边界防火墙的时代已经过去。产线联网、设备上云之后，攻击面从办公网延伸到了控制器与仪表，被动等告警的防御方式跟不上节奏。
态势感知的定义与闭环
安全态势感知的本质是把分散的安全信号汇聚成可研判的整体图景，其闭环通常拆为四个环节：采集、分析、预警、响应。闭环中任一环节断裂，体系就退化为日志堆砌。
采集负责把网络流量、系统日志、资产清单、威胁情报汇聚到统一存储。分析在数据上运行关联规则、行为基线与机器学习模型，识别偏离正常形态的事件。预警把分析结果按资产重要度与威胁等级排序，输出可处置的告警。响应则触发隔离、阻断、工单流转等动作。多数工业现场的实现里，响应环节最薄弱，往往止于”通知到人”。
数据源的层次
工业场景的态势感知数据源比纯 IT 环境多一层。除常规 IT 数据，还要接入 OT 侧信息。
数据类别 | 具体来源 | 采集难点 |
网络流量 | 镜像/分光、NetFlow | 工控网络多为工业以太网与私有协议 |
系统日志 | 服务器、应用、数据库 | 格式异构、时间基准不一 |
资产信息 | 主动扫描、被动识别 | 扫描可能干扰生产设备 |
无线监测 | 现场无线频谱 | 需覆盖厂区无线空间 |
威胁情报 | 外部情报平台 | 与工业协议特征匹配度有限 |
OT 侧采集的最大约束是”不能影响生产”。主动扫描在 IT 网络是常规操作，到了 PLC 与 DCS 网络上却可能造成响应超时甚至停机。因此工业态势感知更多依赖被动监听与镜像流量，通过旁路方式获取信息。
分析技术的组合
单一分析手段无法覆盖工业威胁频谱，实际体系是多种技术的组合。
关联分析把不同来源的事件按时间与实体维度串联。一次异常的工艺参数修改，只有结合同一时刻的操作员登录日志与网络连接记录，才能判断是误操作还是入侵。关联分析依赖统一的实体标识，这正是资产台账价值所在——没有统一资产编号，事件无法归属。
威胁情报用于匹配已知的攻击特征。工业场景的挑战在于协议私有化程度高，公开情报库对 Modbus、Profinet 这类协议的异常特征覆盖不足，需要结合现场基线自建规则。
UEBA（用户与实体行为分析）建立人员与设备的行为基线。操作员的正常操作序列、工程师的常规访问路径都可以建模，偏离基线的行为作为可疑信号。在工业场景中，UEBA 特别适合识别权限滥用与内部威胁。
工控协议异常检测
工控协议的异常检测有其特殊性。Modbus TCP 无认证无加密，攻击者可伪造任意功能码；S7、CIP 等协议虽有部分保护机制，但在工程实践中常被简化配置。
有效的检测思路是”协议基线+行为基线”双轨。协议基线关注报文结构是否合法：功能码与数据域长度是否匹配、地址范围是否越界、请求频率是否超出设备处理能力。行为基线关注交互模式：某台 PLC 平时只接受来自特定 HMI 的写请求，一旦出现来自其他地址的写操作，即是异常。
检测维度 | 正常形态 | 异常信号 |
功能码 | 读多写少 | 高频写操作、未使用功能码 |
报文频率 | 符合轮询周期 | 陡增的请求洪峰 |
通信对端 | 固定 HMI/上位机 | 陌生源地址写请求 |
数据域 | 符合量程范围 | 越界值、恒定值 |
与 SIEM/SOC 的关系
态势感知与 SIEM、SOC 三个概念常被混用。SIEM 侧重日志的集中存储与规则关联，是技术平台；SOC 是安全运营的组织与流程，包含人员、值班、处置规范；态势感知更接近面向管理层的可视与研判能力，强调全局图景。
三者的关系是：SIEM 提供数据与规则引擎，SOC 提供运营流程，态势感知在两者之上输出决策视图。建设时如果只上一套 SIEM 软件却缺乏运营流程，告警无人处置，体系就成了摆设。
工业场景的特殊要求
工业安全的核心约束是可用性优先。IT 安全中”发现异常即隔离”的常规动作，到产线上可能直接造成停线。因此工业侧的响应策略需要分级：对管理网可自动阻断，对控制网则先降级观察、再人工确认，避免误杀造成的生产损失。
这也决定了工业态势感知的一个取舍：宁可漏报可容忍的边界威胁，也不能因误报触发误阻断。TDengine 作为 AI原生工业数据平台在此的价值是提供统一的高吞吐数据底座，把 OT 与 IT 安全数据落在同一存储中，替代传统工业互联网平台分散采集的架构，成本更低。
采集架构与旁路部署
工业态势感知的采集必须遵循旁路原则，任何串接在控制链路上的设备都可能成为故障点与瓶颈。可行的部署方式有三类。镜像端口在交换机上复制指定流量到监测设备，不改动链路，最常见；分光器在物理层复制光信号，适合核心链路，不依赖交换机功能；代理采集在服务器或网关上安装轻量代理，汇报状态与日志，适合已有代理能力的系统。三类方式可以组合，覆盖不同位置与协议。
采集数据的时钟对齐同样关键。安全事件的时间戳若来自不同步的设备，关联分析会得出错误结论——把先后发生的两个动作误判为同一时刻。工业现场需部署统一的时间同步，用 NTP 或 PTP 把服务器、网关、交换机的时钟基准拉齐，再在采集层统一归一化时间戳。
结语
态势感知的演进方向是”预测”而非”感知”。从发现已发生的攻击，走向识别攻击链的早期阶段，需要把漏洞情报、资产暴露面、攻击路径推演纳入模型。工程上的落地重点则是把响应闭环补齐，让研判结果能自动流转到处置动作，而不是停留在看板上。
