ES2550501B1

ES2550501B1 - Detección y respuesta a acceso no autorizado a un dispositivo de comunicación

Info

Publication number: ES2550501B1
Application number: ES201590028A
Authority: ES
Inventors: Rhett Smith; Colin Gordon
Original assignee: Schweitzer Engineering Laboratories Inc
Current assignee: Schweitzer Engineering Laboratories Inc
Priority date: 2012-10-12
Filing date: 2013-10-03
Publication date: 2016-11-29
Anticipated expiration: 2033-10-03
Also published as: WO2014058699A1; AU2013329593A1; MX2015002627A; ES2550501A2; BR112015007828A2; US9130945B2; ES2550501R1; CA2885182A1; US20140109182A1

Abstract

Detección y respuesta a acceso no autorizado a un dispositivo de comunicación.#Una pasarela de comunicación congruente con la presente revelación puede detectar un acceso físico o electrónico no autorizado e implementar acciones de seguridad en respuesta al mismo. Una pasarela de comunicación puede proporcionar un trayecto de comunicación a un dispositivo electrónico inteligente (IED), usando un puerto de comunicaciones del IED configurado para comunicarse con el IED. La pasarela de comunicación puede incluir un puerto de detección de intrusión física y un puerto de red. La pasarela de comunicación puede además incluir lógica de control configurada para evaluar una señal de detección de intrusión física. La lógica de control puede ser configurada para determinar que la señal de detección de intrusión física es indicativa de un intento de obtener acceso no autorizado a uno entre la pasarela de comunicación, el IED y un dispositivo en comunicación con la pasarela; y emprender una acción de seguridad en base a la determinación de que la indicación es indicativa del intento de obtener acceso no autorizado.

Description

5

10

15

20

25

30

35

componentes, materiales, etc. Ademas, en algunos casos, estructuras, materiales u operaciones bien conocidos pueden no ser mostrados o descritos en detalle, a fin de evitar oscurecer aspectos de la revelacion. Ademas, las caracteristicas, estructuras o caracteristicas descritas pueden ser combinadas de cualquier forma adecuada en una o mas realizaciones alternativas.

DESCRIPCION DETALLADA

La presente revelacion proporciona sistemas y procedimientos para detectar y responder al acceso no autorizado a un dispositivo de comunicacion. De acuerdo a diversas realizaciones, el dispositivo de comunicacion puede estar configurado para la comunicacion segura con uno o mas dispositivos electronicos inteligentes (IED), un sistema de control supervisor y adquisicion de datos (SCADA) y / o una red de comunicacion. Los IED pueden estar configurados para monitorizar una parte de un sistema de suministro de energia electrica, y proporcionar control al sistema de suministro de energia electrica. De acuerdo a diversos algoritmos de protection y control, los IED pueden estar configurados para comunicarse con otros IED, controladores, sistemas de adquisicion de datos y / o similares.

Los IED pueden estar situados cerca de centros de control, en subestaciones, o pueden estar distribuidos en el sistema de suministro de energia electrica. Por ejemplo, los IED pueden estar situados cerca de equipos primarios en lmeas de transmision o distribution, alejadas de la subestacion. En una realization, el IED puede ser un control restablecedor en comunicacion con, y proporcionando proteccion y control a, un restablecedor. El restablecedor puede estar situado en sitio remoto de la subestacion. El IED puede estar dispuesto, por ejemplo, en un armario u otra carcasa montada sobre un poste de energia.

Los equipos situados remotamente, asociados a un sistema de suministro de energia electrica, plantean un riesgo de seguridad en cuanto a que usuarios no autorizados pueden ser capaces de obtener acceso fisico a un recinto que contiene tales equipos. Si bien los recintos estan habitualmente asegurados de forma fisica, usando cerrojos, cercos u otras barreras, tales barreras pueden ser superadas por un usuario no autorizado con suficiente motivation. Los equipos almacenados dentro de un recinto pueden incluir botones, interfaces hombre-maquina y otros mecanismos para cambiar configuraciones asociadas al equipo. Ademas, las comunicaciones pueden ser descifradas dentro de un armario, edificio u otro recinto que contenga equipos asociados a un sistema de suministro de energia electrica. Esto puede ser verdad, en particular, alli donde se usan sistemas heredados que

5

10

15

20

25

30

35

no prestan soporte en forma nativa a la comunicacion cifrada. En consecuencia, un usuario no autorizado con acceso fisico a un canal de comunicacion no cifrado puede presentar significativas preocupaciones de seguridad.

Un posible remedio es colocar una pasarela de comunicacion en el armario con el IED. El IED puede ser configurado para comunicarse solamente con la pasarela de comunicacion, la cual, a su vez, puede comunicarse con el controlador, el sistema de adquisicion de datos o similares. La pasarela de comunicacion puede ser configurada para cifrar las comunicaciones con el controlador, el sistema de adquisicion de datos y similares; sin embargo, si el armario esta afectado, la pasarela de comunicaciones y / o los IED pueden quedar vulnerables al ataque.

Las comunicaciones entre los IED en un sistema de suministro de energia electrica pueden ser habitualmente comunicaciones fiables. Segun se usa el termino en la presente memoria, una comunicacion fiable se refiere a un mensaje que incluye indicios de confianza. Los indicios de confianza pueden incluir, pero no se limitan a, un identificador reconocido en el mensaje que esta asociado a un origen fiable, un trayecto o puerto de comunicacion fiable desde el cual se recibe el mensaje, un nodo autenticado que despacho el mensaje, un mensaje cifrado capaz de ser descifrado usando una tecnica (p. ej., criptografia de clave publica / privada) o un mensaje que incluye criterios de autenticacion. Por supuesto, tambien pueden ser utilizados otros indicios de confianza con relacion a diversas realizaciones, congruentes con la presente revelacion.

De acuerdo a diversas realizaciones reveladas en la presente memoria, una pasarela de comunicaciones incluye la detection del acceso fisico, para detectar cuando es abierto un recinto y / o es objeto de acceso fisico de otro modo. La pasarela de comunicaciones puede ademas ser configurada para emprender ciertas etapas cuando se detecta un acceso no autorizado a un recinto. Por ejemplo, de acuerdo a algunas realizaciones, las comunicaciones recibidas desde la pasarela despues de una deteccion de acceso fisico no autorizado pueden no ser fiables ya. En consecuencia, ciertas acciones o comandos pueden ser selectivamente descartados como resultado de la naturaleza no fiable de las comunicaciones. De acuerdo a algunas realizaciones, las comunicaciones desde una pasarela de comunicaciones que ha sido objeto de acceso sin autorizacion pueden ser bloqueadas enteramente. La pasarela de comunicacion puede ademas ser configurada para registrar todas las comunicaciones despues de que haya sido detectado un acceso fisico no autorizado.

5

10

15

20

25

30

35

La referencia en toda la extension de esta memoria descriptiva a "una realization” significa que un rasgo, estructura o caracteristica espedficos, descritos con relation a la realizacion, esta incluido en al menos una realizacion. De tal modo, las apariciones de la frases "en una realizacion” en diversos lugares en toda la extension de esta memoria descriptiva no necesariamente estan todas refiriendose a la misma realizacion. En particular "una realizacion” puede ser un sistema, un articulo de fabrication (tal como un medio de almacenamiento legible por ordenador), un procedimiento y / o un producto de un proceso.

Las frases "conectado con” y "en comunicacion con” se refieren a cualquier forma de interaction entre dos o mas componentes, incluyendo la interaction mecanica, electrica, magnetica y electromagnetica. Dos componentes pueden estar conectados entre si, incluso aunque no esten en contacto directo entre si, e incluso aunque pueda haber dispositivos intermedios entre los dos componentes. Por ejemplo, un IED puede estar conectado con un administrador de sesiones de pasarela a traves de uno o mas IED intermedios o dispositivos de red. Tales redes pueden ser modeladas como estructuras arboladas, como es comun en la tecnica.

Segun se usa en la presente memoria, el termino IED puede referirse a cualquier dispositivo basado en microprocesadores que monitoriza, controla, automatiza y / o protege equipos monitorizados dentro de un sistema. Tales dispositivos pueden incluir, por ejemplo, unidades terminales remotas, reles diferenciales, reles a distancia, reles direccionales, reles alimentadores, reles de exceso de corriente, controles reguladores de voltaje, reles de voltaje, reles de fallo de interruptor, reles generadores, reles de motor, controladores de automatization, controladores de compartimiento, contadores, controles restablecedores, procesadores de comunicaciones, plataformas de calculo, controladores logicos programables (PLC), controladores de automatizacion programables, modulos de entrada y salida, controladores de motores y similares. Los IED pueden estar conectados con una red, y la comunicacion en la red puede ser facilitada por dispositivos de formation de redes, que incluyen, pero no se limitan a, multiplexadores, encaminadores, concentradores, pasarelas, cortafuegos y conmutadores. Ademas, los dispositivos de formacion de redes y de comunicacion pueden estar incorporados en un IED o pueden estar en comunicacion con un IED. El termino IED puede ser usado de manera intercambiable para describir un IED individual o un sistema que comprende multiples IED.

Segun se usa en la presente memoria, el termino "credenciales de inicio de sesion” puede referirse a cualquier tipo de procedimiento de autenticacion conocido como util en la tecnica.

5

10

15

20

25

30

35

Por ejemplo, las credenciales de inicio de sesion se refieren normalmente a una combination de nombre de usuario y contrasena, codificados en ASCII; en consecuencia, los terminos “credenciales de inicio de sesion” y "nombre de usuario y contrasena(s)” pueden ser usados de manera intercambiable en la presente memoria. Sin embargo, el nombre de usuario y la(s) contrasena(s) pueden ser reemplazados por cualquiera entre una amplia variedad de protocolos de autenticacion y / o tecnicas que incluyen protocolos criptograficos para maquinas de autenticacion, procedimientos de reto-respuesta, pruebas de conocimiento nulo, contrasenas de uso unico sincronizadas en el tiempo, testigos de seguridad, autenticacion biometrica, contrasenas graficas u otras, no basadas en texto, autenticacion vocal y similares.

Algo de la infraestructura que puede ser usada con las realizaciones reveladas en la presente memoria ya esta disponible, tal como: ordenadores de proposito general, herramientas y tecnicas de programacion de ordenadores, medios de almacenamiento digital y redes de comunicaciones. Un ordenador puede incluir un procesador, tal como un microprocesador, un micro-controlador, circuitos logicos o similares. El procesador puede incluir un dispositivo de procesamiento de proposito especial, tal como un ASIC, PAL, PLA, PLD, Formation de Compuertas Programables en el Terreno u otro dispositivo personalizado o programable. El ordenador tambien puede incluir un dispositivo de almacenamiento legible por ordenador, tal como memoria no volatil, memoria RAM estatica, memoria RAM dinamica, ROM, CD-ROM; disco, cinta, memoria magnetica, optica o flash, u otro medio de almacenamiento legible por ordenador.

Las redes adecuadas para la configuration y / o el uso, segun lo descrito en la presente memoria, incluyen una o mas redes de area local, redes de area amplia, redes de area metropolitana y / o redes de “Internet” o del protocolo de Internet (IP), tales como la Maxima Malla Mundial, una Internet privada, una Internet segura, una red de valor anadido, una red privada virtual, una extranet, una intranet, o incluso maquinas autonomas que se comunican con otras maquinas por el transporte fisico de medios. En particular, una red adecuada puede ser formada a partir de partes o totalidades de otras dos o mas redes, incluyendo redes que usan tecnologias disimiles de hardware y de comunicacion de redes. Una red puede incorporar lmeas terrestres, comunicacion inalambrica y combinaciones de las mismas.

La red puede incluir software de comunicaciones o de formacion de redes, tal como software disponible a partir de Novell, Microsoft, Artisoft y otros proveedores, y puede funcionar

5

10

15

20

25

30

35

usando TCP/IP, SPX, IPX, RS-232 y otros protocolos, sobre pares cruzados, cables coaxiales o de fibra optica, lmeas telefonicas, satelites, reles de microondas, lmeas de energia de Corriente Alterna modulada, transferencia de medios fisicos y / u otros medios de transmision de datos. La red puede abarcar redes mas pequenas y / o puede ser conectable con otras redes mediante una pasarela o mecanismo similar.

Aspectos de ciertas realizaciones descritas en la presente memoria pueden ser implementadas como modulos o componentes de software. Segun se usa en la presente memoria, un modulo o componente de software puede incluir cualquier tipo de instruccion de ordenador o codigo ejecutable por ordenador, situado dentro, o en, un medio de almacenamiento legible por ordenador. Un modulo de software, por ejemplo, puede comprender uno o mas bloques fisicos o logicos de instrucciones de ordenador, que pueden estar organizadas como una rutina, un programa, un objeto, un componente, una estructura de datos, etc., que realiza una o mas tareas o implementa tipos espedficos de datos abstractos.

En ciertas realizaciones, un modulo de software espedfico puede comprender instrucciones disimiles almacenadas en distintas ubicaciones de un medio de almacenamiento legible por ordenador, que implementan conjuntamente la funcionalidad descrita del modulo. En efecto, un modulo puede comprender una unica instruccion o muchas instrucciones, y puede estar distribuido sobre varios segmentos distintos de codigo, entre distintos programas y entre varios medios de almacenamiento legibles por ordenador. Algunas realizaciones pueden ser puestas en practica en un entorno informatico distribuido donde las tareas son realizadas por un dispositivo de procesamiento remoto enlazado a traves de una red de comunicaciones. En un entorno informatico distribuido, los modulos de software pueden estar situados en medios de almacenamiento legibles por ordenador, locales y / o remotos. Ademas, los datos ligados o representados conjuntamente en un registro de base de datos pueden ser residentes en el mismo medio de almacenamiento legible por ordenador, o entre varios medios de almacenamiento legibles por ordenador, y pueden estar enlazados entre si en campos de un registro en una base de datos sobre una red.

Los modulos de software descritos en la presente memoria realizan tangiblemente programas, funciones y / o instrucciones que son ejecutables por uno o mas ordenadores para realizar tareas segun lo descrito en la presente memoria. El software adecuado, segun sea aplicable, puede ser proporcionado usando las divulgaciones presentadas en la presente memoria y lenguajes y herramientas de programacion, tales como XML, Java,

5

10

15

20

25

30

35

Pascal, C++, C, lenguajes de base de datos, API, SDK, ensambladores, firmware, micro- codigo y / u otros lenguajes y herramientas. Adicionalmente, el software, el firmware y el hardware pueden ser usados de forma intercambiable para implementar una funcion dada.

En algunos casos, caracteristicas, estructuras u operaciones bien conocidas no se muestran o describen en detalle. Ademas, las caracteristicas, estructuras u operaciones descritas pueden ser combinadas de cualquier manera adecuada en una o mas realizaciones. Tambien se entendera inmediatamente que los componentes de las realizaciones, segun lo generalmente descrito e ilustrado en las figuras en la presente memoria, podrian ser dispuestos y disenados en una amplia variedad de configuraciones distintas. Todas las configuraciones de ese tipo estan incluidas dentro del ambito de la presente revelacion.

Las realizaciones de la revelacion seran optimamente entendidas por referencia a los dibujos, en los que las partes iguales estan indicadas por numeros iguales en toda su extension. Los componentes de las realizaciones reveladas, segun lo generalmente descrito e ilustrado en las figuras en la presente memoria, podrian ser dispuestos y disenados en una amplia variedad de configuraciones distintas. De tal modo, la siguiente descripcion detallada de las realizaciones de los sistemas y procedimiento de la revelacion no esta concebida para limitar el ambito de la revelacion, segun lo reivindicado, sino que es meramente representativa de posibles realizaciones. En otros casos, estructuras, materiales u operaciones bien conocidos no se muestran o describen en detalle para evitar oscurecer aspectos de esta revelacion. Ademas, las etapas de un procedimiento no necesariamente deben ser ejecutados en algun orden espedfico, o incluso secuencialmente, ni las etapas deben ser ejecutadas solamente una vez, a menos que se especifique lo contrario.

La Figura 1 ilustra un diagrama unifilar simplificado de un sistema de suministro de energia electrica 100 y los IED asociados 104, 106, 115 y 170, congruente con ciertas realizaciones reveladas en la presente memoria. El sistema 100 incluye diversas subestaciones y los IED 104, 106, 108, 115 y 170, configurados para realizar diversas funciones. El sistema 100 esta proporcionado con fines ilustrativos y no implica ninguna disposicion o funcion espedfica, requerida a cualquier IED espedfico. En algunas realizaciones, los IED 104, 106, 108, 115 y 170 pueden ser configurados para monitorizar y comunicar informacion, tal como voltajes, corrientes, estado de equipos, temperatura, frecuencia, presion, densidad, absorcion infrarroja, informacion de frecuencia de radio, presiones parciales, viscosidad, velocidad, velocidad de rotacion, masa, estado de conmutacion, estado de valvulas, estado de interruptores de circuitos, estado de tomas, lecturas de contadores y similares. Ademas, los IED 104, 106, 108, 115 y 170 pueden ser configurados para comunicar calculos, tales como

5

10

15

20

25

30

35

fasores (que pueden o no estar sincronizados como sincro-fasores), sucesos, distancias de fallos, diferenciales, impedancias, reactancias, frecuencias y similares.

El sistema de suministro de ene^a electrica 100 ilustrado en la Figura 1 puede incluir una subestacion de generation 111. La subestacion 111 puede incluir los generadores 110 y 112, que estan conectados con un bus 118 mediante los transformadores incrementales 120 y 122. El bus 118 puede estar conectado con el bus 126 en la subestacion 119, mediante la lmea de transmision 124. Aunque los equipos en la subestacion 111 pueden estar monitorizados y / o controlados por diversos IED, solamente se muestra un unico IED 104. El IED 104 puede ser un IED de protection de transformador para el transformador 120. El IED 104 puede estar en comunicacion con un origen horario comun 188 que, segun se indica mas adelante, puede estar distribuido en el sistema 100 usando una red de comunicaciones, o usando un origen horario universal, tal como un sistema de localization global (GPS) o similares. La utilization de un origen horario comun o universal puede asegurar que los IED tengan una senal horaria sincronizada que puede ser usada para generar datos sincronizados en el tiempo, tales como los sincro-fasores.

La subestacion 119 puede incluir un generador 114, que puede ser un generador distribuido, y que puede estar conectado con el bus 126 mediante el transformador incremental 118. El bus 128 puede estar conectado con un bus de distribution 132 mediante un transformador decremental 130. Diversas lmeas de distribucion 136 y 134 pueden estar conectadas con el bus de distribucion 132. La lmea de distribucion 136 puede llevar a la subestacion 141, donde la lmea es monitorizada y / o controlada usando el IED 106, que puede abrir y cerrar selectivamente el interruptor 152. La carga 140 puede ser alimentada desde la lmea de distribucion 136. Ademas, el transformador decremental 144 puede ser usado para decrementar un voltaje para su consumo por la carga 140.

La lmea de distribucion 134 puede llevar a la subestacion 151, y suministrar energia electrica al bus 148. El bus 148 tambien puede recibir energia electrica desde el generador distribuido 116 mediante el transformador 150. La lmea de distribucion 158 puede suministrar energia electrica desde el bus 148 a la carga 138, y puede incluir ademas el transformador decremental 142. El interruptor de circuitos 160 puede ser usado para conectar selectivamente el bus 148 con la lmea de distribucion 134. El IED 108 puede ser usado para monitorizar y / o controlar el interruptor de circuitos 160, asi como la lmea de distribucion 158.

5

10

15

20

25

30

35

Un IED central 170 puede estar en comunicacion con diversos IED 104, 106, 108 y 115, usando una red de comunicaciones de datos. Los IED 104, 106, 108 y 115 pueden ser remotos con respecto al IED central 170. Los IED remotos 104, 106, 108 y 115 pueden comunicarse por diversos medios, tales como una comunicacion directa desde el IED 170 o sobre una red de comunicaciones de area amplia 162. Los IED 104, 106, 108, 115 y 170 pueden estar comunicativamente enlazados entre si usando una red de comunicaciones de datos, y pueden ademas estar comunicativamente enlazados con un sistema de monitorizacion central, tal como un sistema de control supervisor y de adquisicion de datos (SCADA) 182, un sistema de informacion (IS) 190 y / o un sistema de control de area amplia y de percepcion de situaciones (WCSA) 180. La red de comunicaciones de datos entre los IED 104, 106, 108, 115 y 170 puede utilizar una amplia variedad de tecnologias de red, y puede comprender dispositivos de red tales como modems, encaminadores, cortafuegos, servidores de redes privadas virtuales y similares, que no se muestran en la Figura 1.

Los diversos IED en el sistema 100 pueden obtener informacion de energia electrica desde equipos monitorizados, usando transformadores potenciales (PT) para mediciones de voltaje (p. ej., el transformador potencial 156), transformadores de corriente (CT) para mediciones de corriente (p. ej., el transformador de corriente 154) y similares. Los PT y CT pueden incluir a cualquier dispositivo capaz de proporcionar salidas que puedan ser usadas por los IED para hacer mediciones potenciales y de corriente, y pueden incluir los PT y CT tradicionales, los PT y CT opticos, bobinas de Rogowsky, sensores de efecto de sala y similares.

Cada IED puede ser configurado para acceder a un origen horario comun 188. El origen horario comun 188 puede ser distribuido mediante una red de comunicaciones (usando, por ejemplo, el protocolo IEEE-1588, el protocolo NTP o similares), u obtenido localmente en cada IED. El origen horario comun 188 puede ser una hora universal, tal como la suministrada usando satelites del GPW, WWVB, WWV o similares. Un origen horario comun puede ser usado para sincronizar en el tiempo las mediciones del sistema de energia electrica y / o en el calculo de sincro-fasores. Los fasores calculados por los IED pueden incluir un sello horario que indica una hora a la cual fue hecha la medicion.

El IED central 170 tambien puede estar en comunicacion con un cierto numero de otros dispositivos o sistemas. Tales dispositivos o sistemas pueden incluir, por ejemplo, un sistema WCSA 180, un sistema SCADA 182 o una Interfaz Hombre-Maquina (HMI) 187 local. La HMI local 187 puede ser usada para cambiar configuraciones, emitir instrucciones

5

10

15

20

25

30

35

de control, recuperar un informe de suceso, recuperar datos y similares. En algunas realizaciones, el sistema WCSA 180 puede recibir y procesar los datos alineados en el tiempo, y puede coordinar acciones de control sincronizadas en el tiempo al mas alto nivel del sistema de suministro de energia electrica 100. El dispositivo de almacenamiento masivo 184 puede almacenar datos referidos al sistema 100 desde los IED 104, 106, 108, 115 y 170.

El IED central 170 puede ademas incluir una entrada horaria, que puede recibir una senal horaria desde un origen horario central de IED 186. El origen horario central de IED 186 tambien puede ser usado por el IED central 170 para information y datos de sellos horarios. La sincronizacion en el tiempo puede ser util para la organization de los datos y la toma de decisiones en tiempo real, asi como el analisis posterior a sucesos. La sincronizacion en el tiempo puede ademas ser aplicada a las comunicaciones de red. En ciertas realizaciones, el origen horario central de IED 186 y el origen horario comun 177 pueden ser el mismo origen horario. El origen horario comun 188 puede ser cualquier origen horario que sea una forma aceptable de sincronizacion en el tiempo, incluyendo, pero sin limitarse a, un oscilador de cristal compensado en temperatura y controlado por voltaje, osciladores de Rubidio y Cesio, con o sin bucles bloqueados en fase digital, tecnologia de sistemas micro-electromecanicos (MEMS), que transfiere los circuitos resonantes desde los dominios electronicos a los mecanicos, o un receptor del GPS con descodificacion horaria. A falta de un origen horario comun disponible para todos los IED, el IED central 170 puede servir como un origen horario comun distribuyendo una senal de sincronizacion en el tiempo.

El sistema de informacion 190 incluye generalmente hardware y software para permitir la comunicacion de redes, la seguridad de redes, la administration de usuarios, la administration de Internet e intranet, el acceso de redes remotas y similares. El sistema de informacion 190 puede generar informacion acerca de la red para mantener y sostener una red de comunicaciones fiable, de calidad y segura, ejecutando logica comercial en tiempo real sobre sucesos de seguridad de redes, realizar diagnosticos de red, optimizar prestaciones de red y similares.

Las comunicaciones de datos entre los IED 104, 106, 108, 115 y 170 pueden ocurrir usando una amplia variedad de protocolos de comunicacion y formatos de datos. De acuerdo a algunas realizaciones, los protocolos de comunicacion y los formatos de datos pueden ser de propiedad industrial en algunos casos, y estandarizados en algunos casos. Los IED 104, 106, 108, 115 y 170 tambien pueden comunicar informacion de configuration, informacion

5

10

15

20

25

30

35

de identification de IED, information de comunicaciones, information de estado, information de alarma y similares.

Los IED 104, 106, 108 y 115 pueden ser desplegados en areas pobladas y, en consecuencia, pueden ser colocados en proximidad fisica con el publico general. Por ejemplo, el sistema 100 puede ser situado en un entorno urbano con una pluralidad de subestaciones 111, 119, 141 y 151 ubicadas por toda una ciudad. En consecuencia, el control del acceso fisico a las subestaciones y a los IED plantea dificultades. Un actor no autorizado puede intentar obtener acceso fisico a las subestaciones 111, 119, 141 y 151 y / o a su equipo constituyente. Tras obtener acceso fisico a una de las subestaciones 111, 119, 141 y 151, los IED en las subestaciones pueden estar expuestos a amenazas tales como pulsation de botones, conexion con puertos de comunicacion o similares.

La obtencion de acceso fisico a los enlaces de comunicacion en las subestaciones 111, 119, 141 y 151 puede permitir a un usuario no autorizado evitar ciertas medidas de seguridad concebidas para impedir el acceso no autorizado a las comunicaciones entre los IED 104, 106, 108, 115 y 170. Las comunicaciones entre los IED 104, 106, 108, 115 y 170 pueden ser habitualmente comunicaciones fiables. En consecuencia, las comunicaciones pretendidamente originadas desde una ubicacion fiable, una red fiable o un origen fiable pueden ser mas facilmente explotadas por un usuario no autorizado para implementar cambios en configuraciones de IED, disparar alarmas o perturbar de otro modo el funcionamiento del sistema 100.

La Figura 2 ilustra un diagrama de bloques simplificado de un sistema 200 para la detection y respuesta a un acceso no autorizado a un IED u otro dispositivo de comunicaciones. Un recinto 204 puede ser usado para confinar diversos dispositivos tales como los IED 206 y 208, el reloj 216 y la pasarela de comunicaciones 220. De acuerdo a algunas realizaciones, el recinto 204 puede comprender un armario montado sobre postes, una estructura autonoma u otro recinto configurado para alojar infraestructura asociada a un sistema de suministro de energia electrica 202.

Los IED 206 y 208 pueden estar en comunicacion electrica con el sistema de suministro de energia electrica 202 para proporcionar protection, control, lecturas y / o automatization al mismo. Los IED 206 y 208 pueden estar en comunicacion con la pasarela de comunicaciones 220, que puede estar en comunicacion segura con el sistema SCADA 240 y / o una red de comunicaciones 246. La pasarela de comunicacion 220 puede incluir un puerto de red 221, que puede estar en comunicacion con el conmutador de red 242. La red

5

10

15

20

25

30

35

de comunicaciones 246 puede facilitar las comunicaciones con otros IED mediante otras pasarelas de comunicaciones. Un conmutador de red puede existir entre la pasarela de comunicacion 220 y la red de comunicacion 246. Otras pasarelas de comunicaciones 244 tambien pueden estar en comunicacion con el conmutador de red 242.

El reloj 216 puede estar en comunicacion con un origen horario comun tal como un sistema global de satelites de navegacion (GNSS), un origen horario (p. ej., un origen horario proporcionado por un GPS), una emision de WWVB o WWV, u otro origen horario comun. El reloj 216 puede proporcionar una senal horaria a la pasarela de comunicacion 220, la cual puede, a su vez, proporcionar una senal horaria a los IED 206 y 208.

Para detectar un acceso no autorizado al recinto 204, la pasarela de comunicacion 220 puede ademas estar en comunicacion con un sensor de puerta 210, configurado para detectar una apertura de una puerta del recinto 204, usando cualquier mecanismo adecuado de detection. En algunas realizaciones, el sensor de puerta 210 puede ser un perno de puerta de armario cableado con una entrada de contacto de la pasarela de comunicacion 220. En realizaciones adicionales, el sensor de puerta 210 puede ser un sensor magnetico o un conmutador de perno a presion, cableado con una entrada de contacto de la pasarela de comunicacion 220. El sensor de puerta 210 puede ser configurado para senalizar a la pasarela de comunicacion 220 si detecta la apertura de una puerta del recinto 204.

Ademas, para detectar el acceso no autorizado al recinto 204, la pasarela de comunicacion 220 puede estar en comunicacion con un foto-detector 212. El foto-detector 212 puede detectar cuando el recinto 204 esta abierto por un cambio en la iluminacion dentro del recinto 204. En ciertas realizaciones, el foto-detector 212 puede ser capaz de detectar cambios en la densidad lummica. El foto-detector 212 puede ser configurado para senalizar a la pasarela de comunicacion 220 cuando se detecta luz.

La pasarela de comunicacion 220 puede estar en comunicacion con un microfono 214. El microfono 214 puede detectar atributos de frecuencia y amplitud, para detectar una alteration fisica, asi como sucesos que ocurren en el sistema de energia. Es decir, el microfono 214 puede detectar sonidos y comunicar senales electricas que representan tales sonidos a la pasarela de comunicacion 220. La pasarela de comunicacion 220 puede incluir atributos sonoros predeterminados tales que puedan permitir a la pasarela de comunicacion 220 diferenciar entre sonidos que significan un acceso fisico no autorizado (tales como cortes de metal o rotura de cerraduras), sonidos que significan sucesos en el sistema de

5

10

15

20

25

30

35

energia electrica (tales como apertura de interruptores, cambio de posicion de tomas y similares), sonidos asociados a un fenomeno natural (tal como la lluvia, el granizo, el trueno, etc.) y sonidos asociados a condiciones ambientales (tales como trafico, bocinas, etc.). En otra realization, el microfono 214 puede ser capaz de diferenciar sucesos distintos, y de senalizar a la pasarela de comunicacion 220 cuando es detectado un sonido correspondiente a un acceso no autorizado. De acuerdo a algunas realizaciones, el sonido detectado por el microfono 214 puede ser transmitido a una estacion monitora central a fin de que un operador pueda escuchar los sonidos y tomar una determination en cuanto a si tales sonidos son o no indicativos de un intento de obtener acceso no autorizado.

La pasarela de comunicacion 220 incluye un acelerometro 218 para detectar el movimiento. El acelerometro 218 puede ser capaz de proporcionar una senal a la pasarela de comunicacion 220, correspondiente al movimiento. De acuerdo a algunas realizaciones, el acelerometro 218 puede comprender un dispositivo externo a la pasarela de comunicacion 220. La pasarela de comunicacion 220 puede usar la senal para detectar cuando esta presente un movimiento correspondiente a un acceso no autorizado. Por ejemplo, impactos fisicos repetidos pueden corresponder a golpear el recinto 204 en un intento de romper una cerradura y obtener acceso. En otra realizacion, el acelerometro 218 detecta fenomenos naturales y / o condiciones ambientales, tales como terremotos o grandes tormentas, que pueden ser retro-alimentados al sistema de control de modo que las operaciones puedan hacer los ajustes adecuados a las configuraciones del sistema de energia. Ademas, algunas realizaciones congruentes con la presente revelation pueden ser montadas en un poste utilitario. Los accidentes automovilisticos pueden dar ocasionalmente como resultado colisiones con postes utilitarios y, en consecuencia, un acelerometro puede ser activado en el caso de que el poste en el cual esta montado el dispositivo sea golpeado por un automovil.

Dado que fenomenos naturales o condiciones ambientales (p. ej., un terremoto o colision de vehiculos puede activar un acelerometro, el trueno puede activar un microfono, etc.) pueden activar uno o mas detectores de intrusiones fisicas, ciertas realizaciones congruentes con la presente revelacion pueden identificar indicaciones alternativas de acceso no autorizado antes de implementar una action de seguridad. De acuerdo a una realizacion, las senales de detection pueden ser comparadas en base a la proximidad fisica de los dispositivos. Por ejemplo, en la medida en que un terremoto activa un acelerometro en una ubicacion, los dispositivos cercanos pueden ser similarmente activados. De manera similar, el clima extremo puede tambien afectar a multiples dispositivos en la misma vecindad geografica, y

5

10

15

20

25

30

35

por tanto una comparacion de information entre tales dispositivos puede proporcionar una indication alternativa de si una senal de detection recibida desde un sistema de detection de intrusiones corresponde a un intento de obtener acceso no autorizado o a fenomenos naturales.

Ademas de monitorizar condiciones fisicas (p. ej., luz, sonido, movimiento, etc.), los patrones en los datos transmitidos a o desde la pasarela de comunicacion 220 tambien pueden ser analizados a fin de determinar intentos de obtener acceso fisico no autorizado. Cuando la pasarela de comunicacion 220 detecta un cambio en la comunicacion en uno de los puertos, puede ser debido a un intento de acceso no autorizado. Por ejemplo, si un medio de comunicacion de un IED es quitado de su puerto, la comunicacion por ese puerto cambiara con respecto a su lmea de referencia. La pasarela de comunicacion 220 puede luego detectar un intento de acceso no autorizado. En consecuencia, la pasarela de comunicacion 220 puede ser configurada para detectar cuando un actor no autorizado desenchufa un cable activo, enchufa otro cable y / o comienza a usar el canal de comunicacion.

La pasarela de comunicacion 220 puede incluir una pluralidad de puertos de comunicacion (p. ej., el puerto de red 221, un puerto para la comunicacion con un sistema SCADA 240, puertos para recibir entrada desde el foto-detector 212, el sensor de puerta 210 y el microfono 214, etc.). Los puertos de comunicacion pueden ser realizados en una amplia variedad de formas, incluyendo puertos en serie, puertos USB, puertos Ethernet, puertos IEEE 1394, etc. De acuerdo a algunas realizaciones, cada uno entre el foto-detector 212, el sensor de puerta 210 y el microfono 214 puede estar en comunicacion con un puerto de comunicacion asociado a la pasarela de comunicacion 220. De acuerdo a otras realizaciones, la pasarela de comunicacion 220 puede incluir diversos sensores (p. ej., microfono, foto-detector, etc.) como componentes integrados. De acuerdo a diversas realizaciones, los elementos configurados para detectar acceso no autorizado pueden ser mencionados como detectores de intrusiones fisicas.

La pasarela de comunicacion 220 puede monitorizar cada uno de sus puertos de comunicaciones, y establecer una lmea de referencia para la comunicacion por cada puerto. Por ejemplo, un puerto en comunicacion con el reloj 216 establecera una lmea de referencia de comunicacion, correspondiente a una senal desde el reloj 216. Los puertos en comunicacion con los IED 206 y 208 pueden establecer una lmea de referencia distinta. Ademas, los puertos que no son usados estableceran otra lmea de referencia mas. Una

5

10

15

20

25

30

35

lmea de referencia puede comprender un cierto numero de factores, tales como el tipo de datos, el volumen de datos, etc. Por ejemplo, una lmea de referencia puede mostrar que un puerto espedfico tiene, historicamente, una muy baja velocidad de transmision de datos. La actividad durante un periodo espedfico puede ser comparada con la lmea de referencia a fin de determinar si tal actividad es congruente con la lmea de referencia o constituye un alejamiento de la lmea de referencia. Un alejamiento significativo de la velocidad historica de datos puede indicar un alejamiento de la lmea de referencia y, en consecuencia, puede sugerir una condicion anormal, tal como un acceso no autorizado.

Puede utilizarse una amplia variedad de tecnicas a fin de determinar que un actor no autorizado ha comenzado a usar el canal de comunicacion. Por ejemplo, la autenticacion de direcciones de MAC puede ser una manera de determinar la presencia de un dispositivo recientemente conectado. Cuando se hacen cambios autorizados, una direccion de MAC asociada al dispositivo a anadir puede ser especificada de antemano, de modo que las indicaciones del dispositivo autorizado recientemente anadido sean aceptadas y no den origen a una indicacion de acceso no autorizado. De acuerdo a otras realizaciones, los criterios tales como las direcciones de IP, los protocolos de comunicaciones, los numeros de puertos de comunicacion, etc., pueden ser usados a fin de detectar un dispositivo no autorizado recientemente anadido. Mas aun, las tecnologias tales como USB, IEEE 1394, eSATA y similares pueden ser usadas para reconocer cuando son conectados nuevos dispositivos a un sistema por primera vez. Los dispositivos conectados usando USB, IEEE 1394 y eSATA, y tecnologias similares, pueden ser denominados dispositivos perifericos. Si la conexion de un dispositivo de ese tipo es inesperada, el dispositivo recientemente conectado puede ser designado como un dispositivo no autorizado y pueden ser emprendidas una o mas acciones de seguridad.

En consecuencia, la pasarela de comunicacion 220 puede incluir varios procedimientos para detectar un acceso fisico no autorizado. La pasarela de comunicacion 220 puede ser configurable para minimizar las falsas detecciones positivas, requiriendo mas de una senal que indique un acceso no autorizado. De acuerdo a una realizacion, la pasarela de comunicacion 220 puede requerir al menos dos senales (p. ej., una senal tanto del sensor de puerta como del foto-detector) para determinar un acceso fisico no autorizado. En otra realizacion, la pasarela de comunicacion 220 puede requerir ciertas combinaciones de senales para determinar un acceso fisico no autorizado.

Una vez que es detectado un acceso fisico no autorizado, la pasarela de comunicaciones

5

10

15

20

25

30

35

220 puede emprender una o mas acciones. En una realization, la pasarela de comunicacion 220 puede tener la capacidad de configurar un perfil normal de ciber-seguridad y un perfil elevado de ciber-seguridad. En base a la detection de un ciber-ataque o una alteration fisica, la pasarela de comunicacion 220 puede ajustar el perfil automaticamente como perfil elevado. Por ejemplo, si el sensor de puerta determina que la puerta ha sido abierta, y no hay pedidos de trabajo planificado para ese armario, el perfil de ciber-seguridad puede avanzar al estado elevado desde el estado normal, en un intento de restringir un compromiso adicional del sistema mayor.

En una realizacion, cuando la pasarela de comunicaciones 220 detecta un acceso no autorizado, puede alertar a los dispositivos de red flujo arriba (tales como el conmutador de red 242, la pasarela de comunicaciones 244 y la red de comunicaciones 246) en cuanto a que las comunicaciones desde el recinto 204 no pueden ya ser fiables, y poner en cuarentena todas las comunicaciones desde el recinto 204 y / o los dispositivos flujo arriba desde el recinto 204. Una alerta de ese tipo puede ser generada en cuanto sea detectado el acceso no autorizado, y la ciber-respuesta puede ser configurable en el dispositivo de comunicacion flujo arriba, para terminar todas las comunicaciones, registrar todo el trafico y / o continuar las operaciones habituales pero alertar a los dispositivos flujo arriba en cuanto al acceso no autorizado.

La pasarela de comunicacion 220 puede ser capaz de prevalencia supervisora, de acuerdo a ciertas realizaciones congruentes con la presente revelation. Es decir, si esta planificado el acceso autorizado al recinto 204, la deteccion de accesos no autorizados puede ser suspendida temporalmente. Ademas, las respuestas al acceso fisico no autorizado pueden ser suspendidas temporalmente. Tal prevalencia puede ser lograda mediante un sistema SCADA o el acceso de ingenieria, de acuerdo a diversas realizaciones. Una prevalencia puede ser adecuada alli donde un suceso no planificado requiere acceso fisico a un recinto. De acuerdo a un ejemplo, una prevalencia puede ser adecuada en un caso donde un vehiculo ha chocado con el poste utilitario sobre el cual esta ubicado un recinto. El personal de mantenimiento puede prevalecer sobre una action de seguridad a fin de permitir que una parte del sistema de suministro de energia electrica sea descargada mientras se aborda el accidente.

De acuerdo a la realizacion ilustrada en la Figura 2, la pasarela de comunicacion 220 puede ser fisicamente distinta a los IED 208 y 208; sin embargo, de acuerdo a realizaciones alternativas, cierta funcionalidad asociada a la pasarela de comunicacion 220 puede ser

5

10

15

20

25

30

35

incorporada a un IED. De acuerdo a tales realizaciones, un IED puede comprender una pluralidad de puertos configurados para recibir entrada desde sensores de diversos tipos (p. ej., microfono, un sensor de puerta, un foto-detector, un acelerometro, etc.). Ademas, un IED de ese tipo puede comprender puertos configurados para la comunicacion con una red y / o un sistema SCADA.

La Figura 3A ilustra una representation conceptual de un sistema 300 que implementa una action de seguridad como resultado de una detection de un dispositivo no autorizado 328, congruente con diversas realizaciones de la presente revelation. De acuerdo a la realization ilustrada en la Figura 3A, los IED 310, 312 y 314 estan en comunicacion, respectivamente, con las pasarelas de comunicacion 316, 318 y 320. Cada una de las pasarelas de comunicacion 316, 318, 320 esta en comunicacion con una red 326. Ademas, el sistema SCADA 322 y el sistema de information 324 tambien estan en comunicacion con la red 326. De acuerdo a realizaciones alternativas, los IED 310, 312 y 314 pueden estar fisicamente integrados con las pasarelas de comunicacion 316, 318 y 320, respectivamente.

A fin de conectar el dispositivo no autorizado 328 con la pasarela de comunicacion 316, el acceso fisico a la pasarela de comunicacion 316 puede ser necesario. En consecuencia, una o mas senales de deteccion de intrusion fisica (p. ej., luz de la apertura del armario, sonido asociado a la apertura de una puerta de armario, el salto de un sensor de puerta, etc.) pueden ser generadas como resultado de obtener un actor no autorizado acceso fisico a la pasarela de comunicacion 316. La conexion del dispositivo no autorizado 328 con la pasarela de comunicacion 316 puede ademas proporcionar una indication alternativa de acceso no autorizado. Por ejemplo, la pasarela de comunicacion 316 puede determinar que una direction de MAC asociada al dispositivo no autorizado 328 no esta reconocida.

Como resultado de los sistemas de deteccion de intrusiones fisicas y de la indicacion alternativa de un acceso no autorizado proporcionada por la conexion del dispositivo no autorizado 328 con la pasarela de comunicacion 316, el sistema 300 puede implementar una accion de seguridad. En una realizacion espedfica ilustrada en la Figura 3A, la comunicacion desde la pasarela de comunicacion 316 puede ser considerada sospechosa o no fiable, segun lo indicado por los signos de interrogation 330. Como se ha descrito anteriormente, la comunicacion entre los diversos dispositivos en el sistema 300 puede ser habitualmente fiable; sin embargo, tras la deteccion de un acceso no autorizado, los dispositivos flujo arriba desde la pasarela de comunicacion 316 pueden ser notificados del acceso no autorizado y, en consecuencia, pueden no fiarse ya mas de las comunicaciones

5

10

15

20

25

30

35

recibidas desde la pasarela de comunicaciones 316. Como se ha indicado anteriormente, uno de los indicios sobre los cuales ciertas comunicaciones pueden ser fiables es la recepcion desde un nodo conocido, o dispositivo fiable en una red. A continuation de la detection de un acceso no autorizado, el nodo asociado a la pasarela de comunicacion 316 puede ya no ser considerado fiable. En consecuencia, las comunicaciones desde la pasarela de comunicacion 316 y los dispositivos flujo arriba desde la pasarela de comunicacion 316 pueden ya no ser fiables (p. ej., el IED 310 y el dispositivo no autorizado a 328).

Pueden ser utilizados diversos protocolos para diferenciar entre comunicaciones fiables y no fiables, de acuerdo a realizaciones congruentes con la presente revelation. Esto puede permitir a la red ajustar los criterios y a todos los aparatos adoptar posiciones de ciber- defensa. En una realization, las pasarelas de comunicacion 316, 318 y 320 pueden ser configuradas para usar un protocolo de control de acceso de red (p. ej., el IEEE 802.1X) para alertar a los otros aparatos de red sobre un intento de obtener acceso fisico no autorizado a un recinto. El protocolo 802.1X puede proporcionar el control de acceso a la red y la autenticacion de clientes, en base a puertos, en la capa fisica del modelo OSI de formation de redes de ordenadores. En otro ejemplo, una indication de un acceso fisico no autorizado puede ser transmitida mediante un sistema SCADA. Un punto SCADA puede ser correlacionado con un indicador de intrusion fisica a continuacion de la deteccion de un acceso fisico no autorizado. Las comunicaciones asociadas a un indicador de intrusion fisica pueden ser consideradas no fiables por el sistema SCADA.

La Figura 3B ilustra una representation conceptual del sistema de la Figura 3A, en el cual un cortafuegos 332 esta colocado entre la pasarela de comunicacion 316 y otros dispositivos de comunicacion en el sistema 300, como resultado de una deteccion de un dispositivo no autorizado 328, congruente con diversas realizaciones de la presente revelacion. El sistema 300, segun lo ilustrado en la Figura 3B, puede funcionar de manera similar al sistema 300, segun lo descrito anteriormente con relation a la Figura 3A; sin embargo, en la Figura 3B, el sistema 300 puede ser configurado para implementar una action de seguridad alternativa como resultado de una deteccion del dispositivo no autorizado 328. El cortafuegos 332 puede ser configurado para bloquear las comunicaciones entrantes desde la pasarela de comunicacion 316, el dispositivo no autorizado 328 y el IED 310. Se puede permitir pasar a traves del cortafuegos 332 a las comunicaciones dirigidas a la pasarela de comunicacion 316 y al IED 310. En otras palabras, el cortafuegos 332 puede permitir que pase la comunicacion flujo abajo, pero el cortafuegos 332 puede bloquear la comunicacion flujo arriba.

5

10

15

20

25

30

35

De acuerdo a otras realizaciones adicionales, el sistema 300, segun lo ilustrado en la Figura 3A y la Figura 3B, puede implementar acciones de seguridad alternativa tras la detection del dispositivo no autorizado 328. Por ejemplo, el sistema 300 puede poner en cuarentena las comunicaciones flujo arriba desde la pasarela de comunicacion 316. En otro ejemplo, el sistema 300 puede simular respuestas a las comunicaciones recibidas desde el dispositivo no autorizado 328 sin implementar ningun cambio en base a tales comunicaciones.

La Figura 4 ilustra un grafico de flujo de un procedimiento 400 para detectar acceso fisico no autorizado a un recinto que contiene equipos asociados a un sistema de suministro de energia electrica, congruente con diversas realizaciones de la presente revelation. Un sistema de deteccion de intrusiones puede comprender uno o mas componentes configurados para detectar acceso fisico a un recinto. Segun se describe con relation a diversas realizaciones anteriormente, tales componentes pueden incluir un microfono, un sensor lummico, un sensor de puerta, un acelerometro, etc.

En 402, un sistema de deteccion de intrusiones puede ser activado. El procedimiento 400 puede esperar la reception de una senal de deteccion desde el sistema de deteccion de intrusiones en 404. Una vez que se recibe una senal de deteccion, en 406, el procedimiento 400 puede determinar si la senal de deteccion es indicativa o no de un acceso no autorizado. Como se ha descrito anteriormente, los fenomenos naturales o ambientales pueden activar una senal de deteccion; sin embargo, el procedimiento 400 puede determinar en 406 que la senal de deteccion no es indicativa de un acceso no autorizado. Si se toma tal determination, el procedimiento 400 puede volver a 404 y esperar la deteccion de una senal posterior.

Ciertas realizaciones pueden requerir que se satisfaga un umbral de confirmation de acceso no autorizado. De acuerdo a tales realizaciones, en 408, el procedimiento 400 puede determinar si se satisface o no el umbral de confirmacion de acceso no autorizado. Una amplia variedad de information puede ser analizada a fin de determinar si se satisface o no el umbral de confirmacion antes de implementar una action de seguridad. De acuerdo a algunas realizaciones, el umbral de confirmacion de acceso no autorizado puede ser satisfecho por una indication de sensor alternativo. Por ejemplo, la senal de deteccion recibida en 404 puede estar basada en sonido detectado por un microfono. Una indicacion alternativa puede ser proporcionada por un sensor de puerta que indica que una puerta, o un panel, del recinto ha sido abierta. Segun lo ilustrado por este ejemplo, indicaciones

5

10

15

20

25

30

35

alternativas pueden ser proporcionadas por multiples componentes sensores asociados a un unico recinto. Las realizaciones que se apoyan en indicaciones alternativas pueden proporcionar alguna protection ante una falsa alarma provocada por un unico sensor estropeado.

El umbral de confirmation de acceso no autorizado tambien puede ser satisfecho usando information proporcionada por componentes sensores asociados a otros recintos, de acuerdo a diversas realizaciones. Por ejemplo, un terremoto puede activar acelerometros asociados a sistemas de detection de intrusiones en distintas ubicaciones. De acuerdo a diversas realizaciones, en la medida en que multiples acelerometros asociados a sistemas de deteccion de intrusiones en proximidad fisica generan senales de deteccion a aproximadamente la misma hora, tales senales pueden ser comparadas a fin de deducir que los fenomenos naturales activaron las senales. Segun lo ilustrado por este ejemplo, indicaciones alternativas pueden ser proporcionadas por componentes sensores dispersos entre multiples recintos.

De acuerdo a mas realizaciones adicionales, el umbral de confirmacion de acceso no autorizado puede ser satisfecho en base a una evaluacion de un intervalo de confianza asociado a una senal de deteccion espedfica. Por ejemplo, una senal de un sensor de puerta puede estar asociada a un intervalo de confianza mayor que una senal desde un microfono. En consecuencia, en algunas realizaciones, una senal de deteccion basada en un sensor de puerta puede ser suficiente para satisfacer el umbral de confirmacion, pero una senal desde un microfono puede ser insuficiente para satisfacer el umbral de confirmacion sin una indication alternativa (p. ej., entrada desde un acelerometro, confirmacion visual de una persona no autorizada, en base a la inspeccion de una imagen obtenida usando una camara, confirmacion de un operador en una estacion monitora central en cuanto a que el sonido corresponde a un intento de obtener acceso fisico no autorizado, etc.).

En 410, una action de seguridad puede ser implementada en base a un acceso no autorizado. Puede ser implementada una amplia variedad de acciones de seguridad. Por ejemplo, de acuerdo a algunas realizaciones, un cortafuegos puede ser configurado para bloquear las comunicaciones flujo arriba, originadas en un dispositivo de comunicacion ubicado en un recinto que ha sido objeto de acceso sin autorizacion. De acuerdo a otras realizaciones, las comunicaciones para un dispositivo de comunicacion ubicado en un recinto que ha sido objeto de acceso sin autorizacion pueden ser indicadas como no fiables. En una realizacion, la accion de seguridad puede incluir activar contactos de salida, en base

a la detection de un acceso no autorizado. Por ejemplo, los contactos de salida pueden activar una luz, una sirena o incluso una camara. Una camara activada como parte de una action de seguridad puede ademas ser configurada para transmitir un flujo de video o imagenes fijas a una estacion monitora central. De acuerdo a algunas realizaciones, la 5 accion de seguridad puede comprender impedir el acceso de ingenieria o el acceso al nivel del administrador al IED.

En 412, el procedimiento 400 puede determinar si ha sido resuelta o no la cuestion del acceso no autorizado. La resolution del acceso no autorizado puede lograrse despachando 10 personal de servicio para inspeccionar el recinto, realizar pruebas de diagnostico, revisar video o imagenes de la camara, o restringir cambios de configuraciones asociadas a equipos ubicados en el recinto. Tras la determination de que la cuestion del acceso no autorizado ha sido resuelta, el procedimiento 400 puede volver a 404 y esperar la deteccion de otras senales que indiquen un acceso fisico no autorizado.

15

Si bien han sido ilustradas y descritas realizaciones y aplicaciones espedficas de la revelation, ha de entenderse que la revelation no esta limitada a la configuration y componentes precisos revelados en la presente memoria. Diversas modificaciones, cambios y variaciones, evidentes para los expertos en la tecnica, pueden ser hechos en la 20 disposition, operation y detalles de los procedimientos y sistemas de la revelacion, sin

apartarse del espmtu y el ambito de la revelacion.

25

5

10

15

20

25

30

35

REIVINDICACIONES

1. Un dispositivo de comunicacion configurado para proporcionar un trayecto de comunicacion a un dispositivo electronico inteligente (IED), y configurado para detectar y remediar un acceso no autorizado, comprendiendo el dispositivo de comunicacion: un puerto de comunicaciones de IED, configurado para comunicarse con un IED;

un puerto de red configurado para transmitir information recibida desde el IED mediante una red, y para transmitir informacion recibida desde la red al IED; y logica de control en comunicacion con el puerto de comunicaciones del IED y el puerto de red, estando la logica de control configurada para: recibir una senal de detection de intrusion;

determinar que la senal de deteccion de intrusion es indicativa de un intento de obtener acceso no autorizado a uno entre el dispositivo de comunicacion, el IED y un dispositivo en comunicacion con el dispositivo de comunicacion; y emprender una accion de seguridad en base a la determinacion de que la senal de deteccion de intrusion es indicativa del intento de obtener acceso no autorizado.

2. El dispositivo de comunicacion de la reivindicacion 1, en el que la logica de control esta adicionalmente configurada para generar una lmea de referencia, representativa de la comunicacion en uno entre el puerto de red y el puerto de comunicaciones del IED, y la senal de deteccion de intrusion comprende una divergencia de comunicacion, con respecto a la lmea de referencia, en uno entre el puerto de red y el puerto de comunicaciones del IED.

3. El dispositivo de comunicacion de la reivindicacion 2, en el que la logica de control esta adicionalmente configurada para recibir la senal de deteccion de intrusion, donde dicha senal comprende una comunicacion originada en uno entre una direction no autorizada de control de acceso a maquina, una direccion no autorizada del protocolo de Internet, un puerto no autorizado y un dispositivo periferico no autorizado.

4. El dispositivo de comunicacion de la reivindicacion 1, que comprende

adicionalmente un puerto de deteccion de intrusion fisica; y en el que la senal de deteccion de intrusion comprende una senal de deteccion de intrusion fisica que incluye una salida de al menos uno entre un sensor de puerta y un sensor lummico.

5. El dispositivo de comunicacion de la reivindicacion 1, que comprende

adicionalmente:

Claims

5

10

15

20

25

30

35

un puerto de detection de intrusion fisica; y

un microfono en comunicacion con el puerto de deteccion de intrusion fisica; en el que la logica de control esta adicionalmente configurada para diferenciar los sonidos recibidos por el microfono, correspondientes a un acceso no autorizado, de los sonidos correspondientes a un fenomeno natural y a condiciones ambientales.
6. El dispositivo de comunicacion de la reivindicacion 1, que comprende

adicionalmente:

un puerto de deteccion de intrusion fisica; y

un microfono en comunicacion con el puerto de deteccion de intrusion fisica;

en el que la logica de control esta adicionalmente configurada para:

transmitir un sonido recibido mediante el microfono a una estacion monitora central,

mediante el puerto de red, y

recibir, mediante el puerto de red, una indication desde la estacion monitora central, en cuanto a que el sonido recibido mediante el microfono es indicativo de un acceso no autorizado.
7. El dispositivo de comunicacion de la reivindicacion 1, que comprende

adicionalmente:

un puerto de deteccion de intrusion fisica; y

un acelerometro en comunicacion con el puerto de deteccion de intrusion fisica, estando el acelerometro configurado para detectar una aceleracion, en el que la logica de control esta adicionalmente configurada para:

diferenciar entre una aceleracion correspondiente a un acceso no autorizado de una aceleracion correspondiente a un fenomeno natural, y de una aceleracion correspondiente a una condicion ambiental.
8. El dispositivo de comunicacion de la reivindicacion 7, en el que la logica de control esta adicionalmente configurada para comunicar a una estacion monitora central information con respecto a la condition ambiental, para permitir a la estacion monitora central implementar una estrategia de control en respuesta a la condicion ambiental.
9. El dispositivo de comunicacion de la reivindicacion 1, que comprende adicionalmente:

una camara en comunicacion con la logica de control;

en el que la logica de control esta adicionalmente configurada para transmitir imagenes capturadas por la camara a una estacion monitora central, mediante el

5

10

15

20

25

30

35

puerto de red, en base a la determination de que la senal de detection de intrusion es indicativa del intento de obtener acceso no autorizado.
10. El dispositivo de comunicacion de la reivindicacion 1, en el que la logica de control esta adicionalmente configurada para suspender temporalmente la action de seguridad al recibir una orden de supervision prevaleciente.
11. El dispositivo de comunicacion de la reivindicacion 1, en el que la accion de seguridad comprende asignar automaticamente un perfil de alta seguridad al dispositivo de comunicacion
12. El dispositivo de comunicacion de la reivindicacion 1, en el que la logica de control esta adicionalmente configurada para emprender la accion de seguridad, donde dicha accion comprende alertar a un sistema de control supervisor y adquisicion de datos en cuanto al intento de obtener acceso no autorizado.
13. El dispositivo de comunicacion de la reivindicacion 1, en el que la logica de control esta adicionalmente configurada para emprender la accion de seguridad, donde dicha accion comprende alertar a dispositivos de red flujo arriba en cuanto al intento de obtener acceso no autorizado.
14. El dispositivo de comunicacion de la reivindicacion 13, en el que alertar a dispositivos de red flujo arriba comprende que la logica de control esta adicionalmente configurada para invocar un protocolo de control de acceso a la red.
15. El dispositivo de comunicacion de la reivindicacion 1, en el que la logica de control esta adicionalmente configurada para emprender la accion de seguridad, donde dicha accion comprende activar un dispositivo de seguridad.
16. El dispositivo de comunicacion de la reivindicacion 1, en el que la logica de control esta adicionalmente configurada para inhabilitar temporalmente la accion de seguridad para un acceso autorizado.
17. El dispositivo de comunicacion de la reivindicacion 1, en el que la logica de control esta adicionalmente configurada para recibir una segunda indication que es indicativa del intento de obtener acceso no autorizado, antes de emprender la accion de

5

10

15

20

25

30

35

seguridad.
18. El dispositivo de comunicacion de la reivindicacion 17, en el que la logica de control esta adicionalmente configurada para generar una lmea de referencia, representativa de la comunicacion en uno entre el puerto de red y el puerto de comunicaciones del IED, y la segunda indication comprende una divergencia de comunicacion, con respecto a la lmea de referencia, en uno entre el puerto de red y el puerto de comunicaciones del IED.
19. El dispositivo de comunicacion de la reivindicacion 17, en el que la logica de control esta adicionalmente configurada para recibir la senal de detection de intrusion en base a la entrada recibida desde un primer componente sensor, y para recibir la segunda indicacion en base a la entrada recibida desde un segundo componente sensor.
20. El dispositivo de comunicacion de la reivindicacion 19, en el que la logica de control esta adicionalmente configurada para recibir la segunda indicacion mediante el puerto de red desde un dispositivo remoto en comunicacion con la red.
21. Un procedimiento para detectar y remediar un acceso no autorizado a equipos asociados a un sistema de suministro de energia electrica, contenido en un recinto, comprendiendo el procedimiento:

comunicar information con un IED mediante un puerto de comunicaciones del IED; transmitir informacion, recibida desde el IED, a una red, mediante un puerto de red; transmitir al IED informacion recibida desde la red; recibir una senal de deteccion de intrusion;

determinar que la senal de deteccion de intrusion es indicativa de un intento de obtener acceso no autorizado a uno entre un dispositivo de comunicacion y un dispositivo en comunicacion con el dispositivo de comunicacion; y emprender una accion de seguridad en base a la determinacion de que la senal de deteccion de intrusion es indicativa del intento de obtener acceso no autorizado.
22. El procedimiento de la reivindicacion 21, que comprende adicionalmente: generar una lmea de referencia, representativa de la comunicacion en uno entre el puerto de red y el puerto de comunicaciones del IED;

en el que la senal de deteccion de intrusion comprende una divergencia de comunicacion, con respecto a la lmea de referencia, en uno entre el puerto de red y el

5

10

15

20

25

30

35

puerto de comunicaciones del IED.
23. El procedimiento de la reivindicacion 21, en el que la accion de seguridad comprende asignar automaticamente un perfil de alta seguridad al dispositivo de comunicacion.
24. El procedimiento de la reivindicacion 21, en el que la accion de seguridad comprende alertar a un sistema de control supervisor y adquisicion de datos en cuanto al intento de obtener acceso no autorizado.
25. El procedimiento de la reivindicacion 21, en el que la accion de seguridad comprende alertar a los dispositivos de red flujo arriba en cuanto al intento de obtener acceso no autorizado.
26. El procedimiento de la reivindicacion 21, en el que la accion de seguridad comprende activar un dispositivo de seguridad.
27. El procedimiento de la reivindicacion 21, que comprende adicionalmente:

recibir una segunda indication que es indicativa del intento de obtener acceso no autorizado, antes de emprender la accion de seguridad.
28. El procedimiento de la reivindicacion 27, que comprende adicionalmente: generar una lmea de referencia, representativa de la comunicacion en uno entre el puerto de red y el puerto de comunicaciones del IED, y la segunda indicacion comprende una divergencia de comunicacion, con respecto a la lmea de referencia, en uno entre el puerto de red y el puerto de comunicaciones del IED.
29. Un dispositivo electronico inteligente (IED) configurado para detectar y remediar un acceso no autorizado, comprendiendo el IED:

un puerto de comunicaciones del IED, configurado para comunicarse con equipos monitorizados en comunicacion electrica con un sistema de suministro de energia electrica;

un puerto de red configurado para transmitir information recibida desde el equipo monitorizado, mediante una red, y para transmitir informacion recibida desde la red al equipo monitorizado; y

logica de control en comunicacion con el puerto de comunicaciones del IED y el puerto de red, configurada para:

recibir una senal de deteccion de intrusion;

determinar que la senal de deteccion de intrusion fisica es indicativa de un intento de obtener acceso no autorizado a uno entre el IED y un dispositivo en comunicacion con el IED; y

5 emprender una accion de seguridad en base a la determination de que la indication es indicativa del intento de obtener acceso no autorizado.

imagen1

id8_

lii

Figura 1

ES 2 550 501 A2