DE602004008055T2

DE602004008055T2 - Intelligente integrierte netzwerksicherheitseinrichtung

Info

Publication number: DE602004008055T2
Application number: DE602004008055T
Authority: DE
Inventors: Nir Redwood City ZUK
Original assignee: Juniper Networks Inc
Current assignee: Juniper Networks Inc
Priority date: 2003-03-28
Filing date: 2004-03-29
Publication date: 2007-11-22
Anticipated expiration: 2024-03-30
Also published as: US20140259146A1; CN100556031C; EP1618724B1; EP1618724A2; JP2006521776A; JP4906504B2; US8332948B2; US8726016B2; US20100132030A1; ATE369691T1; WO2004088952A2; US9100364B2; US7650634B2; US20130067561A1; DE602004008055D1; CN1768516A; US20040030927A1; WO2004088952A3

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Steuern einer Computernetzwerksicherheit.
Firewalls und Einbruchsdedektionssysteme sind Vorrichtungen, die verwendet werden, um ein Computernetzwerk vor unautorisierten oder zerstörerischen Nutzern zu schützen. Eine Firewall kann verwendet werden, um ein Nahbereichnetzwerk vor Nutzern außerhalb des Nahbereichnetzwerkes zu schützen. Eine Firewall überprüft, routed und markiert oftmals sämtliche Nachrichten, die an User oder von Usern außerhalb des Nahbereichnetzwerkes gesendet werden. Ein Einbruchsdedektionssystem (IDS) kann verwendet werden, um Informationen zu untersuchen, die innerhalb eines Netzwerkes übermittelt werden, um ein verdächtiges Verhaltensmuster zu erkennen.
Informationen, welche von dem IDS erhalten werden, können verwendet werden, um unautorisierte oder zerstörerische Nutzer davon abzuhalten, Zugang zu dem Netzwerk zu gewinnen. Ein Einbruchverhinderungssystem (IPS) stellt eine Inline-Version eines IDS dar. Ein IPS kann verwendet werden, um Informationen zu untersuchen, wenn sie innerhalb eines Netzwerkes übermittelt werden, um verdächtige Verhaltensmuster zu erkennen.
Ein auf einem Strom basierender Router (FBR) kann es Netzwerkadministratoren ermöglichen, ein Paketübermitteln und -routen gemäß Netzwerk-Policies zu implementieren, welche von einem Netzwerk-Administrator definiert werden. FBRs können es Netzwerkadministratoren ermöglichen, Policies zu implementieren, welche wahlweise verursachen, dass Pakete über spezielle Wege in dem Netzwerk gerouted werden, FBRs können ebenso dazu verwendet werden, sicherzustellen, dass bestimmte Arten von Paketen differenzierte bevorzugte Services empfangen, wenn sie gerouted werden. Herkömmliche Router können Pakete an ihre Zieladresse basierend auf verfügbaren Routing-Informationen übermitteln. Anstatt eines Routings, dass lediglich auf der Zieladresse basiert, können FBRs es einem Netzwerkadministrator ermöglichen, Routing-Policies zu implementieren, um basierend auf verschiedenen anderen Kriterien, einschließlich der Anwendung, des Protokolls, der Paketgröße und der Identität des Endsystems, Pakete zuzulassen oder abzulehnen.
Ein Paketfilter kann bezüglich der Daten in der Netzwerkschicht arbeiten, um ein vertrauenswürdiges Netzwerk vor einer Attacke durch ein nichtvertrauenswürdiges Netzwerk zu verteidigen. Paketfilter könne auf der Netzwerkschicht arbeiten, um Felder der TCP/IP-Header, einschließlich des Protokolltyps, der Quell- und Ziel-IP-Adresse und der Quell- und Ziel-Port-Nummern, zu untersuchen. Nachteile von Paketfiltern schließen die Geschwindigkeit (d. h. langsam) und Verwaltung in großen Netzwerken mit komplexen Sicherheits-Policies ein. Paketfilter alleine könne keinen robusten Schutz zur Verfügung stellen, da Paketfilter den Inhalt der gegebenen Kommunikation nicht kennen. Zusätzlich untersuchen Paketfilter nicht die Daten auf der Anwendungsschicht, wodurch Paketfilter gegenüber versuchten Sicherheitseindringungen unter Verwendung der Verwendungsschicht verletzlich werden.
Ein Proxy-Server kann hinsichtlich von Werten arbeiten, welche in der Anwendungsschicht getragen werden, um ein vertrauenswürdiges Netzwerk von einem nichtvertrauenswürdigen Netzwerk zu isolieren. In einem Anwendungs-Proxy-Server werden zwei TCP-Verbindungen aufgebaut: eine zwischen der Paketquelle und dem Proxy-Server, eine andere zwischen dem Proxy-Server und dem Paketziel. Der Anwendungs-Proxy-Server kann anstelle des Ziel-Servers die ankommenden Pakete empfangen. Die Anwendungsdaten können von dem Proxy-Server gesammelt und untersucht werden, und es kann eine zweite TCP-Verbindung zwischen dem Proxy-Server und dem Ziel-Server zum Übermitteln erlaubter Pakete an den Zielserver geöffnet werden. Proxy-Server können aufgrund des zusätzlichen Protokoll-Stack-Overheads, der für das Untersuchen von Paketen auf der Anwendungsschicht erforderlich ist, langsam sein. Des Weiteren können, da ein einzelner Proxy für jede Anwendung erforderlich sein kann, Proxy-Server hinsichtlich der Implementation komplex und für die Unterstützung neuer Anwendungen schwierig zu modifizieren sein. Zusätzlich kann es passieren, dass, weil Proxy-Server lediglich Anwendungspakete untersuchen, Proxy-Server nicht ein versuchtes Eindringen in die Netzwerk-Sicherheit an dem TCP oder Netzwerk-Schichten detektieren.
Ein verwandter Stand der Technik zu der vorliegenden Anwendung kann die internationale Veröffentlichung Nr. WO 03/025766 und das US Patent Nr. 6 466 985 einschließen. Die internationale Veröffentlichung Nr. WO 03/025766 stellt ein System und ein Verfahren zum Übermitteln von Paketen zur Verfügung. Das Übermitteln von Paketen verbessert die Leistungsfähigkeit von allgemeinen Netzwerk-Sicherheitsanbindungen. Das US Patent Nr. 6 466 985 betrifft ein Verfahren und eine Vorrichtung zum Bereitstellen eines Quality-Of- Services unter Verwendung des Internet-Protokolls (IP). Das Verfahren und die Vorrichtung können für das Tragen von IP-Strömen optimiert sein, und sie können als Teil der Lower-Layer(Layer 2)-Protokolle implementiert sein.
Zusammenfassung
Die vorliegende Erfindung stellt ein Verfahren, ein System und eine Vorrichtung gemäß den Ansprüchen 1, 22 und 43 für das Verarbeiten von Datenpaketen und für das Implementieren einer Computernetzwerk-Sicherheit zur Verfügung.
Vorteile der Erfindung können eines oder mehrere der folgenden Merkmale einschließen. Die offenbarte Technik kann dazu verwendet werden, ein versuchtes Eindringen in die Netzwerksicherheit zu detektieren und potentiell das gegenwärtige Paket, welches mit dem Sicherheitseindringen assoziiert ist, zu blockieren. Die offenbarte Technik kann eine robuste und effiziente Netzwerksicherheit zur Verfügung stellen und schließt mehrere Sicherheitseinrichtungen jedoch lediglich eine Strom-Tabelle ein. Netzwerksicherheitsinformationen werden von anderen Netzwerksicherheitseinrichtungen erhalten und in einem einzelnen Stromdatensatz in der Strom-Tabelle gespeichert. Die Verwendung eines einzelnen Stromdatensatzes dazu, zu bestimmen, ob ein Paket zugelassen werden sollte, kann in einer schnelleren Antwortzeit resultieren.
Die Einzelheiten von einer oder mehreren Implementationen der Erfindung werden in den begleitenden Zeichnungen und der folgenden Beschreibung dargelegt. Andere Merkmale und Vorteile der Erfindung werden aus der Beschreibung, den Zeichnungen und den Ansprüchen offensichtlich.
Beschreibung der Zeichnungen
1 zeigt eine Netzwerktopologie, welche ein Sitzungs-Modul einschließt.
2 veranschaulicht ein Blockdiagramm des Sitzungs-Moduls.
3 zeigt die Struktur einer Strom-Tabelle.
4 ist ein Flussdiagramm, welches den Betrieb des Sitzungs-Moduls beschreibt.
5 ist ein Flussdiagramm, welches die Sitzungs-Klassifikation beschreibt.
6 zeigt die quasi-wiedergesammelten Informationen, welche von dem Sitzungs-Modul erzeugt werden.
7 zeigt eine Netzwerktopologie, in welcher das Sitzungs-Modul in einer Firewall enthalten ist.
8 zeigt eine Netzwerktopologie, in welcher das Sitzungs-Modul in Reihe mit einer Firewall, einem IPS und einem Router arbeitet.
9 zeigt eine Netzwerktopologie, in der ein Sitzungs-Modul, eine Firewall, ein IPS und ein Router in einer einzelnen Sicherheitseinrichtung enthalten sind.
Gleiche Bezugszeichen und Bezeichnungen bezeichnen in den verschiedenen Zeichnungen gleiche Elemente.
Ausführliche Beschreibung
1 zeigt eine Netzwerktopologie, welche ein Nahbereichsnetzwerk (Local Area Network, LAN) (100) einschließt, welches einen Server (102), verschiedene Workstations (W/S) (104) und eine Sicherheitseinrichtung 124 einschließt. Das Sicherheitssystem 124 kann ein Sitzungs-Modul 122 und eine Mehrzahl von anderen Sicherheitseinrichtungen einschließen. In der gezeigten Implementation schließt das Sicherheitssystem 124 zwei Sicherheitseinrichtungen, eine erste Sicherheitseinrichtung 106 und eine zweite Sicherheitseinrichtung 108, ein. Das LAN 100 ist mit einem externen Netzwerk, z. B. dem Internet (114) über das Sicherheitssystem 124 verbunden. Das LAN 100 ist ebenso mit einem zweiten LAN (116) über einen Router (118) und Satellit (120) verbunden. Das zweite LAN 116 schließt einen Web-Server (110), einen E-Mail-Server (112), einen Server 102, verschiedene Workstations 104 und ein Sicherheitssystem 124 ein. Die Computer, Server und anderen Vorrichtungen in dem LAN sind miteinander unter Verwendung einer Anzahl von Da tenübermittlungsmedien, wie Draht, optischen Fasern und Funkwellen, verbunden. Das Sitzungs-Modul 122 überwacht Pakete, welche innerhalb des Netzwerkes übermittelt werden. In einer Implementation kann die erste Sicherheitseinrichtung 106 eine Firewall sein, und es kann die zweite Sicherheitseinrichtung 108 ein IPS sein. Das Sitzungs-Modul 122 kann in Verbindung mit der ersten Sicherheitseinrichtung 106 und der zweiten Sicherheitseinrichtung 108 arbeiten, um das Blockieren von Paketen zu erleichtern, welche mit einem versuchten Eindringen in die Netzwerksicherheit assoziiert sind.
2 zeigt ein Blockdiagramm eines Sitzungs-Moduls 122. Das Sitzungs-Modul 122 schließt eine Schnittstelle 205 für eingehende Pakete zum Empfangen von Paketen ein. Die empfangenen Pakete werden durch eine Stromverarbeitungs-Engine (FPE) 202 verarbeitet, um zu bestimmen, ob gerade ein versuchtes Eindringen in die Netzwerksicherheit stattfindet. Das Sitzungs-Modul 122 schießt ebenso eine Strom-Tabelle 215 ein. Die Strom-Tabelle 215 wird dazu verwendet, Informationen bezüglich von Strömen zu speichern, welche mit den empfangenen Paketen assoziiert sind. Das Sitzungs-Modul 122 schließt ebenso Schnittstellen zu anderen Sicherheitseinrichtungen in dem Netzwerk ein. In einer Implementation schließt das Sitzungs-Modul 122 eine Firewall-Schnittstelle 220, eine IPS-Schnittstelle 225 und eine Stromrouter-Schnittstelle 230 ein. Die Sicherheitseinrichtungsschnittstellen 220 werden von dem Sitzungs-Modul verwendet, um Informationen bezüglich der empfangenen Pakete und Informationen bezüglich des Stroms, welcher mit dem Paket assoziiert ist, zu erhalten, um bestimmen, ob das empfangene Paket zugelassen oder verändert werden sollte. Die Sicherheitseinrichtungsschnittstellen 218 werden ebenso von dem Sitzungs-Modul 122 verwendet, um Strominformationen zu übermitteln, welche von den Sicherheitseinrichtungen angefordert werden, um das Verarbeiten des Pakets zu ermöglichen.
3 veranschaulicht eine Struktur einer Strom-Tabelle 300. Die Strom-Tabelle 300 schließt Strom-Datensätze 302 ein, welche mit den gegenwärtigen TCP/IP-Strömen assoziiert sind. Ein TCP/IP-Strom schließt eine Sequenz von Datenpaketen ein, welche Informationen zwischen einer Quelle und einem Ziel in einer Richtung übermitteln. Die Strom-Datensätze werden unter Verwendung eines Index-Schlüssels 305 indiziert. Der Index-Schlüssel 305 wird dazu verwendet, den geeigneten Strom-Datensatz, der mit einem empfangenen Paket assoziiert ist, zu speichern und wieder auszulesen. In einer Implementation kann der Index-Schlüssel 305 ein Hash-Key sein, und es kann die Strom-Tabelle 300 als eine Hash-Tabelle implementiert sein. Das Sitzungs-Modul 122 (2) speichert Anwei sungen für zwei oder mehr Sicherheitseinrichtungen in dem Netzwerk in dem selben Strom-Datensatz. In einer Implementation des Sitzungs-Moduls 122 werden Anweisungen für drei Sicherheitseinrichtungen (d. h. für die Einrichtungen 310, 315 und 320) in dem Strom-Datensatz 302 gespeichert. Der Strom-Datensatz 302 kann Policy-Informationen (Firewall-Policy, IPS-Policy usw., die auf den Strom anzuwenden sind) sowie andere Informationen speichern, die von den Sicherheitseinrichtungen verwendet werden, wie Verschlüsselungsparameter, Adressenübersetzungsparameter, Buchhaltungsinformationen und Statistiken. Der Strom-Datensatz 302 kann ebenso Strominformationen 325 einschließen, welche von dem Sitzungsstrichmodul 122 benötigt werden, um zu entscheiden, ob das Paket zugelassen werden sollte. Solche Informationen könne Informationen einschließen, welche erforderlich sind, um Netzwerk-Policies, z. B. bezüglich des Verbindungs-Time-Outs, der Zeitberechnung und Bandbreitenverwendung, zu implementieren. Ströme, Sitzungen und Strom-Tabellen werden in größerer Ausführlichkeit in der anhängigen und gemeinsam besessenen Patentanmeldung mit dem Titel „Multi-Method Gateway-Based Network Security Systems and Methods" mit der laufenden Nummer 10/072 683 beschrieben.
4 ist ein Flussdiagramm, welches die Operation der FPE 202 (2) beschreibt. Mit Bezug nunmehr auf die 2 und 4 werden eingehende Pakete von dem Sitzungs-Modul empfangen (Schritt 400). IP-Pakete werden defragmentiert (Schritt 402), und es wird der IP-Header für jedes IP-Paket bestätigt (Schritt 403). In dem Bestätigungsschritt wird der IP-Header, der mit einem gegebenen Paket assoziiert ist, extrahiert, und es wird der extrahierte IP-Header auf grundlegende Fehler hin untersucht. Danach bestimmt die FPE 202, ob die Sitzung zugelassen werden soll (Schritt 415).
Wenn das Paket ein TCP-Paket (Schritt 404) ist, wird der TCP-Header bestätigt (Schritt 405), und es werden die TCP-Pakete wieder aufgesammelt (Schritt 410). Der Bestätigungsprozess schließt das Extrahieren von TCP-Header-Daten und das Auswerten des Headers bezüglich fundamentaler Fehler ein. Die Quasi-Wiederversammlungsinformationen, die in Schritt 410 entwickelt werden, können von dem Sitzungs-Modul 122 zu anderen Sicherheitseinrichtungen übermittelt werden, um das Verarbeiten des Pakets von den anderen Sicherheitseinrichtungen zu ermöglichen. Das Wiederversammeln wird in größerer Ausführlichkeit unten und "Multi-Method Gateway-Based Network Security Systems and Methods" beschrieben.
In Schritt 415 führt die FPE 202 eine Sitzungsklassifikation unter Verwendung der TCP/IP-Header-Daten aus, die mit einem gegebenen empfangenen Paket assoziiert sind. Das Sitzungs-Modul 122 kann basierend auf Informationen bezüglich des TCP/IP-Stroms, der mit dem empfangenen Paket assoziiert ist, und die von der Strom-Tabelle 420 ausgelesen werden, bestimmen, ob das Paket zugelassen werden sollte. Zusätzlich kann das Sitzungs-Modul 122 Informationen verwenden, welche von einer der anderen Sicherheitseinrichtungen, z. B. der Firewall 425, dem IPS 430 und dem auf einem Strom basierenden Router 435 zurückgegeben werden. Weiterhin kann das Sitzungs-Modul 122 ebenso die Operation der Sicherheitseinrichtungen durch Übermitteln an eine entsprechende Vorrichtung, wie es von der Vorrichtung zum Verarbeiten eines gegebenen Pakets erfordert ist, ermöglichen. Schließlich übermittelt die FPE 202 das Paket, wenn das Paket zugelassen werden sollte (Schritt 440). Andernfalls wird das Paket in Schritt 445 anderweitig verarbeitet. Eine andere Verarbeitung kann das Protokollieren bestimmter Informationen bezüglich des Pakets, das Halten des Pakets, das Modifizieren und/oder Fallenlassen des Pakets einschließen. Dieses vollendet die Beschreibung des Betriebs der FPE 202.
5 ist ein Flussdiagramm, welches die Schritte zeigt, die in der Sitzungsklassifikation enthalten sind (Schritt 415). Der Sitzungsklassifikationsschritt empfängt ein Paket (Schritt 500) und extrahiert Informationen, welche erforderlich sind, um zu bestimmen, ob das Paket zugelassen werden sollte. Die extrahierten Informationen können die Quell- und Ziel-IP-Adresse einschließen, die Quell- und Ziel-Port-Nummer und das Protokoll (Schritt 505). Die extrahierten Informationen können dazu verwendet werden, die Strom-Tabelle zu durchsuchen (Schritt 510), um zu bestimmen, ob das Paket mit einem bekannten Sitzungsstrom assoziiert ist. Für einen bekannten Sitzungsstrom wird Schritt 510 einen passenden Strom-Datensatz in der Strom-Tabelle erzeugen (Schritt 515). Wenn ein entsprechender Strom-Datensatz gefunden wird, kann das FPE 202 (2) aus dem entsprechenden Strom-Datensatz TCP/IP-Sitzungsinformationen für das empfangene Paket extrahieren (Schritt 520). Die FPE 202 bestimmt unter Verwendung der TCP/IP-Sitzungsinformationen, welche während des Schritts 520 erhalten werden, ob das empfangene Paket zugelassen werden sollte. Genauer gesagt extrahiert die FPE 202 Informationen aus dem entsprechenden Strom-Datensatz und übermittelt die Informationen an die Sicherheitseinrichtungen (z. B. durch Übermitteln der Sitzungs-ID und der TCP/IP-Sitzungsinformationen sowie jeglicher anderer sicherheitseinrichtungsspezifischer Informationen aus dem Strom-Datensatz) (Schritt 525). In Abhängigkeit von den von den Sicherheitseinrichtungen zu rückgegebenen Ergebnissen kann die FPE 202 das gegebene Paket weiterleiten, fallen lassen, protokollieren, speichern, modifizieren oder anderweitig verarbeiten (Schritt 530).
Wenn kein entsprechender Strom-Datensatz in der Strom-Tabelle während des Schritts 515 gefunden wird, kann das empfangene Paket mit einer neuen TCP/IP-Sitzung assoziiert werden (Schritt 532). Für eine neue TCP/IP-Sitzung kann die FPE 202 eine Sitzungs-ID der neuen Sitzung zuweisen, und die FPE 202 kann mit den anderen Sicherheitseinrichtungen (z. B. der Firewall, dem IPS, dem Strom-Router) kommunizieren, um eine Sicherheits-Policy für Pakete, die mit der neuen Sitzung assoziiert sind, zu bestimmen. Die FPE 202 kann z. B. Informationen von der Firewall 540 erhalten, um zu bestimmen, ob empfangene Pakete, die mit der neuen Sitzung assoziiert sind, zugelassen werden sollten. Die FPE 202 kann mit dem IPS 545 kommunizieren, um zu bestimmen, ob das empfangene Paket blockiert werden sollte, da es bekannten Angriffssignaturen für ein versuchtes Eindringen in die Netzwerksicherheit entspricht. Die FPE 202 kann jegliche Netzwerk-Policy erhalten, die mit der neuen Sitzung assoziiert ist, von dem Strom-Router 550. Die FPE 202 kann als ein Arbiter zwischen den verschiedenen Sicherheitseinrichtungen fungieren und die Informationen verwenden; welche entweder einzeln oder in Kombination von den Sicherheitseinrichtungen erhalten werden, um zu bestimmen, ob die Pakete, die mit der neuen TCP/IP-Sitzung assoziiert sind, zugelassen werden sollten. Das FPE 202 kann die Informationen verwenden, die von den Sicherheitseinrichtungen erhalten werden, um einen neuen Strom-Datensatz zu erzeugen und den neuen Strom-Datensatz in der Strom-Tabelle zu speichern (Schritt 555). Der neue Strom-Datensatz schließt die TCP/IP-Sitzungsinformationen für die neue Sitzung, welche mit dem empfangenen Paket assoziiert ist, und jegliche andere spezielle Sicherheitseinrichtungsinformation ein. Danach kann die FPE 202 die Verarbeitung von empfangenen Paketen, die mit einer gegebenen TCP/IP-Sitzung assoziiert sind, wie es oben in Verbindung mit 4 beschrieben ist, einschließlich des Übermittelns der Sitzungs-ID, TCP/IP-Sitzungsinformationen und sicherheitseinrichtungsspezifischer Informationen an die Sicherheitseinrichtungen von einem entsprechenden Strom-Datensatz zu ermöglichen.
Zusätzlich zu dem Bestimmen unter Verwendung der verschiedenen Sicherheitseinrichtungen, ob ein empfangenes Paket mit einem versuchten Eindringen in die Netzwerksicherheit assoziiert ist kann das Sitzungs-Modul ebenso ein Quasi-Wederaufsammeln der empfangenen TCP/IP-Pakete, wie es oben in Verbindung mit 4 beschrieben ist, ausführen. 6 zeigt die Quasi-Wiederaufsammlungsinformationen, welche von dem Sitzungs- Modul erzeugt werden können. Die Quasi-Wiederaufsammlungsinformationen können einen Zeiger zu einem Ort eines gegebenen Pakets 600 im Speicher und einen Zeiger zu Informationen, welche die relative Position des Pakets in einem Strom 605 enthalten, einschließen. In einer Implementation kann ein IPS ein passives TCP/IP-Wiederaufsammeln ausführen, und es kann der Zeiger zu dem Ort des Paketes dazu verwendet werden, das Paket innerhalb des IPS zu lokalisieren. In einer anderen Implementation können Informationen, welche die relative Position des Pakets in dem Strom enthalten, dazu verwendet werden, die TCP/IP-Sequenznummer, welche in dem TCP/IP-Header assoziiert mit dem Paket enthalten ist, zu erhalten. Die Quasi-Wiederaufsammlungsinformationen können an die Sicherheitseinrichtungen, welche mit dem Sitzungs-Modul 122 verbunden sind (2), wie es erforderlich ist, übermittelt werden. Die Sicherheitseinrichtungen können die Quasi-Wiederaufsammlungsinformationen dazu verwenden, das empfangene Paket zu verarbeiten.
Das Sitzungs-Modul kann in einer Anzahl von verschiedenen Netzwerktopologien verwendet werden. 7 zeigt eine Netzwerktopologie, in der ein Sitzungs-Modul 710 in einer Firewall 705 integriert ist. Die Firewall 705 kann eine Schnittstelle zu einem Router 720 und einem IPS 715 einschließen. Die Firewall 705 empfängt Pakete von der externen Netzwerkschnittstelle 700. Die Fierwall 705 kommuniziert mit dem IPS 715, um zu bestimmen, ob das empfangene Paket, auf der Grundlage von bekannten Angriffssignaturen blockiert werden sollte. Wenn die Firewall 705 und das IPS 715 bestimmen, dass es dem Paket erlaubt sein sollte, zu passieren, sendet die Firewall 705 das empfangene Paket an den Router 720. Der Router 720 leitet das ausgehende Paket unter Verwendung der internen Netzwerkschnittstelle 725 basierend auf den Netzwerk-Policies, die in dem Router gespeichert sind, an sein gewünschtes Ziel weiter.
8 zeigt eine alternative Anordnung zum Implementieren einer Computer-Netzwerksicherheit unter Verwendung eines Sitzungs-Moduls. In dieser Anordnung arbeitet das Sitzungs-Modul 820 in Reihe mit einer Firewall 805, einem IPS 810 und einem Router 815. Pakete, welche unter Verwendung der externen Netzwerkschnittstelle 800 empfangen werden, werden von der Firewall 805 untersucht, bevor sie an den Router 815 übermittelt werden. Die Firewall 805 sendet ebenso Informationen bezüglich des empfangenen Pakets an das IPS 810. Das IPS 810 untersucht das empfangene Paket und informiert das Sitzungs-Modul 820, wenn das empfangene Paket auf der Grundlage von bekannten Angriffssignaturen blockiert werden sollte. Der Router 815 sendet das Paket an das Sitzungs- Modul 820 für die weitere Verarbeitung. Wenn das Sitzungs-Modul 820 bestimmt, dass das Paket zugelassen werden sollte, leitet es das empfangene Paket unter Verwendung der internen Netzwerkschnittstelle 825 an sein gewünschtes Ziel weiter.
Die Erfindung kann in einer digitalen elektronischen Schaltung oder in einer Computerhardware, Firmware, Software oder in einer Kombination von diesen implementiert werden. Die Erfindung kann als ein Computerprogrammprodukt implementiert werden, d. h. als ein Computerprogramm, das handgreiflich in einem Informationsträger, z. B. in einer maschinenlesbaren Speichereinrichtung oder in einem ausgesendeten Signal verkörpert ist, zur Ausführung durch einen oder zur Steuerung des Betriebs von einem Datenverarbeitungsgerät, z. B. einem programmierbaren Prozessor, einem Computer oder mehreren Computern. Ein Computerprogramm kann in jeglicher Art von einer Programmiersprache, einschließlich von Compiler- oder Interpreter-Sprachen geschrieben sein, und es kann in jeglicher Form, einschließlich als alleiniges Programm oder als ein Modul, eine Komponente, ein Unterprogramm oder eine andere Einheit, die zur Verwendung in einer Computerumgebung geeignet ist, entwickelt werden. Ein Computerprogramm kann dahingehend entwickelt werden, dass es auf einem Computer oder auf mehreren Computern an einer Stelle oder verteilt über mehrere Stellen und durch ein Kommunikationsnetzwerk verbunden ausgeführt wird.
Verfahrensschritte der Erfindung können durch einen oder mehrere programmierbare Prozessoren, die ein Computerprogramm ausführen, um Funktionen der Erfindung durch Verarbeiten von Eingangsdaten und Erzeugen einer Ausgabe ausgeführt werden. Verfahrensschritte können ebenso durch eine spezielle logische Schaltung, z. B. ein FPGA (Field Programmable Gate Array) oder einen ASIC (Application-Specific Integrated Circuit) ausgeführt werden, und es kann eine Vorrichtung der Erfindung als solche implementiert sein.
Prozessoren, die für die Ausführung eines Computerprogramms geeignet sind, schließen beispielhaft sowohl allgemeine als auch spezielle Mikroprozessoren und jegliche eine oder mehrere Prozessoren irgendeiner Art von digitalen Computern ein. Im Allgemeinen wird ein Prozessor Anweisungen und Daten von einem Nur-Lese-Speicher oder einem Speicher eines wahlfreien Zugriffs oder von beiden empfangen. Die wesentlichen Elemente eines Computers sind ein Prozessor zum Ausführen von Anweisungen und eine oder mehrere Speichereinrichtungen zum Speichern von Anweisungen und Daten. Im Allgemeinen wird ein Computer ebenso einschließen oder dazu operativ verbunden sein, um Daten von einem oder mehreren Massenspeichereinrichtungen zum Speichern von Daten zu empfan gen oder zu diesen zu übermitteln oder beides, z. B. von magnetischen, magnetooptischen Disks oder optischen Disks. Informationsträger, die zum Verkörpern von Computerprogrammanweisungen und Daten geeignet sind, schließen sämtliche Formen eines nicht flüchtigen Speichers ein, einschließlich z. B. von Halbleiterspeichereinrichtungen, z. B. EPROM, EEPROM und Flash-Speichereinrichtungen; magnetischen Disks, z. B. internen Festplatten oder entfernbaren Disks, magnetooptischen Disks und CD-ROM und DVD-ROM-Disks. Der Prozessor und der Speicher können durch spezielle logische Schaltungen ergänzt werden oder darin enthalten sein.
Die Erfindung kann in einem Computersystem implementiert sein, welches eine Back-End- Komponente, z. B. einen Datenserver, einschließt oder welches eine Middleware-Komponente, z. B. einen Anwendungsserver, einschließt oder welches eine Front-End-Komponente, z. B.. einen Client-Computer, welcher eine graphische Nutzerschnittstelle oder einen Webbrowser besitzt, durch welche oder welchen ein Nutzer mit einer Implementation der Erfindung interagieren kann, oder eine Kombination von solchen Back-End-, Middleware- oder Front-End-Komponenten einschließen. Die Komponenten des Systems können durch jegliche Form oder ein jegliches Medium von digitaler Datenkommunikation, z. B. einem Kommunikationsnetzwerk, miteinander verbunden sein. Beispiele von Kommunikationsnetzwerken schließen ein Nahbereichsnetzwerk (Local Area Network, „LAN") und ein Fernbereichsnetzwerk (Wide Area Network, „WAN"), z. B. das Internet, ein.
Das Computersystem kann Clients und Server einschließen. Ein Client und ein Server sind im allgemeinen entfernt voneinander und interagieren typischerweise durch ein Netzwerk. Das Verhältnis von einem Client und einem Server entsteht durch Computerprogramme, die auf entsprechenden Computern laufen und ein Client-Server-Verhältnis zueinander aufweisen.
Diese Erfindung ist im Hinblick auf bestimmte Ausführungsformen beschrieben worden. Nichtsdestoweniger versteht es sich, dass verschiedene Modifikationen vorgenommen werden können. Zum Beispiel können die Schritte der Erfindung in einer anderen Reihenfolge ausgeführt werden, und es werden dennoch gewünschte Ergebnisse erhalten. Zusätzlich können das Sitzungs-Modul, das IPS, die Firewall und der Router sämtliche in einer einzelnen Einrichtung, wie in der Konfiguration, die in 9 gezeigt ist, enthalten sein. Andere Konfigurationen eines Sitzungs-Moduls im Paket mit einer oder mehreren Sicherheitseinrichtungen sind ebenso möglich. Demgemäß liegen andere Ausführungsformen innerhalb des Bereichs der folgenden Ansprüche.

Claims

Ein Verfahren zum Überprüfen von Datenpaketen, die mit einem Strom in einem Computernetzwerk (100) assoziiert sind, wobei das Computernetzwerk (100) eine oder mehrere Einrichtungen (102, 104, 124) zum Verarbeiten des Pakets besitzt, wobei jedes Datenpaket assoziierte Header-Daten besitzt, wobei das Verfahren die Schritte umfasst: Empfangen des Datenpakets; Untersuchen des Datenpakets; Bestimmen einer Paket-Kennung unter Verwendung von zumindest assoziierten Header-Daten; Auswerten einer Strom-Tabelle (215, 300) unter Verwendung der Paket-Kennung; Auslesen eines einzelnen Strom-Datensatzes (302), der einem Eintrag in der Strom-Tabelle (215, 300) entspricht; und Extrahieren von Strom-Anweisungen für zwei oder mehr Einrichtungen aus dem einzelnen Strom-Datensatz (302) und Weiterleiten der Strom-Anweisungen an die jeweiligen Einrichtungen, um ein Verarbeiten des Pakets zu ermöglichen.
Das Verfahren von Anspruch 1, in dem die Einrichtungen Sicherheitseinrichtungen sind.
Das Verfahren von Anspruch 2, in dem die Einrichtungen aus einem Einbruchdetektionssystem, einem Einbruchpräventionssystem, einer Firewall (705) und einem strombasierten Router (720) ausgewählt werden.
Das Verfahren von Anspruch 1, in dem das Untersuchen des Datenpakets ein Überprüfen assoziierter Header-Daten einschließt, um zu bestimmen, ob das Datenpaket zugelassen werden sollte.
Das Verfahren von Anspruch 1, in dem das Extrahieren von Strom-Anweisungen für zwei oder mehr Einrichtungen aus dem einzelnen Strom-Datensatz (302) ein Erhalten von Informationen zum Lokalisieren des Datenpakets in einem Speicher und von Informationen, die eine relative Position des Datenpakets innerhalb des Stroms zur Verfügung stellen, einschließt.
Das Verfahren von Anspruch 1, weiterhin umfassend: Erzeugen eines neuen Strom-Datensatzes (302), wenn es keinen entsprechenden Eintrag in der Strom-Tabelle (215, 300) gibt; und Speichern des neuen Datensatzes (302) in der Strom-Tabelle (215, 300).
Das Verfahren von Anspruch 1, in dem das Extrahieren von Strom-Anweisungen aus dem einzelnen Strom-Datensatz (302) einschließt: Extrahieren einer Sitzungs-ID and von Strominformationen (325) aus dem entsprechenden Strom-Datensatz (302); und Übermitteln der Sitzungs-ID und Strominformationen (325) an die Einrichtungen.
Das Verfahren von Anspruch 6, in dem der neue Strom-Datensatzes (302) einschließt: Erzeugen einer neuen Sitzungs-ID; Auslesen einrichtungsspezifischer Strominformationen (325), die mit dem Datenpaket von zumindest zwei Einrichtungen assoziiert sind; und Assoziieren der neuen Sitzungs-ID und der einrichtungsspezifischen Strominformationen (325) mit dem neuen Strom-Datensatzes (302).
Das Verfahren von Anspruch 8, weiterhin das Verwenden der einrichtungsspezifischen Strominformationen (325) zum Erzeugen von Anweisungen für jede Einrichtung zum Verarbeiten des Pakets umfassend.
Das Verfahren von Anspruch 8, in dem eine oder mehrere Einrichtungen Sicherheitseinrichtungen sind, wobei das Verfahren weiterhin ein Speichern von sicherheitseinrichtungsspezifischen Strominformationen (325) für jede Sicherheitseinrichtung zusammen mit der neuen Sitzungs-ID in dem einzelnen Strom-Datensatz (302) umfasst.
Das Verfahren von Anspruch 1, weiterhin ein Verarbeiten des Datenpakets in jeder der zwei oder mehr Einrichtungen unter Verwendung der extrahierten Strom- Anweisungen umfassend.
Das Verfahren von Anspruch 1, in dem zumindest zwei der Einrichtungen Sicherheitseinrichtungen sind, wobei das Verfahren weiterhin umfasst: Empfangen von Auswertungsinformationen von den Sicherheitseinrichtungen, wobei die Auswertungsinformationen bei Verarbeiten des Pakets in einer entsprechenden Einrichtung entwickelt werden; und Verarbeiten des Pakets unter Einschluss einer Verwendung der Auswertungsinformationen.
Das Verfahren von Anspruch 12, in dem der Schritt des Verarbeiten des Pakets eines oder mehr von Weiterleiten, Fallenlassen, Modifizieren, Protokollieren oder Speichern des Pakets einschließt.
Das Verfahren von Anspruch 12, in dem der Verarbeitungsschritt ein Bestimmen davon einschließt, ob das Paket weitergeleitet werden soll.
Das Verfahren von Anspruch 2, in dem der einzelne Strom-Datensatz (302) Policy-Informationen für eine oder mehrere Sicherheitseinrichtungen einschließt.
Das Verfahren von Anspruch 2, in dem der einzelne Strom-Datensatz (302) eine Firewall(705)-Policy und eine Einbruchpräventionssystem-Policy einschließt.
Das Verfahren von Anspruch 1, in dem der einzelne Strom-Datensatz (302) Verschlüsselungsparameter zur Verwendung durch eine der Einrichtungen einschließt.
Das Verfahren von Anspruch 1, in dem der einzelne Strom-Datensatz (302) Adressübersetzungsparameter einschließt.
Das Verfahren von Anspruch 1, in dem der einzelne Strom-Datensatz (302) Buchhaltungsinformationen oder statistische Informationen einschließt.
Das Verfahren von Anspruch 1, in dem der einzelne Strom-Datensatz (302) Informationen einschließt, die beschreiben, welche Policies auf einen gegebenen Strom zur Verwendung durch eine oder mehrere der Einrichtungen anzuwenden sind.
Das Verfahren von Anspruch 1, in dem die Einrichtungen Sicherheitseinrichtungen sind, und der einzelne Strom-Datensatz (302) Policy-Informationen zur Verwendung durch zwei oder mehr Sicherheitseinrichtungen bei dem Verarbeiten des Pakets einschließt.
Ein System zum Überprüfen von Datenpaketen, die mit einem Strom in einem Computernetzwerk (100) assoziiert sind, wobei das Computernetzwerk (100) eine oder mehrere Einrichtungen (102, 104, 124) zum Verarbeiten von Datenpaketen besitzt, wobei jedes Datenpaket assoziierte Header-Daten besitzt, wobei das System umfasst: ein Mittel zum Empfangen des Datenpakets (205); ein Mittel zum Untersuchen des Datenpakets (202); ein Mittel zum Bestimmen einer Paket-Kennung unter Verwendung von zumindest assoziierten Header-Daten; ein Mittel zum Auswerten einer Strom-Tabelle (215, 300) unter Verwendung der Paket-Kennung; ein Mittel zum Auslesen eines einzelnen Strom-Datensatzes (302), der einem Eintrag in der Strom-Tabelle (215, 300) entspricht; und ein Mittel zum Extrahieren von Strom-Anweisungen für zwei oder mehr Einrichtungen aus dem einzelnen Strom-Datensatz (302); und ein Mittel zum Weiterleiten der Strom-Anweisungen an die jeweiligen Einrichtungen, um ein Verarbeiten des Pakets zu ermöglichen.
Das System von Anspruch 22, in dem die Einrichtungen Sicherheitseinrichtungen sind.
Das System von Anspruch 23, in dem die Einrichtungen aus einem Einbruchdetektionssystem, einem Einbruchpräventionssystem, einer Firwall (705) und einem strombasierten Router (720) ausgewählt werden.
Das System von Anspruch 22, in dem das Mittel zum Untersuchen des Datenpakets ein Mittel zum Überprüfen assoziierter Header-Daten einschließt, um zu bestimmen, ob das Datenpaket zugelassen werden sollte.
Das System von Anspruch 22, in dem das Mittel zum Extrahieren von Strom-Anweisungen für zwei oder mehr Einrichtungen aus dem einzelnen Strom-Datensatz (302) ein Mittel Erhalten von Informationen zum Lokalisieren des Datenpakets in einem Speicher und von Informationen, die eine relative Position des Datenpakets innerhalb des Stroms zur Verfügung stellen, einschließt.
Das System von Anspruch 22, weiterhin umfassend: ein Mittel zum Erzeugen eines neuen Strom-Datensatzes (302), wenn es keinen entsprechenden Eintrag in der Strom-Tabelle (215, 300) gibt; und ein Mittel zum Speichern des neuen Datensatzes (302) in der Strom-Tabelle (215, 300).
Das System von Anspruch 22, in dem das Mittel zum Auslesen eines einzelnen Strom-Datensatzes (302) einschließt: ein Mittel zum Extrahieren einer Sitzungs-ID and von Strominformationen (325) aus dem entsprechenden Strom-Datensatz (302); und ein Mittel zum Übermitteln der Sitzungs-ID und Strominformationen (325) an die Einrichtungen.
Das System von Anspruch 27, in dem das Mittel zum Erzeugen eines neuen Strom-Datensatzes (302) einschließt: ein Mittel zum Erzeugen einer neuen Sitzungs-ID; ein Mittel zum Auslesen einrichtungsspezifischer Strominformationen (325), die mit dem Datenpaket von zumindest zwei Einrichtungen assoziiert sind; und ein Mittel zum Assoziieren der neuen Sitzungs-ID und der einrichtungsspezifischen Strominformationen (325) mit dem neuen Strom-Datensatzes (302).
Das System von Anspruch 29, weiterhin ein Mittel zum Verwenden der einrichtungsspezifischen Strominformationen (325) zum Erzeugen von Anweisungen für jede Einrichtung zum Verarbeiten des Pakets umfassend.
Das System von Anspruch 29, in dem eine oder mehrere Einrichtungen Sicherheitseinrichtungen sind, wobei das System weiterhin ein Mittel zum Speichern von sicherheitseinrichtungsspezifischen Strominformationen (325) für jede Si cherheitseinrichtung zusammen mit der neuen Sitzungs-ID in dem einzelnen Strom-Datensatz (302) umfasst.
Das System von Anspruch 22, weiterhin ein Mittel Verarbeiten des Datenpakets in jeder der zwei oder mehr Einrichtungen unter Verwendung der extrahierten Strom-Anweisungen umfassend.
Das System von Anspruch 22, in dem zumindest zwei der Einrichtungen Sicherheitseinrichtungen sind, wobei das System weiterhin umfasst: ein Mittel zum Empfangen von Auswertungsinformationen von den Sicherheitseinrichtungen, wobei die Auswertungsinformationen bei Verarbeiten des Pakets in einer entsprechenden Einrichtung entwickelt werden; und ein Mittel zum Verarbeiten des Pakets unter Einschluss einer Verwendung der Auswertungsinformationen.
Das System von Anspruch 33, in dem das Mittel zum Verarbeiten des Pakets ein oder mehrere von einem Mittel zum Weiterleiten, einem Mittel zum Fallenlassen, einem Mittel zum Modifizieren, einem Mittel zum Protokollieren oder einem Mittel zum Speichern des Pakets einschließt.
Das System von Anspruch 33, in dem das Mittel zum Verarbeiten ein Mittel zum Bestimmen davon, ob das Paket weitergeleitet werden soll, einschließt.
Das System von Anspruch 23, in dem der einzelne Strom-Datensatz (302) Policy-Informationen für eine oder mehrere Sicherheitseinrichtungen einschließt.
Das System von Anspruch 23, in dem der einzelne Strom-Datensatz (302) eine Firewall(705)-Policy und eine Einbruchpräventionssystem-Policy einschließt.
Das System von Anspruch 22, in dem der einzelne Strom-Datensatz (302) Verschlüsselungsparameter zur Verwendung durch eine der Einrichtungen einschließt.
Das System von Anspruch 22, in dem der einzelne Strom-Datensatz (302) Adressübersetzungsparameter einschließt.
Das System von Anspruch 22, in dem der einzelne Strom-Datensatz (302) Buchhaltungsinformationen oder statistische Informationen einschließt.
Das System von Anspruch 22, in dem der einzelne Strom-Datensatz (302) Informationen einschließt, die beschreiben, welche Policies auf einen gegebenen Strom zur Verwendung durch eine oder mehrere der Einrichtungen anzuwenden sind.
Das System von Anspruch 22, in dem die Einrichtungen Sicherheitseinrichtungen sind, und der einzelne Strom-Datensatz (302) Policy-Informationen zur Verwendung durch zwei oder mehr Sicherheitseinrichtungen bei dem Verarbeiten des Pakets einschließt.
Eine Vorrichtung zum Verarbeiten von Datenpaketen, umfassend: ein Modul, das betriebsfähig ist, um Strominformationen (325) für jedes empfangene Datenpaket zu bestimmen; eine Strom-Tabelle (215, 300), die Strom-Datensätze (302) für jeden Strom enthält, der durch das Modul detektiert wird, wobei jeder Strom-Datensatz (302) Strom-Informationen für eine Mehrzahl an Verarbeitungseinrichtungen einschließt; Schnittstellen zum Übermitteln von einrichtungsspezifischen Strominformationen (325) zu jeder der Mehrzahl von Verarbeitungseinrichtungen, die mit der Vorrichtung verbunden sind; und ein Sitzungsmodul, das betriebsfähig ist, um Informationen auszuwerten, die einen bestimmten Strom identifizieren, der mit einem gegebenen Paket assoziiert ist, eine Paket-Kennung unter Verwendung von zumindest assoziierten Header-Daten zu bestimmen; die Strom-Tabelle (215, 300) unter Verwendung der Paket-Kennung auszuwerten; einen einzelnen Strom-Datensatz (302), der einem Eintrag in der Strom-Tabelle (215, 300) entspricht, auszulesen; Strom-Anweisungen für die Mehrzahl von Verarbeitungseinrichtungen aus dem einzelnen Strom-Datensatz (302) zu extrahieren, die Strom-Anweisungen zu den jeweiligen Verarbeitungseinrichtungen weiterzuleiten, Auswertungsinformationen von einer oder mehreren der Verarbeitungseinrichtungen zu empfangen, und das Paket in Übereinstimmung mit den Auswertungsinformationen zu verarbeiten.
Die Vorrichtung von Anspruch 43, in der das Sitzungsmodul betriebsfähig ist, das Paket einschließlich eines von Fallenlassen, Modifizieren, Protokollieren, Speichern oder Weiterleiten des Pakets zu verarbeiten.
Die Vorrichtung von Anspruch 43, in der die Strom-Tabelle (215, 300) einen Indexschlüssel und einrichtungsspezifische Strominformationen (325) für eine Mehrzahl von Sicherheitseinrichtungen, die mit der Vorrichtung verbunden sind, enthält.
Die Vorrichtung von Anspruch 43, in der die Verarbeitungseinrichtungen aus einer Firewall (705), einem strombasierten Router (720), einem Einbruchdetektionssystem und einem Einbruchpräventionssystem ausgewählt werden.
Die Vorrichtung von Anspruch 43, in der die Strom-Tabelle (215, 300) einen oder mehrere Datensätze (302) enthält, die Policy-Informationen zur Verwen dung durch zwei oder mehr Sicherheitseinrichtungen bei einer Verarbeitung des Pakets enthalten.