工业防火墙是什么

工业防火墙是一个有软件和硬件设备组合而成、在内部网和外部网之间、网与公共网之间的边界上构造的保护屏障。工业防火墙，顾名思义就是针对工业网络的，可以解析工业协议，专门针对工业病毒的，一般使用的是白名单机制；普通防火墙，也就是我们平时说的网络防火墙主要是放在内网与外网隔离的位置，不能解析工业协议，基于黑名单机制，需要定期升级病毒库。

工业网闸与防火墙的区别

首先解释下网闸与防火墙的区别。从硬件架构上来说，网闸为2+1的结构，及前后主机+隔离硬件，防火墙是单主机系统。由于这种架构的区别，网闸在数据交换时所有数据需要落地转换，数据进入摆渡区之前要经过的协议剥离，到了后主机上再进行数据封装，故不存在内外网之间的回话，连接终止与内外网主机；而防火墙工作在路由模式，直接进行数据包转发，其内部所有的TCP/IP会话都是在网络之间进行，存在被劫持和复用的风险；

其次部署位置上，网闸一般部署在办公网和业务网之间，高安全与低安全区域之间，其功能主要为文件同步、数据库同步、组播工控协议等；防火墙主要部署在网络边界，功能包括ACL,NAT,IPS等。

工控防火墙的功能特点

白名单管理：工业防火墙的一个重要创新，就是引入白名单形式的安全策略控制。由于工控网络通信固定化的特征，确定了使用白名单技术进行安全控制，是解决工业网络安全的一个重要且有效的方式。

安全策略规则：工业防火墙作为防火墙类的产品，内置的防火墙管理功能是其基础功能之一，工业防火墙采用状态检测防火墙的机制实现相应的访问控制功能。

安全策略无扰下装：考虑到工业网络对于可用性、持续性和实时性的要求，捷普工业防火墙采用全透明接入的方式，提供学习、测试、管控三种工作模式，产品在部署、配置和使用过程中可以根据需要实时切换到适当的工作模式下，保证在整个部署过程中都不会阻断正常的业务数据传输，无需中断生产系统的运行，而且在启动深度过滤时可选择仅警告，等确认后在进行处理，保障生产系统不间断运行。

工业防火墙的终端防护

终端防护的目的是保护重要的工控设备，包括PLC、RTU、DCS控制器等工业控制系统的大脑。工业防火墙部署在控制器与上位机之间，通过一系列的安全策略，防御工业针对特定控制器漏洞的特征攻击，允许合法的数据访问控制器，保护控制器安全，为了使业务正常运行。

终端防护的重点在于保护控制器数据不被恶意篡改，防止对控制器的已知漏洞进行攻击，保证控制器正常运行。