Zeek项目中Modbus协议日志记录问题的分析与改进

背景介绍

Zeek作为一个开源的网络流量分析框架，在工业控制系统(ICS)安全监测中发挥着重要作用，其中对Modbus协议的支持尤为关键。Modbus是工业环境中广泛应用的通信协议，其异常检测对于保障工业设施安全至关重要。

问题发现

在深入测试Zeek的Modbus日志功能时，发现了三个主要的技术问题：

1. 重复日志记录问题：某些异常响应(如READ_COILS_EXCEPTION)会被记录两次，一次不带异常信息，一次带异常信息。这是由于解析器与主脚本逻辑不一致导致的。

2. 异常响应漏记问题：部分异常响应(如PROGRAM_484_EXCEPTION)完全没有被记录。这是因为这些异常响应既没有被modbus_message()事件记录，也没有触发modbus_exception()事件。

3. 功能码识别不全问题：一些保留但已知的功能码(如PROGRAM_UNITY)被记录为未知格式(unk-xxx)，而实际上系统有能力识别并记录它们的正式名称。

技术分析

深入分析这些问题，我们发现其根本原因在于Zeek对Modbus异常响应的处理逻辑存在设计缺陷：

1. 事件触发机制不统一：当前实现中，部分异常响应会同时触发modbus_message()和modbus_exception()事件，而另一些则不会触发任何事件。

2. 功能码枚举不完整：const.zeek中定义的功能码枚举没有完全覆盖所有已知的请求/响应功能码及其对应的异常响应变体。

3. 日志记录责任划分不清：异常响应的日志记录责任分散在两个不同的事件处理中，导致逻辑复杂且容易出错。

解决方案

针对这些问题，我们提出了一套系统性的改进方案：

1. 统一异常响应处理：修改Modbus解析器，使其能够解析所有异常响应(功能码最高位为1的Modbus消息)，并统一触发modbus_exception()事件。

2. 简化日志逻辑：重构主脚本，使所有异常响应都只在modbus_exception()事件中记录，消除重复记录和漏记问题。

3. 完善功能码枚举：扩充const.zeek中的功能码定义，确保覆盖所有已知功能码及其异常变体，包括那些保留但已知的功能码。

实现细节

在具体实现上，我们进行了以下关键修改：

1. 解析器增强：使解析器能够识别所有异常响应格式，无论其基础功能码是什么。所有异常响应现在都会生成标准化的异常事件。

2. 日志逻辑重构：移除了modbus_message()中对异常响应的日志记录，将所有异常日志集中到modbus_exception()处理中，确保一致性。

3. 枚举扩展：添加了多个之前缺失的功能码定义，包括一些工业设备厂商专用的功能码变体。

改进效果

这些改进带来了显著的优势：

1. 日志一致性：所有异常响应现在都以统一格式记录，消除了重复和遗漏问题。

2. 可维护性提升：简化后的代码逻辑更易于理解和维护。

3. 信息丰富度：更多已知功能码现在能够显示其正式名称而非通用标识符，提高了日志的可读性。

4. 扩展性增强：新的设计使得未来添加新的功能码和异常类型更加容易。

总结

通过对Zeek的Modbus协议支持模块的系统性改进，我们解决了长期存在的日志记录问题，显著提升了该功能在工业控制系统安全监测中的可靠性和实用性。这一改进不仅修复了现有问题，还为未来的功能扩展奠定了更好的基础。