implementing-ics-firewall-with-tofino

name	implementing-ics-firewall-with-tofino
description	部署和配置Belden/Hirschmann的Tofino工业防火墙，利用深度包检测（DPI）保护SCADA系统和PLC，支持包括Modbus、EtherNet/IP、OPC和S7comm在内的OT协议，在ICS安全区域之间强制执行精细化访问控制。
domain	cybersecurity
subdomain	ot-ics-security
tags	["ot-security","ics","firewall","tofino","belden","deep-packet-inspection","network-security","scada"]
version	1.0
author	mahipal
license	Apache-2.0

使用Tofino实现ICS防火墙

适用场景

• 在关键PLC或RTU前部署区域级防火墙保护
• 需要对工业协议（Modbus、EtherNet/IP、OPC、S7comm）进行深度包检测
• 实现具有协议感知执行的IEC 62443区域和管道边界
• 保护无法打补丁且需要补偿控制措施的遗留PLC
• 在不影响现有工业通信的情况下对控制网络区域进行分段

不适用于企业IT防火墙部署、IT与OT之间的周界防火墙（在DMZ处使用Palo Alto/Fortinet），或仅使用基于IP协议而无OT特定DPI需求的环境。

前置条件

• 带有适当许可证的Tofino Xenon设备或Tofino虚拟设备
• 用于集中策略管理的Tofino中央管理平台（CMP）
• 显示PLC/RTU位置和通信需求的网络拓扑图
• OT协议通信基线（Modbus功能码、EtherNet/IP CIP服务）
• 在网络区域之间内联部署的变更管理审批

工作流程

步骤 1：设计Tofino部署架构

# Tofino ICS防火墙部署架构
# 使用深度包检测进行区域级保护

deployment_zones:
  zone_1_reactor_control:
    tofino_appliance: "TOFINO-XN-001"
    deployment_mode: "inline_bridge"
    protected_assets:
      - name: "PLC-REACTOR-01"
        ip: "10.10.1.10"
        vendor: "Siemens S7-1500"
        protocols: ["S7comm/102", "Profinet"]
      - name: "PLC-REACTOR-02"
        ip: "10.10.1.11"
        vendor: "Siemens S7-1500"
        protocols: ["S7comm/102", "Profinet"]
    authorized_communications:
      - source: "10.10.2.50"  # 工程师工作站
        dest: "10.10.1.0/24"
        protocols: ["S7comm"]
        access_type: "engineering"
      - source: "10.10.2.10"  # HMI服务器
        dest: "10.10.1.0/24"
        protocols: ["S7comm"]
        access_type: "operational"

  zone_2_packaging:
    tofino_appliance: 
     
    
        
         
         
         [, ]
    
          
         
         []
         

  
     
     
    
        
         
         
         []
    
          
         
         []
         [, , , ]  

步骤 2：配置深度包检测规则

#!/usr/bin/env python3
"""Tofino ICS防火墙规则生成器。

根据通信基线分析，生成带有工业协议
深度包检测的Tofino防火墙规则。
"""

import json
import sys
from datetime import datetime
from typing import Dict, List


class TofinoRuleGenerator:
    """生成Tofino ICS防火墙DPI规则。"""

    def __init__(self):
        self.rules = []
        self.rule_id = 1000

    def add_modbus_rule(self, src: str, dst: str, allowed_funcs: List[int],
                        allowed_registers: List[dict] = None, description: str = ""):
        """生成Modbus DPI规则。"""
        func_names = {
            1: "read_coils", 2: "read_discrete_inputs",
            3: "read_holding_registers", 4: "read_input_registers",
            5: "write_single_coil", 6: "write_single_register",
            15: "write_multiple_coils", 16: "write_multiple_registers",
        }

        rule = {
            "rule_id": .rule_id,
            : ,
            : ,
            : src,
            : dst,
            : ,
            : {
                : [
                    {: fc, : func_names.get(fc, )}
                     fc  allowed_funcs
                ],
                : [
                    fc  fc  (, )  fc   allowed_funcs
                ],
            },
            : description,
            : ,
        }

         allowed_registers:
            rule[][] = allowed_registers

        .rules.append(rule)
        .rule_id += 
         rule

     ():
        
        operation_map = {
            : {: , : },
            : {: , : },
            : {: , : },
            : {: , : },
            : {: , : },
            : {: , : },
            : {: , : },
        }

        rule = {
            : .rule_id,
            : ,
            : ,
            : src,
            : dst,
            : ,
            : {
                : [
                    operation_map[op]  op  allowed_operations  op  operation_map
                ],
                :    allowed_operations,
                :    allowed_operations,
            },
            : description,
            : ,
        }

        .rules.append(rule)
        .rule_id += 
         rule

     ():
        
        rule = {
            : .rule_id,
            : ,
            : ,
            : src,
            : dst,
            : ,
            : {
                : allowed_services,
                : ,
                :    allowed_services,
            },
            : description,
            : ,
        }

        .rules.append(rule)
        .rule_id += 
         rule

     ():
        
        .rules.append({
            : ,
            : ,
            : ,
            : ,
            : ,
            : ,
            : ,
            : ,
        })

     () -> :
        
        config = {
            : {
                : datetime.now().isoformat(),
                : ,
                : ,
                : ,
                : ,
                : .rules,
            }
        }
         json.dumps(config, indent=)

     ():
        
        ()
        ()
        ()
        ()
        ()

         rule  .rules:
            action_icon =   rule[] ==   
            ()
            ()
            ()
               rule:
                dpi = rule[]
                   dpi:
                    funcs = [f[]  f  dpi[]]
                    ()
                   dpi:
                    ops = [o[]  o  dpi[]]
                    ()


 __name__ == :
    gen = TofinoRuleGenerator()

    
    gen.add_modbus_rule(
        src=,
        dst=,
        allowed_funcs=[, , , ],
        description=,
    )

    
    gen.add_s7comm_rule(
        src=,
        dst=,
        allowed_operations=[, , , , ],
        description=,
    )

    
    gen.add_s7comm_rule(
        src=,
        dst=,
        allowed_operations=[, , ],
        description=,
    )

    
    gen.add_ethernet_ip_rule(
        src=,
        dst=,
        allowed_services=[, , ],
        description=,
    )

    gen.add_default_deny()
    gen.print_summary()

核心概念

术语	定义
Tofino Xenon	Belden/Hirschmann工业防火墙设备，具备OT协议深度包检测能力
深度包检测（DPI）	检查标头之外的报文载荷内容，对工业协议操作强制执行细粒度规则
内联桥接模式（Inline Bridge Mode）	透明部署模式，防火墙位于网络段之间，无需更改IP地址
失败开放（Fail-Open）	安全模式，设备故障时防火墙放行所有流量，维持过程可用性
可加载安全模块（LSM）	Tofino插件模块，为Modbus、EtherNet/IP、OPC或其他协议提供特定协议DPI
中央管理平台（CMP）	Tofino集中管理服务器，用于跨多个Tofino设备部署和管理策略

输出格式

TOFINO部署报告
===========================
日期: YYYY-MM-DD
已部署设备数: [数量]

各设备摘要:
  [设备ID]:
    模式: 内联桥接
    故障安全: 失败开放
    受保护资产: [数量]
    规则: [数量]
    DPI协议: [列表]

规则摘要:
  允许规则: [数量]
  拒绝规则: [数量]
  DPI强制规则: [数量]

监控:
  阻止的数据包（24小时）: [数量]
  DPI违规（24小时）: [数量]