siemens industry automation security 02西門(mén)子工業(yè)自動(dòng)化安全

居安思危防范未然工業(yè)信息安全產(chǎn)品功能概述

陳智勇SCALANCES602SCALANCES602SCALANCES內(nèi)部網(wǎng)段中的所有網(wǎng)絡(luò)節(jié)點(diǎn)都受到其防火墻保護(hù)。●

路由器模式通過(guò)將SCALANCES用作路由器，可以將內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)分離。這樣，通過(guò)SCALANCES連接的內(nèi)部網(wǎng)絡(luò)將成為單獨(dú)的子網(wǎng)；必須使用SCALANCES的IP地址將其明確編址為路由器。●

設(shè)備和網(wǎng)段的保護(hù)防火墻保護(hù)功能可應(yīng)用于單個(gè)設(shè)備、多個(gè)設(shè)備或整個(gè)網(wǎng)段的運(yùn)行。NTP（安全）

用于安全的時(shí)鐘同步和傳輸。SCALANCES62XSNMPv3用于安全傳送網(wǎng)絡(luò)分析信息，使其免受竊聽(tīng)。●

路由器模式通過(guò)將SCALANCES用作路由器，將內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)進(jìn)行連接。因此，通過(guò)SCALANCES連接的內(nèi)部網(wǎng)絡(luò)會(huì)成為單獨(dú)的子網(wǎng)。

附加DMZ接口(S62X)在非保護(hù)區(qū)(DMZ)中可放置服務(wù)器，用于訪(fǎng)問(wèn)其它可控制或可限制的網(wǎng)絡(luò)（非安全外部網(wǎng)絡(luò)、安全內(nèi)部網(wǎng)絡(luò)）。這意味著即使兩個(gè)網(wǎng)絡(luò)間未直接進(jìn)行通信，也可以安全地使用服務(wù)和數(shù)據(jù)。SCALANCES62X使用RADIUS服務(wù)器進(jìn)行用戶(hù)驗(yàn)證

在RADIUS服務(wù)器上可集中存儲(chǔ)用戶(hù)名、密碼和用戶(hù)角色。然后，通過(guò)RADIUS服務(wù)器對(duì)這些用戶(hù)進(jìn)行驗(yàn)證。DMZ在典型的DMZ應(yīng)用程序中，用戶(hù)應(yīng)組態(tài)防火墻規(guī)則集，以便能從Internet對(duì)DMZ中的服務(wù)器進(jìn)行（外部）訪(fǎng)問(wèn)（還可以由VPN隧道提供進(jìn)一步的保護(hù)），但不能對(duì)安全區(qū)域中的設(shè)備進(jìn)行（內(nèi)部）訪(fǎng)問(wèn)。SCALANCES62XSCALANCES62XRADIUS認(rèn)證模式SIMATICS7-300PLCCP

CP343-1Advanced

（6GK7343-1GX31-0XE0）集成防火墻和VPN的CP343-1Advanced特點(diǎn):集成防火墻功能；集成VPN功能；集成3端口自適應(yīng)交換機(jī)（2個(gè)10/100M口，1個(gè)10/100/1000M口）；可作為ProfinetIO控制器和IO設(shè)備；支持Profienergy,IP路由，F(xiàn)TP，Web服務(wù)器，E-mail；支持ProfinetCBA，IP訪(fǎng)問(wèn)控制列表，擴(kuò)展Web診斷功能;支持DHCP/Block設(shè)置IP，時(shí)鐘同步等；用戶(hù)受益:通過(guò)VPN和防火墻將S7-300系列PLC安全連接到網(wǎng)絡(luò)；通過(guò)集成防火墻，用戶(hù)可以設(shè)定更詳細(xì)的安全設(shè)置和訪(fǎng)問(wèn)權(quán)限；SIMATICS7-400PLCCP

CP443-1Advanced(6GK7443-1GX30-0XE0)集成防火墻和VPN的CP443-1Advanced特點(diǎn):集成防火墻功能；集成VPN功能；集成5端口自適應(yīng)交換機(jī)（4個(gè)10/100M口，1個(gè)10/100/1000M口）；可作為ProfinetIO控制器；支持快速啟動(dòng)，Profienergy,IP路由，F(xiàn)TP，Web服務(wù)器，E-mail；支持ProfinetCBA，IP訪(fǎng)問(wèn)控制列表，擴(kuò)展Web診斷功能;支持DHCP/Block設(shè)置IP，時(shí)鐘同步等；用戶(hù)受益:通過(guò)VPN和防火墻將S7-400系列PLC安全連接到網(wǎng)絡(luò)；通過(guò)集成防火墻，用戶(hù)可以設(shè)定更詳細(xì)的安全設(shè)置和訪(fǎng)問(wèn)權(quán)限；CPX43-1AdvancedCPX43-1Advanced①

阻止所有由內(nèi)部發(fā)往外部的幀類(lèi)型。②

允許所有由內(nèi)部發(fā)往安全模塊的幀。③

阻止所有由外部發(fā)往內(nèi)部和安全模塊的幀（包括ICMP回送請(qǐng)求）。④

允許以下類(lèi)型的幀從外部源發(fā)往（外部節(jié)點(diǎn)和外部安全模塊）安全模塊：?ESP協(xié)議（加密）

?IKE（用于建立IPsec隧道的協(xié)議）

?NAT穿越（用于建立IPsec隧道的協(xié)議）⑤

允許通過(guò)IPsec隧道進(jìn)行IP通信。⑥

安全模塊允許發(fā)往外部的Syslog類(lèi)型的幀并且此類(lèi)幀不受防火墻的影響。

注意因?yàn)镾yslog是不可靠的協(xié)議，所以無(wú)法保證能可靠的傳送日志數(shù)據(jù)。⑦

允許所有由安全模塊發(fā)到內(nèi)部和外部的幀。⑧

允許來(lái)自?xún)?nèi)部網(wǎng)絡(luò)或來(lái)自安全模塊的查詢(xún)響應(yīng)。CPX43-1AdvancedCPX43-1Advanced①

允許所有由內(nèi)部發(fā)往安全模塊的幀。②

阻止所有由外部發(fā)往安全模塊的幀。③

允許所有以下類(lèi)型的幀從外部發(fā)往安全模塊：?

具有帶寬限制的ARP?

具有帶寬限制的PROFINETDCP?LLDP④

允許從安全模塊發(fā)往外部的以下類(lèi)型的幀：?

具有帶寬限制的ARP?

具有帶寬限制的PROFINETDCP⑤

允許通過(guò)IPSec隧道發(fā)送的以下協(xié)議：?ISO?LLDP

SIMATICS7-PCCP

CP1628

（6GK1162-8AA00）CP1628特點(diǎn):集成防火墻功能；集成VPN功能；集成2端口10/100/1000M自適應(yīng)交換機(jī)；PCI-E用戶(hù)受益:通過(guò)VPN和防火墻將工業(yè)PC安全連接到網(wǎng)絡(luò)；通過(guò)互聯(lián)網(wǎng)或企業(yè)內(nèi)部網(wǎng)遠(yuǎn)程安全訪(fǎng)問(wèn)集成CP1628的工業(yè)PC；SIMATICS7-PCCP

CP1628

（6GK1162-8AA00）SIMATICS7-PCCP

CP1628

（6GK1162-8AA00）允許所有由NDIS和IE（工業(yè)以太網(wǎng)）接口發(fā)往外部的幀。②

阻止所有來(lái)自外部的幀。③

允許所有以下類(lèi)型的幀從外部發(fā)往安全模塊，反之也允許：?ESP協(xié)議（加密）?IKE（用于建立IPsec隧道的協(xié)議）?NAT穿越（用于建立IPsec隧道的協(xié)議）④

允許通過(guò)IPsec隧道進(jìn)行IP通信。⑤

安全模塊允許Syslog類(lèi)型的幀發(fā)往外部SIMATICS7-PCCP

CP1628

（6GK1162-8AA00）SIMATICS7-PCCP

CP1628

（6GK1162-8AA00）①

阻止所有來(lái)自外部的幀。②

允許所有從外部網(wǎng)絡(luò)發(fā)來(lái)的以下類(lèi)型的幀：?

具有帶寬限制的ARP?

具有帶寬限制的PROFINETDCP③

允許從安全模塊發(fā)往外部的以下類(lèi)型的幀：?

具有帶寬限制的PROFINETDCP④

允許通過(guò)IPsec隧道發(fā)送MAC協(xié)議。CP443-1Advanced

CP343-1Advanced

SOFTNETSecurityClient

(6GK1704-1VW04-0AA0)SOFTNETSecurityClientV4_HF1特點(diǎn):一款VPN客戶(hù)端軟件；允許用戶(hù)從WindowPC/PG訪(fǎng)問(wèn)IP網(wǎng)絡(luò)站，并通過(guò)SCALANCES或帶安全功能的CP提供保護(hù)。SOFTNET安全客戶(hù)端用戶(hù)可以建立與組態(tài)中指定的SCALANCES的VPN連接。用戶(hù)受益:通過(guò)VPN和防火墻將工業(yè)PC安全連接到網(wǎng)絡(luò)；通過(guò)互聯(lián)網(wǎng)或企業(yè)內(nèi)部網(wǎng)遠(yuǎn)程安全訪(fǎng)問(wèn)集成安全功能的工業(yè)PC或CP；SOFTNETSecurityClient

(6GK1704-1VW04-0AA0)SOFTNETSecurityClientV4_HF1特點(diǎn):SOFTNET安全客戶(hù)端可用于通過(guò)VPN與自動(dòng)化單元進(jìn)行安全通信。為實(shí)現(xiàn)PC/PG和相應(yīng)自動(dòng)化單元的自我保護(hù)，建議使用病毒掃描程序和Windows防火墻等附加措施。在Windows7中，必須啟用操作系統(tǒng)的防火墻才能建立VPN隧道。SCALANCEW的安全性能安全的工業(yè)無(wú)線(xiàn)通訊特點(diǎn):基于IEEE802.11i的訪(fǎng)問(wèn)安全支持IEEE802.1x(radius)；WPA/WPA2；TKIP/AES協(xié)議支持SSH支持ACL-MACbased支持L