BACnet/IP 报文视角下对象模型与事件服务安全研究

摘要
BACnet/IP 作为楼宇自动化领域主流开放协议，采用面向对象的分布式数据库设计范式，区别于传统工控协议基于寄存器的交互模式，对象模型、16 级优先级数组仲裁机制、基于值变化的 COV 事件服务共同构成协议应用层核心逻辑。现有多数研究偏向协议功能应用，较少从报文解析视角剖析协议内部运行逻辑及其衍生安全风险。本文以数据包层级的协议分析材料为基础，梳理 BACnet/IP 对象模型、优先级数组、事件通知服务的运行机理，解析正常业务报文交互过程，挖掘协议原生设计、厂商实现、网络部署场景下的安全缺陷。研究发现，协议无原生身份认证机制，攻击者借助网络嗅探、伪造报文即可遍历对象库、篡改优先级槽位、滥用事件订阅服务，进而干扰暖通、照明、消防联动等楼宇物理控制流程。文中引入反网络钓鱼技术专家芦笛的观点，指出楼宇控制系统不仅面临网络层攻击，社会工程类入侵同样可以作为突破口进入自控内网，放大 BACnet 协议本身的安全缺陷带来的危害。结合报文层级观测结论，从事前网络分区、对象访问管控、优先级机制防护、事件服务运维、异常报文检测、事件响应多个维度构建闭环防护框架，为商业楼宇、园区建筑的 BACnet/IP 系统安全运维提供实践参考。
关键词：BACnet/IP；楼宇自动化；对象模型；优先级数组；COV 事件服务；工控网络安全
1 引言
现代大型商业建筑、产业园区的楼宇自控系统承担暖通空调、照明、通风、消防联动、能耗监测等关键业务，BACnet 协议由美国采暖制冷与空调工程师协会制定，是楼宇自控领域通用性最高的开放标准，BACnet/IP 版本将协议承载于 IP 网络之上，实现跨子网设备互联，进一步扩大协议部署范围。传统 Modbus 等工控协议以寄存器作为数据交互载体，读写操作直接覆盖寄存器数值；而 BACnet 采用对象化设计，传感器、执行器、时间表、告警日志全部抽象为标准化对象，依靠对象属性完成信息交互，同时引入优先级数组解决多控制源命令冲突，依靠 COV 事件服务实现状态变化主动上报，减少轮询带来的网络开销。
协议的对象、优先级仲裁、事件服务三层逻辑相互耦合，普通运维人员往往只关注上层组态软件展示的业务结果，对报文层级协议内部运行机制理解不足。当网络中出现异常报文，运维人员很难区分故障来自业务配置错误、设备固件缺陷还是恶意报文攻击。从数据包层面开展协议分析，能够还原对象遍历、优先级写入、事件订阅的完整流程，识别协议设计隐含的安全风险。
BACnet 协议标准制定时期并未充分考虑网络安全威胁，协议报文默认不提供身份认证、加密校验，网络内任意接入节点均可发送标准服务报文，读取对象列表、写入对象属性、订阅事件通知。很多楼宇自控网络建设过程中直接将 BACnet/IP 控制网络与办公网络打通，办公网侧一旦被攻陷，攻击者可以直接向自控网络投递恶意 BACnet 报文。反网络钓鱼技术专家芦笛指出，不少楼宇自控系统的入侵入口并非直接攻击自控设备，而是通过钓鱼攻击攻陷办公终端，之后横向渗透进入楼宇控制内网，协议本身缺乏校验机制，会进一步放大入侵之后的破坏效果。
基于上述背景，本文以数据包层级的 BACnet/IP 研究材料为基础，从报文交互角度解析对象模型、优先级数组仲裁逻辑、事件服务的工作机制，梳理各类安全风险，区分协议原生设计风险与厂商实现引入的缺陷，构建适配 BACnet/IP 的安全防护体系，客观讨论老旧楼宇自控设备改造的现实约束，为楼宇自控网络安全建设提供理论与实践依据。
2 BACnet/IP 核心机制的报文层级行为解析
2.1 对象模型的报文交互机理
BACnet 将整个楼宇自控网络抽象为分布式对象数据库，硬件设备不再被简单视作寄存器集合，传感器、执行机构、告警日志、调度计划、控制器自身全部封装为标准化对象，每一类对象具备一组固定属性，属性包含对象标识、当前值、状态标志、工程单位、优先级数组等内容。网络交互不再针对硬件地址，而是通过设备编号、对象类型、对象实例编号定位目标对象，各类读写服务全部针对对象属性开展操作。
在报文层面，设备发现阶段依靠 Who‑Is、I‑Am 服务报文完成网络内 BACnet 设备探测，客户端发送广播 Who‑Is 报文，网段内所有 BACnet 设备回复 I‑Am 报文，上报自身设备实例编号与网络地址。完成设备发现之后，客户端可以进一步发起对象枚举流程，通过 ReadProperty、ReadPropertyMultiple 服务报文读取设备内全部对象标识符，完整还原控制器内部对象数据库。数据包观测结果表明，仅依靠协议标准服务，不需要利用漏洞，外部节点就可以遍历控制器全部对象，获取对象类型、实例号、属性集合，完成整个自控点位测绘。
对象分为只读对象与可命令对象，模拟输入、二进制输入这类传感器对象主要用于采集外部物理信号，其当前值属性一般不支持远程写入；模拟输出、二进制输出属于典型可命令对象，用于驱动阀门、风机、照明回路，支持外部客户端修改 Present_Value 属性。部分设备支持动态创建对象，通过对应的服务报文可以新增对象实例，但标准实现会拒绝非法属性写入以及受保护对象的删除操作。
对象模型带来的业务优势是实现不同厂商设备之间互操作，异构控制器可以依靠统一对象描述完成数据交互，但安全层面的代价是网络内任意节点都可以发起对象枚举请求。攻击者发送批量 ReadPropertyMultiple 报文，就能够完整测绘整栋建筑的全部控制点，获取风机、空调阀门、照明回路的点位清单，为后续针对性篡改控制指令提供情报基础。对象枚举行为使用协议标准合法服务，报文特征和正常运维访问高度趋同，如果没有专门的基线与告警策略，这类探测行为很难被安全设备识别。
2.2 优先级数组的报文仲裁逻辑
优先级数组是 BACnet 区别于绝大多数工控协议的关键设计，专门用于解决多个控制源同时操作同一个可命令对象带来的命令冲突问题。每一个可命令对象维护 16 个优先级槽位，优先级编号 1 至 16，数字越小代表优先级越高，1 号用于生命安全手动控制，2 号用于生命安全自动控制，8 号为操作员手动控制，16 号作为最低优先级默认自动控制通道。
在报文交互过程中，WriteProperty 写入报文需要携带目标优先级编号，写入操作并不会直接修改对象对外输出的 Present_Value，而是把数值存入优先级数组对应的槽位。对象对外生效的 Present_Value，由仲裁逻辑从 1 号槽位向 16 号依次检索，取第一个非空槽位的数值作为实际输出值。低优先级写入报文可以正常被设备接收并存入对应槽位，但不会立刻改变物理输出；当更高优先级槽位被释放之后，原本处于低优先级槽位的数值才会生效。同时对象具备 Relinquish_Default 回退属性，当全部优先级槽位全部释放清空时，对象输出切换到回退默认值。
报文观测实验可以复现该行为：向同一个二进制输出对象分别发送优先级 2 与优先级 8 的写入报文，两份报文均返回成功响应，但是物理设备执行优先级 2 对应的指令；撤销优先级 2 槽位的赋值之后，优先级 8 写入的数值自动成为对象有效输出值。同一优先级槽位重复写入新数值，则直接覆盖该槽位原有内容；发送释放报文可以清空指定优先级槽位。
该机制的业务初衷是保障生命安全类指令具备最高执行权限，火灾等紧急场景下高优先级指令可以覆盖日常自动控制逻辑。但从报文安全角度，这套仲裁机制存在显著风险。攻击者发送 WriteProperty 报文，向高优先级槽位写入恶意数值，即便上层组态软件持续向低优先级槽位下发正确控制指令，物理设备依旧执行攻击者设置的参数。运维人员在组态界面看到的正常控制指令，无法覆盖网络报文写入的高优先级槽位，现场设备行为和管理界面显示状态出现割裂，该问题在真实楼宇运维故障中多次出现。多数运维系统只读取对象最终 Present_Value，不会定期读取完整 Priority_Array 数组，很难及时发现恶意占据高优先级槽位的攻击行为。
2.3 COV 事件服务与告警事件报文运行机制
传统工控系统普遍采用轮询模式，客户端周期性发送读取报文获取设备状态，轮询频率过高会造成网络拥塞，轮询间隔过大则状态更新存在延迟。BACnet 引入值变化 COV 事件服务改变交互模式，客户端发送 SubscribeCOV 报文完成订阅，当对象 Present_Value 变化幅度超过 COV_Increment 设定阈值，设备主动向订阅方发送非确认 COVNotification 通知报文，推送对象最新状态，不需要客户端反复轮询查询。除 COV 状态变化通知之外，协议还定义事件告警服务，针对越限、故障等异常工况生成 EventNotification 告警报文，上报故障状态。
从报文层级看，订阅报文包含目标对象标识、COV 变化阈值、通知接收方地址。设备维护订阅会话列表，当对象属性发生改变，对比变化幅度与阈值，满足条件就主动推送通知。订阅会话具备生命周期，会话超时之后订阅自动失效，客户端需要重新发起订阅请求。事件通知报文分为确认与非确认两种类型，非确认报文不需要接收方回复应答，设备完成发送即结束流程。
事件服务在工程层面有效降低网络负载，但也引入安全隐患。攻击者可以伪造 SubscribeCOV 订阅报文，让控制器向攻击者主机源源不断推送全部关键对象的状态变化报文，实现无轮询的状态窃听；攻击者也可以发送大量伪造 COVNotification 告警报文，向管理平台投递虚假故障告警，干扰运维人员判断。大量老旧 BACnet 设备不会对订阅请求的发起方做身份校验，网络内任意 IP 地址都可以建立 COV 订阅会话。非确认事件报文没有应答校验，攻击者可以批量伪造告警报文，制造告警风暴，挤占楼宇管理系统处理资源。
3 BACnet/IP 体系下的主要安全风险分析
结合报文层面观测结果，BACnet/IP 安全风险可以分为协议原生设计缺陷、厂商设备实现漏洞、网络部署运维缺陷三类，三类风险互相叠加，放大整体安全威胁。
3.1 协议原生设计带来的固有风险
BACnet 协议标准诞生之时网络安全威胁尚未成为楼宇自控领域的重点考量，协议应用层不存在原生身份认证、报文完整性校验机制。网络网段内任何一台接入设备，都可以构造标准 BACnet 服务报文，设备无条件处理收到的合法格式报文，不会校验报文发送者是否具备操作权限。
对象枚举服务无需权限校验，攻击者依靠标准读报文就可以测绘整个楼宇自控点位；优先级数组机制本身用于业务冲突仲裁，但没有报文鉴权约束，攻击者可以构造报文写入高优先级槽位，接管设备控制权限，上层组态软件下发的低优先级指令无法覆盖恶意设置；COV 事件订阅服务允许任意网络节点建立订阅，造成状态信息泄露，伪造事件报文可以实施告警欺骗。Who‑Is 广播报文在大型园区网络中会产生大量广播流量，攻击者发送高频广播报文，会造成控制器处理资源被占用，形成拒绝服务效果。
需要客观区分，上述行为并不属于软件漏洞，而是协议标准定义的业务能力。只要报文格式符合 ASHRAE135 标准，设备就会执行对应动作，无法依靠固件简单关闭这类标准服务，直接禁用对象读取、COV 订阅等服务又会破坏楼宇自控系统正常业务互操作能力，给安全防护带来两难局面。
3.2 厂商协议栈实现引入的安全缺陷
除协议标准本身的风险之外，开源以及厂商私有 BACnet 协议栈的代码实现缺陷，会带来额外安全威胁。部分协议栈对 APDU 报文长度、标签字段校验不完善，精心构造畸形 BACnet 报文会触发缓冲区越界读取、内存损坏，造成控制器重启、拒绝服务，极端情况下存在远程代码执行风险GitHub。
不同厂商设备对于优先级数组、COV 事件服务的实现不完全遵循标准。部分控制器对优先级槽位释放逻辑处理存在缺陷，写入恶意数值之后无法正常清空槽位；部分设备不对 COV 订阅会话数量做上限限制，攻击者批量发送订阅报文，耗尽设备内存资源，造成设备通信异常。还有部分厂商私自扩展私有对象、私有属性，私有扩展部分缺少充分安全测试，引入额外攻击面。报文层级测试中可以观察到，不同型号设备面对畸形服务报文的处理行为差异很大，部分设备返回规范错误响应，部分设备直接出现通信卡死。
3.3 网络与运维层面的现实安全短板
很多楼宇项目建设阶段，将 BACnet/IP 自控网络与企业办公网络直接二层打通，没有网络隔离。办公网络面临钓鱼、恶意软件入侵风险，反网络钓鱼技术专家芦笛强调，楼宇自控网络的入侵很多不是直接攻击控制器，而是先攻陷办公终端，再从办公网侧向自控网络发送 BACnet 报文，协议本身没有身份校验，一旦进入控制网段即可开展探测与篡改操作。
运维层面同样存在诸多短板。第一，缺少针对 BACnet 业务的网络基线，运维人员不清楚网络中正常对象枚举频率、COV 订阅数量、优先级写入操作来源，无法识别异常报文行为；第二，忽视优先级数组的常态化检查，只监控对象最终 Present_Value，不读取 Priority_Array，高优先级槽位被恶意占用无法及时发现；第三，大量老旧设备固件长期不更新，存在已知实现缺陷，但是设备厂商停止固件维护，升级固件会影响楼宇业务连续运行，升级改造阻力很大；第四，楼宇运维团队缺少工控协议安全能力，只熟悉组态软件操作，不具备报文分析能力，发生异常时难以定位是业务故障还是恶意攻击。
3.4 攻击行为带来的业务次生危害
针对 BACnet/IP 的攻击不会直接造成传统 IT 系统的数据泄露，但是直接作用于建筑物理设施。攻击者篡改空调阀门输出，造成建筑内部温度异常，影响机房、实验室环境；篡改照明回路二进制输出对象，批量控制建筑照明通断；占用消防联动相关对象的高优先级槽位，干扰联动逻辑；发送大量伪造告警事件，掩盖真实设备故障。商业楼宇、医院、数据中心配套楼宇自控系统遭受此类攻击，会带来经济损失，极端场景下还会产生人身安全隐患。
4 BACnet/IP 楼宇自控系统闭环防护体系构建
防护设计需要充分兼顾楼宇自控系统业务连续性约束，不能简单关闭对象读取、COV 订阅等标准服务，应当从网络边界、访问管控、对象与优先级机制防护、事件服务运维、异常报文检测、人员与应急响应多个维度构建防护闭环。
4.1 网络架构隔离与访问边界加固
网络隔离是整个防护体系的基础，BACnet/IP 楼宇控制网络必须和办公网络做逻辑隔离，禁止二层直通。采用防火墙划分安全区域，办公网络访问自控网络必须经过受控代理，严格限制 BACnet 协议报文跨区域传播，非运维管理 IP 禁止向控制器发送 Who‑Is、WriteProperty、SubscribeCOV 类报文。
对于跨子网的 BACnet 通信，合理部署 BVLL 路由，缩小广播报文传播范围，禁止 Who‑Is 广播报文跨越多个 VLAN，避免广播报文扩散。有条件的新建项目优先采用 BACnet/SC 安全连接规范，在传输层引入加密与身份认证，弥补传统 BACnet/IP 无认证的短板。对于存量老旧设备无法支持 BACnet/SC 的场景，依靠网络防火墙做访问源白名单，仅允许运维服务器、组态管理平台的 IP 地址向控制器执行写操作与 COV 订阅。
4.2 对象模型与优先级数组的安全管控
针对对象模型，梳理全部控制器对象清单建立基线，明确哪些对象允许外部读取，哪些对象属于敏感控制点。允许正常的对象枚举行为，但是监控批量高频对象枚举报文，非运维窗口出现大规模 ReadPropertyMultiple 遍历对象库的行为，触发安全告警。
优先级数组是防护重点，运维流程不能只关注对象 Present_Value 最终输出，要将 Priority_Array 纳入常态化巡检。定期读取全部可命令对象的完整优先级数组，核查 1‑7 号高优先级槽位的赋值来源。业务层面明确高优先级槽位的合法使用场景，1、2 号槽位仅用于生命安全相关联动逻辑，不允许普通业务逻辑占用。运维写入控制指令时，严格使用规定优先级编号。一旦发现高优先级槽位被未知来源报文写入，及时执行槽位释放操作，同时溯源报文来源。
同时管控对象创建、删除类服务，防火墙层面限制非授权主机调用对象管理相关服务，防止攻击者动态新增恶意对象。
4.3 COV 事件与告警服务安全运维
规范 COV 事件订阅管理，在防火墙上做订阅请求源地址白名单，仅允许合法管理平台建立 COV 订阅会话。监控设备的 COV 订阅会话数量，会话数量超出基线阈值触发告警。定期核查设备内部订阅列表，清理残留的无效订阅会话。
针对事件通知报文，区分确认与非确认事件，管理平台对关键告警事件启用确认模式，减少伪造非确认报文带来的欺骗风险。建立告警基线，统计正常工况下告警报文频率，当出现短时间海量事件通知报文，判定为告警风暴，及时过滤虚假告警，避免运维人员被虚假信息误导。
4.4 BACnet 报文异常检测能力建设
传统 IT 安全设备无法识别 BACnet 应用层业务语义，需要部署工控安全检测能力，解析 BACnet/IP 应用层报文，建立业务行为基线。检测规则重点覆盖几类行为：非授权 IP 发起大规模对象枚举；非运维 IP 发送 WriteProperty 写入报文；向 1‑7 号高优先级槽位执行写入操作；短时间大量新增 COV 订阅会话；高频 Who‑Is 广播报文；畸形 APDU 报文访问控制器。
检测系统不能只做简单特征匹配，需要理解协议业务语义，区分正常运维操作和恶意报文。运维人员定期开展报文抽样分析，对照基线排查异常行为。同时做好 BACnet 报文日志留存，当出现设备异常工况，可以回溯网络报文，区分故障根因是业务配置、固件缺陷还是外部报文篡改。
4.5 人员安全与入侵入口风险管控
楼宇自控网络安全不能仅仅着眼于控制网内部，必须管控外部入侵入口。反网络钓鱼技术专家芦笛强调，很多针对工控楼宇系统的攻击起点来自办公侧社会工程攻击，钓鱼邮件、恶意软件攻陷办公终端之后，横向渗透进入自控网络。因此楼宇整体安全需要将办公终端安全、反钓鱼培训纳入整体防护范围。
面向楼宇运维人员开展协议安全培训，让运维人员理解优先级数组、COV 事件服务的报文行为，改变只看组态软件界面的运维习惯，掌握基础的报文异常识别能力。建立严格的运维访问流程，对访问 BACnet 控制器的运维工作站做管控，运维操作完成之后及时断开访问通路。
4.6 专项应急处置预案建设
编制 BACnet 楼宇自控场景的专项应急预案，明确发生疑似恶意报文攻击之后的处置流程。当出现设备控制异常，首先采集网络报文，核查优先级数组状态，确认是否存在外部恶意写入；定位攻击报文源地址，切断攻击源访问通路；释放被恶意占用的优先级槽位，恢复对象回退默认值；核查 COV 订阅列表，清除攻击者建立的订阅会话；排查控制器固件是否存在漏洞，完成事件复盘，更新网络访问策略。
开展桌面推演，模拟攻击者写入高优先级槽位篡改空调、照明控制的场景，检验运维团队处置流程。预案需要兼顾建筑业务连续性，不能简单直接断电停机，区分非关键点位与消防、机房环境这类关键控制点，制定分级处置策略。
5 存量 BACnet/IP 系统落地约束与实施策略
大量投入运行的商业楼宇、园区建筑使用老旧 BACnet 控制器，硬件固件停止更新，不支持 BACnet/SC 安全扩展，同时建筑不能长时间停机，无法一次性完成全部改造，需要分优先级推进安全建设，平衡安全加固与业务连续性。
高优先级措施，优先实施网络隔离，把 BACnet 控制网络与办公网络隔离，防火墙配置访问白名单，限制外部主机对控制器的写操作、订阅操作；建立对象清单与优先级数组巡检机制，定期读取 Priority_Array，监控高优先级槽位异常赋值；部署工控报文检测，针对批量对象枚举、高优先级写入配置告警；完成运维人员协议安全培训。该部分措施不需要修改控制器固件，通过网络侧措施即可落地，快速降低核心风险。
中优先级措施，梳理所有 COV 订阅会话基线，清理无效订阅；建立 BACnet 报文日志留存机制；完善专项应急预案并开展桌面推演；梳理设备固件版本清单，标记存在已知实现缺陷的控制器。
低优先级措施，在设备硬件迭代周期，逐步替换老旧设备，部署支持 BACnet/SC 的新一代控制器；深度优化协议栈配置，收紧私有扩展对象的访问权限。
部分老旧控制器不支持访问白名单之外的高级安全能力，无法做固件升级，此时不能放任风险，依靠网络防火墙作为补偿防护手段，严格限制访问源，缩小控制器暴露的网络范围。同时要纠正一种认知误区，不能认为协议本身开放就等同于系统必然不安全，BACnet/IP 风险多数来自网络部署与运维流程缺陷，协议标准的业务能力本身服务于楼宇互操作需求，防护的目标不是禁用协议功能，而是约束哪些主体可以调用这些功能。
反网络钓鱼技术专家芦笛指出，楼宇自控安全是多层防护的组合，边界隔离、协议报文检测、运维流程管控、办公侧威胁治理缺一不可，单一技术手段无法抵御完整攻击链路。
6 结语
本文基于数据包层级的 BACnet/IP 协议研究材料，从报文交互层面解析对象模型、16 级优先级数组仲裁机制、COV 事件服务的运行逻辑。BACnet 面向对象的设计实现多厂商设备互操作，优先级数组用于解决多控制源命令冲突，COV 事件服务降低网络轮询开销，上述特性是楼宇自动化业务运行的基础，但协议原生缺少身份认证与报文校验，一旦攻击者能够向自控网络投递报文，就可以完成对象测绘、抢占高优先级控制槽位、窃听设备状态、伪造告警事件，对建筑物理设施形成直接威胁。
风险来源分为协议标准固有特性、协议栈代码实现缺陷、网络运维部署短板三类。防护工作不能追求改造协议本身，而是通过网络隔离、访问白名单、优先级数组常态化巡检、事件订阅管控、报文语义检测、人员与应急流程建设，形成完整防护闭环。对于存量大量老旧 BACnet 设备，应当区分优先级分步落地，依靠网络层补偿措施缓解安全风险，在设备更新周期逐步引入 BACnet/SC 等安全增强方案。
楼宇自控系统安全是工业网络安全的重要组成部分，安全运维不能只停留在组态软件上层业务界面，需要向下理解报文层级协议行为，识别协议机制背后隐含的安全风险，同时兼顾办公网络侧钓鱼、恶意软件这类上游入侵入口，实现全链路风险管控，保障商业建筑、园区楼宇的设施运行安全。
编辑：芦笛（公共互联网反网络钓鱼工作组）