用于被侵入的IoT设备检测的方法和装置与流程

用于被侵入的iot设备检测的方法和装置
技术领域
1.各种示例实施例涉及检测被侵入的(compromised)互联网设备。具体地，尽管非排他地，各种示例实施例涉及检测被侵入的物联网设备。


背景技术：

2.本部分说明了有用的背景信息，但不承认此处描述的任何技术代表现有技术。
3.互联网连接扩展到许多设备。物联网(iot)设备可以主动与互联网中的其他设备进行通信。物联网设备可以配置为基于接收到的数据自主发送测量数据和/或控制某些物理设备，例如致动器。iot设备通过互联网进行通信。
4.由于iot设备变得无处不在以及由于它们通常与互联网的持续连接，如果iot设备被互联网攻击侵入，则iot设备可能会构成安全威胁。被侵入的iot设备可能会监控其环境，并将录制的声音、视频或测量数据发送给互联网上的任何人。尽管有许多不同的iot设备用于不同的用途，但有可能通过流量变化来检测一些被侵入的iot设备。此外，iot设备的正常流量是会发生自然变化，甚至会有很大的波动。因此，使用这种监控流量变化的方法至少很难检测到所有被侵入的iot设备。还有许多技术可以保护iot设备免受侵入，包括确保进行适当的安全更新。这些技术中的一些还可能尝试检测iot设备软件中的任何未经授权的更改。此类技术仅在iot设备中的防护软件实例保持不变的情况下仍可操作。


技术实现要素：

5.独立权利要求阐明了本发明的各种实施例所寻求的保护范围。本说明书中描述的不属于独立权利要求范围内的实施例和特征(如果有的话)将被解释为对理解本发明的各种实施例有用的示例。
6.根据本发明的第一示例方面，提供了一种方法，包括：
7.确定一个或多个第一设备，所述一个或多个第一设备是满足所有以下条件的互联网设备：驻留在给定位置；配备一个或多个具有环境感应能力的传感器；并且操作模式为使得它其具有环境感应能力的传感器不会导致数据传输；
8.确定一个或多个第二设备，所述一个或多个第二设备是在给定位置的互联网设备，并配备有能够导致一个或多个第一设备的传感器可检测的环境刺激的一个或多个元件；
9.监控第一设备的数据传输；
10.导致由所述一个或多个第二设备的子集发出环境刺激；以及
11.确定所述环境刺激的发出是否导致了所述第一设备的所监控数据传输中的显着变化。
12.该方法可以进一步包括维持一个或多个互联网设备的能力和状态信息，该状态信息包括位置和当前操作模式。
13.该方法可以进一步包括基于能力和状态信息来执行对所述一个或多个第一设备
的确定。替代地或附加地，该方法可以进一步包括基于设备发现来执行对所述一个或多个第一设备的确定。
14.该方法可以进一步包括基于能力和状态信息来执行对所述一个或多个第二设备的确定。替代地或附加地，该方法可以进一步包括基于设备发现来执行对一个或多个第二设备的确定。
15.设备发现可以包括发现满足设置标准的设备。设备发现可以包括向潜在地包括一些第一和第二设备的多个互联网设备发送一个或多个消息。替代地或附加地，设备发现可以包括从一个或多个网络实体查询能力和/或状态信息。所述一个或多个网络实体可以不同于执行第一示例方面的方法的网络实体。所述网络实体可以包括从包括以下项目的组中选择的一个或多个实体：服务器、虚拟服务器、云计算功能、分布式服务器。
16.可以连续地执行对第一设备的数据传输的监控。可替换地，可以在给定的时间段执行对第一设备的数据传输的监控。所述时间段可以基于随机定时来选择。可以基于第一设备的状态来选择所述时间段。可以基于第二设备的状态来选择所述时间段。可以选择所述时间段，以尝试避免干扰第一设备的正常使用。可以选择所述时间段，以尝试避免干扰第二设备的正常使用。该方法可以包括向用户指示第二设备何时发出环境刺激。该方法可以包括允许用户确定第二设备发出环境刺激的一个或多个时间段。
17.该方法可以在私有网络中执行。该方法可以由控制实体执行。控制实体可以包括路由器。控制实体可以包括防火墙。第一设备可以从私有网络连接到互联网。第二设备可以从私有网络连接到互联网。
18.环境刺激可以是或包括音频信号。音频信号可以包括可听频率的一部分。音频信号可以包括频率在非可听频率中的部分。可听频率可以是至少20或30hz。可听频率最高为15khz、16khz、18khz或20khz。
19.环境刺激可以是或包括光信号。光信号可以包括可见频率的一部分。光信号可以包括频率在不可见频率中的部分。可见频率可以是至少400thz、430thz、或460thz。可见频率最多为750thz、770thz、或800thz。
20.环境刺激可以是或包括振动信号。振动信号可以是触觉信号。
21.环境刺激可以是或可以包括通过运动检测(例如基于超声波的声纳传感器、3d相机传感器、lidar传感器)可检测的对象的运动。
22.环境刺激可以是或包括电磁信号。电磁信号可以是无线电通信信号，例如，蓝牙、无线lan、或无线usb信号。
23.环境刺激可以是在至少1m、2m、5m、10m、或20m的范围内第一设备可检测的。
24.可以通过导致一个或多个第一设备可检测的一个或多个环境属性方面的增加或减少来发出环境刺激。环境刺激可包括一系列变化。在一个或多个一个或多个第一设备可检测的一个或多个环境属性中。环境刺激可以包括具有功率和频率分布的组合的传输，该传输在距离每个第二设备至少1cm、10cm、或1m处对人是安全的。所述环境刺激可以包括减小所述第一设备可检测的一个或多个环境属性。环境刺激可以包括关闭声源。环境刺激可以包括关闭光源。环境刺激可以包括关闭振动源。
25.该方法可以进一步包括基于第一设备与刺激之间的所估计的物理关系来确定显著变化。可以使用在第一设备和第二设备之间的距离来确定之间的估计物理关系。可以基
于所讨论的第一设备和第二设备指示的位置来确定第一设备和第二设备之间的距离。替代地或附加地，至少一些第一设备和第二设备的距离可以由用户提供。
26.该方法可以进一步包括控制第一设备以使用它们的传感器来测量环境信号，并且以预定的方式利用第二信号来发送信号以可控制地执行对第一设备的传感器之间的物理关系的估计。
27.第一设备的传感器可以包括一个或多个声音传感器。第一设备的传感器可以包括一个或多个光传感器。第一设备的传感器可以包括一个或多个图像传感器。第一设备的传感器可以包括一个或多个振动传感器。第一设备的传感器可以包括一个或多个运动传感器。一个第一设备可以包括多个相同和/或不同类型的传感器。
28.对所监控的数据传输中的显著变化的确定可以基于数据速率的变化。对所监控的数据传输中的显著变化的确定可以基于接收者的变化。对所监控的数据传输中的显著变化的确定可以基于通信协议的变化，例如传输协议、流传输协议和/或服务质量。
29.对一个或多个第一设备的确定可以基于互联网设备的过去活动。
30.根据本发明的第二示例方面，提供了一种设备，包括：
31.用于与其他设备转移数据的通信接口；以及
32.至少一个处理器，被配置为执行：
33.确定一个或多个第一设备，所述一个或多个第一设备是满足所有下列条件的互联网设备：驻留在给定位置；配备有一个或多个具有环境感应能力的传感器；并且操作模式为使得其具有环境感应能力的传感器不会导致数据传输；
34.确定一个或多个第二设备，所述一个或多个第二设备是在给定位置处的互联网设备，并配备有能够导致一个或多个第一设备的传感器可检测的环境刺激的一个和多个元件；
35.使用所述通信接口监控所述第一设备的数据传输；
36.导致由所述一个或多个第二设备的子集使用所述通信接口发出所述环境刺激；以及
37.确定所述环境刺激的发出是否导致所述第一设备的所监控数据传输中的显著变化。
38.根据本发明的第三示例方面，提供了一种计算机程序，其包括被配置为执行第一示例方面的方法的计算机可执行程序代码。
39.该计算机程序可以被存储在计算机可读存储介质中。
40.任何前述存储介质可以包括数字数据存储，例如数据盘或软盘、光学存储、磁性存储、全息存储、光电存储、相变存储、电阻式随机存取存储器、磁性随机存取存储器、固体电解质存储器、铁电随机存取存储器、有机存储器或聚合物存储器。所述存储介质可以被形成为除了存储存储器以外的没有其他基本功能的设备，或者可以被形成为具有其他功能的设备的一部分，包括但不限于计算机的存储器、芯片组以及电子设备的子组件。
41.根据本发明的第四示例方面，提供了一种装置，其包括存储器和处理器，所述存储器和处理器被配置为使所述装置执行第一示例方面的方法。
42.前面已经说明了本发明的不同的非约束性示例方面和实施例。前述实施例仅用于解释可以在本发明的实现中使用的所选方面或步骤。一些实施例可以仅参考本发明的某些
示例方面来呈现。应当理解，相应的实施例也可以应用于其他示例方面。
附图说明
43.为了更完整地理解本发明的示例性实施例，现在结合附图参考以下描述，其中：
44.图1示出了示例实施例的系统的架构图；
45.图2示出了示例实施例的第一设备的框图；
46.图3示出了示例实施例的第二设备的框图；以及
47.图4示出了示例实施例的过程的流程图。
具体实施方式
48.通过参照图1和图4，可以理解本发明的示例实施例及其潜在的优点。在本文件中，相同的附图标记表示相同的部件或步骤。
49.图1示出了示例实施例的系统的架构图。图1显示了一些本地环境，例如具有各种第一设备110或网络设备的办公室或家庭环境、第二设备112(可能与第一设备相同，但仅用于其他作用，这将在下文中显而易见)、用于监控第一设备110的操作的一个或多个第二设备120、以及一些墙壁130和其他空间限制结构的示意图。第一设备110、第二设备112和第三设备120连接到提供对互联网150的访问的本地子网140。本地子网可以包括一个或多个连续或不相交的网络地址空间。一个示例实施例的网络地址空间是例如192.168.0.0
…
192.168.0.255和192.168.4.40
…
192.168.4.200(417个地址)或192.168.x.y，其中x是0到20且y是0到255(5376地址)，或192.168.a.b和10.c.d.e和172.16.f.g，其中参数a到g在0到255之间自由选择。
50.空间限制结构不同程度地抑制不同环境信号的传播。例如，厚石墙可以有效地阻挡光线和声音，而低矮的办公室隔间墙可能仅部分地阻挡光线，并且对声音传播的影响很小或几乎没有。
51.在一个实施例中，第一设备110和第二设备112是各种采用互联网的设备，例如支持互联网功能的冰箱、电视机、游戏设备、人体秤、清洁机器人、辅助机器人、计算机、电子书、真空吸尘器、防盗报警设备、液体泄漏监测器、气体泄漏监测器、温度传感器或水表。第一设备110和第二设备112可以是物联网设备，即，满足以下定义的设备：相互关联的物理事物，其每一个都具有唯一的标识符和在不需要人与人或人机交互的情况下在网络上转移数据的能力。第二设备120还可以包括一个或多个第一设备110和/或第二设备112。在一个实施例中，第二设备120与监控本地子网140中的网络流量的本地网络设备相组合。本地网络设备是或包括例如以下任何一项或多项：防火墙、路由器、网络分析器。
52.图1示出了两个示意性房间，每个房间具有一个窗口132和由门(未示出)关闭的连续的墙壁130。虚线示出了环境刺激(例如音频和光信号)的假想的传播。环境刺激从左侧房间通过窗户130，就像光信号一样。从右侧房间，环境刺激被相应房间的窗户132阻挡，就像音频信号和隔音良好的窗户一样。这说明了不同类型的信号是如何通过不同类型的结构或被不同类型的结构所阻碍。值得注意的是，某些结构并不能完全阻止信号：声音可能会衰减到某些传感器可检测到的水平以下，并且光线可能会暗淡到无法再检测到。
53.图2示出了根据本发明实施例的第一设备110的框图。第一设备110包括用于用户
接口的用户接口和包括持久性计算机程序代码250的存储器240。第一设备110还包括用于使用计算机程序代码240和通信来控制第一设备110的操作的处理器220，以及用于以网络数据分组通信的单元210。例如，通信单元210包括局域网(lan)端口、无线局域网(wlan)单元、蓝牙单元、蜂窝数据通信单元、或卫星数据通信单元。处理器220例如包括以下任何一个或多个：主控制单元(mcu)、微处理器、数字信号处理器(dsp)、专用集成电路(asic)、现场可编程门阵列、以及微控制器。
54.第一设备110还包括一个或多个传感器260，其能够测量物理属性，例如以下属性中的任何一个或多个：声音、光、运动、压力、空气成分、位置传感器，例如基于卫星的位置传感器、基于wlan的位置传感器、基于射频识别(rfid)的位置传感器、用于读取接近的射频或可视位置的位置标签的位置标签传感器。
55.在一个实施例中，第一设备110还包括一个或多个能够导致一个或多个环境信号的发出的一个或多个元件270。这样的元件270包括例如以下项中的任何一项或多项：电动机、阀门、扬声器、振动器。
56.在示例实施例中，第二设备112具有第一设备110的结构。然而，尽管第一设备110不需要具有能够导致环境信号的发出的致动器270，但是第二设备112能够导致环境信号。另一方面，第二设备112不需要具有感应环境信号的能力，因此第二设备112可以缺少传感器260。
57.使第二设备能够导致环境信号的设备的示例包括以下至少一项：
[0058]-网络可控洗衣机；
[0059]-网络可控洗碗机；
[0060]-网络可控咖啡机；
[0061]-网络可控扬声器；
[0062]-网络可控报警系统；
[0063]-网络可控清洁机器人；
[0064]-网络可控打印机；
[0065]-网络可控空调；
[0066]-网络可控百叶窗；
[0067]-网络可控照明。
[0068]
图3示出了根据本发明实施例的第三设备120的框图。第三设备120包括用户接口330、包括持久性计算机程序代码350的存储器340。第三设备120还包括：用于使用计算机程序代码处理器340来控制第三设备120的操作的处理器320和用于以网络数据分组进行通信的通信单元310。例如，通信单元310包括局域网(lan)端口、无线局域网(wlan)单元、蓝牙单元、蜂窝数据通信单元、或卫星数据通信单元。处理器320例如包括以下任何一个或多个：主控制单元(mcu)、微处理器、数字信号处理器(dsp)、专用集成电路(asic)、现场可编程门阵列和微控制器。
[0069]
在示例实施例中，第三设备120还包括状态检测器360，其被配置为检测连接到子网140的一个或多个第一设备110的预期通信状态。状态检测器360包括例如被配置为确定第一设备110的当前操作状态(诸如开/关/空闲)的电路。在示例实施例中，状态检测器从能够响应于来自第三设备120的查询而提供其状态的第一设备110查询当前状态。在示例实施
例中，状态检测器360进一步或可替代地包括描述预期第一设备110何时发送数据或预期第一设备110何时不发送数据的时间表。应当理解，第三设备120不需要与每个第一设备110以相同的方式操作。
[0070]
第三设备120还包括位置检测器370，该位置检测器370被配置为检测哪些第一设备110和第二设备112位于给定位置。位置检测器370可以包括用户输入372，该用户输入372被配置为接收第一设备110和第二设备112中的一些或者全部的位置；配置为移动和检测附近第一设备110和第二设备112的位置的机器人374；以及位置查询电路376，被配置为从第一设备110和第二设备本身或从位置数据存储库查询第一设备110和第二设备112的位置。
[0071]
图4示出了示例实施例的过程的流程图，示出了：
[0072]
402.确定一个或多个第一设备110，所述一个或多个第一设备110是满足以下所有条件的互联网设备：位于给定位置；配备有一个或多个具有环境感应能力的传感器260；并且操作模式为使得其具有环境感应能力的传感器260不会导致数据传输；
[0073]
404.确定一个或多个第二设备112，所述一个或多个第二设备是给定位置处的互联网设备，并且配备能够导致(例如，通过触发由一个或多个可控的其他第一设备110进行的有噪声或视觉上明显的操作)一个或多个第一设备的传感器可检测的环境刺激的一个或多个元件；
[0074]
406.监控第一设备110的数据传输；
[0075]
408.导致由一个或多个第二设备112的子集(例如，一些或全部)发出环境刺激；以及
[0076]
410.确定环境刺激的发出是否导致了在第一设备的监控数据传输中的显著变化。
[0077]
在一些实施例中，该方法还包括以下任何一个或多个：
[0078]
412.维持第一互联网设备110中的一个或多个的能力和状态信息，该状态信息包括位置和当前操作模式；
[0079]
414.基于所述能力和状态信息来执行对一个或多个第一设备110的确定；
[0080]
416.基于设备发现，来执行对一个或多个第一设备110的确定；
[0081]
418.维持第二互联网设备112中的一个或多个的能力和状态信息，该状态信息包括位置和当前操作模式；
[0082]
420.基于能力和状态信息执行对所述第二设备112中的一个或多个的确定；
[0083]
422.基于设备发现来执行对一个或多个第二设备112的确定；
[0084]
424.在设备发现中，发现满足设置条件的设备；
[0085]
426.在设备发现中，向潜在包括一些第一和第二设备的多个互联网设备发送一个或多个消息；
[0086]
428.在设备发现中，从一个或多个网络实体查询能力和/或状态信息，其中一个或多个网络实体可以不同于执行第一示例方面的方法的网络实体，并且/或者网络实体可以包括从包括以下各项的组中选择的一个或多个实体：服务器、虚拟服务器、云计算功能、分布式服务器；
[0087]
430.对第一设备的数据传输进行连续监控；
[0088]
432.在给定的时间段执行对第一设备的数据传输的监控，其中所述时间段可以基于随机定时、第一设备110的状态、第二设备112的状态来选择；
[0089]
434.选择所述时间段，以试图避免干扰第一设备的正常使用；
[0090]
436.选择所述时间段，以试图避免干扰第二设备的正常使用；
[0091]
438.向用户指示第二设备何时发出环境刺激；
[0092]
440.允许用户确定第二设备发出环境刺激时的一个或多个时间段；
[0093]
442.在以下一种或多种中执行方法：私有网络，例如路由器或防火墙的控制实体；
[0094]
444.所述环境刺激是或包括音频信号，用于检测哪个第一设备110通过音频触发开始传输数据，其中，所述音频信号可以包括可听频率的一部分和/或不可听频率的一部分；
[0095]
446.环境刺激是或包括光信号，用于检测哪个第一设备110通过光触发开始传输数据，其中光信号可以包括可见频率的一部分和/或不可见频率的一部分；
[0096]
448.所述环境刺激是振动信号或包括振动信号，用于检测哪个第一设备110通过振动触发开始传输数据，其中振动信号可以是触觉信号；
[0097]
450.所述环境刺激是或包括这样的环境刺激，该这样的环境刺激是或包括可通过运动检测来检测的对象的运动，例如，基于超声波的声纳传感器、3d相机传感器、lidar传感器；
[0098]
452.所述环境刺激是或包括这样的环境刺激，该这样的环境刺激可以是或包括电磁信号，例如无线电通信信号；
[0099]
其中，在一个示例性实施例中，环境刺激可由第一设备110在至少1m、2m、5m、10m、或20m的给定范围内检测到。
[0100]
454.通过导致在一个或多个第一设备110可检测的一个或多个环境属性方面的增加或减少来发出环境刺激，其中环境刺激可包括在一个或多个第一设备110可检测的一个或多个环境属性方面的一系列变化。环境刺激可以包括具有功率和频率分布的组合的传输，该传输在距离每个第二设备112至少1cm、10cm、或1m的距离处对人类安全；环境刺激可以包括减小第一设备110可检测到的一个或多个环境属性；环境刺激可以包括关闭声源；环境刺激可以包括关闭光源；并且/或者环境刺激可以包括关闭振动。
[0101]
456.基于第一设备110与刺激之间的所估计物理关系来确定显著变化；
[0102]
458.使用在第一设备110与第二设备112之间的距离来确定之间的所估计物理关系；
[0103]
460.确定第一设备110和第二设备112之间的距离可以基于由所讨论的第一设备110和第二设备112指示的位置来确定；
[0104]
462.从用户接收至少一些第一设备110和第二设备112的距离；
[0105]
464.控制第一设备110以使用其传感器260来测量环境信号，并以预定的方式利用第二信号来发送信号，以可控制地执行对第一设备110的传感器260之间的物理关系的估计。
[0106]
466.根据数据速率的变化来确定所监控的数据传输中的显著变化；
[0107]
468.根据接收者的变化来确定所监控的数据传输中的显著变化；
[0108]
470.基于诸如传输协议、流协议和/或服务质量之类的通信协议的变化，确定所监控的数据传输中的显著变化；
[0109]
472.基于互联网设备的过去活动来确定一个或多个第一设备110。
[0110]
如结合步骤448所述，环境刺激可以包括一个或多个属性方面的一系列变化。例如，可以通过形成包括不同周期的不同频率和/或功率的声音和/或光信号，来形成这样的一系列刺激。例如，测试刺激可以包括将智能灯a调成100％功率，并从智能扬声器b以75％的功率生成给定音调。
[0111]
在示例实施例中，步骤402至472中的任何一个或多个由第三设备120执行或导致。
[0112]
如在本申请中使用的，术语“电路”可以指以下的一个或多个或全部：
[0113]
(a)纯硬件电路实现(例如仅在模拟和/或数字电路中的实现)；以及
[0114]
(b)硬件电路和软件的组合，例如(如适用)：
[0115]
(i)模拟和/或数字硬件电路与软件/固件的组合；以及
[0116]
(ii)具有软件的硬件处理器(包括数字信号处理器)的任何部分、软件和存储器，它们共同工作以导致诸如移动电话或服务器之类的装置执行各种功能；和
[0117]
(c)操作需要软件(例如，固件)才能运行的硬件电路和/或处理器，例如微处理器或微处理器的一部分，但当不需要操作时软件可能不存在。
[0118]
电路的定义适用于该术语在本申请中的所有使用，包括在任何权利要求中。作为另一个示例，如在本申请中所使用的，术语“电路”也还覆盖硬件电路或处理器(或多个处理器)或硬件电路或处理器及其(或它们)随附软件和/或固件的一部分的实现。例如或如果适用于特定权利要求元素的话，术语电路还覆盖包括基带集成电路或用于移动设备的处理器集成电路或在服务器、蜂窝网络设备或其他计算或网络设备中的类似集成电路。
[0119]
在不以任何方式限制下面出现的权利要求的范围、解释或应用的情况下，本文公开的一个或多个示例实施例的技术效果是可以从网络流量和环境刺激的知识中检测对本地处所的不期望的监控。本文公开的一个或多个示例实施例的另一技术效果是，即使从加密通信中也可以检测到不期望的监控。本文公开的一个或多个示例实施例的另一个技术效果是，当使用诸如红外或紫外光和/或低频声音或超声波音频之类的人类无法感知的刺激时，可以在不打扰房屋内或附近人员的情况下检测到不期望的监控。本文公开的一个或多个示例实施例的另一个技术效果是，通过使用现有的网络可控制设备来导致环境刺激，可以在不需要新的或额外的设备的情况下检测到不期望的监控。
[0120]
本发明的实施例可以以软件、硬件、应用逻辑或软件、硬件和应用逻辑的组合来实现。软件、应用逻辑和/或硬件可以驻留在第一网络设备110、第二网络设备112或第三网络设备120上。在示例实施例中，应用逻辑、软件或指令集被维持在各种常规计算机可读介质中的任何一种上。在本文档的上下文中，“计算机可读介质”可以是能够包含、存储、通信、传播或传输指令的任何非暂时性媒体或装置，该指令用于供指令执行系统、装置或设备(例如计算机)以及图2中描述和描绘了计算机的一个示例使用或与之结合使用。计算机可读介质可以包括计算机可读存储介质，该计算机可读存储介质可以是可以包含或存储由指令执行系统、装置或设备(例如，计算机)使用或与其结合使用的指令的任何媒体或装置。
[0121]
如果需要的话，本文讨论的不同功能可以以不同的顺序和/或彼此同时地被执行。此外，如果需要，上述功能中的一个或多个可以是可选的或可以被组合。
[0122]
尽管在独立权利要求中阐述了本发明的各个方面，但是本发明的其他方面包括来自所描述的实施例和/或从属权利要求的特征与独立权利要求的特征的其他组合，而不仅是权利要求中明确阐述的组合。
[0123]
在此还应注意，尽管上文描述了本发明的示例实施例，但是这些描述不应被视为限制性的。相反，在不脱离如所附权利要求书中定义的本发明的范围的情况下，可以进行多种变型和修改。