Tofino，中文名譯為“多芬諾”。Tofino安全公司是世界領先的工業安全產品製造商，Tofino工業安全解決方案，是一個由獨特的硬體和軟體搭建的安全平台，保護工業控制系統及網路不會遭到攻擊與破壞。比較著名的產品是Tofino工業防火牆，該產品已經在石油和天然氣，核電廠，冶金，化工，水廠，醫藥，公用事業等行業套用，同時其部分產品為Honeywell、MTL、Invensys-Triconex等國際知名製造商OEM生產。
TOFINO 一款針對工業網路設計的防火牆
基本介紹
- 中文名：Tofino
- 雙電源輸入：12-60VDC
- 溫度：-40°C到+70°C
- 溫度：0°C 到 60°C
- 網路接口：銅和/或光纖
Tofino工業防火牆產品構成,Tofino工業防火牆產品構成詳解,Tofino實現的目標,Tofino防火牆的套用範圍,Tofino防火牆具有的獨特優勢,傳統防火牆特點,Tofino防火牆的專有特點,Tofino在中國,
Tofino工業防火牆產品構成
1
多芬諾(TM)安全設備模組 (TSA)
2、Tofino(TM) Loadable Security Modules (LSM)多芬諾(TM)可裝載安全軟外掛程式 (LSM)
3、Tofino(TM) Central Management Platform (CMP)
組態軟體-中央管理平台(CMP)
Tofino工業防火牆產品構成詳解
1、Tofino安全模組（TSA）——硬體設計遵循增強型工業環境要求，套用於受保護的區域或控制器等關鍵設備之前，設計使用壽命27年。
◆TSA-220
硬體規格：
●外形類似普通的I / O模組和隔離器
●
●
●繼電器開關輸出
● 銅和/或光纖網路接口
● MUSIC 安全認證
◆TSA-100
硬體規格：
● 外形類似普通的I / O模組和隔離器
●
●雙電源輸入
● 故障繼電器輸出報價
● 二區保護, 具備FM和ATEX認證
● MUSIC 安全認證
2、中央管理平台（CMP）：
◆集中組態,管理和監測所有Tofino安全設備模組(TSA)及所在網路，操作簡單。
網路地圖可拖放模組、通訊協定等來制定你的網路規則。
◆組態軟體界面
◆中央管理平台（CMP）： 操作簡單
3、 Tofino(TM)可裝載安全軟外掛程式(LSM):
◆LSM 是軟體外掛程式，提供諸如安全服務：
● Firewall防火牆
●Secure Asset Management資產管理
●OPC Enforcer OPC通訊安全外掛程式
●Modbus TCP Enforcer Modbus通訊安全外掛程式
●Event& Log 事件報警記錄
●VPN
◆每個LSM外掛程式是可下載到多芬諾(TM) 安全設備模組(TSA)里，使它能夠提供可定製的安全功能，這取決
於控制系統的要求。
Tofino實現的目標
●區域隔離：Tofino工業防火牆外掛程式能夠過濾兩個區域網路間的通信。 這樣意味著網路故障會被控制在最初
發生的區域內，而不會影響到其它部分；
●深度檢查：面向套用層對特有的工業通訊協定進行內容深度檢查，告別病毒庫升級缺陷；
●通信管控：通信規則是可以通過中央管理平台進行線上組態和測試的；
問，都會在中央管理平台產生實時報警信息，從而故障問題會在原始發生區域被迅速的發現和解
決。
Tofino防火牆的套用範圍
1、對脆弱的控制器進行保護（Controller）
控制網路上的PLC, DCS, ESD和 RTU對現場實時控制來說非常有效，但就網路連線來說它們都不是很強
壯，甚至一般的網路攻擊，比如廣播和多點傳送信息就會使一些設備過載而導致受到破壞。
2、提升網路區域劃分（OPC Communication）
許多控制系統是從簡單獨立的系統發展成複雜複合網路的，在這些網路中，各個子系統之間未經隔離並
且一般都沒有保護措施，所以會導致如果一個區域出現問題，很快就會傳染到整個網路.
3、避免突發事故和惡意入侵（Eng&APC Stations）
即使沒有連線到Internet，您的控制系統仍然是有風險的。研究表明，大量的網路安全事故發生在各種各
樣的進入網路的次要入口處，例如公司網路、維護時的臨時連線、第三方網路（比如合作商和服務
商），甚至一些可移動介質如筆記本電腦和隨身碟等。
4、Tofino防火牆的套用範圍涵蓋：
●工程師站隔離
● APC防護
● ESD防護
● Modbus防護
●控制器防護
● 控制網與信息網隔離（OPC DA/HAD/A&E）
● SCADA 防護
●MES網路防護
Tofino防火牆具有的獨特優勢
與傳統防火牆相比，Tofino防火牆具有的獨特優勢：
傳統防火牆特點
傳統防火牆分3類：包過濾防火牆，狀態檢測防火牆，套用代理防火牆。
1、包過濾防火牆：
工作原理:
根據已經定義好的過濾規則來審查每個數據報，並確定該數據報是否與過濾規則匹配，從而絕地的那個數據報是否能通過。
工作在網際層 、傳輸層
缺點：
●包過濾技術主要依據是在IP報頭中的各種信息，但IP包中信息的可靠性沒有保證，IP源地址可以偽造，
通過內部合謀，入侵者輕易就可以繞過防火牆。
●並非所有的服務都與靜態連線埠綁定，包過濾只能夠過濾IP位址，所以不能識別相同IP位址下不同的用
戶，從而不具備身份認證的功能。
●工作在網際層和傳輸層，不能檢測那些對高層進行的攻擊
●如果為了提高安全性而是用很複雜的過濾規則，那么效率就會大大降低
●對每一個數據報單獨處理不具備防禦Dos攻擊和DDos攻擊的能力
工作原理:
在基本包過濾的基礎上增加了狀態檢測的功能，它記錄和跟蹤所有進出數據報的信息，對連線的狀態進行動態維護和分析，一旦發現異常的流量或異常連線，就動態生成過濾規則。
工作在 網際層 傳輸層
缺點：
不能對套用層數據進行控制，不能記錄高層次的日誌。
3、套用代理防火牆
工作原理:
基於軟體實現，包含3個模組，客戶代理模組，伺服器代理模組，過濾模組。客戶代理模組負責處理客戶訪問請求，由過濾模組分析和決定是否接受請求
工作在 套用層
缺點：
工作效率低，對不同的套用層服務都可能需要定製不同的套用代理防火牆軟體，缺乏靈活性，不易擴展，目前常規套用代理防火牆僅限於HTTP、FTP、 SMTP通訊協定，沒有針對工業通訊協定的套用。
Tofino防火牆的專有特點
1、 工業型防火牆：
(1)內置50多種專有工業通信協定，與常規防火牆不同的是，Tofino防火牆是基於內置工業通訊協定的防護模式，由於工業通訊協定通常是基於常規TCP/IP在套用層的高級開發所以該防火牆不僅是在連線埠上的防護，更重要的是基於套用層上數據包深度檢查，屬於新一代工業通訊協定防火牆，為工業通訊提供獨特的、工業級的專業隔離防護解決方案。
(3)工業型設計，導軌式安裝，低功耗無風扇，具備二區防爆認證。
2、 獨有專利安全連線技術：
(1) 首先防火牆自身是基於非IP的獨有專利安全連線技術進行管理，能夠阻擋任何欺騙式攻擊。
(2) 能夠隱藏防火牆後端所有設備的IP位址，讓入侵者無法發現目標，更無從談發動任何攻擊。
(3) 集防火牆與虛擬路由於一身，能夠像網路交通警察一樣管控通訊網路數據通訊的路徑、對象以及數據流的方向，可以設定數據流入、流出的單向或雙向。
3、實時網路通訊透視鏡：
能夠為目前控制網路故障分析、監控、記錄提供一個簡單、有效的可靠工具，能夠確切的觀察、分析、控制網路通信電纜中所使用的通訊協定、數據速度、訪問對象等。實現對非法通信的實時報警、來源確認、歷史記錄，保證控制網路通訊的實時診斷。
