3. 工业协议概览

工业协议是工业控制系统中设备之间交换数据的“语言”。在流量识别与异常检测中，协议决定了报文结构、通信模式、端口特征、功能码语义以及可观测的异常边界。本节从协议的基本特征与差异出发，建立一张可用于后续识别与检测的“协议地图”。

一、核心原理：工业协议的三层差异

理解工业协议，不能只记端口号。真正影响流量识别与异常检测的差异，主要体现在三个层面：

• 通信模型：是主从轮询、生产者/消费者，还是客户端/服务器？这决定了流量是否具有周期性、请求响应配对是否严格。
• 承载方式：是串行链路、现场总线，还是直接跑在以太网/TCP/IP之上？这决定了能否用抓包工具直接分析。
• 数据语义：是面向寄存器地址、面向对象，还是面向信息模型？这决定了异常检测能否理解“读的是什么、写的是什么”。

下面这张图把七种协议按“承载方式—通信模型—典型端口/链路”放在同一张关系图中，便于快速定位它们的差异。

二、七种协议的基本特征与差异

下表从承载、端口/链路、通信模型、数据语义和典型场景五个维度进行对比，是后续流量识别规则设计的基础。

三、方法流程：从协议特征到识别规则

在流量识别中，建议按以下流程把协议知识转化为可执行的检测规则：

1. 端口初筛：先按 TCP/UDP 端口建立候选集，如 502、44818、2222、4840、20000、2404。
2. 报文结构确认：检查协议头特征，例如 Modbus TCP 的 MBAP 头、EtherNet/IP 的 encapsulation header、IEC 104 的 APCI 起始字节 0x68。
3. 通信模式建模：统计请求-响应配对、轮询周期、广播比例、主从角色分布。
4. 语义级检测：结合功能码、对象地址、信息对象地址，识别异常读写、越权访问和非法功能码。

四、案例/场景：一次 Modbus 异常写操作排查

某产线监控系统发现 PLC 保持寄存器被批量改写。流量侧观察到以下特征：

源 IP: 10.10.20.55
目的 IP: 10.10.20.10
目的端口: 502
功能码: 0x10 (写多个保持寄存器)
起始地址: 40001
寄存器数量: 120
轮询周期: 原为 1000ms，突变为 50ms

分析：正常 HMI 轮询周期稳定在 1s，且写操作极少。该流量在短时间内高频写入大量寄存器，且源 IP 不属于已知工程师站。结合 Modbus 主从模型，可判定为异常写操作。若仅按端口 502 识别，会把它当作正常 Modbus 流量；只有结合功能码、地址范围和周期变化，才能触发告警。

五、误区与复盘

• 误区一：端口等于协议。Modbus 可跑在 502，也可跑在非标端口；Profinet 不依赖固定 TCP 端口，而是以太网类型 0x8892。
• 误区二：所有协议都是请求-响应。Profinet RT、EtherNet/IP 的 UDP 隐式报文、OPC UA 发布订阅、DNP3 主动上报都不严格遵循一问一答。
• 误区三：忽略串行协议。Profibus、Modbus RTU、IEC 101 不经过 TCP/IP，需要串行抓包或协议网关镜像，不能只依赖交换机流量。
• 误区四：只看协议头，不看语义。功能码 0x10 本身合法，但“谁在什么时间写多少寄存器”才是异常检测的关键。