CN101034976B - Ip连接安全系统中的入侵检测设备 - Google Patents

Abstract

这里公开一种用于在IP连接的安全系统中的入侵检测设备及方法。入侵检测设备耦合至安全系统的主要和辅助通信设备使得当检测到互联网入侵时，在安全系统与中央监控站之间的通信在辅助通信设备上而不是在主要通信设备上进行。甚至当发生拒绝服务攻击的时候，本发明对安全系统与中央监控站之间的通信进行保护使得其不危及物理建筑安全。

Description

IP连接安全系统中的入侵检测设备

技术领域

本发明涉及家用或商用安全系统，更具体的涉及IP连接的安全系统中的入侵检测。

背景技术

许多现代家用或商用安全系统可通过互联网络或企业内联网被连接至中央监控站。这种设置方式具有多种优点。采用互联网络协议(IP)分组数据将状态和更新发送至安全系统，或接收来自安全系统的状态和更新，允许该系统的日常更新。此外，全数字传感器能够以增加的方式被添加至该系统中而无需危及现有基础设施。操作人员还能够将多个有线和无线组件匹配至该系统而无需危及该系统的完整性。

然而，具有优点的IP连接的安全系统也存在很多缺点。一些缺点源自于使得安全系统占用互联网上的一个节点。为了接收和发送IP分组，该安全系统需具备一IP地址和一个与该地址相关联的网关路由器。采用大量的进攻很容易找到一IP地址并对其进行攻击使得关闭该IP地址。这些进攻可被希望危及到该安全系统的罪犯如不满的职员，电脑黑客和竞争者策划。因为安全系统扩大为承担更多的责任(包括监视，设备接入控制，等等)，该安全系统由于互联网攻击产生的停用会产生可怕的结果。此外，因为安全系统IP地址的IP攻击在该设备会经常被忽略，该攻击能够对保护物理建筑(physical premise)的安全系统产生更大的威胁。

发明内容

本发明提供一种用于在安全系统中对IP入侵进行检测和响应的设备和方法。入侵检测设备被耦合至安全系统的主要和辅助通信设备，使得当互联网攻击被检测到时，安全系统和中央监控站之间的通信在辅助通信设备上而不是在主要通信设备上进行。甚至当发生拒绝服务类型的攻击的时候，本发明对安全系统与中央监控站之间的通信进行保护使得其不危及物理建筑安全。

一方面本发明为一安全系统，包括：控制面板；电耦合至所述控制面板的传感器；用于传送和接收数据的主要通信设备；用于传送和接收数据的辅助通信设备；耦合至所述控制面板的入侵检测设备；其中所述入侵检测设备一旦检测到入侵尝试，将通信切换至所述辅助通信设备。

另一方面，本发明为一在安全系统中检测入侵的方法，所述安全系统包括：控制面板；电耦合至所述控制面板的传感器；耦合至所述控制面板用于传送和接收数据的主要通信设备；用于传送和接收数据的辅助通信设备；耦合至所述控制面板的入侵检测设备；所述方法包含以下步骤：在入侵检测设备处，检测入侵尝试；在所述控制面板上产生一本地告警；并将通信切换至所述辅助通信设备。

附图说明

参考以下结合附图对本发明若干实施例的详细描述，用于POE分优先级的激活分离器的本发明的以上和其它目的和优点对于本领域技术人员将是易于理解的，在附图中：

图1为现有技术中安全系统的示意图

图2为依据本发明其一实施例的安全系统的示意图

图3为在安全系统中用于检测入侵的步骤的流程图

具体实施方式

这里将详细参考本发明的实施例，其实例在附图中图示说明。虽然是结合这些实施例对本发明进行描述，但需指出本发明并非仅限于这些实施例。相反，本发明旨在覆盖所附权利要求定义的本发明的精神和范围内的替换，改进和同等方案。此外，在本发明的以下详细说明中，将提出众多具体细节来提供本发明的全面理解。但是，本发明可以在没有这些具体细节的情况下实施。在其他的情况下，熟知的方法、过程、组件和电路没有被详细进行阐述，以便不至不必要地使本发明的一些方面变得晦涩。

参考图1，示出一典型的现有技术中家用或商用安全系统100的示意图。安全系统100可以包括控制面板110，该控制面板可使用建筑物中专有总线和独立布线和电缆与多个传感器125和127进行通信。该传感器125，127可以是例如射频移动传感器，照相机，告警报告设备等等，其通常能够向控制面板报告建筑物内的入侵或紧急情况或对它进行感测。该控制面板110典型的设有显示装置来显示多个传感器的状态并用于当物理安全破坏或紧急情况发生时向本地设备管理者或居民发送告警。该控制面板还可包含用于重置传感器和在传感器上运行诊断程序的装置。

控制面板耦合至IP通信设备115，该设备将安全系统连接至中央监控站150。这里理解IP通信设备可以是使得能够通过符合互联网协议的消息进行通信的集线器，交换机或路由器。该IP通信设备115通过互联网120与中央监控站150进行通信。该中央监控站150可保持与控制面板110进行联系使得该系统的状态在中央监控站台保持更新。

该安全系统100可包括一辅助通信设备125，用于当主要通信方法不可用时，提供与中央监控站150的通信。该辅助通信设备125例如可以是被配置用于与中央监控站进行无线通信的GSM拨号器。该备用通信设备125可以是被配置用于通过简易老式电话业务(POTS)线路与中央监控站150进行通信的电话调制解调器。虽然该备用通信设备125作为一独立元件被说明，它也可集成于控制面板110中。

通常，在不同计算机网络之间的连接增长和相应的对网络信息系统依赖的增长的同时，对强健安全系统的需求也在显著增长，以加强对安全系统的接入控制并阻止对其系统的入侵。互联网络的拓扑结构也变得更为复杂，并且经常涉及诸如互联网络或企业内联网之类暴露安全系统的开放网络，从而也增加了攻击的威胁。目前还未提出一个单独的解决方案来解决当前对用于安全系统的入侵检测和响应的需求。此外，安全系统的该入侵检测和响应必须认识到对安全系统的特殊需求。

例如，通常情况下家用或商用设施的安全系统不被设施人员监测。由于大多数控制面板数据在中央监控站进行发送和接收，设施人员可不用积极的管理控制面板，而仅仅是当安全系统发出本地报警或告警时才去留意。此外，与当网站被协同互联网攻击时该网站的经营者选择中断网站直到攻击结束不同，安全系统的互联网攻击可以是结合对设施进行物理攻击的协同攻击的一部分。因此，在互联网攻击的过程中保持与中央监控站的通信尤为重要。

本发明提出一入侵检测设备，用于监测互联网络通信量并当遇到特定情况时中断至中央监控站的主要连接从而建立辅助通信。

紧随着安全技术的发展，入侵者用于获得非法接入计算机网络的方法发展得复杂。然而很典型的是，对网络系统成功的攻击通常开始于攻击目标网络的安全子系统，该子系统负责检测普通入侵特征标，屏蔽那些系统并捣毁入侵证据。这种攻击包括“拒绝服务”攻击，其为在计算机系统或网络上的一种攻击，使得用户丢失服务，以通过消耗受害网络带宽或使得受害系统的计算资源过载使其失去网络连接和服务最为典型。“Smurf”攻击为一拒绝服务攻击，它采用欺骗广播IP消息来淹没目标系统。“banana”攻击涉及将来自网络的流出消息重定向为返回该网络，用发送的分组淹没客户端，阻止外界接入。

获取对计算机网络的非法访问的企图利用在网络安全拓扑中的固有的漏洞。已知例如单个的安全组件的弱点经常被搜出并被成功利用。新技术的快速引入加剧该问题，产生或揭露额外的即使在安全系统中的破坏已发生之后可能也不会被得知的弱点。一些目前可用的入侵工具允许入侵者能够逃避入侵检测系统的检测。

现在参考图2，示出了依据本发明一实施例的安全系统200的示意图。安全系统200包括控制面板210，该控制面板可使用建筑物中专有总线和独立布线和电缆与多个传感器225和227进行通信。该传感器225，227可以是例如射频运动传感器，照相机，告警报告设备等等，其通常能够向控制面板报告建筑物内的入侵或感测紧急情况。该控制面板210设有显示装置(未示出)来显示多个传感器的状态并用于如果发生物理安全破坏或紧急情况向本地设备管理者和居民发送告警。该控制面板还可包含用于重置传感器和在传感器上运行诊断程序的装置。

该控制面板耦合到进一步耦合至IP通信设备215的入侵检测设备240。该IP通信设备可以是使得能够通过符合互联网协议的消息进行通信的集线器，交换机或路由器。在一个实施例中，该IP通信设备215是网关路由器，用于引导往返互联网的数据通信量。IP通信设备215通过互联网220与中央监控站150通信。该中央监控站250可与控制面板210保持联系使得该系统的状态在中央监控站保持更新。

该安全系统200包括辅助通信设备225，用于当主要通信方法不可用时，提供与中央监控站250的通信。该辅助通信设备还耦合至入侵检测设备240。这种辅助通信设备225可以是例如被配置用于与中央监控站进行无线通信的GSM拨号器。这种备用通信设备225可以是被配置用于通过简易老式电话业务(POTS)线路与中央监控站250进行通信的电话调制解调器。虽然该备用通信设备225作为一独立元件被说明，它也可集成于控制面板210中。

入侵检测设备240可包括用于控制对安全系统的接入的防火墙。该防火墙是可配制的并服务用于控制互联网上的主机对网络中资源的接入。这就通过基本上过滤掉互联网上传送的信息分组从而保护安全系统不被在防火墙之外的入侵者入侵。该入侵检测设备240进一步包括读取经过防火墙的分组并查找互联网攻击的内部特征标的分组传感器。

优选地，该入侵检测设备作为软件包被嵌入至控制面板并在包含至少一主系统和安全子系统的计算机中实现。在另一实施例中，该入侵检测设备在固件中实现并被装载至与控制面板相关联的处理单元。这就允许当新类型攻击的特征标被发现时中央监控站的更新。

在工作期间，入侵检测设备240监测安全系统中的消息活动性。所有的流出和流入消息分组都在入侵检测设备处被检查。该入侵检测设备检查个别的分组并聚集与每一消息的源IP地址相关的数据。如果，例如，来自于一特定IP地址的数据消息的突发被指向该安全系统，则可能发生拒绝服务类型的攻击。再例如，如果突发数据通信量在安全系统正常数据通信量统计范围之外，可能发生来自于欺骗IP地址的拒绝服务攻击。

与安全系统相关的一系列因素，包括脆弱性，目标可见性，数据通信量容量，时间，以及其他因素可用于描绘该入侵检测设备如何处理在安全系统中的模拟数据消息活动性。该因素能被编码至入侵检测设备的软件或固件实现中使得可以修改用于产生警报或告警的触发等级。

参考图3，这里示出安全系统入侵检测方法中涉及的步骤。在步骤310，入侵尝试在入侵检测设备中被检测到。例如，如果该入侵检测设备检测到超过预定的触发数目的一定量数据通信量，该入侵检测设备将该事件记录为入侵尝试。在步骤320，该入侵检测设备在控制面板上产生本地告警。控制面板具有一显示装置用于向本地设施人员产生入侵尝试告警。这可通过在控制面板的显示装置上显示警告来完成。在步骤330，该入侵检测设备使得辅助通信设备能够与中央监控站通信。该入侵检测设备还可以停用主要通信设备使得在主要通信设备上的数据消息通信量被忽略。

这里已对本发明优选的实施例，用于安全系统中的受监控的电压逆变器进行描述。尽管已经以特定实施例描述了本发明，但是，应当理解，本发明不应当解释为由这些实施例来限制，而是要根据后面的权利要求书进行解释。

Claims (20)

1.一种安全系统，包括：

控制面板，位于被保护的设施处;

多个传感器;和

中央监控站，所述中央监控站经第一和第二通信路径连接到所述控制面板，第一和第二路径并联连接在所述面板和所述中央监控站之间;所述多个传感器电耦合到所述控制面板，其通常报告所述设施内的入侵或紧急情况;

第一通信路径的主要通信设备，用于通过互联网从所述控制面板发送数据到所述中央监控站并在所述控制面板处通过互联网从所述中央监控站接收数据;和 第二通信路径的辅助通信设备，用于从所述控制面板发送数据到中央监控站并在所述控制面板处从所述中央监控站接收数据，以便于当利用所述主要通信设备进行通信变得不可用时用做备用通信; 还包括：

位于控制面板内或直接耦合到控制面板的互联网入侵检测设备，所述互联网入侵检测设备与所述第一和第二通信路径的每一个串联连接，其中所述互联网入侵检测设备经所述第一通信路径直接耦合到所述主要通信设备，以及所述互联网入侵检测设备经所述第二通信路径直接耦合到所述辅助通信设备，所述互联网入侵检测设备监控到所述控制面板的消息通信量并检测在所述主要通信设备内的监控的消息通信量上进行互联网攻击的入侵，其中所述入侵检测设备在检测到所述入侵时，禁止所述主要通信设备，启用所述辅助通信设备并将通信切换到所述辅助通信设备以便即使在互联网攻击的入侵正在发生时，也经所述辅助通信设备保持所述控制面板和所述中央监控站之间的通信；以及

其中当新类型攻击的特征标被发现时所述入侵检测设备能够由所述中央监控站更新。

2.根据权利要求1所述的安全系统，其中所述入侵检测设备包括防火墙。

3.根据权利要求1所述的安全系统，其中所述主要通信设备是网关路由器。

4.根据权利要求1所述的安全系统，其中所述主要通信设备是集线器。

5.根据权利要求1所述的安全系统，其中所述主要通信设备是交换机。

6.根据权利要求1所述的安全系统，其中所述控制面板包括显示装置。

7.根据权利要求6所述的安全系统，其中所述显示装置包括用于显示本地告警的装置。

8.根据权利要求1所述的安全系统，其中所述辅助通信设备是无线拨号器。

9.根据权利要求1所述的安全系统，其中所述辅助通信设备是电话调制解调器。

10.根据权利要求1所述的安全系统，其中所述入侵检测设备被配制用于检测对所述安全系统的分组入侵。

11.一种检测安全系统中入侵的方法，所述安全系统包括位于被保护的设施处的控制面板;多个传感器和中央监控站，所述中央监控站经第一和第二通信路径连接到所述控制面板，第一和第二路径并联连接在所述面板和所述中央监控站之间;所述多个传感器电耦合到所述控制面板，其通常报告所述设施内的入侵或紧急情况;所述第一通信路径的耦合到所述控制面板和互联网的主要通信设备，用于通过互联网从所述控制面板发送数据到所述中央监控站并在所述控制面板处通过互联网从所述中央监控站接收数据;第二通信路径的辅助通信设备，用于从控制面板发送数据到中央监控站并在所述控制面板处从所述中央监控站接收数据，以便于当利用主要通信设备进行通信变得不可用时用做备用通信;  所述方法包括：

提供位于控制面板内或直接耦合到控制面板的互联网入侵检测设备，所述互联网入侵检测设备与所述第一和第二通信路径的每一个串联连接，其中所述互联网入侵检测设备经所述第一通信路径直接耦合到所述主要通信设备，以及所述互联网入侵检测设备经所述第二通信路径直接耦合到所述辅助通信设备，所述互联网入侵检测设备能够：

监控到所述控制面板的消息通信量；

检测入侵尝试，其包括在所述主要通信设备内的监控的消息通信量上的互联网攻击，

在所述控制面板上发出本地告警；

禁止所述主要通信设备，

启用所述辅助通信设备；以及

当由于检测到入侵尝试，利用所述主要通信设备进行通信变得不可用时，将通信切换到所述辅助通信设备以用于去往以及来自所述中央监控站的通信，以即使在入侵尝试正在发生时，也经所述辅助通信设备保持所述控制面板和所述中央监控站之间的通信，以及

其中当新类型攻击的特征标被发现时所述入侵检测设备能够由所述中央监控站更新。

12.根据权利要求11所述的方法，其中所述入侵检测设备包括防火墙。

13.根据权利要求11所述的方法，其中所述主要通信设备是网关路由器。

14.根据权利要求11所述的方法，其中所述主要通信设备是集线器。

15.根据权利要求11所述的方法，其中所述主要通信设备是交换机。

16.根据权利要求11所述的方法，其中所述控制面板包括显示装置。

17.根据权利要求16所述的方法，其中在所述显示装置显示本地告警。

18.根据权利要求11所述的方法，其中所述辅助通信设备是无线拨号器。

19.根据权利要求11所述的方法，其中所述辅助通信设备是电话调制解调器。

20.根据权利要求11所述的方法，其中所述入侵检测设备被配制用于检测对所述安全系统的分组入侵。