工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)分析

工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)分析摘要：工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)是確保工業(yè)控制系統(tǒng)安全的關(guān)鍵技術(shù)。它通過實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)流量、數(shù)據(jù)分析和入侵檢測(cè)算法，發(fā)現(xiàn)并防御各種網(wǎng)絡(luò)攻擊，保障工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的正常運(yùn)行。本文設(shè)計(jì)一套能夠部署在工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)環(huán)境中，實(shí)時(shí)進(jìn)行入侵獫測(cè)與防御，以彌補(bǔ)當(dāng)前針對(duì)工業(yè)現(xiàn)場(chǎng)總錢網(wǎng)絡(luò)的安全防護(hù)缺失的局限。該系統(tǒng)的應(yīng)用不僅能夠避免生產(chǎn)事故和經(jīng)濟(jì)損失，還可以為網(wǎng)絡(luò)優(yōu)化和改進(jìn)提供支持。通過分析攻擊數(shù)據(jù)和入侵行為，找出網(wǎng)絡(luò)設(shè)計(jì)和配置中的薄弱環(huán)節(jié)，并進(jìn)行針對(duì)性的優(yōu)化，從而提高工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的可靠性。關(guān)鍵詞：工業(yè)現(xiàn)場(chǎng)總線；工控系統(tǒng)；入侵防御；網(wǎng)絡(luò)安全引言工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)是工業(yè)控制系統(tǒng)的重要組成部分，它通過總線將各種控制器、儀器和設(shè)備連接起來，實(shí)現(xiàn)數(shù)據(jù)的傳輸和共享。然而，隨著工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的廣泛應(yīng)用，網(wǎng)絡(luò)安全問題日益凸顯。工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)作為保障網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)，引起了廣泛關(guān)注。工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)的核心目標(biāo)是檢測(cè)和防御各種網(wǎng)絡(luò)攻擊，確保工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的正常運(yùn)行。為了實(shí)現(xiàn)這一目標(biāo)，工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)采用了多種技術(shù)手段。首先，系統(tǒng)通過實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)流量和數(shù)據(jù)分析，發(fā)現(xiàn)潛在的入侵行為。其次，系統(tǒng)采用了入侵檢測(cè)算法，對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行深入分析，識(shí)別出具體的攻擊類型。最后，系統(tǒng)根據(jù)攻擊類型和嚴(yán)重程度，采取相應(yīng)的防御措施，如報(bào)警、隔離攻擊源等。工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)的應(yīng)用對(duì)于提高工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的可靠性具有重要意義。一方面，系統(tǒng)能夠及時(shí)發(fā)現(xiàn)和防御網(wǎng)絡(luò)攻擊，避免因攻擊導(dǎo)致的生產(chǎn)事故和經(jīng)濟(jì)損失。另一方面，系統(tǒng)還可以為工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的優(yōu)化和改進(jìn)提供支持，如通過分析攻擊數(shù)據(jù)和入侵行為，找出網(wǎng)絡(luò)設(shè)計(jì)和配置中的薄弱環(huán)節(jié)，并進(jìn)行針對(duì)性的優(yōu)化?？傊?，工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)是保障工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)。通過實(shí)時(shí)監(jiān)測(cè)、入侵檢測(cè)和防御措施，系統(tǒng)能夠有效提高工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的可靠性，為工業(yè)生產(chǎn)提供堅(jiān)實(shí)的安全保障。1、工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)工作原理1.1工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)特點(diǎn)現(xiàn)場(chǎng)總線是工業(yè)生產(chǎn)中常用的一種數(shù)據(jù)傳輸總線，是自動(dòng)化領(lǐng)域中底層數(shù)據(jù)通信網(wǎng)絡(luò)。按照IEC/SC65C的規(guī)定，在制造區(qū)或處理區(qū)的現(xiàn)場(chǎng)裝置和控制室內(nèi)的自控裝置之間有一種數(shù)字的、串行的和多點(diǎn)通訊的數(shù)據(jù)總線，被稱作現(xiàn)場(chǎng)總線?，F(xiàn)場(chǎng)總線技術(shù)是用來解決工業(yè)現(xiàn)場(chǎng)智能儀器、控制器和執(zhí)行器等現(xiàn)場(chǎng)設(shè)備間的數(shù)據(jù)通訊問題，也是實(shí)現(xiàn)這些現(xiàn)場(chǎng)控制裝置與上層控制系統(tǒng)間的信息傳遞的關(guān)鍵?，F(xiàn)場(chǎng)總線是用數(shù)字通信替代4-20mA的模擬信號(hào)及常規(guī)的切換信號(hào)，實(shí)現(xiàn)了智能化現(xiàn)場(chǎng)裝置與自動(dòng)化系統(tǒng)之間的全數(shù)字化、雙向、多站通信。一般的工控網(wǎng)絡(luò)包括工業(yè)以太網(wǎng)和工業(yè)現(xiàn)場(chǎng)總線?，F(xiàn)場(chǎng)總線具有六大技術(shù)特點(diǎn)：全數(shù)字通訊，開放式互聯(lián)，互操作，智能化的現(xiàn)場(chǎng)設(shè)備，高度分布式的系統(tǒng)架構(gòu)，對(duì)現(xiàn)場(chǎng)環(huán)境的適應(yīng)能力。圖1工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)架構(gòu)控制網(wǎng)絡(luò)既要有確定性，又要有可重復(fù)的確定性，既要有有限的通訊延時(shí)，又要有一定的時(shí)間間隔，才能保證消息的順利傳遞。在此基礎(chǔ)上，本文提出了一種新的自適應(yīng)無線傳感器網(wǎng)絡(luò)的可重復(fù)性方法。所以，傳統(tǒng)的基于工業(yè)以太網(wǎng)的網(wǎng)絡(luò)并不適用于控制系統(tǒng)。在現(xiàn)場(chǎng)總線網(wǎng)絡(luò)中，為了確保系統(tǒng)的可靠性與可重復(fù)性，采取了兩種方法：簡(jiǎn)化網(wǎng)絡(luò)結(jié)構(gòu)，簡(jiǎn)化通訊模型，簡(jiǎn)化節(jié)點(diǎn)信息；二是要使用網(wǎng)絡(luò)管理技術(shù)，要使現(xiàn)場(chǎng)總線具有開放互聯(lián)、互操作、互操作等特征，就需要有一個(gè)統(tǒng)一的總線規(guī)范。1996年到1998年間，F(xiàn)ieldbus基金會(huì)（FieldbusFoundation）和Profibus(ProfibusInternationalOrganization,PNO）共同頒布了工藝自動(dòng)化的H1-H2(HSE）和ProfibusPA(ProfibusPA）。1999年，IEC61158國(guó)際標(biāo)準(zhǔn)，包含了8個(gè)現(xiàn)場(chǎng)總線標(biāo)準(zhǔn)，正式開始實(shí)施。EC61158是八種總線之間采用了截然不同的通訊協(xié)議，彼此地位相等。總線機(jī)構(gòu)在不更改各自專用標(biāo)準(zhǔn)的前提下，按照EC61158技術(shù)報(bào)表的架構(gòu)，自行制定各自的標(biāo)準(zhǔn)。1.2工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)通信1)1)工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)通信模型工業(yè)現(xiàn)場(chǎng)總線模型的物理層功能作用主要包括：一是將現(xiàn)場(chǎng)裝置和物理總線進(jìn)行通訊；二是為現(xiàn)場(chǎng)裝置與傳送媒體之間的通訊提供了一個(gè)機(jī)械、電子的接口；三是通過總線對(duì)現(xiàn)場(chǎng)裝置進(jìn)行物理信號(hào)的收發(fā)；四是實(shí)現(xiàn)了對(duì)儀器的電氣隔離，信號(hào)的過濾，電源的供電。工業(yè)現(xiàn)場(chǎng)總線模式的數(shù)據(jù)鏈路層的作用是產(chǎn)生包含鏈路活動(dòng)計(jì)劃，數(shù)據(jù)接收與傳輸，設(shè)備狀態(tài)檢測(cè)與響應(yīng)，設(shè)備之間的鏈路同步，傳輸信息的幀檢查等內(nèi)容的現(xiàn)場(chǎng)總線通訊協(xié)議控制信息。工業(yè)現(xiàn)場(chǎng)總線模式應(yīng)用層的主要功能是為用戶程序在現(xiàn)場(chǎng)總線通訊環(huán)境中的存取，或者作為"窗口"，使用戶程序和其它有關(guān)的程序進(jìn)行通訊。將其劃分為兩個(gè)子層：現(xiàn)場(chǎng)總線的通訊報(bào)文和總線的接入。子層是現(xiàn)場(chǎng)總線的接口，它是對(duì)現(xiàn)場(chǎng)總線報(bào)文的子層進(jìn)行邏輯通訊的一種方式。目前，虛擬通訊信道主要分為三種：發(fā)布方-訂閱方，報(bào)表分發(fā)方，以及客戶機(jī)/服務(wù)器三種。現(xiàn)場(chǎng)總線通訊報(bào)文子層：按照規(guī)定的消息格式，在總線上進(jìn)行數(shù)據(jù)的傳送。2)PROFIBUS通信協(xié)議與報(bào)文格式PROFIBUS(ProcessFieldbus,PROFIBUS）是一種與設(shè)備生成商的具有開放性的、國(guó)際性的、與現(xiàn)場(chǎng)總線相關(guān)聯(lián)的現(xiàn)場(chǎng)總線標(biāo)準(zhǔn)，具有廣闊應(yīng)用前景的工業(yè)應(yīng)用前景。在制造自動(dòng)化、流程工業(yè)自動(dòng)化以及其它諸如建筑、運(yùn)輸、電力等自動(dòng)化領(lǐng)域中得到了廣泛的應(yīng)用。PROFIBUS的發(fā)展從一開始集中在通訊技術(shù)，到現(xiàn)在已經(jīng)把重點(diǎn)放在了系統(tǒng)整合和系統(tǒng)工程上，尤其是應(yīng)用概要的研發(fā)上。FMS是一種基于PROFIBUS-FMS的現(xiàn)場(chǎng)總線技術(shù)，它是一種基于現(xiàn)場(chǎng)總線技術(shù)的現(xiàn)場(chǎng)總線技術(shù)。PROBIFUS-PA是一種適用于生產(chǎn)過程自動(dòng)化系統(tǒng)的設(shè)備，也是一種適用于大流量，中等傳輸速率的周期及無周期通訊的設(shè)備。PROFIBUSDP是一種適用于生產(chǎn)過程中的生產(chǎn)過程控制系統(tǒng)，具有較高的生產(chǎn)效率。是一款專用于自控系統(tǒng)和裝置級(jí)分散/分散/零間通訊，以實(shí)現(xiàn)分布式控制系統(tǒng)中各裝置之間的高速數(shù)據(jù)傳送。本論文所設(shè)計(jì)的工控系統(tǒng)要求對(duì)工業(yè)現(xiàn)場(chǎng)總線的通訊報(bào)文進(jìn)行深入的剖析，本文以PROFIBUS-DP為實(shí)例，對(duì)其進(jìn)行了詳細(xì)的分析。PROFIBUS-DP使用了一個(gè)請(qǐng)求-應(yīng)答的通訊方式，它的請(qǐng)求信息是這樣的：SD2LELErDA2SAFCUDFXSED其響應(yīng)報(bào)文的格式如下：SYNSD2LELErSD2DASAFCUDFCSED其中，SN.同步位，每個(gè)握手報(bào)文前必須保持33位長(zhǎng)的空閑狀態(tài)；SD2.啟動(dòng)符，規(guī)定報(bào)文類型；SD1.不帶數(shù)據(jù)域的信息域長(zhǎng)度固定；SD2.信息域長(zhǎng)度可變；SD3.帶數(shù)據(jù)域，信息域長(zhǎng)度固定；SD4.令牌報(bào)文；SD5.短確認(rèn)；LE.報(bào)文長(zhǎng)度：LEr.重復(fù)報(bào)文長(zhǎng)度：DA.目的地址；SA源地址；FC.功能碼；UD,數(shù)據(jù)域；FCS.校驗(yàn)字節(jié)；ED.終止字節(jié)。2、工控現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)2.1工控現(xiàn)場(chǎng)總線網(wǎng)絡(luò)面臨的安全風(fēng)險(xiǎn)與威助針對(duì)工業(yè)現(xiàn)場(chǎng)總線的特點(diǎn)，提出了如下幾個(gè)風(fēng)險(xiǎn)方面的內(nèi)容：1）網(wǎng)絡(luò)業(yè)務(wù)的異常。在總線上，當(dāng)一個(gè)結(jié)點(diǎn)的通訊流量急劇增加或減少時(shí)，就有可能遭受到網(wǎng)絡(luò)風(fēng)暴，拒絕服務(wù)攻擊；2)網(wǎng)絡(luò)通訊的請(qǐng)求或回復(fù)信息是錯(cuò)誤的，它可以被假冒的，或者是被控制的，或者是被攻擊的；3)存在不熟悉的網(wǎng)絡(luò)節(jié)點(diǎn)，可對(duì)傳感器、執(zhí)行器、控制器等進(jìn)行非法訪問，并攜帶有惡意代碼；4）網(wǎng)絡(luò)節(jié)點(diǎn)突發(fā)性脫機(jī)，可遭受網(wǎng)絡(luò)風(fēng)暴、拒絕服務(wù)或控制命令等多種危險(xiǎn)。針對(duì)這一問題，本論文提出了一種新的基于CAN總線的IDS系統(tǒng)：圖2工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)總體架構(gòu)CPU的硬件指令體系支持X86,ARM,MPS，以及本土化的芯片指令.在此基礎(chǔ)上，將整個(gè)系統(tǒng)劃分為三大部分：Linux內(nèi)核，控制平面，數(shù)據(jù)平面；Linux核心對(duì)總線接口進(jìn)行管理，內(nèi)存管理，進(jìn)程管理，任務(wù)切換等。控制面則是對(duì)整個(gè)系統(tǒng)進(jìn)行全面的管理，并對(duì)其進(jìn)行相應(yīng)的策略分配；數(shù)據(jù)平面主要用于分析工業(yè)現(xiàn)場(chǎng)總線上的通訊流量，檢測(cè)安全威脅。該技術(shù)主要應(yīng)用于工業(yè)現(xiàn)場(chǎng)總線上的通信流分析，安全威脅檢測(cè)等方面。在工業(yè)現(xiàn)場(chǎng)總線上通訊量很小的情況下，為盡量降低對(duì)硬件的占用，在Linux內(nèi)核和數(shù)據(jù)面的內(nèi)部通訊中，使用了共享存儲(chǔ)技術(shù)。2.2身份認(rèn)證與訪問控制不同的認(rèn)證身份有不同的認(rèn)證方法。例如，5GAKA和EAPAKA等鑒權(quán)技術(shù)被用于移動(dòng)網(wǎng)絡(luò)接入網(wǎng)絡(luò)；在Ethernet中采用802.1x之類的鑒權(quán)技術(shù)；而在應(yīng)用層面，則有各種不同的認(rèn)證方法，比如GBA,AKMA等；其中，密碼鑒權(quán)、X.590鑒權(quán)、域鑒權(quán)等已被廣泛應(yīng)用于物聯(lián)網(wǎng)平臺(tái)。針對(duì)工業(yè)現(xiàn)場(chǎng)網(wǎng)絡(luò)設(shè)備，尚無成熟的認(rèn)證技術(shù)與體系。本論文所設(shè)計(jì)的身份驗(yàn)證模塊，主要是針對(duì)假冒的總線網(wǎng)絡(luò)節(jié)點(diǎn)以及不熟悉的總線網(wǎng)絡(luò)節(jié)點(diǎn)的訪問驗(yàn)證問題：當(dāng)有新的網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備被發(fā)現(xiàn)時(shí)，會(huì)向異常流量檢測(cè)和網(wǎng)絡(luò)入侵檢測(cè)模塊發(fā)出提示，并且向此節(jié)點(diǎn)設(shè)備發(fā)出警報(bào)，若出現(xiàn)異?；蚴艿焦?，則停止與其它節(jié)點(diǎn)的通訊。2.3異常流量檢測(cè)異常流量探測(cè)技術(shù)是針對(duì)網(wǎng)絡(luò)風(fēng)暴、拒絕服務(wù)攻擊等可能造成的網(wǎng)絡(luò)業(yè)務(wù)急劇增加或急劇減少，以及網(wǎng)絡(luò)節(jié)點(diǎn)突然脫線等異?，F(xiàn)象的有效手段。在此基礎(chǔ)上，將業(yè)務(wù)流量統(tǒng)計(jì)與異常判定、設(shè)備業(yè)務(wù)量吞吐量統(tǒng)計(jì)、設(shè)備業(yè)務(wù)量率統(tǒng)計(jì)三個(gè)子模塊進(jìn)行了研究?；谠O(shè)備元數(shù)據(jù)信息庫中的設(shè)備網(wǎng)絡(luò)互動(dòng)行為元數(shù)據(jù)表中的資料，對(duì)設(shè)備流量吞吐量統(tǒng)計(jì)和設(shè)備流量率統(tǒng)計(jì)兩個(gè)模塊進(jìn)行了統(tǒng)計(jì)分析。在此基礎(chǔ)上，通過業(yè)務(wù)統(tǒng)計(jì)分析和異常判定模塊，對(duì)發(fā)生了異常情況的情況進(jìn)行判定，并將其存儲(chǔ)在設(shè)備元數(shù)據(jù)中的與設(shè)備有關(guān)的安全事件列表中。工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)具有線型（總線、菊花鏈）、樹形和星形三種網(wǎng)絡(luò)結(jié)構(gòu)，可有效防范工控設(shè)備對(duì)PLC等工控設(shè)備的入侵，也可防范不同總線網(wǎng)絡(luò)間的入侵及威脅的蔓延。3、結(jié)語工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)在保障工業(yè)控制系統(tǒng)安全方面發(fā)揮著至關(guān)重要的作用。隨著工業(yè)自動(dòng)化和信息化的深度融合，工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)的規(guī)模和復(fù)雜性不斷增加，這也為網(wǎng)絡(luò)安全帶來了新的挑戰(zhàn)。因此，加強(qiáng)工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)的研究與應(yīng)用，不斷提高系統(tǒng)的檢測(cè)能力、響應(yīng)速度和防御效果，對(duì)于確保工業(yè)生產(chǎn)的穩(wěn)定運(yùn)行和國(guó)家安全具有重要意義。通過不斷優(yōu)化和升級(jí)工業(yè)現(xiàn)場(chǎng)總線網(wǎng)絡(luò)入侵防御系統(tǒng)，我們可以更好地保護(hù)工業(yè)控制系統(tǒng)免受網(wǎng)絡(luò)攻擊的威脅，為工業(yè)4.0和智能