检测规则设计.doc

基于Snort的Modbus TCP工控协议异常数据 检测规则设计?本文受国家自然科学基金项目61103301资助。 姜伟伟（1990-），男，硕士，主要研究方向为工控网络安全与协议分析，E-mail：jiangweiwei_njust@163.com； 刘光杰（1980-），男，博士，副研究员，主要研究方向为信息安全； 戴跃伟（1962-），男，博士，教授，主要研究方向为系统工程。 姜伟伟1 刘光杰1 戴跃伟1，2 (南京理工大学自动化学院 南京 210094)1 (江苏科技大学 镇江 212003）2 摘 要 工业控制网络通信协议的脆弱性是导致工控网络遭受攻击的主要因素。Modbus TCP是工控网络的典型通信协议。在对Modbus TCP协议进行脆弱性分析的基础上，结合Snort检测机制对典型的异常行为进行归类，提出了一种用于Snort的Modbus TCP协议异常数据流检测模板。Modbus TCP的分析和规则模板的设计方法也可推广至其他基于工业控制协议的网络，具有一定的适用性。 关键词 工控网络安全，Modbus TCP协议，脆弱性分析，Snort规则模板 中图法分类号 TP393.08 文献标识码 A The design of Modbus TCP industrial control network protocol