[發明專利]一種基于iptables u32的工業協議防護方法

在審

• 申請號: 202110331463.6
• 申請日: 2021-03-29
• 公開（公告）號: CN113518068A
• 公開（公告）日: 2021-10-19
• 發明（設計）人: 孫曉鵬;張雨;和希文;曹璐;李峰;王紹密;孫瑞勇;候緒森;李艷虎;水沝
• 申請（專利權）人: 山東云天安全技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 濟南泉城專利商標事務所 37218
• 代理人: 張貴賓

1.一種基于iptables u32的工業協議防護方法，由報文檢索指針、IP協議識別模塊、TCP協議識別模塊，MODBUS協議讀取模塊和協議防護模塊運行組成，其特征在于，包括以下步驟：

S1，IP協議識別模塊從IP報頭中提取報頭長度字段，并將其乘以4，得到以字節為單位的報頭長度；

S2，報文檢索指針使用此值跳轉到TCP標頭的開頭：

S3，TCP協議識別模塊從TCP頭中提取頭長度字段，并將其乘以4，得到以字節為單位的頭長度；

S4，報文檢索指針使用此值跳轉到SCADA消息的開頭；

S5，MODBUS協議讀取模塊指定SCADA消息開始時的偏移量，然后與所需值匹配。

2.根據權利要求1所述的基于iptables u32的工業協議防護方法，其特征在于：

所述S1中IP協議識別模塊在數據包中動態選擇一個起始點，以匹配最多32位的數據，通過使用數據包的header length字段來計算報頭長度，然后跳轉到其有效負載的開頭，具體的方法為：

S11，IP協議識別模塊從數據包中隨機選擇一個起始點，然后讀取IP報頭的前四個字節；

S12，將報文檢索指針從0位開始，右移22位,通過右移22位后獲得的字符數值與掩碼0x3c(00111100)進行運算，得出IP協議字段中HeaderLENGTH的數值阿爾法；

S13，報文檢索指針跳轉到阿爾法*4的位數上即可獲得TCP標頭的開頭值。

3.根據權利要求1所述的基于iptables u32的工業協議防護方法，其特征在于：

所述S3中TCP協議識別模塊的具體運行方法為：

S31，TCP協議識別模塊TCP offset字段，其表示TCP頭的長度（從TCP頭第12字節開始）；

S32，與IP協議識別模塊方法相似，TCP協議識別模塊將報文檢索從當前報文檢索指針開始后移12個字節，然后再后移26位，根據掩碼: 0x3C(00111100),將當前獲得的字符數值與掩碼進行運算，得出TCP協議字段中offset的數值貝塔；

S33，報文檢索指針跳轉到貝塔*4的位數上即可獲得MODBUS協議頭的開頭值。

4.根據權利要求1所述的基于iptables u32的工業協議防護方法，其特征在于：

所述S4中的MODBUS協議讀取模塊包括協議類型設置、協議讀取兩部分， ModbusTCP協議為SCADA協議的一種，SCADA協議還包括DNP3、 IEC104和S7，采用ModbusTCP協議的具體讀取方法為：

S41，獲取ModbusTCP中的功能代碼字段（function code），獲得指示控制器執行的操作類型；

S42，該字段位于Modbus消息體第七個字節，該協議讀取模塊將報文檢索指針右移24位,通過右移24位后獲得的字符數值與掩碼0xff進行運算，得出功能碼數值，繼續后移兩個字節，獲取到該功能碼的子功能數值；

S43，協議防護模塊對該數值進行處理。

5.根據權利要求4所述的基于iptables u32的工業協議防護方法，其特征在于：

所述S43中的協議防護模塊包括功能定義列表、防護指令集和防護處理模塊；

所述功能定義列表包括讀取設備標識、清除計數器、清除診斷寄存器、時鐘修改、開機、關機、狀態修改、配置修改和查詢；

所述防護指令集包括允許、拒絕、待確認、跳轉至虛擬工業設備、返回模擬信息和阻斷指令發起者網絡；

所述協議防護模塊收到MODBUS協議讀取模塊讀取出來的功能碼后，與功能定義列表和防護指令集相匹配，確定執行的防護操作，由防護處理模塊進行執行。