更換已達使用壽命的工業防火牆時，應基於部署模式、協定支援範圍、政策制定方法、認證資格及授權條款來做出決策，而非僅憑品牌名稱。這五項因素將決定更換後的設備能否維持現有的網路架構、保護正在運行的特定工業設備，並符合該環境的合規性與預算要求。廠商建議的後繼機型雖是進行研究的合理起點，但絕不能取代依據此檢查清單進行評估的流程。
關鍵要點
- 部署模式決定了您必須重新設計多少網路部分。一個不具備 IP 位址的透明內聯防火牆會保留現有的位址配置；而路由型防火牆則會改變現有的位址配置。
- 協定支援必須符合您的環境需求，而非供應商的標準清單。部分供應商會將特定協定家族歸類於各自獨立且互不相容的授權層級之下，因此請務必確認報價中確切所指的 SKU 是哪一款。
- 政策如何制定，其重要性不亞於防火牆阻擋的內容。一款能夠監控即時流量，並運用機器學習制定政策基準的防火牆，能避免因依據過時的網路拓撲圖撰寫規則而導致的常見失誤。
- 認證資格會因具體型號而異，而不僅僅取決於廠商。廠商的主要認證（例如針對變電站的 IEC 61850-3 認證）並不會自動適用於該廠商產品線中的每款硬體型號。
- 「符合規範」與「已取得認證」是兩種不同的聲明。大多數工業防火牆並未以裝置身分，依據 IEC 62443 或 NERC CIP 等框架取得獨立認證；它們僅是支援這些框架所要求的網路分段與日誌記錄功能。若遇到任何聲稱符合上述任一框架的裝置認證聲明，應視為警訊，值得直接進行查證。
從部署模式著手，而非品牌名稱
工業防火牆有兩種部署方式，而選擇哪種方式將影響現有網路需要進行多少變更。透明型內聯裝置位於流量路徑中，本身沒有 IP 位址，因此能保留現有的位址配置與路由設定。路由型裝置則擁有自己的 IP 位址，並直接參與網路層運作，這雖然能增加功能，但也需進行重新設計的工作。
這兩種部署模式都沒有絕對的優劣之分。透明式部署能將遷移影響降至最低，這在更換已使用多年的防火牆（例如 Belden 的 Tofino Xenon）時尤為重要。至於路由式部署，則能為新建環境提供更大的靈活性，因為在這種環境中，網路設計是以防火牆為核心進行規劃，而非反之。
將通訊協定支援範圍與您的實際環境相匹配
針對工業通訊協定（例如 Modbus、DNP3、EtherNet/IP 及 IEC 61850）進行深度封包檢測，正是工業防火牆與應用於營運技術（OT）網路的一般網路防火牆之間的區別所在。關鍵問題不在於廠商列出了多少種通訊協定，而在於報價中的產品型號（SKU）是否涵蓋了該環境中實際運行的特定通訊協定。
- 請按 SKU 索取通訊協定清單，而非按產品系列。部分供應商會將通訊協定系列（例如通用型套件與 GE 通訊協定這類供應商專屬套件）作為獨立且互斥的選項，並透過韌體強制執行。
- 請確認檢查範圍是否涵蓋加密隧道。若該環境使用 IPsec 或 OpenVPN 進行供應商存取或多站點連線，請具體詢問協定檢查是否適用於這些隧道內部，抑或僅適用於未加密的流量。請務必取得書面確認，而非僅憑功能清單中的描述便自行假設。
評估安全政策的制定與維護方式
工業用防火牆最終會無限期地處於「僅監控模式」的最常見原因，在於沒有人能確切且即時地掌握合法流量的樣貌。有兩種方法可以從不同角度解決這個問題。
- 手動制定政策需要有人根據網路圖來撰寫防火牆規則，這些規則在撰寫當日雖屬準確，但隨後便會與實際情況產生偏差。
- 「學習」或「行為基準」模式會於定義好的時間窗內監測即時流量，並根據當前運作狀況擬定政策，隨後針對日後偏離該基準的情況進行標記。此舉縮短了從安裝到實際執行的過程。
根據您的特定產業領域與機型，確認相關認證
認證是針對特定硬體型號所取得，而非適用於該廠商全系列產品。某廠商的頂級型號可能已取得特定認證（例如適用於變電站及電力公用事業環境的 IEC 61850-3 或 IEEE 1613），但同一產品系列中規格較低或連接埠數量較少的型號則未必具備該認證。請務必查閱您正在考慮的具體型號的資料表。
垂直領域／需求 | 確認證明 | 多層次資安解決方案為何重要？ |
電力變電站 | IEC 61850-3、IEEE 1613 | 規範變電站設備的電磁相容性與環境耐受性 |
危險或受管制區域 | C1D2 | 在存在可燃氣體或粉塵風險的環境中進行部署時，此為必要條件 |
一般硬體認證 | CE、FCC | 針對非受控工業環境的基本可靠性預期 |
Industrial 網路安全 | IEC 62443-4-2（SL2、SL3） | 獨立驗證防火牆的安全功能及供應商的安全開發流程，而非僅依賴其自我聲明 |
「符合合規要求」與「已獲認證」並非同一項聲明
諸如 IEC 62443 和 NERC CIP 等框架規範的是組織計畫與系統架構，而非單一孤立的裝置，因此大多數工業防火牆並未依據上述任一框架，以獨立產品的身分取得認證。防火牆雖能支援這些框架所要求的網路分段、存取控制及稽核記錄功能，但其本身未必具備「IEC 62443 認證」或「NERC CIP 認證」。 若供應商針對該裝置本身提出此類特定認證聲明，請詢問該認證由哪個機構頒發，以及其適用範圍為何。
了解授權與所有權模式
Industrial 防火牆採用多種授權模式銷售：永久授權型設備（一次性硬體成本）、訂閱續約（定期費用）、功能型授權（協定或功能附加套件）、吞吐量型授權（頻寬分級）、協定型授權（按協定授權）以及中央管理授權（多站點可視化平台）。 每種模式在設備的使用壽命期間，對總擁有成本的影響各不相同。從永久授權轉為訂閱制，或疊加功能、吞吐量或管理授權，都會帶來持續的預算負擔，這些因素值得在評估階段就明確了解，而非等到實施或續約時才發現。
跨多個站點的集中管理計畫
若更換設備時必須逐一登入每台裝置，此種方式在超過寥寥數個據點時便難以擴展。無論是部署於本地端或雲端，集中式管理都應能從單一位置對所有已部署的裝置進行政策分發、狀態彙整，並支援報表生成。
在做出涵蓋整個莊園的承諾之前，應先要求進行有限範圍的試行
在正式實施前，以監控模式執行單一區域的試點計畫，並預先商定明確的成功標準，可降低因架構變更而導致非預期的停機風險。全系統範圍的更換應是後續討論的議題，而非首要考量。
更換評估檢查清單
- 部署模式：透明／內嵌式或路由式，以及哪一種模式能保留您現有的網路架構
- 協定涵蓋範圍：已針對您的實際環境及報價中的特定 SKU 進行確認，而非一般產品系列清單
- 政策制定方法：手動制定規則，或採用學習／行為基準
- 認證：已針對所考慮的具體型號進行驗證，並非根據廠商旗艦產品推斷而來
- 合規用語：「符合」框架要求，與未經驗證的裝置認證聲明之區別
- 授權模式：永久授權或訂閱制，以及各自所對應的總擁有成本
- 集中式管理：從單一位置對所有據點進行政策分發與報告
- 試點範圍：在做出全系統範圍決策之前，進行一項單區域、監控模式的概念驗證，並已就成功標準達成共識
MetaDefender 、Industrial 及Firewall 如何適用於此檢查清單
MetaDefender Industrial Firewall™是OPSWAT 專為 OT 網路設計的工業防火牆，是專為營運技術（OT）與網路物理系統所打造，而非由 IT 產品改編而來。 對照上述清單：該產品同時支援透明式內聯部署與路由式部署；其「學習模式」能根據觀察到的流量自動擬定安全政策，無需手動設定規則集；提供四埠與八埠硬體機種，其中八埠機型支援 IEC 61850-3 及 IEEE 1613 標準，適用於變電站及電力公用事業；並可與My 的 OPSWAT™Central Management 整合，以實現跨多站點的安全政策管理與報告功能。 該產品支援符合 IEC 62443 及 NERC CIP 要求的網路分段，這與前述合規性區別一致：此為功能支援聲明，而非裝置認證聲明。此外，該產品已通過 C1D2 認證，適用於嚴苛環境。
請根據此檢查清單自行進行替代方案評估，然後查看MetaDefender 、Industrial 及Firewall 如何與您的特定環境相符。
常見問題
透明模式與路由模式的工業防火牆部署之間有何差異？
透明的內聯防火牆本質上是一種第 2 層橋接器，它沒有 IP 位址，且直接位於流量路徑中，因此能保留現有的網路位址配置。路由式防火牆則作為第 3 層裝置運作。它擁有自己的 IP 位址，並參與網路層的運作，這雖然能增加功能，但部署時需要進行更多的網路重新設計。
工業防火牆是否需要取得 IEC 62443 或 NERC CIP 認證？
大多數工業防火牆並未以獨立裝置的身分，依據上述任一框架取得獨立認證，因為這兩套框架主要規範的是組織計畫與系統架構，而非單一產品。應選擇能符合這些框架所要求的區隔與稽核需求的防火牆，並將任何未經認證的裝置認證聲明視為需直接核實的事項。
工業防火牆如何建立其安全政策，這為何如此重要？
若防火牆必須依據網路圖手動撰寫規則，其準確性便取決於該網路圖的準確性，而網路圖往往會逐漸過時。能夠監控即時流量並草擬政策基準的防火牆，不僅能縮短從安裝到實際執行的時間，更能真實反映當前系統的運作狀況。
為什麼同一家廠商的不同機型，其認證會有所不同？
諸如 IEC 61850-3 或 IEEE 1613 等認證，是針對各硬體型號分別取得並公布，而非在整個產品系列中一概適用。某廠商最頂級的型號可能具備某項認證，但同一產品線中較小或埠數較少的型號卻未必具備，因此必須根據所考慮的特定型號，參照其自身的技术規格書進行確認。
在全面推行之前，試點部署應進行多久？
時間長度應足以觀察到具有代表性的正常運作範圍，並在監控模式下執行，採用預先商定的成功標準，且僅限於單一區域。其目標是在執行政策前對政策基準建立信心，而非固定天數。
授權模式會影響總擁有成本嗎？
是的。永久授權型設備僅需一次性硬體成本，並可選擇續訂技術支援服務；而訂閱模式則將授權費用納入定期付款中。兩者本身並無絕對的價格高低之分；要做出恰當的比較，需視設備的預期使用壽命，以及組織在資本支出與經常性支出之間的預算規劃而定。
