|
问题背景 传统IT防火墙基于"端口+IP"做访问控制（如开放502端口=允许Modbus），但工控攻击往往"借合法端口做非法事"——如开放502端口后，攻击者下发异常指令。工控防火墙必须深入到"协议内容"层面做DPI检测。但DPI规则过严会导致大量误报（如正常维护被阻断），过松又形同虚设。业主痛点：如何让工控防火墙"聪明"起来？ 详细解答
工控防火墙DPI的"精细化"要做到"协议合规+行为基线+白名单+异常检测"四层递进： 第一层：协议合规检查。 检查报文是否符合协议规范，例如： - Modbus：功能码必须在1-127合法范围，寄存器地址不能越界
- BACnet：服务选择必须是标准服务，不能出现"ReadPropertyAll"（已被废弃）
- DNP3：不能出现未使能的功能码
第二层：行为基线学习。 通过1-3个月的学习期，建立"正常通信模式"基线： - 谁（源IP）通常访问谁（目的IP）
- 什么时间访问（工作日9-18点为主）
- 访问什么点位（哪些寄存器/对象）
- 写入值的范围（设定值通常在合理区间）
第三层：白名单微隔离。 在基线基础上生成"最小必要"白名单： - 工程师站IP：只能访问SCADA，不能直接访问PLC
- SCADA IP：只能访问指定的PLC IP+寄存器
- MES IP：只能通过SCADA中转，不能直接访问PLC
第四层：异常检测降噪。 通过AI/ML识别"已知威胁+未知异常"： - 已知威胁：签名库匹配（Stuxnet/Industroyer等已知攻击特征）
- 未知异常：偏离基线3σ即告警（如某工程师站突然批量读取1000个寄存器）
关键要点 - DPI是"持续优化"过程：基线需要不断调整，新业务上线时必须同步更新白名单
- 白名单比黑名单更"安全"：白名单"未明确允许=禁止"，误报可控；黑名单"未明确禁止=允许"，漏洞太多
- 维护期管理是降噪关键：没有维护窗口白名单的工控防火墙，运维人员会"默默关掉"
| 
