(57)【特許請求の範囲】
【請求項１】
複数のネットワーク装置（１４５）を含む産業制御システム（ＩＣＳ）（１５０）内のサイバーセキュリティリスク（リスク）を分析する方法（３００）であって、
プロセッサ（１１０）及びサイバーセキュリティアルゴリズムを格納する関連メモリ（１１５）を提供するステップ（３０１）を含み、前記サイバーセキュリティアルゴリズムは、ビジネスレベルとアクチュエータ及びセンサのうちの少なくとも１つを含む装置レベルとの間にある前記ＩＣＳのレベルに位置し、前記プロセッサは、前記サイバーセキュリティアルゴリズムを実行し、
前記複数のネットワーク装置をスキャンすることによって、前記複数のネットワーク装置（１４５）に関する前記リスクを含む少なくとも脆弱性データ（１１６ａ）を備えるセキュリティデータを蓄積するために、データを収集するステップ（３０２）と、
数値スコアを前記リスクの各々に関連付けるルールエンジン（１２２）を用いて、前記セキュリティデータを処理するステップ（３０３）と、
前記複数のネットワーク装置にわたって前記リスクをランク付けすることと、前記リスクを複数のセキュリティゾーンに配置することとを含み、前記複数のセキュリティゾーンは、各々が、介在するルータ又はファイアウォールなしに互いに自由に通信することができる前記複数のネットワーク装置のうちの装置をグループにまとめて、前記グループ内の前記複数のネットワーク装置のうちのいずれかが不正アクセスされる場合、サイバー攻撃がどこで広がるおそれがあるかを示す、データを集約するステップ（３０４）と、
前記複数のセキュリティゾーンのうちの少なくとも一部をユーザ局（１２５）上に表示するステップ（３０５）と、
を実施する方法（３００）。
【請求項２】
可能性がある原因、前記ＩＣＳに対する潜在的影響及び推奨された措置を含む、前記リスクの各々に関するガイダンステキストを生成するステップと、前記ガイダンステキストを前記ユーザ局（１２５）上に表示するステップと、をさらに含む、請求項１に記載の方法。
【請求項３】
コードが格納された非一時的機械読取り可能な記憶媒体（１１５）であって、前記コードは、コンピューティングデバイス（１１０）によって実行されると、前記コンピューティングデバイスに、複数のネットワーク装置（１４５）を含む産業制御システム（ＩＣＳ）（１５０）内のサイバーセキュリティリスク（リスク）を分析するための、アクチュエータ及びセンサのうちの少なくとも１つを含む装置レベルを含むサイバーセキュリティアルゴリズムを実施させる、実行可能命令を含み、前記コードは、
前記複数のネットワーク装置をスキャンすることによって、前記複数のネットワーク装置に関する前記リスクを含む少なくとも脆弱性データ（１１６ａ）を備えるセキュリティデータを蓄積するために、データを収集するためのコードと、
数値スコアを前記リスクの各々に関連付けるルールエンジン（１２２）を用いて、前記セキュリティデータを処理するためのコードと、
前記複数のネットワーク装置にわたって前記リスクをランク付けすることを含む、データを集約するためのコードと、前記リスクを複数のセキュリティゾーンに配置するためのコードであって、前記複数のセキュリティゾーンは、各々が、介在するルータ又はファイアウォールなしに互いに自由に通信することができる前記複数のネットワーク装置のうちの装置をグループにまとめて、前記グループ内の前記複数のネットワーク装置のうちのいずれかが不正アクセスされる場合、サイバー攻撃がどこで広がるおそれがあるかを示す、コードと、
前記複数のセキュリティゾーンのうちの少なくとも一部をユーザ局（１２５）上に表示するためのコードと、
を含む非一時的機械読取り可能な記憶媒体。
【請求項４】
前記セキュリティデータは、前記脆弱性データ内の脆弱性が利用される可能性の程度に関する脅威レベルデータと、前記複数のネットワーク装置（１４５）のそれぞれの装置の利用が成功した場合に感知される影響の程度に関する結果データと、をさらに備える、請求項３に記載の非一時的機械読取り可能な記憶媒体。
【請求項５】
可能性がある原因、前記ＩＣＳに対する潜在的影響及び推奨された措置を含む、前記リスクの各々に関するガイダンステキストを生成し、前記ガイダンステキストを前記ユーザ局上に表示するためのコードをさらに備える、請求項３に記載の非一時的機械読取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
[0001]この出願は、２０１４年８月１３日に出願された「ＡＮＡＬＹＺＩＮＧ  ＣＹＢＥＲ−ＳＥＣＵＲＩＴＹ  ＲＩＳＫＳ  ＩＮ  ＡＮ  ＩＮＤＵＳＴＲＩＡＬ  ＣＯＮＴＲＯＬ  ＥＮＶＩＲＯＮＭＥＮＴ（産業制御環境内のサイバーセキュリティリスクの分析）」という名称の仮出願番号第６２／０３６９２０の利益を主張し、その全体は、参照によって本願明細書に組み込まれる。
【０００２】
[0002]開示された実施形態は、産業制御システムに関連付けられたネットワークのためのサイバーセキュリティに関する。
【背景技術】
【０００３】
[0003]コンピュータシステムは、様々な異なるタスクを実行する際に用いられる。例えば、コンピュータシステムの産業ネットワーク及び機器は、産業制御システム（ＩＣＳ）と称される産業システムを制御及び／又はモニタする際に用いられる。この種のＩＣＳが、製造、発電、エネルギー供給、廃棄物処理、輸送、電気通信、石油精製及び水処置に関連して使用可能である。ＩＣＳは、接続され、直接的であれ、間接的であれ、企業ネットワーク及びインターネットを含む他のネットワークを介してアクセス可能でもよい。
【０００４】
[0004]それゆえ、産業ネットワークは、内部及び外部の両方のサイバー攻撃に影響を受けうる。外部のサイバー攻撃からの予防措置として、産業ネットワークを他のネットワークから切り離すために、ファイアウォール又は他のセキュリティ対策が取られうる。
【０００５】
[0005]ＩＣＳにおいて、サイバーセキュリティへの懸念は増加しており、システム全体に対するサイバーリスクの潜在的原因を迅速に決定することは、一般的に困難である。現代のＩＣＳは、一般的に、ＷＩＮＤＯＷＳ（登録商標）サーバ及びワークステーション、スイッチ、ルータ、ファイアウォール、安全システム、専用のリアルタイムコントローラ及びフィールド装置を含む機器の混合を含む。しばしば、この機器は、異なるベンダからの機器の混合である。
【０００６】
[0006]さらに、ＩＣＳオペレータが、ＩＣＳ内で動作しているすべての装置／機器の完全な理解又は在庫を有するわけではない。この機器のいずれかにおける取り組まれていないセキュリティの脆弱性によって、製造を阻害し、又は、ＩＣＳ内の安全でない状況が生じうる。この種のシステムの障害は、悪意のある攻撃、不満を持つ従業員、ウィルスの結果、又は、サイバーセキュリティ対策の不足に関連する単なる誤りの結果でありうる。ウィルスがユニバーサルシリアルバス（ＵＳＢ）メモリ「スティック」を介して直接導入されうるので、スタンドアロンの機器さえ脆弱になりうる。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、上記の課題を解決するものである。
【課題を解決するための手段】
【０００８】
[0007]この概要は、概要を示し、この開示の性質及び要点を簡潔に示すために設けられる。それが請求項の範囲又は意味を解釈又は制限するためには用いられないという理解の上で提示される。
【０００９】
[0008]開示された実施形態が認識するのは、状況認識、意思決定支援、優先順位付け及び評価をユーザに提供することを可能にし、先制のセキュリティ強化措置が講じられることを可能にするために、サイバーセキュリティ状態及びサイバーリスクを単一の焦点に集約する（ａｇｇｒｅｇａｔｅ）産業制御システム（ＩＣＳ）の集中インタフェースが存在しないことである。したがって、ＩＣＳ（例えば、工場）ネットワーク環境内の潜在的サイバーセキュリティ脆弱性を蓄積し（ｃｏｍｐｉｌｅ）、ＩＣＳに対するリスクに基づいてセキュリティ脆弱性を優先させ、脆弱性を緩和する措置を講じるようにユーザを案内する、サイバーセキュリティリスク分析システム及びアルゴリズム対する必要が認識されている。開示されたサイバーセキュリティリスク分析システムは、ＩＣＳ内の装置のためのセキュリティ状態及びサイバーリスクのカテゴリを、ユーザインタフェース又は「ダッシュボード」に表示可能な焦点供給の単一点に集約する。
【００１０】
[0009]開示されたサイバーセキュリティアルゴリズム及び方法により提供されるいくつかの重要な態様が存在する。１つは、行われるリスク評価の略リアルタイムの連続的な性質であり、もう１つは、サイバーセキュリティリスクの算出に対する問題領域の知識（すなわち、ＩＣＳシステムの理解）の適用である。
【００１１】
[0010]一個人が、サイバーセキュリティリスクを分析及び算出するために開示されたサイバーセキュリティアルゴリズムによって利用される莫大な量のイベント及び測定されたパラメータについていくことは不可能ではないことに注意されたい。個人のチームでさえ、それは、可能ではないであろう。さらに、モニタされるネットワーク装置のいくつかは、毎秒何千ものイベントを生成しうるので、開示されたサイバーセキュリティアルゴリズム及び方法が提供する基本的にリアルタイムのモニタリングを提供することは、可能ではない。
【００１２】
[0011]本明細書において、ＩＣＳネットワーク内の「サイバーセキュリティリスク」という用語は、一般的に、不完全な、誤った設定（ｍｉｓｃｏｎｆｉｇｕｒｅｄ）、又は、サイバー攻撃に脆弱である任意のサイバーセキュリティコントロールを意味する。セキュリティリスクは、失ったパッチ、旧式のアンチウィルスソフトウェア、過剰なセキュリティ特権、不適当な使用及び無許可の変更を含むが、これらに限定されるものではない。本明細書において、「不完全な」とは、制御が実施されていない（失われている）、又は、実施されている制御がタスクに対して不十分であるものとして定義され、「誤った設定」とは、適正な制御が実施されているが、部分的又は全体的に効果がないとみなされる方法で設定又は位置に配置されるものとして定義され、「脆弱な」とは、適正な制御が実施されているが、旧式であるか又はパッチを当てていないため、サイバー攻撃に対して脆弱／影響を受けやすくしているものとして定義される。脆弱性の他に、サイバーセキュリティリスクは、さらに、脅威レベル（すなわち、脆弱性が利用される可能性の程度）及び結果（すなわち、サイバーセキュリティリスクのために測定されているネットワーク装置がうまく利用された場合、影響がどのくらい深刻に感知されるのか）の関数とすることができる。
【図面の簡単な説明】
【００１３】
【図１】[0012]例示の一実施形態による、ＩＣＳに組み込まれる例示のサイバーセキュリティリスク分析システムである。
【図２Ａ】[0013]ネットワークの５つの異なるティアを有する分散制御システム（ＤＣＳ）を示し、低い方の４つのティアは、開示されたサイバーセキュリティリスク分析システムから利益を得ることができる。
【図２Ｂ】[0014]複数のセキュリティゾーンに分割された例示の工場を示し、各セキュリティゾーンは、自身のルータ又はファイアウォールを有する。
【図３】[0015]例示の実施形態による、ＩＣＳ内のサイバーセキュリティリスクを分析する例示の方法におけるステップを示すフローチャートである。
【図４Ａ】[0016]例示の実施形態による、モニタされ、複数の異なるセキュリティゾーンに分類される複数のネットワーク装置を含むＩＣＳのネットワークに組み込まれる開示されたリスク分析システムによって生成可能な例示のダッシュボードの図を示す。
【図４Ｂ】例示の実施形態による、モニタされ、複数の異なるセキュリティゾーンに分類される複数のネットワーク装置を含むＩＣＳのネットワークに組み込まれる開示されたリスク分析システムによって生成可能な例示のダッシュボードの図を示す。
【図４Ｃ】例示の実施形態による、モニタされ、複数の異なるセキュリティゾーンに分類される複数のネットワーク装置を含むＩＣＳのネットワークに組み込まれる開示されたリスク分析システムによって生成可能な例示のダッシュボードの図を示す。
【図４Ｄ】例示の実施形態による、モニタされ、複数の異なるセキュリティゾーンに分類される複数のネットワーク装置を含むＩＣＳのネットワークに組み込まれる開示されたリスク分析システムによって生成可能な例示のダッシュボードの図を示す。
【図４Ｅ】例示の実施形態による、モニタされ、複数の異なるセキュリティゾーンに分類される複数のネットワーク装置を含むＩＣＳのネットワークに組み込まれる開示されたリスク分析システムによって生成可能な例示のダッシュボードの図を示す。
【発明を実施するための形態】
【００１４】
[0017]開示された実施形態は、添付の図面を参照しながら説明され、図面では、類似の参照符号は、図面全体にわたって、類似又は等価な要素を示すために用いられる。図面は一定の比率で描画されず、本願明細書において開示される態様を単に例示するためにのみ提供される。いくつかの開示された態様は、説明のための例示の適用を参照して後述される。多数の具体的な詳細、関係及び方法が、本願明細書において開示される実施形態の完全な理解を提供するために記載されることを理解すべきである。
【００１５】
[0018]しかしながら、当業者は、開示された実施形態が、１つ又は複数の具体的な詳細なしで、又は、他の方法によって実行可能であることを直ちに認識する。他の例において、周知の構造又は動作は、本願明細書において開示される態様を不明瞭にすることを回避するために、詳細には示されない。開示された実施形態は、図示の順序の動作又はイベントによって制限されない。なぜなら、いくつかの動作が、異なる順序で、及び／又は、他の動作又はイベントと並行して生じてもよいからである。さらにまた、すべての図示の動作又はイベントが、この開示に従って方法を実施することが要求されているわけではない。
【００１６】
[0019]図１は、例示の一実施形態による、モニタされる複数のネットワーク装置を含むＩＣＳ１５０のネットワークに組み込まれる例示のサイバーセキュリティリスク分析システム（リスク分析システム）１００である。上述したように、ＩＣＳ１５０は、例えば製造、発電、エネルギー供給、廃棄物処理、輸送、電気通信及び水処置に関係する制御システムを含む様々な異なる制御システムの用途に関連して使用可能である。
【００１７】
[0020]リスク分析システム１００は、中央サーバ１０５を含み、中央サーバ１０５は、プロセッサ１１０（例えば、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）又はマイクロコントローラユニット（ＭＣＵ））及び関連メモリ１１５を含んで示され、関連メモリ１１５には、開示されたアルゴリズム及びデータベースデータが格納され、ネットワーク内のそれぞれの装置のためのサイバーリスクを含む脆弱性データ１１６ａを格納するセキュリティデータベース１１６を含む。上述したように、脆弱性の他に、サイバーセキュリティリスクは、脆弱性が利用される可能性の程度である脅威レベルの関数とすることができ、サイバーセキュリティリスクのために測定されているネットワーク装置がうまく利用された場合、影響がどのくらい深刻に感知されるのかの結果の関数とすることができる。開示されたアルゴリズムを使用して、プロセッサ１１０は、データ収集モジュール１２１と、ルールエンジン及び集約モジュール１２２と、ユーザインタフェース（ＵＩ）モジュール１２３と、を実装して示される。ＩＣＳ１５０によって実装されるネットワークは、有線（例えば、ケーブル）ネットワーク、無線ネットワーク、光ネットワーク又は３つの任意の組み合わせ（例えば、有線及び無線ネットワーク）とすることができる。
【００１８】
[0021]図１のモニタされる装置は、例えば分散制御システム（ＤＣＳ）の制御システム１２０の制御レベル１２０ｃの一部であるワークステーション１３５、サーバ１４０及びネットワーク装置１４５として示される。制御システム１２０は、他のネットワークレベルである装置レベル１２０ａ及び入出力（ＩＯ）レベル１２０ｂも含んで示される。図１には、制御システム１２０内の他のネットワークレベルを構成することができるビジネスレベル１２０ｅ及び工場レベル１２０ｄは示されていないが、後述する図２に関連するＤＣＳ１２０’では、示され、記載される。
【００１９】
[0022]開示された実施形態で使用可能なデータ収集モジュール１２１に与えるための脆弱性データ及びイベントデータ（存在する場合）のデータ収集には、３つの基本的なアプローチが存在する。第１のアプローチは、モニタされる装置上の、基本的にローカルで動作するプログラムであるローカルエージェントを使用し、脆弱性データ及びイベントデータ（存在する場合）に関する関心情報を収集し、この情報を、ここではデータ収集モジュール１２１である中央装置まで送信する。第２のアプローチは、ビルトインプロトコルを用いて、装置に遠隔でコールすることである。ＷＭＩ及びＳＮＭＰは、これらのプロトコルの例である（ＷＩＮＤＯＷＳ（登録商標）  ＰＣ用のＷＭＩ、ネットワーク装置用のＳＮＭＰ）。脆弱性データ及びイベントデータ（存在する場合）を望むたびに、適切なプロトコルを介してそれを要求する。第３のアプローチは、関連情報に申し込む（ｓｕｂｓｃｒｉｂｅ）ために装置又はプログラムにすでに組み込まれている特徴を使用する。機能がモニタされる装置にすでに組み込まれるので、このアプローチは、第１のアプローチで必要なカスタムエージェントを必要としないし、第２のアプローチで必要なデータ要求も必要としない。データに対する最初の申し込みが存在し（モニタされる装置を構成することによって、又は、提供されたインタフェースを介して発生するかもしれない）、次に、それが発生するとき、脆弱性データ及びイベントデータ（存在する場合）に関するすべての関連データは、自動的にデータ収集モジュール１２１に送信される。ＳＹＳＬＯＧは、この第３のアプローチの一例である。
【００２０】
[0023]ローカルエージェントがネットワーク内のすべての装置に存在する場合、ローカルエージェントは、一般的に、例えば各装置のエージェントレスの収集プロトコル（例えば、Ｗｉｎｄｏｗｓ  Ｍａｎａｇｅｍｅｎｔ  Ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎ（ＷＭＩ）、簡易ネットワーク管理プロトコル（ＳＮＭＰ）、Ｓｙｓｌｏｇ）又はこれらのアプローチの組み合わせを用いて、データを収集し、脆弱性データ及びイベントデータ（存在する場合）をデータ収集モジュール１２１に送信する。１つの特定のローカルエージェントベースの実施態様は、データ収集のためのＭｉｃｒｏｓｏｆｔ  Ｓｙｓｔｅｍ  Ｃｅｎｔｅｒ  Ｏｐｅｒａｔｉｏｎｓ  Ｍａｎａｇｅｒ（ＳＣＯＭ）を使用する。それゆえ、リスク分析システム１００は、ワークステーション１３５（又はＰＣ）からデータを収集するためのローカルエージェントと、スイッチ、ルータ、ファイアウォール及び侵入検出／防止装置からデータを収集するためのエージェントレスの収集と、の組み合わせを用いることができる。生データは、データ収集モジュール１２１によって、短期のデータベース（例えば、７日のデータ）及び長期のデータウェアハウス（例えば、１２カ月のデータ（又は構成される場合より長く））に格納可能である。データは、モニタされる装置から周期的に収集される（ポーリング）こともできるし、又は、ＩＣＳ１５０内の任意のモニタされる装置上の変化又はイベントが検出されるとき、例えば、ファイアウォール又はアンチウィルスソフトウェアが無効なとき、又は、ＷＩＮＤＯＷＳ（登録商標）のセキュリティイベントのとき収集されることもできる。
【００２１】
[0024]上述したように、ローカルのエージェントベースのデータ収集が脆弱性データ及びイベントデータ（存在する場合）をデータ収集モジュール１２１に集める他に、例えば、ローカルエージェントが欠如している場合、ビルトインプロトコルを用いて装置に遠隔でコールすることを備える上述した第２のアプローチが使用可能である。あるいは、すでに装置又はプログラムに組み込まれた特徴を用いて、関連情報に申し込む上述した第３のアプローチもまた、データ収集のために使用可能である。
【００２２】
[0025]ルールエンジン及び集約モジュール１２２は、カスタム開発されたルールエンジンによって実装可能であり、カスタム開発されたルールエンジンは、ＳＣＯＭデータベースとして実現されるデータ収集モジュール１２１からデータを読み込み、それを、正規化データ及びグループピングに変換する。ルールエンジン及び集約モジュール１２２は、イベントが発生するとき、ＳＣＯＭから非同期通知を受け取り、それらを基本的に直ちに処理するためのものである。ルールエンジン及び集約モジュール１２２は、結果として生じる情報をメモリ１１５のセキュリティデータベース１１６にロードする。
【００２３】
[0026]セキュリティデータベース１１６は、カスタムスキーマによって、ＭＩＣＲＯＳＯＦＴの構造化照会言語（ＳＱＬ）データベースとして実装可能である。脆弱性データ及びイベントは、ルールエンジン及び集約モジュール１２２によってセキュリティデータベース１１６にロードされ、例えば図示のＩＵモジュール１２３を介して、ユーザ局１２５によって消費される。ユーザ局１２５は、ワークステーション１２５ａ及びウェブアプリケーションのエンドポイントの１つに結合されるブラウザ１２５ｂを備えて示される。
【００２４】
[0027]ＵＩモジュール１２３は、ＩＣＳ１５０のブラウザを介してアクセスされるウェブアプリケーションとして実装可能である。ブラウザは、パーソナルコンピュータ（ＰＣ）又は他の装置（例えばタブレット）上に位置し、ＵＩモジュール１２３にアクセスする許可を有する。ＵＩモジュール１２３は、ＭＩＣＲＯＳＯＦＴインターネットインフォメーションサービス（ＩＩＳ）においてホストされ、セキュリティデータベース１１６に対する更新のリアルタイムな通知のためにＳｉｇｎａｌＲ及びＪＳＯＮを使用し、動的なウェブページの機能のためにｋｎｏｃｋｏｕｔ．ｊｓを使用することができる。ＵＩモジュール１２３の代替実施形態は、ブラウザベースのアプリケーションの代わりのスタンドアロンアプリケーションである。このアプリケーションは、（そのデータベース上のセキュリティに依存する）ＵＩモジュール１２３を必要とすることなく、セキュリティデータベース１１６に直接アクセスし、情報を使用し、ユーザ局１２５を動作させる。
【００２５】
[0028]開示された方法は、ＩＣＳ１５０内のネットワーク装置を発見するステップと、データ収集モジュール１２１に格納されるそれらの装置のための脆弱性及びイベントデータのデータベースを形成するステップと、次に、さらなる分析のための装置をセキュリティゾーンに分類するステップと、を含むことができる。例えば、後述する図２Ｂは、例示の工場２００が複数のセキュリティゾーンに分割され、図示される各セキュリティゾーンが自身のルータ／ファイアウォール２２５を有することを示す。
【００２６】
[0029]この開示の目的のために、制御ネットワーク内のどの装置が開示されたリスク算出のために同一セキュリティゾーンに存在するかを知ることは、一般的に望ましい。本明細書で用いられるセキュリティゾーンは、ＡＮＳＩ／ＩＳＡ−９９規格のＩｍｐｒｏｖｅ  Ｃｏｎｔｒｏｌ  Ｓｙｓｔｅｍ  Ｓｅｃｕｒｉｔｙのゾーン及びコンジットのモデルを参照することができ、ここでは、概略的に、互いに自由に通信可能な制御ネットワーク内の装置は、同一のセキュリティゾーンに分類される。いくつかのコンジット（例えばファイアウォール／ルータ２２５）を介して通過しなければならない装置は、一般的に、他のセキュリティゾーンに分類される。ネットワークを介して伝播できる１つの装置上で検出されたウィルス又はワームが存在する場合、同一セキュリティゾーン内のすべての装置はリスクにさらされているとみなされうる。なぜなら、感染した装置はそれらと直接コンタクト可能であるからである。セキュリティゾーンは、装置のどれが、ＩＣＳによって実装されるネットワークに接続されているかの決定を可能にし、ＩＣＳ１５０内の特定の装置が不正アクセスされる場合、サイバー攻撃がどこで広がるおそれがあるかを示す。
【００２７】
[0030]データ収集モジュール１２１は、これらの装置を周知の脆弱性（例えば、旧式のＷＩＮＤＯＷＳ（登録商標）パッチ）のためにスキャンし、セキュリティデータベース１１６にロードされる脆弱性（及び、任意のイベント、脅威及び結果）のデータを収集する。データ収集モジュール１２１は、基本的に「連続的に」（例えば、セキュリティ関連事項（例えば、ウィルス検出、ＷＩＮＤＯＷＳ（登録商標）認証失敗）のイベントのために数秒ごとに）装置をモニタすることができる。
【００２８】
[0031]装置をモニタするための２つの異なる例示の方法を用いることができる。最も単純なモニタ方法は、ポーリングであり、値は、ある一定間隔（例えば、１時間ごと）で読み込まれる。可能な場合に使用可能な他の方法は、関心対象の値が変化するときはいつでも、通知される装置のオペレーティングシステムに登録する（ｒｅｇｉｓｔｅｒ）ことである。この方法は、一般的に、特定の動作中の装置上の特定のパラメータ（例えば、ＷＩＮＤＯＷＳ（登録商標）マシン上のレジストリ値）にのみ可能である。所定のパラメータのための通知に登録できないときは、一般的に、ポーリングが用いられる。モニタリングの領域は、アンチウィルス、アプリケーションホワイトリスティング、ＷＩＮＤＯＷＳ（登録商標）セキュリティイベント、ネットワークセキュリティ（スイッチ、ルータ、ファイアウォール及び侵入検出／防止システムの状態を含む）、バックアップステータス、パッチングステータス及びアセットポリシーを含む。
【００２９】
[0032]脆弱性データがデータ収集モジュール１２１に収集された後、脆弱性データは、このデータを最初に正規化するルールの内部セットを有するルールエンジン及び集約モジュール１２２によって処理される。例えば、いくつかの装置がＳＹＭＡＮＴＥＣのアンチウィルス及び他のＭＣＡＦＥＥのアンチウィルスを使用する場合、ルールエンジンは、各装置から収集したデータを、データ又は分析の共通のセットに変換する。アプリケーションベンダ及びデータソースの範囲のためのサポートのため、開示された実施形態を実装する有効な方法は、一般的に、分析を実行する前にデータを正規化することであると認識される。
【００３０】
[0033]例えば、アンチウィルス情報をＭＣＡＦＥＥ及びＳＹＭＡＮＴＥＣのアンチウィルス製品から読み込むサポートを想定する。これらのベンダの各々からの生データは、非常に異なるように見えるが、これらのベンダの各々からのデータは、いくらか事前特定されたフォーマットに修正可能なので、分析はこれらのデータソース間で区別する必要はない。例えば、ＭＣＡＦＥＥのアンチウィルス製品が、そのウィルス定義の日付をＭＭ／ＤＤ／ＹＹＹＹとして格納し、ＳＹＭＡＮＴＥＣのアンチウィルス製品が、それをＤＤ−ＭＭ−ＹＹＹＹとして格納するとする。データのための予想される（好適な）フォーマットを選択することができ（例えば、ＹＹＹＹ−ＭＭ−ＤＤ）、次に、ルールエンジン及び集約モジュール１２２のこの変換部分は、これらの生のストリングを読み込み、それらを好適なフォーマットに変換することができる。このように、ルール自体は、一般的に、ストリング又はデータ処理自体を変更する必要はなく、サポートは、ルールの変更を必要とすることなく、他のアンチウィルスベンダのために追加可能である。
【００３１】
[0034]スコアリングルールの内部セットを用いて、数値スコアは、ルールエンジン及び集約モジュール１２２によって各リスクに割り当てられ、さまざまなサイバーリスクを定量化することができる。単純な例は、各々の可能性があるサイバーリスクのための単純なスコアをＩＣＳ１５０に提供することである。サイバーリスクに、０から１００まで数値が割り当てられると仮定する（例えば、０はリスクがなく、１００は非常にリスクがある）。それゆえ、アンチウィルスがインストールされていない又は無効の場合、それは高いリスク値（例えば、１００）とみなすことができる。アンチウィルス定義ファイルが２週間の期限切れである場合、それは低いリスク（例えば、２５）とみなされるかもしれない。定義ファイルがより長時間、期限切れのままである場合、そのリスク値は増加しうる。
【００３２】
[0035]ルールエンジン及び集約モジュール１２２により用いられ、リスクの頻度及び接続される装置への暴露を考慮する、より高度なスコアリングルールも存在しうる。これらのルールは、必要に応じてユーザによって修正及び微調整が可能である。次に、ルールエンジン及び集約モジュール１２２のルールエンジンは、数値スコアを用いて、ＩＣＳ１５０全体のリスクにランク付けを行い、それらを論理的グルーピング（例えば、セキュリティゾーン、リスクソース、リスクの深刻度）に配置することができる。ルールエンジンは、ガイダンステキストを各リスクに関連付け、ユーザがリスクに対処するのを支援することができる（例えば、課題説明、可能性がある原因、システムに対する潜在的影響、推奨された措置、後述する図４Ｂ参照）。
【００３３】
[0036]ルールエンジン及び集約モジュール１２２は、同一グルーピングを用いて、履歴のリスク情報を保持することもできる。これにより、ユーザは、長期間にわたるＩＣＳ１５０のサイバーリスクを見て、サイバーリスクが最も頻繁に発生する場所を見つけることができる。ルールエンジン及び集約モジュール１２２の処理からの結果は、ユーザ局１２５（又はダッシュボード）に送信されるセキュリティデータベース１１６に配置される。このセキュリティデータの機密性のため、セキュリティデータベース１１６へのアクセスは、一般的に、許可されたユーザのみに限定されることを意図する。
【００３４】
[0037]ＷＩＮＤＯＷＳ（登録商標）ドメイン環境において、ユーザ局１２５のウェブブラウザは、現在のユーザのアイデンティティをリスク分析システム１００に送信することができる。これは、例えば、リスク分析システム１００に格納されるデータを読み出すによって、特権に関連付けられたアクティブディレクトリのグループと照合可能である。アクティブディレクトリ情報は、サーバ１４０の一部とすることができるドメインコントローラに格納可能である。ユーザがアクセスするデータは、一般的に、セキュリティデータベース１１６に格納される。明確にするために、ＵＩモジュール１２３（又はエンドユーザ）は、一般的に、セキュリティデータベース１１６に直接アクセスすることができない。なぜなら、典型的には、ＵＩモジュール１２３とセキュリティデータベース１１６との間に、アクセス層として機能するハイパーテキストトランスファープロトコル（ＨＴＴＰ）サービスを構築するためのフレームワークであるウェブアプリケーションプログラミングインタフェース（ＡＰＩ）と一般に呼ばれているアクセス層が存在するからである。ウェブＡＰＩは、要求ユーザの認証を取り扱い、彼らがセキュリティデータを見る許可を有するか否かを見て、許可される場合、セキュリティデータをユーザに返す。ユーザがページを要求し、許可を有するグループのメンバである場合、彼らは、ページを見る許可が与えられる。彼らが適切なグループのメンバでない場合、彼らはアクセス拒否されたエラーメッセージを受信しうる。
【００３５】
[0038]ドメイン環境がない場合、同一機能は、ユーザレベルで実行可能である。リスク分析システム１００は、個人ユーザによって設定可能であり、ユーザは、ＩＣＳ１５０の特定の領域に到達する許可を与えられうる。システムにアクセスするとき、ユーザには、ユーザ名及びパスワードの入力を求めることができる。ログインが成功すると、リスク分析システム１００は、そのユーザの特権を点検し、彼らがシステムのその部分にアクセスできるか否かを決定することができる。
【００３６】
[0039]ワークステーション１２５ａは、セキュリティデータベース１１６の脆弱性情報をユーザのために複数の方法で表示することができる。比較的未熟なユーザのために、ユーザ局１２５は、ゲージ、リスクの数値表現、現状のチャート及びリスクの履歴図として示される、システム課題の高レベルインジケータを出力することができる。より経験豊かなユーザは、ユーザ局１２５を拡大し、ＩＣＳ１５０及びそのサイバーリスクに関する詳細な情報を見ることができる。ユーザは、システム分析図にアクセスし、個々の機械上で、ゾーン内かつＩＣＳ１５０全体の傾向及びステータスを見ることができる。
【００３７】
[0040]図２Ａは、開示されたサイバーセキュリティリスク分析システムから利益を得ることができるネットワークの５つの異なるティア（レベル）を有するＤＣＳ１２０’を示す。ネットワークレベルは、装置レベル１２０ａ、ＩＯレベル１２０ｂ、制御レベル１２０ｃ、工場レベル１２０ｄ及びビジネスレベル１２０ｅを含む。装置レベル１２０ａは、ゲージ、バルブ、送信機、アクチュエータ、センサ及び他の装置を含む。ＩＯレベル１２０ｂは、ＩＯモジュール１２０ｂ’を含む。制御レベル１２０ｃは、少なくとも１つのコントローラ１２０ｃ’を含み、少なくとも１つのコントローラ１２０ｃ’は、図１に示されるワークステーション１３５、サーバ１４０及びネットワーク装置１４５に対応する。コントローラがサーバプラットフォームに基づくことができる、又は、登録商標のプラットフォームとすることができるので、ＤＣＳ１２０’には、制御機能を実行する、技術的にはコントローラではないサーバが存在しうることに注意されたい。
【００３８】
[0041]ＤＣＳ１２０’に適用されると、リスク分析システム１００は、ビジネスレベル１２０ｅ又はコンソール１２０ｄ’を含む工場レベル１２０ｄの一部になることができ、レベル１２０ａ、１２０ｂ、１２０ｃ又は１２０ｄからデータを収集することによって機能することができる（リスク分析システム１００がビジネスレベル１２０ｅの一部である場合）。次に、収集された脆弱性データは、（データ収集モジュール１２１によって収集されたとき）その生の状態から、リスク情報に変換され（ルールエンジン及び集約モジュール１２２によって行われる）、セキュリティデータベース１１６として示される保存場所に格納され、エンドユーザにより、ＵＩモジュール１２３によって、ユーザ局１２５のワークステーション１２５ａのユーザに見えるようにされる。
【００３９】
[0042]図２Ｂは、複数のセキュリティゾーンに分割された例示の工場２００を示し、示される各セキュリティゾーンは、自身のルータ又はファイアウォール（ルータ／ファイアウォール）２２５を有する。工場２００は、産業ネットワーク１（２２０ａ）、産業ネットワーク２（２２０ｂ）、産業ネットワーク３（２２０ｃ）を含んで示され、各々は、図２Ａに示される装置レベル１２０ａ、ＩＯレベル１２０ｂ及び制御レベル１２０ｃに対応する装置を有する。工場のセットアップに応じて、工場レベル１２０ｄからの装置が、個々の産業ネットワーク２２０ａ、２２０ｂ及び２２０ｃ内に存在することができる。図２Ｂに示される例示の工場２００において、ヒューマンマシンインタフェース（ＨＭＩ）は、産業ネットワーク２２０ａ、２２０ｂ及び２２０ｃ内に示されて表される。一般的に、ＨＭＩは、図２Ａの工場レベル１２０ｄの一部であるある種のオペレータコンソールステーションによって実行される。また、図２Ｂに示されていないが、情報をそれらのディスプレイに提供し、アクセスをコントローラに提供するために用いられるサーバが、一般的に存在する。
【００４０】
[0043]産業ネットワーク１（２２０ａ）、産業ネットワーク２（２２０ｂ）、産業ネットワーク３（２２０ｃ）は、各々、コンジット２３５によって、産業周辺ネットワーク（周辺ネットワーク）２４０として示される工場レベル１２０ｄに接続され、周辺ネットワーク２４０は、他のコンジット２４５によって、エンタープライズネットワーク２５０として示されるビジネスレベル１２０ｅに結合され、ビジネスレベル１２０ｅは、インターネット２６０に結合される。周辺ネットワーク又は非武装地帯（ＤＭＺ）として示される工場レベル１２０ｄは、組織の外部に面するサービスを含み、当該サービスをより大きい信頼できないネットワークにさらす物理的又は論理的サブネットワークである。リスク分析システム１００は、工場レベル１２０ｄの一部で示される。
【００４１】
[0044]図３は、例示の実施形態による、ＩＣＳ内のサイバーセキュリティリスクを分析する例示の方法３００におけるステップを示すフローチャートである。ステップ３０１は、プロセッサ及び開示されたサイバーセキュリティアルゴリズムを格納するメモリを提供するステップを含み、プロセッサは、サイバーセキュリティアルゴリズムを実行する。サイバーセキュリティアルゴリズムは、ステップ３０２から３０５を自動的に実装し、複数のネットワーク装置を発見するステップを含む他のステップ及び後述する他の任意のステップも実装することができる。
【００４２】
[0045]ステップ３０２は、複数の装置をスキャンすることによって、複数のネットワーク装置に関するサイバーリスク（リスク）を含む少なくとも脆弱性データを含むセキュリティデータを蓄積するためのデータ収集ステップを含む。セキュリティデータは、脆弱性データ内の脆弱性が利用される可能性の程度に関する脅威レベルデータと、それぞれのネットワーク装置がうまく利用された場合、感知された影響の程度に関する結果データと、をさらに備えることができる。データ収集ステップは、ウィルス検出、ＷＩＮＤＯＷＳ（登録商標）認証失敗を含むセキュリティ関連事象に関するイベントに対して、複数の装置を基本的に連続的にモニタするステップを含むことができ、モニタするステップは、アンチウィルス、アプリケーションホワイトリスティング、ＷＩＮＤＯＷＳ（登録商標）セキュリティイベント、ネットワークセキュリティを含み、スイッチ、ルータ、ファイアウォール及び侵入検出／防止システムの状態、バックアップステータス、パッチングステータス及びアセットポリシーを含む。
【００４３】
[0046]ステップ３０３は、数値スコアをリスクの各々に関連付けるルールエンジンを用いて、セキュリティデータを処理するステップを含む。上述したように、脆弱性、脅威及び結果データは結合され、数値スコアをそれぞれのリスクに算出することができる。例えば、結合されたリスク算出は、リスクを定めるためのＩＳＯ／ＩＥＣ  ２７００５：２０１１規格に基づくことができる。所定の装置のためのリスクは、Ｒ＝Ｖ×Ｔ×Ｃと略記可能な、リスク＝脆弱性×脅威×結果として算出可能である。この算出を実行する最も単純な方法は、０と１との間の値を使用することであり、最終的な値Ｒを正規化する必要なく、直接乗算が可能になる。これらは、パーセンテージとしても容易に表現可能である。Ｖ、Ｔ及びＣのためのこれらの個々の値は、あらかじめ定義されてもよいし、ユーザに選択されてもよいし、又は、２つの組み合わせでもよい。
【００４４】
[0047]システム内の重要な装置のリスクを算出すると仮定する。これは、重要な装置であるので、この装置が不正アクセスされる場合、結果は、非常に深刻になりうるので、Ｃの値は、Ｃ＝１．０（又は１００％）が割り当てられうる。この装置上に２つの脆弱性がある、すなわち、安全でない動作パッチが失われ、アンチウィルスソフトウェアがインストールされず、脆弱性の値は０．３（又は３０％）及び０．９５（又は９５％）であると仮定する。システムに対して検出される１つのアクティブな脅威、すなわち、悪いパスワードによって一連の反復したアクセスの試みが存在し、脅威値が０．８（又は８０％）であると仮定する。
【００４５】
[0048]この装置のためのＶを算出する最も単純な方法は、最も高い脅威（０．９５）を考慮することである。すべてのアクティブな脅威の値を考慮するかもしれない他のアルゴリズムを用いることもできるが、単純な算出が記載されている。単一の脅威が存在する場合、Ｔのための算出は単純である。これらを使用して、Ｒ＝Ｖ×Ｔ×Ｃ＝０．９５×０．８×１．０＝０．７６（又は７６％）であるとわかる。
【００４６】
[0049]ステップ３０４は、複数のネットワーク装置全体のリスクをランク付けし、リスクを少なくとも１つの論理的グルーピングに配列することを含むデータを集約するステップを含む。例えば、ユーザは、リスクを、それらのソースに基づいて分割することを望むかもしれない。ＰＣからのリスクは、１つのグループに入るかもしれず、ネットワーク装置からのリスクは、他のグループに入るかもしれない。しばしば異なる管理人がＰＣ対ネットワーク装置を維持する役割を果たすので、これは役立つ。他の例は、リスクをサイト内の論理的グルーピングに基づいて分割することである。制御システムは、しばしば、製造プロセスにおけるステップに対応する機能のクラスタに分割される。各クラスタは、ここの論理的グルーピングであるかもしれない。データを集約するステップは、複数のネットワーク装置のセキュリティ状態のカテゴリを集約するステップをさらに含むことができる。少なくとも１つの論理的グルーピングは、セキュリティゾーンを含むことができ、それにより、複数のネットワーク装置のうちどれが接続されるかという決定が可能になり、複数のネットワーク装置の１つが不正アクセスされる場合、サイバー攻撃がどこで広がりうるかを示し、リスクソース及びリスクの深刻度を示す。
【００４７】
[0050]ステップ３０５は、少なくとも論理的グルーピングをユーザ局に関連付けられたワークステーションに表示するステップを含む。方法は、課題説明、可能性がある原因、ＩＣＳに対する潜在的影響及び推奨された措置を含む、リスクの各々に関するガイダンステキストを生成するステップと、ガイダンステキストをユーザ局上に表示するステップと、をさらに含むことができる。
【００４８】
[0051]固有の開示されたサイバーセキュリティリスク分析システム特徴は、以下を含むと考えられている：
１．制御システム装置のマルチパスの発見：リスク分析システム１００のような開示されたシステムは、装置発見のために複数のソースを利用し、ＩＣＳ１５０の制御システム１２０内の装置の完全なピクチャを蓄積するために、それらを組み合わせることができる。例えば、データ収集モジュール１２１は、図１のサーバ１４０の一部としてドメインコントローラを用いてドメインコントローラに問い合わせ、図１に示されるすべてのＰＣ（例えば、ワークステーション１３５）及びＩＣＳ１５０内のドメインコントローラ自体を含むサーバ１４０の全リストを取得することができる。次に、データ収集モジュール１２１は、さらにそれらの装置に問い合わせ、ＩＣＳ内でのそれらの役割を決定し、ドメインの一部ではないさらに取り付けられた装置、例えばリアルタイムプロセスコントローラを発見することができる。その分野の周知の解法は、ドメインコントローラから、又は、ネットワークに問い合わせることによって装置リストを取得することができるが、ＩＣＳ内のコントローラ装置のような装置機能を見つけるために、第２のパスを発見することができない。
２．データ正規化：開示されたシステムは、異なる、個々に互換性のないシステムのためのデータを処理及び正規化することができる。周知の解法は、通常、類似の情報を提供することができる専門ツールに基づくが、全体としてのＩＣＳのためではなく、ＩＣＳの個別の装置のためだけである。
３．ユーザガイダンス及びサイバーリスクのランク付け：開示された実施形態は、個々のサイバーリスクアイテムの原因及び潜在的影響を理解する。これによって、開示されたアルゴリズムは、カスタムガイダンスをユーザに提供することができ、ユーザは、これらのサイバーリスク問題を迅速に修正することができる。それは、システムに対する潜在的影響に基づいてセキュリティ問題を優先させることもできる。周知の解法は、通常、システム全体の大量のデータを収集するセキュリティ情報及びイベント管理（ＳＩＥＭ）システムであるが、セキュリティ問題に対処するために、そのデータのコンテキスト又はガイダンスをユーザに提供することができない。その代わりに、専門家は、手動でデータを分析及び解釈し、彼ら自身のガイダンス及び推奨を提供しなければならない。
実施例
[0052]開示された実施形態は、以下の特定の実施例によりさらに示されるが、いかなる形であれ、この開示の範囲又は内容を制限するものとして解釈されてはならない。
【００４９】
[0053]サイバーセキュリティリスクの用語に関して、いくつかの例が、以下に挙げられる。システム上のアンチウィルスソフトウェアが考慮されている場合、「不十分な」とは、アンチウィルスソフトウェアがインストールされていない、又は、インストールされているアンチウィルスソフトウェアが効果的でない（例えば、安全でない会社が、自身のアンチウィルスソフトウェアを書き込む）ことを意味することができ、「誤った設定」とは、アンチウィルスソフトウェアはインストールされているが、アクティブ保護及び定期的なスキャンが無効にされ、システムの保護を事実上止めていることを意味することができ、「脆弱な」とは、アンチウィルスソフトウェアはインストールされ、正しく設定されているが、定義ファイルは更新されておらず、システムに対する新しいサイバー脅威を検出できない状態にしていることを意味する。
【００５０】
[0054]ネットワークファイアウォールのためのサイバーセキュリティリスクに関して、不完全な、とは、ファイアウォールがインストールされていないことを意味することができ、誤った設定とは、ファイアウォールはインストールされているが、すべてのトラフィックの通過を許可することを意味することができる。脆弱な、とは、ファイアウォールは適切な設定でインストールされているが、周知の脆弱性を有するファームウェアのバージョンが動作し、攻撃がシステムを利用できることを意味することができる。
【００５１】
[0055]脅威の例は、アンチウィルスシステムによるウィルスの検出、ＣＰＵ、メモリ又はネットワークリソースの過剰な消費（ＤＯＳ攻撃）、既存のユーザアカウントに与えられる不正の権限昇格等でありうる。ネットワークの脅威は、検出された侵入、ネットワークリソースの予想外の消費（再び、ＤＯＳ攻撃）、ファイアウォール又は他の安全装置から受け取られるセキュリティの警報又はイベントなどでありうる。
【００５２】
[0056]結果の例は、冗長な一対の一方の装置のみの不具合（影響なし）、重要でないプロセスにおけるセンサの忠実度の損失（製造又は品質に対する軽微な影響）、鍵となるプロセスの不具合（製造に対する大きな影響）、及び、安全関連システムの不具合（ＨＳＥに対する大きな影響）でありうる。
【００５３】
[0057]図４Ａ〜Ｄは、例示の実施形態による、モニタされ、複数の異なるセキュリティゾーンに分類される複数のネットワーク装置を含むＩＣＳのネットワークに組み込まれる開示されたリスク分析システムによって生成可能なさまざまな例示のダッシュボードの図を示す。図４Ａは、現在のネットサイトのサイバーセキュリティリスクと、ゾーン１〜６として示されるセキュリティゾーンごとのサイトリスクと、を含む例示のリスト画面を、それぞれのゾーンのためのサイトリスクの３０日の傾向とともに示す。通知、面積によるリスクレベル及びリスクの３０日のネットサイト傾向が示される。図４Ｂは、通知の詳細をさらに含む例示の拡大したリスト画面を示し、通知の詳細は、特定の警報、並びに、可能性がある原因、潜在的影響及び推奨された措置のリストを含む。
【００５４】
[0058]図４Ｃは、ゾーン５にあるＥＳＴ−１０４として示されるユーザが選択した装置のための例示のフルスクリーン分析画面を示し、リスクアイテムのマルウェア下には、示されるイベントタイプ、イベントのソース、日付／時間及び深刻度が存在する。見出しの列のコントロールによって、この分析画面に含まれるデータのフィルタリング及びソートが可能になる。図４Ｄは、１２のセキュリティゾーンシステムのためのゾーンごとのサイトリスクの一例を示す。
【００５５】
[0059]図４Ｅは、システムの情報公開の進行を示すのを助ける６ゾーンシステムの例示のビルボード画面を示す。システムの基本的な流れは、システムの一般のステータスを示す図４Ｅのビルボード画面でのユーザの開始である。ユーザは、ダッシュボードの個別要素を図４Ａに示される詳細画面に切り替えることができる。ユーザは、さらに拡大し、システムのリスクアイテムのリスト及び図４Ｂに示される個々のリスクアイテムのためのガイダンスを見ることができる。ユーザは、分析画面にさらに入ることができ、図４Ｃに示されるシステムのデータの表のレビューが可能になる。ユーザは、フィルタをかけ、個々のリスクアイテムがどのようにシステム全体にわたって現れるかについて見るかもしれない。彼らは、このフィルタ処理画面を将来の参照のためにエクスポートすることもできるし、又は、存在する課題を解決するために、誰かに手渡すこともできる。
【００５６】
[0060]さまざまな開示された実施形態が上述されてきたが、それらが単なる例示であり、限定するものとして示されたわけではないことを理解すべきである。例えば、ビジネスネットワークへの適用に関して、十分な特権を前提として、一般的に、ビジネスネットワーク装置をそこでモニタし、ビジネスネットワークのリスクマネージャを実装することができる。開示された実施形態に対する多数の変更は、この開示の精神又は範囲を逸脱せずに、本願明細書の開示に従って可能である。それゆえ、この開示の幅及び範囲は、上述した実施形態のいずれによっても制限されてはならない。むしろ、この開示の範囲は、以下の請求項及びそれらの等価物に従って定められなければならない。
【図１】
0006624692.tif 000002
【図２Ａ】
0006624692.tif 000003
【図２Ｂ】
0006624692.tif 000004
【図３】
0006624692.tif 000005
【図４Ａ】
0006624692.tif 000006
【図４Ｂ】
0006624692.tif 000007
【図４Ｃ】
0006624692.tif 000008
【図４Ｄ】
0006624692.tif 000009
【図４Ｅ】
0006624692.tif 000010