[發(fā)明專利]網(wǎng)絡(luò)安全裝置

無效

• 申請?zhí)枺?/td>: 201210146740.7
• 申請日: 2012-05-11
• 公開（公告）號: CN102780690A
• 公開（公告）日: 2012-11-14
• 發(fā)明（設(shè)計）人: 喬納森·奈杰爾·馬林斯
• 申請（專利權(quán)）人: 庫帕技術(shù)公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京市磐華律師事務(wù)所 11336
• 代理人: 董巍;顧珊

技術(shù)領(lǐng)域

本發(fā)明涉及網(wǎng)絡(luò)安全的提供，具體地，涉及用于為諸如因特網(wǎng)的大型全局網(wǎng)絡(luò)上的通信和數(shù)據(jù)交換提供安全性的安全裝置。

背景技術(shù)

當(dāng)因特網(wǎng)增強(qiáng)和擴(kuò)展了不同用戶和實體能夠彼此通信的方式時，支持改進(jìn)網(wǎng)絡(luò)終端設(shè)備的遠(yuǎn)程訪問的介質(zhì)也隨之產(chǎn)生，這可在任何需要的場景中發(fā)現(xiàn)，例如在工業(yè)化的工廠、現(xiàn)場等等中。

以前，提供訂制網(wǎng)絡(luò)用于對所述終端設(shè)備以及例如它們之間的處理工廠數(shù)據(jù)交換進(jìn)行所需的監(jiān)控/控制。這樣的專用網(wǎng)絡(luò)系統(tǒng)雖然體現(xiàn)了固有的安全級別，但是鑒于建設(shè)和維護(hù)網(wǎng)絡(luò)以及將其接口各種終端設(shè)備所帶來的費用和潛在的復(fù)雜性，證明了所述網(wǎng)絡(luò)存在缺點并且受限制。

采用諸如因特網(wǎng)的公用網(wǎng)絡(luò)能夠獲得改進(jìn)的遠(yuǎn)程訪問方法，例如容易地處理工廠數(shù)據(jù)，從而克服了已知的限制。然而，隨著因特網(wǎng)訪問的大范圍可用，安全問題不論是與基于惡意入侵者還是開玩笑的業(yè)余者的潛在攻擊都越發(fā)相關(guān)。

此外，任何當(dāng)前的計算機(jī)病毒或者間諜軟件都可能是問題的原因所在，只要它們能夠?qū)е虏僮飨到y(tǒng)和終端設(shè)備的“崩潰”。

還注意到，很多當(dāng)前使用的操作系統(tǒng)已經(jīng)服務(wù)超過十年的時間，通常被設(shè)計為提供不間斷以及特別快速的功能，并不過度關(guān)注安全/防范問題。

已經(jīng)發(fā)現(xiàn)，這種舊式（legacy）控制系統(tǒng)一經(jīng)接收到不是嚴(yán)格符合與所述操作系統(tǒng)有關(guān)的網(wǎng)絡(luò)層協(xié)議規(guī)則的消息，就會以很多預(yù)料外的方式執(zhí)行。

除了這種網(wǎng)絡(luò)層協(xié)議攻擊或者簡單的拒絕服務(wù)攻擊，安全問題也可能發(fā)生在應(yīng)用層蓄意的惡意攻擊中，“欺騙”攻擊者試圖利用較舊的通信協(xié)議中的弱點，來故意地混淆（confuse）或簡單地隨機(jī)改變目標(biāo)設(shè)備中的數(shù)據(jù)。

例如，對于控制系統(tǒng)等的處理/工廠數(shù)據(jù)交換采用因特網(wǎng)的益處，決定了增強(qiáng)網(wǎng)絡(luò)安全性是有吸引力的。

一般安全解決方案提出了“工業(yè)防火墻”，其配置為攔截和過濾輸入至目標(biāo)設(shè)備的通信量（traffic），但是這樣的現(xiàn)有技術(shù)方案并非為控制系統(tǒng)設(shè)計。

此外，通過商用的現(xiàn)有的通信協(xié)議來組網(wǎng)的產(chǎn)品構(gòu)建了安全系統(tǒng)，并且常常由要求設(shè)備在“安全操作”期間不會被寫入的控制語句來調(diào)整安全級別。然而，這樣的配置通常難以實現(xiàn)，特別是在上述的場景中。

已經(jīng)嘗試開發(fā)產(chǎn)品中的技術(shù)參數(shù)以確定漏洞（vulnerability）的級別，并視情況提供合適的防范措施。

例如，北美電力可靠性公司（the?North?American?Electric?Reliability?Corporation，NERC）定義了在美國對發(fā)電設(shè)施具有強(qiáng)制性的一套綱要和措施。在控制系統(tǒng)安全領(lǐng)域，ISA?SP99協(xié)會正試圖定義一套標(biāo)準(zhǔn)，通過該標(biāo)準(zhǔn)可設(shè)計和評估“網(wǎng)絡(luò)安全產(chǎn)品”。

進(jìn)一步，雖然已經(jīng)開發(fā)出一些產(chǎn)品，這些產(chǎn)品配置為通過對目標(biāo)設(shè)備快速地發(fā)送每種可能的網(wǎng)絡(luò)攻擊來識別漏洞，從而測試控制和安全裝置的安全性，但是由于應(yīng)用協(xié)議的數(shù)量巨大且被認(rèn)為通過單個產(chǎn)品是不可測試的，因而這樣的裝置在應(yīng)用中受限。

在工業(yè)和控制系統(tǒng)環(huán)境中，具有被稱作“托菲諾（Tofino）”的用于區(qū)域性（zonal）保護(hù)的分布式方法，其配置為放置于網(wǎng)絡(luò)終端設(shè)備的上游，例如，電力線通信（PLC）設(shè)備、控制器遠(yuǎn)端終端單元（RTU）以及監(jiān)控和數(shù)據(jù)采集（SCADA）設(shè)備的上游。

這樣的已知的Tofino安全裝置提供具吸引力的特征，這是因為在它們自身沒有IP地址的情況下，它們能夠借用鄰近的終端設(shè)備的地址，從而使它們在網(wǎng)絡(luò)中似乎是不可見的。并且如果TCP/IP包符合TCP/IP協(xié)議規(guī)則，而且在當(dāng)前交易狀態(tài)機(jī)的序列中是有效的，則它們?nèi)急唤邮蘸桶l(fā)送。對于所選的流行的協(xié)議或應(yīng)用通信協(xié)議，例如Modbus?TCP，仔細(xì)檢查每個數(shù)據(jù)包的內(nèi)容并根據(jù)定義的協(xié)議規(guī)則進(jìn)行校驗。此外，在防火墻設(shè)備能夠設(shè)計為具有自我學(xué)習(xí)能力并容易通過簡單的圖形界面方式進(jìn)行配置而無需對設(shè)置大量了解的情況下，這種已知的防火墻能夠更易于配置。

如所述，這樣的已知的防火墻和安全裝置通常位于將被保護(hù)的終端設(shè)備的上游，并在舊式系統(tǒng)中將其簡單地插入在相關(guān)的上游位置而被普遍采用。

然而，將這種已知裝置提供在“上游”表現(xiàn)出不利性和局限性。

該裝置在其“上游”位置中所固有的是，可以很好地用于保護(hù)各種終端設(shè)備，并且因此對于多個設(shè)備中的每個設(shè)備也代表了潛在的故障點。

如果該裝置由于其必須具有為各種設(shè)備中的每個處理數(shù)據(jù)等潛能因而位于各種設(shè)備的上游，則功率和尺寸要求以及數(shù)據(jù)管理要求也具有重要意義。此外可以證明，一旦已經(jīng)識別該裝置的上游位置，就可相對容易地繞開（bypass）或以其他方式避開它。