奇固科威—防火墻HKW-NF500產品介紹

概述

本防火墻產品是一款集多種網絡安全功能于一體的高效防護解決方案，專為工業控制系統（ICS）和電力行業設計，旨在確保電力工控系統、設備和通信網絡的安全性。隨著電力系統智能化、自動化程度的提高，電力行業面臨著越來越復雜的安全威脅。該防火墻產品提供強大的防護能力，能夠有效防止外部攻擊、內部安全威脅以及物理設備的非法接入，確保電力基礎設施的穩定性和安全性。產品的功能包括路由、網絡地址轉換、DHCP、DNS、安全策略管理、網絡用戶管理、L2TP、IPSEC VPN 、日志記錄、事件告警等。

部署模式：

本防火墻產品支持兩種靈活的部署方式：透明部署和路由部署，用戶可以根據網絡架構和實際需求選擇適合的方式。

1.透明部署

概述：透明部署是指防火墻設備在網絡中作為透明橋接設備，位于兩個網絡之間，但不改變現有網絡的IP地址配置。

優點：

無需更改現有網絡結構，設備可直接接入網絡，避免了修改IP配置的復雜操作。

能夠隱式地進行數據過濾與流量監控，適用于已經有現成路由的環境。

支持自動學習網段，減少手動配置的負擔。

適用場景：用于數據的二層轉發。當不希望改變網絡拓撲結構的情況時，使用此模式。

2.路由部署

概述：路由部署模式下，防火墻作為網絡路由器，所有進出網絡的流量都通過防火墻進行處理和控制。它負責管理和轉發網絡流量，并可以執行深度的安全策略。

優點：

提供更強的安全控制，所有流量都必須通過防火墻進行路由和檢查，能夠有效防止內外網的安全漏洞。

支持復雜的路由策略，包括靜態路由和動態路由協議，適應大規模企業網絡的需求。

適用于需要在不同子網之間提供安全隔離的場景。

適用場景：適合網絡結構需要重構，或者對網絡流量進行管理與控制的企業。

主要功能：

1.網絡地址轉換 (NAT)

NAT（Network Address Translation） 允許內網計算機共享公網IP進行通信。支持靜態NAT和動態NAT，通過端口映射和地址轉換，確保內外網數據的正確轉發。

端口轉發：實現外部請求通過指定端口訪問內網服務。

2.DHCP（動態主機配置協議）

支持 DHCP Server 功能，為網絡中的設備自動分配IP地址，減少了手動配置的麻煩，確保網絡環境中的設備能夠及時獲取有效的IP地址。

支持 DHCP Client 功能，能夠從上游網絡獲取IP地址配置。 在電力工控環境中，DHCP服務可以自動化地為各類控制系統、傳感器、PLC等設備分配IP地址，簡化了網絡配置并提高了效率

3.DNS（域名系統）

內置 DNS Server 功能，能夠為局域網中的設備提供域名解析服務，提高網絡訪問速度。在電力工控環境中，DNS功能能夠提高工業設備與控制中心的通信效率，確保設備命名與訪問的快速解析。

支持 DNS代理，將請求轉發至外部DNS服務器，增強解析效率和可靠性。

4.安全策略管理

提供靈活的防火墻規則，支持基于源地址、目標地址、協議、端口等多維度定義訪問控制策略，確保內網與外網之間的安全。在電力工控環境中，通過安全策略管理可以根據設備角色、區域或功能（如變電站、發電廠）設定不同的訪問權限，確保重要的工業控制設備與外部網絡隔離，防止潛在攻擊。

支持狀態檢測防火墻，能夠實時跟蹤連接狀態，防止非法訪問和拒絕服務攻擊（DoS/DDoS）。這種功能特別適用于電力系統，能夠防止針對電力設施的網絡攻擊和拒絕服務攻擊，確保電力系統的穩定運行。

5.L2TP （Layer 2 Tunneling Protocol）

支持 L2TP VPN，通過建立安全隧道為遠程用戶提供安全的訪問，支持客戶端到防火墻的連接，保證遠程辦公時的數據安全。

提供多種認證機制，包括基于用戶名/密碼的認證，確保遠程用戶身份的安全驗證。

6.IPsec VPN

提供 IPsec VPN 支持，確保通過互聯網連接的兩端設備之間的加密通信，保護數據免受篡改。電力工控系統通常需要與多個地理位置的設備進行安全通信，IPsec VPN能夠保證數據的機密性與完整性，防止工業控制數據被竊取或篡改。

支持站點到站點和客戶端到站點的 VPN 連接模式，提供靈活的遠程訪問方案，適應不同企業的需求。

7.日志記錄功能

本防火墻產品提供詳細的日志記錄功能，實時記錄所有網絡活動和防火墻事件，包括訪問控制、VPN連接、NAT操作、系統錯誤等。

日志分類：支持按類型分類記錄日志，如安全日志、操作日志等。

日志存儲：支持本地存儲，便于后續審計和分析。

日志分析：可以對歷史日志進行分析，幫助管理員發現潛在的安全威脅、網絡瓶頸及系統問題，增強網絡管理和問題排查能力。

8.報警功能

本防火墻產品提供實時報警功能，當檢測到異常事件時，能夠即時向管理員發出警報。

多種報警方式：支持通過SNMP Trap、SYSLOG、Web界面等多種方式發送報警，確保管理員能夠**時間收到重要信息。

報警規則：支持自定義報警規則，管理員可以根據需求設定觸發條件，如特定IP訪問、頻繁的VPN連接失敗、DDoS攻擊等。

集成報警系統：自動將防火墻報警信息傳送至網安平臺，通過網安平臺接收到告警信息后，安全團隊可以快速評估風險、進行應急響應，并采取相應的防護措施。

應用場景

1.保護工業控制網絡

電力工控系統（如SCADA、PLC等）通常與企業的IT網絡分開，但隨著物聯網和智能設備的普及，這兩者的連接越來越緊密。本防火墻產品能夠通過 NAT 和 安全策略管理，在內外網之間建立嚴密的安全隔離，防止惡意流量和攻擊進入工業控制網絡。

防火墻還能夠為工控系統提供 VPN支持（如IPsec VPN），確保遠程操作和監控時的數據傳輸安全，避免潛在的泄露和攻擊。

2.保障遠程監控和管理安全

隨著電力系統的復雜性增加，遠程監控和管理變得至關重要。通過 L2TP 和 IPsec VPN，防火墻產品能夠為電力企業提供安全的遠程連接，確保監控人員能夠實時獲取和控制電力設施數據，而無需擔心數據泄露或惡意訪問。

3.實時檢測和響應

在電力工控系統中，攻擊或異常行為的檢測和響應非常重要。本防火墻產品能快速發現潛在的攻擊（如DDoS攻擊、釣魚攻擊等）。

報警功能與網安平臺集成，確保每當發生安全事件時，電力企業的安全團隊能時間獲知，并采取相應的措施進行防御和修復，保障電力系統的持續運行。

4.保護工業控制設備的完整性

電力工控設備（如變電站自動化設備、智能電表等）需要持續運行并且不容許任何中斷。防火墻通過日志記錄和分析功能，能夠監控所有進入和離開這些設備的流量，發現任何非授權訪問、篡改或惡意行為，及時做出反應。

5.合規性與審計

電力工控行業在許多國家都面臨嚴格的法規和合規要求，特別是在網絡安全領域。本防火墻產品提供的日志記錄和審計功能，能夠幫助企業確保其系統符合相關安全規范，確保企業能夠應對外部審計和檢查。

6.告警信息與安全態勢感知

電力企業通過與網安平臺集成，能夠實現實時安全態勢感知，對工控環境中潛在的安全事件進行分析和評估。及時的告警信息推送能夠幫助安全團隊快速響應并采取有效的應急措施，減少潛在的安全風險。

7.企業網絡保護

為企業網絡提供了安全防護，防止惡意攻擊和信息泄露。

撰稿 | XU HONGPING

編輯 | LEI SHIQI