CN108353086B - 用于监测工业控制系统的部署确保检查 - Google Patents

Abstract

本公开提供了一种针对用于监测工业控制系统和其他系统的部署确保检查的装置和方法。一种方法包括：由风险管理器系统（154）识别（205）易受网络安全风险损害的多个所连接的设备（138、132、124、116）。所述方法包括：从所述多个所连接的设备中确定（210）要监测的设备（502）。所述方法包括：评估（220）要监测的每一个设备（502）上的系统资源使用率（602、604、606）。所述方法包括：基于所述评估来向用户提供（230）关于所述用户是否应当继续进行监测的推荐（702）。

Description

用于监测工业控制系统的部署确保检查

技术领域

本公开一般涉及网络安全。更具体地，本公开涉及一种针对用于监测工业控制系统和其他系统的部署确保检查的装置和方法。

背景技术

经常使用工业过程控制和自动化系统来管理处理设施。传统的控制和自动化系统惯常地包括多种联网的设备，诸如服务器、工作站、交换机、路由器、防火墙、安全系统、专有的实时控制器以及工业领域设备。经常地，该设备来自于多个不同供应商。在工业环境中，网络安全越来越受到关注，并且这些组件中的任一个中的未解决的安全漏洞可能被攻击者利用以在工业设施中扰乱操作或造成不安全的状况。

发明内容

本公开提供了一种针对用于监测工业控制系统和其他系统的部署确保检查的装置和方法。一种方法包括由风险管理器系统识别易受网络安全风险损害的多个所连接的设备。所述方法包括从所述多个所连接的设备中确定要监测的设备。所述方法包括由所述风险管理器系统评估要监测的每一个设备上的系统资源使用率。所述方法包括基于所述评估来向用户提供关于用户是否应当继续进行监测的推荐。

对本领域技术人员来说，其他技术特征可以从以下附图、说明书和权利要求书中显而易见。

附图说明

为了更全面地理解本公开，现在参考结合附图进行的以下描述，在附图中：

图1图示了根据本公开的示例工业过程控制和自动化系统；

图2图示了根据所公开的实施例的过程的流程图；以及

图3-8图示了可被用作所公开的实施例的一部分的示例用户界面。

具体实施方式

以下讨论的附图和用于描述本专利文档中的本发明的原理的各种实施例仅作为说明，而不应当以任何方式被解释为限制本发明的范围。本领域技术人员将理解，可以在任何类型的合适地布置的设备或系统中实现本发明的原理。

图1图示了根据本公开的示例工业过程控制和自动化系统100。如图1中所示，系统100包括促进至少一个产品或其他材料的生产或处理的各种组件。例如，这里使用系统100以促进对一个或多个工厂101a-101n中的组件的控制。每一个工厂101a-101n表示一个或多个处理设施（或者其一个或多个部分），诸如用于生产至少一个产品或其他材料的一个或多个制造设施。一般地，每一个工厂101a-101n可以实现一个或多个过程，且可以被单独或共同称为过程系统。过程系统一般表示被配置成以某种方式处理一个或多个产品或其他材料的任何系统或其部分。

在图1中，使用过程控制的普渡（Purdue）模型来实现系统100。在普渡模型中，“级别0”可以包括一个或多个传感器102a以及一个或多个促动器102b。传感器102a和促动器102b表示可执行许多种功能中的任一种的过程系统中的组件。例如，传感器102a可以测量过程系统中的许多种特性，诸如温度、压力或流速率。而且，促动器102b可以更改过程系统中的许多种特性。传感器102a和促动器102b可以表示任何合适过程系统中的任何其他或附加组件。每一个传感器102a包括用于测量过程系统中的一个或多个特性的任何合适结构。每一个促动器102b包括用于在过程系统中的一个或多个条件上操作或者影响过程系统中的一个或多个条件的任何合适结构。

至少一个网络104耦合到传感器102a和促动器102b。网络104促进了与传感器102a和促动器102b的交互。例如，网络104可以传输来自传感器102a的测量数据并向促动器102b提供控制信号。网络104可以表示任何合适的网络或网络组合。作为特定示例，网络104可以表示以太网网络、电信号网络（诸如，HART或FOUNDATION FIELDBUS网络）、气动控制信号网络、或者任何其他或附加（一种或多种）类型的（一个或多个）网络。

在普渡模型中，“级别1”可以包括一个或多个控制器106，该一个或多个控制器106耦合到网络104。除了其他以外，每一个控制器106可以使用来自一个或多个传感器102a的测量结果以控制一个或多个促动器102b的操作。例如，控制器106可以从一个或多个传感器102a接收测量数据并使用该测量数据以生成针对一个或多个促动器102b的控制信号。每一个控制器106包括用于与一个或多个传感器102a交互且控制一个或多个促动器102b的任何合适结构。例如，每一个控制器106可以表示比例-积分-微分（PID）控制器或多变量控制器，诸如鲁棒多变量预测控制技术（RMPCT）控制器或者实现模型预测控制（MPC）或其他高级预测控制（APC）的其他类型的控制器。作为特定示例，每一个控制器106可以表示运行实时操作系统的计算设备。

两个网络108耦合到控制器106。网络108诸如通过将数据传输至控制器106且从控制器106传输数据来促进与控制器106的交互。网络108可以表示任何合适的网络或网络组合。作为特定示例，网络108可以表示以太网网络的冗余对，诸如来自霍尼韦尔国际公司的容错以太网（FTE, FAULT TOLERANT ETHERNET）网络。

至少一个交换机/防火墙110将网络108耦合到两个网络112。交换机/防火墙110可以从一个网络传输业务至另一个网络。交换机/防火墙110还可以阻止一个网络上的业务到达另一个网络。交换机/防火墙110包括用于提供网络之间的通信的任何合适结构，诸如霍尼韦尔控制防火墙（CF9）设备。网络112可以表示任何合适网络，诸如FTE网络。

在普渡模型中，“级别2”可以包括耦合到网络112的一个或多个机器级控制器114。机器级控制器114执行各种功能以支持控制器106、传感器102a以及促动器102b的操作和控制，这可能与特定的一件工业设备（诸如，锅炉或其他机器）相关联。例如，机器级控制器114可以记录由控制器106收集或生成的信息，诸如来自传感器102a的测量数据或针对促动器102b的控制信号。机器级控制器114还可以执行对控制器106的操作进行控制从而对促动器102b的操作进行控制的应用。附加地，机器级控制器114可以提供对控制器106的安全访问。每一个机器级控制器114包括用于提供对机器或其他单独的一件设备的访问、控制、或者与其相关的操作的任何合适结构。例如，每一个机器级控制器114可以表示运行MICROSOFTWINDOWS操作系统的服务器计算设备。尽管未示出，可以使用不同机器级控制器114以控制过程系统中的不同件设备（其中每一件设备与一个或多个控制器106、传感器102a和促动器102b相关联）。

一个或多个操作者站116耦合到网络112。操作者站116表示提供对机器级控制器114的用户访问的计算或通信设备，然后该计算或通信设备可以提供对控制器106（以及可能地，对传感器102a和促动器102b）的用户访问。作为特定示例，操作者站116可以允许用户使用由控制器106和/或机器级控制器114收集的信息来检查传感器102a和促动器102b的操作历史。操作者站116还可以允许用户调整传感器102a、促动器102b、控制器106或机器级控制器114的操作。附加地，操作者站116可以接收并显示由控制器106或机器级控制器114生成的警告、警报或者其他消息或显示。每一个操作者站116包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适结构。例如，每一个操作者站116可以表示运行MICROSOFT WINDOWS操作系统的计算设备。

至少一个路由器/防火墙118将网络112耦合到两个网络120。路由器/防火墙118包括用于提供网络之间的通信的任何合适结构，诸如安全路由器或组合路由器/防火墙。网络120可以表示诸如FTE网络之类的任何合适网络。

在普渡模型中，“级别3”可以包括耦合到网络120的一个或多个单元级控制器122。每一个单元级控制器112典型地与过程系统中的单元相关联，该过程系统表示一起操作以实现过程的至少一部分的不同机器的集合。单元级控制器122执行各种功能以支持较低级别中的组件的操作和控制。例如，单元级控制器122可以记录由较低级别中的组件收集或生成的信息，执行控制较低级别中的组件的应用，并提供对较低级别中的组件的安全访问。每一个单元级控制器122包括用于提供对过程单元中的一个或多个机器或其他件设备的访问、控制、或者与其相关的操作的任何合适结构。例如，每一个单元级控制器122可以表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。尽管未示出，可以使用不同单元级控制器122以控制过程系统中的不同单元（其中每一个单元与一个或多个机器级控制器114、控制器106、传感器102a和促动器102b相关联）。

可以由一个或多个操作者站124提供对单元级控制器122的访问。每一个操作者站124包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适结构。例如，每一个操作者站124可以表示运行MICROSOFT WINDOWS操作系统的计算设备。

至少一个路由器/防火墙126将网络120耦合到两个网络128。路由器/防火墙126包括用于提供网络之间的通信的任何合适结构，诸如安全路由器或组合路由器/防火墙。网络128可以表示诸如FTE网络之类的任何合适网络。

在普渡模型中，“级别4”可以包括耦合到网络128的一个或多个工厂级控制器130。每一个工厂级控制器130典型地与工厂101a-101n之一相关联，该工厂101a-101n可以包括实现相同、相似或不同过程的一个或多个过程单元。工厂级控制器130执行各种功能以支持对较低级别中的组件的操作和控制。作为特定示例，工厂级控制器130可以执行一个或多个制造执行系统（MES）应用、调度应用、或者其他或附加的工厂或过程控制应用。每一个工厂级控制器130包括用于提供对过程工厂中的一个或多个过程单元的访问、控制、或者与其相关的操作的任何合适结构。例如，每一个工厂级控制器130可以表示运行MICROSOFTWINDOWS操作系统的服务器计算设备。

可以由一个或多个操作者站132提供对工厂级控制器130的访问。每一个操作者站132包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适结构。例如，每一个操作者站132可以表示运行MICROSOFT WINDOWS操作系统的计算设备。

至少一个路由器/防火墙134将网络128耦合到一个或多个网络136。路由器/防火墙 134包括用于提供网络之间的通信的任何合适结构，诸如安全路由器或组合路由器/防火墙。网络136可以表示任何合适网络，诸如企业范围的以太网或其他网络或更大网络（诸如因特网）的全部或部分。

在普渡模型中，“级别5”可以包括耦合到网络136的一个或多个企业级控制器138。每一个企业级控制器138典型地能够针对多个工厂101a-101n执行计划操作并控制工厂101a-101n的各种方面。企业级控制器138还可以执行各种功能以支持工厂101a-101n中的组件的操作和控制。作为特定示例，企业级控制器138可以执行一个或多个订单处理应用、企业资源计划（ERP）应用、高级计划和调度（APS）应用、或者任何其他或附加的企业控制应用。每一个企业级控制器138包括用于提供对一个或多个工厂的访问、控制、或者与其控制相关的操作的任何合适结构。例如，每一个企业级控制器138可以表示运行MICROSOFTWINDOWS操作系统的服务器计算设备。在本文档中，术语“企业”指代具有一个或多个工厂或者要管理的其他处理设施的组织。要注意，如果要管理单个工厂101a，则企业级控制器138的功能可能被并入到工厂级控制器130中。

可以由一个或多个操作者站140提供对企业级控制器138的访问。每一个操作者站140包括用于支持系统100中的一个或多个组件的用户访问和控制的任何合适结构。例如，每一个操作者站140可以表示运行MICROSOFT WINDOWS操作系统的计算设备。

普渡模型的各种级别可以包括其他组件，诸如一个或多个数据库。与每一个级别相关联的（一个或多个）数据库可以存储与该级别或与系统100的一个或多个其他级别相关联的任何合适信息。例如，史学装置（historian）141可以耦合到网络136。史学装置141可以表示存储关于系统100的各种信息的组件。例如，史学装置141可以存储在生产调度和优化期间使用的信息。史学装置141表示用于存储信息并促进信息检索的任何合适结构。尽管被示作耦合到网络136的单个集中式组件，但史学装置141可以位于系统100中的其他位置，或者多个史学装置可以分布在系统100中的不同位置中。

在具体的实施例中，图1中的各种控制器和操作者站可以表示计算设备。例如，每一个控制器106、114、122、130、138可以包括一个或多个处理设备142以及用于存储由（一个或多个）处理设备142使用、生成或收集的数据和指令的一个或多个存储器144。每一个控制器106、114、122、130、138还可以包括至少一个网络接口146，诸如一个或多个以太网接口或无线收发器。而且，每一个操作者站116、124、132、140可以包括一个或多个处理设备148以及用于存储由（一个或多个）处理设备148使用、生成或收集的数据和指令的一个或多个存储器150。每一个操作者站116、124、132、140还可以包括至少一个网络接口152，诸如一个或多个以太网接口或无线收发器。

如上所指出，关于工业过程控制和自动化系统，网络安全越来越受到关注。系统100中的组件中的任一个中的未解决的安全漏洞可能被攻击者利用以在工业设施中扰乱操作或造成不安全的状况。在工业环境中，网络安全越来越受到关注，并且难以迅速地确定对整个系统的风险的潜在来源。现代控制系统包含Windows服务器和工作站、交换机、路由器、防火墙、安全系统、专有的实时控制器和现场设备的混合，其中的任一个都可以由系统100中的一个或另一个组件来实现。

这些系统经常是来自不同供应商的设备的混合物。有时，工厂操作者不具有对在他们的场所中运行的所有设备的全面理解或库存。这些组件中的任一个中的未解决的安全漏洞可能被攻击者利用以在工厂中扰乱生产或造成不安全的状况。所公开的实施例可以解决所有这些系统中的潜在漏洞，基于对系统的风险来对漏洞划分优先级，并引导用户缓解漏洞。

任何监测系统必然会对所监测的系统具有某种性能影响，无论该性能影响有多小。为了监测该系统，其还将具有必须满足的一些需求或先决条件。针对控制系统的最高优先级是安全性和生产，所以对该系统的任何监测不危害这两个方面中的任一个是关键的。无论代理是否安装在用于监测的终端设备上或者“无代理的”协议是否用于监测（其利用已经存在于终端设备中的钩子（hook）和API），这都是成立的。

然后，监测系统应当能够验证这些需求，并确保在开始其监测之前其不会对系统安全性或生产具有不利影响。可以使用风险管理器154来完成（除了其他方式以外）这一点。除了其他以外，风险管理器154支持用于监测系统（诸如，工业控制系统）并针对该系统的设备和组件的正确部署进行检查的技术。

在该示例中，风险管理器154包括：一个或多个处理设备156；用于存储由（一个或多个）处理设备156使用、生成或收集的数据和指令的一个或多个存储器158；以及至少一个网络接口160。每一个处理设备156可以表示微处理器、微控制器、数字信号处理、现场可编程门阵列、专用集成电路或分立逻辑。每一个存储器158可以表示易失性或非易失性储存和检索设备，诸如随机存取存储器或闪速存储器。每一个网络接口160可以表示以太网接口、无线收发器或促进外部通信的其他设备。可以使用任何合适硬件或者硬件和软件/固件指令的组合来实现风险管理器154的功能。在一些实施例中，风险管理器154包括数据库155或者与数据库155进行通信。数据库155标示促进信息的存储和检索的任何合适结构。

尽管图1图示了工业过程控制和自动化系统100的一个示例，但可以对图1作出各种改变。例如，控制和自动化系统可以包括任何数目的传感器、促动器、控制器、服务器、操作者站、网络、风险管理器和其他组件。而且，图1中的系统100的组成和布置仅用于图示。可以根据特定的需要来在任何其他合适配置中添加、省略、组合或放置组件。进一步地，特定功能已经被描述为由系统100的特定组件执行，这仅用于图示。一般地，控制和自动化系统是高度可配置的，且可以根据特定的需要以任何合适方式加以配置。附加地，图1图示了其中可以使用风险管理器154的功能的示例环境。可以在任何其他合适设备或系统中使用该功能。

在一些风险管理器实现中，安装并配置风险管理器的用户将负责验证每一个终端设备准备好进行监测。在许多情况下，用户仅会试图监测终端设备并希望不存在不利影响。监测设备的尝试也可能失败，从而留下用户联系技术支持或尝试独立地进行故障排除。

所公开的实施例对那些检查进行自动化，向进行安装的用户提供反馈，并提供关于用户是否应当继续的推荐。其可以识别其中不推荐监测（例如，用户可能不想因监测已经遭受资源匮乏的设备而冒搅乱系统的风险）的情形以及其中监测在被尝试的情况下将失败（例如，尝试将监测代理推送到设备会被当前安全设置所阻止）的情形。关于用户是否应当继续的推荐可以与“是/否”指示符一样简单，或者可以是关于在用户要继续的情况下应当或不应当采取的动作的更具体推荐。

本文所公开的技术可以被应用于对终端设备的“基于代理的”和“无代理的”监测两者。这两者之间的区别是：基于代理的监测会向所监测的设备添加驻留程序，而无代理的监测利用已经存在于终端设备中的特征以执行监测功能。无代理的监测经常利用存在于操作系统（诸如，Microsoft Windows平台上可用的Windows管理基础结构（WMI））中的或以其他方式已经存在于终端设备上的API。

例如，在基于代理的系统中，一旦发现了设备，就需要部署代理。这可能要求一些安全设置被禁用，且要求某个量的空闲CPU、存储器和盘空间。预检查过程可以执行如下这样的功能：检查安全配置以查看是否可以在没有任何改变的情况下推送代理；检查存储器以确保存在足够的空闲RAM来安装代理且仍具有可用存储器的健康余量；检查CPU利用率以确保存在足够的空闲CPU来安装代理且仍具有可用存储器的健康余量；以及检查硬盘驱动器（HDD）以确保存在足够的空闲HDD空间来安装代理且仍具有可用储存器的健康余量。

图2图示了根据所公开的实施例的方法200的流程图，如可例如由风险管理器154或者另一设备或控制器（下面被称作“系统”或“风险管理器系统”）执行的那样。

该系统识别易受网络安全风险损害的多个所连接的设备（205）。这些设备可以是任何计算设备，诸如图1的组件或下面描述的那些组件中的任一个。设备可以由系统自动地发现并添加。设备可以由用户手动地添加，例如通过输入如IP地址、SNMP社区字符串或其他之类这样的信息。

该系统确定要监测的设备（210）。这可以包括通过自动发现方法（诸如，枚举针对Windows域中的活动目录中的PC或在监测主机的子网内搜索遍机器）或以其他方式从用户接收识别要监测的设备的手动输入。要监测的设备可以包括本文描述的任何设备，其包括上面关于图1描述的那些设备以及下面描述的那些设备。

该系统可以验证要监测的设备上的任何相关软件或硬件先决条件（215）。例如，在使用基于代理的监测的实现中，当监测Windows PC时，代理可以在本地机器上使用Microsoft PowerShell脚本以收集数据，并且这些脚本中的一些要求PowerShell版本2.0或更晚的版本。该系统可以通过针对该机器的远程WMI查询来证实在要监测的每一个设备上是否存在适当的软件版本。该步骤对于无代理的监测方法而言可能是不必要的，这是由于用于数据收集的机制可以是该系统的组成部分。

该系统评估要监测的每一个设备上的系统资源使用率，以确保监测不会使其超出可接受的阈值（220）。要检查的有用资源包括但不限于CPU、存储器和盘空间。可以针对所检查的每一个资源选择阈值（例如，所有经证实的资源使用率应当低于80%）。这可以用于帮助作出本文所描述的用户推荐。再一次，在查看Windows PC的风险管理器的示例中，可以经由远程WMI查询来收集该数据。

该系统评估所连接的设备上的安全先决条件（225）。这些可能包括检查每一个设备上的防火墙设置以及根据被辨别出且在终端设备上具有足够特权的账户证实监测过程正在运行。该过程还可以包括从用户接收凭证或者将凭证发送至所连接的设备。

该系统向用户提供关于他们是否应当继续进行监测的推荐（230）。如果设备未能通过硬件、软件或安全先决条件检查，则可以向用户告知监测可能未正确地工作（或根本未工作），并且用户可以在终端设备上提供需要采取的步骤。如果设备未能通过资源检查，则可以向用户告知在他们继续进行监测的情况下可能的系统不稳定。推荐可以被显示给用户、被传输至用户设备或以其他方式进行。

作为提供推荐的一部分，该系统还可以供应推荐的某个级别的施行。可能级别的施行包括：

a. 无施行——向用户呈现由系统聚集的信息，但是用户使用该信息以决定如何在没有来自系统的进一步限制的情况下继续。

b. “软”施行——向用户呈现针对每一个设备的推荐，并且是否针对给定设备而继续的选项是预先选择的。用户仍然可以超控该选择（可以向他们呈现他们必须首先肯定应答的警告消息）。

c. “硬”施行——向用户呈现针对每一个设备的推荐，但是用户不能继续在未通过系统检查的任何设备上进行监测。

该系统可以凭借通知（诸如，通过电子邮件、SMS、OPC、系统中心或以其他方式）来提供推荐。

除非以其他方式具体描述，可以同时地、顺序地或重复地执行本文描述的过程中的步骤，可以省略或者可以按不同的次序执行本文描述的过程中的步骤。

图3图示了可例如由风险管理器154或另一系统呈现给用户以用于作为本文所描述的过程的一部分与用户交互的用户界面300。该图图示了设备配置302，设备配置302示出了已被该系统识别的多个所连接的设备304。还示出的是“添加新设备”按钮306；当用户选择该按钮时，该系统会接收手动地或经由向导来自用户的新设备信息。设备304可以由该系统自动地发现并添加。设备可以由用户手动地添加，例如通过输入如IP地址、SNMP社区字符串或其他之类这样的信息。

图4图示了可例如由风险管理器154或另一系统呈现给用户以用于作为本文所描述的过程的一部分与用户交互的用户界面400。该图图示了用于添加新设备（手动地或通过由PC的系统进行的自动发现）、网络设备或其他所连接的设备的界面。可以使用类似的技术以从监测列表中删除所连接的设备。

图5图示了可例如由风险管理器154或另一系统呈现给用户以用于作为本文所描述的过程的一部分与用户交互的用户界面500。该图图示了用于在该情况下通过从用户接收选择来确定要监测的设备502的界面。

图6图示了可例如由风险管理器154或另一系统呈现给用户以用于作为本文所描述的过程的一部分与用户交互的用户界面600。该图图示了用于评估要监测的设备的资源（诸如，CPU使用率602、物理存储器使用率604和盘空间使用率606）的界面。

图7图示了可例如由风险管理器154或另一系统呈现给用户以用于作为本文所描述的过程的一部分与用户交互的用户界面700。该图图示了用于提供在所连接的设备上安装或部署代理的凭证的界面。可以使用类似的界面以提供从所连接的设备中移除代理的凭证。该图还图示了基于评估而向用户提供的关于该用户是否应当继续进行监测的推荐702的示例，该评估包括被推荐采取或不采取的具体动作（诸如，安装代理或添加防火墙例外）。

图8图示了可例如由风险管理器154或另一系统呈现给用户以用于作为本文所描述的过程的一部分与用户交互的用户界面800。该图图示了用于示出在所连接的设备上添加新设备以及安装或部署代理的结果的界面。

注意，风险管理器154和/或本文描述的其他过程、设备和技术可以结合以下的先前提交的专利申请（全部通过引用并入本文）中所描述的任何组合或所有各种特征而使用或操作：

• 名称为“DYNAMIC QUANTIFICATION OF CYBER-SECURITY RISKS IN A CONTROLSYSTEM”的美国专利申请No. 14/482,888；

• 名称为“ANALYZING CYBER-SECURITY RISKS IN AN INDUSTRIAL CONTROLENVIRONMENT”的美国临时专利申请No. 62/036,920；

• 名称为“RULES ENGINE FOR CONVERTING SYSTEM-RELATED CHARACTERISTICSAND EVENTS INTO CYBER-SECURITY RISK ASSESSMENT VALUES”的美国临时专利申请No.62/113,075以及对应的非临时美国专利申请14/871,695；

• 名称为“NOTIFICATION SUBSYSTEM FOR GENERATING CONSOLIDATED,FILTERED, AND RELEVANT SECURITY RISK-BASED NOTIFICATIONS”的美国临时专利申请No. 62/113,221以及对应的非临时美国专利申请14/871,521；

• 名称为“TECHNIQUE FOR USING INFRASTRUCTURE MONITORING SOFTWARE TOCOLLECT CYBER-SECURITY RISK DATA”的美国临时专利申请No. 62/113,100以及对应的非临时美国专利申请14/871,855；

• 名称为“INFRASTRUCTURE MONITORING TOOL FOR COLLECTING INDUSTRIALPROCESS CONTROL AND AUTOMATION SYSTEM RISK DATA”的美国临时专利申请No. 62/113,186以及对应的非临时美国专利申请14,/871,732；

• 名称为“PATCH MONITORING AND ANALYSIS”的美国临时专利申请No. 62/113,165以及对应的非临时美国专利申请14,/871,921；

• 名称为“APPARATUS AND METHOD FOR AUTOMATIC HANDLING OF CYBER-SECURITY RISK EVENTS”的美国临时专利申请No. 62/113,152以及对应的非临时美国专利申请14,/871,503；

• 名称为“APPARATUS AND METHOD FOR DYNAMIC CUSTOMIZATION OF CYBER-SECURITY RISK ITEM RULES”的美国临时专利申请No. 62/114,928以及对应的非临时美国专利申请14,/871,605；

• 名称为“APPARATUS AND METHOD FOR PROVIDING POSSIBLE CAUSES,RECOMMENDED ACTIONS, AND POTENTIAL IMPACTS RELATED TO IDENTIFIED CYBER-SECURITY RISK ITEMS”的美国临时专利申请No. 62/114,865以及对应的非临时美国专利申请14871814；以及

• 名称为“APPARATUS AND METHOD FOR TYING CYBER-SECURITY RISK ANALYSISTO COMMON RISK METHODOLOGIES AND RISK LEVELS”的美国临时专利申请No. 62/114,937以及对应的非临时美国专利申请14/871,136；以及

• 名称为“RISK MANAGEMENT IN AN AIR-GAPPED ENVIRONMENT”的美国临时专利申请No. 62/116,245以及对应的非临时美国专利申请14/871,547。

在一些实施例中，本专利文档中所描述的各种功能被由计算机可读程序代码形成且体现在计算机可读介质中的计算机程序来实现或支持。短语“计算机可读程序代码”包括任何类型的计算机代码，其包括源代码、目标代码和可执行代码。短语“计算机可读介质”包括能够由计算机访问的任何类型的介质，诸如，只读存储器（ROM）、随机存取存储器（RAM）、硬盘驱动器、致密盘（CD）、数字视频盘（DVD）、或任何其他类型的存储器。“非暂时性”计算机可读介质不包括传输暂时性电或其他信号的有线、无线、光学或其他通信链路。非暂时性计算机可读介质包括其中可以永久存储数据的介质以及其中可以存储数据并稍后盖写数据的介质，诸如可重写光盘或可擦除存储器设备。

可以有利的是，阐述遍及本专利文档使用的某些词语和短语的定义。术语“应用”和“程序”指代一个或多个计算机程序、软件组件、指令集、规程、功能、对象、类、实例、相关数据、或适于合适计算机代码（包括源代码、目标代码或可执行代码）中的实现的其部分。术语“通信”及其派生词涵盖了直接和间接通信两者。术语“包含”和“包括”及其派生词意指包括而不限于。术语“或”是包含性的，意指和/或。短语“与……相关联”及其派生词可以意指包括、被包括在……内、与……互连、包含、被包含在……内、连接到或与……连接、耦合到或与……耦合、可与……通信、与……协作、交错、并列、靠近于、绑定至或与……绑定、具有、具有……的属性、具有同或与……的关系等等。在与项目列表一起使用时，短语“……中的至少一个”意味着可以使用所列出的项目中的一个或多个的不同组合并且可能仅需要列表中的一个项目。例如，“A、B和C中的至少一个”包括以下组合中的任一个：A、B、C、A和B、A和C、B和C、以及A和B和C。

虽然本公开已经描述了某些实施例和一般关联的方法，但这些实施例和方法的更改和置换对本领域技术人员来说将是显而易见的。相应地，示例实施例的以上描述不对本公开进行定义或约束。在不脱离如所附权利要求所限定的本公开的精神和范围的情况下，其他改变、替代和更改也是可能的。

Claims (5)

1.一种方法，包括：

由风险管理器系统（154）识别（205）易受网络安全风险损害的多个所连接的设备（138、132、124、116）；

由所述风险管理器系统（154）从所述多个所连接的设备中确定（210）要监测的设备（502）；

验证（215）要监测的设备上的任何相关软件或硬件先决条件；

由用户通过远程WMI查询来证实在要监测的每一个设备上是否存在适当的软件版本；

由所述风险管理器系统评估（220）要监测的每一个设备（502）上的系统资源使用率（602、604、606）；

评估（225）所连接的设备（138、132、124、116）上的安全先决条件，其中评估安全先决条件包括：

检查每一个设备上的防火墙设置；

根据被辨别出且对于所连接设备具有足够特权的账户证实监测过程正在运行；

从用户接收凭证或将凭证发送至所连接的设备；以及

由所述风险管理器系统（154）基于所述评估和所述监测是否使系统资源使用率增加得超过预定阈值来向用户提供（230）关于所述用户是否应当继续进行监测的推荐（702），并且向用户提供关于是否在所连接设备的每一个上安装监测代理的推荐，以及提供推荐的实施级别，该实施级别包括无施行、“软”施行和“硬”施行中的至少一个。

2.如权利要求1所述的方法，其中识别（205）所述多个所连接的设备包括：由所述风险管理器系统（154）执行自动发现过程。

3.一种风险管理器系统（154），包括：

控制器（156）；以及

存储器（158），所述风险管理器系统（154）被配置成：

识别（205）易受网络安全风险损害的多个所连接的设备（138、132、124、116）；

从所述多个所连接的设备中确定（210）要监测的设备（502）；

验证（215）要监测的设备上的任何相关软件或硬件先决条件；

由用户通过远程WMI查询来证实在要监测的每一个设备上是否存在适当的软件版本；

评估（220）要监测的每一个设备（502）上的系统资源使用率（602、604、606）；

评估（225）所连接的设备（138、132、124、116）上的安全先决条件，其中评估安全先决条件包括：

检查每一个设备上的防火墙设置；

根据被辨别出且对于所连接设备具有足够特权的账户证实监测过程正在运行；

从用户接收凭证或将凭证发送至所连接的设备；以及

基于所述评估和所述监测是否使系统资源使用率增加得超过预定阈值来向用户提供（230）关于所述用户是否应当继续进行监测的推荐（702），并且向用户提供关于是否在所连接设备的每一个上安装监测代理的推荐，以及提供推荐的实施级别，该实施级别包括无施行、“软”施行和“硬”施行中的至少一个。

4.如权利要求3所述的风险管理器系统，其中所述风险管理器系统（154）被配置成：通过执行自动发现过程来识别（205）所述多个所连接的设备。

5.一种利用可执行指令而编码的非暂时性机器可读介质（158），所述可执行指令在被执行时使风险管理器系统（154）的一个或多个处理器（156）：

识别（205）易受网络安全风险损害的多个所连接的设备（138、132、124、116）；

从所述多个所连接的设备中确定（210）要监测的设备（502）；

验证（215）要监测的设备上的任何相关软件或硬件先决条件；

由用户通过远程WMI查询来证实在要监测的每一个设备上是否存在适当的软件版本；

评估（220）要监测的每一个设备（502）上的系统资源使用率（602、604、606）；

评估（225）所连接的设备（138、132、124、116）上的安全先决条件，其中评估安全先决条件包括：

检查每一个设备上的防火墙设置；

根据被辨别出且对于所连接设备具有足够特权的账户证实监测过程正在运行；

从用户接收凭证或将凭证发送至所连接的设备；以及

基于所述评估和所述监测是否使系统资源使用率增加得超过预定阈值来向用户提供（230）关于所述用户是否应当继续进行监测的推荐（702），并且向用户提供关于是否在所连接设备的每一个上安装监测代理的推荐，以及提供推荐的实施级别，该实施级别包括无施行、“软”施行和“硬”施行中的至少一个。

Images