WO2010037610A1 - Verfahren und vorrichtung zur erkennung von angriffen auf einen selbstbedienungsautomat - Google Patents

Verfahren und vorrichtung zur erkennung von angriffen auf einen selbstbedienungsautomat Download PDF

Info

Publication number
WO2010037610A1
WO2010037610A1 PCT/EP2009/061319 EP2009061319W WO2010037610A1 WO 2010037610 A1 WO2010037610 A1 WO 2010037610A1 EP 2009061319 W EP2009061319 W EP 2009061319W WO 2010037610 A1 WO2010037610 A1 WO 2010037610A1
Authority
WO
WIPO (PCT)
Prior art keywords
events
components
anomaly detection
detection system
states
Prior art date
Application number
PCT/EP2009/061319
Other languages
English (en)
French (fr)
Inventor
Le Dinh Khoi
Michael Nolte
Adrian Slowik
Original Assignee
Wincor Nixdorf International Gmbh
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Wincor Nixdorf International Gmbh filed Critical Wincor Nixdorf International Gmbh
Priority to CN200980138217.6A priority Critical patent/CN102165499B/zh
Priority to US13/121,304 priority patent/US8719929B2/en
Priority to EP09782493A priority patent/EP2335228A1/de
Publication of WO2010037610A1 publication Critical patent/WO2010037610A1/de

Links

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F19/00—Complete banking systems; Coded card-freed arrangements adapted for dispensing or receiving monies or the like and posting such transactions to existing accounts, e.g. automatic teller machines
    • G07F19/20—Automatic teller machines [ATMs]
    • G07F19/205—Housing aspects of ATMs
    • G07F19/2055—Anti-skimming aspects at ATMs
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F19/00—Complete banking systems; Coded card-freed arrangements adapted for dispensing or receiving monies or the like and posting such transactions to existing accounts, e.g. automatic teller machines
    • G07F19/20—Automatic teller machines [ATMs]
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F19/00—Complete banking systems; Coded card-freed arrangements adapted for dispensing or receiving monies or the like and posting such transactions to existing accounts, e.g. automatic teller machines
    • G07F19/20—Automatic teller machines [ATMs]
    • G07F19/207—Surveillance aspects at ATMs

Definitions

  • the invention relates to a method and a device for
  • self-service terminals are frequently used in the function of an ATM or bank statement printer.
  • the user or customer requires a bank card, which usually corresponds to a magnetic stripe card to be read by a card reader, on which card data including the personal customer and account data are stored.
  • self-service terminals are increasingly being manipulated by third parties to fraudulently access these map data.
  • a special Ausspahvorraum installed as inconspicuously as possible at the respective self-service terminal, which contains a small foreign card reader, which is attached as close as possible to the actual insertion slot of the self-service terminals or the actual card reader.
  • the card reader of the self-service terminals einschreibt their magnetic track is also read by this foreign card reader, whereby the third party, the card data, in particular the customer and account data, procured and makes it possible to produce an illegal copy of the bank card.
  • the third party succeeds in spying on the PIN belonging to the bank card (the so-called PM), he can use the counterfeit bank card and the spied pin to withdraw cash from ATMs at ATMs.
  • a fake keyboard may be mounted on the actual keyboard to obtain the keystrokes.
  • the described fraudulent procedure for spying on card data or customer information is also referred to in professional circles as "skimming" or card misuse.
  • One way to prevent or at least aggravate this is to create an electromagnetic protective field which is capable of affecting the reading function of the magnetic card reading head located in the ejection device.
  • the protective field must be generated or act exactly where the Ausspahvorraum is usually installed, namely immediately before the insertion slot of the "real" or actual card reader.
  • the protective field must be strong enough to ensure that the reading function of the ejection device is effectively compromised or blocked and that the data can no longer be skimmed by the magnetic stripe card.
  • Appropriate approaches are known from DE 10 2006 049 518 Al.
  • the invention is therefore based on the object to provide an improved protection device of the type mentioned for the detection of attacks whose warnings allow a higher hit rate.
  • An essential aim of the invention is the modeling of attack patterns in order to deposit these models in the form of a concrete set of rules in order to then detect an attack based on the rules.
  • a facts adapter is used for the connection of existing device drivers.
  • the fact adapter is to be implemented in a possible embodiment by selected device drivers and image recognition mechanisms.
  • the configuration and the rules themselves should be protected by suitable mechanisms such as locking with certificate.
  • One way to provide information for the fact adapter lies m the adaptation of a Schmkennungs L. Image preprocessing system and the integration of AI (Artificial Intelligence) components. After the training phase - also known as supervised learning - the AI component should be able to identify and classify from fused sensor signals the trap not recognized by the static set of rules.
  • AI Artificial Intelligence
  • system components or sensors could be clock, proximity sensor, temperature sensor, etc.
  • management components can be taken into account, which monitor and manage the self-service machines via a network. These components may provide valuable information about the operating status of the self-service system (service operation, shutdown, standard operation, restricted operation). Downstream systems or users can have one Diagnostic platform alarm information will be provided. The other way around, the diagnostics platform also provides events about system states.
  • An exemplary situation may be tapping the pin by installing keyboard superstructures. This is a real threat that has been known to be used in attacks on pin-processing systems.
  • a spy pin can be done by installed miniature cameras.
  • a skimming module stem can be used in the second step.
  • a manipulation switch (removal switch) which switches the SB system out of operation for some functions in the event of violence.
  • this information will also be sent to the fact adapter.
  • the sources are the card reader, the EPP, the cash dispenser and the display with the control buttons. They provide information or events resulting from direct interaction of the SB users with the machine or events that arise as a result of a previous interaction. These events will be forwarded to the software platform and possibly also to the application.
  • a first step possible and necessary, possibly additional, sources of information within the demarcated system should be identified. In principle, it can be determined that identified sources of information
  • input values for a recognition system are e.g. Boolean values.
  • a model can be developed from which attack patterns can be derived.
  • the context modeling of elementary patterns, events to more complex patterns, forms the basis for the pattern recognition of the anomaly detection system.
  • Processing unit that loads the set of rules from the storage system and receives the information from the monitoring unit; - Check whether the rule has detected an attack by the processing unit to report this to a message system.
  • the monitoring unit, the processing unit can be a software or a combination of software and hardware that can run on a standard processor (eg PC).
  • the storage system may be a hard disk or the like. Overview of dxe figures
  • FIG. 1 operating status of a self-service system.
  • Fig. 2 Diagram showing the relationship between user actions and system events.
  • FIG. 1 shows by way of example the dependence of possible system states.
  • an ATM can change from the normal operating state or from the service operating state to an alarm state.
  • the state change of the system depends on which events occur in which order. These events are in turn triggered by specific interactions of a user.
  • the scenario presented is a suspected skimmer test. After a skimmmg module has been installed, a skimmer test is usually performed by the attacker.
  • the interaction includes the following actions: enter card, either by printing on the keyboard abort key (EPP) or by waiting, after a certain time, the card is reissued. This is then done a few times.
  • EPP keyboard abort key
  • some events are triggered with it, which come for example from the IDKG (magnetic card reader), from EPP and from the application and simplified in the figure. If it can be determined that these events occur in a certain order and time, then a suspicion alarm should be triggered. There is a state change of the machine.
  • the model design should take into account weights for the attack patterns.
  • the weighting is another input that describes the credibility of the identified sources (Dempster-Shaffer methodology).
  • the evidence theory of Dempster and Shaffer (see also Wikipedia) is a mathematical theory in the field of probability theory. It is used to compile information from different sources into one overall statement, taking into account the credibility of these sources in the calculation.
  • Evidence can be considered as an extension of a likelihood, using a two-dimensional measure rather than a one-dimensional measure, which is composed of the degree of belief or the degree of confidence that the statement of a source is true (English: degree of belief). and the plausibility of the event or from a probability range with a lower and upper limit.
  • the evidence theory is mainly used where uncertain statements from different sources have to be combined into an overall statement. There are applications such. B. in the
  • the system is limited to the control panel and its externally accessible components, but it is also conceivable to use all the components of the self-service device as an information source.
  • the sources in Fig. 2 are the card reader, the EPP, the cash dispenser and the display with the buttons and a timer. They provide information or events resulting from direct interaction of the SB users with the machine or events that arise as a result of a previous interaction. These events are forwarded to the software platform and possibly also to the application.
  • identified information sources provide events or information about a system state as input values for a recognition system. These input values are usually Boolean values.
  • Possible systems that are suitable for an anomaly detection system may include forward-chained systems (JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules, JRules,
  • JRules is one Business Logic System that allows the user to define rules that reflect the business logic.
  • the Rune engine Jess Java Expert System Shell
  • Jess Java Expert System Shell
  • Drools is a business relationship management system (BRMS) with a forward-chain, inference-based rule engine that uses an improved implementation of the Rete algorithm.
  • a facts adapter which represents a uniform interface of the anomaly detection system to the hardware components.
  • One of the main tasks of the adapter is to receive the sensor signals of the system components from the device driver layer and to provide them as facts, patterns for the rules.
  • FIG. 3 illustrates the layer structure of the present invention.
  • the fact adapter usually accesses the hardware components such as card reader, cash dispenser, keyboard, anti-skimming device via further software layers. These are controlled by drivers that provide the fact adapter with an interface.
  • the components of the hardware control are combined in module ProBase and set up on the operating system.
  • the operating system can be Linux, Unix or Windows.
  • the ProBase approach starts the various hardware drivers, such as the functionality of the keyboard or magnetic disk reader provide. Also, basic security and operations services are arranged at this level.
  • the built-in abstraction layer ensures that ProBase can communicate with any application. This guarantees a true multivendor base software.
  • J / BOS Java-based software platform for controlling banking peripherals in the front office.
  • the fact adapter is integrated into the Probase module, which forwards the data to the rule-based pattern recognition.
  • the fact adapter can access the components at different levels. Either on the drivers directly or on intermediate layers for e.g. J / Bos. This allows the fact adapter to access every level, and access to the management system via a network is also possible in order to obtain further facts.

Landscapes

  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Finance (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

Verfahren zur Erkennung von Angriffen auf mindestens eine Schnittstelle eines Rechnersystems, insbesondere eines Selbstbedienungsautomaten, umfassend: Überwachung der Schnittstelle, um Veränderungen an der Schnittstelle festzustellen; falls Veränderungen auftreten, so wird anhand der Art der Veränderung die Wahrscheinlichkeit eines unerlaubten Angriffs auf die Schnittstelle bestimmt; sollte die Wahrscheinlichkeit über einem definierten Schwellwert liegen, so werden Abwehrmaßnahmen eingeleitet.

Description

Anmelderin :
Wincor Nixdorf International GmbH
Intellectual Property
Heinz-Nixdorf-Ring 1
33106 Paderborn
Verfahren und Vorrichtung zur Erkennung von Angriffen auf einen Selbstbedienungsautomat
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur
Erkennung von Angriffen auf mindestens einen Selbstbedienungsautomaten, insbesondere einen Angriff auf einen Geldautomaten.
Gebiet der Erfindung :
Herkömmliche Selbstbedienungs-Terminals, auch kurz SB- Terminals genannt, sind häufig in der Funktion als Geldautomat oder Kontoauszugsdrucker anzutreffen. Zur Bedienung benotigt der Nutzer bzw. Kunde eine Bankkarte, die üblicherweise einer von einem Kartenlesegerat zu lesenden Magnetstreifenkarte entspricht, auf der Kartendaten einschließlich der personlichen Kunden- und Kontodaten gespeichert sind. Leider werden an SB-Terminals in zunehmendem Maße Manipulationen durch Dritte vorgenommen, um auf betrügerische Weise an diese Kartendaten zu gelangen. Hierzu wird z.B. an dem jeweiligen SB-Terminal eine spezielle Ausspahvorrichtung möglichst unauffällig installiert, die im wesentlichen einen kleinen fremden Kartenleser enthalt, der möglichst unmittelbar vor dem eigentlichen Einfuhrungsschlitz des SB-Terminals bzw. des eigentlichen Kartenlesegerates angebracht wird. Wenn nun ein Kunde seine Bankkarre m das Kartenlesegerat des SB-Terminals einfuhrt, wird deren Magnetspur auch von diesem fremden Kartenleser gelesen, wodurch der Dritte sich die Kartendaten, insbesondere die Kunden- und Kontodaten, beschafft und es sich ermöglicht, eine illegale Kopie der Bankkarte herzustellen. Wenn es dem Dritten darüber hinaus gelingt, die zur Bankkarte gehörige Geheimzahl (die sogenannte Pm) auszuspähen, kann er mit der gefälschten Bankkarte und der ausgespähten Pin muhelos an Geldautomaten Geld vom zugehörigen Konto abheben. Zur Erlangung dieser Information kann z.B. ein gefälschtes Keyboard auf der eigentlichen Tastatur angebracht sein, um so die Tastatureingaben zu erlangen.
Das beschriebene betrügerische Vorgehen zum Ausspähen von Kartendaten bzw. Kundeninformationen wird in Fachkreisen auch als "Skimming" oder Kartenmissbrauch bezeichnet. Eine Möglichkeit dieses zu verhindern oder zumindest zu erschweren, besteht in der Erzeugung eines elektromagnetischen Schutzfeldes, welches geeignet ist, die Lese-Funktion des in der Ausspahvorrichtung befindlichen Magnetkarten-Lesekopfes zu beeinträchtigen. Dazu muss das Schutzfeld genau dort erzeugt werden bzw. wirken, wo die Ausspahvorrichtung üblicherweise installiert ist, nämlich unmittelbar vor dem Einfuhrungsschlitz des "echten" bzw. eigentlichen Kartenlesegerates . Zudem muss das Schutzfeld ausreichend stark sein, um sicherzustellen, dass die Lese-Funktion der Ausspahvorrichtung wirksam beeinträchtigt bzw. blockiert wird, und dass die Daten nicht mehr per Skimming von der Magnetstreifenkarte gelesen werden können. Entsprechende Ansätze sind aus der DE 10 2006 049 518 Al bekannt.
Jedoch ist es nicht einfach, ein derartiges Schutzfeld so genau auszurichten bzw. zu positionieren und auch seine Feldstarke so einzustellen, dass nicht versehentlich auch die Lesefunktion des eigentlichen Kartenlesegerates des SB- Terminals mit beeinträchtigt wird.
Alle der bekannten Ansätze bringen das Problem mit sich, dass sie in Alleinstellung oftmals zu sensibel reagieren und die Funktionalitat des SB-Automats einschränken.
Überblick über die Erfindung :
Der Erfindung liegt daher die Aufgabe zugrunde, eine verbesserte Schutzvorrichtung der eingangs genannten Art zur Erkennung von Angriffen bereitzustellen, deren Warnungen eine höhere Trefferquote erlauben.
Gelost wird die Aufgabe durch ein Verfahren und eine Vorrichtung mit den Merkmalen der unabhängigen Ansprüche.
Ein wesentliches Ziel der Erfindung liegt in der Modellierung von Angriffsmustern, um diese Modelle in Form eines konkreten Regelwerks zu hinterlegen, um dann anhand des Regelwerks einen Angriff zu erkennen. Hierbei wird ein Fakten-Adapter für die Anbindung vorhandener Geräte-Treiber verwendet.
Dazu werden bekannte Bedrohungen und Schwachstellen klassifiziert und in Regeln modelliert werden. Der Fakten- Adapter ist in einer möglichen Ausfuhrungsform durch ausgewählte Geräte-Treiber und Bilderkennungsmechanismen zu implementieren. Außerdem sollen die Konfiguration sowie das Regelwerk selbst durch geeignete Mechanismen wie z.B. Verriegelung mit Zertifikat geschützt werden. Eine Möglichkeit um Informationen für den Faktenadapter bereitzustellen, liegt m der Adaption eines Bilderkennungsbzw. Bildvorverarbeitungssystems und die Integration von KI (Kunstliche Intelligenz) Komponenten. Die KI-Komponente soll nach der Trainingsphase — auch als überwachtes Lernen (supervised learning) bekannt — in der Lage sein, aus fusionierten Sensorsignalen die nicht durch das statische Regelwerk erkannten Falle zu identifizieren und zu klassifizieren.
Aufgrund der Anfälligkeit des Bedienfeldes ist dies besonders Manipulationen ausgesetzt, da es die Schnittstelle für „Jedermann" darstellt. Die Ausfuhrungen im Folgenden beziehen sich aus diesem Grunde auf die Komponenten des Bedienfeldes, sind hierauf jedoch nicht beschrankt. Es ist ebenfalls denkbar, dass Netzwerkschnittstellen oder andere Schnittstellen wie USB, seriellen Schnittstellen überwacht werden und in das Regelwerk über den Faktenadapter einfließen. Grundsatzlich kann man ein SB-System in von innen und von außen zugangliche Systeme unterscheiden. Die Komponenten im Innenbereich sind oftmals nur über Schnittstellen erreichbar, wie sie beschrieben wurden. Die folgenden Systemkomponenten und deren Systemtreiber stehen bei den folgenden Betrachtungen im Vordergrund, die Erfindung ist hierauf jedoch nicht beschrankt: Pin Päd (Tastatur zur Pin Eingabe), alle Kartenleser, Geldausgabefach in allen möglichen Formen, Monitor/Display mit Softkey, Touchscreen oder umgebenden Tasten, Mundschutz, ASKIM II Antiskimming Modul (siehe auch DE 10 2005 043 317 B3) .
Weitere Systemkomponenten oder Sensoren konnten Uhr, Annaherungssensor, Temperatursensor usw. sein. Desweiteren können Verwaltungskomponenten berücksichtigt werden, die über ein Netzwerk die SB-Automaten überwachen und verwalten. Diese Komponenten können ggf. wertvolle Informationen über den Betriebszustand des SB-Systems liefern (Servicebetrieb, Außerbetrieb, Standardbetrieb, eingeschränkter Betrieb) . Nachgeschalteten Systemen oder Benutzern können über eine Diagnose-Plattform Alarm-Informationen zur Verfugung gestellt werden. Andersrum liefert die Diagnose-Plattform auch Ereignisse über Systemzustande.
Wie bereits oben ausgeführt wurde, können prinzipiell die Komponenten eines Geldautomaten von außen und/oder von innen manipuliert werden. Bei der Bedrohungsanalyse werden im Folgenden zunächst nur der Außenbereich betrachtet.
Eine beispielhafte Situation kann das Abgreifen der Pin durch Installation von Tastatur-Überbauten sein. Dieses ist eine reale Bedrohung, die bekanntermaßen in Angriffe auf Pinverarbeitende Systeme umgesetzt wurde.
Alternativ kann ein Ausspähen der Pin durch installierte Minikameras erfolgen. Um an die Kartendaten zu gelangen, kann im zweiten Schritt ein Skimming-Modul-Vorbau verwendet werden.
Zu den erkannten Bedrohungen werden das abgegrenzte System und dessen Komponenten auf mögliche Schwachstellen untersucht. Die Ergebnisse können in einem Regelwerk dokumentiert werden. Beispiel :
Durch Gewaltanwendung kann das EPP tiefer gelegt werden. Für die physikalische Integration der Regel ist ein Manipulationsschalter (removal switch) vorgesehen, der bei Gewaltanwendung das SB-System für einige Funktionen Außerbetrieb schaltet. Diese Information wird naturlich auch an den Faktenadapter gesendet.
Betrachtet man z.B. nur die von außen zuganglichen Komponenten, so handelt es sich bei den Quellen um den Kartenleser, das EPP, das Geldausgabefach und das Display mit den Bedientasten. Sie liefern Informationen bzw. Ereignisse, die durch direkte Interaktion der SB-Benutzer mit dem Automaten entstehen oder Ereignisse die als Folge einer vorausgegangenen Interaktion entstehen. Diese Ereignisse werden an die Softwareplattform und ggf. auch an die Anwendung weitervermittelt .
In einem ersten Schritt sollten mögliche und notwendige, eventuell zusatzliche, Informationsquellen innerhalb des abgegrenzten Systems identifiziert werden. Grundsatzlich kann festgelegt werden, dass identifizierte Informationsquellen
Ereignisse oder Informationen über einen Systemzustand als
Eingangswerte für ein Erkennungssystem liefern. Diese Eingangswerte sind z.B. Boolesche Werte.
Für diese identifizierten Events/Systemzustande und deren Abhängigkeiten kann ein Modell entwickelt werden, aus dem Angriffsmuster abgeleitet werden können. Die Zusammenhangmodellierung von elementaren Mustern, Ereignissen bis zu komplexeren Mustern, bildet die Grundlage für die Mustererkennung des Anomalieerkennungssystems.
Insbesondere handelt es sich um ein Verfahren zur Erkennung von Angriffen auf einen Selbstbedienungsautomat, der eine Reihe von Komponenten aufweist, umfassend die Schritte. - Überwachung der Zustande und Ereignisse der Komponenten durch eine Uberwachungseinheit
Anwenden eines auf einem Speichersystem gespeicherten
Regelwerks auf die Zustande und Ereignisse durch eine
Bearbeitungseinheit, die das Regelwerk vom Speichersystem ladt und von der Uberwachungseinheit die Informationen empfangt; - Überprüfen, ob das Regelwerk einen Angriff festgestellt hat, durch die Bearbeitungseinheit, um diesen zu einem Meldungssystem zu melden.
Es ist zu beachten. Das die Uberwachungseinheit, die Bearbeitungseinheit ein Software sein können oder eine Kombination aus Software und Hardware, die z.B. auf einem Standard Prozessor (z.B. PC) ablaufen können. Das Speichersystem kann eine Festpatte oder ahnliches sein. Überblick über dxe Figuren
Fig. 1 Betriebszustande eines SB-Systems. Fig. 2 Diagramm, das den Zusammenhang zwischen Benutzeraktionen und Systemereignissen zeigt.
Fig. 3 Schnittstellen des Fakten-Adapters.
Beschreibung der Ausfuhrungsform : Figur 1 zeigt beispielhaft die Abhängigkeit möglicher Systemzustande. So kann ein Geldautomat aus dem Normalbetπeb- Zustand oder aus dem Servicebetπeb-Zustand in einen Alarm- Zustand wechseln. Die Zustandsanderung des Systems hangt davon ab, welche Ereignisse in welcher Reihenfolge auftreten. Diese Ereignisse werden wiederum durch bestimmte Interaktionen eines Benutzers ausgelost.
Im Folgenden wird in Figur 2 ein Beispiel gezeigt, wie Benutzerinteraktionen, Benutzeraktionen, Ereignisse aus verschiedenen Systemkomponenten und, infolge dessen, Systemzustand-Anderungen für ein Angriffsszenario zusammenhangen .
Beim dargestellten Szenario handelt es sich um einen mutmaßlichen Skimmer-Test . Nachdem ein Skimmmg-Modul eingebaut wurde, wird m der Regel ein Skimmer-Test durch den Angreifer durchgeführt. Die Interaktion umfasst folgende Aktionen: Karte eingeben, entweder durch das Drucken auf die Abbruch-Taste der Tastatur (EPP) oder durch Warten wird, nach einer bestimmten Zeit, die Karte wieder ausgegeben. Dies wird dann einige Male durchgeführt. Im System werden einige Ereignisse damit ausgelost, die beispielsweise vom IDKG (Magnet kartenleser) , von EPP und von der Anwendung kommen und in der Abbildung vereinfacht dargestellt. Wenn festgestellt werden kann, dass diese Events in einer bestimmten Reihenfolge und Zeitabstanden auftreten, dann soll ein Verdachtalarm ausgelost werden. Es erfolgt ein Zustandwechsel des Automaten.
Beim Modellentwurf sollen Gewichtungen für die Angriffsmuster berücksichtigt werden. Die Gewichtung ist eine weitere Eingangsgroße, die die Glaubwürdigkeit der identifizierten Quellen beschreibt ( Dempster-Shaffer Methodik) . Die Evidenztheorie von Dempster und Shaffer (siehe auch Wikipedia) ist eine mathematische Theorie aus dem Gebiet der Wahrscheinlichkeitstheorie. Sie wird benutzt, um Informationen unterschiedlicher Quellen zu einer Gesamtaussage zusammenzusetzen, wobei die Glaubwürdigkeit dieser Quellen in der Berechnung berücksichtigt wird.
Eine Evidenz kann als eine Erweiterung einer Wahrscheinlichkeit betrachtet werden, wobei statt einem eindimensionalen ein zweidimensionales Maß verwendet wird, welches sich zusammensetzt aus dem Grad des Dafürhaltens bzw. dem Grad des Vertrauens darauf, dass die Aussage einer Quelle zutrifft (englisch: degree of belief) und der Plausibilitat des Ereignisses bzw. aus einem Wahrscheinlichkeitsbereich mit einer unteren und oberen Grenze.
Die Evidenztheorie findet vor allem dort Einsatz, wo unsichere Aussagen verschiedener Quellen kombiniert werden müssen zu einer Gesamtaussage. Es gibt Anwendungen, wie z. B. in der
Mustererkennung, bei denen sich mittels der Evidenztheorie
Aussagen verschiedener, unzuverlässiger Algorithmen kombinieren lassen, um so eine Aussage zu erhalten, deren Treffsicherheit besser ist als die jeder einzelnen Aussage.
Um einen solchen Ansatz zu realisieren, sind folgende Punkte zu berücksichtigen. 8 Identifikation aller Informationsquellen im abgegrenzten
System
• Gewichtung der Quellen
' Modellierung der Systemzustande und Abhängigkeiten Beim Beispiel aus Fig. 2 wird das System auf das Bedienfeld und dessen von außen zugangliche Komponenten beschrankt, es ist jedoch auch denkbar alle Komponenten des SB-Gerates als Informationsquelle zu nutzen. Die Quellen bei Fig. 2 sind der Kartenleser, das EPP, das Geldausgabefach und das Display mit den Bedientasten und ein Zeitgeber. Sie liefern Informationen bzw. Ereignisse, die durch direkte Interaktion der SB-Benutzer mit dem Automaten entstehen oder Ereignisse, die als Folge einer vorausgegangenen Interaktion entstehen. Diese Ereignisse werden an die Softwareplattform und ggf. auch an die Anwendung weitervermittelt.
In einem ersten Schritt müssen mögliche und notwendige, eventuell zusatzliche, Informationsquellen innerhalb des abgegrenzten Systems identifiziert werden. Grundsatzlich kann festgelegt werden, dass identifizierte Informationsquellen Ereignisse oder Informationen über einen Systemzustand als Eingangswerte für ein Erkennungssystem liefern. Diese Eingangswerte sind in der Regel Boolesche Werte.
Auf der Basis der identifizierten Events/Systemzustande und deren Abhängigkeiten werden Muster gebildet, die Grundlage für die Mustererkennung des Anomalieerkennungssystems sind.
Mögliche Systeme, die für ein Anomalieerkennungssystem geeignet sind, können vorwartsverkettete Systeme (JRules,
Jess, Drools) sein. Für Diagnose und Service Zwecke wird ein
Regel-basierendes System untersucht. JRules ist ein Geschaftslogik System, das es dem Benutzer erlaubt Regeln zu definieren, die die Geschaftslogik widerspiegeln. Die RuIe- Engine Jess (Java Expert System Shell) dient ebenfalls dazu, über definierte Regeln eine Abwägung zu treffen (http://www.jessrules.com/jess/index.shtml) . Drools ist ein Business RuIe Management System (BRMS) mit einer vorwartsverketteten Inferenz- basierenden Regel-Engine, das eine verbesserte Implementierung des Rete-Algorithmus verwendet .
Ein wichtiger Aspekt ist die Anbindung des Anomalieerkennungssystems für bekannte Bedrohungsszenarien an entsprechende Hardware-Komponenten. Dazu wird in der bevorzugten Ausfuhrungsform ein Fakten-Adapter eingesetzt, der eine einheitliche Schnittstelle des Anomalieerkennungssystems zu den Hardwarekomponenten darstellt. Eine der Hauptaufgaben des Adapters ist es, die Sensorsignale der Systemkomponenten aus der Gerätetreiber-Schicht zu empfangen und diese als Fakten, Muster für das Regelwerk bereit zu stellen.
Die Figur 3 stellt den Schichtenaufbau der vorliegenden Erfindung dar. Der Faktenadapter greift in der Regel über weitere Softwareschichten auf die Hardwarekomponenten, wie Kartenleser, Geldausgabefach, Tastatur, Antiskimming-Device zu. Diese werden über Treiber gesteuert, die dem Faktenadapter eine Schnittstelle zur Verfugung stellen.
Die Komponenten der Hardwareansteuerung sind in Modul ProBase zusammengefasst und setzten auf dem Betriebssystem auf. Je nach der Programmierung kann es ProBase in C geben oder zum Beispiel in Java. Dafür stehen die entsprechenden ProBaseC und ProBaseJ. Beim Betriebssystem kann es sich um Linux, Unix oder Windows handelt. Durch den ProBase-Ansatz werden die verschiedenen Hardwaretreiber gestartet, um beispielsweise die Funktionalität der Tastatur oder des Magnetplattenlesers bereitzustellen. Auch Basissicherheit und Betriebs Dienste sind in dieser Ebene angeordnet. Mithilfe der integrierten Abstraktionsebene wird sichergestellt, dass ProBase mit jeder Anwendung kommunizieren kann. Somit ist eine echte multivendorfahige Basissoftware garantiert.
Weitere Komponenten, die auf den Hardwaretreibern aufbauen sind J/BOS, was eine Java-basierte Software Plattform zur Ansteuerung von Bankenperipherie im Front Office ist. In das Probase Modul wird nun der Faktenadapter integriert, der an die regelbasierte Musterkennung die Daten weiterleitet. Der Faktenadapter kann auf unterschiedliche Ebene auf die Komponenten zugreifen. Entweder auf die Treiber direkt oder auch auf Zwischenschichten für z.B. J/Bos. So kann der Faktenadapter auf jede Ebene zugreife, auch sind Zugriffe auf das Verwaltungssystem über ein Netzwerk möglich, um weitere Fakten zu erlangen.

Claims

Patentansprüche
1. Verfahren zur Erkennung von Angriffen auf einen
Selbstbedienungsautomat, der eine Reihe von Komponenten aufweist, umfassend die Schritte:
- Überwachung der Zustande und Ereignisse der Komponenten durch eine Uberwachungseinheit - Anwenden eines auf einem Speichersystem gespeicherten Regelwerks auf die Zustande und Ereignisse durch eine Bearbeitungseinheit, die das Regelwerk vom Speichersystem ladt und von der Uberwachungseinheit die Informationen empfangt; - Überprüfen, ob das Regelwerk einen Angriff festgestellt hat, durch die Bearbeitungseinheit in dem das Regelwerk und die Zustande und Ereignisse aufeinander angewendet werden, um diesen zu einem Meldungssystem zu melden.
2. Das Verfahren nach dem vorhergehenden Anspruch, wobei das Regelwerk eine Zusammenhangsmodellierung ist, die elementare Muster und Ereignisse bis hin zu komplexeren Mustern abbildet.
3. Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei Eingangswerte Ereignisse oder Informationen über einen Systemzustand sind, die vorzugsweise als Boolesche Werte dargestellt werden.
4. Das Verfahren nach dem vorhergehenden Anspruch, wobei auf der Basis der Ereignisse und Systemzustande und deren Abhängigkeiten, Muster gebildet werden, die Grundlage für die Mustererkennung eines Anomal] eerkennungssysiems sind.
5. Das Verfahren nach dem vorhergehenden Anspruch, wobei die
Ereignisse und Systemzustande gewichtet werden, so dass die Glaubwürdigkeit der identifizierten Quellen beschrieben wird.
6. Das Verfahren nach dem vorhergehenden Anspruch, wobei das Dempster-Shaffer Verfahren verwendet wird.
7. Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei als mögliche Anomalieerkennungssysteme vorwartsverkettete Systeme eingesetzt werden, wie JRules, Jess, und /oder Drools.
8. Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei ein Fakten-Adapter eingesetzt wird, der eine einheitliche Schnittstelle des
Anomalieerkennungssystems zu den Hardwarekomponenten darstellt, indem eine Abstraktionsschicht zwischen Anomalieerkennungssystem und Treiber geschaltet wird.
9. Das Verfahren nach dem vorhergehenden Anspruch, wobei der Fakten-Adapter Sensorsignale der Systemkomponenten aus der Geratetreiber-Schicht empfangt und diese als Fakten, Muster für das Regelwerk/ Anomalieerkennungssystem bereit stellt.
10. Das Verfahren nach einem oder mehreren der zwei vorhergehenden Ansprüche, wobei der Fakten-Adapter durch ausgewählte Geräte-Treiber und Bilderkennungsmechanismen implementiert ist.
11. Das Verfahren nach dem vorhergehenden Anspruch, wobei Bilderkennungs- bzw. Bildverarbeitungssystems und eine Integration von KI (Kunstliche Intelligenz) Komponenten zusammenarbeiten, die nach einer Lernphase in der Lage sind, aus fusionierten Sensorsignalen erkannte Falle zu identifizieren und zu klassifizieren.
12. Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei eine oder mehrere der folgenden Gerate Informationen als Zustande und Ereignisse bereitstellen : Pin Päd , Kartenleser , Geldausgabefach, Monitor/Display mit Softkey, Touchscreen, Mundschutz, Antiskimming Modul, Uhr, Annaherungssensor,
Temperatursensor, Verwaltungskomponenten, die über ein Netzwerk die SB-Automaten überwachen und verwalten, Netzwerkschnittstellen, USB, Serielle Schnittstellen.
13. Vorrichtung zur Erkennung von Angriffen auf einen Selbstbedienungsautomat, der aus einer Reihe von Komponenten besteht, umfassend:
- Uberwachungseinheit , die ausgebildet ist, um die Zustande und Ereignisse der Komponenten zu überwachen, , - Bearbeitungseinheit, die von der Uberwachungseinheit Zustande und Ereignisse übertragen bekommt, und die ein auf einem Speichersystem gespeichertes Regelwerk ladt, um die die Zustande und Ereignisse durch Anwendung des Regelwerks zu überprüfen, und um festzustellen ob das Regelwerk einen Angriff festgestellt hat, um diesen als Meldung auszugeben.
14. Die Vorrichtung nach dem vorhergehenden Vorrichtungsanspruch, wobei das Speichersystem das Regelwerk als eine Zusammenhangsmodellierung speichert, die elementare Muster, Ereignissen bis hin zu komplexeren Mustern abbildet.
15. Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsanspruche, wobei Eingangswerte Ereignisse oder Informationen über einen Systemzustand sind, die vorzugsweise als Boolesche Werte dargestellt werden .
16. Die Vorrichtung nach dem vorhergehenden
Vorrichtungsanspruch, wobei ein Anomalieerkennungssystem auf der Basis der Ereignisse und Systemzustande und deren Abhängigkeiten eine Mustererkennung durchfuhrt.
17. Die Vorrichtung nach dem vorhergehenden
Vorrichtungsanspruch, wobei das Anomalieerkennungssystem die Ereignisse und Systemzustande gewichtet, so dass die Glaubwürdigkeit der identifizierten Quellen beschrieben wird.
18. Die Vorrichtung nach dem vorhergehenden
Vorrichtungsanspruch, wobei das Anomalieerkennungssystem das Dempster-Shaffer Verfahren verwendet.
19. Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsanspruche, wobei das Anomalieerkennungssystem vorwartsverkettete Systeme einsetzt, wie JRules, Jess, und /oder Drools.
20. Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsanspruche, wobei ein Fakten- Adapter eingesetzt wird, der eine einheitliche Schnittstelle des Anomalieerkennungssystems zu den Hardwarekomponenten bereitstellt, indem eine Abstraktionsschicht zwischen Anomalieerkennungssystem und Treibern geschaltet ist.
21. Die Vorrichtung nach dem vorhergehenden
Vorrichtungsanspruch, wobei der Fakten-Adapter so ausgebildet ist, dass er Sensorsignale der Systemkomponenten aus der Geratetreiber-Schicht empfangt und diese als Fakten, Muster für das Regelwerk/ Anomalieerkennungssystem bereit stellt.
22. Die Vorrichtung nach einem oder mehreren der zwei vorhergehenden Vorrichtungsanspruche, wobei der Fakten- Adapter durch ausgewählte Geräte-Treiber und Bilderkennungsmechanismen implementiert ist.
23. Die Vorrichtung nach dem vorhergehenden
Vorrichtungsanspruch, wobei Bilderkennungs- bzw. Bildverarbeitungssystems und eine Integration von KI (Kunstliche Intelligenz) Komponenten so zusammenarbeiten, dass sie nach einer Lernphase in der Lage sind, aus fusionierten Sensorsignalen erkannte Falle zu identifizieren und zu klassifizieren.
24. Das Verfahren nach einem oder mehreren der vorhergehenden Vorrichtungsanspruche, wobei eine oder mehrere der folgenden Gerate Informationen als Zustande und Ereignisse bereitstellen : Pin Päd , Kartenleser, Geldausgabefach, Monitor/Display mit Softkey, Touchscreen, Mundschutz, Antiskimming Modul, Uhr, Annaherungssensor, Temperatursensor, Verwaltungskomponenten, die über ein Netzwerk die SB-Automaten überwachen und verwalten, Netzwerkschnittstellen, USB, Serielle Schnittstellen.
PCT/EP2009/061319 2008-09-30 2009-09-02 Verfahren und vorrichtung zur erkennung von angriffen auf einen selbstbedienungsautomat WO2010037610A1 (de)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN200980138217.6A CN102165499B (zh) 2008-09-30 2009-09-02 用于识别对自助机器的攻击的方法和装置
US13/121,304 US8719929B2 (en) 2008-09-30 2009-09-02 Method and device for recognizing attacks on a self-service machine
EP09782493A EP2335228A1 (de) 2008-09-30 2009-09-02 Verfahren und vorrichtung zur erkennung von angriffen auf einen selbstbedienungsautomat

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102008049599.9 2008-09-30
DE102008049599A DE102008049599A1 (de) 2008-09-30 2008-09-30 Verfahren und Vorrichtung zur Erkennung von Angriffen auf einen Selbstbedienungsautomat

Publications (1)

Publication Number Publication Date
WO2010037610A1 true WO2010037610A1 (de) 2010-04-08

Family

ID=41203899

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2009/061319 WO2010037610A1 (de) 2008-09-30 2009-09-02 Verfahren und vorrichtung zur erkennung von angriffen auf einen selbstbedienungsautomat

Country Status (5)

Country Link
US (1) US8719929B2 (de)
EP (1) EP2335228A1 (de)
CN (1) CN102165499B (de)
DE (1) DE102008049599A1 (de)
WO (1) WO2010037610A1 (de)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220406029A1 (en) * 2016-10-14 2022-12-22 ID Metrics Group Incorporated Tamper detection for identification documents

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102011056191A1 (de) 2011-12-08 2013-06-13 Wincor Nixdorf International Gmbh Vorrichtung zum Schutz von Sicherheitstoken gegen Malware
US8622296B2 (en) 2012-05-14 2014-01-07 Citigroup Technology, Inc. Magnetic stripe card reader assembly and method
EP2821976B1 (de) * 2013-07-01 2020-04-29 Wincor Nixdorf International GmbH Verfahren und Vorrichtung zur Aufzeichnung von Ereignissen in Selbstbedienungsautomaten
CN104346869A (zh) * 2013-08-07 2015-02-11 航天信息股份有限公司 Tam设备状态预警方法及其装置
PL407693A1 (pl) * 2014-03-28 2015-10-12 Michał Waluś Sposób oraz układ aktywnego zabezpieczenia antyskimmingowego zwłaszcza urządzeń takich jak bankomaty, wypłatomaty, opłatomaty, paczkomaty, maszyny vendingowe
US9584532B2 (en) * 2014-10-31 2017-02-28 Ncr Corporation Enterprise intrusion detection and remediation
RU170238U1 (ru) * 2016-11-14 2017-04-18 Закрытое акционерное общество "Региональный научно-исследовательский экспертный центр" Комплекс для исследования радиоэлектронных устройств
RU2769712C1 (ru) * 2021-01-21 2022-04-05 Российская Федерация, от имени которой выступает Министерство внутренних дел Российской федерации Комплекс для исследования электронных радиотехнических средств бесконтактного взаимодействия с системами бесключевого доступа автомобилей

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006079769A1 (en) * 2005-01-28 2006-08-03 Ncr International, Inc. Self-service terminal
US20070080215A1 (en) * 2002-11-26 2007-04-12 Diebold Self-Services Systems, Division Of Diebold, Incorporated Automated banking machine with improved resistance to fraud

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2351585B (en) * 1999-06-29 2003-09-03 Ncr Int Inc Self service terminal
GB0406105D0 (en) * 2004-03-18 2004-04-21 Ncr Int Inc A self-service terminal
WO2006002108A2 (en) * 2004-06-21 2006-01-05 Musman Scott A Computer network management using agent-based distributed reasoning
GB0501824D0 (en) * 2005-01-28 2005-03-09 Ncr Int Inc Self-service terminal
DE102005043317B3 (de) 2005-09-12 2007-04-12 Wincor Nixdorf International Gmbh Verfahren und Einrichtung zum Erzeugen eines elektromagnetischen Schutzfeldes für ein Kartenlesegerät
DE102006049518A1 (de) 2006-10-20 2008-04-24 Wincor Nixdorf International Gmbh Selbstbedienungsgerät mit Überwachungsvorrichtung
US9019830B2 (en) * 2007-05-15 2015-04-28 Imagine Communications Corp. Content-based routing of information content
US7942315B2 (en) * 2007-09-05 2011-05-17 Ncr Corporation Self-service terminal

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070080215A1 (en) * 2002-11-26 2007-04-12 Diebold Self-Services Systems, Division Of Diebold, Incorporated Automated banking machine with improved resistance to fraud
WO2006079769A1 (en) * 2005-01-28 2006-08-03 Ncr International, Inc. Self-service terminal

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220406029A1 (en) * 2016-10-14 2022-12-22 ID Metrics Group Incorporated Tamper detection for identification documents

Also Published As

Publication number Publication date
US20110179485A1 (en) 2011-07-21
US8719929B2 (en) 2014-05-06
DE102008049599A1 (de) 2010-04-01
CN102165499B (zh) 2014-09-10
EP2335228A1 (de) 2011-06-22
CN102165499A (zh) 2011-08-24

Similar Documents

Publication Publication Date Title
EP2335228A1 (de) Verfahren und vorrichtung zur erkennung von angriffen auf einen selbstbedienungsautomat
Ensign et al. Runaway feedback loops in predictive policing
EP2897112B1 (de) Verfahren und Vorrichtung zur Vermeidung von Fehlalarmen bei Überwachungssystemen
EP2840480B1 (de) Vorrichtung zum Lesen von Magnetstreifen- und/oder Chipkarten mit Touchscreen zur PIN-Eingabe
DE102004035224A1 (de) Selbstbedienungsgerät mit Manipulationserkennung
CN107992739A (zh) 用户验证方法、装置及系统
WO2010075921A2 (de) Anforderungsbasiertes personenidentifikationsverfahren
DE102009019708B4 (de) Vorrichtung zum Schutz einer Kartenleseeinrichtung, Automat hiermit
EP1577856B1 (de) Selbstbedienungsterminal
EP2503354A1 (de) Selbstbedienungs-Terminal und Verfahren zur Überwachung eines Benutzer-Aufenthaltsbereichs
EP2603905B1 (de) Verfahren und vorrichtung zum erkennen und verifizieren von manipulationsversuchen an einem selbstbedienungsterminal
EP2321806B1 (de) Verfahren und vorrichtung zur abwehr von lauschversuchen bei der bilddaten-übertragung an einem selbstbedienungsterminal
DE112008000022T5 (de) Betrugsdetektionssystem für Kassenterminals
US8746552B1 (en) Card reader activity systems and methods
EP3142039A2 (de) Selbstbedienungsterminal mit kartenleseeinrichtung und überwachungsverfahren
Gams et al. Intelligent High-Security Access Control
DE202007018769U1 (de) Betrugsdetektionssystem für Kassenterminals
EP2455925A2 (de) Verfahren und Vorrichtung zur Abwehr von Manipulationsversuchen an einem Kamera-System
DE102010033498A1 (de) Vorrichtung und Verfahren zur Erkennung von Manipulationen an Selbstbedienungsautomaten
DE10341593B4 (de) Prozessor und Verfahren zum Ausführen einer Sequenz von Befehlen
WO2015003728A1 (de) Geldautomat
DE102021000794A1 (de) Verfahren zur Absicherung einer Datenübertragung zwischen einem Sensor und einer Auswerteeinheit eines Fahrzeuges
DE102012104057A1 (de) Schutzvorrichtung zum Schutz vor Manipulation eines Bankautomaten und Bankautomat
DE102016204000A1 (de) Verfahren und Eingabevorrichtung
Lazarus et al. Threat Analysis of Voting Systems

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980138217.6

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09782493

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2009782493

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2009782493

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 13121304

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE