北信源工控安全审计系统
立即咨询
首页
六类协议
主流工控协议解析
旁路接入
镜像或分光取流
按时间回放
原始流量留存
插件扩展
私有协议接入
⚠️行业痛点与挑战
🔍出事只能问值班员
阀门误动或参数被改，事后问中控谁动过，只能凭记忆和纸质记录，历史库只存数值不存来源地址，责任落不到人。
⏱️通用审计看不懂工控协议
上网行为与日志审计只看到端口和字节数，Modbus里写的是哪个寄存器、写成什么值解析不出来，告警全是看不懂的十六进制。
🧠异常通信没人建基线
工程师站半夜连PLC、外部地址访问502端口，这些事天天发生却没人比对，等勒索病毒横向扩散才发现早就有异常连接。
🔗抓包文件堆着不会用
交换机上抓的文件几十个G，出问题要按时间翻，不会过滤等于没有，厂家来了也要从头再抓一次。
📉厂家私有协议接不进来
老装置用的是厂商自有协议，通用设备识别不了，只能放弃这段链路，审计范围缺一块，检查时说不清。
🚧多个厂站各看各的
分厂各自装一台，告警口径和留存天数都不一样，集团要看全网情况只能收报表，时间还对不上。
🎯产品定位与核心价值
旁路取流的工控网络审计设备，按协议还原读写指令与通信关系，原始流量可留存回放，异常通信与攻击特征单独告警，单机或集中管理。
💡可靠交付保障
工控协议解析平台的实施配套包含培训与知识转移，团队可持续自主运营。
🔁灵活扩展路径
业务增长带来的生产网流量回溯与取证工具新需求，在既有架构上按模块扩展承接。
🧷能力可度量
工控协议解析平台的各项输出均有可核验的记录，生产网流量回溯与取证工具的成效不依赖主观判断。
⚙️核心能力详解
🧮镜像与分光接入
从交换机镜像口或分光器取流，不串接不改现有拓扑，生产网断链风险不增加，接入前只需确认镜像口带宽。
🧱六类协议深度解析
对Modbus/TCP、IEC104、DNP3、Profinet、S7与OPC Classic做字段级解析，读写的寄存器、功能码与点位值都能落到表格。
⚡通信关系基线
按源、目的、端口与协议统计周期读写，形成谁跟谁说话的基线，偏离基线的连接单独列出，不靠人工记。
📊指令级回溯
按时间、地址、端口与协议组合过滤，定位到某次写寄存器的原始报文，前后报文一起看，能还原操作序列。
🌐原始流量留存与回放
原始数据按策略存储、滚动覆盖与导出，事件回放按时间轴走，配合告警定位当时的操作与响应。
🔧私有协议插件
按厂商协议文档做解析插件，点位表与功能码映射可配置，老装置的私有链路也能进审计范围。
📐技术规格
| 产品名称 | 工控安全审计系统 |
| 所属厂商 | 北信源 |
| 产品分类 | 工控安全·工控协议解析平台 |
| 核心能力 | 镜像与分光接入、六类协议深度解析、通信关系基线 |
| 应用场景 | 变电站远动通道、燃气门站SCADA、地铁车站BAS |
| 能力边界 | 镜像与分光接入、六类协议深度解析、通信关系基线等核心能力覆盖工控协议解析平台主要需求 |
| 交付形态 | 软件或解决方案交付，具体形态以官方为准 |
| 目标客群 | 生产网流量回溯与取证工具场景的企业级用户与生态伙伴 |
| 评估要点 | 工控协议解析平台能力与既有流程的匹配度是首要考量 |
🏭典型应用场景
✈️变电站远动通道
调度自动化班在远动交换机上做镜像，审计系统解析IEC104总召与遥控报文，核对主站下发的点号与站内实际变位是否一致，按遥控失败次数与核对耗时衡量，采集时段避开交接班。
🚗燃气门站SCADA
管网运行调度把门站SCADA流量引到审计口，按Modbus功能码看调压阀开度指令来源，夜间无人值守时段的写操作单独推送，夜间告警只推值班手机，按异常条数与处置时长考核。
🔋地铁车站BAS
机电维保在车站环网交换机上取流，审计系统按现场协议还原空调机组启停指令，联调期间比对中控画面与实际设备动作，调试期每天对一次点位表，按误动次数与排查工时衡量。
🌊化工装置DCS
自控车间把工程师站与控制器之间的流量纳入审计，配方下载与参数修改按账号和时间留档，检修后复核改动清单并让操作班签字，差异项当班说明，按未授权修改条数与复核工作量考核。
🏗️水厂泵站群
供水中控在泵站汇聚交换机镜像取流，按通信基线看各泵站上报周期，掉线前是否有异常断链或重复连接，每周对一次上报周期，异常写进周报，按链路异常数与恢复时长核对。
🚢机场行李分拣
行李系统维保在分拣PLC网段取流，解析S7读写与条码扫描触发，卡包时回放前后报文定位是扫描枪还是分拣指令问题，并把结论回填工单，按故障定位时长与误判次数衡量。
🏆典型应用案例
📦
先跑一天看协议覆盖率
接入后先只做识别不做告警，跑满一个完整班次，导出协议分布与未识别流量清单，未识别的按端口与厂商归类，补插件或调整镜像口后再开告警，避免一上来全是误报。收益按未识别流量占比核对。
🛫
用通信基线抓私接
把正常生产的源目的与周期读写固化为基线，再把工程师站、备件笔记本和厂商调试口单独列组，基线外连接按小时汇总，逐条找归属人确认，确认不了的列待核实。收益按确认的私接点位数核对。
🏭
按时间轴回放误动
记录误动发生的分钟数，按目的地址与功能码过滤出写寄存器报文，连同前后读报文一起回放，定位到发起主机与操作账号，把结论附在故障报告后并让操作班签字。收益按定位耗时核对。
📦
私有协议插件接入
向厂商要协议说明与点位表，先在测试环境用样例流量调插件，字段对齐后再挂到生产镜像口，插件版本与点位表一并归档，下次升级照单核对。收益按纳入审计的链路条数核对。
🔌接入方式
🖥️与工控防火墙联动
把审计识别出的异常源地址、目的端口与协议推给防火墙做临时封禁，封禁时长与解封条件由值班长确认，避免误封把正常轮询挡在外面，处置完自动解封并写记录。
☁️向态势平台供数
按接口把告警、通信关系与资产指纹送到工控态势分析系统，字段含设备名、协议、功能码与发生时间，平台按装置与厂站汇总后统一分级，值班只看一处。
🤝对接资产管理台账
审计发现的地址、物理地址与设备型号导出后与资产台账比对，台账缺失的现场补录，长期不通信的列入待核实清单，每季度对一次，差异交设备责任人签字确认。
🧩生态协同与能力底座
🧩自控与弱电集成商
镜像口、分光器与机柜空间由集成商在施工阶段预留，审计设备进场才有位置；后期加链路也要他们配合停机做跳接，进度要排进同一张施工表，否则一拖半个月。
🔗网络设备厂商
不同品牌交换机的镜像配置与聚合方式差别大，接入前要拿到配置手册，跨设备镜像还需要支持远程镜像功能，否则只能在本机加装分光器，成本和时间都要另算。
🌱测评与安服机构
测评机构进场要调通信关系与告警记录，安服团队用回放做事件复盘；设备导出格式要能直接给他们用，省掉二次整理，也避免转录出错，报告口径也统一。
🚀产品差异化特点
🌟按点位审计不是按流量
通用审计统计会话与字节，工控审计落到寄存器、功能码与点位值；同一条连接里写了哪个阀门、写成什么值，只有协议级解析才说得清，报告才写得住，复核也站得住。
🆚原始报文能回放
留存原始流量并按时间轴重放，结论可复核；只存解析结果的方案，字段映射错一位就再也回不到原始报文，争议时拿不出证据，整改也无从下手，责任更说不清。
🧬私有协议留了插件位
老装置的厂商协议可以按文档做插件接入，不必整段放弃；只支持标准协议的产品在技改过渡期会留下盲区，检查时这段链路说不清，也没法补证，只能认缺。
✅最佳实践
📝
镜像口带宽要先算
把多条链路镜像到同一个口，峰值叠加会丢包，审计看到的通信关系就缺段；按峰值之和选端口，必要时分开取流，别等出问题再补分光器，不要省这一道。
🔄
基线期要盖住检修
只采正常运行日，检修时的批量下载与程序更新全成异常；基线至少覆盖一次计划检修和一次开停车，两类分开建模，告警才不互相干扰，否则前后没法比。
🎯
时钟不同源结论会错
审计设备、交换机和控制器各自对时，差几分钟就可能把操作归到别人头上；上线时统一接厂内时钟源，并把各设备偏差记进验收记录，别等复盘才发现对不上。
📈
点位表要有人维护
技改后点位增减，插件映射不更新就解析出错误名称；把点位表纳入变更流程，谁改工艺谁提申请，审计侧按月核对一次点名，缺项当场补，别攒到年底。
🗺️企业落地路径
1️⃣
选点与取流
按装置列出关键链路与交换机镜像能力，确定取流点、带宽与分光方式，形成接入方案与停机需求清单，明确施工与配合方，谁在窗口内做什么写到人。
2️⃣
协议识别与资产梳理
先只识别不告警，跑满一个完整班次，输出协议分布、设备指纹与未识别流量，补齐插件与点位表，形成审计范围说明并由厂方确认签字，后续扩范围按这份底稿改。
3️⃣
基线建模与告警调优
按班次与检修分别建基线，设定偏离阈值与告警级别，跑两周后收敛误报，输出告警规则表与值班处置口径，规则改动留版本备查，避免换人后口径走样。
4️⃣
集中管理与月报
各厂站采集单元接入集团服务器，固化周报与月报模板，值班交接按告警清单走，原始流量按留存策略回取，转入日常运维并每月核对一次覆盖范围。
💬常见问题 FAQ
交换机没有镜像口怎么办？
可在链路上加分光器或网络分流器取流，也可以在汇聚交换机上做端口镜像；镜像口带宽要大于被镜像链路峰值，否则会丢包，审计结果就不完整，结论也站不住。
旁路设备能不能阻断攻击？
旁路只做采集与分析，不下发阻断；需要拦截时把告警接到防火墙或边界认证机做联动，或在规划时改用串接方案，两种形态的职责要分开写进方案，别混着说。
加密或私有协议能解析吗？
标准工控协议直接解析，厂商私有协议要按协议文档做插件，点位表由使用方提供；链路层加密的流量只能看连接关系，看不到指令内容，验收时要写清范围与限度。
原始流量能存多久？
按磁盘容量与留存策略算，全流量留存时间短，可按协议或网段只存关键报文；建议关键点位全存、其余抽样，留存天数写进验收单并按月核对磁盘余量，不够就扩盘。
时间戳和控制器对不上怎么办？
设备接厂内时钟源对时，交换机与控制器也要同源；对不上时先查时区与夏令时设置，再查镜像口是否跨设备聚合，时间偏差会让回放结论失真，责任也归错人。
一条链路要配多大带宽？
按镜像口峰值乘协议开销估算，百兆链路与千兆汇聚要分开选型；解析能力不足时先按点位清单过滤，不要把所有流量都送进解析引擎，否则关键报文会排队，告警就慢。
能不能只审计某个车间的点位？
可以按网段、地址组与协议功能码设采集范围，点位清单之外的只记连接不解析内容；范围调整要同步更新基线，否则告警口径会变，历史数据也没法比，扩范围要留记录。
多个厂站怎么集中管？
各厂站放采集单元，通过管理通道把告警与元数据送到集团侧服务器，原始流量留在本地按需回取；跨隔离区要走单向导入，不能直接开双向端口，审批文件留档。
📄信息来源与免责声明
本页面由云巴巴汇总北信源官方公开资料，聚焦工控协议解析平台在工控安全领域的实际业务价值。
页面所述生产网流量回溯与取证工具能力基于公开信息整理，具体实现与指标口径以官方文档为准。
云巴巴为企业提供工控安全审计系统的选型咨询、方案对比与接入协调服务。
产品推荐
左手医生主动式医疗AI平台降低医院导诊分诊成本，帮助患者精准寻医。诊前智能采集患者病情信息生成电子病历,患者获得诊前就诊患教指导和症状缓解患教。提前获知患者病情，提升医生效率，节省书写病历时间。AI病情分析，帮助全科医生问诊决策。
小鹅通班课互动课堂，整合微信H5、微信小程序、微页面、小鹅通助手等多种流量终端，占据每个流量聚集入口，持续引流获客。多样营销工具，刺激成交效率，打造爆款涨销量。多样引流获客工具，让每个用户变身为推广传播的触点。
票据智能识别系统提供应付票据场景下的综合解决方案 , 帮助企业加快数字化转型，节省多至90%的运营成本。通过票据智能识别系统中AI-OCR发票管理，实现从发票扫描识别输入、真伪验证、合规稽核，凭证归档，打破业务与财务的信息孤岛，便于企业更好的建立数字中台以及决策分析
智简全渠道会员数字化运营平台，整合企微SCRM私域运营系统、CRM管理平台、储值电子卡包系统及短视频AI获客营销工具。支持私域精细化运营、会员全周期管理、储值卡便捷管理、短视频精准获客，助力企业打通全渠道链路，提升会员粘性与营销转化效率。
数字化社区
视频
文章
