CN107534654B

CN107534654B - 用于将网络安全风险分析连结到常见风险方法论和风险水平的装置和方法

Info

Publication number: CN107534654B
Application number: CN201680021136.8A
Authority: CN
Inventors: E.D.克纳普; S.克勒米
Original assignee: Honeywell International Inc
Current assignee: Honeywell International Inc
Priority date: 2015-02-11
Filing date: 2016-02-03
Publication date: 2021-09-28
Anticipated expiration: 2036-02-03
Also published as: AU2016218297B2; US20160234239A1; WO2016130384A1; US10298608B2; CN107534654A; AU2016218297A1

Abstract

本公开提供了用于将网络安全风险分析连结到常见风险方法论和风险水平的系统和方法。一种方法包括标识（305）易受网络安全风险影响的多个已连接的设备（106、114、122、130、138）并且标识（310）已连接的设备（106、114、122、130、138）中的网络安全风险。所述方法包括向所标识到的网络安全风险中的每一个指派（314）风险水平并且比较（320）风险水平与第一阈值（202）和第二阈值（204）。所述方法包括将每一个所标识到的网络安全风险指派（325）给风险分类（222、224、226）；以及显示（330）用户接口，所述用户接口包括根据所标识到的网络安全风险和对应的所指派的风险分类（222、224、226）的通知（220）。

Description

用于将网络安全风险分析连结到常见风险方法论和风险水平的装置和方法

对相关申请的交叉引用

本申请要求享有2015年2月11日提交的美国临时专利申请62/114,937的提交日的权益，所述美国临时专利申请通过引用并入于此。

技术领域

本公开一般地涉及网络安全。更具体地，本公开涉及用于将网络安全风险分析连结到（tie to）常见风险方法论和风险水平的装置和方法。

背景技术

通常使用工业过程控制和自动化系统来管理处理设施。常规的控制和自动化系统例行地包括各种联网设备，诸如服务器、工作站、交换机、路由器、防火墙、安全系统、专有实时控制器和工业现场设备。通常，该装备来自数个不同的厂商。在工业环境中，网络安全具有日益增加的关注，并且这些组件中的任何一个中的未被解决的安全脆弱性可以被攻击者利用以扰乱操作或导致工业设施中的不安全的条件。

发明内容

本公开提供了用于将网络安全风险分析连结到常见风险方法论和风险水平的装置和方法。一个实施例包括一种方法，所述方法包括获取与对工业过程控制和自动化系统中的计算设备的网络安全风险相关联的第一阈值和第二阈值。所述方法包括当与指定的网络安全风险相关联的风险值超过第一阈值但是不超过第二阈值时生成第一类型的通知。所述方法包括当与指定的网络安全风险相关联的风险值超过第一和第二阈值时生成第二类型的通知，第二类型的通知具有比第一类型的通知更高的优先级。

另一所公开的方法以及对应的系统和机器可读介质包括通过风险管理器系统标识易受网络安全风险影响的多个已连接的设备。所述方法包括通过风险管理器系统标识已连接的设备中的网络安全风险。所述方法包括通过风险管理器系统向所标识到的网络安全风险中的每一个指派风险水平。所述方法包括，针对每一个所标识到的网络安全风险，通过风险管理器系统比较所指派的风险水平与第一阈值和第二阈值。所述方法包括基于所述比较，通过风险管理器系统将每一个所标识到的网络安全风险指派给风险分类。所述方法包括通过风险管理器系统显示用户接口，所述用户接口包括根据所标识到的网络安全风险和对应的所指派的风险分类的通知。在各种实施例中，第一阈值是风险偏好（risk appetite）并且第二阈值是风险容忍（risk tolerance）。在各种实施例中，风险管理器系统还从用户接收第一和第二阈值。在各种实施例中，风险管理器系统向低优先级分类或通知分类指派具有小于第一阈值和第二阈值二者的所指派的风险水平的所标识到的网络安全风险。在各种实施例中，风险管理器系统向警告分类指派具有大于或等于第一阈值但是小于第二阈值的所指派的风险水平的所标识到的网络安全风险。在各种实施例中，风险管理器系统向警报分类指派具有大于或等于第一阈值和第二阈值二者的所指派的风险水平的所标识到的网络安全风险。在各种实施例中，风险管理器系统提示用户进行响应于显示通知的动作。

其它技术特征可以从以下各图、描述和权利要求而对本领域技术人员是容易明显的。

附图说明

为了本公开的更加完整的理解，现在参照结合随附各图理解的以下描述，其中：

图1图示了根据本公开的示例工业过程控制和自动化系统；

图2图示了根据本公开的用于将风险分析连结到常见风险方法论和风险水平的示例图形用户接口；以及

图3图示了依照所公开的实施例的过程的流程图。

具体实施方式

以下讨论的各图和用于描述本专利文档中的本发明的原理的各种实施例仅仅作为说明，并且不应当以任何方式解释成限制本发明的范围。本领域技术人员将理解到，本发明的原理可以实现在任何类型的经适当布置的设备或系统中。

图1图示了根据本公开的示例工业过程控制和自动化系统100。如图1中所示，系统100包括促进至少一个产品或其它材料的生产或处理的各种组件。例如，系统100在此用于促进对一个或多个工厂101a-101n中的组件的控制。每一个工厂101a-101n表示一个或多个处理设施（或其一个或多个部分），诸如用于生产至少一个产品或其它材料的一个或多个制造设施。一般而言，每一个工厂101a-101n可以实现一个或多个过程，并且可以单独或集体地称为过程系统。过程系统一般表示被配置成以某种方式处理一个或多个产品或其它材料的任何系统或其部分。

在图1中，系统100使用过程控制的Purdue模型来实现。在Purdue模型中，“0级”可以包括一个或多个传感器102a和一个或多个致动器102b。传感器102a和致动器102b表示可以执行多种多样的功能中的任何一个的过程系统中的组件。例如，传感器102a可以测量过程系统中的多种多样的特性，诸如温度、压力或流速。而且，致动器102b可以更改过程系统中的多种多样的特性。传感器102a和致动器102b可以表示任何合适的过程系统中的任何其它或附加的组件。传感器102a中的每一个包括用于测量过程系统中的一个或多个特性的任何合适的结构。致动器102b中的每一个包括用于影响过程系统中的一个或多个条件或在其上进行操作的任何合适的结构。

至少一个网络104耦合到传感器102a和致动器102b。网络104促进与传感器102a和致动器102b的交互。例如，网络104可以从传感器102a输送测量数据并且向致动器102b提供控制信号。网络104可以表示任何合适的网络或网络的组合。作为特定示例，网络104可以表示以太网网络、电气信号网络（诸如HART或基金会现场总线网络）、气动控制信号网络或（一个或多个）任何其它或附加类型的（一个或多个）网络。

在Purdue模型中，“1级”可以包括耦合到网络104的一个或多个控制器106。除其它之外，每一个控制器106可以使用来自一个或多个传感器102a的测量来控制一个或多个致动器102b的操作。例如，控制器106可以从一个或多个传感器102a接收测量数据，并且使用测量数据来生成用于一个或多个致动器102b的控制信号。每一个控制器106包括用于与一个或多个传感器102a交互并且控制一个或多个致动器102b的任何合适的结构。每一个控制器106可以例如表示比例积分微分（PID）控制器或多变量控制器，诸如鲁棒多变量预测控制技术（RMPCT）控制器或实现模型预测控制（MPC）或其它高级预测控制（APC）的其它类型的控制器。作为特定示例，每一个控制器106可以表示运行实时操作系统的计算设备。

两个网络108耦合到控制器106。网络108促进与控制器106的交互，诸如通过向控制器106和从控制器106输送数据。网络108可以表示任何合适的网络或网络的组合。作为特定示例，网络108可以表示以太网的冗余对，诸如来自霍尼韦尔国际公司的故障容忍以太网（FTE）网络。

至少一个交换机/防火墙110将网络108耦合到两个网络112。交换机/防火墙110可以从一个网络向另一个输送业务。交换机/防火墙110还可以阻止一个网络上的业务到达另一网络。交换机/防火墙110包括用于提供网络之间的通信的任何合适的结构，诸如霍尼韦尔控制防火墙（CF9）设备。网络112可以表示任何合适的网络，诸如FTE网络。

在Purdue模型中，“2级”可以包括耦合到网络112的一个或多个机器级控制器114。机器级控制器114执行各种功能以支持控制器106、传感器102a和致动器102b的操作和控制，所述操作和控制可以与特定件工业装备（诸如锅炉或其它机器）相关联。例如，机器级控制器114可以记录由控制器106收集或生成的信息，诸如来自传感器102a的测量数据或用于致动器102b的控制信号。机器级控制器114还可以执行对控制器106的操作进行控制的应用，从而控制致动器102b的操作。此外，机器级控制器114可以提供对控制器106的安全访问。机器级控制器114中的每一个包括用于提供对机器或其它单独件装备的访问、其控制或涉及其的操作的任何合适的结构。机器级控制器114中的每一个可以例如表示运行微软WINDOWS操作系统的服务器计算设备。尽管未示出，不同的机器级控制器114可以用于控制过程系统中的不同件装备（其中每一件装备与一个或多个控制器106、传感器102a和致动器102b相关联）。

一个或多个操作者站116耦合到网络112。操作者站116表示提供对机器级控制器114的用户访问的计算或通信设备，其可以然后提供对控制器106（和可能地，传感器102a和致动器102b）的用户访问。作为特定示例，操作者站116可以允许用户使用由控制器106和/或机器级控制器114收集的信息来回顾传感器102a和致动器102b的操作历史。操作者站116还可以允许用户调整传感器102a、致动器102b、控制器106或机器级控制器114的操作。此外，操作者站116可以接收和显示警告、警报或者由控制器106或机器级控制器114生成的其它消息或显示。操作者站116中的每一个包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适的结构。操作者站116中的每一个可以例如表示运行微软WINDOWS操作系统的计算设备。

至少一个路由器/防火墙118将网络112耦合到两个网络120。路由器/防火墙118包括用于提供网络之间的通信的任何合适的结构，诸如安全路由器或组合路由器/防火墙。网络120可以表示任何合适的网络，诸如FTE网络。

在Purdue模型中，“3级”可以包括耦合到网络120的一个或多个单元级控制器122。每一个单元级控制器122典型地与过程系统中的单元相关联，所述单元表示一起操作以实现过程的至少部分的不同机器的集合。单元级控制器122执行各种功能以支持较低级中的组件的操作和控制。例如，单元级控制器122可以记录由较低级中的组件收集或生成的信息，执行控制较低级中的组件的应用，并且提供对较低级中的组件的安全访问。单元级控制器122中的每一个包括用于提供对一个或多个机器或过程单元中的其它件装备的访问、其控制或涉及其的操作的任何合适的结构。单元级控制器122中的每一个可以例如表示运行微软WINDOWS操作系统的服务器计算设备。尽管未示出，但是不同的单元级控制器122可以用于控制过程系统中的不同单元（其中每一个单元与一个或多个机器级控制器114、控制器106、传感器102a和致动器102b相关联）。

对单元级控制器122的访问可以由一个或多个操作者站124提供。操作者站124中的每一个包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适的结构。操作者站124中的每一个可以例如表示运行微软WINDOWS操作系统的计算设备。

至少一个路由器/防火墙126将网络120耦合到两个网络128。路由器/防火墙126包括用于提供网络之间的通信的任何合适的结构，诸如安全路由器或组合路由器/防火墙。网络128可以表示任何合适的网络，诸如FTE网络。

在Purdue模型中，“4级”可以包括耦合到网络128的一个或多个工厂级控制器130。每一个工厂级控制器130典型地与工厂101a-101n中的一个相关联，所述工厂101a-101n可以包括实现相同、类似或不同过程的一个或多个过程单元。工厂级控制器130执行各种功能以支持较低级中的组件的操作和控制。作为特定示例，工厂级控制器130可以执行一个或多个制造执行系统（MES）应用、调度应用或其它或附加的工厂或过程控制应用。工厂级控制器130中的每一个包括用于提供对过程工厂中的一个或多个过程单元的访问、其控制或涉及其的操作的任何合适的结构。工厂级控制器130中的每一个可以例如表示运行微软WINDOWS操作系统的服务器计算设备。

对工厂级控制器130的访问可以由一个或多个操作者站132提供。操作者站132中的每一个包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适的结构。操作者站132中的每一个可以例如表示运行微软WINDOWS操作系统的计算设备。

至少一个路由器/防火墙134将网络128耦合到一个或多个网络136。路由器/防火墙134包括用于提供网络之间的通信的任何合适的结构，诸如安全路由器或组合路由器/防火墙。网络136可以表示任何合适的网络，诸如企业范围以太网或其它网络或更大网络（诸如因特网）的全部或部分。

在Purdue模型中，“5级”可以包括耦合到网络136的一个或多个企业级控制器138。每一个企业级控制器138典型地能够执行针对多个工厂101a-101n的计划操作并且控制工厂101a-101n的各种方面。企业级控制器138还可以执行各种功能以支持工厂101a-101n中的组件的操作和控制。作为特定示例，企业级控制器138可以执行一个或多个订单处理应用、企业资源计划（ERP）应用、高级计划和调度（APS）应用或任何其它或附加的企业控制应用。企业级控制器138中的每一个包括用于提供对一个或多个工厂的访问、其控制或涉及其控制的操作的任何合适的结构。企业级控制器138中的每一个可以例如表示运行微软WINDOWS操作系统的服务器计算设备。在本文档中，术语“企业”是指具有要被管理的一个或多个工厂或其它处理设施的组织。要指出的是，如果单个工厂101a要被管理，企业级控制器138的功能可以合并到工厂级控制器130中。

对企业级控制器138的访问可以由一个或多个操作者站140提供。操作者站140中的每一个包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适的结构。操作者站140中的每一个可以例如表示运行微软WINDOWS操作系统的计算设备。

Purdue模型的各种层级可以包括其它组件，诸如一个或多个数据库。与每一个层级相关联的（一个或多个）数据库可以存储与该层级或系统100的一个或多个其它层级相关联的任何合适的信息。例如，历史设备（historian）141可以耦合到网络136。历史设备141可以表示存储关于系统100的各种信息的组件。历史设备141可以例如存储在生产调度和优化期间使用的信息。历史设备141表示用于存储和促进信息的检索的任何合适的结构。尽管被示出为耦合到网络136的单个集中式组件，但是历史设备141可以位于系统100中的其它地方，或者多个历史设备可以分布在系统100中的不同位置中。

在特定实施例中，图1中的各种控制器和操作者站可以表示计算设备。例如，控制器106、114、122、130、138中的每一个可以包括一个或多个处理设备142以及用于存储由（一个或多个）处理设备142使用、生成或收集的指令和数据的一个或多个存储器144。控制器106、114、122、130、138中的每一个还可以包括至少一个网络接口146，诸如一个或多个以太网接口或无线收发器。而且，操作者站116、124、132、140中的每一个可以包括一个或多个处理设备148以及用于存储由（一个或多个）处理设备148使用、生成或收集的指令和数据的一个或多个存储器150。操作者站116、124、132、140中的每一个还可以包括至少一个网络接口152，诸如一个或多个以太网接口或无线收发器。

如以上所指出的，网络安全具有关于工业过程控制和自动化系统的日益增加的关注。系统100中的组件中的任何一个中的未被解决的安全脆弱性可以被攻击者利用以扰乱操作或导致工业设施中的不安全的条件。然而，在许多实例中，操作者不具有在特定工业站点处运行的所有装备的完整理解或清单。作为结果，通常难以快速地确定对控制和自动化系统的潜在风险源。

本公开认识到对于理解各种系统中的潜在脆弱性、基于对总体系统的风险而对脆弱性按优先序排列（prioritize）并且引导用户缓解脆弱性的解决方案的需要。而且，“网络安全风险”的量化具有极少价值，除非它既与已建立的组织风险策略一致又与所认识到的风险方法论和标准一致。换言之，通常需要针对风险得分的附加上下文以便有效地描绘出风险对组织意味着什么。

这通过使用风险管理器154（除其它方式之外）完成。除其它之外，风险管理器154支持用于将风险分析连结到常见风险方法论和风险水平的技术。风险管理器154包括支持网络安全风险事件的自动处置的任何合适的结构。在此，风险管理器154包括一个或多个处理设备156；用于存储由（一个或多个）处理设备156使用、生成或收集的指令和数据的一个或多个存储器158；以及至少一个网络接口160。每一个处理设备156可以表示微处理器、微控制器、数字信号过程、现场可编程门阵列、专用集成电路或分立逻辑。每一个存储器158可以表示易失性或非易失性存储和取回设备，诸如随机存取存储器或闪速存储器。每一个网络接口160可以表示以太网接口、无线收发器或促进外部通信的其它设备。可以使用任何合适的硬件或硬件和软件/固件指令的组合来实现风险管理器154的功能。

在一些实施例中，通过以下两个阈值的使用来确定风险对组织如何重要：风险偏好和风险容忍。这些阈值指示何时组织能够吸收风险以及何时需要采取行动。例如，如果低于组织的风险偏好，则风险是可接受的。如果高于风险偏好，则应当解决风险。风险容忍是较高阈值，其确定风险何时已经危险地高；仍旧应当采取行动但是现在具有增加的紧迫性。

在风险管理器154内，风险偏好和风险容忍可以表示用户可配置的参数，所述参数用作用于风险项目通知的阈值，并且可以针对风险的每一种类型或分类来定义。在一些实施例中，风险偏好和风险容忍的值被用作用于发出警报和通知的阈值点。当低于风险偏好时，项目具有低优先级。当高于风险偏好但是低于风险容忍时，项目变成警告。高于风险容忍，项目变成警报。

尽管图1图示了工业过程控制和自动化系统100的一个示例，但是可以对图1做出各种改变。例如，控制和自动化系统可以包括任何数目的传感器、致动器、控制器、服务器、操作者站、网络、风险管理器和其它组件。而且，图1中的系统100的构成和布置仅仅用于说明。组件可以根据特定需要而被添加、省略、组合或以任何其它合适的配置放置。另外，特定功能已经被描述为由系统100的特定组件执行。这仅仅是为了说明。一般而言，控制和自动化系统是高度可配置的并且可以根据特定需要以任何合适的方式配置。此外，图1图示了其中可以使用风险管理器154的功能的示例环境。该功能可以使用在任何其它合适的设备或系统中。

图2图示了根据本公开的用于将风险分析连结到常见风险方法论和风险水平的示例图形用户接口200。在该用户接口200中，不同的颜色或其它指示符可以用于表示这些不同的条件。例如，蓝色可以表示具有低于风险偏好的风险值的风险项目，黄色可以表示具有高于风险偏好且低于风险容忍的风险值的风险项目，并且红色可以表示具有高于风险容忍的风险值的风险项目。图形用户接口200还包括按照区段（zone）、按照区域（area）和按照通知类型标识不同类型的通知的各种概要以及风险趋势概要。

该图图示了“按照区段的风险”区域210中的风险偏好202（在本文中还称为第一阈值）和风险容忍204（在本文中还称为第二阈值）。如在该示例中所示，特定区段中的一些风险低于风险偏好202，并且因此指示低优先级。特定区段中的一些风险高于风险偏好202但是低于风险容忍204，并且因此指示警告。特定区段中的一些风险高于风险偏好202和风险容忍204二者，并且因此指示警报。

图2还图示了通知区域220。风险偏好和风险阈值可以用于触发通知、警告和警报。例如，低于风险偏好202的低优先级项目可以不要求动作但是可以导致一般通知222。在该示例中，一般通知222被显示为圆形，并且可以以特定颜色，诸如蓝色。高于风险偏好但是低于风险容忍的项目可以要求动作并且因而触发警告通知和提示用户进行动作。在该示例中，警告224被显示为三角形，并且可以以特定颜色，诸如橙色。高于风险容忍可以触发具有更高紧迫性和优先级的警报通知。在该示例中，警告226被显示为倒三角形，并且可以以特定颜色，诸如红色。这些指示符中的每一个可以显示已经检测到的通知、警告或警报的数目。当然，在不同的实现中，可以根据用户或设计者的偏好而使用不同的形状或颜色。在各种实施例中，系统可以接收诸如对通知之一的选择之类的用户输入，并且作为响应，将显示对应的通知、警告或警报的详情。

风险偏好和风险容忍阈值的配置可以排除更改风险量化（脆弱性和威胁）的一致元素的需要。它还添加确定风险得分意味着什么的组织特定上下文，而不是尝试改变风险得分本身。还可以响应于所观察到的威胁水平而调节风险容忍阈值。例如，在网络事故或相关公开时段期间，对组织的总体威胁水平较高，可能存在对风险的较小容忍，并且可以相应地降低风险容忍阈值。

尽管图2图示了用于将风险分析连结到常见风险方法论和风险水平的图形用户接口200的一个示例，但是可以对图2做出各种改变。例如，图形用户接口200的内容和布置仅仅为了说明。不同的规格（gauge）、图表或其它指示符可以用于标识涉及网络安全的项目。

图3图示了依照所公开的实施例的过程300的流程图，所述过程300可以例如由风险管理器154或其它设备或控制器（以下称为“系统”）来执行。

系统标识易受网络安全风险影响的多个已连接的设备（305）。这些可以是如图1中图示的设备或组件中的任何一个或其它设备或组件。设备可以均与诸如系统100之类的系统的区段相关联。

系统标识已连接的设备中的网络安全风险（310）。

系统向所标识到的网络安全风险中的每一个指派风险水平（还称为风险值或风险评价值）（315）。

对于每一个所标识到的网络安全风险，系统比较所指派的风险水平与第一阈值和第二阈值（320）。第一阈值可以是风险偏好，并且第二阈值可以是风险容忍。第一阈值和第二阈值可以是与对工业过程控制和自动化系统中的计算设备的网络安全风险相关联的阈值。系统还可以获取或接收第一和第二阈值，诸如通过从用户接收它们。

基于比较，系统将每一个所标识到的网络安全风险指派给风险分类（325）。这可以包括向低优先级分类或通知分类指派具有小于第一阈值和第二阈值二者的所指派的风险水平的所标识到的网络安全风险。这可以包括向警告分类指派具有大于或等于第一阈值但是小于第二阈值的所指派的风险水平的所标识到的网络安全风险。这可以包括向警报分类指派具有大于或等于第一阈值和第二阈值二者的所指派的风险水平的所标识到的网络安全风险。当然，该比较示例假设较高风险水平意味着较严重的风险，并且其它实施例可以使用相反的记法，使得低于阈值的值指示更严重或警报水平的风险。

系统存储这些并且向用户显示包括根据所标识到的网络安全风险和对应的所指派的风险分类的通知的用户接口（330）。通知可以默认地或者响应于来自用户的输入而包括每一个所标识到的网络安全风险的详情。通知可以包括图形符号或颜色以标识所指派的风险分类。通知可以包括向每一个分类指派的所标识到的网络安全风险的总数目。系统可以提示用户进行响应于显示通知的动作。系统可以因而在与指定的网络安全风险相关联的风险水平或值超过第一阈值但是未超过第二阈值时生成第一类型的通知，并且可以在与指定的网络安全风险相关联的风险水平或值超过第一和第二阈值二者时生成第二类型的通知，其中第二类型的通知具有比第一类型的通知更高的优先级。

要指出的是，风险管理器154和/或图形用户接口200可以使用在以下之前提交和同时提交的专利申请（其全部通过引用并入于此）中描述的各种特征的任何组合或全部或者结合其进行操作：

•题为“DYNAMIC QUANTIFICATION OF CYBER-SECURITY RISKS IN A CONTROLSYSTEM”的美国专利申请号14/482,888；

•题为“ANALYZING CYBER-SECURITY RISKS IN AN INDUSTRIAL CONTROLENVIRONMENT”的美国临时专利申请号62/036,920；

•题为“RULES ENGINE FOR CONVERTING SYSTEM-RELATED CHARACTERISTICS ANDEVENTS INTO CYBER-SECURITY RISK ASSESSMENT VALUES”的美国临时专利申请号62/113,075和与本案同时提交的相同题目的对应非临时美国专利申请14/871,695（案卷号H0048932-0115）；

•题为“NOTIFICATION SUBSYSTEM FOR GENERATING CONSOLIDATED, FILTERED,AND RELEVANT SECURITY RISK-BASED NOTIFICATIONS”的美国临时专利申请号62/113,221和与本案同时提交的相同题目的对应非临时美国专利申请14/871,521（案卷号H0048937-0115）；

·题为“TECHNIQUE FOR USING INFRASTRUCTURE MONITORING SOFTWARE TOCOLLECT CYBER-SECURITY RISK DATA”的美国临时专利申请号62/113,100和与本案同时提交的相同题目的对应非临时美国专利申请14/871,855（案卷号H0048943-0115）；

•题为“INFRASTRUCTURE MONITORING TOOL FOR COLLECTING INDUSTRIALPROCESS CONTROL AND AUTOMATION SYSTEM RISK DATA”的美国临时专利申请号62/113,186和与本案同时提交的相同题目的对应非临时美国专利申请14/871,732（案卷号H0048945-0115）；

•题为“PATCH MONITORING AND ANALYSIS”的美国临时专利申请号62/113,165和与本案同时提交的相同题目的对应非临时美国专利申请14/871,921（案卷号H0048973-0115）；

•题为“APPARATUS AND METHOD FOR AUTOMATIC HANDLING OF CYBER-SECURITYRISK EVENTS”的美国临时专利申请号62/113,152和与本案同时提交的相同题目的对应非临时美国专利申请14/871,503（案卷号H0049067-0115）；

•题为“APPARATUS AND METHOD FOR DYNAMIC CUSTOMIZATION OF CYBER-SECURITY RISK ITEM RULES”的美国临时专利申请号62/114,928和与本案同时提交的相同题目的对应非临时美国专利申请14/871,605（案卷号H0049099-0115）；

•题为“APPARATUS AND METHOD FOR PROVIDING POSSIBLE CAUSES, RECOMMENDEDACTIONS, AND POTENTIAL IMPACTS RELATED TO IDENTIFIED CYBER-SECURITY RISKITEMS”的美国临时专利申请号62/114,865和与本案同时提交的相同题目的对应非临时美国专利申请14/871,814（案卷号H0049103-0115）；以及

•题为“RISK MANAGEMENT IN AN AIR-GAPPED ENVIRONMENT”的美国临时专利申请号62/116,245和与本案同时提交的相同题目的对应非临时美国专利申请14/871,547（案卷号H0049081-0115）。

在一些实施例中，在本专利文档中描述的各种功能通过由计算机可读程序代码形成并且体现在计算机可读介质中的计算机程序实现或支持。短语“计算机可读程序代码”包括任何类型的计算机代码，其包括源代码、目标代码和可执行代码。短语“计算机可读介质”包括能够由计算机访问的任何类型的介质，诸如只读存储器（ROM）、随机存取存储器（RAM）、硬盘驱动器、压缩盘（CD）、数字视频盘（DVD）或任何其它类型的存储器。“非暂时性”计算机可读介质排除输送暂时性电气或其它信号的有线、无线、光学或其它通信链路。非暂时性计算机可读介质包括其中数据可以被永久存储的介质和其中数据可以被存储并且稍后被盖写的介质，诸如可重写光盘或可擦除存储器设备。

阐述遍及本专利文档所使用的某些词语和短语的定义可以是有利的。术语“应用”和“程序”是指一个或多个计算机程序、软件组件、指令集、过程、函数、对象、类、实例、相关数据或适配用于以合适的计算机代码（包括源代码、目标代码或可执行代码）实现的其部分。术语“通信”以及其派生物涵盖直接和间接通信二者。术语“包含”和“包括”以及其派生物意指包括而没有限制。术语“或”是包括性的，意味着和/或。短语“与……相关联”以及其派生物可以意指包括、被包括在……内、与……互连、包含、被包含在……内、连接到或与……连接、耦合到或与……耦合、可与……通信、与……协作、交错、并置、接近于……、绑定（bind）到或与……绑定、具有、具有……的性质、具有到……的关系或具有与……的关系等。短语“……中的至少一个”当与项目列表一起使用时，意指可以使用所列出的项目中的一个或多个的不同组合，并且可能仅需要列表中的一个项目。例如，“A、B和C中的至少一个”包括以下组合中的任何一个：A、B、C、A和B、A和C、B和C以及A和B和C。

虽然本公开已经描述了某些实施例和一般相关联的方法，但是这些实施例和方法的更改和置换将对本领域技术人员是明显的。相应地，示例实施例的以上描述不限定或约束本公开。在不脱离如由以下权利要求限定的本公开的精神和范围的情况下，其它改变、替换和更改也是可能的。

Claims

1.一种用于在工业过程控制和自动化系统中基于网络安全风险分类来提供动作的方法，包括：

通过风险管理器系统（154）标识（305）易受网络安全风险影响的多个已连接的设备（106、114、122、130、138）；

通过风险管理器系统（154）标识（310）已连接的设备（106、114、122、130、138）中的网络安全风险；

通过风险管理器系统（154）向所标识到的网络安全风险中的每一个指派（314）风险水平；

针对每一个所标识到的网络安全风险，通过风险管理器系统（154）基于工业过程控制和自动化系统的相应风险区段来比较（320）所指派的风险水平与第一阈值（202）和第二阈值（204），第一和第二阈值与已连接的设备中的网络安全风险相关联，其中所述风险可导致工业过程控制和自动化系统中的不安全的条件；

基于所述比较，通过风险管理器系统（154）将每一个所标识到的网络安全风险指派（325）给风险分类；（222、224、226）；

通过风险管理器系统（154）显示（330）用户接口，所述用户接口包括根据所标识到的网络安全风险和对应的所指派的风险分类（222、224、226）的多个通知（220），所述多个通知包括包含以第一颜色显示的第一形状的一般通知、包含以第二颜色显示的第二形状的警告通知、以及包含以第三颜色显示的第三形状的报警通知，所述多个通知中的每一个包括针对所指派的风险分类中的对应一个分类的对所标识到的网络安全风险的数目的显示，以及

通过风险管理器系统基于向用户显示多个通知来提供动作。

2.根据权利要求1所述的方法，其中第一阈值（202）是风险偏好并且第二阈值（204）是风险容忍。

3.根据权利要求1所述的方法，其中风险管理器系统（154）还从用户接收第一和第二阈值（202、204）。

4.根据权利要求1所述的方法，其中风险管理器系统（154）向低优先级分类或通知分类（222）指派具有小于第一阈值（202）和第二阈值（204）二者的所指派的风险水平的所标识到的网络安全风险。

5.根据权利要求1所述的方法，其中风险管理器系统（154）向警告分类（224）指派具有大于或等于第一阈值（202）但是小于第二阈值（204）的所指派的风险水平的所标识到的网络安全风险。

6.根据权利要求1所述的方法，其中风险管理器系统（154）向警报分类（226）指派具有大于或等于第一阈值（202）和第二阈值（204）二者的所指派的风险水平的所标识到的网络安全风险。

7.根据权利要求1所述的方法，其中风险管理器系统（154）提示用户进行响应于显示通知（220）的动作。

8.一种风险管理器系统（154），包括：

控制器（156）；以及

显示器，风险管理器系统（154）被配置成

标识（305）易受网络安全风险影响的多个已连接的设备（106、114、122、130、138）；

标识（310）已连接的设备（106、114、122、130、138）中的网络安全风险；

向所标识到的网络安全风险中的每一个指派（314）风险水平；

针对每一个所标识到的网络安全风险，基于工业过程控制和自动化系统的相应风险区段来比较（320）所指派的风险水平与第一阈值（202）和第二阈值（204），第一和第二阈值与已连接的设备中的网络安全风险相关联，其中所述风险可导致工业过程控制和自动化系统中的不安全的条件；

基于所述比较，将每一个所标识到的网络安全风险指派（325）给风险分类；（222、224、226）；

显示（330）用户接口，所述用户接口包括根据所标识到的网络安全风险和对应的所指派的风险分类（222、224、226）的多个通知（220），所述多个通知包括包含以第一颜色显示的第一形状的一般通知、包含以第二颜色显示的第二形状的警告通知、以及包含以第三颜色显示的第三形状的报警通知，所述多个通知中的每一个包括针对所指派的风险分类中的对应一个分类的对所标识到的网络安全风险的数目的显示，以及

通过风险管理器系统基于向用户显示多个通知来提供动作。

9.根据权利要求8所述的风险管理器系统，其中第一阈值（202）是风险偏好并且第二阈值（204）是风险容忍。

10.根据权利要求8所述的风险管理器系统，其中风险管理器系统（154）还从用户接收第一和第二阈值（202、204）。

11.根据权利要求8所述的风险管理器系统，其中风险管理器系统（154）向低优先级分类或通知分类（222）指派具有小于第一阈值（202）和第二阈值（204）二者的所指派的风险水平的所标识到的网络安全风险。

12.根据权利要求8所述的风险管理器系统，其中风险管理器系统（154）向警告分类（224）指派具有大于或等于第一阈值（202）但是小于第二阈值（204）的所指派的风险水平的所标识到的网络安全风险。

13.根据权利要求8所述的风险管理器系统，其中风险管理器系统（154）向警报分类（226）指派具有大于或等于第一阈值（202）和第二阈值（204）二者的所指派的风险水平的所标识到的网络安全风险。

14.根据权利要求8所述的风险管理器系统，其中风险管理器系统（154）提示用户进行响应于显示通知（220）的动作。

15.一种编码有用于在工业过程控制和自动化系统中基于网络安全风险分类来提供动作的可执行指令的非暂时性机器可读介质（158），所述可执行指令在被执行时使得风险管理器系统（154）的一个或多个处理器（156）：

通过风险管理器系统基于向用户显示多个通知来提供动作。