ОБНАРУЖЕНИЕ И АНАЛИЗ ЗЛОУМЫШЛЕННОЙ АТАКИ

1. Способ характеризации злоумышленной активности в системе интеллектуальной сети инженерного обслуживания, исполняемый компьютером, имеющим по меньшей мере один процессор и по меньшей мере одно запоминающее устройство, содержащий этапы, на которых:
принимают от системы интеллектуальной сети, с помощью указанного по меньшей мере одного процессора, данные информационной техники (IT), включающие в себя относящуюся к IT активность;
принимают от множества электронных источников, с помощью указанного по меньшей мере одного процессора, данные не относящиеся к IT данным и включающие в себя данные о событии, относящемся к определенному местоположению;
выполняют предварительную обработку, с использованием указанного по меньшей мере одного процессора не относящихся к IT данных, включающую в себя подэтап, на котором: игнорируют не относящиеся к IT данные, не удовлетворяющие заданному уровню соответствия одному из множества связанных с риском событий;
применяют, с использованием по меньшей мере одного процессора, множество правил для предварительно обработанных не относящиеся к IT данных для:
ассоциирования нежелательного события в связи с относящейся к IT активности; и
определения вероятности того, что нежелательное событие- указывает на злоумышленную деятельность; и
применяют к нежелательному событию, с помощью по меньшей мере одного процессора, характеризацию риска на основе указанной вероятности и активности, относящейся к IT активности.
2. Способ по п.1, в котором нежелательное событие еще не произошло.
3. Способ по п.1, в котором характеристика риска содержит технологический риск или угрозу безопасности.
4. Способ по п.1, в котором этап, на котором применяют множество правил, содержит подэтап, на котором: сравнивают заданные критерии с не относящиеся к IT данными, для которых генерируют один из множества различных уровней вероятности.
5. Способ по п.4, в котором генерируют уровень вероятности на основе одновременного существования угрозы и соответствующей уязвимости, обнаруженной в относящихся к IT или не относящихся к IT данных, используемой указанной угрозой.
6. Способ по п.4, в котором генерируют уровень вероятности в виде суммы: (1) произведения вероятности возникновения определенной злоумышленной атаки и вероятности существования уязвимости, используемой указанной определенной злоумышленной атакой; и (2) произведения вероятности возникновения непредвиденного отказа и вероятности существования уязвимости, ассоциированной с указанным непредвиденным отказом.
7. Способ по п.1, в котором не относящиеся к IT данные дополнительно включают в себя данные предыстории, полученные из: регистрационных записей событий, географических местоположений, ассоциированных с соответствующими частями системы интеллектуальной сети инженерного обслуживания, и из функциональных данных; при этом применение множества правил включает в себя сравнение относящейся к IT активности с данными предыстории.
8. Способ по п.1, в котором по меньшей мере часть относящейся к IT активности, содержит: сообщение о событии от интеллектуального электросчетчика; а этап применения характеризации риска включает в себя подэтап, на котором определяют область в системе интеллектуальной сети инженерного обслуживания, где происходит злоумышленная активность.
9. Способ по п.1, в котором не относящиеся к IT данные дополнительно включают в себя: данные аналоговых измерений в сети, содержащие данные измерений фазового вектора; и список целей, имеющих высокую ценность, и соответствующие им географические местоположения.
10. Способ по п.1, в котором электронные источники не относящихся к IT данных включают в себя одни данные или комбинацию следующих входных данных: данные сводки погоды; данные блока записи нарушений; данные блока записи цифровых отказов;
данные блока записи гармоник; данные мониторинга качества питания; состояние устройства; состояние возможности соединения; предел управления; данные US CERT;
данные GPS; данные модуля управления питанием (PMU); данные датчиков; прогнозы нагрузки; и прогнозы возобновляемого генерирования.
11. Система характеризации злоумышленной деятельности в системе интеллектуальной сети инженерного обслуживания, содержащая:
системный накопитель для хранения базы данных, включающей в себя множество правил;
коллектор для сбора и хранения в системном накопителе данных информационной техники (IT), включающих в себя относящуюся к IT активность в системе интеллектуальной сети;
шину обработки комплексного события (СЕР) для приема не относящиеся к IT данных, включающих в себя данные, о событии, относящемся к определенному местоположению события, от множества электронных источников, причем шина СЕР дополнительно выполнена с возможностью игнорирования не относящихся к IT данных, не удовлетворяющих заданному уровню соответствия одному из множества связанных с риском событий;
процессор для применения множества правил к соответствующим не относящимся к IT данным для ассоциирования нежелательного события в связи с относящейся к IT деятельность; и определения вероятности того, что нежелательное событие указывает на злоумышленную активность; при этом
процессор дополнительно выполнен с возможностью применения характеризации риска к нежелательному событию на основе вероятности и относящейся к IT активности.
12. Система по п.11, дополнительно содержащая шину СЕР, соединенную с одним или комбинацией следующих электронных источников не относящихся к IT данных: устройство просмотра веб-страниц; вычислительное устройство, выполненное с возможностью осуществления функции механизма поиска; устройство доступа к веб-страницам; устройство GPS; устройство мониторинга веток в социальных сетях; термометр; и коммуникатор аварийного отклика.
13. Система по п.11, в которой нежелательное событие еще не возникло, а характеризация риска содержит технологический риск или угрозу безопасности.
14. Система по п.11, в которой процессор выполнен с возможностью сравнения, для применения множества правил, заданных критериев с не относящимися к IT данными, для которых сгенерирован один из множества различных уровней вероятности.
15. Система по п.14, характеризующаяся тем, что выполнена с возможностью генерирования уровня вероятности на основе одновременного существования угрозы и соответствующей уязвимости, обнаруженной в относящихся к IT или не относящихся к IT данных, используемой указанной угрозой.
16. Система по п.11, в которой не относящиеся к IT данные дополнительно включают в себя данные предыстории, полученные из: регистрационных записей событий, географических местоположений, ассоциированных с соответствующими частями системы интеллектуальной сети инженерного обслуживания, и из функциональных данных; при этом процессор выполнен с возможностью применения множества правил путем сравнения относящейся к IT активности с данными предыстории.
17. Система по п.11, в которой по меньшей мере часть относящейся к IT активности содержит сообщение о событии от интеллектуального счетчика; а процессор выполнен с возможностью применения характеризации риска посредством определения области в системе интеллектуальной сети инженерного обслуживания, в которой происходит злоумышленная активность.
18. Система по п.11, в которой не относящиеся к IT данные дополнительно включают в себя: данные аналоговых измерений сети, содержащие данные измерений фазового вектора; и список целей, имеющих высокую ценность, и соответствующие им географические местоположения.
19. Считываемый компьютером носитель информации, содержащий набор команд для характеризации злоумышленной деятельности в системе интеллектуальной сети инженерного обслуживания, исполняемых компьютером, содержащим процессор и устройство хранения, при этом считываемый компьютером носитель информации, содержит:
команды для получения, от системы интеллектуальной сети, данных информационной техники (IT), включающих в себя относящуюся к IT активность;
команды для приема, от множества электронных источников, не относящихся к IT данных, включающих в себя данные о событии, относящиеся к определенному местоположения;
команды для предварительной обработки не относящихся к IT данных, включающие в себя: игнорирование не относящихся к IT данных, не удовлетворяющих заданному уровню соответствия одному из множества связанных с риском событий;
команды для применения множества правил для предварительно обработанных не относящихся к IT данных для:
ассоциирования нежелательного события в связи с относящейся к IT активности; и
определения вероятности того, что нежелательное событие указывает на злоумышленную активность; и
команды для применения характеризации риска к нежелательному событию на основе указанной вероятности и относящейся к IT активности.
20. Считываемый компьютером носитель информации по п.19, в котором по меньшей мере часть относящейся к IT активности содержит сообщение о событии от интеллектуального электросчетчика; и применение характеристики риска, при этом содержит инструкции для определения области возникновения злоумышленной активности в пределах системы интеллектуальной сети инженерного обслуживания.
21. Считываемый компьютером носитель информации по п.19, в котором не относящиеся к IT данные дополнительно включают в себя данные предыстории, полученные из: регистрационных записей событий, географических местоположений, ассоциированных с соответствующими частями интеллектуальной сети инженерного обслуживания, и из функциональных данных; при этом команды для применения множества правил дополнительно содержат команды для сравнения относящейся к IT активности с данными предыстории.
22. Считываемый компьютером носитель информации по п.19, в котором характеризации риска содержит технологический риск или угрозу безопасности.
23. Считываемый компьютером носитель информации по п.19, в котором команды для применения множества правил дополнительно используют для сравнения заданных критериев с не относящимися к IT данными, для которых генерируют один из множества различных уровней вероятности, при этом критерии включают в себя одно или комбинацию из: температуры, курса доллара, статистики посещения социальных сетей.
24. Считываемый компьютером носитель информации по п.23, в котором уровень вероятности генерируется на основе одновременного существования угрозы и соответствующей уязвимости, обнаруженной в относящихся к IT или не относящихся к IT данных, используемых указанной угрозой.