研发用于检查控制系统健康状况的流量可视化与分析技术
——快速检测威胁极其重要的基础设施的安全事故——

2015年9月18日，横河电机集团(Yokogawa，社长：Takashi Nishijima)宣布与日本国立信息通信技术研究院(NICT，院长：Masao Sakauchi博士)、京都大学的Yasuo Okabe教授以及前京都大学的副教授Hiroki Takakura合作，共同研发一种控制系统流量的可视化与分析技术，以验证其完整性。该项技术能快速检测恶意软件感染等安全事故，是业界*网络健康状况检查服务，由横河电机发售。它结合了可视化技术和流量数据的收集与分析，以便验证控制系统网络的完整性，预计将提高公用事业领域中控制系统的安全性。

背景

由于以极其重要的基础设施(如公共设施：电力、天然气、水)为目标的网络攻击的扩散，控制系统的安全性zui近几年已经成为令人非常担忧的问题。由于控制系统越来越依赖操作系统和标准协议，而两者都是开放、通用的，因此现在网络攻击非常普遍，且有多种感染途径，不仅通过互联网，还可以通过USB存储设备及其他媒介，因此很难防止所有的恶意软件感染。所以，目前急需一种能快速检测安全事故的技术。这种技术不应影响控制系统的可用性(稳定、连续操作)，因为这些系统需要保持不间断操作很长时间，甚至长达几十年。

成就

NICT、横河电机及京都大学联合开发了一种控制系统流量的可视化与分析技术，用于验证完整性，并快速检测恶意软件感染等安全事故。

图1 开发的技术的原理图

与流量的数量和方向不断变化的通用信息系统不同，流量状况正常时控制系统网络更易于识别，因为这些系统是设计用于特定目的的。我们主要集中于这一特点。

我们的技术将正常控制系统流量状况的数据保存为白名单。参照该名单，该项技术监视控制系统网络的动态，检测任何异常情况，如流量增加或用未知IP地址通信，这些可能是恶意软件造成的。

另外，通过使用NICT开发的实时流量可视化系统NIRVANA*，我们改善了这项技术，使其符合控制系统使用的*通信协议。因此，当发现异常情况时，该项技术能更容易地鉴别流量状况(图2和图3)。

由于无需在每个控制系统主机(或服务器)上安装检测软件，该技术很容易引进，且不会影响控制系统的可用性。

图2 控制网络可视化示例(正常情况下)

图3 控制网络可视化示例(发生事故时)
这种情况下，控制室A中的主机被恶意软件感染，网络流量增加。

未来前景

该项技术已经与横河电机用于控制系统的网络安全支持服务相融合，预计将使用于极其重要的基础设施中的控制系统更加安全。我们的目标是使世界变得更加安全，因此将继续研发用于控制系统的网络安全技术。

术语

※ NIRVANA（NICTER Real-network Visual ANAlyzer）(NICTER实时网络可视分析仪)

NICT研发的一种系统，用于实时流量可视化与分析。NIRVANA通过流量可视化，减少了管理大规模、复杂网络的工作量。当发生故障时，可快速采取行动。NIRVANA是NICT的技术，可按照合同进行转移。

NIRVANA的实时流量可视化
（左侧：包到包的可视化模式，右侧：地址块视图）