CN109167762B - 一种iec104报文校验方法及装置 - Google Patents

Abstract

公开了一种IEC104报文校验方法及装置。一种IEC104报文校验方法，其特征在于，所述装置应用于连接IEC104主站与IEC104从站的网络设备上，该方法包括：步骤A、在接收到报文的情况下，判断所接收报文是否为IEC104报文；若是，则转步骤B进行处理；步骤B、校验所述报文是否满足预设的IEC104报文格式要求；若是，则转步骤C进行处理；步骤C、对所述报文进行解析，得到预设的若干特征信息，并将所述报文与得到的特征信息转步骤D进行处理；步骤D、读取预先记录的会话状态，并根据所读取的会话状态，校验得到的特征信息是否符合预设的会话逻辑规则；若是，则判定所述报文合法。

Description

一种IEC104报文校验方法及装置

技术领域

本说明书实施例涉及网络通信技术领域，尤其涉及一种IEC104报文校验方法及装置。

背景技术

传统的防火墙是作用于网络层和传输层，根据报文的IP源地址、IP目的地址、TCP源端口号、TCP链路状态等因素，对报文进行校验，因此，传统防火墙对于应用层的IEC104报文并不适用。

代理防火墙可以通过建立专门的代理服务程序，实现监控应用层通信流的目的，但是代理防火墙消耗较多的CPU资源、且速度较慢，将增加IEC104报文的网络延迟。

发明内容

有鉴于此，本说明书实施例提供一种IEC104报文校验方法及装置，技术方案如下：

一种IEC104报文校验方法，其特征在于，所述方法应用于连接IEC104主站与IEC104从站的网络设备上，该方法包括：

步骤A、在接收到报文的情况下，判断所接收报文是否为IEC104报文；若是，则转步骤B进行处理；

步骤B、校验所述报文是否满足预设的IEC104报文格式要求；若是，则转步骤C进行处理；

步骤C、对所述报文进行解析，得到预设的若干特征信息，并将所述报文与得到的特征信息转步骤D进行处理；

步骤D、读取预先记录的会话状态，并根据所读取的会话状态，校验得到的特征信息是否符合预设的会话逻辑规则；若是，则判定所述报文合法。

一种IEC104报文校验装置，其特征在于，所述装置应用于连接IEC104主站与IEC104从站的网络设备上，该装置包括：

报文识别模块、格式校验模块、报文解析模块、及逻辑校验模块；其中，

所述报文识别模块，用于在接收到报文的情况下，判断所接收报文是否为IEC104报文；若是，则转所述格式校验模块进行处理；

所述格式校验模块，用于校验所述报文是否满足预设的IEC104报文格式要求；若是，则转所述报文解析模块进行处理；

所述报文解析模块，用于对所述报文进行解析，得到预设的若干特征信息，并将所述报文与得到的特征信息转逻辑校验模块进行处理；

所述逻辑校验模块，用于读取预先记录的会话状态，并根据所读取的会话状态，解析得到的特征信息是否符合预设的会话逻辑规则；若是，则判定所述报文合法。

本说明书实施例所提供的技术方案，通过应用于IEC104主站与IEC104从站的网络连接的装置，对报文是否为IEC104报文、是否满足IEC104报文格式要求、以及解析得到的特征是否满足会话的上下文逻辑进行校验，从而从IEC104报文的单包及上下文逻辑等角度，判断接收到的报文是否合法，更全面有效地避免收到非法报文的攻击。并且，本方案非代理的方式检测IEC104报文的合法性，具有CPU使用率低、网络延迟小的优点。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书实施例。

此外，本说明书实施例中的任一实施例并不需要达到上述的全部效果。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书实施例中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本说明书实施例IEC104报文校验方法的流程示意图；

图2是本说明书实施例IEC104报文预设格式的结构示意图；

图3是本说明书实施例IEC104报文装置的一种结构示意图；

图4是本说明书实施例IEC104报文装置的另一种结构示意图。

具体实施方式

为了使本领域技术人员更好地理解本说明书实施例中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行详细地描述，显然，所描述的实施例仅仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于保护的范围。

本说明书提供一种IEC104报文校验方法，应用于连接IEC104主站与IEC104从站的网络设备上，可以理解的是，这里的网络设备可以是分别连接IEC104主站与IEC104从站，从而使二者建立网络连接的网络设备，也可以是互相通过网络连接的IEC104主站和/或IEC104从站设备本身，本说明书对此不做限定。

此外，应用本说明书方案的网络设备，部署于IEC104主站与IEC104从站的网络中间的方式，可以支持透明(不更改IP地址及MAC地址)和/或网关(更改IP地址和/或MAC地址)等方式，本领域技术人员可以根据实际需求进行设定，本说明书对此不做限定。

参见图1所示，本说明书提供的方案可以包括以下步骤：

S101，在接收到报文的情况下，判断所接收报文是否为IEC104报文；若是，则转步骤B进行处理；

在接收到报文的情况下，可以首先判断该报文的类型是否为IEC104，若不是IEC104报文，则可以直接丢弃、和/或向维护人员进行攻击提示，若是IEC104报文，再进行后续的其他合法性校验步骤。

在本说明书的一种具体方式中，可以通过端口号识别是否为IEC104报文。IEC104主站与IEC104从站之间，通常由主站(TCP客户端)主动进行TCP连接，而从站(TCP服务器端)被动响应TCP连接，且双方一般使用固定的TCP端口号，如2404，因此，通过判断接收到的报文的端口号，可以识别该报文是否为IEC104报文。

当然，也可以通过报文的其他特征，如协议类型等，判断接收到的报文的类型是否为IEC104，本说明书对此不做限定。

S102，校验所述报文是否满足预设的IEC104报文格式要求；若是，则转步骤C进行处理；

IEC104报文的预设格式可以如图2所示，其中，APDU(Application Protocol DataUnit)为应用规约数据单元，APCI(Application Protocol Control Information)为应用规约控制信息，ASDU(Application Service Data Unit)为应用服务数据单元。

图中所示的单元并非每个IEC104报文必须全部包括，根据ACPI的控制域的取值不同，IEC104报文可以的帧类型可以分I帧(Information Transmit Format)、S帧(NumberedSupervisory Function)、U帧(Unnumbered Supervisory Function)三种类型。其中，I帧至少包含一个ASDU，S帧与U帧只包含APCI。

若判定接收到的报文不满足预设的IEC104报文格式要求，则可以直接丢弃、和/或向维护人员进行攻击提示，若判定接收到的报文满足预设的IEC104报文格式要求，则可以进行后续的其他合法性校验步骤。

S103，对所述报文进行解析，得到预设的若干特征信息，并将所述报文与得到的特征信息转步骤D进行处理；

在实际应用中，可能存在报文回放攻击等攻击方式，可以通过构造格式正确的IEC104报文进行攻击，此时如果仅对单个IEC104报文的格式进行校验，将无法有效屏蔽非法的IEC104报文，因此，还需要结合会话的上下文逻辑进行校验。

在进行逻辑校验之前，需要对接收到的报文进行解析，得到预设的校验需要的若干特征信息，在本说明书实施例中，解析的特征信息可以包括：帧类型，类型标识、传送原因、通用地址、信息对象地址、等等，本领域技术人员可以根据实际需求灵活地设定解析得到的特征信息，本说明书对此不做限定。

S104，读取预先记录的会话状态，并根据所读取的会话状态，校验得到的特征信息是否符合预设的会话逻辑规则；若是，则判定所述报文合法。

进行会话上下文的逻辑校验时，首先需要读取预先记录的会话状态。

本说明书实施例中，根据会话的几种常见状态，校验得到的特征信息是否符合预设的会话逻辑规则也可以分为几种情况。

例如，在主站与从站设备刚启动，刚建立会话时，需要进行初始化，包括但不限于：发送测试APDU对传输、设备等进行测试；第一次召唤为用于获取设备状态的站召唤；被控站端主动报告初始化结束，主站收到初始化结束的报告后，进行全站召唤；等等。

本说明书实施例中可以对初始化过程中发送与接收的各报文进行记录，从而记录会话当前的状态，并在解析特征信息时，解析接收的报文得到报文的帧类型、类型标识和/或传送原因；然后，读取预先记录的会话状态；并在会话状态为初始化的情况下，判断解析得到的帧类型、类型标识和/或传送原因，是否符合预设的初始化报文的要求；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则；若是，则可以确定解析得到的特征信息符合预设的会话逻辑规则，或结合其他逻辑校验综合判断解析得到的特征信息是否符合预设的会话逻辑规则。

又例如，主站向从站发送报文后，从站需要首先回复基本相同的镜像报文进行应答，并根据主站的命令进行一次或多次IEC104报文回复，其中，从站所回复的若干报文与主站的命令报文之间，其表示类型、传送原因等特征信息，存在会话上下文的逻辑关系，而从站所回复的若干报文之间，其表示类型、传送原因等特征信息，不存在会话上下文的逻辑关系。

因此，本说明书实施例中，解析得到的特征信息可以包括：帧类型、类型标识、及传送原因；其中，镜像报文的帧类型与类型标识与对应报文相同，而传送原因与对应报文不同。因此，可以读取预先记录的会话状态，并根据所读取的会话状态，确定与所接收报文存在会话逻辑关系的对应报文；获得预先记录的所述对应报文的帧类型、类型标识、及传送原因。

判断解析得到的帧类型与类型标识，是否与所述对应报文的帧类型与类型标识相同；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则；若是，则可以确定解析得到的特征信息符合预设的会话逻辑规则，或结合其他逻辑校验综合判断解析得到的特征信息是否符合预设的会话逻辑规则。

判断解析得到的传送原因是否与所述对应报文的传送原因相同；若是，则确定解析得到的特征信息不符合预设的会话逻辑规则；若否，则可以确定解析得到的特征信息符合预设的会话逻辑规则，或结合其他逻辑校验综合判断解析得到的特征信息是否符合预设的会话逻辑规则。

此外，发送或接受的相邻报文的序列号，需要按照预设的规律变化，例如逐一递增、递减、等等。因此，解析得到的特征信息中，还可以包括报文的序列号，并且进行会话上下文的逻辑校验时，读取预先记录的会话中所发送的上一IEC104报文的序列号；判断解析得到的序列号与上一IEC104报文的序列号，是否按照预设的规律变化；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则；若是，则可以确定解析得到的特征信息符合预设的会话逻辑规则，或结合其他逻辑校验综合判断解析得到的特征信息是否符合预设的会话逻辑规则。

如上面所述，上面所列举的几种结合会话上下文进行逻辑校验的具体方式，可以单独使用，也可以结合使用并综合各个结果得出结论，本领域技术人员可以根据实际需求灵活地使用上述、或其他结合会话上下文进行逻辑校验的具体方式，本说明书对此不做限定。

此外，本说明书实施例中，检验确定接收到的报文为合法的IEC104报文后，还可以根据该报文对所记录的会话状态进行更新，以用于校验后续接收到的报文的合法性。

可见，应用本说明书提供的方案，可以在不增加网络延迟、不降低网络吞吐量的情况下，对IEC104报文的格式等进行单包校验，并结合IEC104会话上下文的逻辑关系，对IEC104报文进行校验，从而更有效地对IEC104报文进行合法性校验，有效避免网络攻击。

相应于上述方法实施例，本说明书实施例还提供一种IEC104报文校验装置，所述装置应用于连接IEC104主站与IEC104从站的网络设备上，参见图3所示，该装置可以包括：

报文识别模块110、格式校验模块120、报文解析模块130、及逻辑校验模块140；其中，

所述报文识别模块110，用于在接收到报文的情况下，判断所接收报文是否为IEC104报文；若是，则转所述格式校验模块进行处理；

所述格式校验模块120，用于校验所述报文是否满足预设的IEC104报文格式要求；若是，则转所述报文解析模块进行处理；

所述报文解析模块130，用于对所述报文进行解析，得到预设的若干特征信息，并将所述报文与得到的特征信息转逻辑校验模块进行处理；

所述逻辑校验模块140，用于读取预先记录的会话状态，并根据所读取的会话状态，解析得到的特征信息是否符合预设的会话逻辑规则；若是，则判定所述报文合法。

在本说明书实施例的一种具体实施方式中，

所述预设的若干特征信息，可以包括：报文的序列号；

所述逻辑校验模块140，可以包括：

序列号读取单元，用于读取预先记录的会话中所发送的上一IEC104报文的序列号；

序列号判断单元，用于判断解析得到的序列号与上一IEC104报文的序列号，是否按照预设的规律变化；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则。

在本说明书实施例的一种具体实施方式中，

所述预设的若干特征信息，可以包括：报文的帧类型、类型标识和/或传送原因；

所述逻辑校验模块140，可以包括：

会话状态读取单元，用于读取预先记录的会话状态；

初始化判断单元，用于在会话状态为初始化的情况下，判断解析得到的帧类型、类型标识和/或传送原因，是否符合预设的初始化报文的要求；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则。

在本说明书实施例的一种具体实施方式中，

所述预设的若干特征信息，可以包括：帧类型、类型标识、及传送原因；

所述逻辑校验模块140，可以包括：

信息读取单元，用于读取预先记录的会话状态，并根据所读取的会话状态，确定与所接收报文存在会话逻辑关系的对应报文；获得预先记录的所述对应报文的帧类型、类型标识、及传送原因；

类型信息判断单元，用于判断解析得到的帧类型与类型标识，是否与所述对应报文的帧类型与类型标识相同；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则；

原因信息判断单元，用于判断解析得到的传送原因是否与所述对应报文的传送原因相同；若是，则确定解析得到的特征信息不符合预设的会话逻辑规则。

在本说明书实施例的一种具体实施方式中，参见图4所示，所述装置还可以包括：

记录更新模块150，用于根据判定合法的IEC104报文，对所记录的会话状态进行更新，以用于校验后续接收到的报文的合法性。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本说明书实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

虽然本说明书包含许多具体实施细节，但是这些不应被解释为限制任何发明的范围或所要求保护的范围，而是主要用于描述特定发明的具体实施例的特征。本说明书内在多个实施例中描述的某些特征也可以在单个实施例中被组合实施。另一方面，在单个实施例中描述的各种特征也可以在多个实施例中分开实施或以任何合适的子组合来实施。此外，虽然特征可以如上所述在某些组合中起作用并且甚至最初如此要求保护，但是来自所要求保护的组合中的一个或多个特征在一些情况下可以从该组合中去除，并且所要求保护的组合可以指向子组合或子组合的变型。

类似地，虽然在附图中以特定顺序描绘了操作，但是这不应被理解为要求这些操作以所示的特定顺序执行或顺次执行、或者要求所有例示的操作被执行，以实现期望的结果。在某些情况下，多任务和并行处理可能是有利的。此外，上述实施例中的各种系统模块和组件的分离不应被理解为在所有实施例中均需要这样的分离，并且应当理解，所描述的程序组件和系统通常可以一起集成在单个软件产品中，或者封装成多个软件产品。

由此，主题的特定实施例已被描述。其他实施例在所附权利要求书的范围以内。在某些情况下，权利要求书中记载的动作可以以不同的顺序执行并且仍实现期望的结果。此外，附图中描绘的处理并非必需所示的特定顺序或顺次顺序，以实现期望的结果。在某些实现中，多任务和并行处理可能是有利的。

以上所述仅为本说明书实施例的较佳实施例而已，并不用以限制本说明书实施例，凡在本说明书实施例的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书实施例保护的范围之内。

Claims (6)

1.一种IEC104报文校验方法，其特征在于，所述方法应用于连接IEC104主站与IEC104从站的网络设备上，该方法包括：

步骤A、在接收到报文的情况下，判断所接收报文是否为IEC104报文；若是，则转步骤B进行处理；

步骤B、校验所述报文是否满足预设的IEC104报文格式要求；若是，则转步骤C进行处理；

步骤C、对所述报文进行解析，得到预设的若干特征信息，所述预设的若干特征信息，包括：帧类型、类型标识、及传送原因；并将所述报文与得到的特征信息转步骤D进行处理；

步骤D、读取预先记录的会话状态，并根据所读取的会话状态，校验得到的特征信息是否符合预设的会话逻辑规则；若是，则判定所述报文合法并将判定合法的报文转步骤E进行处理；其中，所述读取预先记录的会话状态，并根据所读取的会话状态，校验得到的特征信息是否符合预设的会话逻辑规则，包括：

读取预先记录的会话状态，并根据所读取的会话状态，确定与所接收报文存在会话逻辑关系的对应报文；

获得预先记录的所述对应报文的帧类型、类型标识、及传送原因；

判断解析得到的帧类型与类型标识，是否与所述对应报文的帧类型与类型标识相同；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则；

判断解析得到的传送原因是否与所述对应报文的传送原因相同；若是，则确定解析得到的特征信息不符合预设的会话逻辑规则；

步骤E、根据所述判定合法的IEC104报文，对所记录的会话状态进行更新，以用于校验后续接收到的报文的合法性。

2.根据权利要求1所述的方法，其特征在于，

所述预设的若干特征信息，包括：报文的序列号；

所述读取预先记录的会话状态，并根据所读取的会话状态，校验得到的特征信息是否符合预设的会话逻辑规则，包括：

读取预先记录的会话中所发送的上一IEC104报文的序列号；

判断解析得到的序列号与上一IEC104报文的序列号，是否按照预设的规律变化；

若否，则确定解析得到的特征信息不符合预设的会话逻辑规则。

3.根据权利要求1所述的方法，其特征在于，

所述预设的若干特征信息，包括：报文的帧类型、类型标识和/或传送原因；

所述读取预先记录的会话状态，并根据所读取的会话状态，校验得到的特征信息是否符合预设的会话逻辑规则，包括：

读取预先记录的会话状态；

在会话状态为初始化的情况下，判断解析得到的帧类型、类型标识和/或传送原因，是否符合预设的初始化报文的要求；

若否，则确定解析得到的特征信息不符合预设的会话逻辑规则。

4.一种IEC104报文校验装置，其特征在于，所述装置应用于连接IEC104主站与IEC104从站的网络设备上，该装置包括：

报文识别模块、格式校验模块、报文解析模块、逻辑校验模块及记录更新模块；其中，

所述报文识别模块，用于在接收到报文的情况下，判断所接收报文是否为IEC104报文；若是，则转所述格式校验模块进行处理；

所述格式校验模块，用于校验所述报文是否满足预设的IEC104报文格式要求；若是，则转所述报文解析模块进行处理；

所述报文解析模块，用于对所述报文进行解析，得到预设的若干特征信息，所述预设的若干特征信息，包括：帧类型、类型标识、及传送原因；并将所述报文与得到的特征信息转逻辑校验模块进行处理；

所述逻辑校验模块，用于读取预先记录的会话状态，并根据所读取的会话状态，解析得到的特征信息是否符合预设的会话逻辑规则；若是，则判定所述报文合法并将判定合法的报文转所述记录更新模块进行处理；其中，所述逻辑校验模块，包括：

信息读取单元，用于读取预先记录的会话状态，并根据所读取的会话状态，确定与所接收报文存在会话逻辑关系的对应报文；获得预先记录的所述对应报文的帧类型、类型标识、及传送原因；

类型信息判断单元，用于判断解析得到的帧类型与类型标识，是否与所述对应报文的帧类型与类型标识相同；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则；

原因信息判断单元，用于判断解析得到的传送原因是否与所述对应报文的传送原因相同；若是，则确定解析得到的特征信息不符合预设的会话逻辑规则；

记录更新模块，用于根据所述判定合法的IEC104报文，对所记录的会话状态进行更新，以用于校验后续接收到的报文的合法性。

5.根据权利要求4所述的装置，其特征在于，

所述预设的若干特征信息，包括：报文的序列号；

所述逻辑校验模块，包括：

序列号读取单元，用于读取预先记录的会话中所发送的上一IEC104报文的序列号；

序列号判断单元，用于判断解析得到的序列号与上一IEC104报文的序列号，是否按照预设的规律变化；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则。

6.根据权利要求4所述的装置，其特征在于，

所述预设的若干特征信息，包括：报文的帧类型、类型标识和/或传送原因；

所述逻辑校验模块，包括：

会话状态读取单元，用于读取预先记录的会话状态；

初始化判断单元，用于在会话状态为初始化的情况下，判断解析得到的帧类型、类型标识和/或传送原因，是否符合预设的初始化报文的要求；若否，则确定解析得到的特征信息不符合预设的会话逻辑规则。

Images