[发明专利]用于工业防火墙的Modbus TCP协议防护方法

说明书

本发明公开了一种用于工业防火墙的Modbus TCP协议防护方法，属于工控网络安全技术领域，包括步骤：S1，下发规则到防火墙引擎；S2，防火墙系统进行预过滤，把需要进行深度检测的报文送到防火墙引擎做深度检测处理；S3，防火墙引擎对收到的报文按照Modbus TCP协议规定的格式来进行深度解析，提取报文中携带的功能码、起始地址和值；S4，将步骤S3中提取的功能码、起始地址和值，按照预先设定格式发送给中间件，完成规则学习；S5，匹配功能码、起始地址和值，对规则匹配成功的报文根据规则配置相应动作；未匹配成功的报文，根据设定的规则进行处理。本发明提高了引擎性能及系统安全性。

技术领域

本发明涉及工控网络安全技术领域，更为具体的，涉及一种用于工业防火墙的Modbus TCP协议防护方法。

背景技术

随着信息化和工业化深度融合的快速发展，工业互联网已成为一个新的热点，工业防火墙已成为工业互联网安全中的重要一环。Modbus TCP协议作为常用的工业协议，对Modbus TCP协议进行过滤控制已经成为工控防火墙必不可少的功能。Modbus TCP使用TCP/IP和以太网在站点间传送Modbus报文，Modbus TCP结合了以太网物理网络和网络标准TCP/IP以及以Modbus作为应用协议标准的数据表示方法。由于Modbus TCP缺少加密流程，在整个传输过程中是以明文传输，尤其容易受到攻击或篡改，从而引发严重事故。

发明内容

本发明的目的在于克服现有技术的不足，提供一种用于工业防火墙的Modbus TCP协议防护方法，支持传统防火墙的状态过滤和包过滤，并通过对五元组等信息的预过滤，结合Modbus TCP深度解析，对功能码、起始地址、相关值大小以及范围等提供更为精细的控制，大大提高了防火墙引擎性能及系统安全性。

本发明的目的是通过以下方案实现的：

一种用于工业防火墙的Modbus TCP协议防护方法，包括步骤：

S1，下发规则到防火墙引擎；

S2，包过滤：防火墙系统进行预过滤，把需要进行深度检测的报文送到防火墙引擎做深度检测处理；

S3，应用层分析：防火墙引擎对收到的报文按照Modbus TCP协议规定的格式来进行深度解析，提取报文中携带的功能码、起始地址和值；

S4，规则学习：将步骤S3中提取的功能码、起始地址和值，按照预先设定格式发送给中间件，完成规则学习；

S5，规则匹配：匹配功能码、起始地址和值，对规则匹配成功的报文根据规则配置相应动作；未匹配成功的报文，根据设定的规则进行处理。

进一步地，在步骤S5中，对未匹配成功的报文，所述设定的规则包括通知内核协议栈转发或者丢弃报文。

进一步地，在步骤S1中，所述下发规则包括下发手写规则或下发学习规则；

所述下发手写规则包括子步骤：由用户配置Modbus TCP协议，包括配置：协议名称、端口号、传输层协议、功能码、起始地址、值的大小范围、配置源目的IP和事件日志记录以及报文处理方式，完成手写规则的下发；所述下发学习规则包括子步骤：防火墙工作在全通模式下打开深度检测开关，设置学习时间，然后打开学习开关，等待学习完成后，根据需求调整学习到的规则，手动调整Modbus TCP功能码、起始地址、值的大小范围后，再下发给防火墙引擎。

进一步地，在步骤S2中，所述预过滤包括子步骤：内核空间对源IP地址、目的IP地址、源MAC地址、目的MAC地址、源端口、目的端口、协议、时间进行过滤，只把需要进行深度检测的报文送到用户空间的防火墙引擎。

进一步地，在步骤S2中，包括子步骤：将防火墙系统设置为默认丢弃所有报文，对需要通过的报文，需要手动配置规则放行。