研判要回答三个问题
告警到达后，研判其实在回答三个问题：这件事发生的位置有多重要（资产重要度与所处区域）、发生的时机是否合理（是否处于维护窗口、是否与已批准的变更对应）、行为本身是否在允许范围之外（是否与基线偏离、是否涉及写操作与程序下载）。第三个问题看技术证据，前两个问题看业务上下文，三者结合才能把一条告警定性为误报、真实异常还是正在进行的攻击。定性之后才是处置，而工控场景的处置必须考虑生产连续性。
基本信息
| 分级依据 | 资产重要度、行为类型（读、写、下载、配置）、影响范围、是否涉及控制层 |
|---|---|
| 上下文要素 | 资产所属区域与角色、是否在维护窗口、是否有已批准变更、历史是否出现过类似告警 |
| 处置选项 | 记录观察、加规则收紧、通知工艺与设备方、限制来源、必要时隔离 |
| 升级路径 | 按级别确定通知对象与响应时限，明确谁有决定停机的权力 |
| 记录要求 | 每条告警的定性结论、依据与处置动作都要留档，供后续优化规则 |
| 反馈闭环 | 误报与漏报都要回流到规则与基线维护环节 |
研判流程
- 归一与去重：把同一事件产生的多条告警合并，避免同一件事反复消耗注意力
- 确定位置与资产：判断涉及设备的重要度与所在区域，决定优先级起点
- 核对上下文：查维护窗口、变更记录与历史告警，排除已知的正常行为
- 核对基线：看该通信关系与操作类型是否在登记范围内，偏离程度如何
- 查证技术证据：调用流量记录与主机日志，确认实际发生了哪些操作
- 定性与处置：给出误报、可疑或确认异常的结论，并选择与可用性相容的处置
- 记录与反馈：把结论与依据归档，把误报特征反馈给规则维护
分级与响应建议
| 级别 | 典型判据 | 响应 |
|---|---|---|
| 最高 | 涉及关键控制器或被控逻辑的写入、下载与配置变更 | 立即核查，通知工艺与设备方，按预案处置 |
| 高 | 关键区域出现非授权客户端、异常通信关系或扫描行为 | 尽快核查来源与影响范围，限制来源并观察 |
| 中 | 一般区域出现基线偏离或高风险动作 | 按班次核查，结合维护窗口判断 |
| 低 | 新增设备、频率异常、已知误报特征 | 记录并定期复核，用于基线维护 |
任何可能导致生产中断的处置动作——断开链路、阻断通信、隔离主机——都必须先与工艺方确认并评估后果。安全侧单方面执行阻断，可能把一次可用性问题放大成生产事故，这也是工控场景中自动响应机制普遍不建议直接启用的原因。