空气间隙和分割是保护OT网络的常见概念，目的是将入侵和威胁隔离到网络的有限部分，从而最大限度地减少其危害。除非攻击者获得了对隔离的计算机网络的物理访问权限，否则他们是无法被攻破的。
尽管如此，空气间隙网络在实践中很难处理。单是维护带来的麻烦就使得真正的气隙网络除了对最敏感的应用程序之外，对所有应用程序都是不切实际的。因此，网络工程师通常会使用近似于空气间隙的软件解决方案，如防火墙和数据二极管。
防火墙已经是几十年的基准信息安全工具，这意味着大多数网络工程师可能熟悉并使用它们。虽然数据二极管也已经几十年来使用，但其实施先前已被限制在高安全设施中。他们最近才开始私下获得受欢迎程度OT网络.
虽然防火墙长期以来一直是分段网络的基岩 - 用于防火墙和数据二极管的用例，甚至可以在同一网络内部署。随着数据二极管抽头变化，我们想回顾一下区别是什么，以及如何使用它们。
数据二极管和防火墙的区别是什么?
防火墙是一个很好的信息安全工具和用于保护网络的订书钉。防火墙是一个障碍系统或“网守”，用于根据内置策略引擎的决策停止，过滤或重定向外部网络之间的流量。
例如，进入网络的某些类型的流量，例如来自已知钓鱼网站或僵尸网络的流量，可能会被自动阻止。其他类型的流量，如电子邮件，将通过内联安全工具转移，并扫描恶意软件。
因为防火墙是基于软件并依赖于策略的，攻击者有时可以利用防火墙配置中的错误来绕过它。或者，攻击者可能会利用防火墙本身的现有漏洞，允许他们进行真正的攻击接管防火墙然后接受他们需要的任何交通。最后，某些形式的DDoS攻击会使防火墙过载，然后导致网络瘫痪，造成数小时代价高昂的计划外停机。
数据二极管也是一种安全屏障系统，但是使用单向数据传输协议强制网络段之间的物理分离，旨在消除后门攻击或漏洞。
与防火墙相比，数据二极管理论上不基于软件，使用基于硬件的安全机制在物理上强制单向流量，允许数据单向流动，阻止潜在攻击者访问网络流量。
因为数据二极管不是基于策略的，所以攻击者不会利用任何配置错误。数据二极管被认为不依赖于“智能软件”处理，尽管它们使用软件将通信协议从双向转换为单向。而且数据二极管不允许外部流量，因此它们不会受到DDoS攻击的影响。
数据二极管是一个相对简单的设备，但由于其简单性，它为物理气隙创造了下一个最佳的东西，一个人真的不可能从外面突破。
数据二极管和防火墙用例之间的主要差异 - 是数据二极管提供了一种物理和电气分离层，旨在通过段之间的单向流量来消除攻击风险。防火墙提供可配置的代码和策略，旨在停止或重新路由被标记的流量进入网络。
数据二极管和数据二极管TAP的区别是什么?
播放有两种不同的用例，都基于同一概念。典型的数据二极管通过网络段之间的单向流量，如操作和企业级别。其中数据二极管抽头通常将流量的单向“副本”发送到安全监控工具。
这里的关键差异是网络挖掘技术。虽然典型的数据二极管是一个安全的通过设备，但是网络抽头提供了一个完整的网络流量的全双工副本，并通过所有信息，包括物理级别错误。这专门用于连续的带外监测和分析，需要数据包可见性，以适当库存并保护网络。
数据二极管抽头创建业务流两侧的精确副本，连续24/7/365，并且不会丢弃数据包、引入延迟或更改数据。它们要么是被动的，要么是“故障保护的”，这意味着如果断电或监控工具被移除，网络设备之间的流量将继续流动，从而确保抽头不是单一故障点。数据二极管抽头提供了与网络抽头相同的高质量可视性，并增加了安全性，即带外流量是单向的，不会返回网络。
额外的差异包括：
- 典型的数据二极管利用软件将流量协议从双向转换为单向。有些甚至提供了数据二极管，模糊了防火墙和单向数据传输之间的界限，带有基于“智能”软件的特性和功能，带有IP/MAC/NIC接口，可能会出现漏洞。
- 数据二极管抽头是专门构建的“非智能”硬件设备，其电路在物理上没有连接回网络的监控端口，使得双向通信不可能，并确保安全工具或目的地与网段隔离。它们是非IP、非MAC类型，不能被黑客攻击。
哪个数据二极管抽头最适合您的OT安全工具？
网络安全没有灵丹妙药。最佳实践由各种工具、框架和协议组成，所有这些都是为了一个安全可靠的网络。Data Diode TAPs只是用来建立一个安全的网络架构的组件之一。乐动体育菠菜加兰技术提供三种数据二极管，所有这些都旨在保护您的OT安全通信免受攻击。
数据二极管网络抽头
数据二极管网络水龙头是为提供网络流量的单向全双工副本而设计的硬件设备，以便安全和监视工具能够以最高性能运行。它非常适合用于非侵入式监视等用途，通常在遗留OT网络交换机没有SPAN可用性或您的安全工具不能容忍丢包时使用。
数据二极管跨度点按
数据二极管跨距抽头目的是用于强制使用物理硬件分离的跨度链路的单向数据流，保证对临界数字系统的保护，例如工业控制系统（IC），来自入站网络威胁。这些是必须使用跨度链接的情况的理想选择。
aggregatortap：数据二极管
聚合器TAP数据二极管还向监控工具发送单程流量，但其优势在于它可以将最多4个点击链接或8个跨度端口聚合到一个或两个监视端口，允许更快的监控吞吐量。当分布式网络必须发送各种点击或跨度链接到中央安全传感器时，通常使用这些。
希望将数据可见性添加到OT安全部署中，但不确定从何处开始？加入我们的简短网络设计IT评估或演示。没有义务——这是我们喜欢做的事。
