СПОСОБ И УСТРОЙСТВО ДЛЯ ОБНАРУЖЕНИЯ АНОМАЛИЙ ИНФРАСТРУКТУРЫ

1. Способ обнаружения аномалий в физической инфраструктуре (1), характеризующийся тем, что физическая инфраструктура (1) содержит один или более исполнительных механизмов (10, 20) и/или датчиков, электрически соединенных с одним или более логическими контроллерами (12, 22 , 32), причем логические контроллеры (12, 22, 32) управляют, при использовании, значениями переменных атрибутов, относящихся к физическому состоянию исполнительных механизмов (10, 20) и/или датчиков, по меньшей мере один блок (52) контроля упомянутых логических контроллеров (12, 22, 32), телекоммуникационную систему между упомянутыми логическими контроллерами и/или между упомянутым блоком (52) контроля и упомянутыми логическими контроллерами (12, 22, 32), причем упомянутая телекоммуникационная система выполнена с возможностью осуществлять обмен пакетами данных (PD), содержащими упомянутые значения переменных атрибутов, относящихся к физическому состоянию, посредством сетевых протоколов связи;
при этом упомянутый способ обнаружения аномалий содержит этапы, на которых:
анализируют, с помощью сетевого анализатора (101), подключенного к упомянутой телекоммуникационной системе, каждый из упомянутых пакетов данных (PD), обмен которыми осуществляется в упомянутой телекоммуникационной системе;
идентифицируют, посредством упомянутого сетевого анализатора (101), для каждого из упомянутых проанализированных пакетов данных (PD) все используемые сетевые протоколы и все поля каждого из упомянутых протоколов;
сигнализируют, посредством упомянутого средства обработки компьютеризированных данных, об аномалии упомянутой инфраструктуры;
причем упомянутый способ для обнаружения аномалий отличается тем, что содержит этапы, на которых:
генерируют компьютеризированным средством (102) обработки данных виртуальное представление упомянутой инфраструктуры (1) для каждого из упомянутых обмениваемых пакетов данных (PD) и на основании идентифицированных протоколов и полей посредством определения в качестве узлов полей протоколов пакета данных, относящихся к идентификатору отправителя или получателя коммуникации или относящихся к адресам, в качестве дуг соединений между отправителем и получателем в пределах одного пакета данных PD, причем дуга ориентирована от отправителя к получателю, и в качестве значений каждой дуги и каждого узла информации, относящейся ко всем атрибутам каждого поля всех протоколов, образующих обмениваемый пакет данных PD;
сохраняют в первом энергозависимом средстве (103) хранения упомянутое виртуальное представление, сгенерированное для каждого упомянутого обмениваемого пакета данных (PD);
сравнивают, посредством упомянутого компьютеризированного средства обработки данных, упомянутое сохраненное виртуальное представление с одним или более разрешенными заданными представлениями упомянутой инфраструктуры, идентифицируют по меньшей мере одно критическое состояние, когда упомянутое хранящееся виртуальное представление отличается от упомянутых разрешенных заданных представлений;
при этом на этапе сравнения дополнительно сравнивают два или более из упомянутых виртуальных представлений, генерируемых последовательно, и идентифицируют критическое состояние упомянутой инфраструктуры на основании различий между упомянутыми последовательными виртуальными представлениями и упомянутыми разрешенными заданными представлениями, и
на этапе сравнения дополнительно сравнивают два или более из упомянутых виртуальных представлений, генерируемых последовательно, идентифицирующих частоту связи между упомянутыми логическими контроллерами, и/или между упомянутыми логическими контроллерами и упомянутыми датчиками или исполнительными механизмами, и/или между упомянутыми логическими контроллерами и блоком контроля, и идентифицируют критическое состояние упомянутой инфраструктуры на основании различий между упомянутой частотой связи и одним или более пороговыми значениями для упомянутых частот связи,
при этом сигнализируют об аномалии упомянутой инфраструктуры, когда идентифицировано по меньшей мере одно критическое состояние в упомянутом виртуальном представлении.
2. Способ по п. 1, в котором упомянутые элементы сравнения содержат одно или более пороговых значений упомянутых значений переменных атрибутов, относящихся к физическому состоянию упомянутых исполнительных механизмов и/или датчиков,
при этом на этапе сравнения идентифицируют по меньшей мере одно из упомянутых критических состояний, когда по меньшей мере одно из упомянутых значений упомянутого сохраненного виртуального представления превышает соответствующее пороговое значение.
3. Способ по п. 1 или 2, в котором упомянутые элементы сравнения содержат один или более протоколов связи, которые не разрешены для упомянутой коммуникационной сети,
при этом на этапе сравнения идентифицируют по меньшей мере одно из упомянутых критических состояний, когда упомянутое сохраненное виртуальное представление содержит один или более протоколов связи, которые не разрешены для упомянутой коммуникационной сети.
4. Способ по одному или более из пп. 1-3, в котором упомянутые элементы сравнения содержат одно или более полей, не разрешенных для упомянутых протоколов связи,
при этом на этапе сравнения идентифицируют по меньшей мере одно из упомянутых критических состояний, когда упомянутое сохраненное виртуальное представление содержит одно или более полей, не разрешенных для упомянутых протоколов связи.
5. Способ по одному или более из пп. 1-4, дополнительно содержащий этап, на котором сравнивают два или более упомянутых виртуальных представлений, сгенерированных последовательно, и идентифицируют одну или более последовательностей связи между упомянутыми логическими контроллерами, и/или между упомянутыми логическими контроллерами и блоком контроля, и/или между упомянутыми логическими контроллерами и упомянутыми датчиками или исполнительными механизмами,
при этом критические состояния содержат неразрешенные последовательности связи.
6. Способ по одному или более из пп. 1-5, в котором перед этапом сравнения определяют упомянутые критические состояния, причем на этапе определения критических состояний:
анализируют, с помощью упомянутого сетевого анализатора, подключенного к упомянутой коммуникационной системе, каждый из упомянутых пакетов данных, обмен которыми осуществляется в заданном временном интервале;
идентифицируют, посредством упомянутого сетевого анализатора, для каждого из упомянутых анализируемых пакетов данных используемые сетевые протоколы и по меньшей мере одно поле упомянутых протоколов;
генерируют, посредством упомянутого компьютеризированного средства обработки данных, агрегированное виртуальное представление упомянутой инфраструктуры в упомянутом заданном временном интервале на основании упомянутых протоколов и полей упомянутых протоколов, идентифицированных для каждого обмениваемого пакета данных;
сохраняют во втором средстве хранения постоянного типа упомянутое агрегированное виртуальное представление;
идентифицируют упомянутые критические состояния в виде виртуальных представлений, не содержащихся в упомянутом агрегированном виртуальном представлении.
7. Способ по п. 6, в котором все используемые сетевые протоколы и все поля каждого из упомянутых протоколов идентифицируют на упомянутом этапе идентификации.
8. Способ по одному или более из пп. 1-7, дополнительно содержащий этап, на котором определяют значения риска для каждого из упомянутых датчиков, и/или исполнительных механизмов, и/или блока контроля, и/или значения, и/или протокола связи, и/или поля протокола, причем упомянутые значения риска хранят в упомянутом первом или втором средстве хранения,
при этом на этапе генерирования виртуальных представлений дополнительно ассоциируют упомянутые значения риска с каждым из виртуальных представлений, генерируя виртуальное представление риска.
9. Способ по п. 8, дополнительно содержащий этап, на котором автоматически рассчитывают упомянутые значения риска посредством упомянутого компьютеризированного средства обработки данных на основании частоты связи между упомянутыми промышленными компонентами, и/или между упомянутыми блоками контроля, и/или между упомянутыми промышленными компонентами и упомянутыми блоками контроля, и/или на основании упомянутого значения переменных атрибутов, и/или используемого протокола, и/или атрибутов упомянутого протокола, идентифицированного упомянутым сетевым анализатором.
10. Способ по одному или более из пп. 1-9, в котором упомянутые пакеты данных (PD) содержат по меньшей мере одно поле протокола, относящееся к адресу отправителя, и по меньшей мере одно поле протокола, относящееся к адресу получателя,
при этом виртуальное представление, сгенерированное для каждого из упомянутых проанализированных пакетов данных (PD), получают посредством определения упомянутых полей, относящихся к упомянутым адресам, в качестве узлов, соединений между упомянутым отправителем и упомянутым получателем в качестве дуг, а остальных полей, выделенных из упомянутых пакетов данных, в качестве значений упомянутых узлов и дуг.
11. Устройство (100) для обнаружения аномалий в инфраструктуре (1), содержащее:
один или более исполнительных механизмов (10, 20) и/или датчиков, функционально соединенных с одним или более логическими контроллерами (12, 22, 32), причем упомянутые логические контроллеры (12, 22, 32) выполнены с возможностью управлять, при использовании, значениями переменных атрибутов, относящиеся к физическому состоянию упомянутых исполнительных механизмов и/или датчиков;
по меньшей мере один блок (52) контроля упомянутых логических контроллеров (12, 22, 32);
телекоммуникационную систему между упомянутыми логическими контроллерами и/или упомянутым блоком (52) контроля и упомянутыми логическими контроллерами (12, 22, 32), причем телекоммуникационная система выполнена с возможностью осуществлять обмен пакетами данных (PD), содержащими упомянутые значения переменных атрибутов физического состояния, при помощи сетевых протоколов связи,
причем упомянутое устройство (100) для обнаружения аномалий отличается тем, что содержит:
сетевой анализатор (101), выполненный с возможностью подключения к упомянутой телекоммуникационной системе, причем упомянутый сетевой анализатор (101) выполнен с возможностью анализировать каждый из упомянутых пакетов данных (PD), обмен которыми осуществляется в упомянутой телекоммуникационной системе, и идентифицировать сетевой протокол, используемый для каждого из упомянутых пакетов данных (PD), и все поля упомянутого протокола;
компьютеризированное средство (102) обработки данных, функционально соединенное с упомянутым сетевым анализатором (101), причем упомянутое компьютеризированное средство (102) обработки данных выполнено с возможностью генерировать виртуальное представление упомянутой инфраструктуры (1) на основании упомянутых протоколов и полей упомянутых протоколов, идентифицированных упомянутым сетевым анализатором (101) для каждого обмениваемого пакета данных (PD), посредством определения в качестве узлов полей протоколов пакета данных, относящихся к идентификатору отправителя или получателя коммуникации или относящихся к адресам, в качестве дуг соединений между отправителем и получателем в пределах одного пакета данных (PD), причем дуга ориентирована от отправителя к получателю, а в качестве значений каждой дуги и каждого узла информации, относящейся ко всем атрибутам каждого поля всех протоколов, образующих обмениваемый пакет данных (PD);
первое энергозависимое средство (103) хранения, функционально соединенное с упомянутым компьютеризированным средством (102) обработки данных, причем упомянутое первое средство (103) хранения хранит упомянутое виртуальное представление, сгенерированное для каждого обмениваемого пакета данных (PD);
второе постоянное средство (104) хранения, функционально соединенное с упомянутым компьютеризированным средством (102) обработки данных, причем упомянутое второе средство (104) хранения содержит в своей памяти одно или более разрешенных заданных представлений упомянутой инфраструктуры;
при этом компьютеризированное средство обработки данных, при использовании, выполнено с возможностью сравнивать упомянутое виртуальное представление по меньшей мере с одним из упомянутых разрешенных заданных представлений упомянутой инфраструктуры,
компьютеризированное средство обработки данных выполнено с возможностью идентифицировать по меньшей мере одно критическое состояние упомянутой инфраструктуры и сигнализировать о нем, когда упомянутое сохраненное виртуальное представление отличается от упомянутых разрешенных заданных представлений;
при этом компьютеризированное средство обработки данных, при использовании, выполнено с возможностью сравнивать два или более последовательных виртуальных представлений,
при этом компьютеризированное средство обработки данных выполнено с возможностью идентифицировать по меньшей мере одно критическое состояние упомянутой инфраструктуры и сигнализировать о нем на основании различий между упомянутыми последовательными виртуальными представлениями и упомянутыми разрешенными заданными представлениями,
при этом упомянутый сетевой анализатор выполнен с возможностью определять частоту связи между упомянутыми логическими контроллерами, и/или между упомянутыми логическими контроллерами и упомянутыми датчиками или исполнительными механизмами, и/или между упомянутыми логическими контроллерами и упомянутым блоком контроля,
при этом упомянутое компьютеризированное средство обработки данных выполнено с возможностью идентифицировать по меньшей мере одно из упомянутых критических состояний упомянутой инфраструктуры, когда упомянутые обнаруженные частоты связи превышают одно или более пороговых значений для упомянутых частот связи.
12. Устройство по п. 11, в котором упомянутое компьютеризированное средство обработки данных, при использовании, выполнено с возможностью сравнивать два или более из упомянутых виртуальных представлений, сгенерированных последовательно, и идентифицировать одну или более последовательностей связи между упомянутыми логическими контроллерами, и/или между упомянутыми логическими контроллерами и упомянутым блоком контроля, и/или между упомянутыми логическими контроллерами и упомянутыми датчиками или исполнительными механизмами,
при этом компьютеризованное средство обработки данных выполнено с возможностью идентифицировать по меньшей мере одно из упомянутых критических состояний, когда по меньшей мере одна идентифицированная последовательность связи соответствует неразрешенной последовательности связи.