工业控制系统安全防护 课件全套 第1-7章工业控制系统及其安全-工业控制安全企业实践

工业控制系统及其安全ICSSecurity&Protection工业控制系统概述工业控制系统安全概述0102工业控制系统安全标准全球重大工业控制系统安全事件0405目录CONTENT工业控制系统安全体系架构0301工业控制系统概述ICSSecurity&ProtectionSCADA系统SCADA全称是SupervisoryControlAndDataAcquisition，即数据采集与监视控制系统，简单来说就是管理监控系统对控制部分（比如PLC，RTU）的数据采集与监控管理。SCADA主要应用于电力、石油、化工、燃气等领域的数据采集与监视控制以及过程控制等领域。工业控制系统组成-SCADA系统01SCADA组成工业控制系统组成-SCADA系统SCADA系统一般由下位机、上位机和通信网络组成。上位机一般由电脑和服务器组成，通常具有友好的人机界面，其主要作用是从下位机获取数据，进行远程监视和控制，报警等等。典型的上位机有HMI、计算机主机等。下位机一般是连接和控制现场设备，其主要作用是对输入设备（比如DI、AI）进行数据采集，对输出设备（比如DO、AO）进行控制。典型的下位机包括RTU、PLC、智能仪表等。通信网络实现上位机、下位机之间数据通讯与交互。典型的工业通信协议有Modbus，Profinet等。工业控制系统组成-SCADA系统SCADA系统，主要有集中式、分布式和网络式三种架构。集中式SCADA系统，是最早期的SCADA系统，所有监控依赖一台主机，使用的通信协议由RTU设备供应商开发并提供，协议简单且非常局限，不具开放性，系统维护困难。集中式SCADA系统工业控制系统组成-SCADA系统分布式SCADA系统利用了局域网技术，将SCADA系统功能分散到多台计算机和工作站上。在分布式SCADA系统中，每个站点通常只需要处理特定的工作，比如，操作站为用户提供操作界面；比如，分布式站为RTU等现场设备提供通信服务；再比如，服务器站为系统提供数据计算或数据库服务。这种分布式的结构与单个处理器相比，数据处理能力更强，效率更高，而且还可以提高整个系统的可靠性。分布式SCADA系统工业控制系统组成-SCADA系统网络式SCADA系统主要使用广域网协议（WAN）来实现SCADA功能的分发，具备统一开放的系统架构，可以很容易地跟自动化信息化系统集成。网络式SCADA系统主要有C/S模式（客户端/服务器）和B/S模式（浏览器/服务器）。在C/S模式下客户机需要安装客户端软件，通过“请求-响应”的方式进行通信。B/S模式是对C/S模式的一种改进，它将服务端的功能转移到Web服务器上，客户端通过浏览器就能访问，避免了客户端软件的安装。网络式SCADA系统工业控制系统组成-SCADA系统SCADA系统广泛应用于电力、轨道交通、能源等传统领域。在电力系统中，SCADA系统对关键设备进行实时监控和控制。调度人员可以通过SCADA掌握电网实时状态，能及时处理隐患，确保电网安全高效运行。在轨道交通领域，SCADA系统用于交通信号灯控制等方面。通过实时监控和数据分析，可优化信号配时，提高通行能力，减少拥堵和事故。除了电力和交通领域，SCADA系统还广泛应用于石油、天然气等能源行业。在石油天然气管道行业，SCADA系统采集、分析运行数据，监测相关参数，及时发现异常并报警，提高管道的安全性和运行效率。此外，SCADA系统在工业制造、公共管理（供水、供电、供气、城市照明等）等领域中也发挥着重要的作用。SCADA系统应用02DCS系统DCS全称DistributedControlSystem，即分布式控制系统，在国内又称为集散控制系统。DCS是在集中式控制系统的基础上发展而来，是一种多个控制器互相协调工作，实现系统自动化控制的技术方案，其思想是分散控制、集中操作、分级管理、配置灵活以及组态方便。DCS主要用于监控和控制大型工业过程，如化工、制药、食品、电力等行业。工业控制系统组成-DCS系统DCS组成DCS系统主要由硬件、软件以及一些辅助系统组成。硬件部分一般由工程师站、操作员站、现场控制站、系统网络组成。软件部分主要包括组态软件、操作软件、数据库软件、通信软件、监控和安全软件。DCS辅助系统主要用于提供一些辅助功能，包括电源系统、网络系统、接地系统等。工业控制系统组成-DCS系统DCS特点‌高可靠性‌：‌DCS采用容错设计，将控制功能分散在各台计算机上，当某一台计算机出现故障时，不会导致系统其他功能的丧失。此外还对核心组件以及电源和通信线路等进行冗余保护，确保生产过程不会因某台设备故障而中断。开放性：DCS采用开放式、标准化、模块化的设计理念，通过网络连接各计算机，可以方便地增加或移除计算机而不影响系统正常运行。‌灵活性‌：通过组态软件根据不同的需求进行软硬件组态，能方便地构建控制系统。易维护性：功能单一的计算机具有维护方便简单的特点，如果出现故障可以方便地从系统里移除，这也是开放性的一种体现。协调性‌：各工作站利用通信网络传输数据，共享和协调整个系统的信息。控制功能全‌：控制算法丰富，集连续控制、顺序控制和批处理控制于一体，可实现串级、前馈、解耦、自适应和预测控制等控制方式。工业控制系统组成-DCS系统DCS应用‌DCS在自动化系统以及远程监控领域应用广泛，比如冶金、电力、化工、汽车制造、交通监控、环境监测等等。通过DCS，可以实现对生产过程各种设备状态的监控，以及参数的调整，提高了系统的稳定性，保证了生产过程的高效性和安全性。工业控制系统组成-DCS系统03PLC系统PLC全称是ProgrammableLogicController，即可编程逻辑控制器，是一种具有微处理器的用于自动化控制的数字运算控制器。它采用可编程的存储器，用于存储执行逻辑运算、顺序控制、定时、计数和算术运算等操作的指令，并通过数字或模拟式输入/输出控制各种类型的机械或生产过程。PLC具有可靠性高、抗干扰能力强、编程简单、易于维护等特点。它广泛应用于制造业、自动化生产线、电力、交通等领域，以实现对生产过程的自动化控制。工业控制系统组成-PLCPLC组成‌电源‌：将交流电转换为直流电，给PLC内部供电。中央处理单元（CPU）‌：PLC的控制中枢，也是PLC的核心部件，其作用是负责处理和运行用户程序，进行逻辑和数学运算。‌存储器‌：存放系统程序、用户程序、逻辑变量等信息。其中系统程序存储在只读存储器ROM中，用户不能访问。输入单元：PLC与被控设备相连的输入接口，其作用是接收主令元件、检测元件传来的信号。输出单元：PLC与被控设备相连的输出接口，其作用是把PLC的输出信号传送给被控设备。工业控制系统组成-PLCPLC分类‌PLC按组成结构分，基本可以分为两大类：整体式和模块式。‌整体式PLC‌，是将电源、CPU、输入/输出接口等部件集中在一个机箱内，结构紧凑，适用于小型PLC。‌模块式PLC‌，是将PLC各个部分分别做成独立的模块，比如CPU模块、I/O模块、电源模块等，适用于大、中型PLC，便于拆卸，扩展和替换。PLC按控制规模分，可以分成微型机，小型机，中型机，大型机和巨型机。I/O点数在64点以下为微型机，I/O点数在65-128点为小型机，I/O点数在129-512点为中型机，I/O点数在513-896点为大型机，超过896点的为巨型机。工业控制系统组成-PLCPLC工作方式‌PLC通常采用循环扫描工作方式，工作过程一般分为输入采样、用户程序执行和输出刷新三个阶段。用户将程序写入PLC存储器，并连接好输入输出信号。在输入采样阶段，PLC会读取所有输入状态和数据，并将它们保存在I/O映象区中的相应的输入单元内。在用户程序执行阶段，PLC会读取用户的程序和I/O映象区中输入单元的值，并执行用户程序，将运算结果存在I/O映象区中相应的输出单元内。在输出刷新阶段，PLC会把I/O映象区中相应的输出单元的状态和数据输出到锁存电路，再经输出电路驱动被控制设备。工业控制系统组成-PLCPLC应用PLC在工业自动化、能源、交通、楼宇自动化、汽车制造、电力、化工等领域都有着广泛的应用。在工业自动化领域，它可精准控制制造业的各类生产设备，提升生产效率和产品质量。能源行业中，用于电力、石油天然气及新能源领域，保障能源生产和输送安全稳定。在交通领域，涵盖轨道交通和公路交通的信号、设备控制。在建筑领域，实现楼宇自动化及消防系统控制。此外，PLC在水处理、农业等领域也大显身手，提高了资源利用效率。PLC为各行业的智能化、自动化发展提供有力支持。工业控制系统组成-PLC04RTU系统RTU全称RemoteTerminalUnit，即远程终端单元，是一种针对通信距离较长或者工业现场环境恶劣而设计的具有模块化结构的计算机测控单元。其主要功能包括对现场信号进行采集，将采集到的数据进行处理和存储，通过网络将数据传输到远程调控中心的主计算机。它能够接收并按照主计算机的操作指令执行相关操作。RTU具有可靠性高、可适应恶劣环境和可独立运行等特点。广泛应用于石油天然气、电力、水利、交通等行业，实现对远程站点的监控和控制。工业控制系统组成-RTURTU组成与PLC类似，RTU的硬件结构也基本与计算机相同。其组成如下。处理器：是RTU的核心部件，负责数据的处理和控制。通常采用高性能的微处理器或微控制器，具有较高的运算速度和处理能力。存储器：包括随机存储器（RAM）和只读存储器（ROM）。RAM用于存储临时数据和程序运行时的数据，ROM则用于存储固化的程序和参数。通信接口：用于与远程监控中心或其他设备进行通信。常见的通信接口有RS-232、RS-485、以太网等。输入/输出接口：包括模拟量输入接口、数字量输入接口、模拟量输出接口和数字量输出接口。用于连接各种传感器和执行器，实现对现场信号的采集和控制。电源模块：为RTU提供稳定的电源供应。通常采用直流电源或交流电源，具有过压、过流保护等功能。工业控制系统组成-RTURTU特点通讯距离长‌：适用于需要远距离通信的场景。‌环境适应性‌：能够在恶劣的温度和湿度环境下稳定工作，工作环境温度可以达到零下40℃到85℃。‌模块化结构‌：便于扩展和维护，可以根据不同需求选择不同的模块组合。现代RTU通常以微型计算机为核心，具有多输入输出通道，能处理大量数据，有执行复杂任务的能力，其功能和性能相比早期的RTU都有显著的提升。工业控制系统组成-RTURTU应用与PLC类似，RTU在石油、水利、电力、交通等领域也有着广泛的应用。在石油和天然气行业，RTU实时采集生产参数并远程控制设备，保障设备安全高效运行。在电力行业中，RTU用于变电站等场所监测电气参数和控制开关设备。在水利领域，RTU可采集数据并控制水利设施，实现自动化调度。在交通行业，RTU能监测流量路况，控制交通设备以优化交通运行状况。在环境监测领域，RTU可以安装在监测站点采集环境参数，为环保决策提供依据，助力实现实时监测与污染治理。工业控制系统组成-RTU现场设备层由传感器、执行器和现场仪表组成，负责采集物理量并转换为信号，传输给控制系统。传感器如温度传感器、压力传感器等，能够实时监测工业生产过程中的各种参数，为控制决策提供依据。执行器如电动阀门、电机等，根据控制系统的指令对生产过程进行调节和控制，确保生产过程的稳定运行。现场设备层控制层由PLC、DCS等控制设备组成，接收信号并输出控制指令，实现对生产过程的控制。PLC和DCS等控制设备具备强大的数据处理能力和逻辑运算能力，能够快速响应生产过程中的各种变化。控制层设备通过工业网络与监控层和现场设备层进行通信，实现信息的实时传递和交互。监控层监控层由监控计算机和HMI组成，负责实时监控和数据采集，显示生产参数并接收操作指令。监控计算机安装有专业的监控软件，能够以图形化界面展示生产过程的实时数据和设备状态。HMI设备提供直观的操作界面，方便操作人员进行参数设置和设备控制，提高生产管理的便捷性。管理层工业控制系统层次体系控制层管理层是工业控制系统的最高层，主要由企业资源计划（ERP）系统、制造执行系统（MES）等管理软件组成。ERP系统是一种企业资源管理软件，它可以对企业的财务、采购、销售、生产等各个环节进行管理和控制。MES系统是一种制造执行系统，它可以对企业的生产过程进行管理和控制。工业控制系统层次体系02工业控制系统安全概述ICSSecurity&Protection工控系统是工业生产的大脑与神经中枢，调控着从原材料输入到成品输出的整个生产流程，其高效协调与精密控制对工业生产至关重要。工控系统作用工控系统受攻击或故障后果严重，一般行业会遭受巨大经济损失，涉及国计民生行业则会威胁国家经济稳定和社会安全，了解安全问题和现状对提升安全性、保障生产意义重大。安全问题影响0102工控系统重要性黑客因经济利益、政治目的或技术挑战攻击工控系统，通过系统漏洞入侵获取敏感信息、篡改数据或破坏设备，如攻击能源行业系统致供应中断，影响国家经济和社会稳定。黑客攻击动机01病毒、蠕虫、木马等恶意软件可通过网络连接、移动存储设备进入工控系统，窃取数据、破坏功能或控制设备，如Stuxnet病毒攻击伊朗核设施，威胁巨大。恶意软件入侵02安全问题-网络攻击威胁许多工控系统使用老旧操作系统，存在已知安全漏洞，因兼容性、生产连续性等原因难以更新，黑客可利用漏洞入侵获控制权，如WindowsXP在部分工控系统中仍使用，存在安全隐患。0102工控系统应用软件和常见通信协议如Modbus、DNP3等存在安全漏洞，可被攻击者利用非法访问和控制，破坏通信和控制功能，误导设备执行错误操作。老旧系统漏洞软件与协议漏洞安全问题-系统漏洞风险自然灾害、人为破坏或设备老化会导致工控系统硬件损坏，如传感器、控制器、服务器等，影响生产正常运行，且物理访问控制不足，易被未授权人员破坏或窃取信息。硬件损坏风险安全问题-物理安全风险工控系统设备和软件在生产、运输、存储等环节存在安全风险，供应商可能植入恶意软件或后门，软件开发商可能引入安全漏洞或被渗透植入恶意代码，安装到系统中带来安全隐患。设备和软件风险安全问题-物理安全风险企业管理层对工控系统安全问题重视不够，未将安全纳入战略规划和日常管理，导致安全投入不足、管理制度不完善，使工控系统面临较大安全风险。管理层重视不足01工控系统操作人员和维护人员缺乏安全意识和技能培训，违规接入设备、非法外联，使网络边界模糊，增加被攻击风险，且企业内部网络隔离措施不足，易致攻击蔓延。员工安全意识缺失02安全问题-企业和员工安全意识淡薄03工业控制系统安全体系架构ICSSecurity&Protection对关键设备进行物理防护，放置在安全机房，采用门禁系统和监控摄像头，防止未经授权的访问。机房应具备防静电、防尘、防电磁干扰等功能，确保设备在良好的环境下运行。定期对设备进行维护和检查，及时发现和修复设备故障，延长设备使用寿命。确保机房环境条件符合设备运行要求，采取防雷、防火、防水等措施，保护设备免受自然灾害和意外事故影响。机房应配备不间断电源（UPS）和备用发电机，确保在停电情况下设备能够正常运行。合理规划机房布局，确保设备之间的散热和通风，避免设备过热导致故障。设备物理防护环境安全物理安全层0102网络访问控制对网络中的设备和用户进行访问控制，采用身份认证和授权管理技术，确保网络访问的安全性。建立严格的网络访问控制策略，限制只有授权的设备和用户才能访问工业控制系统网络。采用多因素认证技术，如用户名/密码、数字证书、指纹识别等，提高身份认证的可靠性。网络隔离将工业控制系统网络与外部网络隔离，采用防火墙、网闸等设备，防止外部攻击渗透。通过网络隔离技术，限制工业控制系统与企业办公网络、互联网之间的数据交互，降低安全风险。定期对网络隔离设备进行安全检查和维护，确保其正常运行，防止因设备故障导致网络隔离失效。网络安全层操作系统安全加固对主机设备的操作系统进行加固，关闭不必要的服务和端口，安装安全补丁，提高系统安全性。定期对操作系统进行安全评估，发现潜在的安全漏洞并及时修复。采用安全配置基线对操作系统进行规范化配置，确保系统配置符合安全要求。应用程序安全确保应用程序安全可靠，进行代码审查和漏洞扫描，及时修复安全漏洞，控制应用程序的访问。对应用程序进行严格的测试和验证，确保其在工业控制系统中的稳定运行。建立应用程序的安全管理制度，对应用程序的开发、部署和维护进行全程监控。主机和设备安全层对敏感数据进行加密存储和传输，采用加密算法和密钥管理技术，防止数据泄露和篡改。在数据传输过程中，采用加密协议如SSL/TLS等，确保数据在传输过程中的保密性和完整性。对存储在数据库中的敏感数据进行加密处理，防止因数据库泄露导致数据被窃取。数据加密01定期对数据进行备份，建立数据恢复机制，确保在数据丢失或损坏时能够及时恢复。采用多种备份方式，如全备份、增量备份等，确保数据备份的完整性和可靠性。定期进行数据恢复演练，验证数据恢复机制的有效性，确保在数据丢失时能够快速恢复。数据备份与恢复02数据安全层安全策略与制度制定完善的安全策略和管理制度，明确安全责任和流程，确保其有效执行，定期进行评估和修订。安全策略应涵盖工业控制系统的所有方面，包括物理安全、网络安全、数据安全等。定期对安全策略和管理制度进行培训和宣传，提高员工的安全意识和执行力。安全培训与意识教育对用户和管理人员进行安全培训，提高安全意识和技能，定期开展安全演练，提高应对安全事件的能力。安全培训应包括网络安全、数据保护、应急响应等方面的知识和技能。通过安全演练，模拟真实的安全事件场景，提高员工的应急响应能力和协同作战能力。安全审计与监控对安全事件进行审计和监控，记录操作和访问行为，分析审计日志，及时发现和处理安全问题。建立安全审计系统，对工业控制系统中的所有操作和访问行为进行记录和分析。定期对审计日志进行审查，发现异常行为和潜在的安全威胁，及时采取措施进行处理。安全管理与审计层04工业控制系统安全标准ICSSecurity&Protection由ISA和IEC联合制定，涵盖通用管理系统、工业IT安全、工业自动化控制系统要求等，确保系统安全运行。该标准强调人员和环境的安全，以及系统的可用性、效率和生产质量。ISA/IEC62443标准为工业控制系统安全提供了全面的指导和规范，适用于全球范围内的工业控制系统。定义了工业控制系统的层次结构模型，为理解和分析系统架构及安全需求提供基础框架。该标准将工业控制系统划分为企业资源层、生产管理层、过程监控层、现场控制层和现场设备层等五个层级。IEC62264标准有助于明确不同层级的安全需求，为工业控制系统的安全设计和实施提供参考。为实施和维护信息安全管理体系提供框架，包括风险评估、安全控制实施、监测和审查等方面。ISO27001标准适用于各种规模的组织，为信息安全管理体系的建立和运行提供了详细的指导。该标准强调风险评估和持续改进，确保信息安全管理体系的有效性和适应性。提供工业控制系统安全的框架、风险评估方法和安全控制措施建议，为系统安全建设提供指导。NISTSP800-82标准结合了工业控制系统的特点，提出了针对性的安全控制措施。该标准为工业控制系统安全提供了实用的指导和建议，有助于提高系统的安全性和可靠性。ISA/IEC62443ISO27001NISTSP800-82IEC62264国际标准GB/T36324-2018规定了工业控制系统信息安全等级划分规则和方法，为信息安全等级划分、规划、设计等提供依据。该标准提出了工业控制系统信息安全四个等级的特征，包括资产重要程度、潜在风险影响程度和信息安全威胁程度。GB/T36324-2018标准适用于工业生产企业以及相关行政管理部门，为工业控制系统的安全建设和管理提供了具体指导。GB/T40813-2021明确了工业控制系统安全防护的技术要求和测试评价方法，为安全防护建设和评估提供具体指导。该标准从技术层面规范了工业控制系统的安全防护措施，包括网络安全、数据安全、设备安全等方面。GB/T40813-2021标准为工业控制系统的安全防护建设和评估提供了详细的指导和规范。《工业控制系统信息安全防护指南》为工业企业制定工控安全防护实施方案提供指导，推动工业控制系统信息安全防护工作的开展。该指南涵盖了工业控制系统安全防护的各个方面，包括安全策略、安全技术、安全管理等。《工业控制系统信息安全防护指南》是国家网络和信息安全的重要组成部分，为工业企业的安全防护工作提供了全面的指导。国内标准05全球重大工业控制系统安全事件ICSSecurity&Protection攻击者可能先通过网络渗透等手段，利用工业控制系统通信协议或软件的漏洞，获取了钢铁厂办公生产网络的访问权限。然后，进一步渗透到控制层，针对西门子S7-300系列PLC进行攻击，可能采用了类似流氓工程师软件伪装成TIA的方式，向PLC注入恶意指令。攻击方式利用通信协议漏洞：工业控制系统常用的通信协议如S7协议存在漏洞，攻击者可以利用该漏洞注入代码到组态OB1之前，使PLC在每次扫描之前都会首先执行恶意代码，还可以通过调用相关指令随时终止合法代码的运行。攻击原理2023年俄乌冲突升级推动了大规模、有组织的黑客攻击事件，工业领域威胁格局发生重大变化，能源行业被锁定为重点攻击目标，乌克兰某钢铁厂的事件就是在这一背景下发生，乌克兰某钢铁厂使用的西门子S7-300系列PLC存在安全隐患，被攻击者利用。事件经过恶意固件篡改导致轧钢产线的温度传感器数据异常，工控系统的控制组件和整个生产线被迫停止运转。由于不是正常关闭炼钢炉，给钢厂带来了严重破坏，最终钢厂被迫停产，直接经济损失超过800万美元。造成影响乌克兰钢铁厂遭受攻击2023年，乌克兰某钢铁厂因西门子S7-300系列PLC遭恶意固件篡改，导致轧钢产线温度传感器数据异常，直接经济损失超800万美元。事件背景2023年全球工业控制系统漏洞同比增长43%，工业数字化进程中OT/IT融合安全风险加剧，在此背景下，委内瑞拉的某水处理厂SCADA系统成为了网络攻击的目标。攻击方式攻击者通过某种方式在水处理厂的SCADA系统中植入了勒索软件。攻击原理Modbus协议是工业控制系统中常用的通信协议，为了提高效率，没有考虑安全认证和加密等安全机制，存在诸多安全性问题。攻击者利用Modbus协议的缺陷，能够对SCADA系统进行操作，他们锁死了水处理厂的氯气投放阀门，以此作为要挟手段。攻击后果氯气投放阀门被锁死，对水处理厂的正常运行造成了严重影响，威胁到了当地的供水安全和居民健康。为了恢复系统正常运行，市政部门被迫支付了12枚比特币赎金。委内瑞拉水处理厂遭受攻击攻击后果攻击原理攻击者使用的勒索软件被设计为仅感染Windows设备，它在IT和OT网络中都置入了商用勒索软件，对网络中的Windows设备进行数据加密。由于IT和OT网络之间没有实现强有力的隔离，勒索软件得以在两个网络中传播，加密了IT和OT网络中的数据，导致工控上层软件无法读取低层工控设备上报的实时操作数据。不过，可编程逻辑控制器（PLC）未受到影响，因为PLC通常不运行Windows系统，攻击者无法通过该勒索软件直接控制PLC。攻击方式攻击者采用了鱼叉式网络钓鱼的攻击方式，发送附有恶意链接的邮件，目标天然气管道运营商的运维人员由于安全意识不足，点击了恶意链接，使得攻击者能够访问企业的IT网络，随后又以IT网络为跳板，渗透到OT网络。此次攻击导致天然气管道运营商的压缩设施关闭了约两天时间。虽然攻击只直接影响了一个控制设备，但由于天然气传输对管道的依赖性，一个控制设备的故障连带影响了其他相关联的压缩设施，最终导致整个管道资产的操作暂停，造成了生产力和收入的损失。此外，该事件也暴露了企业在网络安全应急响应方面的不足，如缺乏考虑网络威胁的应急响应计划等。事件背景2020年前后，工业控制系统面临的网络安全威胁日益严峻，而相关企业在网络安全防护方面存在诸多不足，如IT网络和OT网络隔离措施不到位、缺乏多因素认证系统、员工安全意识薄弱等，这些都为攻击者提供了可乘之机。美国天然气管道商遭攻击事件背景攻击原理CrowdStrike是一家总部位于美国得克萨斯州奥斯汀的网络安全技术公司，其提供的云工作负载保护、端点安全等服务在全球范围内被广泛用于管理WindowsPC和服务器的安全。2024年7月，CrowdStrike对其Falcon软件进行更新，旨在增强防御新出现和不断演变的威胁的能力，但此次更新却引发了严重问题。这起事件并非传统意义上的黑客攻击，而是由于CrowdStrike的错误更新导致的。CrowdStrike的Falcon软件更新包存在配置错误，该更新包中的相关文件与Windows系统内核交互时出现问题，从而引发了系统故障。攻击方式攻击后果Falcon软件包含一个内核驱动程序，具有在Windows操作系统内核运行的特权。此次更新源于一项“管道文件”，尽管更新文件使用的是“.sys”扩展名，但它本身并不是内核驱动程序，而是与Falcon传感器中的其他组件进行通信，这些组件与Windows内核运行在同一空间中。由于代码编写错误，引发了内存读取越界，即访问未经授权或未分配的内存位置，触发了操作系统异常，导致Windows电脑出现“蓝屏”死机故障。事件波及全球20多个国家，众多行业受到影响。金融机构方面，澳大利亚当地银行Suncorp、NAB、BendigoBank和CommonwealthBank等均受到影响，伦敦证券交易所集团也遇到技术问题导致新闻无法发布。航空公司方面，美国航空、联合航空、达美航空等多家航空公司请求美国联邦航空管理局对所有航班实施全球停飞，欧洲最大的航空公司之一瑞安航空、澳大利亚墨尔本机场、香港机场管理局等也都因该故障受到影响，出现航班延误、自助值机手续无法使用等情况。此外，铁路运输、新闻媒体、医疗系统等也都受到不同程度的影响，如西日本旅客铁道公司无法提供列车行驶位置信息，英国广播公司天空新闻无法播放早间新闻简报，许多国家的医疗系统出现问题影响患者就诊等。微软蓝屏宕机事件高凤林焊接火箭发动机高凤林，中国航天科技集团公司第一研究院211厂发动机车间班组长，首席技能专家。40年来，他几乎都在做着同样一件事，即为火箭焊“心脏”——发动机喷管焊接。他在焊工职位上，几十年发扬爱岗敬业、开拓创新、精益求精的大国工匠精神，硬生生把自己打造成中国第一焊匠。他用40年的坚守，诠释了一个航天匠人对理想信念的执着追求。在火箭发动机的焊接工作中，他面临着极高的精度要求和极其恶劣的工作环境。发动机的一些部件焊接误差必须控制在极小范围内，否则将影响火箭的性能甚至发射成败。高凤林凭借着精湛的焊接技术和丰富的经验，一次次完美地完成焊接任务。他在焊接过程中不断钻研创新，改进焊接工艺，确保了我国多型火箭发动机的高质量生产。他几十年如一日坚守在焊接岗位上，用一双巧手为我国航天事业的腾飞奠定了坚实基础，是大国工匠的杰出代表。大国工匠谢谢大家ICSSecurity&Protection工业控制系统协议安全ICSSecurity&ProtectionCatalogue目录主要工业通信协议2.1.工业控制系统协议概述工业控制系统常见IT协议3.01工业控制系统协议概述ICSSecurity&Protection早期控制方式电气时代，工业自动化依赖继电器、定时器和电磁计数器，控制电机启停和阀门开关，系统复杂且难以维护。Modbus协议发展1979年，Modicon公司推出Modbus协议，成为最早现场总线协议之一，后发展出Modbus/TCP等版本。PLC的诞生1968年，迪克·莫利发明了第一台商业可编程逻辑控制器（PLC），开启了工业控制新时代。工业控制系统协议历史Modbus协议地址和命令明文传输，攻击者可轻松获取数据，增加数据被窃听和篡改风险。明文传输缺少授权机制Modbus协议无基于角色的访问控制，未经授权人员可随意操控关键设备，改变运行参数。缺少认证Modbus协议无认证机制，攻击者可拦截报文并建立通信会话，发送异常指令或篡改控制指令。信息广播Modbus网络中所有设备都接收所有消息，攻击者可通过广播实现拒绝服务攻击。缺少完整性检查Modbus协议缺乏完整性检测，攻击者可伪造报文导致响应异常，使从站拒绝服务。工业控制系统协议安全问题02主要工业通信协议ICSSecurity&ProtectionModbus协议ICSSecurity&Protection基本定义Modbus是由Modicon公司开发的工业通信协议，广泛应用于工业自动化领域，采用主从通信技术，主设备主动查询和操作从设备。01通信模型Modbus是请求和响应模型的协议，有自己的消息结构，适用于不同网络通信，主设备可询问网络上其他设备并报告错误信息。02Modbus协议简介协议栈通信方式Modbus通信方式包括串口通信（RS232、RS485、RS422）和以太网通信，不同方式封装不同但功能相同。Modbus协议栈包括ModbusASCII、ModbusRTU和Modbus/TCP，分别用于串口和以太网通信，ModbusPlus是扩展协议。协议栈与通信方式协议栈Modbus帧即应用数据单元（ADU），包含协议数据单元（PDU），用于传输数据，结构简单明了。0102帧结构主从应答模式Modbus通信为主从应答模式，主站发送请求，从站回复，功能码说明动作，数据区填充相关数据。数据交互从站返回通信帧，功能码区填充操作码，数据区填充结果数据，实现数据交互。正常响应差错码机制事务处理异常时，从站返回通讯帧功能码中填充差错码，差错码=功能码+0x80。异常响应Modbus在中小型工业自动化系统中应用广泛，用于连接PLC、传感器、执行器等设备，实现数据采集、传输、处理及设备远程监控等功能。工业自动化系统在智能建筑领域，Modbus连接楼宇自控系统设备，如空调、照明、安防等，实现集中管理、能源优化和舒适度控制。智能建筑领域Modbus应用能源管理领域在能源管理领域，Modbus连接电表、水表、气表等计量设备，实现实时采集能源数据、分析能源使用情况等功能。。优势与局限Modbus简单易用、可扩展性强、通用性强，但数据传输速率低、实时性差，难以支持大规模复杂自动化系统。Profinet协议ICSSecurity&ProtectionProfinet是基于以太网的工业自动化通信协议，由PROFIBUS国际组织开发，具有高实时性和可靠性，适用于制造业和工业自动化。定义Profinet支持多种网络拓扑结构，包括星型、线型、环形等，还支持红外无线通信，可满足不同工业场景需求。特点协议定义Profinet广泛应用于生产线控制、工艺自动化、物流系统和机器人控制等工业自动化环境，连接传感器与PLC等设备。应用领域01Profinet支持实时和非实时数据交换，满足工业控制对实时性、可靠性和高效性的要求，是工业自动化的理想选择。优势02应用场景协议栈Profinet基于工业以太网，使用TCP/IP通信，响应时间约100ms，适用于普通工厂控制场景。技术特点基于TCP/IP通讯ProfinetRT通过优先级调度机制实现10ms级实时性能，优化协议栈，减少数据包封装和解封装时间。实时性能适用于对实时性要求较高的工业控制场景，如生产线的快速响应设备控制。应用场景ProfinetRT协议栈ProfinetIRT采用时间触发通信机制，循环刷新时间小于1ms，100个节点下响应时间小于1ms，抖动误差小于1μs。高级实时性能适用于对实时性要求极高的场景，如机器人控制和高精度自动化设备。应用场景ProfinetIRT协议栈重要性核心职能IO控制器是ProfinetIO系统的核心，负责对IO设备进行集中管控与调度，确保设备按工艺流程和需求工作。IO控制器是系统控制的关键，连接PLC等上层控制系统，实现对现场设备的精准控制。ProfinetIO组成-IO控制器执行单元作用IO设备是ProfinetIO系统中具体执行任务的单元，包括传感器、执行器等，种类丰富多样。IO设备在PLC控制下完成各项动作，实现自动化生产，如仓库自动化系统中的货架、输送带和升降机等。ProfinetIO组成-IO设备IO监视器为用户提供调试和监控手段，实时监控系统运行状态，跟踪设备工作情况和数据变化。调试与监控IO监视器通常是用户使用的计算机，用于PLC编程、程序烧录以及系统调试和监控。用户设备ProfinetIO组成-IO监视器ProfinetIO组成工作原理介质冗余将线型网络拓扑改造成环形，冗余管理器阻塞一个端口，故障时打开该端口，保障网络通畅。设备支持接入介质冗余网络的设备需支持介质冗余协议（MRP），不支持的设备可通过MRP交换机接入。介质冗余机制介质冗余机制OPC协议ICSSecurity&ProtectionOPC全称是OLEforProcessControl，是针对现场控制系统的一个工业标准接口，由OPC基金会管理。定义OPC旨在实现不同厂商设备和应用程序之间的接口标准化，简化数据交换，使过程控制软件开发不依赖特定开发环境和语言。目的OPC简介传统接口问题在引入OPC之前，不同设备需提供各自驱动程序，系统需安装多个驱动，设备升级时需更新驱动并修改代码，维护工作量大且易出错。引入OPC的背景OPC的优势OPC规范了接口函数，应用程序可统一访问不同设备，减少重复开发，提高设备兼容性，降低集成成本。引入OPC的背景作用OPC服务器创建和管理OPC组对象，管理服务器内部状态信息，是OPC对象的最上层。OPC组OPC组创建和管理OPC标签对象，管理组内状态信息，提供服务器内部实时数据的读写服务，可进行批量数据访问。OPC分层结构-OPC服务器定义OPC标签代表与服务器数据源的连接，是OPC组的基本组成单位。功能OPC标签在数据变化时触发向OPC应用程序的通知事件，支持实时数据交互。OPC分层结构-OPC标签OPC分层结构定义OPC客户端从服务器读取信息时，必须等待服务器处理完成并返回结果后才能进行下一步操作。01特点同步通信保证了数据的即时性和准确性，但可能影响客户端的响应速度。02OPC通信方式-同步通信OPC客户端从服务器读取信息时，无需等待服务器处理完成即可进行下一步操作，服务器处理完成后通知客户端。定义异步通信提高了客户端的响应速度，适用于对实时性要求不高的场景。特点OPC通信方式-异步通信1OPC客户端设定数据变化限度，数据源实时数据变化超过限度时，服务器通过回调函数返回数据给客户端。定义2订阅方式可减少不必要的数据传输，提高系统效率，适用于数据变化频繁的场景。优势OPC通信方式-订阅方式03工业控制系统常见IT协议ICSSecurity&Protection0102HTTP协议简介HTTP是超文本传输协议，基于TCP/IP，用于客户端和服务器间请求和应答。HTTP协议应用HTTP在工业控制系统中用于设备参数配置，通过Web页面或Web服务器实现。HTTP协议FTP协议简介FTP是文件传输协议，用于网络中文件上传、下载等操作，使用TCP作为传输协议。FTP协议应用FTP在工业控制系统中用于上传固件或下载设备日志文件。FTP协议Telnet协议简介Telnet是远程登录协议，允许用户通过本地计算机连接到远程主机并执行命令。Telnet协议应用Telnet在工业控制系统中用于远程登录工控设备进行操作。Telnet协议SSH是安全外壳协议，用于加密和认证的远程访问及文件传输，比Telnet更安全。SSH协议简介SSH在工业控制系统中用于安全远程登录和文件传输。SSH协议应用SSH协议SSH协议ARP协议简介ARP是地址解析协议，用于将IP地址解析为MAC地址，确保数据包正确传输。ARP协议应用ARP在工业控制系统中用于网络设备间的数据传输和通信。ARP协议ARP协议ICMP协议简介ICMP是因特网控制报文协议，用于传输出错报告和控制信息。ICMP协议应用ICMP在工业控制系统中用于测试设备可达性和显示到达路径。ICMP协议ICMP协议胡双钱打磨飞机零件胡双钱，中国商飞上海飞机制造有限公司高级技师、数控机加车间钳工组组长，我国首架新型大飞机C919首席钳工。近四十年间，经他手加工的飞机零件达数十万个，无一次品。他是让国产大飞机C919、支线飞机ARJ21-700在蓝天上翱翔的幕后英雄之一，被称为“航空手艺人”。他在上海飞机制造有限公司工作了几十年，主要负责飞机零部件的加工和装配。他经手的零件精度要求极高，很多都是百万分之一米的精度标准。胡双钱凭借着自己的耐心和精湛技艺，手工打磨出无数符合要求的飞机零件。在我国大型客机研制过程中，他更是发挥了关键作用。他可以不用图纸，仅凭借记忆和经验就制造出复杂的零件，他对工作的严谨认真和对技术的精益求精，保障了我国航空事业的稳步发展，体现了大国工匠的匠心精神。大国工匠谢谢大家ICSSecurity&Protection工业控制系统协议安全实验ICSSecurity&Protection0102CONTENTS目录搭建虚拟Modbus通讯环境通过脚本攻击ModbusCONTENTS01搭建虚拟Modbus通讯环境ICSSecurity&Protection搭建虚拟Modbus通讯环境：在无硬件条件下，通过虚拟串口和模拟器搭建Modbus通讯环境，模拟实际工业场景中的设备通信，便于实验和学习。01理解Modbus协议：通过搭建环境，深入了解Modbus协议的通信机制和参数配置，为后续安全分析奠定基础。02验证通信功能：确保虚拟环境中的主从设备能够正常通信，为后续的攻击模拟提供稳定的测试平台。03任务概述VirtualSerialPortDriver：创建虚拟串口，与串行应用程序通信，类似物理串口，支持多种操作系统，易于安装和配置。功能特点：支持多对虚拟串口，可自定义串口参数，如波特率、数据位等，适用于各种串口通信场景。应用场景：广泛应用于软件开发、设备测试等场景，尤其适合在无硬件设备时进行通信协议的开发和测试。虚拟串口仿真工具ModScan32.exe：作为主站模拟器，模拟Modbus主站设备，发送请求并接收响应。ModSim32.exe：作为从站模拟器，模拟Modbus从站设备，响应主站请求，提供数据。功能特点：支持多种Modbus功能码，可自定义设备地址、寄存器地址和数据长度，适用于教学和实验环境。Modbus主站模拟器和从站模拟器CommTone串口调试精灵：支持多种协议调试，提高工程师调试效率，界面友好，操作简单。功能特点：支持批量协议调试，高精度发送时间延时，支持物理串口、USB转串口和虚拟串口，兼容性强。应用场景：适用于各种串口设备的调试，尤其在工业自动化领域，可快速定位和解决通信问题。串口调试工具软件准备01安装虚拟串口工具任务步骤下载安装：从官网下载VirtualSerialPortDriver，安装并启动软件。添加虚拟串口：点击“Addpair”按钮，添加一对虚拟串口（如COM1和COM2），确保串口未被占用。验证串口：通过设备管理器查看虚拟串口是否创建成功，确保COM1和COM2能够相互通讯。02配置串口调试工具任务步骤启动软件：下载并安装CommTone串口调试精灵，启动软件。配置COM1：设置端口号为COM1，波特率为9600，数据位为8，停止位为1，校验位和流控制为None，点击“打开串口”。配置COM2：重复上述步骤，配置COM2，确保两个串口能够正常通03启动Modbus模拟器任务步骤配置从站模拟器：打开ModSim32.exe，设置设备号为1，地址为0001，长度为8，数据点类型为“03:HOLDINGREGISTER”。连接从站：选择“Connection”菜单，点击“Connect”→“Port1”，设置协议为RTU，波特率为9600，数据位为8，停止位为1，校验位为NONE。配置主站模拟器：打开ModScan32.exe，设置设备号为1，地址为0001，长度为8，数据点类型为“03:HOLDINGREGISTER”。连接主站：选择“Connection”菜单，点击“Connect”，选择“DirectConnectiontoCOM2”，设置波特率为9600，数据位为8，停止位为1，校验位为NONE。04测试通信任务步骤发送数据：在COM1界面输入数据（如“123”），点击“Go”按钮，观察COM2是否收到数据。验证通信：在主站模拟器上发送请求，观察从站模拟器是否响应，确保主从站能够正常通信。02通过脚本攻击ModbusICSSecurity&Protection模拟攻击目的：通过编写脚本对Modbus系统进行模拟攻击，读取和篡改寄存器值，理解Modbus协议的安全漏洞。01攻击方式：利用ModbusTCP协议，通过脚本连接到Modbus从站，读取和修改寄存器值，模拟真实攻击场景。02实验意义：帮助学习者深入了解Modbus协议的安全风险，掌握防护措施，提高工业控制系统的安全性。03任务概述01配置从站模拟器任务步骤启动从站模拟器：打开ModSim32.exe，设置设备号为1，地址为0001，长度为8，数据点类型为“03:HOLDINGREGISTER”。连接从站：选择“Connection”菜单，点击“Connect”→“MODBUS/TCPsvr”，设置端口为502，确保从站模拟器正常运行。02配置主站模拟器任务步骤启动主站模拟器：打开ModScan32.exe，设置设备号为1，地址为0001，长度为8，数据点类型为“03:HOLDINGREGISTER”。连接主站：选择“Connection”菜单，点击“Connect”，设置连接方式为“RemotemodbusTCPServer”，IP地址为，端口为502。03测试通信任务步骤验证通信：主站模拟器和从站模拟器通过以太网通信，观察主站的“NumberofPolls”和“ValidSlaveResponses”是否计数，确保通信正常。04编写脚本任务步骤脚本功能：使用Python和modbus_tk库编写脚本，连接到Modbus从站，读取和篡改寄存器值。05执行脚本任务步骤运行脚本：执行上述脚本，读取从站寄存器值并篡改，观察从站寄存器值的变化。验证攻击效果：脚本成功篡改从站寄存器值，模拟攻击完成，验证Modbus协议的安全漏洞。脚本输出：脚本成功读取和篡改从站寄存器值，输出结果验证攻击效果。0102从站寄存器变化：从站模拟器显示寄存器值被篡改，验证脚本攻击成功。03实验总结：通过模拟攻击，深入理解Modbus协议的安全漏洞，为工业控制系统安全防护提供参考。攻击结果谢谢大家ICSSecurity&Protection工业控制系统协议安全实验——Modbus协议详解及案例分析ICSSecurity&Protection01Modbus协议概述02Modbus通信模式03Modbus协议帧结构04Modbus常用功能码05Modbus协议数据包分析目录CONTENTS01Modbus协议概述ICSSecurity&ProtectionModbus协议由Modicon公司开发，用于PLC通信，现为国家标准GB/T19582-2008，涵盖应用协议、串行链路和TCP/IP实现指南。Modbus协议在中国成为国家标准，为工业自动化通信提供规范，其国标编号为GB/T19582-2008，包含Modbus应用协议、串行链路实现指南以及TCP/IP实现指南三部分内容。0102Modbus协议简介使用Wireshark抓取Modbus协议数据包，步骤包括下载安装Wireshark、选择接口、输入过滤条件“Modbus”、执行任务二操作并捕获数据包，最后保存为文件。01通过Wireshark抓取Modbus协议数据包，首先下载并安装Wireshark软件，打开后选择“”接口，执行任务二操作后停止捕获，将数据包保存为modbus.pcapng文件。02Wireshark抓包步骤使用Wireshark抓取Modbus协议数据包，步骤包括下载安装Wireshark、选择接口、输入过滤条件“Modbus”、执行任务二操作并捕获数据包，最后保存为文件。01窗口1是数据包列表窗口窗口2是数据包详情窗口窗口3是数据包字节窗口02Wireshark界面结构02Modbus通信模式ICSSecurity&Protection在任务二脚本中，主站模拟器读取保持寄存器值，修改前两个寄存器值为3和4，再次读取寄存器值，Wireshark抓包显示主从通信过程，包括读取请求、响应、写入请求、响应和再次读取请求、响应。Modbus采用主从通信模式，主站设备发起请求，从站设备响应请求，通过Wireshark抓包可清晰看到主从通信过程。Modbus通信模式Modbus通信模式编号448的数据包就是主站发起ReadHoldingRegisters请求，450就是从站相应该请求。452是主站发起WriteMultipleRegisters请求，454是从站相应该请求。456是数据修改后主站发起ReadHoldingRegisters请求，458是从站相应该请求。这种主站发起请求从站响应请求的模式就是Modbus的通信模式，对照Wireshark抓的数据包我们可以清楚地看到其交互过程是怎么样的，既简洁又明了。03Modbus协议帧结构ICSSecurity&ProtectionModbusRTU用于串口通信，帧结构包含从站地址、功能码、数据域和差错校验，适用于工业现场设备的近距离通信。0103ModbusTCP用于以太网通信，帧结构包含MBAP报文头、功能码和数据域，借助TCP协议实现可靠通信。02ModbusASCII同样用于串口通信，帧结构在RTU基础上增加了开始和结束标识，便于在不稳定的通信环境中传输。ModbusRTUModbusASCIIModbusTCP协议版本协议版本从站地址1字节，标识通信中的从站设备，确保数据包能准确送达目标设备。功能码1字节，标识操作类型，如读取寄存器、写入数据等。差错校验2字节，采用CRC校验，验证数据完整性。数据域n字节，存储请求或响应数据，长度由功能码决定。ModbusRTU帧组成从站地址SlaveAddress功能码FunctionCode数据域Data差错检验CRC1字节1字节n字节2字节数据域数据以ASCII字符表示，长度由功能码决定。开始标识以冒号“:”开始，标识帧的起始。地址与功能码同RTU，但以ASCII字符表示，便于文本传输。差错校验采用LRC校验，验证数据完整性。结束标识以回车换行符“\r\n”结束，标识帧的结束。ModbusASCII帧组成开始Start地址Address功能码Function数据域Data差错检验LRC结束End1字符2字符2字符n字符2字符2字符7字节，包含事务处理标识、协议标识、长度和单元标识符。MBAP报文头1字节，标识操作类型，与RTU和ASCII相同。功能码n字节，存储请求或响应数据，长度由功能码决定。数据域ModbusTCP帧组成MBAP报文头MBAPHeader功能码FunctionCode数据域Data7字节1字节n字节协议标识2字节，固定为0，标识ModbusTCP协议。长度2字节，表示后续数据长度，单位为字节。单元标识符1字节，标识设备地址，用于多设备通信场景。事务处理标识2字节，标识事务序列号，主从通信中用于匹配请求和响应。PART01PART02PART03PART04MBAP报文头组成事务处理标识TransactionIdentifier协议标识ProtocolIdentifier长度Length单元标识符UnitIdentifier2字节2字节2字节1字节04Modbus常用功能码ICSSecurity&ProtectionModbus常用寄存器功能码顾名思义就是实现某些功能的代码，在Modbus中功能码主要是指对寄存器操作的类型。Modbus主要有4种寄存器。‌线圈寄存器（Coil）‌，用于存储开关量信息，可读可写，例如设备的开关。大小为1bit。‌‌离散输入寄存器（Input）‌，用于存储设备的离散输入信号，只读不可写，例如开关状态。大小为1bit。‌‌保持寄存器（HoldingRegister）‌，用于存储需要长时间保持的数据，可读可写，例如温度、压力等测量值。大小为16bit。‌‌输入寄存器（InputRegister）‌，用于存储设备的输入数据，只读不可写，例如传感器读数。大小为16bit。Modbus常用功能码功能码寄存器描述位/字操作01H线圈寄存器读单个或多个线圈寄存器位操作02H离散输入寄存器读单个或多个离散输入寄存器位操作03H保持寄存器读单个或多个保持寄存器字操作04H输入寄存器读单个或多个输入寄存器字操作05H线圈寄存器写单个线圈寄存器位操作06H保持寄存器写单个保持寄存器字操作0FH线圈寄存器写多个线圈寄存器位操作10H保持寄存器写多个保持寄存器字操作05Modbus协议数据包分析ICSSecurity&ProtectionModbus协议数据包分析结合Wireshark抓到的数据包来分析ModbusTCP协议帧的具体内容。分析第一次读取保持寄存器请求（Query）和读取保持寄存器响应（Response）时候的数据包。在Wireshark中分别为编号448和450的记录。读取保持寄存器请求数据包应用数据单元（ADU）：00

0100000006010300000008读取保持寄存器请求帧结构MBAP报文头MBAPHeader功能码FunctionCode数据域Data事务处理标识TransactionIdentifier协议标识ProtocolIdentifier长度Length单元标识符UnitIdentifier000100000006010300000008事务处理标识(TransactionIdentifier)是0001，表示第一个事务，这个标识其实就是事务编号。协议标识(ProtocolIdentifier)是0000，表示协议是ModbusTCP。长度(Length)是0006，表示单元标识符+功能码+数据域的长度是6。单元标识符（UnitIdentifier）是01，表示设备号是1。功能码（FunctionCode）是03，表示读保持寄存器。0000表示从保持寄存器首地址开始读。0008表示要读取的寄存器个数。读取保持寄存器响应数据包应用数据单元（ADU）：00010000001301031000020000000000000000000000000000读取保持寄存器响应数据包。事务处理标识(TransactionIdentifier)是0001，表示第一个事务，这个标识其实就是事务编号。协议标识(ProtocolIdentifier)是0000，表示协议是ModbusTCP。长度(Length)是0013，表示单元标识符+功能码+数据域的长度是19。单元标识符（UnitIdentifier）是01，表示设备号是1。功能码（FunctionCode）是03，表示读保持寄存器。数据域（Data）中10表示返回的数据长度，这个是十六进制表示，表示返回了16个字节。0200为第一个保持寄存器的值，后面7个寄存器的值均为0000。MBAP报文头MBAPHeader功能码FunctionCode数据域Data事务处理标识TransactionIdentifier协议标识ProtocolIdentifier长度Length单元标识符UnitIdentifier000100000013131000020000000000000000000000000000谢谢大家ICSSecurity&Protection工业控制系统漏洞扫描ICSSecurity&Protection目录系统漏洞概述01.常见的漏洞扫描工具02.工业控制系统安全漏洞03.01系统漏洞概述ICSSecurity&Protection系统漏洞定义系统漏洞是计算机系统在硬件、软件、协议实现或安全策略上的缺陷，可被攻击者利用，造成严重安全威胁。系统漏洞危害系统漏洞可能使攻击者未经授权访问或破坏系统，导致数据泄露、系统崩溃等严重后果。常见系统漏洞常见的系统漏洞包括HTTP标头跟踪、SQL注入、弱密码等，这些漏洞对系统安全构成重大威胁。010203系统漏洞介绍软件漏洞是由于编程语言漏洞或开发者疏忽导致的安全问题，如缓冲区溢出、XSS攻击、SQL注入等。01软件漏洞硬件漏洞是计算机硬件在设计或制造过程中出现的缺陷，如Meltdown和Spectre漏洞。02硬件漏洞配置漏洞是由于系统配置不当导致的安全问题，如弱密码、未开启防火墙等。03配置漏洞系统漏洞类型01软件漏洞是因编程语言漏洞或开发者疏忽引入的错误、缺陷等安全问题，可能导致软件运行异常。定义02漏洞被恶意利用，可能使软件崩溃、系统被控制或敏感信息泄露。影响软件漏洞定义STEP.01STEP.02概念数据超出缓冲区容量，覆盖合法数据，攻击者可借此运行恶意代码。防范开发者采用安全编程方式，使用安全函数，检查参数大小。缓冲区溢出利用网页漏洞注入恶意代码，用户加载网页时执行，攻击者可获取权限或敏感信息。概念遵循编程安全原则，验证用户提交内容，使用POST提交表单，不在cookie中存放重要信息。防范跨站脚本攻击（XSS）0102概念攻击者将恶意SQL代码作为参数传入Web应用程序，执行恶意代码获取敏感信息或非法操作。防范严格限制用户权限，禁止开发者将变量直接写入SQL。SQL注入概念攻击者将可执行文件伪装成无害文件上传服务器，执行后可获服务器权限或恶意操作。防范设置文件上传目录为不可执行。文件上传漏洞硬件漏洞是计算机硬件在设计或制造过程中出现的缺陷，会对计算机系统造成安全威胁。包括计算机硬件单元漏洞、固件漏洞、物理媒介漏洞等。定义类型硬件漏洞定义Meltdown和Spectre2018年1月曝光的两个处理器高危漏洞Meltdown和Spectre震惊了整个计算机行业。攻击者可以绕过内存访问的安全隔离机制，使用恶意程序来获取操作系统和其他程序的被保护数据，造成内存敏感信息泄露。硬件漏洞案例定义配置漏洞是因系统配置不当导致的安全问题。类型如弱密码、未开启防火墙等。配置漏洞定义弱密码攻击者可快速破解密码，进入系统。未开启防火墙攻击者可长驱直入，轻松获取系统信息。配置漏洞危害漏洞扫描是检测系统、网络或应用程序中安全漏洞的技术手段。技术层面及时发现漏洞，降低安全风险，保障系统稳定运行。重要性漏洞扫描定义在目标主机安装代理软件，搜集信息上传分析，适用于复杂网络环境。代理服务器模式不需安装软件，通过网络协议获取反馈，适合轻量级检测。无代理模式在目标主机运行独立程序，深入检测安全漏洞，适合主机数量多的网络。独立扫描模式主机扫描主动检测，使用端口扫描、网络映射等技术，全面评估网络安全性。检测方式适用于网络日常安全评估及系统升级改造时的安全性检测。适用场景网络漏洞扫描作用适用于网络安全或主机安全的初步评估，快速定位风险端口。原理发送网络查询指令，检查端口状态（开放、关闭、过滤），寻找潜在入口。PART01PART02端口扫描功能应用范围自动或手动检测Web应用漏洞，如XSS、CSRF、SQL注入等，提升应用安全性。适用于各类Web系统，帮助企业深入剖析安全状况，保障业务安全。Web应用程序漏洞扫描评估IaaS、PaaS、SaaS等云计算环境的安全性，检测云设置、访问限制等。检测对象定期扫描确保云环境和资源安全，适用于使用云计算服务的企业。价值云应用漏洞扫描全面扫描数据库，获取版本、配置、服务、权限等信息，分析漏洞。功能适用于数据库漏洞查找及数据安全相关的安全性评估。适用场景数据库扫描方法静态代码分析，检测代码漏洞或缺陷，降低修复成本。优势适用于软件开发周期中保障代码质量和安全性，提前发现隐患。源代码扫描02常见的漏洞扫描工具ICSSecurity&Protection定义Nmap（NetworkMapper）是一款开源的网络探测工具，广泛应用于网络管理和安全评估。01功能主机探测、端口扫描、服务检测、操作系统检测等，功能丰富。02Nmap简介传统的命令行操作，灵活强大，适合高级用户。命令行界面直观呈现扫描结果，操作简便，适合新手。图形化界面ZenmapNmap界面功能描述检测网络上在线的主机，确定哪些主机处于开启状态。示例命令“nmap/24-sP”，扫描指定网段上所有在线主机。主机探测检测目标主机开放的端口，了解主机运行的服务及潜在风险。功能描述“nmap02”，列出目标主机所有开放端口。示例命令端口扫描检测目标主机提供的服务名称和版本，评估服务安全性。功能描述“nmap-p80-sV02”，检测目标主机80端口服务及版本。示例命令服务检测功能描述探测目标主机操作系统类型及版本，为安全防护提供依据。示例命令“nmap-p80-O02”，扫描目标主机操作系统。系统检测语法结构nmap[options][target]，其中options为扫描参数，target为扫描目标。参数类型扫描类型、端口指定等，参数可多个或无。基本语法0102扫描方式参数如-sP（Ping扫描）、-sS（TCPSYN扫描）、-sU（UDP扫描）等，满足不同扫描需求。其他参数A（全面扫描）、-T（指定扫描速度）、-o（输出格式）等，灵活控制扫描过程。常用参数“nmap/24-sP”，扫描指定网段在线主机。快速定位网络中的活跃主机，为后续操作提供基础。作用示例主机探测命令“nmap-p80-sT02”，指定扫描目标主机80端口，使用TCP全连接方式。”示例精准检测目标端口状态，评估安全风险。”作用端口扫描命令“nmap-p80-sV02”，检测目标主机80端口服务及版本。示例了解服务细节，为安全加固提供依据。作用服务检测命令示例“nmap-p80-O02”，扫描目标主机操作系统。作用确定操作系统类型及版本，针对性采取安全措施。0102系统检测命令如-oX（XML格式）、-oN（普通文本格式），满足不同需求。输出格式“nmap-p8002-oXresult.xml”，将扫描结果保存为XML文件。示例命令便于后续分析和记录，方便管理和审计。作用结果保存Nessus是一款功能强大的远程安全检测工具，采用客户/服务器体系结构，支持可定义插件功能。Nessus功能介绍Nessus具有更新频繁、容易使用、支持多种报告格式等特点，是渗透测试领域的重要工具之一。Nessus特点0102NessusAppscan功能介绍Appscan主要用于Web应用程序和移动应用程序的漏洞检测，支持主动和被动扫描技术。壹Appscan特点Appscan提供可视化的漏洞报告和建议修复措施，方便用户了解系统的安全状况。贰AppscanICSScan功能介绍ICSScan是国内一款工控系统漏洞扫描器，支持漏洞扫描、漏洞挖掘、Web扫描等功能。ICSScan支持国内外常见厂商的多种工控系统设备，是工控系统安全风险评估的利器。ICSScan特点ICSScan03工业控制系统安全漏洞ICSSecurity&Protection工业控制系统是各种控制系统的总称，广泛应用于电力、通信、化工、航空航天等领域。工业控制系统定义工控安全漏洞是外界攻击工控系统的入口，可能导致设备失灵、系统混乱甚至生产线停机，造成重大损失。工业控制系统安全漏洞危害随着工业互联网的发展，工控系统面临越来越多的风险，我国大部分暴露在互联网上的工控系统存在漏洞。工业控制系统安全漏洞现状工业控制系统安全漏洞介绍配置漏洞配置漏洞是由于系统配置不当导致的安全问题，如弱密码、未开启防火墙等。软件漏洞软件漏洞主要是指工控系统应用程序和工控协议上的漏洞，如数据传输加密性不足等。硬件漏洞硬件漏洞主要来自电气设计和硬件制造，传感器和执行器等设备容易受到攻击。工业控制系统安全漏洞分类宁允展研磨高铁列车转向架“定位臂”宁允展，南车青岛四方机车车辆股份有限公司车辆钳工高级技师，中国南车技能专家，高铁首席研磨师。高铁列车的转向架“定位臂”是保证列车安全高速运行的关键部件，其研磨精度要求达到0.05毫米，相当于头发丝的一半。宁允展多年来一直专注于“定位臂”的研磨工作，他采用手工研磨的方式，在不断的实践中摸索出一套独特的研磨工艺。他工作时全神贯注，不放过任何细微瑕疵，经过他研磨的“定位臂”合格率极高，为我国高铁列车的安全稳定运行提供了可靠保障，他在平凡的岗位上做出了不平凡的业绩，展现了大国工匠对品质的极致追求。大国工匠谢谢大家ICSSecurity&Protection搭建与应用漏洞扫描环境ICSSecurity&Protection搭建漏洞扫描环境使用nmap进行网络扫描工业控制系统扫描目录010203CONTENTS01搭建漏洞扫描环境ICSSecurity&Protection任务目标本任务旨在模拟工业控制系统环境，通过搭建漏洞扫描环境，帮助安全专业人员熟悉漏洞扫描工具的使用，掌握网络和工业控制系统漏洞的发现方法，为后续的安全评估和防护工作打下基础。环境概述KaliLinuxKaliL