3、工控网络协议安全：Modbus/TCP、PROFINET、EtherNet/IP等协议的安全缺陷与攻击面
各位同行，咱们今天聊聊工控网络协议的安全问题。说实话，这是我最头疼的一块，也是我踩坑最多的地方。
工控网络协议，说白了就是工业设备之间沟通的“语言”。但问题是，这些语言在设计之初，压根就没考虑过有人会搞破坏。我经常跟团队说：这些协议是“裸奔”的。你想想看，一个没有身份认证、没有加密、没有完整性校验的协议，在今天的网络环境下，简直就是敞开了大门让人进。
3.1 Modbus/TCP：最经典的“裸奔”协议
Modbus/TCP 是我最早接触的工控协议。1979年就诞生了，那时候互联网还没影呢。它的设计目标就是简单、可靠，根本没考虑安全。
核心缺陷：
- 无认证机制：任何设备只要知道IP和端口，就能直接读写寄存器。我遇到过客户现场，一个实习生用ModScan工具随便扫了一下，就把PLC的启停位给改了，生产线直接停了半小时。
- 明文传输：所有数据都是明文的，抓包就能看到。功能码、寄存器地址、数据值，一览无余。
- 功能码滥用：比如功能码0x10（写多个寄存器），攻击者可以一次性修改大量参数。
我记得有一次做渗透测试，目标是一个水处理厂。我用Wireshark抓了5分钟的包，就找到了所有关键参数。然后我用Python写了个脚本，直接修改了加药泵的频率。嗯，整个过程不到10分钟。客户看完演示，脸都绿了。
攻击面分析：
- 扫描发现：Modbus/TCP默认端口502，用Nmap一扫一个准。
- 寄存器篡改：直接写线圈或保持寄存器，可以导致设备误动作。
- 从站拒绝服务：发送大量异常请求，让从站CPU过载。
- 中间人攻击：在网关或交换机上做ARP欺骗，截获并篡改报文。
3.2 PROFINET：实时性背后的安全代价
PROFINET 是西门子的看家协议，主打实时性。但说实话，为了追求那几微秒的确定性，安全方面做了不少妥协。
PROFINET 的实时通道（RT/IRT）是直接绕过TCP/IP栈的。这意味着什么？意味着传统的防火墙、IDS根本看不到这些流量。我见过很多工厂，PROFINET网络和办公网物理隔离，但工程师为了方便调试，偷偷拉了一根网线连到办公网。结果呢？WannaCry爆发的时候，整个产线瘫痪了三天。
我个人习惯： 在PROFINET网络中，一定要启用DCP（发现和基本配置协议）的锁定功能。否则，攻击者可以轻易修改设备名称和IP地址，造成网络混乱。
关键安全缺陷：
- 无认证的实时数据：RT帧没有签名，攻击者可以伪造。
- LLDP/CDP信息泄露：邻居发现协议会暴露网络拓扑。
- PROFIsafe安全协议：虽然PROFIsafe有安全等级，但底层通信仍然是明文。
我曾经帮一个汽车厂排查故障。他们的机器人总是莫名其妙地急停。查了三天，最后发现是有人在车间里用手机连了Wi-Fi，然后运行了一个PROFINET扫描工具。虽然他不是恶意的，但工具发出的探测帧被机器人误认为是安全指令，直接触发了急停。你说冤不冤？
3.3 EtherNet/IP：CIP协议的暗面
EtherNet/IP 基于CIP（通用工业协议），在罗克韦尔（AB）的设备上用得最多。它的特点是面向对象，但这也带来了新的攻击面。
核心问题：
- 未加密的CIP连接：建立连接时没有握手验证。
- 隐式/显式消息滥用：隐式消息用于实时I/O，显式消息用于配置。攻击者可以混用这两种消息。
- 对象库攻击：CIP定义了大量的对象（如连接对象、参数对象），攻击者可以枚举并操作这些对象。
| 攻击类型 | 具体手法 | 后果 |
|---|---|---|
| CIP扫描 | 发送ListIdentity请求 | 暴露所有设备信息 |
| 连接劫持 | 伪造ForwardOpen请求 | 接管控制权 |
| 属性篡改 | SetAttributeSingle指令 | 修改设备参数 |
避坑指南： 我曾经遇到过一家制药厂，他们的EtherNet/IP网络里混入了第三方设备。那个设备不停地发送CIP广播包，导致PLC的CPU占用率飙升到95%。最后排查发现，是某个供应商的传感器固件有bug，会无限重传CIP报文。所以，一定要对入网设备做协议合规性检查。
3.4 其他协议的安全隐患
除了上面三个大头，还有一些协议也值得关注：
- DNP3：电力行业常用，虽然有安全扩展（Secure Authentication），但很多老站没启用。
- IEC 61850：变电站自动化协议，GOOSE报文是组播的，没有加密。我记得有个项目，测试人员误发了GOOSE报文，导致全站断路器跳闸。
- OPC UA：虽然OPC UA有安全模型（加密、签名、认证），但很多实施者为了省事，直接用了“None”安全模式。我见过最离谱的，OPC UA服务器连用户名密码都没设。
3.5 我的防护建议
说了这么多问题，总得给点解决方案。我个人总结了几个要点：
- 网络分段：把工控网络和办公网彻底隔开。别信什么“物理隔离”，用防火墙+VLAN才是正道。
- 协议白名单：只允许必要的协议通过。比如Modbus/TCP只开放502端口，其他全封。
- 深度包检测：用专业的工控防火墙，能解析协议内容。比如检测Modbus功能码是否合法，PROFINET的DCP请求是否来自授权设备。
- 设备加固：关闭不必要的服务，比如Web服务器、FTP、Telnet。我见过很多PLC默认开了Telnet，密码还是admin/admin。
- 日志审计：记录所有协议通信。一旦出事，能追溯。
一个小技巧： 对于Modbus/TCP，可以在PLC里做“寄存器写保护”。把关键参数（比如电机转速、阀门开度）的写入权限绑定到特定的源IP。虽然不能完全防住，但能挡住大部分脚本小子。
最后说一句：工控协议的安全，不是靠某一个产品就能解决的。它需要从网络架构、设备配置、运维管理多个层面入手。别指望买个防火墙就万事大吉了。我见过太多客户，买了最贵的设备，结果配置得一塌糊涂，该漏的还是漏。
嗯，今天就聊到这儿。下一章咱们讲讲工控防火墙的部署策略，那又是另一个故事了。