ShareTech OT工業(yè)防火墻
OTS-600
 
OT環(huán)境的安全弱點(diǎn)
   OT的灰色地帶：未知的設(shè)備，未知的聯(lián)機(jī)
   不安全的身分驗(yàn)證：來自于設(shè)計(jì)及實(shí)施的缺陷
    不安全的協(xié)議：信息無加密
   缺乏保護(hù)的設(shè)備：無可行的保護(hù)措施
   不安全的第三方軟件：終端管理裝置易受攻擊，可能一開始即受供應(yīng)鏈的感染。
 
ShareTech OTS-600特點(diǎn)
    將工業(yè)控制網(wǎng)絡(luò)安全區(qū)域獨(dú)立隔離
透過ShareTechOTS-600防護(hù)設(shè)備對(duì)工業(yè)控制網(wǎng)絡(luò)安全區(qū)域進(jìn)行隔離防護(hù)。工業(yè)企業(yè)應(yīng)根據(jù)實(shí)際的情況，在不同網(wǎng)絡(luò)邊界間或者各操作機(jī)臺(tái)部署邊界安全網(wǎng)關(guān)，實(shí)現(xiàn)安全的訪問控制、阻隔非法的網(wǎng)絡(luò)聯(lián)機(jī)，嚴(yán)格禁止沒有防護(hù)的工業(yè)控制網(wǎng)絡(luò)與因特網(wǎng)相連接。此外，也可以利用虛擬區(qū)域隔離、端口禁用的安全配置強(qiáng)化內(nèi)網(wǎng)的安全。
 
降低控制機(jī)臺(tái)系統(tǒng)漏洞風(fēng)險(xiǎn)
USB、光驅(qū)、無線等工業(yè)主機(jī)設(shè)置，提供病毒、木馬、蠕蟲、惡意軟件攻擊滲透的途徑，如果不能拆除或封閉工業(yè)主機(jī)上這些不必要的外設(shè)接口，讓它有機(jī)會(huì)對(duì)ICS或SCADA系統(tǒng)攻擊，可能會(huì)改變?cè)O(shè)備的生產(chǎn)流程，而遭到入侵的ICS、SCADA和其他OT系統(tǒng)可能會(huì)很好后門途徑，惡意者容易透由路徑擷取內(nèi)部重要網(wǎng)絡(luò)資源。
加上多數(shù)的工廠操作系統(tǒng)多采用非標(biāo)準(zhǔn)軟件，無法進(jìn)行及時(shí)修補(bǔ)。即使采用標(biāo)準(zhǔn)軟件系統(tǒng)，要進(jìn)行修補(bǔ)也是很困難，因?yàn)镺T環(huán)境大多采24 x7全天服務(wù)，要停機(jī)更新系統(tǒng)是一項(xiàng)非常重大的任務(wù)。OTS-600內(nèi)建虛擬補(bǔ)丁防護(hù)，幫助一些無法上Patch或更新韌體的老舊設(shè)備，從外圍阻絕攻擊流量。
 
監(jiān)控工控網(wǎng)絡(luò)傳輸行為，并對(duì)病毒與漏洞進(jìn)行處置
對(duì)網(wǎng)絡(luò)異常行為或攻擊模式都能嚴(yán)密監(jiān)測(cè)、及時(shí)發(fā)現(xiàn)處置、并能完整記錄報(bào)告，是工控環(huán)境營(yíng)運(yùn)能穩(wěn)定重要因素。ShareTechOTS-600在一般情況下可以透過使用分析與漏洞掃描，對(duì)工控網(wǎng)絡(luò)中存在的病毒與漏洞進(jìn)行掃描，且對(duì)網(wǎng)絡(luò)攻擊和異常行為進(jìn)行識(shí)別、告警、通知與記錄所有相關(guān)威脅紀(jì)錄。當(dāng)發(fā)現(xiàn)傳輸?shù)牧髁砍^平均標(biāo)準(zhǔn)設(shè)置值、加密封包有夾帶惡意封包、異常的指令、病毒木馬程序滲透攻擊，都可實(shí)時(shí)過濾阻隔，降低危害。
隔離感染面，防止威脅擴(kuò)散
對(duì)于透過技術(shù)手段，確認(rèn)威脅的感染面，盡快采取應(yīng)急的隔離手段。ShareTechOTS系列可以與交換器協(xié)防，除了可以對(duì)網(wǎng)絡(luò)進(jìn)行分區(qū)隔離，讓各自生產(chǎn)線獨(dú)立運(yùn)作，避免當(dāng)其中一個(gè)生產(chǎn)線遭受惡意攻擊時(shí)，間接影響其他營(yíng)運(yùn)。眾至提供的不是只針對(duì)單一點(diǎn)進(jìn)行控管、而是希望能涵蓋整個(gè)面進(jìn)行完整防護(hù)，避免災(zāi)情擴(kuò)散。
支持工業(yè)網(wǎng)絡(luò)協(xié)議
內(nèi)建業(yè)界常用的工業(yè)控制協(xié)議，例如，EthetCAT 使用TCP/UDP 34980、EerthNet /IP 使用 TCP 44818UDP 2222，管理者只要選取這一些協(xié)議名稱，會(huì)自動(dòng)對(duì)應(yīng)出應(yīng)該開放的Port 號(hào)，至于其他的通訊PORT當(dāng)然是全部被關(guān)閉。
以計(jì)算機(jī)組裝線為例，若封包夾帶可疑的參數(shù)，要求機(jī)械手臂執(zhí)行標(biāo)準(zhǔn)以外動(dòng)作，OTS-600在接獲數(shù)據(jù)封包后，將進(jìn)行封包分析、阻擋，降低計(jì)算機(jī)廠商蒙受巨額財(cái)物損失。
專屬OPC入侵防御機(jī)制
OPC防護(hù)是針對(duì)OT攻擊防御很好的解決方案，收集所有IT、OT網(wǎng)絡(luò)的封包與訊號(hào)，并且采用深度封包檢測(cè)（DPI）的方式進(jìn)行比對(duì)，分析通訊協(xié)議當(dāng)中的每個(gè)層級(jí)，掌握出現(xiàn)異常數(shù)據(jù)的行為。讓管理者可以在與關(guān)鍵工控設(shè)備連接的網(wǎng)絡(luò)路徑上，及時(shí)偵測(cè)到攻擊事件的發(fā)生、并依照管理員的設(shè)定，中止或阻絕入侵行為，包括自動(dòng)攔截棄置攻擊封包，并依據(jù)設(shè)定，留下攻擊的記錄即通知管理者等連續(xù)的應(yīng)變措施。
身分識(shí)別與存取管理
身分識(shí)別與存取管理屬于傳統(tǒng)安全領(lǐng)域，對(duì)工業(yè)控制系統(tǒng)安全來說也是一個(gè)相當(dāng)重要的層面。在工控環(huán)境系統(tǒng)，有些單位為了遠(yuǎn)程管理的便利性，使用SSH、Telnet、網(wǎng)頁登入聯(lián)機(jī)模式，如果沒有采取任何安全管理措施，例如：只限定某些特定IP才能存取，或者必須經(jīng)過身分認(rèn)證后才能使用服務(wù)，否則讓黑客輕易入侵系統(tǒng)管控設(shè)備，容易引起大災(zāi)難。ShareTechOTS-600提供本機(jī)使用者/AD/POP3/Radius認(rèn)證授權(quán)機(jī)制，可協(xié)助館已人員與監(jiān)控企業(yè)內(nèi)部所有使用者賬號(hào)，在確認(rèn)使用者的ID的有效授權(quán)之后，才能允許其使用網(wǎng)絡(luò)，讓企業(yè)可以有效管理網(wǎng)絡(luò)使用資源。
 
應(yīng)用程序白名單
由于惡意軟件的變種速度太快，如果靠黑名單來做把關(guān)可能沒那么可靠，所以對(duì)OT設(shè)備的軟件管理權(quán)限，應(yīng)該都用白名單機(jī)制來進(jìn)行控管。在OT場(chǎng)域里具有極少變動(dòng)的特性，通常系統(tǒng)在安裝后，應(yīng)用程序即維持不變。管理者可以決定哪些程序是允許被執(zhí)行，其余的程序?qū)⒈蛔钃?。?dāng)所有程序被允許執(zhí)行時(shí)，應(yīng)用程序白名單可以過濾內(nèi)容或限定其帶寬使用量。
 
安全遠(yuǎn)程聯(lián)機(jī)模式(VPN)
有時(shí)候工業(yè)企業(yè)需要透由遠(yuǎn)程進(jìn)行維護(hù)管理，對(duì)單位來說應(yīng)通過遠(yuǎn)程認(rèn)證聯(lián)機(jī)、加密模式確保其聯(lián)機(jī)安全后，才可以允許其操作。ShareTechOTS-600可在網(wǎng)絡(luò)邊界使用單向隔離裝置、VPN等方式實(shí)現(xiàn)數(shù)據(jù)單向訪問，并控制訪問時(shí)限，并有稽核相關(guān)日志提供日后稽查左證。目前安全聯(lián)機(jī)支持IPSec、PPTP、L2TP、SSLVPN等聯(lián)機(jī)模式。
 
威脅情報(bào)信息Dashboard
有效收集OT設(shè)備與網(wǎng)絡(luò)信息，在ShareTech「戰(zhàn)情室-威脅情報(bào)信息」進(jìn)行智能化的分析與檢測(cè)，達(dá)到實(shí)時(shí)和準(zhǔn)確的資安狀態(tài)呈現(xiàn)與保護(hù)的效果。
 
設(shè)備災(zāi)難復(fù)原機(jī)制
當(dāng)設(shè)備因外在事故無法正常運(yùn)作時(shí)，ShareTech OTS-600硬件支持LANBYPASS模式，不影響工廠生產(chǎn)營(yíng)運(yùn)，如果是硬件損壞無法運(yùn)作，管理人員透由設(shè)備內(nèi)建USB插槽，平時(shí)做好配置文件備份動(dòng)作，當(dāng)設(shè)備真的無法運(yùn)作，只要立即更換一臺(tái)，將原本USB換插到新機(jī)上開啟電源，就會(huì)自動(dòng)將原本的配置文件數(shù)據(jù)帶入，不用5分鐘完成災(zāi)難救援的服務(wù)。
支援3G / 4G USB
OTS-600硬件USB端口口能用來連接3G / 4G USB，可同時(shí)啟用3個(gè)WAN聯(lián)機(jī)進(jìn)行負(fù)載平衡或是備援動(dòng)作。
支持CMS與云端管理平臺(tái)
OTS-600支持CMS功能，可以提供管理者，建立與遠(yuǎn)程設(shè)備之間的聯(lián)機(jī)，將該單位的OT防護(hù)設(shè)備，納入單一接口的集中管理架構(gòu)，以簡(jiǎn)化企業(yè)整體環(huán)境的IT管理工作。此外，亦提供云端管理平臺(tái)，ShareTech提供企業(yè)可以在內(nèi)部建置一個(gè)私有的云端管理平臺(tái)，快速監(jiān)控管理所有OT設(shè)備。
 
硬件簡(jiǎn)介
 
硬件外觀
?    網(wǎng)絡(luò)端口：6個(gè)GbE埠（6個(gè)RJ-45埠）
?    RS-232 Com埠：2個(gè)
?    VGA埠：1個(gè)
?    USB3.0：2
?    Bypass：1組
效能
?    防火墻吞吐量：1.8 Gbps
?    VPN吞吐量：200 Mbps（IPsec AES）
?    OPC防護(hù)：480Mbps
?    防毒：350Mbps
?    聯(lián)機(jī)數(shù)：20萬個(gè)
?   支援通訊協(xié)議：Modbus、DNP3、IEC-104、EtherNet/IP、LanWorks、IEC-61850、BACNet、AXView2.0
安裝方式
?    Din rail 和 Wallmount
尺寸大小
?    外觀：126 x 74.5 x 146 mm
電源
?    2-Pin Terminal Block +9~36VDC
適用環(huán)境
?    運(yùn)作環(huán)境溫度：攝氏-40度到75度
?    操作濕度：10%~80%