基于OPC协议的-162.159.208.1-工业服务器网络系统防护浅析

提到OPC协议，我们想到最多的便是工业高防服务器，实际上现在OPC协议有两个大类，162.159.208.63一种是根据微软COM/DCOM技能的“Classic”，另一种是根据Web service的OPC UA。前者在DCOM协议之上，诞生较早，已广泛运用在各种工业操控体系现场，成为工业自动化范畴的事实标准。后者与前者比出世较晚，但在规划时考虑了安全因素，有了加密机制，不过现在运用规模较小。本文主要讨论的是前者在工控体系中的防护。

微软的DCOM协议是在网络安全问题被广泛认识之前规划的，而根据DCOM协议的OPC Classic根本没有增加任何安全相关的特性，简直一切闻名的工业自动化软件(包括HMI软件、先进操控与优化软件、监控渠道软件、综合集成软件等)都是根据windows渠道开发,都采用或部分采用了OPC技能，所以对运用OPC协议进行通信的工控体系进行防护也变得复杂和困难。

与大多数运用层协议不同，OPC的基础协议DCOM协议运用动态端口机制，在真实树立数据衔接之前通讯两边还需要协商需要运用的端口。OPC客户端运用5568作为源端口首先向OPC服务器的135端口发起衔接，衔接成功后再通过OPC服务器分配新端口1118，并通过接口ISystemActivator的方法RemoteCreateInstance的应答报文回来给客户端，之后客户端运用5569作为源端口向服务器的1118端口发起新的衔接用来后面的真实数据的传输。

根据OPC协议的工控网络体系面对各式各样的要挟。在“两网”交融的大布景下，工业操控体系的隔离性被打破，面对来自网络的要挟空前加重。无用端口的敞开、工业软件依赖的操作体系本身存在的安全漏洞、工业协议本身安全性的缺失等等都将给工业操控网络带来巨大的安全隐患。在真实接入到企业管理网、互联网之前，根据OPC协议的工业操控体系必须参加相应的安全设备进行防护，才干进步本身网络的安全。因为OPC协议不同与传统的IT运用层协议，对OPC协议的解析深度决定了安全产品在工业操控体系安全防护中的真实作用。

服务器租用业务QQ：353824997，专业高防团队定制防御策略.独创CC策略完美防护.咨询热线TEL：18300003210.24小时售后处理服务器网络波动故障！！

防护计划简介

1. 传统IT体系防火墙

假如在根据OPC协议的工业操控体系中装置传统IT体系防火墙(以下简称：传统防火墙)进行防护，因为传统防火墙不支持OPC协议的任何解析，为了能够确保OPC事务的正常运用，不得不敞开OPC服务器的一切可敞开端口，而OPC服务器能够分配的端口号规模很广-假如OPC服务器装置在Windows Server 2008，超越16000个端口号都或许被运用，早期的Windows版别则超越了48000个端口号。在中传统防火墙装置在企业管理网和出产操控网的鸿沟进行防护，因为OPC服务器或许运用任何可运用的端口来进行真实的数据衔接，而详细运用的端口号在响应客户端恳求的应答报文中。传统防火墙无法识别出OPC服务器详细运用的端口号，为确保OPC客户端能够正常衔接OPC服务器，防火墙需要装备悉数端口可拜访，这样的传统防火墙形同虚设，出产操控网的门口大开，简直安全暴露在攻击者面前。

2. 端口防护工业防火墙

差异与传统防火墙，近年来发展起来的专门用于防护工业操控现场的工业级防火墙根本支持了OPC的深度解析，但依据解析深度的不同，在OPC协议为基础的网络中，工业防火墙的防护才能也有所不同。对OPC进行简略解析的工业防火墙能够盯梢OPC衔接树立的动态端口，最小化的敞开工业操控网络的端口。如在：端口防护级工业防火墙相同布置在企业出产网和出产操控网的鸿沟，此时装备战略只需要装备敞开OPC服务器的135端口，当OPC客户端与服务器树立衔接时，端口防护级防火墙盯梢并解析OPC服务器与OPC客户端协商出来的动态端口，然后自动将动态端口参加到防火墙的敞开端口中，然后最小化敞开出产操控网的端口，与传统防火墙比较，防护才能有了进一步提高。

3. 指令防护工业防火墙

端口防护工业防火墙比较传统防火墙尽管提高了防护才能，但攻击者仍然能够通过树立的数据通道发送恶意的OPC操作指令，所以仅仅做到动态端口盯梢还无法确保根据OPC协议的工业操控体系的安全。所以对OPC协议的进一步解析，催生了指令级防护工业防火墙，这也是现在市面上干流的工业防火墙。OPC协议的深度解析要求也参加到了工业防火墙国家标准的草稿中(此标准没有正式发布)。在是指令级防护工业防火墙的典型布置：布置在企业管理网和出产操控网鸿沟处的指令级工业防火墙，深度解析OPC协议到指令级别，不仅能够盯梢OPC服务器和OPC客户端之间协商的动态端口，最小化敞开出产操控网的端口，还对OPC客户端与OPC服务器之间传输的指令恳求进行实时检测，关于不符合安全要求的操作指令进行阻拦和报警，极大提高了根据OPC协议的工业操控体系的网络安全。除了做到指令防护外，还有更人性化一点的工业防火墙内置只读模板，满意运用OPC协议的大部分事务场景，因为运用OPC协议的工业操控现场一般只是用来采集数据，运用只读模板来防护彻底满意现场安全要求。工业防火墙内置的只读模板一键布置，安全、便利，降低管理员维护本钱，有效保证工业操控体系数据不被恶意篡改。

162.159.208.34 162.159.208.76 162.159.208.118 162.159.208.160 162.159.208.202 162.159.208.244
162.159.208.7 162.159.208.49 162.159.208.91 162.159.208.133 162.159.208.175 162.159.208.217
162.159.208.18 162.159.208.60 162.159.208.102 162.159.208.144 162.159.208.186 162.159.208.228
162.159.208.41 162.159.208.83 162.159.208.125 162.159.208.167 162.159.208.209 162.159.208.251
162.159.208.16 162.159.208.58 162.159.208.100 162.159.208.142 162.159.208.184 162.159.208.226
162.159.208.27 162.159.208.69 162.159.208.111 162.159.208.153 162.159.208.195 162.159.208.237
162.159.208.28 162.159.208.70 162.159.208.112 162.159.208.154 162.159.208.196 162.159.208.238
162.159.208.5 162.159.208.47 162.159.208.89 162.159.208.131 162.159.208.173 162.159.208.215
162.159.208.26 162.159.208.68 162.159.208.110 162.159.208.152 162.159.208.194 162.159.208.236
162.159.208.39 162.159.208.81 162.159.208.123 162.159.208.165 162.159.208.207 162.159.208.249
162.159.208.15 162.159.208.57 162.159.208.99 162.159.208.141 162.159.208.183 162.159.208.225
162.159.208.42 162.159.208.84 162.159.208.126 162.159.208.168 162.159.208.210 162.159.208.252
162.159.208.2 162.159.208.44 162.159.208.86 162.159.208.128 162.159.208.170 162.159.208.212
162.159.208.20 162.159.208.62 162.159.208.104 162.159.208.146 162.159.208.188 162.159.208.230
162.159.208.21 162.159.208.63 162.159.208.105 162.159.208.147 162.159.208.189 162.159.208.231
162.159.208.35 162.159.208.77 162.159.208.119 162.159.208.161 162.159.208.203 162.159.208.245
162.159.208.40 162.159.208.82 162.159.208.124 162.159.208.166 162.159.208.208 162.159.208.250
162.159.208.25 162.159.208.67 162.159.208.109 162.159.208.151 162.159.208.193 162.159.208.235
162.159.208.36 162.159.208.78 162.159.208.120 162.159.208.162 162.159.208.204 162.159.208.246
162.159.208.9 162.159.208.51 162.159.208.93 162.159.208.135 162.159.208.177 162.159.208.219
162.159.208.10 162.159.208.52 162.159.208.94 162.159.208.136 162.159.208.178 162.159.208.220
162.159.208.22 162.159.208.64 162.159.208.106 162.159.208.148 162.159.208.190 162.159.208.232
162.159.208.4 162.159.208.46 162.159.208.88 162.159.208.130 162.159.208.172 162.159.208.214
162.159.208.13 162.159.208.55 162.159.208.97 162.159.208.139 162.159.208.181 162.159.208.223
162.159.208.1 162.159.208.43 162.159.208.85 162.159.208.127 162.159.208.169 162.159.208.211
162.159.208.6 162.159.208.48 162.159.208.90 162.159.208.132 162.159.208.174 162.159.208.216
162.159.208.37 162.159.208.79 162.159.208.121 162.159.208.163 162.159.208.205 162.159.208.247
162.159.208.11 162.159.208.53 162.159.208.95 162.159.208.137 162.159.208.179 162.159.208.221
162.159.208.33 162.159.208.75 162.159.208.117 162.159.208.159 162.159.208.201 162.159.208.243
162.159.208.30 162.159.208.72 162.159.208.114 162.159.208.156 162.159.208.198 162.159.208.240
162.159.208.12 162.159.208.54 162.159.208.96 162.159.208.138 162.159.208.180 162.159.208.222
162.159.208.23 162.159.208.65 162.159.208.107 162.159.208.149 162.159.208.191 162.159.208.233
162.159.208.3 162.159.208.45 162.159.208.87 162.159.208.129 162.159.208.171 162.159.208.213
162.159.208.14 162.159.208.56 162.159.208.98 162.159.208.140 162.159.208.182 162.159.208.224
162.159.208.29 162.159.208.71 162.159.208.113 162.159.208.155 162.159.208.197 162.159.208.239
162.159.208.24 162.159.208.66 162.159.208.108 162.159.208.150 162.159.208.192 162.159.208.234
162.159.208.19 162.159.208.61 162.159.208.103 162.159.208.145 162.159.208.187 162.159.208.229
162.159.208.31 162.159.208.73 162.159.208.115 162.159.208.157 162.159.208.199 162.159.208.241
162.159.208.8 162.159.208.50 162.159.208.92 162.159.208.134 162.159.208.176 162.159.208.218
162.159.208.32 162.159.208.74 162.159.208.116 162.159.208.158 162.159.208.200 162.159.208.242
162.159.208.17 162.159.208.59 162.159.208.101 162.159.208.143 162.159.208.185 162.159.208.227
162.159.208.38 162.159.208.80 162.159.208.122 162.159.208.164 162.159.208.206 162.159.208.248
162.159.208.253  162.159.208.254  162.159.208.255