📚 课程目录第1章课程导入

1. 课程导入

在智能制造与工业互联网快速融合的今天，工厂车间里不再只有继电器和硬接线，而是遍布着PLC、DCS、RTU、变频器、智能仪表、工业机器人等设备。它们通过Modbus、S7Comm、OPC UA、EtherNet/IP、Profinet、IEC 60870-5-104、DNP3、MQTT等协议持续交换数据。这些流量既是生产运行的"血液"，也是安全分析最宝贵的原始素材。本课程要解决的核心问题是：如何从工业网络流量中准确识别出"谁在用什么协议说什么"，并进一步判断"这句话是否正常"。

与IT网络不同，工业协议流量具有强周期性、低熵、固定会话、状态机明确等特点。这意味着传统基于HTTP、DNS的检测思路往往失效，而必须深入协议语义层。本课程将带领大家从协议解析出发，逐步构建识别与检测能力。

一、学习目标

理解工业协议栈结构：掌握以太网/IP/TCP/UDP之上工业协议的分层封装关系，能区分现场总线、工业以太网与工业物联网协议。
掌握流量识别方法：能够基于端口、特征字段、深度包检测（DPI）、行为指纹等手段识别Modbus、S7Comm、OPC UA等协议。
建立异常检测思维：理解工业控制系统的"正常基线"如何定义，掌握基于规则、统计、机器学习三类检测范式。
具备实战分析能力：能使用Wireshark、Zeek、Suricata、Python/Scapy等工具完成抓包、解析、特征提取与告警验证。
形成安全运营视角：理解资产、通信关系、工艺参数与安全事件的关联，能输出可落地的检测规则与处置建议。

二、核心概念

本课程围绕四个核心概念展开，它们构成了后续所有章节的基础：

协议识别（Protocol Identification）：判断一条流量属于哪种工业协议，是后续一切分析的前提。识别粒度包括协议族、具体协议、功能码甚至寄存器地址。
流量基线（Traffic Baseline）：工业网络中"正常"的通信模式，包括周期性轮询间隔、主从关系、读写比例、寄存器访问范围等。
异常（Anomaly）：偏离基线的行为，如非法功能码、异常写入、扫描探测、会话突增、参数越界等。
检测规则（Detection Rule）：将异常判断固化为可执行的规则或模型，用于实时告警。

关键认知：工业协议识别不是"猜协议名"，而是还原通信语义。只有理解了"谁在什么时间、对哪个设备、执行了什么操作、操作了哪个数据点"，异常检测才有意义。

三、整体知识框架

本课程的知识框架可以概括为"一条主线、三层能力、四个阶段"。一条主线是"从流量到语义到决策"；三层能力分别是协议解析能力、行为建模能力、检测运营能力；四个阶段为采集、识别、检测、响应。下图展示了整体知识框架与数据流向：

四、方法流程：从一条报文到一次告警

为了让抽象框架落地，我们用一个典型流程说明本课程的方法论。假设现场交换机镜像口送来一条TCP报文，目标是识别并判断其是否异常：

采集：通过镜像口或TAP获取原始流量，保存为pcap文件。
解析：剥离以太网、IP、TCP头部，得到应用层载荷。
识别：根据端口502初步判断为Modbus TCP，再检查MBAP头中的协议标识、长度、单元标识符进行确认。
语义提取：解析功能码（如0x03读保持寄存器、0x10写多个寄存器）、起始地址、寄存器数量。
基线比对：与历史基线比较，判断该主站是否在正常时间、以正常频率、访问正常地址范围。
告警与响应：若发现异常写入或扫描行为，生成告警并触发处置流程。

下面是一段使用Python和Scapy解析Modbus TCP的示例代码，帮助大家建立"从字节到语义"的直观感受：

from scapy.all import rdpcap, TCP, IP, Raw

pkts = rdpcap("modbus_sample.pcap")
for p in pkts:
    if p.haslayer(TCP) and p[TCP].dport == 502:
        payload = bytes(p[Raw].load)
        # MBAP头：事务ID(2) 协议ID(2) 长度(2) 单元ID(1)
        trans_id = int.from_bytes(payload[0:2], "big")
        proto_id = int.from_bytes(payload[2:4], "big")
        unit_id  = payload[6]
        func     = payload[7]
        print(f"src={p[IP].src} unit={unit_id} func=0x{func:02x} proto={proto_id}")

学习建议：不要只停留在"看懂代码"，建议在实验环境中用Modbus Poll、PLC模拟器或开源工具生成真实流量，边抓边解析，形成肌肉记忆。

五、典型场景与实战价值

工业协议流量识别与异常检测的价值，最终体现在真实场景中。以下三个场景贯穿本课程：

场景一：非法写入导致工艺参数被篡改。攻击者伪装成合法主站，向PLC写入异常设定值。通过识别功能码0x10、比对寄存器地址与基线，可及时发现。
场景二：资产扫描与协议探测。攻击者在网络中发送大量不同单元ID的请求，试图枚举设备。通过检测单元ID分布异常和请求频率突增可告警。
场景三：僵尸网络横向移动。受感染主机使用工业协议作为隧道或跳板。通过通信关系图与协议使用偏离基线可识别。

下表总结了本课程四个阶段的核心任务、常用工具与输出物，便于大家建立整体认知：

阶段	核心任务	常用工具	输出物
采集	获取原始流量，保证完整性与时间同步	交换机镜像、TAP、tcpdump	pcap文件、流量元数据
识别	判定协议类型与通信语义	Wireshark、Zeek、Scapy	协议清单、会话表、资产通信矩阵
检测	发现偏离基线的异常行为	Suricata、Snort、Python模型	检测规则、告警事件、异常评分
响应	验证告警并给出处置建议	SIEM、工单系统、人工分析	事件报告、处置方案、规则优化

六、常见误区与复盘

初学者在工业协议分析中容易陷入以下误区，提前了解可以少走弯路：

误区一：只看端口号就下结论。很多工业协议可以跑在非标准端口上，仅凭502判断Modbus并不可靠，必须结合载荷特征。
误区二：把IT检测规则直接搬到工控网络。工业流量周期性强、协议固定，IT规则容易产生大量误报或漏报。
误区三：忽视工艺背景。同一个写操作，在调试阶段是正常的，在生产阶段可能是攻击。检测必须结合工况与时间上下文。
误区四：只关注单包，不看会话。工业协议很多行为需要多包交互才能判断，如握手、读写序列、状态机迁移。

复盘要点：异常检测的准确性高度依赖基线质量。基线不是一次建成的，需要持续采集、人工确认、迭代修正。任何一条告警都应能回答"为什么它异常"，否则规则就不可维护。

通过本章的学习，大家应该已经建立起本课程的整体图景：以工业协议流量为输入，以协议识别为起点，以行为基线为参照，以异常检测为核心，以安全响应为出口。接下来的章节将沿着这条主线，逐一深入协议解析、特征提取、规则编写、模型构建与实战演练，帮助大家真正具备工业网络流量分析的能力。