ATTACK DETECTION ON COMPUTER SYSTEMS

Die Erfindung gibt ein Verfahren zur Erkennung einer Anomalie und eines Angriffs auf eine über ein vorgegebenes Kommunikationsprotokoll synchronisierte erste Kommunikationseinheit (S) eines industriellen Netzwerks mit den Schritten: - Übertragen von mindestens einem ersten Paket (DQ) von einer zweiten Kommunikationseinheit (M) zu der ersten Kommunikationseinheit (S), - Übertragen von mindestens einem zweiten Paket (DR) von der ersten Kommunikationseinheit (S) an die zweite Kommunikationseinheit (M) als Antwort auf das erste Paket (DQ), - Ermittlung einer Laufzeit (D), wobei die Laufzeit (D) die Differenz des Absendezeitpunkts (t3) des zweiten Pakets (DR) von der ersten Kommunikationseinheit (S) und des Ankunftszeitpunkts (t2) des ersten Pakets (DQ) bei der ersten Kommunikationseinheit (S) ist, und/oder wobei die Laufzeit (D) die Differenz des Absendezeitpunkts (t3) des zweiten Pakets (DR) von der ersten Kommunikationseinheit (S) und des Absendezeitpunkts (t3b) eines weiteren zweiten Pakets (DR) bei der ersten Kommunikationseinheit (S) ist, und/ oder wobei die Laufzeit (D) die Differenz des Ankunftszeitpunkts (t4) des zweiten Pakets (DR) in der zweiten Kommunikationseinheit (M) und des Ankunftszeitpunkts (t4b) eines weiteren zweiten Pakets (DR) in der zweiten Kommunikationseinheit (M) ist, - Ermittlung einer Abweichung der Laufzeit (D) von einem vor- gegebenen Laufzeitkorridor, - Ausgabe eines Warnsignals als Hinweis auf eine Anomalie und eines Angriffs, wenn die Laufzeit (D) außerhalb des Laufzeitkorridors liegt. Außerdem gibt die Erfindung ein industrielles Netzwerk. The invention provides a method for detecting an anomaly and an attack on a first communication unit (S) of an industrial network, which communication unit is synchronized by means of a predefined communication protocol, having the steps of: - transmitting at least one first packet (DQ) from a second communication unit (M) to the first communication unit (S), - transmitting at least one second packet (DR) from the first communication unit (S) to the second communication unit (M) as a response to the first packet (DQ), - ascertaining a delay (D), wherein the delay (D) is the difference between the time of sending (t3) of the second packet (DR) from the first communication unit (S) and the time of arrival (t2) of the first packet (DQ) at the first communication unit (S), and/or wherein the delay (D) is the difference between the time of sending (t3) of the second packet (DR) from the first comm