深度包检测做了什么
普通包过滤只读包头，凭地址与端口判断放行；深度包检测进一步解析载荷与应用层结构，按协议自身的字段去理解这段流量在做什么。在工控现场这带来三个直接能力：一是协议识别，工控协议经常被配置在非标准端口上，只按端口判断会完全认错；二是操作级识别，可以区分读操作与写操作、参数配置与程序下载；三是行为可观测，结合时间与频率可以标出「谁在什么时间对哪台设备做了什么」的轨迹。它也是被动资产清点与流量基线建模的数据来源。
基本信息
| 识别层次 | 链路与网络层字段、传输层端口与会话、应用层协议字段与操作类型 |
|---|---|
| 可识别对象 | 常见工业以太网协议与现场总线封装协议，具体支持范围以设备厂商文档为准 |
| 部署方式 | 串接在链路中做过滤，或通过镜像端口旁路做检测与审计 |
| 主要局限 | 加密流量只能看到连接元数据，私有协议需要特征库支持，深解析带来时延与资源开销 |
| 性能关注点 | 吞吐、会话并发数、解析深度、丢包率与引入的额外时延 |
| 误报处理 | 用例化记录误报与漏报，作为规则与特征库调整的输入 |
典型使用场景
- 协议识别：发现跑在非标准端口上的工控协议，纠正只按端口分类造成的误判
- 被动资产清点：从流量中识别出正在通信的设备与角色，补充主动扫描不便覆盖的老旧设备
- 操作级白名单：限制某主站只能读写指定范围，禁止来自非授权客户端的写操作与程序下载
- 异常行为检测：识别异常的寄存器访问、异常的功能码组合或异常时间的通信
- 流量基线建模：为通信矩阵与白名单建模提供真实数据，避免凭经验填表
- 故障定位：解析协议错误码与响应异常，帮助区分网络问题与设备侧问题
检测层次能看到什么
| 层次 | 能观察到 | 观察不到 |
|---|---|---|
| 网络层 | 通信双方、频率、包长分布 | 协议是什么、操作内容是什么 |
| 传输层 | 端口与会话状态 | 非标准端口上协议的真实身份 |
| 应用层明文 | 协议类型、操作类型、地址范围、异常码 | 被加密的载荷内部 |
| 应用层加密 | 连接建立、会话时长、数据量 | 具体读写对象与参数内容 |
在高速链路上做全量深解析可能引入丢包或明显时延，而生产网络对这两者都敏感。上线前应实测转发性能，必要时按链路重要性选择解析深度，或把深解析改为旁路观察加串接粗过滤的组合。