空气间隙和分割是保护OT网络的常见概念，目的是将入侵和威胁隔离到网络的有限部分，从而最大限度地减少其危害。除非攻击者获得了对隔离的计算机网络的物理访问权限，否则他们是无法被攻破的。
话虽如此，但在实践中，气隙网络很难处理。除了最敏感的应用程序外，单靠维护就能解决的问题使得真正的空隙网络不切实际。因此，网络工程师通常会使用类似于气隙的软件解决方案，例如防火墙和数据二极管。
几十年来，防火墙一直是一种基准信息安全工具，这意味着大多数网络工程师可能都熟悉并使用它们。虽然数据二极管也已经使用了几十年，但它们的实现以前仅限于高安全设施。他们最近才开始在私下里受欢迎不网络．
虽然防火墙长期以来一直是划分网络的基石，但防火墙和数据二极管还是有用例的，甚至可以将它们部署在同一网络中。随着数据二极管抽头变化，我们想回顾一下区别是什么，以及如何使用它们。
数据二极管和防火墙的区别是什么?
防火墙是一种很好的信息安全工具，是保证网络安全的重要手段。防火墙是一种屏障系统或“把关人”，旨在根据内置的策略引擎的决定，停止、过滤或重定向外部和内部网络之间的流量。
例如，进入网络的某些类型的流量——比如来自已知的钓鱼网站或僵尸网络的流量——可能会被自动阻断。其他类型的流量，如电子邮件，将通过内联安全工具转移，并扫描恶意软件。
因为防火墙是基于软件并依赖于策略的，攻击者有时可以利用防火墙配置中的错误来绕过它。或者，攻击者可能会利用防火墙本身的现有漏洞，允许他们进行真正的攻击接管防火墙然后随便他们要多少流量。最后，一些形式的DDoS攻击可以使防火墙超载，然后使网络瘫痪，导致数小时的高成本计划外停机。
数据二极管也是一种安全屏障系统，但它使用单向数据传输协议在网段之间实施物理隔离，旨在消除后门攻击或破坏。
与防火墙相比，数据二极管理论上是非基于软件的，使用基于硬件的安全机制在物理上强制单向流量——允许数据单向流动，阻止潜在的攻击者访问网络流量。
因为数据二极管不是基于策略的，所以攻击者不会利用任何配置错误。数据二极管被认为不依赖“智能软件”处理，尽管它们使用软件将流量协议从双向转换为单向。而且数据二极管不允许外部通信，所以它们不会受到DDoS攻击的影响。
一个数据二极管是一个相对简单的设备，但因为它的简单性，它创造了仅次于物理气隙的最好的东西，一个实际上不可能从外部打破的气隙。
数据二极管和防火墙用例之间的主要区别是数据二极管提供了物理和电气分离层，设计成在段之间通过单向流量，以消除攻击风险。防火墙提供可配置的代码和策略，旨在阻止或重新路由标记的流量进入网络。
数据二极管和数据二极管TAP的区别是什么?
这里有两个不同的用例，它们都基于相同的概念。典型的数据二极管在网段之间传递单向流量，比如在操作层和企业级之间。Data Diode TAPs通常将流量的单向“副本”发送给安全监控工具。
这里的关键区别是网络TAP技术。虽然典型的数据二极管是一个安全的直通设备，但网络tap提供了一个完整的网络流量的全双工副本，传递所有信息，包括物理级别的错误。这是专门用于连续的带外监视和分析的，这需要数据包可见性来适当地编目和保护网络。
一个数据二极管抽头创建交通流两边的精确副本，连续24/7/365，不丢弃数据包，引入延迟，或改变数据。它们要么是被动的，要么是“故障安全”的，这意味着如果断电或监控工具被移除，流量仍会在网络设备之间流动，确保TAP不是单点故障。数据二极管水龙头提供与网络水龙头相同的高质量可见性，加上额外的安全性，带外流量是单向的，不会找到它的方式回到网络。
额外的差异包括:
- 典型的数据二极管利用软件将流量协议从双向转换为单向。有些甚至提供了数据二极管，模糊了防火墙和单向数据传输之间的界限，带有基于“智能”软件的特性和功能，带有IP/MAC/NIC接口，可能会出现漏洞。
- Data Diode TAPs是专门建造的“非智能”硬件设备，其电路物理上没有监控端口连接回网络，使双向流量不可能，并确保安全工具或目的地从网络段隔离。它们是非ip，非mac类型，不能被黑。
哪个数据二极管TAP最适合你的OT安全工具?
网络安全没有灵丹妙药。最佳实践由各种工具、框架和协议组成，所有这些都是为了一个安全可靠的网络。Data Diode TAPs只是用来建立一个安全的网络架构的组件之一。乐动体育菠菜加兰技术提供三种数据二极管，所有的设计都是为了保护您的OT安全流量免受攻击。
数据二极管网络抽头
数据二极管网络接头是为提供网络流量的单向全双工副本而设计的硬件设备，以便安全和监视工具能够以最高性能运行。它非常适合用于非侵入式监视等用途，通常在遗留OT网络交换机没有SPAN可用性或您的安全工具不能容忍丢包时使用。
数据二极管跨距抽头
数据二极管跨接头是专门构建的硬件设备，通过物理硬件分离加强SPAN链路的单向数据流，确保关键数字系统(如工业控制系统(ICS))免受外来网络威胁的保护。对于必须使用SPAN链接的情况，这是非常理想的。
AggregatorTAP:数据二极管
AggregatorTAP数据二极管也向监控工具发送单向流量，但其优点是可以将多达4条TAP链路或8个SPAN端口聚合成一个或两个监控端口，从而更快地监控吞吐量。当分布式网络必须向中央安全传感器发送各种TAP或SPAN链路时，通常会使用这些链路。
想要将Data Diode TAP可视性添加到OT安全部署中，但不确定从哪里开始?加入我们的简短网络设计- it评估或演示。没有义务——这是我们喜欢做的事。
