1. 课程导入
工业控制系统（ICS）从早期的封闭专网，逐步走向与企业IT网、云平台、远程运维的互联互通。与此同时，震网（Stuxnet）、乌克兰电网停电、勒索软件攻击工控主机等事件反复证明：工控网络并非天然安全，而是“攻击收益高、暴露面持续扩大”的关键基础设施。本课程围绕“工控网络IDS入侵检测工程”展开，目标不是简单安装一款软件，而是建立一套可落地、可运营、可复盘的检测工程能力。
一、学习目标：从“会看告警”到“会做检测工程”
本课程的学习目标分为四个层次，层层递进：
- 认知层：理解工控网络与IT网络的差异，掌握OT资产、协议、区域与管道、安全等级等核心概念。
- 原理层：掌握IDS的检测原理，包括特征匹配、协议解析、基线建模、异常检测与威胁情报关联。
- 工程层：能够完成旁路镜像、流量采集、规则编写、白名单建模、告警分级、联动处置与效果评估。
- 运营层：建立检测规则生命周期、误报治理、复盘改进与合规审计的闭环机制。
二、核心概念：工控IDS到底在“检测什么”
工控网络IDS（Intrusion Detection System）通常以旁路方式接入，通过交换机镜像口或TAP采集流量，对工业协议与网络行为进行持续分析。它与传统IT IDS最大的区别在于：OT网络对可用性、实时性和确定性要求极高，任何主动阻断都可能造成停产。因此，工控IDS更强调“可见性优先、检测优先、谨慎阻断”。
需要掌握的核心对象包括：
- 资产：PLC、DCS控制器、RTU、HMI、工程师站、历史站、OPC服务器、工业交换机、安全网关。
- 协议：Modbus TCP、S7comm、DNP3、IEC 60870-5-104、OPC UA、EtherNet/IP、PROFINET等。
- 区域与管道：按IEC 62443划分的安全区域（Zone）与通信管道（Conduit），是检测策略的边界依据。
- 检测点：核心交换机镜像口、区域边界防火墙、纵向加密装置、远程运维通道。
- 检测信号：五元组、协议功能码、寄存器地址、写入频率、会话方向、时间间隔、载荷长度、异常状态码。
下面这张图展示了工控IDS的典型部署位置与数据流关系，帮助建立“流量从哪里来、检测在哪里做、告警到哪里去”的整体空间感。
三、整体框架：检测工程的四条主线
工控IDS工程不是单点工具，而是一个由“采集—检测—运营—治理”构成的方法体系。可以用下表快速建立全局框架：
| 主线 | 关键任务 | 典型产出 | 常见风险 |
|---|---|---|---|
| 流量采集 | 镜像口配置、TAP部署、时间同步、流量过滤 | 完整PCAP、会话元数据 | 镜像丢包、时钟漂移、采集盲区 |
| 检测分析 | 协议解析、规则编写、白名单建模、异常评分 | 检测规则集、基线模型 | 误报高、规则过时、协议覆盖不足 |
| 告警运营 | 分级、去重、关联、工单、处置 | 告警工单、处置记录 | 告警疲劳、责任不清、响应滞后 |
| 治理复盘 | 规则生命周期、效果评估、合规审计 | 检测报告、改进清单 | 只建不评、只报不改 |
四、行业应用场景：不同行业的检测重点不同
工控IDS的落地必须结合行业工艺特点。电力行业关注调度指令与遥测遥信异常；石油化工关注DCS写入与联锁逻辑；轨道交通关注信号系统与PIS网络隔离；智能制造关注PLC程序下载与产线节拍。以下代码片段展示了一条典型的Modbus异常写入检测规则思路，用于说明“检测工程”如何把业务语义翻译成可执行逻辑：
# 伪规则：检测非工程师站对PLC保持寄存器的异常高频写入
alert modbus any any -> any any (
msg:"疑似非授权高频写保持寄存器";
flow:to_server;
modbus_func:write_multiple_registers;
threshold:type both, track by_src, count 20, seconds 10;
metadata:policy ot-write-protection;
sid:1000001;
)五、常见误区与复盘要点
初学者最容易陷入三个误区：第一，把工控IDS当成IT IDS直接套用，忽视OT对可用性和实时性的约束；第二，只追求规则数量，不关注协议覆盖与资产台账；第三，告警只停留在屏幕，没有形成工单、处置和复盘闭环。复盘时应重点回答四个问题：
- 这次告警对应的资产、协议、功能码和地址是否准确？
- 是真实攻击、异常操作，还是基线缺失导致的误报？
- 从告警产生到人工确认，耗时多少？是否可缩短？
- 需要新增、修改还是下线哪条规则？
综上，本课程将沿着“认知—原理—工程—运营”的路径展开。你需要在学习过程中同步建立三份资产：一份工控资产与协议清单、一套可维护的检测规则集、一份告警处置与复盘记录。只有把检测能力嵌入日常运营，工控网络IDS才能真正从“看得见”走向“管得住”。