面向工控的协议解析方法应用研究*

董 健 ，韩鹏军

(1.公安部第三研究所，北京100004；2.国家能源集团，北京100007）

0 引言

伴随着互联网信息技术、工业自动化技术的革命性突破和两化深度融合，工业控制系统(ICS)从原先独立、封闭的环境逐渐走向开放。 企业也越来越意识到除了自动化技术，信息安全也决定着工控系统的质量和可持续发展。 工控系统的安全性很大程度上取决于所采用的工控协议。 工控协议种类繁多且缺少固有安全验证机制，而通过对工控协议的解析能够从指令级和语义级对潜在网络攻击进行检测、感知和防护[1]，研究面向工控的协议解析方法，对促进工控安全具有重大意义。 目前，工控网络安全行业内对协议解析方面的研究深度还不够，大部分方法不具备对协议的深度解析能力，对协议通信内容的语义级解析则更是难以实现。因此，本文在分析现有的协议解析方法的基础上，提出两种面向工控的协议解析方法：网络报文序列解析法和二进制代码分析法，实现对工控协议的语义级解析。

1 相关知识介绍

1.1 工控协议

网络协议即网络上设备之间的通信规则，它对通信时信息必须采用的格式以及这些格式的意义进行了规定。 现有的网络协议由一些专门的组织(如IEC、ISO 等)制定或者从早期的实验室协议(如TCP/IP 协议)中演进而来。 根据这些协议是否应用于工业互联网领域，可以划分为传统互联网协议和工控协议。 常见的传统互联网协议主要有HTTP、FTP、TCP/IP、VPN 等协议；常见的工控协议主要有S7、Modbus、GOOSE、MMS 等协议。……