[发明专利]用于识别工业控制系统内的已泄密设备的系统和方法

说明书

本发明公开了用于识别工业控制系统内已泄密设备的计算机实现的方法，所述计算机实现的方法可包括：监视(302)网络内的网络流量，所述网络流量促进了包括工业设备的工业控制系统的通信；至少部分地基于所述网络流量(304)创建用于所述工业设备的消息协议配置文件，所述消息协议配置文件描述了用于与所述工业设备通信的网络协议和所述工业设备的正常通信模式；检测(306)涉及所述工业设备和包括在所述工业控制系统中的至少一个其他计算设备的至少一条消息；通过将所述消息与所述消息协议配置文件进行比较来确定(308)所述消息表示异常；并且然后至少部分地基于表示所述异常的所述消息来确定(310)所述其他计算设备可能已经泄密。本发明还公开了各种其他方法、系统和计算机可读介质。

技术领域

本公开涉及用于识别工业控制系统内的已泄密设备的系统和方法。

背景技术

工业控制系统常常用于控制在工业环境中执行制造和/或生产作业的设备和/或机器的功能。例如，核电站可实施和/或依靠工业控制系统来调节电力的生产和/或分配。该工业控制系统可包括传感器、致动器、控制器、控制阀、电机、机器人设备和/或计算设备的集合。在这个示例中，由于在系统故障和/或故障情况下受到严重破坏，核电站可表示恐怖袭击的主要目标。

不幸的是，由于某些工业控制系统的高安全性需求，这些工业控制系统与之通信的网络协议很少有文档记录和/或为公众所用。结果，传统的安全技术可能无法有意义地监视工业控制系统内的网络流量，和/或检测到暗示特定设备可能已经泄密的可疑行为。因此，传统的安全技术在识别工业控制系统内的已泄密设备时可能在一定程度上是无效的，这可能使此类系统易于受到攻击。因而，本公开识别并解决了用于识别工业控制系统内的已泄密设备的改进系统和方法的需求。

发明内容

如将在下文更详细地描述的，本公开描述了用于在工业控制系统内识别已泄密设备的各种系统和方法。在一个示例中，用于识别工业控制系统内的已泄密设备的计算机实现的方法可包括：(1)监视网络内的网络流量，该网络流量促进了包括至少一个工业设备的工业控制系统的通信；(2)至少部分地基于该网络流量创建用于工业设备的消息协议配置文件，该消息协议配置文件描述了(A)经由该网络用于与工业设备通信的网络协议和(B)工业设备的正常通信模式；(3)检测该网络内涉及工业设备和包括在工业控制系统中的至少一个其他计算设备的至少一条消息；(4)通过将该消息与工业设备的消息协议配置文件进行比较来确定该消息表示与工业设备的正常通信模式可疑地不一致的异常，并且然后(5)至少部分地基于表示异常的该消息来确定其他计算设备可能已经泄密。

在一个示例中，该方法也可包括响应于确定其他计算设备可能已经泄密而相对于其他计算设备执行至少一个安全操作。安全操作的示例包括而不限于：向至少一个附加计算设备发出其他计算设备已经泄密的警报通知；从工业网络隔离其他计算设备，以防止其他计算设备与工业控制系统内的任何附加计算设备进行通信；关闭其他计算设备，以防止其他计算设备与工业控制系统内的任何附加计算设备通信；阻断其他计算设备和工业控制系统内的任何附加计算设备之间的所有消息；通过将其他计算设备的至少一个计算任务传输到工业控制系统内的至少一个附加计算设备来替换工业网络内的其他计算设备；这些操作中的一个或多个操作的变型或组合，或任何其他合适的安全操作。

在一个示例中，该方法也可包括检测网络内源自或者去往该工业设备的消息。在该示例中，该方法还可包括识别包括在消息的字段中的参数。在一个示例中，消息协议配置文件可包括和/或表示包括在消息的字段中的参数其工业设备的正常通信模式的基线表示。此类参数的示例包括而不限于，包括在源自或者去往工业设备的消息中的操作码，源自或者去往工业设备的消息的大小，源自或者去往工业设备的消息的结构，源自或者去往工业设备的消息的序号，识别源自或者去往工业设备的特定数量的消息的计数器，包括在源自或去往工业设备的消息中的事务标识符，这些参数中的一个或多个参数的变型或组合，或任何其他合适的参数。