4. 工业协议解析基础

工业设备指纹的提取，本质上是对工业协议报文进行结构化解析，再从协议字段中抽取能够稳定标识设备身份、型号、固件、角色或通信行为的特征。不同工业协议在设计目标、编码方式和暴露信息上差异很大，因此“哪些字段能作为指纹”必须逐协议分析。本节围绕 Modbus、OPC UA、Profinet、EtherNet/IP 四种典型协议，说明其报文结构、可提取字段以及指纹价值。

一、Modbus：从功能码与寄存器内容提取指纹

Modbus 是最简单的工业协议之一，分为串行链路（Modbus RTU/ASCII）和 TCP 两种承载方式。其应用层报文由功能码（Function Code）和数据域组成，没有内建的身份、型号或版本字段。这意味着 Modbus 指纹不能直接从协议头读取，而要通过“行为特征 + 数据内容”间接推断。

可提取的指纹字段包括：

• 功能码集合：设备支持哪些功能码（如 0x01 读线圈、0x03 读保持寄存器、0x04 读输入寄存器、0x10 写多个寄存器）反映其能力集，不同厂商实现的支持范围不同。
• 寄存器地址映射：保持寄存器中常见的设备标识区（如 0x0000–0x000F 存放厂商 ID、设备类型、固件版本）是强指纹来源。例如某型号 PLC 在 40001–40010 返回固定厂商字符串。
• 异常响应模式：对非法功能码或越界地址，不同设备返回的异常码（0x01 非法功能、0x02 非法地址、0x03 非法数据值）和响应时延存在差异。
• 单元标识符（Unit ID）：在网关场景中，Unit ID 的分配习惯可作为辅助特征。

实际提取时，通常先发送一组探测请求，记录功能码响应、寄存器原始字节和异常行为，再与指纹库比对。需要注意，Modbus 寄存器内容可能被厂商自定义，因此指纹提取应优先选择文档公开或跨设备稳定的地址段。

二、OPC UA：利用端点与服务信息构建强指纹

OPC UA 是面向服务架构的协议，具有丰富的自描述能力，是工业协议中指纹信息最丰富的之一。其指纹主要来自 GetEndpoints 和 FindServers 服务的响应。

关键指纹字段包括：

• ApplicationUri：应用唯一标识，通常包含厂商域名、产品线和实例名，如 urn:vendor:product:plc。
• ProductUri：产品标识，常指向厂商产品页面或型号编码。
• ApplicationName：可读名称，常含型号与角色。
• SecurityPolicy 列表：支持的加密策略集合（如 Basic256Sha256、Aes128Sha256RsaOaep）反映固件版本与安全能力。
• UserTokenPolicy：支持的认证方式（匿名、用户名密码、证书）体现设备安全配置。
• Server 证书：证书主题、颁发者、有效期、密钥长度是强指纹，且难以伪造。

OPC UA 的指纹提取可在不建立安全会话的情况下完成，仅需一次 GetEndpoints 请求即可获得上述大部分字段，因此非常适合准入控制中的设备识别阶段。

三、Profinet：从 DCP 与 LLDP 获取设备身份

Profinet 运行在以太网之上，其设备发现与身份识别主要依赖 DCP（Discovery and Configuration Protocol）和 LLDP（链路层发现协议）。DCP 用于发现和配置 Profinet 设备，LLDP 用于拓扑发现。

可提取的指纹字段包括：

• Device Name（站名）：DCP 响应中的设备名称，通常按工程规范命名，如 plc-line1-station3。
• Vendor ID 与 Device ID：由 PI 组织分配的厂商和设备标识，是强指纹，可直接映射到厂商与型号。
• Device Role：如 IO Controller、IO Device、IO Supervisor，反映设备在系统中的角色。
• IP 参数与 MAC：DCP 可返回 IP 地址、子网掩码、网关和 MAC 地址。
• LLDP 邻居信息：包括机箱 ID、端口 ID、系统名称，可用于构建拓扑指纹。

Profinet 指纹的优势在于 Vendor ID 和 Device ID 是标准化分配，误报率低；但 DCP 为二层协议，提取时需在正确的 VLAN 和网段内进行。

四、EtherNet/IP：基于 CIP 对象与标识对象

EtherNet/IP 使用 CIP（Common Industrial Protocol）作为应用层，其设备身份主要通过“标识对象”（Identity Object，Class 0x01）暴露。通过 CIP 的 GetAttributeAll 或显式消息读取该对象，可获得：

• Vendor ID：厂商编号，由 ODVA 分配。
• Device Type：设备类型代码，如通信适配器、PLC、变频器。
• Product Code：产品代码，与型号对应。
• Revision：固件/硬件版本。
• Product Name：产品名称字符串。
• Serial Number：序列号，唯一性强。

此外，EtherNet/IP 的 TCP 端口 44818 上的 ListIdentity 服务可在不建立会话的情况下返回上述标识信息，是准入控制中快速识别设备的常用手段。

五、四类协议指纹字段对比

下表汇总四类协议的主要指纹字段及其稳定性，便于在实际系统中选择提取优先级。

六、指纹提取的工程要点

在实际系统中，协议解析与指纹提取需要关注以下几点。第一，被动与主动结合：被动监听可获取 OPC UA 的 Hello 消息、Profinet 的 LLDP 报文和 EtherNet/IP 的 ListIdentity 广播，主动探测则用于补充 Modbus 寄存器读取和 OPC UA 端点查询。第二，字段归一化：不同协议的 Vendor ID 编码方式不同，需统一映射到内部厂商字典，避免同一厂商出现多个标识。第三，版本与变更管理：固件升级可能改变 SecurityPolicy 列表或 Product Code，指纹库应支持版本区间匹配而非精确匹配。第四，误报控制：Modbus 寄存器内容易被篡改或自定义，不宜单独作为准入依据，应与 MAC、证书或行为基线联合判定。

综上，四类协议的指纹字段各有侧重：Modbus 依赖行为与寄存器内容，OPC UA 和 EtherNet/IP 提供自描述标识，Profinet 依赖标准化分配的 Vendor/Device ID。理解这些字段的来源、提取方式和稳定性，是构建工业设备指纹库和准入控制策略的基础。