更换已到使用寿命的工业防火墙时，最佳决策应基于部署模式、协议覆盖范围、策略制定方法、认证情况及许可条款，而不能仅凭品牌名称来决定。这五个因素决定了替换后的设备能否保留现有的网络架构、保护正在运行的特定工业设备，并符合环境的合规性和预算要求。供应商推荐的替代产品虽可作为研究的合理起点，但不能替代对该产品进行此检查清单的全面评估。
主要收获
- 部署模型决定了您需要重新设计网络的范围。不分配 IP 地址的透明内联防火墙可保留现有的地址分配；而路由型防火墙则会改变它。
- 协议支持必须与您的环境相匹配，而不是与供应商的总清单相匹配。有些供应商会将特定协议家族划入相互排斥的独立许可层级中，因此请务必确认报价中具体涉及的是哪个 SKU。
- 策略的制定方式与防火墙阻挡的内容同样重要。一款能够实时监控流量并利用机器学习制定策略基准的防火墙，可以避免因根据过时的网络拓扑图编写规则而导致的常见故障。
- 认证因具体型号而异，而不仅仅取决于厂商。厂商的旗舰认证（例如针对变电站的 IEC 61850-3 认证）并不自动适用于该厂商产品线中的每款硬件型号。
- “支持合规”和“已通过认证”是两种不同的声明。大多数工业防火墙并未作为设备本身通过IEC 62443或NERC CIP等框架的独立认证；它们只是支持这些框架所要求的网络分段和日志记录功能。对于任何一个框架的设备认证声明，都应视为需要直接核实的警示信号。
从部署模式入手，而非品牌名称
工业防火墙有两种部署方式，选择哪种方式将影响现有网络需要进行多少改动。透明的内联设备位于流量路径中，本身不拥有IP地址，从而保留了现有的地址分配和路由设置。而路由型设备则拥有自己的IP地址，并直接参与网络层的工作，这虽然可以增强功能，但也增加了重新设计的工作量。
这两种部署模式都没有绝对的优劣之分。透明部署能将迁移影响降至最低，这一点在替换已使用多年的防火墙（例如贝尔登的Tofino Xenon）时尤为重要。而路由部署则能为新建环境提供更大的灵活性，因为在这种环境中，网络设计是以防火墙为核心展开的，而非反之。
使协议覆盖范围与您的实际环境相匹配
针对 Modbus、DNP3、EtherNet/IP 和 IEC 61850 等工业协议的深度数据包检测，正是工业防火墙与应用于运营技术（OT）网络的通用网络防火墙之间的区别所在。关键问题不在于供应商列出了多少种协议，而在于报价中的产品型号（SKU）是否涵盖了该环境中运行的具体协议。
- 请按 SKU 索取协议列表，而非按产品系列。某些供应商会将协议系列（例如通用协议集与 GE 协议这类供应商专属协议集）作为独立且互斥的选项进行授权，并在固件中强制执行。
- 确认检查是否涵盖加密隧道。如果该环境使用 IPsec 或 OpenVPN 进行供应商访问或多站点连接，请具体询问协议检查是否适用于这些隧道内部，还是仅适用于未加密的流量。请务必以书面形式确认这一点，不要仅凭功能列表中的描述就做出假设。
评估安全政策的制定与维护过程
工业防火墙最终长期处于“仅监控”模式的最常见原因在于，没有人能对合法流量的特征形成明确且最新的认知。有两种方法可以从不同角度解决这个问题。
- 手动制定策略需要有人根据网络拓扑图编写防火墙规则，这些规则在编写之日是准确的，但此后会逐渐与实际情况产生偏差。
- 学习型或行为基线模式会在一个定义好的时间窗口内观察实时流量，并根据当前运行情况起草策略，随后对未来偏离该基线的情况进行标记。这缩短了从安装到实际执行的周期。
根据您的具体行业领域和机型核对认证信息
认证是针对具体硬件型号授予的，不会自动适用于该厂商的整个产品系列。某厂商的最高端型号可能已获得针对变电站和电力公用事业环境的认证（例如 IEC 61850-3 或 IEEE 1613），而同一系列中体积较小或端口数量较少的型号则可能未获得该认证。请务必查阅您正在考虑的具体型号的数据手册。
垂直领域 / 需求 | 确认证书 | 多层次资安解决方案为何重要？ |
电力变电站 | IEC 61850-3、IEEE 1613 | 规定了变电站设备的电磁兼容性和环境耐受性要求 |
危险或受管制场所 | C1D2 | 在存在可燃气体或粉尘风险的环境中部署时必须使用 |
通用硬件认证 | CE、FCC | 针对非受控工业环境的基准可靠性预期 |
Industrial 网络安全 | IEC 62443-4-2（SL2、SL3） | 独立验证防火墙的安全功能以及供应商的安全开发流程，而不是依赖于供应商的自我声明 |
“支持合规”与“已通过认证”并非同一说法
IEC 62443 和 NERC CIP 等标准规范的是组织计划和系统架构，而非孤立的单一设备，因此大多数工业防火墙并未作为独立产品在上述任一标准下获得单独认证。防火墙可以支持这些标准所要求的网络分段、访问控制和审计日志记录功能，而无需其本身获得“IEC 62443 认证”或“NERC CIP 认证”。 如果供应商针对设备本身做出此类具体认证声明，请询问该认证由哪个机构颁发以及认证范围涵盖哪些内容。
了解许可和所有权模式
Industrial 防火墙采用多种许可模式销售：永久许可型设备（一次性硬件成本）、订阅续费（定期费用）、基于功能（协议或功能扩展）、基于吞吐量（带宽分级）、基于协议（按协议许可）以及集中管理许可（多站点可视化平台）。 在设备的整个使用寿命期间，每种模式对总体拥有成本的影响各不相同。从永久许可切换到订阅许可，或者叠加功能、吞吐量或管理许可，都会带来持续的预算负担，这些因素在评估阶段就值得明确了解，而不是等到实施或续约时才发现。
跨多个站点的集中管理计划
如果替换方案需要逐一登录每台设备，那么其可扩展性将仅限于少数几个站点。无论采用本地部署还是云端托管，集中化管理都应能够从一个地方对所有已部署设备进行策略分发、状态收集以及报告生成。
在做出涉及整个庄园的承诺之前，应先要求进行有限范围的试点
在正式实施前，以监控模式运行一个单区域试点项目，并预先商定明确的成功标准，可降低因架构变更导致计划外停机的风险。全系统范围的替换应作为后续讨论事项，而非首要议题。
更换评估检查表
- 部署模式：透明/内联或路由模式，以及哪种模式能保留您现有的网络架构
- 协议覆盖范围：已针对您的实际环境和报价中的具体 SKU 进行确认，而非一般的产品系列列表
- 策略制定方法：手动编写规则，或基于学习/行为基准
- 认证：已针对所考虑的具体型号进行验证，并非根据厂商的旗舰产品推断得出
- 合规性表述：“符合”框架的要求与未经核实的设备认证声明
- 许可模式：永久设备许可或订阅许可，以及每种模式对应的总体拥有成本
- 集中管理：从一个地方对所有站点进行策略分发和报告
- 试点范围：在做出全系统范围决策之前，先进行一项单区域、监控模式的概念验证，并事先商定成功标准。
MetaDefender 、Industrial 、Firewall 如何适用于本检查清单
MetaDefender Industrial Firewall™是OPSWAT 专为 OT 网络打造的工业防火墙，是专为运营技术（OT）和网络物理系统（CPS）设计的，而非由 IT 产品改造而来。 对照上述清单：该产品同时支持透明的内联部署和路由部署；其“学习模式”可根据观察到的流量自动生成安全策略，而无需手动设置规则；提供四端口和八端口硬件版本，其中八端口型号支持IEC 61850-3和IEEE 1613标准，适用于变电站和电力公用事业；并可与My 的OPSWAT™（Central Management ）集成，以实现跨多个站点的策略管理和报告功能。 该设备支持符合 IEC 62443 和 NERC CIP 要求的网络分段，这与上述合规性说明一致：即此为功能支持声明，而非设备认证声明。此外，该设备已通过 C1D2 认证，适用于恶劣环境。
请根据此检查清单自行进行替换评估，然后查看MetaDefender 、Industrial 和Firewall 是否符合您具体环境的需求。
常见问题
透明模式和路由模式的工业防火墙部署之间有什么区别？
透明的内联防火墙本质上是一个不具备 IP 地址、直接位于流量路径中的第 2 层桥接器，它能够保留现有的网络地址结构。路由型防火墙则作为第 3 层设备运行。它拥有自己的 IP 地址并参与网络层通信，虽然能增强功能，但部署时需要进行更多的网络重构。
工业防火墙是否需要通过 IEC 62443 或 NERC CIP 认证？
大多数工业防火墙均未作为独立设备在上述任一框架下获得独立认证，因为这两个框架主要规范的是组织层面的计划和系统架构，而非单一产品。应选择能够满足这些框架所要求的网络分段和审计要求的防火墙，并对未经认证的设备认证声明进行直接核实。
工业防火墙如何制定其安全策略，这为什么很重要？
一种需要根据网络拓扑图手动编写规则的防火墙，其准确性完全取决于该拓扑图，而拓扑图往往会过时。而能够观察实时流量并起草策略基线的防火墙，则缩短了从安装到实际执行的周期，并能真实反映当前的运行状况。
为什么同一厂商的不同机型认证会有所不同？
诸如 IEC 61850-3 或 IEEE 1613 之类的认证是针对每个硬件型号单独获得并公布的，不会在整个产品系列中自动继承。某厂商的顶级型号可能拥有某项认证，而同一产品线中规格较低或端口数量较少的型号则可能不具备该认证，因此需要根据具体型号的规格书进行核对。
在全面推广之前，试点部署应持续多长时间？
时间应足够长，以便观察到具有代表性的正常运行情况；在监控模式下运行，并采用预先商定的成功标准，且仅限于单一区域。其目的是在执行策略之前对策略基线建立信心，而非固定天数。
许可模式会影响总体拥有成本吗？
是的。永久许可设备只需一次性硬件成本，并可选择续订技术支持服务；而订阅模式则将许可费用纳入了定期付款中。这两种模式本身并没有哪一种更便宜；要进行恰当的比较，需要考虑设备的预期使用寿命，以及组织在资本支出与经常性支出之间的预算分配情况。
