[发明专利]检测技术系统中的异常的系统和方法

说明书

本发明涉及检测技术系统中的异常的系统和方法。在一个方面中，示例性方法包括：通过在所述技术系统的上级单元上运行的复制器拦截发往所述技术系统的中级单元的至少一个传出数据包；通过所述复制器，使用安全连接将关于被拦截的所述至少一个传出数据包的信息发送到监控器，所述监控器在所述中级单元上运行；通过所述监控器拦截至少一个传入数据包；通过所述监控器将从所述复制器接收到的信息与被拦截的所述至少一个传入数据包进行比较；以及当被拦截的所述至少一个传入数据包与从所述复制器接收到的信息不符时，通过所述监控器检测到所述技术系统中的异常。

技术领域

本发明涉及信息保护领域，更具体地，涉及提高技术系统的信息技术(Information Technology，IT)安全性的系统和方法。例如，所述系统和方法旨在检测技术系统中的异常。

背景技术

工业安全的当前问题之一是技术过程(Technological Process，TP)的安全运行问题。TP运行的主要威胁包括操作控制中的意外动作或恶意动作、设备及子单元的磨损和故障、对控制系统和信息技术系统(IT)的计算机攻击等。

企业中的自动控制系统(Automated Control System，ACS)控制着技术系统。因此，ACS必须被给予足够的安全级别。技术系统的单元以及控制这些单元的操作系统和固件经常会变得过时。频繁地更新操作系统和固件是不可行的，因为更新会导致技术过程的频繁中断。此外，正在更新的较新版本的程序可能也会包含缺陷，这些缺陷会对技术系统的各个单元的运行稳定性产生负面影响。另外，现有的过时ACS(通常被设计为独立存在的)经常连接到计算机网络。然而，这些过时的ACS通常没有用于在来自外部的恶意动作发生的情况下确保IT安全性的手段。

技术系统中普遍存在的问题是需要使用过时的设备，而该过时的设备又使用不受保护或易受攻击的信息传输协议。这是由于这样的事实：这类系统中的设备的使用寿命长达数年甚至数十年，并且在此期间，信息传输协议会变得过时，从而使得随着设备的老化而出现漏洞。另外，更换已经在操作的设备是一个复杂且昂贵的过程(并且有时是不可行的)。因此，安全性问题经常无法解决，并且在技术过程的控制系统中会出现漏洞。技术系统的典型控制网络包括各种类型的单元。重要单元包括控制计算机(用于监视控制和数据采集(Supervisory Control and Data Acquisition，SCADA)的服务器和客户端站点)和直接控制设备(例如，致动器)的可编程逻辑控制器(Programmable Logic Controller，PLC)。SCADA软件相当容易更新，而PLC固件的更新则需要设备制造商的参与，并且经常是极难解决的问题。在这种情况下，黑客就有机会影响PLC的工作，这可能导致严重的后果。例如，正在被监控的设备可能发生故障，从而对技术系统的技术过程整体造成破坏。在一些情况下，后果甚至可能是灾难性的。

用于解决上述问题的一种方法是通过对技术系统的数据传输网络内的流量执行分析来检测异常。例如，卡巴斯基实验室股份制公司的用于网络的软件KICS描述了利用这种分析来进行异常检测。然而，这种方法需要大量关于PLC的先验信息(例如，可能需要关于PLC所使用的协议和参数值的知识)。此外，复杂系统的流量中的异常的检测可能包含错误，例如I型错误和II型错误(假阳性和假阴性)。

因此，需要一种更优化的方法来检测技术系统中的异常。

发明内容

本发明的各个方面涉及信息安全领域，更具体地，涉及用于检测技术系统中的异常的系统和方法。