检查自动化系统项目安全漏洞的系统和方法技术方案

一种用于检查自动化系统设计的安全漏洞的系统，包括安全数据库、互联网爬虫应用程序以及安全服务应用程序。安全数据库存储与自动化系统相关的已知软件漏洞的描述。互联网爬虫应用程序被配置为系统地浏览互联网，以查找与自动化系统相关的新软件漏洞，并将新软件漏洞加到安全数据库的索引中。安全服务应用程序从安全数据库中检索与自动化系统的硬件/软件配置相关的潜在软件漏洞。安全服务应用程序还识别与潜在漏洞相关的策略。每个策略都描述潜在漏洞以及响应于检测到潜在漏洞而待执行的动作。安全服务将策略应用于硬件/软件配置和与自动化应用程序相对应的软件代码，以识别可以向用户显示的实际漏洞。

The system and method of checking the security loopholes of automation system project

【技术实现步骤摘要】
【国外来华专利技术】检查自动化系统项目安全漏洞的系统和方法相关申请的交叉引用本申请要求于2017年9月14日提交的美国临时申请序列号62/558,540的权益，其全部内容通过引用合并于此。
本公开总体上涉及与检查用于自动化系统设计的项目安全漏洞相关的方法、系统和装置。所公开的技术可以被应用于例如图形项目设计工具，诸如西门子全集成自动化(TIA)门户。关于联邦政府赞助的研究或开发的政府权利声明本专利技术是在政府支持下完成的，奖励号为：N00173-17-2-C005。政府对本专利技术享有一定的权利。
技术介绍
工业控制系统(ICS)是用于自动化系统内工业过程控制的控制系统和相关联手段。由于它们控制的物理系统的重要价值，因此ICS容易受到网络攻击，包括web服务器攻击、传感器篡改、恶意代码注入和其它方法。Stuxnet是针对自动化系统的网络攻击的显著示例。这些攻击可导致重大故障、中断、甚至对财产和人员造成破坏。传统ICS具有已知的安全漏洞。术语“安全漏洞”指的是可被某个动作利用以在自动化系统或任何相关联的计算机系统内执行未授权动作的应用程序的硬件/软件(HW/SW)配置或源代码的任何弱点。如本文所使用的，安全漏洞可包含安全问题、漏洞和利用。一些可公开获得的资源记录了可能影响ICS的安全漏洞。例如，国土安全部(DHS)的ICS网络紧急响应小组(ICS-CERT)数据库在关键基础结构网络上发出警报。西门子S7-1500PLC漏洞的一个示例如图1A和1B中所示。图1A示出了关于CPU拒绝服务攻击的建议，而图1B提供了西门子产品的其它漏洞的示例列表。尽管有诸如ICS-CERT数据库的资源，但就网络安全意识而言，普遍缺乏对自动化工程师的支持。例如，自动化工程师通常不具有信息技术(IT)安全背景。相反，IT安全专家通常不能将标准IT安全方法应用于ICS。此外，由于自动化系统的复杂性，很难手动验证系统安全性。现有的ICS安全标准要求持久的手动过程。现有的ICS安全标准(诸如国际电工委员会(IEC)62443)是方法，而不是软件工具。该过程很耗时，并且从开始到完成需要几天到几周的时间。此外，不会自动处理公共安全数据库(例如CERT)中的信息。还应该指出的是，现有的ICS安全标准仅是高级指南。因此，结果不够详细，自动化工程师无法改善其控制逻辑，诸如结构化控制语言(SCL)代码。
技术实现思路
本专利技术的实施方式通过提供与检查用于自动化系统设计的项目安全漏洞相关的方法、系统和装置，解决并克服了上述短处和缺点中的一个或多个。根据一些实施方式，一种用于检查用于自动化系统设计的项目安全漏洞的系统包括安全数据库、互联网爬虫应用程序以及安全服务应用程序。安全数据库存储与自动化系统相关的已知软件漏洞的描述。互联网爬虫应用程序被配置为系统地浏览互联网，以查找与自动化系统相关的新软件漏洞，并将新软件漏洞加到安全数据库的索引中。安全服务应用程序从安全数据库中检索与自动化系统的硬件/软件配置相关的潜在软件漏洞。安全服务应用程序还识别与潜在漏洞相关的策略。每个策略都描述潜在漏洞以及响应于检测到潜在漏洞而待执行的动作。安全服务将策略应用于硬件/软件配置和与自动化应用程序相对应的软件代码，以识别一个或多个实际漏洞。然后，安全服务应用程序向用户显示实际漏洞。根据其它实施方式，用于检查用于自动化系统设计的项目安全漏洞的计算机实现的方法包括：从IDE接收自动化系统的硬件/软件配置以及与自动化应用程序相对应的软件代码的描述。从安全数据库中检索与硬件/软件配置相关的一个或多个潜在软件漏洞。识别与潜在漏洞相关的一个或多个策略。每个策略都描述潜在漏洞以及可以执行以缓解潜在漏洞的一个或多个动作。将该策略应用于硬件/软件配置和软件代码，以识别一个或多个实际漏洞。然后，这些实际漏洞可在IDE中显示。根据其它实施方式，集成开发环境(IDE)系统包括IDE和客户端应用程序。IDE包括第一图形用户界面(GUI)组件，其允许指定自动化系统的硬件/软件配置。IDE还包括第二GUI组件，其允许输入与自动化应用程序相对应的软件代码。客户端应用程序与IDE集成。该应用程序被配置为将硬件/软件配置和软件代码传输到远程安全服务应用程序。客户端应用程序从远程安全服务应用程序接收软件代码中存在的一个或多个漏洞的识别。这些漏洞然后可在IDE中显示。根据下面参考附图进行的说明性实施方式的详细描述，本专利技术的其它特征和优点将变得显而易见。附图说明当结合附图阅读时，根据以下详细描述可以最好地理解本专利技术的前述和其它方面。为了说明本专利技术，在附图中示出了当前优选的实施方式，然而，应当理解，本专利技术不限于所公开的特定手段。附图中包括以下附图：图1A示出了关于CPU拒绝服务攻击的建议；图1B提供了西门子产品的其它漏洞的示例列表；图2示出了根据一些实施方式的用于检查用于自动化系统设计的项目安全漏洞的系统；图3示出了从ICS-CERT网站检索的示例网页；图4示出了IDE如何显示与安全漏洞相关的信息的示例；以及图5示出了可以在其内执行工程安全漏洞识别服务的示例性计算环境。具体实施方式在此描述的系统、方法和装置总体上涉及检查用于自动化系统设计的项目安全漏洞。简而言之，本文描述的技术使用与集成开发环境(IDE)集成或与IDE结合操作的安全漏洞客户端应用程序。安全漏洞客户端应用程序与远程安全漏洞识别服务通信，以识别程序员输入的HW/SW配置和/或源代码内的安全漏洞。一旦识别出这些安全漏洞，便将它们传递回客户端应用程序以向用户显示。如下所述，在一些实施方式中，远程安全漏洞识别服务还可以提供用于解决所识别的安全漏洞的一种或多种缓解技术的列表。图2示出了根据一些实施方式的用于检查用于自动化系统设计的项目安全漏洞的系统。工程安全漏洞爬虫220是互联网爬虫应用程序，该互联网爬虫应用程序被配置为系统地浏览互联网上的安全漏洞资源225，以查找与自动化系统相关的新软件漏洞。一旦工程安全漏洞爬虫220识别新的软件漏洞，该漏洞就被存储在安全漏洞数据库210中。除了该自动处理之外，在一些实施方式中，用户可以在漏洞被识别时手动填充安全漏洞数据库210。安全漏洞资源225是包括一个或多个网页的网站，该网页识别与自动化系统相关的软件漏洞。例如，在一个实施方式中，安全漏洞资源225可以包括官方资源，诸如来自DHS的ICS-CERT数据库。安全漏洞资源225还可以包括讨论或描述安全漏洞的在线论坛和已知的“黑客”站点。在一些实施方式中，工程安全漏洞爬虫220(如下所述)可以使用针对特定自动化系统(例如，产品名称、版本等)的关键字来执行整个互联网的搜索，以识别应当被包括在安全漏洞资源225中的网站。可以使用本领域中通常已知的各种数据库系统来实现安全漏洞数据库210。例如，在一些实施方式中，可以使用基于SQL的数据库。在其它实施方式中，已知软件漏洞的描述可以存储在具有表等效结构的No-SQL数据库中。如本领域本文档来自技高网...

【技术保护点】
1.一种用于检查自动化系统设计的项目安全漏洞的系统，所述系统包括：/n安全数据库，其存储与自动化系统相关的已知软件漏洞的描述；/n互联网爬虫应用程序，其被配置为系统地浏览互联网，以查找与所述自动化系统相关的新软件漏洞，并将所述新软件漏洞加到所述安全数据库的索引中；/n安全服务应用程序，其被配置为：/n从所述安全数据库中检索与所述自动化系统的硬件/软件配置相关的一个或多个潜在软件漏洞；/n识别与潜在漏洞相关的一个或多个策略，其中，每个策略描述潜在漏洞和响应于检测到所述潜在漏洞而待执行的动作；/n将所述策略应用于所述硬件/软件配置和与自动化应用程序相对应的软件代码，以识别一个或多个实际漏洞；以及/n向用户显示所述一个或多个实际漏洞。/n

【技术特征摘要】
【国外来华专利技术】20170914 US 62/558,5401.一种用于检查自动化系统设计的项目安全漏洞的系统，所述系统包括：
安全数据库，其存储与自动化系统相关的已知软件漏洞的描述；
互联网爬虫应用程序，其被配置为系统地浏览互联网，以查找与所述自动化系统相关的新软件漏洞，并将所述新软件漏洞加到所述安全数据库的索引中；
安全服务应用程序，其被配置为：
从所述安全数据库中检索与所述自动化系统的硬件/软件配置相关的一个或多个潜在软件漏洞；
识别与潜在漏洞相关的一个或多个策略，其中，每个策略描述潜在漏洞和响应于检测到所述潜在漏洞而待执行的动作；
将所述策略应用于所述硬件/软件配置和与自动化应用程序相对应的软件代码，以识别一个或多个实际漏洞；以及
向用户显示所述一个或多个实际漏洞。


2.根据权利要求1所述的系统，其中，所述互联网爬虫应用程序还被配置为：(a)从详细描述所述新软件漏洞的一个或多个外部网站检索网页，以及(b)应用一种或多种机器学习算法来从所述网页中提取与所述新软件漏洞相关的信息。


3.根据权利要求2所述的系统，其中，与所述新软件漏洞相关的信息包括以下中的一项或多项：(a)产品名称、(b)与所述产品相关的版本号、(c)漏洞类型、(d)漏洞标识符以及(e)命名实体链接。


4.根据权利要求2所述的系统，其中，所述外部网站从预定的网站列表中选择。


5.根据权利要求2所述的系统，其中，所述外部网站使用包括以下中的一项或多项的关键字基于互联网搜索来识别：(a)产品名称、(b)与所述产品相关的版本号、(c)漏洞类型、(d)漏洞标识符以及(e)命名实体链接。


6.根据权利要求2所述的系统，其中，所述安全服务应用程序还被配置为：
响应于所述一个或多个实际漏洞的显示，接收来自所述用户的反馈，
其中，基于所述反馈重新训练所述一种或多种机器学习算法。


7.根据权利要求1所述的系统，其中，所述策略识别用于解决所述一个或多个实际漏洞的一种或多种可能的缓解技术，并且所述安全应用程序进一步被配置为显示所述可能的缓解技术。


8.根据权利要求1所述的系统，其中，在集成开发环境(IDE)中向所述用户显示所述一个或多个实际漏洞。


9.根据权利要求8所述的系统，其中，所述实际漏洞中的至少一个被定向到所述软件代码的特定行，并且所述安全应用程序以与所述软件代码的所述特定行一致地显示所述实际漏洞。


10.根据权利要求8所述的系统，其中，所述实际漏洞中的至少一个被定向到所述软件代码的特定行，并且所述安全应用程序以所述软件代码的所述特定行的行号来显示所...

【专利技术属性】
技术研发人员：宋震，里兹万·马吉德，阿基梅德斯·马丁内斯·卡内多，任冠楠，古斯塔沃·阿尔图罗·基罗斯·阿拉亚，
申请(专利权)人：西门子公司，
类型：发明
国别省市：美国;US