工业通信网络中的异常检测制造技术

安装在工厂通信网络中的异常检测系统检测该通信网络上的业务模式中的非预期变化或异常，以检测被感染或者潜在被感染的节点。该异常检测系统包括布置在网络的各个节点处的数据采集模块，其用于查看进入和离开本节点的消息业务，并生成关于该消息业务的元数据。各个节点处的通信模块向异常分析引擎发送该业务元数据，异常分析引擎使用规则引擎对该元数据进行处理，规则引擎利用逻辑规则集和业务模式基线数据对该元数据进行分析，以判断一个或多个网络节点处的当前业务模式是否异常。如果异常，分析引擎就向用户产生报警或消息以便向用户通知潜在被感染的节点，可以自动地将该节点与网络断开，或者采取某种其它动作来使被感染节点的影响减到最小。

【技术实现步骤摘要】

概括地说，本申请涉及过程或工业工厂通信系统，具体地说，本申请涉及基于工厂通信网络中的消息业务异常检测来检测控制和维护通信网络(如，在过程和工业控制系统中使用的那些)的入侵。
技术介绍
诸如分布式或可扩展的过程控制系统(如，发电、化工、石油或者其它制造过程中使用的那些过程控制系统)之类的过程或工业控制和维护系统通常包括彼此之间通信耦合的一个或多个控制器，这些控制器经由过程控制网络来通信耦合到至少一个主机或操作者工作站，经由模拟、数字或组合的模拟/数字总线来通信耦合到一个或多个现场设备。现场设备(其可以例如是阀门、阀门定位器、开关和发送器(例如，温度、压力和流速传感器))在过程或工厂中执行一些功能，例如，打开或关闭阀门，打开和关闭设备，以及测量过程参数。控制器接收用于指示现场设备所执行的过程或工厂测量值和/或关于该现场设备的其它信息的信号，使用该信息来实施一个或多个控制例程，随后生成通过该工厂网络的总线或通信信道来向现场设备发送的控制信号，以控制该过程或工厂的操作。来自于现场设备和控制器的信息通常经由通信网络而可用于由操作者工作站执行的一个或多个应用，以使操作者或维护人员关于该过程或工厂执行任何期望的功能，例如，查看工厂的当前状态、改变工厂的操作、对设备进行校准、检测故障设备等等。在操作期间，过程控制器(其通常位于过程工厂环境之中)根据某种配置方案进行配置，以便周期地或定期地接收用于指示现场设备所执行的或者与其相关联的过程测量值或过程变量和/或关于该现场设备的其它信息的信号，并使用该信息来执行控制器应用。进行过程控制判断的控制器应用实施(例如，不同的控制模块)，基于所接收的信息来生成控制信号，并
与在现场设备(例如，和Fieldbus现场设备)中的控制模块或者控制块进行协调。过程控制器中的控制模块同样根据配置方案，通过通信线路或者其它信号路径向现场设备发送这些控制信号，从而控制该过程的操作。此外，来自于现场设备和过程控制器的信息通常经由一个或多个安全的过程控制或维护网络而可用于该工厂之内或之外的一个或多个其它硬件设备，例如，操作工作站、维护工作站、服务器、个人计算机、手持设备、数据或事件历史库(historian)、报表生成器、中央数据库等等。通过过程控制或维护通信网络传输的信息使操作者或维护人员能够关于该过程执行期望的功能，和/或查看该工厂的操作或该工厂中的设备的操作。例如，该控制信息能够使操作者改变过程控制例程的设置，修改过程控制器或者智能现场设备中的控制模块的操作，查看过程的当前状态或者该过程工厂中的特定设备的状态，查看现场设备和过程控制器所产生的警报和/或报警，模拟该过程的操作以便训练人员或者测试过程控制软件，诊断该过程工厂中的问题或硬件故障等等。现场设备和控制器通常通过一个或多个安全的过程控制或维护通信网络来与其它硬件设备进行通信，其中这些过程控制或维护通信网络可以例如实施成具备以太网配置的LAN。过程控制或维护通信网络通过各种网络设备，向过程控制系统中的各个实体发送过程参数、网络信息和其它过程控制数据。典型网络设备包括网络接口卡、网络交换机、路由器、服务器、防火墙、控制器、操作者工作站和数据库。通常，这些网络设备通过控制数据的路由、帧速率、超时和其它网络参数，但不改变过程数据自身，来促进数据通过网络流动。随着过程控制网络规模和复杂度的增加，网络设备的数量和类型也相应地增加。作为系统和网络增长的结果，这些复杂系统中的安全以及其管理变得越来越困难。然而作为开始，这些网络通常与外部网络相隔离，并通过一个或多个防火墙来防止外部攻击。通常，在典型的工业控制系统中，为了限制该网络被入侵，在该控制系统中的执行与本工厂相关联的各种功能的外部工厂网络和执行控制和数据获取功能的嵌入的控制设备(例如，控制器、PLC、RTU)之间，策略性地布置工厂控制系统工作站/服务器。控制工作站/服务器的主要安全目标是
防止恶意软件进入本控制和维护系统和负面地影响嵌入的设备，以及防止恶意软件改变本工厂过程控制数据库中存储的配置和历史数据。另外，这些工作站/服务器防止未授权地访问本控制系统，以防止未授权地改变本工厂配置、未授权地访问工厂数据等等。虽然可以使用诸如防火墙、“防病毒”软件和“白名单”之类的多种安全特征来解决这些安全目标，但这些安全特征通常是不足够的。例如，防病毒不能预防“零日”病毒，而白名单只阻止未授权的应用进行运行。此外，这些特征中的一些太具有侵入性，而无法在过程控制系统中实际操作，这是由于这些安全特征潜在地阻碍工厂操作者的活动。在一般意义上，通常具有权利或权限来访问过程控制网络中的存储器设备、网络端口或直接数据链路的应用或服务的操作，会经由与外部网络的授权通信连接，将诸如位于零日攻击的核心之类的恶意软件带入到安全的控制系统网络。替代地，还可能通过将被感染便携式设备和/或介质连接到控制系统设备的本地人员，将恶意软件带入到安全的控制系统网络中。其后，恶意软件能够传播到其它设备(例如，经由通信)，和/或使用变得被该恶意软件感染的应用或服务的安全权限来在过程控制网络中的设备里进行执行。此外，该恶意软件可能在本地保存本身，以允许在网络设备重新启动后，再次重新执行。在一些情况下，恶意软件可能利用正在执行的应用或服务的帐户的权限，升级一个主机(例如，被感染应用或服务)的权限，这样做，恶意软件能够执行需要更高权限的过程控制设备或网络设备中的动作或操作，并因此而通常更不利于本控制系统操作。当这些攻击破坏该工厂控制系统的正在进行的操作时，这些攻击可能对于过程工厂具有严重和潜在的破坏性或者甚至致命的影响。有大量的研究活动来规定和构建用于防止或限制对于过程或工业控制和维护网络的攻击的硬件和软件配置。但是，即使严密防御的工业控制系统(ICS)网络或监控和数据采集(SCADA)网络仍然受到安全威胁，比如，安全防御的错误配置、具有合法访问权限的用户的恶意行为、以及公开未知但代表外部攻击者的恶意软件行为。此外，一旦网络受到感染，则只有有限的能力来自动地检测在过程控制或工业控制设备中或者在工厂通信节点中存在病毒或恶意软件。通常来说，一旦攻击在工厂环境下获得成
功，则其通常需要操作者、维护人员等等检测工厂通信节点或设备是否被感染。虽然可以在通信网络的每一个节点都运行后台病毒扫描软件，但该软件占用大量的存储空间和处理资源，需要进行定期地更新(其需要显著的网络维护资源和时间)，但仍然不能检测到零日病毒。在很多情况下，工厂设备或网络节点处的病毒或未授权软件可能造成该设备或网络的性能下降，可能中断正常的工厂操作以至于在该网络中的该节点或其它节点处产生错误或警报，或者可能造成其它严重和明显的问题。在这些情况中的一些，操作者或其它工厂人员可能可以相对容易地检测到病毒的存在，但仍然很难检测到病毒的位置。此外，在很多其它情况下，病毒或攻击可能不被检测地操作一段很长的时间，同时其可以使网络操作稍微地性能下降，这种下降或者关于工厂操作的其它影响可能是可以忽略的，所以非常难进行检测。结果，在很多情况下，病毒可能会在很长的一段时间不被发现，在此时间期间，这些病毒可能进行操作以降低工厂效率，允许窃取工厂数据，本文档来自技高网...

【技术保护点】
一种在具有多个网络节点的通信网络中使用的异常检测系统，所述多个网络节点通过通信链路来通信地耦合，所述异常检测系统包括：多个消息模块，其中所述多个消息模块中的每一个消息模块在所述网络节点中的一个网络节点处的处理器上执行，以检测所述网络节点处的消息业务，并生成关于所述网络节点处的所述消息业务的元数据；分析引擎，所述分析引擎存储在耦合到所述通信网络的处理设备中并在所述处理设备处被执行，所述分析引擎包括：元数据存储器，控制器，其在所述处理设备的处理器上进行执行以从所述多个消息模块接收关于所述网络节点中的每一个网络节点的所述元数据，并将所接收的元数据存储在所述元数据存储器中，规则数据库，其存储逻辑规则集，规则引擎，其在所述处理设备的处理器上进行执行，以使用所述规则数据库中所存储的所述逻辑规则来对所述元数据存储器中所存储的所述元数据进行处理，以检测所述通信网络中的业务模式异常，以及通知模块，其在所述处理设备的处理器上进行执行，以向用户发送表示检测到的异常的通知。

【技术特征摘要】
2015.03.04 US 14/638,9041.一种在具有多个网络节点的通信网络中使用的异常检测系统，所述多个网络节点通过通信链路来通信地耦合，所述异常检测系统包括：多个消息模块，其中所述多个消息模块中的每一个消息模块在所述网络节点中的一个网络节点处的处理器上执行，以检测所述网络节点处的消息业务，并生成关于所述网络节点处的所述消息业务的元数据；分析引擎，所述分析引擎存储在耦合到所述通信网络的处理设备中并在所述处理设备处被执行，所述分析引擎包括：元数据存储器，控制器，其在所述处理设备的处理器上进行执行以从所述多个消息模块接收关于所述网络节点中的每一个网络节点的所述元数据，并将所接收的元数据存储在所述元数据存储器中，规则数据库，其存储逻辑规则集，规则引擎，其在所述处理设备的处理器上进行执行，以使用所述规则数据库中所存储的所述逻辑规则来对所述元数据存储器中所存储的所述元数据进行处理，以检测所述通信网络中的业务模式异常，以及通知模块，其在所述处理设备的处理器上进行执行，以向用户发送表示检测到的异常的通知。2.根据权利要求1所述的异常检测系统，其中，所述分析引擎还包括元数据基线数据库，所述元数据基线数据库在基线时间段期间，存储关于在所述通信网络的操作期间针对所述通信网络所采集的元数据的基线信息，并且其中所述规则引擎在所述处理设备的处理器上进行执行，以使用所述规则数据库中所存储的所述逻辑规则和所述元数据基线数据库中所存储的所述基线信息来对所述元数据存储器中所存储的所述元数据进行处理，以检测所述通信网络中的业务模式异常。3.根据权利要求2所述的异常检测系统，还包括：存储在耦合到所述通信网络的另外处理设备中的配置改变检测模块，所述配置改变检测模块在所述另外的处理设备的处理器上进行执行以检测所述通信网络的所述配置的配置改变，并向所述分析引擎发送表示检测到的配置改变的通知。4.根据权利要求3所述的异常检测系统，其中，所述分析引擎的所述控制器基于所述检测到的配置改变来改变所述规则数据库中的逻辑规则。5.根据权利要求4所述的异常检测系统，其中，所述控制器在改变所述规则数据库中的逻辑规则之前，从用户接收新的逻辑规则。6.根据权利要求4所述的异常检测系统，其中，所述控制器基于配置改变的类型来改变逻辑规则。7.根据权利要求4所述的异常检测系统，其中，配置改变检测模块向所述分析引擎传输配置改变的类型。8.根据权利要求4所述的异常检测系统，其中，所述分析引擎的控制器响应于所述检测到的配置改变，在所述元数据数据库中采集针对所述通信网络的新的基线元数据集合，并且所述控制器根据所述新的基线元数据集合来生成新的基线信息集合，以便所述通信网络利用新配置来运行。9.根据权利要求3所述的异常检测系统，其中，所述配置改变检测模块存储在配置数据库中。10.根据权利要求2所述的异常检测系统，其中，所述元数据基线数据库存储一个或多个元数据参数，其中所述一个或多个元数据参数反映所述逻辑规则中的一个或多个逻辑规则在使用所述元数据存储器中存储的所述元数据来检测异常时将使用的限制或范围。11.根据权利要求1所述的异常检测系统，其中，所述规则引擎是学习引擎。12.根据权利要求1所述的异常检测系统，其中，所述通知模块在处理器上进行执行，以设置所述通信网络的一个或多个网络节点中的通信参数。13.根据权利要求12所述的异常检测系统，其中，所述通知模块进行执行以设置防止所述通信网络中的所述一个或多个网络节点中的一个网络节点在所述通信网络上进行通信的通信参数。14.根据权利要求12所述的异常检测系统，其中，所述通知模块进行执行以设置防止所述通信网络中的一个或多个网络节点与另一个网络进行通信的通信参数。15.根据权利要求12所述的异常检测系统，其中，所述通知模块进行执行以设置防止所述通信网络中的所述一个或多个网络节点中的一个网络节点允许特定的应用在所述通信链路上进行通信的通信参数。16.根据权利要求12所述的异常检测系统，其中，所述通知模块进行执行以设置防止所述通信网络的所述一个或多个网络节点中的一个网络节点在所述通信链路上传输特定类型的消息的通信参数。17.根据权利要求1所述的异常检测系统，其中，所述分析引擎位于在所述网络节点中一个网络节点处的并且直接连接到所述通信网络的所述通信链路的处理设备中。18.根据权利要求1所述的异常检测系统，其中，所述分析引擎位于未直接地连接到所述通信网络的所述通信链路的处理设备中。19.根据权利要求1所述的异常检测系统，其中，所述多个消息模块中的至少一个消息模块位于所述通信网络的子网络中的处理设备中。20.根据权利要求1所述的异常检测系统，其中，所述消息模块中的一个消息模块布置在耦合到一个或多个现场设备以控制过程或工业工厂的过程控制器设备中。21.根据权利要求1所述的异常检测系统，其中，所述消息模块中的每一个消息模块都包括进入消息模块，所述进入消息模块对在网络节点处经由所述通信链路接收的消息进行分析。22.根据权利要求1所述的异常检测系统，其中，所述消息模块中的每一个消息模块都包括外出消息模块，所述外出消息模块对来自网络节点的、在所述通信链路上发送的消息进行分析。23.根据权利要求1所述的异常检测系统，其中，所述通知模块经由所述通信网络的所述通信链路来发送所述通知。24.一种在工厂环境下使用的异常检测系统，包括：通信网络，其包括多个网络节点，所述多个网络节点中的每一个网络节点都具有处理器和计算机可读存储器，所述多个网络节点通过通信链路进行互连；多个消息模块，其中所述多个消息模块中的每一个消息模块在所述网络节点中的不同网络节点处的所述处理器上进行执行，以检测所述网络节点处的消息业务，并生成关于所述网络节点处的所述消息业务的元数据；通信耦合到所述多个消息模块中的每一个消息模块的分析引擎，其中所述分析引擎在耦合到所述通信网络的处理设备上进行执行，所述分析引擎包括：元数据存储器，控制器，其在所述处理设备的处理器上进行执行，以从所述多个
\t消息模块接收关于所述网络节点中的每一个网络节点的所述元数据，并将所接收的元数据存储在所述元数据存储器中，规则数据库，其存储逻辑规则集，规则引擎，其在所述处理设备的处理器上进行执行，以使用所述规则数据...

【专利技术属性】
技术研发人员：R·A·米克瑟，G·K·劳，A·E·卡特钦，
申请(专利权)人：费希尔罗斯蒙特系统公司，
类型：发明
国别省市：美国;US