Modbus协议有哪些安全风险？怎么防护？

Modbus协议有哪些安全风险？怎么防护？

A: Modbus是工业自动化领域应用最广泛的通信协议之一，但其设计之初完全没有考虑安全因素，存在多个固有安全风险：

1. 缺乏身份认证：Modbus协议没有任何身份认证机制，任何能够接入网络的设备都可以向PLC发送读写请求。攻击者只要接入Modbus网络，就可以读写任意寄存器的数据，甚至修改PLC的控制逻辑。
2. 无通信加密：Modbus通信以明文传输，攻击者通过网络抓包可以轻松获取所有通信内容，包括控制参数、测量值、设备状态等敏感信息，也可以实施中间人攻击篡改通信内容。
3. 功能码滥用：Modbus定义了多个功能码（FC01-FC127），其中功能码05/06（写单个线圈/寄存器）、FC15/FC16（写多个线圈/寄存器）可以修改PLC输出，攻击者滥用这些功能码可以控制物理设备。
4. 重放攻击：由于Modbus缺乏序列号和时间戳机制，攻击者可以录制合法的控制指令并在后续重放，导致设备执行非预期的操作。
5. 地址枚举：攻击者可以通过扫描Modbus地址空间（0-65535）枚举所有可用的寄存器和线圈，获取设备的完整数据映射。

防护措施：

• 工业防火墙白名单：部署支持Modbus协议深度解析的工业防火墙，白名单策略精确到允许的功能码和寄存器地址范围。例如：仅允许SCADA服务器使用FC03/FC04（读保持寄存器）访问PLC的特定地址范围，禁止FC05/06/15/16（写操作）。
• Modbus TLS封装：对于需要加密的场景，使用Modbus/TCP Security（基于TLS）或Modbus/TCP over SSH等安全封装方案。也可以在Modbus通信链路中部署加密网关，对通信内容进行透明加密。
• 网络隔离：将Modbus网络划分在独立的安全域中，仅通过工业防火墙与上层网络通信。限制可接入Modbus网络的设备数量，实施网络准入控制。
• 通信异常监测：部署工控IDS监测Modbus通信行为，建立正常通信基线。检测异常功能码使用、异常地址访问、异常通信频率等行为，及时告警。