流量监测与审计

       系统支持旁路部署，采用被动方式从网络采集数据包，通过解析工控网络流量、深度分析工控协议、与系统内置的协议特征库和设备对象进行智能匹配，实现实时流量监测及威胁活动告警，帮助用户实时掌握工控网络运行状况，发现潜在的网络安全威胁。

       系统支持基于预置协议和用户自定义协议的自定义规则检测：

       --系统预置入侵检测规则库，规则库支持windows系统漏洞、Linux系统漏洞、Unix系统漏洞、Web漏洞、工控系统漏洞、工控协议漏洞等规则分类。

       --支持用户根据威胁特征自定义与其相匹配的规则，并可将此自定义的规则应用到流量探针中使用，当检测到与规则相匹配的流量时，产生用户自定义的告警信息，并采取用户自定义的处置措施。

动态资产管理

       通过协议分析和庞大的资产库资源，快速识别工控网络中的设备，智能化分析资产属性等基础信息，自动生成通讯拓扑图，在界面上对整个工控网络资产进行可视化展现（包括IP地址、通讯节点间使用的工业协议等），并对设备的资源状况、端口工作状况等进行监测。

策略管理

       监测审计系统支持策略集中管理和在线下装；支持黑名单导入和白名单自学习功能，黑名单可实时检测工控系统安全风险，白名单实现信任管理，通过智能学习技术，自动生成白名单库。

拓扑绘制

       通过流量分析，识别系统中所有通信链路，并收集通信链路中的源IP/目的IP、源端口/目的端口、通信协议、链路最早建立时间、链路最新通信时间、包吞吐量等信息。利用基于对网络通信数据的实时分析，自动以拓扑图的形式直观展示工控网络中各个设备节点之间的通信连接情况，对于存在入侵等告警信息的通信链路，在拓扑图上提供可视化的异常展示与告警。

       支持“拓扑视图保存”功能，用户可保存拓扑图上的节点位置，便于后续查看。

关键事件监测与告警

       基于工控协议解析和工控通信特征库，监测审计系统可实现对组态变更、异常操控指令、PLC程序下装等关键事件进行识别和告警。

       如：在变电站中，可通过对IEC61850协议簇、IEC 104协议等进行深度解析，分析对应场景下的关键操作行为（遥控操作、改定值操作）等。

       监测审计系统可针对常见工业场景设置通用行业场景，深度解析Modbus TCP、S7 Comm等常见协议规约。

网络状态监测与告警

       监测审计系统支持网络流量及状态白名单基线，当有未知设备接入网络或网络故障时，可触发实时告警信息。

       用户可通过图标排列的方式显示系统设备（如：AMS、 TAA）的在线状态和工作状态。

工控网络审计

       基于工控协议解析结果，对工控网络中的所有活动提供协议和流量审计，并生成完整记录。

会话流量历史查看

       系统不仅支持通过“通信链路”查看链路的流量日志信息，还支持通过“历史统计”查看链路的历史流量统计。

数据外发

       支持在指定的时间内自动生成告警历史数据文件并外发至指定的地址、端口。

日志与报表

       监测审计系统自动将各类告警数据（如：黑名单告警、白名单告警、关键事件告警等）和系统操作数据生成日志，并支持以Excel表格形式导出日志。

       监测审计系统为审计日志、黑名单告警、白名单告警、关键事件等信息提供多种格式的报表输出，提供与第三方系统日志信息采集接口。