5.3 工业通信协议与安全脆弱性

信源等级：L2（CISA/Dragos 事件报告 + 行业通用知识）｜ 最后核验：2026-09-17 关联阅读：5.1 ISA-95 架构（协议分层）、7.2 乌克兰电网（IEC 101/104 攻击）、7.3 TRITON（TriStation 攻击）

一、为什么工业协议是安全洼地

工业控制协议设计于 30+ 年前，首要目标是实时性、可靠性、确定性，安全（认证/加密/完整性）普遍缺失：

1. 无认证：任何能触达协议端口的主机即可读写寄存器/下发指令；
2. 无加密：明文传输，可窃听、可重放；
3. 功能码简单：Modbus 等协议语义简单，解析/伪造成本极低；
4. 专有/闭源（部分）：反哺了逆向工程攻击（如 TRITON 逆向 TriStation）。
5. 老设备无法升级：10-20 年生命周期内协议栈固件无法打补丁 → 必须靠外部监测/白名单防护。

二、主流工控协议清单与安全属性

协议	典型用途	传输层/端口	安全属性	攻击事件/影响
Modbus TCP/RTU	PLC/传感器通用通信	TCP 502	无认证无加密，功能码直接读写寄存器	最易被伪造/重放；CTF/蜜罐最常模拟
S7comm（S7 协议）	西门子 S7 PLC	TCP 102	无认证；早期版本可未授权读写 DB/上传下载块	震网利用其感染 WinCC 下发离心机逻辑
OPC DA/UA	DCS/HMI 数据交换	UA: TCP 4840	DA 无安全；UA 具备加密/证书/会话安全	UA 是工控上云首选（见 5.1 L2↔L3 接口）
IEC 60870-5-101/104	电网 SCADA → RTU 遥测遥控	104: TCP 2404	无认证；101 串口、104 以太网	CrashOverride 用 IEC 104 打开断路器停电（见 7.2）
IEC 61850（MMS/GOOSE/SV）	变电站自动化（智能变电站）	MMS: TCP 102；GOOSE: 组播二层	安全扩展 IEC 62351（认证）；老实现无保护	Industroyer 探测 CSW 开关标签；未来电网攻击面
DNP3	电力/水务 RTU 通信	TCP 20000	有 DNP3 Secure Authentication（可选），默认多数未启用	曾用于测试台攻击演示
PROFINET	西门子工业以太网	TCP/UDP 34962-34964	有安全选项（PROFINET Security），默认弱	—
EtherNet/IP + CIP	罗克韦尔/ODVA 设备	TCP/UDP 44818	CIP 身份认证弱	SWaT 试验台攻击场景（见 6.1）
FINS	欧姆龙 PLC	UDP/TCP 9600	无认证	—
TriStation 协议	施耐德 Tricon SIS 编程	UDP 1502	无认证无加密，仅可配 IP ACL	TRITON 逆向其精简实现远程攻击 SIS（见 7.3）
BACnet	楼宇自控（BAS）	UDP 47808	可配认证，默认弱	楼宇被勒索攻击时作为入口

三、典型攻击手法（按协议）

手法	原理	协议示例
功能码滥用	直接调用写寄存器/写线圈功能码修改设定值	Modbus FC06/FC16、S7comm 写 DB
命令重放	抓包后重放合法指令（如开/合断路器）	IEC 104、DNP3
协议状态机攻击	利用实现缺陷或未定义状态	GOOSE 风暴、SIPROTEC CVE-2015-5374（端口 50000 构造报文致保护继电器无响应）
组态/下装篡改	向 PLC 上传恶意程序或修改逻辑	S7comm 上传下载块
中间人/会话劫持	在无加密链路上截获/注入	OPC DA、Modbus TCP
发现与指纹	协议 banner / 寄存器扫描识别设备型号	PN-TCP（Compact 端口）、S7comm CP 读

四、防护落点（协议维度）

防护层	措施	对应产品/章节
边界	工业防火墙按协议白名单放行（仅允许已知功能码/主站从站对）	3.1 工业防火墙
监测	审计系统解析协议、建立通信基线、识别异常指令	3.2 工控监测审计
终端	主机卫士禁止非授权上位机软件（组态软件管控）	3.3 工业主机卫士
网络	按 Zone/Conduit 划分子网，阻断跨区协议流	2.1 IEC 62443
标准	IEC 62351（电力通信安全）、OPC UA 安全模式落地	2.2 等保扩展/电力 27 号令
运营	协议流量基线学习 + AI 异常检测（见 6.1）	6.1 算法篇

五、来源引用

1. CISA：MAR-17-352-01 HatMan（TriStation 1502 攻击细节）
2. Dragos：CRASHOVERRIDE 复盘（IEC 104 模块、SIPROTEC CVE-2015-5374）
3. IEEE Access 2021：Industrial and Critical Infrastructure Security 综述（协议脆弱性分类）
4. 各协议规范公开资料（Modbus TCP、S7comm、IEC 60870-5-104、DNP3）