在互联网高速发展的背景下,为了迎合工业4.0战略和生产力发展的根本需要,工业控制系统需要融合互联网技术并与外部网络联通,但早期系统设计存在欠缺,由此带来的网络安全问题将成为工控环境中巨大的安全隐患。同时,工控系统与传统网络存在区别,现有安全技术无法直接应用,结合工控特性的安全技术研究成为近年热点。入侵防御系统与工控主机的结合具有其他安全技术无法涵盖的优势,本文围绕此展开研究。在主机入侵检测中,现有系统调用函数序列获取技术受到Windows系统版本的限制,针对该问题,本文提出了采用IRP类型序列替代系统函数序列作为行为分析数据源的方法。在结合了工控主机环境固化的特点后,将正常程序范围缩小为具体主机降低了模型生成的运算量,并通过6-gram模型和RIPPER算法计算出正常行为模型。该模型用于异常IRP短序列判断,结合进程异常的定义,得到了适配工控特性的进程行为分析模型。实验表明,该行为分析模型可以达到82.35%的有效检出率,具有一定的实际应用价值。考虑到工控主机中资源受限的特性,为了平衡入侵防御的检测效率和性能消耗,本文提出了将静态规则和动态判断相结合的混合型行为分析模式。具体为将针对应用程序启动、注册表和文件执行关键点防护的3D防御体系,与进程行为分析模型相结合,实现多层过滤的异常行为分析。针对工控主机中Windows 7及以上版本操作系统占比最大的情况,本文使用基于Minifilter框架的IRP拦截技术替代传统API HOOK技术,并结合自保护、审计报警等功能,设计实现了完整适用的工控主机入侵防御系统。系统测试结果表明,该系统能够有效监控行为操作,拦截已知或未知的异常行为,对主机资源的占用可控。在达成预期设计目标的同时,兼顾了用户使用的便捷性。