2. 工业网络基础
工业协议流量识别与异常检测，第一步不是抓包，而是理解流量“从哪里来、到哪里去、为什么这样走”。工业网络与办公网络最大的区别在于：它的结构由物理工艺决定，通信模式由控制逻辑决定。只有先建立工业控制系统（ICS）的架构认知，才能判断哪些流量是正常的周期性轮询，哪些是异常的越权访问或突发扫描。
一、工业控制系统架构：从现场到管理的五层模型
工业控制系统通常按功能划分为五个层级，这一分层模型（常参考ISA-95/Purdue模型）是理解工业流量的骨架。每一层承担不同职责，层与层之间的边界正是安全监测的重点位置。
- 现场设备层（Level 0）：传感器、执行器、变频器、电机、阀门等。它们直接与物理过程交互，产生模拟量或开关量信号。
- 控制层（Level 1）：PLC、DCS控制器、RTU、安全仪表系统（SIS）。它们执行控制逻辑，周期性读取现场输入并输出控制指令。
- 监控层（Level 2）：HMI、SCADA服务器、操作员站、工程师站。负责监视过程状态、下发设定值、报警管理。
- 管理层（Level 3）：MES、历史数据库、生产调度、资产管理系统。负责生产计划、质量追溯与批次管理。
- 企业层（Level 4/5）：ERP、CRM、供应链、云平台。属于传统IT范畴，与OT通过边界设备交互。
关键点在于：Level 0–2 属于OT核心区，Level 3 是OT与IT的过渡带，Level 4以上属于IT区。工业协议（如Modbus、S7Comm、EtherNet/IP、OPC UA、DNP3）主要运行在Level 0–3，而HTTP、SMB、DNS等IT协议主要出现在Level 3–5。识别流量时，协议类型与所在层级是否匹配，本身就是一条重要判据。
二、OT与IT融合：边界、通道与风险
传统工业网络是物理隔离的“孤岛”，但数字化转型要求生产数据上云、远程运维、预测性维护，于是OT与IT开始融合。融合不是简单打通，而是在边界处建立受控通道。
常见的融合方式包括：
- DMZ隔离区：在OT与IT之间部署工业DMZ，数据通过OPC UA服务器、历史数据库镜像或数据二极管单向导出。
- 工业防火墙/网关：按协议、地址、功能码进行白名单过滤，只允许必要的读写操作。
- 远程访问通道：VPN、跳板机、零信任网关，用于工程师远程调试PLC。
- 云平台接入：通过MQTT、HTTPS将边缘计算节点的数据上传至工业互联网平台。
风险提示：OT与IT融合后，IT侧的勒索软件、扫描行为、横向移动可能通过边界进入OT。典型攻击路径是：IT办公终端被控 → 通过VPN或共享目录进入Level 3 → 利用OPC或S7Comm访问PLC → 篡改控制逻辑。因此，边界流量是异常检测的重中之重。
三、常见工业网络拓扑与通信模式
工业网络拓扑不是随意设计的，它受现场布线、实时性、冗余要求约束。常见拓扑包括：
| 拓扑类型 | 典型场景 | 通信特征 | 监测关注点 |
|---|---|---|---|
| 总线型/菊花链 | RS-485、Profibus、CAN | 主站轮询，从站应答，共享介质 | 轮询周期突变、非法主站 |
| 星型 | 工业以太网交换机连接PLC与HMI | 点对点，交换转发 | 广播风暴、ARP异常 |
| 环网 | 冗余环（RSTP、MRP、PRP） | 正常单路径，故障切换 | 拓扑震荡、冗余切换事件 |
| 树型/层级型 | 大型DCS、分层SCADA | 纵向汇聚，横向隔离 | 跨层越权访问 |
通信模式方面，工业网络以周期性轮询和事件驱动为主。例如Modbus TCP中，SCADA作为客户端周期性读取PLC寄存器；PLC之间可能通过生产者/消费者模式（EtherNet/IP）交换数据；报警和事件则采用突发上报。这种“规律性”正是异常检测的基线：一旦轮询间隔抖动、出现非预期的主从关系或新增未知连接，就值得深入分析。
四、案例与误区复盘
案例场景：某汽车零部件工厂的SCADA系统出现间歇性通信中断。抓包发现，Level 2的HMI在正常轮询PLC的同时，还向Level 3的MES服务器发起了大量SMB连接。进一步排查发现，一台工程师站感染了勒索软件，正通过SMB横向扫描。由于该工程师站同时连接OT和IT网段，成为攻击跳板。若在边界部署了基于协议白名单的流量监测，SMB异常连接本可被提前告警。
排查思路：先看协议与层级是否匹配，再看通信关系是否在基线内，最后看时序是否规律。三步即可快速定位大部分工业网络异常。
常见误区：
- 把工业网络当办公网看：办公网以HTTP/HTTPS为主，工业网以Modbus、S7Comm等专有协议为主，端口和载荷结构完全不同。
- 忽略Level 3过渡带：很多攻击正是从Level 3进入，但监测往往只关注Level 1–2，导致盲区。
- 认为周期性流量一定安全：攻击者可以模仿轮询周期发送恶意指令，必须结合功能码、寄存器地址和值域综合判断。
- 忽视环网冗余切换：MRP/PRP切换会产生短暂广播和拓扑变化，若未纳入基线，容易误报。
# 典型Modbus TCP轮询流量特征（Wireshark过滤示例）
modbus.func_code == 3 && ip.src == 192.168.10.20 && ip.dst == 192.168.10.50
# 正常：每500ms一次，读取保持寄存器，长度固定
# 异常：间隔抖动、功能码变为5/6/15/16（写操作）、目标IP新增掌握工业网络的分层架构、OT/IT融合边界、拓扑与通信模式，是后续协议解析和异常建模的基础。只有先画出“正常长什么样”，才能让异常无处遁形。