边界防护要解决什么
边界防护在等级保护工控扩展要求中对应安全区域边界这一方面，核心是「只在必要的边界、按必要的方式、放行必要的流量」，并要求对跨越边界的访问进行控制、检查与记录。工控场景的特殊性在于边界往往不是一台防火墙，而是由工业防火墙、网关、单向传输设备与交换机访问控制共同构成；放行依据也不只是端口，而是工艺数据流的方向与协议语义。
需要具备的能力
| 边界隔离 | 按区域与管道划分，跨区流量只走登记通道 |
|---|---|
| 访问控制 | 基于源、目的、协议、功能码或寄存器范围的细粒度规则 |
| 协议检查 | 对工业协议做语法与语义校验，拦截异常报文 |
| 异常检测 | 识别异常指令、异常站号、扫描与暴力探测行为 |
| 安全审计 | 跨区通信、策略变更与登录行为留存日志可追溯 |
| 介质管控 | 限制外接设备与离线介质，防范摆渡感染 |
四个层面的落地
| 层面 | 措施 | 常见问题 |
|---|---|---|
| 网络层 | 区域划分与策略收敛，默认拒绝 | 为省事放行整段地址范围 |
| 协议层 | 工业协议白名单与功能码限制 | 只限制端口不限制可写功能 |
| 主机层 | 工位权限与账户限制、外设管控 | 工程师站接入办公网络 |
| 流程层 | 变更审批与定期复核 | 临时规则不回收、变更无记录 |
实施顺序建议
- 先摸清真实数据流：用被动流量确认哪些通信是生产必需的，避免按图纸设计
- 再按区域与管道设计策略：把必要通信写成清单，其余默认拒绝
- 在测试环境验证：先在旁路或备用设备上验证规则，避免直接影响生产
- 分批上线并观察：结合流量与工艺指标确认无异常后再逐步收紧
- 上线后建立复核机制：每次变更登记，定期清理已无业务理由的规则
工控协议白名单通常比端口白名单更有效：多数工业协议缺少认证机制，限制「谁可以写、可以写哪些功能码或地址段」比只限制端口更能压缩攻击面。是否支持功能码与地址级过滤取决于设备能力，具体以厂商文档为准。
边界策略误配是工控环境中最直接的停机原因之一：方向写反、地址转换配置不当或会话超时过短，都可能让控制器与上位机失联。策略上线前应准备回退方案并安排现场值守。