CN102165499B - 用于识别对自助机器的攻击的方法和装置 - Google Patents

Abstract

用于识别对计算机系统、尤其是自助机器的至少一个接口的攻击的方法包括：监控接口，以便查明接口的改变；如果出现改变，则根据改变的类型确定对接口的不允许的攻击的概率；如果该概率在限定的阈值之上，则采取防御措施。

Description

用于识别对自助机器的攻击的方法和装置

技术领域

本发明涉及一种用于识别对至少一个自助机器的攻击、尤其是对自动柜员机（Geldautomaten）的攻击的方法和装置。

背景技术

传统的自助终端（也简称为SB终端）常常被发现用作自动柜员机或者户头结单打印机。为了进行操作，用户或客户需要通常对应于要由读卡设备读取的磁条卡的银行卡，在该磁条卡上存储有包括个人客户数据和账户数据在内的卡数据。可惜越来越多地由第三方对SB终端进行操纵，以便以欺诈的方式获得卡数据。为此，例如在相应的SB终端上尽可能不显眼地安装如下特定的侦查装置（Ausspaehvorrichtung）：该侦查装置基本上包含尽可能直接安置在SB终端的真正导入槽或真正读卡设备的真正导入槽之前的小型外来读卡器。如果现在客户将他的银行卡导入到SB终端的读卡设备中，则该银行卡的磁道也被该外来读卡器读取，由此第三方获得了卡数据，尤其是获得了客户数据和账户数据并且能够实现制造该银行卡的非法的拷贝。此外，如果第三方成功侦查出与该银行相关的密码（所谓的Pin），则该第三方可以利用伪造的银行卡和所侦查出的密码毫不费劲地在自助柜员机从相关的账户提取钱款。为了获得所述信息，例如伪造的键盘被安置在真正的键盘上，以便这样获得键盘输入。

所描述的用于侦查出卡数据或客户信息的欺诈行为在专业领域中也称作“窃读（Skimming）”或者卡滥用。防止这种行为或者至少使这种行为困难的可能性在于产生适于妨碍位于侦查装置中的磁卡读取头的读取功能的电磁保护场。为此，该保护场必须恰好在侦查装置通常所安装的位置（即直接在“真的”或真正的读卡设备的导入槽之前）被产生或起作用。此外，保护场必须足够强，以便保证侦查装置的读取功能被有效地妨碍或阻断，并且不再可通过窃读磁条卡来读取数据。相对应的方法在DE 10 2006 049 518 A1中公开。 

然而，并不容易的是将这样的保护场恰好对准或定位并且也并不容易的是调整这样的保护场的场强来使得不会无意地也一同妨碍SB终端的真正的读卡设备的读取功能。

所有公知的方法都带来如下问题：这些方法单独地经常过于灵敏地作出反应并且限制SB自动装置的功能。

发明内容

因而，本发明所基于的任务是提供一种开头所述类型的用于识别攻击的改进的保护装置，所述改进的保护装置的警告实现更高的命中率。

该任务通过具有独立权利要求的特征的方法和装置来解决。

本发明的主要目的在于攻击模式的模型化，以便以具体的规则体系（Regelwerk）的形式寄存模型，从而接着根据规则体系来识别攻击。

在这种情况下，事实适配器（Fakten-Adapter）被用于连接现有的设备驱动器。

为此，已知的威胁和弱点被分类并且被模型化为规则。事实适配器在可能的实施形式中通过所选择的设备驱动器和图像识别机制来实施。此外，配置以及规则体系本身应通过譬如利用证书进行锁定的适当机制来保护。

为事实适配器提供信息的可能性在于图像识别系统或图像预处理系统的适配和KI（人工智能）部件的集成。KI部件应根据训练阶段（也被公知为监督学习（supervised learning））能够根据合并的传感器信号标识和分类未通过静态的规则体系识别的情况。

由于操作区的易受攻击性，这特别是遭受操纵，因为该操作区是“任何人”的接口。下文中的实施方案出于该原因而涉及操作区的部件，然而并不限于此。同样可设想的是，网络接口或者如USB、串行接口的其它接口被监控并且经由事实适配器注入规则体系中。原则上，可以在从内部接入的系统和从外部接入的系统方面区分SB系统。在内部区域中的部件经常仅仅能通过如所描述的那样的接口能到达。紧接着的系统部件及其系统驱动器在以下的观察中很重要，然而本发明并不限于此：密码键盘（Pin Pad）（用于密码输入的键盘）、所有读卡器、所有可能形式的出钞箱（Geldausgabefach）、带有软键的监视器/显示器、触摸屏或者周围的按键、障板（Mundschutz）、ASKIM II防窃读模块（也参见DE 10 2005 043 317 B3）。

其它系统部件或者传感器可能是时钟、接近传感器、温度传感器等等。此外，可以考虑通过网络监控和管理SB自动装置的管理部件。这些部件必要时可以提供关于SB系统的工作状态（维修工作、停止工作（Ausserbetrieb）、标准工作（Standardbetrieb）、受限的工作）的有价值的信息。可以通过诊断平台而给连接在后的系统或者用户提供报警信息。相反，诊断平台也提供关于系统状态的事件。

如上面已经阐明的那样，原则上自动柜员机的部件可以从外部和/或从内部操纵。在威胁分析时以下首先仅仅观察外部区域。

示例性的情况可以是通过安装键盘上层构造（Tastatur-Ueberbauten）对密码进行截取。这是按已知方式已被转换为对密码处理系统的攻击的真实威胁。

可替换地，可以通过所安装的迷你摄像机进行密码的侦查。

为了获得卡数据，在第二步可以使用窃读模块前端（Vorbau）。

针对被识别的威胁，被隔开的系统及其部件对可能的弱点进行检查。这些事件可以被归档在规则体系中。例如：

通过施加力（Gewaltanwendung）可以将EPP更深地置入。针对规则的物理集成，设置有操纵开关（removal switch（去除开关）），所述操纵开关在施加力时将用于数个功能的SB系统切换停止工作。该信息自然也被发送给事实适配器。

例如现在如果观察从外部接入的部件，则源是读卡器、EPP、出钞箱和带有操作键的显示器。这些从外部接入的部件提供通过SB用户与自动装置的直接交互而形成的信息或事件或者作为在前的交互的结果而形成的事件。这些事件被传递给软件平台并且必要时也被传递给应用。

在第一步，在被隔开的系统内要标识可能的且必需的（可能附加的）信息源。原则上可以确定的是，所标识的信息源提供关于系统状态的事件或者信息作为识别系统的输入值。这些输入值例如是布尔值。

针对所标识的事件/系统状态及其相关性，可以研发出可导出攻击模式的模型。基本模式、事件直至更复杂的模式的关联模型化（Zusammenhangmodellierung）形成了针对异常识别系统的模式识别的基础。

尤其是涉及一种用于识别对具有一系列部件的自助机器的攻击的方法，所述方法包括如下步骤：

－通过监控单元监控部件的状态和事件

－将存储在存储系统上的规则体系通过处理单元（Bearbeitungseinheit）应用于状态和事件，该处理单元加载存储系统的规则体系并且从监控单元接收信息；

－通过处理单元检验规则体系是否已查明攻击，以便将所述攻击通知给消息系统。

要注意的是：监控单元、处理单元可以是软件或软件和硬件的组合，所述软件和硬件例如可以运行在标准处理器（例如PC）上。存储系统可以是硬盘等。

附图说明

图1示出了SB系统的工作状态。

图2是示出了在用户动作和系统事件之间的关联的图。

图3示出了事实适配器的接口。

具体实施方式

图1示例性地示出了可能的系统状态的相关性。这样，自动柜员机可以从正常工作状态或者从维修工作状态更换至报警状态。系统的状态改变与何种事件以何种顺序出现有关。这些事件又通过确定的用户交互来触发。

在下文，在图2中示出了如下例子：针对攻击情形，用户交互、用户动作、来自不同系统部件的事件和（由于其引起的）系统状态改变如何相关联。

所示的情形是推测的卡片阅读机测试（Skimmer-Test）。在装入窃读模块之后，通常由攻击者执行卡片阅读机测试。交互包括以下动作：插入卡，通过按压键盘的中断键（EPP）或通过等待（在确定的时间之后）又输出卡。接着，这被执行数次。由此，在系统中触发一些事件，这些事件例如被IDKG（磁卡读取器）、被EPP使用并且在该映射中被简化地示出。如果可以查明这些事件以确定的顺序和时间间隔出现，则应触发嫌疑报警。进行自动装置的状态更换。

在模型设计中，应考虑攻击模式的权重。该权重是描述所标识的源的可信性（Dempster-Shaffer方法）的另一输入量。

Dempster和Shaffer的证据理论（也参见维基百科（Wikipedia））是概率论领域中的数学理论。所述Dempster和Shaffer的证据理论被用于将不同源的信息组合成总预测，其中源的可信性在该计算中予以考虑。

证据可以被视为对概率的扩展，其中不是使用一维而是使用二维尺寸，该尺寸由主观的程度或对源的预测合乎实际的信任程度（英语: degree of belief（置信度））和事件的似然性组成或由带有上边界和下边界的概率范围组成。

该证据理论尤其是在必须将不同源的不可靠的预测组合成总预测的地方被采用。存在譬如在模式识别中的应用，在这些应用中借助证据理论能组合不同的、不可靠的算法的预测，以便这样获得对准精度比每个单独的预测的对准精度更好的预测。

为了实现这种方法考虑如下点：

·标识在被隔开的系统中的所有信息源

·源的权重

·系统状态和相关性的模型化。

在图2中的例子中，该系统被限于操作区及其从外部接入的部件，然而也可设想将SB设备的所有部件用作信息源。图2中的源是读卡器、EPP、出钞箱和带有操作键的显示器和定时器。这些源提供通过SB用户与自动装置直接交互而形成的信息或事件或者作为在前的交互的结果而形成的事件。这些事件被传递给软件平台并且必要时也被传递给应用。

在第一步，必须在被隔开的系统内标识可能的和必需的（可能附加的）信息源。原则上，可以确定的是，所标识的信息源提供关于系统状态的事件或者信息作为识别系统的输入值。这些输入值通常是布尔值。

基于所标识的事件/系统状态及其相关性形成如下模式：这些模式是针对异常识别系统的模式识别的基础。

适于异常识别系统的可能的系统可以是正向链接的（vorwaertsverkettet）系统（JRules，Jess、Drools）。出于诊断和维修的目的，检查基于规则的系统。JRules是允许用户定义反映业务逻辑的规则的业务逻辑系统。规则引擎Jess（Java Expert System Shell （Java专家系统外壳））同样用于通过所定义的规则进行水准测量（Abwaegung）（http：//www.jessrules.com/jess/index.shtml）。Drools是具有正向链接的基于推断的规则引擎的业务规则管理系统（BRMS，Business Rule Management System），其使用Rete算法的改进的实施方案。

重要的方面是将已知的威胁情形的异常识别系统连接到相对应的硬件部件。为此，在优选的实施形式中采用了如下事实适配器：该事实适配器是异常识别系统的针对硬件部件的统一接口。适配器的主要任务之一是从设备驱动器层接收系统部件的传感器信号并且将所述传感器信号作为事实、即规则体系的模式来提供。

图3示出了本发明的层结构。事实适配器通常通过另外的软件层访问硬件部件，如访问读卡器、出钞箱、键盘、防窃读装置（Antiskimming-Device）。这些硬件部件通过为事实适配器提供接口的驱动器来控制。硬件激励的部件在模块中被概括为ProBase并且放置在操作系统上。根据编程，ProBase可以用C语言来给出或者例如用Java来给出。代表此的是相对应的ProBaseC和ProBaseJ。操作系统可以是Linux、Unix或者Windows。通过ProBase方法起动不同的硬件驱动器，以便例如提供键盘的功能或者磁盘读取器的功能。基本安全和工作业务（Betriebs Diesnte）也被设置在该层中。借助集成的抽象层保证了ProBase可以与任何应用进行通信。因此，确保了真的支持多厂商的基础软件。构造在硬件驱动器上的其它部件是J/BOS，这是基于Java的软件平台，用于激励在总部（Front Office）中的银行外设（Bankperipherie）。在ProBase模块中现在集成有给基于规则的模式识别转发数据的事实适配器。该事实适配器可以在不同层访问部件。或者直接访问驱动器或者也访问例如J/Bos的中间层。这样，事实适配器可以访问任意层，也可能的是通过网络访问管理系统，以便获得其它事实。

Claims (18)

1.一种用于识别对具有一系列部件的自助机器的攻击的方法，该方法包括如下步骤：

- 通过监控单元监控部件的状态和事件，

- 通过处理单元将存储在存储系统上的规则体系应用于状态和事件，所述处理单元从存储系统加载规则体系并且从监控单元接收信息；

- 检验规则体系是否已查明攻击，通过处理单元在所述攻击中相继地应用规则体系以及状态和事件，以便向消息系统通知所述攻击；

其中，基于事件和系统状态以及所述事件和系统状态的相关性形成是针对异常识别系统的模式识别的基础的模式；

其中，规则体系是将基本模式和事件映射直至更复杂的模式的关联模型化；

其中，对事件和系统状态加权，使得描述了所标识的源的可信性；

其中，采用事实适配器，所述事实适配器通过在异常识别系统和驱动器之间连接抽象层而表示异常识别系统的针对硬件部件的统一接口。

2.根据权利要求1所述的方法，其中，输入值是关于系统状态的事件或者信息，所述事件或者信息被表示为布尔值。

3.根据权利要求1所述的方法，其中，使用Dempster-Shaffer方法。

4.根据权利要求1至3的任一项所述的方法，其中，作为可能的异常识别系统采用正向链接的系统。

5.根据权利要求4所述的方法，其中，作为可能的异常识别系统采用JRules、Jess和/或Drools。

6.根据权利要求1所述的方法，其中，事实适配器从设备驱动器层接收系统部件的传感器信号并且将所述传感器信号作为事实来提供。

7.根据权利要求6所述的方法，其中，事实适配器通过所选择的设备驱动器和图像识别机制来实施。

8.根据权利要求7所述的方法，其中，图像识别系统或图像处理系统与人工智能部件的集成协作，所述人工智能部件在学习阶段之后能够标识和分类根据所合并的传感器信号来识别的情况。

9.根据权利要求1至3的任一项所述的方法，其中，以下设备中的一个或多个提供信息作为状态和事件：密码键盘、读卡器、出钞箱、具有软键的监视器/显示器、触摸屏、障板、防窃读模块、时钟、接近传感器、温度传感器、通过网络监控和管理自助终端自动装置的管理部件、网络接口、USB、串行接口。

10.一种用于识别对包括一系列部件的自助机器的攻击的装置，该装置包括：

- 监控单元，所述监控单元被构造来监控部件的状态和事件，

- 处理单元，所述处理单元被监控单元传输有状态和事件，并且所述处理单元将存储在存储系统上的规则体系加载，以便通过应用规则体系检验状态和事件并且以便查明规则体系是否已查明攻击，从而作为消息来输出所述攻击，

其中，异常识别系统基于事件和系统状态以及所述事件和系统状态的相关性执行模式识别；

其中，存储系统将规则体系存储为将基本模式、事件映射直至更复杂的模式的关联模型化；

其中，异常识别系统对事件和系统状态进行加权，使得描述了所标识的源的可信性；

其中，采用事实适配器，所述事实适配器通过在异常识别系统和驱动器之间连接抽象层而表示异常识别系统的针对硬件部件的统一接口。

11.根据权利要求10所述的装置，其中，输入值是关于系统状态的事件或者信息，所述事件或者信息被表示为布尔值。

12.根据权利要求10所述的装置，其中，异常识别系统使用Dempster-Shaffer方法。

13.根据权利要求10至12的任一项所述的装置，其中，异常识别系统采用正向链接的系统。

14.根据权利要求13所述的装置，其中，异常识别系统采用JRules、Jess和/或Drools。

15.根据权利要求10所述的装置，其中，事实适配器被构造为使得所述事实适配器从设备驱动器层接收系统部件的传感器信号并且将所述传感器信号作为事实来提供。

16.根据权利要求15所述的装置，其中，事实适配器通过所选择的设备驱动器和图像识别机制来实施。

17.根据权利要求16所述的装置，其中，图像识别系统或图像处理系统与人工智能部件的集成协作来使得所述人工智能部件在学习阶段之后能够标识和分类根据所合并的传感信号来识别的情况。

18.根据权利要求10至12的任一项所述的装置，其中，以下设备中的一个或多个提供信息作为状态和事件：密码键盘、读卡器、出钞箱、具有软键的监视器/显示器、触摸屏、障板、防窃读模块、时钟、接近传感器、温度传感器、通过网络监控和管理自助终端自动装置的管理部件、网络接口、USB、串行接口。