METHOD FOR DETECTING ANOMALIES IN A CONTROL NETWORK

摘要

Zur Anomalie-Erkennung in einem Kontrollnetzwerk etwa für Überwachung und Steuerung, Industrie- oder Gebäude-Automatisierung wird eine Technologie eines Einbruchs-Erkennungs-Systems (englische Bezeichnung "intrusion detection system", bzw. IDS) adaptiert, um eine zeitliche Reihenfolge und zeitliche Abstände von ordnungsgemäßen Nachrichten im Netzwerkverkehr zu analysieren und für ein Training eines Anomalie-Erkennungssystems zu verwenden. Durch diese Ermittlung einer zeitlichen Abfolge und eines Rhythmus von ordnungsgemäßen Nachrichten wird es möglich, Fehlfunktionen oder Manipulationen von Geraten sowie Angriffe zu erkennen, welche unter Verwendung von regulären, aber von Angreifern übernommenen oder defekten Beobachtungs- oder Kontrollstationen durchgeführt werden, und die weder mit inhaltsbasierten Methoden (mittels Signaturen oder Byte-Sequenz-Analyse) noch durch eine deutliche Zunahme des Datenverkehrs zu erkennen sind. So wird eine weitere Sicherheitsbarriere geschaffen, welche eine technische Anlage, deren Kontrollnetzwerk bereits korrumpiert wurde, immer noch überwachen und (ggf. durch Alarmierung von Sicherheitspersonal) vor möglichen Sabotageakten schützen kann,