CN108933784A - 一种工控协议解码规则的表述及优化解码方法 - Google Patents

Abstract

本发明公开了一种工控协议解码规则的描述方法，包括以下步骤：步骤1、协议开发人员生成语法文件；步骤2、编译步骤1中的解析规则描述文件；步骤3、报文解析；本发明的优越效果是工控协议解码规则的描述方法直观，易于维护，对语法开发人员的要求低，通过对协议描述语法的编译，使得工控安全监测防护类产品能够快速找到需要解析的字段，提高了运行速度，同时，本发明能够支持TCP流，使用对象不限于工控安全监测防护类产品且对所有需要解析流量的设备匀适用。

Description

一种工控协议解码规则的表述及优化解码方法

技术领域

本发明涉及一种工控协议解码规则的表述及优化解码方法,属于工控网络技术领域。

背景技术

目前，工业控制系统网络是由工业自动化生产设备组成的网络，不同于IT网络的是工控网络拥有专有的通信协议和通信机制，除了现有的工控协议，例如Modbus协议、IEC-104协议，还有很多工控协议是私有的或者是保密的。所以，这就造成了专门针对工控网络安全问题而设计的网络防护或者网络审计产品往往覆盖不到所有的工控协议，因此，在安全防护上对这些协议也就无能为力了。因此，目前很多专门针对工控网络安全问题而设计的网络防护或者网络审计产品都提出了使用描述语法来扩展工控协议的方法。

例如，公开号为CN105141596A的专利公开了一种扩展工控防火墙支持协议的方法，其特征在于，在描述协议解码方法时使用了特殊字符串定位或者固定偏移定位的方法，应用所述专利方法要求语法开发人员充分熟悉协议格式和通信原理，准确分析出协议的关键字段，计算出解码内容的偏移量或者指出定位解码内容的关键字，再使用工控防火墙定义的语法将上述字段描述出来并加载到工控防火墙上，这样工控防火墙就能够根据协议描述文件提取该协议的关键特征了；但是，缺点是在描述协议时并不直观，要求语法开发人员熟练掌握协议相关知识，对开发人员要求高。同时，当维护文件时，需要重新核对之前文件的偏移量，维护成本高且工作量大。

发明内容

本发明的目的在于提供一种能够克服上述技术问题的工控协议解码规则的表述及优化解码方法，本发明所述方法包括以下步骤：

步骤1、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员生成语法文件：

步骤1.1、采用显式的协议格式表述方式即按照协议规范定义的格式，依次定义协议的每个字段及其长度；

步骤1.2、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员分析出协议的识别特征即承载所述的协议的报文区别于其他报文的特征，包括MAC地址、IP地址、传输层协议、端口；

步骤1.3、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员分析指定协议的协议规范，分析指定协议规范定义的字段及其长度、各个字段的相对位置；

步骤1.4、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员按照指定的专门针对工控网络安全问题而设计的网络防护或者网络审计产品的语法格式，根据步骤1.2分析出的协议识别特征和步骤1.3分析出的协议规范，生成解析规则描述文件即可读的包含协议信息的文件且同时符合指定的专门针对工控网络安全问题而设计的网络防护或者网络审计产品的语法格式的文件。

步骤2、编译步骤1.4中的解析规则描述文件：

步骤2.1、显示的协议格式表述方式要求协议中的所有字段都体现在规则描述文件中，当专门针对工控网络安全问题而设计的网络防护或者网络审计产品按照解析规则描述文件中的定义依次遍历所有字段时，专门针对工控网络安全问题而设计的网络防护或者网络审计产品将会耗费很大的运算量，因此专门针对工控网络安全问题而设计的网络防护或者网络审计产品在读取解析规则描述文件后，增加编译过程，所述的编译过程是指将使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员定义的文本文件转换成程序能够识别的二进制内容的过程；具体步骤如下：

步骤2.2、读取解析规则描述文件，按照步骤1.4指定的语法格式加载文件内容；

步骤2.3、计算有用的字段的偏移量和长度，所述有用的字段为解析规则描述文件中描述的所有字段中会被利用的字段；

步骤2.3.1、区分出有用的字段和能够忽略的字段；

步骤2.3.2、按照如下公式计算有用的字段的偏移量和长度：

Offset＝Offset_accumulate……(1)

Offset_accumulate＝Offset_accumulate+length……(2)

其中，Offset是当前计算的有用字段的偏移量；Offset_accumulate是累计偏移量，其初始值为0；length是从规则描述文件中读取的当前计算的有用字段的长度；

步骤2.3.3、根据能够忽略的字段的长度，更新累计偏移量，由于能够忽略的字段的值不需要解析出来，只需要根据能够忽略的字段的长度更新累计偏移量，而不用计算能够忽略的字段的偏移量，累计偏移量的计算公式，如下：

Offset_accumulate＝Offset_accumulate+length……(3)

其中，Offset_accumulate是累计偏移量，其初始值为0；length是从规则描述文件中读取的当前计算的字段的长度；

步骤3、报文即按照协议规定的格式承载协议通信内容的载体的解析：

步骤3.1、报文识别，专门针对工控网络安全问题而设计的网络防护或者网络审计产品根据步骤1.2定义的协议的识别特征识别报文，将报文关联到步骤1.3中分析出的协议规范；

步骤3.2、协议解码，根据步骤2.3.2中计算有用的字段的偏移量和长度，依次解析出有用的字段；所有有用的字段的偏移量和长度在步骤2.3.2中都被计算了出来，专门针对工控网络安全问题而设计的网络防护或者网络审计产品能够根据字段的偏移量直接找到有用字段在报文中的偏移量，然后根据字段的长度将字段提取出来以提高解码效率。

专门针对工控网络安全问题而设计的网络防护或者网络审计产品包括：工业防火墙，工业审计系统，安全隔离网闸。

本发明所述方法的优越效果是方便了使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员根据协议的规范书写符合工控协议解码规则要求的文件，同时在工控协议解码规则载入设备的程序实现时增加编译过程，从而提高了程序解析网络报文的效率。工控协议解码规则的描述方法直观，易于维护，通过对协议描述语言的编译，使得专门针对工控网络安全问题而设计的网络防护或者网络审计产品能够快速找到需要解析的字段，提高了运行速度，同时，本发明所述方法能够支持TCP流且使用对象不限于专门针对工控网络安全问题而设计的网络防护或者网络审计产品，对所有需要解析流量的设备均适用。

附图说明

图1是本发明所述方法的UDP报文头示意图；

图2是本发明所述方法的XML表述语言示例图。

具体实施方式

下面结合附图对本发明的实施方式进行详细描述。

本发明所述方法包括以下步骤：

步骤1、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员生成语法文件：

步骤1.1、采用显式的协议格式表述方式即按照协议规范定义的格式，依次定义协议的每个字段及其长度；

步骤1.2、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员分析出协议的识别特征即承载所述的协议的报文区别于其他报文的特征，包括MAC地址、IP地址、传输层协议、端口；

步骤1.3、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员分析指定协议的协议规范，分析指定协议规范定义的字段及其长度、各个字段的相对位置；

步骤1.4、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员按照指定的专门针对工控网络安全问题而设计的网络防护或者网络审计产品的语法格式，根据步骤1.2分析出的协议识别特征和步骤1.3分析出的协议规范，生成解析规则描述文件即可读的包含协议信息的文件且同时符合指定的专门针对工控网络安全问题而设计的网络防护或者网络审计产品的语法格式的文件。

步骤2、编译步骤1.4中的解析规则描述文件：

步骤2.1、显示的协议格式表述方式要求协议中的所有字段都体现在规则描述文件中，当专门针对工控网络安全问题而设计的网络防护或者网络审计产品按照解析规则描述文件中的定义依次遍历所有字段时，专门针对工控网络安全问题而设计的网络防护或者网络审计产品将会耗费很大的运算量，因此专门针对工控网络安全问题而设计的网络防护或者网络审计产品在读取解析规则描述文件后，增加编译过程，所述的编译过程是指将使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员定义的文本文件转换成程序能够识别的二进制内容的过程；具体步骤如下：

步骤2.2、读取解析规则描述文件，按照步骤1.4指定的语法格式加载文件内容；

步骤2.3、计算有用的字段的偏移量和长度，所述有用的字段为解析规则描述文件中描述的所有字段中会被利用的字段；

步骤2.3.1、区分出有用的字段和能够忽略的字段；

步骤2.3.2、按照如下公式计算有用的字段的偏移量和长度：

Offset＝Offset_accumulate……(1)

Offset_accumulate＝Offset_accumulate+length……(2)

其中，Offset是当前计算的有用字段的偏移量；Offset_accumulate是累计偏移量，其初始值为0；length是从规则描述文件中读取的当前计算的有用字段的长度；

步骤2.3.3、根据能够忽略的字段的长度，更新累计偏移量，由于能够忽略的字段的值不需要解析出来，只需要根据能够忽略的字段的长度更新累计偏移量，而不用计算能够忽略的字段的偏移量，累计偏移量的计算公式，如下：

Offset_accumulate＝Offset_accumulate+length……(3)

其中，Offset_accumulate是累计偏移量，其初始值为0；length是从规则描述文件中读取的当前计算的字段的长度；

步骤3、报文即按照协议规定的格式承载协议通信内容的载体的解析：

步骤3.1、报文识别，专门针对工控网络安全问题而设计的网络防护或者网络审计产品根据步骤1.2定义的协议的识别特征识别报文，将报文关联到步骤1.3中分析出的协议规范；

步骤3.2、协议解码，根据步骤2.3.2中计算有用的字段的偏移量和长度，依次解析出有用的字段；所有有用的字段的偏移量和长度在步骤2.3.2中都被计算了出来，专门针对工控网络安全问题而设计的网络防护或者网络审计产品能够根据字段的偏移量直接找到有用字段在报文中的偏移量，然后根据字段的长度将字段提取出来以提高解码效率。

专门针对工控网络安全问题而设计的网络防护或者网络审计产品包括：工业防火墙，工业审计系统，安全隔离网闸。

如图1、2所示，以XML文件格式为例描述显式的报文描述方式的方法。

图1展示了UDP报文头，首先，使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员需要分析UDP报文头结构，UDP报文头一共5个字段，依次为源端口占用16bit，目的端口占用16bit，数据包长度占用16bit，校验和占用16bit，数据占用的字节数是数据包长度解析的值；其次，需要使用XML描述报文头的格式和需要提取哪些字段，例如图1中的UDP协议需要输出源端口和目的端口。

图2展示了以XML语言为基础的协议描述文件，其中”struct”标签定义了整个UDP的头结构，”number”标签定义了数值类型成员。

”bit_size”属性表示以”bit”为计算单位的长度，”output”属性表示需要提取该字段；”string”标签定义了字符串类型的成员，”ref_byte_size”定义了字符串的长度是”packet_length”成员解析的数值。本发明所述方法没有使用偏移定位法或者关键字定位法，使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员阅读和维护容易；一个完整的协议描述语言会包括多个图2中的”struct”标签以及需要定义多个图2中的”struct”标签之间的关系。

工控协议解码规则在编译的时候首先需要把多个”struct”标签定义的结构串联起来，使用链表或者状态树的形式按顺序串联各个”struct”标签。不是每个”struct”标签的子结构都需要解析，编译的时候计算出需要输出的成员，如图2中的”source_port”和”destination_port”，相对于”struct”标签头的偏移量；计算出被引用的成员；例如图2中的”packet_length”，相对于”struct”头的偏移量；其他不需要输出的结构将在编译后被丢弃。最后计算出整个”struct”标签所占用的字节数，用来在结束解析一个”struct”标签时将解析数据的指针偏移到下一个”struct”标签头部。工控协议解码规则载入到专门针对工控网络安全问题而设计的网络防护或者网络审计产品后是一个由”struct”标签组成的有序链表，每个”struct”标签中只定义了有用的字段，每个有用的字段的位置由相对偏移来定位。图2中描述的”struct”标签在编译时会计算出”source_port”的相对偏移为“0”，长度为“16”个bit；”destination_port”的相对偏移为“2”，长度为“16”个bit；”packet_length”的相对偏移为“4”，长度为“16”个bit；”struct”所占用的字节数为8加上解析出的”packet_length”的数值。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明公开的范围内，能够轻易想到的变化或替换，都应涵盖在本发明权利要求的保护范围内。

Claims (4)

1.一种工控协议解码规则的描述方法，其特征在于，包括以下步骤：

步骤1、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员生成语法文件：

步骤2、编译步骤1.4中的解析规则描述文件：

步骤3、报文即按照协议规定的格式承载协议通信内容的载体的解析。

2.根据权利要求1所述的一种工控协议解码规则的描述方法，其特征在于，所述步骤1具体包括以下步骤：

步骤1.1、采用显式的协议格式表述方式即按照协议规范定义的格式，依次定义协议的每个字段及其长度；

步骤1.2、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员分析出协议的识别特征，即承载所述的协议的报文区别于其他报文的特征，包括MAC地址、IP地址、传输层协议、端口；

步骤1.3、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员分析指定协议的协议规范，分析指定协议规范定义的字段及其长度、各个字段的相对位置；

步骤1.4、使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员按照指定的专门针对工控网络安全问题而设计的网络防护或者网络审计产品的语法格式，根据步骤1.2分析出的协议识别特征和步骤1.3分析出的协议规范，生成解析规则描述文件即可读的包含协议信息的文件且同时符合指定的专门针对工控网络安全问题而设计的网络防护或者网络审计产品的语法格式的文件。

3.根据权利要求1所述的一种工控协议解码规则的描述方法，其特征在于，所述步骤2具体包括以下步骤：

步骤2.1、显示的协议格式表述方式要求协议中的所有字段都体现在规则描述文件中，当专门针对工控网络安全问题而设计的网络防护或者网络审计产品按照解析规则描述文件中的定义依次遍历所有字段，专门针对工控网络安全问题而设计的网络防护或者网络审计产品在读取解析规则描述文件后，增加编译过程，所述的编译过程是指将使用专门针对工控网络安全问题而设计的网络防护或者网络审计产品支持的协议扩展语法来描述某种协议格式的开发人员定义的文本文件转换成程序能够识别的二进制内容的过程；具体步骤如下：

步骤2.2、读取解析规则描述文件，按照步骤1.4指定的语法格式加载文件内容；

步骤2.3、计算有用的字段的偏移量和长度，所述有用的字段为解析规则描述文件中描述的所有字段中会被利用的字段；

步骤2.3.1、区分出有用的字段和能够忽略的字段；

步骤2.3.2、按照如下公式计算有用的字段的偏移量和长度：

Offset＝Offset_accumulate……(1)

Offset_accumulate＝Offset_accumulate+length……(2)

其中，Offset是当前计算的有用字段的偏移量；Offset_accumulate是累计偏移量，其初始值为0；length是从规则描述文件中读取的当前计算的有用字段的长度；

步骤2.3.3、根据能够忽略的字段的长度，更新累计偏移量，由于能够忽略的字段的值不需要解析出来，只需要根据能够忽略的字段的长度更新累计偏移量，而不用计算能够忽略的字段的偏移量，累计偏移量的计算公式，如下：

Offset_accumulate＝Offset_accumulate+length……(3)

其中，Offset_accumulate是累计偏移量，其初始值为0；length是从规则描述文件中读取的当前计算的字段的长度。

4.根据权利要求1所述的一种工控协议解码规则的描述方法，其特征在于，所述步骤3具体包括以下步骤：

步骤3.1、报文识别，专门针对工控网络安全问题而设计的网络防护或者网络审计产品根据步骤1.2定义的协议的识别特征识别报文，将报文关联到步骤1.3中分析出的协议规范；

步骤3.2、协议解码，根据步骤2.3.2中计算有用的字段的偏移量和长度，依次解析出有用的字段；所有有用的字段的偏移量和长度在步骤2.3.2中都被计算了出来，专门针对工控网络安全问题而设计的网络防护或者网络审计产品能够根据字段的偏移量直接找到有用字段在报文中的偏移量，然后根据字段的长度将字段提取出来以提高解码效率。