[发明专利]一种基于自学习规则的Modbus通信访问控制方法

说明书

技术领域

本发明涉及一种针对Modbus通信的访问控制方法，其可检测和防范Modbus主站向Modbus从站发起的异常请求，属于工业控制网络安全领域。

背景技术

随着信息化与工业化进程的不断交叉融合，信息网络技术在工业控制系统中得到了普及应用，然而现有的工业控制系统大多未考虑网络安全因素，同时关于工业控制系统后门、漏洞及攻击隐患等方面的信息开始爆发性的传播，导致工业控制系统的信息及网络安全攻击更为容易实施，工业控制系统信息安全问题日益严峻。

访问控制技术是一种实现在不同网络或网络安全域之间的安全保障方法，它能增强内部网络的安全性，确定哪些内部服务允许外部访问，以及允许哪些外部请求可以访问内部服务。访问控制通过审查经过的每一个数据包，判断它是否有匹配的访问控制规则，根据规则的先后顺序进行一一比较，直到满足其中的一条规则为止，然后依据规则做出相应的处理。如果都不满足，则采用默认的处理操作，从而保护网络的安全。目前的访问控制包括两种方式：一种是黑名单方式，即阻拦传输流通行；另一种是白名单方式，即允许传输流通过。

Netfilter/iptables是Linux下基于数据包过滤的访问控制方法，它在网络层位置就可以直接检查单一数据包所承载的数据内容。Netfilter/iptables在网络层截获网络数据包，根据访问控制的规则表，检测网络攻击行为。数据包过滤是指在网络层对数据包进行分析、选择，通过检查数据流中每一个数据包的源IP地址、目的IP地址、源端口号、目的端口号、协议类型等因素或它们的组合来确定是否允许该数据包通过。

然而，在工业控制系统中，Modbus协议是一种应用层协议，现有基于Netfilter/iptables的访问控制方法只能完成数据包的网络层及传输层关键字段的匹配，缺少针对Modbus协议的数据包深度解析技术，无法实现对Modbus应用数据的深度解析与检测。同时，现有的访问控制规则仅仅是以手动方式输入，无法根据网络中捕获的通信数据自动生成访问控制规则。

发明内容

有鉴于此，本发明的目的是提供一种基于自学习规则的Modbus通信访问控制方法，结合“纵深防御”的思想，解决工业控制系统脆弱性和安全防护问题，保障工业控制系统的安全运行。

本发明的进一步目的是提供一种基于自学习规则的Modbus通信访问控制方法，针对工业控制系统中广泛使用的Modbus通信协议，完成应用协议的深度解析，实现对Modbus主站与Modbus从站之间进行访问控制，检测与阻止异常的入侵行为。并且提供自学习规则功能，根据Modbus主站与Modbus从站之间的通信数据，自动生成Modbus访问控制规则，符合Modbus通信协议，提高规则输入的效率。

本发明为实现上述目的所采用的技术方案是：一种基于自学习规则的Modbus通信访问控制方法，包括以下步骤：

步骤一：根据Modbus主站与Modbus从站具体通信情况，设置白名单或黑名单的Modbus访问控制规则；

步骤二：利用Netfilter/iptables捕获Modbus主站与Modbus从站之间通信的数据包；

步骤三：将获得的关键字段信息与设置的Modbus访问控制规则进行匹配，执行相应的控制处理操作；

步骤四：捕获下一个数据包，重新执行步骤二和步骤三。

所述白名单或黑名单的Modbus访问控制规则包括，源IP地址——Modbus主站的IP地址、目的IP地址——Modbus从站的IP地址，目的端口号——Modbus协议端口号502、功能码——Modbus主站对Modbus从站的访问操作、起始地址——Modbus主站访问Modbus从站的起始地址、地址数——Modbus主站从起始地址访问Modbus从站的地址数量、控制处理操作——允许或不允许Modbus主站访问Modbus从站。

所述访问控制规则具备自学习规则功能，执行如下步骤：

设置自学习规则功能的自学习时间和自学习门限，自学习时间设置范围为0～72小时，自学习门限为0～10000；

启动自学习规则功能，开始捕获Modbus主站与Modbus从站之间的通信数据包，从通信数据包中解析出源IP地址、目的IP地址、目的端口号、功能码、起始地址、地址数信息，存储至关键参数数据库，此条信息的计数器置1；