• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

工控防火墙产品

H3C 工控防火墙是新华三技术有限公司面向工业控制网络研发和推出的涵盖传统防火墙、工控网络流量智能学习、工控协议数据包深度解析、工控协议指令控制等功能在内的工控网络的安全防护产品。

H3C工控防火墙在流会话的基础之上,实现了状态检测防火墙功能,智能检测TCP流量状态信息并进行控制,智能进行应用层检测并打开动态端口,创建和删除针对动态协商端口的数据包安全策略规则,以允许或阻止相关的报文通过,满足安全最小化原则。

H3C 工控防火墙支持VPN、NAT、DoS攻击防护等多种网络的安全防护技术,通过IPSec VPN为通讯双方提供访问控制、无连接完整性、数据来源认证、反重放、加密以及对数据流分类加密等服务,通过SNAT和DNAT提供多种丰富地址转换服务,并支持SYN-FLOOD、UDP-FLOOD等多种DoS攻击防护功能。针对工控网络和系统,H3C 工控防火墙支持针对包括Modbus/TCP,OPC Classic,OPC UA,DNP3,S7,S7 plus,IEC60870-5-104,MMS,Ethernet/IP等在内的各类主流工控网络协议的深度解析功能,并在此基础之上基于工控网络白名单对工控流量进行智能保护和指令级控制。此外,防火墙通过集成工控漏洞库和工控入侵检测特征库,以工控网络黑名单技术对工控网络中的攻击和入侵行为进行检测和阻断。

工业级高可靠性

采用工业级的硬件,无风扇全封闭设计、冗余电源,满足工业现场恶劣环境的应用。提供完备的HA双机热备份技术,一台防火墙在发生故障时,业务可以平滑切换到另一台备用设备上,保证主备倒换的时候业务不会发生中断。同时,H3C工控防火墙还支持BYPASS功能,当设备出现故障时,网络流量可以直接BYPASS通过,避免用户业务中断。

采用基于流的状态检测技术

* 采用基于流会话的状态检测技术

* 集成了强大的基于会话管理的核心技术

* 可以支持优异的每秒新建连接的性能

* 具有良好的转发加速体系

支持多种工业协议深度解析

H3C工控防火墙支持涵盖Modbus/TCP,OPC Classic,OPC UA,DNP3,S7,S7 plus,IEC60870-5-104,MMS,Ethernet/IP等在内的各类主流工控网络协议,并且能够对各类数据包进行快速有针对性的捕获与深度解析。解析引擎执行时能够满足工业控制系统在生产和制造过程中的通信效率保障和冗余机制等要求。

集成多种类型工业黑名单规则

H3C工控防火墙全面集成了多种类型的工业黑名单规则库。黑名单规则是进行工业协议黑名单检测的匹配条目,每一条规则都规针对一个工控安全漏洞攻击,当带有攻击行为的工业流量经过工业防火墙时,会被工业防火墙黑名单检测到,来确保工业网络环境安全运行。产品内置2000多种特征库,使用特征匹配和异常分析的方法识别并阻断网络攻击行为(如各种DoS、DdoS攻击行为)。


指标

详细描述

网络特性

路由协议

支持静态路由、动态路由、策略路由

IPv6

支持IPv4/IPv6双网络环境的部署、配置和运行;

支持RIPNG、OSPF6等协议

网络设置

支持基于全局的DNS代理。支持全局、接口的DHCP Server代理

高可用性

接口支持断电bypass,支持双机热备、主主模式、主备模式;

NAT策略

支持一对一、多对一的SNAT、DNAT地址转换功能。

流量控制

流量控制

支持流量控制,可设置基于IP地址、服务类型和时间对象的上行/下行流量带宽策略

支持IP之间通信连接数的限制,包括连接方向、每秒建立连接数等;支持越限阻断和告警。

网络层攻击防护

DoS攻击防护

支持SYN Flood、ICMP Flood、UDP Flood三种DDOS攻击防护;TearDrop、Land、超大ICMP三种异常包攻击防护。

工控协议

工业协议深度解析

支持modbus、dnp3、IEC104、OPC、CIP、S7、S7-plus、opc da、opc ua、Bacnet、Ethernet ip等30多种工控协议内容深度解析,基于功能码或者服务码进行解析,进行通信过滤。

工业协议指令级控制

支持协议指令级控制功能,例如对Modbus协议实现某个功能码或寄存器地址上的数据进行解析和控制。

自定义协议

支持用户通过协议特征的方式自定义添加协议,并对新添加的协议可以进行识别和规则匹配,对相关安全事件进行告警

通用协议

通用协议解析

支持HTTP、FTP、Telnet等通用应用层协议的识别,可进行通讯过滤和流量限制,并形成日志或告警;

VPN

IPSec VPN

支持非国密和国密算法的IPSec VPN

SSLVPN

支持国密算法的SSLVPN

安全策略

安全策略

提供基于状态检查的包过滤策略,同时可提供安全防护策略选项配置入侵检测、ddos防护策略

工控黑名单特征数量

工控特征库数量大于2000条;支持特征库的升级和自定义

工作模式

支持学习模式、防护模式和告警模式

工控白名单学习

支持基于工控流量的白名单自学习,可以通过自动学习生成白名单列表。

病毒查杀

支持多种协议的病毒查杀

虚拟化部署

虚拟化部署

支持划分成5个虚拟的逻辑设备

高可用性

双机热备HA

支持双机热备;双机状态下支持会话交接功能。

SNMP

SNMP接口

支持SNMPv1/v2/v3对外提供系统状态数据

日志管理

日志管理

可设置日志存储阈值告警、日志外发等功能。

日志功能

支持系统日志、安全日志、防护日志、NAT日志、DDOS日志、工控日志等,同时支持通过syslog进行日志外发,统一发送至工控安全管理平台。

报表

支持报表

可即时生成报表和定时生成报表

诊断

支持网络诊断

支持网络诊断功能

环境

IP40

具备IP40防护等级


H3C工控防火墙可以部署在管理信息网和工控网络的边界,对工控网络和管理网络的通信流量基于安全策略、NAT、VPN、动态路由等网络的安全技术提供网络隔离、访问控制、状态检测、地址转换和通信安全等功能。同时可基于工控黑名单,对于工控网络中的漏洞及漏洞利用攻击行为进行高效识别与防护,对于工控网络中的流量和数据包进行黑名单匹配,对网络中的攻击和入侵行为进行检测和阻断,防护来自管理信息网络的安全威胁。

此外,H3C工控防火墙也可以部署在工控网络中现场控制层,通过透明部署在重点PLC设备层与过程监控层之间,基于工控协议深度解析功能,对上位机与PLC控制器之间的工控流量进行智能白名单学习和工业协议流量指令级控制,保障工业生产安全稳定运行。

H3C工控防火墙应用组网示意图


选购一览表

产品型号

产品名称

数量

备注

H3C SecPath F3010-I

H3C SecPath F3010-I工控防火墙(导轨式)

1

必配

H3C SecPath F3110-I

H3C SecPath F3110-I工控防火墙(机架式)

1

必配

 

获取更多资源与支持

需要技术帮助?

如果您需要更多更准确的技术帮助

去往技术论坛 >

新华三官网
联系我们