一种支持过滤ModbusTCP协议的工控防火墙实现方法

暂无

一种支持过滤Modbus TCP协议的工控防火墙实现方法\n技术领域\n[0001] 本发明涉及工控防火墙领域，尤其涉及一种支持过滤Modbus TCP协议的高性能工控防火墙实现方法。\n背景技术\n[0002] 随着工控领域信息安全需求的不断增长，防火墙显得日益重要；就工控领域的特殊性，对一些常用的工业控制协议，如Modbus TCP协议，进行过滤是工控防火墙必不可少的功能。\n[0003] Modbus TCP是基于MODBUS工业现场总线在以太网上的报文实现；然而，传统的包过滤防火墙在网络层和传输层起作用，根据数据包的IP源地址、IP目的地址、TCP源端口号、TCP链路状态等因素或他们的组合来确定是否允许数据包通过，此种方式对Modbus TCP协议并不适用；且包过滤防火墙没有针对常用的工业控制协议。此外，代理防火墙工作在应用层，完全控制会话，针对特定的应用层协议，通过对每种应用服务建立专门的代理服务程序，其虽然可以实现监控和控制应用层通信流的作用，但是其速度较慢，消耗过多的CPU资源，影响了代理防火墙的推广应用。\n发明内容\n[0004] 针对现有技术存在的不足，本发明的目的是提供一种支持过滤Modbus TCP协议的工控防火墙实现方法，该方法通过在内核中设置的Modbus TCP模块，对数据包进行过滤处理，不仅实现了对工控协议Modbus TCP的过滤与合法性检查，提高了过滤效率；而且实现了原来只能通过代理方式实现的内容过滤功能。\n[0005] 为实现上述目的，一种支持过滤Modbus TCP协议的工控防火墙实现方法，该方法包括如下步骤：\n[0006] 1）将防火墙设置为桥接模式，将Modbus TCP主站和Modbus TCP从站分别设置于防火墙不同的以太网接口上；\n[0007] 2）防火墙包过滤模块对所有进入防火墙的数据包进行系统安全检查；\n[0008] 3）管理员自定义数据包过滤规则，当数据包满足自定义数据包过滤规则时允许通过，否则将数据包丢弃；\n[0009] 4）防火墙包过滤模块对数据包是否为Modbus TCP协议进行检测，当数据包为Modbus TCP协议时允许通过，否则将数据包丢弃；\n[0010] 5）防火墙通过Modbus TCP模块进行Modbus TCP协议过滤。\n[0011] 进一步，所述步骤2）中的系统安全检查具体为：安全策略采用最少数据报文通过的原则，包过滤模块基于源IP地址、目的IP地址以及基于源端口、目的端口和基于协议类型提供安全检查。\n[0012] 进一步，所述步骤3）具体为：\n[0013] ①管理员的管理命令集合是一个特制的、封闭的精简集合，管理员根据指定的配置操作进行自定义数据包过滤规则的设定；\n[0014] ②系统对管理员的操作命令进行检查，将不符合规定格式的操作命令或是拒绝或是使用系统缺省值，避免了缓冲区产生溢出攻击的可能性。\n[0015] 进一步，所述步骤5）具体为：\n[0016] ①Modbus TCP模块对数据包的完整性进行检测，当数据包完整时进行下一步检测，否则将数据包丢弃；\n[0017] ②Modbus TCP模块检查数据包内报文的功能码是否符合用户设定的功能码，当符合用户设定的功能码时进行下一步检测，否则将数据包丢弃；\n[0018] ③Modbus TCP模块对数据包内数据内容描述的寄存器值进行检测，查看是否符合用户设定的权限，当符合用户设定的权限时允许数据包通过，否则将数据包丢弃。\n[0019] 进一步，所述步骤①中对数据包的完整性进行检测包括数据包的MBAP区域和数据区域。\n[0020] 本发明的一种支持过滤Modbus TCP协议的工控防火墙实现方法通过在内核中设置的Modbus TCP模块，对数据包进行过滤处理，不仅实现了对工控协议Modbus TCP的过滤与合法性检查，提高了过滤效率；而且实现了原来只能通过代理方式实现的内容过滤功能；\n此外，本方法对管理员配置进行了安全防范，安全性得到显著提高。本发明中的Modbus TCP模块是在防火墙内的一段用程序设计语言编写的代码，防火墙用户可以通过防火墙的管理接口对Modbus TCP协议设定过滤规则和Modbus TCP从站寄存器的读写权限。\n附图说明\n[0021] 图1为本发明中防火墙系统的整体结构示意图；\n[0022] 图2为本发明中防火墙与Modbus TCP模块连接示意图；\n[0023] 图3为本发明对Modbus TCP协议进行过滤的流程图。\n具体实施方式\n[0024] 下面结合附图说明本发明。\n[0025] 如图1-3所示，本发明提供了一种支持过滤Modbus TCP协议的工控防火墙实现方法，其主要是通过在防火墙的内核中设置一Modbus TCP模块，实现工控协议Modbus TCP协议的过滤，由于Modbus TCP模块直接在内核工作，所以本发明的过滤方法提高了过滤效率；\n并且实现了原来只能通过代理方式实现的内容过滤功能，避免了代理方式对CPU的资源消耗。\n[0026] 本发明的Modbus TCP模块是在工控防火墙内部的一段用程序设计语言编辑的代码，防火墙用户可通过防火前的管理接口对Modbus TCP协议设定过滤规则及Modbus TCP从站寄存器的读取权限。本发明的过滤方法具体过程如下：\n[0027] 步骤1：将防火墙设置为桥接模式，将Modbus TCP主站和Modbus TCP从站分别设置于防火墙统一桥接单元的不同的以太网接口上；这样在数据流中建立起会话；其中，对数据包的完整性进行检测包括数据包的MBAP区域和数据区域。\n[0028] 步骤2：防火墙包过滤模块对所有进入防火墙的数据包进行系统安全检查；不达标的数据包将被丢弃；其中，安全策略采用最少数据报文通过原则，包过滤模块基于源IP地址、目的IP地址以及基于源端口、目的端口和基于协议类型提供安全检查。\n[0029] 步骤3：管理员自定义数据包过滤规则，当数据包满足自定义数据包过滤规则时允许通过，否则将数据包丢弃；其中，管理员的管理命令集合是一个特制的、封闭的精简集合，管理员根据指定的配置操作进行自定义数据包过滤规则的设定，而不能进行其他可能危害系统本身的危险操作，这样防止管理员的误操作对系统造成不可挽回的破坏；系统对管理员的操作命令进行检查，将不符合规定格式的操作命令或是拒绝或是使用系统缺省值，避免了缓冲区产生溢出攻击的可能性。\n[0030] 步骤4：防火墙包过滤模块对数据包是否为Modbus TCP协议进行检测，当数据包为Modbus TCP协议时允许通过，否则将数据包丢弃。\n[0031] 步骤5：防火墙通过Modbus TCP模块进行Modbus TCP协议过滤；其中，Modbus TCP模块首先对数据包的完整性进行检测，当数据包完整时进行下一步检测，否则将数据包丢弃；其次，Modbus TCP模块检查数据包内报文的功能码是否符合用户设定的功能码，当符合用户设定的功能码时进行下一步检测，否则将数据包丢弃；最后，Modbus TCP模块对数据包内数据内容描述的寄存器值进行检测，查看是否符合用户设定的权限，当符合用户设定的权限时允许数据包通过，否则将数据包丢弃。\n[0032] Modbus TCP模块具有识别协议、检验协议的完整性、识别协议报文的功能码、设备号、偏移地址以及寄存器值的功能，对于不符合规则的数据包，本发明防火墙的缺省动作是拒绝；规则按顺序执行，一旦和数据包匹配成功，就进行相应操作，不再执行后面的规则。这样，数据报文转发时带来最少的通过延时。\n[0033] 本发明的过滤方法，不仅实现了对工控协议Modbus TCP的过滤与合法性检查，提高了过滤效率；而且实现了原来只能通过代理方式实现的内容过滤功能；此外，本方法对管理员配置进行了安全防范，安全性得到显著提高。\n[0034] 以上是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。