用于防御对具有即插即用功能的系统的攻击的方法和设备技术方案

一种用于识别对计算机系统、尤其是自助服务式自动机的至少一个接口的攻击的方法，其包括：监控所述接口，以便确定所述接口处的改变；如果出现改变，则根据所述改变的类型确定对所述接口的不允许的攻击的概率；如果所述概率处于所限定的阈值之上，则采取防御措施。

【技术实现步骤摘要】
【国外来华专利技术】用于防御对具有即插即用功能的系统的攻击的方法和设备
本专利技术涉及一种用于识别对计算机系统的至少一个接口的攻击、尤其是对即插即用接口的攻击的方法。
技术介绍
如今的典型攻击场景是：通过使用即插即用(Plug&Play)机制对PC造成危害，诸如通过在插入USB记忆棒之后由自动播放(AutoPlay)功能来执行代码而对PC造成危害。在自助服务领域中也越来越多地要求防止这样的攻击。但是问题是，不允许预防性地禁止全部的即插即用功能，因为由此也限制了GAA(自动取款机)的所要求的功能。在外部设备未被录入白名单时(例如在PSD5中所涉及的USB过滤驱动器)，例如在USB驱动器层上不允许识别和处理所述外部设备的解决方案不是没有限制地有效的，并且不是完备的解决方案。
技术实现思路
本专利技术的任务是提高计算机系统的安全性、尤其是避免对安装在公共场所的自助服务式自动机、如自动柜员机(自动取款机)和自动售货机的攻击。该任务通过具有独立权利要求的特征的一种方法和一种设备来解决。该任务尤其是通过一种用于识别对计算机系统、优选地自助服务式自动机的至少一个接口的攻击的方法来解决，该方法连续地监控所述接口，以便确定所述接口处的改变。该监控可以被中断控制，通过驱动器的数据消息进行，或者是面向轮询的方案。当数据到达所述接口或者由所述接口来发送时，中断可以在硬件侧以及在软件侧都通过进程(Prozess)来触发。数据消息也可以由其它软件层来提供，其接着通过进程间通信来提供。在一种可能的实施形式中采用经过修改的或者附加的驱动器。如果出现改变，则根据改变的类型确定对接口的或通过接口的不允许的攻击的概率。改变通常是异常的数据通信。在接口上登记和注销设备时，异常的数据通信是非常有可能的。被改动的通信协议也是可疑的。此外，当数据的类型与所连接的设备的类型不相配时，所述数据的内容可能是异常的。这样，对于面向字符的设备、比如键盘而言，面向块的通信(例如硬盘、USB棒)是异常的。例如如果USB棒作为键盘在USB接口上登记，则这是异常的。如果攻击的概率处于所限定的阈值之上，则采取防御措施。所连接的设备的列表根据规则体系(Regelwerk)来监控。如果确定攻击的概率处于所限定的阈值之上，则制订用于事后诊断(Post-Mortem-Diagnose)的日志条目(Logeintrag)，必要时将消息发送给远程服务器并且即刻生效地关闭该系统，以避免所述攻击可显示出影响。此外，也可以设想在不使用远程服务器的情况下直接关闭该计算机系统。也可以给目标系统或者目标人员发送如SMS、电子邮件、SMTP之类的警告消息。其它的可能性是：停用整个接口或者也仅仅停用新近连接的设备。此外可设想的是，该系统被切换到绝对不再允许连接设备并且仅可由技术服务工程师(Servicetechniker)切换的安全模式。接下来给出关于所述接口的概况，其中下面的列举不要求完整性：串行接口、并行接口、串行总线接口、并行总线接口、网络、无线电网络接口、光网络接口、有线网络接口、IEEE1394、火线(FireWire)、IEEE1284、LAN、WLAN、蓝牙(Bluetooth)、PS/2、RS232。应理解，技术后继物(Nachfolger)也被包含。特别是要注意即插即用接口、如USB或者火线，所述即插即用接口在连接设备时直接地触发对计算机系统的动作(诸如安装驱动器)。如果接着仅仅深入探讨一种接口类型(例如USB)，则这绝不是对本专利技术的限制。更确切地说，涉及具有非常高的危险潜在性的最熟悉的接口类型。在计算所述概率时考虑下列事件的一个或多个：-连接在接口上的设备的序列号的容许性。在过滤驱动器的情况下，该设备可以根据列表被容许或者被拒绝。所述序列号可以根据列表/样式(Muster)而受到限制。-连接在系统和/或接口上的设备的数目。各个设备、设备类别或者制造商/产品组合仅作为有限数目的设备在系统中出现。例如，大多数计算机系统仅仅连接有最多一个MFII键盘。如果并行地还连接有第二键盘，则这是攻击的标志。不同的多功能系统也具有两个键盘(前一个用于客户，后一个用于服务)。在这种情况下，第三键盘是临界的(kritisch)。所允许的每类设备的数目由该设备的硬件配置和服务策略得到。所述设定自然可以以设备独特的方式被调节。相同的方案适用于其它的输入介质(读卡器)或者存储介质(硬盘)。-另一方面是要考虑的设备路径。在USB设备的情况下，设备路径例如是到PC的“道路”、即用来连接设备的端口和集线器。服务的设备例如常常被直接连接到PC上，而不具有特别的速度要求或要求长的电缆连接的设备常常通过集线器被连接。如果现在例如键盘通过集线器被连接到上面另外仅悬挂有打印机的PC上，则这是并入到计分(Scoring)中的异常活动。-还有另一方面是所连接的设备的制造商产品组合的容许性。许多针对SB系统(自助服务系统)中的运行被释放的设备在制造商标号、产品标号和设备类别之间具有固定关系。就此而言，组合分析给出是否应当允许设备的依据。当然不排除的是：这些标号被伪造。但是如果在复制者(Nachbauer)的情况下在所述组合中犯下错误，例如供应商ID、产品ID、设备类共同不匹配，则这可以并入评分(Punktebewertung)。例子：为了绕开上面所列举的过滤驱动器，某人对设备进行编程，该设备具有与被装入到系统中的读卡器相同的供应商ID和产品ID。因此，该设备被容许。但是，“伪造”的设备类别是键盘(其作为“通用的(generell)”设备类别被容许)。由于已知该供应商不存在键盘，所以这是表示该设备潜在地为危险的标志。在这种情况下还应当考虑到，在一些情况下正常的是：在正在进行的运行中，设备例如因为外围设备已被引导而“消失”或者再次“出现”。-另一方面是识别和去除设备的(在时间上的)相符。如果发生：悬挂在端口上的新的设备被识别并且不久前另一设备被从该端口分开，则其在该新的设备具有另一设备类别时是可疑的，因为在这种情况下，这不是在服务领域中常常发生的简单的设备更换。但是当在计算机系统中存在足够空闲的插入位置时，该准则几乎不起作用。但是有时对此明显更相关的是，例如在后装载(Rearload)(其中在后面有足够空闲的插入位置)的情况下，设备在前端(Front)之后被直接去除并且另一设备被插入。还可以设想，将该监控构造为与端口无关的，以便将该监控与其它准则相关联。因此，例如可以仅仅允许在服务模式下交换设备。在这种情况下会并入逻辑关联，或者-另一方面是检测接口上的改变的时间。当前的(本地的)时间是表示即插即用活动是否被允许的另一标志。例如极少能够接受的是，授权的服务活动在半夜进行。但是，该准则也强烈地与计算机系统的停留位置有关。-运行模式可以例如作为“与”关联或者作为乘数(Multiplikator)并入所有方面中。自助服务式自动机知道不同的运行状态，例如“客户运行”或者“服务模式”。在“服务模式”期间而不是在正常的“客户运行”中常见的是，设备被插入或者被去除。在许多情况下，通过附加的认证来保证仅仅允许经授权的人员来调用“服务模式”。在一种实施形式中，可以基于所述准则根据计分系统来计算攻击概率。在这种情况下，特别严重的干扰可以具有高的特征数本文档来自技高网...

【技术保护点】
一种用于识别对计算机系统、尤其是自助服务式自动机的至少一个接口的攻击的方法，其包括：－监控所述接口，以便确定所述接口处的改变；－如果出现改变，则根据所述改变的类型确定对所述接口的不允许的攻击的概率；－如果所述概率处于所限定的阈值之上，则采取防御措施。

【技术特征摘要】
【国外来华专利技术】DE 2008-3-11 102008013634.41.一种用于识别对自助服务式自动机的至少一个接口的攻击的方法，其包括：－监控所述接口，以便确定所述接口处的改变，其中所述接口是用于计算机的外围设备的以连接外部外围输入和输出装置的接口；－如果出现改变，则根据所述改变的类型确定对所述接口的不允许的攻击的概率；其中，在计算所述概率时考虑下列事件的一个或多个：连接在所述接口上的设备的序列号的容许性；所连接的设备的制造商产品组合的容许性；设备类别的容许性；来自一个设备类别的设备的容许的数目；设备路径或连接形式；在所述接口上去除和连接设备之间的时间间隔；在所述接口上连接或者去除设备的时间；自助服务式自动机在所述接口上连接或者去除设备时所处的模式，其中所述模式为客户运行或者服务模式；其中，与每个事件相关有可调节的分值，并且所述事件被相加，使得根据总和能够检查是否已超过阈值，以便接着采取防御措施；－如果所述概率处于所限定的阈值之上，则采取防御措施。2.根据权利要求1所述的方法，其中，所述防御措施包括下列处理方式中的一个或多个：制订日志条目；自动关闭该自助服务式自动机；给目标系统或者目标人员发送警告消息；停用所述接口；停用新近连接的设备；切换到安全模式。3.根据权利要求1所述的方法，其中，自助服务式自动机是自动柜员机和/或饮料自动销售机。4.根据前述权利要求3所述的方法，其中，所述自助服务式自动机允许客户运行和维护运行，其中根据运行类型，一个或多个阈值和/或概率是不同的。5.根据前述权利要求1至4之一所述的方法，其中，所述接口是下列内容中的一个或多个：串行接口、并行接口、串行总线接口、并行总线接口、无线电网络接口、光网络接口、有线网络接口、IEEE1394、火线、IEEE1284、LAN、WLAN、蓝牙、PS/2、RS232。6.根据前述权利要求5所述的方法，其中，所述接口具有触发对该自助服务式自动机的自动动作的即插即用功能。7.根据前述权利要求1所述的方法，其中，该方法或该方法的部分由所述接口的驱动器来实施，所述驱动器具有下列特性中的一个或多个：由经过修改的驱动器替换标准接口驱动器，所述经过修改的驱动器除了现有功能以外还实施该方法；在逻辑上被布置在标准驱动器之下的附加的驱动器，使得到达标准驱动器的信息以经过过滤的方式被转交；在逻辑上被布置在标准驱动器之上的附加的驱动器，使得信息以经过过滤的方式被转交给自助服务式自动机。8.根据权利要求1所述的方法，其中，软件进程连续地监控所述接口上的通信，以便检测不允许的攻击。9.一种具有至少...

【专利技术属性】
技术研发人员：C冯德利佩，B里希特，
申请(专利权)人：温科尼克斯多夫国际有限公司，
类型：发明
国别省市：DE[德国]