02-Modbus Security与纵深防御
7.2 Modbus Security 与纵深防御
本节摘要：Modbus Security 是带 TLS 加密与认证的 Modbus TCP（端口 802），而它只是纵深防御的一层。本节讲清 Modbus/TLS 的用法、防火墙与 VLAN 的网络隔离、以及"设备侧、网络侧、管理侧"三层的完整防护清单。位置：7.1 讲了风险，本节给解法。
Modbus Security：给 TCP 加上 TLS
Modbus Security（Modbus/TLS）在标准 MBAP 之上加 TLS 传输层安全：端口 802，客户端与服务端双向证书认证，报文全程加密。解决了两个问题：认证（只有持有效证书的客户端能连）与加密（报文不被窃听与篡改）。但注意：Modbus/TLS 目前只覆盖 TCP；RTU 串口仍无原生安全，要靠网络侧的隔离兜底。
传统 Modbus TCP：明文 502 端口，无认证 Modbus Security ：TLS 802 端口，双向证书认证，加密传输 适用场景：跨网段、跨机房、上云的 Modbus TCP 链路
工程落地要点：证书管理（客户端与网关都装证书，证书轮换要有流程）；性能影响（TLS 握手与加解密开销，工控流量小，影响可忽略）；生态支持（网关与软件要支持 802，老设备不支持时用支持 TLS 的网关做边缘转换）。
纵深防御的四层
Modbus 安全不能只靠一个机制，纵深防御按四层布置：
| 层 | 手段 | 作用 |
|---|---|---|
| 物理层 | 工控网独立布线、门禁 | 防物理接入 |
| 网络层 | 防火墙只放行 502/802 与白名单 IP、VLAN 隔离 | 防网络暴露与横向移动 |
| 协议层 | Modbus/TLS 双向认证、寄存器白名单 | 防未授权访问与篡改 |
| 管理层 | 访问审计、固件更新、定期渗透测试 | 发现并修复残余风险 |
四层缺一不可的案例：只做网络隔离不做协议认证，内部人员或病毒在工控网段内仍可直写设备；只做 TLS 不做网络隔离，TLS 端点本身成为攻击目标。纵深的意思是：任何一层被突破，其余层仍能挡住。
最小权限与白名单
Modbus 没有细粒度权限，但可以在网关/上位机层实现"寄存器级白名单"：网关只放行白名单内的功能码与寄存器范围（例如只允许 03 读遥测区、禁止 06 写控制区），把"能写一切"收敛为"只能写该写的"。实现方式：支持 ACL 的网关，或在主站软件里做请求过滤。对高危寄存器（控制类），再加"双人确认"或"写后读回校验"。
一个整改复盘案例
某厂整改工控安全：Modbus TCP 设备从办公网剥离到独立 VLAN；网关启用 TLS（802）；防火墙只放行上位机固定 IP 到网关 802 端口；高危控制寄存器在网关上配置为只读白名单之外。整改后一次模拟攻击测试：办公网被攻破的机器无法到达工控 VLAN，扫描不到设备——纵深防御把"一步到设备"变成了"四层都过不了"。
易错点清单
- 只做一层防御：TLS 或隔离单用都能被绕过，纵深四层都要做；
- 证书不轮换：证书过期或泄露后没有轮换流程，安全形同虚设；
- 白名单漏配写保护：高危寄存器忘了加白名单，等于留了后门；
- 把 802 与 502 混用：一边加密一边明文，攻击者走明文侧即可。
要点回顾：Modbus/TLS 解决认证与加密（802 端口）；纵深四层=物理/网络/协议/管理；寄存器白名单把"能写一切"收敛成"只能写该写的"。安全机制到位后，下一节看边缘网关这个 IoT 时代的桥头堡。
证书管理的落地细节
Modbus/TLS 的证书管理是落地的最大工程点：证书签发——自建 CA 还是用公共 CA（工控内网通常自建 CA，成本低且可控）；证书分发——客户端与网关都要装证书，批量部署时用配置工具统一下发；证书轮换——证书有有效期，轮换要有流程（到期前批量更新，别等过期后设备全连不上）；证书撤销——设备退役或泄露时吊销证书。没有证书管理流程的 TLS 部署，一年后就会因为证书过期变成"明文退路"——这是 TLS 项目最常见的失败模式。
纵深防御的测试方法
纵深防御要可测试：网络层——从办公网扫描工控网段，确认扫不到设备；协议层——无证书客户端连网关 802 端口，确认被拒；寄存器层——用调试器尝试写白名单之外的寄存器，确认被网关拦截；管理面——尝试默认密码登录，确认被拒。把这四项做成季度安全检查表，每次整改后跑一遍，纵深防御的效果要用"模拟攻击"验证，不是配置完就完事。
隔离的两种落地方式对比
| 方式 | 实现 | 优点 | 代价 |
|---|---|---|---|
| 物理隔离 | 工控网独立布线、独立交换机 | 最彻底 | 布线成本高 |
| 逻辑隔离 | VLAN + 防火墙规则 | 灵活、改造小 | 依赖防火墙正确配置 |
多数工厂用逻辑隔离起步（改造小），关键区域升级物理隔离。无论哪种，防火墙规则都要"默认拒绝、白名单放行"——写"允许所有"的规则等于没隔离。
易错点补充
- 防火墙规则过期：设备 IP 变更后旧规则失效导致全断，规则要跟着资产台账维护；
- VLAN 间路由放开：VLAN 配了但三层路由允许全通，隔离形同虚设；
- TLS 证书存明文共享盘：证书私钥泄露等于认证失效，私钥要独立保管。
现场问答
问：TLS 会影响性能吗？ 工控流量小（Kbps 级），TLS 握手与加解密开销可忽略。真正要管的是证书生命周期：过期前批量轮换，别等设备全连不上。
问：寄存器白名单在哪实现？ 两种：支持 ACL 的网关（放行指定功能码与地址范围）；或主站软件做请求过滤。高危控制寄存器必须进白名单之外（禁止写）。
问：只做网络隔离够吗？ 不够，隔离防外部，TLS 防内部与病毒横向：内部人员或感染主机在工控网段内仍可直写设备。纵深四层都要，别只做一层。