第2章网络边界安全

2、网络边界安全：防火墙配置策略、入侵检测系统(IDS)部署、网络隔离技术(VLAN/网闸)

聊到EMS系统的网络边界安全，我脑子里第一个蹦出来的画面，就是十年前在某电厂看到的那台“裸奔”的服务器。当时整个监控网络就靠一台家用路由器撑着，连个像样的访问控制列表都没有。说实话，那会儿我后背都凉了。EMS系统一旦被突破，后果不堪设想。

今天咱们就掰开揉碎了，把边界安全的三个核心手段讲透。你想想看，边界安全说白了就是给EMS系统建一道“护城河”。河怎么挖、城墙怎么修、谁来站岗放哨，这就是防火墙、IDS和网络隔离技术要干的事。

2.1 防火墙配置策略：把门看严了

防火墙这东西，很多人觉得就是“开几个端口”的事。但我告诉你，EMS系统的防火墙配置，跟企业办公网完全是两码事。办公网讲究“方便”，EMS讲究“安全第一，能不通就不通”。

我个人习惯，给EMS系统配防火墙，第一件事就是做端口和服务梳理。你想想看，一个EMS系统到底需要哪些端口？IEC 61850通常用TCP 102，Modbus TCP用502，OPC DA用135和动态端口……这些必须一个一个列清楚。

  核心原则：默认拒绝所有流量，只放行明确需要的服务。这叫“白名单策略”。

我曾经在一个项目上，发现对方防火墙策略里开着3389远程桌面端口。一问，说是为了方便厂家远程调试。我当时就火了——这不是给黑客留后门吗？后来强制要求：所有远程维护必须通过VPN+堡垒机，防火墙只允许特定IP的VPN连接。

下面是我常用的一个防火墙策略模板，你可以参考：

# EMS系统防火墙策略示例（iptables风格）
# 默认策略：DROP所有入站流量
iptables -P INPUT DROP
iptables -P FORWARD DROP

# 允许已建立的连接回包
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许EMS服务器与PLC通信（IEC 61850）
iptables -A INPUT -s 192.168.10.0/24 -d 192.168.20.10 --dport 102 -j ACCEPT

# 允许HMI访问历史数据库（SQL Server 1433）
iptables -A INPUT -s 192.168.30.0/24 -d 192.168.20.20 --dport 1433 -j ACCEPT

# 记录所有被拒绝的流量（便于排查）
iptables -A INPUT -j LOG --log-prefix "EMS-DROP: " --log-level 4

避坑指南：我曾经见过有人把防火墙日志级别设成debug，结果一天产生了几十G日志，直接把磁盘撑爆了。建议用info级别，配合日志轮转策略。

2.2 入侵检测系统(IDS)部署：装个“电子眼”

防火墙是“防”，IDS是“看”。说白了，防火墙挡不住所有的攻击，尤其是那些利用合法端口搞事的。这时候就需要IDS来盯着。

我记得有一次，某水厂的EMS系统突然出现异常流量。防火墙策略没问题，端口都正常，但就是感觉不对劲。后来部署了Snort IDS，一分析发现有人在用Modbus协议搞“写线圈”操作——这明显是攻击行为。幸亏发现得早，不然整个供水系统都可能被控制。

部署IDS，我建议关注三个要点：

传感器位置：核心交换机镜像端口、边界路由器出口、关键服务器前端。别图省事只放一个点。
规则库更新：工控协议的特征库跟IT不一样。像Modbus、DNP3、IEC 104这些协议，有专门的规则集。我习惯每周更新一次。
告警阈值：别把阈值设得太低，否则全是误报，运维人员会麻木。我曾经见过一个系统，一天告警两千条，结果没人看——等于白装。

注意：IDS只能检测，不能阻断。别指望它替你挡攻击。真要阻断，得上IPS（入侵防御系统）。但工控环境慎用IPS，误阻断可能导致生产中断。

下面是一个简单的Snort规则示例，专门检测Modbus非法写操作：

# 检测Modbus写单个线圈（功能码05）
alert tcp $EXTERNAL_NET any -> $MODBUS_SERVER 502 (
  msg:"Modbus - 非法写线圈操作";
  content:"|00 05|";  # 功能码05
  depth:2;
  offset:7;
  sid:1000001;
  rev:1;
)

2.3 网络隔离技术(VLAN/网闸)：物理上的“防火墙”

嗯，这里要注意。网络隔离是最后一道防线，也是最硬的一道。防火墙和IDS都是软件层面的，但VLAN和网闸是实实在在把网络切开了。

VLAN（虚拟局域网），说白了就是把一个物理网络切成多个逻辑网络。EMS系统里，我习惯这样划分：

VLAN ID	用途	包含设备	安全等级
10	过程控制层	PLC、RTU、DCS控制器	最高
20	监控层	HMI、工程师站、历史服务器	高
30	管理层	MES、ERP接口、报表服务器	中
40	办公网络	OA、邮件、互联网	低

VLAN之间靠三层交换机或路由器通信，配上严格的ACL。但说实话，VLAN还是逻辑隔离，真正要命的地方，得用网闸。

  网闸的核心：物理上切断网络连接。数据通过“摆渡”方式传输——先写到中间存储区，再读出去。攻击者不可能通过网络直接打到另一侧。

我曾经在某个石化项目上，要求控制层和管理层之间必须加网闸。对方觉得贵，想用防火墙代替。我直接说：防火墙挡不住零日漏洞，网闸可以。后来他们还是装了。结果第二年就爆出某个防火墙漏洞，他们庆幸当时听了我的建议。

网闸部署时，有几个关键点：

协议剥离：网闸会把应用层协议拆开，只传输纯数据。比如OPC数据，网闸会把COM/DCOM封装去掉，只传数值。
单向传输：控制层数据只能往外传，不能往里写。这是硬性要求。
冗余设计：关键系统建议双网闸热备，避免单点故障。

个人经验：网闸的带宽通常有限，别指望用它传大文件或视频流。我见过有人拿网闸传高清监控视频，结果延迟高得没法用。该用光纤的地方还是用光纤。

好了，边界安全这块，说白了就是三层防护：防火墙做第一道过滤，IDS做第二道监控，VLAN/网闸做第三道隔离。三者缺一不可。你想想看，如果只靠防火墙，万一被绕过怎么办？如果只靠IDS，发现攻击时已经晚了。只有层层设防，才能让EMS系统真正安全。

📚 课程目录

2、网络边界安全：防火墙配置策略、入侵检测系统(IDS)部署、网络隔离技术(VLAN/网闸)

2.1 防火墙配置策略：把门看严了

2.2 入侵检测系统(IDS)部署：装个“电子眼”

2.3 网络隔离技术(VLAN/网闸)：物理上的“防火墙”