随着工控网络技术的发展,大量的通用软硬件应用到工控网络中,与此同时,工控网络也变得越来越开放。工控网络在提高生产力的同时,也面临着越来越多来自外部网络的威胁。诸如Modbus/TCP之类的工控网络协议缺乏必要的安全机制,在信息化和工业化不断融合的情况下,这给工控网络安全带来了极大的威胁。本文针对基于Modbus/TCP的工控网络,结合分布式计算技术,设计并实现了基于流量的工控网络实时攻击行为检测系统。本文首先对工控网络架构进行了研究,分析工控网络的特点和工控网络安全面临的威胁。接着,对在工业界得到广泛应用的工业以太网协议Modbus/TCP的协议规范以及其安全性进行了研究,分析并总结了 Modbus/TCP协议的安全性和脆弱点。之后,本文对工控网络两种入侵检测技术进行了分析,选择基于异常的方法作为主要检测技术。为了设计基于异常的入侵检测系统,本文分析了从实际工控网络中采集的流量。将工控网络流量进行通道分离后,可以发现通道指令周期性和频率稳定性的特点。根据这些特点,经过实验和分析,本文设计了包括基于DPI和DBSCAN算法的Modbus/TCP数据包异常检测、基于模式匹配和Bloom Filter的通道指令序列检测和通道指令频率检测的多维度混合攻击检测系统。最后,根据工控网络流量持续产生的特点,结合工控网络入侵检测对检测效率的要求,本文研究了主流的分布式流计算技术。通过分析对比,选择Apache Flink作为检测系统的实时计算技术。然后,基于Flink以及分布式消息队列Kafka设计和实现了实时攻击检测系统。通过对检测系统进行功能测试和性能测试,可以看出,检测系统不仅在功能上满足需求,还具备亚秒级检测时延的特点。