Modbus网络攻击的实施和检测

摘要--监视控制和数据采集（SCADA）系统在关键基础设施（CI）中起着重要作用，因为它们监视和控制工业设备的自动化过程。但是，SCADA依靠脆弱的通信协议而没有任何网络安全机制，从而有可能危及CI的整体运行。在本文中，我们关注于Modbus / TCP协议，该协议在许多CI中尤其是电网中普遍使用。特别是，我们的贡献是双重的。首先，我们研究并增强Smod pen-testing工具提供的网络攻击。其次，我们介绍了一种基于异常的入侵检测系统（IDS），该系统能够检测与Modbus / TCP相关的拒绝服务（DoS）网络攻击。拟议的IDS的功效通过利用水电厂的真实数据得到证明。提议的IDS的准确性和F1分数分别达到81％和77％。

关键字：入侵检测系统，Modbus，监控与数据采集，智能电网，Smod

第一节 介绍

在物联网（IoT）时代，信息和通信技术（ICT）构成关键基础设施（CI）不可或缺的一部分。特别是，在能源领域，常规电网通过提供多种优势（例如自我监控，双向通信，自我修复和分布式发电），被转换为称为智能电网（SG）的新范例。但是，SG由于ICT的脆弱性（主要是不安全的通信协议，例如Modbus，Profinet，分布式网络协议（DNP3）和IEC 60870-5-104）的脆弱性，给网络安全带来了严重威胁。

在本文中，我们关注于Modbus / TCP协议的安全性，该协议通常由监督控制和数据采集系统（SCADA）使用。Modbus / TCP不包括任何身份验证或访问控制机制，因此使潜在的网络攻击者能够执行大量的网络攻击，例如拒绝服务（DoS），中间人（MitM）和未经授权的访问。特别是，本文的贡献是双重的。首先，我们调查并增强Smod [1]支持的各种Modbus / TCP网络攻击。Smod是与Modbus / TCP相关的最广为人知的pen-testing测试工具，它集合了一组诊断和攻击功能[1]。在本文中，我们通过五个新的网络攻击扩展了Smod。其次，我们提供了一种入侵检测系统（IDS），该系统能够检测针对Modbus / TCP的DoS攻击。

本文的其余部分组织如下。第二部分提供有关Modbus / TCP安全性的相关工作。在第三部分中，我们列出了Smod支持的各种网络攻击并描述了我们的扩展。第四节分析了IDS的体系结构&#