《工业网络审计产品》测试及工控协议测试工具使用经验分享

《工业网络审计产品》测试及工控协议测试工具使用经验分享

时间:2021-05-10 作者:安帝科技

1测试目的及方法

2021年5月10日 安帝科技测试工程师宋显宾,为大家分享一次《工业网络审计产品》工控协议方面的测试经验,没做过的伙伴,如果你恰巧需要的话就收藏参考下吧。本次分享就以Modbus为案例给大家讲解。
目的:测试《工业网络审计产品》审计流量中modbus协议的协议事件。
方法:利用Modbus协议模拟器,产生流量,利用交换机镜像流量的方式把流量传输给工业网络审计产品,验证《工业网络审计》采集流量的功能。

2所需设备

所需软、硬件工具:请看下面测试第二步中有详细描述。测试第一步:为搭建测试网络环境做准备。环境拓扑图如下 :

 测试第二步:软硬件环境准备分别搭建modbus客户端、modbus服务端、配置交换机流量镜像口(本次交换机流量镜像口为24口)
硬件:两台装有Windows的物理机、工业网络审计设备、交换机
图下产品就是我司的《工业网络审计产品》提到它,我就忍不住多嘴想让大家了解下。

AN-INA/V1.0型工业网络审计系统是一款网络审计型信息系统安全审计产品,其样品形态为硬件,通过自定义审计策略,能够针对FTP通讯、HTTP通讯、SMTP/POP3通讯、TELNET通讯,和Modbus TCP、S7等工控协议进行审计,并且能实时审计网络中的攻击行为,利用内置的威胁库,根据已知的威胁特征建立检测规则,实时对网络中的入侵进行告警,并生成审计日志。样品前面板配备运行、告警、网口状态指示灯;后面板配备一个Console口、一个B码对时输入接口、一个USB接口、八个以太网口、两路DO继电器接口,两路电源输入和电源开关。
软件:Modbus Poll、Modbus Slave

3测试环境构建

安装操作:1>百度下载上面两个软件即可,下载好后安装到两个对应的物理机上,一个做客户端,一个做服务端,2>将两个物理机连接到交换机上,3>交换机镜像口接到工业网络审计设备的流量分析网口4>IP设置,使三个设备的IP在同网段中,例如172.16.0.**
客户端物理机预设IP172.16.0.34
服务端物理机IP172.16.0.75
工业网络审计流量分析口0.0.0.0
5>安装Modbus Poll
安装完成,在桌面能够看到ModbusPoll的快捷方式,双击该快捷方式,打开软件,打开后界面如下图所示。

单击Connection->Connect,弹出注册窗口;打开压缩包解压后的readme文件,复制ModbusPoll的序列号,粘贴到注册窗口的注册栏,如下图所示,点击OK,完毕。

6>程序主窗口:按照上面流程,按“OK”按钮即可完成注册。然后直接进入主窗口,如下图所示:

modbus poll 4.3.4程序主窗口

其中:Tx = 4表示向主站发送数据帧次数,图中为4次;Error = 0表示通讯错误次数,图中为0次;ID = 1表示模拟的Modbus子设备的设备地址,图中地址为1;F = 03表示所使用的Modbus功能码,图中为03功能码;SR = 1000ms表示扫描周期。红字部分,表示当前的错误状态,“No Connection”表示未连接状态。

7>参数设置:单击菜单【Setup】中【Read/Write Definition.. F8】进行参数设置,会弹出参数设置对话框。

 其中:
A.Slave为要访问的Modbus从站(从机)的地址,对应主窗口(主画面)中的ID值,默认为1。
B. Function 为寄存器功能码的选择,共四种.
C. Address 为寄存器起始地址,默认从0开始。
D. Length为寄存器连续个数,默认为10个,对应组态软件的通道数量。
E. Scan Rate为读取数据周期,单位毫秒,默认为1000ms。   设置完成单击OK按钮,模拟窗口将显示定义的寄存器列表。

8>显示设置:  数据显示方式设置:  默认情况下,寄存器数据的显示方式为Signed方式(16进制无符号二进制),数据范围为-32768~32767。如果用户要以其他数值方式显示,可以通过菜单【Display】进行选择设置,如下图所示:

地址格式设置:Modbus Slave默认使用PLC地址,【Display】菜单中【PLC Addresses(Base 1)】为默认选中状态,默认寄存器的起始地址为1开始,此点与组态软件的Modbus串口和TCP数据转发驱动是相同的。如果测试时需要设置起始地址为0开始,可选择【Protocol Addresses(Base 0)】。一般情况下使用默认PLC地址即可。使用工具栏的”Communication Traffic”按钮,可以显示出当前发送命令和接受的数据。

9>工具建立连接:主程序窗口点击connection,弹出下图弹框,连接方式有两种串口和TCP/IP。本次测试使用的第二种,输入server端IP和端口,点击

10>断开连接:点击【Disconnect  F4】即可断开连接结束测试,此时主窗口中出现红色的“No Connection”表示未连接状态。

11>Modbus Slave使用安装注册:安装软件,安装完成之后,双击执行ModbusSlave快捷方式即可。注册方法:单击Connection->Connect,弹出注册窗口;打开压缩包解压后的readme文件,复制ModbusPoll的序列号,粘贴到注册窗口的注册栏,点击OK,完毕。ModbusSlave的安装与ModbusPoll类似,在此不再赘述。主窗口:软件主窗口如下图所示:

此时处于“Noconnection”未连接状态,如果只测试“04输出保持寄存器”,则可直接点击跳到第3.步,直接进行连接即可。参数设置:
点击菜单“Setup”中“Slave Definition.. F2”进行参数设置,会弹出如下图对话框。

其中:
A.Slave为Modbus从站地址,对应主画面中的ID值,默认为1。
B.Function 为寄存器功能码的选择,共四种
C.Address 为寄存器起始地址。默认从1开始。
D.Length为寄存器连续个数。默认为10个。设置OK按钮,模拟窗口将显示定义的寄存器列表:

地址格式设置:
Modbus Slave默认使用PLC地址,“Display”菜单中“PLC Addresses(Base 1)”为默认选中状态,默认寄存器的起始地址为1开始,此点与组态软件的Modbus串口和TCP数据转发驱动是相同的。如果测试时需要设置起始地址为0开始,可选择“Protocol Addresses(Base 0)”。一般情况下使用默认PLC地址即可。

其中:Port2,表示使用的串口(COM2),根据实际情况选择不同的串口或者TCP/IP进行连接Mode,表示Modbus协议模式,使用串口时有效;使用TCP/IP时自动为TCP模式Flow Control,表示流控制,串口模式时有效;Ignore Unit ID,表示TCP模式时忽略无效的组编号用户可根据需要对串口参数进行设置,默认为:串口1,波特率9600,数据位8位,无校验位,1位停止位。确认设置后点击“OK”按钮即可。此时主窗口中红色的“Noconnection”表示未连接状态的信息消失,表明从站处于正常连接状态。

4测试过程及结果

以上为环境准备,下面为工业网络审计的modbus协议流量分析审计的测试执行:1>执行客户端和server端连接,

2>设置功能码:客户端(poll)功能码选择06——- slave端功能码选择03,传输的值填写1

测试结果

核对网络审计结果:事件主题、事件客体、内容、原始内容、事件子类型(协议的名字)内容:为modbusserver端向客户端的通信内容,操作类型为 WRITE SINGLE REGLSTER传的值为1

事件触发次数:1次事件发生时间:2021-04-0717:56:48

5结论

本次测试通过,《工业网络审计》解析modbus协议功能正常,准确的解析出了modbus的协议类型、操作类型、传输的内容值。本次测试分享完成,感谢大家的细心阅读,希望对需要的测试朋友大家有所帮助,共同成长。