工控协议逆向分析技术研究与挑战

摘 要 近年来，工业互联网的安全事件日益频发，尤其是工业控制系统(industrial control system, ICS)，该现象揭示了目前ICS中已经存在较多的安全隐患，并且那些针对ICS安全隐患的大多数攻击和防御方法都需要对工控协议进行分析.然而，目前ICS中大多数私有工控协议都具有与普通互联网协议完全不同的典型特征，如结构、字段精度、周期性等方面，导致针对互联网协议的逆向分析技术通常都无法直接适用于工控协议.因此，针对工控协议的逆向分析技术已经成为近几年学术界和产业界的研究热点.首先结合2种典型工控协议，深入分析和总结了工控协议的结构特征.其次，给出了工控协议逆向分析框架，深入剖析了基于程序执行和基于报文序列的工控协议逆向分析框架的特点，并依次从人机参与程度和协议格式提取方式这2个角度，重点针对基于报文序列的工控协议分析方法进行详细阐述和对比分析.最后探讨了现有逆向分析方法的特点及不足，并对工控协议逆向分析技术的未来研究方向进行展望与分析.

关键词 工业控制系统；协议逆向工程；工业控制协议；报文序列；启发式规则

随着工业数字化、网络化、智能化的快速发展，工业互联网已经成为国家先进制造的重要基础设施，其安全问题也逐渐受到重视，尤其是工业控制系统(industrial control system, ICS)安全已成为实施制造强国和网络强国战略的重要保障[1-2].然而，日益频发的ICS安全事件表明ICS已经存在大量安全漏洞和隐患[3-5]，如2017年乌克兰、俄罗斯等多国的银行、电力、通信系统均遭受Petya勒索病毒袭击，2019年委内瑞拉遭受电网攻击，2021年伊朗国家铁路系统遭受网络入侵等.ICS通过专有的工业控