CN107409141B - 用于网络安全风险项目规则的动态定制的装置和方法 - Google Patents

Abstract

本公开提供了用于网络安全风险项目规则的动态定制的装置和方法。方法包括通过风险管理器系统（154）获得（405）定义规则的信息，所述规则标识对工业过程控制和自动化系统（100）中的计算设备（106、114、122、130、138）的网络安全风险。方法包括通过风险管理器系统（154）向用户呈现（410）描述该规则的文本描述，所述文本描述包括与该规则相关联的可选配置参数。方法包括通过风险管理器系统（154）接收（415）用户对配置参数的选择。方法包括响应于接收到用户对配置参数的选择而通过风险管理器系统（154）从用户接收（420）与配置参数相关联的值。

Description

用于网络安全风险项目规则的动态定制的装置和方法

相关申请的交叉引用

本申请要求2015年2月6日提交的美国临时专利申请62/113,152和2015年2月11日提交的美国临时专利申请62/114,928的提交日期的权益，其通过引用并入本文。

技术领域

本公开一般地涉及网络安全。更具体地，本公开涉及用于网络安全（cyber-security）风险项目规则的动态定制（customization）的装置和方法。

背景技术

经常使用工业过程控制和自动化系统来管理处理设施。常规控制和自动化系统惯常地包括多种联网设备，诸如服务器、工作站、交换机、路由器、防火墙、安全系统、专属实时控制器和工业现场设备。时常地，此装备来自多个不同的销售商。在工业环境中，网络安全具有越来越多的关注，并且这些部件中的任一个中未解决的安全脆弱性（vulnerability）都可能被攻击者利用来破坏操作或者引起工业设施中的非安全状况。

发明内容

本公开提供了用于网络安全风险项目规则的动态定制的装置和方法。

方法包括通过风险管理器系统来获得定义规则的信息，所述规则标识对工业过程控制和自动化系统中的计算设备的网络安全风险。方法包括通过风险管理器系统向用户呈现描述该规则的文本描述，所述文本描述包括与该规则相关联的可选配置参数。方法包括通过风险管理器系统接收用户对配置参数的选择。方法包括响应于接收到用户对配置参数的选择而通过风险管理器系统从用户接收与配置参数相关联的值。

另一方法包括通过风险管理器系统与用户交互以针对要在多个已连接设备之中监视的风险项目而定义多个规则。方法包括通过风险管理器系统将规则中的每一个映射到已连接设备中的对应一个或多个。方法包括通过风险管理器系统根据规则来监视已连接设备。方法包括通过风险管理器系统基于所述规则和已连接设备的状态来显示输出。

根据下面各图、描述和权利要求，其它技术特征对于本领域技术人员而言可以是容易地显而易见的。

附图说明

为了更加完全地理解本公开，现在参照结合附图进行的下面描述，其中：

图1图示了根据本公开的示例工业过程控制和自动化系统；

图2A到2H图示了根据本公开的支持网络安全风险项目规则的动态定制的示例图形用户接口机构；以及

图3和4图示了依照所公开的实施例的过程的流程图。

具体实施方式

下面讨论的各图以及用来在此专利文档中描述本发明的原理的各种实施例仅是作为说明并且不应当以任何方式被解释成限制本发明的范围。本领域技术人员将理解到，本发明的原理可以在任何类型的适当布置的设备或者系统中实现。

图1图示了根据本公开的示例工业过程控制和自动化系统100。如图1中所示，系统100包括促进至少一个产品或其它材料的生产或处理的各种部件。例如，系统100在这里用来促进对一个或多个工厂101a-101n中的部件的控制。每一个工厂101a-101n表示一个或多个处理设施（或者其一个或多个部分），诸如用于生产至少一个产品或其它材料的一个或多个制造设施。一般地，每一个工厂101a-101n可以实现一个或多个过程并且可以单独地或者集体地称为过程系统。过程系统一般地表示配置成以某种方式处理一个或多个产品或其它材料的任何系统或其一部分。

在图1中，使用过程控制的Purdue模型来实现系统100。在Purdue模型中，“级别0”可以包括一个或多个传感器102a和一个或多个致动器102b。传感器102a和致动器102b表示可以执行各种各样的功能中的任一个的过程系统中的部件。例如，传感器102a可以测量过程系统中的各种各样的特性，诸如温度、压强（pressure）或者流速率。而且，致动器102b可以更改过程系统中的各种各样的特性。传感器102a和致动器102b可以表示任何适合的过程系统中的任何其它或者另外的部件。传感器102a中的每一个包括用于测量过程系统中的一个或多个特性的任何适合的结构。致动器102b中的每一个包括用于对过程系统中的一个或多个状况进行操作或者影响其的任何适合的结构。

至少一个网络104耦合到传感器102a和致动器102b。网络104促进与传感器102a和致动器102b的交互。例如，网络104可以输运来自传感器102a的测量数据并且将控制信号提供给致动器102b。网络104可以表示任何适合的网络或者网络的组合。作为特定示例，网络104可以表示以太网网络、电气信号网络（诸如HART或者FOUNDATION FIELDBUS网络）、气动控制信号网络、或者任何其它或者（多个）附加类型的（多个）网络。

在Purdue模型中，“级别1”可以包括耦合到网络104的一个或多个控制器106。除了其它事物之外，每一个控制器106可以使用来自一个或多个传感器102a的测量结果来控制一个或多个致动器102b的操作。例如，控制器106可以从一个或多个传感器102a接收测量数据并且使用该测量数据来生成用于一个或多个致动器102b的控制信号。每一个控制器106包括用于与一个或多个传感器102a交互并且控制一个或多个致动器102b的任何适合的结构。每一个控制器106例如可以表示比例积分微分（PID）控制器或者多变量控制器，诸如鲁棒型多变量预测控制技术（RMPCT）控制器，或者实现模型预测控制（MPC）或其它高级预测控制（APC）的其它类型控制器。作为特定示例，每一个控制器106可以表示运行实时操作系统的计算设备。

两个网络108耦合到控制器106。网络108促进与控制器106的交互，诸如通过向和从控制器106输运数据。网络108可以表示任何适合的网络或者网络的组合。作为特定示例，网络108可以表示以太网网络的冗余对，诸如来自霍尼韦尔国际公司的容错以太网（FTE）网络。

至少一个交换机/防火墙110将网络108耦合到两个网络112。交换机/防火墙110可以从一个网络向另一个网络输运业务（traffic）。交换机/防火墙110还可以阻挡一个网络上的业务到达另一个网络。交换机/防火墙110包括用于提供网络之间的通信的任何适合的结构，诸如霍尼韦尔控制防火墙（CF9）设备。网络112可以表示任何适合的网络，诸如FTE网络。

在Purdue模型中，“级别2”可以包括耦合到网络112的一个或多个机器级控制器114。机器级控制器114执行各种功能以支持可以与特定一台工业装备（诸如锅炉或其它机器）相关联的控制器106、传感器102a和致动器102b的操作和控制。例如，机器级控制器114可以记录（log）由控制器106收集或生成的信息，诸如来自传感器102a的测量数据或者用于致动器102b的控制信号。机器级控制器114还可以执行对控制器106的操作进行控制的应用，由此控制致动器102b的操作。此外，机器级控制器114可以提供对控制器106的安全访问。机器级控制器114中的每个包括用于提供对机器或者其它单个台的装备的访问、控制或者与其有关的操作的任何适合的结构。机器级控制器114中的每个例如可以表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。尽管没有示出，但是不同的机器级控制器114可以用来控制过程系统中的不同各台装备（其中每一台装备与一个或多个控制器106、传感器102a和致动器102b相关联）。

一个或多个操作员站116耦合到网络112。操作员站116表示提供对机器级控制器114的用户访问的计算或通信设备，其然后可以提供对控制器106（以及可能地，传感器102a和致动器102b）的用户访问。作为特定示例，操作员站116可以允许用户使用由控制器106和/或机器级控制器114收集的信息来回顾传感器102a和致动器102b的操作历史。操作员站116还可以允许用户调整传感器102a、致动器102b、控制器106或机器级控制器114的操作。此外，操作员站116可以接收和显示由控制器106或机器级控制器114生成的警告、警报、或者其它消息或显示。操作员站116中的每个包括用于支持系统100中的一个或多个部件的用户访问和控制的任何适合的结构。操作员站116中的每个例如可以表示运行MICROSOFTWINDOWS操作系统的计算设备。

至少一个路由器/防火墙118将网络112耦合到两个网络120。路由器/防火墙118包括用于提供网络之间的通信的任何适合的结构，诸如安全路由器或者组合路由器/防火墙。网络120可以表示任何适合的网络，诸如FTE网络。

在Purdue模型中，“级别3”可以包括耦合到网络120的一个或多个单元级控制器122。每一个单元级控制器122通常与过程系统中的单元相关联，其表示一起操作以实现过程的至少一部分的不同机器的集合。单元级控制器122执行各种功能以支持较低级别中的部件的操作和控制。例如，单元级控制器122可以记录由较低级别中的部件收集或生成的信息，执行控制较低级别中的部件的应用，并且提供对较低级别中的部件的安全访问。单元级控制器122中的每个包括用于提供对过程单元中的一个或多个机器或者其它各台装备的访问、控制或者与其有关的操作的任何适合的结构。单元级控制器122中的每个例如可以表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。尽管没有示出，但是可以使用不同的单元级控制器122来控制过程系统中的不同单元（其中每一个单元与一个或多个机器级控制器114、控制器106、传感器102a和致动器102b相关联）。

可以由一个或多个操作员站124提供对单元级控制器122的访问。操作员站124中的每一个包括用于支持系统100中的一个或多个部件的用户访问和控制的任何适合的结构。操作员站124中的每一个例如可以表示运行MICROSOFT WINDOWS操作系统的计算设备。

至少一个路由器/防火墙126将网络120耦合到两个网络128。路由器/防火墙126包括用于提供网络之间的通信的任何适合的结构，诸如安全路由器或组合路由器/防火墙。网络128可以表示任何适合的网络，诸如FTE网络。

在Purdue模型中，“级别4”可以包括耦合到网络128的一个或多个工厂级控制器130。每一个工厂级控制器130通常与工厂101a-101n中的一个相关联，所述工厂101a-101n可以包括实现相同、相似或不同过程的一个或多个过程单元。工厂级控制器130执行各种功能以支持较低级别中的部件的操作和控制。作为特定示例，工厂级控制器130可以执行一个或多个制造执行系统（MES）应用、调度应用、或者其它或附加的工厂或过程控制应用。工厂级控制器130中的每一个包括用于提供对过程工厂中的一个或多个过程单元的访问、控制或者与其有关的操作的任何适合的结构。工厂级控制器130中的每个例如可以表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。

可以由一个或多个操作员站132提供对工厂级控制器130的访问。操作员站132中的每一个包括用于支持系统100中的一个或多个部件的用户访问和控制的任何适合的结构。操作员站132中的每一个例如可以表示运行MICROSOFT WINDOWS操作系统的计算设备。

至少一个路由器/防火墙134将网络128耦合到一个或多个网络136。路由器/防火墙134包括用于提供网络之间的通信的任何适合的结构，诸如安全路由器或者组合路由器/防火墙。网络136可以表示任何适合的网络，诸如全企业（enterprise-wide）以太网或者其它网络或者较大网络（诸如互联网）的一部分或全部。

在Purdue模型中，“级别5”可以包括耦合到网络136的一个或多个企业级控制器138。每一个企业级控制器138通常能够执行用于多个工厂101a-101n的规划操作并且控制工厂101a-101n的各种方面。企业级控制器138还可以执行各种功能以支持工厂101a-101n中的部件的操作和控制。作为特定示例，企业级控制器138可以执行一个或多个订单处理应用、企业资源规划（ERP）应用、高级规划和调度（APS）应用、或者任何其它或附加的企业控制应用。企业级控制器138中的每一个包括用于提供对一个或多个工厂的访问、控制或者与其控制有关的操作的任何适合的结构。企业级控制器138中的每一个例如可以表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。在本文档中，术语“企业”指的是具有要管理的一个或多个工厂或其它处理设施的组织。要指出，如果要管理单个工厂101a，则企业级控制器138的功能性可以并入到工厂级控制器130中。

可以由一个或多个操作员站140提供对企业级控制器138的访问。操作员站140中的每一个包括用于支持系统100中的一个或多个部件的用户访问和控制的任何适合的结构。操作员站140中的每个例如可以表示运行MICROSOFT WINDOWS操作系统的计算设备。

Purdue模型的各种级别可以包括其它部件，诸如一个或多个数据库。与每一个级别相关联的（多个）数据库可以存储与该级别或者系统100的一个或多个其它级别相关联的任何适合的信息。例如，历史学家141可以耦合到网络136。历史学家141可以表示存储关于系统100的各种信息的部件。历史学家141例如可以存储在生产调度和优化期间使用的信息。历史学家141表示用于存储和促进信息的检索的任何适合的结构。尽管示出为耦合到网络136的单个集中式部件，但是历史学家141可以位于系统100中的别处，或者多个历史学家可以分布在系统100中的不同位置中。

在特定实施例中，图1中的各种控制器和操作员站可以表示计算设备。例如，控制器106，114，122，130，138中的每一个可以包括一个或多个处理设备142，以及用于存储由（多个）处理设备142使用、生成或收集的指令和数据的一个或多个存储器144。控制器106，114，122，130，138中的每一个还可以包括至少一个网络接口146，诸如一个或多个以太网接口或无线收发器。而且，操作员站116，124，132，140中的每一个可以包括一个或多个处理设备148，以及用于存储由（多个）处理设备148使用、生成或收集的指令和数据的一个或多个存储器150。操作员站116，124，132，140中的每一个还可以包括至少一个网络接口152，诸如一个或多个以太网接口或无线收发器。

如上文指出的，就工业过程控制和自动化系统而言，网络安全具有越来越多的关注。系统100中的部件中的任一个中的未解决的安全脆弱性可以由攻击者利用来破坏操作或者引起工业设施中的非安全状况。然而，在许多实例中，操作员不具有对在特定工业地点处运行的所有装备的完全理解或清单（inventory）。因此，经常难以快速地确定对控制和自动化系统的潜在风险源。暴露适当级别的定制可能是困难的。许多产品提供要么太过分简单化（不允许充足的灵活性）要么太复杂（要求附加训练或雇佣外部承包商（contractor）来定制解决方案）的定制选项。

所公开的实施例理解到各种系统中的潜在脆弱性，基于对整个系统的风险而使脆弱性优先化，并且引导用户缓解脆弱性。此外，为了对跨不同工业的多种用户具有价值，所公开的实施例是可定制的，因为例如对一个用户可能具有少许关注的系统风险可能对另一个用户是关键的。

所公开的实施例提供了参数化的规则，其帮助避免过度地复杂的场景，其中用户需要写下他或她自己的规则逻辑或者使用复杂的逻辑构建设施。规则可以被仔细地匹配到它们表示的风险项目以提供适当级别的灵活性。

所公开的实施例还提供了一种用于配置这些规则及其参数的有效且直观的接口。如果呈现在传统配置屏幕中，则配置过程可以快速地变得令人不知所措。还经常存在针对补充文档的需要以解释每一个参数的含义以及参数如何彼此相关。根据所公开的实施例，配置参数暴露在规则将做什么的纯文本解释的上下文中。可配置参数可以看起来类似于文本内的超链接。用户可以在该值上点击并且直接就地（in place）修改它们。这是更简单得多的配置体验并且帮助避免针对补充文档的需要。

在各种实施例中，（除其它方式之外）这使用风险管理器154（还称为风险管理器系统）来完成。除其它事物之外，风险管理器154支持用于网络安全风险项目规则的动态定制的此技术。风险管理器154包括支持网络安全风险事件的自动处置的任何适合结构。这里，风险管理器154包括一个或多个处理设备156；用于存储由（多个）处理设备156使用、生成或收集的指令和数据的一个或多个存储器158；以及至少一个网络接口160。每一个处理设备156可以表示微处理器、微控制器、数字信号过程、现场可编程门阵列、专用集成电路或者离散逻辑。每一个存储器158可以表示易失性或非易失性储存器和检索设备，诸如随机存取存储器或闪速存储器。每一个网络接口160可以表示以太网接口、无线收发器、或者促进外部通信的其它设备。风险管理器154的功能性可以使用任何适合的硬件或者硬件和软件/固件指令的组合来实现。

尽管图1图示了工业过程控制和自动化系统100的一个示例，但是可以对图1进行各种变化。例如，控制和自动化系统可以包括任何数目的传感器、致动器、控制器、服务器、操作员站、网络、风险管理器和其它部件。而且，图1中的系统100的构成和布置仅用于说明。可以根据特定需要而以任何其它的适当配置来添加、省略、组合或放置部件。另外，已经将特定功能描述为由系统100的特定部件来执行。这仅用于说明。一般而言，控制和自动化系统高度可配置，并且可以根据特定需要而以任何适合的方式配置。此外，图1图示了其中可以使用风险管理器154的功能的示例环境。此功能性可以在任何其它适当的设备或系统中使用。

图2A到2H图示了根据本公开的支持网络安全风险项目规则的动态定制的示例图形用户接口机构。在一些实施例中，网络安全风险项目规则的动态定制涉及下面步骤。首先，针对要监视的参数/风险项目来定义适当的规则。在下面表1中示出可以使用的规则类型的非限制性示例。将这些规则映射到要监视的各个风险项目，其非限制性示例在下面表2-4中示出。其次，可以定义配置文本模板。这可以针对规则类型一般地完成，诸如在下面表1的“配置模板”列中示出。它还可以进一步针对每一个单独的风险项目被定制。

图2A-2H示出了可以用来动态地定制网络安全风险项目规则的各种示例配置。

图2A图示了依照所公开的实施例的网络安全仪表板201，其在本示例中用来图示风险项目权重202。在本示例中，各个风险项目203包括各种安全类型，具有针对系统以及各种区域和元素的加权参数值，如所描绘的那样。每一个风险项目可以具有用于设备影响、区域影响、频率影响和事件衰退（event decay）的加权参数。在本示例中，要指出的是，将用于“AV-存在”的风险项目203扩展成示出子元素系统和区域1-3，每一个具有其自己的加权参数。系统可以使用来自网络安全仪表板201的用户的输入来自动地生成风险项目规则。

图2B图示了依照所公开的实施例的网络安全仪表板201的另一个示例，其在本示例中用来图示风险项目权重202。在此示例中，各个风险项目203包括各种安全类型，具有针对系统以及各种区域和元素的加权参数值，如所描绘的那样。每一个风险项目可以具有用于设备影响、区域影响、频率影响和事件衰退的加权参数。在此示例中，要指出的是，用于“AV-存在”的风险项目203崩溃并且以（现在隐藏的）子元素系统和区域1-3的加权参数而示出。系统可以使用来自网络安全仪表板201的用户的输入而自动地生成风险项目规则。

图2C图示了依照所公开的实施例的风险项目规则用户接口205。在此示例中，示出了参数-条目区域（parameter-entry area）以用于字符串比较206，参数-条目区域具有用于默认值和系统值的条目。此示例还示出了用于频率增加模型207的简单选择器，其具有用于期望频率增加曲线的选择器按钮。此示例还示出了用于事件衰退模型208的简单选择器，其具有用于期望事件衰退曲线的选择器按钮。此示例还示出了数据缩放条目区域209，其允许用户定义用于风险项目规则的风险范围和相关联的值。系统可以使用来自风险项目规则用户接口205的用户的输入而自动地生成风险项目规则。

图2D图示了可以将所有定制设置重置成默认的“重置到默认”按钮210。类似的重置按钮可以用于各个参数项目。重置可以仅被应用到当前接口屏幕，可以仅在系统级应用，或者也可以应用到所有区域。此类重置按钮的示例为重置系统设置、重置系统和区域设置、重置所有可见设置以及其它的。

图2E图示了依照所公开的实施例的其它用户接口，其被用来定制如本文公开的风险项目规则。此示例示出了用于通过时间而定制风险项目触发的时间窗口接口220，指示应当基于事件在给定时间段中发生多少次而触发警报。此示例还示出了频率影响接口221，其允许用户基于它发生的频率而调整到风险项目的“影响”。此示例还示出了风险老化接口222，其允许用户基于老化参数（诸如抗病毒定义文件的年龄）来定制警报。作为示例，风险老化接口222以简单文本描述规则，而不是要求配置框的复杂表格或分组。此规则的每一个下划线的部分表示规则的可配置参数。在参数上点击可以将它改变成可编辑字段（类似于在时间窗口接口220和频率影响接口221中示出的框）。

图2F图示了依照所公开的实施例的网络安全仪表板201的另一个示例，其在此示例中用来图示区域配置230。此接口被用来将区域分配到具体传感器或设备。系统或用户可以以称为“未经分配”的默认区域开始，如区域0。没有分配到区域的所有设备自动地进入此区域中。当创建区域时，它进入最后可用的数字缝隙（numerical slot）中（例如，如果区域1-3存在，则新的区域将是区域4）。用户可以在现有区域上采取动作，诸如对区域重命名、在区域编号中向上或向下移动区域、以及删除区域。如果区域被删除，则那个区域中的所有设备移动到“未经分配”区域中。在所删除的区域之后的现有区域编号根据需要向上移位一个数字以确保不存在区域编号中的“间隙”。

图2G图示了依照所公开的实施例的网络安全仪表板201的另一个示例，其在此示例中用来图示设备配置231。此用户接口允许用户针对每一个设备232而分配区域、设备类型和IP地址（或者其它网络地址）。

图2H图示了依照所公开的实施例的补丁报告，其在此示例中用来图示特定设备241（在行中）是否已经在对应的系统242中的每个上（在列中）更新或打补丁。在此示例中，使用检查标记来指示设备241已经在对应系统上完全更新或打补丁。此用户接口允许用户针对每一个设备232而分配区域、设备类型和IP地址（或其它网络地址）。此图还图示了可以使用突显来指示单个系统上的不同设备或者不同系统上的设备的补丁中的差异或者“不一致”。

例如，如果节点中的75%（系统上的设备或者用于设备的系统）就补丁达成一致，则系统可以以红色（或者以其它适当的颜色或手段）突显“不一致”或没有更新的25%。因此，检查框243和244可以被突显成示出它们与用于其相应设备的其它3个框“不一致”。

作为另一示例，如果“不一致”在25%与75%之间，则系统可以以黄色（或者以其它适当的颜色或手段）突显整个行。因此，可以突显用于设备245的所有检查框。

尽管图2A到2H图示了支持网络安全风险项目规则的动态定制的图形用户接口机构的示例，但是可以对图2A到2H进行各种改变。例如，图2A到2H图示了使用各种输入/输出机构（诸如检查框、文本框、超链接等）。这些仅用于说明，并且可以使用其它数据输入和/或数据输出机构。而且，每一个图形用户接口机构的内容和布置仅用于说明。

图3图示了依照所公开的实施例的方法300的流程图，其可以例如由风险管理器154或者其它设备或控制器（下面称为“系统”）来执行。

系统标识易受网络安全风险攻击的多个已连接设备（305）。这些可以是如在图1中图示的设备或部件中的任一个或者其它。

系统与用户交互以针对要在已连接设备之中监视的风险项目而定义多个规则（310）。每一个规则可以具有一个或多个参数。规则可以被显示为规则将做什么的纯文本解释的上下文中的纯文本句子。可配置参数可以看起来类似于文本内的超链接。用户可以在该值上点击并且直接就地修改它们。

规则的非限制性示例包括字符串-比较规则，其比较所收集的值与预定义的字符串或字符串集合。在此类情况下，参数可以包括输出风险权重。规则可以作为“如果检测到状况则利用$Risk的值进行警报”而被显示到用户。

另一示例是用于日期缩放的规则，其比较所收集的值（其是包含日期的经格式化的字符串）与当前日期并且取决于那些日期之间的差异而返回一系列风险值。参数可以包括最小年龄值（$Age-Min）、最大年龄值（$Age-Max）、最小风险值（$Risk-Min）和最大风险值（$Risk-Max）。规则可以作为“如果年龄大于$Age-Min天（days）则警报。以$Risk-Min开始并且在$Age-Max天之后增加至最大值$Risk-Max。可以将$Age-Min和$Age-Max从毫秒转换到天”而被显示到用户。

另一示例是用于字符串-比较-缩放的规则，其比较所收集的值（其是字符串值）与预定义的值。在值继续与预定义的值匹配时，风险值开始增加。当参数开始与比较值匹配时，风险为0，直至它已经处在用于“最小年龄值”的那个状态中。然后，风险上升到“最小风险值”，并且当它已经处于用于“最大年龄值”的那个状态中时按比例放大到（scale up to）“最大风险值”。它保持在“最大风险值”，直至所收集的值变化为止。如果所收集的值在任何时间变化，则计时器重置。

另一个示例是用于值-缩放的规则，其比较所收集的值（其是数值）与定义的值范围。如果它小于最小值，则结果为零。如果它在最小值与最大值之间，则基于其位置和配置的权重来计算结果。如果它大于最大值，则结果是最大风险权重。

另一示例是用于事件-衰退的规则，其比较事件发生的日期/时间与当前日期/时间。它将在事件发生之后立即地具有最大风险值。当事件在没有重新发生的情况下老化时，其风险权重将逐渐地衰退，直至到事件的存在期（lifespan）结束时达到0为止。如果事件更快地重新发生，则值将立即转到最大风险权重。

系统将规则中的每一个映射到已连接设备中的对应的一个或多个（315）。

系统根据规则监视已连接设备（320）。

系统基于规则以及已连接设备的状态来显示输出（325）。

系统还可以定义和存储与规则中的一个或多个对应的配置文本模板（330）。配置文本模板可以针对每一个风险项目来定制。

图4图示了依照所公开的实施例的方法400的流程图，所述方法400可以例如由风险管理器154或者其它设备或控制器（下面称为“系统”）来执行。

系统获得定义规则的信息，所述规则标识对工业过程控制和自动化系统中的计算设备的网络安全风险（405）。这些可以是如在图1中图示的设备或部件中的任一个或其它。

系统向用户显示描述规则的文本描述（410），文本描述包括与规则相关联的可选配置参数。可选配置参数可以被显示为文本描述内的超链接。文本描述可以描述规则将做什么。每一个规则可以与至少一个物理设备相关联。

系统接收用户对配置参数的选择（415）。

响应于接收到用户对配置参数的选择，系统从用户接收与配置参数相关联的值（420）。可以通过输入框来接收与配置参数相关联的值，所述输入框邻近配置参数来显示。

系统可以基于配置参数和所接收的值来显示输出（425）。

系统还可以定义和存储与配置参数和所接收的值对应的规则（430）。以此方式，通过录入用于要在应用规则中使用的配置参数的值，系统已经使得用户能够直观地“完成”用于风险管理器的规则。

要指出的是，用于动态地定制网络安全风险项目规则的风险管理器154和/或图形用户接口机构可以与在下面先前提交和同时提交的专利申请（其全部通过引用并入于此）中描述的各种特征的全部或任何组合结合地使用或操作：

• 美国专利申请号14/482,888，题为“DYNAMIC QUANTIFICATION OF CYBER-SECURITY RISKS IN A CONTROL SYSTEM”；

• 美国临时专利申请号 62/036,920 ，题为“ANALYZING CYBER-SECURITY RISKSIN AN INDUSTRIAL CONTROL ENVIRONMENT”；

• 美国临时专利申请号 62/113,075，题为“RULES ENGINE FOR CONVERTINGSYSTEM-RELATED CHARACTERISTICS AND EVENTS INTO CYBER-SECURITY RISK ASSESSMENTVALUES”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,695 (档案号H0048932-0115)；

• 美国临时专利申请号62/113,221，题为“NOTIFICATION SUBSYSTEM FORGENERATING CONSOLIDATED，FILTERED，AND RELEVANT SECURITY RISK-BASEDNOTIFICATIONS”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,521(档案号H0048937-0115)；

• 美国临时专利申请号 62/113,100，题为“TECHNIQUE FOR USINGINFRASTRUCTURE MONITORING SOFTWARE TO COLLECT CYBER-SECURITY RISK DATA”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,855 (档案号H0048943-0115)；

• 美国临时专利申请号 62/113,186，题为“INFRASTRUCTURE MONITORING TOOLFOR COLLECTING INDUSTRIAL PROCESS CONTROL AND AUTOMATION SYSTEM RISK DATA”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,732 (档案号H0048945-0115)；

• 美国临时专利申请号 62/113,165，题为“PATCH MONITORING AND ANALYSIS”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,921 (档案号 H0048973-0115)；

• 美国临时专利申请号 62/113,152，题为“APPARATUS AND METHOD FORAUTOMATIC HANDLING OF CYBER-SECURITY RISK EVENTS”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,503 (档案号H0049067-0115)；

• 美国临时专利申请号 62/114,865，题为“APPARATUS AND METHOD FORPROVIDING POSSIBLE CAUSES，RECOMMENDED ACTIONS，AND POTENTIAL IMPACTS RELATEDTO IDENTIFIED CYBER-SECURITY RISK ITEMS”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,814 (档案号H0049103-0115)；

• 美国临时专利申请号 62/114,937，题为“APPARATUS AND METHOD FOR TYINGCYBER-SECURITY RISK ANALYSIS TO COMMON RISK METHODOLOGIES AND RISK LEVELS”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,136 (档案号H0049104-0115)； 以及

• 美国临时专利申请号 62/116,245，题为“RISK MANAGEMENT IN AN AIR-GAPPEDENVIRONMENT”以及与其同时提交的类似标题的对应非临时美国专利申请14/871,547 (档案号H0049081-0115)。

在一些实施例中，在本专利文档中描述的各种功能由计算机程序实现或支持，所述计算机程序由计算机可读程序代码形成并且其被包含在计算机可读介质中。短语“计算机可读程序代码”包括任何类型的计算机代码，包括源代码、目标代码和可执行代码。短语“计算机可读介质”包括能够由计算机访问的任何类型的介质，诸如只读存储器（ROM）、随机存取存储器（RAM）、硬盘驱动器、压缩盘（CD）、数字视频盘（DVD）或者任何其它类型的存储器。“非暂时性”计算机可读介质排除了输运暂时性电气或其它信号的有线、无线、光学或其它通信链路。非暂时性计算机可读介质包括其中数据可以永久性存储的介质以及其中数据可以存储并且稍后被覆写的介质，诸如可再写光盘或者可擦除存储器设备。

可以有利的是阐述遍及本专利文档而使用的某些词语和短语的定义。术语“应用”和“程序”指的是适于在适合的计算机代码（包括源代码、目标代码或者可执行代码）中实现的一个或多个计算机程序、软件部件、指令集、程序、功能、对象、分类、实例、相关数据或其一部分。术语“通信”以及其衍生词涵盖直接和间接通信两者。术语“包括”和“包含”以及其衍生词意指没有限制的包括。术语“或”是包括性的，意指和/或。短语“与……相关联”以及其衍生词可以意指包括、被包括在……内、与……互连、包含、被包含在……内、连接到……或者与……连接、耦合到……或者与……耦合、与……可通信、与……协作、交错、并置、邻近于……、束缚到……或用……束缚、具有、具有……的性质、具有到……或与……的关系等等。当与项目列表一起使用时，短语“……中的至少一个”意指可以使用所列项目中的一个或多个的不同组合，并且可能需要列表中的仅一个项目。例如，“A、B和C中的至少一个”包括下面组合中的任一个：A、B、C、A和B、A和C、B和C、以及A和B和C。

虽然本公开已经描述了某些实施例以及一般地相关联的方法，但是这些实施例和方法的更改和置换将对于本领域技术人员是显而易见的。因此，示例实施例的以上描述不定义或者约束本公开。其它变化、替换和更改也是可能的而不脱离如由下面权利要求定义的本公开的精神和范围。

Claims (15)

1.一种方法，包括：

通过风险管理器系统（154）获得（405）定义规则的信息，所述规则标识对工业过程控制和自动化系统（100）中的计算设备（106、114、122、130、138）的网络安全风险；

通过风险管理器系统（154）向用户呈现（410）描述规则的文本描述，所述文本描述包括与规则相关联的可选配置参数；

通过风险管理器系统（154）接收（415）用户对配置参数的选择；以及

响应于接收到用户对配置参数的选择，通过风险管理器系统（154）将文本描述内的配置参数转换为可编辑字段并从用户接收（420）与配置参数相关联的值。

2.权利要求1所述的方法，其中可选配置参数显示（222）为文本描述内的超链接。

3.权利要求1所述的方法，其中通过输入框来接收与配置参数相关联的值，所述输入框被邻近配置参数显示（221）。

4.一种方法，包括：

通过风险管理器系统（154）与用户交互以针对要在多个已连接设备（106、114、122、130、138）之中监视的风险项目而定义（310）多个规则；

通过风险管理器系统（154）将规则中的每一个映射（315）到已连接设备（106、114、122、130、138）中的对应一个或多个；

通过风险管理器系统（154）根据规则来监视（320）已连接设备（106、114、122、130、138）；以及

通过风险管理器系统（154）基于所述规则以及已连接设备（106、114、122、130、138）的状态来显示（325）输出，

其中每个规则具有可选配置参数，响应于接收到用户对配置参数的选择，通过风险管理器系统（154）将文本描述内的配置参数转换为可编辑字段并从用户接收与配置参数相关联的值。

5.权利要求4所述的方法，其中每一个规则具有一个或多个参数并且将其显示（221）为规则将做什么的纯文本解释的上下文中的纯文本句子。

6.权利要求4所述的方法，其中风险管理器系统（154）还定义和存储（330）与所述规则中的一个或多个对应的配置文本模板。

7.权利要求4所述的方法，其中每一个规则具有可选配置参数，所述可选配置参数显示（222）为对应规则的文本描述内的超链接。

8.一种风险管理器系统（154），包括：

控制器（156）；以及

显示器，所述风险管理系统（154）配置成

获得（405）定义规则的信息，所述规则标识对工业过程控制和自动化系统（100）中的计算设备（106、114、122、130、138）的网络安全风险；

向用户呈现（410）描述规则的文本描述，所述文本描述包括与规则相关联的可选配置参数；

接收（415）用户对配置参数的选择；以及

响应于接收到用户对配置参数的选择而将文本描述内的配置参数转换为可编辑字段并从用户接收（420）与配置参数相关联的值。

9.权利要求8所述的风险管理器系统，其中可选配置参数被显示（222）为文本描述内的超链接。

10.权利要求8所述的风险管理器系统，其中通过输入框接收与配置参数相关联的值，所述输入框邻近配置参数显示（221）。

11.权利要求8所述的风险管理器系统，其中每一个规则与至少一个物理设备相关联。

12.一种风险管理器系统，包括：

控制器（156）；以及

显示器，所述风险管理系统（154）配置成

与用户交互以针对要在多个已连接设备（106、114、122、130、138）之中监视的风险项目而定义（310）多个规则；

将规则中的每一个映射（315）到已连接设备（106、114、122、130、138）中的对应一个或多个；

根据规则来监视（320）已连接设备（106、114、122、130、138）；以及

基于所述规则以及已连接设备（106、114、122、130、138）的状态来显示（325）输出，

其中每个规则具有可选配置参数，响应于接收到用户对配置参数的选择，风险管理器系统（154）被配置成将文本描述内的配置参数转换为可编辑字段并从用户接收与配置参数相关联的值。

13.权利要求12所述的风险管理器系统，其中每一个规则具有一个或多个参数并且被显示（221）为规则将做什么的纯文本解释的上下文中的纯文本句子。

14.权利要求12所述的风险管理器系统，其中风险管理器系统还定义和存储（330）与所述规则中的一个或多个对应的配置文本模板。

15.权利要求12所述的风险管理器系统，其中每一个规则具有可选配置参数，所述可选配置参数被显示（222）为对应规则的文本描述内的超链接。

Images