3.2 工控安全监测与审计（旁路 DPI 检测类）

信源等级：L3 厂商官方 ｜ 最后核验：2026-09-17 厂商资料：威努特官网（winicssec.com）、六方云官网（6cloudtech.com）

一、产品定义

工控安全监测审计系统是旁路部署（镜像端口/分流器）的安全检测审计平台，对工控网络”零风险”——不阻断流量，专注实时检测 + 指令级审计 + 取证溯源。对标等保2.0工控扩展要求中的”全流量审计""异常检测”，是《工业企业网络安全防护指南》（2024）第 22 条「监测预警」要求的标准落地产品。

二、核心技术原理

1. 工业协议深度解析（DPI）

• 支持 100+ 工业协议识别，主流协议（OPC/Modbus/IEC 104/IEC 61850 MMS/S7/EtherNet-IP/DNP3/Profinet/Fins）指令级解析；
• 超 1000 种寄存器、功能码识别；支持点表、值域字段识别；
• 记录协议通信日志：连接时间、源/目的 MAC、报文数、字节数、端口号、功能码等（六方云口径支持留存 ≥6 个月安全事件日志）。

2. 「白名单 + 智能学习」基线

• 首先生成工业协议特征白名单（源 IP、目的 IP、协议名称、详细协议数据）；
• 默认：任何未经批准的主机/协议/功能指令视为潜在威胁 → 告警；
• 智能学习构建正常通信基线，异常指令操作、新设备接入、异常连接、异常地址/端口触发告警（威努特 SMA、六方云审计均采用）。

3. 四维一体检测（六方云）

流量特征提取 + 工业协议白名单审计 + 工业入侵特征检测 + 机器学习。

4. 关键事件监测

• 工程师站组态变更、操控指令变更、PLC 下装、负载变更 → 告警（对”合法身份恶意操作”的兜底）；
• 关键服务中断检测（设定时间内某 IP 服务收包为零 → 告警）；
• 支持管理员自定义工控通信告警规则。

三、典型功能清单

功能域	能力
协议深度解析	协议语法检查、Reset/连接跟踪、功能码/寄存器值域识别、DNP3 白名单字段配置、IEC104 公共地址长度配置
事件告警	非法格式报文、组态变更、指令变更、下装、未知设备接入、误操作、违规操作、蠕虫病毒传播
通信记录	全会话记录、主流工控协议指令级日志、非工控协议连接信息
异常流量监测	流入流出流量基线、超出基线告警
资产与脆弱性	以资产为核心的安全状态展示、工业漏洞库匹配（六方云：1000+ 工业漏洞实时匹配）
统一管理	可信主机访问控制、分权分级、报表、自动升级

四、部署位置

1. 现场控制层：控制器与上位机连接交换机处镜像 → 检测非法指令、控制器漏洞利用；
2. 过程监控层：旁路部署 → 通信基线建模、流量基线、组态变更监控；
3. 二三层/三四层边界：IT 与 OT 均可审计（六方云 OT/IT 融合引擎）。

五、代表产品

厂商	产品	差异化亮点
威努特	工控安全监测与审计系统（SMA）	100+ 协议识别、1000+ 功能码识别、OPC 动态端口识别、事件一键加白名单
六方云	工业网络审计系统	四维一体检测、OT/IT 融合引擎、1000+ 工业漏洞库、≥6个月日志留存

六、与工业防火墙的分工

工业防火墙 = 串联阻断（守边界，白名单拒绝非法流量）； 监测审计 = 旁路检测（看全网，发现异常、留存证据、事后溯源）。 二者组合构成”边界防御 + 全网监测”纵深体系，合规上分别对应《防护指南》第 12/22 条与等保 8.5 扩展要求的网络架构/访问控制项。

七、来源引用

1. 威努特官网：工控安全监测与审计系统（SMA）产品页
2. 六方云官网：工业网络审计系统产品页