CN107408184B

CN107408184B - 补丁监测和分析

Info

Publication number: CN107408184B
Application number: CN201680019853.7A
Authority: CN
Inventors: S.G.卡彭特; D.J.布鲁梅; E.T.博伊斯; G.P.贾赫
Original assignee: Honeywell International Inc
Current assignee: Honeywell International Inc
Priority date: 2015-02-06
Filing date: 2016-02-01
Publication date: 2021-07-13
Anticipated expiration: 2036-02-01
Also published as: AU2016215576B2; EP3254412A4; CN107408184A8; AU2016215576A1; EP3254412A1; WO2016126583A1; US20160232359A1; CN107408184A; US10719608B2; JP2018504717A

Abstract

本公开提供诸如工业过程控制和自动化系统中的补丁监测和分析。一种方法包括：由风险管理器系统(154)发现(405)至少一个连接的装置(130、132、134)，所述至少一个连接的装置(130、132、134)包括针对连接的装置的软件模块(310)和软件模块的安装的补丁信息(315)。所述方法包括：由风险管理器系统(154)识别(410)软件模块(310)的当前补丁信息(320)。所述方法包括：由风险管理器系统(154)根据连接的装置、软件模块(310)、安装的补丁信息(315)、当前补丁信息(320)填充(415)补丁定义文件(210)。所述方法包括：分析(420)补丁定义文件(210)。所述方法包括：由风险管理器系统(154)基于分析产生(405)输出(300)，输出(300)包括软件模块(310)、安装的补丁信息(315)、当前补丁信息(320)和关于安装的补丁信息的软件模块的状态(325)。

Description

补丁监测和分析

相关申请的交叉引用

本申请要求于2015年2月6日提交的第62/113,165号美国临时专利申请的提交日期的利益，该专利申请通过引用并入本文。

技术领域

本公开一般地涉及网络安全。更具体地讲，本公开涉及补丁监测和分析。

背景技术

经常使用工业过程控制和自动化系统管理处理设施。传统控制和自动化系统通常包括各种联网装置，诸如服务器、工作站、交换机、路由器、防火墙、安全系统、私有实时控制器和工业现场装置。经常，这种装备来自于许多不同销售商。在工业环境中，网络安全具有增加的关注，并且这些部件中的任何部件中的未解决的安全弱点能够被攻击者利用来在工业设施中中断操作或引起不安全状况。

发明内容

本公开提供诸如工业过程控制和自动化系统中的补丁监测和分析。一种方法包括：由风险管理器系统发现至少一个连接的装置，所述至少一个连接的装置包括连接的装置的软件模块和软件模块的安装的补丁信息。所述方法包括：由风险管理器系统识别软件模块的当前补丁信息。所述方法包括：由风险管理器系统根据所述装置、软件模块、安装的补丁信息、当前补丁信息来填充补丁定义文件。所述方法包括：分析补丁定义文件。所述方法包括：由风险管理器系统基于所述分析产生输出，所述输出包括软件模块、安装的补丁信息、当前补丁信息和关于安装的补丁信息的软件模块的状态。

另一实施例包括一种风险管理器系统，所述风险管理器系统具有硬件控制器和存储器。所述硬件控制器被配置为：发现至少一个连接的装置，所述至少一个连接的装置包括连接的装置的软件模块和软件模块的安装的补丁信息。所述硬件控制器被配置为：识别软件模块的当前补丁信息。所述硬件控制器被配置为：根据所述装置、软件模块、安装的补丁信息、当前补丁信息来填充补丁定义文件。所述硬件控制器被配置为：分析补丁定义文件。所述硬件控制器被配置为：由风险管理器系统基于所述分析产生输出，所述输出包括软件模块、安装的补丁信息、当前补丁信息和关于安装的补丁信息的软件模块的状态。

根据下面的附图、描述和权利要求，对于本领域技术人员而言，其它技术特征能容易是显而易见的。

附图说明

为了更完整地理解本公开，现在参照下面结合附图做出的描述，其中：

图1图示根据本公开的示例性工业过程控制和自动化系统；

图2图示根据本公开的用于补丁监测和分析的示例性基础构造；

图3图示这里所公开的用于补丁监测的基础构造的输出的示例；和

图4图示根据公开的实施例的过程的流程图。

具体实施方式

以下讨论的附图和用于描述本专利文件中的本发明的原理的各种实施例仅作为说明，并且不应该被以任何方式解释为限制本发明的范围。本领域技术人员将会理解，本发明的原理可被实现于任何类型的合适地布置的装置或系统中。

图1图示根据本公开的示例性工业过程控制和自动化系统100。如图1中所示，系统100包括促进至少一种产品或其它材料的生产或处理的各种部件。例如，系统100在这里被用于促进对一个或多个工厂101a-101n中的部件的控制。每个工厂101a-101n表示一个或多个处理设施(或其一个或多个部分)，诸如用于生产至少一种产品或其它材料的一个或多个制造设施。通常，每个工厂101a-101n可实现一个或多个过程，并且能够分别或共同被称为过程系统。过程系统通常表示被配置为以某种方式处理一种或多种产品或其它材料的任何系统或其一部分。

在图1中，使用过程控制的珀杜模型（Purdue model）实现系统100。在珀杜模型中，“层级0”可包括一个或多个传感器102a和一个或多个致动器102b。传感器102a和致动器102b表示可执行各种功能中的任何功能的过程系统中的部件。例如，传感器102a能够测量过程系统中的各种特性，诸如温度、压强或流量。此外，致动器102b能够改变过程系统中的各种特性。传感器102a和致动器102b能够表示任何合适的过程系统中的任何其它或另外的部件。每个传感器102a包括用于测量过程系统中的一个或多个特性的任何合适的结构。每个致动器102b包括用于对过程系统中的一个或多个状况进行操作或影响过程系统中的一个或多个状况的任何合适的结构。

至少一个网络104被耦合到传感器102a和致动器102b。网络104促进与传感器102a和致动器102b的交互。例如，网络104能够传输来自传感器102a的测量数据，并且将控制信号提供给致动器102b。网络104能够表示任何合适的网络或网络的组合。作为特定示例，网络104能够表示以太网网络、电信号网络(诸如，HART或基金会现场总线网络)、气动控制信号网络或者任何其它或附加的（一个或多个）类型的（一个或多个）网络。

在珀杜模型中，“层级1”可包括一个或多个控制器106，所述一个或多个控制器106耦合到网络104。除其他之外，每个控制器106可使用来自一个或多个传感器102a的测量值控制一个或多个致动器102b的操作。例如，控制器106能够从一个或多个传感器102a接收测量数据并且使用测量数据产生用于一个或多个致动器102b的控制信号。每个控制器106包括用于与一个或多个传感器102a交互并且控制一个或多个致动器102b的任何合适的结构。每个控制器106能够例如表示比例积分微分(PID)控制器或多变量控制器(诸如，鲁棒多变量预测控制技术(RMPCT)控制器)或者实现模型预测控制(MPC)或其它高级预测控制(APC)的其它类型的控制器。作为特定示例，每个控制器106能够表示运行实时操作系统的计算装置。

两个网络108耦合到控制器106。诸如通过向控制器106传输数据以及从控制器106传输数据，网络108促进与控制器106的交互。网络108能够表示任何合适的网络或网络的组合。作为特定示例，网络108能够表示一对冗余以太网网络，诸如来自霍尼韦尔国际公司的容错以太网(FTE)网络。

至少一个交换机/防火墙110将网络108耦合到两个网络112。交换机/防火墙110可从一个网络向另一网络传输通信业务。交换机/防火墙110也可阻止一个网络上的通信业务到达另一网络。交换机/防火墙110包括用于提供网络之间的通信的任何合适的结构，诸如霍尼韦尔控制防火墙(CF9)装置。网络112能够表示任何合适的网络，诸如FTE网络。

在珀杜模型中，“层级2”可包括一个或多个机器级控制器114，所述一个或多个机器级控制器114耦合到网络112。机器级控制器114执行各种功能以支持可能与一件特定工业装备(诸如，锅炉或其它机器)关联的控制器106、传感器102a和致动器102b的操作和控制。例如，机器级控制器114能够记录由控制器106收集或产生的信息，诸如来自传感器102a的测量数据或用于致动器102b的控制信号。机器级控制器114还能够执行控制控制器106的操作的应用，由此控制致动器102b的操作。另外，机器级控制器114能够提供对控制器106的安全访问。每个机器级控制器114包括用于提供如下各项的任何合适的结构：对机器或其它个体装备的访问、对机器或其它个体装备的控制或者与机器或其它个体装备有关的操作。每个机器级控制器114能够例如表示运行微软视窗操作系统的服务器计算装置。虽然未示出，但不同机器级控制器114能够被用于控制过程系统中的不同装备(其中每件装备与一个或多个控制器106、传感器102a和致动器102b关联)。

一个或多个操作员站116耦合到网络112。操作员站116表示提供对机器级控制器114的用户访问的计算或通信装置，机器级控制器114能够随后提供对控制器106的用户访问(并且可能提供对传感器102a和致动器102b的用户访问)。作为特定示例，操作员站116能够允许用户使用由控制器106和/或机器级控制器114收集的信息审阅传感器102a和致动器102b的操作历史。操作员站116还能够允许用户调整传感器102a、致动器102b、控制器106或机器级控制器114的操作。另外，操作员站116能够接收并且显示警告、警报或者由控制器106或机器级控制器114产生的其它消息或显示。每个操作员站116包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何合适的结构。每个操作员站116能够例如表示运行微软视窗操作系统的计算装置。

至少一个路由器/防火墙118将网络112耦合到两个网络120。路由器/防火墙118包括用于提供网络之间的通信的任何合适的结构，诸如安全路由器或组合路由器/防火墙。网络120能够表示任何合适的网络，诸如FTE网络。

在珀杜模型中，“层级3”可包括一个或多个单元级控制器122，所述一个或多个单元级控制器122耦合到网络120。每个单元级控制器122通常与过程系统中的单元关联，所述单元表示一起操作以实现过程的至少一部分的一批不同机器。单元级控制器122执行各种功能以支持较低层级中的部件的操作和控制。例如，单元级控制器122能够记录由较低层级中的部件收集或产生的信息，执行控制较低层级中的部件的应用，并且提供对较低层级中的部件的安全访问。每个单元级控制器122包括用于提供如下各项的任何合适的结构：对一个或多个机器或处理单元中的其它装备的访问、对一个或多个机器或处理单元中的其它装备的控制或者与一个或多个机器或处理单元中的其它装备有关的操作。每个单元级控制器122能够例如表示运行微软视窗操作系统的服务器计算装置。虽然未示出，但不同单元级控制器122能够被用于控制过程系统中的不同单元(其中每个单元与一个或多个机器级控制器114、控制器106、传感器102a和致动器102b关联)。

对单元级控制器122的访问可由一个或多个操作员站124提供。每个操作员站124包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何合适的结构。每个操作员站124能够例如表示运行微软视窗操作系统的计算装置。

至少一个路由器/防火墙126将网络120耦合到两个网络128。路由器/防火墙126包括用于提供网络之间的通信的任何合适的结构，诸如安全路由器或组合路由器/防火墙。网络128能够表示任何合适的网络，诸如FTE网络。

在珀杜模型中，“层级4”可包括一个或多个工厂级控制器130，所述一个或多个工厂级控制器130耦合到网络128。每个工厂级控制器130通常与工厂101a-101n之一关联，工厂101a-101n可包括实现相同、相似或不同过程的一个或多个过程单元。工厂级控制器130执行各种功能以支持较低层级中的部件的操作和控制。作为特定示例，工厂级控制器130能够执行一个或多个制造执行系统(MES)应用、调度应用或者其它或附加工厂或过程控制应用。每个工厂级控制器130包括用于提供如下各项的任何合适的结构：对过程工厂中的一个或多个过程单元的访问、对过程工厂中的一个或多个过程单元的控制或者与过程工厂中的一个或多个过程单元有关的操作。每个工厂级控制器130能够例如表示运行微软视窗操作系统的服务器计算装置。

对工厂级控制器130的访问可由一个或多个操作员站132提供。每个操作员站132包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何合适的结构。每个操作员站132能够例如表示运行微软视窗操作系统的计算装置。

至少一个路由器/防火墙134将网络128耦合到一个或多个网络136。路由器/防火墙134包括用于提供网络之间的通信的任何合适的结构，诸如安全路由器或组合路由器/防火墙。网络136能够表示任何合适的网络，诸如企业范围以太网或者其它网络或者较大网络(诸如，互联网)的全部或一部分。

在珀杜模型中，“层级5”可包括一个或多个企业级控制器138，所述一个或多个企业级控制器138耦合到网络136。每个企业级控制器138通常能够执行多个工厂101a-101n的计划操作，并且控制工厂101a-101n的各种方面。企业级控制器138也能够执行各种功能以支持工厂101a-101n中的部件的操作和控制。作为特定示例，企业级控制器138能够执行一个或多个订单处理应用、企业资源计划(ERP)应用、高级计划和调度(APS)应用或者任何其它或另外的企业控制应用。每个企业级控制器138包括用于提供如下各项的任何合适的结构：对一个或多个工厂的访问、对一个或多个工厂的控制或者与一个或多个工厂有关的操作。每个企业级控制器138能够例如表示运行微软视窗操作系统的服务器计算装置。在这个文件中，术语“企业”指代具有待管理的一个或多个工厂或者其它处理设施的组织。要注意的是，如果将要管理单个工厂101a，则企业级控制器138的功能能够被合并到工厂级控制器130中。

对企业级控制器138的访问可由一个或多个操作员站140提供。每个操作员站140包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何合适的结构。每个操作员站140能够例如表示运行微软视窗操作系统的计算装置。

珀杜模型的各个层级能够包括其它部件，诸如一个或多个数据库。与每个层级关联的（一个或多个）数据库能够存储与所述层级或者系统100的一个或多个其它层级关联的任何合适的信息。例如，历史库141能够被耦合到网络136。历史库141能够表示存储关于系统100的各种信息的部件。历史库141能够例如存储在生产调度和优化期间使用的信息。历史库141表示用于存储信息和促进信息的取回的任何合适的结构。虽然示出为耦合到网络136的单个集中式部件，但历史库141能够位于系统100中别处，或者多个历史库能够分布在系统100中的不同位置。

在特定实施例中，图1中的各种控制器和操作员站可表示计算装置。例如，控制器106、114、122、130、138中的每一个能够包括一个或多个处理装置142和用于存储由（一个或多个）处理装置142使用、产生或收集的指令和数据的一个或多个存储器144。控制器106、114、122、130、138中的每一个还能够包括至少一个网络接口146，诸如一个或多个以太网接口或无线收发器。此外，操作员站116、124、132、140中的每一个能够包括一个或多个处理装置148和用于存储由（一个或多个）处理装置148使用、产生或收集的指令和数据的一个或多个存储器150。操作员站116、124、132、140中的每一个还能够包括至少一个网络接口152，诸如一个或多个以太网接口或无线收发器。

如上所述，关于工业过程控制和自动化系统，网络安全具有增加的关注。确保工业地点安全并且可运行可能是非常重要的。提供安全工业地点的一个要素是利用最近的安全更新和补丁确保构成控制系统的所有软件/固件部件是最新的。系统100中的任何部件中的未解决的安全弱点可能被攻击者利用来在工业工厂中中断生产或引起不安全状况。

随着不断呈现的新的安全威胁，对于工厂运行和分布式控制系统(DCS)销售商来说挑战是：针对最近的威胁保持最新以理解工业地点所处于的风险水平。对于经常具有拥有不同版本的操作系统和其它核心第三方部件的各种新的和旧的系统的DCS销售商来说，这个问题更加复杂。

本公开意识到需要这样一种解决方案：能够评估工业地点或其它地点处的软件/固件的当前补丁/更新状态，识别所需要的更新，并且确立所述系统的总体风险水平。这个方案支持诸如下面的特征：

•利用补丁和更新的工业标准表示，该补丁和更新的工业标准表示包括补丁的属性以及补丁应用到的工厂解决方案；和

•评估系统的当前补丁状态并且呈现应该被添加到所述系统或从所述系统去除的补丁的相关总结以及所述地点的总体风险水平的软件。

通过使用风险管理器154(或者其他方式)来实现这一点。风险管理器154包括支持补丁监测和分析的任何合适的结构。这里，风险管理器154包括：一个或多个处理装置156；一个或多个存储器158，用于存储由（一个或多个）处理装置156使用、产生或收集的指令和数据；和至少一个网络接口160。每个处理装置156能够表示微处理器、微控制器、数字信号处理器、现场可编程门阵列、专用集成电路或分立逻辑。每个存储器158能够表示易失性或非易失性存储和取回装置，诸如随机存取存储器或闪存。每个网络接口160能够表示以太网接口、无线收发器或促进外部通信的其它装置。能够使用任何合适的硬件或硬件和软件/固件指令的组合实现风险管理器154的功能。

图2图示根据本公开的用于补丁监测和分析的示例性基础构造200。能够使用例如风险管理器154或由另一控制器或硬件系统支持或实现基础构造200。基础构造200包括风险仪表盘205，风险仪表盘205提供用户界面，从而用户能够观看报告220和来自补丁分析215的其它信息并且能够配置补丁分析215。基础构造200还包括如这里所述的补丁定义文件210，补丁定义文件210可由补丁分析215读取和写入。基础构造200还包括补丁收集器225，补丁收集器225能够分析任何连接的装置(诸如，图1中图示的任何装置或部件)的软件模块的当前补丁或版本状态，并且将补丁信息返回给补丁分析215，补丁分析215能够使用这种补丁信息填充补丁定义文件210。

销售商经常具有他们自己的关于打补丁的策略，并且这些策略可能十分不同。例如，一些销售商部署增量补丁，而其它销售商部署全面的并且替换所有以前补丁的更新。补丁也经常被分类为安全相关或非安全相关，并且补丁经常与优先级或关键性关联。另外，系统提供商可能花费大量时间来使补丁有资格用于他们的系统以确保补丁有用且非伤害。在一些情况下，补丁不被安装在特定系统上是很重要的。

根据本公开，风险管理器154支持将补丁定义文件210用于补丁。补丁定义文件210能够容纳针对补丁的许多或所有以上变化，并且补丁定义文件210能够被用于评估目标系统的补丁状态。将包括补丁的单个补丁定义文件210用于多个第三方补丁是独特且全面的。然而，要注意的是，也能够使用其它定义文件。补丁定义文件210能够在单个文件中包括用于来自多个销售商的多个软件模块的补丁信息。

在各种实施例中，补丁定义文件210能够在针对被分析的每个装置上的每个产品和补丁的条目中包括表1-3中描述的一个或多个特征。在“Security for IndustrialAutomation and Control Systems - Patch management in the IACS Environment”(ISA-TR62443-2-3 (IEC/TR 62443-2-3) ，在isa99.isa.org在提交时间可用并且通过引用被合并于此)中更详细地描述能够用于这里描述的各种实施例的这些特征和其它特征。

此外，根据本公开，风险管理器154实现一工具，所述工具可以被用于使用补丁收集器225从目标计算节点搜集安装的补丁信息并且使用补丁分析215提供独特分析。补丁信息能够标识安装在目标计算节点上或在目标计算节点上执行的软件/固件的当前状态。所述分析不仅识别缺少的补丁，而且能够使用一组独特分析规则来评估当前系统的打补丁状态创建的风险。作为示例，这些规则能够使用下面的关于补丁的信息：

•补丁关键性或紧急性。

•补丁类型(安全或非安全)。

•补丁状态(当前或已否决)。

•与其它补丁的关系(“替换”或“被替换”)。

•补丁已有资格用于的销售商产品。

•补丁已被拒绝用于的销售商产品。

这个方案能够提供产生风险水平的工业独特补丁分析，当工业地点(或其一部分)涉及补丁时，风险水平“一目了然”地示出工业地点(或其一部分)的安全水平。另外，这种分析提供关于具体使所述系统合规所需的内容的详细信息。

在一些实施例中，能够通过图示为风险仪表盘205的投产（on-product）仪表盘部件以及通过定期提供给用户的报告220呈现分析的结果。图2示出这个方案的一个示例性实现方式的高级架构。投产风险仪表盘205能够识别总体风险值，并且提供“向下探究”的能力以便获得关于降低风险水平所需的内容的细节。所述报告能够具有文本格式的相同信息，或者能够具有更多、更少或不同的信息。

图3图示来自这里所公开的用于补丁监测的基础构造200的输出300的示例，输出300例如在风险仪表盘205中或作为报告220能够由风险管理器154实现并且能够由补丁分析215产生。

输出300的这个示例用于装置A 305，装置A 305可以是图1中或另外的任何装置或部件。在这个示例中，补丁收集器225已识别安装在装置A 305上的软件310，软件310在这里被示出为模块A-D。补丁定义文件210已被填充有由补丁收集器225收集的补丁信息，所述补丁信息由补丁分析215使用以产生输出300。每个模块具有在补丁定义文件210中表示并且在以上的表中描述的大量关联的数据。

在这个示例中，针对装置A 305上的每个软件310，输出300示出补丁版本315(安装在装置A 305上的版本)、当前补丁版本320(可用的最新补丁)和关于补丁版本的软件的状态325。

在这个示例中，模块A具有补丁版本1.2，补丁版本1.2是当前补丁版本，因此它的状态被列出为当前。模块B具有补丁版本3.8.545，但当前补丁版本是3.9.1，因此它的状态被列出为“过时”。模块C具有补丁版本2.0.1，补丁版本2.0.1是当前补丁版本，但补丁收集器已标注这个版本被视为“否决”，从而“否决”被列出在状态中。最后，模块D具有补丁版本5.4，补丁版本5.4是当前补丁版本，因此它的状态被列出为当前。

当然，图3仅呈现用于补丁监测的基础构造200的输出300的一个简单示例，并且本领域技术人员将会意识到，能够呈现其它或另外的输出数据。

图4图示能够例如由风险管理器154或其它装置(以下统称为“系统”)执行的过程400的流程图。具体来说，所述过程能够由包括至少控制器、存储器和显示器的风险管理器系统执行。

所述系统发现至少一个连接的装置，所述至少一个连接的装置包括针对连接的装置的软件模块和针对软件模块的安装的补丁信息(405)。所述连接的装置可以是例如图1中或另外图示的任何装置或部件。每个装置可具有多个软件模块，并且“模块”意图一般地指代能够被打补丁以便被更新的任何软件产品、应用或其它元件，包括但不限于安全或反病毒软件、应用软件、操作系统软件和其它软件。这能够例如由这里所描述的一个或多个补丁收集器225执行。这个步骤能够包括：获得与计算系统中的多个装置关联的信息，所述信息标识安装在装置上的软件/固件的当前状态。

所述系统识别软件模块的当前补丁信息(410)。这能够例如由这里所述的一个或多个补丁收集器225执行，并且能够通过例如检查经互联网的或来自已经在补丁定义文件210中的条目的当前补丁信息来执行。

所述系统根据装置、软件模块、安装的补丁信息、当前补丁信息或其它信息填充补丁定义文件210(415)。这个过程能够由补丁分析215执行。当然，在许多情况下，将会已经存在已经填充补丁定义文件的许多数据，并且这个过程用于更新补丁定义文件。

所述系统分析补丁定义文件210(420)。这可以包括分析关于装置的数据、每个装置上的软件模块、每个软件模块的安装的补丁信息、每个软件模块的当前补丁信息或其它信息。具体来说，这种分析可以包括识别每个软件模块的当前、过时和否决的安装的补丁信息。这个步骤可以包括：使用补丁定义文件分析存储的信息，补丁定义文件包含与针对软件/固件的多个补丁关联的补丁信息。

在一些实施例中，这种分析可以应用分析规则以评估装置的打补丁状态创建的与装置或软件模块关联的安全风险。作为示例，这些规则能够使用关于补丁的信息，包括补丁关键性或紧急性、补丁类型(安全或非安全)、补丁状态(当前或否决)、与其它补丁的关系(“替换”或“被替换”)、补丁已有资格用于的销售商产品或补丁已被拒绝用于的销售商产品。

所述系统基于分析产生输出300(425)。所述输出可以基于分析标识(i)每个装置的状态和(ii)与每个装置关联的安全风险。所述输出可以针对装置上的每个软件模块示出安装的补丁信息、当前补丁信息和关于安装的补丁信息的软件模块的状态。所述输出可以包括应该被添加到所述系统或从所述系统去除的补丁的概要以及总体风险水平。

虽然图1图示工业过程控制和自动化系统100的一个示例，但可对图1做出各种改变。例如，控制和自动化系统能够包括任何数量的传感器、致动器、控制器、服务器、操作员站、网络、风险管理器和其它部件。此外，图1中的系统100的构成和布置仅用于说明。能够根据特定需要按照任何其它合适的配置添加、省略、组合或放置部件。另外，特定功能已被描述为由系统100的特定部件执行。这仅用于说明。通常，控制和自动化系统是高度可配置的，并且能够根据特定需要以任何合适的方式被配置。另外，图1图示能够在其中使用风险管理器154的功能的示例环境。能够在任何其它合适的装置或系统中使用这个功能。

虽然图2图示用于补丁监测和分析的基础构造200的一个示例，但可对图2做出各种改变。例如，图2中的部件和子部件的功能划分仅用于说明。根据特定需要，各种部件或子部件能够被组合、进一步细分、重新布置或省略，并且另外的部件或子部件能够被添加。

要注意的是，这里示出的用于补丁监测和分析的风险管理器154和/或基础构造200能够结合在以下以前提交和共同提交的专利申请(全部专利申请通过引用合并于此)中描述的各种特征使用或操作：

•标题为“DYNAMIC QUANTIFICATION OF CYBER-SECURITY RISKS IN A CONTROLSYSTEM”的第14/482,888号美国专利申请；

•标题为“ANALYZING CYBER-SECURITY RISKS IN AN INDUSTRIAL CONTROLENVIRONMENT”的第62/036,920号美国临时专利申请；

•标题为“RULES ENGINE FOR CONVERTING SYSTEM-RELATED CHARACTERISTICSAND EVENTS INTO CYBER-SECURITY RISK ASSESSMENT VALUES”的第62/113,075号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871,695(档案号码H0048932-0115)；

•标题为“NOTIFICATION SUBSYSTEM FOR GENERATING CONSOLIDATED, FILTERED,AND RELEVANT SECURITY RISK-BASED NOTIFICATIONS”的第62/113,221号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871, 521(档案号码H0048937-0115)；

•标题为“TECHNIQUE FOR USING INFRASTRUCTURE MONITORING SOFTWARE TOCOLLECT CYBER-SECURITY RISK DATA”的第62/113,100号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871, 855(档案号码H0048943-0115)；

•标题为“INFRASTRUCTURE MONITORING TOOL FOR COLLECTING INDUSTRIALPROCESS CONTROL AND AUTOMATION SYSTEM RISK DATA”的第62/113,186号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871,732(档案号码H0048945-0115)；

•标题为“APPARATUS AND METHOD FOR AUTOMATIC HANDLING OF CYBER-SECURITYRISK EVENTS”的第62/113,152号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871,503(档案号码H0049067-0115)；

•标题为“APPARATUS AND METHOD FOR DYNAMIC CUSTOMIZATION OF CYBER-SECURITY RISK ITEM RULES”的第62/114,928号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871,605(档案号码H0049099-0115)；

•标题为“APPARATUS AND METHOD FOR PROVIDING POSSIBLE CAUSES,RECOMMENDED ACTIONS, AND POTENTIAL IMPACTS RELATED TO IDENTIFIED CYBER-SECURITY RISK ITEMS”的第62/114,865号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871,814(档案号码H0049103-0115)；

•标题为“APPARATUS AND METHOD FOR TYING CYBER-SECURITY RISK ANALYSISTO COMMON RISK METHODOLOGIES AND RISK LEVELS”的第62/114,937号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871,136(档案号码H0049104-0115)；和

•标题为“RISK MANAGEMENT IN AN AIR-GAPPED ENVIRONMENT”的第62/116,245号美国临时专利申请和相同标题的与本申请共同提交的对应非临时美国专利申请14/871,547(档案号码H0049081-0115)。

在一些实施例中，通过由计算机可读程序代码形成并且体现在计算机可读介质中的计算机程序来实现或支持在这个专利文件中描述的各种功能。短语“计算机可读程序代码”包括任何类型的计算机代码，包括源代码、目标代码和可执行代码。短语“计算机可读介质”包括能够由计算机访问的任何类型的介质，诸如只读存储器(ROM)、随机存取存储器(RAM)、硬盘驱动器、压缩盘(CD)、数字视频盘(DVD)或任何其它类型的存储器。“非暂态”计算机可读介质不包括传输暂态电信号或其它信号的有线、无线、光学或其它通信链路。非暂态计算机可读介质包括能够永久地存储数据的介质和能够存储并且稍后覆写数据的介质，诸如可重写光盘或可擦除存储器装置。

可有益地的是阐述在这个专利文件中始终使用的某些词语和短语的定义。术语“应用”和“程序”指代适应于以合适的计算机代码(包括源代码、目标代码或可执行代码)实现的一个或多个计算机程序、软件部件、指令集、过程、功能、对象、类、实例、相关数据或其一部分。术语“通信”及其派生词包括直接通信和间接通信。术语“包括”和“包含”及其派生词表示非限制性地包括。术语“或”是包括性的，表示和/或。短语“与...关联”及其派生词可表示包括、被包括在...内、与...互连、包含、被包含在...内、连接到...或与...连接、耦合到...或与...耦合、与...通信、与...协作、交错、并置、接近于、绑定到...或与...绑定、具有、具有…的性质、和...有关系或与...有关系等。当与项的列表一起使用时，短语“...中的至少一个”表示：可使用列出的项中的一个或多个项的不同组合，并且可能仅需要所述列表中的一项。例如，“A、B和C中的至少一个”包括任何下面的组合：A、B、C、A和B、A和C、B和C以及A和B和C。

尽管本公开已描述某些实施例和通常关联的方法，但这些实施例和方法的改变和排列对于本领域技术人员而言将会是显而易见的。因此，示例实施例的以上描述不定义或限制本公开。在不脱离由下面的权利要求定义的本公开的精神和范围的情况下，其它变化、替换和改变也是可能的。

Claims

1.一种用于在工业过程控制和自动化系统中进行补丁监测的方法，包括：

由风险管理器系统(154)发现(405)至少一个连接的装置(130、132、134)，所述至少一个连接的装置(130、132、134)包括针对连接的装置的软件模块(310)和软件模块的安装的补丁信息(315)；

由风险管理器系统(154)识别(410)软件模块(310)的当前补丁信息(320)；

由风险管理器系统(154)根据连接的装置、软件模块(310)、安装的补丁信息 (315)、当前补丁信息(320)填充(415)补丁定义文件(210)；

分析(420)补丁定义文件(210)以评估与所述连接的装置或所述软件模块关联的安全风险，所述安全风险基于所述安装的补丁信息和所述当前补丁信息，其中所述分析包括补丁关键性或紧急性、补丁类型和与其它补丁的关系；以及

由风险管理器系统(154)基于所述分析产生(405)输出(300)，所述输出(300)识别所述安全风险、软件模块(310)、安装的补丁信息(315)、当前补丁信息(320)和关于安装的补丁信息的软件模块的状态(325)。

2.如权利要求1所述的方法，其中所述分析包括应用分析规则以评估与连接的装置或软件模块关联的安全风险，其中分析规则包括以下各项中的至少一项：补丁已有资格用于的销售商产品或补丁已被拒绝用于的销售商产品。

3.如权利要求1所述的方法，其中所述连接的装置具有多个软件模块(310)，每个软件模块(310)具有对应安装的补丁信息(315)和当前补丁信息(320)。

4.如权利要求1所述的方法，其中由风险管理器系统(154)发现至少一个连接的装置包括：获得与计算系统中的多个连接的装置关联的信息，所述信息标识安装在连接的装置上的软件/固件的当前状态。

5.如权利要求1所述的方法，其中填充补丁定义文件(210)包括更新已经在补丁定义文件中的信息。

6.如权利要求1所述的方法，其中所述输出(300)包括连接的装置的标识、软件模块的标识、与安装的补丁信息对应的版本号和与当前补丁信息对应的版本号。

7.如权利要求1所述的方法，其中所述输出(300)是显示给用户的风险仪表盘用户界面(205)。

8.如权利要求1所述的方法，其中所述补丁定义文件(210)在单个文件中存储来自多个销售商的多个软件模块的补丁信息。

9.如权利要求1所述的方法，其中所述输出(300)包括应该被添加到连接的装置或从连接的装置去除的补丁的概要。

10.一种用于在工业过程控制和自动化系统中进行补丁监测的风险管理器系统(154)，包括：

硬件控制器(156)；和

存储器(158)，所述硬件控制器被配置为：

发现(405)至少一个连接的装置(130、132、134)，所述至少一个连接的装置(130、132、134)包括针对连接的装置的软件模块(310)和软件模块的安装的补丁信息(315)；

识别(410)软件模块(310)的当前补丁信息(320)；

由风险管理器系统(154)根据连接的装置、软件模块(310)、安装的补丁信息(315)、当前补丁信息(320)填充(415)补丁定义文件(210)；

由风险管理器系统(154)基于分析产生(405)输出(300)，所述输出(300)识别所述安全风险、软件模块(310)、安装的补丁信息(315)、当前补丁信息(320)和关于安装的补丁信息的软件模块的状态(325)。

11.如权利要求10所述的风险管理器系统，其中所述分析包括应用分析规则以评估与连接的装置或软件模块关联的安全风险，其中分析规则包括以下各项中的至少一项：补丁已有资格用于的销售商产品或补丁已被拒绝用于的销售商产品。

12.如权利要求10所述的风险管理器系统，其中由风险管理器系统发现至少一个连接的装置包括：获得与计算系统中的多个连接的装置关联的信息，所述信息标识安装在连接的装置上的软件/固件的当前状态。

13.如权利要求10所述的风险管理器系统，其中所述输出包括连接的装置的标识、软件模块的标识、与安装的补丁信息对应的版本号和与当前补丁信息对应的版本号。

14.如权利要求10所述的风险管理器系统，其中所述输出包括应该被添加到连接的装置或从连接的装置去除的补丁的概要。