工业防火墙产品技术培训课件.pptVIP

MVS工业防火墙产品技术培训 2015年7月 内容纲要 工业防火墙概述 工业防火墙所涉及领域 制造业、资源、化工、交通、能源、金融 行业安全事件 2010年：“网络超级武器”Stuxnet 2008年：荷兰地铁脱轨事件 2011年：美国伊利诺伊州供水系统破坏事件 安全事件发生的原因 自动化建设早，重点注重物理安全 工业以太网推广、两化（信息化和工业化）融合趋势 工业防火墙硬件介绍 硬件介绍 工业环境中对硬件的要求 无风扇 宽温（-40-70℃） 湿度（5％-95％无凝结） 防护等级IP40（防尘不防水） 产品型号 星辰：201D、203D、1100R 星云：F201D、F203D、F1100R 工业防火墙硬件介绍 硬件产品 导轨式 F201D：二串口+二口以太网（bypass） 工业防火墙硬件介绍 硬件产品 导轨式 F302D：二串口+五口以太网 串口 以太网口（bypass） 以太网口 工业防火墙硬件介绍 硬件产品 机架式 F1100R 适用于工业现场的机房环境 工业防火墙功能介绍 安全防护-模式 全通模式 所有报文通过，安全策略不生效 调试模式 所有报文通过，记录日志 防护模式 根据策略进行流量匹配（通过或丢弃） 工业防火墙功能介绍 安全防护-安全策略 具有方向性 基于接口进行策略控制 基于MAC进行策略控制 基于IP进行策略控制 工业防火墙功能介绍 安全防护-策略动作 允许 禁止 DPI（只针对工业协议） 工业防火墙功能介绍 安全防护-协议1 工业防护模型（内置知名工业厂商协议，可根据用户进行自定义） 工业防火墙功能介绍 安全防护-协议2 自定义协议（新增二层协议） 工业防火墙功能介绍 安全防护-协议3 预置上百种工业协议 工业防火墙功能介绍 安全防护-协议4 预置通用协议（传统协议保留） 动态协议（传统协议保留） 工业防火墙功能介绍 工业DPI-OPC OPC 核心技术为动态端口解析与FTP协议相类似 目前OPC只实现了底层端口解析未做应用层数据过滤 工业防火墙功能介绍 工业DPI-Modbus-1 基本功能 RESET回复（异常、丢弃报文进行回复） 异常回复（中断连接时回复Modbus异常功能码） 合规性检查 状态检查 工业防火墙功能介绍 工业DPI-Modbus-2 过滤机制 黑白名单机制（非白即黑） 单/多个功能码进行控制 功能码输入范围进行细粒度控制 工业防火墙功能介绍 工业DPI-IEC104 控制报文类型/事件（五遥一脉） 遥调、遥控、遥信、遥测、遥视、遥脉 控制帧格式 S、I、U（I：数据帧为、S：确认帧、U：保活帧） 细粒度控制 信息体地址控制 控制值进行控制 工业防火墙功能介绍 串行DPI-1 串行链路之Modbus 协议本身无变化，只是物理媒介为串行总线 串行接口为console切换为通信口 管理与通信不能同时共存 机架式设备不支持 工业防火墙功能介绍 串行DPI-2 ModbusRTU配置 异：需要指定Master接口 同：与以太网共用Modbus策略模块 工业防火墙功能介绍 工业VPN 工业VPN=IPSec VPN（裁剪版） 支持site to site模式 支持预共享秘钥认证 支持国际算法 工业防火墙功能介绍 高可用性 HA 只支持主备模式 内容纲要 登录管理界面 WEB管理工业防火墙 浏览器证书导入 设备随机光盘找到工业防火墙管理证书，拷贝到管理PC上，本地双击证书，按照提示进行安装，需要输入密码时输入“hhhhhh”或“123456”，当出现导入成功后点击确定完成。 登录管理界面 WEB管理VPN 登录管理页面 Pc与设备的eth0或eth1相连（eth0与eth1出厂默认在brg0中） 管理PC配置IP：00/24(VPN默认管理主机) IE浏览器输入 https:// 54:8889 弹出证书选择时，选择刚导入浏览器的证书 登录用户名：administrator、密码默认为lion@LL99 Modbus配置 拓朴 工业防火墙透明接入 用二台pc安装Modbus防真软件模拟流量 Modbus配置 Modbus配置思路-1 了解用户组网，我们设备以何种模式接入 用户现场流量分布 用户现场Modbus协议策略实现 是否需要产生日志及日志采集方式 Modbus配置 Modbus配置思路-2 配置基本网络（接口IP、路由、模块制授权） 新建Modbus策略（此实例中只放行功能码1、2） 新建防火墙策略（引用Modbus策略） 产生日志，日志保存在本地 Modbus配置 第一步：基本网络配置 1）设备透明接入（eth0与eth1加入到brg0中） 2）开户M