1. 课程导入
在工业现场，安全设备并不缺少日志：防火墙会记录会话放行与拒绝，入侵检测系统会输出告警，工业控制网络中的交换机、工业防火墙、主机防护软件、PLC 审计模块、运维堡垒机也会持续产生事件。真正困难的是，这些日志分散在不同设备、不同格式、不同时间基准中，单看任何一条都像“正常噪声”，只有把它们按时间、资产、网络会话、工艺操作和人员身份关联起来，才能还原一次真实攻击或误操作的全貌。工业安全日志关联分析，正是解决这一问题的工程方法。
一、定义：从“看日志”到“还原事件链”
工业安全日志关联分析，是指对来自工业控制网络与信息网络的多源安全日志进行采集、归一化、时间对齐、实体映射和规则/模型匹配，把原本孤立的事件转化为具有因果或时序关系的安全事件链，并据此完成告警降噪、攻击识别、影响判断和取证追溯的过程。它不只是把日志集中到 SIEM 或日志平台，而是强调“关联”二字：同一源 IP 在防火墙被拒绝、在 IDS 触发扫描告警、在堡垒机出现异常登录、在 PLC 审计中出现非计划下装，这四条日志单独看等级不同，关联后却可能构成一次针对控制系统的入侵尝试。
二、价值：为什么工业场景必须做关联分析
工业安全与 IT 安全的最大差异在于可用性和物理后果。一次误判可能导致产线停机，一次漏判可能造成阀门误动、配方泄露或设备损坏。因此，工业安全日志关联分析的价值主要体现在四个方面。
- 降噪与聚焦：把海量低危日志压缩为少量高置信事件，让安全人员优先处理真正影响生产的事件。
- 攻击链还原：将侦察、入侵、横向移动、权限提升、控制指令下发等阶段串联起来，避免只看到单点告警。
- 影响面判断：结合资产重要性和网络拓扑，判断事件是否触及关键 PLC、工程师站或历史数据库。
- 合规与复盘：满足等保、行业监管和事故调查对日志留存、审计追踪和证据链的要求。
下面这张图展示了工业安全日志关联分析的整体数据流与知识框架：左侧是多源日志，中间是关联分析核心，右侧是安全运营输出。
三、方法流程：一条可落地的关联分析链路
工业安全日志关联分析通常遵循“采集—治理—关联—验证—输出”的闭环。采集阶段要覆盖控制网与管理网的关键节点；治理阶段完成字段归一化和时间同步；关联阶段根据业务场景选择规则、序列或图分析；验证阶段通过历史事件回放和现场确认降低误报；输出阶段形成告警、工单和报告。下面给出一个典型的关联规则配置片段，用于识别“非授权工程师站登录后修改 PLC 参数”的高危行为。
rule: unauthorized_plc_write
description: 非授权工程师站登录后修改PLC关键参数
sources:
- bastion_login
- plc_audit
correlation:
window: 10m
sequence:
- event: bastion_login
condition: user not in whitelist_users
- event: plc_audit
condition: operation == "write" and point in critical_points
group_by: [user, src_ip, plc_id]
severity: high
action: alert_and_ticket四、案例场景：从三条孤立日志到一次入侵判定
某化工厂夜间 02:13，防火墙记录到办公网 IP 对控制网 502 端口的多次拒绝；02:15，IDS 报告该 IP 对多个 PLC 发起 Modbus 扫描；02:18，堡垒机显示运维账号从同一 IP 登录工程师站；02:21，PLC 审计记录到反应釜温度设定值被修改。单看第一条，可能只是误连；单看第二条，可能只是扫描；单看第三条，可能只是正常运维。但按“源 IP—账号—资产—工艺点”关联后，系统生成一条高置信事件链，值班人员随即冻结该账号并检查 PLC 参数，避免了潜在工艺波动。这个案例说明，关联分析的关键在于把“人、机、网、工艺”四类证据串起来。
五、常见误区与复盘要点
| 误区 | 表现 | 复盘改进 |
|---|---|---|
| 只做日志集中，不做关联 | 平台里日志很多，但告警仍然孤立 | 建立资产、身份、会话、工艺点映射关系 |
| 忽视时间同步 | 事件顺序错乱，攻击链无法还原 | 统一 NTP，采集时保留原始时区与毫秒 |
| 规则照搬 IT 场景 | 把正常工艺操作误判为攻击 | 引入工艺安全基线和生产窗口白名单 |
| 缺少验证闭环 | 误报多，运维人员逐渐忽略告警 | 用历史事件回放和现场确认持续调优 |