电大一网一《工控系统安全运维》实训2：工控系统网络隔离实训报告模板-工控系统网络隔离.docxVIP

PAGE 1 PAGE 3 PAGE 2 信息安全与管理专业实训报告 学生姓名：邹敏 一、实训名称： 工控系统网络隔离 二、实训内容 总结分析工控系统中网络隔离方法，阐明工业控制网络中网络隔离优化的原则，说明工业防火墙的安全功能和部署位置，比较单防火墙、多防火墙部署的各自优缺点。总结工控网络冗余部署的实现方法，并简单的绘制工业生产网冗余部署的网络拓扑结构。 三、实验步骤 1、网络隔离技术网络隔离(Network Isolation)技术是网络安全技术的一个大类，是把两个或者两个以上可路由的网络(如TCP/IP)通过不可路由的协议(如IPX/SPX、 NetBEUI等) 进行数据交换而达到隔离目的。其主要原理是使用不同的协议，故也叫协议隔离。网络隔离的主要目的：将有害的网络安全威胁隔离开，以保障数据信息在可信网络内进行安全交互。 目前可以采用的隔离方法主要有以下三类：①物理隔离。通过一定软、硬件方法使得访问内、外网的设备、线路、存储均相对独立。②网络隔离。利用协议转换进行网间的数据交换。③安全隔离。利用专用设备实现仅在应用层进行数据交换 网络隔离的原理和分类尽管正在广泛地使用各种复杂的软件技术，如防火墙、代理服务器、侵袭探测器、通道控制机制，但是由于这些技术都是基于软件的保护，是一种逻辑机制，这对于逻辑实体(黑客或内部用户)而言是可能被操纵的，即由于其极端复杂性与有限性，这些在线分析技术无法满足某些组织(如军队、军工、政府、金融、研究院、电信等)提出的高度数据安全要求。 2、防火墙 防火墙最主要被部署在网络边界位置。防火墙作为实现网络安全的一种方式，主要用来拒绝未经授权用户的访问、存取敏感数据，同时允许合法用户访问网络资源不受影响。防火墙就是一种在内部与外部网络的中间过程中发挥作用的防御系统，具有安全防护的价值与作用，通过防火墙可以实现内部与外部资源的有效流通，及时处理各种安全隐患问题，进而提升了信息数据资料的安全性。 滤型防火墙。过滤型防火墙是在网络层与传输层中，可以基于数据源头的地址以及协议类型等标志特征进行分析，确定是否可以通过。在符合防火墙规定标准之下，满足安全性能以及类型才可以进行信息的传递，而一些不安全的因素则会被防火墙过滤、阻挡。 应用代理类型防火墙。应用代理防火墙主要的工作范围就是在 OSI 的最高层，位于应用层之上。其主要的特征是可以完全隔离网络通信流，通过特定的代理程序就可以实现对应用层的监督与控制。这两种防火墙是应用较为普遍的防火墙，其他一些防火墙应用效果也较为显著，在实际应用中要综合具体的需求以及状况合理的选择防火墙的类型，这样才可以有效地避免防火墙的外部侵扰等问题的出现。 复合型防火墙。截至 2018 年应用较为广泛的防火墙技术当属复合型防火墙技术，综合了包过滤防火墙技术以及应用代理防火墙技术的优点，譬如发过来的安全策略是包过滤策略，那么可以针对报文的报头部分进行访问控制；如果安全策略是代理策略，就可以针对报文的内容数据进行访问控制，因此复合型防火墙技术综合了其组成部分的优点，同时摒弃了两种防火墙的原有缺点，大大提高了防火墙技术在应用实践中的灵活性和安全性。 3、防火墙优缺点 1、防火墙能够强化安全策略 因为网络上每天都有上百万人在收集信息、交换信息，不可避免地会出现个别品德不良，或违反规则的人，防火墙就是为了防止不良现象发生的“交通警察”，它执行站点的安全策略，仅仅容许“认可的”和符合规则的请求通过。 2、防火墙能有效地记录网络上的活动 因为所有进出信息都必须通过防火墙，所以防火墙非常适用于收集关于系统和网络使用和误用的信息。作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。 3、防火墙限制暴露用户点 防火墙能够用来隔开网络中的两个网段，这样就能够防止影响一个网段的信息通过整个网络进行传播。 4、防火墙是一个安全策略的检查站 所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。 防火墙的缺点主要表现在以下几个方面： 1、不能防范恶意的知情者 防火墙可以禁止系统用户经过网络连接发送专有的信息，但用户可以将数据复制到磁盘、磁带上，放在公文包中带出去。如果入侵者已经在防火墙内部，防火墙是无能为力的。内部用户可以偷窃数据，破坏硬件和软件，并且巧妙地修改程序而不接近防火墙。对于来自知情者的威胁，只能要求加强内部管理，如主机安全和用户教育等。 2、不能防范不通过它的连接 防火墙能够有效地防止通过它的传输信息，然而它却不能防止不通过它而传输的信息。例如，如果站点允许对防火墙后面的内部系统进行拨号访问，那么防火墙绝对没有办法阻止入侵者进行拨号入侵。 3、不能防备全部的威胁 防火墙被用来防备已知的威胁，如果是一个很好的防火墙设计方案