辦公網(wǎng)與工控網(wǎng)之間安全防護

辦公網(wǎng)與工控網(wǎng)之間增加工業(yè)網(wǎng)閘，僅允許辦公網(wǎng)的報表服務器和遠程服務器以OPC協(xié)議以只讀的方式訪問工控網(wǎng)內(nèi)的SCADA數(shù)據(jù)服務器，除OPC協(xié)議外所有網(wǎng)絡報文都不允許通過，其余的任何計算機都不允許互相訪問。

公網(wǎng)與工控網(wǎng)之間安全防護

公網(wǎng)與工控網(wǎng)之間增加工業(yè)網(wǎng)閘，僅允許規(guī)定的計算機和端口互相訪問，通過工業(yè)網(wǎng)閘的白名單策略，可以設置僅允許規(guī)定的計算機互相訪問，并且僅開放有限的端口，除此之外的主機和端口，均不允許訪問，從而保護工控網(wǎng)的安全。

安全區(qū)內(nèi)部綜合防護

1.在工控網(wǎng)內(nèi)部署入侵檢測系統(tǒng)，對關鍵業(yè)務系統(tǒng)和網(wǎng)絡邊界的關鍵路徑信息進行實時檢測，實現(xiàn)安全事件的可發(fā)現(xiàn)、可追蹤、可審計。

2.在工控網(wǎng)內(nèi)部署運維安全審計系統(tǒng)（堡壘主機）全面禁止廠家通過互聯(lián)網(wǎng)遠程運維，通過運維管控平臺集中運維數(shù)據(jù)網(wǎng)設備和服務器設備，并對運維人實名認證，對運維過程能實時監(jiān)控、實時阻斷、全面審計，實現(xiàn)控制大區(qū)IT資源（EMS服務器、網(wǎng)絡設備、安全設備）運維過程符合等保、二次安防的要求。

3.在工控網(wǎng)內(nèi)建立安全審計，全面收集、集中存儲生產(chǎn)控制大區(qū)各種業(yè)務系統(tǒng)、網(wǎng)絡設備、安全產(chǎn)品、機房設施等的運行日志、操作系統(tǒng)日志、數(shù)據(jù)庫訪問日志，并具備動態(tài)監(jiān)視、故障分析、安全審計、事件預警及告警功能。

方案優(yōu)勢

隔離工控網(wǎng)與辦公網(wǎng)，解決安全問題

在工控網(wǎng)與辦公網(wǎng)之間增加工業(yè)網(wǎng)閘，僅允許特定的辦公網(wǎng)主機（報表服務器和遠程服務器）訪問特定的工控網(wǎng)主機（SCADA數(shù)據(jù)服務器），且僅允許OPC協(xié)議通過，除此之外的任何主機、任何通信協(xié)議，均不允許通過。

辦公網(wǎng)內(nèi)主機僅能讀取OPC數(shù)據(jù)，不能修改

辦公網(wǎng)內(nèi)的報表服務器和西安遠程服務器，對工控網(wǎng)內(nèi)的SCADA數(shù)據(jù)服務器，僅能進行OPC數(shù)據(jù)的只讀訪問，不能進行任何寫操作，有效的防止了誤操作或者網(wǎng)絡攻擊導致對工控網(wǎng)的訪問，防止對實際生產(chǎn)造成巨大的經(jīng)濟損失。

隔離工控網(wǎng)與公網(wǎng)，解決安全安全問題

在工控網(wǎng)與公網(wǎng)之間增加工業(yè)網(wǎng)閘，僅允許特定的公網(wǎng)主機（遠程數(shù)據(jù)采集服務器）與工控網(wǎng)主機之間的互相訪問，且僅允許特定的端口通過，除此之外的任何主機、任何端口的報文，均不允許通過，防止對公網(wǎng)上網(wǎng)絡攻擊者對工控網(wǎng)進行非法攻擊。

基于網(wǎng)絡數(shù)據(jù)包級別的控制原理，對OPC進行七級深度控制

我公司的工業(yè)網(wǎng)閘是基于網(wǎng)絡數(shù)據(jù)包級別的控制原理，非市面上的數(shù)據(jù)采集原理型產(chǎn)品，能夠達到七級深度OPC控制，包括MAC與IP綁定、TCP動態(tài)連接判斷、OPC服務器訪問控制、是否全部測點只讀、單測點是否可見、單測點是否只讀/讀寫、測點值寫范圍判斷。

隔離設備的安全性

OPC協(xié)議的處理屬于自主開發(fā)，沒有基于商業(yè)庫開發(fā)所存在的漏洞問題，安全性更高，硬件采用非x86的體系，產(chǎn)品自身安全性更高。

相關產(chǎn)品：

• 安全隔離裝置
• 工業(yè)入侵檢測系統(tǒng)
• 日志審計系統(tǒng)
• 運維安全審計系統(tǒng)