蜜端主动网络安全的制作方法
【技术领域】
[0001] 本文所公开的主题一般设及网络安全W及禪合到计算机网络的控制网络和控制 系统的安全。
【背景技术】
[0002] 计算机网络和网络技术正扩大到其中它们先前不存在的领域。例如，监测和控制 机器例如风轮机、气轮机、压缩机、马达、发电机W及其他装置的操作的监测和/或控制系统 (例如工业控制系统）已日益变成互连。运种互连可允许在物理上分开的机器和例如单个监 测站之间的信息的共享。然而，在传统上闭合（即非联网的）系统已变成互连时，来自计算机 攻击(例如黑客行为)的潜在威胁也已增加。
[0003] 已做出了一些改进工业控制系统的安全的尝试。例如，控制分层模型例如普度 (Purdue)模型已被实现。尽管运些模型为工业控制系统（"ICS")所有者、操作者和供应者已 提供有帮助的、公共语言W用来制订(frame)安全讨论，但是静态数据流、集中控制和只通 过边界的安全的隐含假设可证明是过时的。实际上，在ICS技术(分布式控制、智能装置W及 互用性)和日益复杂的易损性开发(vulnerability exploitation)中的进步可引起对于用 于侵入检测的更鲁棒模型和技术的要求。此外，新兴力量例如虚拟化、协作/社会化W及基 于云的基础设施/服务可进一步怀疑只在边界安全（即主要集中在预防进入系统的网络安 全)上建立的防御姿态的适当性。
[0004] 另外，在ICS禪合到例如公司网络时，进一步的安全问题可产生。终点安全是一种 技术，其已被用来预防对公司网络的未授权访问，因此企业在准许对公司网络的访问之前， 认证并且扫描每个装置或主机。然而，增强生产力但要求对网络的增加访问的消费品的激 增已引起其中在网络边缘处的保护可不充分的模型。因此，由于终端用户强烈要求许多装 置和对于企业的持续连接性，数据常常W不受监测和潜在不安全的方式流入和流出网络。 另外，由于个人云存储W及社交连网的使用，对于敏感数据的丢失或处理的风险可证明是 明显更高的。
[0005] 考虑到对于ICSW及ICS可禪合到的公司网络的计算机攻击的所增加可能性，存在 对于与未授权进入ICSW及公司网络的检测相关的所增加安全的需要。因此，实现克服本领 域中的难题W及允许所尝试侵入网络中的所增加检测的系统和技术将会是所希望的。
【发明内容】
[0006] 将在下面描述本发明的一个或多个具体实施例。在致力于提供运些实施例的简明 描述中，实际实施方式的所有特征可不在说明书中描述。应领会，在任何运种实际实施方式 的开发中，如同在任何工程或设计项目中，必须做出许多实施方式特定的决定W实现开发 者的具体目标(例如符合系统相关和商业相关的约束），其从一个实施方式到另一个实施方 式可发生变化。而且，应领会，运种开发努力可W是复杂的和费时的，但是对于受益于本公 开的普通技术人员来说将会仍然是设计、制作和制造的常规任务。
[0007] 在一个实施例中，一种装置包含处理器，处理器配置成:生成使用第一通信协议的 第一信号，其中第一信号对应于由处理器所接收的数据;生成使用第二通信协议的第二信 号，其中第二信号包括由处理器所生成的伪造数据(fabricated data); W及传送第一和第 二信号。
[0008] 在另一个实施例中，具有在其上存储的计算机可运行代码的非暂时计算机可读媒 介包含代码，代码包括用于W下的指令:接收数据;生成使用第一通信协议的第一信号，其 中第一信号对应于所接收数据;生成使用第二通信协议的第二信号，其中第二信号包括伪 造数据；W及传送第一和第二信号。
[0009] 在又一个实施例中，一种装置包含:存储器，配置成存储指令；W及处理器，配置成 运行所存储指令W :接收对应于机器的操作特性的数据;生成与机器相关的使用第一通信 协议的第一信号，其中第一信号对应于由处理器所接收的数据;生成与机器相关的使用第 二通信协议的第二信号，其中第二信号包括由处理器所生成的伪造数据；W及传送第一和 第二信号。
【附图说明】
[0010] 在参考附图阅读下面的详细描述时，本发明的运些及其他特征、方面和优点将变 得更好理解，在附图中，相似字符在整个附图中表示相似部件，其中：
[0011] 图1是按照实施例的包含计算机网络和工业控制系统的实施例的框图视图；
[0012] 图2是按照实施例的图1的控制系统的框图；
[0013] 图3是按照实施例的图1的人机接口的框图；
[0014] 图4是按照实施例图示与图1的工业控制系统的操作相关的方法的一个实施例的 流程图视图；
[0015] 图5是按照实施例图示与图1的工业控制系统的操作相关的方法的第二实施例的 流程图视图。
【具体实施方式】
[0016] 将在下面描述本发明的一个或多个具体实施例。在致力于提供运些实施例的简明 描述中，实际实施方式的所有特征可不在说明书中描述。应领会，在任何运种实际实施方式 的开发中，如同在任何工程或设计项目中，必须做出许多实施方式特定的决定W实现开发 者的具体目标(例如符合系统相关和商业相关的约束），其从一个实施方式到另一个实施方 式可发生变化。而且，应领会，运种开发努力可W是复杂的和费时的，但是对于受益于本公 开的普通技术人员来说将会仍然是设计、制作和制造的常规任务。
[0017] 在引入本发明的各种实施例的要素时，冠词"一"、"一个"、"该"和"所述"旨在意味 着存在一个或多个所述要素。术语"包括"、"包含"和"具有"旨在是包含在内并且意味着可 存在除了所列要素之外的附加要素。
[0018] 在下面详细地阐述用于检测对工业控制系统（"ICS")的侵入的系统和技术。运些 技术包含使用蜜端化oneypod)和/或蜜罐化oneypot)，其允许创建对于攻击者看来是合法 的欺骗服务(fake service)。蜜端可W是虚拟端口，其监测正在进行的连接并且报告连接 何时已建立。蜜端可包含欺骗服务，其可诱使黑客的端口扫描器与其连接。蜜罐可W是部分 或全系统(例如诱骗服务器或系统)设置W捜集关于进入网络的黑客或侵入者的信息。蜜端 和/或蜜罐的使用可引起攻击者在系统中做出附加的回转(pivot)、保持更长的连接W及更 有可能识别它们自己或动机。因此，蜜端，如果正确地实现，能够帮助警告系统管事 (steward)虚假活动(例如网络上的勘测）。通过集中在勘测和可诉威胁信息上，网络将能够 更早地检测攻击，并且将被定位W快速调查和响应，如同抗争的相对保持暴露于零日威胁。
[0019] 在ICS中成功实施蜜端包含不管网络端口扫描的类型地捕获能够用来帮助识别攻 击者的远程数据的能力，W及将会在所表示操作环境中被期望的服务的准确表示的生成和 呈现。运可例如包含显示欺骗或易损的应用/版本标题信息和/或例如对全TCP连接会话的 预先灌制的或随机化的字符串应答。另外，可存在基于不处于白名单(WhitelistK例如正 被提供有特定特权、服务、移动性、访问或认可的实体的列表或登记册）中的连接或即使被 记入白名单仍游历(tr ip)多个蜜端的一个连接来对防火墙的动态更新。
[0020] 考虑上述，图1图示工业控制系统（"ICS" HO和诸如公司计算机网络的计算机网络 12的框图视图。在一些实施例中，ICS 10可包含一个或多个现场位置(field location)14、 控制系统网络16W及在其之间的通信接口 18。现场位置14可包含控制系统2〇W及待监测的 机器22。在一些实施例中，控制系统20可监测机器22的一个或多个操作参数。在某些实施例 中，机器22可表示下列项中的一个或多个:风轮机、汽轮机、水轮机、气轮机、航改轮机、压缩 机、传动装置、满轮膨胀机、离屯、累、马达、发电机、鼓风机、送风机、揽拌机、混合机、离屯、机、 匀浆机、球磨机、压碎机/粉碎机、挤压机、造粒机、冷却塔/热交换器鼓风机和/或适合被监 测的其他系统。
[0021] 在机器22的操作期间，一个或多个传感器可测量机器22的一个或多个操作参数， 并且将所测量的数值作为信号传送到控制系统。传感器可W是换能器或其他适合的测量装 置，其能够用来测量机器22或在其中的组件的各种参数，例如满轮机的轴的旋转速度、满轮 机的操作溫度或其他类似操作参数。传感器可传送与待监测的机器22的操作参数相关的信 号到控制系统20。
[0022] 在一些实施例中，控制系统20可W是例如由纽约Schenectady的General Electric⑩所提供(made available)的SP趾DTR0NIC?Mark VI满轮机控制系统或类似系 统，或者可W是与其类似的监测系统。在一个实施例中，控制系统20可接收指示机器22的所 测量操作参数的信号并且可记录和/或分析指示机器22的所测量操作参数的信号，例如来 生成用来调节机器22的输入数值(例如控制机器22的操作）的控制信号。
[0023] 在一些实施例中，控制系统20可传送与机器22的操作相关的信息到接口 18。接口 18可W是路由器或其他网络装置，其传送通信信号。另外地或备选地，接口 18可W是通信接 口，其改变在现场位置14和控制系统网络16之间传送的信号（例如将信号从一种通信协议 变换到另一种）。接口 18可沿信号路径24(其可W是物理连接或无线连接)传送在现场位置 14和控制系统网络16之间接收的信号。例如，信号路径24可W是有线连接，例如W太网连接 和/或类似物。备选地，信号路径24可W是无线信号路径，例如局域网（LAN)