工業控制系統廣泛應用于設計國計民生的關鍵基礎設施，工業控制系統的安全關系到國家的戰略安全。工業控制系統環境相對封閉，使得來自系統內部人員在應用系統層面的誤操作、違規操作或故意破壞性操作成為工業控制系統所面臨的主要安全風險。因此，對于生產網絡的訪問行為、特定控制協議內容的真實性、完整性進行監控、管理與審計是非常有必要的。

在工業控制網絡中部署可對網絡攻擊和異常行為進行識別、報警、記錄的網絡安全監測設備(如工控入侵或異常檢測類設備、工控網絡防病毒系統等)，及時發現、報告網絡攻擊(如病毒木馬感染、端口掃描、暴力破解等)或異常行為(如異常流量、異常指令、偽造工控協議報文、畸形報文等)，并根據影響范圍和后果進行處理。

明確重要工業控制設備清單，主要包括但不限于數據采集與監控系統(SCADA) 、分布式控制系統(DCS) 以及可編程控制器(PLC)等。一旦重要的控制設備被非法入侵者攻擊或非法篡改指令，可能會導致信息泄露或生產裝置不能正常運轉。因此，除了要保證能及時發現針對工控網絡的攻擊和異常行為，還要針對重要工業控制設備的異常行為采取防護措施。

通過在重要工控設備前端部署可對所使用的工業控制系統協議進行深度包監測的防護設備，對Modbus、S 7、Ethernet/IP、OPC等主流工業控制系統協議進行深度分析和過濾，實時探測到協議異常和應用程序破壞策略的行為，阻斷不符合協議標準的數據包以及不符合業務要求的操作指令和數據內容，限制違法操作。

為了及時發現重大工控安全事件，企業應加大工控安全監測力度，實施建議如下：

在工業控制網絡核心節點旁路部署工控網絡安全監測設備，實時監測工控網絡的異常行為，幫助企業了解其工業控制網絡的安全狀況。從工控安全監測系統中獲得應急響應需要的相關信息，快速獲得線索，對事件進行及時響應。工控網絡安全監測設備部署下圖所示。

工控網絡安全監測設備， 如針對工業控制系統的IDS入侵檢測系統、PS入侵檢測與防御系統、工控異常監測系統等。該類型設備需要監測的信息包括：通用網絡入侵行為(如各種木馬、蠕蟲、緩沖區溢出攻擊、DDoS、掃描探測、欺騙劫持、OPC web sever掛馬等) ， 以及專門針對工業控制網絡的攻擊行為(如利用已知工控設備漏洞的入侵攻擊行為，基于主流工業通信協議的異常流量、異常指令及偽造工業指令和畸形報文)等。