电力专用防火墙与安全运维审计产品

按网络拓扑定。生产控制大区内安全区之间做逻辑隔离，常用透明模式串接——接入时不必调整现有地址规划，改动最小；各安全区处于不同网段时用路由模式；如果只想先评估现网流量而不阻断业务，可先用旁路模式观察一段时间再决定策略。部署前把业务流向和需要开放的端口梳理清楚，策略才配得准。

主要差异在适用场景与选型要求。电力专用防火墙面向电力监控系统的运行环境，在电磁兼容、供电方式、长期连续运行等方面按电力现场条件设计，策略配置也贴合电力业务的通信特点；通用防火墙面向办公网、业务网等常规网络环境。

不能。防火墙本质上仍是按策略转发数据包，隔离装置采用内外处理单元与隔离交换结构，内外系统不同时连通，隔离强度更高。电力监控系统生产控制大区与管理信息大区之间的横向边界要求使用隔离装置，防火墙用于分区内部与关键主机的访问控制。

防火墙按既定策略决定放行或拦截，属于事前控制，串接在链路上；入侵检测以旁路方式分析流量，负责发现已经绕过边界进入网络的扫描、攻击等异常行为，属于事中发现，本身不阻断业务。两者定位互补，等级保护相关要求中通常都需要配置。

运维人员访问服务器与网络设备的统一入口。所有运维访问都经它转发，运维人员不再直接掌握目标设备的账号密码，权限按人员或岗位分配，操作过程可全程录像并回放。对第三方厂家远程运维的管控尤其有价值。

不重复，防护位置不同。防病毒网关工作在网络边界，检查穿过边界的流量与文件；防恶意代码系统侧重主机侧的防护与集中管理。项目中常同时配置，分别覆盖网络侧与主机侧。

扫描过程会对被扫目标产生一定负载，因此生产控制区内的扫描需要提前评估影响，并安排在业务空闲的时间窗口执行。管理信息区的常规扫描影响通常较小。