CN113779586A

CN113779586A - 生成设施的自动安全分析的方法、设备和计算机程序产品

Info

Publication number: CN113779586A
Application number: CN202110644203.4A
Authority: CN
Inventors: 亚历山大·亚当; 克劳斯·罗特尔; 马库斯·肖特
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2020-06-10
Filing date: 2021-06-09
Publication date: 2021-12-10
Also published as: EP3923167A1; US20220004626A1; US11822646B2

Abstract

本发明涉及生成设施的自动安全分析的方法、设备和计算机程序产品，尤其涉及可执行设施范围内的安全观测的方法，该安全观测不仅局限用于单个制造商的自动化部件，还跨制造商地工作。通过适当的用户指导和在匹配过程地执行评估、事件处理和安全措施限定以及它们的跟踪时的自动支持，该方法具有高度的用户友好性。规则创建器使用安全准则，以从具有大量输入变量的复杂的规则集中得出用户特定的分析规则。所有设施相关的数据都被自动编译至清单中。机器安全审核员将用户特定的规则集应用于从资产清单收集的设施数据并从其中生成审计跟踪。

Description

生成设施的自动安全分析的方法、设备和计算机程序产品

技术领域

本发明涉及用于生成设施的自动安全分析的方法、设备和计算机程序产品。

背景技术

术语“安全”在德语中有多种含义，在这里的技术场景中涉及不同的两个方面，即安全(Safety)和保护(Security)。

术语“安全”在德国具有非常广泛的意义，尤其涉及技术安全措施(安全技术)。当涉及攻击安全、例如数据的安全和机密性(加密技术、验证机制)方面时，在标准、准则和法规中，如果表示保护则通常使用术语“安全技术”。安全技术原则上用于识别、限制和防御对实体的或虚拟的装置、对象或事物的威胁。如果在下面提及安全，则因此表示上述“保护”方面。

此外，就“安全”的意义而言，安全原则上表示运行安全。防止对个体的影响(例如保护人员)是优先的。在此，安全是针对发生事件(突发事件、事故和其他不期望状态)的防止措施，该措施源于无意的人为和/或技术上的缺陷、以及此类突发事件的限制或克制、还有工作安全的一般问题。

例如，可以在https://de.wikipedia.org/wiki/Sicherheit找到限定和区分。

在自动化领域中存在如下设备，该设备在设施中是安全关键的。对于大量设备执行单独的安全设置。此外，对于设施的运行需遵守复杂的规则集、例如IEC 62443、“纵深防御”、“操作准则”。

随着工业中数字化的日益普及，对自动化的安全要求进一步提高，因为越来越多联网的、自动化的和通信的组件使设施中的复杂性提高。从外部不期望的入侵尝试的风险也增加。

根据确定的准则，可以评估软件漏洞，将软件漏洞的应用最小化，打击已知恶意软件并检查安全机制。

由漏洞触发的潜在危险通常被理解为引起损坏的事件，其涉及对系统、传输路径或者消息的信息内容的攻击、间谍或破坏行为、或者无意或由自然事件、如断电引发的或由员工故意造成的危险。

但是，当前不自动支持用户或客户制定所需措施、例如根据IEC 62443为其设施制定安全等级以及相应划分安全区。

同样缺乏已知的必要安全升级和边界条件的、与安全相关的设置、配置或跨设施的列表的自动生成的概览。

此外，期望关于所需的措施的自动生成的概览，以便匹配现有的规则集，例如实现匹配IEC 62443安全级别。

在收集、分析和评估攻击矢量时的自动支持会有助于从其中推导出保护措施。

对变化的影响进行分析、也就是FMEA(故障可能性和影响分析)方法同样会是有帮助的。

当前不存在对于安全评估、措施限定和工业范围中确定的规则集和准则进行跟踪的自动辅助手段。仅部分地存在关于各个资产的信息的手动和自动收集。

目前，仅在特定时间点且手动地执行分析。该分析必须在设施的使用寿命期间周期性地重复。

手动收集信息涉及容易出错性的潜在可能、缺乏专门知识、不完整以及由单独人工执行引起的评估准则的困难的可复现性。

发明内容

本发明的目的是，提出执行设施的自动安全评估并在此克服上述缺点的方法和设备。

所述目的通过本发明的方法、计算机程序产品以及设备来实现。

本发明提出一种用于生成设施的自动安全分析的方法，其中，收集设施信息，并且创建分析规则，并且将分析规则应用于设施信息，其中，确定应用的适用范围，并且将结果以审计跟踪的形式作为命中的列表输出，其中，列表包括基于命中的分析规则的评估。

此外提出：在审计跟踪中包含的命中的结果根据评估的结果来说明行动建议，并且其中行动建议包含以下说明中的至少一个：与安全相关的设置，与安全相关的配置，安全更新和边界条件的列表。

此外提出：在另外的步骤中，自动跟踪用于已发现的行动建议的措施的执行，并且根据跟踪结果来产生新的行动建议。

此外提出：依据用户特定的安全准则和从该安全准则得出的保护需求，从分析规则集的整体中过滤出创建的分析规则。

此外提出：为了创建设施信息，将关于设施的数据和信息作为数据对象收集，并且制定数据和信息的保护需求，保护需求包含关于由数据丢失或攻击引起的安全威胁的影响的陈述。

此外提出：设施信息包括以下信息中的至少一个：工程数据，配置数据，关于设施内的通讯的数据，安全数据、特别是身份和访问管理数据，完整性数据，基层软件的版本数据，异常识别数据，拓扑数据，地理数据，关于设施结构的数据，关于安全区的数据。

此外提出：构建对象模型，该对象模型具有由规则创建器过滤的元模型描述的特性，并且针对每个找到的资产，依据过滤表达来检查列表中的每个安全威胁，并且如果安全威胁涉及找到的资产，则将该资产作为结果计入到列表或审计跟踪中。

此外提出：根据以下步骤来制定用户特定的安全准则：分析和鉴别威胁，生成威胁目录和相应的规则，依据STRIDE模型进行威胁分析。

本发明还提出一种计算机程序产品，尤其提出一种具有计算机程序的计算机存储介质，该计算机程序设计并适合用于执行本发明的方法的步骤。

本发明还提出一种用于执行本发明的方法的设备，该设备具有：用于收集设施信息的收集单元；用于创建分析规则的产生单元；分析单元，所述分析单元用于在考虑应用的适用范围的情况下将分析规则应用于设施信息；和，输出单元，所述输出单元将分析规则应用于设施信息的结果以审计跟踪的形式作为命中的列表输出，其中，列表包括基于命中的分析规则的评估。

分析规则集是元数据库，该元数据库描述不同资产类型的安全威胁，资产类型涉及实体、即用户/组/角色、设备、服务、设备上的应用等或者与其配置相关。

在此，以下说明足以执行该方法但不是决定性的，在所有类别中可以收集和使用另外的信息。

为此目的，对于根据本发明的方法引入以下类别：

信任区：

实体：

(用户/组/角色、设备、服务、设备上的应用等)

通讯/关系

威胁类型(Threat)：

(*＝标识符/主键)。

附图说明

图1示出用于通过在分类、检测资产、分析、评估、措施限定和跟踪时的自动支持指导用户的流程图；

图2示出设施的示意图。

具体实施方式

下面的描述涉及图1所示的流程图。

图2示出相关的设施的极其简化的示意图。

设备G1、G2、G3根据组织和等级划分处于具有可能不同的安全要求的不同的安全区、即外部安全区(IT BV)EN和内部安全区(OT BV)IN(DMZ)、IN1、IN2。关于资产清单的信息涉及这种示例性示出的结构。

在下文中，现在根据图1的流程图、基于图2示意示出的设施架构以五个步骤示出期望的程序：

步骤1，自动执行安全分类并且制定安全需求：

只要还不存在用于进一步评估的数据库，则可以事先制定该数据库，例如经由安全和保护需求和用于维持已知的安全标准(例如IEC 62443)的可能的要求的问题目录11来制定，其中，该数据库例如可以由用户查询以进行输入。

如此制定的数据和信息作为数据对象被收集并命名。此后制定该数据和信息的保护需求，即评估1损失或攻击的影响。

输入(Input)：

用于基于不同的(已知的、部分上文列出的)标准或由用户预设的准则来制定所需的保护的问题目录11。

输出(Output)：

用于从分析规则集的整体中过滤所需规则的用户特定的安全准则12的列表(例如IEC 62443的安全级别2的要求)、以及用于各个资产的从该安全准则得出的保护需求(例如用于加密通信的要求)。

安全准则在“总体分析规则集”中与威胁类型(Threat)相关联。

还可以确制定所考虑的设施的最大保护级别。

步骤2，规则创建器：

规则创建器2从整个规则集21中过滤所需的规则。可选地，由此创建的规则还可以由用户按需适配。

输入(Input)：

-对安全准则12的需求，

-整个规则集21(例如，IEC 62443、IEC 27001、内部策略、通过元知识说明等)，

-来自不同来源的输入，例如FW(固件)版本要求、安全漏洞信息(SVI)、所用资产的补丁级别、CVSS(通用漏洞评分系统(Common Vulnerability Scoring System)，用于评估计算机系统中的可能的或实际的安全漏洞的严重程度的工业标准)，

-分析和鉴别威胁，

-生成威胁目录和相应的规则，

-根据STRIDE模型进行威胁分析。在此，STRIDE模型为已经开发的模型，以用于鉴别对于计算机安全的威胁。STRIDE模型涉及用于六个类别的安全威胁的简称。

在此，STRIDE模型的字母代表：

欺骗(Spoofing)(计算机网络中的用于掩盖自己身份的欺骗方法)；

篡改(Tampering)(通过引入篡改的产品进行蓄意毁坏)；

违约(Repudiation)(对于通过恶意用户执行的动作的著作者身份的改变，以篡改日志文件和隐藏操作。也参见欺骗。)；

信息泄露(Information disclosure)(数据保护/违反隐私或数据泄漏)；

拒绝服务(Denial of service)(“拒绝服务”是指服务不可用，例如由目的引起过载)；

特权提升(Elevation of privilege)(特权提升是指以谋求用户或应用访问其以受限权限无法使用的资源为目的利用软件的设计或配置错误)。

输出(Output)：

产生用于自动分析设施的适配的规则集24。

在步骤2中，根据安全准则将相关的威胁场景和资产从“总体分析规则集”中滤除。

步骤3，自动收集/汇总设施信息：

关于各个资产的信息的收集自动地执行，在需要时可以通过手动收集补充并且输入。设备当前构建或安装在哪个区/区域中的信息例如必须必要时手动地关联或补充。以该方式，基于该信息生成数字孪生，数字孪生收集关于设施安全的信息。

输入(Input)：

可用的设施信息，其中在附图中未示出完整的列举。同样可以考虑的其他信息在下面列举：

-工程数据，例如来自西门子的TIA配置系统或类似的应用；

-SIEM(安全信息和事件管理)；

-日志、监视、诊断和审计数据网络分析；

-设施结构，例如设施拓扑扫描、设备/部件发现33；

-配置31；

-可能的互动，例如借助于通信；

-身份和访问管理(IAM)；

-完整性监控；

-软件、固件和补丁级别管理；

-异常识别(也借助于入侵检测系统，称作IDS)；

-设施地理32，该设施地理描述设备处于哪个安全区中并且将哪个网络用于通信。

输出(Output)：

资产清单34，即实体的所有已知的设施信息及其彼此之间的关系和特性的目录。

步骤4，安全审核员(自动分析)：

创建的分析规则应用于收集的设施信息(资产清单34)，并以列表形式、即所谓的审计跟踪的形式提供给用户。适用范围(地点、设施部件、安全区)、设备或部件类型(例如PLC、交换机)、功能范围/区域(例如用户验证、授权、证书管理、OPC UA、日志)可以通过用户设定。

输入(Input)：

-来自步骤3中的设施信息(资产清单34)；

-来自步骤2中的创建的分析规则24；

-分析41的适用范围。

输出(Output)：

产生所谓的审计跟踪、即事件数据组(发现或偏差)的列表，事件数据组随后被评估并且针对事件数据组限定相应的措施。

将审计跟踪通常理解为质量保证的工具。审计跟踪用于控制和记录过程中执行的变化。与连续监控特定过程的其他监视系统相比，在审计跟踪中关注点在于监控用户的变化和删除行动。因此，对于在供应链和价值链中下游环节在过程中的干预是可理解的、可控的且可无缝查看的。

在步骤4中，安全审核员在考虑适用范围41的情况下将在步骤2中形成的规则集24应用于收集的设施信息(资产清单34)。

然后，从资产清单中构建对象模型，该对象模型具有在步骤2中从规则创建器过滤的元模型描述的特性。

对于每个找到的资产(实体和关系，设备和关系)，根据过滤表达(FilterExpression)检查列表中的每个威胁(Threat)。如果该威胁涉及找到的资产，则将该威胁作为结果(命中/发现/偏差)输入列表(审计跟踪)中。

步骤5，评估、措施限定、跟踪(Tracking)：

根据所提供的检查表来评估产生的审计跟踪。

基于审计跟踪的评估来限定其他措施51，例如根据具有可能的措施建议的目录来限定。

跟踪：审计跟踪还用于随后跟踪已发现的措施的实施和有效性。

输入(Input)：

审计跟踪45。

输出(Output)：

修改的审计跟踪45和限定的措施51(具有到现有的缺陷管理工具的可选连接，以便可以跟踪措施的实施)。

图1示出用于通过在分类、检测资产、分析、评估、措施限定和跟踪时自动支持来指导用户的过程流程。

从所描述的方法得到如下优点：

根据限定的规定集(例如开头部分中已引用的IEC 62443)简化设施评估。

可以在完整的设施/产品使用寿命期间实施且基于当前数据来使用限定的流程。

所描述的主题的另一优点是：在设施的整个使用寿命期间减小运行输出(OPEX成本，运营支出)，运行输出通过所需要的、经常性的安全审核(例如在关键的基础设施中)形成。其中还包括自动检测与安全相关的资产。

可以通过经由问题目录的用户指导发生将审核例如专注于特定的主题或领域，指导通过将其设施分类实施，并且不必如至今为止那样阅读、评估所有准则并且针对其具体的应用情况来匹配。

所提出的流程的另一优点是：可以执行设施范围内的安全观测，安全观测不仅局限用于单个制造商的自动化部件，还跨制造商地起工作。

通过适当的用户指导和在以顺应过程的方式执行评估、事件处理和安全措施的限定、以及它们的跟踪方面的自动支持，该方法具有高度的用户友好性。

所提出的分析可以通过自动在使用寿命期间来触发，例如事件或时间控制的、外部的或内部的查询、事件/补丁管理等等。

用户可以简单地操作根据所提出的方法工作的系统，用户通过对其可理解的问题目录(例如利用专业术语，其与用户的现有的安全知识相关)实施。所寻找的安全准则由答复并且通过与元知识的组合来制定。

综上所述，该方法如下进行：

规则创建器使用安全准则，以便从具有大量输入变量的复杂规则集中得出用户特定的分析规则。

将所有可以自动处理的与设施相关的数据(例如哪些设备具有哪个固件/软件版本和哪些安全设置)编译在清单中。

机器安全审核员将用户特定的规则集应用于从资产清单中收集的设施数据，并从其中生成审计跟踪。

审核的结果自动地借助可能的措施来存储，进而不必由用户自动地处理或实施，然而该结果可以由用户专门适配。

此外，机器支持的应用链有助于自动跟踪发现的漏洞的措施。

可以将自动的收集和分析作为服务提供，以便因此也可以跟踪设施处的变化。

Claims

1.一种用于生成设施的自动安全分析的方法，其中，

收集(3)设施信息(34)，并且

创建(2)分析规则(24)，并且

将所述分析规则(24)应用于(4)所述设施信息(34)，其中，确定所述应用的适用范围(41)，并且

将结果以审计跟踪(45)的形式作为命中的列表输出，其中，所述列表包括基于所述命中的所述分析规则的评估。

2.根据权利要求1所述的方法，其特征在于，在所述审计跟踪中包含的所述命中的结果根据所述评估的结果来说明行动建议(51)，并且

其中所述行动建议(51)包含以下说明中的至少一个：

与安全相关的设置，

与安全相关的配置，

安全更新和边界条件的列表。

3.根据权利要求1或2所述的方法，其特征在于，在另外的步骤中，自动跟踪用于已发现的所述行动建议的措施的执行，并且根据跟踪结果来产生新的行动建议。

4.根据前述权利要求中任一项所述的方法，其特征在于，依据用户特定的安全准则(12)和从该安全准则得出的保护需求，从分析规则集(21)的整体中过滤出创建的所述分析规则(24)。

5.根据前述权利要求中任一项所述的方法，其特征在于，为了创建所述设施信息(34)，将关于所述设施的数据和信息作为数据对象收集，并且制定所述数据和信息的保护需求，所述保护需求包含关于由数据丢失或攻击引起的安全威胁的影响的陈述。

6.根据前述权利要求中任一项所述的方法，其特征在于，所述设施信息(34)包括以下信息中的至少一个：

工程数据，

配置数据(31)，

关于所述设施内的通讯的数据，

安全数据、特别是身份和访问管理数据，

完整性数据，

基层软件的版本数据，

异常识别数据，

拓扑数据，

地理数据(32)，

关于设施结构的数据(33)，

关于安全区(EN、IN)的数据。

7.根据前述权利要求中任一项所述的方法，其特征在于，构建对象模型，所述对象模型具有由规则创建器过滤的元模型描述的特性，并且

针对每个找到的资产，依据过滤表达来检查所述列表中的每个安全威胁，并且如果所述安全威胁涉及找到的资产，则将该资产作为结果计入到所述列表或所述审计跟踪中。

8.根据前述权利要求中任一项所述的方法，其特征在于，根据以下步骤来制定用户特定的安全准则(12)：

分析和鉴别威胁，

生成威胁目录和相应的规则，

依据STRIDE模型进行威胁分析。

9.一种具有计算机程序的计算机存储介质，所述计算机程序设计并适合用于执行根据权利要求1至8中任一项所述的方法的步骤。

10.一种用于执行根据权利要求1至8中任一项所述的方法的设备，所述设备具有：

用于收集设施信息(34)的收集单元；和

用于创建分析规则(24)的产生单元；和

分析单元，所述分析单元用于在考虑所述应用的适用范围(41)的情况下将所述分析规则(24)应用于所述设施信息(34)；和

输出单元，所述输出单元将所述分析规则应用于所述设施信息的结果以审计跟踪(45)的形式作为命中的列表输出，其中，所述列表包括基于所述命中的所述分析规则的评估。