CN101283539A - 网络安全设备 - Google Patents

网络安全设备 Download PDF

Info

Publication number
CN101283539A
CN101283539A CN200680036993.1A CN200680036993A CN101283539A CN 101283539 A CN101283539 A CN 101283539A CN 200680036993 A CN200680036993 A CN 200680036993A CN 101283539 A CN101283539 A CN 101283539A
Authority
CN
China
Prior art keywords
management server
safety means
security
network
module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN200680036993.1A
Other languages
English (en)
Other versions
CN101283539B (zh
Inventor
埃里克·拜尔斯
达雷恩·利斯摩尔
约翰·卡尔施
凯·李
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Belden Ltd
Original Assignee
Byres Security Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Byres Security Inc filed Critical Byres Security Inc
Priority to CN201210350428.XA priority Critical patent/CN102904749B/zh
Publication of CN101283539A publication Critical patent/CN101283539A/zh
Application granted granted Critical
Publication of CN101283539B publication Critical patent/CN101283539B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0806—Configuration setting for initial configuration or provisioning, e.g. plug-and-play
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H04L67/125—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks involving control of end-device applications over a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/303—Terminal profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/02—Standardisation; Integration
    • H04L41/0213—Standardised network management protocols, e.g. simple network management protocol [SNMP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0894—Policy-based network configuration management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H04L63/0218—Distributed architectures, e.g. distributed firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Cardiology (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

一种网络安全设备，该设备通过将业务透明地桥接至终端装置来给工业环境中的装置提供安全。安全设备与管理服务器进行安全地通信，以通过加密的通信为安全设备中的安全模块的操作接收配置数据。当与管理服务器进行通信时，安全设备利用工业装置的网络地址，管理服务器通过采用与该安全设备相关联的被保护装置中的一个的地址对该安全设备进行寻址。安全设备将获知的装置特征提供给管理服务器，管理服务器使软件和安全规则适合装置和控制协议的特定网络漏洞。安全设备采用装置的网络地址将周期性的心跳消息发送给管理服务器。心跳消息还可以报告异常事件，这种异常事件要求管理服务器将另外的软件提供给该节点。

Description

网络安全设备
技术领域
本发明涉及工业网络安全，尤其涉及网络安全设备以及部署和管理这些设备以保护工业装置的方法。
背景技术
在对诸如发电和配电、石油生产、运输、制造和健康服务之类的关键工业系统进行管理时使用的监视控制和数据采集(SCADA)和自动控制设备通过使用诸如Ethernet、TCP/IP和web服务之类的流行通信技术日益互连起来。虽然SCADA和自动控制设备的联网以改进的信息流和效率的形式带来相当多的优点，但是一旦从世界各地都可以访问分离的装置和网络时，这些系统也有可能受到病毒、黑客和恐怖分子的威胁。当前，存在大量的保护不充分的控制装置遍布世界各地。这些控制装置负责诸如电力传输变电所、气体管线、制造工厂等等的关键系统和基础设施的安全操作，然而同时很大程度上未对它们进行保护以避免它们成为恶意攻击的目标。
传统的安全解决方案是基于用来保护不安全的内部装置或计算机不受外界攻击的中心防火墙，这种设计不能满足工业控制领域的要求。现存的控制器不提供验证、完整(integrity)或加密机制，并且可以被任何能够发现或“ping”该网络和相关装置的个人完全地控制。另外，他们不易于被修补或者添加安全特性。一旦病毒或黑客设法冲破(或已经进入)传统防火墙，由防火墙保护的诸如典型的可编程逻辑控制器(PLC)或分布控制系统(DCS)之类的装置就成为易于攻击的目标。
在很多诸如输油管线或配电系统的工业环境中，在包括偏远区域的宽广地域上可以分布着数以百计的控制器装置。在这些偏远区域通常没有具备管理传统安全装置技能的人员，因此即使装置只需要进行少量本地配置也是无法接受的。例如，提供“透明的”操作的当前防火墙产品仍然需要网络属性(诸如IP地址、网关和网络掩码)的本地配置，否则它们就无法被远程控制，这是SCADA领域的一个严重的缺点。同样地，由于在这些分布控制系统中存在大量的分离区域(每个都需要防火墙)，所以需要从中心区域同时管理数以百计的防火墙的技术，这就排除了采用基于“逐个”管理的流行小型办公室防火墙解决方案。
使该问题复杂化的是市场上存在数以千计不同的工业控制装置的零部件，其中每一个零部件采用了350种以上的已知SCADA通信协议中的一种或多种进行通信。每种控制装置都需要非常特殊的安全规则以被正确保护，例如一种流行的PLC对于包含超过125个字符的URL的web请求具有不常见但是众所周知的安全问题。在传统防火墙中人工地为每个被保护装置的各个漏洞创建不同的规则会使整个防火墙配置极度地复杂并且有很可能导致配置错误。
最后，操作和维护这些SCADA系统的工作人员必然是进行了高度培训的控制系统专家，而不是信息技术或安全专家。因此，这些安全系统的管理需要基于控制技术人员能够理解的新范例，而不是传统的关注于网络系统的管理和配置的网络技术。如果没有针对控制技术人员和控制产品的解决方案，则可能在任何安全解决方案的建立和管理中出现严重缺陷。
因此，需要用于SCADA和自动控制设备的网络安全设备，该网络安全设备易于配置并且可被远程可控，并且有助于保护广泛分布工业环境中的具备网络功能的控制设备。
发明内容
提供了一种用于保护网络环境中的工业装置的方法、设备和系统。在工业装置的通信路径上配置安全设备或节点，所述安全设备或节点在装置和网络之间透明地桥接业务。当与管理服务器通信时，安全设备利用工业装置的网址，并且管理服务器使用该装置的地址访问该安全设备。安全设备没有唯一的地址，并且通过利用装置地址而不是唯一的地并利用数据加密来提供隐身能力。
安全设备通过监视经过的业务来获知正在被保护的装置的特征。该特征然后被提供给管理服务器，该管理服务器能使软件和安全规则适合于装置的特殊网络漏洞和装置所使用的控制协议。配置数据通过安全连接被传送给装置，然后被用于配置安全设备的安全模块。安全设备拦截数据包并且确定该包是来自于管理服务器还是网络上的其它装置，以及是否应该被发送到终端装置或从终端装置发送。如果业务指向终端装置，则安全模块管理业务以保证装置安全。安全设备利用装置网址将周期心跳消息发送给管理服务器。心跳消息还可以描述需要从管理服务器向节点提供附加软件的异常事件。
因此，本发明的一方面提供一种采用安全设备保护网络工业装置的方法，该安全设备将网络工业装置耦接到数据网络，该方法包括以下步骤：在安全设备中，监视从工业装置到其它通过数据网络可访问的装置的数据业务，用于确定与该工业装置相关联的属性；在安装设备中，从被寻址到所述装置的包中接收源自于与数据网络相连接的管理服务器的加密管理连接数据；利用与该装置相关联的地址作为包的始发地址来将确定的装置属性发送给管理服务器；在安全设备中，从被寻址到所述装置的包中接收源自于与数据网络相连接的管理服务器的加密配置数据，其中配置数据是由管理服务器基于所提供的装置属性选择的；基于配置后的数据管理工业装置和网络之间的包；以及利用与该装置相关联的地址作为包的始发地址将加密心跳数据周期地发送给管理服务器。
本发明的另一方面提供一种用于保护处在数据网络中安全设备的下游的一个或多个工业装置的安全设备，该安全设备包括心跳模块，心跳模块用于产生加密心跳消息，并且利用与该装置中的一个相关联的地址作为该包地始发地址；通信模块，用于处理从管理服务器传输的并且发给安全设备下游的一个装置的包，该通信模块对嵌入包内的数据进行解密；以及一个或多个可由管理服务器配置的安全模块，该模块基于与工业装置的每个或多个相关联的安全描述档对经过安全模块的数据进行安全管理，安全模块处于网络上的装置和安全设备下游的一个或多个工业设备之间。
本发明的另一方面提供一种数据网络，该数据网络包括多个网络工业装置；多个安全设备，每个设备与多个工业设备中的一个或多个相关联，安全设备透明地将工业装置桥接到数据网络，并且基于相关联的工业装置的识别特征来对传送到工业装置的和来自工业装置的数据提供管理；管理服务器，用于管理多个安全设备；其中管理服务器通过利用相关联的工业装置中的一个工业装置的地址与多个安全设备进行通信，多个安全设备利用相关联的装置的地址信息作为心跳消息源将加密心跳信息周期地发送给管理服务器。
在参考附图对本发明的特定实施例进行如下描述后，本发明的其它方面和特点对于本领域的普通技术人员来说是显见的。
附图说明
结合附图，通过接下来的详细描述，本发明的其它特点和优点将变得显见，其中：
图1图示了与装置串联的安全设备的部署拓扑；
图2图示了集成在网络交换机中的多个安全设备的部署拓扑；
图3图示了与装置集成在一起的安全设备的部署拓扑；
图4a图示了保护多个装置的安全设备的部署拓扑；
图4b是图4a所示的部署拓扑的逻辑图；
图5以框图形式图示了安全设备；
图6以框图形式图示了管理服务器；
图7图示了预初始化阶段消息流；
图8图示了在装置侧的安全设备中的获知模式的方法；
图9图示了在网络侧的安全设备中的获知模式的方法；
图10图示了初始化阶段的消息流；
图11图示了安全设备中的初始化阶段的方法；
图12图示了操作阶段的消息流；
图13图示了在操作阶段中安全节点处理业务的方法；
图14图示了安全节点更新过程的方法；
图15图示了管理服务器建立与安全设备连接的方法；以及
图16图示了管理服务器监视接收到的心跳数据包的业务的方法。
注意，在附图中，相同的标号表示相同的特征。
具体实施方式
参考图1至16，下面仅通过示例的方式描述本发明实施例。
保证工业装置的网络安全已经变得越来越重要。终端装置包括任何具备网络功能的装置，诸如计算装置、工业处理设备(诸如智能测量装置)、工业控制装置(诸如PLC-可编程逻辑控制器、RTU-远程遥测/终端单元、IED-智能电子装置和DCS-分布控制系统)、医疗装置等等。例如，在SCADA(监视控制和数据采集)系统中，RTU(远程终端单元)是安装在偏远地区的装置，该装置收集数据，将数据编码为可以传输的格式，并且将该数据传输返回到中心站或主站。RTU还从主站收集信息，并且执行由主站指示的处理。RTU可以配备用于感测或测量的输入信道，用于控制、指示或报警的输出信道以及通信端口。
SCADA和自动控制系统通常是用于收集和分析实时数据以及控制工业处理的计算机系统。SCADA系统可以被用于监视和控制诸如电信、自来水和废水控制、能源、石油和天然气提炼和运输等工业中的工厂或设备。SCADA系统收集诸如沿管线的压力描述信息，将信息传递回中心站点以警告主站压力可能高于或低于安全界限，执行必要的分析和控制诸如确定情况是否紧急，并且以逻辑和组织的形式显示该信息。
为了保护终端装置，网络安全设备或安全节点可以被连续地部署在终端装置的上游路径中，该终端装置需要诸如防火墙、侵入检测、抗病毒扫描等等的保护。安全节点没有IP地址，因此简化了配置并且很难直接攻击该节点。当安全节点取得被保护的装置中的一个装置的IP地址时，由安全节点产生的业务看起来来自该装置。当安全节点利用层2和层3级别的现有装置地址与管理服务器进行通信时，不需要通过传统防火墙中采用的诸如通过经由动态主机配置协议(DHCP)分配动态寻址或通过手动配置静态寻址的公共IP寻址方法来进行装置地址的重新映射。
假如管理服务器能将报文传送到要被保护的终端装置中的任何一个，则可以在控制或SCADA网络中的任何位置，或通过互连的网络来管理安全节点。通过安全管理连接协议对安全节点进行管理。在管理服务器与安全节点连接的过程中，只有流向或来自管理服务器的加密业务被允许进入或流出节点。所有离开节点的业务被警报为好像来自该节点所保护的终端装置。尤其，如果攻击者没有获得需要建立连接的所有信息，则他们甚至不知道节点就在那里。
安全节点可适用能运行在因特网协议(IP)之上的任何协议。具体的应用协议可以包括：超文本传输协议(HTTP)(用于通过web浏览器查看要被保护的装置)；文件传输协议(FTP)(用于发送装置数据文件)；Ethernet/IP、MODBUS、DNP3、ICCP、OPC(所有公共SCADA和PLC协议)和IEEE P1073医疗信息总线。当末端装置和网络中的其它装置或计算机之间的业务通过时，安全节点被动地收集信息并且可以将该信息提供给管理服务器。
安全节点提供用于在节点(网络安全设备)和管理服务器之间检测、建立和维护安全通信链路的装置，同时又保持节点本身在网络中无法被检测到。这种安全链路可以利用诸如SSL或IPSec的各种已证实的安全协议。安全节点允许有效地部署，而无需本地操作者或节点安装者进行任何配置。如上所述，无需重新配置各种节点和/或终端装置的IP地址。管理服务器以安全的方式远程配置网络安全设备的功能。
为了启动远程配置，负责管理节点的策略和设置的管理服务器系统能够通过网络与至少一个该节点将要保护的装置进行通信。安全节点装置策略可以于节点部署之前在管理服务器上进行设置，并且将由节点在其连接到网络并接通电源时下载。这种策略下载使装置在通过或获取状态中花费的时间能够最小化。然而，还可以在管理服务器被配置前保护和部署节点。初始部署安全设置针对安全设备所处网络的位置和设置是特有的。可选地，安全节点可以独立地确定被保护装置的特性，并且在与管理服务器连接前自动地实施一些基本的安全功能。
加密心跳机制允许大量(例如数千个)节点报告返回单个管理服务器。心跳机制在SCADA环境内共有的带宽限制系统中是有用的。心跳机制将足够的信息发送返回到管理服务器，用以向安装在节点上的每个安全应用报告当前的状态和条件。通过调节安全节点的心跳设置还可以远程控制报告信息的数量。这种心跳机制还通过使用将异常事件报告给管理服务器的异常报告而避免了基于轮询管理系统比如简单网络管理协议(SNMP)所共有的网络业务负荷问题。这些类型的事件可以包括攻击报告、到达临界系统设置以及其它管理服务器应该立刻知道已经出现了某事的问题。每个安全节点的心跳模块可以用它自己的一套密钥来进行设置。在接收到心跳数据后，确定源并且在管理服务器监视站上完成适当的解密。为了提高可量测性，可以使用多组监视站。
图1至4描述了多个网络安全设备的部署拓扑。如图1所示，各种终端装置102、104和106与网络10连接。计算机150和152或其它管理或监控装置通过网络10从终端装置发送和接收数据。网络10可以是利用诸如Internet协议(IP)的各种网络路由协议的控制网络、内部网络或Internet。如在图中和描述中所示，安全节点103和105代表网络安全设备，网络安全设备为与网络连接的终端装置提供安全和防火墙类型的功能。如图1所示，装置102是一个暴露于潜在攻击的未被保护装置，而装置104和106具有在通信路径上与它们分别串联的安全节点103和105。因此所有到达装置和来自装置的通信必须经过相关联的安全节点，的安全节点在基础水平上用作从装置到网络的桥接器。
管理服务器20可以与安全节点103和105连接到相同网络，也可以通过网络10被一个或多个网络互连。管理服务器20将管理和控制功能提供给网络中的安全节点。
图2示出一个示例，其中装置102、104被网络交换机200互连，网络交换机200主控各个安全节点103、105到107。网络交换机实质上代表主控多个装置的子网络。
图3描述了集成的装置和安全节点300。在该示例中，安全节点103可以与装置102集成在相同的封装中。依据整个装置300的结构，实际的装置功能和安全节点功能可以共享软件和硬件。出于操作考虑，安全节点仍然可以以独立于装置102的方式操作。
图4a和4b描述了由单个安全节点103保护的多个装置102、104和106。在图4a中，安全节点103完全地保护和互连多个装置。安全节点103可以具有集成的集线器、交换机或路由器，或者它可以与实际的安全节点103分离，它的作用是将数据业务分配给相关联的装置。如图4b所示，安全节点103通过提供单独例子的安全节点105、107和109看起来像分别给每个装置102、104和106提供单独的保护。安全节点103可以为每个下游装置提供唯一的保护。如果需要，管理服务器20可以独立地实施对装置的管理。
图5示出安全节点103的模块。装置接口502连接安全节点和被保护的终端装置104。网络接口504连接安全节点和网络侧。这些接口可以执行诸如Ethernet PHY管理的标准协议和物理层处理。利用处理器506来处理流经装置接口502和网络接口504的业务。根据安全节点103的操作状态，处理器可以通过与该节点的其它模块交互来执行一些功能。在建立与管理服务器20的安全管理连接的过程中利用通信模块508。认证模块510保存安全节点和管理服务器之间交换的资格的认证过程中所利用的信息。利用数据库模块511来保存安全节点所保护装置的装置描述档和已知对话者的数据库，所述对话者即与正被保护的装置进行通信的外部装置。心跳模块509将周期性的心跳发送给管理服务器20。在诸如企图侵入或发现新装置的异常事件的情况下，可以发送异常心跳来通知管理服务器20并且保证执行适当的行动。
当安全节点103处于操作状态时，可以利用各种网络模块来管理网络业务。例如侵入检测模块512监视业务以确定是否存在恶意访问装置104的企图，并且执行适当程序以记录和拒绝访问。类似地，防火墙模块514提供能与特殊装置104的漏洞适合的防火墙功能。其它模块诸如模块516可以被部署在安全节点103中，这些模块可以提供各种功能：诸如装置识别、虚拟专用网(VPN)、网络统计收集、带宽检测和业务调整等。
在与管理服务器进行安全通信的过程中，通信模块提供由安全节点103观察到的关于业务的细节，并且能请求对模块512、514和516进行软件更新。远程可部署的软件模块以及这些模块的配置和命令可以经由从管理服务器20通过网络10到达通信模块508的安全连接被安全地发送到安全节点103。可以通过安全通信链路来部署新的或更新的模块512、514和516。
为了使安全节点不具有确定的网络地址，每个节点可以使用隐身IP寻址方案，其中不将任何的Internet协议(IP)地址分配给节点(甚至不分配诸如0.0.0.0或192.168.1.1的泛用地址)。节点从其所保护的终端装置中的一个装置借用IP地址，并且使用这个地址来配置和管理通信，以达到上述要求。因此，所有由该节点产生的业务看起来好像来自于下游终端装置中的一个或多个，并且不能被追溯到该节点，这使它不能被看到并且易于配置。另外，安全节点可以采取诸如装置的媒介访问控制(MAC)的第二层身份识别以保证隐身能力。
图6示出管理服务器20的模块。管理服务器具有网络接口602，网络接口602用于在管理控制下接收业务并且将业务传输给安全节点。管理服务器通过多个网络可以操纵任何数量的安全节点。处理器604通过网络接口602接收并且发送业务。处理器604与通信模块606和远程应用程序接口608交互，用于建立与网络中的安全节点的连接。利用数据库子系统610存储网络中节点上的信息和特殊类型装置的描述档。然后该描述档可以被下载到适当节点和该安全节点的相关联安全模块上。心跳记录器模块612记录来自于网络上的安全设备的周期性心跳消息。与心跳记录器模块612串接的是心跳监视模块614，心跳监视模块614用于检查记录的心跳数据，判断其中是否存在需要服务器进行自动操作或引起管理服务器操作者注意的错误或警告条件。
与管理服务器20的接口被概括为管理API 616，以便各种用户接口系统618可以被用于各种交互功能。用户接口系统618可以包括本地图形用户接口(GUI)客户端、命令行接口(CLI)客户端或安全web服务器接口，它们可以在管理系统中被直接访问或者通过直接连接的或通过网络10连接的计算机终端620远程访问。
图7示出在预初始化阶段中终端装置102和管理服务器20之间的消息流。在部署和初始化节点103之前，在装置102和网络10上的其它设备之间可以具有或不具有未被保护的双向网络业务。如果节点103物理上就位(但是未被初始化)，则它将允许业务702通过。然而，节点103将记录该业务，用于确定它将保护的装置的类型。在这个预初始化阶段中，管理服务器20将在网络10上周期性地发送管理连接请求(MCR)包704，发送地址是最终将被节点103保护的装置102，但是将如图11所示地被节点103拦截。
图8是安全节点基于来自装置侧的业务的获知过程的方法图。当节点被初始安装并引导启动，并且处于获知模式时，节点确定它将保护的下游终端装置的网络信息。在获知阶段过程中和在管理服务器进行配置前，所有装置业务被透明桥接。可以通过被设置在安全节点上的缺省防火墙规则对包进行过滤(在很多情况下，在这个阶段没有任何防火墙规则，因此将不完成任何过滤)。以被动方式完成装置信息收集并且不产生任何的网络业务。在启动状态中，在步骤802，安全节点监视源于装置侧的业务。如果该包源于新的源MAC、IP地址或端口号(在步骤804中为是)，则将装置描述记录在位于安全节点内的装置描述数据库806中。然后在步骤808将该包转发到网络。如果已知该包的源(在步骤804中为否)，则将没有任何修改的包转发到装置描述数据库中。当安全节点已被配置并且处于检测其它新装置的操作阶段时，获知模式也可以操作。获知模式可以在较低执行优先级操作或者可以在安全节点完全操作的周期间隔中操作。
与监视装置侧的业务类似，安全节点也监视网络侧的业务。图9是安全节点在网络侧的获知过程的方法图。在步骤902，监视进入的业务。如果目标地址不在装置描述数据库内(在步骤904中为否)，则在步骤910将该包转发到装置接口。如果目标装置处于装置描述数据库内(在步骤904中为是)，则在步骤906确定业务的源。如果源处于存储在安全节点数据库模块511内的已知的对话者数据库中(在步骤906中为是)，则在步骤910转发该包。如果该装置不在已知的对话者数据库内(在步骤906中为否)，则在步骤908记录源信息，然后在步骤910转发该包。
在图8的步骤808和在图9的步骤910中的转发包的步骤可以是将包直接转发到对侧的网络接口(可以是装置接口502或网络接口504)，或者可以在将包从节点转发出去之前将包转发到安全模块512、514和516进行进一步的处理。如果该包未能通过某个安全模块所进行的检查，则该包可以被丢弃。
图10示出在初始化阶段的安全节点103和管理服务器20之间的消息流。当节点103处于适当位置，被接通电源并且已经拦截管理连接请求(MCR)包1002时，初始化阶段开始。带着收集的基本装置信息，节点等待来自管理服务器20的MCR触发。MCR是诸如用户数据报协议(UDP)包的无连接包类型，其包括关于管理服务器20的加密信息、理想管理服务器设置和连接时序。将MCR包寻址到节点后的一个终端装置，但是该包具有该终端装置不使用的端口号。当在步骤1002被安全节点接收时，MCR被捕获，被从网络10移除并且被进行密码检查。该密码针对该节点被部署的位置和终端装置被部署进的网络设置是特定的。节点103将试图对MCR包进行解密并且确认MCR包(详细内容参考图11和12)。MCR包含可以被用来建立管理服务器连接的IP地址、端口号、加密类型和时序。一旦有效的MCR被接收并且被认证，则节点进入管理服务器连接设置模式1004并且以连接肯定应答1006来对服务器作出响应。然后在节点103和管理服务器20之间建立了安全双向连接1008。然后，安全节点103和管理服务器20以安全方式交换信息。
设置诸如TCP(传输控制协议)的面向连接协议连接拦截机制，以仅接收来自管理服务器IP地址和在MCR中规定的源端口的业务，以及将业务引导至目标IP地址和在MCR中规定的目的地端口。这种连接拦截系统将连接业务传递给一个在安全节点上运行的控制软件，并且与管理服务器20建立诸如安全套接层(SSL)连接的加密连接。
图11是安全节点103的初始化阶段的流程图。图12示出在操作阶段中的安全节点103和管理服务器20之间的消息流。在步骤1102，安全节点103拦截可能是网络10上的包而不管其目的地地址。在步骤1104，对该包进行分析以确定它是否是MCR包。如果该包不包含MCR信息(在步骤1104中为否)，则在步骤1122将其转发。如果该包包含MCR信息(在步骤1104中为是)，则在步骤1106检查该包的密码以确定该包是否可以被解密。如果MCR可以被解密(在步骤1106中为是)，然后在步骤1108对管理通信链路捕获进行准备。如果解密失败(在步骤1106为否)，则在步骤1122释放该包以将其转发。
在步骤1110，将连接请求中的加密目的地IP地址与安全节点的数据库511中的桥接列表进行对比检查，以确定它是否属于安全节点的下游装置。如果IP地址验证正确(在步骤1110中为是)，则安全节点开始侦听安全管理连接(MCE)1112。如果IP地址证明无效(在步骤1110中为否)，则在步骤1120丢弃(在步骤1108中确立的)连接捕获并复位，在步骤1122将该包转发。节点仅在一段时间内侦听安全管理服务器连接，这有效地限制了管理服务器20能与节点103连接的时间(即超时管理)。如果安全管理连接在这段时间内没有开始，而在步骤1112节点103正在侦听时，连接捕获被丢弃和复位(在步骤1114中为否)。如果在超时前接收到连接请求(在步骤1114中为是)，则在步骤1116检查连接安全并且完成连接。如果成功完成连接(在步骤1118中为是)，然后安全设备103进入操作阶段。如果连接不成功(在步骤1118中为否)，则将该包转发。应该注意，依照MCR和MCE包的结构，如果包不含有有效载荷信息或任何与终端装置相关联的信息，则可以丢弃该包而不是将该包转发。如果MCR和MCE信息被嵌入包内并且该过程失败或成功，则在将其转发至终端装置前将该信息从包中剥离。已确立的MCE连接是安全加密链路。通过设置数字证书的重新生效水平来完成连接的安全维护。
图12是安全节点103的操作阶段的流程图。一旦确立管理连接，节点103就进入操作阶段。管理服务器20将在1202把基本节点配置上载给节点103，这将定义将被节点103所使用的软件模块、基本配置和心跳设置(参考图5)。当节点103确定新的终端装置的类型时，它将通过安全管理服务器连接来发送针对装置102的装置安全描述档请求1204，装置类型描述档是基于用于获知模式的被保护装置的已知属性。当管理服务器20接收到装置安全描述档请求，则它在管理服务器的装置数据库中查询装置类型。装置的安全描述档被产生并且如在管理服务器上所记录地被添加到安全节点的现存安全描述档中。然后在1206新节点安全描述档可以被优化并且被下载到节点。如果节点103(或软件模块512、514和516)需要被关注或在心跳模块中出现周期性请求报告，则节点103可以被触发以将心跳消息1208发送到管理服务器20。心跳消息1208包含管理服务器关注的请求和请求的原因。当管理服务器20接收到这些心跳请求包中的一个时(通过心跳记录器612和监视器614)，依照请求的原因和在管理服务器20上的当前用户优选设置，它选择服务请求或延迟服务。请求的服务包括建立管理服务器与节点103(如果节点没有被激活)的连接，以及以命令和响应1210的形式来采取适当的命令动作。命令和响应通信还可以被用于重新配置在节点103上的可部署软件模块512、514和516或者部署新的模块。可以通过持续连接进行安全节点和管理服务器之间的通信或基于消息问答的方式启动该通信。
在管理服务器连接确立前的等待时间中，连同图8所述的获知程序，节点103可以使用已确立的被动采指纹技术(诸如“xprobe”和“p0f”开源软件产品中所使用的技术)来识别什么装置将可能需要被保护。甚至在管理服务器配置后，仍可继续使用指纹技术以便对被添加到被保护网络中的新装置进行检测。
图13是安全节点在操作阶段处理业务的流程图。从初始化阶段(图11)开始，安全节点现在进入了操作阶段。在步骤1302，在安全节点的装置接口502或网络接口504接收业务。在步骤1304检查该业务，以将CMP相关业务从非CMP相关业务分离出来。采用标准TCP业务跟踪技术以及对解密的CMP包进行排序的包来识别来自CMP通信业务的包。CMP消息是被引导到安全节点的嵌入包，其需要安全节点执行更新。如果识别结果是CMP业务(在步骤1304中为是)，则如在CMP消息中所定义地更新节点或执行命令。如果识别结果不是CMP业务(在步骤1304中为否)，则在步骤1306利用安全模块512、514和516来管理包。如果安全模块中的一个识别出该包存在异常条件(在步骤1308中为是)，例如包被寻址到对特别装置关闭的端口，或该包包含恶意命令，则在步骤1310基于各个安全模块所定义的管理规则来处理业务。在此阶段还可以记录关于该包的细节，用于进一步的分析。然后，在步骤1312，心跳模块将异常心跳发送给管理服务器20，管理服务器20识别出事件发生。每次事件，心跳消息都发生，或者在一定数量事件发生后被触发。
安全节点(网络安全设备)和管理服务器之间的通信操作基于“心跳”信令和“异常报告”的原则。采用心跳信令以将节点的当前状态条件发送给管理服务器。异常报告通信用于将发生在节点上的异常条件发送信号到管理服务器。采用加密可以保护从节点到管理服务器通信的这两个原则。
如果业务经过安全模块，而且没有检测到异常业务(在步骤1308中为否)，则在步骤1314出现用以确定周期心跳是否被发送到管理服务器的检查。如果需要心跳(在步骤1314中为是)，则在步骤1316发送心跳，并且在步骤1318将该包转发到适当接口。如果不需要心跳(在步骤1314中为否)，则包被转发到适当接口并且安全节点继续检测到来的业务1302。
图14是安全节点更新过程的流程图。如果安全节点在图13的步骤1304接收到CMP消息，则在步骤1402对包进行解密。包的有效载荷可以包含诸如安全描述档或软件更新的配置信息。在步骤1404实施适当配置改变，在步骤1406执行软件模块512、514和516的更新。依照安全节点的操作，如果需要，可以执行诸如节点本身的热重启或冷重启等其它步骤以实施软件或硬件更新。
图15是管理服务器20确立与安全节点的MCE连接的流程图。在步骤1502，使用属于特定安全节点所保护的装置的地址，管理服务器将MCR消息发送到该节点。在一段预定义时间后，在步骤1504发送MCE包。如果连接不成功(在步骤1506中为否)，在与理想节点的连接被确立或预定义时间期满前，管理服务器20继续1502的发送。如果MCE成功，并且适当的数字证书和密码短语正确，连接已被接受并且与安全节点确立了安全通信(在步骤1506为是)，则在步骤1508接收节点信息。然后，在步骤1510，节点将其通过监视业务所确定的装置信息传输给终端装置。然后，在步骤1512，管理服务器20可以为装置确定适当的安全描述档。如果可以获得安全描述档信息(在1512中为是)，则在步骤1514从管理服务器20数据库取回适当的规则和软件。如果在数据库中不存在装置描述档(在步骤1512中为否)，则在步骤1520取回一般描述档，并且可以在步骤1522基于对安全节点在步骤1510所提供的装置信息的分析创建定制描述档。然后，在步骤1516，将该描述档作为CMP业务发送给安全节点，并且在步骤1518将其激活。
当启动安全节点时发生描述档上载，但是当在管理服务器20接收到表示终端装置发生了某些变化或已经检测到新的安全威胁的异常心跳时，也可以发生描述档上载。
市场上存在成千上万种不同的工业控制装置的零部件，每个零部件采用350种以上的已知的SCADA通信协议中的一个或多个进行通信。每种控制装置需要非常特殊的安全规则以被正确保护，例如，一种流行的PLC(终端装置的示例)对于包含超过125个字符的URL的web请求具有不常见但是已知的安全问题。当另一个PLC接收到具有选择码为4的MODBUS对话消息并且需要电源复位以恢复时，它会停止所有通信。在传统的防火墙中，手动创建规则以满足这些问题则要求具有关于控制产品缺点和怎样创建用户防火墙的规则集的广泛知识。这也可能使整个防火墙设置过度复杂，也增加了在设置中产生严重错误的可能性。
在管理服务器上的数据库子系统610内提供了为公共控制产品开发的特殊装置规则模板。针对上面提到的第二PLC的这种模板示例可以是特殊漏洞保护规则，诸如：
●拒绝来自所有地址的选择码为4的MODBUS对话消息
●拒绝来自所有地址的HTTP消息
●拒绝来自所有地址的VxWorksTM生产商开发者端口消息
可以提供装置特殊业务控制规则，诸如：
●允许来自PLC编程站的MODBUS固件加载消息
●拒绝来自所有其它地址的MODBUS固件加载信息
●允许来自操作站的MODBUS读消息
●拒绝来自所有其它地址的MODBUS读消息
●拒绝来自所有地址的所有其它MODBUS消息
基于前述的装置发现过程，规则集可以被自动加载到安全节点。在本发明中，采用软件语言编译器中共用的已知技术来组合和优化多个规则集，但是这些技术在安全设备领域是未知的。可以采用文本形式或图形形式来进行用户确认(如果需要)，其中用户在模板中的推荐规则上进行点击并且拖曳允许装置的图标以调整针对特殊地址的规则。
如上所述，代替由安全管理器20为安全节点创建规则集并且上载它们，根据要被保护的终端装置可以自动创建规则集。注意，规则集是依据要被保护的终端装置的需要而设计，而不是依据节点的需要。例如，节点获知需要被保护的PLC或RTU(终端装置的示例)的构造，并且通知管理站。然后，管理站进行数据库查询，并且推荐用于保护该装置的适当的防火墙或IDS(侵入检测系统)模板。然后，安全管理器判断这些规则是否满足它们的需要，并对它们进行相应地修改以及将他们部署到现场(这同样适用于当节点保护多个不同终端装置时的情况)。对于操作者，看起来好像这些规则被直接发送给装置，并且看起来好像其中不包括节点/防火墙。这降低了规则的复杂性，并且将焦点集中在保护装置(例如PLC、RTU等)不受不必要业务的干扰。在将节点部署在现场前，也可以创建规则集，以便该装置在加电时自动获得它的配置。
图16是管理服务器20监视接收到的心跳数据包的业务的流程图。在步骤1602，心跳记录器612监视进入管理服务器20的业务。如果在步骤1604接收到心跳包，则在步骤1606执行节点查询并且对该包进行解密。如果该包不能被解密(在步骤1608中为否)，则丢弃它。如果该包可以被解密(在步骤1608中为是)，则对心跳有效载荷进行处理以确定安全节点的状态并且在步骤1612确定是否有反常条件被报告。如果存在表示需要改变安全策略的条件，则利用现存的MCE或建立一个新的MCE以将更新的描述档发送给安全节点。
适合的计算系统环境或可以适合实施各种实施例的配置的示例包括：一般用途个人计算机(PC)；掌上或手提式计算机；基于多处理器的系统；基于微处理器的系统；可编程消费电子装置；网络计算机、小型计算机、大型计算机；分布计算环境；工业处理设备；工业控制设备(诸如PLC、RTU、IED、DCS)和医疗设备等等。
典型计算装置的组件包括，但是不限于，处理单元、输入/输出接口、系统内存和系统总线。系统总线与上面提到的组件和许多其它协同交互组件可通信地连接。输入/输出接口通过输入/输出单元(可以包括键盘、鼠标类型的控制器、监视器、媒体读取器/写入器等等)与外部组件交互。系统内存例示了根据本发明实施例的网络安全设备的各种组件和操作。
详细描述并不将本发明实施例的实施局限于任何特定的计算机编程语言。只要OS(操作系统)提供了可以支持计算机程序产品要求的设备，则计算机程序产品可以用很多计算机编程语言实现。本发明的示范性实施例可以用C或C++计算机编程语言实现，或可以用其它受支持的编程语言混合实现。所提出的任何限制可能是特定类型的操作系统、计算机编程语言或数据库管理系统所导致的结果，而不是对本文所述的本发明的实施例的限制。
上述的本发明实施例仅仅是为了说明目的。本发明的范围仅被附加的权利要求唯一地限制。

Claims (20)

1.一种采用安全设备保护网络工业装置的方法，该安全设备将网络工业装置耦接至数据网络，该方法包括以下步骤：
在所述安全设备中，对源于所述工业装置而到达其它通过所述数据网络可以访问的装置的数据业务进行监视，来确定与所述工业装置相关联的属性；
在所述安全设备中，从被寻址到所述装置的包中接收源于被连接至所述数据网络的管理服务器的加密管理连接数据；
利用与所述装置相关联的地址作为所述包的起始地址，将所确定的属性发送给所述管理服务器；
在所述安全设备中，从被寻址到所述装置的包中接收来自于管理的加密配置数据，其中所述管理服务器基于所提供的装置属性来选择所述配置数据；
基于所配置的数据来对所述工业装置和所述网络之间的包进行管理；以及
利用与所述装置相关联的地址作为所述包的起始地址，将加密心跳消息周期性地发送到所述管理服务器。
2.根据权利要求1的安全设备，其中所述包的地址还包括没有被所述装置利用的端口号。
3.根据权利要求1的安全设备，其中当将数据发送到所述管理服务器时，所述安全设备既利用所述工业装置的层2的地址和又利用了所述工业装置的层3的地址。
4.根据权利要求1的方法，其中基于对所述包进行的管理针对异常事件生成所述心跳。
5.根据权利要求1的方法，其中从包括防火墙模块、装置识别模块、虚拟专用网络(VPN)模块、侵入检测模块、网络统计收集模块以及带宽监视和业务调整模块的组中选择配置软件。
6.根据权利要求1的方法，其中所述异常事件使所述管理服务器将重新配置数据发送到所述安全设备。
7.根据权利要求1的方法，其中所述通信模块接收来自管理服务器的管理连接请求，用于建立与所述管理服务器的加密连接。
8.根据权利要求1的方法，其中通过安全套接链路(SSL)或IPSec安全连接对数据进行加密。
9.根据权利要求1的方法，其中从所述管理服务器提供给所述安全设备的配置数据包括适用于所述装置所利用的特殊控制协议的安全规则和软件模块。
10.根据权利要求1的方法，其中所述心跳包和所述加密管理连接数据利用无连接包类型。
11.一种用于保护处在数据网络内的安全设备下游的一个或多个工业装置的安全设备，该安全设备包括：
心跳模块，其利用与所述装置中的一个装置相关联的地址作为包的起始地址，来产生加密心跳消息到所述数据网络中的管理服务器；
通信模块，其用于处理从所述管理服务器传输的并且寻址到所述安全设备下游的一个装置的包，所述通信模块对嵌入所述包内的数据进行解密；以及
可由所述管理服务器配置的一个或多个安全模块，所述安全模块基于与每个或多个工业装置相关联的安全描述档对经过所述安全模块的数据提供安全管理，其中所述安全模块处于所述网络上的装置和所述安全设备下游的一个或多个工业装置之间。
12.根据权利要求11的安全设备，其中从包括防火墙模块、装置识别模块、虚拟专用网络(VPN)模块、侵入检测模块、网络统计收集模块以及带宽监视和业务调整模块的组中选择所述一个或多个安全模块。
13.根据权利要求11的安全设备，其中所述心跳模块产生异常心跳和定时心跳，当所述一个或多个安全模块识别出异常事件时产生所述异常心跳。
14.根据权利要求11的安全设备，其中所述通信模块还包括用于对所述安全设备和所述管理服务器之间的数据进行认证的认证模块。
15.根据权利要求11的安全设备，其中所述管理服务器基于所述一个或多个装置的属性来配置所述一个或多个安全模块。
16.根据权利要求11的安全设备，其中所述通信模块处理加密包，该加密包是以所述安全设备下游的一个装置的IP地址和预定义端口号来寻址的。
17.根据权利要求11的安全设备，其中所述通信模块建立与所述管理服务器的安全加密连接以利用SSL或IPSec加密技术交换配置数据。
18.一种数据网络，其包括：
多个联网的工业装置；
多个安全设备，每个设备均与所述多个工业装置的一个或多个相关联，所述安全设备透明地将所述工业装置桥接到所述数据网络，并且基于相关工业装置的识别特征对流入和流出所述工业装置的数据提供管理；
管理服务器，其用于管理所述多个安全设备；并且
其中所述管理服务器通过利用相关联的工业装置之一的地址与多个安全设备进行通信，并且所述多个安全设备利用相关联的装置的地址信息作为心跳消息源来将加密心跳消息周期性地发送到所述管理服务器。
19.根据权利要求18的数据网络，其中所述多个安全设备和所述管理服务器能够建立用于交换配置数据的加密数据连接。
20.根据权利要求18的数据网络，其中所述管理服务器基于所述工业装置的识别特征将配置数据提供给所述多个安全设备中的每一个，其中所述配置数据适合于工业装置所用的控制协议及其相关的安全漏洞。
CN200680036993.1A 2005-10-05 2006-10-05 网络安全设备 Active CN101283539B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201210350428.XA CN102904749B (zh) 2005-10-05 2006-10-05 采用安全设备保护网络装置的方法、安全设备和数据网络

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US72390205P 2005-10-05 2005-10-05
US60/723,902 2005-10-05
PCT/CA2006/001639 WO2007038872A1 (en) 2005-10-05 2006-10-05 Network security appliance

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN201210350428.XA Division CN102904749B (zh) 2005-10-05 2006-10-05 采用安全设备保护网络装置的方法、安全设备和数据网络

Publications (2)

Publication Number Publication Date
CN101283539A true CN101283539A (zh) 2008-10-08
CN101283539B CN101283539B (zh) 2012-10-24

Family

ID=37905943

Family Applications (2)

Application Number Title Priority Date Filing Date
CN200680036993.1A Active CN101283539B (zh) 2005-10-05 2006-10-05 网络安全设备
CN201210350428.XA Active CN102904749B (zh) 2005-10-05 2006-10-05 采用安全设备保护网络装置的方法、安全设备和数据网络

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN201210350428.XA Active CN102904749B (zh) 2005-10-05 2006-10-05 采用安全设备保护网络装置的方法、安全设备和数据网络

Country Status (6)

Country Link
US (3) US8042147B2 (zh)
EP (1) EP1932272B1 (zh)
CN (2) CN101283539B (zh)
CA (1) CA2623120C (zh)
HK (1) HK1181583A1 (zh)
WO (1) WO2007038872A1 (zh)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102263651A (zh) * 2010-05-28 2011-11-30 烽火通信科技股份有限公司 Snmp网络管理系统中局端设备连接状态的检测方法
CN102333014A (zh) * 2011-10-18 2012-01-25 北京电子科技学院 一种vpn设备的检测方法及检测系统
CN102469483A (zh) * 2010-11-15 2012-05-23 中国移动通信集团山东有限公司 业务受理异常的处理方法、系统及相关装置
CN103034162A (zh) * 2011-10-04 2013-04-10 西门子公司 用于控制可编程控制器的通信输入的计算机执行的方法
CN103036870A (zh) * 2012-10-26 2013-04-10 青岛海天炜业自动化控制系统有限公司 基于工业协议OPC Classic的无IP分布式工业防火墙深度检查算法
CN104011727A (zh) * 2011-10-24 2014-08-27 施耐德电器工业公司 用于管理工业过程的系统和方法
CN104618143A (zh) * 2014-12-31 2015-05-13 北京和利时系统工程有限公司 一种管理工业防火墙的方法和装置
CN104717205A (zh) * 2015-02-04 2015-06-17 上海展湾信息科技有限公司 基于报文重构的工控防火墙控制方法
CN105009003A (zh) * 2013-03-05 2015-10-28 施耐德电气美国股份有限公司 用于管理工业过程的系统和方法
CN105988408A (zh) * 2015-01-28 2016-10-05 上海远动科技有限公司 一种基于vpn的plc远程诊断设备及其应用
CN113282059A (zh) * 2020-02-03 2021-08-20 罗克韦尔自动化技术公司 用于智能电气设备的自动配置的系统和方法
CN114019946A (zh) * 2021-11-11 2022-02-08 辽宁石油化工大学 工控终端的监控数据处理方法及装置
CN115118469A (zh) * 2022-06-15 2022-09-27 杭州温小度科技有限公司 一种网络安全威胁处理系统及其处理方法

Families Citing this family (214)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6658091B1 (en) 2002-02-01 2003-12-02 @Security Broadband Corp. LIfestyle multimedia security system
US8473620B2 (en) * 2003-04-14 2013-06-25 Riverbed Technology, Inc. Interception of a cloud-based communication connection
US8625455B2 (en) * 2006-10-17 2014-01-07 Ineoquest Technologies, Inc. System and method for handling streaming media
US20150341812A1 (en) 2003-08-29 2015-11-26 Ineoquest Technologies, Inc. Video quality monitoring
US20080109470A1 (en) * 2003-09-11 2008-05-08 Mcgee Steven James Method to enable the heartbeat beacon for homeland security and homeland defense interoperability
US20170118037A1 (en) 2008-08-11 2017-04-27 Icontrol Networks, Inc. Integrated cloud system for premises automation
US10382452B1 (en) 2007-06-12 2019-08-13 Icontrol Networks, Inc. Communication protocols in integrated systems
US11277465B2 (en) 2004-03-16 2022-03-15 Icontrol Networks, Inc. Generating risk profile using data of home monitoring and security system
US11244545B2 (en) 2004-03-16 2022-02-08 Icontrol Networks, Inc. Cross-client sensor user interface in an integrated security network
US10237237B2 (en) 2007-06-12 2019-03-19 Icontrol Networks, Inc. Communication protocols in integrated systems
US11916870B2 (en) 2004-03-16 2024-02-27 Icontrol Networks, Inc. Gateway registry methods and systems
US8988221B2 (en) 2005-03-16 2015-03-24 Icontrol Networks, Inc. Integrated security system with parallel processing architecture
US9729342B2 (en) 2010-12-20 2017-08-08 Icontrol Networks, Inc. Defining and implementing sensor triggered response rules
US11201755B2 (en) 2004-03-16 2021-12-14 Icontrol Networks, Inc. Premises system management using status signal
US11316958B2 (en) 2008-08-11 2022-04-26 Icontrol Networks, Inc. Virtual device systems and methods
US9609003B1 (en) 2007-06-12 2017-03-28 Icontrol Networks, Inc. Generating risk profile using data of home monitoring and security system
US10522026B2 (en) 2008-08-11 2019-12-31 Icontrol Networks, Inc. Automation system user interface with three-dimensional display
US8635350B2 (en) 2006-06-12 2014-01-21 Icontrol Networks, Inc. IP device discovery systems and methods
US7711796B2 (en) 2006-06-12 2010-05-04 Icontrol Networks, Inc. Gateway registry methods and systems
US8963713B2 (en) 2005-03-16 2015-02-24 Icontrol Networks, Inc. Integrated security network with security alarm signaling system
US11489812B2 (en) 2004-03-16 2022-11-01 Icontrol Networks, Inc. Forming a security network including integrated security system components and network devices
US11159484B2 (en) 2004-03-16 2021-10-26 Icontrol Networks, Inc. Forming a security network including integrated security system components and network devices
US11582065B2 (en) 2007-06-12 2023-02-14 Icontrol Networks, Inc. Systems and methods for device communication
US11811845B2 (en) 2004-03-16 2023-11-07 Icontrol Networks, Inc. Communication protocols over internet protocol (IP) networks
US10200504B2 (en) 2007-06-12 2019-02-05 Icontrol Networks, Inc. Communication protocols over internet protocol (IP) networks
US10444964B2 (en) 2007-06-12 2019-10-15 Icontrol Networks, Inc. Control system user interface
US9191228B2 (en) 2005-03-16 2015-11-17 Icontrol Networks, Inc. Cross-client sensor user interface in an integrated security network
US10375253B2 (en) 2008-08-25 2019-08-06 Icontrol Networks, Inc. Security system with networked touchscreen and gateway
US20090077623A1 (en) 2005-03-16 2009-03-19 Marc Baum Security Network Integrating Security System and Network Devices
US10339791B2 (en) 2007-06-12 2019-07-02 Icontrol Networks, Inc. Security network integrated with premise security system
US10142392B2 (en) 2007-01-24 2018-11-27 Icontrol Networks, Inc. Methods and systems for improved system performance
US10313303B2 (en) 2007-06-12 2019-06-04 Icontrol Networks, Inc. Forming a security network including integrated security system components and network devices
US10156959B2 (en) 2005-03-16 2018-12-18 Icontrol Networks, Inc. Cross-client sensor user interface in an integrated security network
US11113950B2 (en) 2005-03-16 2021-09-07 Icontrol Networks, Inc. Gateway integrated with premises security system
US11677577B2 (en) 2004-03-16 2023-06-13 Icontrol Networks, Inc. Premises system management using status signal
US10721087B2 (en) 2005-03-16 2020-07-21 Icontrol Networks, Inc. Method for networked touchscreen with integrated interfaces
US11190578B2 (en) 2008-08-11 2021-11-30 Icontrol Networks, Inc. Integrated cloud system with lightweight gateway for premises automation
US11368429B2 (en) 2004-03-16 2022-06-21 Icontrol Networks, Inc. Premises management configuration and control
US20050216302A1 (en) 2004-03-16 2005-09-29 Icontrol Networks, Inc. Business method for premises management
US10127802B2 (en) 2010-09-28 2018-11-13 Icontrol Networks, Inc. Integrated security system with parallel processing architecture
US20160065414A1 (en) 2013-06-27 2016-03-03 Ken Sundermeyer Control system user interface
US9141276B2 (en) 2005-03-16 2015-09-22 Icontrol Networks, Inc. Integrated interface for mobile device
US11343380B2 (en) 2004-03-16 2022-05-24 Icontrol Networks, Inc. Premises system automation
US9531593B2 (en) 2007-06-12 2016-12-27 Icontrol Networks, Inc. Takeover processes in security network integrated with premise security system
US7673337B1 (en) * 2007-07-26 2010-03-02 Dj Inventions, Llc System for secure online configuration and communication
US10999254B2 (en) 2005-03-16 2021-05-04 Icontrol Networks, Inc. System for data routing in networks
US11496568B2 (en) 2005-03-16 2022-11-08 Icontrol Networks, Inc. Security system with networked touchscreen
US11615697B2 (en) 2005-03-16 2023-03-28 Icontrol Networks, Inc. Premise management systems and methods
US20110128378A1 (en) 2005-03-16 2011-06-02 Reza Raji Modular Electronic Display Platform
US9306809B2 (en) 2007-06-12 2016-04-05 Icontrol Networks, Inc. Security system with networked touchscreen
US9450776B2 (en) 2005-03-16 2016-09-20 Icontrol Networks, Inc. Forming a security network including integrated security system components
US11700142B2 (en) 2005-03-16 2023-07-11 Icontrol Networks, Inc. Security network integrating security system and network devices
US20120324566A1 (en) 2005-03-16 2012-12-20 Marc Baum Takeover Processes In Security Network Integrated With Premise Security System
US20170180198A1 (en) 2008-08-11 2017-06-22 Marc Baum Forming a security network including integrated security system components
US8478986B2 (en) * 2005-08-10 2013-07-02 Riverbed Technology, Inc. Reducing latency of split-terminated secure communication protocol sessions
US8438628B2 (en) * 2005-08-10 2013-05-07 Riverbed Technology, Inc. Method and apparatus for split-terminating a secure network connection, with client authentication
US8613071B2 (en) * 2005-08-10 2013-12-17 Riverbed Technology, Inc. Split termination for secure communication protocols
EP1932272B1 (en) 2005-10-05 2013-12-11 Byres Security Inc. Network security appliance
US8381297B2 (en) 2005-12-13 2013-02-19 Yoggie Security Systems Ltd. System and method for providing network security to mobile devices
US20080276302A1 (en) 2005-12-13 2008-11-06 Yoggie Security Systems Ltd. System and Method for Providing Data and Device Security Between External and Host Devices
US8869270B2 (en) 2008-03-26 2014-10-21 Cupp Computing As System and method for implementing content and network security inside a chip
US8413248B2 (en) * 2006-03-22 2013-04-02 Michael B. Rash Method for secure single-packet remote authorization
US8782393B1 (en) 2006-03-23 2014-07-15 F5 Networks, Inc. Accessing SSL connection data by a third-party
US10079839B1 (en) 2007-06-12 2018-09-18 Icontrol Networks, Inc. Activation of gateway device
JP2008035401A (ja) * 2006-07-31 2008-02-14 Toshiba Corp Ｉｐ放送システム、ｉｐマルチキャスト放送信号提供方法、放送転送装置及び放送受信装置
US11706279B2 (en) 2007-01-24 2023-07-18 Icontrol Networks, Inc. Methods and systems for data communication
US7633385B2 (en) 2007-02-28 2009-12-15 Ucontrol, Inc. Method and system for communicating with and controlling an alarm system from a remote server
US8451986B2 (en) 2007-04-23 2013-05-28 Icontrol Networks, Inc. Method and system for automatically providing alternate network access for telecommunications
US9319879B2 (en) * 2007-05-30 2016-04-19 Apple Inc. Method and apparatus for security configuration and verification of wireless devices in a fixed/mobile convergence environment
US8365272B2 (en) 2007-05-30 2013-01-29 Yoggie Security Systems Ltd. System and method for providing network and computer firewall protection with dynamic address isolation to a device
US11646907B2 (en) 2007-06-12 2023-05-09 Icontrol Networks, Inc. Communication protocols in integrated systems
US10051078B2 (en) 2007-06-12 2018-08-14 Icontrol Networks, Inc. WiFi-to-serial encapsulation in systems
US11218878B2 (en) 2007-06-12 2022-01-04 Icontrol Networks, Inc. Communication protocols in integrated systems
US11601810B2 (en) 2007-06-12 2023-03-07 Icontrol Networks, Inc. Communication protocols in integrated systems
US11423756B2 (en) 2007-06-12 2022-08-23 Icontrol Networks, Inc. Communication protocols in integrated systems
US11212192B2 (en) 2007-06-12 2021-12-28 Icontrol Networks, Inc. Communication protocols in integrated systems
US11237714B2 (en) 2007-06-12 2022-02-01 Control Networks, Inc. Control system user interface
US10666523B2 (en) 2007-06-12 2020-05-26 Icontrol Networks, Inc. Communication protocols in integrated systems
US10616075B2 (en) 2007-06-12 2020-04-07 Icontrol Networks, Inc. Communication protocols in integrated systems
US11316753B2 (en) 2007-06-12 2022-04-26 Icontrol Networks, Inc. Communication protocols in integrated systems
US11089122B2 (en) 2007-06-12 2021-08-10 Icontrol Networks, Inc. Controlling data routing among networks
US10423309B2 (en) 2007-06-12 2019-09-24 Icontrol Networks, Inc. Device integration framework
US10523689B2 (en) 2007-06-12 2019-12-31 Icontrol Networks, Inc. Communication protocols over internet protocol (IP) networks
US10389736B2 (en) 2007-06-12 2019-08-20 Icontrol Networks, Inc. Communication protocols in integrated systems
US10498830B2 (en) 2007-06-12 2019-12-03 Icontrol Networks, Inc. Wi-Fi-to-serial encapsulation in systems
US7673338B1 (en) * 2007-07-26 2010-03-02 Dj Inventions, Llc Intelligent electronic cryptographic module
US11831462B2 (en) 2007-08-24 2023-11-28 Icontrol Networks, Inc. Controlling data routing in premises management systems
US11916928B2 (en) 2008-01-24 2024-02-27 Icontrol Networks, Inc. Communication protocols over internet protocol (IP) networks
US8627060B2 (en) * 2008-04-30 2014-01-07 Viasat, Inc. Trusted network interface
US20100071054A1 (en) * 2008-04-30 2010-03-18 Viasat, Inc. Network security appliance
US20170185278A1 (en) 2008-08-11 2017-06-29 Icontrol Networks, Inc. Automation system user interface
WO2009156733A1 (en) * 2008-06-25 2009-12-30 British Telecommunications Public Limited Company Method and apparatus for generating error keys for fault diagnosis in communication networks
WO2010008539A1 (en) * 2008-07-14 2010-01-21 Riverbed Technology, Inc. Methods and systems for secure communications using a local certification authority
US8631488B2 (en) 2008-08-04 2014-01-14 Cupp Computing As Systems and methods for providing security services during power management mode
US11729255B2 (en) 2008-08-11 2023-08-15 Icontrol Networks, Inc. Integrated cloud system with lightweight gateway for premises automation
US11258625B2 (en) 2008-08-11 2022-02-22 Icontrol Networks, Inc. Mobile premises automation platform
US11758026B2 (en) 2008-08-11 2023-09-12 Icontrol Networks, Inc. Virtual device systems and methods
US11792036B2 (en) 2008-08-11 2023-10-17 Icontrol Networks, Inc. Mobile premises automation platform
KR101510472B1 (ko) * 2008-10-02 2015-04-08 삼성전자주식회사 무선 센서 네트워크의 데이터 패킷을 보안하기 위한 장치 및 방법
US9628440B2 (en) 2008-11-12 2017-04-18 Icontrol Networks, Inc. Takeover processes in security network integrated with premise security system
US8789202B2 (en) 2008-11-19 2014-07-22 Cupp Computing As Systems and methods for providing real time access monitoring of a removable media device
US8024492B2 (en) * 2008-12-23 2011-09-20 Schneider Electric USA, Inc. System for managing a power monitoring system containing a multiplicity of intelligent electronic devices
US8737398B2 (en) * 2008-12-31 2014-05-27 Schneider Electric USA, Inc. Communication module with network isolation and communication filter
WO2010087845A1 (en) * 2009-01-30 2010-08-05 Hewlett-Packard Development Company, L.P. Dynamically applying a control policy to a network
US8024482B2 (en) * 2009-02-16 2011-09-20 Microsoft Corporation Dynamic firewall configuration
US8707043B2 (en) * 2009-03-03 2014-04-22 Riverbed Technology, Inc. Split termination of secure communication sessions with mutual certificate-based authentication
US8638211B2 (en) 2009-04-30 2014-01-28 Icontrol Networks, Inc. Configurable controller and interface for home SMA, phone and multimedia
GB2474545B (en) * 2009-09-24 2015-06-24 Fisher Rosemount Systems Inc Integrated unified threat management for a process control system
DE102009055247A1 (de) * 2009-12-23 2011-06-30 Endress + Hauser Conducta Gesellschaft für Mess- und Regeltechnik mbH + Co. KG, 70839 Anordnung mit einer übergeordneten Steuereinheit und zumindest einem mit der Steuereinheit verbindbaren intelligenten Feldgerät
US8700892B2 (en) 2010-03-19 2014-04-15 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US9485218B2 (en) 2010-03-23 2016-11-01 Adventium Enterprises, Llc Device for preventing, detecting and responding to security threats
EP2569712B1 (en) 2010-05-10 2021-10-13 Icontrol Networks, Inc. Control system user interface
WO2011151768A1 (en) * 2010-06-01 2011-12-08 Radiflow Ltd. Plant communication network
AU2011305163B2 (en) * 2010-09-23 2016-12-15 Icontrol Networks, Inc. Integrated security network with security alarm signaling system
US8836467B1 (en) 2010-09-28 2014-09-16 Icontrol Networks, Inc. Method, system and apparatus for automated reporting of account and sensor zone information to a central station
US8438274B2 (en) * 2010-09-30 2013-05-07 Schneider Electric USA, Inc. Profiling of composite physical devices for monitoring/control systems
US11750414B2 (en) 2010-12-16 2023-09-05 Icontrol Networks, Inc. Bidirectional security sensor communication for a premises security system
US9147337B2 (en) 2010-12-17 2015-09-29 Icontrol Networks, Inc. Method and system for logging security event data
WO2012096947A2 (en) * 2011-01-10 2012-07-19 Sheffield Scientific Systems and/or methods for managing critical digital assets in power generating plants
US8774007B2 (en) * 2011-03-23 2014-07-08 Sunpower Corporation Apparatus and method for data communication in an energy distribution network
US20120254607A1 (en) * 2011-04-01 2012-10-04 International Business Machines Corporation System And Method For Security Levels With Cluster Communications
JP2012226680A (ja) * 2011-04-22 2012-11-15 Internatl Business Mach Corp <Ibm> 産業制御システムを管理する管理システム、管理方法および管理プログラム
GB201108005D0 (en) * 2011-05-13 2011-06-29 Cooper Technologies Co Network security device
US8973088B1 (en) 2011-05-24 2015-03-03 Palo Alto Networks, Inc. Policy enforcement using host information profile
US8875223B1 (en) * 2011-08-31 2014-10-28 Palo Alto Networks, Inc. Configuring and managing remote security devices
US9298917B2 (en) * 2011-09-27 2016-03-29 Redwall Technologies, Llc Enhanced security SCADA systems and methods
US9270642B2 (en) * 2011-10-13 2016-02-23 Rosemount Inc. Process installation network intrusion detection and prevention
US9137135B2 (en) 2011-11-14 2015-09-15 Jds Uniphase Corporation Selective IP address allocation for probes that do not have assigned IP addresses
US8812466B2 (en) 2012-02-10 2014-08-19 International Business Machines Corporation Detecting and combating attack in protection system of an industrial control system
US20130212668A1 (en) * 2012-02-13 2013-08-15 International Business Machines Corporation Suspension of Processes in Industrial Control System When an Anomaly Occurs
WO2013123975A1 (de) * 2012-02-21 2013-08-29 Siemens Aktiengesellschaft Verfahren zum konfigurieren eines sicherheitssystems für eine energieautomatisierungsanlage und energieautomatisierungsanlage mit einem sicherheitssystem
GB201213622D0 (en) * 2012-07-31 2012-09-12 Sirran Technologies Ltd Improved telecommunication system
CN103713583B (zh) * 2012-09-29 2018-01-16 西门子公司 一种自动采集并配置授权信息的方法及装置
WO2014059037A2 (en) 2012-10-09 2014-04-17 Cupp Computing As Transaction security systems and methods
US10171500B2 (en) * 2012-12-28 2019-01-01 Intel Corporation Systems, apparatuses, and methods for enforcing security on a platform
US20140208406A1 (en) * 2013-01-23 2014-07-24 N-Dimension Solutions Inc. Two-factor authentication
WO2014122552A1 (en) * 2013-02-07 2014-08-14 Koninklijke Philips N.V. Configuring interaction control in multi-controller network
US20140280846A1 (en) * 2013-03-14 2014-09-18 Douglas Gourlay System and method for abstracting network policy from physical interfaces and creating portable network policy
US9450981B2 (en) * 2013-03-14 2016-09-20 Radware, Ltd. System and method thereof for mitigating denial of service attacks in virtual networks
US9928975B1 (en) 2013-03-14 2018-03-27 Icontrol Networks, Inc. Three-way switch
WO2014150567A1 (en) * 2013-03-15 2014-09-25 Asguard Networks, Inc. Industrial network security
US9287727B1 (en) 2013-03-15 2016-03-15 Icontrol Networks, Inc. Temporal voltage adaptive lithium battery charger
US9867143B1 (en) 2013-03-15 2018-01-09 Icontrol Networks, Inc. Adaptive Power Modulation
US20140269697A1 (en) * 2013-03-15 2014-09-18 Signal Perfection Ltd., Inc. Internet protocol call signal interrupter for selective blocking of internet voice calls
DE102013103242B4 (de) * 2013-03-28 2021-06-24 Phoenix Contact Gmbh & Co. Kg Feldgerät, Kommunikations-Chip und Verfahren zum Zugreifen auf ein Feldgerät
KR20140147583A (ko) * 2013-06-20 2014-12-30 한국전자통신연구원 산업제어 시스템의 부정 접근을 방지하기 위한 장치 및 그 방법
WO2015006375A1 (en) 2013-07-08 2015-01-15 Cupp Computing As Systems and methods for providing digital content marketplace security
CN103795594A (zh) * 2013-07-08 2014-05-14 韶关学院 一种基于网络终端机的工业监控系统
WO2015021469A2 (en) 2013-08-09 2015-02-12 Icontrol Networks Canada Ulc System, method and apparatus for remote monitoring
CN103475478B (zh) * 2013-09-03 2017-04-12 广东电网公司电力科学研究院 终端安全防护方法和设备
US9858805B2 (en) * 2013-09-24 2018-01-02 Honeywell International Inc. Remote terminal unit (RTU) with wireless diversity and related method
US8667589B1 (en) * 2013-10-27 2014-03-04 Konstantin Saprygin Protection against unauthorized access to automated system for control of technological processes
BE1021726B1 (fr) * 2013-10-28 2016-01-13 Dao Systems Systeme de controle d'acces.
CN103746791B (zh) * 2013-12-19 2017-02-08 广东芬尼克兹节能设备有限公司 一种应用于工业领域的加密通信装置及方法
US9531669B2 (en) * 2014-01-30 2016-12-27 Sierra Nevada Corporation Bi-directional data security for supervisor control and data acquisition networks
US9998426B2 (en) 2014-01-30 2018-06-12 Sierra Nevada Corporation Bi-directional data security for control systems
WO2015123611A2 (en) 2014-02-13 2015-08-20 Cupp Computing As Systems and methods for providing network security using a secure digital device
US11146637B2 (en) 2014-03-03 2021-10-12 Icontrol Networks, Inc. Media content management
US11405463B2 (en) 2014-03-03 2022-08-02 Icontrol Networks, Inc. Media content management
US9692780B2 (en) * 2014-03-31 2017-06-27 At&T Intellectual Property I, L.P. Security network buffer device
US10063456B2 (en) * 2014-04-25 2018-08-28 Metaswitch Networks Ltd Data processing
US9917851B2 (en) 2014-04-28 2018-03-13 Sophos Limited Intrusion detection using a heartbeat
US10122753B2 (en) 2014-04-28 2018-11-06 Sophos Limited Using reputation to avoid false malware detections
US9392015B2 (en) * 2014-04-28 2016-07-12 Sophos Limited Advanced persistent threat detection
US9652770B1 (en) 2014-04-30 2017-05-16 Wells Fargo Bank, N.A. Mobile wallet using tokenized card systems and methods
US11461766B1 (en) 2014-04-30 2022-10-04 Wells Fargo Bank, N.A. Mobile wallet using tokenized card systems and methods
WO2016019183A1 (en) 2014-07-30 2016-02-04 Tempered Networks, Inc. Performing actions via devices that establish a secure, private network
WO2016019293A1 (en) * 2014-08-01 2016-02-04 Src, Inc. Optiarmor secure separation device
US10445739B1 (en) 2014-08-14 2019-10-15 Wells Fargo Bank, N.A. Use limitations for secondary users of financial accounts
US9864864B2 (en) * 2014-09-23 2018-01-09 Accenture Global Services Limited Industrial security agent platform
WO2016097757A1 (en) 2014-12-18 2016-06-23 Sophos Limited A method and system for network access control based on traffic monitoring and vulnerability detection using process related information
US11895138B1 (en) * 2015-02-02 2024-02-06 F5, Inc. Methods for improving web scanner accuracy and devices thereof
CN104753932A (zh) * 2015-03-19 2015-07-01 国网山东省电力公司聊城供电公司 一种多功能的智能计算机网络安全设备
WO2016155857A1 (en) * 2015-03-27 2016-10-06 Bühler AG Adaptive cross plant control and steering system, and corresponding method thereof
US9300635B1 (en) 2015-06-15 2016-03-29 Tempered Networks, Inc. Overlay network with position independent insertion and tap points
CN107852400B (zh) * 2015-07-09 2021-01-29 西门子公司 自防御智能现场装置及体系结构
CN107924186B (zh) * 2015-08-24 2021-03-09 比特股份有限公司 生成机器心跳的方法
US9641544B1 (en) * 2015-09-18 2017-05-02 Palo Alto Networks, Inc. Automated insider threat prevention
US10469594B2 (en) * 2015-12-08 2019-11-05 A10 Networks, Inc. Implementation of secure socket layer intercept
US11277416B2 (en) 2016-04-22 2022-03-15 Sophos Limited Labeling network flows according to source applications
US10938781B2 (en) 2016-04-22 2021-03-02 Sophos Limited Secure labeling of network flows
US11102238B2 (en) 2016-04-22 2021-08-24 Sophos Limited Detecting triggering events for distributed denial of service attacks
US20170359306A1 (en) 2016-06-10 2017-12-14 Sophos Limited Network security
WO2018004600A1 (en) 2016-06-30 2018-01-04 Sophos Limited Proactive network security using a health heartbeat
US9729581B1 (en) 2016-07-01 2017-08-08 Tempered Networks, Inc. Horizontal switch scalability via load balancing
US11468414B1 (en) 2016-10-03 2022-10-11 Wells Fargo Bank, N.A. Systems and methods for establishing a pull payment relationship
CN107070857A (zh) * 2016-12-15 2017-08-18 中国电子技术标准化研究院（（工业和信息化部电子工业标准化研究院）（工业和信息化部电子第四研究院）） 一种基于tcp／ip的dnp3协议网络保护框架
US10931637B2 (en) 2017-09-15 2021-02-23 Palo Alto Networks, Inc. Outbound/inbound lateral traffic punting based on process risk
US10855656B2 (en) 2017-09-15 2020-12-01 Palo Alto Networks, Inc. Fine-grained firewall policy enforcement using session app ID and endpoint process ID correlation
US10594716B2 (en) * 2018-01-26 2020-03-17 Connecticut Information Security LLC System and method for detecting computer network intrusions
US11295297B1 (en) 2018-02-26 2022-04-05 Wells Fargo Bank, N.A. Systems and methods for pushing usable objects and third-party provisioning to a mobile wallet
US10069726B1 (en) 2018-03-16 2018-09-04 Tempered Networks, Inc. Overlay network identity-based relay
US11140195B2 (en) 2018-04-04 2021-10-05 Sophos Limited Secure endpoint in a heterogenous enterprise network
US11271950B2 (en) 2018-04-04 2022-03-08 Sophos Limited Securing endpoints in a heterogenous enterprise network
US11616758B2 (en) 2018-04-04 2023-03-28 Sophos Limited Network device for securing endpoints in a heterogeneous enterprise network
US10972431B2 (en) 2018-04-04 2021-04-06 Sophos Limited Device management based on groups of network adapters
US11775955B1 (en) 2018-05-10 2023-10-03 Wells Fargo Bank, N.A. Systems and methods for making person-to-person payments via mobile client application
US10116539B1 (en) 2018-05-23 2018-10-30 Tempered Networks, Inc. Multi-link network gateway with monitoring and dynamic failover
US10158545B1 (en) 2018-05-31 2018-12-18 Tempered Networks, Inc. Monitoring overlay networks
CN110661761B (zh) 2018-06-29 2021-12-14 西门子股份公司 一种访问控制设备、方法、计算机程序产品和计算机可读介质
US20200059474A1 (en) * 2018-08-17 2020-02-20 Schlumberger Technology Corporation System and method for control system cybersecurity
US11539609B2 (en) * 2018-09-11 2022-12-27 Trilliant Networks, Inc. Method and apparatus for reporting power down events in a network node without a backup energy storage device
US10897398B2 (en) * 2019-02-04 2021-01-19 Saudi Arabian Oil Company Embedded dynamic configuration assignment for unprotected remote terminal unit (RTU)
US11288378B2 (en) 2019-02-20 2022-03-29 Saudi Arabian Oil Company Embedded data protection and forensics for physically unsecure remote terminal unit (RTU)
US11201781B2 (en) 2019-03-12 2021-12-14 Arista Networks, Inc. Systems and methods for automatically configuring network isolation
DE102019106543A1 (de) 2019-03-14 2020-09-17 Anapur Ag Verfahren und Kommunikationssteuersystem zur Steuerung von Kommunikation in einem Kommunikationsnetzwerk
DE102019211395B4 (de) * 2019-07-31 2021-03-04 Siemens Schweiz Ag Effizienter Heartbeat-Mechanismus für Cloud-Anwendungen
US11558183B2 (en) * 2020-05-15 2023-01-17 Bank Of America Corporation System for exchanging symmetric cryptographic keys using computer network port knocking
US11870810B2 (en) 2020-06-24 2024-01-09 T-Mobile Usa, Inc. Host-based network socket security controls and telemetry
US10911418B1 (en) 2020-06-26 2021-02-02 Tempered Networks, Inc. Port level policy isolation in overlay networks
US11070594B1 (en) 2020-10-16 2021-07-20 Tempered Networks, Inc. Applying overlay network policy based on users
US10999154B1 (en) 2020-10-23 2021-05-04 Tempered Networks, Inc. Relay node management for overlay networks
US11687053B2 (en) 2021-03-08 2023-06-27 Saudi Arabian Oil Company Intelligent safety motor control center (ISMCC)
US20240163295A1 (en) * 2022-11-14 2024-05-16 Rockwell Automation Technologies, Inc. Facilitating direct device-to-cloud communications within a secure deployment management system

Family Cites Families (37)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5568402A (en) * 1994-04-11 1996-10-22 Gse Process Solutions, Inc. Communication server for communicating with a remote device
US5889942A (en) * 1996-12-18 1999-03-30 Orenshteyn; Alexander S. Secured system for accessing application services from a remote station
US20020152289A1 (en) * 1997-09-10 2002-10-17 Schneider Automation Inc. System and method for accessing devices in a factory automation network
US6219786B1 (en) 1998-09-09 2001-04-17 Surfcontrol, Inc. Method and system for monitoring and controlling network access
CA2296989C (en) 1999-01-29 2005-10-25 Lucent Technologies Inc. A method and apparatus for managing a firewall
US7130831B2 (en) * 1999-02-08 2006-10-31 Copyright Clearance Center, Inc. Limited-use browser and security system
US6970068B1 (en) * 1999-07-15 2005-11-29 Thomson Licensing S.A. Apparatus and associated method for limiting access of information transferred between an electronic security device and a host device
US6735702B1 (en) * 1999-08-31 2004-05-11 Intel Corporation Method and system for diagnosing network intrusion
AU2001293080A1 (en) * 2000-09-28 2002-04-15 Symantec Corporation System and method for analyzing protocol streams for a security-related event
US7168093B2 (en) * 2001-01-25 2007-01-23 Solutionary, Inc. Method and apparatus for verifying the integrity and security of computer networks and implementation of counter measures
WO2002103960A2 (en) * 2001-06-14 2002-12-27 Okena, Inc. Stateful distributed event processing and adaptive security
US7313819B2 (en) * 2001-07-20 2007-12-25 Intel Corporation Automated establishment of addressability of a network device for a target network environment
US7240102B1 (en) * 2001-08-03 2007-07-03 Mcafee, Inc. System and method for providing web browser-based secure remote network appliance configuration in a distributed computing environment
DE10138865C2 (de) 2001-08-07 2003-08-14 Innominate Security Technologi Verfahren und Computersystem zur Sicherung der Kommunikation in Netzwerken
US7430759B2 (en) * 2001-08-07 2008-09-30 Innominate Security Technologies Ag Method and computer system for securing communication in networks
US7207061B2 (en) * 2001-08-31 2007-04-17 International Business Machines Corporation State machine for accessing a stealth firewall
JP2003110576A (ja) * 2001-09-26 2003-04-11 Toshiba Corp 無線ネットワークシステム、無線ネットワークの管理方法、及び、コンピュータで実行可能な無線ネットワークの管理プログラム
US7603431B2 (en) * 2002-01-08 2009-10-13 Bottomline Technologies (De) Inc. Secure transport gateway for message queuing and transport over an open network
US7100201B2 (en) * 2002-01-24 2006-08-29 Arxceo Corporation Undetectable firewall
US7370194B2 (en) * 2002-06-10 2008-05-06 Microsoft Corporation Security gateway for online console-based gaming
WO2003107155A1 (en) * 2002-06-18 2003-12-24 Honeywell International Inc. Dongle for a secured data communications network
US6823383B2 (en) * 2002-09-10 2004-11-23 Capital One Financial Corporation Stealth network
US20040153171A1 (en) 2002-10-21 2004-08-05 Brandt David D. System and methodology providing automation security architecture in an industrial controller environment
AU2003302996A1 (en) * 2002-12-12 2004-07-09 Finite State Machine Labs, Inc. Systems and methods for detecting a security breach in a computer system
US7480936B2 (en) * 2003-01-15 2009-01-20 Xerox Corporation Generic application architecture suitable for firewall traversal
DE10305413B4 (de) 2003-02-06 2006-04-20 Innominate Security Technologies Ag Verfahren und Anordnung zur transparenten Vermittlung des Datenverkehrs zwischen Datenverarbeitungseinrichtungen sowie ein entsprechendes Computerprogramm und ein entsprechendes computerlesbares Speichermedium
CN1309208C (zh) * 2003-05-23 2007-04-04 联想(北京)有限公司 一种计算机网络的网络安全系统及其控制方法
US7246156B2 (en) * 2003-06-09 2007-07-17 Industrial Defender, Inc. Method and computer program product for monitoring an industrial network
US20050005093A1 (en) * 2003-07-01 2005-01-06 Andrew Bartels Methods, systems and devices for securing supervisory control and data acquisition (SCADA) communications
IL158309A (en) * 2003-10-08 2011-06-30 Ammon Yacoby Centralized network control
JP2005196728A (ja) * 2003-12-11 2005-07-21 Nec Corp セキュリティ検証システム、装置、方法、およびセキュリティ検証用プログラム
US7813263B2 (en) * 2004-06-30 2010-10-12 Conexant Systems, Inc. Method and apparatus providing rapid end-to-end failover in a packet switched communications network
US7890772B2 (en) 2005-08-10 2011-02-15 Lexmark International, Inc. Multi-function printing device
EP1932272B1 (en) * 2005-10-05 2013-12-11 Byres Security Inc. Network security appliance
WO2007074431A2 (en) * 2005-12-27 2007-07-05 Atomynet Inc. Method and apparatus for securing access to applications
US8745373B2 (en) * 2008-04-23 2014-06-03 Dell Products L.P. Systems and methods for applying encryption to network traffic on the basis of policy
US8023425B2 (en) * 2009-01-28 2011-09-20 Headwater Partners I Verifiable service billing for intermediate networking devices

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102263651A (zh) * 2010-05-28 2011-11-30 烽火通信科技股份有限公司 Snmp网络管理系统中局端设备连接状态的检测方法
CN102469483A (zh) * 2010-11-15 2012-05-23 中国移动通信集团山东有限公司 业务受理异常的处理方法、系统及相关装置
CN102469483B (zh) * 2010-11-15 2014-12-24 中国移动通信集团山东有限公司 业务受理异常的处理方法、系统及相关装置
CN103034162A (zh) * 2011-10-04 2013-04-10 西门子公司 用于控制可编程控制器的通信输入的计算机执行的方法
CN102333014A (zh) * 2011-10-18 2012-01-25 北京电子科技学院 一种vpn设备的检测方法及检测系统
CN104011727A (zh) * 2011-10-24 2014-08-27 施耐德电器工业公司 用于管理工业过程的系统和方法
CN103036870A (zh) * 2012-10-26 2013-04-10 青岛海天炜业自动化控制系统有限公司 基于工业协议OPC Classic的无IP分布式工业防火墙深度检查算法
CN105009003A (zh) * 2013-03-05 2015-10-28 施耐德电气美国股份有限公司 用于管理工业过程的系统和方法
CN104618143B (zh) * 2014-12-31 2018-03-06 北京和利时系统工程有限公司 一种管理工业防火墙的方法和装置
CN104618143A (zh) * 2014-12-31 2015-05-13 北京和利时系统工程有限公司 一种管理工业防火墙的方法和装置
CN105988408A (zh) * 2015-01-28 2016-10-05 上海远动科技有限公司 一种基于vpn的plc远程诊断设备及其应用
CN104717205A (zh) * 2015-02-04 2015-06-17 上海展湾信息科技有限公司 基于报文重构的工控防火墙控制方法
CN113282059A (zh) * 2020-02-03 2021-08-20 罗克韦尔自动化技术公司 用于智能电气设备的自动配置的系统和方法
CN113282059B (zh) * 2020-02-03 2024-01-30 罗克韦尔自动化技术公司 用于智能电气设备的自动配置的系统和方法
CN114019946A (zh) * 2021-11-11 2022-02-08 辽宁石油化工大学 工控终端的监控数据处理方法及装置
CN114019946B (zh) * 2021-11-11 2023-08-29 辽宁石油化工大学 工控终端的监控数据处理方法及装置
CN115118469A (zh) * 2022-06-15 2022-09-27 杭州温小度科技有限公司 一种网络安全威胁处理系统及其处理方法
CN115118469B (zh) * 2022-06-15 2024-03-19 杭州温小度科技有限公司 一种网络安全威胁处理系统及其处理方法

Also Published As

Publication number Publication date
US20130232338A1 (en) 2013-09-05
CN102904749B (zh) 2015-12-09
US20120151558A1 (en) 2012-06-14
WO2007038872A1 (en) 2007-04-12
US8407758B2 (en) 2013-03-26
CN101283539B (zh) 2012-10-24
EP1932272B1 (en) 2013-12-11
CA2623120A1 (en) 2007-04-12
EP1932272A4 (en) 2013-05-22
EP1932272A1 (en) 2008-06-18
CN102904749A (zh) 2013-01-30
HK1181583A1 (zh) 2013-11-08
US20070199061A1 (en) 2007-08-23
US8042147B2 (en) 2011-10-18
CA2623120C (en) 2015-03-24
US9043868B2 (en) 2015-05-26

Similar Documents

Publication Publication Date Title
CN101283539B (zh) 网络安全设备
Abir et al. Iot-enabled smart energy grid: Applications and challenges
Pliatsios et al. A survey on SCADA systems: secure protocols, incidents, threats and tactics
US9961099B2 (en) Systems and methods for detecting and tracking adversary trajectory
US9853999B2 (en) Context-aware knowledge system and methods for deploying deception mechanisms
US11212315B2 (en) Tunneling for network deceptions
US20170264639A1 (en) Active deception system
Wendzel et al. Cyber security of smart buildings
Flaus Cybersecurity of industrial systems
CN101197715B (zh) 一种移动数据业务状态的安全集中采集方法
CN110601889B (zh) 实现安全反溯源深度加密受控网络链路资源调度管理的系统及方法
Januário et al. Security challenges in SCADA systems over Wireless Sensor and Actuator Networks
Paul et al. Towards the protection of industrial control systems–conclusions of a vulnerability analysis of profinet IO
Sinha et al. Blockchain-based communication and data security framework for IoT-enabled micro solar inverters
Demirci et al. Software-defined networking for improving security in smart grid systems
CN102073310A (zh) 一种小区安防监控系统及监控方法
Gao Cyberthreats, attacks and intrusion detection in supervisory control and data acquisition networks
CN1200340C (zh) 一种通过网络对防火墙设备进行安全管理的方法
Shikhaliyev Cybersecurity analysis of industrial control systems
Slunjski et al. Investigation of Internet-of-Things gateway-based solution for protection of industrial control systems
Goltz Securing Building Automation Systems
Araghi et al. Improving security in SCADA systems
CN112284443A (zh) 一种工程建筑安防检测系统及方法
CN117336703A (zh) 基于北斗的自组网应急通信系统及方法
Ciprian SCADA SECURITY IN THE CONTEXT OF CORPORATE NETWORK INTEGRATION.

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20200715

Address after: St. Louis, Missouri, USA

Patentee after: Belden Ltd.

Address before: British Columbia

Patentee before: BYRES SECURITY

TR01 Transfer of patent right