同層級不同安全區域（區域1與區域2），防止不同區域間的交叉感染。

關鍵點隔離部署：部署在重要控制系統或設備前端，保護重要控制系統或設備，只允許必要的數據包通過，阻斷對重要控制系統或設備的所有非法訪問及控制。

雙機熱備部署：由兩臺防火墻構成雙機熱備系統，當主防火墻出現故障情況時，備用防火墻會及時發現并接管主防火墻進行工作。

博智工控防火墻特點

高安全性

采用了先進的系統構架和完善的抗攻擊模塊，能夠自動適應網絡狀況，將惡意的攻擊數據從數據流中分析出來并進行告警或阻斷動作。可以實現對ICMP、UDP、TCP的Flood攻擊的頻度與閾值統計與告警，可以在第一時間發現Dos/DDos攻擊并自動做出限流或阻斷動作，提高網絡安全性和可靠性。

基于角色的安全控制

提供基于狀態檢測技術的動態包過濾功能，同時提供用戶策略規則，通過與安全策略規則配合，實現基于用戶角色的安全控制。

安全數據流技術

提供物理安全通道特性。通過建立基于網絡接口的安全通道控制，將物理網絡接口與用戶安全策略完全統一，對數據流的走向提供靈活、嚴格的控制。保證數據流嚴格按照已定義的網絡接口功能在安全通道中進行處理與轉發，基于網絡接口的安全通道可以提高安全性和提高性能。

友好的圖形化用戶界面

通過鼠標的簡單拖拽和點擊就可以完成面向網絡對象進行訪問控制的配置，使復雜的網絡設置和安全策略的制定變得簡單易用。并且系統本身可以提供校驗手段，當用戶對防火墻中的參數進行定義時，系統會自動識別用戶對參數概念理解的錯誤或輸入錯誤，防止了因配置錯誤而造成的不安全隱患。

高級威脅檢測與分析

具有入侵防御功能，可用于監測網絡流量和識別潛在的入侵行為，并主動采取措施，阻止潛在的威脅。防火墻使用特征檢測技術來識別已知的攻擊模式和惡意行為，實時響應檢測到的入侵嘗試。同時記錄所有的網絡活動，對異常告警進行分析，有助于事后追溯入侵行為，以及評估網絡的整體安全性。

可靠性

硬件防火墻采用低功耗、寬溫、寬壓電子元器件，多種模式的導散熱方式，充分的減少產品的發熱量，保證設備在各種惡劣環境下可以持續、穩定的運行；網口支持 Bypass 功能，根據系統運行狀態開啟，即當系統斷電、關機及啟動過程中自動開啟；具備雙機熱備功能，當主防火墻出現故障情況時，備用防火墻會及時發現并接管主防火墻進行工作。

虛擬化部署

提供虛擬化部署解決方案。重點監控公有云或私有云上部署的工業互聯網云平臺與工業數據采集系統間的網絡流量，基于多種典型工業控制協議深度解析和指令級訪問控制，發現并阻斷已知和未知的網絡攻擊行為，確保工業企業生產數據安全地上傳至云端。