基于网络回溯分析技术的SCADA系统故障诊断结合DMZ区与在线业务区捕获的数据包分析来看，在正常的通讯过程中DMZ区与在线业务区之间的设备发送了RST(复位)数据包，释放了正常的会话，造成了SCADA系统不能正常从DMZ区的I/O Server上提取数据。 图2 DMZ区捕获到的TCP会话 通过查看科来网络回溯分析系统的交易时序图，可以发现复位数据包的TTL(生存时间)值是127。而正常时传输的数据，可以看到TTL(生存时间)值为61，和异常时明显不同，说明复位数据包并不是从10.2.103.10发出来的，而是有个中间设备发送了复位数据包中断了正常的应用会话。 正常会话的TTLTTL值为61，而异常复位数据包的TTLTTL值为127。结合该集团的拓扑图来看，正常会话发送初始TTLTTL值为64，经过2台防火墙和1台核心交换机后抓取到的TTLTTL值为61，而异常复位数据包初始TTLTTL值为128，只经过了DMZ区连接的防火墙，TTLTTL值减为127，说明复位数据包极有可能是某上网行为管理设备发送的。 (二)在线业务区交换机数据 我们在在线业务区交换机上抓取数据，找到同一个TCP会话。如下图3所示：
可以看到该会话中同样存在了大量的复位数据包，但与DMZ区不同的是，复位数据包是由10.2.0.52发送的。 同样查看科来网络回溯分析系统的交易时序图，可以看到复位数据包的TTL(生存时间)值是126。而正常时传输的数据，可以看到TTL(生存时间)值为125，和异常时明显不同，同样说明了复位数据包并不是从10.2.0.52发出来的，而是有个中间设备发送了复位数据包中断了正常的应用会话。 正常会话的TTL值为125，而异常复位数据包的TTL值为126。结合该集团的拓扑图来看，正常会话发送初始TTL值为128，经过2台防火墙和1台核心交换机后抓取到的TTL值为125，而异常复位数据包初始TTL值为128，抓取到的TTL值却为126，说明数据包只经过了核心交换机和在线业务区区连接的防火墙，说明复位数据包极有可能是某上网行为管理设备发送的。 三、结论及处理结果 结合DMZ区与在线业务区捕获的数据包分析来看，在正常的通讯过程中DMZ区与在线业务区之间的设备发送了RST(复位)数据包，释放了正常的会话，造成了SCADA系统不能正常从DMZ区的I/O Server上提取数据。根据数据包的解码分析，可以确定发送异常复位数据包的设备为某上网行为管理设备，通过对该设备策略的修改，10.2.103.10能够正常的从I/O Server上提取数据，未发生异常情况。
责编：王雅京  微信扫一扫实时了解行业动态 著作权声明：畅享网文章著作权分属畅享网、网友和合作伙伴，部分非原创文章作者信息可能有所缺失，如需补充或修改请与我们联系，工作人员会在1个工作日内配合处理。 |
最新专题 |
资深技术经理：无线网络设备导致信..
网上邻居九招特殊的应用.doc|
|
