三类基线怎么配合
资产基线回答「现场有哪些设备在通信」，用于发现未经登记的新设备与消失的设备。通信基线回答「谁和谁通信、用什么协议、方向和频率是什么」，用于发现新增的通信关系、异常端口或异常方向的连接。行为基线回答「这些通信做了什么」，比如某主站只应读取某段地址、某工程师站只应在检修期下载程序，用于发现操作类型与时间上的偏离。三类基线一层比一层细：资产层最易建立、误报最少；通信层价值最高；行为层最有洞察力但维护成本也最大。
基本信息
| 资产基线 | 设备清单与角色，含地址、所属区域与责任人 |
|---|---|
| 通信基线 | 允许的源目的组合、协议、方向、大致频率与数据量 |
| 行为基线 | 允许的操作类型与访问范围、允许的时间窗口、允许的客户端 |
| 建模方法 | 白名单比对、统计阈值、周期与频率检验，按现场条件选择 |
| 学习期要求 | 覆盖全部工况，包含检修、换型、季节与备用设备启用 |
| 告警分级原则 | 越靠近控制层的偏离，优先级越高 |
落地步骤
- 确认现场状态：采集前确认网络与主机无异常，避免把异常学进基线
- 建立资产基线：从流量与设备配置双向清点，形成设备与角色清单
- 建立通信基线：把通信关系聚合成可读条目，保留方向与频率特征
- 建立行为基线：对关键链路细化到操作类型与时间窗口，其余保持粗粒度
- 评审与确认：由工艺、设备管理与安全共同确认每条基线的业务依据
- 上线观察：先告警不阻断，核对误报来源，据此调整基线与阈值
- 持续维护：设备新增、工艺改造与工况变化时同步更新基线
基线类型与要点
| 基线类型 | 常见异常 | 注意点 |
|---|---|---|
| 资产基线 | 新出现未登记设备、设备长时间消失 | 现场临时设备多，需与变更流程联动 |
| 通信基线 | 新增通信关系、异常端口与方向 | 工况变化会产生新关系，需区分合法变更 |
| 行为基线 | 越权写入、异常时段操作、异常客户端 | 维护成本最高，建议先覆盖关键设备 |
| 频率与周期 | 周期被破坏、突发高频通信 | 传感器与网关的周期性任务会造成误报 |
| 数据量基线 | 数据量突增或骤降 | 采集口径变化会导致误判 |
工况变化是基线检测误报的主要来源。换型、检修、季节性设备启用以及备用机组投运都会让通信关系发生变化。处理办法是分场景建模或在工作流中标注工况窗口，而不是简单地把阈值放宽，那样会把真实的异常也一起放过。