[发明专利]网络安全装置

说明书

技术领域

本发明涉及网络安全的提供，具体地，涉及用于为诸如因特网的大型全局网络上的通信和数据交换提供安全性的安全装置。

背景技术

当因特网增强和扩展了不同用户和实体能够彼此通信的方式时，支持改进网络终端设备的远程访问的介质也随之产生，这可在任何需要的场景中发现，例如在工业化的工厂、现场等等中。

以前，提供订制网络用于对所述终端设备以及例如它们之间的处理工厂数据交换进行所需的监控/控制。这样的专用网络系统虽然体现了固有的安全级别，但是鉴于建设和维护网络以及将其接口各种终端设备所带来的费用和潜在的复杂性，证明了所述网络存在缺点并且受限制。

采用诸如因特网的公用网络能够获得改进的远程访问方法，例如容易地处理工厂数据，从而克服了已知的限制。然而，随着因特网访问的大范围可用，安全问题不论是与基于恶意入侵者还是开玩笑的业余者的潜在攻击都越发相关。

此外，任何当前的计算机病毒或者间谍软件都可能是问题的原因所在，只要它们能够导致操作系统和终端设备的“崩溃”。

还注意到，很多当前使用的操作系统已经服务超过十年的时间，通常被设计为提供不间断以及特别快速的功能，并不过度关注安全/防范问题。

已经发现，这种旧式（legacy）控制系统一经接收到不是严格符合与所述操作系统有关的网络层协议规则的消息，就会以很多预料外的方式执行。

除了这种网络层协议攻击或者简单的拒绝服务攻击，安全问题也可能发生在应用层蓄意的恶意攻击中，“欺骗”攻击者试图利用较旧的通信协议中的弱点，来故意地混淆（confuse）或简单地随机改变目标设备中的数据。

例如，对于控制系统等的处理/工厂数据交换采用因特网的益处，决定了增强网络安全性是有吸引力的。

一般安全解决方案提出了“工业防火墙”，其配置为拦截和过滤输入至目标设备的通信量（traffic），但是这样的现有技术方案并非为控制系统设计。

此外，通过商用的现有的通信协议来组网的产品构建了安全系统，并且常常由要求设备在“安全操作”期间不会被写入的控制语句来调整安全级别。然而，这样的配置通常难以实现，特别是在上述的场景中。

已经尝试开发产品中的技术参数以确定漏洞（vulnerability）的级别，并视情况提供合适的防范措施。

例如，北美电力可靠性公司（the North American Electric Reliability Corporation，NERC）定义了在美国对发电设施具有强制性的一套纲要和措施。在控制系统安全领域，ISA SP99协会正试图定义一套标准，通过该标准可设计和评估“网络安全产品”。

进一步，虽然已经开发出一些产品，这些产品配置为通过对目标设备快速地发送每种可能的网络攻击来识别漏洞，从而测试控制和安全装置的安全性，但是由于应用协议的数量巨大且被认为通过单个产品是不可测试的，因而这样的装置在应用中受限。

在工业和控制系统环境中，具有被称作“托菲诺（Tofino）”的用于区域性（zonal）保护的分布式方法，其配置为放置于网络终端设备的上游，例如，电力线通信（PLC）设备、控制器远端终端单元（RTU）以及监控和数据采集（SCADA）设备的上游。

这样的已知的Tofino安全装置提供具吸引力的特征，这是因为在它们自身没有IP地址的情况下，它们能够借用邻近的终端设备的地址，从而使它们在网络中似乎是不可见的。并且如果TCP/IP包符合TCP/IP协议规则，而且在当前交易状态机的序列中是有效的，则它们全都被接收和发送。对于所选的流行的协议或应用通信协议，例如Modbus TCP，仔细检查每个数据包的内容并根据定义的协议规则进行校验。此外，在防火墙设备能够设计为具有自我学习能力并容易通过简单的图形界面方式进行配置而无需对设置大量了解的情况下，这种已知的防火墙能够更易于配置。

如所述，这样的已知的防火墙和安全装置通常位于将被保护的终端设备的上游，并在旧式系统中将其简单地插入在相关的上游位置而被普遍采用。

然而，将这种已知装置提供在“上游”表现出不利性和局限性。

该装置在其“上游”位置中所固有的是，可以很好地用于保护各种终端设备，并且因此对于多个设备中的每个设备也代表了潜在的故障点。

如果该装置由于其必须具有为各种设备中的每个处理数据等潜能因而位于各种设备的上游，则功率和尺寸要求以及数据管理要求也具有重要意义。此外可以证明，一旦已经识别该装置的上游位置，就可相对容易地绕开（bypass）或以其他方式避开它。