1. 课程导入
在工业控制系统（ICS）与运营技术（OT）网络中，一次异常停机、一次阀门误动、一次PLC程序被篡改，往往不会留下像IT系统那样完整的日志链。工控协议多为轮询式、周期性强、状态机明确，攻击者一旦潜伏在控制层，其行为可能伪装成正常的主站轮询或参数下发。因此，工控网络流量取证与复盘工程应运而生：它是以工业网络流量为核心证据源，结合协议解析、时序重建、资产行为基线和事件回溯方法，对安全事件进行可验证、可复现、可追责的技术工程体系。
本课程不是单纯讲Wireshark抓包，也不是泛泛而谈日志分析，而是围绕“流量即证据、复盘即能力”这一主线，建立从采集、解析、检测、取证到复盘改进的完整闭环。学习目标包括：理解工控协议流量的证据价值；掌握Modbus/TCP、S7comm、OPC UA、DNP3等典型协议的取证要点；能够设计旁路镜像与SPAN采集方案；能够从流量中还原操作序列与攻击链；能够输出可用于事故定责和系统加固的复盘报告。
核心定义：工控网络流量取证与复盘工程，是指在OT网络边界与关键路径上，通过镜像、分光或TAP方式获取原始流量，利用协议深度解析和时序关联技术，将流量转化为可采信证据，并通过复盘方法定位根因、评估影响、优化防护的工程实践。
1.1 整体知识框架
课程知识框架可分为五层：采集层负责流量获取与时间同步；解析层负责工控协议解码与字段提取；检测层负责异常行为识别与规则匹配；取证层负责证据固定、哈希校验与链式保管；复盘层负责事件重建、根因分析与改进闭环。五层之间不是线性流水线，而是相互反馈：复盘结论会反向优化检测规则和采集点位。
1.2 方法流程：从流量到证据
一次完整的取证复盘通常遵循以下流程：
- 事件触发与范围界定：明确异常现象、时间窗口、涉及资产和协议类型，避免盲目全量抓包。
- 流量采集与固定：在核心交换机或工业防火墙镜像口抓取PCAP，记录采集起点、终点、接口和时钟源。
- 协议解析与过滤：使用tshark或专用解析工具提取关键字段，例如Modbus功能码、寄存器地址、写入值。
- 行为比对与异常定位：将实际流量与基线白名单比对，标记非法主站、异常功能码和越界参数。
- 时间线重建与证据链：按时间顺序还原操作序列，计算证据哈希并记录保管链。
- 复盘报告与改进：输出根因、影响面、防护缺口和整改建议，反哺检测规则与采集策略。
以下是一个典型的Modbus/TCP异常写入流量过滤命令示例：
tshark -r ics_capture.pcap -Y "modbus.func_code == 16" \
-T fields -e frame.time -e ip.src -e ip.dst \
-e modbus.reference_num -e modbus.word_cnt
# 输出示例
2024-06-12 03:17:22.451 10.10.20.55 10.10.30.12 40001 8
2024-06-12 03:17:23.102 10.10.20.55 10.10.30.12 40009 4该命令用于筛选“写多个保持寄存器”操作，快速定位非计划参数下发。若源IP不属于授权工程师站，即可作为高优先级异常线索进入取证流程。
1.3 实战价值与典型场景
工控流量取证与复盘的价值体现在三个层面：安全层面，可发现潜伏在控制层的异常指令；运维层面，可还原误操作或配置变更过程；合规层面，可提供可审计、可追溯的证据材料。典型场景包括：PLC程序被非法下载、HMI画面被篡改、RTU遥测值异常跳变、工程师站被横向移动后发起异常写入等。
| 场景 | 关键流量特征 | 取证要点 | 复盘输出 |
|---|---|---|---|
| PLC程序非法下载 | S7comm下载功能、非授权源IP | 保存原始PCAP、提取下载块哈希 | 攻击路径、受影响PLC清单 |
| Modbus参数篡改 | 功能码16、寄存器地址越界 | 时间线还原、写入值比对 | 参数偏差表、恢复方案 |
| HMI异常轮询 | 轮询周期突变、目标IP异常 | 基线比对、会话重建 | 异常主机定位、隔离建议 |
| DNP3未授权控制 | 直接操作、非请求响应 | 链路层地址与功能码关联 | 控制指令链、影响评估 |
1.4 常见误区与复盘意识
误区一：只抓包不固定证据。原始PCAP若未计算哈希、未记录采集时间与接口，后续难以作为可采信证据。
误区二：用IT思维套OT流量。工控协议周期性强、主从关系固定，简单套用IT异常检测规则会产生大量误报。
误区三：复盘只写现象不写根因。复盘报告若只描述“发生了异常写入”，没有回答“谁、何时、通过哪条路径、为什么能成功”，就无法形成防护改进。
复盘意识：每一次事件都应视为一次能力升级机会。取证不是终点，复盘才是。只有把流量证据转化为规则优化、点位调整和流程改进，工控网络安全防护才能持续进化。
本课程后续将围绕采集、解析、检测、取证、复盘五个层次逐步展开，结合真实工控协议流量和典型攻防场景，帮助学习者建立从“看得见流量”到“说得清证据”再到“改得动防护”的完整工程能力。