工业与 OT 网络

在维护时段以外发现工程终端访问控制区时，先核对区域边界和通信方向。

调查步骤

先看会话的发起端。文件传输量大可能来自正常备份，小流量也可能是一次探测。
打开设备详情，核对它属于办公区还是服务器区，再检查会话方向是否符合该设备的角色。
若访问跨越预期边界，保留会话 ID 和对应抓包，交给下一位分析员复查；单凭数据量不足以定性。

相关资源

网络检测与响应

沿网络区域、设备接口和会话定位异常通信，在拓扑视图中核实两端资产。

从会话方向重建横向访问

同一对设备可以交换大量数据。谁发起连接、经过哪个边界，比单看字节数更有解释力。