主动信息获取模式下PLC性能的影响因素分析

Impact Analysis of PLC Performance When Applying Cyber Security Solutions Using Active Information Gathering

---

一、摘要

本文通过CompactLogic 设计了一个程序，通过分析影响PLC性能的因素，提出增强PLC安全性的方案。

二、相关技术介绍

（一）PLC的任务安排模式

一般来说，PLC支持Continuous Task (CT)，Periodic Task (PT)， event tasks三种类型的任务。一般状态下，执行Continuous Task (CT)，一旦出现呢较高优先级的任务，那就执行高优先级的任务，该任务结束后，继续执行CT。Periodic Task (PT)用于表示高实时性的任务，并且要求在特定周期（如20ms）运行。Event task处理预定义事件的预定安排任务（如第一次扫描、错误、数字信号变化等）。
一般来说，PLC支持Continuous Task (CT)，Periodic Task (PT)， event tasks三种类型的任务。一般状态下，执行Continuous Task (CT)，一旦出现呢较高优先级的任务，那就执行高优先级的任务，该任务结束后，继续执行CT。Periodic Task (PT)用于表示高实时性的任务，并且要求在特定周期（如20ms）运行。Event task处理预定义事件的预定安排任务（如第一次扫描、错误、数字信号变化等）。
PLC一般提供两种通信方式：RT-communication,non-RT-communication。（RT指real time）。RT通信用于同步I/O信息，并且通常以无连接的方式执行，例如在UDP或链路层上。非RT通信通常在TCP上执行，并在需要通信可靠性时使用。

PLC任务安排如下图，任务优先级从高到低递减，Event task优先级最高，Non-RT-comm最低。可以发现当没有比continuous task优先级高的任务时，执行CT。如果PLC需要执行低优先级的操作(例如，非rt通信)，CT将暂时停止其操作并执行相应的通信。

（二）PLC的安全模式

主要分为四种：被动监听（Passive Monitor），嵌入式插件（Bump in the wire）,安全功能植入（Security Function Implanting），主动信息获取（Active information gathering）。

Passive Monitor被动监听是通过网络镜像和信号线路采集监测对控制器的不合理的指令以及异常的行为。BitW 通常用于阻止不恰当的指令。大多数针对PLC的安全方案采用上述两种方法，因为这两者不会直接影响PLC。

Security Function Implanting安全功能包括修改控制逻辑或固件来添加新的安全功能。
Active information gathering主动信息获取是通过获取信息来检查安全状态或检测攻击的证据，例如：日志收集，漏洞扫描，标签信息收集。

三、实验设计

（一）实验环境搭建

CompactLogic的CPU型号为L24ER-QB1B，固件版本为24.011。
实验分析了信息采集对PLC的CT/PT和RT/非RT通信的影响，如下图所示。对于RT通信测试，使用两个Compactlogix配置了服务端和客户端的通信。对于非RT通信，使用InGear库实现了一个人机接口(HMI)应用程序。利用网络交换机收集网络流量，使用Wireshark进行RT和非RT网络流量分析,使用Saleae Logic Analyzer采集数字信号输出。

（二）通信负载场景

除了供应商的专用服务外，PLC还提供SNMP和SNTTP等信息获取服务。本研究旨在确定通过每个服务产生的影响。因此，必须验证目标PLC提供的信息服务的类型。下表是通过nmap扫描CompactLogix端口得到的，以下三种服务被确定为适合于信息获取：SNMP、HTTP和以太网/IP上的通用工业协议(CIP)。添加ICMP是因为一些安全解决方案使用ICMP来检查网络节点是否处于活动状态。

（三）实验结果

实验对10种负载场景进行了性能影响的分析实验，结果如下图。除了两种情况（web_10和6a.RA_Auth_10）外，都能正常进行。在web_10负载场景下，PLC停止并进入故障模式。在6a.RA_Auth_10负载场景下，由于CompactLogix不支持多个身份验证，所以出现异常。

（四）实验结果分析

在实验正常进行的8个加载场景中，周期性任务和RT通信没有显著影响。然而，由于流量负荷，CT的平均扫描周期时间增加了5.1%，非RT通信的RTT增加了36.8%。该影响在正常负荷情景中并不明显，仅在过载情景和6a.RA_Auth中观察到大量的变化。而在过载和6a.RA_Auth场景中强制执行了加密操作。因此，在每秒部署请求信息少于一次的安全解决方案是可以接受的。

此外，我们观察到CompactLogix没有分配给非RT服务。例如，在场景3a.SNMP _1中。当从控制器获取信息时，3a.SNMP_1对于几个SNMP请求-响应过程大约需要0.1秒，但在场景3b.SNMP_10中。3b.SNMP_10对几个SNMP请求-响应过程大概需要8秒。类似地，在场景4b.Web_10中。它所需的时间增加了许多进程获取信息的几倍。实验已经证实RT功能的资源是高度优先考虑的。此外，还证实了信息采集的负载对设备RT功能的影响不显著。