CN102904749B - 采用安全设备保护网络装置的方法、安全设备和数据网络 - Google Patents
采用安全设备保护网络装置的方法、安全设备和数据网络 Download PDFInfo
- Publication number
- CN102904749B CN102904749B CN201210350428.XA CN201210350428A CN102904749B CN 102904749 B CN102904749 B CN 102904749B CN 201210350428 A CN201210350428 A CN 201210350428A CN 102904749 B CN102904749 B CN 102904749B
- Authority
- CN
- China
- Prior art keywords
- safety means
- network
- management server
- module
- data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0803—Configuration setting
- H04L41/0806—Configuration setting for initial configuration or provisioning, e.g. plug-and-play
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0263—Rule management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
- H04L67/125—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks involving control of end-device applications over a network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/2866—Architectures; Arrangements
- H04L67/30—Profiles
- H04L67/303—Terminal profiles
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/50—Network services
- H04L67/56—Provisioning of proxy services
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/02—Standardisation; Integration
- H04L41/0213—Standardised network management protocols, e.g. simple network management protocol [SNMP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0893—Assignment of logical groups to network elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0894—Policy-based network configuration management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
- H04L63/0218—Distributed architectures, e.g. distributed firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- General Business, Economics & Management (AREA)
- Business, Economics & Management (AREA)
- Medical Informatics (AREA)
- Cardiology (AREA)
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
一种网络安全设备,该设备通过将业务透明地桥接至终端装置来给工业环境中的装置提供安全。安全设备与管理服务器进行安全地通信,以通过加密的通信为安全设备中的安全模块的操作接收配置数据。当与管理服务器进行通信时,安全设备利用工业装置的网络地址,管理服务器通过采用与该安全设备相关联的被保护装置中的一个的地址对该安全设备进行寻址。安全设备将获知的装置特征提供给管理服务器,管理服务器使软件和安全规则适合装置和控制协议的特定网络漏洞。安全设备采用装置的网络地址将周期性的心跳消息发送给管理服务器。心跳消息还可以报告异常事件,这种异常事件要求管理服务器将另外的软件提供给该节点。
Description
本申请是基于申请日为2006年10月5日、申请号为200680036993.1(国际申请号为PCT/CA2006/001639)、发明创造名称为“网络安全设备”的中国专利申请的分案申请。
技术领域
本发明涉及工业网络安全,尤其涉及网络安全设备以及部署和管理这些设备以保护工业装置的方法。
背景技术
在对诸如发电和配电、石油生产、运输、制造和健康服务之类的关键工业系统进行管理时使用的监视控制和数据采集(SCADA)和自动控制设备通过使用诸如Ethernet、TCP/IP和web服务之类的流行通信技术日益互连起来。虽然SCADA和自动控制设备的联网以改进的信息流和效率的形式带来相当多的优点,但是一旦从世界各地都可以访问分离的装置和网络时,这些系统也有可能受到病毒、黑客和恐怖分子的威胁。当前,存在大量的保护不充分的控制装置遍布世界各地。这些控制装置负责诸如电力传输变电所、气体管线、制造工厂等等的关键系统和基础设施的安全操作,然而同时很大程度上未对它们进行保护以避免它们成为恶意攻击的目标。
传统的安全解决方案是基于用来保护不安全的内部装置或计算机不受外界攻击的中心防火墙,这种设计不能满足工业控制领域的要求。现存的控制器不提供验证、完整(integrity)或加密机制,并且可以被任何能够发现或“ping”该网络和相关装置的个人完全地控制。另外,他们不易于被修补或者添加安全特性。一旦病毒或黑客设法冲破(或已经进入)传统防火墙,由防火墙保护的诸如典型的可编程逻辑控制器(PLC)或分布控制系统(DCS)之类的装置就成为易于攻击的目标。
在很多诸如输油管线或配电系统的工业环境中,在包括偏远区域的宽广地域上可以分布着数以百计的控制器装置。在这些偏远区域通常没有具备管理传统安全装置技能的人员,因此即使装置只需要进行少量本地配置也是无法接受的。例如,提供“透明的”操作的当前防火墙产品仍然需要网络属性(诸如IP地址、网关和网络掩码)的本地配置,否则它们就无法被远程控制,这是SCADA领域的一个严重的缺点。同样地,由于在这些分布控制系统中存在大量的分离区域(每个都需要防火墙),所以需要从中心区域同时管理数以百计的防火墙的技术,这就排除了采用基于“逐个”管理的流行小型办公室防火墙解决方案。
使该问题复杂化的是市场上存在数以千计不同的工业控制装置的零部件,其中每一个零部件采用了350种以上的已知SCADA通信协议中的一种或多种进行通信。每种控制装置都需要非常特殊的安全规则以被正确保护,例如一种流行的PLC对于包含超过125个字符的URL的web请求具有不常见但是众所周知的安全问题。在传统防火墙中人工地为每个被保护装置的各个漏洞创建不同的规则会使整个防火墙配置极度地复杂并且有很可能导致配置错误。
最后,操作和维护这些SCADA系统的工作人员必然是进行了高度培训的控制系统专家,而不是信息技术或安全专家。因此,这些安全系统的管理需要基于控制技术人员能够理解的新范例,而不是传统的关注于网络系统的管理和配置的网络技术。如果没有针对控制技术人员和控制产品的解决方案,则可能在任何安全解决方案的建立和管理中出现严重缺陷。
因此,需要用于SCADA和自动控制设备的网络安全设备,该网络安全设备易于配置并且可被远程可控,并且有助于保护广泛分布工业环境中的具备网络功能的控制设备。
发明内容
提供了一种用于保护网络环境中的工业装置的方法、设备和系统。在工业装置的通信路径上配置安全设备或节点,所述安全设备或节点在装置和网络之间透明地桥接业务。当与管理服务器通信时,安全设备利用工业装置的网址,并且管理服务器使用该装置的地址访问该安全设备。安全设备没有唯一的地址,并且通过利用装置地址而不是唯一的地址并利用数据加密来提供隐身能力。
安全设备通过监视经过的业务来获知正在被保护的装置的特征。该特征然后被提供给管理服务器,该管理服务器能使软件和安全规则适合于装置的特殊网络漏洞和装置所使用的控制协议。配置数据通过安全连接被传送给装置,然后被用于配置安全设备的安全模块。安全设备拦截数据包并且确定该包是来自于管理服务器还是网络上的其它装置,以及是否应该被发送到终端装置或从终端装置发送。如果业务指向终端装置,则安全模块管理业务以保证装置安全。安全设备利用装置网址将周期心跳消息发送给管理服务器。心跳消息还可以描述需要从管理服务器向节点提供附加软件的异常事件。
因此,本发明的一方面提供一种采用安全设备保护网络工业装置的方法,该安全设备将网络工业装置耦接到数据网络,该方法包括以下步骤:在安全设备中,监视从工业装置到其它通过数据网络可访问的装置的数据业务,用于确定与该工业装置相关联的属性;在安装设备中,从被寻址到所述装置的包中接收源自于与数据网络相连接的管理服务器的加密管理连接数据;利用与该装置相关联的地址作为包的始发地址来将确定的装置属性发送给管理服务器;在安全设备中,从被寻址到所述装置的包中接收源自于与数据网络相连接的管理服务器的加密配置数据,其中配置数据是由管理服务器基于所提供的装置属性选择的;基于配置后的数据管理工业装置和网络之间的包;以及利用与该装置相关联的地址作为包的始发地址将加密心跳数据周期地发送给管理服务器。
本发明的另一方面提供一种用于保护处在数据网络中安全设备的下游的一个或多个工业装置的安全设备,该安全设备包括心跳模块,心跳模块用于产生加密心跳消息,并且利用与该装置中的一个相关联的地址作为该包地始发地址;通信模块,用于处理从管理服务器传输的并且发给安全设备下游的一个装置的包,该通信模块对嵌入包内的数据进行解密;以及一个或多个可由管理服务器配置的安全模块,该模块基于与工业装置的每个或多个相关联的安全描述档对经过安全模块的数据进行安全管理,安全模块处于网络上的装置和安全设备下游的一个或多个工业设备之间。
本发明的另一方面提供一种数据网络,该数据网络包括多个网络工业装置;多个安全设备,每个设备与多个工业设备中的一个或多个相关联,安全设备透明地将工业装置桥接到数据网络,并且基于相关联的工业装置的识别特征来对传送到工业装置的和来自工业装置的数据提供管理;管理服务器,用于管理多个安全设备;其中管理服务器通过利用相关联的工业装置中的一个工业装置的地址与多个安全设备进行通信,多个安全设备利用相关联的装置的地址信息作为心跳消息源将加密心跳信息周期地发送给管理服务器。
在参考附图对本发明的特定实施例进行如下描述后,本发明的其它方面和特点对于本领域的普通技术人员来说是显见的。
附图说明
结合附图,通过接下来的详细描述,本发明的其它特点和优点将变得显见,其中:
图1图示了与装置串联的安全设备的部署拓扑;
图2图示了集成在网络交换机中的多个安全设备的部署拓扑;
图3图示了与装置集成在一起的安全设备的部署拓扑;
图4a图示了保护多个装置的安全设备的部署拓扑;
图4b是图4a所示的部署拓扑的逻辑图;
图5以框图形式图示了安全设备;
图6以框图形式图示了管理服务器;
图7图示了预初始化阶段消息流;
图8图示了在装置侧的安全设备中的获知模式的方法;
图9图示了在网络侧的安全设备中的获知模式的方法;
图10图示了初始化阶段的消息流;
图11图示了安全设备中的初始化阶段的方法;
图12图示了操作阶段的消息流;
图13图示了在操作阶段中安全节点处理业务的方法;
图14图示了安全节点更新过程的方法;
图15图示了管理服务器建立与安全设备连接的方法;以及
图16图示了管理服务器监视接收到的心跳数据包的业务的方法。
注意,在附图中,相同的标号表示相同的特征。
具体实施方式
参考图1至16,下面仅通过示例的方式描述本发明实施例。
保证工业装置的网络安全已经变得越来越重要。终端装置包括任何具备网络功能的装置,诸如计算装置、工业处理设备(诸如智能测量装置)、工业控制装置(诸如PLC-可编程逻辑控制器、RTU-远程遥测/终端单元、IED-智能电子装置和DCS-分布控制系统)、医疗装置等等。例如,在SCADA(监视控制和数据采集)系统中,RTU(远程终端单元)是安装在偏远地区的装置,该装置收集数据,将数据编码为可以传输的格式,并且将该数据传输返回到中心站或主站。RTU还从主站收集信息,并且执行由主站指示的处理。RTU可以配备用于感测或测量的输入信道,用于控制、指示或报警的输出信道以及通信端口。
SCADA和自动控制系统通常是用于收集和分析实时数据以及控制工业处理的计算机系统。SCADA系统可以被用于监视和控制诸如电信、自来水和废水控制、能源、石油和天然气提炼和运输等工业中的工厂或设备。SCADA系统收集诸如沿管线的压力描述信息,将信息传递回中心站点以警告主站压力可能高于或低于安全界限,执行必要的分析和控制诸如确定情况是否紧急,并且以逻辑和组织的形式显示该信息。
为了保护终端装置,网络安全设备或安全节点可以被连续地部署在终端装置的上游路径中,该终端装置需要诸如防火墙、侵入检测、抗病毒扫描等等的保护。安全节点没有IP地址,因此简化了配置并且很难直接攻击该节点。当安全节点取得被保护的装置中的一个装置的IP地址时,由安全节点产生的业务看起来来自该装置。当安全节点利用层2和层3级别的现有装置地址与管理服务器进行通信时,不需要通过传统防火墙中采用的诸如通过经由动态主机配置协议(DHCP)分配动态寻址或通过手动配置静态寻址的公共IP寻址方法来进行装置地址的重新映射。
假如管理服务器能将报文传送到要被保护的终端装置中的任何一个,则可以在控制或SCADA网络中的任何位置,或通过互连的网络来管理安全节点。通过安全管理连接协议对安全节点进行管理。在管理服务器与安全节点连接的过程中,只有流向或来自管理服务器的加密业务被允许进入或流出节点。所有离开节点的业务被警报为好像来自该节点所保护的终端装置。尤其,如果攻击者没有获得需要建立连接的所有信息,则他们甚至不知道节点就在那里。
安全节点可适用能运行在因特网协议(IP)之上的任何协议。具体的应用协议可以包括:超文本传输协议(HTTP)(用于通过web浏览器查看要被保护的装置);文件传输协议(FTP)(用于发送装置数据文件);Ethernet/IP、MODBUS、DNP3、ICCP、OPC(所有公共SCADA和PLC协议)和IEEEP1073医疗信息总线。当末端装置和网络中的其它装置或计算机之间的业务通过时,安全节点被动地收集信息并且可以将该信息提供给管理服务器。
安全节点提供用于在节点(网络安全设备)和管理服务器之间检测、建立和维护安全通信链路的装置,同时又保持节点本身在网络中无法被检测到。这种安全链路可以利用诸如SSL或IPSec的各种已证实的安全协议。安全节点允许有效地部署,而无需本地操作者或节点安装者进行任何配置。如上所述,无需重新配置各种节点和/或终端装置的IP地址。管理服务器以安全的方式远程配置网络安全设备的功能。
为了启动远程配置,负责管理节点的策略和设置的管理服务器系统能够通过网络与至少一个该节点将要保护的装置进行通信。安全节点装置策略可以于节点部署之前在管理服务器上进行设置,并且将由节点在其连接到网络并接通电源时下载。这种策略下载使装置在通过或获取状态中花费的时间能够最小化。然而,还可以在管理服务器被配置前保护和部署节点。初始部署安全设置针对安全设备所处网络的位置和设置是特有的。可选地,安全节点可以独立地确定被保护装置的特性,并且在与管理服务器连接前自动地实施一些基本的安全功能。
加密心跳机制允许大量(例如数千个)节点报告返回单个管理服务器。心跳机制在SCADA环境内共有的带宽限制系统中是有用的。心跳机制将足够的信息发送返回到管理服务器,用以向安装在节点上的每个安全应用报告当前的状态和条件。通过调节安全节点的心跳设置还可以远程控制报告信息的数量。这种心跳机制还通过使用将异常事件报告给管理服务器的异常报告而避免了基于轮询管理系统比如简单网络管理协议(SNMP)所共有的网络业务负荷问题。这些类型的事件可以包括攻击报告、到达临界系统设置以及其它管理服务器应该立刻知道已经出现了某事的问题。每个安全节点的心跳模块可以用它自己的一套密钥来进行设置。在接收到心跳数据后,确定源并且在管理服务器监视站上完成适当的解密。为了提高可量测性,可以使用多组监视站。
图1至4描述了多个网络安全设备的部署拓扑。如图1所示,各种终端装置102、104和106与网络10连接。计算机150和152或其它管理或监控装置通过网络10从终端装置发送和接收数据。网络10可以是利用诸如Internet协议(IP)的各种网络路由协议的控制网络、内部网络或Internet。如在图中和描述中所示,安全节点103和105代表网络安全设备,网络安全设备为与网络连接的终端装置提供安全和防火墙类型的功能。如图1所示,装置102是一个暴露于潜在攻击的未被保护装置,而装置104和106具有在通信路径上与它们分别串联的安全节点103和105。因此所有到达装置和来自装置的通信必须经过相关联的安全节点,安全节点在基础水平上用作从装置到网络的桥接器。
管理服务器20可以与安全节点103和105连接到相同网络,也可以通过网络10被一个或多个网络互连。管理服务器20将管理和控制功能提供给网络中的安全节点。
图2示出一个示例,其中装置102、104被网络交换机200互连,网络交换机200主控各个安全节点103、105到107。网络交换机实质上代表主控多个装置的子网络。
图3描述了集成的装置和安全节点300。在该示例中,安全节点103可以与装置102集成在相同的封装中。依据整个装置300的结构,实际的装置功能和安全节点功能可以共享软件和硬件。出于操作考虑,安全节点仍然可以以独立于装置102的方式操作。
图4a和4b描述了由单个安全节点103保护的多个装置102、104和106。在图4a中,安全节点103完全地保护和互连多个装置。安全节点103可以具有集成的集线器、交换机或路由器,或者它可以与实际的安全节点103分离,它的作用是将数据业务分配给相关联的装置。如图4b所示,安全节点103通过提供单独例子的安全节点105、107和109看起来像分别给每个装置102、104和106提供单独的保护。安全节点103可以为每个下游装置提供唯一的保护。如果需要,管理服务器20可以独立地实施对装置的管理。
图5示出安全节点103的模块。装置接口502连接安全节点和被保护的终端装置104。网络接口504连接安全节点和网络侧。这些接口可以执行诸如EthernetPHY管理的标准协议和物理层处理。利用处理器506来处理流经装置接口502和网络接口504的业务。根据安全节点103的操作状态,处理器可以通过与该节点的其它模块交互来执行一些功能。在建立与管理服务器20的安全管理连接的过程中利用通信模块508。认证模块510保存安全节点和管理服务器之间交换的资格的认证过程中所利用的信息。利用数据库模块511来保存安全节点所保护装置的装置描述档和已知对话者的数据库,所述对话者即与正被保护的装置进行通信的外部装置。心跳模块509将周期性的心跳发送给管理服务器20。在诸如企图侵入或发现新装置的异常事件的情况下,可以发送异常心跳来通知管理服务器20并且保证执行适当的行动。
当安全节点103处于操作状态时,可以利用各种网络模块来管理网络业务。例如侵入检测模块512监视业务以确定是否存在恶意访问装置104的企图,并且执行适当程序以记录和拒绝访问。类似地,防火墙模块514提供能与特殊装置104的漏洞适合的防火墙功能。其它模块诸如模块516可以被部署在安全节点103中,这些模块可以提供各种功能:诸如装置识别、虚拟专用网(VPN)、网络统计收集、带宽检测和业务调整等。
在与管理服务器进行安全通信的过程中,通信模块提供由安全节点103观察到的关于业务的细节,并且能请求对模块512、514和516进行软件更新。远程可部署的软件模块以及这些模块的配置和命令可以经由从管理服务器20通过网络10到达通信模块508的安全连接被安全地发送到安全节点103。可以通过安全通信链路来部署新的或更新的模块512、514和516。
为了使安全节点不具有确定的网络地址,每个节点可以使用隐身IP寻址方案,其中不将任何的Internet协议(IP)地址分配给节点(甚至不分配诸如0.0.0.0或192.168.1.1的泛用地址)。节点从其所保护的终端装置中的一个装置借用IP地址,并且使用这个地址来配置和管理通信,以达到上述要求。因此,所有由该节点产生的业务看起来好像来自于下游终端装置中的一个或多个,并且不能被追溯到该节点,这使它不能被看到并且易于配置。另外,安全节点可以采取诸如装置的媒介访问控制(MAC)的第二层身份识别以保证隐身能力。
图6示出管理服务器20的模块。管理服务器具有网络接口602,网络接口602用于在管理控制下接收业务并且将业务传输给安全节点。管理服务器通过多个网络可以操纵任何数量的安全节点。处理器604通过网络接口602接收并且发送业务。处理器604与通信模块606和远程应用程序接口608交互,用于建立与网络中的安全节点的连接。利用数据库子系统610存储网络中节点上的信息和特殊类型装置的描述档。然后该描述档可以被下载到适当节点和该安全节点的相关联安全模块上。心跳记录器模块612记录来自于网络上的安全设备的周期性心跳消息。与心跳记录器模块612串接的是心跳监视模块614,心跳监视模块614用于检查记录的心跳数据,判断其中是否存在需要服务器进行自动操作或引起管理服务器操作者注意的错误或警告条件。
与管理服务器20的接口被概括为管理API616,以便各种用户接口系统618可以被用于各种交互功能。用户接口系统618可以包括本地图形用户接口(GUI)客户端、命令行接口(CLI)客户端或安全web服务器接口,它们可以在管理系统中被直接访问或者通过直接连接的或通过网络10连接的计算机终端620远程访问。
图7示出在预初始化阶段中终端装置102和管理服务器20之间的消息流。在部署和初始化节点103之前,在装置102和网络10上的其它设备之间可以具有或不具有未被保护的双向网络业务。如果节点103物理上就位(但是未被初始化),则它将允许业务702通过。然而,节点103将记录该业务,用于确定它将保护的装置的类型。在这个预初始化阶段中,管理服务器20将在网络10上周期性地发送管理连接请求(MCR)包704,发送地址是最终将被节点103保护的装置102,但是将如图11所示地被节点103拦截。
图8是安全节点基于来自装置侧的业务的获知过程的方法图。当节点被初始安装并引导启动,并且处于获知模式时,节点确定它将保护的下游终端装置的网络信息。在获知阶段过程中和在管理服务器进行配置前,所有装置业务被透明桥接。可以通过被设置在安全节点上的缺省防火墙规则对包进行过滤(在很多情况下,在这个阶段没有任何防火墙规则,因此将不完成任何过滤)。以被动方式完成装置信息收集并且不产生任何的网络业务。在启动状态中,在步骤802,安全节点监视源于装置侧的业务。如果该包源于新的源MAC、IP地址或端口号(在步骤804中为是),则将装置描述记录在位于安全节点内的装置描述数据库806中。然后在步骤808将该包转发到网络。如果已知该包的源(在步骤804中为否),则将没有任何修改的包转发到装置描述数据库中。当安全节点已被配置并且处于检测其它新装置的操作阶段时,获知模式也可以操作。获知模式可以在较低执行优先级操作或者可以在安全节点完全操作的周期间隔中操作。
与监视装置侧的业务类似,安全节点也监视网络侧的业务。图9是安全节点在网络侧的获知过程的方法图。在步骤902,监视进入的业务。如果目标地址不在装置描述数据库内(在步骤904中为否),则在步骤910将该包转发到装置接口。如果目标装置处于装置描述数据库内(在步骤904中为是),则在步骤906确定业务的源。如果源处于存储在安全节点数据库模块511内的已知的对话者数据库中(在步骤906中为是),则在步骤910转发该包。如果该装置不在已知的对话者数据库内(在步骤906中为否),则在步骤908记录源信息,然后在步骤910转发该包。
在图8的步骤808和在图9的步骤910中的转发包的步骤可以是将包直接转发到对侧的网络接口(可以是装置接口502或网络接口504),或者可以在将包从节点转发出去之前将包转发到安全模块512、514和516进行进一步的处理。如果该包未能通过某个安全模块所进行的检查,则该包可以被丢弃。
图10示出在初始化阶段的安全节点103和管理服务器20之间的消息流。当节点103处于适当位置,被接通电源并且已经拦截管理连接请求(MCR)包1002时,初始化阶段开始。带着收集的基本装置信息,节点等待来自管理服务器20的MCR触发。MCR是诸如用户数据报协议(UDP)包的无连接包类型,其包括关于管理服务器20的加密信息、理想管理服务器设置和连接时序。将MCR包寻址到节点后的一个终端装置,但是该包具有该终端装置不使用的端口号。当在步骤1002被安全节点接收时,MCR被捕获,被从网络10移除并且被进行密码检查。该密码针对该节点被部署的位置和终端装置被部署进的网络设置是特定的。节点103将试图对MCR包进行解密并且确认MCR包(详细内容参考图11和12)。MCR包含可以被用来建立管理服务器连接的IP地址、端口号、加密类型和时序。一旦有效的MCR被接收并且被认证,则节点进入管理服务器连接设置模式1004并且以连接肯定应答1006来对服务器作出响应。然后在节点103和管理服务器20之间建立了安全双向连接1008。然后,安全节点103和管理服务器20以安全方式交换信息。
设置诸如TCP(传输控制协议)的面向连接协议连接拦截机制,以仅接收来自管理服务器IP地址和在MCR中规定的源端口的业务,以及将业务引导至目标IP地址和在MCR中规定的目的地端口。这种连接拦截系统将连接业务传递给一个在安全节点上运行的控制软件,并且与管理服务器20建立诸如安全套接层(SSL)连接的加密连接。
图11是安全节点103的初始化阶段的流程图。图12示出在操作阶段中的安全节点103和管理服务器20之间的消息流。在步骤1102,安全节点103拦截可能是网络10上的包而不管其目的地地址。在步骤1104,对该包进行分析以确定它是否是MCR包。如果该包不包含MCR信息(在步骤1104中为否),则在步骤1122将其转发。如果该包包含MCR信息(在步骤1104中为是),则在步骤1106检查该包的密码以确定该包是否可以被解密。如果MCR可以被解密(在步骤1106中为是),然后在步骤1108对管理通信链路捕获进行准备。如果解密失败(在步骤1106为否),则在步骤1122释放该包以将其转发。
在步骤1110,将连接请求中的加密目的地IP地址与安全节点的数据库511中的桥接列表进行对比检查,以确定它是否属于安全节点的下游装置。如果IP地址验证正确(在步骤1110中为是),则安全节点开始侦听安全管理连接(MCE)1112。如果IP地址证明无效(在步骤1110中为否),则在步骤1120丢弃(在步骤1108中确立的)连接捕获并复位,在步骤1122将该包转发。节点仅在一段时间内侦听安全管理服务器连接,这有效地限制了管理服务器20能与节点103连接的时间(即超时管理)。如果安全管理连接在这段时间内没有开始,而在步骤1112节点103正在侦听时,连接捕获被丢弃和复位(在步骤1114中为否)。如果在超时前接收到连接请求(在步骤1114中为是),则在步骤1116检查连接安全并且完成连接。如果成功完成连接(在步骤1118中为是),然后安全设备103进入操作阶段。如果连接不成功(在步骤1118中为否),则将该包转发。应该注意,依照MCR和MCE包的结构,如果包不含有有效载荷信息或任何与终端装置相关联的信息,则可以丢弃该包而不是将该包转发。如果MCR和MCE信息被嵌入包内并且该过程失败或成功,则在将其转发至终端装置前将该信息从包中剥离。已确立的MCE连接是安全加密链路。通过设置数字证书的重新生效水平来完成连接的安全维护。
图12是安全节点103的操作阶段的流程图。一旦确立管理连接,节点103就进入操作阶段。管理服务器20将在1202把基本节点配置上载给节点103,这将定义将被节点103所使用的软件模块、基本配置和心跳设置(参考图5)。当节点103确定新的终端装置的类型时,它将通过安全管理服务器连接来发送针对装置102的装置安全描述档请求1204,装置类型描述档是基于用于获知模式的被保护装置的已知属性。当管理服务器20接收到装置安全描述档请求,则它在管理服务器的装置数据库中查询装置类型。装置的安全描述档被产生并且如在管理服务器上所记录地被添加到安全节点的现存安全描述档中。然后在1206新节点安全描述档可以被优化并且被下载到节点。如果节点103(或软件模块512、514和516)需要被关注或在心跳模块中出现周期性请求报告,则节点103可以被触发以将心跳消息1208发送到管理服务器20。心跳消息1208包含管理服务器关注的请求和请求的原因。当管理服务器20接收到这些心跳请求包中的一个时(通过心跳记录器612和监视器614),依照请求的原因和在管理服务器20上的当前用户优选设置,它选择服务请求或延迟服务。请求的服务包括建立管理服务器与节点103(如果节点没有被激活)的连接,以及以命令和响应1210的形式来采取适当的命令动作。命令和响应通信还可以被用于重新配置在节点103上的可部署软件模块512、514和516或者部署新的模块。可以通过持续连接进行安全节点和管理服务器之间的通信或基于消息问答的方式启动该通信。
在管理服务器连接确立前的等待时间中,连同图8所述的获知程序,节点103可以使用已确立的被动采指纹技术(诸如“xprobe”和“p0f”开源软件产品中所使用的技术)来识别什么装置将可能需要被保护。甚至在管理服务器配置后,仍可继续使用指纹技术以便对被添加到被保护网络中的新装置进行检测。
图13是安全节点在操作阶段处理业务的流程图。从初始化阶段(图11)开始,安全节点现在进入了操作阶段。在步骤1302,在安全节点的装置接口502或网络接口504接收业务。在步骤1304检查该业务,以将CMP相关业务从非CMP相关业务分离出来。采用标准TCP业务跟踪技术以及对解密的CMP包进行排序的包来识别来自CMP通信业务的包。CMP消息是被引导到安全节点的嵌入包,其需要安全节点执行更新。如果识别结果是CMP业务(在步骤1304中为是),则如在CMP消息中所定义地更新节点或执行命令。如果识别结果不是CMP业务(在步骤1304中为否),则在步骤1306利用安全模块512、514和516来管理包。如果安全模块中的一个识别出该包存在异常条件(在步骤1308中为是),例如包被寻址到对特别装置关闭的端口,或该包包含恶意命令,则在步骤1310基于各个安全模块所定义的管理规则来处理业务。在此阶段还可以记录关于该包的细节,用于进一步的分析。然后,在步骤1312,心跳模块将异常心跳发送给管理服务器20,管理服务器20识别出事件发生。每次事件,心跳消息都发生,或者在一定数量事件发生后被触发。
安全节点(网络安全设备)和管理服务器之间的通信操作基于“心跳”信令和“异常报告”的原则。采用心跳信令以将节点的当前状态条件发送给管理服务器。异常报告通信用于将发生在节点上的异常条件发送信号到管理服务器。采用加密可以保护从节点到管理服务器通信的这两个原则。
如果业务经过安全模块,而且没有检测到异常业务(在步骤1308中为否),则在步骤1314出现用以确定周期心跳是否被发送到管理服务器的检查。如果需要心跳(在步骤1314中为是),则在步骤1316发送心跳,并且在步骤1318将该包转发到适当接口。如果不需要心跳(在步骤1314中为否),则包被转发到适当接口并且安全节点继续检测到来的业务1302。
图14是安全节点更新过程的流程图。如果安全节点在图13的步骤1304接收到CMP消息,则在步骤1402对包进行解密。包的有效载荷可以包含诸如安全描述档或软件更新的配置信息。在步骤1404实施适当配置改变,在步骤1406执行软件模块512、514和516的更新。依照安全节点的操作,如果需要,可以执行诸如节点本身的热重启或冷重启等其它步骤以实施软件或硬件更新。
图15是管理服务器20确立与安全节点的MCE连接的流程图。在步骤1502,使用属于特定安全节点所保护的装置的地址,管理服务器将MCR消息发送到该节点。在一段预定义时间后,在步骤1504发送MCE包。如果连接不成功(在步骤1506中为否),在与理想节点的连接被确立或预定义时间期满前,管理服务器20继续1502的发送。如果MCE成功,并且适当的数字证书和密码短语正确,连接已被接受并且与安全节点确立了安全通信(在步骤1506为是),则在步骤1508接收节点信息。然后,在步骤1510,节点将其通过监视业务所确定的装置信息传输给终端装置。然后,在步骤1512,管理服务器20可以为装置确定适当的安全描述档。如果可以获得安全描述档信息(在1512中为是),则在步骤1514从管理服务器20数据库取回适当的规则和软件。如果在数据库中不存在装置描述档(在步骤1512中为否),则在步骤1520取回一般描述档,并且可以在步骤1522基于对安全节点在步骤1510所提供的装置信息的分析创建定制描述档。然后,在步骤1516,将该描述档作为CMP业务发送给安全节点,并且在步骤1518将其激活。
当启动安全节点时发生描述档上载,但是当在管理服务器20接收到表示终端装置发生了某些变化或已经检测到新的安全威胁的异常心跳时,也可以发生描述档上载。
市场上存在成千上万种不同的工业控制装置的零部件,每个零部件采用350种以上的已知的SCADA通信协议中的一个或多个进行通信。每种控制装置需要非常特殊的安全规则以被正确保护,例如,一种流行的PLC(终端装置的示例)对于包含超过125个字符的URL的web请求具有不常见但是已知的安全问题。当另一个PLC接收到具有选择码为4的MODBUS对话消息并且需要电源复位以恢复时,它会停止所有通信。在传统的防火墙中,手动创建规则以满足这些问题则要求具有关于控制产品缺点和怎样创建用户防火墙的规则集的广泛知识。这也可能使整个防火墙设置过度复杂,也增加了在设置中产生严重错误的可能性。
在管理服务器上的数据库子系统610内提供了为公共控制产品开发的特殊装置规则模板。针对上面提到的第二PLC的这种模板示例可以是特殊漏洞保护规则,诸如:
●拒绝来自所有地址的选择码为4的MODBUS对话消息
●拒绝来自所有地址的HTTP消息
●拒绝来自所有地址的VxWorksTM生产商开发者端口消息可以提供装置特殊业务控制规则,诸如:
●允许来自PLC编程站的MODBUS固件加载消息
●拒绝来自所有其它地址的MODBUS固件加载信息
●允许来自操作站的MODBUS读消息
●拒绝来自所有其它地址的MODBUS读消息
●拒绝来自所有地址的所有其它MODBUS消息
基于前述的装置发现过程,规则集可以被自动加载到安全节点。在本发明中,采用软件语言编译器中共用的已知技术来组合和优化多个规则集,但是这些技术在安全设备领域是未知的。可以采用文本形式或图形形式来进行用户确认(如果需要),其中用户在模板中的推荐规则上进行点击并且拖曳允许装置的图标以调整针对特殊地址的规则。
如上所述,代替由安全管理器20为安全节点创建规则集并且上载它们,根据要被保护的终端装置可以自动创建规则集。注意,规则集是依据要被保护的终端装置的需要而设计,而不是依据节点的需要。例如,节点获知需要被保护的PLC或RTU(终端装置的示例)的构造,并且通知管理站。然后,管理站进行数据库查询,并且推荐用于保护该装置的适当的防火墙或IDS(侵入检测系统)模板。然后,安全管理器判断这些规则是否满足它们的需要,并对它们进行相应地修改以及将他们部署到现场(这同样适用于当节点保护多个不同终端装置时的情况)。对于操作者,看起来好像这些规则被直接发送给装置,并且看起来好像其中不包括节点/防火墙。这降低了规则的复杂性,并且将焦点集中在保护装置(例如PLC、RTU等)不受不必要业务的干扰。在将节点部署在现场前,也可以创建规则集,以便该装置在加电时自动获得它的配置。
图16是管理服务器20监视接收到的心跳数据包的业务的流程图。在步骤1602,心跳记录器612监视进入管理服务器20的业务。如果在步骤1604接收到心跳包,则在步骤1606执行节点查询并且对该包进行解密。如果该包不能被解密(在步骤1608中为否),则丢弃它。如果该包可以被解密(在步骤1608中为是),则对心跳有效载荷进行处理以确定安全节点的状态并且在步骤1612确定是否有反常条件被报告。如果存在表示需要改变安全策略的条件,则利用现存的MCE或建立一个新的MCE以将更新的描述档发送给安全节点。
适合的计算系统环境或可以适合实施各种实施例的配置的示例包括:一般用途个人计算机(PC);掌上或手提式计算机;基于多处理器的系统;基于微处理器的系统;可编程消费电子装置;网络计算机、小型计算机、大型计算机;分布计算环境;工业处理设备;工业控制设备(诸如PLC、RTU、IED、DCS)和医疗设备等等。
典型计算装置的组件包括,但是不限于,处理单元、输入/输出接口、系统内存和系统总线。系统总线与上面提到的组件和许多其它协同交互组件可通信地连接。输入/输出接口通过输入/输出单元(可以包括键盘、鼠标类型的控制器、监视器、媒体读取器/写入器等等)与外部组件交互。系统内存例示了根据本发明实施例的网络安全设备的各种组件和操作。
详细描述并不将本发明实施例的实施局限于任何特定的计算机编程语言。只要OS(操作系统)提供了可以支持计算机程序产品要求的设备,则计算机程序产品可以用很多计算机编程语言实现。本发明的示范性实施例可以用C或C++计算机编程语言实现,或可以用其它受支持的编程语言混合实现。所提出的任何限制可能是特定类型的操作系统、计算机编程语言或数据库管理系统所导致的结果,而不是对本文所述的本发明的实施例的限制。
上述的本发明实施例仅仅是为了说明目的。本发明的范围仅被附加的权利要求唯一地限制。
Claims (20)
1.一种采用安全设备保护网络装置的方法,该安全设备将网络装置耦接至数据网络,该方法包括以下步骤:
在所述安全设备中,从被寻址到所述网络装置的包中接收源于被连接至所述数据网络的管理服务器的加密管理连接数据;
利用与所述网络装置相关联的地址作为所述包的起始地址,将与所述网络装置相关的装置属性发送给所述管理服务器;
在所述安全设备中,从被寻址到所述网络装置的包中接收来自于所述管理服务器的加密配置数据,其中所述管理服务器基于所述装置属性来选择所述配置数据;
基于所述配置数据来对所述网络装置和通过所述数据网络能够访问的其他装置之间的包进行管理;以及
利用与所述网络装置相关联的地址作为所述包的起始地址,将多个加密心跳消息发送到所述管理服务器。
2.根据权利要求1的方法,其中所述包的地址还包括没有被所述网络装置利用的TCP或者UDP端口号。
3.根据权利要求1的方法,其中当将数据发送到所述管理服务器时,所述安全设备既利用所述网络装置的层2的地址又利用所述网络装置的层3的地址。
4.根据权利要求1的方法,其中基于对所述包进行的管理针对多个异常事件生成所述心跳。
5.根据权利要求4的方法,其中所述多个异常事件中的至少一个异常事件使所述管理服务器将重新配置数据发送到所述安全设备。
6.根据权利要求1的方法,其中从包括防火墙模块、装置识别模块、虚拟专用网络(VPN)模块、侵入检测模块、网络统计收集模块以及带宽监视和业务调整模块的组中选择配置软件。
7.根据权利要求1的方法,还包括通过安全设备的通信模块接收来自所述管理服务器的管理连接请求,用于建立与所述管理服务器的加密连接。
8.根据权利要求1的方法,其中通过安全套接链路(SSL)或IPSec安全连接对所述配置数据进行加密。
9.根据权利要求1的方法,其中所述配置数据包括与所述网络装置所利用的控制协议相关联的安全规则和软件模块。
10.根据权利要求1的方法,其中所述心跳消息和所述加密管理连接数据利用无连接包类型。
11.根据权利要求1的方法,还包括通过监视所述网络装置和通过所述数据网络能够访问的其他装置之间的业务来确定所述装置属性。
12.一种用于保护处在数据网络内的安全设备下游的一个或多个网络装置的安全设备,该安全设备包括:
心跳模块,其利用与所述一个或多个网络装置中的一个网络装置相关联的地址作为包的起始地址,来将状态信号传输到所述数据网络中的管理服务器;
通信模块,其用于处理从所述管理服务器传输的并且寻址到所述安全设备下游的一个网络装置的包,所述通信模块对嵌入所述包内的数据进行提取,以用于对所述安全设备的管理;以及
可由所述管理服务器配置的一个或多个安全模块,所述安全模块基于与所述安全设备下游的一个或多个网络装置相关联的安全描述档对经过所述安全模块的数据提供安全管理,其中所述安全模块处于所述安全设备下游的一个或多个网络装置和所述数据网络上的其他装置之间,所述安全描述档是由所述安全设备下游的一个或多个网络装置的装置属性确定的。
13.根据权利要求12的安全设备,其中从包括防火墙模块、装置识别模块、虚拟专用网络(VPN)模块、侵入检测模块、网络统计收集模块以及带宽监视和业务调整模块的组中选择所述一个或多个安全模块。
14.根据权利要求12的安全设备,其中所述心跳模块产生异常状态信号和定时状态信号,当所述一个或多个安全模块识别出异常事件时所述异常状态信号产生。
15.根据权利要求12的安全设备,其中所述通信模块还包括用于对所述安全设备和所述管理服务器之间的数据进行认证的认证模块。
16.根据权利要求12的安全设备,其中所述管理服务器基于所述一个或多个网络装置的属性来配置所述一个或多个安全模块。
17.根据权利要求12的安全设备,其中所述通信模块配置为接收加密包和处理加密包,该加密包是以所述安全设备下游的一个装置的IP地址和预定义端口号来寻址的。
18.一种数据网络,其包括:
多个安全设备,每个安全设备均与多个网络装置的一个或多个相关联,其中每个安全设备透明地将一个或多个相关网络装置桥接到所述数据网络,并且基于与一个或多个相关网络装置的属性相关联的安全描述档来对流入和流出一个或多个相关网络装置和与所述数据网络耦接的其他装置的数据通信提供管理;
管理服务器,其用于管理所述多个安全设备并且将所述安全描述档提供给与网络装置相关的安全设备,所述网络装置与所述安全描述档相关联;并且
其中所述管理服务器通过利用相关网络装置之一的地址与多个安全设备进行通信,并且所述多个安全设备利用相关网络装置的地址信息作为状态消息源来将状态消息周期性地发送到所述管理服务器。
19.根据权利要求18的数据网络,其中所述多个安全设备和所述管理服务器能够建立用于交换配置数据的加密数据连接。
20.根据权利要求18的数据网络,其中所述管理服务器配置为基于所述网络装置的一个或多个识别特征将配置数据提供给所述多个安全设备中的每一个,其中所述配置数据与所述网络装置所用的控制协议相关并且是基于所述网络装置的相关安全漏洞来配置的。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US72390205P | 2005-10-05 | 2005-10-05 | |
US60/723,902 | 2005-10-05 | ||
CN200680036993.1A CN101283539B (zh) | 2005-10-05 | 2006-10-05 | 网络安全设备 |
Related Parent Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN200680036993.1A Division CN101283539B (zh) | 2005-10-05 | 2006-10-05 | 网络安全设备 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN102904749A CN102904749A (zh) | 2013-01-30 |
CN102904749B true CN102904749B (zh) | 2015-12-09 |
Family
ID=37905943
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201210350428.XA Active CN102904749B (zh) | 2005-10-05 | 2006-10-05 | 采用安全设备保护网络装置的方法、安全设备和数据网络 |
CN200680036993.1A Active CN101283539B (zh) | 2005-10-05 | 2006-10-05 | 网络安全设备 |
Family Applications After (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN200680036993.1A Active CN101283539B (zh) | 2005-10-05 | 2006-10-05 | 网络安全设备 |
Country Status (6)
Country | Link |
---|---|
US (3) | US8042147B2 (zh) |
EP (1) | EP1932272B1 (zh) |
CN (2) | CN102904749B (zh) |
CA (1) | CA2623120C (zh) |
HK (1) | HK1181583A1 (zh) |
WO (1) | WO2007038872A1 (zh) |
Families Citing this family (228)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6658091B1 (en) | 2002-02-01 | 2003-12-02 | @Security Broadband Corp. | LIfestyle multimedia security system |
US8473620B2 (en) * | 2003-04-14 | 2013-06-25 | Riverbed Technology, Inc. | Interception of a cloud-based communication connection |
US8625455B2 (en) * | 2006-10-17 | 2014-01-07 | Ineoquest Technologies, Inc. | System and method for handling streaming media |
US20150341812A1 (en) | 2003-08-29 | 2015-11-26 | Ineoquest Technologies, Inc. | Video quality monitoring |
US20080109470A1 (en) * | 2003-09-11 | 2008-05-08 | Mcgee Steven James | Method to enable the heartbeat beacon for homeland security and homeland defense interoperability |
US11316958B2 (en) | 2008-08-11 | 2022-04-26 | Icontrol Networks, Inc. | Virtual device systems and methods |
US11277465B2 (en) | 2004-03-16 | 2022-03-15 | Icontrol Networks, Inc. | Generating risk profile using data of home monitoring and security system |
EP1738540B1 (en) | 2004-03-16 | 2017-10-04 | Icontrol Networks, Inc. | Premises management system |
US10156959B2 (en) | 2005-03-16 | 2018-12-18 | Icontrol Networks, Inc. | Cross-client sensor user interface in an integrated security network |
US8988221B2 (en) | 2005-03-16 | 2015-03-24 | Icontrol Networks, Inc. | Integrated security system with parallel processing architecture |
US10127802B2 (en) | 2010-09-28 | 2018-11-13 | Icontrol Networks, Inc. | Integrated security system with parallel processing architecture |
US10237237B2 (en) | 2007-06-12 | 2019-03-19 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US10200504B2 (en) | 2007-06-12 | 2019-02-05 | Icontrol Networks, Inc. | Communication protocols over internet protocol (IP) networks |
US10522026B2 (en) | 2008-08-11 | 2019-12-31 | Icontrol Networks, Inc. | Automation system user interface with three-dimensional display |
US10142392B2 (en) | 2007-01-24 | 2018-11-27 | Icontrol Networks, Inc. | Methods and systems for improved system performance |
US11159484B2 (en) | 2004-03-16 | 2021-10-26 | Icontrol Networks, Inc. | Forming a security network including integrated security system components and network devices |
US20090077623A1 (en) | 2005-03-16 | 2009-03-19 | Marc Baum | Security Network Integrating Security System and Network Devices |
US11113950B2 (en) | 2005-03-16 | 2021-09-07 | Icontrol Networks, Inc. | Gateway integrated with premises security system |
US8635350B2 (en) | 2006-06-12 | 2014-01-21 | Icontrol Networks, Inc. | IP device discovery systems and methods |
US10339791B2 (en) | 2007-06-12 | 2019-07-02 | Icontrol Networks, Inc. | Security network integrated with premise security system |
US10721087B2 (en) | 2005-03-16 | 2020-07-21 | Icontrol Networks, Inc. | Method for networked touchscreen with integrated interfaces |
US10348575B2 (en) | 2013-06-27 | 2019-07-09 | Icontrol Networks, Inc. | Control system user interface |
US11811845B2 (en) | 2004-03-16 | 2023-11-07 | Icontrol Networks, Inc. | Communication protocols over internet protocol (IP) networks |
US11343380B2 (en) | 2004-03-16 | 2022-05-24 | Icontrol Networks, Inc. | Premises system automation |
US9609003B1 (en) | 2007-06-12 | 2017-03-28 | Icontrol Networks, Inc. | Generating risk profile using data of home monitoring and security system |
US10375253B2 (en) | 2008-08-25 | 2019-08-06 | Icontrol Networks, Inc. | Security system with networked touchscreen and gateway |
US10313303B2 (en) | 2007-06-12 | 2019-06-04 | Icontrol Networks, Inc. | Forming a security network including integrated security system components and network devices |
US9191228B2 (en) | 2005-03-16 | 2015-11-17 | Icontrol Networks, Inc. | Cross-client sensor user interface in an integrated security network |
US10382452B1 (en) | 2007-06-12 | 2019-08-13 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US9729342B2 (en) | 2010-12-20 | 2017-08-08 | Icontrol Networks, Inc. | Defining and implementing sensor triggered response rules |
US11368429B2 (en) | 2004-03-16 | 2022-06-21 | Icontrol Networks, Inc. | Premises management configuration and control |
US8963713B2 (en) | 2005-03-16 | 2015-02-24 | Icontrol Networks, Inc. | Integrated security network with security alarm signaling system |
US20170118037A1 (en) | 2008-08-11 | 2017-04-27 | Icontrol Networks, Inc. | Integrated cloud system for premises automation |
US11201755B2 (en) | 2004-03-16 | 2021-12-14 | Icontrol Networks, Inc. | Premises system management using status signal |
US11677577B2 (en) | 2004-03-16 | 2023-06-13 | Icontrol Networks, Inc. | Premises system management using status signal |
US9531593B2 (en) | 2007-06-12 | 2016-12-27 | Icontrol Networks, Inc. | Takeover processes in security network integrated with premise security system |
US11582065B2 (en) | 2007-06-12 | 2023-02-14 | Icontrol Networks, Inc. | Systems and methods for device communication |
US11916870B2 (en) | 2004-03-16 | 2024-02-27 | Icontrol Networks, Inc. | Gateway registry methods and systems |
US7711796B2 (en) | 2006-06-12 | 2010-05-04 | Icontrol Networks, Inc. | Gateway registry methods and systems |
US11244545B2 (en) | 2004-03-16 | 2022-02-08 | Icontrol Networks, Inc. | Cross-client sensor user interface in an integrated security network |
US9141276B2 (en) | 2005-03-16 | 2015-09-22 | Icontrol Networks, Inc. | Integrated interface for mobile device |
US11489812B2 (en) | 2004-03-16 | 2022-11-01 | Icontrol Networks, Inc. | Forming a security network including integrated security system components and network devices |
US10444964B2 (en) | 2007-06-12 | 2019-10-15 | Icontrol Networks, Inc. | Control system user interface |
US7673337B1 (en) * | 2007-07-26 | 2010-03-02 | Dj Inventions, Llc | System for secure online configuration and communication |
US10999254B2 (en) | 2005-03-16 | 2021-05-04 | Icontrol Networks, Inc. | System for data routing in networks |
US11615697B2 (en) | 2005-03-16 | 2023-03-28 | Icontrol Networks, Inc. | Premise management systems and methods |
US11496568B2 (en) | 2005-03-16 | 2022-11-08 | Icontrol Networks, Inc. | Security system with networked touchscreen |
US11700142B2 (en) | 2005-03-16 | 2023-07-11 | Icontrol Networks, Inc. | Security network integrating security system and network devices |
US20120324566A1 (en) | 2005-03-16 | 2012-12-20 | Marc Baum | Takeover Processes In Security Network Integrated With Premise Security System |
US20170180198A1 (en) | 2008-08-11 | 2017-06-22 | Marc Baum | Forming a security network including integrated security system components |
US20110128378A1 (en) | 2005-03-16 | 2011-06-02 | Reza Raji | Modular Electronic Display Platform |
US9450776B2 (en) | 2005-03-16 | 2016-09-20 | Icontrol Networks, Inc. | Forming a security network including integrated security system components |
US9306809B2 (en) | 2007-06-12 | 2016-04-05 | Icontrol Networks, Inc. | Security system with networked touchscreen |
US8478986B2 (en) * | 2005-08-10 | 2013-07-02 | Riverbed Technology, Inc. | Reducing latency of split-terminated secure communication protocol sessions |
US8613071B2 (en) * | 2005-08-10 | 2013-12-17 | Riverbed Technology, Inc. | Split termination for secure communication protocols |
US8438628B2 (en) * | 2005-08-10 | 2013-05-07 | Riverbed Technology, Inc. | Method and apparatus for split-terminating a secure network connection, with client authentication |
EP1932272B1 (en) | 2005-10-05 | 2013-12-11 | Byres Security Inc. | Network security appliance |
US8381297B2 (en) | 2005-12-13 | 2013-02-19 | Yoggie Security Systems Ltd. | System and method for providing network security to mobile devices |
US8869270B2 (en) * | 2008-03-26 | 2014-10-21 | Cupp Computing As | System and method for implementing content and network security inside a chip |
US20080276302A1 (en) | 2005-12-13 | 2008-11-06 | Yoggie Security Systems Ltd. | System and Method for Providing Data and Device Security Between External and Host Devices |
US8413248B2 (en) * | 2006-03-22 | 2013-04-02 | Michael B. Rash | Method for secure single-packet remote authorization |
US8782393B1 (en) | 2006-03-23 | 2014-07-15 | F5 Networks, Inc. | Accessing SSL connection data by a third-party |
US10079839B1 (en) | 2007-06-12 | 2018-09-18 | Icontrol Networks, Inc. | Activation of gateway device |
JP2008035401A (ja) * | 2006-07-31 | 2008-02-14 | Toshiba Corp | Ip放送システム、ipマルチキャスト放送信号提供方法、放送転送装置及び放送受信装置 |
US11706279B2 (en) | 2007-01-24 | 2023-07-18 | Icontrol Networks, Inc. | Methods and systems for data communication |
US7633385B2 (en) | 2007-02-28 | 2009-12-15 | Ucontrol, Inc. | Method and system for communicating with and controlling an alarm system from a remote server |
US8451986B2 (en) | 2007-04-23 | 2013-05-28 | Icontrol Networks, Inc. | Method and system for automatically providing alternate network access for telecommunications |
US8365272B2 (en) | 2007-05-30 | 2013-01-29 | Yoggie Security Systems Ltd. | System and method for providing network and computer firewall protection with dynamic address isolation to a device |
US9319879B2 (en) * | 2007-05-30 | 2016-04-19 | Apple Inc. | Method and apparatus for security configuration and verification of wireless devices in a fixed/mobile convergence environment |
US11237714B2 (en) | 2007-06-12 | 2022-02-01 | Control Networks, Inc. | Control system user interface |
US10423309B2 (en) | 2007-06-12 | 2019-09-24 | Icontrol Networks, Inc. | Device integration framework |
US11601810B2 (en) | 2007-06-12 | 2023-03-07 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US12003387B2 (en) | 2012-06-27 | 2024-06-04 | Comcast Cable Communications, Llc | Control system user interface |
US10523689B2 (en) | 2007-06-12 | 2019-12-31 | Icontrol Networks, Inc. | Communication protocols over internet protocol (IP) networks |
US11423756B2 (en) | 2007-06-12 | 2022-08-23 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US11646907B2 (en) | 2007-06-12 | 2023-05-09 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US10616075B2 (en) | 2007-06-12 | 2020-04-07 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US11316753B2 (en) | 2007-06-12 | 2022-04-26 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US11218878B2 (en) | 2007-06-12 | 2022-01-04 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US10389736B2 (en) | 2007-06-12 | 2019-08-20 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US10666523B2 (en) | 2007-06-12 | 2020-05-26 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US10498830B2 (en) | 2007-06-12 | 2019-12-03 | Icontrol Networks, Inc. | Wi-Fi-to-serial encapsulation in systems |
US11212192B2 (en) | 2007-06-12 | 2021-12-28 | Icontrol Networks, Inc. | Communication protocols in integrated systems |
US10051078B2 (en) | 2007-06-12 | 2018-08-14 | Icontrol Networks, Inc. | WiFi-to-serial encapsulation in systems |
US11089122B2 (en) | 2007-06-12 | 2021-08-10 | Icontrol Networks, Inc. | Controlling data routing among networks |
US7673338B1 (en) * | 2007-07-26 | 2010-03-02 | Dj Inventions, Llc | Intelligent electronic cryptographic module |
US11831462B2 (en) | 2007-08-24 | 2023-11-28 | Icontrol Networks, Inc. | Controlling data routing in premises management systems |
US11916928B2 (en) | 2008-01-24 | 2024-02-27 | Icontrol Networks, Inc. | Communication protocols over internet protocol (IP) networks |
US20100071054A1 (en) * | 2008-04-30 | 2010-03-18 | Viasat, Inc. | Network security appliance |
US8627060B2 (en) * | 2008-04-30 | 2014-01-07 | Viasat, Inc. | Trusted network interface |
US20170185278A1 (en) | 2008-08-11 | 2017-06-29 | Icontrol Networks, Inc. | Automation system user interface |
WO2009156733A1 (en) * | 2008-06-25 | 2009-12-30 | British Telecommunications Public Limited Company | Method and apparatus for generating error keys for fault diagnosis in communication networks |
US8307203B2 (en) * | 2008-07-14 | 2012-11-06 | Riverbed Technology, Inc. | Methods and systems for secure communications using a local certification authority |
US8631488B2 (en) | 2008-08-04 | 2014-01-14 | Cupp Computing As | Systems and methods for providing security services during power management mode |
US11792036B2 (en) | 2008-08-11 | 2023-10-17 | Icontrol Networks, Inc. | Mobile premises automation platform |
US11758026B2 (en) | 2008-08-11 | 2023-09-12 | Icontrol Networks, Inc. | Virtual device systems and methods |
US11729255B2 (en) | 2008-08-11 | 2023-08-15 | Icontrol Networks, Inc. | Integrated cloud system with lightweight gateway for premises automation |
US10530839B2 (en) | 2008-08-11 | 2020-01-07 | Icontrol Networks, Inc. | Integrated cloud system with lightweight gateway for premises automation |
US11258625B2 (en) | 2008-08-11 | 2022-02-22 | Icontrol Networks, Inc. | Mobile premises automation platform |
KR101510472B1 (ko) * | 2008-10-02 | 2015-04-08 | 삼성전자주식회사 | 무선 센서 네트워크의 데이터 패킷을 보안하기 위한 장치 및 방법 |
US9628440B2 (en) | 2008-11-12 | 2017-04-18 | Icontrol Networks, Inc. | Takeover processes in security network integrated with premise security system |
US8789202B2 (en) | 2008-11-19 | 2014-07-22 | Cupp Computing As | Systems and methods for providing real time access monitoring of a removable media device |
US8024492B2 (en) * | 2008-12-23 | 2011-09-20 | Schneider Electric USA, Inc. | System for managing a power monitoring system containing a multiplicity of intelligent electronic devices |
US8737398B2 (en) * | 2008-12-31 | 2014-05-27 | Schneider Electric USA, Inc. | Communication module with network isolation and communication filter |
EP2384593A4 (en) | 2009-01-30 | 2016-05-18 | Hewlett Packard Development Co | DYNAMIC APPLICATION OF A DIRECTIVE TO A NETWORK |
US8024482B2 (en) * | 2009-02-16 | 2011-09-20 | Microsoft Corporation | Dynamic firewall configuration |
US8707043B2 (en) * | 2009-03-03 | 2014-04-22 | Riverbed Technology, Inc. | Split termination of secure communication sessions with mutual certificate-based authentication |
US8638211B2 (en) | 2009-04-30 | 2014-01-28 | Icontrol Networks, Inc. | Configurable controller and interface for home SMA, phone and multimedia |
GB2474545B (en) * | 2009-09-24 | 2015-06-24 | Fisher Rosemount Systems Inc | Integrated unified threat management for a process control system |
DE102009055247A1 (de) | 2009-12-23 | 2011-06-30 | Endress + Hauser Conducta Gesellschaft für Mess- und Regeltechnik mbH + Co. KG, 70839 | Anordnung mit einer übergeordneten Steuereinheit und zumindest einem mit der Steuereinheit verbindbaren intelligenten Feldgerät |
US8700892B2 (en) | 2010-03-19 | 2014-04-15 | F5 Networks, Inc. | Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion |
US9485218B2 (en) * | 2010-03-23 | 2016-11-01 | Adventium Enterprises, Llc | Device for preventing, detecting and responding to security threats |
AU2011250886A1 (en) | 2010-05-10 | 2013-01-10 | Icontrol Networks, Inc | Control system user interface |
CN102263651A (zh) * | 2010-05-28 | 2011-11-30 | 烽火通信科技股份有限公司 | Snmp网络管理系统中局端设备连接状态的检测方法 |
WO2011151768A1 (en) * | 2010-06-01 | 2011-12-08 | Radiflow Ltd. | Plant communication network |
AU2011305163B2 (en) * | 2010-09-23 | 2016-12-15 | Icontrol Networks, Inc. | Integrated security network with security alarm signaling system |
US8836467B1 (en) | 2010-09-28 | 2014-09-16 | Icontrol Networks, Inc. | Method, system and apparatus for automated reporting of account and sensor zone information to a central station |
US8438274B2 (en) * | 2010-09-30 | 2013-05-07 | Schneider Electric USA, Inc. | Profiling of composite physical devices for monitoring/control systems |
CN102469483B (zh) * | 2010-11-15 | 2014-12-24 | 中国移动通信集团山东有限公司 | 业务受理异常的处理方法、系统及相关装置 |
US11750414B2 (en) | 2010-12-16 | 2023-09-05 | Icontrol Networks, Inc. | Bidirectional security sensor communication for a premises security system |
US9147337B2 (en) | 2010-12-17 | 2015-09-29 | Icontrol Networks, Inc. | Method and system for logging security event data |
CA2827204C (en) * | 2011-01-10 | 2020-05-05 | Sheffield Scientific | Systems and/or methods for managing critical digital assets in power generating plants |
US8774007B2 (en) * | 2011-03-23 | 2014-07-08 | Sunpower Corporation | Apparatus and method for data communication in an energy distribution network |
US20120254607A1 (en) * | 2011-04-01 | 2012-10-04 | International Business Machines Corporation | System And Method For Security Levels With Cluster Communications |
JP2012226680A (ja) * | 2011-04-22 | 2012-11-15 | Internatl Business Mach Corp <Ibm> | 産業制御システムを管理する管理システム、管理方法および管理プログラム |
GB201108005D0 (en) * | 2011-05-13 | 2011-06-29 | Cooper Technologies Co | Network security device |
US8973088B1 (en) | 2011-05-24 | 2015-03-03 | Palo Alto Networks, Inc. | Policy enforcement using host information profile |
US8875223B1 (en) * | 2011-08-31 | 2014-10-28 | Palo Alto Networks, Inc. | Configuring and managing remote security devices |
US9298917B2 (en) * | 2011-09-27 | 2016-03-29 | Redwall Technologies, Llc | Enhanced security SCADA systems and methods |
EP2579540B1 (de) * | 2011-10-04 | 2017-07-19 | Siemens Aktiengesellschaft | Kontrolle eines kommunikations-inputs einer speicherprogrammierbaren steuerung einer automatisierungskomponente einer technischen anlage |
US9270642B2 (en) * | 2011-10-13 | 2016-02-23 | Rosemount Inc. | Process installation network intrusion detection and prevention |
CN102333014B (zh) * | 2011-10-18 | 2014-04-02 | 北京电子科技学院 | 一种vpn设备的检测方法及检测系统 |
EP2771802A4 (en) * | 2011-10-24 | 2016-05-25 | Schneider Electric Ind Sas | SYSTEM AND METHOD FOR MANAGING INDUSTRIAL PROCESSES |
US9137135B2 (en) | 2011-11-14 | 2015-09-15 | Jds Uniphase Corporation | Selective IP address allocation for probes that do not have assigned IP addresses |
US8812466B2 (en) | 2012-02-10 | 2014-08-19 | International Business Machines Corporation | Detecting and combating attack in protection system of an industrial control system |
US20130212668A1 (en) * | 2012-02-13 | 2013-08-15 | International Business Machines Corporation | Suspension of Processes in Industrial Control System When an Anomaly Occurs |
WO2013123975A1 (de) * | 2012-02-21 | 2013-08-29 | Siemens Aktiengesellschaft | Verfahren zum konfigurieren eines sicherheitssystems für eine energieautomatisierungsanlage und energieautomatisierungsanlage mit einem sicherheitssystem |
GB201213622D0 (en) * | 2012-07-31 | 2012-09-12 | Sirran Technologies Ltd | Improved telecommunication system |
CN103713583B (zh) * | 2012-09-29 | 2018-01-16 | 西门子公司 | 一种自动采集并配置授权信息的方法及装置 |
WO2014059037A2 (en) | 2012-10-09 | 2014-04-17 | Cupp Computing As | Transaction security systems and methods |
CN103036870A (zh) * | 2012-10-26 | 2013-04-10 | 青岛海天炜业自动化控制系统有限公司 | 基于工业协议OPC Classic的无IP分布式工业防火墙深度检查算法 |
US10171500B2 (en) * | 2012-12-28 | 2019-01-01 | Intel Corporation | Systems, apparatuses, and methods for enforcing security on a platform |
US20140208406A1 (en) * | 2013-01-23 | 2014-07-24 | N-Dimension Solutions Inc. | Two-factor authentication |
JP6564327B2 (ja) * | 2013-02-07 | 2019-08-21 | シグニファイ ホールディング ビー ヴィ | マルチコントローラネットワークにおける相互作用制御の設定 |
WO2014137317A1 (en) * | 2013-03-05 | 2014-09-12 | Schneider Electric USA, Inc. | System and method for managing industrial processes |
US20140280846A1 (en) * | 2013-03-14 | 2014-09-18 | Douglas Gourlay | System and method for abstracting network policy from physical interfaces and creating portable network policy |
US9450981B2 (en) * | 2013-03-14 | 2016-09-20 | Radware, Ltd. | System and method thereof for mitigating denial of service attacks in virtual networks |
US9928975B1 (en) | 2013-03-14 | 2018-03-27 | Icontrol Networks, Inc. | Three-way switch |
US9867143B1 (en) | 2013-03-15 | 2018-01-09 | Icontrol Networks, Inc. | Adaptive Power Modulation |
US20140269697A1 (en) * | 2013-03-15 | 2014-09-18 | Signal Perfection Ltd., Inc. | Internet protocol call signal interrupter for selective blocking of internet voice calls |
US9287727B1 (en) | 2013-03-15 | 2016-03-15 | Icontrol Networks, Inc. | Temporal voltage adaptive lithium battery charger |
US9344403B2 (en) | 2013-03-15 | 2016-05-17 | Tempered Networks, Inc. | Industrial network security |
DE102013103242B4 (de) * | 2013-03-28 | 2021-06-24 | Phoenix Contact Gmbh & Co. Kg | Feldgerät, Kommunikations-Chip und Verfahren zum Zugreifen auf ein Feldgerät |
KR20140147583A (ko) * | 2013-06-20 | 2014-12-30 | 한국전자통신연구원 | 산업제어 시스템의 부정 접근을 방지하기 위한 장치 및 그 방법 |
WO2015006375A1 (en) | 2013-07-08 | 2015-01-15 | Cupp Computing As | Systems and methods for providing digital content marketplace security |
CN103795594A (zh) * | 2013-07-08 | 2014-05-14 | 韶关学院 | 一种基于网络终端机的工业监控系统 |
US10841668B2 (en) | 2013-08-09 | 2020-11-17 | Icn Acquisition, Llc | System, method and apparatus for remote monitoring |
CN103475478B (zh) * | 2013-09-03 | 2017-04-12 | 广东电网公司电力科学研究院 | 终端安全防护方法和设备 |
US9858805B2 (en) * | 2013-09-24 | 2018-01-02 | Honeywell International Inc. | Remote terminal unit (RTU) with wireless diversity and related method |
US8667589B1 (en) * | 2013-10-27 | 2014-03-04 | Konstantin Saprygin | Protection against unauthorized access to automated system for control of technological processes |
BE1021726B1 (fr) * | 2013-10-28 | 2016-01-13 | Dao Systems | Systeme de controle d'acces. |
CN103746791B (zh) * | 2013-12-19 | 2017-02-08 | 广东芬尼克兹节能设备有限公司 | 一种应用于工业领域的加密通信装置及方法 |
US9531669B2 (en) * | 2014-01-30 | 2016-12-27 | Sierra Nevada Corporation | Bi-directional data security for supervisor control and data acquisition networks |
US9998426B2 (en) | 2014-01-30 | 2018-06-12 | Sierra Nevada Corporation | Bi-directional data security for control systems |
US9762614B2 (en) | 2014-02-13 | 2017-09-12 | Cupp Computing As | Systems and methods for providing network security using a secure digital device |
US11146637B2 (en) | 2014-03-03 | 2021-10-12 | Icontrol Networks, Inc. | Media content management |
US11405463B2 (en) | 2014-03-03 | 2022-08-02 | Icontrol Networks, Inc. | Media content management |
US9692780B2 (en) * | 2014-03-31 | 2017-06-27 | At&T Intellectual Property I, L.P. | Security network buffer device |
US10063456B2 (en) * | 2014-04-25 | 2018-08-28 | Metaswitch Networks Ltd | Data processing |
US9917851B2 (en) * | 2014-04-28 | 2018-03-13 | Sophos Limited | Intrusion detection using a heartbeat |
US10122753B2 (en) | 2014-04-28 | 2018-11-06 | Sophos Limited | Using reputation to avoid false malware detections |
US9392015B2 (en) * | 2014-04-28 | 2016-07-12 | Sophos Limited | Advanced persistent threat detection |
US11461766B1 (en) | 2014-04-30 | 2022-10-04 | Wells Fargo Bank, N.A. | Mobile wallet using tokenized card systems and methods |
US9652770B1 (en) | 2014-04-30 | 2017-05-16 | Wells Fargo Bank, N.A. | Mobile wallet using tokenized card systems and methods |
WO2016019183A1 (en) | 2014-07-30 | 2016-02-04 | Tempered Networks, Inc. | Performing actions via devices that establish a secure, private network |
WO2016019293A1 (en) * | 2014-08-01 | 2016-02-04 | Src, Inc. | Optiarmor secure separation device |
US10445739B1 (en) | 2014-08-14 | 2019-10-15 | Wells Fargo Bank, N.A. | Use limitations for secondary users of financial accounts |
US9870476B2 (en) * | 2014-09-23 | 2018-01-16 | Accenture Global Services Limited | Industrial security agent platform |
IN2014MU04068A (zh) | 2014-12-18 | 2015-06-05 | Cyberoam Technologies Pvt Ltd | |
CN104618143B (zh) * | 2014-12-31 | 2018-03-06 | 北京和利时系统工程有限公司 | 一种管理工业防火墙的方法和装置 |
CN105988408A (zh) * | 2015-01-28 | 2016-10-05 | 上海远动科技有限公司 | 一种基于vpn的plc远程诊断设备及其应用 |
US11895138B1 (en) * | 2015-02-02 | 2024-02-06 | F5, Inc. | Methods for improving web scanner accuracy and devices thereof |
CN104717205A (zh) * | 2015-02-04 | 2015-06-17 | 上海展湾信息科技有限公司 | 基于报文重构的工控防火墙控制方法 |
CN104753932A (zh) * | 2015-03-19 | 2015-07-01 | 国网山东省电力公司聊城供电公司 | 一种多功能的智能计算机网络安全设备 |
WO2016155856A1 (en) * | 2015-03-27 | 2016-10-06 | Bühler AG | Method and system for process controlling of plants in an opc-ua based machine-to-machine network |
US9300635B1 (en) | 2015-06-15 | 2016-03-29 | Tempered Networks, Inc. | Overlay network with position independent insertion and tap points |
US10715532B2 (en) | 2015-07-09 | 2020-07-14 | Siemens Aktiengesellschaft | Self-defending smart field device and architecture |
CN111459123A (zh) * | 2015-08-24 | 2020-07-28 | 比特股份有限公司 | 生成机器心跳的方法 |
US9641544B1 (en) * | 2015-09-18 | 2017-05-02 | Palo Alto Networks, Inc. | Automated insider threat prevention |
US10469594B2 (en) * | 2015-12-08 | 2019-11-05 | A10 Networks, Inc. | Implementation of secure socket layer intercept |
US11277416B2 (en) | 2016-04-22 | 2022-03-15 | Sophos Limited | Labeling network flows according to source applications |
US11102238B2 (en) | 2016-04-22 | 2021-08-24 | Sophos Limited | Detecting triggering events for distributed denial of service attacks |
US10938781B2 (en) | 2016-04-22 | 2021-03-02 | Sophos Limited | Secure labeling of network flows |
US12021831B2 (en) | 2016-06-10 | 2024-06-25 | Sophos Limited | Network security |
GB2566657B8 (en) | 2016-06-30 | 2022-04-13 | Sophos Ltd | Proactive network security using a health heartbeat |
US9729581B1 (en) | 2016-07-01 | 2017-08-08 | Tempered Networks, Inc. | Horizontal switch scalability via load balancing |
US11468414B1 (en) | 2016-10-03 | 2022-10-11 | Wells Fargo Bank, N.A. | Systems and methods for establishing a pull payment relationship |
CN107070857A (zh) * | 2016-12-15 | 2017-08-18 | 中国电子技术标准化研究院((工业和信息化部电子工业标准化研究院)(工业和信息化部电子第四研究院)) | 一种基于tcp/ip的dnp3协议网络保护框架 |
US10855656B2 (en) | 2017-09-15 | 2020-12-01 | Palo Alto Networks, Inc. | Fine-grained firewall policy enforcement using session app ID and endpoint process ID correlation |
US10931637B2 (en) | 2017-09-15 | 2021-02-23 | Palo Alto Networks, Inc. | Outbound/inbound lateral traffic punting based on process risk |
US10594716B2 (en) | 2018-01-26 | 2020-03-17 | Connecticut Information Security LLC | System and method for detecting computer network intrusions |
US11295297B1 (en) | 2018-02-26 | 2022-04-05 | Wells Fargo Bank, N.A. | Systems and methods for pushing usable objects and third-party provisioning to a mobile wallet |
US10069726B1 (en) | 2018-03-16 | 2018-09-04 | Tempered Networks, Inc. | Overlay network identity-based relay |
US11271950B2 (en) | 2018-04-04 | 2022-03-08 | Sophos Limited | Securing endpoints in a heterogenous enterprise network |
US11140195B2 (en) | 2018-04-04 | 2021-10-05 | Sophos Limited | Secure endpoint in a heterogenous enterprise network |
US11616758B2 (en) | 2018-04-04 | 2023-03-28 | Sophos Limited | Network device for securing endpoints in a heterogeneous enterprise network |
US10972431B2 (en) | 2018-04-04 | 2021-04-06 | Sophos Limited | Device management based on groups of network adapters |
US11775955B1 (en) | 2018-05-10 | 2023-10-03 | Wells Fargo Bank, N.A. | Systems and methods for making person-to-person payments via mobile client application |
US10116539B1 (en) | 2018-05-23 | 2018-10-30 | Tempered Networks, Inc. | Multi-link network gateway with monitoring and dynamic failover |
US10158545B1 (en) | 2018-05-31 | 2018-12-18 | Tempered Networks, Inc. | Monitoring overlay networks |
CN110661761B (zh) * | 2018-06-29 | 2021-12-14 | 西门子股份公司 | 一种访问控制设备、方法、计算机程序产品和计算机可读介质 |
US20200059474A1 (en) * | 2018-08-17 | 2020-02-20 | Schlumberger Technology Corporation | System and method for control system cybersecurity |
US11539609B2 (en) * | 2018-09-11 | 2022-12-27 | Trilliant Networks, Inc. | Method and apparatus for reporting power down events in a network node without a backup energy storage device |
US10897398B2 (en) * | 2019-02-04 | 2021-01-19 | Saudi Arabian Oil Company | Embedded dynamic configuration assignment for unprotected remote terminal unit (RTU) |
US11288378B2 (en) | 2019-02-20 | 2022-03-29 | Saudi Arabian Oil Company | Embedded data protection and forensics for physically unsecure remote terminal unit (RTU) |
US11201781B2 (en) | 2019-03-12 | 2021-12-14 | Arista Networks, Inc. | Systems and methods for automatically configuring network isolation |
DE102019106543A1 (de) | 2019-03-14 | 2020-09-17 | Anapur Ag | Verfahren und Kommunikationssteuersystem zur Steuerung von Kommunikation in einem Kommunikationsnetzwerk |
DE102019211395B4 (de) * | 2019-07-31 | 2021-03-04 | Siemens Schweiz Ag | Effizienter Heartbeat-Mechanismus für Cloud-Anwendungen |
US11300950B2 (en) * | 2020-02-03 | 2022-04-12 | Rockwell Automation Technologies, Inc. | Systems and methods for automatic configuration of intelligent electronic devices |
US11558183B2 (en) * | 2020-05-15 | 2023-01-17 | Bank Of America Corporation | System for exchanging symmetric cryptographic keys using computer network port knocking |
US11870810B2 (en) | 2020-06-24 | 2024-01-09 | T-Mobile Usa, Inc. | Host-based network socket security controls and telemetry |
US10911418B1 (en) | 2020-06-26 | 2021-02-02 | Tempered Networks, Inc. | Port level policy isolation in overlay networks |
US11070594B1 (en) | 2020-10-16 | 2021-07-20 | Tempered Networks, Inc. | Applying overlay network policy based on users |
US10999154B1 (en) | 2020-10-23 | 2021-05-04 | Tempered Networks, Inc. | Relay node management for overlay networks |
US11687053B2 (en) | 2021-03-08 | 2023-06-27 | Saudi Arabian Oil Company | Intelligent safety motor control center (ISMCC) |
CN114019946B (zh) * | 2021-11-11 | 2023-08-29 | 辽宁石油化工大学 | 工控终端的监控数据处理方法及装置 |
CN115118469B (zh) * | 2022-06-15 | 2024-03-19 | 杭州温小度科技有限公司 | 一种网络安全威胁处理系统及其处理方法 |
US20240163295A1 (en) * | 2022-11-14 | 2024-05-16 | Rockwell Automation Technologies, Inc. | Facilitating direct device-to-cloud communications within a secure deployment management system |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CA2254936A1 (en) * | 1996-12-18 | 1998-06-25 | Alexander S. Orenshteyn | Secured system for accessing application services from a remote station |
CN1557087A (zh) * | 2001-09-20 | 2004-12-22 | 英特尔公司 | 网络设备对于目标网络环境的可寻址性的自动建立 |
Family Cites Families (35)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5568402A (en) * | 1994-04-11 | 1996-10-22 | Gse Process Solutions, Inc. | Communication server for communicating with a remote device |
US20020152289A1 (en) * | 1997-09-10 | 2002-10-17 | Schneider Automation Inc. | System and method for accessing devices in a factory automation network |
US6219786B1 (en) | 1998-09-09 | 2001-04-17 | Surfcontrol, Inc. | Method and system for monitoring and controlling network access |
CA2296989C (en) | 1999-01-29 | 2005-10-25 | Lucent Technologies Inc. | A method and apparatus for managing a firewall |
US7130831B2 (en) * | 1999-02-08 | 2006-10-31 | Copyright Clearance Center, Inc. | Limited-use browser and security system |
US6970068B1 (en) * | 1999-07-15 | 2005-11-29 | Thomson Licensing S.A. | Apparatus and associated method for limiting access of information transferred between an electronic security device and a host device |
US6735702B1 (en) * | 1999-08-31 | 2004-05-11 | Intel Corporation | Method and system for diagnosing network intrusion |
EP1320960B1 (en) * | 2000-09-28 | 2013-11-06 | Symantec Corporation | System and method for analyzing protocol streams for a security-related event |
US7168093B2 (en) * | 2001-01-25 | 2007-01-23 | Solutionary, Inc. | Method and apparatus for verifying the integrity and security of computer networks and implementation of counter measures |
WO2002103960A2 (en) * | 2001-06-14 | 2002-12-27 | Okena, Inc. | Stateful distributed event processing and adaptive security |
US7240102B1 (en) * | 2001-08-03 | 2007-07-03 | Mcafee, Inc. | System and method for providing web browser-based secure remote network appliance configuration in a distributed computing environment |
DE10138865C2 (de) | 2001-08-07 | 2003-08-14 | Innominate Security Technologi | Verfahren und Computersystem zur Sicherung der Kommunikation in Netzwerken |
EP1417820B1 (de) * | 2001-08-07 | 2017-02-08 | PHOENIX CONTACT Cyber Security AG | Verfahren und computersystem zur sicherung der kommunikation in netzwerken |
US7207061B2 (en) * | 2001-08-31 | 2007-04-17 | International Business Machines Corporation | State machine for accessing a stealth firewall |
JP2003110576A (ja) * | 2001-09-26 | 2003-04-11 | Toshiba Corp | 無線ネットワークシステム、無線ネットワークの管理方法、及び、コンピュータで実行可能な無線ネットワークの管理プログラム |
US7603431B2 (en) * | 2002-01-08 | 2009-10-13 | Bottomline Technologies (De) Inc. | Secure transport gateway for message queuing and transport over an open network |
US7100201B2 (en) * | 2002-01-24 | 2006-08-29 | Arxceo Corporation | Undetectable firewall |
US7370194B2 (en) * | 2002-06-10 | 2008-05-06 | Microsoft Corporation | Security gateway for online console-based gaming |
WO2003107156A2 (en) * | 2002-06-18 | 2003-12-24 | Honeywell International Inc. | METHOD FOR CONFIGURING AND COMMISSIONING CSMs |
US6823383B2 (en) * | 2002-09-10 | 2004-11-23 | Capital One Financial Corporation | Stealth network |
US20040153171A1 (en) | 2002-10-21 | 2004-08-05 | Brandt David D. | System and methodology providing automation security architecture in an industrial controller environment |
EP1584034B1 (en) * | 2002-12-12 | 2017-05-17 | Intellectual Ventures Fund 73 LLC | Systems and methods for detecting a security breach in a computer system |
US7480936B2 (en) * | 2003-01-15 | 2009-01-20 | Xerox Corporation | Generic application architecture suitable for firewall traversal |
DE10305413B4 (de) * | 2003-02-06 | 2006-04-20 | Innominate Security Technologies Ag | Verfahren und Anordnung zur transparenten Vermittlung des Datenverkehrs zwischen Datenverarbeitungseinrichtungen sowie ein entsprechendes Computerprogramm und ein entsprechendes computerlesbares Speichermedium |
CN1309208C (zh) * | 2003-05-23 | 2007-04-04 | 联想(北京)有限公司 | 一种计算机网络的网络安全系统及其控制方法 |
US7246156B2 (en) * | 2003-06-09 | 2007-07-17 | Industrial Defender, Inc. | Method and computer program product for monitoring an industrial network |
US20050005093A1 (en) * | 2003-07-01 | 2005-01-06 | Andrew Bartels | Methods, systems and devices for securing supervisory control and data acquisition (SCADA) communications |
IL158309A (en) * | 2003-10-08 | 2011-06-30 | Ammon Yacoby | Centralized network control |
JP2005196728A (ja) * | 2003-12-11 | 2005-07-21 | Nec Corp | セキュリティ検証システム、装置、方法、およびセキュリティ検証用プログラム |
US7813263B2 (en) * | 2004-06-30 | 2010-10-12 | Conexant Systems, Inc. | Method and apparatus providing rapid end-to-end failover in a packet switched communications network |
US7890772B2 (en) | 2005-08-10 | 2011-02-15 | Lexmark International, Inc. | Multi-function printing device |
EP1932272B1 (en) * | 2005-10-05 | 2013-12-11 | Byres Security Inc. | Network security appliance |
WO2007074431A2 (en) * | 2005-12-27 | 2007-07-05 | Atomynet Inc. | Method and apparatus for securing access to applications |
US8745373B2 (en) * | 2008-04-23 | 2014-06-03 | Dell Products L.P. | Systems and methods for applying encryption to network traffic on the basis of policy |
US8355337B2 (en) * | 2009-01-28 | 2013-01-15 | Headwater Partners I Llc | Network based service profile management with user preference, adaptive policy, network neutrality, and user privacy |
-
2006
- 2006-10-05 EP EP06790799.8A patent/EP1932272B1/en active Active
- 2006-10-05 CN CN201210350428.XA patent/CN102904749B/zh active Active
- 2006-10-05 CN CN200680036993.1A patent/CN101283539B/zh active Active
- 2006-10-05 WO PCT/CA2006/001639 patent/WO2007038872A1/en active Application Filing
- 2006-10-05 US US11/544,019 patent/US8042147B2/en active Active
- 2006-10-05 CA CA2623120A patent/CA2623120C/en active Active
-
2011
- 2011-10-14 US US13/274,105 patent/US8407758B2/en active Active
-
2013
- 2013-02-22 US US13/774,888 patent/US9043868B2/en active Active
- 2013-07-29 HK HK13108858.9A patent/HK1181583A1/zh unknown
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CA2254936A1 (en) * | 1996-12-18 | 1998-06-25 | Alexander S. Orenshteyn | Secured system for accessing application services from a remote station |
CN1557087A (zh) * | 2001-09-20 | 2004-12-22 | 英特尔公司 | 网络设备对于目标网络环境的可寻址性的自动建立 |
Also Published As
Publication number | Publication date |
---|---|
EP1932272A4 (en) | 2013-05-22 |
US20070199061A1 (en) | 2007-08-23 |
CN101283539A (zh) | 2008-10-08 |
CA2623120A1 (en) | 2007-04-12 |
US20120151558A1 (en) | 2012-06-14 |
EP1932272B1 (en) | 2013-12-11 |
CN102904749A (zh) | 2013-01-30 |
US8407758B2 (en) | 2013-03-26 |
HK1181583A1 (zh) | 2013-11-08 |
US9043868B2 (en) | 2015-05-26 |
EP1932272A1 (en) | 2008-06-18 |
CA2623120C (en) | 2015-03-24 |
CN101283539B (zh) | 2012-10-24 |
WO2007038872A1 (en) | 2007-04-12 |
US8042147B2 (en) | 2011-10-18 |
US20130232338A1 (en) | 2013-09-05 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN102904749B (zh) | 采用安全设备保护网络装置的方法、安全设备和数据网络 | |
US11700232B2 (en) | Publishing data across a data diode for secured process control communications | |
CN107976973B (zh) | 安全的过程控制通信 | |
US11212315B2 (en) | Tunneling for network deceptions | |
CN107976972B (zh) | 安全的过程控制通信 | |
US9961099B2 (en) | Systems and methods for detecting and tracking adversary trajectory | |
US10326796B1 (en) | Dynamic security mechanisms for mixed networks | |
US9853999B2 (en) | Context-aware knowledge system and methods for deploying deception mechanisms | |
US20170149825A1 (en) | Modification of a Server to Mimic a Deception Mechanism | |
US20170264639A1 (en) | Active deception system | |
Flaus | Cybersecurity of industrial systems | |
CN101197715B (zh) | 一种移动数据业务状态的安全集中采集方法 | |
Januário et al. | Security challenges in SCADA systems over Wireless Sensor and Actuator Networks | |
Paul et al. | Towards the protection of industrial control systems–conclusions of a vulnerability analysis of profinet IO |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
REG | Reference to a national code |
Ref country code: HK Ref legal event code: DE Ref document number: 1181583 Country of ref document: HK |
|
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
REG | Reference to a national code |
Ref country code: HK Ref legal event code: GR Ref document number: 1181583 Country of ref document: HK |