关于Modbus协议攻防与检测

传统的IDS对工控攻击协议的解析能力不是特别强，例如snort，虽然支持对modbus的协议进行解析，但是使用的是预处理机制的，在原理上还是还是使用的特征匹配，虽然能够进行威胁识别，但是灵活度不高，不止snort，其他传统的特征匹配型的IDS均存在这个问题，所以我们建议使用zeek来进行工控类别的威胁检测。

Zeek（以前称为Bro）是一种开源的网络安全监控系统和网络流量分析框架。它最初是由加州大学伯克利分校开发的，旨在帮助网络管理员和安全专家实时监控和分析网络流量，以发现安全威胁、异常行为和网络性能问题。Zeek采用了一种基于网络流量分析的更为灵活的方法。它对网络流量进行深度分析，提取并聚合各种元数据，然后将这些元数据与用户定义的策略进行匹配，以检测潜在的威胁或异常活动。并且zeek的规则编写更加灵活，支持更多的插件。

工控安全漏洞库CISA为zeek量身打造了一个关于modbus的协议解析套件。项目地址：https://github.com/cisagov/icsnpp-modbus/。可以根据项目地址进行安装组件：

我们可以利用这款套件对modbus攻击做检测，这里以暴力破解UNITID为例，DDOS攻击同样可以使用这种方法进行检测。

暴力破解以DOS类攻击都有相同的特点，就是发送大量的TCP包，但是传统的特征匹配型的IDS没有检测单位时间内包数量的功能，如果需要检测，只能编写插件，zeek自带了一个SumStats插件，可以统计数量（虽然很多人吐槽SumStats不好用，但是有总比没有好）

首先，我们先抓一下破解UNITID的包，wireshark过滤一下modbus：

发现这些包所使用的func全部都是4，即读输入寄存器操作，且UNITID在进行遍历，访问都没有回包，是一个很明显的扫描操作。

我们可以参考icsnpp-modbus中的zeek规则文件提取出解析modbus的协议模型加以利用：

这个record定义了modbus数据包的各个字典，由于是读输入寄存器操作，我们可以直接使用zeek自带的event:modbus_read_input_registers_request，相关的功能和定义可以参考zeek帮助：

我们需要统计包中的所有读输入寄存器操作，需要对event:modbus_read_input_registers_request进行功能填充，参考icsnpp-modbus的event，可以编写如下功能

这个地方的if判断可以不用，因为这个event已经对流量进行过滤了。然后使用SumStats::observe进行统计。SumStats需要两个比较关键的参数，一个是单位时间，一个是阈值，含义就是设置的单位时间内如果请求数量如果超过阈值，那么就判定为扫描攻击。我这里设置的是10秒发送5个包以上即判断为扫描攻击。

由于调用的SumStats插件代码过滤复杂，其中的细节不做赘述，有兴趣的同学可以参考detect-bruteforcing.zeek来进行编辑。规则测试结果：

将告警存放到了notice.log文件：

总的来说，zeek检测modbus协议的方案已经比较成熟，可以很好的检测到modbus的威胁。