ShareTech OT工業(yè)防火墻
OTS-600
 
OT環(huán)境的安全弱點
   OT的灰色地帶：未知的設(shè)備，未知的聯(lián)機
   不安全的身分驗證：來自于設(shè)計及實施的缺陷
    不安全的協(xié)議：信息無加密
   缺乏保護(hù)的設(shè)備：無可行的保護(hù)措施
   不安全的第三方軟件：終端管理裝置易受攻擊，可能一開始即受供應(yīng)鏈的感染。
 
ShareTech OTS-600特點
    將工業(yè)控制網(wǎng)絡(luò)安全區(qū)域獨立隔離
透過ShareTechOTS-600防護(hù)設(shè)備對工業(yè)控制網(wǎng)絡(luò)安全區(qū)域進(jìn)行隔離防護(hù)。工業(yè)企業(yè)應(yīng)根據(jù)實際的情況，在不同網(wǎng)絡(luò)邊界間或者各操作機臺部署邊界安全網(wǎng)關(guān)，實現(xiàn)安全的訪問控制、阻隔非法的網(wǎng)絡(luò)聯(lián)機，嚴(yán)格禁止沒有防護(hù)的工業(yè)控制網(wǎng)絡(luò)與因特網(wǎng)相連接。此外，也可以利用虛擬區(qū)域隔離、端口禁用的安全配置強化內(nèi)網(wǎng)的安全。
 
降低控制機臺系統(tǒng)漏洞風(fēng)險
USB、光驅(qū)、無線等工業(yè)主機設(shè)置，提供病毒、木馬、蠕蟲、惡意軟件攻擊滲透的途徑，如果不能拆除或封閉工業(yè)主機上這些不必要的外設(shè)接口，讓它有機會對ICS或SCADA系統(tǒng)攻擊，可能會改變設(shè)備的生產(chǎn)流程，而遭到入侵的ICS、SCADA和其他OT系統(tǒng)可能會很好后門途徑，惡意者容易透由路徑擷取內(nèi)部重要網(wǎng)絡(luò)資源。
加上多數(shù)的工廠操作系統(tǒng)多采用非標(biāo)準(zhǔn)軟件，無法進(jìn)行及時修補。即使采用標(biāo)準(zhǔn)軟件系統(tǒng)，要進(jìn)行修補也是很困難，因為OT環(huán)境大多采24 x7全天服務(wù)，要停機更新系統(tǒng)是一項非常重大的任務(wù)。OTS-600內(nèi)建虛擬補丁防護(hù)，幫助一些無法上Patch或更新韌體的老舊設(shè)備，從外圍阻絕攻擊流量。
 
監(jiān)控工控網(wǎng)絡(luò)傳輸行為，并對病毒與漏洞進(jìn)行處置
對網(wǎng)絡(luò)異常行為或攻擊模式都能嚴(yán)密監(jiān)測、及時發(fā)現(xiàn)處置、并能完整記錄報告，是工控環(huán)境營運能穩(wěn)定重要因素。ShareTechOTS-600在一般情況下可以透過使用分析與漏洞掃描，對工控網(wǎng)絡(luò)中存在的病毒與漏洞進(jìn)行掃描，且對網(wǎng)絡(luò)攻擊和異常行為進(jìn)行識別、告警、通知與記錄所有相關(guān)威脅紀(jì)錄。當(dāng)發(fā)現(xiàn)傳輸?shù)牧髁砍^平均標(biāo)準(zhǔn)設(shè)置值、加密封包有夾帶惡意封包、異常的指令、病毒木馬程序滲透攻擊，都可實時過濾阻隔，降低危害。
隔離感染面，防止威脅擴散
對于透過技術(shù)手段，確認(rèn)威脅的感染面，盡快采取應(yīng)急的隔離手段。ShareTechOTS系列可以與交換器協(xié)防，除了可以對網(wǎng)絡(luò)進(jìn)行分區(qū)隔離，讓各自生產(chǎn)線獨立運作，避免當(dāng)其中一個生產(chǎn)線遭受惡意攻擊時，間接影響其他營運。眾至提供的不是只針對單一點進(jìn)行控管、而是希望能涵蓋整個面進(jìn)行完整防護(hù)，避免災(zāi)情擴散。
支持工業(yè)網(wǎng)絡(luò)協(xié)議
內(nèi)建業(yè)界常用的工業(yè)控制協(xié)議，例如，EthetCAT 使用TCP/UDP 34980、EerthNet /IP 使用 TCP 44818UDP 2222，管理者只要選取這一些協(xié)議名稱，會自動對應(yīng)出應(yīng)該開放的Port 號，至于其他的通訊PORT當(dāng)然是全部被關(guān)閉。
以計算機組裝線為例，若封包夾帶可疑的參數(shù)，要求機械手臂執(zhí)行標(biāo)準(zhǔn)以外動作，OTS-600在接獲數(shù)據(jù)封包后，將進(jìn)行封包分析、阻擋，降低計算機廠商蒙受巨額財物損失。
專屬OPC入侵防御機制
OPC防護(hù)是針對OT攻擊防御很好的解決方案，收集所有IT、OT網(wǎng)絡(luò)的封包與訊號，并且采用深度封包檢測（DPI）的方式進(jìn)行比對，分析通訊協(xié)議當(dāng)中的每個層級，掌握出現(xiàn)異常數(shù)據(jù)的行為。讓管理者可以在與關(guān)鍵工控設(shè)備連接的網(wǎng)絡(luò)路徑上，及時偵測到攻擊事件的發(fā)生、并依照管理員的設(shè)定，中止或阻絕入侵行為，包括自動攔截棄置攻擊封包，并依據(jù)設(shè)定，留下攻擊的記錄即通知管理者等連續(xù)的應(yīng)變措施。
身分識別與存取管理
身分識別與存取管理屬于傳統(tǒng)安全領(lǐng)域，對工業(yè)控制系統(tǒng)安全來說也是一個相當(dāng)重要的層面。在工控環(huán)境系統(tǒng)，有些單位為了遠(yuǎn)程管理的便利性，使用SSH、Telnet、網(wǎng)頁登入聯(lián)機模式，如果沒有采取任何安全管理措施，例如：只限定某些特定IP才能存取，或者必須經(jīng)過身分認(rèn)證后才能使用服務(wù)，否則讓黑客輕易入侵系統(tǒng)管控設(shè)備，容易引起大災(zāi)難。ShareTechOTS-600提供本機使用者/AD/POP3/Radius認(rèn)證授權(quán)機制，可協(xié)助館已人員與監(jiān)控企業(yè)內(nèi)部所有使用者賬號，在確認(rèn)使用者的ID的有效授權(quán)之后，才能允許其使用網(wǎng)絡(luò)，讓企業(yè)可以有效管理網(wǎng)絡(luò)使用資源。
 
應(yīng)用程序白名單
由于惡意軟件的變種速度太快，如果靠黑名單來做把關(guān)可能沒那么可靠，所以對OT設(shè)備的軟件管理權(quán)限，應(yīng)該都用白名單機制來進(jìn)行控管。在OT場域里具有極少變動的特性，通常系統(tǒng)在安裝后，應(yīng)用程序即維持不變。管理者可以決定哪些程序是允許被執(zhí)行，其余的程序?qū)⒈蛔钃?。?dāng)所有程序被允許執(zhí)行時，應(yīng)用程序白名單可以過濾內(nèi)容或限定其帶寬使用量。
 
安全遠(yuǎn)程聯(lián)機模式(VPN)
有時候工業(yè)企業(yè)需要透由遠(yuǎn)程進(jìn)行維護(hù)管理，對單位來說應(yīng)通過遠(yuǎn)程認(rèn)證聯(lián)機、加密模式確保其聯(lián)機安全后，才可以允許其操作。ShareTechOTS-600可在網(wǎng)絡(luò)邊界使用單向隔離裝置、VPN等方式實現(xiàn)數(shù)據(jù)單向訪問，并控制訪問時限，并有稽核相關(guān)日志提供日后稽查左證。目前安全聯(lián)機支持IPSec、PPTP、L2TP、SSLVPN等聯(lián)機模式。
 
威脅情報信息Dashboard
有效收集OT設(shè)備與網(wǎng)絡(luò)信息，在ShareTech「戰(zhàn)情室-威脅情報信息」進(jìn)行智能化的分析與檢測，達(dá)到實時和準(zhǔn)確的資安狀態(tài)呈現(xiàn)與保護(hù)的效果。
 
設(shè)備災(zāi)難復(fù)原機制
當(dāng)設(shè)備因外在事故無法正常運作時，ShareTech OTS-600硬件支持LANBYPASS模式，不影響工廠生產(chǎn)營運，如果是硬件損壞無法運作，管理人員透由設(shè)備內(nèi)建USB插槽，平時做好配置文件備份動作，當(dāng)設(shè)備真的無法運作，只要立即更換一臺，將原本USB換插到新機上開啟電源，就會自動將原本的配置文件數(shù)據(jù)帶入，不用5分鐘完成災(zāi)難救援的服務(wù)。
支援3G / 4G USB
OTS-600硬件USB端口口能用來連接3G / 4G USB，可同時啟用3個WAN聯(lián)機進(jìn)行負(fù)載平衡或是備援動作。
支持CMS與云端管理平臺
OTS-600支持CMS功能，可以提供管理者，建立與遠(yuǎn)程設(shè)備之間的聯(lián)機，將該單位的OT防護(hù)設(shè)備，納入單一接口的集中管理架構(gòu)，以簡化企業(yè)整體環(huán)境的IT管理工作。此外，亦提供云端管理平臺，ShareTech提供企業(yè)可以在內(nèi)部建置一個私有的云端管理平臺，快速監(jiān)控管理所有OT設(shè)備。
 
硬件簡介
 
硬件外觀
?    網(wǎng)絡(luò)端口：6個GbE埠（6個RJ-45埠）
?    RS-232 Com埠：2個
?    VGA埠：1個
?    USB3.0：2
?    Bypass：1組
效能
?    防火墻吞吐量：1.8 Gbps
?    VPN吞吐量：200 Mbps（IPsec AES）
?    OPC防護(hù)：480Mbps
?    防毒：350Mbps
?    聯(lián)機數(shù)：20萬個
?   支援通訊協(xié)議：Modbus、DNP3、IEC-104、EtherNet/IP、LanWorks、IEC-61850、BACNet、AXView2.0
安裝方式
?    Din rail 和 Wallmount
尺寸大小
?    外觀：126 x 74.5 x 146 mm
電源
?    2-Pin Terminal Block +9~36VDC
適用環(huán)境
?    運作環(huán)境溫度：攝氏-40度到75度
?    操作濕度：10%~80%