CN102577305A - 网络中的异常检测的方法 - Google Patents

网络中的异常检测的方法 Download PDF

Info

Publication number
CN102577305A
CN102577305A CN2010800412073A CN201080041207A CN102577305A CN 102577305 A CN102577305 A CN 102577305A CN 2010800412073 A CN2010800412073 A CN 2010800412073A CN 201080041207 A CN201080041207 A CN 201080041207A CN 102577305 A CN102577305 A CN 102577305A
Authority
CN
China
Prior art keywords
detection system
network
abnormality detection
communication data
control network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN2010800412073A
Other languages
English (en)
Inventor
延斯-乌韦·布瑟
扬·克斯特纳
迈克尔·蒙策尔特
克里斯托夫·施特尔曼
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of CN102577305A publication Critical patent/CN102577305A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/16—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using machine learning or artificial intelligence
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0817—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking functioning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Computation (AREA)
  • Medical Informatics (AREA)
  • Artificial Intelligence (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Environmental & Geological Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

为了检测例如用于监视和控制、工业自动化或建筑自动化的控制网络中的异常，采用了一种入侵检测系统技术(英文名称为“intrusion detection system”或IDS)，从而对网络通信中按一定顺序的消息的时间顺序和时间间隔进行分析并且将其用来训练异常检测系统。通过获得按一定顺序的消息的时间顺序和节拍能够检测出设备的故障或所受的操纵，以及能够检测出在使用正规的、但却是被攻击者所接管的或有故障的观察站或控制站的情况下所进行的攻击，并且这些攻击无论是利用以内容为基础的方法(借助签名或字节序列分析)还是通过明显的数据通信增长均无法检测出。由此形成了进一步的安全屏障，该安全屏障仍能够对一个其控制网络已经被感染的技术设备进行监视并且(可能通过安全人员报警)来防止可能的破坏行为。

Description

网络中的异常检测的方法
背景技术
近几十年来，众多计算机和局域网络联网成世界范围的网络(互联网)，这明显提高了商业、政府以及私人领域中的大量过程的效率和客户端友好性。不幸的是，随着使用的复杂性，固有故障和薄弱环节的数量也明显增长，这些固有故障和薄弱环节使得怀有恶意的第三者能够出于自身目的滥用该系统。即使制造者已经在软件研发中通过适当的编程技术和质量保障过程逐渐试图减少这些薄弱环节，并且试图在发现这些薄弱环节后尽可能迅速地将其清除，但在每年IT-系统中发现的薄弱环节的数量仍持续增长。
同时，基于IT的监视系统和控制系统(这种系统的通用的英文名称为“Supervisory Control and Data Acquisition(数据采集与监控系统)”或SCADA，“Distributed Control System(分布式控制系统)”或DCS，“Energy Management System(能源管理系统)”或EMS，等)也在例如工业设备、工厂以及发电厂的多种技术设备中，在分配电、水和天然气时以及在石油-和天然气管道中被使用。该系统与迄今为止传统的IT系统的区别在于，该系统完全隔离地在物理性保护区域内工作，并且经常特别是在IT环境中并不使用常用的通信协议。最高级的优先权在此具有高度的可靠性。直至在毫秒范围内的快速回复时间是场设备彼此通信的先决条件(例如用于在能量传输和分配中实现保护功能)。与IT环境相比，信息安全是次要的，因为这些自动化网络本身已经是安全的或并未与不安全的网络相连接。
为了实现进一步提高效率，该系统现在也越来越多地与其他网络相连接从而形成全面的控制网络。因此，例如，将用于直接控制设备的系统(“Manufacturing Control System制造控制系统”或MCS)与质量监督和生产规划(“Manufacturing Execution System制造执行系统”或MES)相连接，并且将该系统-或这两个系统-再次与用于规划企业资源的系统(“企业资源规划系统”或ERP)相连接，该企业资源规划系统是企业的办公软件应用中的一种。不同场所的技术设备通过租用的线路或甚至完全公开的网络彼此通信。建立起了用于远程维护设备的通道。来自公开的网络(时间、天气预报、供应商的原料价格等)的信息甚至可以汇入技术设备的操作中。
经过持续的网络化，现在形成了更易受到攻击的控制网络，这是因为各个系统的隔离导致固有的保护逐渐失效。由此，-正如传统的IT环境一样-越来越需要使设备部件处于安全技术的当前状态中，并且将其保持在此状态中。但这通常是不可能的，因为当相应的补丁(英文“Patch”)-假如是完全可用的-需要各个系统均重新启动一遍时，那么无法在进行的操作中运行该补丁。由于在维护间歇中可能必须执行其他工作，因此维护间歇为此也经常并不充足。
这会导致很多年都无法排除控制网络中公知的安全薄弱环节。查毒软件的使用也存在问题，这是因为由于被扫描的设备的性能丧失(Performanzeinbuss)并且由于阻挡了(可能错位地)被识别为有害的数据和程序，查毒软件可以严重影响设备控制。
由此，为了能够预先采取适当的对策并且为了避免技术设备失效可能对人、材料和环境带来严重的后果，必要的是尽可能精确地监视技术设备的控制网络，尤其是监视基于网络的攻击。
控制网络-根据所涉及的技术设备-用于在工业或建筑自动化中进行控制和监视。在工业自动化中，控制网络还控制工厂或发电厂以及分配电、水或天然气，这些控制网络也用在石油-和天然气管道中。
但迄今为止仍然极少对控制网络进行安全技术监视，人们仍旧最大程度上信赖对用于生产控制的控制网络的(臆想的)隔离以及一些不充分的认识，这些认识涉及大多数来源于传统IT环境中的潜在攻击者的相应协议和设备。随着网络连接的增加、攻击者经验的增加及其动机的增加和商业化程度提高，这些方案越来越不成功。
只要攻击或干扰仍持续着，便可以通过现有技术公知的入侵检测系统(英文表达为“Intrusion Detection System”或IDS)来发现控制网络的入侵。
分布最广泛的入侵检测系统(例如，SNORT)大多数以签名为基础进行工作。必须费用高昂地生成这些签名，用于检测各个攻击。在对已安装的入侵检测系统进行配置时，必须选择出和攻击相关的样本并且，例如，以配置文件的形式使入侵检测系统知晓。一旦已知了新的薄弱环节或对已经已知的薄弱环节的攻击被修改，便生成新的签名并且相应地扩展入侵检测系统的配置文件。
其他公知的交通分析途径借助其明显变化的交通量来检测已经位于TCP/IP-层中的Scanning攻击和Flooding攻击。
所有上述的和其他的方法(例如防火墙、应用网关、DMZ、安全单元)均适于保护控制网络。然而，一旦控制网络已经-无论如何-受到感染并且被接收，实际的技术设备仅具有很少的保护。然后，可以利用常规指令来收集关于设备流程的详细信息。另外，在此情况下可通过调节执行机构来使技术设备失去控制。
发明内容
因此，本发明的目的在于提供一种控制网络中的异常检测的方法，利用该方法可以检测出利用现有技术所公知的方法无法得出的异常。
根据本发明由此实现该目的，即，对微处理器进行编程来检测控制网络中的异常，以便执行五个步骤。在第一步骤中得出控制网络中的通信数据。在第二步骤中得出通信数据中按一定顺序的(
Figure BDA0000143946800000041
)消息的时间序列和/或时间间隔并且将其存储在训练数据中。在第三步骤中利用训练数据训练异常检测系统。在第四步骤中得出控制网络中的当前通信数据。最后在第五步骤中利用异常检测系统检测当前通信数据中的按一定顺序的消息的时间序列和/或时间间隔与训练数据的偏差。
另外，本发明包括计算机程序模块，该计算机程序模块在计算机中运行并且在此以上述步骤实施该方法。在此，计算机程序模块也可以被存储在计算机可读的数据载体上。
本发明的另一个有利的实施方式表现为从属权利要求的特征。根据该方法得出了通信数据中按一定顺序的消息的时间序列和/或时间间隔，其被存储在训练数据中并且考虑用于训练异常检测系统(并且由此用于随后对偏差的检测)。
通过得出按一定顺序的消息的时间序列和“节拍”，能够检测出攻击，在使用正规的、但被攻击者接管的观察站或控制站的情况下进行这种攻击，并且无论是利用以内容为基础的方法(借助签名或字节序列分析)还是通过数据信息流通量的明显增长均无法检测出这种攻击。
另外，也可以检测出，例如，攻击者通过接管正规的并且被授权的设备而具有了受信任的密码钥匙后所可能发起的攻击。由此可以发现的攻击无论由于其消息的内容(使用其他协议、非常规的访问、错误的HMAC或签名...)还是由于其路径(错误的发送人或接收人)均与通常特性不同，并且因此无法被字节样本(Byte-Muster)探测方法检测出来。
既可以使用以网络为基础的入侵检测系统(NIDS)技术也可以使用以设备为基础的入侵检测系统(HIDS)。有利地是将该异常检测系统安装在一个或多个服务器上。
该方法的一个优点在于，对正规授权的设备之间的按一定顺序的消息的时间特性(顺序，节拍)进行分析，将其作为对于控制网络的安全监视的另一个新标准。
该方法形成了进一步的安全屏障，该安全屏障仍能够对一个其控制网络已经被感染的技术设备进行监视并且(通过安全人员报警)来防止可能的破坏行为。
附图说明
下面借助附图详细阐述本发明的实施例。其示出：
图1是带有在可能的情况下可能被攻击者接管的设备的控制网络；
图2是方法的流程图；
图3是方法和参与系统的示意图。
具体实施方式
图1示出了控制网络10。该控制网络由多个彼此连接的网络构成，其中有企业控制网络100(例如，在ERP系统或MES系统范围内)、过程控制网络200以及控制系统网络300。另外，控制网络10还包括多个被授权的观察站或控制站，其中有客户端11、网络客户端12以及用于远程维护入口的支援站13。作为安全措施，在控制网络10中设置了多个防火墙70。图1现在示出的情况是，攻击者已经成功地接管了被授权的观察站或控制站，例如
-过程控制网络200中的客户端11或服务器，
-企业控制网络100中的网络客户端12，或
-支援站13。
攻击者现在可以窥探并且甚至操控技术设备的那些被其所接管的授权的观察站或控制站所管辖的部分。在此，攻击并不针对控制网络10，而是-在使用或滥用控制网络10的情况下-针对技术设备本身。在此，攻击局限于正规的命令和通信消息。被接管的授权观察站或控制站可以正确地计算出密码的校验和以及签名。-如在规划中确定的-按顺序地遵寻通信路径。因此，基于签名的入侵检测系统和基于字节序列的自学入侵检测系统实际上均无法确定这种攻击。
因此，尤其是当观察站和控制站处于在物理上和信息技术上受到相对较好保护的控制网络10以外时，必须特别对其进行保护。
下面对第一个实施例进行描述。
图2示出了用于控制网络10中的异常检测的方法的流程图。描述的是该方法的第一步骤1、第二步骤2、第三步骤3、第四步骤4以及第五步骤5。除第一步骤1以外，这些步骤也在图3中被示出，图3示意性地描述了该方法以及异常检测系统50和控制网络10。
在图2所示的第一步骤中，得出控制网络10中的通信数据，例如网络通信数据。
在图2和图3所示的第二步骤中，得出通信数据中按一定顺序的消息的时间序列和/或时间间隔，并且将其存储在训练数据30中。
在第三步骤中，利用训练数据30来训练异常检测系统50。因此在最初的训练阶段中，异常检测系统50基于安全的、仍未受到敌对的攻击感染的控制网络10进行训练。异常检测系统50对此具有例如受过训练的中枢网络60。然而，也可以利用其他技术，例如支持向量机来执行该异常检测系统50。
在第四步骤中，在控制网络中得出当前通信数据40。
在第五步骤中，利用异常检测系统50来检测当前通信数据40中的按一定顺序的消息的时间序列和/或时间间隔与训练数据30之间的偏差。当控制网络10中的一个在图3中示出的单元20、尤其是一个在图1所示的观察站或控制站被攻击者接管或被另外操纵或具有故障时，这种偏差将被检测出来。
控制网络10并不局限于工业自动化(包括能量和水分配，管道等)，也可以涉及其他领域和行业，例如，用于建筑自动化、通信网络等的网络。
下面将描述第二个实施例，该实施例示出了迄今为止的实施方式的具体形式。根据第二个实施例，可以在客户端11处为操作者示出整个技术设备的概况和其部分区域的详细信息。为了进行监视，操作者通常在调出下一幅图像之前至少要花费几秒钟来关注刚刚调出的图像。然而如果客户端11在短时间内(例如少于一秒钟)对多个图像进行请求，那么不再将其归结为操作者正常并谨慎的行为，而更确切地指出，例如有恶意的程序扫描技术设备并且在尽可能短的时间内收集大量信息。
为了实现第二个实施例，要对微处理器进行编程，从而得出控制网络10中的通信数据并且将按一定顺序的消息(其包括在通信数据中)的时间间隔存储在训练数据30中。按一定顺序的消息在此是用于调出图像的消息。在通常情况下，时间间隔大于一秒。该消息被存储在训练数据30中，利用该训练数据来训练异常检测系统50。如果在客户端11的后期运行阶段中在短时间内对多个图像进行请求的话，那么这在控制网络10的当前通信数据40中是可见的。基于之前所进行的训练，异常检测系统50可以检测出相应的消息与训练过的时间间隔之间的偏差，并且例如，由此断定客户端11是否已被攻击者接管。为了在前述训练之后检测出该偏差，要将异常检测系统50编程为中枢网络60或支持向量机。
下面描述第三个实施例，该实施例是可选的，但也可以实施该实施例作为对第二个实施例的补充。在第三个实施例中，网络客户端12有规律地(例如每一秒或两秒)对控制网络10中的服务器的图像的当前值进行请求，该图像恰好是客户端所关注的。该请求是自动发生的，无需操作者进行协助，因此消息(忽略网络中可能的抖动(Jitter))的间隔始终完全相同。与此相反地，通常由操作者引发两个不同图像之间的交替，并且该交替由此会以很不规律的间隔来实现。然而如果以完全相同的时间间隔实现该交替，那么该交替必须是受程序控制的。这指出了显示交替的通过操作人员的(可能不可靠的)自动化，利用显示交替来掩饰网络客户端12的物理缺席，或指出了被攻击者所接管的网络客户端12，其想要获得关于技术设备的信息并且对此以较低频率对图像进行请求。
在实施第三个实施例时要注意的是，正如在请求问时操作者对此进行等待那样，在训练数据30中消息的时间间隔略微不规律，这些消息标记了在不同的图像之间的交替。由此，被训练的异常检测系统50所处的状态是，检测出明显有规律的时间间隔并且由此推测出攻击。
根据仍然是可选的、但可以作为对前述的实施例的补充而实施的第四个实施例，通过异常检测系统50将同一个指令有规律地或短时间地重复(例如每2s重复指令“关闭阀门123”)检测成偏差-并且因此被作为对设备部分发生故障的指示或作为对攻击的指示。在训练异常检测系统之前要确保是训练数据30中不包括这种命令序列。
作为基础，在所有实施例中均使用了异常检测系统50，该系统将控制网络10中的观察站或控制站(客户端11、网络客户端12、支援站13)和相应的服务器之间的数据流记录下来作为通信数据并且进行分析。
以下算法尤其适用于实施该方法，
a)在学习阶段(第一步骤1、第二步骤2、第三步骤3)中可以获取生成作为训练数据30的消息的序列(也就是说，时间顺序)，包括其时间间隔，并且
b)在操作阶段(第四步骤4、第五步骤5)中可以检测出当前通信数据40中的序列，该序列无论是在消息的顺序方面和/或其时间间隔方面均与训练数据30存在明显偏差。
为此所使用的公知方法是所谓的频繁情节挖掘(Episode RuleMining)，该方法能够研究彼此相连的事件在时间间隔上的频率并且也适用于进行分类。该频繁情节挖掘是由Mannila，H.；Toivonnen，H.和Verkamo，A.在由Kluwer学术出版社在1997年出版的数据挖掘和知识发现1的第259-298页中的“Discovery of frequent episodes in event sequences(发现事件序列中的频繁情节)”中公知的Mannila算法。
该Mannila算法在数据组中找出了以下形式的频繁的情节：X，Y-＞Z(s，k，w)，其中，X，Y和Z是出现在顺序X...Y...Z中的长度为w的时间窗中的一定的事件量。S是所谓的支持度(总量中的X∪Y∪Z的相对频率)，而k是可信度＝s(X∪Y)/s(X∪Y∪Z)。在前提(X，Y)的条件下，可信度k缺少结论出现的相对频率。在此，令人关注的仅在于具有确定的最小频率smin和可信度kmin的情节。
将在记录下来的通信数据中所找到的事件量(消息的总量)X，Y和Z转用于第二个实施例，该事件量与用于传送三个图像Bx、By和Bz的信息流相应。如果需要这些图像来图形地描述客户端11的话，那么在短时间窗w中进行显示。如果额外地一再更新该图形的话，那么正如算法所发现的那样，已经具有了频繁的情节X，Y，Z。
通信数据中全部被找到的情节因此表现为普通的数据流，其包括了技术设备的控制网络10中普通的时间间隔。
一旦在当前通信数据40的操作阶段中，在相同的时间窗w中观察到多个较长的情节，这就指出了第二个实施例中所描述的攻击。即使是适当的在训练数据30中没有出现过的全新情节也可以指出攻击。
替代Mannila算法，还可以通过现有技术所公知的概率方法，例如，类似扩展的马科夫模型(Markov-Modelle)来实施该方法(参见，例如，Ge，X.；Smyth，P：“Deformable Markov model templates for time-seriespattern matching”，in Proceedings of the 6th ACM SIGKDD InternationalConference on Knowledge Discovery and Data Mining，Boston，MA，August2000，第81-90页)。这些方法以及相似的算法在其他领域中已经成功地用于执行类似的分类任务，类似用于分析脑机相互作用所用的ECG和EEG信号，用于在金融数据中进行样本识别，用于语言识别，用于对音乐作品进行自动化分类，以及用于分析多人游戏中玩家的点击行为，但也可以被用在网络付款模式中(参见Schlüssler，T.；Goglin，S.；Johnson，E.：“Is abot at the Controls？Detecting Input Data Attacks”，in Proceedings of the 6thACM SIGCOMM NetGames，Melbourne，Australien，September 2007)。

Claims (9)

1.一种用于控制网络(10)中的异常检测的方法，在所述方法中对微处理器进行编程，以便
-在第一步骤(1)中得出所述控制网络(10)中的通信数据；
-在第二步骤(2)中得出所述通信数据中按一定顺序的消息的时间序列和/或时间间隔并且将所述时间序列和/或时间间隔存储在训练数据(30)中；
-在第三步骤(3)中利用所述训练数据(30)训练异常检测系统(50)；
-在第四步骤(4)中得出所述控制网络(10)中的当前通信数据(40)；和
-在第五步骤(5)中利用所述异常检测系统(50)检测所述当前通信数据(40)中的所述按一定顺序的消息的时间序列和/或时间间隔与所述训练数据(30)的偏差。
2.根据权利要求1所述的方法，
-在所述方法中，当攻击者接管或使用者未经许可地改变所述异常检测系统(50)中的单元(20)尤其是观察站或控制站、或者所述单元(20)尤其是观察站或控制站具有故障时，所述第五步骤(5)中的所述异常检测系统(50)检测出偏差。
3.根据权利要求1所述的方法，
-在所述方法中，将所述异常检测系统(50)作为以网络为基础的入侵检测系统来执行，并且所述通信数据以及所述当前通信数据(40)是网络流量数据，或
-在所述方法中，将所述异常检测系统(50)作为以设备为基础的入侵检测系统来执行，并且所述通信数据以及所述当前通信数据(40)描述了设备、尤其是服务器的通信特性。
4.根据权利要求1所述的方法，
-在所述方法中，在所述第二步骤(2)中借助频繁情节挖掘、尤其是根据Mannila的算法、或借助概率方法、尤其是具有扩展的马科夫模型的方法来得出所述通信数据中的所述按一定顺序的消息的所述时间序列和/或时间间隔。
5.根据权利要求1所述的方法，
-在所述方法中，所述异常检测系统(50)至少部分包括中枢网络(60)或支持向量机。
6.根据权利要求1所述的方法，
-在所述方法中，所述控制网络是用于监视和控制、工业自动化或建筑自动化的网络。
7.根据权利要求1所述的方法，
-在所述方法中，所述单元是观察站或控制站。
8.一种计算机可读的数据载体，
-当计算机程序在计算机中运行时，在所述数据载体上存储实施根据上述权利要求中任意一项所述的方法的所述计算机程序。
9.一种计算机程序模块，
-所述计算机程序模块在计算机中运行并且在此实施根据权利要求1至7中任意一项所述的方法。
CN2010800412073A 2009-09-21 2010-08-12 网络中的异常检测的方法 Pending CN102577305A (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
DE102009042407 2009-09-21
DE102009042407.5 2009-09-21
EP09015135A EP2299650A1 (de) 2009-09-21 2009-12-07 Verfahren zur Anomalie-Erkennung in einem Kontrollnetzwerk
EP09015135.8 2009-12-07
PCT/EP2010/061786 WO2011032789A1 (de) 2009-09-21 2010-08-12 Verfahren zur anomalie-erkennung in einem kontrollnetzwerk

Publications (1)

Publication Number Publication Date
CN102577305A true CN102577305A (zh) 2012-07-11

Family

ID=42935436

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2010800412073A Pending CN102577305A (zh) 2009-09-21 2010-08-12 网络中的异常检测的方法

Country Status (4)

Country Link
US (1) US9197652B2 (zh)
EP (1) EP2299650A1 (zh)
CN (1) CN102577305A (zh)
WO (1) WO2011032789A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104850093A (zh) * 2014-02-13 2015-08-19 西门子公司 用于监控自动化网络中的安全性的方法以及自动化网络
CN106886716A (zh) * 2015-12-15 2017-06-23 横河电机株式会社 综合生产系统及其控制方法
CN111133727A (zh) * 2017-09-12 2020-05-08 大众汽车有限公司 用于识别对串行通信系统的攻击的方法和设备
WO2021217636A1 (zh) * 2020-04-30 2021-11-04 西门子股份公司 工业网络行为分析方法、装置、系统和计算机可读介质

Families Citing this family (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012151680A1 (en) * 2011-05-10 2012-11-15 Agrafioti Foteini System and method for enabling continuous or instantaneous identity recognition based on physiological biometric signals
CN102523223B (zh) * 2011-12-20 2014-08-27 北京神州绿盟信息安全科技股份有限公司 一种木马检测的方法及装置
CN102957579B (zh) * 2012-09-29 2015-09-16 北京邮电大学 一种网络异常流量监测方法及装置
AT514215B1 (de) * 2013-04-29 2015-06-15 Ait Austrian Inst Technology Verfahren zur Feststellung von Abweichungen von einem vorgegebenen Normalzustand
EP3025270A1 (en) 2013-07-25 2016-06-01 Nymi inc. Preauthorized wearable biometric device, system and method for use thereof
US10356109B2 (en) * 2014-07-21 2019-07-16 Entit Software Llc Security indicator linkage determination
US9197414B1 (en) 2014-08-18 2015-11-24 Nymi Inc. Cryptographic protocol for portable devices
US10931692B1 (en) * 2015-01-22 2021-02-23 Cisco Technology, Inc. Filtering mechanism to reduce false positives of ML-based anomaly detectors and classifiers
CN105072115B (zh) * 2015-08-12 2018-06-08 国家电网公司 一种基于Docker虚拟化的信息系统入侵检测方法
US10027699B2 (en) * 2016-03-10 2018-07-17 Siemens Aktiengesellschaft Production process knowledge-based intrusion detection for industrial control systems
US10129118B1 (en) * 2016-03-29 2018-11-13 Amazon Technologies, Inc. Real time anomaly detection for data streams
AT518805B1 (de) * 2016-07-07 2018-05-15 Ait Austrian Inst Tech Gmbh Verfahren zur Detektion von anomalen Zuständen in einem Computernetzwerk
US10728261B2 (en) 2017-03-02 2020-07-28 ResponSight Pty Ltd System and method for cyber security threat detection
US10810073B2 (en) * 2017-10-23 2020-10-20 Liebherr-Werk Nenzing Gmbh Method and system for evaluation of a faulty behaviour of at least one event data generating machine and/or monitoring the regular operation of at least one event data generating machine
US20190139441A1 (en) * 2017-11-03 2019-05-09 Drishti Technologies, Inc. Contextual training systems and methods
DE102017220131A1 (de) 2017-11-13 2019-05-16 Robert Bosch Gmbh Erkennung von Anomalien in einem Netzwerkdatenstrom
DK3656643T3 (da) * 2018-05-15 2021-02-01 Cylus Cyber Security Ltd Jernbane cybersikkerhedssystem
AT521665B1 (de) * 2018-06-11 2021-05-15 Ait Austrian Inst Tech Gmbh Grammatikerkennung
CN109981413B (zh) * 2019-03-29 2022-08-02 携程旅游信息技术（上海）有限公司 网站监控指标报警的方法及系统
ES2927101T3 (es) 2019-05-16 2022-11-02 Cylus Cyber Security Ltd Ciberpolicía ferroviario autoorganizado
DE102020102860A1 (de) 2020-02-05 2021-08-05 Festo Se & Co. Kg Verfahren und Instrusionserkennungseinheit zum Verifizieren eines Nachrichtenverhaltens
US11831664B2 (en) 2020-06-03 2023-11-28 Netskope, Inc. Systems and methods for anomaly detection
AT523829B1 (de) * 2020-07-28 2021-12-15 Ait Austrian Inst Tech Gmbh Verfahren zur Detektion von anomalen Betriebszuständen eines Computersystems

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070074272A1 (en) * 2005-09-29 2007-03-29 Fujitsu Limited Network security apparatus, network security control method and network security system
CN101060443A (zh) * 2006-04-17 2007-10-24 中国科学院自动化研究所 基于改进的自适应提升算法的互联网入侵检测方法
EP1879350A1 (en) * 2006-07-10 2008-01-16 Abb Research Ltd. Distributed computer system with a local area network

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050249214A1 (en) * 2004-05-07 2005-11-10 Tao Peng System and process for managing network traffic
US7664574B2 (en) * 2004-06-28 2010-02-16 Siemens Industry, Inc. Method for representing a building system enabling facility viewing for maintenance purposes
EP1708414A1 (en) * 2005-03-31 2006-10-04 BRITISH TELECOMMUNICATIONS public limited company Predicting behaviour of dynamic systems
US7971253B1 (en) * 2006-11-21 2011-06-28 Airtight Networks, Inc. Method and system for detecting address rotation and related events in communication networks
EP2122908A2 (en) * 2006-11-29 2009-11-25 Wisconsin Alumni Research Foundation Method and apparatus for network anomaly detection

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070074272A1 (en) * 2005-09-29 2007-03-29 Fujitsu Limited Network security apparatus, network security control method and network security system
CN101060443A (zh) * 2006-04-17 2007-10-24 中国科学院自动化研究所 基于改进的自适应提升算法的互联网入侵检测方法
EP1879350A1 (en) * 2006-07-10 2008-01-16 Abb Research Ltd. Distributed computer system with a local area network

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
张浚: ""基于多特征相似度的大规模网络异常检测"", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104850093A (zh) * 2014-02-13 2015-08-19 西门子公司 用于监控自动化网络中的安全性的方法以及自动化网络
US10574671B2 (en) 2014-02-13 2020-02-25 Siemens Aktiengesellschaft Method for monitoring security in an automation network, and automation network
CN106886716A (zh) * 2015-12-15 2017-06-23 横河电机株式会社 综合生产系统及其控制方法
CN111133727A (zh) * 2017-09-12 2020-05-08 大众汽车有限公司 用于识别对串行通信系统的攻击的方法和设备
US11522876B2 (en) 2017-09-12 2022-12-06 Volkswagen Aktiengesellschaft Method and device for detecting an attack on a serial communications system
WO2021217636A1 (zh) * 2020-04-30 2021-11-04 西门子股份公司 工业网络行为分析方法、装置、系统和计算机可读介质
US11829122B2 (en) 2020-04-30 2023-11-28 Siemens Aktiengesellschaft Industrial network behavior analysis method, apparatus and system, and computer-readable medium

Also Published As

Publication number Publication date
EP2299650A1 (de) 2011-03-23
US20120198277A1 (en) 2012-08-02
WO2011032789A1 (de) 2011-03-24
US9197652B2 (en) 2015-11-24

Similar Documents

Publication Publication Date Title
CN102577305A (zh) 网络中的异常检测的方法
EP3588898B1 (en) Defense against apt attack
Fillatre et al. Security of SCADA systems against cyber–physical attacks
Lin et al. Cyber attack and defense on industry control systems
Yang et al. Anomaly-based intrusion detection for SCADA systems
Krotofil et al. Industrial control systems security: What is happening?
Taylor et al. Security challenges and methods for protecting critical infrastructure cyber-physical systems
CN102882676A (zh) 物联网设备端安全接入方法及系统
Serhane et al. Programmable logic controllers based systems (PLC-BS): Vulnerabilities and threats
Dondossola et al. Effects of intentional threats to power substation control systems
AbuEmera et al. Security framework for identifying threats in smart manufacturing systems using STRIDE approach
Kamaev et al. Attacks and intrusion detection in wireless sensor networks of industrial SCADA systems
Gao Cyberthreats, attacks and intrusion detection in supervisory control and data acquisition networks
Patel et al. An architecture of hybrid intrusion detection system
Botvinkin et al. Analysis, classification and detection methods of attacks via wireless sensor networks in SCADA systems
Kamal et al. Identifying and scoring vulnerability in scada environments
Papa et al. A transfer function based intrusion detection system for SCADA systems
Rattanalerdnusorn et al. IoTDePT: Detecting security threats and pinpointing anomalies in an IoT environment
JP7150425B2 (ja) 通信システム、制御装置、通信制御方法、及びプログラム
Mesbah et al. Cyber threats and policies for industrial control systems
Pricop Security of industrial control systems-an emerging issue in romania national defense
Anand et al. Network intrusion detection and prevention
Lau et al. Securing supervisory control and data acquisition control systems
Wagner Building More Resilient Cybersecurity Solutions for Infrastructure Systems
Chakrabarti Intrusion detection of SCADA system using machine learning techniques: A study

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C12 Rejection of a patent application after its publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20120711