CN111343084B - 使用网关保护自动化系统的系统和方法 - Google Patents

Abstract

本发明公开了使用网关保护自动化系统的系统和方法。用于保护自动化系统(AS)的系统和方法，包括基于AS的架构数据构建安全配置，以使符合安全配置来确保AS设备的安全级别，使用安全配置在AS网络的网关上安装数据传输应用程序，以及通过数据传输应用程序从AS设备之一传输数据，以使数据传输应用程序的动作由安全配置定义。

Description

使用网关保护自动化系统的系统和方法

相关申请的交叉引用

本申请要求2019年2月7日提交的、RU2019103367号俄罗斯联邦专利申请的权益，其通过引用完全合并于本文中。本申请还涉及题为“用于配置网关以保护自动化系统的系统和方法(SYSTEMS AND METHODS FOR CONFIGURING A GATEWAY FOR PROTECTION OFAUTOMATED SYSTEMS)”的16/664,032号共同未决的申请，该申请也通过引用完全合并于本文中。

技术领域

实施例总地涉及自动化系统领域，并且更具体地，涉及保护自动化系统。

背景技术

在当今世界，越来越多的电子设备连接到网络以便进行远程控制或监控。此类设备通常包含在自动化系统(AS)中，并且可以进行更改，例如从家用湿度传感器到高科技机器。

与任何其他网络一样，连接各种设备的AS网络也容易受到攻击者的攻击。此类攻击的示例可以包括获得对AS设备(例如，启动器(机器驱动器))的控制，或者获得对涉及AS中发生的技术过程的数据的非法访问。一种用于保护AS网络的方法，包括创建专用网络，该专用网络仅可从位于某些区域的物理限制内的设备访问。但是，以这种方式完全限制AS网络并不是最实用的解决方案，尤其是在需要远程访问由AS设备形成的数据流时。

保护AS网络中的设备的挑战的另一种解决方案是使用网关，它充当“数据二极管”，即让数据仅沿一个方向移动-从AS设备到网关外部的网段，但不回来。例如公布号为2558055A的英国专利申请描述了使用多个网关的这种“二极管”实现方式，其中一个网关是用于AS网络的边界网关，而另一个网关只能向第一个网关发送数据，而不能从第一个网关接收数据。如果对安全配置进行任何更改，则“数据二极管”的这种实现方式将具有不足之处，因为配置这种网络非常复杂(符合一组要求时将确保AS设备所需的安全级别)。因此，具有对既能保护AS设备又允许容易地设置AS设备访问规则和安全配置的AS网络安全性的需求。

发明内容

本文描述的实施例基本上满足了行业的前述需求。特别地，实施例克服了用于AS网络保护的已知方法的已有缺点，并确保了AS设备的安全性。

在一个实施例中，一种用于保护自动化系统(AS)的方法，该AS包括多个AS设备，该方法包括基于AS的架构数据来构建安全配置，其中符合安全配置确保了多个AS设备的安全级别；使用安全配置在AS网络的网关上安装数据传输应用程序，该数据传输应用程序配置为与AS网络外部的至少一个计算设备交换数据；以及通过该数据传输应用程序从多个AS设备之一传输数据，其中所述数据传输应用程序的动作由安全配置定义。

在一个实施例中，提供了一种用于保护自动化系统(AS)的系统，该AS包括多个AS设备，该系统包括控制工具，该控制工具包括控制工具计算平台，该控制工具计算平台包括至少一个控制工具处理器的控制工具计算硬件和可操作地耦合到至少一个控制工具处理器的控制工具存储器；指令，该指令在控制工具计算平台上执行时，使控制工具计算平台：基于AS的架构数据构建安全配置，其中符合安全配置可确保多个AS设备的安全级别；网关，包括控制服务，该控制服务配置成使用安全配置在网关上安装数据传输应用程序，该数据传输应用程序配置成与AS网络外部的至少一个计算设备交换数据，其中，数据传输应用程序的动作由安全配置定义。

在一个实施例中，提供了一种用于保护自动化系统(AS)的系统，该AS包括多个AS设备，该系统包括用于基于该AS的架构数据来构建安全配置的装置，其中符合安全配置确保了用于多个AS设备的安全级别；用于使用该安全配置在AS网络的网关上安装数据传输应用程序的装置，该数据传输应用程序配置成与AS网络外部的至少一个计算设备交换数据；以及用于通过数据传输应用程序从多个AS设备之一传输数据的装置，其中数据传输应用程序的动作由安全配置定义。

上面的发明内容并非旨在描述本主题的每个所示实施例或每个实现方式。随后的附图和具体实施方式更具体地举例说明了各种实施例。

附图说明

考虑以对各种实施例的以下详细描述，结合附图可以更完全地理解本发明的主题，其中：

图1是根据一个实施例的用于保护自动化系统的系统的框图。

图2是根据一个实施例的用于保护自动化系统的另一系统的框图。

图3是根据一个实施例的用于保护自动化系统的方法的流程图。

图4是根据一个实施例的用于保护自动化系统的另一种方法的流程图。

图5是被配置为实现本文描述的实施例的计算机系统的框图。

尽管各种实施例可以进行各种修改和修改为替代形式，但是其细节已经通过示例在附图中示出并且将被详细描述。然而，应当理解，其目的不是将要求保护的发明限于所描述的特定实施例。相反，意图涵盖落入权利要求所限定的主题的精神和范围内的所有修改、等同物和替代物。

具体实施方式

在具体实施例中整个说明书均使用以下定义和概念。

例如，“自动化系统”包括人员系统和用于自动化活动的一套工具，该工具实现用于执行已建立的功能的信息技术。自动化系统的一个示例可以是自动化控制系统(ACS)；尤其是自动化过程控制系统(APCS)或“智能家居”的传感器或其他设备的系统或实现“物联网”(IoT)概念的其他网络。通常，AS意指通过网络访问连接的设备，从外部对其进行严格管制(即，例如，仅限于“只读”访问)。因此，并且如本文所述，实施例保护了一组自动化系统自动化工具；也就是，即自动化系统的设备。

在一个实施例中，安全网关(或“网关”)是网络之间、网络段之间或各种安全域中的软件应用程序之间的连接点。在实施例中，网关被配置成根据安全策略来保护网络。网关包括连接网络段的计算设备，其中这样的网络之一是连接AS设备的网络。

在一个实施例中，安全配置是对应用程序的一组形式化(例如，形式化为XML文件)的要求，对应用程序的执行确保了自动化系统所需的信息安全级别。安全配置可以是安全策略的一部分。

在一个实施例中，应用程序包(有时称为“应用包”)是一组相互关联的程序，用于从特定的应用领域中解决某些类别的任务。应用包的示例可以是服务包(service pack)(意思是作为应用程序服务)。

在一个实施例中，服务(有时称为“守护进程”)是以后台模式运行的应用程序。

在一个实施例中，恶意应用程序是能够损害计算机或计算机用户数据(换句话说，计算机系统)的应用程序，例如网络蠕虫、键盘间谍或计算机病毒。损害可包括出于盗窃目的对计算机资源(包括存储在计算机中的数据)的未经授权的访问以及滥用资源(即为了存储数据，执行计算等)。

在一个实施例中，受信应用程序是不损害计算机或其用户的应用程序。如果应用程序是由受信的软件开发人员开发的，或者应用程序是从受信源(例如，受信站点的数据库中包含的站点)下载的，或者应用程序的ID(或允许绝对标识应用程序(例如，应用程序文件的散列和)的其他数据)存储在受信的应用程序数据库中，则可以认为该应用程序是可信的。制造商ID(例如数字证书)也可以存储在受信的应用程序数据库中。在一个实施例中，可以从受信的应用包安装受信的应用程序。

在一个实施例中，不受信的应用程序是不受信但也未(例如，通过防病毒应用程序)被识别为恶意的应用程序。随后可以将不受信的应用程序识别为恶意的(例如，使用防病毒检查)。

在一个实施例中，恶意文件是作为恶意应用程序的组件并且包含程序代码(可执行代码或经翻译的代码)的文件。

在一个实施例中，不受信的文件是作为不受信的应用程序的组件并且包含程序代码(可执行代码或经翻译的代码)的文件。

在一个实施例中，受信文件是作为受信应用程序的组件的文件。

在本发明中使用网关来保护自动化系统的系统的工具可以是使用硬件手段设计的实际设备、系统、组件和组件组，例如专用集成电路(ASIC)或现场可编程门阵列(FPGA)，或例如作为软件和硬件手段的组合，例如微处理器系统和一组程序指令，以及神经突触芯片。上述系统工具的功能可以仅通过硬件手段来提供，或者可以作为组合来提供，其中系统工具的功能部分地通过软件手段且部分地通过硬件手段来提供。在一些实施例中，可以使用通用计算机的处理器(例如，图5所示的那个)来实现一些或全部工具。同样，可以在单个计算机内配置系统组件，也可以在多台链接的计算机之间划分系统组件。

参看图1，描绘了根据一个实施例的用于保护自动化系统的系统100的框图。系统100通常包括云数据服务104、控制工具116、自动化系统设备135，在操作系统(OS)120的控制下运行的网关105和在网关105内运行的应用程序130。

在一个实施例中，云数据服务104是配置为提供由自动化系统设备135收集的信息的固件复合体。在另一实施例中，云数据服务104也可以用于控制AS设备135。SiemensMindSphere是云数据服务104的一个示例。

云服务104提供的数据的示例是：AS设备操作状态(打开/关闭，或处于处理组件的状态)；AS设备工具的位置(在空间中的位置，倾斜角度)，其会影响正在处理的组件；从更换组件的那一刻起AS设备的运行时间(换句话说，就是组件磨损)；湿度计读数；温度计读数；加速度计读数；来自AS设备上其他传感器的读数。

设备135是AS设备，其可以执行接收到的命令并提供操作数据或功能数据，例如启动器、传感器等。各种数据传输协议，例如OPC UA或ModBus，可以用于网关105和设备135之间的数据传输。

设备135的示例是湿度传感器；照明传感器；压力(例如，大气压)传感器；驱动控制单元(例如，用于门、切割器、阀门等)；数控机床；电动机；例如与传感器连接的工业控制器；能够提供信息和/或执行接收到的命令的工业中使用的或者用作智能家居设备的任何其他设备。

控制工具116是被设计为控制AS计算设备的计算设备。例如，控制工具116可以将命令发送到一个或更多个AS计算设备。在一个实施例中，控制工具116位于AS的外部，并且工具116和AS设备之间的数据交换是通过能够访问AS网络外部的资源和AS自身的设备两者的计算设备来进行的。这样的计算设备的示例是网关105，其限制AS网络(即，连接AS网络和AS外部的网络)。下面使用用作网关105的计算设备的该示例来描述系统的操作的实施例，而不损害上述计算设备的通用性。在这种情况下，由控制工具116执行的关于AS设备的控制的示例可以包括将以下内容传输到AS设备：软件包(例如，服务或更新)；用于安装软件包的命令；安全配置(以及配置参数，下面将提供其示例)；用于开始/停止操作的命令。

安全配置的示例，即安全配置中包含的要求，如下所示(使用XML形式化)：

上述要求禁止数据传输应用程序(例如数据传输服务)调用(deny_function_call)GetProcAddress函数(function_name＝GetProcAddress)。换句话说，该要求规定了数据传输应用程序不存在(absence)调用(或禁止调用)GetProcAddress函数。

安全配置中包含的要求的示例可以包括：不存在或禁止使用不安全的数据结构；不存在或禁止使用不安全的API函数；不存在或禁止使用已知包含漏洞的可执行代码，例如，可执行文件库的代码；不存在或禁止违反预分配的安全策略；不存在或禁止预分配的应用程序访问其根据访问监控模型(例如Bell-LaPadula)或安全政策不能访问的数据(包括其他应用程序提供的数据，和使用请求(例如SQL)接收的数据)；不存在或禁止调用已预先为其分配了已知签名(函数描述，其确定了允许的函数参数的格式和大小)的、具有函数签名未规定的参数的函数；不存在或禁止预先分配的应用程序调用来自分配给该应用程序的禁止函数列表(此类列表可以存储在与安全服务125链接的数据库中)的函数。

控制工具116还配置用于建立安全性配置；收集有关自动化系统架构的信息；分析被设计为在网关105处执行的应用程序的安装组件，以便检查应用程序安装组件是否符合安全配置；以及使用应用程序安装组件安装应用程序，从而构建应用程序包。

在这种情况下，安装组件是用于安装应用程序包的数据。此类数据可以包括应用程序源代码的文件。安装过程包括从应用程序组件创建应用程序包(软件包)，尤其是编译应用程序的可执行文件，然后组织编译结果。

自动化系统的架构包括描述在自动化系统中工作的硬件和软件的复杂性的信息。在一个实施例中，架构信息包括设备的列表，其具有每个设备的用途的指示；自动化系统网络的拓扑，以及数据传输应用程序110必须安装到的网关相对于其他设备的位置；网关上安装的应用程序的列表，其具有每个应用程序的用途的指示；网关上安装的每个应用程序的已知漏洞的列表；适用于安装在网关上的每个应用程序的数据交换协议(Modbus、OPC UA等)的列表，以及有关数据传输协议的已知漏洞的信息。

在一个实施例中，控制工具116配置成在构建安全配置时使用关于AS的架构的数据。对用于构建安全配置的自动化系统的架构的这种考虑至少确保了保护自动化系统的设备免受恶意行为，该恶意行为可以代表应用程序被执行，例如，如果应用程序受到威胁。受损应用程序(尤其是数据传输应用程序110)的示例可以是非法获得代表应用程序110对代码执行的远程访问(换句话说，执行来自所启动的应用程序110的地址空间的代码)。

基于AS架构构建安全配置的示例包括向安全配置添加以下类型的要求：针对配置用于传输来自AS设备135的数据的每个应用程序，“不存在由指针对来自应用程序侧的库的函数的函数调用”。在一个实施例中，配置用于从AS设备135传输数据的应用程序可以包括来自AS网络的数据。在一个实施例中，GetProcAddress是这种函数的例子。

基于AS架构构建安全配置的另一个示例包括将以下类型的要求添加到安全配置中：对于配置用于传输数据(例如，从AS网络向外传输)的每个应用程序“在应用程序的一部分上，不存在对将可执行代码加载到进程的地址空间中的函数的调用”。在一个实施例中，LoadLibrary是这种函数的示例。

基于AS架构构建安全配置的另一个示例包括将以下类型的要求添加到安全配置中：“在应用程序一侧不存在对设备控制函数的调用”。在一个实施例中，可以以应用程序的目的是否为传输数据以及设备的目的不限于数据的收集和提供为条件。

基于AS架构构建安全配置的另一个示例包括将以下类型的要求添加到安全配置中：“不存在使用格式与预分配的签名不匹配的数据传输协议来传输数据。”在一个实施例中，要求可以以应用程序是否以具有已知漏洞的协议运行为条件。在一个示例中，预分配的签名可以是数据包的格式，其大小不超过预分配的字节数，例如128个字节。

本领域技术人员将理解，前述实施例出于限制应用程序的目的使用关于AS架构的信息。此外，这种限制是对用于执行可用于获得对AS资源(例如，AS设备)的非法访问的动作的应用程序能力的限制。其他限制也是可能的，包括对网络、AS设备、操作系统等的限制，以及对系统组件的子组的限制。

针对要由工具116和设备135执行的上述函数，以下应用程序被安装并在网关105上运行：控制服务115，配置成接收数据并执行来自控制工具116的命令；和用于从设备135接收数据并将数据提供给数据消费者(设备135的服务)的应用程序130，例如被配置为提供关于AS架构的可访问信息的数据传输应用程序110(例如，各个设备135的目的)。

在一个实施例中，如上所述，网关105在OS 120的控制下操作。在一个实施例中，操作系统120是微内核OS。这种OS处理网关105的应用程序(特别是服务)调用的所有进程间通信(IPC)函数，并使用安全服务器125来执行其保护应用程序130的函数(例如，保护受信应用程序免受不受信应用程序或受损应用程序的动作)，并相应地保护设备135。

通过限制可能是恶意活动(特别是如前所述，涉及非法访问AS资源的活动)的来源的应用程序的操作来执行对应用程序130的保护(从而确保对设备135的保护)。限制可能意味着禁止执行进程间交互函数。在这种情况下，应用程序动作的限制由安全服务125使用的安全配置定义，以决定允许哪些进程间交互函数和不允许哪些进程间交互函数。

在一个实施例中，在网关105上运行的应用程序130被配置成从设备135接收数据。可以使用诸如OPC UA或ModBus之类的工业数据传输协议来接收数据。因此，使用应用程序130来执行将数据(例如，有关技术过程状态的数据或传感器读数)从设备135传输到网关105，如果需要，再传输到云数据服务104。在实施例中，每个应用程序可以恰好服务一个设备135或多个设备135。

为了将数据从网关105传输到云数据服务104，可以使用数据传输应用程序110。在实施例中，数据传输应用程序110可以在网关处操作。这样的数据传输应用程序110通常由云数据服务104的所有者、开发者或管理员以将要安装到计算设备的软件包的形式来提供。例如，计算设备可以包括网关105。网关105经由数据传输应用程序110将数据从连接的设备135(使用应用程序130)传输至云数据服务104。在另一个实施例中，以安装组件的形式提供数据传输应用程序110。云数据服务104可以用于聚集数据并相应地提供从设备130接收的信息。当计算设备在用户的家中时(或者如果是移动计算设备，用户随身携带它时)，云数据服务104可以连接到计算设备，其从“智能家居”设备的各种传感器收集信息。随后，云数据服务104允许用户例如使用智能电话来远程追踪他/她家的设备的状态(有时是状态的控制)。

由于数据传输应用程序110由第三方(例如上述云数据服务104的所有者、开发人员或管理员)提供，用于安装到网关105，因此数据传输应用程序110不是受信的。因此，存在应用程序110将被破坏的风险。例如，使用应用程序110的漏洞，犯罪者可以使用不受信应用程序110获得对AS的设备135和网关105的应用程序130(对自动化系统的固件复合体)的访问。

为了解决此漏洞，控制网关105的运行的OS 120与安全服务125一起，安全服务125基于安全配置决定要阻止哪些进程间交互函数以及哪些进程间交互函数被允许。特别地，这样的函数可以用于由数据传输应用程序110从连接到设备135的应用程序130接收数据。这样的调用对于AS的设备130通常是安全的，并且因此安全配置不规定对这样的调用进行阻止，因为它们意图直接完成与从设备130到云服务104的数据传输有关的任务。另一方面，数据传输应用程序110执行的其他操作(对IPC进程间交互函数的调用，其超出对安全性配置的限制)被安全服务125阻止，从而提供AS设备130所需的安全(特别是信息安全)级别。

可以利用OS 120的微内核架构来完全监控在网关105处运行的应用程序(例如数据传输应用程序110、控制服务115和其他应用程序130)的交互。

参看图2，描绘了根据一个实施例的用于保护自动化系统的另一系统的框图。系统200包括控制工具116(该控制工具又包括安装工具220)和计算设备，其中网关105是计算设备的示例，并且OS 120在计算设备上操作。在一实施例中，OS 120是微内核OS，其细节在图1的描述中提供。在另一实施例中，没有特殊的架构要求被应用于OS 120。在一个实施例中，正如图1的描述中的网关105连接设备130和云服务104。

网关105可以包括控制服务115，该控制服务115能够将应用程序包安装到计算设备，特别是安装到网关105。在一个实施例中，这种应用程序包由控制工具116提供。

在一个实施例中，控制工具116被配置成存储可以安装到AS设备特别是网关105的应用程序包(服务)。例如，应用程序包可以存储在控制工具116的硬件中或存储在数据库(图2中未示出)中。数据(例如，先前从远程服务器加载到此类存储器)可以由专家或使用专用软件来编写。在一个实施例中，控制工具116服务器由相关软件的开发者拥有和/或使用，软件包由控制工具116存储。

在另一个实施例中，控制工具116本身能够使用应用程序的安装组件226来构建应用程序包210(特别是服务包)。在这样的实施例中，安装本身由安装工具220执行，该安装工具可以是控制工具116的组件或独立的远程运行工具。使用安装工具220获得的应用程序包可以随后由控制工具116安装到AS网关105。

在一个实施例中，安装工具220还配置成分析安装部件226以符合安全配置225。在这种情况下，安全配置225可以由工具116构建或由信息安全专家或其他外部服务提供，例如，将安全配置构建为服务的外部服务。应用程序的安装组件226的分析结果是确定安装组件226是否匹配(符合)安全配置225。

在一个实施例中，为了构建应用程序包210，安装工具220仅使用已经被分析并且满足安全配置225(单独地以及与应用于这种组件226的安全配置要求一起)的安装组件226。在这种情况下，安装工具220构建受信的应用程序包。换句话说，受信的应用程序包是由安装工具220从与安全配置匹配的安装组件构建的应用程序包。

安装工具220还配置成修改不满足安全配置225的安装组件，以使此类组件确实满足安全配置225。在一个实施例中，在分析安装组件226时，并且如果组件226不满足安全配置225，则该操作是安装工具220执行的最后步骤。

为了检查安装组件226是否与安全配置225相匹配，安装工具执行分析。在这种分析中，安装工具220可以收集关于安装组件226的以下信息：关于安装组件226中包含的漏洞(例如，至少已知的漏洞)的信息；有关正在使用的数据结构的信息；有关正在使用的API函数和方法的信息；有关安装组件226的代码使用的数据传输协议的信息。

如果该分析确定安装组件226与安全配置225不匹配，则安装工具220修改(如果可能)相关的安装组件226。为了使这种安装组件226与安全配置225匹配，安装工具220可以：如果在安装组件226中发现了漏洞，则用不具有该漏洞的类似组件的早期版本替换安装组件226或使用安全补丁更新安装组件226；如果在安装组件226中使用了不安全的数据结构，则用安全的类似物(例如线程安全的数据类型)的使用来替换这种使用(调用)；如果在安装组件226中使用了不安全的API函数，则用安全的类似物的使用来替换这样的使用(调用)，例如，通过用scanf_s函数调用来代替scanf函数调用。

在一个实施例中，安全配置225包括安装组件226必须抵抗ROP(面向返回的编程)攻击的要求。在这种情况下，当犯罪者启动可执行文件中的代码的执行，从而完成指令的序列(其可以包括可执行文件字节的解释序列)，使得犯罪者能够通过控制(例如，使用栈)时，安装工具220将每个安装组件226视为容易受到ROP攻击。因此，这样的指令序列将是执行某种攻击的可执行代码。为了使此类安装组件226符合安全配置225，安装工具220可以使源代码模糊不清，以便新构建的可执行文件不会使其自身遭受ROP攻击。如果使用了ROP攻击，则攻击的关键是攻击者知道可执行文件的字节码，因为要分析字节码以便构建执行犯罪者攻击的ROP指令链。通过混淆源代码，这种攻击是不可能的。

在另一个实施例中，安全配置225包括以下要求：安装组件226必须不包含可通过模糊化(fuzzing)检测到的漏洞(测试漏洞)。在这样的实施例中，安装工具220将每个安装组件226视为潜在易受攻击的(在代码中具有漏洞)。为了使这种安装组件226符合安全配置225，安装工具220可以执行模糊化，以随后消除检测到的漏洞。

安装工具220可以使用如上所述修改的安装组件226，以及与安全配置225相匹配的其他安全组件226，以构建受信的应用程序包210。控制工具116随后可以将这种受信的应用程序包210发送到诸如网关105之类的AS计算设备。在一个实施例中，受信的应用程序包220例如是被配置为安装到网关105的数据传输应用程序110的受信包。

在一个实施例中，可以由安装工具220使用与安全配置225不匹配的安装组件226来构建受信的应用程序包210。在这种情况下，为了使这种应用程序一旦安装对于AS设备135是安全的(不损害AS设备)，则应用程序包是从安装组件226中构建的，然后由安装组件226违反的安全配置225的一组要求补充。一旦将来自此类包210的应用程序安装到计算设备(例如网关105)上，应用程序的操作根据添加到应用程序包210的安全配置225的一组要求受到安全服务125的限制。以这种方式，来自应用程序包210的应用程序使用对AS设备135安全的方法进行安装。换句话说，受信的应用程序包210的构成不仅使用不满足安全配置225的要求的安装组件226，还使用相同的组件226以及与其不匹配的安全配置225的一组要求(因此在它与上述一组安全配置225的要求一起用于组装应用程序包210时，认为组件226与安全配置225匹配)。

在一个实施例中，应用程序包210配置成不安装应用程序，而是更新已经安装到网关105的应用程序。在这种情况下，应用程序包210可用于替换应用程序的可执行代码或更新安全配置225的一组要求，在安装应用程序时，该要求被发送到安全服务125，以确保AS设备135所需的安全级别。

参看图3，描绘了根据一个实施例的用于保护自动化系统的方法300的流程图。在301中，方法300构建安全配置。符合安全配置的要求可确保自动化系统的设备所需的安全级别。可以由控制工具116考虑自动化系统的架构来构建安全配置，以保护可能成为犯罪者攻击的目标的设备和应用程序。控制服务115在302中使用新构建的安全配置。例如，控制服务115可以在计算设备(特别是自动化系统的网关105)内运行，以安装配置成与自动化系统网络之外的计算设备交换数据的应用程序。在一个实施例中，这样的应用程序是配置成与云数据服务104(例如，MindSphere)交互的数据传输应用程序110。在安装应用程序110时使用安全配置允许操作系统120的安全服务125检查并确保数据传输应用程序110符合安全配置。随后，在303中，以数据传输应用程序110的所有动作由安全服务125监控的方式，将数据从自动化系统的设备通过网关105，即通过在网关105处运行的数据传输应用程序110，传输到云数据服务104。因此，在使用数据传输应用程序110(由第三方提供，不是受信的应用程序)进行数据传输期间确保了自动化系统设备的安全。

数据传输应用程序110可能受到犯罪者的攻击，因此可以受到损害以执行犯罪者的命令。相应地，方法300的实现确保了第三方(通常由云数据服务104的开发者或所有者)提供的数据传输应用程序110，除非其受到信任，否则不会(通过调用函数和IPC)执行由在安装应用程序100时考虑的安全配置保护的动作。因此，可以确保自动化系统设备135(和应用程序130)的安全性，因为即使是受到损害的数据传输应用程序110也将无法获得安全配置未提供的对AS设备135的访问权限。以这种方式，使用实现数据“二极管”的原理的网关105来保护AS设备135，从而允许在防止来自外部的命令的同时将数据从内部发送到云服务104。特别地，防止了从“外部”通过连接网关105和云服务104的通信信道发送的命令影响AS设备135。

参看图4，描绘了根据一个实施例的用于保护自动化系统的另一种方法400的流程图。

在401处，控制工具116接收安全配置225。符合安全配置的要求确保了自动化系统的设备所需的安全级别。在一个实施例中，这样的安全配置可以由工具116创建。在另一实施例中，安全配置可以由信息安全专家提供。随后，在402中，安装工具220分析需要被安装到自动化系统的计算设备的应用程序的安装组件226。在一个实施例中，这种设备是网关105，而该应用程序是数据传输应用程序110，其使得由自动化系统设备135提供的信息可在云数据服务104处访问。作为这种分析的结果，由安装工具220关于每个安装组件226做出关于安装组件226是否与安全配置相匹配的决定。

在一个实施例中，安装工具220配置成修改应用程序(例如，数据传输应用程序)的安装组件226。可以对被确定为不匹配安全配置225的安装组件226进行这种修改，作为在402处的分析的一部分。因此，一旦做出修改，则修改后的安装组件226与安全配置225匹配。

在403中，安装工具220构建应用程序包210。在一个实施例中，可以为数据传输应用程序110构建数据应用程序包。在一个实施例中，包210的构建仅使用与安全配置225匹配的安装组件226。由此获得受信的应用程序包。在404中，控制服务115安装受信的应用程序包。在一个实施例中，计算设备是网关105，而该应用程序是数据传输应用程序110。

然而，如果在402中不可能改变与安全配置225不匹配的安装组件226，以便安装组件226与安全配置225匹配，则由安装工具构建的应用程序包220随后被安装到自动化系统的计算设备上时要考虑安全配置225，这可以在其中一个AS计算设备安装了应用程序的情况下确保自动化系统设备135的安全，该应用程序具有至少一个与安全配置225不匹配的安装组件226。

为了执行犯罪者的命令，AS计算设备上的应用程序可能会受到犯罪者的攻击并遭到破坏。在这种情况下，根据方法400，例如由第三方以安装组件226的形式提供的应用程序或服务(如果应用程序是数据传输应用程序110，则安装组件226通常由云数据服务104的开发人员/所有者提供)将被安装到AS计算设备，以排除执行动作(通过调用函数和IPC)或使用安全配置225禁止的数据结构的可能性。通过构建并随后安装受信的应用程序包(或例如服务包)220来实现安全性，该应用程序包220是从与安全配置225相匹配的安装组件226构建的。

因此，方法400确保自动化系统的设备135(和应用程序130)的安全性，因为在构建应用程序包220的阶段，即使是从受信的应用程序包220安装的受损应用程序(特别是数据传输应用程序110)也将无法执行安全配置225禁止的动作。

方法400还使用以下事实来确保AS设备135的安全性：正在被安装到计算设备的应用程序(例如，数据传输应用程序110)受到损害的可能性较小。这是因为，如果安装组件包含漏洞，则至少安全配置225禁止构建应用程序包220以便随后在计算设备上安装。

参看图5，描绘了更详细地示出计算机系统500的图，在该计算机系统500上可以实现根据各种实施例的如本文所述的本发明的方面。

计算机系统500可以包括诸如个人计算机520的计算设备，其包括一个或更多个处理单元521、系统存储器522和系统总线523，计算机系统包含各种系统组件，包括与一个或更多个处理单元521连接的存储器。在各个实施例中，处理单元521可以包括能够处理存储在计算机可读介质上的信息的多个逻辑核心。系统总线523实现为在相关技术水平上已知的任何总线结构，依次包含总线存储器或总线存储器控制器，外围总线和本地总线，其能够与任何其他总线架构进行交互。系统存储器可以包括诸如只读存储器(ROM)524之类的非易失性存储器或诸如随机存取存储器(RAM)525之类的易失性存储器。基本输入/输出系统(BIOS)526包含确保在个人计算机520的元件之间(例如，在使用ROM 524的操作系统启动期间)传输信息的基本程序。

个人计算机520又具有用于数据读取和写入的硬盘驱动器527，用于在可移除磁盘529上读取和写入的磁盘驱动器528，以及用于在可移除磁盘531上读取和写入的光盘驱动器530，例如CD-ROM，DVD-ROM和其他光学介质。硬盘驱动器527、磁盘驱动器528和光盘驱动器530分别通过硬盘驱动器接口532、磁盘驱动器接口533和光盘驱动器接口534与系统总线523连接。驱动器和相应的计算机信息介质表示能量独立的装置，其用于存储计算机指令、数据结构、程序模块和个人计算机520上的其他数据。

所描绘的系统包括硬盘驱动器527、可移除磁盘驱动器529和可移除光盘驱动器530，但是应该理解，可以使用通过控制器555连接到系统总线523的其他类型的计算机介质，这些计算机介质能够以计算机可读形式(固态驱动器，闪存卡，数字盘，随机存取存储器(RAM)等)存储数据。

计算机520包括存储所记录的操作系统535的文件系统536，以及附加的程序应用程序537，其他程序引擎538和程序数据539。用户可以使用输入设备(键盘540、鼠标542)将命令和信息输入到个人计算机520中。也可以使用其他输入设备(未示出)，例如：麦克风、操纵杆、游戏机、扫描仪等。这些输入设备通常通过串行端口546连接到计算机系统520，串行端口546又连接到系统总线，但是它们也可以以不同的方式连接-例如，使用并行端口、游戏端口或通用串行总线(USB)。监控器547或另一种类型的显示设备也通过诸如视频适配器548之类的接口连接到系统总线523。除了监控器547之外，个人计算机520还可以配备有其他外围输出设备(未示出)，例如作为扬声器、打印机等。

个人计算机520能够在网络环境中工作。在这种情况下，它使用与一台或几台其他远程计算机549的网络连接。一个或更多个远程计算机549是类似的个人计算机或服务器，其具有前面在描述图5中示出的个人计算机520的内容时已指出的大多数或所有上述元素。计算网络还可以具有其他设备，例如路由器、网络站、对等设备或其他网络节点。

网络连接可以构成局域网(LAN)550和广域网(WAN)。这样的网络用于公司计算机网络或公司内联网中，并且通常可以访问互联网。在LAN或WAN网络中，个人计算机520通过网络适配器或网络接口551连接到局域网550。在使用网络时，个人计算机520可以使用调制解调器554或其他手段连接到广域网，例如互联网。调制解调器554(其是内部设备或外部设备)通过串行端口546连接到系统总线523。应该说明的是，这些网络连接仅是示例，并不一定反映确切的网络配置，即实际上还有其他使用计算机之间的通信技术手段建立连接的手段。

本文已经描述了系统、设备和方法的各种实施例。这些实施例仅通过示例的方式给出，并不旨在限制要求保护的发明的范围。此外，应当理解的是，已经描述的实施例的各种特征可以以各种方式组合以产生许多另外的实施例。此外，尽管已经描述了各种材料、尺寸、形状、构造和位置等以用于所公开的实施例，但是在不超出所要求保护的发明范围的前提下，可以利用除了所公开的那些之外的其他材料、尺寸、形状、构造和位置等。

相关领域的普通技术人员将认识到，本文的主题可以包括比上述任何个体实施例中示出的特征更少的特征。本文描述的实施例并不意味着穷尽程序可以组合本文的主题的各种特征的方式。因此，实施例不是特征的互斥组合；相反，各种实施例可以包括从不同的各个实施例中选择的不同的各个特征的组合，如本领域普通技术人员所理解的。而且，即使没有在这样的实施例中描述，关于一个实施例描述的元件也可以在其他实施例中实现，除非另有说明。

尽管从属权利要求在权利要求中可以指与一个或更多个其他权利要求的特定组合，但是其他实施例也可以包括从属权利要求与每一其他从属权利要求的主题的组合，或一个或更多个特征与其他从属权利要求或独立权利要求的组合。除非指出特定的组合不是想要的，否则本文提出了这种组合。

限制通过引用以上文件的任何结合，使得没有结合与本文的明确公开相反的主题。进一步限制了以上文件通过引用的并入，从而没有通过引用将文件中包括的权利要求书并入本文中。进一步限制以上通过引用并入本文的文件，使得除非明确地包括在本文中，否则不通过引用将文件中提供的任何定义并入本文。

为了解释权利要求书，明确规定除非在权利要求中记载了特定术语“用于……的手段”或“用于……的步骤”，否则不得引用美国法典第35篇第112(f)节的规定。

Claims (20)

1.一种用于保护自动化系统(AS)的方法，所述AS包括多个AS设备，所述方法包括：

基于所述AS的架构数据构建安全配置，其中符合所述安全配置确保了所述多个AS设备的安全级别；

使用所述安全配置在AS网络的网关上安装数据传输应用程序，所述数据传输应用程序配置为与所述AS网络外部的至少一个计算设备交换数据；以及

通过所述数据传输应用程序从所述多个AS设备之一传输数据，其中所述数据传输应用程序的动作由所述安全配置定义。

2.根据权利要求1所述的方法，进一步包括：

提供一种微内核OS，所述微内核OS配置成处理来自网关上运行的多个应用程序的所有进程间通信。

3.根据权利要求2所述的方法，其中所述多个应用程序包括所述数据传输应用程序，并且所述数据传输应用程序的所述动作是使用所述微内核OS定义的。

4.根据权利要求3所述的方法，其中对所述数据传输应用程序的动作的限制由所述安全配置确定，并且在将所述数据传输应用程序安装在所述网关上时予以考虑。

5.根据权利要求1所述的方法，还包括：收集所述AS的架构数据，其中所述架构数据包括以下中的至少一个：

AS设备的列表；

所述AS的拓扑；

所述网关上安装的应用程序的列表；

所述网关上安装的每个应用程序的已知漏洞的列表；和

与所述网关上安装的每个应用程序一起操作的数据交换协议的列表以及所述数据交换协议的已知漏洞。

6.根据权利要求1所述的方法，其中基于所述AS的架构数据来构建所述安全配置包括以下中的至少一个：

通过指针访问函数时防止所述函数的调用；

防止将可执行代码加载到所述函数的地址空间中的函数调用；

防止对AS设备控制函数的函数调用；和

防止传输与预分配的签名不匹配的协议的数据。

7.根据权利要求1所述的方法，其中所述数据传输应用程序的动作由所述安全配置通过以下中的至少一个来定义：

禁止使用不安全的数据结构；

禁止使用不安全的API函数；

禁止执行已知的有漏洞的代码；

禁止违反预分配的安全策略；

禁止AS设备应用程序访问数据；

禁止具有其函数参数在已知签名定义的函数参数之外的函数签名的函数调用；和

基于所禁止的函数的列表禁止函数调用。

8.根据权利要求1所述的方法，还包括：

在所述网关上安装控制服务，所述控制服务配置为在所述网关上安装所述数据传输应用程序。

9.根据权利要求1所述的方法，其中所述数据传输应用程序配置成与云数据服务交互。

10.根据权利要求9所述的方法，其中所述安全配置允许将数据从所述数据传输应用程序传输至云数据服务，并防止从所述AS网络外部到至少一个AS设备的至少一个命令。

11.一种用于保护自动化系统(AS)的系统，所述AS包括多个AS设备，所述系统包括：

控制工具，包括：

控制工具计算平台，包括至少一个控制工具处理器的控制工具计算硬件和可操作地耦合到所述至少一个控制工具处理器的控制工具存储器；

指令，所述指令在所述控制工具计算平台上执行时，使得所述控制工具计算平台：

基于所述AS的架构数据构建安全配置，其中符合所述安全配置确保了所述多个AS设备的安全级别；

网关，包括：

控制服务，配置成使用所述安全配置在所述网关上安装数据传输应用程序，所述数据传输应用程序配置成与AS网络外部的至少一个计算设备交换数据，

其中，所述数据传输应用程序的动作由所述安全配置定义。

12.根据权利要求11所述的系统，其中所述网关还包括微内核OS，所述微内核OS配置成处理来自在所述网关上运行的多个应用程序的所有进程间通信。

13.根据权利要求12所述的系统，其中所述多个应用程序包括所述数据传输应用程序，并且所述数据传输应用程序的动作是使用所述微内核OS定义的。

14.根据权利要求13所述的系统，其中对所述数据传输应用程序的动作的限制由所述安全配置确定，并且在将所述数据传输应用程序安装在所述网关上时予以考虑。

15.根据权利要求11所述的系统，其中所述控制工具还包括指令，所述指令在所述控制工具计算平台上执行时，使得所述控制工具计算平台收集所述AS的架构数据，其中所述架构数据包括以下中的至少一个：

AS设备的列表；

所述AS的拓扑；

所述网关上安装的应用程序的列表；

所述网关上安装的每个应用程序的已知漏洞的列表；和

与所述网关上安装的每个应用程序一起操作的数据交换协议的列表以及所述数据交换协议的已知漏洞。

16.根据权利要求11所述的系统，其中所述指令在所述控制工具计算平台上执行时，使得所述控制工具计算平台基于所述架构数据来构建安全配置包括以下中的至少一个：

通过指针访问函数时防止所述函数的调用；

防止将可执行代码加载到所述函数的地址空间中的函数调用；

防止对AS设备控制函数的函数调用；和

防止传输与预分配的签名不匹配的协议的数据。

17.根据权利要求11所述的系统，其中所述数据传输应用程序的动作由所述安全配置通过以下中的至少一个来定义：

禁止使用不安全的数据结构；

禁止使用不安全的API函数；

禁止执行已知的有漏洞的代码；

禁止违反预分配的安全策略；

禁止AS设备应用程序访问数据；

禁止具有其函数参数在已知签名定义的函数参数之外的函数签名的函数调用；和

基于所禁止的函数的列表禁止函数调用。

18.根据权利要求11所述的系统，其中所述数据传输应用程序配置为与云数据服务交互。

19.根据权利要求18所述的系统，其中所述安全配置允许将数据从所述数据传输应用程序传输至云数据服务，并防止从所述AS网络外部到至少一个AS设备的至少一个命令。

20.一种用于保护自动化系统(AS)的系统，所述AS包括多个AS设备，所述系统包括：

用于基于所述AS的架构数据来构建安全配置的装置，其中符合所述安全配置确保了所述多个AS设备的安全级别；

用于使用所述安全配置在AS网络的网关上安装数据传输应用程序的装置，所述数据传输应用程序配置为与所述AS网络外部的至少一个计算设备交换数据；和

用于通过所述数据传输应用程序从所述多个AS设备之一传输数据的装置，其中所述数据传输应用程序的动作由所述安全配置定义。

Images