DE69929268T2

DE69929268T2 - Verfahren und System zur Überwachung und Steuerung der Netzzugriffe

Info

Publication number: DE69929268T2
Application number: DE69929268T
Authority: DE
Inventors: Mark Leek Cunningham; Andrew Withington Trevarrow
Original assignee: SurfControl Ltd
Current assignee: Forcepoint UK Ltd
Priority date: 1998-09-09
Filing date: 1999-08-31
Publication date: 2006-08-03
Anticipated expiration: 2019-09-01
Also published as: US6219786B1; ATE315302T1; EP0986229A2; DE69929268D1; EP0986229B1; EP0986229A3

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung betrifft im Allgemeinen ein Verfahren und ein System zum Verwalten der Zugriffssteuerung zu Ressourcen eines verteilten Netzwerkes und betrifft insbesondere die Überwachung und Steuerung des Zugriffs von Computerbenutzern auf Netzwerkressourcen sowohl aus dem Netzwerk heraus als auch von außerhalb des Netzwerkes.
STAND DER TECHNIK
Es gibt eine Reihe von verfügbaren Topologien für Knoten-Computernetzwerke. Ein Computernetzwerk kann stark zentralisiert sein, mit einem Großrechner, auf den über eine Reihe von Benutzercomputern zugegriffen wird, beispielsweise über Desktop-Computer. Gegenwärtig besteht ein Trend, der von der Zentralisierung weg und hin zur verteilten Verarbeitung und zu Client-Server-Beziehungen hin verläuft. In einem verteilten Netzwerk sind die Intelligenzkraft und die Verarbeitungskraft auf eine Vielzahl von Netzwerkknoten verteilt, typischerweise mit Client-Workstations, die mit verteilten Servern kommunizieren. Andere Beziehungen unter Knoten eines Netzwerkes sind bekannt.
Ein Knotennetzwerk kann mit einem einzelnen Unternehmen in Verbindung stehen, beispielsweise mit einem Local Area Network (LAN) eines bestimmten Unternehmens. Ein solches Netzwerk ermöglicht Kommunikationen und Datenaustausche unter den verschiedenen Netzwerkknoten. Es kann ein einziges Protokoll für den Zugriff auf Ressourcen inner halb des LAN verwendet werden. Wenn somit ein erster Knoten, beispielsweise eine Client-Workstation, auf die Rechnerressourcen eines zweiten Knotens, beispielsweise eines Servers für das Speichern verschiedener Anwendungen, zugreift, werden Daten ausgetauscht, ohne dass dafür ein Wechsel des Protokolls notwendig wird.
Das größte und vorherrschende Netzwerk ist jedoch das nicht propietäre globale Kommunikationsnetzwerk, das als Internet bezeichnet wird. Eine Reihe von unterschiedlichen Netzwerkprotokollen werden innerhalb des Internets verwendet. Protokolle, die in die Gruppe von Transmission Control Protocol/Internet Protocol (TCP/IP) fallen, schließen das HyperText Transfer Protocol (HTTP), welches den Kommunikationen im World Wide Web zugrunde liegt, TELNET, das einen Zugriff auf einen Remote-Computer ermöglicht, das File Transfer Protocol (FTP) und das Simple Mail Transfer Protocol (SMTP), um ein einheitliches Format für den Austausch von elektronischer Post bereitzustellen, sowie eine Reihe von standardisierten oder propietären Protokollen für Multimedia- und Übertragungsdienste ein.
Eine Umsetzung dieser und anderer Internetprotokolle ausschließlich innerhalb einer Organisation wird oft als Intranet bezeichnet, während die Verwendung solcher Protokolle über eine beschränkte Anzahl von Internetsites, die für eine bestimmte Organisation relevant ist, als das Extranet dieser Organisation bezeichnet wird.
Große Aufmerksamkeit wurde der Errichtung von Computernetzwerk-Gateways gewidmet, welche sich darauf konzentrieren, zu gewährleisten, dass potentielle Eindringlinge (manchmal als "Hacker" bezeichnet) keinen illegalen Zugriff über das Internet auf die Rechnerressourcen einer Organisation in deren Intranet erhalten. Diese Gateways sind "Drosselpunkte" (Choke Points), durch welche zu steuernder Netzwerkverkehr fließen muss. Solche "Firewalls" sind so konfiguriert, dass sie jeglichen nach außen gehenden Verkehr und alle nach außen verlaufenden Verbindungen ermöglichen, aber nach innen verlaufenden Verkehr auf bestimmte Dienste beschränken, von denen angenommen wird, dass sie keine Bedrohung für die Organisation darstellen. Firewalls können auch ein begrenztes Ausmaß an "Paketfilterung" durchführen, mit der versucht wird, den Verkehr durch Bezug auf nicht-kontextuelle, Netzwerkpakete niedriger Ebene zu steuern. Eine Publikation von S. Lodin und C. Schuba mit dem Titel "Firewalls fend off invasions from the Net" (IEEE Spectrum, IEEE Inc., New York, New York, Volume 35, No. 2, 1. Februar 1998, Seiten 26-34) beschreibt verschiedene Techniken für die Paketfilterung bei einer Firewall. Die Regeln können bei Paketen jeweils einzeln zur Anwendung kommen und zwar ohne Rücksicht auf die Zustandsinformationen (d. h. Daten in Bezug auf das, was zuvor im System geschehen ist), so dass jedes Datenpaket getrennt von anderen Paketen betrachtet wird, die Teil derselben Verbindung sind. Alternativ dazu kann die Firewall eine "zustandsbezogene" Paketfilterung durchführen, welche Zustandsinformationen für Pakete speichert, die zu derselben Verbindung gehören, so dass Entscheidungen innerhalb des Kontextes einer bestimmten Nachricht getroffen werden können.
Zusätzlich zur Einschränkung von ankommenden Paketen können Einschränkungen auf nach außen gehende Anfragen von dem Netzwerk auferlegt werden. Die europäische Patentanmeldung Nr. EP 0 748 095 A beschreibt ein System und ein Verfahren zum selektiven Steuern des Zugriffs auf öffentliche/unkontrollierte Datenbanken, z. B. auf im Internet verfügbare Datenbanken. Eine relationale Datenbank wird verwendet, um die Zugriffsrechte zu bestimmen. Innerhalb der relationalen Datenbank werden spezifische Ressourcenidentifikatoren (d. h. URLs) nach bestimmten Zugriffsgruppen klassifiziert. Die relationale Datenbank ist so aufgebaut, dass für jeden Netzwerkbenutzer eine Anfrage für eine bestimmte Ressource von dem Netzwerk nur dann weitergeleitet wird, wenn sich der Ressourcenidentifikator in einer Zugriffsgruppe befindet, für die der Benutzer für ihn spezifische Genehmigungen erhalten hat.
Ein Aspekt, dem weniger Aufmerksamkeit geschenkt wird, ist die Gewährleistung, dass Mitarbeiter einer Organisation ordentlich verwaltet werden. Diese Verwaltung erstreckt sich auf das Zugreifen auf externe Computerressourcen und das Zugreifen auf interne Computerressourcen. Die Verwaltung kann gemäß den Zugriffssteuerungsgrundsätzen der Organisation erfolgen. In vielerlei Hinsicht ist die Verwaltung die Umkehrung des Problems, das Firewalls zu lösen beabsichtigen. Während Firewalls sich darauf konzentrieren, Eindringlinge daran zu hindern, unerwünschte Zugriffe zu erhalten, konzentrieren sich Zugriffssteuerungssysteme darauf, zu gewährleisten, dass Mitarbeiter der Organisation gemäß den Zugriffssteuerungsgrundsätzen der Organisation verwaltet werden.
Es gibt eine Reihe von Gründen für die Umsetzung von Zugriffssteuerungsgrundsätzen innerhalb einer Organisation. In Bezug auf die Steuerung externer Kommunikationen bestehen zwei wichtige Gründe darin, dass die Mitarbeiterproduktivität maximiert wird, indem sichergestellt wird, dass der Internet-Zugriff vorrangig für Geschäftszwecke verwendet wird, und darin, dass die Internetverbindungsfähigkeit (d. h. die Bandbreite) der Organisation, insbesondere während den Hauptnutzungszeiten, maximiert wird. Zum Beispiel kann die Verwendung von Streaming-Audio- und Videodiensten während Hauptnutzungszeiten eines Tages im Hinblick auf den Netzwerkverkehr einer Organisation die Produktivität von anderen Benut zern innerhalb der Organisation, die versuchen, Aufgaben wie beispielsweise E-Mail-Dateienübertragungen, Terminalemulierungen und Netzwerkdatenbankabfragen, durchzuführen, ernsthaft verringern.
Unter Verwendung herkömmlicher Ansätze legen Organisationen strenge Regeln und manchmal übertriebene Verwaltungsregeln fest, um dafür zu sorgen, dass die wichtigsten geschäftlichen Nutzungen des Internets nicht durch eine lockere oder unangebrachte Nutzung negativ beeinflusst werden. Die herkömmlichen Ansätze sind typischerweise aus administrativer Sicht schwierig einzurichten und aufrechtzuerhalten, wobei sie außerdem schwer von kleinen Organisationen auf große Unternehmen umzustellen sind. Somit werden bestimmte Produktivitätsgewinne durch die Verwaltungsgemeinkosten wieder aufgezehrt.
Ein herkömmlicher Ansatz für die Bereitstellung einer Zugriffssteuerung im Hinblick auf Ressourcenanfragen, die innerhalb eines Netzwerkes erzeugt werden, besteht darin, die Firewall-Technologie auszubauen und sich auf die bekannten Paketfilterungstechniken zu konzentrieren. Dies erfordert typischerweise den Einbau eines Computersystems als Router mit mindestens zwei Netzwerkschnittstellenkarten und wobei keine Datenpakete von einer Schnittstellenkarte zur anderen ohne vorherige Filterung weitergeleitet werden dürfen. Das heißt, die Firewall-Technologie wurde "umgedreht", um einen bestimmten Grad an Schutz bereitzustellen. Anstatt jene, die versuchen, von außen auf Ressourcen des Netzwerkes zuzugreifen, zu steuern, werden die Techniken dazu verwendet, jene, die von innen heraus versuchen, auf externe Ressourcen zuzugreifen, zu steuern. Dieser Ansatz mag in einigen Anwendungen gut funktionieren, ist aber für andere Anwendungen zu vereinfacht und inflexibel.
Die US-Patentschrift Nr. 5,727,146 von Savoldi et al., beschreibt ein Verfahren zur Sicherung des Netzwerkzugriffs auf ein Netzwerk. Alle Datenpakete, die über das Netzwerk übertragen werden, werden im Hinblick auf genehmigte Quelladressen überprüft, anstatt nur die anfänglichen Netzwerkverbindungspakete zu prüfen. Somit wird der Netzwerk-Zugriff auf einen Port dadurch sichergemacht, dass die Quelladresse jedes Paketes, das gesendet wird, überwacht wird, wenn ein Gerät versucht, auf den Port des Netzwerkes zuzugreifen. Wenn die Quelladresse einer genehmigten Quelladresse entspricht, die dem Port zugewiesen ist, an den das Gerät angeschlossen ist, wird dem Gerät erlaubt, auf das System zuzugreifen. Wenn jedoch das Gerät versucht, mit einer Quelladresse Zugriff zu erhalten, welche sich von der genehmigten Quelladresse unterscheidet, werden alle von dem Gerät gesendeten Pakete als fehlerhafte Pakete bezeichnet, um zu verhindern, dass sie von einem anderen Gerät im Netzwerk akzeptiert werden. Durch Überwachung aller Pakete erfasst das Systeme Fälle, in denen ein Gerät versucht, sich zu "tarnen", indem es zuerst mit einer genehmigten Quelladresse Zugriff zu erhalten versucht und dann ein Paket mit einer nicht genehmigten Quelladresse versendet.
Die US-Patentschrift Nr. 5,124,984 von Engel beschreibt eine Zugriffssteuerung für Peer-to-Peer-Kommunikationen innerhalb eines Local Area Network (LAN). Die Zugriffssteuerung überwacht Datenpakete, die zwischen Stationen übermittelt werden. Wenn bestimmt wird, dass ein Zugriff gesteuert werden muss, werden entweder die Datenpakete zerstört, oder der Kommunikationspfad zwischen zwei Stationen wird beendet oder geändert. Die Zugriffssteuerung ist weder Teil des physischen Kommunikationspfades noch Teil der Kommunikationsgrundeinrichtungen.
Ein weiterer Ansatz in Bezug auf die Umsetzung einer Netzwerk-Zugriffssteuerung besteht darin, Softwaremodule von Dritten zu von im Handel erhältlichen Proxy-Serverprodukten hinzuzufügen. Zum Beispiel können Softwaremodule, die dazu bestimmt sind, eine Zugriffssteuerung zu erreichen, einem Internet-Proxy-Server hinzugefügt werden. Die Nachteile dieses Ansatzes bestehen u. a. darin, dass tatsächlich nur eine kleine Untergruppe von Internetprotokollen über einen Internet-Proxy-Server geroutet werden. Diese Protokolle sind typischerweise auf die auf einem Browser basierenden FTP-, Gopher- und WWW-Protokolle beschränkt. Diese Untergruppe von Protokollen schließt nicht jene Protokolle ein, die bei der Übertragung von Paketen für E-Mail, Telnet, andere Datei-Übertragungen und Streaming-Audio- und Videodateien verwendet werden. Daher erlaubt die Verwendung von Internet-Proxy-Servern als Choke Points nur eine unvollständige Steuerung.
Ein weiterer Ansatz in Bezug auf den Versuch, den Zugriff zu steuern, besteht darin, "Black lists" oder "Control lists" in Proxy-Servern oder in einzelnen Client-Workstations zu erstellen. Dies ist ein etwas vereinfachter Ansatz, um den Anforderungen von Organisationen gerecht zu werden, und ist vom administrativen Standpunkt aus betrachtet für Unternehmen oft sehr aufwändig, da die Listen regelmäßig aktualisiert werden müssen.
Der Artikel "Firewalls fend off invasions from the Net", von S. Lodin und C. Schuba, IEEE Spectrum, 2/1998, Seite 26 ff, offenbart zwei Ausführungsformen von Firewalls für ein Computernetzwerk. In einer ersten Ausführungsform wird jedes Paket auf Zugriffsverweigerung oder Zugriffsgenehmigung hin überprüft. In einer zweiten Ausführungsform werden Zustandsinformationen von Paketen, die zur selben Verbindung gehören, gespeichert, und die Entschei dung (über einen Zugriff) erfolgt auf der Grundlage dieser Zustandsinformationen. In letzterer Ausführungsform erfolgt die Zugriffsbestimmung auf der Basis von Zustandsinformationen. Die Zugriffssteuerung erfolgt bei jedem Paket oder der Zustandsinformation, indem der Paketfluss innerhalb des Netzwerkverkehrs unterbrochen wird.
Die US-Patentschrift 5,124,984 lehrt, eine höhere Schicht einem logischen Test in spezifischer Weise zu unterziehen. Das Testverfahren schließt das Testen von Datenpaketen und Fragmenten von einzelnen, nicht zusammengefügten Datenpaketen einer bestimmten Schicht ein, d. h. Datenschicht, Netzwerkchicht usw., und zwar durch eine Regelbasis, die auf dem Protokoll für diese Schicht beruht.
Benötigt wird daher ein Verfahren und ein System zur Bereitstellung einer Steuerung des Zugriffs auf Ressourcen eines Netzwerkes, wobei die Netzwerkleistung nicht verringert wird.
KURZFASSUNG DER ERFINDUNG
Die Erfindung wird in den Ansprüchen 1 bzw. 11 definiert. Besondere Ausführungsformen werden in den abhängigen Ansprüchen dargestellt.
Ein Verfahren und ein System gemäß der vorliegenden Erfindung werden konfiguriert, um eine Steuerung des Zugriffs auf Ressourcen eines Netzwerkes bereitzustellen, indem Datenpakete einer bestimmten Übertragung gesammelt und zusammengefügt werden, um die Identifikation von Informationen aus Rohdatenpaketen auf der niedrigsten Ebene bis zu Daten auf der Anwendungsebene auf der höchsten Ebene zu ermöglichen. Im Hinblick auf das standardisierte Modell, das als International Standards Organiza tion (ISO) Modell bezeichnet wird, werden die Datenpakete zusammengefügt, um nicht nur die Informationen der unteren Schicht aus dem jeweiligen Kopf (Header) der Pakete zu bestimmen, sondern auch die kontextuellen Informationen aus der obersten Anwendungsschicht (d. h. Schicht 7). Zugriffsregeln werden im Anschluss daran angewendet, um zu bestimmen, ob die jeweilige Übertragung eine eingeschränkte Übertragung ist.
In der bevorzugten Ausführungsform erfolgen die Schritte des Empfangens und Zusammenfügens der Datenpakete in unterbrechungsfreier Weise in Bezug auf Auswirkungen auf den Verkehrsfluss durch das Netzwerk. Das heißt, die Datenpakete werden abgefangen, ohne dass es dadurch zu Auswirkungen auf die Netzwerkleistung kommt, es sei denn, es wird eine eingeschränkte Übertragung erfasst. Das Empfangen und Zusammenfügen der Datenpakete kann an einer Workstation oder an einem Server erfolgen, der für die Bereitstellung der Zugriffssteuerung bestimmt ist. Zum Beispiel kann eine freistehende Workstation als Knoten mit dem Netzwerk verbunden sein und in einen Promiscuous Mode (Modus, in dem alle Datenpakete unabhängig von der Zieladresse empfangen werden) geschaltet werden, um alle Datenpakete zu empfangen, die zu oder von anderen Knoten des Netzwerkes übertragen werden. Dies ermöglicht es der Workstation, die Fragmente (d. h. Datenpakete) jedes Versuchs, von einer anderen Stelle des Netzwerkes aus entweder auf externe Ziele oder andere interne Ziele zuzugreifen, zu empfangen. Die Fragmente werden zusammengesetzt, um ISO-Schicht-7-Informationen sowie Informationen einer niedrigeren Schicht zu identifizieren. In einem E-Mail-Kontext können die Anwendungsschichtinformationen, die von Interesse sind, die Informationen einschließen, die innerhalb der Zeilen einer E-Mail-Nachricht enthalten sind, die wie folgt lauten: "An", "Von" und "Betreff". In einem Internet-Kontext können die Anwendungsschichtinformationen, die von Interesse sind, den Text der HTML-Seiten enthalten.
Indem die hierfür vorgesehene Workstation und der hierfür vorgesehene Server außerhalb der direkten Pfade von Quellknoten zu Zielknoten gestellt werden, ist die Auswirkung auf den Netzwerkverkehr minimal. Das Verfahren und das System können jedoch auch durch Prüfung und Verwaltung bei einem Choke Point umgesetzt werden, wie einem propietären Proxy-Server, einer Firewall oder einem anderen Netzwerkknoten, der als Gateway zwischen dem Netzwerk und einem externen Netzwerk (z. B. dem Internet) agiert. Das Prüfen und die Verwaltung bei einem Choke Point können die Form eines Plug-in-Moduls für das Empfangen, Zusammenfügen und Prüfen von Datenpaketen in der oben beschriebenen Weise annehmen. Die Prüfung von Zugriffsversuchen an dem Choke Point bietet jedoch nicht den Grad an Zugriffssteuerung, der durch das Überwachen des gesamten Verkehrs innerhalb des Netzwerkes geboten wird und kann sich sehr wohl auf die Netzwerkleistung auswirken. Daher kann das System sowohl die Zugriffsüberwachung am Choke Point als auch eine unterbrechungsfreie Überwachung an einem anderen Punkt des Netzwerkes aufweisen.
Bei dem Ansatz, bei dem der Zugriff unterbrechungsfrei geprüft wird, können die hierfür vorgesehene Workstation oder der hierfür vorgesehene Server als "Barebones" TCP/IP virtuelle Rechner konfiguriert werden, um die Bereitstellung von Informationen zu ermöglichen, die sich von den unteren Schichten des ISO-Modells zur Anwendungsschicht erstrecken. Es kann mehr als eine hierfür vorgesehene Workstation oder einen hierfür vorgesehenen Server geben, insbesondere wenn das Netzwerk in Segmente aufgeteilt ist. Die Zugriffsregeln werden vorzugsweise als Regelbasis gespeichert, die zentralisiert werden kann, wenn es mehr als einen Knoten gibt, der eine Zugriffsverwaltung bereitstellt. Alternativ dazu ist die Regelbasis an einer einzelnen Stelle konfiguriert, wird dann aber automatisch auf jeden Zugriffssteuerungspunkt im Netzwerk verteilt.
Die Zugriffssteuerungsregeln können zu dem Zeitpunkt angewendet werden, zu dem eine Verbindung hergestellt wird, oder können von den Anwendungsprotokolldaten abhängen, die auf eine erfolgreiche Verbindung folgen. In der bevorzugten Ausführungsform werden die Regeln sowohl zum Zeitpunkt der Verbindungsherstellung als auch nach diesem Zeitpunkt, während Datenpakete zusammengefügt werden, angewendet. Wenn eine Knoten-zu-Knoten-Übertragung als Übertragung festgestellt wird, die durch die Regelbasis beschränkt wird, kann ein Verbindungsversuch abgelehnt werden, eine zuvor hergestellte Verbindung unterbrochen werden, es kann lediglich zu einem Protokollieren kommen oder es kann eine Kombination aus diesen Handlungen umgesetzt werden. Daten, die während der Verbindungsversuche oder während der Dauer einer Verbindung gesammelt werden, können an eine Software von Dritten weitergeleitet werden, um eine unabhängige Validierung durchzuführen. Dies ist jedoch nicht entscheidend.
Die Regelbasis wird vorzugsweise in zwei Regelsätze aufgeteilt. Der erste Satz betrifft die Zugriffsverwaltungsanforderungen in Bezug auf ausgehende Verbindungsversuche, während der zweite Satz die internen Verbindungsversuche betrifft. Die Regeln innerhalb jedes Satzes können geschichtet werden, um zu ermöglichen, dass scheinbar inkonsistente Regeln in eine einzelne Regelbasis aufgenommen werden. Zum Beispiel können Regeln innerhalb eines bestimmten Satzes sequentiell angewendet werden, so dass auf eine spezifische Regelanwendung zugegriffen wird, bevor ein Zugriff auf eine allgemeine Regel erfolgt, welche der spezifischen Regel widerspricht. Die Regelbasis wird vorzugsweise mit Begriffen konfiguriert, die Benutzern vertraut sind, z. B. mit Benutzernamen, Gruppennamen, Workstation-Identifikatoren, Zieladressen und URLs, erforderlichen Diensten, Tageszeit, Wochentag und Datengröße.
Ein Vorteil dieser Erfindung innerhalb einer Geschäftsumgebung liegt darin, dass das Verfahren und das System die Mitarbeiterproduktivität bewahren, indem sichergestellt wird, dass der Internet-Zugriff vorrangig für Geschäftszwecke verwendet wird. Ein weiterer Vorteil besteht darin, dass die Bandbreitenverfügbarkeit effizienter genutzt wird. Der Zugriff kann dynamisch, auf der Grundlage von Faktoren wie Tageszeit und Wochenzeit gesteuert werden. Ein weiterer Vorteil besteht darin, dass die innere Sicherheit erhöht wird, indem die Verwaltung des Zugriffs zu internen Computerressourcen sichergestellt wird.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
1 ist eine exemplarische Topologie eines Netzwerkes, das die Zugriffssteuerungsverwaltung gemäß der vorliegenden Erfindung verwendet.
2 ist ein Blockdiagramm einer beispielhaften Netzwerktopologie, welche mehr als einen Knoten aufweist, der eine Zugriffssteuerung gemäß der Erfindung durchführt.
3 ist ein schematisches Diagramm eines Ethernet-Datenpakets.
4 ist eine schematische Ansicht des Siebenschicht-ISO-Modells und der Quellschichten, die von der Erfindung genutzt werden.
5 ist eine Ansicht einer graphischen Benutzerschnittstelle (graphic user interface oder GUI) gemäß einer Ausführungsform von Regelkonfigurationen.
6 ist ein Blockdiagramm einer Ausführungsform eines Zugangssteuerungsgeräts gemäß der Erfindung.
7 ist ein Verfahrensfluss von Schritten für das Betreiben des Geräts von 6.
DETAILLIERTE BESCHREIBUNG
Unter Bezugnahme auf 1 wird ein beispielhaftes Netzwerk dargestellt, das einen Router 10 enthält, der den Zugriff zum globalen Kommunikationsnetzwerk, das als Internet 14 bezeichnet wird, für eine Organisation bereitstellt, die vor unerwünschten Eindringlingen durch eine Firewall 16 geschützt ist. Eine Reihe von herkömmlichen Benutzer-Workstations 18, 20 und 22 sind als Knoten des Netzwerkes enthalten. Eine vierte Workstation 24 kann mit den anderen Workstations identisch sein, ist aber dazu vorgesehen, die Zugriffssteuerungsverwaltung bereitzustellen. Somit ist die Workstation 24 eine Zugriffssteuerungsverwaltungskonsole (access control management console oder ACMC). Eine der anderen Workstations kann jedoch dazu verwendet werden, die Zugriffsregeln in einer Weise umzusetzen, die mit dem unten beschriebenen unterbrechungsfreien Verwaltungssystem konsistent ist. Die Workstation 24 kann ein herkömmlicher Desktop-Computer mit einem Plug-in-Zugriffsverwaltungsmodul 26 sein, um den Verkehr innerhalb des Netzwerkes zu überwachen.
Ein weiterer Knoten innerhalb des Netzwerkes ist ein propietärer Proxy-Server 28, der in herkömmlicher Weise verwendet wird, um ausgewählte Dienste, wie Internet-Dienste, zu ermöglichen. Ein Internet-Proxy-Server ist so gestaltet, dass er Leistungsverbesserungen ermöglicht, indem er Internet-Seiten, auf die häufig zugegriffen wird, im Cache speichert. Obwohl solche Server häufig ein bestimmtes Maß an Zugriffssteuerungspotential bereitstellen, indem sie sich den Umstand zunutze machen, dass alle HTTP-Umwandlungen durch diesen Dienst kanalisiert werden, ist die Zugriffssteuerungsfunktionalität kein Hauptanliegen, und nur eine Untergruppe der Protokolle, auf die man häufig im Internet stößt, werden durch herkömmliche Internet-Proxy-Server erkannt. Zum Beispiel kann der Proxy-Server 28 die Proxy-Fähigkeit für das HTTP-Protokoll und vielleicht für die auf einem Browser basierenden FTP und Gopher-Protokolle bereitstellen. Die Proxy-Fähigkeit erstreckt sich aber wahrscheinlich nicht auf andere TCP/IP-Anwendungsprotokolle, wie Telnet, News, E-Mail und viele propietäre Multimediaprotokolle.
Die Netzwerktopologie von 1 wird als beispielhafte Konfiguration dargestellt und soll die Beschreibung der Erfindung nicht einschränken oder einengen. Das Verfahren und das System, die unten beschrieben werden, können auf vielen verschiedenen Netzwerkkonfigurationen zum Einsatz kommen. Ferner ist die Erfindung nicht auf ein spezifisches Betriebssystem festgelegt, wenngleich angenommen werden kann, dass alle Workstations 18-24 auf dem Windows-Betriebssystem von Microsoft und alle Server 28 auf dem Windows-NT-Serverbetriebssystem von Microsoft laufen. Obwohl die Hauptverwendung des Verfahrens voraussichtlich darin bestehen wird, in Netzwerken verwendet zu werden, die TCP/IP-Protokolle verwenden, kann es ohne Probleme so angepasst werden, dass es mit jedem anderen Satz von Netzwerkprotokollen funktioniert, beispielsweise mit Novell IPX/SPX oder IBM NetBEUI.
Ferner wird angenommen, dass das Netzwerk, für das eine Zugriffsverwaltung bereitgestellt werden soll, eine Reihe von Benutzern, Benutzergruppen und Workstation-Adressen aufweist. Es wird angenommen, dass alle diese Punkte unter Verwendung bekannter Konfigurationsverfahren vorkonfiguriert wurden, die vom Anbieter des Netzwerkbetriebssystems bereitgestellt werden. Obwohl die Umsetzung der Erfindung auf Daten wie Benutzernamen und Gruppennamen aus einem Netzwerkbetriebssystem oder einer ähnlichen Quelle basieren kann, besteht keine Abhängigkeit von einem bestimmten Netzwerkbetriebssystem oder einem spezifischen Mechanismus für den Zugriff auf diese Daten. Die Verwendung von Benutzernamen und Gruppennamen, die mit anderen Systemoperationen konsistent sind, nutzt jegliche Ähnlichkeiten, die mit diesen Informationen bereits bestehen mögen. Darüber hinaus kann die Erfindung, in Ermangelung solcher Informationen, eine andere Benennungsnomenklatur verwenden, wie IP- oder Ethernet-Adressen.
Unter Bezugnahme jetzt auf 2 wird nun ein erstes Zugriffssteuerungsmodul 30 dargestellt, das auf der Workstation 18 eingerichtet wurde, um der Workstation zu ermöglichen, als passive Zugriffssteuerungsstation (passive access control station oder PACS) zu fungieren. Eine zweite Instanz eines Zugriffssteuerungsmoduls 32 ist auf dem Proxy-Server 28 installiert, so dass dieser Knoten als Proxy-Zugriffssteuerungsstation (proxy access control station oder PRACS) fungiert. Darüber hinaus ist eine dritte Instanz eines Zugriffssteuerungsmoduls 34 auf der Firewall 16 installiert, um eine Gateway-Zugriffssteuerungsstation (gateway access control station oder GACS) zu bilden. Ein entscheidender Punkt in dem System und dem Verfahren besteht darin, dass die einzelnen Workstations 20 und 22, auf die durch Benutzer zugegriffen wird, verwaltet werden können, ohne irgendwelche Soft warekomponenten spezifisch auf diesen Workstations zu installieren. Der Netzwerkverkehr wird überwacht und der Zugriff auf interne und externe Ressourcen gesteuert und verwaltet, entweder an Choke Points (die durch den Proxy-Server 28 und die Firewall 16 dargestellt sind) und/oder unterbrechungsfrei an Knoten, die keine Choke Points sind (dargestellt durch die Workstation 18). Die Zugriffssteuerungsmodule 30, 32 und 34 können installiert, deinstalliert und wieder installiert werden, und zwar auf jedem der Knoten des Netzwerkes und zu jeder Zeit, um sich so auf potentiell veränderte Netzwerktopologien oder geänderte Zugriffsverwaltungsgrundsätze einzustellen.
Der Standort und die Konfiguration der einzelnen Zugriffssteuerungsmodule 30, 32 und 34 werden durch eine Installiereinrichtung auf der Grundlage von pragmatischen Faktoren ausgewählt, um einen Grad an Zugriffssteuerung zu erreichen, der mit den Zugriffsverwaltungsgrundsätzen in Einklang steht. Wie zuvor erwähnt, ist das erste Zugriffssteuerungsmodul 30 nicht erforderlich, da die Workstation 24 dem doppelten Zweck dienen kann, einem Systemoperator zu erlauben, die Regelbasis für Zugriffsregeln zu konfigurieren und den Verkehr innerhalb des Netzwerkes unterbrechungsfrei zu überwachen. Das zweite Zugriffssteuerungsmodul 32 wird wahlweise verwendet, um sicherzustellen, dass der Zugriff für alle Benutzer verwaltet wird, die auf das WWW zugreifen, indem Internetbrowser so konfiguriert werden, dass sie über den Proxy-Server 28 laufen. Das dritte Zugriffssteuerungsmodul 34 wird wahlweise bei der Firewall 16 installiert, um zu prüfen, ob sowohl die Firewall als auch die anderen Zugriffssteuerungsmodule wirklich korrekt konfiguriert wurden und ihre erwünschten Aufgaben erfüllen. Firewalls sind manchmal schwierig zu konfigurieren, so dass Organisationen immer öfter Prüfungen in der zweiten Linie für ihre Netzwerke hinzufügen, um sicherzustellen, dass eine absolute Integrität aufrechterhalten wird. Die unterbrechungsfreie Überwachung an der hierfür vorgesehenen Workstation 18 ist jedoch in der Lage, alle Zugänge von allen Knoten im Netzwerk zu überwachen und zu steuern, unabhängig vom TCP/IP-Protokoll. Dieser Mechanismus kann verwendet werden, um alle Netzwerkzugänge zu verwalten, die nicht über den Proxy-Server 28 geroutet werden, wobei eine hohe Wahrscheinlichkeit besteht, dass ein unerwünschter Zugriff tatsächlich blockiert wird. Der Netzwerkverkehr wird unterbrechungsfrei überwacht. Dennoch können das System und das Verfahren aber auch verwendet werden, um etwaige Anfragen für Ressourcen vorausschauend zu blockieren.
Die unterbrechungsfreie Überwachung von Netzwerkverkehr an der Workstation 18 erfolgt durch Empfangen und Zusammenfügen von Datenpaketen von Knoten-zu-Knoten-Übertragungen. Moderne Netzwerke, einschließlich des Internets, sind Paketvermittlungsnetzwerke, bei denen eine Übertragung in Datenpakete aufgeteilt wird, die getrennt zu einem Zielknoten übertragen werden. Am Zielknoten werden die Pakete zusammengefügt, um das ursprüngliche zusammengesetzte Signal zu bilden. 3 zeigt ein Ethernet-Datenpaket gemäß der RFC-Basis 894. Verkehr innerhalb des Netzwerkes von 1 und 2 kann in der Form von Übertragungen von Ethernetpaketen erfolgen. Jedes Ethernetpaket 36 weist fünf Segmente auf. Ein erstes 6-Byte-Segment 38 identifiziert die Zielknotenadresse, während ein zweites 6-Byte-Segment 40 die Adresse des Quellknotens identifiziert. Das dritte Segment 42 ist ein 2-Byte-Segment, das den Protokolltyp identifiziert. Ein Datenfeld 44 weist eine variable Länge mit maximal 1500 Bytes auf. Das Datenfeld 44 enthält die Benutzerinformationen. Schließlich ist das fünfte Segment 46 ein Prüfsummenfeld, das für die Erfassung von Fehlern und für Korrekturzwecke verwendet wird.
Wie auf dem Fachgebiet weithin bekannt, werden andere Standards für die Paketvermittlung verwendet. Zum Beispiel weist jeder Header, der in einer TCP-Übertragung oder einer UDP (User Datagram Protocol)-Übertragung verwendet wird, eine 16-Bit-Zielport-Nummer auf. Ein Ethernetpaket, in deren Datenfeld ein TCP/IP-Paket oder ein UDP/IP-Paket eingebettet ist, weist drei Bezeichnungen auf: (1) die Ethernetadressen des Quell- und des Zielknotens; (2) die IP-Adressen des Quell- und des Zielknotens; und (3) die IP-Port-Nummer des Zielknotens. Andere Protokolle sind in TCP/IP-Netzwerken vorhanden und in Betrieb und steuern Handlungen wie z. B. Routing und die Übersetzung von IP-Adressen aus und in Hostnamen. Ein Protokoll, das als ARP (Address Resolution Protocol) bezeichnet wird, ordnet auch IP-Adressen den Ethernetadressen zu.
Durch das Abfangen des Ethernetpakets 36 von 3 stehen die Zieladresse, die Quelladresse und die Benutzerdaten dem Überwachungsknoten zur Verfügung. Für die unterbrechungsfreie Überwachung, zu der es bei Workstation 18 von 2 kommt, kann die Workstation in den Promiscuous Mode versetzt werden, wobei es dort zu keiner Auswirkung auf die Leistung des Netzwerkes kommt. Die Pakete, die für eine bestimmte Knoten-zu-Knoten-Übertragung spezifisch sind, können jedoch dadurch gesammelt und zusammengefügt werden, dass das Zugriffssteuerungsmodul 30 einfach so konfiguriert wird, dass die Workstation als virtueller Rechner mit Bare-Bones TCP/IP-Protokoll arbeitet. Die Workstation kann dann die Fragmente eines Mehrpaketsignals zusammensetzen. Dadurch wird es der Zugriffsverwaltungssteuerung ermöglicht, Entscheidungen auf die Informationen zu stützen, die aus verschiedenen Ebenen des ISO-Modells ableitbar sind – von den unteren Schichten bis hin zur obersten Anwendungsschicht.
Ein Kommunikationsprotokoll ist ein geschichteter Satz, der oft als ein "Stapel" bezeichnet wird. Die International Standards Organization (ISO) hat ein Modell entwickelt, das als das ISO-7-Schichtmodell bezeichnet wird und das als Grundreferenz dient. Jede Schicht stellt eine bestimmte Funktion dar. Die Funktion einer bestimmten Schicht kann in Hardware oder Software oder einer Kombination aus Hardware und Software ausgeführt werden. Manchmal erfüllt ein einzelnes Programm die Funktionen von mehr als einer Schicht. 4 zeigt die sieben Schichten des ISO-Modells. Die unterste Schicht, die als physikalische Schicht 60 bezeichnet wird, ist die Hardware-Netzwerkverbindung, beispielsweise ein physikalischer Draht. Die ISO-Schicht 2, die Datenverbindungsschicht 52, ist für die Bereitstellung verlässlicher Datenübertragungen verantwortlich. Die Schicht 2 kann eine Netzwerkschnittstellenkarte sein, die einen Computer mit dem Netzwerk verbindet.
Die ISO-Schicht 3, die Netzwerkschicht 54, ist die Netzwerk-Software für das Routing von Paketen durch das Netzwerk. Die ISO-Schicht 4, die Transportschicht 56, transportiert Daten von dem Netzwerk zu den oberen Ebenen des ISO-Modells.
Die ISO-Schicht 5, die Sitzungsschicht 58, beschäftigt sich mit dem Herstellen von Netzwerksitzungen. Logische Verbindungen werden auf der Basis einer Benutzeranforderung hergestellt. Die ISO-Schicht 6, die Präsentationsschicht 60, beschäftigt sich mit der Übergabe von Daten an eine Anwendung, die sich in der ISO-Schicht 7 befindet, der Anwendungsschicht 62. Zu Beispielen der Anwendungsschicht zählen FTP, HTTP und SMTP. Die Schicht 7 stellt einen Internet-Zugriff für einen Benutzer bereit.
4 zeigt drei Eingaben für einen Schritt 64 zum Speichern von Datenpaketen. Die erste Eingabe 66 stellt die tatsächliche Eingabe von Datenpaketen dar, während die zweite 68 und die dritte Eingabe 70 operative Darstellungen sind. Unter Bezugnahme auf 2 und 4 empfängt die Workstation 18, welche den Netzwerkverkehr unterbrechungsfrei überwacht, nach innen und nach außen gerichtete Datenpakete durch Schicht 1 und Schicht 2. Wie zuvor festgehalten, ist die Netzwerkschnittstellenkarte von Schicht 2 auf den Promiscuous Mode eingestellt, so dass die Datenpakete des Netzwerkes über die physikalische Schicht 50 erhalten werden. Wahlweise kann die Regelbasis des Zugriffsverwaltungsmoduls 28 öfter als einmal verwendet werden. In einer ersten Anwendung der Regelbasis kann das erste Paket einer Ressourcenanforderung verwendet werden, um den Quellknoten und den Zielknoten zu erfassen, wodurch es möglich wird, die Festlegungen von Zugriffen auf diese Informationen der unteren Ebene zu stützen. Entscheidungen einer höheren Ebene können nur getroffen werden, nachdem eine Verbindung hergestellt wurde und der tatsächliche Inhalt begonnen hat, über diese Verbindung zu fließen. Dies steht im Kontrast zu herkömmlichen Funktionsweisen von Firewalls, welche typischerweise nur als Paketfilter niedriger Ebene (z. B. auf ISO-Schicht 2) agieren.
Wie durch die Eingabe 68 angegeben, beinhaltet die Erfindung das Zusammenfügen von Datenpaketen, um Informationen auf der Transportschicht 56 und der Netzwerkschicht 54 des ISO-Modells zu erfassen. Darüber hinaus werden Schicht-7-Informationen erworben, indem die Datenpakete zusammengefügt werden, wie dies durch die Eingabe 70 dargestellt wird. Zum Beispiel können in einer E-Mail-Umgebung die Anwendungsschichtinformationen, die für die Anwendung der Regelbasis relevant sein können, Informationen innerhalb der Betreffzeile einer E-Mail-Nachricht enthalten. Diese Informationen können nur erhalten werden, wenn auf die Datenfelder der Datenpakete der E-Mail-Nachricht zugegriffen wird. Im Schritt 66 erhält man die erforderlichen Informationen für die Anwendung der Regelbasis. Wie zuvor erwähnt, kann die Anwendung für eine einzelne Mehrpaketübertragung öfter als einmal erfolgen. Inwieweit das Bereitstellen von einzelnen oder mehrfachen Regelanwendungen wünschenswert ist, hängt von einer Reihe von Faktoren ab.
Unter Bezugnahme jetzt auf 5 wird nun eine Ausführungsform einer graphischen Benutzerschnittstelle (GUI) 68 dargestellt, die von einem Systemoperator dazu verwendet wird, die Regelbasis zu konfigurieren, welche die Funktionsweise der Zugriffssteuerungsmodule 30, 32 und 34 von 2 bestimmt. Die Funktionsweise jedes Zugriffssteuerungsmoduls wird durch Regeln bestimmt, die bei der ACMC 24 konfiguriert werden, welche das Zugriffsverwaltungsmodul 26 enthält. Das Verwaltungsmodul präsentiert die GUI 68, obwohl dies für die Erfindung nicht entscheidend ist.
In der bevorzugten Ausführungsform umfasst die Regelbasis einen Zwillingssatz von sortierten Regeln. Einer dieser Regelsätze betrifft die Zugriffsverwaltungsanforderungen für einen nach außen gerichteten Zugriff, während der zweite Satz die nach innen gerichteten Verbindungsversuche betrifft. In jedem Satz sind die Regeln aufeinanderfolgend sortiert, wodurch die Reihenfolge bestimmt wird, in der die Regeln berücksichtigt werden. Diese Sequenzierung gewährleistet, dass Regeln in einer spezifischen bestimmenden Reihenfolge angewendet werden, wodurch es dem Systemoperator ermöglicht wird, spezifischere Regeln vor allgemeineren Regeln zu schichten. Somit können scheinbar inkonsistente Regeln festgelegt werden. Zum Beispiel kann eine Regel so konfiguriert werden, dass sie dem Benutzer A Zugriff auf eine bestimmte Ressource ermöglicht, vor einer Regel, welche jeden innerhalb der Organisation daran hindert, auf diese Ressource zuzugreifen. Dies führt dazu, dass dem Benutzer A der Zugriff gestattet wird und der Zugriff auf diese Ressource für alle anderen Benutzer gesperrt ist.
Nachdem eine Regelbasis durch einen Systemoperator konfiguriert worden ist, wird die Regelbasis auf die Zugriffssteuerungsmodule 30, 32 und 34 heruntergeladen. Somit können etwaige spätere Änderungen an der Regelbasis bei den verschiedenen Knoten in einer effizienten dynamischen Weise umgesetzt werden.
Zur Konfiguration der Regeln können verschiedene Objekte eingesetzt werden, um eine gröbere oder weniger grobe Regel bereitzustellen. Die betroffenen Parteien können durch Benutzernamen und Gruppennamen (beide typischerweise vom Netzwerkbetriebssystem aus), durch Ad-Hoc-Gruppierungen von Benutzern und Workstation-Adressen bestimmt werden. Andere Objekte schließen Netzwerkdienste, Quelladressen (IP-Adresse, Hostname oder URL), Zieladressen (IP-Adresse, Hostname oder URL) und Zeitfensterspezifikatoren (Tageszeit, Wochentag usw.) ein. Diese Objekte werden graphisch auf jede Regel gezogen und abgelegt, so wie dies notwendig ist, um die Regel innerhalb der Gesamtregelbasis dynamisch und graphisch aufzubauen. In Zusammenhang mit jeder Regel wird eine Handlung konfiguriert, um die Maßnahme festzulegen, die ergriffen werden sollte, wenn während der Laufzeit entsprechende Bedingungen auf eine Regel zutreffen. Mögliche Maßnahmen sind unter anderem (1) Nichtzulassen des Verbindungsversuches, (2) Zulassen des Verbindungsversuches, so dass dieser abgeschlossen wird, (3) Weiterleiten der Entscheidung, ob eine Verbindung zugelassen oder nicht zugelassen werden sollte, an eine Komponente von Dritten (welche zum Beispiel eine Kontrollliste konsultieren oder andere Prüfungen durchführen kann), (4) Zulassen der Verbindung, aber Durchführen einer weiteren Analyse in Bezug auf den Datenstrom, um zu bestimmen, ob eine Verbindung zu einem späteren Zeitpunkt unterbrochen werden soll (z. B. auf der Grundlage der Anzahl der übertragenen Bytes), und (5) weiteres Sammeln des Datenstroms und Weiterleiten dieses gesammelten Datenstroms an eine Komponente von Dritten zum Zwecke einer weiteren Analyse (z. B. ein Anti-Virus-Produkt).
Regeln können mit Hilfe der graphischen Benutzerschnittstelle 68 von 5 verändert, gelöscht oder neu geordnet werden. Die Regelbasis wird in einem internen Format gespeichert, das dann den verschiedenen Zugriffssteuerungsmodulen 30, 32 und 34 zur Verfügung gestellt wird, wie oben beschrieben.
Die graphische Benutzerschnittstelle 68 wird in zwei Abschnitte aufgeteilt.
Der untere Abschnitt 70 wird verwendet, um Netzwerkobjekte, wie Benutzernamen, Gruppen, Workstations und andere ähnliche Einheiten, die oben erwähnt wurden, zu definieren. Diese Informationen werden von dem Systemoperator zusammengetragen, wobei jedoch so viele Informationen wie möglich von dem Netzwerkbetriebssystem zusammengetragen werden. Typischerweise werden alle Benutzernamen, Gruppennamen und Workstation-Adressen durch Bezug auf das Netzwerkbetriebssystem hergestellt. Es ist auch möglich, aus praktischen Gründen Ad-Hoc-Gruppen zu bilden, beispielsweise Gruppen von Benutzern, die nicht konfiguriert sind oder die in dem Netzwerkbetriebssystem unterschiedlich konfiguriert sind. Eine objektorientierte Technologie vereinfacht den Definitionsprozess, indem die Definition von operativen Parame tern für Objektklassen ermöglicht wird, anstatt für jedes einzelne Netzwerkelement. Somit ist es möglich, eine Zugriffssteuerung auf einer spezifischen Ebene der Steuerung von Zugängen einzelner Benutzer und auf einer allgemeineren Ebene von Netzwerkgruppen von Benutzern oder Ad-Hoc-Benutzergruppen durchzuführen. Dadurch ist der Operator flexibel in der Zugriffsverwaltung. Daher ist es möglich, unterschiedliche Zugriffssteuerungskriterien für unterschiedliche Ebenen von Mitarbeitern und Managern anzuwenden.
Andere Objekte, die in dem unteren Abschnitt 70 der GUI 68 definiert sind, sind Dienste, wie E-Mail, Dateiübertragung, WWW und jeder andere mögliche Satz von Diensten, die in einem TCP/IP-Netzwerk zugelassen sind. Spezifische Eigenschaften eines Dienstes schließen seinen Namen und seine TCP/IP-Port-Nummer ein. Bestimmte weithin bekannte Dienste werden für den Operator vorkonfiguriert. Zum Beispiel ist bekannt, dass der Telnet-Dienst auf Port 23 vorkonfiguriert sein sollte. Es können jedoch vom Operator alle möglichen Dienste hinzugefügt oder geändert werden.
Der obere Abschnitt 72 der GUI 68 enthält die Regeln. Der gesamte Regelsatz wird als die Regelbasis bezeichnet. Regeln werden graphisch vom Operator geschaffen, indem er Objekte von dem unteren Abschnitt 70 zieht und sie in spezifische Regeln des oberen Abschnitts 70 legt. Die Regelreihenfolge ist wichtig und kann graphisch durch Ziehen einer Regel in eine neue Position in der Sequenz geändert werden. Wenn Regeln während der Laufzeit konsultiert werden, wird in der Reihenfolge von oben nach unten vorgegangen. Wie zuvor angeführt, werden zwei Regelsätze geführt, einer betrifft nach außen gerichtete Kommunikationen und der andere nach innen gerichtete Kommunikationen.
In der bevorzugten Ausführungsform werden Speicherprotokolle für Transaktionsdaten geführt. Die Speicherprotokolle können für alle Transaktionsdaten oder für Untergruppen der Daten geführt werden. Die Speicherprotokolle können dann für eine weitere Analyse durch eingebaute Komponenten oder Komponenten von Dritten verwendet werden. Dies ist aber für die Erfindung nicht entscheidend.
6 ist eine beispielhafte Anordnung von Hardware und Software zur Umsetzung des Netzwerk-Zugriffssteuerungssystems und -verfahrens. Eine passive Zugriffssteuerungsstation (PACS), wie die Workstation 18 von 2, weist einen Eingangsport 74 auf, der in einen Modus gesetzt wird, um alle Datenpakete zu empfangen, die für einen beliebigen Knoten im Netzwerk bestimmt sind. Die Datenpakete, die für eine bestimmte Knoten-zu-Knoten-Übertragung spezifisch sind, werden bei einem Paket-Zusammenfüger 76 miteinander verbunden. Detaillierte Informationen aus den zusammengefügten Datenpaketen werden so lange gespeichert, bis ausreichende Informationen in Bezug auf die Knoten-zu-Knoten-Übertragung erhalten werden, um die zuvor konfigurierte Regelbasis 70 anzuwenden. Das Verfahren zur Anwendung der Regelbasis auf die erhaltenen Informationen kann in einem einzelnen Schritt oder in mehreren Schritten ausgeführt werden. Zum Beispiel sind in 6 ein Zustandsidentifikator 80 und ein Kontextidentifikator 82 vorhanden. Der Zustandsidentifikator wird verwendet, um Informationen bezüglich der unteren Schichten des ISO-Modells festzulegen, während der Kontextidentifikator 82 Informationen höherer Schichten, einschließlich der Anwendungsschicht, erwirbt. Die Regelbasis 78 kann ein erstes Mal konsultiert werden, wenn der Zustandsidentifikator 80 ausreichend Informationen erworben hat und kann ein zweites Mal verwendet werden, wenn der Kontextidentifikator 82 ausreichende Informationen einer höheren Ebene erworben hat.
Es ist wichtig, festzuhalten, dass Informationen, die gespeichert werden, sowohl Zustandsinformationen einer niedrigen Ebene als auch Kontextinformationen enthalten, die an Stellen im Netzwerkstapel entdeckt werden, die nicht zu Schicht 1 und 2 zählen. Es wird ein volles Wissen über die Anwendungsschicht erzielt, ohne dafür spezifische Anwendungs-Proxys für jeden Dienst verwenden zu müssen. Die zwei Teile des Proxy-Verfahrens sind verbunden, um Vorkehrungen für die Möglichkeit zu schaffen, dass Proxy-Verbindungen hergestellt werden, da der reale Quellknoten und der End-Zielknoten identifiziert werden müssen, um zu gewährleisten, dass die richtige Regel bei der Verwaltung des Netzwerkzugriffs verwendet wird.
Wenn festgestellt wird, dass eine bestimmte Knoten-zu-Knoten-Übertragung uneingeschränkt ist, wird die Übertragung durch das Verfahren nicht beeinträchtigt. Wahlweise können Daten bezüglich der Übertragung in einem Protokoll 84 gespeichert werden. Wenn es sich bei der Übertragung jedoch um eine eingeschränkte Übertragung handelt, können von einer Verbindungskontrolleinrichtung 86 unterschiedliche Maßnahmen ergriffen werden. Wenn die Verbindung von einem Quellknoten zu einem Zielknoten nicht abgeschlossen worden ist, kann die Verbindungskontrolleinrichtung ein Signal erzeugen, das über den Ausgangsport 88 zu einem geeigneten Knoten (z. B. einem Router) ausgegeben wird, um die Verbindung zu verhindern. Für Fälle, in denen die Verbindung hergestellt worden ist, kann die Kontrolleinrichtung 86 ein Signal erzeugen, welches die Verbindung deaktiviert. Als dritte Alternative kann die Verbindung zugelassen werden, wobei jedoch eine weitere Analyse des Datenstroms durchgeführt werden kann, um festzustellen, ob die Verbindung zu einem späteren Zeitpunkt unterbrochen werden sollte (z. B. auf der Grundlage der Byte-Anzahl, die während der Verbindung übertragen wird). Die Entscheidung, ob die Verbindung zugelassen wird oder nicht, kann auf einen anderen Knoten übertragen werden, beispielsweise eine Komponente von Dritten, welche eine Kontrollliste konsultiert oder andere Prüfungen durchführt.
7 zeigt im Detail die Schritte für die Bereitstellung der Zugriffssteuerung gemäß der Erfindung. In Schritt 90 wird Netzwerkverkehr unterbrechungsfrei überwacht, beispielsweise durch die Workstation 18 von 2. Pakete, die für eine bestimmte Kommunikation (d. h. Knoten-zu-Knoten-Übertragung) spezifisch sind, werden in Schritt 92 identifiziert und in Schritt 94 zusammengefügt. Der Entscheidungsschritt 96 bestimmt, ob ausreichende Informationen erhalten wurden, um die Regeln der Regelbasis anzuwenden.
Wenn ausreichende Informationen erhalten wurden, um die Regelbasis anzuwenden, wird die erste Regel konsultiert, um festzustellen, ob der Satz an Paketinformationen der Regel entspricht. Wie zuvor angeführt, ist die Regelbasis in einen ersten Satz von Regeln, die sich auf nach außen gerichtete Kommunikation beziehen, und einen zweiten Satz von Regeln, die sich auf nach innen gerichtete Kommunikation beziehen, unterteilt. Darüber hinaus werden die Regeln in den jeweiligen Sätzen von oben nach unten konsultiert. Somit ist die Regel, die in Schritt 98 angewendet wird, die erste Regel in dem entsprechenden Regelsatz. Bei Schritt 100 wird eine Entscheidung dahingehend getroffen, ob der Informationssatz der in Schritt 98 angewendeten Regel entspricht. Wenn eine solche Entsprechung mit der Regel erkannt wird, wird die entsprechende Regelmaßnahme bei Schritt 102 ergriffen. Die entspre chende Regelmaßnahme kann innerhalb der Regelbasis bezeichnet werden. Wenn die Regel im positiven Sinne formuliert ist (z. B. "alle HTTP-Verbindungen zulassen"), wird die Maßnahme ermöglichen, dass die Verbindung ungestört aufrechterhalten bleibt. Andere vorgeschriebene Maßnahmen können das Protokollieren von Informationen in eine Datenbank, das Senden einer E-Mail-Nachricht, das Auslösen eines Alarms in einer zuvor festgelegten Weise oder das Weiterleiten des Dateninhalts der Verbindung an ein Verfahren eines Dritten aufweisen, mit dem bestimmt werden kann, ob die Verbindung aufrechterhalten werden soll, indem auf andere Daten verwiesen wird, wie Anti-Viren-Regeln oder eine oder mehrere Kontrolllisten.
Wenn in dem Entscheidungsschritt 100 festgestellt wird, dass die erste Regel nicht anwendbar ist, bestimmt der Entscheidungsschritt 104, ob es eine andere anwendbare Regel gibt. Wenn es innerhalb des Satzes an Regeln, die auf die betreffende Kommunikation anwendbar sind, fünfzehn Regeln gibt, werden die Schritte 98, 100 und 104 fünfzehn Mal oder so lange wiederholt, bis der Informationssatz einer der Regeln entspricht.
Vorzugsweise gibt es am Ende jedes Regelsatzes in der Regelbasis eine voreingestellte Regel. Jetzt wird kurz auf 5 Bezug genommen, wo die GUI 68 sechs Regeln in ihrem Satz an Regeln für nach außen gerichtete Kommunikation im oberen Abschnitt 72 der GUI zeigt. Die sechste und letzte Regel, die anzuwenden ist, ist die voreingestellte Regel, welche nach außen gerichtete Kommunikationen, die nicht spezifisch innerhalb des Satzes zugelassen sind, nicht zulässt. Alternativ dazu kann die voreingestellte Regel lauten, dass die Kommunikation zugelassen wird.
Nachdem alle entsprechenden Regeln angewendet wurden, wird der wahlweise Entscheidungsschritt 106 ausgeführt. Die Zugriffsregeln der Regelbasis sind voranalysiert, um festzustellen, welche Regeln während der Dauer des Verbindungsaufbaus angewendet werden können, und welche Regeln für eine Anwendung aufgeschoben werden müssen, die erfolgt, sobald die Verbindung aufgebaut ist und die Daten fließen. Wenn – bei einer speziellen Knoten-zu-Knoten-Übertragung – festgestellt wird, dass keine Regel aufgeschoben werden müssen, kann die voreingestellte Regel während der Dauer des Verbindungsaufbaus angewendet werden, wobei angenommen wird, dass es keine vorhergehende Regel gibt, welche eine positive Antwort bei Schritt 100 bereitstellt. Wenn jedoch Zugriffsregeln angewendet werden müssen, sobald die Daten fließen, wird die voreingestellte Regel zusammen mit den aufgeschobenen Regeln angewendet. Somit wird – wenn es Zugriffsregeln gibt, die sich auf den Datenfluss beziehen – ein Abschließen der Verbindung ermöglicht, es sei denn, es wird bei Schritt 100 festgestellt, dass es sich bei der Verbindung um eine eingeschränkte Verbindung handelt. Wenn bei Schritt 106 festgestellt wird, dass Regeln aufgeschoben wurden, werden die Pakete weiterhin bei Schritt 94 zusammengefügt und das Verfahren wiederholt sich, um die aufgeschobenen Regeln anzuwenden. Wenn hingegen keine aufgeschobenen Regeln vorhanden sind, kehrt das Verfahren zu Schritt 92 des Identifizierens von Paketen einer spezifischen Kommunikation zurück. Die Umsetzung oder auch die bloße Existenz des Schrittes 106 ist für die Erfindung jedoch nicht von entscheidender Bedeutung.
Es ist festzuhalten, dass an den oben angeführten Beispielen verschiedene Änderungen und Modifizierungen durchgeführt werden können, um dieselben Ergebnisse zu erzielen, ohne dass dadurch der Schutzumfang des Verfah rens und des Systems verlassen wird. Zum Beispiel kann eine Zugriffsverwaltungssteuerung auf einem allgemeinen Gateway-Rechner erfolgen, anstatt mit einer Firewall, einem Proxy-Server oder einer passiven Workstation.

Claims

Verfahren zur Bereitstellung einer Steuerung des Zugriffs auf Ressourcen eines Netzwerks, wobei das Verfahren folgende Schritte umfasst: Überwachen (90) des Netzwerkverkehrs, was den Empfang von Datenpaketen (36), die zu und von Knoten (18, 20, 22) des Netzwerks übertragen werden, einschließt; Identifizieren (92) einer Vielzahl der genannten empfangenen Datenpakete (36) in Bezug auf einzelne Knoten-zu-Knoten-Übertragungen innerhalb des genannten Netzwerks, die für die einzelnen Knoten-zu-Knoten-Übertragungen spezifisch sind; und Anwenden (98) von Zugriffsregeln, um festzustellen, ob einzelne Knoten-zu-Knoten-Übertragungen eingeschränkte Übertragungen sind, was einschließt, dass die genannten Feststellungen auf einem Identifizieren von Quell- und Zielknoten und Anwendungsschichtinformationen für die genannten einzelnen Knoten-zu-Knoten-Übertragungen beruhen; gekennzeichnet durch ein Zusammenfügen (94) jeder der genannten Vielzahl von empfangenen Datenpaketen, die für eine der genannten Knoten-zu-Knoten-Übertragungen spezifisch ist, wobei eine zusammengefügte Mehrpaket-Kommunikation für jede der genannten Knoten-zu-Knoten-Übertragungen gebildet wird; und Identifizieren der genannten Quellknoten (40) und der genannten Zielknoten (38) und der genannten Anwendungsschichtinformationen (44) für die einzelnen genannten Knoten-zu-Knoten-Übertragungen auf der Grundlage der zusammengefügten Mehrpaket-Kommunikationen, wobei das genannte Überwachen (90) des Netzwerkverkehrs, Zusammenfügen und Anwenden der Zugriffsregeln durch einen dazu bestimmten Knoten (18) in dem genannten Netzwerk erfolgt, wobei der dazu bestimmte Knoten (18) alle genannten Datenpakete (36) erhält, ohne dass die Leistung des Verkehrsflusses des genannten Netzwerks beeinträchtigt wird, es sei denn, es wird eine eingeschränkte Übertragung erfasst, und die Zugriffsregeln auf die genannten zusammengefügten Mehrpaket-Kommunikationen angewendet (98) werden.
Verfahren nach Anspruch 1, wobei die genannten Schritte des Empfangens (90) und Zusammenfügens (92 und 94) der genannten Datenpakete (36) bei einem Netzwerkelement (24) ausgeführt werden, das sich außerhalb der direkten Pfade von den genannten Quellknoten (40) zu den genannten Zielknoten (38) der genannten Knoten-zu-Knoten-Übertragungen befindet.
Verfahren nach Anspruch 2, wobei die genannten Schritte des Empfangens (90) und Zusammenfügens (92 und 94) der genannten Datenpakete (36) bei einer Workstation (24) ausgeführt werden, die zur Bereitstellung einer Zugriffssteuerung für die genannten Ressourcen bestimmt ist.
Verfahren nach Anspruch 1, welches ferner einen Schritt umfasst, bei dem auf der Grundlage des genannten Schritts des Anwendens (98) der genannten Zugriffsregeln bestimmt (100) wird, ob die einzelnen genannten Knoten-zu-Knoten-Übertragungen abgelehnt werden sollen.
Verfahren nach Anspruch 1, welches ferner einen Schritt des Erzeugens der genannten Zugriffsregeln in Form einer Regelbasis (78) umfasst, welche einen ersten Regelsatz beinhaltet, der für einzelnen Knoten-zu-Knoten-Übertragungen spezifisch ist, die einen Quell- und einen Zielknoten aufweisen, von denen sich einer außerhalb des genannten Netzwerks befindet, und ferner einen zweiten Regelsatz beinhaltet, der für einzelne Knoten-zu-Knoten-Übertragungen spezifisch ist, bei denen sowohl der genannte Quell- als auch der genannte Zielknoten (18, 20 und 22) Netzwerkelemente des genannten Netzwerks sind, wobei der genannte Schritt des Anwendens (98) der genannten Zugriffsregeln beinhaltet, dass der genannte erste und der genannte zweite Satz auf benutzererzeugte Informationen angewendet werden, die aus den genannten zusammengefügten Mehrpaket-Kommunikationen ermittelt werden.
Verfahren nach Anspruch 5, wobei der genannte Schritt des Erzeugens der genannten Zugriffsregeln beinhaltet, dass der genannte erste Regelsatz so ausgebildet wird, dass er für Kommunikationen über das globale Kommunikationsnetzwerk, das als Internet (14) bekannt ist, spezifisch ist, und beinhaltet, dass der genannte zweite Regelsatz so ausgebildet wird, dass er für Kommunikationen spezifisch ist, die sich auf derselben Seite einer Firewall (16) des genannten Netzwerks befinden.
Verfahren nach Anspruch 6, wobei der genannte Schritt des Zusammenfügens (92 und 94) der genannten empfangenen Datenpakete für mindestens einen der Dienste, Transmission-Control-Protocol(TCP)-Dienste und User-Datagram-Protocol(UDP)-Dienste aktiviert ist.
Verfahren nach Anspruch 5, wobei der genannte Schritt des Erzeugens der genannten Zugriffsregeln ferner beinhaltet, dass mindestens einige der genannten Zugriffsregeln auf Zeit basieren, so dass die genannten Feststellungen, ob die einzelnen Knoten-zu-Knoten-Übertragungen eingeschränkte Übertragungen sind, zeitabhängige Feststellungen sind.
Verfahren nach Anspruch 1, wobei der genannte Schritt des Identifizierens der genannten Quell- und Zielknoten (40 und 38) und der genannten Anwendungsschichtinformationen (44) das Sammeln von ISO-Schicht-7-Daten zur Verwendung in dem genannten Schritt des Anwendens (98) der genannten Zugriffsregeln beinhaltet.
Verfahren nach Anspruch 1, welches ferner einen Schritt des Ausführens des Erfassens eines Eindringens in das genannte Netzwerk in Bereich der ersten Linie an einem Eintrittspunkt des genannten Netzwerks umfasst, so dass Übertragungen von Knoten, die sich außerhalb des genannten Netzwerks befinden, Beschränkungsregeln bezüglich des Eindringens im Bereich der ersten Linie unterzogen werden, wobei das Erfassen eines Eindringens ins Netzwerk im Bereich der ersten Linie von dem genannten Schritt des An wendens (98) der genannten Zugriffsregeln unabhängig ist.
System zum Bereitstellen einer Steuerung des Zugriffs auf Ressourcen eines Netzwerks, wobei das System Folgendes umfasst: eine Vielzahl von Knoten (18, 20, 22), einschließlich Rechnergeräte; Mittel, die geeignet sind, Datenpakete zu und von den genannten Knoten abzufangen; Mittel (76), die geeignet sind, die genannten Datenpakete von diskreten Übertragungen zu identifizieren; Mittel (80, 82), die geeignet sind, Quellen, Ziele und benutzererzeugte Anwendungsschichtinformationen festzustellen; einen Regelbasisspeicher (78) mit einer Vielzahl von Regeln, die sich auf die Steuerung des Zugriffs auf die genannten Ressourcen des Netzwerks beziehen; und Mittel (86), die geeignet sind, den genannten Zugriff so zu steuern, dass die genannten Regeln den genannten Quellen, Zielen und benutzererzeugten Anwendungsschichtinformationen aus den genannten Feststellungsmitteln (80, 82) zugeordnet werden; dadurch gekennzeichnet, dass die genannten Mittel zum Abfangen einem dazu bestimmten Knoten (18) des genannten Netzwerks zugewiesen sind, der geeignet ist, alle genannten Daten pakete abzufangen, ohne die Leistung des Paketflusses innerhalb des genannten Netzwerks zu beeinträchtigen, es sei denn, es wird eine eingeschränkte Übertragung erfasst, die genannten Identifikationsmittel (76) geeignet sind, die genannten Datenpakete zusammenzufügen, um zusammengefügte Mehrpaket-Kommunikationen zu bilden, die genannten Feststellungsmittel (80, 82) geeignet sind, die genannten Quellen, Ziele und benutzererzeugten Anwendungsschichtinformationen auf der Grundlage der genannten zusammengefügten Mehrpaket-Kommunikationen festzustellen und die genannten Steuerungsmittel (86) geeignet sind, Zugriffsregeln auf die genannten zusammengefügten Mehrpaket-Kommunikationen anzuwenden.
System nach Anspruch 11, wobei die Mittel zum Abfangen (18) eine Workstation oder ein Server sind, die bzw. der für die Zugriffssteuerung innerhalb des genannten Netzwerks bestimmt ist, wobei die genannte Workstation oder der genannte Server sich auf derselben Seite einer Firewall (16) befinden wie die genannten Rechnergeräte (18, 20, 22) des genannten Netzwerks.
System nach Anspruch 11, wobei der genannte Regelbasisspeicher (78) einen ersten Regelsatz beinhaltet, der für Übertragungen zu Zielen (14) außerhalb des genannten Netzwerks spezifisch ist, und einen zweiten Regelsatz beinhaltet, der für Übertragungen spezifisch ist, welche Quellen und Ziele aufweisen, die Knoten (18, 20, 22) des genannten Netzwerks sind.