论文部分内容阅读
工业控制系统广泛应用于化工、电力传输、交通运输、油气开采和水处理等关系到国计民生的重要行业和领域,因而工业控制系统的安全直接关系到国家基础设施和关键领域的发展。工业控制系统初期是封闭的,简单的无安全机制的私有协议就能够满足工业控制系统的通信要求。但随着网络融合进程的不断推进,原有的工控现场总线协议Modbus以Modbus/TCP的方式得到广泛采用,导致工业控制系统面临互联网TCP/IP通用协议及Modbus私有协议双重安全风险。本文主要面向SCADA系统的过程控制层研究Modbus/TCP协议安全性。首先,针对Modbus/TCP协议的安全增强需求,设计了安全增强的可信Modbus/TCP协议,保证协议的认证性、完整性和机密性;第二,针对Modbus/TCP协议安全防护需求,提出一种基于Modbus/TCP深度检测的协议隔离方法,达到隔离TCP/IP协议特征、保障协议数据内容合法性的目标。本文的主要研究工作如下:1)针对Modbus/TCP协议无认证性、无法提供通信数据完整性、机密性保护的问题,提出一种基于可信平台模块硬件的可信Modbus/TCP协议。包括对Modbus/TCP通信中客户机和服务器的身份以及设备状态的认证,不仅保证设备是不可被冒充的,还保证设备操作系统和组态软件的可信性;基于HMAC算法保证通信中数据的完整性;为Modbus具体控制命令提供安全分级功能,发送关键功能码命令时可选择加密相关报文,保证机密性。可信平台模块命令的测试结果,表明可信Modbus/TCP协议可以满足工业控制系统的实时性需求。2)针对Modbus/TCP协议存在TCP/IP协议相关漏洞和Modbus功能码滥用等问题,提出一种基于Modbus/TCP深度检测的协议隔离方法。该方法基于Xen实现了虚拟化的协议隔离,通过进行TCP/IP协议数据剥离,阻断基于传统TCP/IP协议漏洞的攻击;同时对Modbus/TCP协议数据进行内容清洗,通过对特殊功能码进行权限控制,增加对Modbus/TCP报头MBAP、数据对象起始地址、数据对象值等内容的检验,达到保障协议数据内容合法性的目标。