CN104702584B - 一种基于自学习规则的Modbus通信访问控制方法 - Google Patents

Abstract

本发明公开了一种基于自学习规则的Modbus通信访问控制方法，该方法基于Netfilter/iptables技术架构，采用数据包深度解析技术实现了对工业控制系统中Modbus通信协议的深度解析，完成Modbus主站与Modbus从站之间数据通信的访问控制；工作于Modbus TCP/IP网络，支持TCP和UDP两种传输协议；具有自学习规则功能，通过设置自学习时间和自学习门限，实现对Modbus访问控制规则的自动生成。本发明可以检测和防范Modbus通信过程中的异常行为，保障工业控制系统的可靠性与安全性。

Description

一种基于自学习规则的Modbus通信访问控制方法

技术领域

本发明涉及一种针对Modbus通信的访问控制方法，其可检测和防范Modbus主站向Modbus从站发起的异常请求，属于工业控制网络安全领域。

背景技术

随着信息化与工业化进程的不断交叉融合，信息网络技术在工业控制系统中得到了普及应用，然而现有的工业控制系统大多未考虑网络安全因素，同时关于工业控制系统后门、漏洞及攻击隐患等方面的信息开始爆发性的传播，导致工业控制系统的信息及网络安全攻击更为容易实施，工业控制系统信息安全问题日益严峻。

访问控制技术是一种实现在不同网络或网络安全域之间的安全保障方法，它能增强内部网络的安全性，确定哪些内部服务允许外部访问，以及允许哪些外部请求可以访问内部服务。访问控制通过审查经过的每一个数据包，判断它是否有匹配的访问控制规则，根据规则的先后顺序进行一一比较，直到满足其中的一条规则为止，然后依据规则做出相应的处理。如果都不满足，则采用默认的处理操作，从而保护网络的安全。目前的访问控制包括两种方式：一种是黑名单方式，即阻拦传输流通行；另一种是白名单方式，即允许传输流通过。

Netfilter/iptables是Linux下基于数据包过滤的访问控制方法，它在网络层位 置就可以直接检查单一数据包所承载的数据内容。Netfilter/iptables在网络层截获网络 数据包，根据访问控制的规则表，检测网络攻击行为。数据包过滤是指在网络层对数据包进 行分析、选择，通过检查数据流中每一个数据包的源IP地址、目的IP地址、源端口号、目的端 口号、协议类型等因素或它们的组合来确定是否允许该数据包通过。

然而，在工业控制系统中，Modbus协议是一种应用层协议，现有基于Netfilter/ iptables的访问控制方法只能完成数据包的网络层及传输层关键字段的匹配，缺少针对 Modbus协议的数据包深度解析技术，无法实现对Modbus应用数据的深度解析与检测。同时， 现有的访问控制规则仅仅是以手动方式输入，无法根据网络中捕获的通信数据自动生成访 问控制规则。

发明内容

有鉴于此，本发明的目的是提供一种基于自学习规则的Modbus通信访问控制方法，结合“纵深防御”的思想，解决工业控制系统脆弱性和安全防护问题，保障工业控制系统的安全运行。

本发明的进一步目的是提供一种基于自学习规则的Modbus通信访问控制方法，针对工业控制系统中广泛使用的Modbus通信协议，完成应用协议的深度解析，实现对Modbus主站与Modbus从站之间进行访问控制，检测与阻止异常的入侵行为。并且提供自学习规则功能，根据Modbus主站与Modbus从站之间的通信数据，自动生成Modbus访问控制规则，符合Modbus通信协议，提高规则输入的效率。

本发明为实现上述目的所采用的技术方案是：一种基于自学习规则的Modbus通信访问控制方法，包括以下步骤：

步骤一：根据Modbus主站与Modbus从站具体通信情况，设置白名单或黑名单的Modbus访问控制规则；

步骤二：利用Netfilter/iptables捕获Modbus主站与Modbus从站之间通信的数据 包；

步骤三：将获得的关键字段信息与设置的Modbus访问控制规则进行匹配，执行相应的控制处理操作；

步骤四：捕获下一个数据包，重新执行步骤二和步骤三。

所述白名单或黑名单的Modbus访问控制规则包括，源IP地址——Modbus主站的IP地址、目的IP地址——Modbus从站的IP地址，目的端口号——Modbus协议端口号502、功能码——Modbus主站对Modbus从站的访问操作、起始地址——Modbus主站访问Modbus从站的起始地址、地址数——Modbus主站从起始地址访问Modbus从站的地址数量、控制处理操作——允许或不允许Modbus主站访问Modbus从站。

所述访问控制规则具备自学习规则功能，执行如下步骤：

设置自学习规则功能的自学习时间和自学习门限，自学习时间设置范围为0～72小时，自学习门限为0～10000；

启动自学习规则功能，开始捕获Modbus主站与Modbus从站之间的通信数据包，从通信数据包中解析出源IP地址、目的IP地址、目的端口号、功能码、起始地址、地址数信息，存储至关键参数数据库，此条信息的计数器置1；

捕获下一个Modbus通信数据包，解析出源IP地址、目的IP地址、目的端口号、功能码、起始地址、地址数信息，将此信息与关键参数数据库中的条目进行匹配，若匹配成功，则将此条信息所对应的计数器加1；若匹配不成功，则将此信息存储至关键参数数据库中，此条信息的计数器置1；

对于每一个新捕获的数据包，重新执行上一步骤，直至到达设定的自学习时间；

根据自学习门限及关键参数数据库中每一条关键参数信息的计数器值，判断是否自动生成Modbus访问控制规则。

所述判断是否自动生成Modbus访问控制规则的判断准则如下：若关键参数数据库中某一条信息的计数器值大于或等于自学习门限时，根据信息自动生成Modbus访问控制规则，同时删除此条关键参数信息；若关键参数数据库中某一条关键参数信息的计数器值小于自学习门限时，不生成Modbus访问控制规则，在关键参数数据库中删除相应条目的信息。

所述步骤二对于传输层为TCP协议，首先判断是否为TCP三次握手数据包，若是，则放行TCP三次握手数据包；若不是或者传输层为UDP协议，则解析数据包获得数据包的源IP地址、目的IP地址、目的端口号、Modbus应用层数据信息，再通过数据包深度解析技术解析Modbus应用层数据，提取功能码、起始地址、地址数信息。

所述放行TCP三次握手数据包包括以下步骤：

获取Modbus主站与Modbus从站之间通信的数据包的总长度、IP首部长度和TCP首部长度；

判断数据包的总长度是否等于IP首部长度和TCP首部长度之和，若不等于，则执行Modbus访问控制规则的匹配；

若等于，则获取TCP首部中的syn和ack标志位值，判断syn标志位是否为1、ack标志位是否是0：若是，则认为此数据包为TCP连接的第一次握手数据包，允许此数据包通过；

若不是，则判断syn标志位是否为1、ack标志位是否是1：若是，则认为此数据包为TCP连接的第二次握手，允许此数据包通过；

若不是，则判断syn标志位是否为0、ack标志位是否是1：若是，则认为此数据包为TCP连接的第三次握手，允许此数据包通过；若不是，则丢弃此数据包。

所述步骤三对于白名单方式，将关键字段信息与白名单中的Modbus访问控制规则自上而下进行逐条匹配，若与其中一条匹配，则对此数据包进行放行，即允许此数据包通过，访问Modbus从站；若与白名单中所有的Modbus访问控制规则都不匹配，则执行白名单默认的控制处理操作，对此数据包进行丢弃，即不允许此数据包通过，禁止访问Modbus从站。

所述步骤三对于黑名单方式，将关键字段信息与黑名单中的Modbus访问控制规则自上而下进行逐条匹配，若与其中一条匹配，则对此数据包进行丢弃，即不允许此数据包通过，禁止访问Modbus从站；若与黑名单中所有的Modbus访问控制规则都不匹配，则执行黑名单默认的控制处理操作，对此数据包放行，即允许此数据包通过，访问Modbus从站。

本发明具有以下优点及有益效果：

1.经由上述技术方案可知，与现有技术相比，本发明公开提供了一种基于自学习规则的Modbus通信访问控制方法，根据“纵深防御”这一总原则，对工业控制系统进行安全区域划分，实现不同安全区域的Modbus通信数据管控。

2.该方法建立在Netfilter/iptables基础上，在Modbus主站与Modbus从站之间捕 获通信数据包，对Modbus通信数据的深度内容分析与还原，通过与Modbus访问控制规则进 行匹配，实现对Modbus异常通信行为的审计，对违反Modbus访问控制规则的可疑行为进行 控制，满足不符合工业控制系统中Modbus通信规则的异常行为实施访问控制需求。

3.该方法不仅实现了针对Modbus应用协议的数据包深度解析技术，同时还具有自学习规则功能，能够根据Modbus主站与Modbus从站之间的通信数据，自动生成Modbus访问控制规则，节省了手动输入规则的时间，降低了规则误操作的可能性，提高了规则输入的效率。

附图说明

图1为本发明的基本模型；

图2为本发明实施例中采用白名单方式进行Modbus访问控制规则匹配的功能示意图；

图3为本发明实施例中采用黑名单方式进行Modbus访问控制规则匹配的功能示意图；

图4为本发明自动放行TCP三次握手数据包的工作流程示意图；

图5为本发明自动学习规则功能的执行流程示意图。

具体实施方式

下面结合附图及实施例对本发明做进一步的详细说明。

为了保障工业控制系统中Modbus通信的安全，防止Modbus主站对Modbus从站的恶意攻击或误操作等行为，本发明提供了一种基于自学习规则的Modbus通信访问控制方法。参见图1，示出了本发明一种基于自学习规则的Modbus通信访问控制方法的基本模型。本发明方法可以实施于Modbus主站与Modbus从站之间的通信网关上，通过捕获Modbus主站与Modbus从站通信的数据，匹配Modbus访问控制规则，实现Modbus主站访问Modbus从站的检测与控制。本发明方法的主要工作流程如下：

步骤一：根据Modbus主站与Modbus从站具体通信情况，设置白名单或黑名单的Modbus访问控制规则，主要包括，源IP地址——Modbus主站的IP地址、目的IP地址——Modbus从站的IP地址，目的端口号——Modbus协议端口号502、功能码——Modbus主站对Modbus从站的访问操作、起始地址——Modbus主站访问Modbus从站的起始地址、地址数——Modbus主站从起始地址访问Modbus从站的地址数量、控制处理操作——允许或不允许Modbus主站访问Modbus从站。

步骤二：利用Netfilter/iptables捕获Modbus主站与Modbus从站之间通信的数据 包，对于传输层为TCP协议，首先判断是否为TCP三次握手数据包，若是，则放行TCP三次握手 数据包，若不是或者传输层为UDP协议，则解析数据包获得数据包的源IP地址、目的IP地址、 目的端口号、Modbus应用层数据等关键字段信息；再通过数据包深度解析技术解析Modbus 应用层数据，提取功能码、起始地址、地址数等关键字段信息。

步骤三：将获得的关键字段信息与设置的Modbus访问控制规则进行匹配，执行相应的控制处理操作。对于白名单方式，参见图2，将关键字段信息与白名单中的Modbus访问控制规则自上而下进行逐条匹配，若与其中一条匹配，则对此数据包进行放行，即允许此数据包通过，访问Modbus从站；若与白名单中所有的Modbus访问控制规则都不匹配，则执行白名单默认的控制处理操作，对此数据包进行丢弃，即不允许此数据包通过，禁止访问Modbus从站。对于黑名单方式，参见图3，将关键字段信息与黑名单中的Modbus访问控制规则自上而下进行逐条匹配，若与其中一条匹配，则对此数据包进行丢弃，即不允许此数据包通过，禁止访问Modbus从站；若与黑名单中所有的Modbus访问控制规则都不匹配，则执行黑名单默认的控制处理操作，对此数据包放行，即允许此数据包通过，访问Modbus从站。

步骤四：捕获下一个数据包，重新执行步骤二和步骤三。

图2和图3中以人机界面HMI（Human Machine Interface）作为Modbus主站，以Modbus RTU（Remote Terminal Unit）和Modbus PLC（ProgrammableLogic Controller）作为Modbus从站，但不仅限于此，凡是遵循Modbus通信协议能够执行Modbus访问请求的设备都可以作为Modbus主站，凡是遵循Modbus通信协议能够应答Modbus访问请求的设备都可以作为Modbus从站。

本发明所提供的基于自学习规则的Modbus通信访问控制方法支持TCP和UDP两种传输层协议，对于UDP协议，本发明方法获得数据包的目的端口后，直接获得Modbus应用层数据；对于TCP协议，由于TCP协议规定在建立连接之前必须执行TCP三次握手，也就是说TCP三次握手是执行Modbus访问请求的前提条件，为了顺利实施Modbus通信的访问控制，同时提高Modbus访问控制规则的匹配效率，本发明方法具有放行TCP三次握手数据包的功能，参见图4，主要工作流程如下：

步骤一：捕获Modbus主站与Modbus从站之间通信的数据包，获取数据包的总长度、IP首部长度和TCP首部长度。

步骤二：判断数据包的总长度是否等于IP首部长度和TCP首部长度之和，若等于，则获取TCP首部中的syn和ack标志位值，转到步骤三；若不等于，则执行Modbus访问控制规则的匹配。

步骤三：判断syn标志位是否为1、ack标志位是否是0，若是，则认为此数据包为TCP连接的第一次握手数据包，允许此数据包通过；若不是，则执行步骤四。

步骤四：判断syn标志位是否为1、ack标志位是否是1，若是，则认为此数据包为TCP连接的第二次握手，允许此数据包通过；若不是，则执行步骤五。

步骤五：判断syn标志位是否为0、ack标志位是否是1，若是，则认为此数据包为TCP连接的第三次握手，允许此数据包通过；若不是，则丢弃此数据包。

由于Modbus主站和Modbus从站之间可能需要大量的Modbus访问控制规则，而手动输入规则需要花费大量的时间和精力，为了节省手动输入规则的时间，降低规则误操作的可能性，提高规则输入的效率，本发明方法提供了针对Modbus通信访问控制的自学习规则功能，能够通过分析Modbus主站与Modbus从站之间的通信数据，自动生成符合此Modbus主站与Modbus从站通信情况的访问控制规则。参见图5，本发明的自学习规则功能执行流程如下：

步骤一：设置自学习规则功能的自学习时间和自学习门限，自学习时间设置范围为0～72小时，自学习门限为0～10000。

步骤二：启动自学习规则功能，开始捕获Modbus主站与Modbus从站之间的通信数据包，从通信数据包中解析出源IP地址、目的IP地址、目的端口号、功能码、起始地址、地址数等关键参数信息，存储至关键参数数据库，此条关键信息的计数器置1。然后捕获下一个Modbus通信数据包，执行步骤三。

步骤三：解析出源IP地址、目的IP地址、目的端口号、功能码、起始地址、地址数等关键参数信息，将此关键参数信息与关键参数数据库中的条目进行匹配，若匹配成功，则将此条关键参数信息所对应的计数器加1；若匹配不成功，则将此关键参数信息存储至关键参数数据库中，此条关键参数信息的计数器置1。

步骤四：对于每一个新捕获的数据包，重新执行步骤三，直至到达设定的自学习时间。

步骤五：根据自学习门限及关键参数数据库中每一条关键参数信息的计数器值，判断是否自动生成Modbus访问控制规则。判断的准则如下：若关键参数数据库中某一条关键参数信息的计数器值大于等于自学习门限时，根据关键参数信息自动生成Modbus访问控制规则，同时删除此条关键参数信息；若关键参数数据库中某一条关键参数信息的计数器值小于自学习门限时，不生成Modbus访问控制规则，在关键参数数据库中删除相应条目的关键参数信息。

自学习规则功能自动生成的Modbus访问控制规则存放在白名单中，其控制处理操作选项默认为允许通过，同时也支持手动重新设置，即对自动生成的Modbus访问控制规则中每一个选项进行重新输入参数。

本文中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

Claims (6)

1.一种基于自学习规则的Modbus通信访问控制方法，其特征在于，包括以下步骤：

步骤一：根据Modbus主站与Modbus从站具体通信情况，设置白名单或黑名单的Modbus访问控制规则；

步骤二：利用Netfilter/iptables捕获Modbus主站与Modbus从站之间通信的数据包；

步骤三：将获得的关键字段信息与设置的Modbus访问控制规则进行匹配，执行相应的控制处理操作；

步骤四：捕获下一个数据包，重新执行步骤二和步骤三；

所述步骤二对于传输层为TCP协议，首先判断是否为TCP三次握手数据包，若是，则放行TCP三次握手数据包；若不是或者传输层为UDP协议，则解析数据包获得数据包的源IP地址、目的IP地址、目的端口号、Modbus应用层数据信息，再通过数据包深度解析技术解析Modbus应用层数据，提取功能码、起始地址、地址数信息；

所述访问控制规则具备自学习规则功能，执行如下步骤：

设置自学习规则功能的自学习时间和自学习门限，自学习时间设置范围为0～72小时，自学习门限为0～10000；

启动自学习规则功能，开始捕获Modbus主站与Modbus从站之间的通信数据包，从通信数据包中解析出源IP地址、目的IP地址、目的端口号、功能码、起始地址、地址数信息，存储至关键参数数据库，此条信息的计数器置1；

捕获下一个Modbus通信数据包，解析出源IP地址、目的IP地址、目的端口号、功能码、起始地址、地址数信息，将此信息与关键参数数据库中的条目进行匹配，若匹配成功，则将此条信息所对应的计数器加1；若匹配不成功，则将此信息存储至关键参数数据库中，此条信息的计数器置1；

对于每一个新捕获的数据包，重新执行上一步骤，直至到达设定的自学习时间；

根据自学习门限及关键参数数据库中每一条关键参数信息的计数器值，判断是否自动生成Modbus访问控制规则。

2.根据权利要求1所述的一种基于自学习规则的Modbus通信访问控制方法，其特征在于，所述白名单或黑名单的Modbus访问控制规则包括，源IP地址——Modbus主站的IP地址、目的IP地址——Modbus从站的IP地址，目的端口号——Modbus协议端口号502、功能码——Modbus主站对Modbus从站的访问操作、起始地址——Modbus主站访问Modbus从站的起始地址、地址数——Modbus主站从起始地址访问Modbus从站的地址数量、控制处理操作——允许或不允许Modbus主站访问Modbus从站。

3.根据权利要求1所述的一种基于自学习规则的Modbus通信访问控制方法，其特征在于，所述判断是否自动生成Modbus访问控制规则的判断准则如下：若关键参数数据库中某一条信息的计数器值大于或等于自学习门限时，根据信息自动生成Modbus访问控制规则，同时删除此条关键参数信息；若关键参数数据库中某一条关键参数信息的计数器值小于自学习门限时，不生成Modbus访问控制规则，在关键参数数据库中删除相应条目的信息。

4.根据权利要求1所述的一种基于自学习规则的Modbus通信访问控制方法，其特征在于，所述放行TCP三次握手数据包包括以下步骤：

获取Modbus主站与Modbus从站之间通信的数据包的总长度、IP首部长度和TCP首部长度；

判断数据包的总长度是否等于IP首部长度和TCP首部长度之和，若不等于，则执行Modbus访问控制规则的匹配；

若等于，则获取TCP首部中的syn和ack标志位值，判断syn标志位是否为1、ack标志位是否是0：若是，则认为此数据包为TCP连接的第一次握手数据包，允许此数据包通过；

若不是，则判断syn标志位是否为1、ack标志位是否是1：若是，则认为此数据包为TCP连接的第二次握手，允许此数据包通过；

若不是，则判断syn标志位是否为0、ack标志位是否是1：若是，则认为此数据包为TCP连接的第三次握手，允许此数据包通过；若不是，则丢弃此数据包。

5.根据权利要求1所述的一种基于自学习规则的Modbus通信访问控制方法，其特征在于，所述步骤三对于白名单方式，将关键字段信息与白名单中的Modbus访问控制规则自上而下进行逐条匹配，若与其中一条匹配，则对此数据包进行放行，即允许此数据包通过，访问Modbus从站；若与白名单中所有的Modbus访问控制规则都不匹配，则执行白名单默认的控制处理操作，对此数据包进行丢弃，即不允许此数据包通过，禁止访问Modbus从站。

6.根据权利要求1所述的一种基于自学习规则的Modbus通信访问控制方法，其特征在于，所述步骤三对于黑名单方式，将关键字段信息与黑名单中的Modbus访问控制规则自上而下进行逐条匹配，若与其中一条匹配，则对此数据包进行丢弃，即不允许此数据包通过，禁止访问Modbus从站；若与黑名单中所有的Modbus访问控制规则都不匹配，则执行黑名单默认的控制处理操作，对此数据包放行，即允许此数据包通过，访问Modbus从站。