DE102005050336B4

DE102005050336B4 - Verfahren und Anordnung zum Betreiben eines Sicherheitsgateways

Info

Publication number: DE102005050336B4
Application number: DE200510050336
Authority: DE
Inventors: Jan Schnellbächer
Original assignee: WEBWASHER AG
Current assignee: McAfee LLC
Priority date: 2005-10-20
Filing date: 2005-10-20
Publication date: 2010-11-11
Anticipated expiration: 2025-10-21
Also published as: DE102005050336A1

Abstract

Verfahren zum Betreiben eines Sicherheitsgateways
bei dem eine erste Ressource (20) mit Hilfe einer der ersten Ressource (20) zugeordneten ersten Ressourcenadresse (URL) spezifiziert wird, um eine sichere Datenübertragung zumindest zwischen einer Datenverarbeitungseinheit (10a) und der ersten Ressource (20) über das Sicherheitsgateway (24) mit Hilfe eines Verschlüsselungsprotokolls aufzubauen,
mindestens der ersten Ressourcenadresse (URL) eine erste Kategorie zugeordnet ist, wobei weiteren Ressourcen jeweils mindestens eine Ressourcenadresse (URL) zugeordnet ist, die der ersten und/oder mindestens einer weiteren zweiten Kategorie zugeordnet sind,
wobei für jede der Kategorien zumindest voreingestellt wird, dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung gestattet ist oder dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung nicht gestattet ist,
nach dem Spezifizieren der Ressourcenadresse (URL) mit Hilfe des Sicherheitsgateways (24) die Kategorie dieser Ressourcenadresse und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL)...

Description

Die Erfindung betrifft ein Verfahren zum Betreiben eines Sicherheitsgateways, bei dem eine erste Ressource mit Hilfe einer der ersten Ressource zugeordneten ersten Ressourcenadresse spezifiziert wird, um eine sichere Datenübertragung zumindest zwischen einer Datenverarbeitungseinheit und der ersten Ressource über das Sicherheitsgateway mit Hilfe eines Verschlüsselungsprotokolls aufzubauen. Die Ressourcenadresse ist insbesondere eine URL-Adresse zum Auffinden einer Ressource in einem globalen Datennetz, wie dem Internet.
Sicherheitsgateways, die insbesondere einen Proxy-Server mit Sicherheitsfunktionen umfassen, dienen zum Schutz eines lokalen Datennetzwerks (LAN), z. B. einem Intranet eines Unternehmens, oder eines lokalen Datennetzwerks mit mehreren Arbeitsplatzcomputern, sogenannten Client-Computern. Dieses lokale Datennetzwerk ist mit einem globalen Netzwerk (WAN) beispielsweise mit dem Internet über einen Router und eine Firewall verbunden. Das Sicherheitsgateway ist zusätzlich vorgesehen, um insbesondere die aus dem globalen Netzwerk in das lokale Netzwerk übertragenen Daten und/oder die aus dem lokalen Netzwerk in das globale Netzwerk übertragenen Daten auf unerwünschten Programmcode, wie z. B. Viren, zu prüfen. Ferner soll das lokale Netzwerk gegenüber Angriffen aus dem globalen Netzwerk geschützt werden, indem Zugriffe von Unberechtigten auf das lokale Netzwerk unterbunden werden. Die Firewall und das Sicherheitsgateway verhindern eine beliebige Kommunikation zwischen einer Ressource, die versucht, Daten über das globale Netzwerk zu einem Arbeitsplatzcomputer oder allgemein zu einer Datenverarbeitungseinheit im lokalen Netzwerk zu übertragen. Eine Ressource ist insbesondere ein Web-Server oder eine auf einem Web-Server gespeicherte Webseite. Das Sicherheitsgateway stellt eine, vorzugsweise die einzige, Verbindung zwischen dem lokalen Netzwerk und dem globalen Netzwerk her, über die auch der Email-Verkehr aus dem lokalen Netzwerk in das globale Netzwerk und aus dem globalen Netzwerk in das lokale Netzwerk übertragen wird. Insbesondere in sogenannten Anhängen oder Attachements von Emails als auch bei einigen Email-Formaten in den Emails selbst kann unerwünschter Programmcode enthalten sein. Dies sind insbesondere sogenannte Spyware-Programme und Computerviren, die insbesondere bei unkontrollierter Ausbreitung zu einem erheblichen Schaden führen können.
In 1 ist der schematische Aufbau einer Verbindung eines mehrere Arbeitsplatzcomputer 10a bis 10f umfassendes lokales Netzwerk 12 (Local Area Network = LAN) über ein Sicherheitsgateway 14 mit dem Internet 16 gezeigt.
Um ungewünschte Zugriffe vom Internet 16 auf das lokale Netzwerk 12 zu verhindern, sind verschiedene Sicherheitslösungen bekannt, die zumindest sämtlichen Datenverkehr vom Internet 16 zum lokalen Netzwerk 12 über das Gateway 14 nach Computerviren und ungewünschten Programmcodes durchsuchen und diese Computerviren und den ungewünschten Programmcode herausfiltern.
In 2 ist die Verbindung des lokalen Datennetzes 12 mit dem Internet 16 über das Gateway 14 gemäß einer zweiten bekannten Ausführungsform gezeigt, bei dem das Gateway 14 zumindest einen Teil der vom Internet 16 zum Gateway 14 übertragenen Daten einem sogenannten Anti-Virus und Content Protection Server 18 zugeführt wird. Dies betrifft insbesondere Daten, die mit dem Hypertext Transfer Protokoll (http) übertragen werden. Zur Absicherung vertraulicher Daten, wie z. B. bei der Eingabe von Passwörtern oder Bankdaten, werden die zu übertragenden Daten verschlüsselt, wobei der Anti-Virus und Content Protection Server 18 auch verschlüsselt und/oder gesichert übertragene Daten überprüft. Bekannte Verschlüsselung, die für solche Zwecke genutzt werden, verwenden beispielsweise den SSL-Standard. Eine Verschlüsselung mit Hilfe des SSL-Standards erfolgt beispielsweise beim Hypertext Transfer Protocol Secure (https), das eine gesicherte http-Verbindung zwischen zwei Rechnern, beispielsweise dem Arbeitsplatzcomputer 10a und einem mit dem Internet 16 verbundenen Server, ermöglicht. Diese sichere Datenübertragung gemäß dem SSL-Standard sichert die Datenübertragung zwischen zwei Endpunkten, d. h. zwischen zwei Datenverarbei tungseinheiten und/oder zwischen von diesen Datenverarbeitungseinheiten abgearbeiteten Anwendungsprogrammen.
Gemäß dem SSL-Standard erfolgt zunächst ein Austausch geheimer Schlüssel zwischen den Endpunkten, um anschließend die den Endpunkten jeweils optional zugeordneten öffentlichen Schlüssel in Form digitaler Zertifikate sicher austauschen zu können. Somit ist eine Datenübertragung mit Hilfe des https-Protokolls abhängig von signierten Zertifikaten. Sind solche Zertifikate nicht vorhanden oder können diese Zertifikate nicht ausgetauscht werden, kann eine solche Verbindung durch einen sogenannten Man-in-the-Middle-Angriff aufgebrochen werden, durch den eine komplette Kontrolle über die ausgetauschten Daten zwischen den zwei Endpunkten durch einen Dritten möglich ist und die ausgetauschten Informationen zumindest gegenüber diesem Dritten nicht mehr vertraulich übertragen werden.
Mit Hilfe des SSL-Standards können auch schädliche Inhalte, wie Viren, Würmer Spyware und/oder andere schädliche sowie ungewollte Anwendungen und Dateitypen, in den verschlüsselten Daten übertragen werden, wodurch herkömmliche Virenscanner und Content-Scanner diese schädlichen Inhalt nicht mehr erkennen.
Ein weiteres bekanntes System zum Überwachen des Datenverkehrs zwischen dem Internet 16 und einem Arbeitsplatzcomputer 10a des lokalen Netzwerks 12 ist schematisch in 3 dargestellt. Dieses System überprüft auch verschlüsselten Datenverkehr, insbesondere die von einem Server 20 über das Internet 16 zum Gateway 14 übertragenen Daten. Das Gateway 14 umfasst einen sogenannten terminierenden SSL Forward Proxy. Die vom Server 20 über das Internet 16 zum Gateway 14 übertragenen verschlüsselten Daten werden terminiert und entschlüsselt. Das Terminieren dient zum Abschluss der gesicherten Verbindung zwischen dem Server 20 und dem Gateway 14, wodurch dem Server 20 signalisiert wird, dass die verschlüsselten Daten korrekt über die sichere Verbindung übertragen worden sind. Nach dem Entschlüsseln der übertragenen Daten mit Hilfe des Gateways 14 werden diese Daten auf Viren und unerwünschte Programme überprüft.
Dem Arbeitsplatzcomputer 10a müssen aufgrund der sicheren Datenübertragung verschlüsselte und zertifizierte Daten zugeführt werden. Die überprüften Daten werden deshalb vom Gateway 14 wieder verschlüsselt und mit Hilfe eines im Gateway 14 erzeugten Zertifikats mit Hilfe eines zugehörigen privaten Schlüssels zer tifiziert. Das erzeugte Zertifikat ist insbesondere ein sogenanntes Firmenzertifikat, das unternehmensweit von einer Vielzahl Arbeitscomputern des Unternehmens bzw. der Firma zur Zertifizierung einer sicheren Verbindung akzeptiert wird. Die so verschlüsselten und zertifizierten Daten werden vom Arbeitsplatzcomputer 10a akzeptiert.
Ferner kann das Gateway 14 überprüfen, ob ein vom Server 20 zum Gateway 14 übertragenes Zertifikat, durch das sich der verschlüsselnde Server 20 ausweist, vertrauenswürdig ist. Dazu wertet das Gateway 16 insbesondere die im Zertifikat enthaltenen Informationen aus. Mit Hilfe des Zertifikats kann festgestellt werden, ob die beabsichtigte sichere Verbindung tatsächlich zu dem Server 20 aufgebaut wird, zu dem die Verbindung aufgebaut werden soll oder ob es sich lediglich um einen Server handelt, der vorgibt, der gewünschte Server 20 zu sein.
Die Arbeitsplatzcomputer 10a bis 10f des lokalen Netzwerks 12 können nur noch gesicherte Verbindungen zu Servern 20, d. h. zu Ressourcen im Internet 16, aufbauen, deren Zertifikate vom Gateway 14 überprüft werden können und vom Gateway 14 als vertrauenswürdig eingestuft sind. Alle nicht hinterlegten oder nicht als vertrauenswürdig eingestuften Zertifikate werden nicht akzeptiert, so dass der Aufbau einer gesicherten Verbindung zu einem solchen Server oder zu einer solchen Ressource nicht möglich ist. Dadurch ist ein gesicherter Verbindungsaufbau zu einem Server 20 bzw. zu auf einem Server 20 des Internets 16 gespeicherten Webseiten mit nicht hinterlegten Zertifikaten nicht möglich.
Ferner ist das generelle Entschlüsseln des gesamten Datenverkehrs über das Gateway 14 oftmals unerwünscht. Beispielsweise ist Mitarbeitern einiger Firmen insbesondere durch Betriebsvereinbarungen die Nutzung von Online-Banking entweder generell oder zu bestimmten Tageszeiten, wie z. B. in der Mittagspause, gestattet. Um dieses Online-Banking nicht übermäßig zu erschweren, werden in solchen Firmen oft die Datenübertragung zu Servern 20 von bekannten Banken bzw. zu und von deren dort gespeicherten Webseiten, nicht entschlüsselt, so dass eine verschlüsselte Datenübertragung zwischen dem Arbeitsplatzcomputer 10a und einem solchen Server 20 ohne Terminierung am Gateway 14 möglich ist. Eine Anordnung, die eine sichere Datenübertragung zu in einer Liste enthaltenen voreingestellten Servern 20 und/oder Webseiten über das Sicherheitsgateway 14 ermöglicht, ist schematisch in 4 dargestellt. Bei dieser Anordnung werden die Ressourcenadresse, d. h. die URL der vom Server der Bank bereitgestellten Res source, zum Online-Banking in eine Liste mit Ressourcenadressen aufgenommen. Der Datenverkehr von und zu dieser Ressource wird vom Gateway 14 nicht überprüft werden. Eine solche Liste wird auch als White List bezeichnet. Die vom Server 20 zum Gateway 14 übertragenen Daten betreffen insbesondere eine Webseite zum Bereitstellen einer Online-Banking-Funktion. Diese Daten enthalten insbesondere die Quelle, d. h. die Ressourcenadresse des Servers 20 bzw. der betreffenden Webseite. Das Gateway 14 vergleicht diese Ressourcenadresse mit den in der White List enthaltenen Ressourcenadressen. Ist die vom Server 20 übermittelte Ressourcenadresse in der White List enthalten, werden die vom Server 20 übertragenen Daten ohne Entschlüsselung und ohne Überprüfung der enthaltenen Daten zum Arbeitsplatzcomputer 10a übertragen.
Es ist jedoch sehr aufwändig, die Einträge von Ressourcenadressen in der Liste zu pflegen. Dazu ist insbesondere erheblicher Administrierungsaufwand erforderlich, da nicht nur Einträge hinzugefügt, sondern existierende Einträge auch regelmäßig auf Unbedenklichkeit geprüft werden müssen. Es können Sicherheitsrisiken auftreten, wenn die existierenden Einträge nicht ausreichend oder nicht regelmäßig auf Unbedenklichkeit geprüft werden und es können Funktionseinschränkungen auftreten, wenn nicht alle unbedenklichen Einträge hinzugefügt werden. Somit führt diese Vorgehensweise in der Praxis oft zu suboptimalen Ergebnissen.
Aus dem Dokument US 2003/0182420 A1 ist bekannt, einzelne über ein Netzwerk mit Hilfe einer Ressourcenadresse zu erreichende Ressourcen zu kategorisieren, indem der Ressourcenadresse eine Kategorie zugeordnet wird. Eine Überwachungseinheit überprüft, ob ein Zugriff auf eine Ressource aufgrund der dieser Ressourcenadresse zugeordneten Kategorie und der dieser Kategorie zugeordneten Freigabebeschränkung blockiert, überwacht oder ignoriert wird. Die Überwachungseinheit weist weitere Features auf, die insbesondere eine VPN-Verbindung oder eine IP-Tunnelung ermöglichen.
Aus dem Dokument US 2003/0131259 A1 ist bekannt, eine erste gesicherte Datenverbindung zwischen einem Client-Computer und einem HTTPS-Proxy-Server und eine weitere gesicherte Datenverbindung zwischen dem HTTPS-Proxy-Server und einem Webserver aufzubauen, auf dessen Ressourcen ein Zugriff vom Client-Computer erfolgen soll. Nach dem Scannen des Inhalts der vom Webserver zum HTTPS-Proxy-Server übertragenen Daten mit Hilfe eines Content-Scanners überträgt der HTTPS-Proxy-Server diese Daten über die zweite gesicherte Datenver bindung zum Client-Computer. Der HTTPS-Proxy-Server ist insbesondere ein Firewall-Computer. Durch den Aufbau dieser beiden voneinander unabhängigen sicheren Datenverbindungen können jedoch verschiedene Anwendungen nicht ausgeführt werden, da insbesondere der Webserver erkennt, dass die sichere Datenverbindung nicht zum Client-Computer sondern zum HTTPS-Proxy-Server besteht.
Aufgabe der Erfindung ist es, ein Verfahren zum Betreiben eines Sicherheitsgateways, eine Anordnung zur Datenübertragung sowie ein Sicherheitsgateway und ein Computerprogramm zum Bereitstellen eines Sicherheitsgateways anzugeben, bei denen eine gesicherte Datenübertragung zwischen einer Ressource und einer Datenverarbeitungseinheit über das Sicherheitsgateway einfach möglich ist und der Administrierungsaufwand relativ gering ist.
Diese Aufgabe wird durch ein Verfahren zum Betreiben eines Sicherheitsgateways mit den Merkmalen des Patentanspruchs 1 gelöst. Vorteilhafte Weiterbildungen sind in den abhängigen Patentansprüchen angegeben.
Durch dieses Verfahren ist ein einfaches Administrieren des Sicherheitsgateways möglich, indem für einzelne Kategorien individuell voreingestellt wird, ob eine sichere Datenverbindung zu Ressourcen, deren Ressourcenadressen dieser Kategorie zugeordnet sind, gestattet ist. Alternativ kann ebenso einfach voreingestellt werden, dass zu den Ressourcen mit einer dieser Kategorie zugeordneten Res sourcenadresse eine sichere Datenübertragung nicht gestattet ist oder dass eine Datenübertragung zu den Ressourcen zu blockieren ist.
Ein zweiter Aspekt der Erfindung betrifft eine Anordnung zum Überwachen der Datenübertragung zwischen mindestens einer Datenverarbeitungseinheit und mindestens einer Ressource. Die Anordnung umfasst ein Sicherheitsgateway, das auf einer Datenübertragungsstrecke zwischen mindestens einer ersten Ressource und mindestens einer Datenverarbeitungseinheit angeordnet ist, um zumindest einen Teil der Datenübertragung zumindest zwischen der Datenverarbeitungseinheit und der ersten Ressource zu überwachen. Die Datenverarbeitungseinheit spezifiziert die erste Ressource mit Hilfe einer der ersten Ressource zugeordneten ersten Ressourcenadresse, um eine sichere Datenübertragung zwischen der Datenverarbeitungseinheit und der ersten Ressource über das Sicherheitsgateway mit Hilfe eines Verschlüsselungsprotokolls aufzubauen. Im Sicherheitsgateway ist voreingestellt, dass der ersten Ressourcenadresse mindestens eine erste Kategorie zugeordnet ist und dass weiteren Ressourcen jeweils mindestens eine Ressourcenadresse zugeordnet ist, die der ersten und/oder mindestens einer zweiten Kategorie zugeordnet sind.
Im Sicherheitsgateway ist für jede der Kategorien zumindest voreingestellt, dass zu den Ressourcen mit einer dieser Kategorie zugeordneten Ressourcenadresse eine sichere Datenübertragung gestattet ist oder dass zu den Ressourcenadressen mit einer dieser Kategorie zugeordneten Ressourcenadresse eine sichere Datenübertragung nicht gestattet ist. Das Sicherheitsgateway ermittelt die Kategorie dieser spezifizierten Ressourcenadresse und/oder einer weiteren von der Ressource zum Sicherheitsgateway übertragenen Ressourcenadresse bzw. die Kategorie dieser Ressourcenadresse und/oder einer weiteren von der Ressource zum Sicherheitsgateway übertragenen Ressourcenadresse. Das Sicherheitsgateway überprüft, ob die ermittelte Kategorie bzw. ob für mindestens eine der ermittelten Kategorien voreingestellt ist, dass eine sichere Datenübertragung zu der Ressource über das Sicherheitsgateway gestattet ist.
Durch eine solche Anordnung ist eine einfache Konfiguration und Administration des Sicherheitsgateways möglich. Insbesondere dann, wenn dem Sicherheitsgateway die Kategoriezuordnung von einer Vielzahl von Ressourcenadressen als elektronische Daten zugeführt werden, können eine Vielzahl von Sicherheitsgateways auf diese Art einfach eine einheitliche Kategoriezuordnung von Ressourcen adressen erhalten, wodurch der Administrations- und Konfigurationsaufwand erheblich reduziert ist. Alternativ oder zusätzlich können weitere Kategorien nutzerabhängig bzw. individuell für das jeweilige Sicherheitsgateway angelegt und konfiguriert werden. Die anzuwendenden Überprüfungsalgorithmen und/oder das Blockieren von Daten kann dann auf einfache Art und Weise für eine Kategorie erfolgen und muss nicht für jede Ressourcenadresse einzeln durchgeführt werden.
Ein dritter Aspekt der Erfindung betrifft ein Sicherheitsgateway, das zumindest einen Teil der Datenübertragung zumindest zwischen einer Datenverarbeitungseinheit und einer ersten Ressource überwacht. Zum Aufbau einer sicheren Datenübertragung zwischen der Datenverarbeitungseinheit und der ersten Ressource über das Sicherheitsgateway mit Hilfe eines Verschlüsselungsprotokolls ist die erste Ressource mit Hilfe einer der ersten Ressource zugeordneten ersten Ressourcenadresse spezifiziert. Bei dem Sicherheitsgateway ist voreingestellt, dass der ersten Ressourcenadresse mindestens eine erste Kategorie zugeordnet ist und dass weiteren Ressourcen jeweils mindestens eine Ressourcenadresse zugeordnet ist, die der ersten und/oder mindestens einer zweiten Kategorie zugeordnet sind. Bei dem Sicherheitsgateway ist für jede der Kategorien zumindest voreingestellt, dass zu den Ressourcen dieser Kategorie zugeordnete Ressourcenadressen eine sichere Datenübertragung gestattet ist oder dass zu den Ressourcen dieser Kategorie zugeordneten Ressourcenadressen eine sichere Datenübertragung nicht gestattet ist. Das Sicherheitsgateway ermittelt die Kategorie dieser spezifizierten Ressourcenadresse und/oder eine weitere von der Ressource zum Sicherheitsgateway übertragenen Ressourcenadresse bzw. die Kategorien dieser Ressourcenadresse und/oder der weiteren von der Ressource zum Sicherheitsgateway übertragenen Ressourcenadresse. Das Sicherheitsgateway überprüft, ob für die ermittelte Kategorie bzw. ob für mindestens eine der ermittelten Kategorien voreingestellt ist, dass eine sichere Datenübertragung zu der Ressource über das Sicherheitsgateway gestattet ist.
Ein solches Sicherheitsgateway läßt sich insbesondere durch die Zuordnung von Ressourcenadressen zu Kategorien einfach konfigurieren und administrieren. Fehlkonfigurationen können dadurch einfach vermieden werden.
Ein vierter Aspekt der Erfindung betrifft ein Computerprogrammprodukt zum Betreiben einer Datenverarbeitungsanlage als Sicherheitsgateway mit Anweisungen in codierter Form, die die Datenverarbeitungsanlage dazu veranlassen, zu mindest die Verfahrensschritte eines erfindungsgemäßen Verfahrens auszuführen. Ein solches Computerprogrammprodukt versetzt eine Datenverarbeitungsanlage auf einfache Art und Weise in die Lage, die Funktion eines Sicherheitsgateways auszuführen. Insbesondere kann das Sicherheitsgateway mit Hilfe des Computerprogrammprodukts auch auf einem Arbeitsplatzcomputer oder einem Server ausgeführt werden. Vorzugsweise wird das Sicherheitsgateway jedoch als separate Datenverarbeitungsanlage eine Verbindungsstelle zwischen zwei Datennetzen, insbesondere einem lokalen Netzwerk und einem globalen Netzwerk, angeordnet, um insbesondere das lokale Netzwerk zu schützen. Ein solches Sicherheitsgateway kann beispielsweise mit einem Firewall und/oder einem Router kombiniert werden, wobei insbesondere ein Firewall und/oder ein Router auch die Funktionen des Sicherheitsgateways bereitstellen kann.
Ein fünfter Aspekt der Erfindung betrifft einen Datenträger, auf dem ein erfindungsgemäßes Computerprogrammprodukt gespeichert ist. Ein solcher Datenträger kann einfach verteilt und vertrieben werden, um eine Vielzahl von Datenverarbeitungsanlagen als Sicherheitsgateway betreiben zu können.
Zum besseren Verständnis der vorliegenden Erfindung wird im folgenden auf die in den Zeichnungen dargestellten bevorzugten Ausführungsbeispiele Bezug genommen, die anhand spezifischer Terminologie beschrieben sind. Es sei jedoch darauf hingewiesen, dass der Schutzumfang der Erfindung dadurch nicht eingeschränkt werden soll, da derartige Veränderungen und weitere Modifizierungen an den gezeigten Vorrichtungen und den Verfahren sowie derartige weitere Anwendungen der Erfindung, wie sie darin aufgezeigt sind, als übliches derzeitiges oder künftiges Fachwissen eines zuständigen Fachmanns angesehen werden. Die nachfolgenden Figuren zeigen Ausführungsbeispiele der Erfindung, nämlich:
5 eine Anordnung zur sicheren Datenübertragung zwischen einem Webserver und einem Arbeitsplatzcomputer über ein erfindungsgemäßes Sicherheitsgateway;
6 einen Ablaufplan zum Bereitstellen der sicheren Verbindung zwischen dem Webserver und dem Arbeitsplatzcomputer über ein Sicherheitsgateway; und
7 eine Darstellung einer graphischen Benutzeroberfläche zum Administrieren und Konfigurieren des erfindungsgemäßen Sicherheitsgateways nach 7.
In 5 ist eine Anordnung zur sicheren Datenübertragung zwischen einem über ein Sicherheitsgateway 24 mit dem Internet 16 verbundenen Arbeitsplatzcomputer 10a zu einem über das Internet 16 erreichbaren Webserver 20 gezeigt, wobei in 5 Funktionselemente eines Moduls „URL-Filter” des Sicherheitsgateways 24 gezeigt und nachfolgend beschrieben sind. Das Sicherheitsgateway 24 bildet eine Verbindungsstelle zwischen dem lokalen Datennetzwerk 12 und dem Internet, wobei das Sicherheitsgateway 24 die Datenübertragung zwischen dem Internet 16 und dem lokalen Datennetzwerk 12 überwacht und je nach Voreinstellung zu übertragende Daten überprüft. Dazu kann das Sicherheitsgateway 24 weitere Sicherheitsmodule und Überprüfungsverfahren enthalten und anwenden. Im Sicherheitsgateway 24 sind eine vorbestimmte Anzahl von Kategorien voreingestellt. Im vorliegenden Ausführungsbeispiel sind 64 Grundkategorien voreingestellt, denen Bezeichnungen zugeordnet sind. Weitere Kategorien können kundenspezifisch angelegt und konfiguriert werden. Im vorliegenden Ausführungsbeispiel können 15 weitere Kategorien kundenspezifisch angelegt werden, deren Einträge individuell zusammengestellt sind. Beispiele für Bezeichnungen solcher im Sicherheitsgateway 24 voreingestellter Kategorien sind insbesondere „Banken/Finanzen”, „Staatliche Institutionen”, „Hochschulen/Universitäten”, „Sport”, „Hotels/Restaurants”, „Zeitung/Zeitschriften”, „Sex/Pornographie”.
Für jede dieser Kategorien wird im Sicherheitsgateway 24 voreingestellt, ob diese Kategorie grundsätzlich erlaubt ist, und ob für diese Kategorie sichere Verbindungen zugelassen werden sowie ob diese sichere Verbindung aufgebrochen wird und die mit Hilfe dieser sicheren Verbindung übertragenen Daten vom Sicherheitsgateway 24 geprüft werden oder ob diese sichere Verbindung alternativ nicht aufgebrochen wird und die mit Hilfe dieser sicheren Verbindung übertragenen Daten vom Sicherheitsgateway 24 nicht überprüft weiter geleitet werden, d. h. vom Sicherheitsgateway 24 durchgeschleift werden. Die Administration des URL-Filter-Moduls beschränkt sich im einfachsten Fall dann darauf, diese Voreinstellung für die einzelnen Kategorien festzulegen. Die Zuordnung von bekannten URL-Adressen zu den einzelnen Kategorien wird vorzugsweise zentral, insbesondere vom Hersteller des Sicherheitsgateways 24 oder einem Dienstanbieter, bereitgestellt. Dadurch kann der Administrations- und Konfigurationsaufwand erheb lich reduziert werden, wobei durch regelmäßige Aktualisierungen der Kategoriezuordnung einzelner URL-Adressen eine einfache Aktualisierung des Sicherheitsgateways 24 erfolgen kann, ohne dass Voreinstellungen zu Kategorien geändert oder angepasst werden müssen.
Vom Arbeitsplatzcomputer 10a wird über das Sicherheitsgateway 24 mit Hilfe einer URL-Adresse eine auf dem Webserver 20 gespeicherte Webseite, die eine gesicherte Verbindung erfordert, aufgerufen und dadurch spezifiziert. Der Webserver 20 überträgt daraufhin erforderliche Daten zum Sicherheitsgateway 24 über das Internet 16. Das URL-Filtermodul des Sicherheitsgateways 24 überprüft, ob die URL-Adresse der aufgerufenen Webseite und/oder die URL-Adresse des Webservers 20 grundsätzlich als erlaubt eingestuft ist und ob eine sichere Datenverbindung mit Hilfe eines Verschlüsselungsprotokolls als Endpunkt-zu-Endpunkt-Verbindung zwischen dem Webserver 20 und dem Arbeitsplatzcomputer 10a für diese Kategorie gestattet ist. Ist die Kategorie nicht erlaubt, werden die vom Webserver 20 zum Sicherheitsgateway 24 übertragenen Daten von diesem geblockt, wodurch die Daten nicht vom Webserver 20 zum Arbeitsplatzcomputer 10a übertragen werden. Stattdessen werden vom Sicherheitsgateway 24 zum Arbeitsplatzcomputer 10a Meldungsdaten zum Erzeugen einer Meldung übertragen, durch die ein Benutzer informiert wird, dass die durch Aufruf der URL-Adresse des Webservers 20 angeforderten Daten blockiert und nicht zum Arbeitsplatzcomputer 10a übertragen worden sind. Ist für diese Kategorie auf Grund der für diese Kategorie vorhandenen Voreinstellungen keine SSL-Datenübertragungsverbindung gestattet, lässt das Sicherheitsgateway 24 keine gesicherte Datenübertragung zwischen dem Webserver 20 und dem Arbeitsplatzcomputer über das Sicherheitsgateway 24 zu, wodurch keine Daten zwischen dem Webserver 20 und dem Arbeitsplatzcomputer 10a mit dem SSL-Standard gesichert übertragen werden können, da das Sicherheitsgateway 24 eine solche sichere Verbindung blockiert. Das Sicherheitsgateway 24 überträgt dann zum Arbeitsplatzcomputer 10a und/oder zum Server 20 Meldungsdaten zum Erzeugen einer Meldung, durch die ein Benutzer informiert wird, dass die durch Aufruf der URL-Adresse des Webservers 20 angeforderten Daten blockiert und nicht zum Arbeitsplatzcomputer 10a übertragen worden sind
Ist für diese Kategorie jedoch voreingestellt, dass die Webseiten bzw. die Webserver 20 dieser Kategorie als erlaubt eingestuft und SSL-Datenübertragungsverbindungen zu den Webseiten bzw. den Webserver dieser Kategorie gestattet sind, wird vom Sicherheitsgateway 24 überprüft, ob voreingestellt ist, dass zu den Webseiten der ermittelten Kategorie die über die SSL-Datenübertragungsverbindung zu übertragenden Daten vom Sicherheitsgateway 24 getunnelt übertragen werden sollen, d. h. dass die zu übertragenden Daten vom Sicherheitsgateway 24 nicht entschlüsselt und nicht überprüft werden sollen.. Ist dies der Fall, werden die zwischen dem Arbeitsplatzcomputer 10a und dem Server 20 zu übertragenen Daten vom Sicherheitsgateway 24 ohne weitere Überprüfung durch das Sicherheitsgateway 24 übertragen, d. h. getunnelt übertragen.
Ist jedoch im Sicherheitsgateway 24 voreingestellt, dass die Daten nicht getunnelt zwischen dem Arbeitsplatzcomputer 10a und dem Server 20 übertragen werden dürfen, terminiert das Sicherheitsgateway 24 die gesicherte Datenverbindung sowohl zu dem Webserver 20 als auch zum Arbeitsplatzcomputer 10a, so dass zwei gesicherte Datenübertragungsverbindungen aufgebaut werden, nämlich zwischen dem Arbeitsplatzcomputer 10a und dem Sicherheitsgateway 24 und zwischen dem Webserver 20 und dem Sicherheitsgateway 24. Das Sicherheitsgateway 24 entschlüsselt und überprüft die zwischen dem Arbeitsplatzcomputer 10a und dem Server 20 gesichert zu übertragenden Daten. Beim Überprüfen der Daten werden die gesichert übertragenen Daten vom Sicherheitsgateway 24 insbesondere einer Überprüfung auf bekannte Viren, Würmer Spyware und/oder andere schädliche sowie ungewollte Anwendungen und Dateitypen unterzogen. Anschließend werden die Daten wieder verschlüsselt und mit Hilfe der weiteren sicheren Verbindung zum Arbeitsplatzcomputer 10a bzw. zum Server 20 übertragen. Diese weitere sichere Verbindung wird mit Hilfe eines im Sicherheitsgateway 24 gespeicherten Zertifikats aufgebaut, wie in Zusammenhang mit 4 bereits beschrieben worden ist. Alternativ können die überprüften Daten mit Hilfe von im Sicherheitsgateway 24 gespeicherten Zertifikaten des Servers 20 und/oder des Arbeitsplatzcomputers 10a zertifiziert und/oder mit den jeweiligen zugehörigen Schlüssel verschlüsselt werden. Somit werden beim Sicherheitsgateway 24 nach 5 ganze Kategorien und somit die Vielzahl einer solchen Kategorie zugeordneten URL-Adressen einer sogenannten White List mit einer genauen Spezifizierung der möglichen Datenübertragung über das Sicherheitsgateway 24 zugeordnet. Dadurch kann der Aufbau einer direkten sicheren Endpunkt-zu-Endpunkt-Verbindung über das Sicherheitsgateway 24 zu bzw. mit einem Server 20 oder einer vom Server 20 bereitgestellten Webseite aufgebaut werden, wenn die URL-Adresse des Servers 20 oder dieser Webseite eine Kategorie zugeordnet ist, für die eine solche sichere Endpunkt-zu-Endpunkt-Verbindung über das Sicherheitsgateway 24 gestattet ist.
Im vorliegenden Ausführungsbeispiel ist nur gestattet, dass eine URL-Adresse nur einer Kategorie zugeordnet ist. Bei anderen Ausführungsbeispielen ist es auch möglich, dass eine URL-Adresse mehreren Kategorien zugeordnet ist. Je nach Voreinstellung ist es dann ausreichend, wenn für eine dieser Kategorien voreingestellt ist, dass die dieser Kategorie zugeordneten URL-Adressen der White List zugeordnet ist. Bei alternativen Ausführungsformen wird eine direkte sichere Datenverbindung zwischen dem Webserver 20 und dem Arbeitsplatzcomputer 10a nicht zugelassen, wenn auch nur für eine Kategorie, der eine URL-Adresse zugeordnet ist, keine sichere Datenübertragung gestattet ist.
Bei dem Sicherheitsgateway 24 ist somit eine aufwändige manuelle Pflege der Zuordnung einzelner URL-Adressen zu einer White List erforderlich, wodurch ein erheblicher Administrationsaufwand zum Administrieren und Pflegen des Sicherheitsgateways 24 entfällt. Bei dem Sicherheitsgateway 24 müssen, wie bereits erwähnt, nicht alle URL-Adressen einzeln überprüft und zugeordnet werden, sondern nur wenige übersichtliche Kategorien, wodurch Fehleinstellungen und Fehlzuordnungen vermieden werden. In Abhängigkeit von Endbenutzergruppen können verschiedene Kategorien als unbedenklich voreingestellt werden. Somit kann die Voreinstellung für einzelne Kategorien auch benutzerabhängig oder benutzerkontenabhängig konfiguriert werden. Auch dann ist der Administrationsaufwand zum Administrieren des Sicherheitsgateways 24 gegenüber dem Administrieren bekannter Sicherheitsgateways erheblich reduziert. Das Sicherheitsgateway 24 kann direkt auf die Kategoriezugehörigkeit zugreifen. Dies ermöglicht die einfache Entscheidung, ob der sichere Datenverkehr zwischen dem Webserver 20 und dem Arbeitsplatzcomputer 10a auch bei einer gewünschten sicheren Verbindung aufgebrochen, d. h. entschlüsselt, und anschließend überprüft bzw. gefiltert wird. Die Entscheidung ob und zu weichen Webservern 20 bzw. Webseiten eine gesicherte Datenverbindung über das Sicherheitsgateway 24 aufgebaut werden darf, wird somit einfach durch eine Voreinstellung für die jeweilige Kategorie, zu der die URL-Adresse der Webseite bzw. des Webservers 20, zugeordnet ist, festgelegt werden. Vorzugsweise werden für nicht in einer Kategorie separat spezifizierte untergeordnete URL-Adressen automatisch der Kategorie zugeordnet, denen eine übergeordnete URL bereits zugeordnet ist. Ferner wird vorzugsweise eine Datenübertragung zu und von Webservern und Webseiten blockiert, deren URL-Adresse keiner Kategorie zugeordnet ist. Die Voreinstellungen für die Kategorien „Banking”, Kategorie 2 bis Kategorie 6 sind in 5 unterstrichen dargestellt.
In 6 ist ein Ablauf zum Bereitstellen eines URL-Filters für ein Sicherheitsgateway 24 nach 5 dargestellt. Im Schritt S10 wird der Ablauf gestartet. Im Schritt S12 werden mit Hilfe des Arbeitsplatzcomputers 10a durch einen Aufruf einer URL-Adresse eines Servers Daten zum Aufbau einer sicheren Verbindung zu diesem Server 20 angefordert, wobei zumindest die URL-Adresse des Servers 20 vom Arbeitsplatzcomputer 10a zum Sicherheitsgateway 24 übertragen wird. Anschließend ermittelt das Sicherheitsgateway 24 im Schritt S14 die URL-Adresse des Webservers 20 bzw. die URL-Adresse der auf dem Webserver 20 aufgerufenen Webseite und ermittelt die dieser URL-Adresse zugeordnete Kategorie oder die dieser URL-Adresse zugeordneten Kategorien.
Nachfolgend im Schritt S16 überprüft das Sicherheitsgateway 24, ob für die ermittelte Kategorie bzw. für eine der ermittelten Kategorien im Sicherheitsgateway 24 voreingestellt ist, dass eine Datenübertragung von URL-Adressen dieser Kategorie über das Sicherheitsgateway 24 grundsätzlich gestattet ist. Ist das nicht der Fall, so werden im Schritt S18 die vom Webserver 20 zum Sicherheitsgateway 24 übertragenen Daten durch das Sicherheitsgateway 24 blockiert und vom Sicherheitsgateway 24 Meldungsdaten zum Arbeitsplatzcomputer 10a übertragen, die einen Benutzer darüber informieren, dass der Aufruf dieser Webseite blockiert worden ist und ein Zugriff auf Daten dieser Webseite nicht gestattet ist. Anschließend ist der Ablauf im Schritt S32 beendet.
Wird im Schritt S16 jedoch festgestellt, dass eine Datenübertragung zu Webseiten mit einer URL-Adresse für die oder zumindest für eine ermittelte Kategorie grundsätzlich gestattet ist, wird anschließend im Schritt S20 überprüft, ob für die ermittelte Kategorie oder eine ermittelte Kategorie im Sicherheitsgateway 24 voreingestellt ist, dass für diese Kategorie auch eine sichere Datenverbindung mit Hilfe des SSL-Standards gestattet ist und ob die über diese sichere Datenverbindung übertragenen Daten vom Sicherheitsgateway 24 getunnelt, d. h. weitergeleitet werden sollen, ohne diese Daten zu entschlüsseln, zu scannen und/oder anderweitig zu überprüfen.
Ist das der Fall, so werden anschließend im Schritt S30 die zwischen Webserver 20 und Arbeitsplatzcomputer 10a zu übertragenden Daten vom Sicherheitsgateway 24 vorzugsweise bidirektional getunnelt, d. h. weitergeleitet, wobei der Ablauf anschließend im Schritt S38 beendet ist. Wird im Schritt S20 jedoch festgestellt, dass für keine der der URL-Adresse zugeordneten Kategorien eine sichere Verbindung nach dem SSL-Standard gestattet ist oder dass die Daten nicht getunnelt übertragen werden dürfen, so wird die sichere Verbindung zum Webserver 20 durch das Sicherheitsgateway 24 im Schritt S22 terminiert, d. h. abgeschlossen. Weiterhin wird die sichere Verbindung zum Arbeitsplatzcomputer 10a durch das Sicherheitsgateway 24 im Schritt S22 terminiert, d. h. abgeschlossen. Anschließend werden im Schritt S24 zwischen dem Webserver 20 und dem Arbeitsplatzcomputer 10a gesichert zu übertragenden Daten entschlüsselt und auf unerwünschte Inhalte, wie z. B. Viren, Würmer Spyware und/oder andere schädliche sowie ungewollte Anwendungen und Dateitypen„ überprüft. Im Schritt S26 werden die überprüften Daten wieder verschlüsselt und mit Hilfe eines im Sicherheitsgateway 24 gespeicherten Zertifikats zertifiziert sowie nachfolgend vom Sicherheitsgateway 24 zum Arbeitsplatzcomputer 10a bzw. vom Sicherheitsgateway 24 zum Webserver 20 übertragen. Anschließend ist der Ablauf im Schritt S32 beendet.
In 7 ist eine graphische Benutzeroberfläche 100 zum Konfigurieren und Administrieren des Sicherheitsgateways 24 dargestellt, bei der eine Registerkarte 102 zur Konfiguration der Überprüfungsfunktion einer mit Hilfe eines SSL-Verfahrens gesicherten Datenübertragung ausgewählt worden ist, wobei die Funktion „Scan Encrypted Traffic” 110 aktiviert ist. Durch diese ausgewählte Funktion wird ein Bedieneingabebereich 112 mit möglichen Einstellungen zum kategorieabhängigen Tunneln von verschlüsselt übertragenen Daten angezeigt, aktiviert und somit voreingestellt, dass die Daten von Webseiten, deren URL-Adresse einer der Kategorien „Banking/Finance”, „User Defined 1” oder „User Defined 2” zugeordnet ist, vom Sicherheitsgateway 24 getunnelt und dadurch ohne weitere Überprüfung zu einem Arbeitsplatzcomputer 10a bzw. zu einem Endpunkt weitergeleitet werden.
Der Webserver 20 oder eine in einem Speicherbereich des Webservers 20 gespeicherte Webseite sowie andere über das Internet 16 erreichbare Endpunkte, zu denen vom Arbeitsplatzcomputer 10a eine gesicherte Verbindung aufgebaut werden kann, werden im Sinne der Erfindung allgemein als Ressourcen bezeichnet. Eine Adresse, über die eine solche Ressource, insbesondere über ein Datennetzwerk 12, 16, erreichbar ist, wird im Sinne der Erfindung als Ressourcenadresse bezeichnet. Eine solche Ressourcenadresse umfasst insbesondere einen Hostnamen oder eine IP-Adresse, eine Portnummer, einen Zugriffspfad, ein Zugangs protokoll und/oder mindestens einen Parameter und ist vorzugsweise eine URL-Adresse. Der Arbeitsplatzcomputer 10a wird auch als Client Computer oder allgemein als Datenverarbeitungseinheit bezeichnet.
Das Sicherheitsgateway 24 ermittelt vor oder beim Aufbau der sicheren Datenübertragung zwischen dem Webserver 20 und dem Arbeitsplatzcomputer 10a die Kategorie der URL-Adresse des Webservers 20 bzw. der auf dem Webserver 20 gespeicherten vom Arbeitsplatzcomputer 10a aufgerufenen Webseite. Alternativ oder zusätzlich kann der Webserver 20 eine andere URL-Adresse nach dem Aufruf einer ersten URL-Adresse an das Sicherheitsgateway 24 zurücksenden. Dies erfolgt insbesondere dann, wenn die Anforderungen der Webseite vom Webserver 20 zu einer anderen auf dem Webserver 20 gespeicherten Webseite oder auf einem anderen Webserver gespeicherten Webseite weitergeleitet wird. Auch kann eine untergeordnete URL-Adresse zurück zum Sicherheitsgateway 24 übertragen werden.
Wird eine andere URL-Adresse zum Sicherheitsgateway 24 zurückübertragen, wird diese zusätzliche Ressourcenadresse zusätzlich oder alternativ zu der vom Arbeitsplatzcomputer 10a angeforderten URL-Adresse überprüft.
Die URL-Adresse umfasst insbesondere ein Übertragungsprotokoll, wobei zum Aufruf einer gesicherten Verbindung in der URL-Adresse eine Angabe über ein zu verwendendes Verschlüsselungsprotokoll, vorzugsweise über ein https-Protokoll, enthalten ist.
Alternativ zu der in den Figuren dargestellte Anordnung des Arbeitsplatzcomputers 10a in einem lokalen Datennetzwerk 12 kann der Arbeitsplatzcomputer 10a über eine Punkt-zu-Punkt-Verbindung mit dem Sicherheitsgateway 24 oder über einen Bus mit dem Sicherheitsgateway 24 verbunden sein. Alternativ ist das Sicherheitsgateway 24 durch eine Anwendungssoftware, die vom Arbeitsplatzcomputer 10a selbst abgearbeitet wird, bereitgestellt.
Das Sicherheitsgateway 24 ist vorzugsweise über ein globales Datennetzwerk, wie das Internet 16, mit Webserver 20 verbunden, wobei die Datenübertragung zwischen dem Sicherheitsgateway 24 und dem Webserver 20 vorzugsweise mit Hilfe eines Dienstes des Internets und/oder mit Hilfe eines Datenübertragungsprotokolls durchgeführt wird.
Alternativ oder zusätzlich kann eine Voreinstellung für mindestens eine Kategorie auf mindestens einen voreingestellten Zeitraum beschränkt sein. Dieser voreingestellte Zeitraum ist vorzugsweise ein voreingestellter Zeitraum an einem Tag oder an mehreren Tagen. Dies kann beispielsweise ein Zeitraum außerhalb einer festgelegten Arbeitszeit eines Benutzers oder einer Kernarbeitszeit eines Unternehmens sein, wobei im übrigen Zeitraum automatisch eine andere voreingestellte Alternative und/oder eine verbleibende Alternative dieser Voreinstellung voreingestellt ist. Die Zeiträume können an unterschiedlichen Tagen unterschiedlich voreingestellt sein. Die Zeiträume können auch benutzerabhängig festgelegt werden, wobei der Benutzer anhand der Benutzerkennung der Datenverarbeitungseinheit ermittelt wird.
Das Sicherheitsgateway 24 umfasst vorzugsweise einen Proxyserver, der zumindest die vom Webserver zum Sicherheitsgateway 24 übertragenen Daten vor der Weiterleitung an den Arbeitsplatzcomputer 10a zwischenspeichert. Ein Sicherheitsgateway 24 im Sinne der Erfindung ist nicht auf einen bestimmten Geratetyp beschränkt. Insbesondere muss das Sicherheitsgateway 24 keine weiteren für in den Schutzansprüchen nicht angegebenen Funktionen umfassen, sondern dient in der dort angegebnen Art und Weise zum Überprüfen der vom Sicherheitsgateway 24 weiterzuleitenden Daten. Jedoch können im Sicherheitsgateway 24 eine Vielzahl weiterer Funktionen vorgesehen sein, um die vom Sicherheitsgateway 24 weiterzuleitenden Daten zu überprüfen. Ferner können in den abhängigen Ansprüchen angegebenen vorteilhaften Weiterbildungen auch vorteilhaft die Anordnung nach Anspruch 18 und das Sicherheitsgateway nach Anspruch 19 weiterbilden. Das Spezifizieren einer Ressource erfolgt insbesondere durch den Aufruf der Ressourcenadresse dieser Ressource mit Hilfe der Datenverarbeitungseinheit und/oder durch Übertragen zumindest dieser Ressourcenadresse zum Sicherheitsgateway 24.
Obgleich in den Zeichnungen und der vorhergehenden Beschreibung bevorzugte Ausführungsbeispiele aufgezeigt und detailliert beschrieben worden sind, soll dies lediglich als rein beispielhaft und die Erfindung nicht einschränkend angesehen werden. Es wird darauf hingewiesen, dass nur die bevorzugten Ausführungsbeispiele dargestellt und beschrieben sind und sämtliche Veränderungen und Modifizierungen, die derzeit und künftig im Schutzumfang der Erfindung liegen, geschützt werden sollen.

Claims

Verfahren zum Betreiben eines Sicherheitsgateways bei dem eine erste Ressource (20) mit Hilfe einer der ersten Ressource (20) zugeordneten ersten Ressourcenadresse (URL) spezifiziert wird, um eine sichere Datenübertragung zumindest zwischen einer Datenverarbeitungseinheit (10a) und der ersten Ressource (20) über das Sicherheitsgateway (24) mit Hilfe eines Verschlüsselungsprotokolls aufzubauen, mindestens der ersten Ressourcenadresse (URL) eine erste Kategorie zugeordnet ist, wobei weiteren Ressourcen jeweils mindestens eine Ressourcenadresse (URL) zugeordnet ist, die der ersten und/oder mindestens einer weiteren zweiten Kategorie zugeordnet sind, wobei für jede der Kategorien zumindest voreingestellt wird, dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung gestattet ist oder dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung nicht gestattet ist, nach dem Spezifizieren der Ressourcenadresse (URL) mit Hilfe des Sicherheitsgateways (24) die Kategorie dieser Ressourcenadresse und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) ermittelt wird bzw. die Kategorien dieser Ressourcenadresse (URL) und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) ermittelt werden, mit Hilfe des Sicherheitsgateways (24) überprüft wird, ob für die ermittelte Kategorie bzw. ob für mindestens eine der ermittelten Kategorien voreingestellt ist, dass eine sichere Datenübertragung zu der Ressource (20) über das Sicherheitsgateway (24) gestattet ist, die mit Hilfe der sicheren Datenübertragung zwischen der Ressource (20) und der Datenverarbeitungseinheit (10a) zu übertragenden Daten vom Sicherheitsgateway (24) getunnelt übertragen und/oder durchgeschleift werden, wenn eine sichere Datenübertragung zwischen der Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) gestattet ist, und bei dem mit Hilfe des Sicherheitsgateway (24) zumindest die mit Hilfe der Datenverbindung zwischen der Ressource (20) und der Datenverarbeitungseinheit (10a) übertragenen Daten entschlüsselt und mit Hilfe eines Überprüfungsverfahrens überprüft werden, wenn eine sichere Datenübertragung zwischen der Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) nicht gestattet ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass mit Hilfe des Sicherheitsgateways (24) vor oder beim Aufbau der sicheren Datenübertragung zwischen der Ressource (20) und der Datenverarbeitungseinheit (10a) die Kategorie dieser Ressourcenadresse (URL) und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) ermittelt wird bzw. die Kategorien dieser Ressourcenadresse (URL) und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) ermittelt werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die sichere Datenübertragung zwischen einer Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) aufgebaut wird und/oder Daten zwischen einer Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) gesichert übertragen werden, wenn für die ermittelte Kategorie bzw. wenn für eine der ermittelten Kategorien voreingestellt ist, dass eine sichere Datenübertragung zwischen einer Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) gestattet ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass sichere Verbindung mit Hilfe des Secure Socket Lagers aufgebaut wird, wobei als Verschlüsslungsprotokoll vorzugsweise ein https-Protokoll verwendet wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Ressource ein Server (20) ist und/oder dass die Ressource von einem Server (20) bereitgestellt wird, insbesondere eine durch einen Server (20) bereitgestellte Webseite, wobei die Datenverarbeitungseinheit (10a) vorzugsweise ein Arbeitsplatzcomputer (10a bis 10f) oder ein Client-Computer ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine erste Netzwerkverbindung über ein lokales Netzwerk (12) zwischen der Datenverarbeitungseinheit (10a) und dem Sicherheitsgateway (24) angeordnet wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine zweite Netzwerkverbindung (16) über ein globales Netzwerk, wie beispielsweise dem Internet, zwischen dem Sicherheitsgateway (14) und der Ressource (20) angeordnet wird, wobei die Datenübertragung zwischen dem Sicherheitsgateway (24) und der Ressource (20) vorzugsweise mit Hilfe eines Dienstes des Internets und/oder eines Datenübertragungsprotokolls durchgeführt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass jede Ressourcenadresse einen Host-Namen oder eine IP-Adresse, eine Port-Nummer, ein Zugriffspfad, ein Zugangsprotokoll und/oder mindestens einen Parameter umfasst, wobei die Ressourcenadresse vorzugsweise eine URL-Adresse ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Kategorie der Ressourcen (20) mit Hilfe eines Parameters zugeordnet wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass für jede der Kategorien weiterhin voreingestellt wird, dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen eine Datenübertragung gestattet ist oder dass eine Datenübertragung zu den Ressourcen und/oder von den Ressourcen mit Hilfe des Sicherheitsgateways (24) blockiert wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Datenübertragung zu einer Ressource (20) und/oder von der Ressource mit Hilfe des Sicherheitsgateways (24) blockiert wird, deren Ressourcenadresse keiner Kategorie zugeordneten ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass mindestens eine Voreinstellung für mindestens eine Kategorie auf mindestens einen voreingestellten Zeitraum beschränkt ist, vorzugsweise auf mindestens einen voreingestellten Zeitraum an einem Tag oder an mehreren Tagen, insbesondere auf einen Zeitraum außerhalb einer festgelegten Arbeitszeit eines Benutzers, wobei im übrigen Zeitraum automatisch eine und/oder die andere Alternative dieser Voreinstellung voreingestellt ist.
Verfahren nach Anspruch 12, dadurch gekennzeichnet, dass an einem Tag von mindestens zwei Tagen mindestens ein sich vom Zeitraum des anderen Tages abweichender Zeitraum voreingestellt wird und/oder dass der Zeitraum benutzerabhängig festegelegt wird, wobei der Benutzer anhand der Benutzerkennung der Datenverarbeitungseinheit (10a) ermittelt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass mit Hilfe eines Proxy-Servers des Sicherheitsgateways (24) zumindest die zur Datenverarbeitungseinheit (10a) zu übertragenden Daten zumindest zwischenspeichert werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Zuordnen einer Kategorie zu einer Ressourcenadresse (URL) dadurch erfolgt, dass der jeweiligen Kategorie die Ressourcenadresse (URL) zugewiesen wird, oder dadurch erfolgt, dass der Ressourcenadresse (URL) die Kategorie zugewiesen wird, wobei einer Kategorie mehrere Ressourcenadressen (URL) zugeordnet werden können und wobei eine Ressourcenadresse (URL) mehreren Kategorien zugeordnet werden können.
Anordnung zum Überwachen der Datenübertragung zwischen mindestens einer Datenverarbeitungseinheit und mindestens einer Ressource; mit einem Sicherheitsgateway (24), das auf einer Datenübertragungsstrecke zwischen mindestens einer ersten Ressource (20) und mindestens einer Datenverarbeitungseinheit (10a) angeordnet ist, um zumindest einen Teil der Datenübertragung zumindest zwischen der Datenverarbeitungseinheit (10a) und der ersten Ressource (20) zu überwachen, die Datenverarbeitungseinheit (10a) die erste Ressource (20) mit Hilfe einer der ersten Ressource (20) zugeordneten ersten Ressourcenadresse (URL) spezifiziert, um eine sichere Datenübertragung zwischen der Datenverarbeitungseinheit (10a) und der ersten Ressource (20) über das Sicherheitsgateway (24) mit Hilfe eines Verschlüsselungsprotokolls aufzubauen, wobei im Sicherheitsgateway (24) voreingestellt ist, dass der ersten Ressourcenadresse (URL) mindestens eine erste Kategorie zugeordnet ist und dass weiteren Ressourcen jeweils mindestens eine Ressourcenadresse (URL) zugeordnet ist, die der ersten und/oder mindestens einer weiteren zweiten Kategorie zugeordnet sind, wobei für jede der Kategorien im Sicherheitsgateway (24) zumindest voreingestellt ist, dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung gestattet ist oder dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung nicht gestattet ist, wobei das Sicherheitsgateway (24) die Kategorie dieser spezifizierten Ressourcenadresse (URL) und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) bzw. die Kategorien dieser Ressourcenadresse (URL) und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) ermittelt, und wobei das Sicherheitsgateway (24) überprüft, ob für die ermittelte Kategorie bzw. ob für mindestens eine der ermittelten Kategorien voreingestellt ist, dass eine sichere Datenübertragung zu der Ressource (20) über das Sicherheitsgateway (24) gestattet ist, wobei das Sicherheitsgateway (24) die mit Hilfe der sicheren Datenübertragung zwischen der Ressource (20) und der Datenverarbeitungseinheit (10a) zu übertragenden Daten getunnelt überträgt und/oder durchschleift, wenn eine sichere Datenübertragung zwischen der Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) gestattet ist, und wobei das Sicherheitsgateway (24) die mit Hilfe der sicheren Datenübertragung zwischen der Ressource (20) und der Datenverarbeitungseinheit (10a) zu übertragenden Daten entschlüsselt und mit Hilfe eines Überprüfungsverfahrens überprüft, wenn eine sichere Datenübertragung zwischen der Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) nicht gestattet ist.
Sicherheitsgateway das zumindest einen Teil der Datenübertragung zumindest zwischen einer Datenverarbeitungseinheit (10a) und einer ersten Ressource (20) überwacht, wobei zum Aufbau einer sicheren Datenübertragung zwischen der Datenverarbeitungseinheit (10a) und der ersten Ressource (20) über das Sicherheitsgateway (24) mit Hilfe eines Verschlüsselungsprotokolls die erste Ressource (20) mit Hilfe einer der ersten Ressource (20) zugeordneten ersten Ressourcenadresse (URL) spezifiziert ist, bei dem voreingestellt ist, dass der ersten Ressourcenadresse (URL) mindestens eine erste Kategorie zugeordnet ist und dass weiteren Ressourcen jeweils mindestens eine Ressourcenadresse (URL) zugeordnet ist, die der ersten und/oder mindestens einer weiteren zweiten Kategorie zugeordnet sind, bei dem für jede der Kategorien zumindest voreingestellt ist, dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung gestattet ist oder dass zu den Ressourcen (20) dieser Kategorie zugeordneten Ressourcenadressen (URL) eine sichere Datenübertragung nicht gestattet ist, das die Kategorie dieser spezifizierten Ressourcenadresse (URL) und/oder einer weiteren von der Ressource (20) zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) bzw. die Kategorien dieser Ressourcenadresse (URL) und/oder einer weiteren von der Ressource zum Sicherheitsgateway (24) übertragenen Ressourcenadresse (URL) ermittelt, und das überprüft, ob für die ermittelte Kategorie bzw. ob für mindestens eine der ermittelten Kategorien voreingestellt ist, dass eine sichere Datenübertragung zu der Ressource (20) über das Sicherheitsgateway (24) gestattet ist, das die mit Hilfe der sicheren Datenübertragung zwischen der Ressource (20) und der Datenverarbeitungseinheit (10a) zu übertragenden Daten getunnelt überträgt und/oder durchschleift, wenn eine sichere Datenübertra gung zwischen einer Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) gestattet ist, und das die mit Hilfe der sicheren Datenübertragung zwischen der Ressource (20) und der Datenverarbeitungseinheit (10a) zu übertragenden Daten entschlüsselt und mit Hilfe eines Überprüfungsverfahrens überprüft, wenn eine sichere Datenübertragung zwischen der Datenverarbeitungseinheit (10a) und der Ressource (20) über das Sicherheitsgateway (24) nicht gestattet ist.
Computerprogrammprodukt zum Betreiben Datenverarbeitungsanlage als Sicherheitsgateway (24), mit Anweisungen in codierter Form, die die Datenverarbeitungsanlage (10a) dazu veranlassen, zumindest die Verfahrensschritte eines Verfahrens nach einem der Ansprüche 1 bis 15 auszuführen.
Datenträger, dadurch gekennzeichnet, dass er ein Computerprogrammprodukt gemäß Anspruch 18 speichert.