流量监测与审计

       系统支持旁路部署，采用被动方式从网络采集数据包，通过解析工控网络流量、深度分析工控协议、与系统内置的协议特征库和设备对象进行智能匹配，实现实时流量监测及威胁活动告警，帮助用户实时掌握工控网络运行状况，发现潜在的网络安全威胁。

       系统支持基于预置协议和用户自定义协议的自定义规则检测：

       --系统预置入侵检测规则库，规则库支持windows系统漏洞、Linux系统漏洞、Unix系统漏洞、Web漏洞、工控系统漏洞、工控协议漏洞等规则分类。

       --支持用户根据威胁特征自定义与其相匹配的规则，并可将此自定义的规则应用到流量探针中使用，当检测到与规则相匹配的流量时，产生用户自定义的告警信息，并采取用户自定义的处置措施。

动态资产管理

       通过协议分析和庞大的资产库资源，快速识别工控网络中的设备，智能化分析资产属性等基础信息，自动生成通讯拓扑图，在界面上对整个工控网络资产进行可视化展现（包括IP地址、通讯节点间使用的工业协议等），并对设备的资源状况、端口工作状况等进行监测。

策略管理

       监测审计系统支持策略集中管理和在线下装；支持黑名单导入和白名单自学习功能，黑名单可实时检测工控系统安全风险，白名单实现信任管理，通过智能学习技术，自动生成白名单库。

拓扑绘制

       通过流量分析，识别系统中所有通信链路，并收集通信链路中的源IP/目的IP、源端口/目的端口、通信协议、链路最早建立时间、链路最新通信时间、包吞吐量等信息。利用基于对网络通信数据的实时分析，自动以拓扑图的形式直观展示工控网络中各个设备节点之间的通信连接情况，对于存在入侵等告警信息的通信链路，在拓扑图上提供可视化的异常展示与告警。

       支持“拓扑视图保存”功能，用户可保存拓扑图上的节点位置，便于后续查看。

关键事件监测与告警

       基于工控协议解析和工控通信特征库，监测审计系统可实现对组态变更、异常操控指令、PLC程序下装等关键事件进行识别和告警。

       如：在变电站中，可通过对IEC61850协议簇、IEC 104协议等进行深度解析，分析对应场景下的关键操作行为（遥控操作、改定值操作）等。

       监测审计系统可针对常见工业场景设置通用行业场景，深度解析Modbus TCP、S7 Comm等常见协议规约。

网络状态监测与告警

       监测审计系统支持网络流量及状态白名单基线，当有未知设备接入网络或网络故障时，可触发实时告警信息。

       用户可通过图标排列的方式显示系统设备（如：AMS、 TAA）的在线状态和工作状态。

工控网络审计

       基于工控协议解析结果，对工控网络中的所有活动提供协议和流量审计，并生成完整记录。

会话流量历史查看

       系统不仅支持通过“通信链路”查看链路的流量日志信息，还支持通过“历史统计”查看链路的历史流量统计。

数据外发

       支持在指定的时间内自动生成告警历史数据文件并外发至指定的地址、端口。

日志与报表

       监测审计系统自动将各类告警数据（如：黑名单告警、白名单告警、关键事件告警等）和系统操作数据生成日志，并支持以Excel表格形式导出日志。

       监测审计系统为审计日志、黑名单告警、白名单告警、关键事件等信息提供多种格式的报表输出，提供与第三方系统日志信息采集接口。

产品优势

全面的异常检测

       记录发送到现场设备或来源于现场设备的所有指令和指令执行结果，进行全面的异常行为检测和深度分析，提供现场设备故障报警和恶意入侵活动报警。

支持众多工控协议

       支持50余种工业协议的深度报文解析，如IEC60870-5-104、Modbus TCP/RTU、IEC61850、S7Comm、S7Comm-Plus、Profinet、DNP3、MMS、EtherNet/IP、CIP、OPC-DA、OPC-UA、OMRON-FINS、DDE等协议。

白名单策略基线自学习

       系统基于机器学习及大数据技术，对工业控制系统运行一段时间的网络数据进行智能分析和自主学习，一键自动创建白名单策略；持续监视网络流量，自动识别合规数据，及时发现违规行为并实施告警。

基于通信流量的网络拓扑图

       系统基于网络通信数据的深度分析绘制独特的工控网络拓扑图，可直观展示工控网络中各个设备节点间的通信连接情况，便于发现工业资产，并提供可视化的异常展示与告警。当存在潜在威胁时，节点间的连线高亮显示。

       基于工控系统应用实际，拓扑图绘制具有以下特点：

       基于通讯数据做资产发现（主要针对工控设备）。

       针对工控系统中多IP资产，有特殊的管理方式。

       灵活的资产成组视图，实现不同维度的拓扑展现。

强大的工控漏洞库入侵检测能力

       内置海量已知工控漏洞库，当监测到发生工控漏洞入侵行为时自动产生告警并提醒系统运营人员。另外，系统支持与多个SIEM平台无缝集成，便于实时分析网络数据。

实用的资产发现与管理

       基于通讯数据的资产自动发现和自动链路绘制，识别国内外主流的IT设备和工控设备，并通过通讯拓扑和报表两种方式进行展示。同时对工控网络中的多IP资产提供特殊管理方式，真实呈现工控网络实际情况。

支持用户自定义协议

       专业用户只需在界面上进行协议配置即可实现对该协议的深度解析和规则匹配，操作灵活，且保证了用户私有协议的隐私性和安全性。

高效的策略下发

       通过调整下发的策略数据结构，减少重复数据，减少下发数据量，大大提高下发效率。

高性能

       通过调整TAA处理逻辑，探针处理性能提高50%以上。

强大的横向扩展能力

       工控安全监测审计平台既支持单机部署也支持集群化部署，通过横向扩展可支持任意数据规模，用户可在实际项目中根据数据规模的大小灵活选择部署方式。

       单个工控安全监测审计引擎支持任务横向扩展，可以满足千兆以太网高流量数据报文的实时深度解析和告警。

大数据与云计算

       系统中审计数据采集、存储、分析等多环节使用大数据处理技术，提高系统的数据处理能力和效率。系统天然支持云部署（阿里云、微软Azure、AWS云），支持存储、计算资源的动态扩容。

自我管理及数据加密

       系统具有完善的自我管理功能，包括用户管理、权限管理、日志管理、告警管理、报表管理等。所有的审计数据在网络中传输均采用加密方式，确保审计数据在传输过程中不被篡改和窃取。