4. 工业通信协议安全分析
工业IoT安全工程师在面试中经常被要求“挑一个协议讲讲它的安全问题”。这个问题的陷阱在于：如果只背漏洞名称，面试官会认为你缺乏实战判断力。真正需要展示的是——你能否从协议的设计目标出发，推导出它的攻击面，再给出可落地的防护措施。本节围绕Modbus、OPC UA、Profinet、EtherNet/IP、MQTT、CoAP六类协议展开，重点讲清“为什么脆弱”和“具体怎么防”。
一、先建立分析框架：协议脆弱性的三个来源
在逐个分析之前，先给出一个可复用的判断框架。工业协议的脆弱性通常来自三个层面：
第一，设计年代与假设。很多协议诞生于封闭专网时代，默认“网络是可信的”。Modbus、Profinet、EtherNet/IP都属于这一类，它们没有内建加密和认证。
第二，功能与安全的权衡。OPC UA、MQTT、CoAP在设计时考虑了安全，但为了兼容性和性能，安全机制往往是可选的。攻击者最喜欢“可选安全”——因为现场工程师常常为了调试方便而关闭它。
第三，部署与配置。即使协议本身安全，错误的配置（如MQTT允许匿名接入、OPC UA使用None安全策略）也会让防护形同虚设。
面试时如果能先抛出这个框架，再展开具体协议，会显得有条理。下面逐个分析。
二、Modbus：最典型“裸奔”协议
Modbus是1979年设计的串行通信协议，后来扩展到TCP。它的报文结构极其简单：功能码+寄存器地址+数据。问题在于，它没有任何认证、加密和完整性校验机制。
攻击者可以轻易伪造一个写线圈请求，把阀门从“关闭”改为“打开”。更隐蔽的攻击是重放：抓取正常的控制指令，在关键时刻重放，造成设备误动作。由于Modbus没有序列号和时间戳，接收方无法区分新指令和重放指令。
防护上，单靠协议本身无法解决，必须靠外围措施。常见做法是：在Modbus TCP前面部署工业防火墙，做深度包检测，只允许合法的功能码和寄存器地址范围通过。例如，某水厂规定只允许功能码03（读保持寄存器）和06（写单个寄存器），且寄存器地址限定在40001-40100之间，其他一律阻断。同时，用VPN或TLS隧道封装Modbus流量，解决机密性和完整性问题。需要注意的是，Modbus串行链路（RTU）无法直接加TLS，通常通过串口服务器转TCP后再加密。
三、OPC UA：安全机制完善但易被误配
OPC UA是这六类协议中安全设计最完整的。它内建了X.509证书认证、AES加密和签名，支持多种安全策略（None、Basic128Rsa15、Basic256Sha256等）。但问题恰恰出在“None”策略上。
很多现场为了快速调试，把安全策略设为None，端点不要求证书。一旦上线后忘记改回，攻击者就能直接读写所有节点。面试中常问的一个场景是：如何发现OPC UA端点使用了None策略？答案是扫描4840端口，用UaExpert等客户端尝试匿名连接，如果能枚举出地址空间，就说明存在风险。
防护要点有三条：第一，强制使用Basic256Sha256及以上策略，禁用None；第二，为每个客户端签发独立证书，并配置证书信任列表（Trust List），拒绝自签名证书；第三，在OPC UA服务器前部署反向代理或防火墙，只允许特定IP的客户端访问。实际配置中，需要在服务器端设置SecurityPolicies只保留高强度策略，并在UserTokenPolicies中禁用匿名用户。
四、Profinet与EtherNet/IP：实时性与安全的矛盾
Profinet和EtherNet/IP都用于工厂自动化，强调实时性。Profinet的RT（实时）报文绕过TCP/IP栈，直接在以太网层传输，延迟可低至微秒级。EtherNet/IP基于TCP/UDP，用CIP协议封装控制数据。
两者的共同脆弱点是：缺乏内建加密和认证。Profinet的DCP协议可以用于设备发现和IP分配，攻击者可以伪造DCP报文修改设备名称或IP，导致产线停机。EtherNet/IP的CIP报文可以被篡改，改变PLC的输出值。
防护上，Profinet推荐使用“单元隔离”策略：将Profinet网络划分为多个VLAN，用工业防火墙限制跨单元通信。同时，启用Profinet的“安全等级”功能（如PROFINET Security Class 1），对关键设备做设备认证。EtherNet/IP则建议在交换机上启用端口安全，绑定MAC地址，并部署支持CIP深度检测的防火墙。一个实际案例是：某汽车厂在Profinet网络中部署了支持DCP监控的IDS，当检测到非法的DCP Set请求时，立即告警并阻断端口。
五、MQTT与CoAP：IoT协议的安全陷阱
MQTT和CoAP是IoT场景的轻量级协议，常用于传感器数据采集。它们的设计目标是低功耗、低带宽，安全机制因此被简化。
MQTT的脆弱性集中在Broker配置上。如果Broker允许匿名连接（allow_anonymous true），任何人都能订阅所有主题，甚至发布伪造数据。即使启用了用户名密码，如果密码是弱口令，也容易被爆破。更严重的是，MQTT默认不加密，凭证和数据以明文传输。
防护措施：第一，禁用匿名访问，为每个设备分配独立凭证；第二，启用TLS，使用8883端口替代1883；第三，配置ACL（访问控制列表），限制每个设备只能发布/订阅自己的主题。例如，在Mosquitto中配置acl_file，规定设备A只能访问sensors/A/#，不能访问sensors/B/#。
CoAP基于UDP，支持DTLS加密，但DTLS在资源受限设备上握手开销大，很多实现默认不启用。攻击者可以伪造CoAP请求，读取或修改资源。防护上，强制使用DTLS 1.2，并采用预共享密钥（PSK）模式降低握手开销。同时，在CoAP代理层做请求频率限制，防止放大攻击。
六、面试中的实战判断：如何快速评估一个工业协议的安全性
面试官可能给你一个场景：“现场有一个Modbus TCP设备和一个MQTT网关，你如何评估风险？”这时候不要泛泛而谈，而是给出可操作的步骤。
第一步，识别协议和端口。Modbus TCP默认502，MQTT默认1883/8883。用nmap扫描确认开放端口。
第二步，检查安全配置。对Modbus，尝试用modbus-cli读取寄存器，如果能读到数据，说明无认证。对MQTT，尝试匿名连接，用mosquitto_sub -t '#' -v订阅所有主题，如果能收到消息，说明存在严重风险。
第三步，评估影响。Modbus能写寄存器吗？如果能写，攻击者可以改变物理过程。MQTT能发布消息吗？如果能，攻击者可以伪造传感器数据，误导上层系统。
第四步，给出防护建议。Modbus加防火墙和VPN，MQTT启用TLS和ACL。最后，建议做一次渗透测试验证防护效果。
下面给出一个简化的检查表，可用于面试中快速展示思路：
| 协议 | 默认端口 | 核心脆弱点 | 首要防护措施 |
|---|---|---|---|
| Modbus TCP | 502 | 无认证、无加密、可重放 | 工业防火墙+深度包检测 |
| OPC UA | 4840 | None策略、匿名用户 | 强制证书+禁用None |
| Profinet | 以太网层 | DCP伪造、无认证 | VLAN隔离+安全等级 |
| EtherNet/IP | 44818/2222 | CIP篡改、无加密 | 端口安全+CIP检测 |
| MQTT | 1883/8883 | 匿名接入、明文传输 | TLS+ACL+独立凭证 |
| CoAP | 5683/5684 | DTLS未启用、UDP放大 | 强制DTLS+频率限制 |
这张表在面试中可以手绘，展示你对六类协议的整体把握。但要注意，表格只是索引，真正的得分点在于你能针对具体协议说出配置细节和验证方法。
七、一个可复用的防护配置示例：MQTT Broker加固
以Mosquitto为例，给出一个可直接参考的配置片段。假设设备A的客户端ID为deviceA，只能访问sensors/A/#主题。
# mosquitto.conf
allow_anonymous false
password_file /etc/mosquitto/passwd
acl_file /etc/mosquitto/acl
# 启用TLS
listener 8883
cafile /etc/mosquitto/ca.crt
certfile /etc/mosquitto/server.crt
keyfile /etc/mosquitto/server.key
tls_version tlsv1.2
# acl文件内容
user deviceA
topic readwrite sensors/A/#
user deviceB
topic readwrite sensors/B/#
配置完成后，用mosquitto_sub -h broker -p 8883 --cafile ca.crt -u deviceA -P password -t 'sensors/#' -v测试。如果只能收到sensors/A/下的消息，说明ACL生效。如果尝试订阅sensors/B/#被拒绝，说明隔离成功。这个验证过程本身就是面试中可展示的实操能力。
总结来说，工业协议安全分析的核心不是背诵漏洞列表，而是理解协议的设计假设、识别配置弱点、给出可验证的防护措施。面试中，先讲框架，再讲具体协议，最后用配置或检查表收尾，就能体现出工程师的实战思维。