工控规则与 IT 规则的差别
办公网的入侵检测规则主要针对通用协议与常见攻击载荷；工业现场的主力规则是另两类。第一类是协议行为规则：定义某条链路上应该出现哪些协议、允许哪些操作类型、访问范围到哪里为止，凡是超出范围的就产生告警。第二类是威胁特征规则：识别扫描行为、已知攻击工具的流量特征、程序下载与参数写入这类高风险动作，以及协议层面的异常组合。工控规则难在协议种类多且存在厂商私有实现，现场流量虽然规律但工况会变，因此规则必须与白名单基线配合，并做本地化裁剪。
基本信息
| 规则类型 | 协议行为与白名单偏差、威胁特征识别、异常操作与高风险动作、资产与地址异常 |
|---|---|
| 规则来源 | 安全设备厂商特征库、公开的工控规则集、基于本厂通信矩阵自建的本地规则 |
| 部署方式 | 旁路检测（只告警）或串接阻断（可拦截），接通方式与生产可用性直接相关 |
| 典型规则内容 | 非授权客户端发起写操作、出现协议范围外的操作类型、扫描与枚举行为、异常时段的通信 |
| 误报控制 | 本地化裁剪、维护窗口标注、白名单优先、按资产重要度分级 |
| 维护要求 | 特征更新与本地规则复核并行，避免更新后引入新的误报 |
值得优先建立的规则
- 非授权客户端访问控制器：来自清单之外的地址对关键设备发起会话或写操作
- 写操作与程序下载事件：即便无法判断恶意，这类动作本身值得记录并复核
- 超出登记范围的操作类型：例如对某设备只应出现读操作，却出现参数写入
- 扫描与枚举行为：短时间内对多个设备或地址范围的连接尝试
- 异常时间的通信：在非生产时段出现的控制通信，尤其在无人值守时段
- 协议层错误集中出现：同一设备大量异常响应与超时，可能是异常指令被拒绝的表现
- 新出现的通信关系：此前从未出现过的源目的组合，属于基线偏差告警
规则类型与局限
| 规则类型 | 能发现 | 局限 |
|---|---|---|
| 协议行为规则 | 超出登记范围的操作与访问 | 依赖基线完整，基线不全即漏检 |
| 威胁特征规则 | 已知工具与攻击手法 | 对未知手法无效，特征库需持续更新 |
| 高风险动作规则 | 程序下载、参数写入等关键动作 | 属正常运维也会触发，需要流程配合判断 |
| 资产与地址规则 | 新增设备与非授权地址 | 现场变更频繁时误报较多 |
| 统计类规则 | 频率、周期与时长的异常 | 工况变化会造成误报，需要场景区分 |
启用串接阻断模式前必须评估误判后果：一旦规则把合法生产通信判为异常并阻断，代价可能是停线。稳妥的路径是先旁路观察、把误报压到可接受水平，再对少数规则启用阻断，并保留快速停用手段。