2021工控设备入侵监测

工控设备入侵监测

2021研究思路工控架构模块组件通信协议架构里的缺陷以协议研究为出发点网络空间里暴露了什么如何入侵进一步思考工控架构模块组件大组件SCADAHMIPLCRTU...小组件操作系统：Win/VxWorks/QNX/Linux/...服务：Web/Telnet/OPC/...通信协议应用于这些设备或标准的通信协议Ethernet/IPModbusIEC61850-8-1(MMS)IEC61870-5-101/104SiemensS7的102端口ProfiNETDNP3TridiumNiagaraFox...纸老虎架构里的缺陷未经真正安全考验的组件与协议如果有Web服务，那就有Web服务该有的缺陷经典渗透技巧大多适用于工控网络稳定性优先+懒→升级难互联网的便利性，让工控组件暴露在网络空间里以协议研究为出发点Ethernet/IPPort:44818应用层的CIP协议可以抓到设备相关信息Nmap:enip-enumerate.nsePython:/paperwork/pyenipWiresharkdissectorsrc/epan/dissector/packet-etherip.cEthernet/IPZoomEye搜索：探测日期：2014/11/11搜索语法：port:44818全球总数：3168ModbusPort:502抓取设备相关信息Nmap:modicon-info.nseWiresharkdissectorsrc/epan/dissector/packet-mbtcp.c认证与加密缺失ModbusZoomEye搜索：探测日期：2014/11/12搜索语法：port:502全球总数：1054IEC61870-5-101/104Port:2404判断是否使用该协议Nmap:iec-identify.nseWiresharkdissectorsrc/epan/dissectors/packet-iec104.c认证与加密缺失IEC61870-5-101/104ZoomEye搜索：探测日期：2014/11/12搜索语法：port:2404全球总数：277SiemensS7Port:102抓取设备相关信息Nmap:s7-enumerate_.nse/blog/wp-content/uploads/2014/11/s7-enumerate.nse_.txtWiresharkplugins/projects/s7commwireshark/弱加密，易破解SiemensS7ZoomEye搜索：探测日期：2014/11/13搜索语法：port:102app:"SiemensS7PLC"全球总数：1126TridiumNiagaraFoxPort:1911抓取设备相关信息Nmap:fox-info.nseTridiumNiagaraFoxZoomEye搜索：探测日期：2014/11/18搜索语法：port:1911全球总数：11531如何入侵当剖析完工控架构后，入侵其实没什么特别之处唯一要说的特别就是：有可能更容易……案例一：SiemensS7PLC以SiemensS7PLC为例S7PLC自带嵌入式Web服务上位IPS7PLCWeb上可以发现连接本PLC102端口的上位IP：140.206.***.***也开通了Web服务污水处理系统S7PLCC段对S7PLC的C段进行探测发现：海康威视DVR监控、Modbus子站等海康威视DVR监控直接连接PLC案例二：SchneiderPLCModbus协议直接连接进一步思考......又是Web安全很多工控沦陷是从Web开始……应用层的HTTP协议是最Human的协议Web服务杂乱充斥在工控架构中几乎