3. 工控网络协议解析

工控网络入侵检测的核心能力，首先来自对工业协议报文的“看得懂”。与IT网络以HTTP、TLS、DNS为主不同，工控现场同时存在大量为实时控制设计的专用协议，它们往往缺少认证、加密和完整性校验，报文结构紧凑、语义直接。理解这些协议的报文结构与安全风险，是编写IDS规则、构造白名单基线和识别异常行为的前提。

一、核心原理：五类协议的报文结构与寻址方式

Modbus是最常见的串行与TCP协议，采用“功能码+数据”的请求/响应模型。其应用层PDU由功能码和寄存器地址、数量或值组成，TCP封装时增加MBAP头，包含事务标识、协议标识、长度和单元标识。Modbus本身没有身份认证，任何能访问502端口的节点都可以读写线圈和保持寄存器。

DNP3面向电力与水务，采用分层结构：链路层负责帧同步与CRC，传输层负责分片重组，应用层定义对象组与变体。DNP3支持事件缓冲、时间同步和主动上报，其安全风险集中在未授权的主站轮询、伪造从站响应以及利用功能码进行设备控制。

IEC 60870-5-104（简称104）用于调度自动化，基于TCP 2404端口，APCI包含启动字符0x68、长度和控制域，ASDU包含类型标识、可变结构限定词、传送原因和公共地址。104的遥测、遥信、遥控报文直接对应电网开关操作，一旦被篡改可能造成误遥控。

OPC UA是面向服务架构的工业通信协议，支持二进制和HTTPS传输，具备会话、证书、签名和加密机制。其报文包括Hello、OpenSecureChannel、CreateSession、Read/Write、Publish等消息类型。OPC UA安全性较高，但配置不当仍会出现匿名登录、弱证书和未授权节点访问。

Profinet基于以太网，使用RT和IRT实时通道，报文包含帧ID、循环数据、报警和诊断信息。Profinet的实时性依赖二层优先级和组播，安全风险包括伪造IO设备、重放循环数据以及DCP协议被用于修改设备名称和IP。

二、方法流程：从报文解析到检测规则

协议解析通常按“识别—解码—建模—检测”四步推进。第一步通过端口、特征字和握手行为识别协议，例如502端口上的MBAP、2404端口上的0x68启动字符、4840端口上的OPC UA Hello消息。第二步按协议规范解码字段，提取功能码、对象地址、传送原因、节点ID等关键字段。第三步建立正常行为基线，例如某主站只轮询特定从站的特定寄存器区间。第四步将偏离基线的行为转化为告警。

# 以Modbus为例的解析与检测伪代码
pkt = parse_modbus_tcp(payload)
if pkt.func_code not in ALLOWED_FUNCS:
    alert("非法功能码", pkt.func_code)
if pkt.unit_id not in ALLOWED_UNITS:
    alert("非法单元标识", pkt.unit_id)
if pkt.reg_addr + pkt.reg_count > MAX_REG:
    alert("寄存器越界访问", pkt.reg_addr)

三、案例场景：某变电站104遥控异常

某变电站IDS在凌晨捕获到一条104遥控报文，公共地址为1，传送原因为“激活”，类型标识为C_SC_NA_1（单点遥控）。但该主站在过去30天内从未下发过遥控命令，且该时段无调度操作计划。进一步分析发现，报文源IP并非调度主站，而是来自站内一台工程笔记本。IDS依据“遥控功能码+非授权源IP+非计划时段”三条规则触发告警，运维人员及时隔离该主机，避免了一次潜在的误遥控。

四、误区与复盘

• 误区一：只按端口识别协议。工控协议常被封装在非标准端口，仅靠端口会漏检或误判，应结合特征字和会话行为。
• 误区二：认为OPC UA加密后无需检测。加密只保护传输内容，不改变节点权限和会话行为，仍需检测匿名登录和越权访问。
• 误区三：忽略Profinet的二层特性。Profinet不依赖IP，传统三层IDS可能完全看不到，需要在交换机镜像或工业防火墙处采集。
• 误区四：规则过严导致误报。工控现场存在大量周期性轮询和诊断报文，规则应结合时间窗口和业务日历。