專利名稱：用于防御對具有即插即用功能的系統(tǒng)的攻擊的方法和設(shè)備的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種用于識別對計算機系統(tǒng)的至少一個接口的攻擊、尤其是對即插即 用接口的攻擊的方法。
背景技術(shù)：
如今的典型攻擊場景是通過使用即插即用(Plug & Play)機制對PC造成危害， 諸如通過在插入USB記憶棒之后由自動播放(AutoPlay)功能來執(zhí)行代碼而對PC造成危 害。在自助服務(wù)領(lǐng)域中也越來越多地要求防止這樣的攻擊。但是問題是，不允許預(yù)防性地 禁止全部的即插即用功能，因為由此也限制了 GAA(自動取款機)的所要求的功能。在外部 設(shè)備未被錄入白名單時(例如在PSD 5中所涉及的USB過濾驅(qū)動器)，例如在USB驅(qū)動器層 上不允許識別和處理所述外部設(shè)備的解決方案不是沒有限制地有效的，并且不是完備的解 決方案。

發(fā)明內(nèi)容
本發(fā)明的任務(wù)是提高計算機系統(tǒng)的安全性、尤其是避免對安裝在公共場所的自助 服務(wù)式自動機、如自動柜員機(自動取款機)和自動售貨機的攻擊。該任務(wù)通過具有獨立權(quán)利要求的特征的一種方法和一種設(shè)備來解決。該任務(wù)尤其是通過一種用于識別對計算機系統(tǒng)、優(yōu)選地自助服務(wù)式自動機的至 少一個接口的攻擊的方法來解決，該方法連續(xù)地監(jiān)控所述接口，以便確定所述接口處的改 變。該監(jiān)控可以被中斷控制，通過驅(qū)動器的數(shù)據(jù)消息進行，或者是面向輪詢的方案。當(dāng)數(shù) 據(jù)到達所述接口或者由所述接口來發(fā)送時，中斷可以在硬件側(cè)以及在軟件側(cè)都通過進程 (Prozess)來觸發(fā)。數(shù)據(jù)消息也可以由其它軟件層來提供，其接著通過進程間通信來提供。 在一種可能的實施形式中采用經(jīng)過修改的或者附加的驅(qū)動器。如果出現(xiàn)改變，則根據(jù)改變的類型確定對接口的或通過接口的不允許的攻擊的概 率。改變通常是異常的數(shù)據(jù)通信。在接口上登記和注銷設(shè)備時，異常的數(shù)據(jù)通信是非常有 可能的。被改動的通信協(xié)議也是可疑的。此外，當(dāng)數(shù)據(jù)的類型與所連接的設(shè)備的類型不相 配時，所述數(shù)據(jù)的內(nèi)容可能是異常的。這樣，對于面向字符的設(shè)備、比如鍵盤而言，面向塊的 通信(例如硬盤、USB棒)是異常的。例如如果USB棒作為鍵盤在USB接口上登記，則這是 異常的。如果攻擊的概率處于所限定的閾值之上，則采取防御措施。所連接的設(shè)備的列表根據(jù)規(guī)則體系(Regelwerk)來監(jiān)控。如果確定攻擊的概 率處于所限定的閾值之上，則制訂用于事后診斷(Post-Mortem-Diagnose)的日志條目 (Logeintrag)，必要時將消息發(fā)送給遠程服務(wù)器并且即刻生效地關(guān)閉該系統(tǒng)，以避免所述 攻擊可顯示出影響。此外，也可以設(shè)想在不使用遠程服務(wù)器的情況下直接關(guān)閉該計算機系 統(tǒng)。也可以給目標(biāo)系統(tǒng)或者目標(biāo)人員發(fā)送如SMS、電子郵件、SMTP之類的警告消息。其它的 可能性是停用整個接口或者也僅僅停用新近連接的設(shè)備。此外可設(shè)想的是，該系統(tǒng)被切換 到絕對不再允許連接設(shè)備并且僅可由技術(shù)服務(wù)工程師(Servicetechniker)切換的安全模
4式。接下來給出關(guān)于所述接口的概況，其中下面的列舉不要求完整性串行接口、并 行接口、串行總線接口、并行總線接口、網(wǎng)絡(luò)、無線電網(wǎng)絡(luò)接口、光網(wǎng)絡(luò)接口、有線網(wǎng)絡(luò)接口、 IEEE 1394、火線(Fireffire), IEEE 1284、LAN、WLAN、藍牙(Bluetooth)、PS/2、RS232。應(yīng)理解，技術(shù)后繼物(Nachfolger)也被包含。特別是要注意即插即用接口、如USB或者火線，所述即插即用接口在連接設(shè)備時 直接地觸發(fā)對計算機系統(tǒng)的動作(諸如安裝驅(qū)動器)。如果接著僅僅深入探討一種接口類 型(例如USB)，則這絕不是對本發(fā)明的限制。更確切地說，涉及具有非常高的危險潛在性的 最熟悉的接口類型。在計算所述概率時考慮下列事件的一個或多個-連接在接口上的設(shè)備的序列號的容許性。在過濾驅(qū)動器的情況下，該設(shè)備可以根 據(jù)列表被容許或者被拒絕。所述序列號可以根據(jù)列表/樣式(Muster)而受到限制。-連接在系統(tǒng)和/或接口上的設(shè)備的數(shù)目。各個設(shè)備、設(shè)備類別或者制造商/產(chǎn) 品組合僅作為有限數(shù)目的設(shè)備在系統(tǒng)中出現(xiàn)。例如，大多數(shù)計算機系統(tǒng)僅僅連接有最多一 個MFII鍵盤。如果并行地還連接有第二鍵盤，則這是攻擊的標(biāo)志。不同的多功能系統(tǒng)也 具有兩個鍵盤(前一個用于客戶，后一個用于服務(wù))。在這種情況下，第三鍵盤是臨界的 (kritisch)。所允許的每類設(shè)備的數(shù)目由該設(shè)備的硬件配置和服務(wù)策略得到。所述設(shè)定自 然可以以設(shè)備獨特的方式被調(diào)節(jié)。相同的方案適用于其它的輸入介質(zhì)(讀卡器)或者存儲 介質(zhì)(硬盤)。-另一方面是要考慮的設(shè)備路徑。在USB設(shè)備的情況下，設(shè)備路徑例如是到PC的 “道路”、即用來連接設(shè)備的端口和集線器。服務(wù)的設(shè)備例如常常被直接連接到PC上，而不 具有特別的速度要求或要求長的電纜連接的設(shè)備常常通過集線器被連接。如果現(xiàn)在例如鍵 盤通過集線器被連接到上面另外僅懸掛有打印機的PC上，則這是并入到計分(Scoring)中 的異?；顒?。-還有另一方面是所連接的設(shè)備的制造商產(chǎn)品組合的容許性。許多針對SB系統(tǒng) (自助服務(wù)系統(tǒng))中的運行被釋放的設(shè)備在制造商標(biāo)號、產(chǎn)品標(biāo)號和設(shè)備類別之間具有固 定關(guān)系。就此而言，組合分析給出是否應(yīng)當(dāng)允許設(shè)備的依據(jù)。當(dāng)然不排除的是這些標(biāo)號被 偽造。但是如果在復(fù)制者(Nachbauer)的情況下在所述組合中犯下錯誤，例如供應(yīng)商ID、產(chǎn) 品ID、設(shè)備類共同不匹配，則這可以并入評分(Punktebewertung)。例子為了繞開上面所列舉的過濾驅(qū)動器，某人對設(shè)備進行編程，該設(shè)備具有與被裝入 到系統(tǒng)中的讀卡器相同的供應(yīng)商ID和產(chǎn)品ID。因此，該設(shè)備被容許。但是，“偽造”的設(shè)備 類別是鍵盤(其作為“通用的(generell)”設(shè)備類別被容許)。由于已知該供應(yīng)商不存在 鍵盤，所以這是表示該設(shè)備潛在地為危險的標(biāo)志。在這種情況下還應(yīng)當(dāng)考慮到，在一些情況下正常的是在正在進行的運行中，設(shè)備 例如因為外圍設(shè)備已被引導(dǎo)而“消失”或者再次“出現(xiàn)”。-另一方面是識別和去除設(shè)備的(在時間上的)相符。如果發(fā)生懸掛在端口上的新的設(shè)備被識別并且不久前另一設(shè)備被從該端口分 開，則其在該新的設(shè)備具有另一設(shè)備類別時是可疑的，因為在這種情況下，這不是在服務(wù)領(lǐng)域中常常發(fā)生的簡單的設(shè)備更換。但是當(dāng)在計算機系統(tǒng)中存在足夠空閑的插入位置時，該 準(zhǔn)則幾乎不起作用。但是有時對此明顯更相關(guān)的是，例如在后裝載(Rearload)(其中在后 面有足夠空閑的插入位置)的情況下，設(shè)備在前端(Front)之后被直接去除并且另一設(shè)備 被插入。還可以設(shè)想，將該監(jiān)控構(gòu)造為與端口無關(guān)的，以便將該監(jiān)控與其它準(zhǔn)則相關(guān)聯(lián)。因 此，例如可以僅僅允許在服務(wù)模式下交換設(shè)備。在這種情況下會并入邏輯關(guān)聯(lián)，或者-另一方面是檢測接口上的改變的時間。當(dāng)前的(本地的)時間是表示即插即用 活動是否被允許的另一標(biāo)志。例如極少能夠接受的是，授權(quán)的服務(wù)活動在半夜進行。但是， 該準(zhǔn)則也強烈地與計算機系統(tǒng)的停留位置有關(guān)。_運行模式可以例如作為“與”關(guān)聯(lián)或者作為乘數(shù)(Multiplikator)并入所有方面 中。自助服務(wù)式自動機知道不同的運行狀態(tài)，例如“客戶運行”或者“服務(wù)模式”。在“服務(wù) 模式”期間而不是在正常的“客戶運行”中常見的是，設(shè)備被插入或者被去除。在許多情況 下，通過附加的認證來保證僅僅允許經(jīng)授權(quán)的人員來調(diào)用“服務(wù)模式”。在一種實施形式中，可以基于所述準(zhǔn)則根據(jù)計分系統(tǒng)來計算攻擊概率。在這種情 況下，特別嚴(yán)重的干擾可以具有高的特征數(shù)，所述特征數(shù)然后可以與其它特征數(shù)相加或者 如在運行模式的情況下那樣執(zhí)行乘法。當(dāng)然，也可以設(shè)想邏輯關(guān)聯(lián)。接著，在超過閾值的情 況下可以采取相對應(yīng)的防御措施。根據(jù)操作系統(tǒng)，可以設(shè)想通過匹配的驅(qū)動器進行可能的實施。下文進一步描述一 實施例。在這種情況下，整個方法或者部分由接口的驅(qū)動器來實施。在此，該驅(qū)動器可以具 有不同的形式。一方面，該驅(qū)動器可以完全替換標(biāo)準(zhǔn)總線驅(qū)動器。在這種情況下，標(biāo)準(zhǔn)總線 驅(qū)動器被經(jīng)過修改的驅(qū)動器替換，該經(jīng)過修改的驅(qū)動器除了標(biāo)準(zhǔn)功能以外還實施該方法的 方面或該方法的部分。也可以使用在邏輯上被布置在標(biāo)準(zhǔn)驅(qū)動器之下的附加的驅(qū)動器，使 得到達標(biāo)準(zhǔn)驅(qū)動器的信息以經(jīng)過過濾的方式被轉(zhuǎn)交。同樣可以采用在邏輯上被布置在標(biāo)準(zhǔn) 驅(qū)動器之上的附加的驅(qū)動器，使得信息以經(jīng)過過濾的方式被轉(zhuǎn)交給該系統(tǒng)。對此的前提是 針對每個連接到所述接口上的設(shè)備使用特定的設(shè)備驅(qū)動器。在可替換的實施方式中，以面向中斷或面向輪詢的方式控制以下軟件進程所述 軟件進程連續(xù)地監(jiān)控接口上的通信，以便檢測不允許的攻擊。這樣被安裝在系統(tǒng)上的監(jiān)控實體監(jiān)控哪些設(shè)備被連接在具有即插即用能力的接 頭上。上面列舉的計分系統(tǒng)和由此得出的動作應(yīng)當(dāng)是可配置的，優(yōu)選地也可以遠程地由 存在到其的網(wǎng)絡(luò)連接的另一系統(tǒng)來配置。在另一實施形式中，所述用于計分的各個準(zhǔn)則不是被單獨地被計算并且被相加， 而是彼此相關(guān)聯(lián)。例如準(zhǔn)則“識別和去除的(在時間上的)相符”與“設(shè)備路徑”一起用于 確定設(shè)備在正面或者在背面曾被替換。


圖1示出了用于標(biāo)準(zhǔn)鍵盤驅(qū)動器的驅(qū)動器略圖。圖2示出了具有經(jīng)過修改的USB驅(qū)動棧(USBD，USB-Driver Stack)驅(qū)動器的驅(qū)動 器略圖。圖3示出了具有處于USBD驅(qū)動器之下的驅(qū)動器的驅(qū)動器略圖。
6
圖4示出了具有處于USBD驅(qū)動器之上的被構(gòu)造成經(jīng)過修改的鍵盤驅(qū)動器的驅(qū)動 器的驅(qū)動器略圖。
具體實施例方式盡管下面主要深入探討USB接頭，但是大多數(shù)規(guī)則也可以應(yīng)用于其它的接頭。圖1示出了如用在Windows操作系統(tǒng)中的驅(qū)動器模型的分層結(jié)構(gòu)。硬件7可以被 看成是最下面的層，所述硬件7在本情況下被構(gòu)造為鍵盤。在其上構(gòu)造有物理USB總線6， 所述物理USB總線6包括電纜和計算機系統(tǒng)上的USB接頭(芯片組的部分或者單獨的插入 卡)。在此之上布置有硬件抽象層(HAL，Hardware Abstraction Layer)的軟件層5，在該 軟件層5上接著再次布置有制造商特定的USB總線驅(qū)動器。UHCD驅(qū)動器4和OHCD驅(qū)動器 6代表如Intel或者VIA的不同制造商的不同USB芯片實施方式。在其上布置有操作系統(tǒng) 的通用USBD驅(qū)動器2。所述3個驅(qū)動器構(gòu)成USB驅(qū)動棧8。由于在單個USB總線上可以連 接多個設(shè)備，所以各個驅(qū)動器的驅(qū)動器與USB驅(qū)動棧8相連接并且在該USB驅(qū)動棧8上登 記。然后，該驅(qū)動棧根據(jù)對通過該總線獲得的數(shù)據(jù)的標(biāo)識將信息發(fā)送給相對應(yīng)的設(shè)備驅(qū)動 器1 ο圖2現(xiàn)在示出了一種可替換的實施形式，其中USBD驅(qū)動器2a已經(jīng)被修改。圖3 示出了一種可替換的實施形式，其中經(jīng)過修改的驅(qū)動器處于USBD驅(qū)動器之下。在這種情況 下，OHCD驅(qū)動器3a和UHCD驅(qū)動器4a已經(jīng)被修改。圖4示出了經(jīng)過修改的鍵盤驅(qū)動器la。 在該方案中應(yīng)注意，可以給所有可能的設(shè)備提供經(jīng)過修改的驅(qū)動器。附圖標(biāo)記列表
1.鍵盤驅(qū)動器
la.經(jīng)過修改的鍵盤驅(qū)動器
2. USBD驅(qū)動器(總線驅(qū)動器)
2a經(jīng)過修改的USBD驅(qū)動器
3 OHCD驅(qū)動器
3a經(jīng)過修改的OHCD驅(qū)動器
4 miCD驅(qū)動器
4a經(jīng)過修改的UHCD驅(qū)動器
5 HAL (硬件抽象層)
6 USB總線(通用串行總線)
7鍵盤(硬件)
8 USB驅(qū)動棧
權(quán)利要求
一種用于識別對計算機系統(tǒng)、尤其是自助服務(wù)式自動機的至少一個接口的攻擊的方法，其包括 監(jiān)控所述接口，以便確定所述接口處的改變； 如果出現(xiàn)改變，則根據(jù)所述改變的類型確定對所述接口的不允許的攻擊的概率； 如果所述概率處于所限定的閾值之上，則采取防御措施。
2.根據(jù)前一權(quán)利要求所述的方法，其中，所述防御措施包括下列處理方式中的一個或 多個制訂日志條目；自動關(guān)閉該計算機系統(tǒng)；給目標(biāo)系統(tǒng)或者目標(biāo)人員發(fā)送警告消息；停 用所述接口 ；停用新近連接的設(shè)備；切換到安全模式。
3.根據(jù)前述權(quán)利要求的一個或多個所述的方法，其中，在計算所述概率時考慮下列事 件的一個或多個連接在所述接口上的設(shè)備的序列號的容許性；所連接的設(shè)備的制造商產(chǎn)品組合的容許 性；設(shè)備類別的容許性；來自一個設(shè)備類別的設(shè)備的容許的數(shù)目；設(shè)備路徑或連接形式；在 所述接口上去除和連接設(shè)備之間的時間間隔；在所述接口上連接或者去除設(shè)備的時間；計 算機系統(tǒng)在所述接口上連接或者去除設(shè)備時所處的模式、如客戶運行或者服務(wù)模式。
4.根據(jù)前一權(quán)利要求所述的方法，其中，與每個事件相關(guān)有優(yōu)選地可調(diào)節(jié)的分值，并且 所述事件被相加，使得根據(jù)總和能夠檢查是否已超過閾值，以便接著采取防御措施。
5.根據(jù)前述權(quán)利要求的一個或多個所述的方法，其中，計算機系統(tǒng)是自助服務(wù)系統(tǒng)、尤 其是自動柜員機和/或飲料自動銷售機。
6.根據(jù)前一權(quán)利要求所述的方法，其中，所述自助服務(wù)系統(tǒng)允許客戶運行和維護運行， 其中根據(jù)運行類型，一個或多個閾值和/或概率是不同的。
7.根據(jù)前述權(quán)利要求的一個或多個所述的方法，其中，所述接口是下列內(nèi)容中的一個 或多個，其中包括技術(shù)后繼物串行接口、并行接口、串行總線接口、并行總線接口、網(wǎng)絡(luò)、無線電網(wǎng)絡(luò)接口、光網(wǎng)絡(luò)接 口、有線網(wǎng)絡(luò)接口、IEEE 1394、火線、IEEE 1284、LAN、WLAN、藍牙、PS/2、RS232。
8.根據(jù)前一權(quán)利要求所述的方法，其中，所述接口具有觸發(fā)對該計算機系統(tǒng)的自動動 作的即插即用功能。
9.根據(jù)前述權(quán)利要求的一個或多個所述的方法，其中，該方法或該方法的部分由所述 接口的驅(qū)動器來實施，所述驅(qū)動器具有下列特性中的一個或多個由經(jīng)過修改的驅(qū)動器替 換標(biāo)準(zhǔn)接口驅(qū)動器，所述經(jīng)過修改的驅(qū)動器除了現(xiàn)有功能以外還實施該方法或該方法的部 分；在邏輯上被布置在標(biāo)準(zhǔn)驅(qū)動器之下的附加的驅(qū)動器，使得到達標(biāo)準(zhǔn)驅(qū)動器的信息以經(jīng) 過過濾的方式被轉(zhuǎn)交；在邏輯上被布置在標(biāo)準(zhǔn)驅(qū)動器之上的附加的驅(qū)動器，使得信息以經(jīng) 過過濾的方式被轉(zhuǎn)交給系統(tǒng)。
10.根據(jù)前述權(quán)利要求的一個或多個所述的方法，其中，軟件進程連續(xù)地監(jiān)控所述接口 上的通信，以便檢測不允許的攻擊。
11.一種具有至少一個接口的計算機系統(tǒng)、尤其是自助服務(wù)式自動機，其包括用于監(jiān)控所述接口以便確定所述接口處的改變的裝置；如果出現(xiàn)改變，則根據(jù)所述改變的類型通過計算器確定對所述接口的不允許的攻擊的 概率；如果所述概率處于所限定的閾值之上，則通過其它裝置采取防御措施。
12.根據(jù)前一權(quán)利要求所述的計算機系統(tǒng)，其中，通過所述其它裝置采取防御措施，所 述防御措施包括下列處理方式中的一個或多個在數(shù)據(jù)載體上制訂日志條目；自動關(guān)閉該 計算機系統(tǒng)；通過網(wǎng)絡(luò)給目標(biāo)系統(tǒng)或者目標(biāo)人員發(fā)送警告消息；停用所述接口 ；停用新近 連接的設(shè)備；切換到安全模式。
13.根據(jù)前述計算機系統(tǒng)權(quán)利要求的一個或多個所述的計算機系統(tǒng)，其中，該計算機系 統(tǒng)在計算所述概率時考慮下列事件的一個或多個連接在所述接口上的設(shè)備的序列號的容 許性；所連接的設(shè)備的制造商產(chǎn)品組合的容許性；設(shè)備類別的容許性；來自一個設(shè)備類別 的設(shè)備的容許的數(shù)目；設(shè)備路徑或連接形式；在所述接口上去除和連接設(shè)備之間的時間間 隔；在所述接口上連接或者去除設(shè)備的時間；該計算機系統(tǒng)在所述接口上連接或者去除設(shè) 備時所處的模式、如客戶運行或者服務(wù)模式。
14.根據(jù)前一計算機系統(tǒng)權(quán)利要求所述的計算機系統(tǒng)，其中，與每個事件相關(guān)有優(yōu)選地 可調(diào)節(jié)的分值，所述分值能夠被存在存儲器系統(tǒng)上，并且計算器將事件相加，使得根據(jù)總和 能夠檢查是否已超過閾值，以便接著采取防御措施。
15.根據(jù)前述計算機系統(tǒng)權(quán)利要求的一個或多個所述的計算機系統(tǒng)，其中，該計算機系 統(tǒng)是自助服務(wù)系統(tǒng)、尤其是自動柜員機和/或飲料自動銷售機。
16.根據(jù)前一計算機系統(tǒng)權(quán)利要求所述的計算機系統(tǒng)，其中，自助服務(wù)系統(tǒng)具有用于切 換到分別涉及安全性的度量的運行模式和維護模式中的裝置，其中根據(jù)運行類型，一個或 者多個閾值和/或概率是不同的。
17.根據(jù)前述計算機系統(tǒng)權(quán)利要求的一個或多個所述的計算機系統(tǒng)，其中，所述接口是 下列內(nèi)容中的一個或多個，其中包括技術(shù)后繼物串行接口、并行接口、串行總線接口、并行 總線接口、網(wǎng)絡(luò)接口、無線電網(wǎng)絡(luò)接口、光網(wǎng)絡(luò)接口、有線網(wǎng)絡(luò)接口、IEEE 1394、火線、IEEE 1284、LAN、WLAN、藍牙、PS/2、RS232。
18.根據(jù)前述計算機系統(tǒng)權(quán)利要求的一個或多個所述的計算機系統(tǒng)，其包括所述接口 的驅(qū)動器，所述驅(qū)動器具有下列特性中的一個或多個由經(jīng)過修改的驅(qū)動器替換標(biāo)準(zhǔn)接口 驅(qū)動器，所述經(jīng)過修改的驅(qū)動器除了現(xiàn)有功能以外還實施該方法或者該方法的部分；在邏 輯上被布置在標(biāo)準(zhǔn)驅(qū)動器之下的附加的驅(qū)動器，使得到達標(biāo)準(zhǔn)驅(qū)動器的信息以經(jīng)過過濾的 方式被轉(zhuǎn)交；在邏輯上被布置在標(biāo)準(zhǔn)驅(qū)動器之上的附加的驅(qū)動器，使得信息以經(jīng)過過濾的 方式被轉(zhuǎn)交給該系統(tǒng)。
19.根據(jù)前述計算機系統(tǒng)權(quán)利要求的一個或多個所述的計算機系統(tǒng)，其包括一種包含 軟件進程的設(shè)備，所述軟件進程連續(xù)地監(jiān)控所述接口上的通信，以便檢測不允許的攻擊。
全文摘要
一種用于識別對計算機系統(tǒng)、尤其是自助服務(wù)式自動機的至少一個接口的攻擊的方法，其包括監(jiān)控所述接口，以便確定所述接口處的改變；如果出現(xiàn)改變，則根據(jù)所述改變的類型確定對所述接口的不允許的攻擊的概率；如果所述概率處于所限定的閾值之上，則采取防御措施。
文檔編號G06F21/55GK101965571SQ200980106736
公開日2011年2月2日 申請日期2009年2月25日 優(yōu)先權(quán)日2008年3月11日
發(fā)明者B·里希特, C·馮德利佩 申請人:溫科尼克斯多夫國際有限公司