3. ICS通信协议
工业控制系统（ICS）的通信协议是连接现场设备、控制器、HMI与上位管理系统的“神经系统”。与传统IT网络中的HTTP、TCP/IP协议不同，ICS协议在设计之初优先考虑实时性、确定性与可用性，而将安全性置于次要位置。本章将深入剖析Modbus、DNP3、OPC UA、EtherNet/IP四种主流ICS协议的通信原理、报文结构及其固有的安全弱点，并结合实际攻击场景，帮助学员建立“协议即攻击面”的安全防护思维。
3.1 Modbus协议原理与安全弱点
3.1.1 核心原理
Modbus协议诞生于1979年，由Modicon（现施耐德电气）开发，是目前ICS领域应用最广泛的通信协议。其物理层支持RS-232/RS-485串口和TCP/IP以太网两种模式。Modbus采用主从（Master/Slave）架构，主站（通常是PLC或HMI）发起请求，从站（传感器、执行器、远程I/O）响应请求。协议定义四种核心数据模型：线圈（Coil）、离散输入（Discrete Input）、保持寄存器（Holding Register）和输入寄存器（Input Register）。功能码（Function Code）用于指示操作类型，如0x01读线圈、0x03读保持寄存器、0x05写单线圈、0x10写多个寄存器等。
Modbus TCP报文结构简洁，在TCP头部后直接附加MBAP头（7字节）和PDU（协议数据单元）。MBAP头包含事务标识符、协议标识符、长度和单元标识符。这种设计使得报文解析极为高效，但也意味着攻击者可以轻易构造恶意报文。
3.1.2 安全弱点分析
| 弱点类别 | 具体表现 | 攻击场景 |
|---|---|---|
| 缺乏认证机制 | 任何能访问网络的主机均可发送Modbus请求 | 攻击者直接向PLC写入恶意线圈状态 |
| 无加密传输 | 报文以明文传输，可被嗅探 | 抓取寄存器值，分析工艺参数 |
| 功能码滥用 | 0x10（写多寄存器）可批量篡改 | 一次性修改PID参数或设定值 |
| 广播地址风险 | 地址0xFF表示广播，可同时控制所有从站 | 发起广播写操作，导致全线停机 |
3.1.3 案例拆解：针对Modbus的寄存器篡改攻击
背景：某水处理厂使用Modbus TCP连接PLC与远程I/O站，控制加药泵的变频器频率。网络未做分区，办公网与生产网互通。
初始现象：安全团队在流量审计中发现，凌晨2点存在大量来自办公网段的Modbus功能码0x10请求，目标寄存器地址为40001（加药泵频率设定值）。
分析过程：通过Wireshark抓包，发现攻击者使用Nmap扫描发现PLC的502端口开放，随后利用Metasploit的modbus_write_register模块，将频率设定值从35Hz改为55Hz。由于加药泵超速运行，导致药剂过量投加，出水水质异常。
处置措施：①在网络边界部署防火墙，仅允许HMI与PLC之间的502端口通信；②在PLC侧增加白名单过滤，只接受来自特定IP的写请求；③部署工业入侵检测系统（如Suricata+Modbus规则），对异常功能码进行实时告警。
复盘经验：Modbus协议本身无法防御此类攻击，必须依赖网络层访问控制和应用层深度检测。建议对Modbus TCP流量实施“功能码白名单”策略，例如仅允许0x03和0x06，禁止0x10批量写操作。
3.2 DNP3协议原理与安全弱点
3.2.1 核心原理
DNP3（Distributed Network Protocol）主要用于电力、水务等关键基础设施的SCADA系统。它支持主站与从站之间的点对点通信，也支持多主站、多从站的复杂拓扑。DNP3的独特之处在于其事件驱动机制：从站可以主动上报事件（如开关变位、模拟量越限），无需主站轮询。协议定义了对象（Object）和变体（Variation）的概念，用于描述数据类型（如二进制输入、模拟输入、计数器等）。
DNP3的链路层采用CRC校验，传输层支持分段和重组，应用层则定义了请求/响应/确认等多种服务。其地址字段支持1~16字节的源地址和目的地址，广播地址（0xFFFF）可向所有从站发送命令。
3.2.2 安全弱点分析
- 认证机制薄弱：DNP3 SAv2（安全认证）使用预共享密钥，但密钥管理不善，且许多老设备不支持SAv2。
- 重放攻击：攻击者捕获合法报文后，可在不修改内容的情况下重放，导致设备重复执行命令。
- 广播地址滥用：攻击者向广播地址发送控制命令，可同时操作多个变电站的断路器。
- 对象点表探测：通过发送不同的对象头，攻击者可枚举从站支持的数据点，绘制电网拓扑。
3.2.3 案例拆解：DNP3广播跳闸攻击
背景：某地区配电网自动化系统使用DNP3 over TCP，主站与20个开闭所终端（RTU）通信。RTU支持广播地址0xFFFF。
攻击过程：攻击者通过漏洞扫描发现一台RTU的20000端口暴露在互联网。利用DNP3协议分析工具，构造一个广播写命令（CROB操作），目标为所有RTU的跳闸线圈。由于RTU未配置地址过滤，20个开闭所全部跳闸，导致区域停电。
关键参数：DNP3报文中的控制字段（Control Field）设置为0x44（确认+功能码0x03），对象头指定为二进制输出（对象12，变体1），操作类型为脉冲合闸（Trip）。
改进措施：①在RTU上禁用广播地址；②启用DNP3 SAv2认证；③在网络层限制DNP3端口仅允许主站IP访问；④部署异常检测规则，对同一源地址发送的广播命令进行告警。
3.3 OPC UA协议原理与安全弱点
3.3.1 核心原理
OPC UA（Unified Architecture）是OPC基金会推出的跨平台、面向服务的通信协议，广泛应用于MES与SCADA之间的数据交换。与传统的OPC DA（基于COM/DCOM）不同，OPC UA基于TCP/IP，支持二进制和Web Service两种编码方式。其核心是信息模型（Information Model），通过节点（Node）和引用（Reference）描述设备数据、报警、历史数据等。OPC UA内置安全机制，包括应用认证（X.509证书）、用户认证（用户名/密码）、会话加密（AES）和消息签名（RSA-SHA256）。
OPC UA的地址空间是层次化的，客户端可以浏览服务器的节点树，读取或订阅数据变化。其传输层支持KeepAlive机制，确保连接稳定性。
3.3.2 安全弱点分析
| 弱点类别 | 具体表现 | 攻击场景 |
|---|---|---|
| 证书管理复杂 | 自签名证书不受信任，或证书过期未更新 | 攻击者使用自签名证书冒充服务器，实施中间人攻击 |
| 安全策略配置不当 | 部分系统为兼容老设备，关闭加密和签名 | 明文传输，数据被窃听和篡改 |
| 信息模型暴露 | 默认允许匿名浏览地址空间 | 攻击者枚举所有节点，获取工艺参数和报警配置 |
| 拒绝服务 | 大量会话请求耗尽服务器资源 | 使用opcua-client脚本发起并发连接，导致服务器无响应 |
3.3.3 案例拆解：OPC UA中间人攻击
背景：某汽车制造工厂的MES系统通过OPC UA与PLC通信，获取生产线上各工位的装配数据。服务器和客户端均使用自签名证书，且未配置信任列表。
攻击过程：攻击者利用ettercap在MES与PLC之间实施ARP欺骗，将流量导向攻击机。由于客户端未验证服务器证书的颁发者，攻击者使用自签名证书成功冒充OPC UA服务器。随后，攻击者修改节点值，将某工位的扭矩数据从80Nm改为60Nm，导致质量检测系统误判，不合格产品流入下一工序。
检测与响应：安全团队通过对比PLC侧日志与MES侧记录，发现数据不一致。进一步检查发现，OPC UA会话的SecurityPolicy为None（未加密）。修复措施包括：①导入CA签发的证书，配置双向信任；②强制使用Basic256Sha256策略；③在MES侧增加数据完整性校验（如哈希比对）。
3.4 EtherNet/IP协议原理与安全弱点
3.4.1 核心原理
EtherNet/IP（Ethernet Industrial Protocol）基于标准以太网，使用CIP（Common Industrial Protocol）作为应用层协议。CIP支持两种通信模式：显式报文（Explicit Message）用于配置和诊断，隐式报文（Implicit Message）用于实时I/O数据交换。隐式报文使用UDP协议，通过组播（Multicast）方式周期性发送，保证实时性。EtherNet/IP定义了连接（Connection）的概念，包括目标IP地址、组播组、RPI（Requested Packet Interval）等参数。
CIP协议栈包含对象模型（Object Model），每个设备都有必选对象（如Identity对象、Connection Manager对象）和可选对象。攻击者可以通过发送CIP命令来读取或修改对象属性。
3.4.2 安全弱点分析
- 无内建安全机制：CIP协议本身不提供加密或认证，依赖网络层安全措施。
- 组播风暴：攻击者向组播地址发送大量伪造的隐式报文，可导致交换机负载过高，网络瘫痪。
- CIP路由攻击：CIP支持路由功能，攻击者可利用路由路径穿越不同VLAN，访问隔离设备。
- DoS攻击：发送大量连接请求，耗尽设备的连接资源。
3.4.3 案例拆解：EtherNet/IP组播风暴攻击
背景：某自动化产线使用EtherNet/IP连接PLC与伺服驱动器，组播组地址为239.192.1.1，RPI设置为10ms。
攻击过程：攻击者接入生产网络后，使用python-scapy构造大量伪造的CIP隐式报文，源IP随机伪造，目标组播地址不变。交换机收到大量组播流量后，CPU利用率飙升，导致正常I/O报文延迟从10ms增加到500ms，产线急停。
防护措施：①在交换机上启用IGMP Snooping，限制组播流量仅转发给已注册的端口；②配置端口速率限制，对超过正常带宽的组播流量进行丢弃；③部署工业防火墙，过滤非预期的UDP 2222端口流量。
3.5 协议安全防护综合策略
针对上述四种协议的安全弱点，建议采取“纵深防御”策略：
- 网络分区与访问控制：将ICS网络划分为安全区域，使用工业防火墙限制协议端口（如Modbus 502、DNP3 20000、OPC UA 4840、EtherNet/IP 44818/2222）仅允许特定IP通信。
- 协议深度检测：部署支持ICS协议解析的IDS/IPS，对功能码、对象地址、寄存器范围进行白名单校验。
- 加密与认证升级：对于Modbus和DNP3，可通过VPN或协议网关实现加密；对于OPC UA，强制启用安全策略；对于EtherNet/IP，考虑使用CIP Security（需设备支持）。
- 异常行为监控：建立协议基线，对广播命令、批量写操作、异常轮询频率进行实时告警。