2. 工业设备指纹的数据来源

工业设备指纹不是单一字段，而是从多个观测面提取特征后融合形成的设备身份画像。要建立可用的指纹，首先必须明确“从哪里取数”。在工业控制网络中，可用的数据来源可以归纳为四类：设备资产属性、网络流量特征、协议交互行为与物理环境信息。这四类来源的观测位置、采集方式、稳定性和抗伪造能力各不相同，理解它们的差异，是设计指纹体系与准入策略的前提。

一、设备资产属性：设备“自报”的静态身份

资产属性是最直观的一类来源，通常来自设备自身或资产管理系统，包括厂商、型号、固件版本、序列号、MAC 地址、IP 地址、主机名、开放端口、已安装服务等。这类信息获取成本低，很多场景通过主动扫描（如对 PLC、HMI、交换机做端口探测与 SNMP 查询）或读取资产台账即可得到。

但资产属性有一个关键弱点：它大多可以被修改或伪造。MAC 地址可以软件改写，主机名可以随意设置，IP 地址在 DHCP 环境下会变化。因此资产属性适合作为指纹的“基础层”，用于快速分类和初步识别，但不宜单独作为准入的唯一依据。工程上更稳妥的做法是：把序列号、固件版本这类相对稳定的字段作为强特征，把 IP、主机名这类易变字段作为弱特征，并标注其可信权重。

二、网络流量特征：被动观测到的通信习惯

网络流量特征来自镜像端口或分光设备上的被动抓包，不需要向设备发送任何探测报文，因此对生产网络“零打扰”。可提取的特征包括：通信对端集合、端口使用习惯、报文长度分布、发包间隔与周期、流量速率、TCP/IP 栈指纹（如 TTL 初值、窗口大小、TCP 选项顺序）等。

其中 TCP/IP 栈指纹尤其有价值，因为它由设备操作系统协议栈实现决定，普通应用层程序很难篡改。例如某型号 PLC 的 TTL 初值稳定为 64、TCP 窗口固定为 29200、SYN 报文中携带特定的选项组合，这些组合可以作为该型号的“协议栈签名”。流量特征的缺点是采集周期较长，需要观察足够多的通信样本才能形成稳定基线；同时它对网络拓扑变化较敏感，设备更换交换机或路由路径后，部分特征可能漂移。

三、协议交互行为：工控协议语义层的“动作习惯”

工业协议（如 Modbus TCP、S7Comm、OPC UA、EtherNet/IP、IEC 104）的交互行为，是工业设备指纹中最具行业专属性的一类来源。它关注的不是“流量长什么样”，而是“设备在协议层做了什么”。可提取的行为特征包括：支持的协议功能码集合、寄存器/变量访问范围、读写比例、请求响应时延、会话建立与保持方式、异常码返回模式等。

举例来说，一台 Modbus TCP 从站设备如果长期只响应功能码 03（读保持寄存器）和 06（写单个寄存器），且访问的寄存器地址集中在 40001–40020 区间，那么“功能码集合 + 地址区间”就构成了一组行为指纹。当某天该设备突然开始响应功能码 08（诊断）或访问 40100 以上地址，即使 IP 和 MAC 都没变，也应触发告警。协议交互行为难以伪造，因为攻击者要模仿真实设备的完整行为模式成本很高，这也是它在准入控制中权重最高的原因。

四、物理环境信息：来自现场侧的辅助证据

物理环境信息来自设备所处的物理世界，包括机柜位置、接入交换机端口、供电回路、环境温湿度、振动、电磁特征等。在工业现场，设备与交换机端口的对应关系通常相对固定，因此“接入端口 + 机柜编号”可以作为位置指纹。若某台本应接在 3 号机柜 12 号端口的 PLC，其流量突然从 7 号机柜的端口出现，这本身就是强烈的异常信号。

物理环境信息的采集往往需要与网络管理系统、动环监控系统或资产台账联动，实施成本较高，但它提供了网络层无法伪造的“位置约束”，适合作为高安全等级区域的辅助校验手段。

五、四类来源的融合与权重设计

四类来源不是并列堆砌，而是需要按可信度分层融合。一个可落地的权重设计思路是：协议交互行为权重最高（例如 0.4），网络流量特征次之（0.3），资产属性再次（0.2），物理环境信息作为辅助校验（0.1）。当多类特征一致时，指纹置信度高，可直接放行；当出现冲突时，例如资产属性显示为 A 型号但协议行为完全不符合 A 型号基线，则应降低置信度并触发人工复核或临时阻断。

实际部署中，建议先建立“白名单基线”：在设备正常运行的稳定期内，持续采集四类特征，形成每台设备的指纹模板。基线期通常需要覆盖设备完整的生产周期，例如包含换班、启停、配方切换等场景，避免把正常波动误判为异常。基线建立后，再进入在线比对阶段，对新增设备或特征漂移的设备执行准入判定。

总结来看，设备资产属性回答“设备自称是谁”，网络流量特征回答“设备通信像谁”，协议交互行为回答“设备做事像谁”，物理环境信息回答“设备应该在哪里”。四者结合，才能构成既有区分度又难以伪造的工业设备指纹，为后续的准入控制提供可靠依据。