平码五不中公式规律
  • / 14

网络防御.pdf

关 键 ?#21097;?/dt>
网络 防御
  专利查询网所有资源均是用户自行上传分享,仅供网友学习交流,未经上传用户书面授权,请勿作他用。
摘要
申请专利号:

CN201480059635.7

申请日:

2014.10.30

公开号:

CN106663168A

公开日:

2017.05.10

当前法律状态:

实审

有效性:

审中

法?#19978;?#24773;: 实质审查的生效IPC(主分类):G06F 21/56申请日:20141030|||公开
IPC分类号: G06F21/56 主分类号: G06F21/56
申请人: 赛博吉姆控制有限公司
发明人: 奥菲尔·哈森
地址: 以色列霍隆
优?#28909;ǎ?/td> 2013.11.01 US 61/898,487
专利代理机构: 北京安信方达知识产权代理有限公司 11262 代理人: 陆建萍;郑霞
PDF完整版?#30053;兀?/td> PDF?#30053;?/a>
法律状态
申请(专利)号:

CN201480059635.7

授权公告号:

|||

法律状态公告日:

2017.06.06|||2017.05.10

法律状态类型:

实质审查的生效|||公开

摘要

一种网络仿真设施包括:真实的基础设施的操作的物理模型设施,其至少部分地模拟真实的基础设施的操作并且包括对应于真实的基础设施中的设备且模拟该设备的操作的设备;供人类对模型设施发起网络攻击使用的攻击工具;供人类在操作和保护模型设施免受使用攻击工具发起的网络攻击所使用的操作和管理工具;以及具有存储器的控制器,其可操作以获取对模型设施发起的网络攻击的取证记录以及保护模型设施免受网络攻击所采取的防御策略并将其存入存储器。

权利要求书

1.一种网络仿真设施,包括:
真实的基础设施的可操作的物理模型设施,所述物理模型设施至少部分地模拟所述真
实的基础设施的操作,并且包括对应于且模拟在所述真实的基础设施中的设备的操作的设
备;
攻击工具,供人类对所述模型设施发起网络攻击时所使用;
操作和管理工具,供人类在操作和保护所述模型设施免受使用所述攻击工具发起的网
络攻击时使用;以及
控制器,所述控制器具有存储器并且可操作以获取对所述模型设施发起的网络攻击的
取证记录和保护所述模型设施免受所述网络攻击而采取的防御策略并将所述取证记录和
所述防御策略存储在所述存储器中。
2.根据权利要求1所述的网络仿真设施,其中,在所述模型设施中的所述设备包括物理
设备。
3.根据权利要求1所述的网络仿真设施,其中,在所述模型设施中的所述设备包括虚拟
设备。
4.根据权利要求1所述的网络仿真设施,还包括采集器代理,所述采集器代理获取与在
所述模型设施中的所述设备的运行相关的操作状态数据或指示在所述模型设施中的所述
设备的运行的操作状态数据。
5.根据权利要求4所述的网络仿真设施,其中,所述控制器接收所述操作状态数据并且
将所述操作状态数据存储在所述存储器中作为所述取证记录的部分。
6.根据权利要求5所述的网络仿真设施,还包括模型制造模块,所述模型制造模块处理
在所述取证记录中的数据以生成操作状态向量,所述操作状态向量包括具有响应于由多个
所述采集器代理中的每个提供的操作状态数据的值的?#33267;俊?br />
7.根据权利要求1所述的网络仿真设施,还包括人类活动传感器,所述人类活动传感器
获取指示人类的活动的数据,所述活动使用所述攻击工具以对所述模型设施发起网络攻击
或使用所述操作和管理工具以操作和保护所述模型设施免受网络攻击。
8.根据权利要求7所述的网络仿真设施,其中,所述控制器接收由所述人类活动传感器
获取的所述数据并将接收到的数据存储在所述存储器中作为所述取证记录的一部分。
9.根据权利要求8所述的网络仿真设施,还包括模型制造模块,所述模型制造模块处理
在所述取证记录中的数据以生成操作状态向量,所述操作状态向量包括具有响应于由多个
所述人类活动传感器中的每个提供的数据的值的?#33267;俊?br />
10.根据权利要求6所述的网络仿真设施,其中,所述模型制造模块定义响应于所述操
作状态向量的至少一个分类器,用于确定在给定时间处的操作状态向量是否指示所述模型
设施受到网络攻击。
11.根据权利要求10所述的网络仿真设施,其中,所述至少一个分类器包括支持向量分
类器。
12.根据权利要求10所述的网络仿真设施,其中,所述至少一个分类器包括神经网络。
13.根据权利要求9所述的网络仿真设施,其中,所述模型制造模块定义响应于所述操
作状态向量的至少一个分类器,用于确定在给定时间处的操作状态向量是否指示所述模型
设施受到网络攻击。
14.根据前述权利要求中任一项所述的网络仿真设施,其中,所述真实的基础设施包括
发电站。
15.根据权利要求1-13中任一项所述的网络仿真设施,其中,所述真实的基础设施被配
置为使用所述取证记录来保护所述真实的设施免受网络攻击。
16.根据权利要求15所述的网络仿真设施,其中,所述真实的基础设施包括发电站。
17.根据权利要求10所述的网络仿真设施,其中,所述真实的基础设施被配置为使用所
述至少一个分类器以确定所述真实的设施是否受到网络攻击。
18.根据权利要求13所述的网络仿真设施,其中,所述真实的基础设施被配置为使用所
述至少一个分类器以确定所述真实的设施是否受到网络攻击。
19.根据权利要求17或权利要求18所述的网络仿真设施,其中,所述真实的基础设施包
括发电站。
20.一种开发保护基础设施免受网络攻击的策略的方法,所述方法包括:
获取由根据权利要求1-13中任一项所述的网络仿真设施提供的取证记录,所述取证记
录响应于人类使用在所述网络仿真设施中的工具来对在所述网络仿真设施的模型基础设
施发起网络攻击并防御所述网络攻击;以及
处理在所述取证记录中的数据以生成保护所述基础设施免受网络攻击的防御策略。

说明书

网络防御

相关申请

本申请根据35U.S.C.119(e)要求在2013年11月1日递交的美国临时申请61/898,
487的权益,其公开内容通过引用并入本文。

技术领域

本发明的实施方案涉及保护基础建设设备免受网络攻击的方法。

背景

如发电站、水处理厂、油气管道分配系统的现代化的基础建设装置以下统称为基
础设施,其是生产、控制和/或分配对于现代社会的正常运作所必需的大量资源的综合设
施。每个基础设施体?#33267;?#22797;杂的环?#24120;?#36890;常包括人类操作员的网络和集成的自动化设备系
统、监控系统、以及响应于由监控系统和人类操作员提供的数据来协同控制设备的计算机
网络。计算机、监控系统、设备和操作员经由可能包括有线和无线通信设备二者的通信网络
进?#22411;?#20449;。计算机和它们执行的指令集及它们访?#23454;?#20449;息系统、监控系统以及通信网络通
常被称为监测控制和数据采集(SCADA)系统。SCADA通过人类操作员经由人机接口(HMI)设
备(如,控制台、键盘和语音识别控制设备)来访问。

单个给定的基础设施可为可能具有相对有限的地理范围的设施服务区域(?#28909;?#23567;
城镇或城镇的一部分)中的人口提供服务和资源,,或者为相对扩大的地理区域(?#28909;?#22823;城
?#23567;?#22478;市群体或州)中的人口提供服务和资?#30784;?#36890;常,基础设施被整合以合作并且为非常大
的地理区域中的人口提供服务和资源,该区域扩展到超出合作的基础设施中的单一的服务
区域。

例如,尽管单个发电站可以给全部邻近的或全市的人口提供电力,但是多个发电
站可以被整合以形成电网,其为包括国家中的一个州或多于一个州的国家区域中的人口提
供电力。并且多个发电站可以被整合以提供相互?#35272;?#30340;发电站的电网,其为国?#19968;?#25193;展到
超出单个国家的边界的地理区域提供电力。例如,被称为魁北克互联(Quebec
Interconnection)的电网为加拿大的魁北克省和美国东北部提供电力。西部互联和东部互
联电网分别为美国西部的州和美国东南部的州提供电力。印度电力系统被分为5个大的区
域电网。一个大的电网为?#20998;?#22823;陆的大部分提供电力。

各种发电站和电网集中、使用和控制?#21496;?#22823;价值的物质和经济资产,并且对其运
行或资产的破坏和/或损害能?#22351;?#33268;对国家和全球经济的实质性的经济损失,导致人身伤
害,并甚至导致生命损失。例如,被称为2003大停电的电力损失使加拿大东北部和美国的大
约5500万的人陷入停电状态?#20013;?#22823;约4个小时。“短的”4个小时的大停电估计损失大约60亿
美元。

大停电是由俄亥俄州的第一能源公司(FirstEnergy Corporation)的报警系统里
的软件错误引起的。在农村地区的超载的输电线下垂并?#37319;?#26641;?#38236;?#33268;了使下垂的线路?#25910;?br />的闪络之后,该错误阻止了提出的通知操作员重新分配输电线路功?#23454;?#35686;报。?#25910;?#32447;路导
?#24405;读收希?#20854;中其他输电线?#26041;?#36830;地超载、迅速退出服务,并且产生了大停电。

尽管2003大停电?#19988;?#22806;的,但是诸如发电站和电网的电力设施都暴?#23545;?#30001;网络攻
击导致的各种复杂程度和?#29616;?#31243;度的故意损坏中。网络攻击试图通过利用SCADA系统的易
损性造成对电力设施的损坏,SCADA系统控制设施到各种类型的可能损坏它们的操作的攻
击。网络攻击可针对破解计算机指令集、指令集的执行、通过执行指令集所处理的数据和/
或计算机如何在其本身之间、与它们控制的设备和/或外界进?#22411;?#20449;。网络攻击的例子包
括:拒绝服务;来自操作人员的虚假请求或虚假信息的提交或对操作人员提交虚假请求或
虚假信息;输入伪造数据到数据库和/或设备;设施设备的未经授权的操作;通讯中断;以及
指令集被震网(stuxnet)计算机蠕虫这样的恶意软件误用。

为了保护设施,操作员实施各项安全程序并安装被设计成防止和/或减轻网络攻
击的后果的各种技术。但是,用于制作网络攻击的对于个人、组织和国家经常容易使用的设
施和技术和财力资源的复?#26377;栽市?#19981;同形式和危害性的网络攻击的无数的可能的场景。因
此,为电力设施配置?#23454;?#30340;保护是困难的任务,其典型地需要寻址安全问题的大配置文件
并且一般需要重复审查。尽管部署的安全程序和技术似乎对于寻址相对低水平的、小规模
的网络攻击的固定的相对有效的,设施经常暴露于该网络攻击,但是如果不是不可能的话,
例如预测它们的高效低频(HILF)的“黑天鹅”网络?#24405;?#20063;是困难的。

概述

本发明的实施方案的一方面涉及提供用于防止和/或减轻对基础设施的网络攻击
的后果的开发软件和硬件技术、协议和系统(以下通常称为“网络防护”技术)。在本发明的
实施方案中,基础设施包括电力设施。可选地,该方法帮助提高网络攻击的预测。

本发明的实施方案一方面涉及提供包括电力设施的操作模型的仿真设施,其模拟
“真实的”电力设施的操作,在其中人类与仿真设施进行交互以生成网络防护技术。可被称
为模型设施的操作模型包括与在真实的电力设施中的设备相对应且类似地操作的真实的
和/或虚拟的设备。

本发明的实施方案的一方面涉及配置“交互格式?#20445;?#26681;据交互格式人类在仿真设施
里交互和与仿真设施交互。

在本发明的实施方案的交互格式中,第一和第二团队的人?#21271;?#25552;供有访问仿真设
施的权限来生成网络防护技术。下文也被称为“仿真攻击代理”的第一团队的人类被指示尝
试对模型设施发起网络攻击来破?#30340;?#22411;设施的运行。下文也被称为“仿真防御代理”的第二
团队的人?#21271;?#25351;示保护模型设施免受网络攻击并且保持模型设施的正常运行。

本发明的实施方案的一方面涉及监控模拟攻击和防御代理在彼此相互竞争和实
施和/或创建网络战略来分别破坏和阻止破?#30340;?#22411;设施的运行的活动,以获取该活动的取
证记录。如下面所?#33268;?#30340;,取证记录可被处理来为模型设施和实际设施提供网络防护技术。

取证记录可包括由仿真攻击代理对模型设施发起攻击所采取的活动以及由防御
代理在保护模型设施免受攻击中所采取的防御措施以及攻击和防御措施的结果的按时间
顺序排列的历史。监控仿真攻击和防御代理的活动可包括监控代理的HMI活动。监控HMI活
动可选地包括键盘监听以追随仿真代理的键盘的使用以发起网络攻击和/或从事并使用防
御性计算机指令集以防止网络攻击。监控HMI活动可包括监控仿真代理和计算机视频显示
的交互,可选择地通过采用眼追踪技术来追踪代理的视线方向,并确定仿真代理的注视点
和注视点在显示的特征之间的运动。可选地,监控仿真代理的活动包括监控代理的生理特
征以提供对于例如关注?#21462;?#21387;力和/或警惕性的水平的指示。

本发明的实施方案的一个方面涉及处理在取证记录里的数据,以提供网络攻击的
识别、警报和响应系统和/或协议以用于保护模型设施免受由仿真攻击代理发起的网络攻
击,以及可选地,以保护真正的电力设施免受由真正的攻击代理发起的网络攻击。提供系统
和/或协议可选地包括处理取证数据以生成数据库,下文也被称为网络攻击与防御数据库
(CYBAD数据库),其包括识别和表征网络攻击和网络防御的数据。

在本发明的实施方案中,网络攻击通过特征向量在CYBAD里被识别和表征。网络攻
击特征向量的?#33267;?#21487;选地编码用于测量对应于真实的电力设施里的设备的模型电力设施
中的真实和虚拟设备的性能的参数的值。可选地,特征向量的?#33267;?#21253;例如用于传输延迟的
值和/或用于在发电厂的SCADA系统中的特定节点列表之间传输的数据的丢包率测量、一组
?#26032;?#30340;温度,和/或?#19979;?#22120;过电流额定值的最近设置的时间。可选地,网络攻击特征向量对
以网络攻击为特征的攻击树进行编码。

在本发明的实施方案中,至少一个状态特征向量被定义用于模型设施并且可选地
用于真实的电力设施。最后的一个状态特征向量包括可用于识别和指示模型或真实的设施
遭受网络攻击的概?#23454;姆至?#24182;且该?#33267;?#34987;重复地评估。可选地,在给定时间的攻击的概率
的识别响应于在给定时间的状态特征向量与包括在CYBAD数据库中的特征向量的标量积来
确定。

在本发明的实施方案中,用于防止和/或最小化网络攻击的影响的防御策略被识
别并在CYBAD数据库里以“防御特征向量?#21271;?#24449;。对于给定的网络攻击的对策可响应于网络
攻击特征向量和防御特征向量的标量积的值来确定。

在本发明的实施方案中,系统和/或协议通过在包括在CYBAD数据库中的数据训练
过的神经网络被配置并被执行。

因此,根据本发明的实施方案所提供的网络仿真设施包括:真实的基础设施的操
作的物理模型设施,其至少部分地模拟真实的基础设施的操作并且包括相应于真实的基础
设施中的设备且模拟该设备的操作的设备;攻击工具,以供人员对模型设施发起网络攻击
所使用;操作和管理工具,以供人员在操作和保护模型设施免受使用攻击工具发起的网络
攻击所使用;以及控制器,其具有存储器,并且可操作以获取对模型设施发起的网络攻击的
取证记录和保护模型设施免受网络攻击的防御策略并将其存储在存储器中。

可选地,在模型设施中的设备包括物理设备。可替代地或附加地,在模型设施中的
设备可包括虚拟设备。

在本发明的实施方案中,网络仿真设施包括采集器代理,其获取与在模型设施中
的设备的运行相关的或指示该运行的操作状态数据。可选地,控制器接收操作状态数据并
在存储器中存储操作状态数据作为取证记录的一部分。网络仿真设施可选地包括模型制造
模块,其处理在取证记录中的数据以生成包括?#33267;?#30340;操作状态向量,该?#33267;?#20855;有响应于由
多个采集器代理中的每一个提供的操作状态数据的值。

在本发明的实施方案中,网络仿真设施包括人类活动传感器,其获取表示人员使
用攻击工具以对模型设施发起网络攻击的活动,或者人员使用操作和管理工具来操作并保
护模型设施免受网络攻击的活动的数据。可选地,控制器接收由人类活动传感器获取的数
据并将接收到数据作为取证记录的一部分存储在存储器中。在本发明的实施方案中,网络
仿真设施包括模型制造模块,其处理在取证记录中的数据以生成具有?#33267;?#30340;操作状态向
量,该?#33267;?#20855;有响应于由多个人类活动传感器中的每一个提供的数据的值。

在本发明的实施方案中,模型制造模块定义响应于操作状态向量的至少一个分类
器,其用于确定在给定时间处的操作状态向量是否指示模型设施受到网络攻击。可选地,至
少一个分类器包括支持向量分类器。可替代地或附加地,至少一个分类器包括神经网络。

根据本发明的实施方案?#22266;?#20379;了真实的基础设施,其被配置为根据本发明的实施
方案使用由网络仿真设施提供的取证记录以保护真实的设施免受网络攻击。

根据本发明的实施方案?#22266;?#20379;了真实的基础设施,其被配置为根据本发明的实施
方案使用分类器来确定真实的设施是否受到网络攻击。

在本发明的实施方案中,真实的基础设施包括发电站。

根据本发明的实施方案?#22266;?#20379;了一种方法,该方法开发保护基础设施免受网络攻
击的策略,该方法包括:响应于人员使用在网络仿真设施中的工具来对网络仿真设施的模
型基础设施发起网络攻击以及防御网络攻击,根据本发明的实施方案,获取由网络仿真设
施提供的取证记录;以及处理在取证记录中的数据以生成保护基础设施免受网络攻击的防
御策略。

在?#33268;?#20013;,除非另外的声明,修饰本发明的实施方案的特征或多个特征的条件或
关系特征的?#28909;紜?#23454;质上”和“约”的形容?#26102;?#29702;解成意味?#30424;?#20214;或特征被定义在容差内,其
对于目标申请的实施方案的操作是可接受的。除非另外的表明,在说明书和权利要求书中
的单词“或?#21271;?#35748;为是包括的“或”而不是排外的或,并且指示它连接的项目中的至少一个或
任何组合。

本概述被提供来以简化形式引入选择的概念,其在下面在详?#35813;?#36848;中进行进一步
描述。本概述并非旨在标识出要求保护的主题的关键特征或必要特征,亦非旨在用于限定
要求保护的主题的范围。

附图简述

本发明的实施例的非限制性实例在下面参考随附的附图进行描述,其在此?#28201;?#20043;
后列出。在相同特征出现的所有附图中,出现在多于一幅附图里的相同特征通常用相同的
标记来标注。在图中标注代表本发明的实施方案的给定特征的图标的标记可用于引用给定
特征。在图中示出的特征的尺寸为描述的方便和清晰起见而被选择并且没必要按比例示
出。

图1A示意性示出了根据本发明的实施方案的包括发电站和配电网以及对应于发
电站和电网的仿真设施的基础设施;以及

图1B示意性示出了图1A中所示的发电站和配电网的扩大的图像。

详?#35813;?#36848;

根据本发明的实施方案,图1A示意性示出了真实的电力设施200和包括模拟真实
的设施的模型设施22的仿真设施20。通过例子,电力设施200包括连接到电网300的一部分
的发电站200,电网300包括电力传输电缆302以将电能输送到工业和国内消费者304。发电
站200例如假定为?#27982;?#22411;发电站,其包括在图1A中用图标代表的或示意性示出的发电和控
制设备。蒸汽发电站的组件是众所周知的并且仅仅?#27982;?#22411;发电站可能包括的设备中的一些
在图中被示出,并且示出的设备中仅有一些被明确地?#33268;邸?#22270;1B示意性示出了发电站200的
扩大图像,其中更清楚地看到发电站的结构?#38468;凇?br />

发电站200包括蒸汽生成综合设施202,其在炉膛204中燃烧通过给煤系统240输送
的煤以生成用于驱动?#26032;?#31995;统260的蒸汽。?#26032;?#31995;统260使机电发电机270旋转以产生电力。
在机电发电机270的输出电压处的电力被传输到升压变压器272,升压变压器272将电力的
电?#22266;?#39640;到用于经由配电网300传输到消费者304的适合的高电压。降压变压器(未示出)将
经由传输电缆302传输的高压电力转变成适于国内和工业消费者304使用的电压处的电力。

给煤系统240可包括将煤244运送到粉碎机246的运煤机242,粉碎机246生产和输
送粉碎的煤和空气的混合物到炉膛204,其中混合物被燃烧以产生用于使保存在锅的锅筒
206中的水转变成蒸汽的?#21462;?#22312;炉膛204中的煤和空气的混合物的燃烧由“火焰”208示意性
地表示。在锅炉锅筒206中生成的蒸汽从蒸汽生成综合设施202经由在图1A中有数字210和
211标注的通常被称为“过热器”和“回热器”的热交换线圈而循环到?#26032;?#31995;统260。

?#26032;?#31995;统260通常包括高压?#26032;?61、中压?#26032;?62和低压?#26032;?63。驱动高压?#26032;?br />261的蒸汽从蒸汽生成综合设施202经由过热器210进行循环。离开高压?#26032;?61的蒸汽回到
蒸汽生成综合设施202,其中蒸汽在回热器211中在炉膛204中被再加热,并且在经过回热器
后被提供给中压?#26032;?62。离开中压?#26032;?62的蒸汽由中压?#26032;?#20379;给以驱动低压?#26032;?63。离
开低压?#26032;?63的蒸汽经由冷凝器212和被称为“节约装置”的热交换线圈214回到锅炉锅筒
206。由冷?#27492;?16为冷凝器212提供冷却并且来自在炉膛204中的煤的燃烧的废气在经过沉
淀器221后作为烟218通过烟囱220被释放到空气中,沉淀器221可从废气中除去微粒物质。

发电厂200的操作和发电厂中的设备的控制通过由计算机图标250示意性表示的
SCADA系统来协调。通过直接或间接耦合到设备的可被称为“采集器代理”的传感器获取数
据,数据在下文中也被称为操作状态数据,相关于和/或指示在发电厂200中的设备零件
(pieces of equipment)和/或支持来自设备零件和至设备零件的通信的通信网络的运行。
采集器代理将它们获取的操作状态数据传输到用于处理的SCADA 250以监控和控制发电厂
200的设备和操作的运行。在图1A中,具有指示它们分别?#33719;?#21512;的设备的指针的采集器代理
由标注框252示意性地表示。

应该注意的是,虽然诸如采集器代理252的采集器代理未示出为用于配电网,但是
用于监控配电网300的运行的采集器代理通常分布为遍及配电网以获取指?#38236;?#32593;组件的运
行状态的操作状态数据。例如,采集器代理可以用于监控传输电缆302的当前负载和温度以
及降压变压器的输入和输出电压。配电网通常也包括或具有SCADA系统的访问权限,其接收
对于与电网组件的操作相关的参数由采集器代理获取的操作状态数据,并且响应于接收到
的数据控制组件。在以下的?#33268;?#20013;,假定配电网300具有对SCADA 250的访问权限并由SCADA
250控制。

根据本发明的实施方案,仿真设施20可选地包括发电站200的物理模型30和配电
网300的物理模型40。模型发电站30模拟发电站200的操作并由发电厂200的简化图像?#35789;?br />意性地表示。类似地,模型配电网40模拟配电网300和可选的消费者304(在下文中也被统称
为配电网300)的操作,并且由配电网300和消费者304的简化图像示意性地表示。

模型发电站30包括在图1A中共同地由数字31指示的物理和可选地虚拟设备,其对
应于包含在发电站200中的物理设备。模型发电站30还包括SCADA系统32,其能以与SCADA
250控制和监控在发电站200中的设备类似的方式监控并控制设备31。可选设备31包括对应
于在发电站200中的采集器代理252的采集器代理33,并获取与监控和控制在设备31中的装
置的运行的有关的操作状态数据并提供给SCADA 32。?#26723;?#27880;意的是,虽然模型发电站30由
发电站200的缩图表示,但是它不一定包括用于包括在发电厂200中的每个设备零件的物理
和/或虚拟设备实体,并且可以仅仅模拟发电站200的一部分或由发电站200执行的功能的
一部分。

物理设备31可包括与包括在发电站200中的相应设备相同的设备,以及配置为模
拟包括在发电站200中的相应设备、与相应设备不同的物理设备。虚拟设备包括构成实体的
软件,其可以包括由软件配置的物理设备,其模拟包括在发电站200中的相应设备。对应于
发电站200中的物理设备的给定零件的给定的虚拟设备实体实质上运行就好像其是相应物
理实体。给定的虚拟设备实体与模型30中的其他真实和/或虚拟设备通信和协作,类似于在
发电站200中的相应设备与在发电站200中的其他设备通信和协作的方式。给定的虚拟设备
实体可以通过SCADA 32被访?#21097;?#31867;似于在发电厂200中的设备可通过SCADA 250被访?#23454;?#26041;
式。

类似于包括对应于包括在发电站200中的设备的物理设备和可选虚拟设备的模型
发电站30,模型配电网40包括对应于包括在配电网300中的物理设备的物理和可选的虚拟
设备。并且,虽然模型配电网40由配电网300的缩图表示,但是它不一定需要包括对于被包
括在配电网300中的设备的每件零件的物理和/或虚拟设备实体。模型配电网可以仅模拟配
电网300的一部分或者由配电网300执行的功能的一部分。可选地,模型配电网40包括对应
于配电网300中的采集代理(未示出)的采集代理(未示出),并向SCADA 32提供与模型配电
网40的组件的操作相关的操作状态数据。

仿真设备20包括集中式或分布式计算机或计算机系统,在下文由计算机图标50表
示的控制器可选地用于配置SCADA 32,并且响应于从发电站200和配电网300的实际操作接
收的数据来更新模型30和40的操作。根据本发明的实施方案,来自发电站200的数据经由安
全的单向通信信道53来接收,单向通信信道53传输来自发电站200和配电网300的数据,但
不向发电站和/或配电网传输数据。数据经由通过双箭头的块箭头55表示的通信信道或网
络在控制器50和模型30和/或40之间进行传输。在本发明的实施方案中,由控制器50生成或
获取的数据可以通过书面文件或被认为是对抗网络攻击足够安全的其它通信信道提供给
发电站200和/或配电网300使用。通过书面文件或“足够安全的”信道提供数据由虚线块箭
头54示意性地表示。

仿真设施20被配置为提供对模型发电站30和/或模型配电网40具有访问权限的仿
真攻击代理61和仿真防御代理62以参加“网络战斗会话”。在网络战斗会话中,仿真攻击代
理61试图进行损害或削弱发电站模型30和/或配电网模型40的功能的网络攻击,并且和仿
真防御代理作战,仿真防御代理进行操作以保护被攻击的模型30和/或40并且阻止攻击的
防御代理作战。

控制器50可选地包括在其中其存储和管理在CYBAD数据库里的数据的存储器。控
制器50进行操作以获取网络战斗会话的取证记录(forensic record)并存储在CYBAD里,其
可如下面所?#33268;?#30340;被处理以响应于网络战斗会话而公布用于保护发电站200和/或配电网
300的网络防护技术。可选地,控制器50包括处理在取证记录里的数据以提供网络防护技术
的模型制作模块。在实施方案中,网络防护技术包括用于在模型30和/或模型40上识别和确
认网络攻击的分类器。

为仿真攻击代理61提供访问模型30和或模型40的权利可包括为仿真攻击代理提
供各种复杂程度的级别的计算机、软件和虚拟财务资源,下文通常称为“攻击工具?#20445;?#20197;用于
对模型设施发起网络攻击。攻击工具可选地类似于用于在发电站200上从事网络攻击的可
用于现实生活的攻击代理的工具。

可选地,攻击工具的复杂程度被分级为低、中、或高。?#22270;?#21035;复杂程度指的是通常
经验不足的“现实生活”的罪犯、黑客和黑客行动主义者可用的攻击工具,通常是由于个人
利益产生动机。中等级别复杂程度指的是通常相对有经验且有技术的黑客可用的工具,黑
客可能例如属于具有访问通常超出单个个体可用的财务资源的财务资源的权利的犯罪集
团或小恐怖组织。高级别复杂程度指的是民族国家与国?#19968;?#22269;际恐怖组织可用的工具。

提供具有访问模型30和40的权限的仿真防御代理62可包括给仿真防御代理提供
计算机和软件,下文的操作和管理(O&M)工具,以用于访问SCADA 32,操作和维护模型设施,
以及保护模型设施免于通过仿真攻击代理61发起的网络攻击。O&M工具至少部分有利地反
映了使用O&M工具操作、监控、保护发电站200和配电网300免受网络攻击。

在本发明的实施方案中,仿真设施20包括由图标51表示的人类活动传感器。人类
活动传感器51可用于监控在网络战斗会话期间攻击代理61和防御代理62在彼此相互作战
并且与仿真设施20相互作用中的活动,以及获取数据以用于网络战斗会话的取证记录。控
制器50可存储由传感器51在CYBAD里提供的人类活动数据作为网络战斗会话的取证记录的
一部分。

例如,传感器51可选地包括摄像机,其录制在网络战斗会话期间仿真攻击和防御
代理的活动的视频。传感器51可以包括各种HMI传感器中的?#25105;?#20256;感器,如键盘监听传感
器,以及攻击和防御仿真代理61和62对键盘的后续使用以在发起或防御网络攻击中使用和
执行软件指令集的设备。根据本发明的实施方案的本领域中已知用于仿真代理的键盘使用
的键盘监听的键盘监听设备可包括声音和/或电磁击键传感器或发起在由代理61和62使用
的计算上的击键跟踪程序。可选地,传感器51包括眼追踪技术以追踪仿真代理61和62的注
视方向,并确定它们的注视点(POR)以及在与仿真代理相互作用的计算机显示器的特征之
间的POR的运动。

在本发明的实施方案中,传感器51包括用于监控仿真代理的胜利特征的各种可穿
戴和/或非接触身体机能传感器中的?#25105;?#20256;感器,以提供在网络战?#33778;?#38388;例如关注、压力
和/或警惕?#36816;?#24179;的指示。例如,可穿戴的身体机能传感器可以是用于感测心率和/或血压
的传感器手镯。非接触传感器可以包括用于感测肤色来推断压力或心?#23454;?#20809;学传感器或用
于感测体温的IR传感器。

在本发明的实施方案中,控制器50监控直接或经由SCADA 32包括在设备31里的采
集代理33,以在网络战?#33778;?#38388;监控发电站模型30中的设备的单个的真实或虚拟零件的运行
并?#19968;?#21462;对于设备的操作状态数据。操作状态数据可以作为网络战斗的取证记录的一部分
存储在CYBAD里。

在本发明的实施方案中,包括在控制器50中的模型制造模块处理CYBAD中的操作
状态数据以定义和确定用于模型30时间相关的操作状态向量,其表示在网络战斗会话期间
在给定的时间处的发电站模块30的操作状态。用于模型30的操作状态向量可具有?#33267;浚?#20854;
在任何给定的时间处假设在给定时间处由包括在模型30中的多个采集器代理33中的每个
提供的值。可选地,操作状态向量包括由人类活动传感器51提供的数据,其可以例如提供指
示HMI设备(如计算机的键盘)的使用和/或状态的数据。

可选地,模型制造模块定义响应于用于网络战斗会话的状态向量的至少一个分类
器来确定在网络战?#33778;?#38388;在给定的时间处状态向量是否指示模型30受到由仿真器攻击代
理61发起的网络攻击。可选地,至少一个分类器包括支持向量分类器。在本发明的实施方案
中,至少一个分类器包括在存储在CYBAD里的在操作状态向?#21487;?#35757;练的神经网络。可选地,
控制器50保持代表操作状态向量的库,以下称为攻击ID特征向量,至少一个分类器已经确
定的事情指示网络攻击,并且可以用于识别网络攻击的特定形式。在本发明的实施方案中,
至少一个分类器和/或攻击ID特征向量用于确定由用于发电机200和/或配电网300的SCADA
250定义的操作状态向量是否指示发电站200和/或配电网受到网络攻击并且可选地确定攻
击的形式。

在本发明的实施方案中,模型制造模块处理在CYBAD里的数据,以确定由仿真防御
代理62采取以抵御由仿真攻击代理61发起的网络攻击的哪些防御策略成功地阻止了网络
攻击或减轻他们遭受的损害。可选地,模型制造模块提供了地图和在成功的防御策略中执
行的一些列过程。在本发明的实施方案中,模型制造模块对于成功防御策略定义了标注和
表征防御策略的特征向量,以下称为防御ID特征向量。可选地,模型制造商模型配置防御策
略特征向量,使得防御ID特征向量与攻击ID特征向量的标量(点)积指示哪些防御策略有利
地执行以阻止给定的网络攻击。

在本发明的实施方案中,防御ID特征向量被用来确定待采用以保护发电站200和/
或配电网300免受网络攻击的有利的防御策略。当用于发电站200和/或配电网300的操作状
态向量指示该发电站和/或电网可能受到网络攻击?#20445;?#35745;算操作状态向量和防御ID特征向
量的标量积。具有与操作状态向量的最大的标量积的防御ID特征向量可选地用于避免或尽
量最小化来自可能的网络攻击的伤害。

由传感器51获取并储存在CBAD中作为网络战斗会话的取证记录的一部分的人类
活动数据可能被用来配置环?#24120;?#22312;该环境中防御代理62进行操作以改善它们防御网络攻击
的能力。例如,数据可用于在计算机视频屏幕上配置屏幕显示器,以改善呈现在视频屏幕上
的视觉警报的效果,从而警告防御代理网络攻击的概?#30465;?#20154;类活动数据可能被用来改善对
于防御代理的提示以用于采取进行?#23454;?#30340;活动以阻止网络攻击。人类活动数据?#37096;?#20197;用来
有利地配置防御代理的空间配置,以改善可能需要加入共同防御任务的防御代理之间的合
作。

应当注意的是,尽管在本发明的实施方案的上述?#33268;?#20013;网络仿真设施被?#33268;?#20316;为
配置用于发电站和电网,但是本发明的实践并不限于发电站和电网。网络仿真设备可被配
置为用于开发和分析对于各种基础设施中的任何基础设施的网络攻击和/或防御策略,比
如,例如,水处理厂、石油分配系统和天然气管道分配系统。

在本申请的说明书和权利要求书中,动词“包括?#20445;?#21253;含”和“具有”中的每一个动
词及其同源词用于指示动?#23454;?#23545;象或多个对象不一定是组件、元件或主语的部分或动?#23454;?br />主语的完整列表。

在本申请中,本发明的实施方案的描述是通过示例的方式提供并且不旨在限制本
发明的范围。所描述实施方案包括不同的特征,并非在本发明的所有实施方案里都需要全
部这些特征。一些实施方?#38468;?#21033;用特征中的一些或特征的可能组合。本领域技术人员将会
想到本发明所描述的实施方案的变型以及包括在所描述的实施方案中指出的特征的不同
组合的本发明的实施方案。本发明的范围仅由权利要求限制。

关于本文
本文标题:网络防御.pdf
链接地址:http://www.pqiex.tw/p-6091936.html

[email protected] 2017-2018 zhuanlichaxun.net网站版权所有
经营许可证编号:粤ICP备17046363号-1 
 


平码五不中公式规律 股票行情手机 上证指数年k线图 一个公司的股票涨跌由什么决定 创业板股票涨跌幅 股票指数基金是什么意思 网易炒股 炒股入门必读 国际股票指数 下半年股票推荐 股票行情 走势图