傳統防火牆是 OT 網路安全策略中最常部署和依賴的防禦層之一。然而，認為僅僅擁有防火牆就能保證安全是一種誤解。雖然防火牆被設計為守門人，但它們並非沒有漏洞。在這篇文章中，我們將討論七個具體案例，說明防火牆的存在雖然被認為是安全策略的關鍵，但卻無意中成為威脅行為者獲得未經授權訪問網路的途徑
什麼是CVE？
CVE（通用漏洞）是軟體、硬體或韌體中的安全漏洞或弱點的標準化識別碼。CVE 用於唯一識別和追蹤這些漏洞，使得組織、安全研究人員和供應商更容易分享有關安全問題的訊息，並協調他們的努力來減輕這些問題帶來的影響。
七個對防火牆產生重大影響的 CVE
3580
說明：此漏洞發現於 CiscoAdaptive 安全設備 (ASA)Software 及 Cisco Firepower 威脅防禦 (FTD)Software 的 Web 服務介面中。
潛在危害：此 漏洞可能使未經認證的遠端攻擊者執行目錄遍歷攻擊，從而使其能夠讀取目標系統上的敏感檔案。
連結： CVE-2020-3580
1579
說明：在 Palo Alto Networks PAN-OS 8.1.10 之前及 9.0.0 版本中發現一項漏洞。
潛在危害：遠端攻擊者可能利用此漏洞執行任意的作業系統指令，進而可能完全掌控受影響的系統。
連結： CVE-2019-1579
6721
說明：在 SonicWall 的 SonicOS 中發現一項漏洞。
潛在危害：遠端攻擊者可能利用此漏洞，透過特別製作的分片封包引發拒絕服務（DoS）攻擊，進而影響系統可用性。
連結： CVE-2018-6721
5638
說明：Apache Struts 2 2.3.32 之前版本，以及 2.5.x 系列中 2.5.10.1 之前版本存在一項漏洞。
潛在危害：此漏洞使攻擊者能透過精心構建的 Content-Type 值發動遠端指令執行攻擊，可能導致資料外洩或進一步的網路攻擊。
連結： CVE-2017-5638
0801
說明：此漏洞發現於特定 Cisco ASA 產品上執行的 Cisco ASASoftware 。
潛在危害：遠端攻擊者可能利用此漏洞執行任意程式碼或導致系統重新載入，進而可能導致系統遭入侵或服務中斷。
連結： CVE-2016-0801
CVE-2014-0160（Heartbleed）
說明： OpenSSL TLS Heartbeat 擴充功能中存在一項 嚴重漏洞。
潛在危害： Heartbleed 漏洞使攻擊者能夠讀取受易受攻擊版本 OpenSSL 保護的系統記憶體，可能導致密碼、私鑰等敏感資訊外洩。
連結： CVE-2014-0160
4681
說明：此漏洞影響 Oracle Java 7 Update 7 之前的版本。
潛在危害：攻擊者可透過與 Reflection 相關的攻擊途徑API 遠端執行任意程式碼，可能導致系統遭入侵。
連結： CVE-2012-4681
堅不可摧的 OT 網路安全
傳統的防火牆在組織的 OT 安全架構中仍扮演著重要的角色，了解並處理其固有的弱點仍然至關重要。但顯而易見的是，雖然防火牆絕對不會過時，但僅依賴防火牆的保護並不足以抵擋新興威脅。以 DMZ 中的Unidirectional Security Gateway 閘道或單向傳輸閘道為中心，建立真正的深度防禦策略，可確保資料僅能單向傳輸。這種實體強制措施意味著資料可以傳送出去，而不會有任何惡意資料或指令進入的威脅。在這種情況下，即使存在軟體漏洞，這些安全閘道的實體性質也能強制對抗威脅，隔離您的網路。
深入探討： 資料二極體與防火牆：網路安全、資料流與合規性的比較
MetaDefender NetWall：次世代安全閘道和光纖單向閘道
針對這些弱點，OPSWAT 開發了 NetWall系列先進的安全閘道器和光學二極體，以保護重要的 OT 環境免受不斷演變的威脅。NetWall 有多種組態和外型尺寸，可簡化網路安全的複雜性，成為易於使用、可擴充且安全的解決方案。
瞭解原因 NetWall 在全球範圍內受到信賴，可以保護世界上一些最關鍵的環境
