suricata学习杂记（一） - 指南

一、概念理解

1.PDU
PDU = Protocol Data Unit，协议数据单元，表示 某一层协议认为的“数据单位”。
例如：
对 HTTP
一个 HTTP 请求报文 = 一个 PDU
一个 HTTP 响应报文 = 一个 PDU
对 DNS（UDP）
一个 DNS 查询 = 一个 PDU
一个 DNS 响应 = 一个 PDU
对 TLS
一个 TLS Record = 一个 PDU
对 Modbus、DNP3 等 SCADA 协议
一个 Modbus ADU = 一个 PDU

PDU 在 TCP 流中的特殊点：
TCP 是流式的，没有边界，因此 PDU 边界需要由解析器自己识别，例如：
HTTP 通过 CRLF、Content-Length、chunked 等判断一个 PDU 的结束。
TLS 根据 Record Header（5 bytes）得知一个 Record 的长度，从而识别一个 PDU。
DNS over TCP 依靠前两个字节的 length prefix 决定 PDU 边界。

Suricata 的 parser 会做：stream data → reassembly → detect protocol → parse PDU。

一句话总结
某一层协议的“完整材料单元”。就是PDU
Suricata 解析器按 PDU 切片 TCP/UDP 流，并以 PDU （泛指）为单位生成 TX（事务）用于规则匹配。

**

二、Modbus ADU

**

ADU = Application Data Unit（应用数据单元），它是 Modbus 协议实际在网络上传输的完整资料单位，含有 Modbus 报文头 + PDU。
PDU（Protocol Data Unit）是 Modbus 通用的部分，格式是：Function Code + Data，全世界的 Modbus 都运用相同的 PDU。

Modbus 的三种主要传输方式：

传输类型	ADU 结构	说明
Modbus TCP	MBAP Header + PDU	在 TCP 上，无 CRC
Modbus RTU	Addr + PDU + CRC	定长 CRC
Modbus ASCII	Start + Addr + PDU + LRC + End	文本编码

Suricata 只支持解析 Modbus TCP，不解析 Modbus RTU / Modbus ASCII，源于Modbus RTU 与 ASCII都是通过串口传输的。

Modbus TCP 的 ADU = MBAP Header + PDU。
1）MBAP Header（7 字节）

字段	长度	说明
Transaction ID	2 bytes	请求/响应匹配
Protocol ID	2 bytes	一般为 0
Length	2 bytes	后续 PDU 的长度
Unit ID	1 byte	设备地址（从站地址）

2）Modbus PDU
Function Code (1 byte)
Data (N bytes)

完整例子（Modbus TCP ADU）
一个读取寄存器（Function Code = 0x03）的请求如下：

00 01       # Transaction ID
00 00       # Protocol ID
00 06       # Length
01          # Unit ID
03          # Function Code
00 6B 00 03 # Data (address 0x006B, count 3)

这里整段数据 = ADU
后面那部分（03 006B 0003）就是 PDU。

Suricata 中 Modbus ADU 的意义
Suricata app-layer parser 会解析：
①MBAP Header（用于判断 PDU 长度、TX 切分）
②PDU（用于提取寄存器地址、数量、响应值等）
③每一个 ADU 都会作为一个 TX（事务） 交给规则引擎匹配
suricata以PDU为单位生成TX（事务），Modbus TCP中，ADU就相当于PDU。