工控防火墙产品-工控安全-新华三集团-H3C

工业级高可靠性

采用工业级的硬件，无风扇全封闭设计、冗余电源，满足工业现场恶劣环境的应用。提供完备的HA双机热备份技术，一台防火墙在发生故障时，业务可以平滑切换到另一台备用设备上，保证主备倒换的时候业务不会发生中断。同时，H3C工控防火墙还支持BYPASS功能，当设备出现故障时，网络流量可以直接BYPASS通过，避免用户业务中断。

采用基于流的状态检测技术

采用基于流会话的状态检测技术

集成了强大的基于会话管理的核心技术

可以支持优异的每秒新建连接的性能

具有良好的转发加速体系

支持多种工业协议深度解析

H3C工控防火墙支持涵盖Modbus/TCP，OPC Classic，OPC UA，DNP3，S7，S7 plus，IEC60870-5-104，MMS，Ethernet/IP等在内的各类主流工控网络协议，并且能够对各类数据包进行快速有针对性的捕获与深度解析。解析引擎执行时能够满足工业控制系统在生产和制造过程中的通信效率保障和冗余机制等要求。

集成多种类型工业黑名单规则

H3C工控防火墙全面集成了多种类型的工业黑名单规则库。黑名单规则是进行工业协议黑名单检测的匹配条目，每一条规则都规针对一个工控安全漏洞攻击，当带有攻击行为的工业流量经过工业防火墙时，会被工业防火墙黑名单检测到，来确保工业网络环境安全运行。产品内置2000多种特征库，使用特征匹配和异常分析的方法识别并阻断网络攻击行为（如各种DoS、DdoS攻击行为）。

产品规格

指标		详细描述
网络特性	路由协议	支持静态路由、动态路由、策略路由
	IPv6	支持IPv4/IPv6双网络环境的部署、配置和运行；支持RIPNG、OSPF6等协议
	网络设置	支持基于全局的DNS代理。支持全局、接口的DHCP Server代理
	高可用性	接口支持断电bypass，支持双机热备、主主模式、主备模式；
	NAT策略	支持一对一、多对一的SNAT、DNAT地址转换功能。
流量控制	流量控制	支持流量控制，可设置基于IP地址、服务类型和时间对象的上行/下行流量带宽策略支持IP之间通信连接数的限制，包括连接方向、每秒建立连接数等；支持越限阻断和告警。
网络层攻击防护	DoS攻击防护	支持SYN Flood、ICMP Flood、UDP Flood三种DDOS攻击防护；TearDrop、Land、超大ICMP三种异常包攻击防护。
工控协议	工业协议深度解析	支持modbus、dnp3、IEC104、OPC、CIP、S7、S7-plus、opc da、opc ua、Bacnet、Ethernet ip等30多种工控协议内容深度解析，基于功能码或者服务码进行解析，进行通信过滤。
	工业协议指令级控制	支持协议指令级控制功能，例如对Modbus协议实现某个功能码或寄存器地址上的数据进行解析和控制。
	自定义协议	支持用户通过协议特征的方式自定义添加协议，并对新添加的协议可以进行识别和规则匹配，对相关安全事件进行告警
通用协议	通用协议解析	支持HTTP、FTP、Telnet等通用应用层协议的识别，可进行通讯过滤和流量限制，并形成日志或告警；
VPN	IPSec VPN	支持非国密和国密算法的IPSec VPN
VPN	SSLVPN	支持国密算法的SSLVPN
安全策略	安全策略	提供基于状态检查的包过滤策略，同时可提供安全防护策略选项配置入侵检测、ddos防护策略
	工控黑名单特征数量	工控特征库数量大于2000条；支持特征库的升级和自定义
	工作模式	支持学习模式、防护模式和告警模式
	工控白名单学习	支持基于工控流量的白名单自学习，可以通过自动学习生成白名单列表。
	病毒查杀	支持多种协议的病毒查杀
虚拟化部署	虚拟化部署	支持划分成5个虚拟的逻辑设备
高可用性	双机热备HA	支持双机热备；双机状态下支持会话交接功能。
SNMP	SNMP接口	支持SNMPv1/v2/v3对外提供系统状态数据
日志管理	日志管理	可设置日志存储阈值告警、日志外发等功能。
日志管理	日志功能	支持系统日志、安全日志、防护日志、NAT日志、DDOS日志、工控日志等，同时支持通过syslog进行日志外发，统一发送至工控安全管理平台。
报表	支持报表	可即时生成报表和定时生成报表
诊断	支持网络诊断	支持网络诊断功能
环境	IP40	具备IP40防护等级

组网应用

H3C工控防火墙可以部署在管理信息网和工控网络的边界，对工控网络和管理网络的通信流量基于安全策略、NAT、VPN、动态路由等网络的安全技术提供网络隔离、访问控制、状态检测、地址转换和通信安全等功能。同时可基于工控黑名单，对于工控网络中的漏洞及漏洞利用攻击行为进行高效识别与防护，对于工控网络中的流量和数据包进行黑名单匹配，对网络中的攻击和入侵行为进行检测和阻断，防护来自管理信息网络的安全威胁。

此外，H3C工控防火墙也可以部署在工控网络中现场控制层，通过透明部署在重点PLC设备层与过程监控层之间，基于工控协议深度解析功能，对上位机与PLC控制器之间的工控流量进行智能白名单学习和工业协议流量指令级控制，保障工业生产安全稳定运行。

H3C工控防火墙应用组网示意图

选配信息

选购一览表

产品型号	产品名称	数量	备注
H3C SecPath F3010-I	H3C SecPath F3010-I工控防火墙(导轨式)	1	必配
H3C SecPath F3110-I	H3C SecPath F3110-I工控防火墙(机架式)	1	必配