监测点在哪、为什么在那
监测点的价值取决于位置：放在区域边界上，能看到跨越信任区域的全部通信，也是异常行为最可能出现的地方；放在工艺区汇聚点，能看到区内设备之间的横向通信，用于发现内部扩散；放在远程接入入口，能记录外部人员进入后的操作轨迹；放在数据出口，能核对上行数据的范围与频率是否与申报一致。相比之下，在单台设备旁做端口镜像只能看到该设备的局部流量，覆盖面窄但定位精确，适合重点设备的深度观察。选择位置的基本判断是：这个点能否覆盖你想回答的问题所涉及的通信。
基本信息
| 典型位置 | 区域边界两侧、工艺区汇聚点、远程接入入口、工程师站所在网段、历史数据出口 |
|---|---|
| 采集方式 | 交换机端口镜像或网络分流设备，分流方式对生产链路的侵入性取决于部署形态 |
| 容量规划 | 镜像口带宽必须大于被镜像流量的峰值，否则静默丢包且难以察觉 |
| 时间同步 | 各监测点时间统一，否则跨点事件无法按时间线关联 |
| 覆盖原则 | 先覆盖边界与异常路径，再补充重点设备的局部观察 |
| 数据去向 | 采集数据要有集中存储与分析位置，避免采了没地方用 |
监测点清单建议
- 控制区与办公区边界：最关键的观察点，能同时看到跨区请求与响应两侧的行为
- 工艺区之间的汇聚点：用于发现横向移动与异常的内部通信关系
- 远程接入入口：记录外部接入期间的全部通信，支撑事后审计
- 工程师站与组态软件所在网段：程序下载与参数修改的起始位置，事件价值高
- 数据上行出口：核对上行数据的协议、目标与频率是否符合设计与审批
- 重点设备局部观察：对高价值控制器可做局部镜像，用于精确排障与取证
位置与观测能力
| 位置 | 能发现什么 | 注意点 |
|---|---|---|
| 区域边界 | 跨区异常访问、未申报的通信关系 | 两侧都要看，只看一侧无法判断响应行为 |
| 工艺区汇聚点 | 区内横向扫描与异常通信 | 汇聚点流量大，需核对镜像容量 |
| 远程接入入口 | 外部人员操作轨迹与时序 | 配合会话审计使用更有效 |
| 数据出口 | 超范围或不符预期的上行数据 | 需要与数据使用方约定的范围作对照 |
| 设备局部 | 该设备的协议交互细节与错误码 | 覆盖窄，不适合作为整体监测方案 |
端口镜像在流量超出端口处理能力时会直接丢包且通常不产生明显告警，表现为「监测系统什么都没看到」。部署前后都要核对峰值流量与丢包计数，并把容量增长纳入长期运维，否则监测点会随业务增长悄悄失效。