DE202016008885U1 - Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen - Google Patents

Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen Download PDF

Info

Publication number
DE202016008885U1
DE202016008885U1 DE202016008885.9U DE202016008885U DE202016008885U1 DE 202016008885 U1 DE202016008885 U1 DE 202016008885U1 DE 202016008885 U DE202016008885 U DE 202016008885U DE 202016008885 U1 DE202016008885 U1 DE 202016008885U1
Authority
DE
Germany
Prior art keywords
packets
packet filtering
host
network
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
DE202016008885.9U
Other languages
English (en)
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
CENTRIPETAL LTD., IE
Original Assignee
Centripetal Networks LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=58191544&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=DE202016008885(U1) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by Centripetal Networks LLC filed Critical Centripetal Networks LLC
Publication of DE202016008885U1 publication Critical patent/DE202016008885U1/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Abstract

Computervorrichtung, die ein Paketfilterungssystem implementiert, das ausgelegt ist, folgendes Verfahren auszuführen:
Empfangen, durch das Paketfilterungssystem, das einen Hardware-Prozessor und einen Speicher umfasst und zum Filtern von Paketen gemäß mehreren Paketfilterungsregeln konfiguriert ist, von Daten, die mehrere Netzwerkbedrohungsindikatoren anzeigen, wobei wenigstens einer der mehreren Netzwerkbedrohungsindikatoren einen als Netzwerkbedrohung identifizierten Domänennamen umfasst;
Identifizieren von unverschlüsselte Daten umfassenden Paketen;
Identifizieren von verschlüsselte Daten umfassenden Paketen;
Feststellen, auf der Basis eines Teils der unverschlüsselten Daten entsprechend einem oder mehreren Netzwerkbedrohungsindikatoren der mehreren Netzwerkbedrohungsindikatoren, von Paketen, die verschlüsselte Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen;
Filtern auf der Basis von wenigstens einem aus einem durch die mehreren Paketfilterungsregeln vorgegebenen URI (Uniform Resource Identifier), Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Protokollversion anzeigen, Daten, die ein durch die mehreren Paketfilterungsregeln vorgegebenes Verfahren anzeigen, Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Anforderung anzeigen, und Daten, die einen durch die mehreren Paketfilterungsregeln vorgegebenen Befehl anzeigen:
von Paketen, die den Teil der unverschlüsselten Daten umfassen, der einem oder mehreren Netzwerkbedrohungsindikatoren der mehreren Netzwerkbedrohungsindikatoren entsprechen; und
der festgestellten Pakete, die die verschlüsselten Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen; und
Leiten der gefilterten Pakete zu einem Proxy-System auf der Basis einer Feststellung, dass die gefilterten Pakete Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen.

Description

  • In Übereinstimmung mit den Bestimmungen des Gebrauchsmustergesetzes sind nur Vorrichtungen, wie sie in den anliegenden Ansprüchen definiert sind, geschützt und vom Gebrauchsmuster abgedeckt, nicht jedoch Verfahren. Soweit in der nachstehenden Beschreibung gegebenenfalls auf Verfahren Bezug genommen wird, dienen diese Hinweise nur zur exemplarischen Erläuterung der mit den anliegenden Schutzansprüchen geschützten Vorrichtung(en). Insbesondere können diese Verfahren in engem Zusammenhang mit den geschützten Vorrichtung stehen, zum Beispiel dergestalt, dass die geschützten Vorrichtungen derart ausgelegt sind, dass sie die Verfahren durchführen.
  • QUERVERWEIS AUF VERWANDTE ANMELDUNGEN
  • Die vorliegende Anmeldung beansprucht die Priorität der nicht-provisorischen US-Anmeldung mit der Seriennummer 14/757,638, eingereicht am 23. Dezember 2015 unter dem Titel „RULE-BASED NETWORK-THREAT DETECTION FOR ENCRYPTED COMMUNICATIONS“ (Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen), die hier für alle Zwecke in ihrer Gesamtheit durch Bezugnahme eingeschlossen ist.
  • HINTERGRUND
  • Netzwerksicherheit wird mit der fortschreitenden Entwicklung des Informationszeitalters immer wichtiger. Netzwerkbedrohungen können eine Reihe verschiedener Formen annehmen (z.B. unautorisierte Anforderungen oder Datenübertragungen, Viren, Malware, große Verkehrsvolumen mit dem Ziel, Ressourcen zu überwältigen, und dergleichen). Netzwerkbedrohungsdienste stellen mit Netzwerkbedrohungen assoziierte Informationen bereit, z.B. Berichte, die Listen von Netzwerkbedrohungsindikatoren umfassen (z.B. Netzwerkadressen, Domänennamen, URIs (Uniform Resource Identifiers) und dergleichen). Solche Informationen können zum Identifizieren von Netzwerkbedrohungen genutzt werden. Verschlüsselte Kommunikationen können jedoch Daten verschleiern, die Netzwerkbedrohungen entsprechen. Demgemäß besteht Bedarf an einer regelbasierten Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen.
  • KURZFASSUNG
  • Es folgt eine vereinfachte Zusammensetzung, um ein Grundverständnis einiger Aspekte der Offenbarung zu vermitteln. Sie soll weder wesentliche oder kritische Elemente der Offenbarung identifizieren, noch den Umfang der Offenbarung begrenzen. Die nachfolgende Zusammensetzung präsentiert lediglich einige Konzepte der Offenbarung in einer vereinfachten Form als eine Einleitung zu der nachfolgenden Beschreibung.
  • Aspekte dieser Offenbarung beziehen sich auf eine regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen. Gemäß Ausführungsformen der Offenbarung kann ein Paketfilterungssystem, das zum Filtern von Paketen gemäß Paketfilterungsregeln konfiguriert ist, Daten empfangen, die Netzwerkbedrohungsindikatoren anzeigen, und kann die Paketfilterungsregeln konfigurieren, um zu bewirken, dass das Paketfilterungssystem unverschlüsselte Daten umfassende Pakete und verschlüsselte Daten umfassende Pakete identifiziert. Ein Teil der unverschlüsselten Daten kann einem oder mehreren der Netzwerkbedrohungsindikatoren entsprechen, und die Paketfilterungsregeln können so konfiguriert werden, dass sie bewirken, dass das Paketfilterungssystem auf der Basis des Teils der unverschlüsselten Daten feststellt, dass die verschlüsselte Daten umfassenden Pakete den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen.
  • Figurenliste
  • Die vorliegende Offenbarung wird insbesondere in den beiliegenden Ansprüchen dargelegt. Merkmale der Offenbarung werden nach einem Studium der vorliegenden Offenbarung in ihrer Gesamtheit, einschließlich der beiliegenden Zeichnungsfiguren, offenkundiger.
  • Einige Merkmale hier werden beispielhaft und nicht zur Begrenzung in den Figuren der Begleitzeichnungen veranschaulicht, in denen sich gleiche Bezugsziffern auf ähnliche Elemente beziehen. Dabei zeigt:
    • 1 eine veranschaulichende Umgebung für regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung;
    • 2 ein veranschaulichendes Paketfilterungssystem für die regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung;
    • 3A-C, 4A-C, 5A-B und 6A-B veranschaulichende Ereignisfolgen für eine regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung; und
    • 7 ein veranschaulichendes Verfahren für eine regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung.
  • AUSFÜHRLICHE BESCHREIBUNG
  • In der nachfolgenden Beschreibung verschiedener veranschaulichender Ausführungsformen wird auf die Begleitzeichnungen Bezug genommen, die Bestandteil davon bilden und zur Veranschaulichung verschiedene Ausführungsformen zeigen, in denen Aspekte der Offenbarung praktiziert werden können. Es ist zu verstehen, dass auch andere Ausführungsformen benutzt werden können und dass strukturelle und funktionelle Modifikationen vorgenommen werden können, ohne vom Umfang der Offenbarung abzuweichen.
  • Es werden in der nachfolgenden Beschreibung verschiedene Verbindungen zwischen Elementen erörtert. Diese Verbindungen sind allgemein und können, falls nichts anderes angegeben wird, direkt oder indirekt, drahtgebunden oder drahtlos sein. In dieser Hinsicht ist die Spezifikation nicht als begrenzend anzusehen.
  • 1 stellt eine veranschaulichende Umgebung für eine regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung dar. Mit Bezug auf 1 kann die Umgebung 100 Netzwerke 102 und 104 umfassen. Das Netzwerk 102 kann ein oder mehrere Netzwerke (z.B. lokale Netzwerke (LAN), Weitbereichsnetze (WAN), virtuelle Privatnetze (VPN) oder Kombinationen davon) in Assoziation mit einer oder mehreren Personen oder Entitäten (z.B. Regierungen, Unternehmen, Diensteanbietern oder anderen Organisationen) umfassen. Das Netzwerk 104 kann ein oder mehrere Netzwerke (z.B. LANs, WANs, VPNs oder Kombinationen davon) umfassen, die das Netzwerk 102 mit einem oder mehreren anderen Netzwerken (nicht veranschaulicht) verbinden. Zum Beispiel kann das Netzwerk 104 das Internet, ein ähnliches Netzwerk oder Teile davon umfassen.
  • Die Umgebung 100 kann auch einen oder mehrere Hosts wie Computer- oder Netzwerkgeräte bzw. -vorrichtungen (z.B. Server, Desktop-Computer, Laptop-Computer, Tablet-Computer, mobile Geräte, Smartphones, Routers, Gateways, Firewalls, Switches, Zugangspunkte oder dergleichen) umfassen. Zum Beispiel kann das Netzwerk 102 Hosts 106, 108 und 110, Proxy-Geräte 112, 114 und 116, Web-Proxy 118, Regel-Gates 120, 122, 124, 126 und 128, Domain Name System (DNS) 130, ICAP-(Internet Content Adaptation Protocol)-Server 132 und Gateway 134 umfassen. Der hier verwendete Begriff „Host“ (oder „Hosts“) bezieht sich auf einen beliebigen Typ von Netzwerkgerät (oder Knoten) oder Computervorrichtung; während solchen Vorrichtungen eine oder mehrere Netzwerkschichtadressen zugeordnet (oder sie zum Zuordnen konfiguriert) werden können, impliziert der Begriff „Host“ (oder „Hosts“) nicht, dass solchen Geräten bzw. Vorrichtungen unbedingt eine oder mehrere Netzwerkschichtadressen zugeordnet (oder sie zum Zuordnen konfiguriert) werden.
  • Das Gateway 134 kann sich an der Grenze 136 zwischen Netzwerken 102 und 104 befinden und kann das Netzwerk 102 oder einen oder mehrere darin befindliche Hosts mit dem Netzwerk 104 oder einem oder mehreren darin befindlichen Hosts verbinden. Zum Beispiel kann das Netzwerk 104 einen oder mehrere Regelanbieter 138, einen oder mehrere Bedrohungsdatenanbieter 140 und Hosts 142, 144 und 146 umfassen, und das Gateway 134 kann die Hosts 106, 108 und 110, Proxy-Geräte 112, 114 und 116, Web-Proxy 118, Regel-Gates 120, 122, 124, 126 und 128, DNS 130 und ICAP-Server 132 mit Regelanbietern 138, Bedrohungsdatenanbietern 140 und Hosts 142, 144 und 146 verbinden.
  • 2 stellt ein veranschaulichendes Paketfilterungssystem für eine regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung dar. Mit Bezug auf 2 kann das Paketfilterungssystem 200 mit dem Netzwerk 102 assoziiert sein und kann ein oder mehrere Regel-Gates 120, 122, 124, 126 und 128 umfassen. Das Paketfilterungssystem 200 kann einen oder mehrere Prozessoren 202, einen Speicher 204, eine oder mehrere Kommunikationsschnittstellen 206 und Datenbus 208 umfassen. Der Datenbus 208 kann Prozessoren 202, den Speicher 204 und die Kommunikationsschnittstellen 206 verbinden. Der Speicher 204 kann ein oder mehrere Programmmodule 210, Regeln 212 und Logs 214 umfassen. Die Programmmodule 210 können Befehle umfassen, die bei Ausführung durch Prozessoren 202 bewirken, dass das Paketfilterungssystem 200 eine oder mehrere der hier beschriebenen Funktionen ausführen. Die Regeln 212 können eine oder mehrere Paketfilterungsregeln umfassen, gemäß denen das Paketfilterungssystem 200 zum Filtern von über die Kommunikationsschnittstellen 206 empfangenen Paketen konfiguriert ist. Die Logs 214 können einen oder mehrere Einträge umfassen, die von Prozessoren 202 gemäß Regeln 212 für Pakete erzeugt wurden, die vom Paketfilterungssystem 200 über Kommunikationsschnittstellen 206 empfangen werden.
  • Kommunikationsschnittstellen 206 können das Paketfilterungssystem 200 mit einem oder mehreren Kommunikationslinks der Umgebung 100 (z.B. der Netzwerke 102 und 104) verbinden. In einigen Ausführungsformen können eine oder mehrere der Kommunikationsschnittstellen 206 direkt mit einem Kommunikationslink der Umgebung 100 verbunden sein. Zum Beispiel können die Schnittstellen 216 und 224 jeweils direkt mit den Links 236 bzw. 244 verbunden werden. In einigen Ausführungsformen können eine oder mehrere der Kommunikationsschnittstellen 206 indirekt mit einem Kommunikationslink der Umgebung 100 verbunden sein. Zum Beispiel kann die Schnittstelle 220 mit Links 236 und 244 über ein oder mehrere Netzwerkgeräte bzw. -vorrichtungen 240 verbunden sein. Die Netzwerkvorrichtungen 240 können der Schnittstelle 220 Zugang zu Paketen (oder Kopien davon) geben, die einen oder mehrere der Links 236 und 244 durchlaufen, zum Beispiel über einen SPAN-(Switched Port Analyzer)-Port der Netzwerkvorrichtungen 240. Zusätzlich oder alternativ können die Schnittstellen 218 und 222 mit Links 236 und 244 über Abgriffgeräte bzw. -vorrichtungen (engl. tap) 238 und 242 verbunden sein. Zum Beispiel kann das Paketfilterungssystem 200 das Abgriffgerät 238 mit einer oder mehreren der Regeln 212 provisionieren, konfiguriert zum Bewirken, dass das Abgriffgerät 238 den Link 236 durchlaufende Pakete identifiziert, die vorgegebenen Kriterien entsprechen, und die Pakete (oder Kopien davon) zur Schnittstelle 218 leiten (oder weiterleiten), und das Paketfilterungssystem 200 kann das Abgriffgerät 242 mit einer oder mehreren der Regeln 212 provisionieren, konfiguriert zum Bewirken, dass das Abgriffgerät 242 den Link 244 durchlaufende Pakete identifiziert, die vorgegebenen Kriterien entsprechen und die Pakete (oder Kopien davon) zur Schnittstelle 222 leiten (oder weiterleiten). Ebenso können die Schnittstellen 226 und 234 jeweils direkt mit den Links 246 bzw. 254 verbunden sein; die Netzwerkgeräte bzw. -vorrichtungen 250 können der Schnittstelle 230 Zugang zu Paketen (oder Kopien davon) geben, die einen oder mehrere der Links 246 und 254 durchlaufen; das Paketfilterungssystem 200 kann das Abgriffgerät 248 mit einer oder mehreren der Regeln 212 provisionieren, konfiguriert zum Bewirken, dass das Abgriffgerät 248 den Link 246 durchlaufende Pakete identifiziert, die vorgegebenen Kriterien entsprechen und die Pakete (oder Kopien davon) zur Schnittstelle 228 leiten (oder weiterleiten); und das Paketfilterungssystem 200 kann das Abgriffgerät 252 mit einer oder mehreren der Regeln 212 provisionieren, die konfiguriert sind zum Bewirken, dass das Abgriffgerät 252 den Link 254 durchlaufende Pakete identifiziert, die vorgegebenen Kriterien entsprechen, und die Pakete (oder Kopien davon) zur Schnittstelle 232 leiten (oder weiterleiten). In einigen Ausführungsformen kann das Paketfilterungssystem 200 ein oder mehrere der Abgriffgeräte 238, 242, 248 und 252 oder Netzwerkgeräte 240 und 250 umfassen.
  • 3A-C, 4A-C, 5A-B und 6A-B stellen veranschaulichende Ereignisfolgen für eine regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung dar. Die dargestellten Schritte sind lediglich veranschaulichend und können weggelassen, kombiniert oder in einer anderen Reihenfolge als der beschriebenen durchgeführt werden; die Nummerierung der Schritte dient lediglich zur Übersichtlichkeit und impliziert nicht, dass eine bestimmte Reihenfolge notwendig oder bevorzugt ist.
  • Mit Bezug auf 3A können in Schritt #1 Bedrohungsdatenanbieter 140 einen oder mehrere Bedrohungsdatenberichte an Regelanbieter 138 übermitteln. Die Bedrohungsdatenberichte können einen oder mehrere Netzwerkbedrohungsindikatoren, zum Beispiel Domänennamen (z.B. FQDNs (Fully Qualified Domain Names)), URIs, Netzwerkadressen oder dergleichen umfassen. In Schritt #2 können Regelanbieter 138 die Bedrohungsdatenberichte zum Erzeugen von einer oder mehreren Paketfilterungsregeln nutzen, konfiguriert zum Identifizieren von Paketen, die Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen. In Schritt #3 können Regelanbieter 138 die Paketfilterungsregeln an das Regel-Gate 120 übermitteln. Wie durch die schraffierten Kästen über den Linien angezeigt, die vom Netzwerk 104, dem Regel-Gate 128 und dem Gateway 134 nach unten laufen, können die Paketfilterungsregeln das Netzwerk 104, das Regel-Gate 128 und das Gateway 134 durchlaufen. Zum Beispiel können das Netzwerk 104 und das Gateway 134 den Regelanbieter 138 und das Regel-Gate 120 miteinander verbinden, und das Regel-Gate 128 kann einen Kommunikationslink verbinden, der das Netzwerk 104 und das Gateway 134 verbindet. Das Regel-Gate 120 kann die von Regelanbietern 138 erzeugten Paketfilterungsregeln empfangen und kann in Schritt #4 die empfangenen Paketfilterungsregeln nutzen, um Regeln 212 zu konfigurieren, um zu bewirken, dass das Paketfilterungssystem 200 Pakete identifiziert, die Daten entsprechend wenigstens einem der mehreren Netzwerkbedrohungsindikatoren umfassen.
  • In Schritt #5 kann der Host 106 eine Anforderung erzeugen. Zum Beispiel kann der Host 106 einen Web-Browser ausführen und der Web-Browser kann eine Anforderung in Reaktion auf eine Benutzereingabe (z.B. Navigation des Web-Browsers zu einem URI) erzeugen. Die Anforderung kann einen Domänennamen umfassen und der Host 106 kann eine den Domänennamen umfassende DNS-Abfrage erzeugen und kann in Schritt #6 die DNS-Abfrage an das DNS 130 übermitteln. Das Regel-Gate 126 kann einen Kommunikationslink verbinden, der den Host 106 und das DNS 130 verbindet, der in der Anforderung enthaltene Domänenname kann einem oder mehreren der Netzwerkbedrohungsindikatoren entsprechen und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 eines oder mehrere der Folgenden durchführt: Identifizieren von einem oder mehreren die DNS-Abfrage umfassenden Paketen, Feststellen, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, und, in Reaktion auf ein Identifizieren der Pakete und/oder ein Feststellen, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, Protokollieren (gemäß Anzeige durch den rautenförmigen Kasten über der vom Regel-Gate 126 nach unten laufenden Linie) und/oder Fallenlassen der Pakete. Das Regel-Gate 126 kann Log-Daten (z.B. einen oder mehrere Einträge in Logs 214) für die Pakete erzeugen. Zum Beispiel können die Pakete eine Netzwerkadresse des Host 106 (z.B. als eine Quelladresse in ihren Netzwerkschicht-Headern) umfassen und das Regel-Gate 126 kann Log-Daten erzeugen, die die Netzwerkadresse des Host 106 anzeigen. Wie in Schritt #6A gezeigt, können die Pakete an das DNS 130 übermittelt werden. In einigen Ausführungsformen können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126, in Reaktion auf das Identifizieren der Pakete und/oder das Feststellen, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, die Pakete fallenlassen und dadurch verhindern, dass sie das DNS 130 erreichen, wie in Schritt #6B veranschaulicht ist.
  • Das DNS 130 kann eine Antwort auf die DNS-Abfrage erzeugen und kann in Schritt #7 die Antwort an den Host 106 übermitteln. Die Antwort kann den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 eines oder mehrere der Folgenden durchführt: Identifizieren von einem oder mehreren die Antwort umfassenden Paketen, Feststellen, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, und, in Reaktion auf das Identifizieren der Pakete und/oder das Feststellen, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, Protokollieren und/oder Fallenlassen der Pakete. Das Regel-Gate 126 kann Log-Daten (z.B. einen oder mehrere Einträge in Logs 214) für die Pakete erzeugen. Zum Beispiel können die Pakete die Netzwerkadresse des Host 106 (z.B. als eine Zieladresse in ihren Netzwerkschicht-Headern) umfassen und das Regel-Gate 126 kann die Netzwerkadresse des Host 106 anzeigende Log-Daten erzeugen. Ebenso kann der Domänenname dem Host 142 entsprechen, die Pakete können eine Netzwerkadresse des Host 142 umfassen (z.B. das DNS 130 kann den in der Abfrage enthaltenen Domänennamen in die Netzwerkadresse des Host 142 auflösen) und das Regel-Gate 126 kann Log-Daten erzeugen, die die Netzwerkadresse des Host 142 anzeigen. Wie durch Schritt #7A dargestellt, können die Pakete an den Host 106 übermittelt werden. In einigen Ausführungsformen können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 in Reaktion auf die Feststellung, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, die Pakete fallenlassen und dadurch verhindern, dass sie den Host 106 erreichen, wie durch Schritt #7B dargestellt ist.
  • Das Paketfilterungssystem 200 kann zum Korrelieren von durch das Paketfilterungssystem 200 identifizierten Paketen (z.B. die Pakete, die die Antwort auf die DNS-Abfrage umfassen) mit zuvor vom Paketfilterungssystem 200 identifizierten Paketen (z.B. die Pakete, die die DNS-Abfrage umfassen) konfiguriert sein. Zum Beispiel kann das Paketfilterungssystem 200 zum Feststellen konfiguriert sein, dass vom Paketfilterungssystem 200 identifizierte Pakete (z.B. die Pakete, die die Antwort auf die DNS-Abfrage umfassen) eines oder mehrere der Folgenden sind: assoziiert mit, bezogen auf oder das Produkt von zuvor vom Paketfilterungssystem 200 identifizierten Paketen (z.B. die Pakete, die die DNS-Abfrage umfassen). Das Paketfilterungssystem 200 kann zum Korrelieren von durch das Paketfilterungssystem 200 identifizierten Paketen mit Paketen konfiguriert sein, die zuvor vom Paketfilterungssystem 200 auf der Basis von in Logs 214 gespeicherten Daten identifiziert wurden (z.B. die Log-Daten, die vom Regel-Gate 126 in den Schritten # 6 und 7 erzeugt wurden).
  • Zum Beispiel können für ein oder mehrere vom Paketfilterungssystem 200 protokollierte Pakete (z.B. die Pakete, die die DNS-Abfrage umfassen, oder die Pakete, die die Antwort auf die DNS-Abfrage umfassen) Logs 214 einen oder mehrere Einträge umfassen, die eines oder mehrere der Folgenden anzeigen: Netzwerkschichtinformationen (z.B. Informationen, die von einem oder mehreren Netzwerkschicht-Header-Feldern der Pakete abgeleitet sind, wie Protokolltyp, eine Zielnetzwerkadresse, eine Quellnetzwerkadresse, eine Signatur oder Authentifizierungsinformationen (z.B. Informationen von einer IPsec-(Internet Protocol Security)-verkapselnden Sicherheitsnutzlast (ESP) oder dergleichen), Transportschichtinformationen (z.B. ein Zielport, ein Quellport, eine Prüfsumme oder ähnliche Daten (z.B. Fehlererkennung oder Korrekturwerte wie die, die vom TCP (Transmission Control Protocol) oder vom UDP (User Datagram Protocol) oder dergleichen benutzt werden), Anwendungsschichtinformationen (z.B. Informationen, die von einem oder mehreren Anwendungsschicht-Header-Feldern der Pakete abgeleitet sind, wie Domänenname, URL (Uniform Resource Locator), URI (Uniform Resource Identifier), eine Erweiterung, ein Verfahren, Zustandsinformationen, Medientypinformationen, eine Signatur, ein Schlüssel, ein Zeitstempel, eine Anwendungskennung, eine Sitzungskennung, eine Flusskennung, Sequenzinformationen, Authentifizierungsinformationen oder dergleichen), andere Daten in den Paketen (z.B. Nutzlastdaten) oder eine oder mehrere Umgebungsvariablen (z.B. Informationen, die mit den Paketen selbst assoziiert, aber nicht allein von diesen abgeleitet sind, wie eine oder mehrere Ankunfts- (oder Empfangs-) oder Abgangs- (oder Übertragungs-) Zeiten der Pakete (z.B. an oder von einem oder mehreren der Regel-Gates 120, 122, 124, 126 oder 128, Abgriffgeräten 238, 242, 248 oder 252 oder Netzwerkvorrichtungen 240 oder 250), ein oder mehrere Ein- oder Austrittskennungen (z.B. assoziiert mit einer/m oder mehreren physischen oder logischen Netzwerkschnittstellen, Ports oder Kommunikationsmedientypen von einem oder mehreren aus Regel-Gates 120, 122, 124, 126 oder 128, Abgriffvorrichtungen 238, 242, 248 oder 252 oder Netzwerkvorrichtungen 240 oder 250, über die die Pakete empfangen und/oder übertragen wurden), eine oder mehrere Vorrichtungskennungen (z.B. mit einem oder mehreren aus Regel-Gates 120, 122, 124, 126 oder 128, Abgriffvorrichtungen 238, 242, 248 oder 252 oder Netzwerkvorrichtungen 240 oder 250 assoziiert, über die die Pakete empfangen und/oder übertragen wurden), oder dergleichen), und das Paketfilterungssystem 200 kann solche Einträge zum Korrelieren von einem oder mehreren von dem Paketfilterungssystem 200 identifizierten Paketen mit einem oder mehreren zuvor vom Paketfilterungssystem 200 identifizierten Paketen benutzen.
  • In einigen Ausführungsformen kann das Paketfilterungssystem 200 einen oder mehrere Aspekte der Technologie wie in der am 10. Februar 2015 unter dem Titel „CORRELATING PACKETS IN COMMUNICATIONS NETWORKS“ (Korrelieren von Paketen in Kommunikationsnetzen) eingereichten US-Patentanmeldung mit der Seriennummer 14/618,967 beschrieben, deren Offenbarung hierin in ihrer Gesamtheit durch Bezugnahme eingeschlossen ist und Bestandteil davon ist, oder eine ähnliche Technologie implementieren (z.B. zum Korrelieren von einem oder mehreren durch das Paketfilterungssystem 200 identifizierten Paketen mit einem oder mehreren zuvor vom Paketfilterungssystem 200 identifizierten Paketen).
  • Der Host 106 kann ein oder mehrere für den Host 142 bestimmte Pakete erzeugen, die Daten (z.B. eine TCP: SYN-Handshake-Nachricht) umfassen, konfiguriert zum Aufbauen einer Verbindung (z.B. einer/s TCP-Verbindung oder Tunnels) zwischen Hosts 106 und 142, und kann in Schritt #8 die Pakete an den Host 142 übermitteln. Das Regel-Gate 120 kann einen Kommunikationslink verbinden, der die Hosts 106 und 142 verbindet und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 die Pakete identifiziert und/oder feststellt (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die vom Regel-Gate 126 in Schritt #6 und/oder #7 erzeugten Log-Daten).
  • In Schritt #9 kann das Regel-Gate 120 die Pakete, die die Daten umfassen, die zum Aufbauen der Verbindung zwischen Hosts 106 und 142 konfiguriert sind, zum Proxy-Gerät 112 leiten und kann in Schritt #10 die Pakete an das Proxy-Gerät 112 übermitteln. Zum Beispiel können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 die Pakete zum Proxy-Gerät 112 leitet, auf der Basis der Daten in den Paketen, zum Beispiel ein oder mehrere Ports (z.B. Port 443), die durch Transportschicht-Header in den Paketen angezeigt werden, zum Anzeigen, dass die Verbindung zwischen Hosts 106 und 142 zum Aufbauen einer/s verschlüsselten Kommunikationssitzung oder Tunnels benutzt wird (z.B. einer Sitzung, die gemäß dem TLS-(Transport Layer Security)-Protokoll, dem SSL-(Secure Sockets Layer) -Protokoll, dem SSH-(Secure Shell)-Protokoll oder dergleichen aufgebaut wurde). In einigen Ausführungsformen können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 die Pakete zum Proxy-Gerät 112 leitet, auf der Basis einer Feststellung, dass ein oder mehrere der Hosts 106 oder 142 mit einer Netzwerkadresse assoziiert sind, für die Regeln 212 anzeigen, dass verschlüsselte Kommunikationen über ein oder mehrere der Proxy-Geräte 112, 114 oder 116 aufzubauen sind. Zum Beispiel können die Proxy-Vorrichtungen 112, 114 und 116 können Teil eines Proxy-Systems (z.B. eines SSL/TLS-Proxy-Systems) sein, das es ermöglicht, dass das Paketfilterungssystem 200 Pakete filtert, die verschlüsselte Daten umfassen, auf der Basis von Informationen in den verschlüsselten Daten, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 die Pakete zur Proxy-Vorrichtung 112 leitet, auf der Basis einer Feststellung, dass der Host 142 mit einer Netzwerkadresse einer Domäne entsprechend den Netzwerkbedrohungsindikatoren assoziiert ist.
  • Zusätzlich oder alternativ kann das Netzwerk 102 einen oder mehrere Hosts umfassen, für die Regeln 212 anzeigen, dass Verbindungen, die zum Aufbauen von verschlüsselten Kommunikationssitzungen (z.B. Verbindungen mit Hosts entsprechend Netzwerkbedrohungsindikatoren) benutzt werden, über eine oder mehrere der Proxy-Vorrichtungen 112, 114 oder 116 aufzubauen sind, sowie einen oder mehrere Hosts, für die Regeln 212 anzeigen, dass keine Verbindungen, die zum Aufbauen von verschlüsselten Kommunikationssitzungen benutzt werden, über ein oder mehrere der Proxy-Vorrichtungen 112, 114 und 116 aufzubauen sind, zum Beispiel Hosts, die empfindliche Daten (z.B. persönlich identifizierbare Informationen (PII)) erzeugen, bei deren Prüfung Bedenken hinsichtlich des Schutzes der Privatsphäre oder gesetzlicher Bestimmungen auftreten können (z.B. Daten, die dem Gesetz über die Übertragbarkeit und Rechenschaftspflicht der Krankenversicherung (HIPAA) unterliegen, oder dergleichen), und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 die Pakete zum Proxy-Gerät 112 leitet, auf der Basis einer Feststellung, dass der Host 106 mit einer Netzwerkadresse assoziiert ist, für die Regeln 212 anzeigen, dass verschlüsselte Kommunikationen über ein oder mehrere der Proxy-Geräte 112, 114 oder 116 aufzubauen sind.
  • Zum Beispiel kann der Link 236 den Host 106 mit dem Regel-Gate 120 verbinden, der Link 244 kann das Regel-Gate 120 mit dem Host 142 verbinden, der Link 246 kann das Regel-Gate 120 mit dem Proxy-Gerät 112 verbinden, der Link 254 kann Proxy-Geräte 112 und 144 verbinden und kann einen Kommunikationslink innerhalb eines Proxy-Systems umfassen, das Proxy-Geräte 112 und 114 umfasst, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 vom Host 106 über eine oder mehrere der Schnittstellen 216, 218 oder 220 empfangene und für den Host 142 bestimmte Pakete (oder einen Teil davon (z.B. Pakete, die Daten umfassen, die zum Aufbauen einer Verbindung zwischen den Hosts 106 und 142 und zum Anzeigen konfiguriert sind, dass die Verbindung zum Aufbauen einer verschlüsselten Kommunikationssitzung benutzt wird)) über die Schnittstelle 226 zum Host 142 leitet (oder umleitet). Zusätzlich oder alternativ können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 Kopien von (oder Spiegel-) Paketen, empfangen vom Host 106 über eine oder mehrere der Schnittstellen 216, 218, 220 oder 222 und bestimmt für den Host 142 (oder einen Teil davon (z.B. Pakete, die Daten umfassen, die zum Aufbauen einer Verbindung zwischen den Hosts 106 und 142 und zum Anzeigen konfiguriert sind, dass die Verbindung zum Aufbauen einer verschlüsselten Kommunikationssitzung benutzt wird)), über die Schnittstelle 226 zur Proxy-Vorrichtung 112 weiterleitet.
  • In Schritt #11 können Proxy-Vorrichtungen 112 und 114 einen oder mehrere Parameter austauschen, bestimmt anhand der Pakete, die die Daten umfassen, die zum Aufbauen der Verbindung zwischen Hosts 106 und 142 konfiguriert sind, zum Beispiel eine oder mehrere Netzwerkadressen in Netzwerkschicht-Headern der Pakete (z.B. Netzwerkadressen von Hosts 106 und 142) oder Ports, die von Transportschicht-Headern in den Paketen angezeigt werden (z.B. die den Typ von verschlüsselter Kommunikationssitzung anzeigen, die die Verbindung zum Aufbauen benutzen wird). Die Proxy-Vorrichtung 112 kann die Parameter zum Erzeugen von Paketen benutzen, die Daten umfassen, die zum Aufbauen einer Verbindung zwischen der Proxy-Vorrichtung 112 und dem Host 106 konfiguriert sind (z.B. eine TCP: SYN-ACK-Handshake-Nachricht), und kann in Schritt #12 die Pakete an den Host 106 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die vom Regel-Gate 126 in Schritt #6 und/oder #7 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Ebenso kann die Proxy-Vorrichtung 114 die Parameter zum Erzeugen von Paketen nutzen, die Daten umfassen, die zum Aufbauen einer Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 konfiguriert sind (z.B. eine TCP: SYN-Handshake-Nachricht), und kann in Schritt #13 die Pakete an den Host 142 übermitteln. Das Regel-Gate 128 kann einen Kommunikationslink verbinden, der die Proxy-Vorrichtung 114 und den Host 142 verbindet, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf ein Empfangen der Pakete aus der Proxy-Vorrichtung 112 kann der Host 106 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 112 und dem Host 106 konfiguriert sind (z.B. eine TCP: ACK-Handshake-Nachricht), und kann in Schritt #14 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Die Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12 und #13 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf den Empfang der Pakete aus der Proxy-Vorrichtung 114 kann der Host 142 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 konfiguriert sind (z.B. eine TCP: SYN-ACK-Handshake-Nachricht), und kann in Schritt #15 die Pakete an die Proxy-Vorrichtung 114 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#14 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf den Empfang der Pakete aus Host 142 kann die Proxy-Vorrichtung 114 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 konfiguriert sind (z.B. eine TCP: ACK-Handshake-Nachricht), und kann in Schritt #16 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#15 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Mit Bezug auf 3B kann die Proxy-Vorrichtung 112 die Pakete empfangen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 112 und dem Host 106 konfiguriert sind, übermittelt vom Host 106 in Schritt #14, und Verbindung 302 (z.B. eine TCP-Verbindung) zwischen der Proxy-Vorrichtung 112 und dem Host 106 kann aufgebaut werden. Ebenso kann der Host 142 die Pakete empfangen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 konfiguriert sind, übermittelt von der Proxy-Vorrichtung 114 in Schritt #16, und Verbindung 304 (z.B. eine TCP-Verbindung) zwischen der Proxy-Vorrichtung 114 und dem Host 142 kann aufgebaut werden.
  • In Schritt #17 können die Proxy-Vorrichtung 112 und der Host 106 Pakete, die Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung 306 (z.B. eine SSL/TLS-Sitzung) konfiguriert sind, zwischen der Proxy-Vorrichtung 112 und dem Host 106 über die Verbindung 302 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#16 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete. Zusätzlich oder alternativ können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 die Pakete identifiziert und/oder feststellt, dass die Pakete Daten umfassen, die den Netzwerkbedrohungsindikatoren entsprechen, auf der Basis von in den Paketen enthaltenen Daten. Zum Beispiel kann in einigen Ausführungsformen der Host 106 einen Client (z.B. Web-Browser) umfassen, der Host 142 kann einen Server (z.B. Web-Server) umfassen, die Pakete können eine oder mehrere Handshake-Nachrichten umfassen, konfiguriert zum Aufbauen einer Sitzung 306, die unverschlüsselte Daten einschließlich eines Domänennamens entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel eine vom Client erzeugte Hallo-Nachricht (z.B. einschließlich des Domänennamens in der Erweiterung der Server-Namensangabe, oder dergleichen), oder eine vom Server erzeugte Zertifikatnachricht (z.B. einschließlich des Domänennamens im Subject Common Name Feld und/oder in der Erweiterung subjectAltName (des Typs dNSName), oder dergleichen), und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 die Pakete identifiziert und/oder feststellt, dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von Daten, die in den zum Aufbauen der Sitzung 306 konfigurierten ein oder mehreren Handshake-Nachrichten enthalten sind. In solchen Ausführungsformen können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Paketfilterungssystem 200 die Pakete identifiziert und/oder feststellt, dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis der Zertifikatnachricht, die andere Daten umfasst (z.B. zusätzlich oder anstatt des Domänennamens), entsprechend einem oder mehreren der Netzwerkbedrohungsindikatoren, zum Beispiel Daten, die wenigstens eines der Folgenden anzeigen: eine Seriennummer (oder einen Typ davon), angezeigt durch Regeln 212, einen Ausgeber (oder einen Typ davon), angezeigt durch Regeln 212, einen Gültigkeitszeitbereich (oder einen Typ davon), angezeigt durch Regeln 212, einen Schlüssel (oder einen Typ davon), angezeigt durch Regeln 212, eine digitale Signatur (z.B. Fingerabdruck) (oder einen Typ davon), angezeigt durch Regeln 212, oder eine Signaturstelle (oder einen Typ davon), angezeigt durch Regeln 212.
  • Ebenso können in Schritt #18 die Proxy-Vorrichtung 114 und der Host 142 Pakete, die Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung 308 (z.B. einer SSL/TLS-Sitzung) konfiguriert sind, zwischen der Proxy-Vorrichtung 114 und dem Host 142 über die Verbindung 304 übermitteln, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#17 erzeugt wurden), oder den Paketen, die eine oder mehrere Handshake-Nachrichten umfassen, konfiguriert zum Aufbauen einer Sitzung 308, die unverschlüsselte Daten (z.B. einschließlich des Domänennamens) entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 106 kann Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 306 verschlüsselt sind, und kann in Schritt #19 die Pakete an die Proxy-Vorrichtung 112 über die Sitzung 306 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#18 erzeugt wurden), und Protokollieren (gemäß Anzeige durch die Dreiecke über die vom Regel-Gate 120 nach unten laufende Linie) und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 112 kann die Pakete empfangen und die Daten gemäß den Parametern von Sitzung 306 entschlüsseln. Die Pakete können eine Anforderung (z.B. eine HTTP-(Hypertext Transfer Protocol)-Anforderung) umfassen und das Proxy-Gerät 112 kann einen ICAP-Client umfassen, der in Schritt #20 die Pakete an den ICAP-Server 132 übermitteln kann. Das Regel-Gate 126 kann einen Kommunikationslink verbinden, der die Proxy-Vorrichtung 112 und den ICAP-Sever 132 verbindet, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#19 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der ICAP-Server 132 kann Pakete erzeugen, die Daten umfassen, in Reaktion auf die Anforderung (z.B. eine Antwort, eine modifizierte Anforderung oder dergleichen), und kann in Schritt #21 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#20 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete. Zusätzlich oder alternativ können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 die Pakete identifiziert und/oder feststellt, dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in den Paketen enthaltenen Daten, z.B. können die Daten in Reaktion auf die Anforderung (z.B. eine modifizierte Anforderung) Daten (z.B. einen Domänennamen, URI oder dergleichen) entsprechend den Netzwerkbedrohungsindikatoren umfassen.
  • Die Proxy-Vorrichtung 112 kann Pakete (z.B. auf der Basis der vom ICAP-Server 132 erzeugten Daten) erzeugen und kann in Schritt #22 die Pakete an die Proxy-Vorrichtung 114 übermitteln. Das Regel-Gate 124 kann einen Kommunikationslink innerhalb des Proxy-Systems verbinden, das Proxy-Vorrichtungen 112 und 114 umfasst, und so können den Kommunikationslink durchlaufende Pakete unverschlüsselte Daten umfassen (z.B. das Regel-Gate 124 kann „der Mann in der Mitte“ von Proxy-Vorrichtungen 112 und 114 sein), und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#21 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Zusätzlich oder alternativ können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 die Pakete identifiziert und/oder feststellt, dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in den Paketen enthaltenen Daten, zum Beispiel unverschlüsselten Daten in den Paketen entsprechend einem oder mehreren der Netzwerkbedrohungsindikatoren. Zum Beispiel kann in einigen Ausführungsformen das Paketfilterungssystem 200 einen oder mehrere Aspekte der Technologie, die in der am 12. März 2013 unter dem Titel „FILTERING NETWORK DATA TRANSFERS“ (Filtern von Netzwerkdatenübertragungen) eingereichten US-Patentanmeldung mit der Seriennummer 13/795,822 beschrieben ist, deren Offenbarung hier in ihrer Gesamtheit durch Bezugnahme eingeschlossen und Bestandteil davon ist, oder ähnliche Technologie implementieren, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 die Pakete identifiziert und/oder feststellt, dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis der Pakete, die eine oder mehrere der Folgenden umfassen: einen durch Regeln 212 vorgegebenen URI, Daten, die eine durch Regeln 212 vorgegebene Protokollversion anzeigen, Daten, die ein durch Regeln 212 vorgegebenes Verfahren anzeigen, Daten, die eine durch Regeln 212 vorgegebene Anforderung anzeigen, oder Daten, die einen durch Regeln 212 vorgegebenen Befehl anzeigen. Zusätzlich oder alternativ können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 die Pakete identifiziert und/oder feststellt, dass die Pakete Daten entsprechend den ein oder mehreren Netzwerkbedrohungsindikatoren umfassen, auf der Basis von unverschlüsselten Daten in den Paketen, umfassend einen URI, der eine durch Regeln 212 vorgegebene Schwellengröße erreicht oder übersteigt (z.B. ein URI, der wahrscheinlich zum Exfiltrieren von Daten benutzt wird).
  • Die Proxy-Vorrichtung 114 kann die Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 308 verschlüsselt sind, und kann in Schritt #23 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#22 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 142 kann ein oder mehrere Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 308 verschlüsselt sind, und kann in Schritt #24 die Pakete an die Proxy-Vorrichtung 114 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#23 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 114 kann die Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die unverschlüsselte Daten umfassen, und kann in Schritt #25 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#24 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 112 kann die Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 306 verschlüsselt sind, und kann in Schritt #26 die Pakete an den Host 106 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#25 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 106 kann ein oder mehrere Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 306 verschlüsselt sind, und kann in Schritt #27 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#26 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 112 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die unverschlüsselte Daten umfassen, und kann in Schritt #28 die Pakete an die Proxy-Vorrichtung 114 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#27 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 114 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern von Sitzung 308 verschlüsselt wurden, und kann in Schritt #29 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#28 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 142 kann ein oder mehrere Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 308 verschlüsselt sind, und kann in Schritt #30 die Pakete an die Proxy-Vorrichtung 114 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#29 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 114 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die unverschlüsselte Daten umfassen, und kann in Schritt #31 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#30 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 112 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 306 verschlüsselt wurden, und kann in Schritt #32 die Pakete an den Host 106 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#31 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Mit Bezug auf 3C kann in Schritt #33 das Regel-Gate 120 eine Konsole (oder Schnittstelle) aktualisieren, die mit dem auf dem Host 108 laufenden Paketfilterungssystem 200 assoziiert ist, und/oder ein oder mehrere Updates an Regeln 212 über die Konsole empfangen. Zum Beispiel kann die Konsole dem Netzwerk 102 Daten über eine oder mehrere Bedrohungen entsprechend den Netzwerkbedrohungsindikatoren bereitstellen und das Regel-Gate 120 kann die Konsole auf der Basis von in Logs 214 gespeicherten Daten aktualisieren (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#32 erzeugt wurden). In einigen Ausführungsformen kann die Konsole Daten bereitstellen, die Netzwerkbedrohungen in Assoziation mit einem oder mehreren der Hosts 106, 108, 110, 142, 144 oder 146 identifizieren, und das Regel-Gate 120 kann Daten in Assoziation mit einem oder mehreren der Hosts 106 oder 142 auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6,#7 und #12-#32 erzeugt wurden) aktualisieren.
  • In Schritt #34 kann das Regel-Gate 120 Regeln 212 auf der Basis von über die Konsole empfangenen Updates und/oder in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#32 erzeugt wurden) umkonfigurieren. Zum Beispiel kann das Paketfilterungssystem 200 einen oder mehrere Aspekte der Technologie, die in der am 17. April 2015 unter dem Titel „RULE-BASED NETWORK-THREAT DETECTION“ (Regelbasierte Erkennung von Netzwerkbedrohungen) eingereichten US-Patentanmeldung mit der Seriennummer 14/690,302 beschrieben ist, deren Offenbarung hier in ihrer Gesamtheit durch Bezugnahme eingeschlossen ist und Bestandteil davon bildet, oder ähnliche Technologie implementieren, und das Regel-Gate 120 kann Regeln 212 auf der Basis von einer oder mehreren Risikobewertungen umkonfigurieren, die so aktualisiert wurden, dass sie in Logs 214 gespeicherte Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#32 erzeugt wurden) reflektieren.
  • Der Host 106 kann ein oder mehrere Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 306 verschlüsselt sind, und kann in Schritt #35 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Regeln 212 (z.B. eine oder mehrere in Schritt #34 umkonfigurierte Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7 und #12-#32 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 112 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die unverschlüsselte Daten umfassen, und kann in Schritt #36 die Pakete an die Proxy-Vorrichtung 114 übermitteln. Regeln 212 (z.B. eine oder mehrere der in Schritt #34 umkonfigurierten Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32 und #35 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 114 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 308 verschlüsselt sind, und kann in Schritt #37 die Pakete an den Host 142 übermitteln. Regeln 212 (z.B. eine oder mehrere der in Schritt #34 umkonfigurierten Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32, #35 und #36 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 142 kann ein oder mehrere Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 308 verschlüsselt sind, und kann in Schritt #38 die Pakete an das Proxy-Gerät 114 übermitteln. Regeln 212 (z.B. eine oder mehrere in Schritt #34 umkonfigurierte Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32 und #35-#37 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 114 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die unverschlüsselte Daten umfassen, und kann in Schritt #39 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Regeln 212 (z.B. eine oder mehrere in Schritt #34 umkonfigurierte Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 124 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32 und #35-#38 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 112 kann ein oder mehrere der Pakete empfangen und ein oder mehrere entsprechende Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 306 verschlüsselt wurden, und kann in Schritt #40 die Pakete an den Host 106 übermitteln. Regeln 212 (z.B. eine oder mehrere in Schritt #34 umkonfigurierte Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32 und #35-#39 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 142 kann ein oder mehrere Pakete erzeugen, die für einen oder mehrere der Hosts 106, 108 oder 110 bestimmt sind, und kann in Schritt #41 die Pakete an das Gateway 134 übermitteln. Regeln 212 (z.B. eine oder mehrere in Schritt #34 umkonfigurierte Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32 und #35-#40 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 108 kann ein oder mehrere Pakete erzeugen und kann in Schritt #42 die Pakete an den Host 142 übermitteln. Regeln 212 (z.B. eine oder mehrere in Schritt #34 umkonfigurierte Regeln 212) können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32 und #35-#41 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 106 kann ein oder mehrere Pakete erzeugen, die für Hosts 108, 142, 144 und 146 bestimmt sind, und kann in Schritt #43 die Pakete an die Hosts 108, 142, 144 und 146 übermitteln. Regeln 212 (z.B. eine oder mehrere in Schritt #34 umkonfigurierte Regeln 212) können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6, #7, #12-#32 und #35-#42 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Mit Bezug auf 4A, die Schritte #1-#5 entsprechen im Wesentlichen den Schritten #1-#5 von 3A.
  • Der Host 106 (z.B. der Web-Browser) kann so konfiguriert sein, dass er den Web-Proxy 118 nutzt, und kann in Reaktion auf die Anforderung Pakete erzeugen, die Daten umfassen, die zum Aufbauen einer Verbindung zwischen dem Host 106 und dem Web-Proxy 118 konfiguriert sind (z.B. eine TCP: SYN-Handshake-Nachricht), und kann in Schritt #6 die Pakete an den Web-Proxy 118 übermitteln. Das Regel-Gate 120 kann einen Kommunikationslink verbinden, der den Host 106 und den Web-Proxy 118 verbindet und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, zum Beispiel auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen (z.B. eine Netzwerkadresse des Web-Proxy 118) oder einem oder mehreren Ports (z.B. Port 80), angezeigt durch Transportschicht-Header in den Paketen, und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf den Empfang der Pakete vom Host 106 kann der Web-Proxy 118 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen dem Host 106 und dem Web-Proxy 118 konfiguriert sind (z.B. eine TCP: SYN-ACK-Handshake-Nachricht), und kann in Schritt #7 die Pakete an den Host 106 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, zum Beispiel auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen (z.B. eine Netzwerkadresse des Web-Proxy 118) oder einem oder mehreren Ports (z.B. Port 80), angezeigt durch Transportschicht-Header in den Paketen, und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf den Empfang der Pakete vom Web-Proxy 118 kann der Host 106 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen dem Host 106 und dem Web-Proxy 118 konfiguriert sind (z.B. eine TCP: ACK-Handshake-Nachricht), und kann in Schritt #8 die Pakete an den Web-Proxy 118 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, zum Beispiel auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen (z.B. eine Netzwerkadresse des Web-Proxy 118) oder einem oder mehreren Ports (z.B. Port 80), angezeigt durch Transportschicht-Header in den Paketen, und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Web-Proxy 118 kann die Pakete vom Host 106 empfangen und die Verbindung 402 (z.B. eine TCP-Verbindung) zwischen dem Host 106 und dem Web-Proxy 118 kann aufgebaut werden. Der Host 106 kann Pakete erzeugen, die eine Anforderung (z.B. eine HTTP CONNECT Anforderung) umfassen, und kann in Schritt #9 die Pakete über die Verbindung 402 an den Web-Proxy 118 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 120 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, zum Beispiel auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen (z.B. eine Netzwerkadresse des Web-Proxy 118) oder einem oder mehreren Ports (z.B. Port 80), angezeigt durch Transportschicht-Header in den Paketen, Feststellen, dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel einen Domänennamen (z.B. FQDN) in der Anforderung, und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Web-Proxy 118 kann eine DNS-Abfrage erzeugen, die den Domänennamen umfasst, und kann in Schritt #10 die DNS-Abfrage an das DNS 130 übermitteln. Der in der Anforderung enthaltene Domänenname kann einem oder mehreren der Netzwerkbedrohungsindikatoren entsprechen, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 eines oder mehrere der Folgenden durchführt: Identifizieren von einem oder mehreren Paketen, die die DNS-Abfrage umfassen, Feststellen, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Protokollieren und/oder Fallenlassen der Pakete. Zum Beispiel können die Pakete eine Netzwerkadresse des Web-Proxy 118 (z.B. als Quelladresse in ihren Netzwerkschicht-Headern) umfassen und das Regel-Gate 126 kann Log-Daten erzeugen, die die Netzwerkadresse des Web-Proxy 118 anzeigen. Wie in Schritt #10A veranschaulicht, können die Pakete an das DNS 130 übermittelt werden. In einigen Ausführungsformen können Regeln 212 so konfiguriert werden, dass sie bewirken, dass das Regel-Gate 126 in Reaktion auf die Feststellung, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, die Pakete fallenlassen und so verhindern, dass sie das DNS 130 erreichen, wie durch Schritt #10B veranschaulicht wird.
  • Das DNS 130 kann eine Antwort auf die DNS-Abfrage erzeugen und kann in Schritt #11 die Antwort an den Web-Proxy 118 übermitteln. Die Antwort kann den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 eines oder mehrere der Folgenden durchführt: Identifizieren von einem oder mehreren Paketen, die die Antwort umfassen, Feststellen, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Protokollieren und/oder Fallenlassen der Pakete. Zum Beispiel können die Pakete die Netzwerkadresse des Web-Proxy 118 (z.B. als eine Zieladresse in ihren Netzwerkschicht-Headern) umfassen und das Regel-Gate 126 kann Log-Daten erzeugen, die die Netzwerkadresse des Web-Proxy 118 anzeigen. Ebenso kann der Domänenname dem Host 142 entsprechen, die Pakete können eine Netzwerkadresse des Host 142 umfassen (z.B. kann das DNS 130 den in der Abfrage enthaltenen Domänennamen in die Netzwerkadresse des Host 142 auflösen), und das Regel-Gate 126 kann Log-Daten erzeugen, die die Netzwerkadresse des Host 142 anzeigen. Wie in Schritt #11A veranschaulicht, können die Pakete an den Web-Proxy 118 übermittelt werden. In einigen Ausführungsformen können die Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 126 in Reaktion auf die Feststellung, dass die Pakete den Domänennamen entsprechend den Netzwerkbedrohungsindikatoren umfassen, die Pakete fallenlassen und so verhindern, dass sie den Web-Proxy 118 erreichen, wie durch Schritt #11B dargestellt wird.
  • Der Web-Proxy 118 kann ein oder mehrere für den Host 142 bestimmte Pakete erzeugen, die Daten (z.B. eine TCP: SYN-Handshake-Nachricht) umfassen, die zum Aufbauen einer Verbindung (z.B. einer/s TCP-Verbindung oder Tunnels) zwischen dem Web-Proxy 118 und dem Host 142 konfiguriert sind, und kann in Schritt #12 die Pakete an den Host 142 übermitteln. Das Regel-Gate 122 kann einen Kommunikationslink verbinden, der den Web-Proxy 118 und den Host 142 verbindet und die Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 122 die Pakete identifiziert und/oder feststellt (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die Anforderung, die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die von Regel-Gates 120 und 126 in einem oder mehreren der Schritte #6-#11 erzeugt wurden).
  • In Schritt #13 kann das Regel-Gate 122 die Pakete, die die Daten umfassen, die zum Aufbauen der Verbindung zwischen dem Web-Proxy 118 und dem Host 142 konfiguriert sind, zur Proxy-Vorrichtung 112 leiten, und kann in Schritt #14 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Zum Beispiel können Regeln 212 so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 122 die Pakete zum Proxy-Gerät 112 leitet, auf der Basis von Daten in den Paketen, zum Beispiel einem oder mehreren Ports (z.B. Port 443), angezeigt durch Transportschicht-Header in den Paketen, zum Anzeigen, dass die Verbindung zwischen dem Web-Proxy 118 und dem Host 142 zum Aufbauen einer/s verschlüsselten Kommunikationssitzung oder Tunnels benutzt werden wird (z.B. eine Sitzung, die gemäß dem TLS-(Transport Layer Security)-Protokoll, dem SSL-(Secure Sockets Layer)-Protokoll, dem SSH-(Secure Shell)-Protokoll oder dergleichen aufgebaut wird).
  • Mit Bezug auf 4B können in Schritt #15 die Proxy-Vorrichtungen 112 und 114 einen oder mehrere Parameter austauschen, bestimmt anhand der Pakete, die die Daten umfassen, die zum Aufbauen der Verbindung zwischen dem Web-Proxy 118 und dem Host 142 konfiguriert sind, zum Beispiel eine oder mehrere Netzwerkadressen in Netzwerkschicht-Headern der Pakete (z.B. Netzwerkadressen des Web-Proxy 118 und des Host 142), oder durch Transportschicht-Header in den Paketen angezeigte Ports (z.B. die den Typ von verschlüsselter Kommunikationssitzung anzeigen, für deren Aufbau die Verbindung benutzt werden wird). Die Proxy-Vorrichtung 112 kann die Parameter zum Erzeugen von Paketen nutzen, die Daten umfassen, die zum Aufbauen einer Verbindung zwischen der Proxy-Vorrichtung 112 und dem Web-Proxy 118 konfiguriert sind (z.B. eine TCP: SYN-ACK-Handshake-Nachricht), und kann in Schritt #16 die Pakete an den Web-Proxy 118 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 122 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete oder Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die Anforderung, die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die von Regel-Gates 120 und 126 in einem oder mehreren der Schritte #6-#11 erzeugt wurden).
  • Ebenso kann die Proxy-Vorrichtung 114 die Parameter zum Erzeugen von Paketen nutzen, die Daten umfassen, die zum Aufbauen einer Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 (z.B. eine TCP: SYN-Handshake-Nachricht) konfiguriert sind, und kann in Schritt #17 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#11 und #16 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf den Empfang der Pakete aus der Proxy-Vorrichtung 112 kann das Web-Proxy 118 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 112 und dem Web-Proxy 118 konfiguriert sind (z.B. eine TCP: ACK-Handshake-Nachricht), und kann in Schritt #18 die Pakete an die Proxy-Vorrichtung 112 übermitteln. Die Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 122 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#11, #16 und #17 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf den Empfang der Pakete aus der Proxy-Vorrichtung 114 kann der Host 142 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 (z.B. eine TCP: SYN-ACK-Handshake-Nachricht) konfiguriert sind, und kann in Schritt #19 die Pakete an die Proxy-Vorrichtung 114 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#11 und #16-#18 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • In Reaktion auf den Empfang der Pakete aus dem Host 142 kann die Proxy-Vorrichtung 114 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 konfiguriert sind (z.B. eine TCP: ACK-Handshake-Nachricht), und kann in Schritt #20 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#11 und #16-#19 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Proxy-Vorrichtung 112 kann die Pakete empfangen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 112 und dem Web-Proxy 118 konfiguriert sind, übermittelt vom Web-Proxy 118 in Schritt #18, und die Verbindung 404 (z.B. eine TCP-Verbindung) zwischen der Proxy-Vorrichtung 112 und dem Web-Proxy 118 kann aufgebaut werden. Ebenso kann der Host 142 die Pakete empfangen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen der Proxy-Vorrichtung 114 und dem Host 142 konfiguriert sind, übermittelt von der Proxy-Vorrichtung 114 in Schritt #20, und Verbindung 406 (z.B. eine TCP-Verbindung) zwischen der Proxy-Vorrichtung 114 und dem Host 142 kann aufgebaut werden.
  • In Schritt #21 können die Proxy-Vorrichtung 112 und der Host 106 Pakete, die Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung 408 konfiguriert sind (z.B. einer SSL/TLS-Sitzung), zwischen der Proxy-Vorrichtung 112 und dem Host 106 über Verbindungen 402 und 404 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass ein oder mehrere der Regel-Gates 120 oder 122 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#11 und #16-#20 erzeugt wurden), oder die Pakete, die eine oder mehrere Handshake-Nachrichten umfassen, konfiguriert zum Aufbauen der Sitzung 408, die unverschlüsselte Daten (z.B. einschließlich des Domänennamens) entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Protokollieren und/oder Fallenlassen der Pakete.
  • Ebenso können in Schritt #22 die Proxy-Vorrichtung 114 und der Host 142 Pakete, die Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung 410 (z.B. einer SSL/TLS-Sitzung) konfiguriert sind, zwischen der Proxy-Vorrichtung 114 und dem Host 142 über die Verbindung 406 übermitteln, und Regeln 212 können so konfiguriert sein, dass sie bewirken, dass das Regel-Gate 128 eines oder mehrere der Folgenden durchführt: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, z.B. durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#11 und #16-#21 erzeugt wurden), oder den Paketen, die eine oder mehrere Handshake-Nachrichten umfassen, konfiguriert zum Aufbauen einer Sitzung 410, die unverschlüsselte Daten (z.B. einschließlich des Domänennamens) entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Protokollieren und/oder Fallenlassen der Pakete.
  • Mit Bezug auf 4B-C entsprechen die Schritte #23-#47 im Wesentlichen den Schritten #19-#43 von 3B-C; Regeln 212 können jedoch so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 122 eines oder mehrere aus Identifizieren, Fallenlassen und Protokollieren der in einem oder mehreren der Schritte #23, #30, #31, #36, #39 und #44 der 4B-C übermittelten Pakete durchführen.
  • Mit Bezug auf 5A entsprechen die Schritte #1-#7 im Wesentlichen den Schritten #1-#7 von 3A.
  • Der Host 106 kann ein oder mehrere für den Host 142 bestimmte Pakete erzeugen, die Daten (z.B. eine TCP: SYN-Handshake-Nachricht) umfassen, die zum Aufbauen einer Verbindung (z.B. einer/s TCP-Verbindung oder Tunnels) zwischen den Hosts 106 und 142 konfiguriert sind, und kann in Schritt #8 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 die Pakete identifizieren und/oder feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die vom Regel-Gate 126 in einem oder mehreren der Schritte #6 oder #7 erzeugt wurden).
  • In Reaktion auf den Empfang der Pakete aus Host 106 kann der Host 142 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen Hosts 106 und 142 konfiguriert sind (z.B. eine TCP: SYN-ACK-Handshake-Nachricht), und kann in Schritt #9 die Pakete an den Host 106 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 die Pakete identifizieren und/oder feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die vom Regel-Gate 126 in einem oder mehreren der Schritte #6 oder #7 erzeugt wurden).
  • In Reaktion auf den Empfang der Pakete aus Host 142 kann der Host 106 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen Hosts 106 und 142 konfiguriert sind (z.B. eine TCP: ACK-Handshake-Nachricht), und kann in Schritt #10 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 die Pakete identifizieren und/oder Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die vom Regel-Gate 126 in einem oder mehreren der Schritte #6 oder #7 erzeugt wurden).
  • Der Host 142 kann die Pakete empfangen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen Hosts 106 und 142 konfiguriert sind, übermittelt vom Host 106 in Schritt #10, und die Verbindung 502 (z.B. eine TCP-Verbindung) zwischen den Hosts 106 und 142 kann aufgebaut werden.
  • In Schritt #11 können die Hosts 106 und 142 Pakete, die Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung 504 (z.B. einer SSL/TLS-Sitzung) konfiguriert sind, zwischen den Hosts 106 und 142 über die Verbindung 502 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#10 erzeugt wurden), oder den Paketen, die ein oder mehrere Handshake-Nachrichten umfassen, konfiguriert zum Aufbauen einer Sitzung 504, die unverschlüsselte Daten (z.B. einschließlich des Domänennamens) entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 106 kann Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 504 verschlüsselt sind, und kann in Schritt #12 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#11 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 142 kann Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 504 verschlüsselt sind, und kann in Schritt #13 die Pakete an den Host 106 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#12 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 106 kann Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 504 verschlüsselt wurden, und kann in Schritt #14 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#13 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 142 kann Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 504 verschlüsselt wurden, und kann in Schritt #15 die Pakete an den Host 106 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#14 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Mit Bezug auf 5B entsprechen die Schritte #16 und #17 im Wesentlichen den Schritten #33 und #34 von 3C.
  • Der Host 106 kann Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 504 verschlüsselt sind, und kann in Schritt #18 die Pakete an den Host 142 übermitteln. Regeln 212 (z.B. eine oder mehrere der in Schritt #17 umkonfigurierten Regeln 212) können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#15 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Der Host 142 kann Pakete erzeugen, die Daten umfassen, die gemäß einem oder mehreren Parametern der Sitzung 504 verschlüsselt sind, und kann in Schritt #19 die Pakete an den Host 106 übermitteln. Regeln 212 (z.B. eine oder mehrere der in Schritt #17 umkonfigurierten Regeln 212) können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#15 und #18 erzeugt wurden), und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Schritte #20-22 entsprechen im Wesentlichen den Schritten #41-43 von 3C.
  • Mit Bezug auf 6A, die Schritte #1-11 entsprechen im Wesentlichen den Schritten #1-11 von 4A.
  • Der Web-Proxy 118 kann ein oder mehrere für den Host 142 bestimmte Pakete erzeugen, die Daten (z.B. eine TCP: SYN-Handshake-Nachricht) umfassen, die zum Aufbauen einer Verbindung (z.B. einer/s TCP-Verbindung oder Tunnels) zwischen dem Web-Proxy 118 und dem Host 142 konfiguriert sind, und kann in Schritt #12 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 122 und/oder 128 die Pakete identifizieren und/oder feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die vom Regel-Gate 126 in einem oder mehreren der Schritte #10 und #11 erzeugt wurden).
  • In Reaktion auf den Empfang der Pakete vom Web-Proxy 118 kann der Host 142 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen dem Web-Proxy 118 und dem Host 142 konfiguriert sind (z.B. eine TCP: SYN-ACK-Handshake-Nachricht), und kann in Schritt #13 die Pakete an den Web-Proxy 118 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 122 und/oder 128 die Pakete identifizieren und/oder feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die vom Regel-Gate 126 in einem oder mehreren der Schritte #10 und #11 erzeugt wurden).
  • In Reaktion auf den Empfang der Pakete aus dem Host 142 kann der Web-Proxy 118 Pakete erzeugen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen dem Web-Proxy 118 und dem Host 142 konfiguriert sind (z.B. eine TCP: ACK-Handshake-Nachricht), und kann in Schritt #14 die Pakete an den Host 142 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 122 und/oder 128 die Pakete identifizieren und/oder feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren der Pakete, die die DNS-Abfrage oder die Antwort auf die DNS-Abfrage umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. die Log-Daten, die vom Regel-Gate 126 in einem oder mehreren der Schritte #10 oder #11 erzeugt wurden).
  • Mit Bezug auf 6B kann der Host 142 die Pakete empfangen, die Daten umfassen, die zum Aufbauen der Verbindung zwischen dem Web-Proxy 118 und dem Host 142 konfiguriert sind, übermittelt vom Web-Proxy 118 in Schritt #14, und die Verbindung 604 (z.B. eine TCP-Verbindung) zwischen dem Web-Proxy 118 und dem Host 142 kann aufgebaut werden.
  • In Schritt #15 können die Hosts 106 und 142 Pakete, die Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung 606 (z.B. einer SSL/TLS-Sitzung) konfiguriert sind, zwischen Hosts 106 und 142 über die Verbindungen 602 und 604 übermitteln. Regeln 212 können so konfiguriert sein, dass sie bewirken, dass die Regel-Gates 120, 122 und/oder 128 eines oder mehrere der Folgenden durchführen: Identifizieren der Pakete, Feststellen (z.B. auf der Basis von einer oder mehreren in ihren Netzwerkschicht-Headern enthaltenen Netzwerkadressen), dass die Pakete Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, zum Beispiel durch Korrelieren der Pakete mit einem oder mehreren Paketen, von denen das Paketfilterungssystem 200 zuvor festgestellt hat, dass sie Daten entsprechend den Netzwerkbedrohungsindikatoren umfassen, auf der Basis von in Logs 214 gespeicherten Daten (z.B. Log-Daten, die vom Paketfilterungssystem 200 in einem oder mehreren der Schritte #6-#15 erzeugt wurden), oder den Paketen, die eine oder mehrere Handshake-Nachrichten umfassen, konfiguriert zum Aufbauen einer Sitzung 606, die unverschlüsselte Daten (z.B. einschließlich des Domänennamens) entsprechend den Netzwerkbedrohungsindikatoren umfassen, und Protokollieren und/oder Fallenlassen der Pakete.
  • Die Schritte #16-#26 entsprechen im Wesentlichen den Schritten #12-#22 von 5A-B; Regeln 212 können jedoch so konfiguriert sein, dass sie bewirken, dass Regel-Gates 120, 122 und/oder 128 die in einem oder mehreren der Schritte #16-#19, #22 und #23 von 6B übermittelten Pakete identifizieren, fallenlassen und/oder protokollieren.
  • 7 stellt ein veranschaulichendes Verfahren für eine regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen gemäß einem oder mehreren Aspekten der Offenbarung dar. Mit Bezug auf 7 kann in Schritt #702 ein Paketfilterungssystem Daten empfangen, die Netzwerkbedrohungsindikatoren anzeigen. Zum Beispiel kann das Paketfilterungssystem 200 Paketfilterungsregeln empfangen, erzeugt von Regelanbietern 138 auf der Basis von von Bedrohungsdatenanbietern 140 bereitgestellten Netzwerkbedrohungsindikatoren. In Schritt #704 kann das Paketfilterungssystem Paketfilterungsregeln konfigurieren, gemäß denen es zum Filtern von Paketen konfiguriert wird. Zum Beispiel kann das Paketfilterungssystem 200 Regeln 212 konfigurieren.
  • In Schritt #706 kann das Paketfilterungssystem Pakete identifizieren, die unverschlüsselte Daten umfassen. Zum Beispiel kann das Paketfilterungssystem 200 Pakete identifizieren, die eine DNS-Abfrage, eine Antwort auf eine DNS-Abfrage oder eine Handshake-Nachricht umfassen, konfiguriert zum Aufbauen einer verschlüsselten Kommunikationssitzung. In Schritt #708 kann das Paketfilterungssystem Pakete identifizieren, die verschlüsselte Daten umfassen. Zum Beispiel kann das Paketfilterungssystem 200 Pakete identifizieren, die gemäß einem oder mehreren Parametern der Sitzungen 306, 308, 408, 410, 504 oder 606 verschlüsselt sind.
  • In Schritt #710 kann das Paketfilterungssystem auf der Basis eines Teils der unverschlüsselten Daten entsprechend den Netzwerkbedrohungsindikatoren feststellen, dass die verschlüsselte Daten umfassenden Pakete den Netzwerkbedrohungsindikatoren entsprechen. Zum Beispiel kann das Paketfilterungssystem 200 feststellen, dass ein in der DNS-Abfrage, der Antwort auf die DNS-Abfrage oder der Handshake-Nachricht enthaltener Domänenname den Netzwerkbedrohungsindikatoren entspricht, und das Paketfilterungssystem 200 kann feststellen, dass sich eines oder mehrere der gemäß den Parametern der Sitzungen 306, 308, 408, 410, 504 oder 606 verschlüsselten Pakete auf ein oder mehrere Pakete beziehen, die die DNS-Abfrage, die Antwort auf die DNS-Abfrage oder die ein oder mehreren Handshake-Nachrichten umfassen.
  • Die hier beschriebenen Funktionen und Schritte können in computernutzbaren Daten oder computerausführbaren Befehlen ausgestaltet werden, wie in einem oder mehreren Programmmodulen, ausgeführt von einem oder mehreren Computern oder anderen Vorrichtungen zum Durchführen von einer oder mehreren der hier beschriebenen Funktionen. Im Allgemeinen umfassen Programmmodule Routinen, Programme, Objekte, Komponenten, Datenstrukturen usw., die bestimmte Aufgaben durchführen oder bestimmte abstrakte Datentypen implementieren, wenn sie von einem oder mehreren Prozessoren in einem Computer oder einem anderen Datenverarbeitungsgerät ausgeführt werden. Die computerausführbaren Befehle können auf einem computerlesbaren Medium wie Festplatte, optische Platte, entfernbares Speichermedium, Festkörperspeicher, RAM usw. gespeichert werden. Man wird verstehen, dass die Funktionalität der Programmmodule nach Wunsch kombiniert oder verteilt werden kann. Zusätzlich kann die Funktionalität ganz oder teilweise in Firmware- oder Hardware-Äquivalenten wie integrierten Schaltungen, anwendungsspezifischen integrierten Schaltungen (ASIC), feldprogrammierbaren Gate-Arrays (FPGA) und dergleichen ausgestaltet werden. Bestimmte Datenstrukturen können benutzt werden, um einen oder mehrere Aspekte der Offenbarung effektiver zu implementieren, und solche Datenstrukturen werden so angesehen, dass sie in den Umfang von computerausführbaren Befehlen und computerbenutzbaren Daten wie hierin beschrieben fallen.
  • Obwohl dies nicht erforderlich ist, wird die durchschnittliche Fachperson verstehen, dass verschiedene hier beschriebene Aspekte als ein Verfahren, ein System, eine Vorrichtung oder als ein oder mehrere computerlesbare Medien zum Speichern von computerausführbaren Befehlen ausgestaltet sein können. Demgemäß können diese Aspekte die Form einer Ausführungsform ganz in Hardware, einer Ausführungsform ganz in Software, einer Ausführungsform ganz in Firmware oder einer Ausführungsform annehmen, die Software-, Hardware- und Firmware-Aspekte in einer beliebigen Kombination kombiniert.
  • Wie hier beschrieben, können die verschiedenen Verfahren und Tätigkeiten über ein oder mehrere Computervorrichtungen und ein oder mehrere Netzwerke operativ sein. Die Funktionalität kann auf eine beliebige Weise verteilt werden oder sich auf einer einzigen Computervorrichtung (z.B. einem Server, einem Client-Computer, oder dergleichen) befinden.
  • Aspekte der Offenbarung wurden im Hinblick auf veranschaulichende Ausführungsformen davon beschrieben. Der durchschnittlichen Fachperson werden nach einem Studium der vorliegenden Offenbarung zahlreiche andere Ausführungsformen, Modifikationen und Variationen innerhalb des Umfangs oder Wesens der beiliegenden Ansprüche einfallen. Zum Beispiel wird die durchschnittliche Fachperson verstehen, dass die in den veranschaulichenden Figuren veranschaulichten Schritte in einer anderen als der aufgeführten Reihenfolge durchgeführt werden können und dass ein oder mehrere veranschaulichte Schritte optional sein können. Beliebige und alle Merkmale in den nachfolgenden Ansprüchen können auf jede mögliche Weise kombiniert oder umgeordnet werden.
  • ZITATE ENTHALTEN IN DER BESCHREIBUNG
  • Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
  • Zitierte Patentliteratur
    • US 13/795822 [0038]

Claims (47)

  1. Computervorrichtung, die ein Paketfilterungssystem implementiert, das ausgelegt ist, folgendes Verfahren auszuführen: Empfangen, durch das Paketfilterungssystem, das einen Hardware-Prozessor und einen Speicher umfasst und zum Filtern von Paketen gemäß mehreren Paketfilterungsregeln konfiguriert ist, von Daten, die mehrere Netzwerkbedrohungsindikatoren anzeigen, wobei wenigstens einer der mehreren Netzwerkbedrohungsindikatoren einen als Netzwerkbedrohung identifizierten Domänennamen umfasst; Identifizieren von unverschlüsselte Daten umfassenden Paketen; Identifizieren von verschlüsselte Daten umfassenden Paketen; Feststellen, auf der Basis eines Teils der unverschlüsselten Daten entsprechend einem oder mehreren Netzwerkbedrohungsindikatoren der mehreren Netzwerkbedrohungsindikatoren, von Paketen, die verschlüsselte Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen; Filtern auf der Basis von wenigstens einem aus einem durch die mehreren Paketfilterungsregeln vorgegebenen URI (Uniform Resource Identifier), Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Protokollversion anzeigen, Daten, die ein durch die mehreren Paketfilterungsregeln vorgegebenes Verfahren anzeigen, Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Anforderung anzeigen, und Daten, die einen durch die mehreren Paketfilterungsregeln vorgegebenen Befehl anzeigen: von Paketen, die den Teil der unverschlüsselten Daten umfassen, der einem oder mehreren Netzwerkbedrohungsindikatoren der mehreren Netzwerkbedrohungsindikatoren entsprechen; und der festgestellten Pakete, die die verschlüsselten Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen; und Leiten der gefilterten Pakete zu einem Proxy-System auf der Basis einer Feststellung, dass die gefilterten Pakete Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen.
  2. Computervorrichtung nach Anspruch 1, wobei: die unverschlüsselte Daten umfassenden Pakete ein oder mehrere Pakete umfassen, die eine DNS-(Domain Name System)-Abfrage und/oder eine Antwort auf die DNS-Abfrage umfassen, wobei das Verfahren ferner umfasst: Feststellen, dass die DNS-Abfrage und/oder die Antwort auf die DNS-Abfrage den als Netzwerkbedrohung identifizierten Domänennamen umfasst/umfassen.
  3. Computervorrichtung nach Anspruch 2, wobei der Teil der unverschlüsselten Daten eine oder mehrere in der DNS-Abfrage und/oder der Antwort auf die DNS-Abfrage enthaltene Netzwerkadressen umfasst, wobei das Verfahren ferner umfasst: Feststellen, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die wenigstens eine der ein oder mehreren Netzwerkadressen umfassen.
  4. Computervorrichtung nach Anspruch 2 oder Anspruch 3, wobei der Teil der unverschlüsselten Daten eine oder mehrere in einem oder mehreren Headern der ein oder mehreren Pakete enthaltene Netzwerkadressen umfassen, die die DNS-Abfrage und/oder die Antwort auf die DNS-Abfrage umfassen, wobei das Verfahren ferner umfasst: Feststellen, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die wenigstens eine der ein oder mehreren Netzwerkadressen umfassen.
  5. Computervorrichtung nach Anspruch 4, wobei die ein oder mehreren Netzwerkadressen eine Netzwerkadresse eines Web-Proxy umfassen, der die DNS-Abfrage in Reaktion auf eine von einem Host empfangene Anforderung erzeugt hat, wobei das Verfahren ferner umfasst: Identifizieren von einem oder mehreren die Anforderung umfassenden Paketen.
  6. Computervorrichtung nach einem der Ansprüche 1-5, wobei eines oder mehrere Pakete der unverschlüsselte Daten umfassenden Pakete Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung zwischen einem ersten Host und einem zweiten Host konfiguriert sind, wobei das Verfahren ferner umfasst: Leiten der ein oder mehreren Pakete, die Daten umfassen, die zum Aufbauen der verschlüsselten Kommunikationssitzung zwischen dem ersten Host und dem zweiten Host konfiguriert sind, zum Proxy-System.
  7. Computervorrichtung nach Anspruch 6, wobei das Verfahren ferner umfasst: Leiten der ein oder mehreren Pakete zum Proxy-System auf der Basis einer Feststellung, dass der erste Host und/oder der zweite Host dem als Netzwerkbedrohung identifizierten Domänennamen entspricht/entsprechen.
  8. Computervorrichtung nach Anspruch 6, wobei: die mehreren Paketfilterungsregeln anzeigen: eine oder mehrere Netzwerkadressen, für die verschlüsselte Kommunikationen über das Proxy-System aufgebaut werden sollen, und eine oder mehrere Netzwerkadressen, für die keine verschlüsselten Kommunikationen über das Proxy-System aufgebaut werden sollen, wobei das Verfahren ferner umfasst: Leiten der ein oder mehreren Pakete zum Proxy-System auf der Basis einer Feststellung, dass der erste Host und/oder der zweite Host den ein oder mehreren Netzwerkadressen entspricht/entsprechen, für die verschlüsselte Kommunikationen über das Proxy-System aufgebaut werden sollen.
  9. Computervorrichtung nach Anspruch 6, wobei: das Paketfilterungssystem umfasst: eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit einem oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, und eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden, wobei das Verfahren ferner umfasst: Umleiten von Paketen, die über die ein oder mehreren Schnittstellen empfangen werden, die das Paketfilterungssystem mit den ein oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, zu den ein oder mehreren Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden.
  10. Computervorrichtung nach Anspruch 6, wobei: das Paketfilterungssystem umfasst: eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit einem oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, und eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden, wobei das Verfahren ferner umfasst: Weiterleiten von Kopien von Paketen, die über die ein oder mehreren Schnittstellen empfangen werden, die das Paketfilterungssystem mit den ein oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, zu den ein oder mehreren Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden.
  11. Computervorrichtung nach Anspruch 6, wobei das Verfahren ferner umfasst: Identifizieren, über einen Kommunikationslink, der den ersten Host und das Proxy-System verbindet, der verschlüsselte Daten umfassenden Pakete; und Identifizieren, über einen internen Kommunikationslink des Proxy-Systems, von Paketen, die den verschlüsselte Daten umfassenden Paketen entsprechen.
  12. Computervorrichtung nach Anspruch 11, wobei das Verfahren ferner umfasst: Identifizieren, über einen Kommunikationslink, der das Proxy-System und den zweiten Host verbindet, von durch das Proxy-System erzeugten Paketen auf der Basis der Pakete, die den verschlüsselte Daten umfassenden Paketen entsprechen.
  13. Computervorrichtung nach Anspruch 6, wobei das Verfahren ferner umfasst: Erzeugen, durch das Proxy-System, von einem oder mehreren Paketen auf der Basis der gefilterten Pakete, die verschlüsselte Daten umfassen, geleitet zum Proxy-System durch das Paketfilterungssystem; Durchführen in Reaktion auf die Feststellung, dass ein oder mehrere durch das Proxy-System erzeugte Pakete einem oder mehreren durch die mehreren Paketfilterungsregeln vorgegebenen Kriterien entsprechen, von wenigstens einem von: Fallenlassen der vom Proxy-System erzeugten ein oder mehreren Pakete; Protokollieren der vom Proxy-System erzeugten ein oder mehreren Pakete; Fallenlassen von einem oder mehreren anderen vom Proxy-System erzeugten Paketen; Protokollieren von einem oder mehreren anderen vom Proxy-System erzeugten Paketen; Fallenlassen von einem oder mehreren anderen verschlüsselte Daten umfassenden Paketen; oder Protokollieren von einem oder mehreren anderen verschlüsselte Daten umfassenden Paketen.
  14. Computervorrichtung nach Anspruch 13, wobei das Feststellen, dass ein oder mehrere Pakete, erzeugt vom Proxy-System auf der Basis von einem oder mehreren verschlüsselte Daten umfassenden Paketen, einem oder mehreren durch die mehreren Paketfilterungsregeln vorgegebenen Kriterien entsprechen, ein Feststellen umfasst, dass die ein oder mehreren vom Proxy-System erzeugten Pakete wenigstens eines umfassen aus: einem durch die mehreren Paketfilterungsregeln vorgegebenen URI (Uniform Resource Identifier), Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Protokollversion anzeigen, Daten, die ein durch die mehreren Paketfilterungsregeln vorgegebenes Verfahren anzeigen, Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Anforderung anzeigen, und Daten, die einen durch die mehreren Paketfilterungsregeln vorgegebenen Befehl anzeigen.
  15. Computervorrichtung nach Anspruch 13, wobei das Feststellen ein Feststellen umfasst, dass die ein oder mehreren vom Proxy-System erzeugten Pakete einen URI (Uniform Resource Identifier) umfassen, der eine durch die mehreren Paketfilterungsregeln vorgegebene Schwellengröße erfüllt.
  16. Computervorrichtung nach Anspruch 6, wobei das Verfahren ferner umfasst: Identifizieren, über einen Kommunikationslink, der das Proxy-System und einen ICAP-(Internet Content Adaptation Protocol)-Server verbindet, von einem oder mehreren Paketen, die wenigstens eines aus einer ICAP-Anforderung, einer vom ICAP-Server erzeugten Antwort oder einer vom ICAP-Server erzeugten modifizierten Anforderung umfassen.
  17. Computervorrichtung nach einem der Ansprüche 1-16, wobei die verschlüsselte Daten umfassenden Pakete Pakete umfassen, die von einem ersten Host empfangen wurden und für einen zweiten Host bestimmt sind, wobei das Verfahren ferner ein Fallenlassen und/oder Protokollieren anderer Pakete als die verschlüsselte Daten umfassenden Pakete auf der Basis einer Feststellung umfasst, dass die anderen Pakete als die verschlüsselte Daten umfassenden Pakete vom zweiten Host empfangen wurden und/oder für den ersten Host bestimmt sind.
  18. Computervorrichtung nach einem der Ansprüche 1-17, wobei: die unverschlüsselte Daten umfassenden Pakete ein oder mehrere Pakete umfassen, die eine oder mehrere Handshake-Nachrichten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung zwischen einem Client und einem Server konfiguriert sind, wobei das Verfahren ferner umfasst: Feststellen, dass die ein oder mehreren Handshake-Nachrichten den als Netzwerkbedrohung identifizierten Domänennamen umfassen.
  19. Computervorrichtung nach Anspruch 18, wobei das Verfahren ferner umfasst: Fallenlassen und/oder Protokollieren der verschlüsselte Daten umfassenden Pakete in Reaktion auf ein Feststellen, dass die ein oder mehreren Handshake-Nachrichten den als Netzwerkbedrohung identifizierten Domänennamen umfassen.
  20. Computervorrichtung nach Anspruch 18 oder Anspruch 19, wobei: die ein oder mehreren Handshake-Nachrichten eine vom Client erzeugte Hallo-Nachricht und/oder eine vom Server erzeugte Zertifikatnachricht umfassen; und das Feststellen, dass die ein oder mehreren Handshake-Nachrichten den als Netzwerkbedrohung identifizierten Domänennamen umfassen, ein Feststellen umfasst, dass die vom Client erzeugte Hallo-Nachricht und/oder die vom Server erzeugte Zertifikatnachricht den als Netzwerkbedrohung identifizieren Domänennamen umfassen.
  21. Computervorrichtung nach einem der Ansprüche 18-20, wobei der Teil der unverschlüsselten Daten eine oder mehrere Netzwerkadressen umfasst, die in einem oder mehreren Headern der ein oder mehreren die ein oder mehreren Handshake-Nachrichten umfassenden Pakete enthalten sind, wobei das Verfahren ferner ein Feststellen umfasst, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die wenigstens eine der ein oder mehreren Netzwerkadressen umfassen.
  22. Computervorrichtung nach Anspruch 21, wobei die ein oder mehreren Netzwerkadressen eine Netzwerkadresse des Servers und eine Netzwerkadresse eines Web-Proxy umfassen, wobei das Verfahren ferner umfasst: Identifizieren von einem oder mehreren Paketen, die einen oder mehrere Paket-Header umfassen, die die Netzwerkadresse des Web-Proxy und eine Netzwerkadresse des Client umfassen; und Feststellen, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die die Netzwerkadresse des Servers und die Netzwerkadresse des Client umfassen.
  23. Computervorrichtung nach einem der Ansprüche 1-22, wobei die unverschlüsselte Daten umfassenden Pakete eine Zertifikatnachricht für eine verschlüsselte Kommunikationssitzung umfassen, wobei das Verfahren ferner umfasst: Fallenlassen und/oder Protokollieren von einem oder mehreren der verschlüsselte Daten umfassenden Pakete auf der Basis einer Feststellung, dass die Zertifikatnachricht Daten umfasst, die wenigstens eines anzeigen von: eine durch die mehreren Paketfilterungsregeln angezeigte Seriennummer, einen durch die mehreren Paketfilterungsregeln angezeigten Ausgeber, einen durch die mehreren Paketfilterungsregeln angezeigten Gültigkeitszeitbereich, einen durch die mehreren Paketfilterungsregeln angezeigten Schlüssel oder eine durch die mehreren Paketfilterungsregeln angezeigte Signierungsstelle.
  24. System, umfassend: eine erste Computervorrichtung nach einem der Ansprüche 1-23; und ein zweite Computervorrichtung, konfiguriert zum Senden der mehrere Netzwerkbedrohungsindikatoren anzeigenden Daten.
  25. Computerlesbares Medium, das Befehle speichert, die bei Ausführung die Durchführung eines Verfahrens bewirken, welches umfasst: Empfangen, durch ein Paketfilterungssystem, das zum Filtern von Paketen gemäß mehreren Paketfilterungsregeln konfiguriert ist, von Daten, die mehrere Netzwerkbedrohungsindikatoren anzeigen, wobei wenigstens einer der mehreren Netzwerkbedrohungsindikatoren einen als Netzwerkbedrohung identifizierten Domänennamen umfasst; Identifizieren von unverschlüsselte Daten umfassenden Paketen; Identifizieren von verschlüsselte Daten umfassenden Paketen; Feststellen, auf der Basis eines Teils der unverschlüsselten Daten entsprechend einem oder mehreren Netzwerkbedrohungsindikatoren der mehreren Netzwerkbedrohungsindikatoren, von Paketen, die verschlüsselte Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen; Filtern auf der Basis von wenigstens einem aus einem durch die mehreren Paketfilterungsregeln vorgegebenen URI (Uniform Resource Identifier), Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Protokollversion anzeigen, Daten, die ein durch die mehreren Paketfilterungsregeln vorgegebenes Verfahren anzeigen, Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Anforderung anzeigen, und Daten, die einen durch die mehreren Paketfilterungsregeln vorgegebenen Befehl anzeigen: von Paketen, die den Teil der unverschlüsselten Daten umfassen, der einem oder mehreren Netzwerkbedrohungsindikatoren der mehreren Netzwerkbedrohungsindikatoren entsprechen; und der festgestellten Pakete, die die verschlüsselten Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen; und Leiten der gefilterten Pakete zu einem Proxy-System auf der Basis einer Feststellung, dass die gefilterten Pakete Daten umfassen, die den ein oder mehreren Netzwerkbedrohungsindikatoren entsprechen.
  26. Computerlesbares Medium nach Anspruch 25, wobei: die unverschlüsselte Daten umfassenden Pakete ein oder mehrere Pakete umfassen, die eine DNS-(Domain Name System)-Abfrage und/oder eine Antwort auf die DNS-Abfrage umfassen, wobei das Verfahren ferner umfasst: Feststellen, dass die DNS-Abfrage und/oder die Antwort auf die DNS-Abfrage den als Netzwerkbedrohung identifizierten Domänennamen umfasst/umfassen.
  27. Computerlesbares Medium nach Anspruch 26, wobei der Teil der unverschlüsselten Daten eine oder mehrere in der DNS-Abfrage und/oder der Antwort auf die DNS-Abfrage enthaltene Netzwerkadressen umfasst, wobei das Verfahren ferner umfasst: Feststellen, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die wenigstens eine der ein oder mehreren Netzwerkadressen umfassen.
  28. Computerlesbares Medium nach Anspruch 26 oder Anspruch 27, wobei der Teil der unverschlüsselten Daten eine oder mehrere in einem oder mehreren Headern der ein oder mehreren Pakete enthaltene Netzwerkadressen umfassen, die die DNS-Abfrage und/oder die Antwort auf die DNS-Abfrage umfassen, wobei das Verfahren ferner umfasst: Feststellen, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die wenigstens eine der ein oder mehreren Netzwerkadressen umfassen.
  29. Computerlesbares Medium nach Anspruch 28, wobei die ein oder mehreren Netzwerkadressen eine Netzwerkadresse eines Web-Proxy umfassen, der die DNS-Abfrage in Reaktion auf eine von einem Host empfangene Anforderung erzeugt hat, wobei das Verfahren ferner umfasst: Identifizieren von einem oder mehreren die Anforderung umfassenden Paketen.
  30. Computerlesbares Medium nach einem der Ansprüche 25-29, wobei eines oder mehrere Pakete der unverschlüsselte Daten umfassenden Pakete Daten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung zwischen einem ersten Host und einem zweiten Host konfiguriert sind, wobei das Verfahren ferner umfasst: Leiten der ein oder mehreren Pakete, die Daten umfassen, die zum Aufbauen der verschlüsselten Kommunikationssitzung zwischen dem ersten Host und dem zweiten Host konfiguriert sind, zum Proxy-System.
  31. Computerlesbares Medium nach Anspruch 30, wobei das Verfahren ferner umfasst: Leiten der ein oder mehreren Pakete zum Proxy-System auf der Basis einer Feststellung, dass der erste Host und/oder der zweite Host dem als Netzwerkbedrohung identifizierten Domänennamen entspricht/entsprechen.
  32. Computerlesbares Medium nach Anspruch 30, wobei: die mehreren Paketfilterungsregeln anzeigen: eine oder mehrere Netzwerkadressen, für die verschlüsselte Kommunikationen über das Proxy-System aufgebaut werden sollen, und eine oder mehrere Netzwerkadressen, für die keine verschlüsselten Kommunikationen über das Proxy-System aufgebaut werden sollen, wobei das Verfahren ferner umfasst: Leiten der ein oder mehreren Pakete zum Proxy-System auf der Basis einer Feststellung, dass der erste Host und/oder der zweite Host den ein oder mehreren Netzwerkadressen entspricht/entsprechen, für die verschlüsselte Kommunikationen über das Proxy-System aufgebaut werden sollen.
  33. Computerlesbares Medium nach Anspruch 30, wobei: das Paketfilterungssystem umfasst: eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit einem oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, und eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden, wobei das Verfahren ferner umfasst: Umleiten von Paketen, die über die ein oder mehreren Schnittstellen empfangen werden, die das Paketfilterungssystem mit den ein oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, zu den ein oder mehreren Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden.
  34. Computerlesbares Medium nach Anspruch 30, wobei: das Paketfilterungssystem umfasst: eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit einem oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, und eine oder mehrere Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden, wobei das Verfahren ferner umfasst: Weiterleiten von Kopien von Paketen, die über die ein oder mehreren Schnittstellen empfangen werden, die das Paketfilterungssystem mit den ein oder mehreren Kommunikationslinks verbinden, die den ersten Host und den zweiten Host verbinden, zu den ein oder mehreren Schnittstellen, die das Paketfilterungssystem mit dem Proxy-System verbinden.
  35. Computerlesbares Medium nach Anspruch 30, wobei das Verfahren ferner umfasst: Identifizieren, über einen Kommunikationslink, der den ersten Host und das Proxy-System verbindet, der verschlüsselte Daten umfassenden Pakete; und Identifizieren, über einen internen Kommunikationslink des Proxy-Systems, von Paketen, die den verschlüsselte Daten umfassenden Paketen entsprechen.
  36. Computerlesbares Medium nach Anspruch 35, wobei das Verfahren ferner umfasst: Identifizieren, über einen Kommunikationslink, der das Proxy-System und den zweiten Host verbindet, von durch das Proxy-System erzeugten Paketen auf der Basis der Pakete, die den verschlüsselte Daten umfassenden Paketen entsprechen.
  37. Computerlesbares Medium nach Anspruch 30, wobei das Verfahren ferner umfasst: Erzeugen, durch das Proxy-System, von einem oder mehreren Paketen auf der Basis der gefilterten Pakete, die verschlüsselte Daten umfassen, geleitet zum Proxy-System durch das Paketfilterungssystem; Durchführen in Reaktion auf die Feststellung, dass ein oder mehrere durch das Proxy-System erzeugte Pakete einem oder mehreren durch die mehreren Paketfilterungsregeln vorgegebenen Kriterien entsprechen, von wenigstens einem von: Fallenlassen der vom Proxy-System erzeugten ein oder mehreren Pakete; Protokollieren der vom Proxy-System erzeugten ein oder mehreren Pakete; Fallenlassen von einem oder mehreren anderen vom Proxy-System erzeugten Paketen; Protokollieren von einem oder mehreren anderen vom Proxy-System erzeugten Paketen; Fallenlassen von einem oder mehreren anderen verschlüsselte Daten umfassenden Paketen; oder Protokollieren von einem oder mehreren anderen verschlüsselte Daten umfassenden Paketen.
  38. Computerlesbares Medium nach Anspruch 37, wobei das Feststellen, dass ein oder mehrere Pakete, erzeugt vom Proxy-System auf der Basis von einem oder mehreren verschlüsselte Daten umfassenden Paketen, einem oder mehreren durch die mehreren Paketfilterungsregeln vorgegebenen Kriterien entsprechen, ein Feststellen umfasst, dass die ein oder mehreren vom Proxy-System erzeugten Pakete wenigstens eines umfassen aus: einem durch die mehreren Paketfilterungsregeln vorgegebenen URI (Uniform Resource Identifier), Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Protokollversion anzeigen, Daten, die ein durch die mehreren Paketfilterungsregeln vorgegebenes Verfahren anzeigen, Daten, die eine durch die mehreren Paketfilterungsregeln vorgegebene Anforderung anzeigen, und Daten, die einen durch die mehreren Paketfilterungsregeln vorgegebenen Befehl anzeigen.
  39. Computerlesbares Medium nach Anspruch 37, wobei das Feststellen ein Feststellen umfasst, dass die ein oder mehreren vom Proxy-System erzeugten Pakete einen URI (Uniform Resource Identifier) umfassen, der eine durch die mehreren Paketfilterungsregeln vorgegebene Schwellengröße erfüllt.
  40. Computerlesbares Medium nach Anspruch 30, wobei das Verfahren ferner umfasst: Identifizieren, über einen Kommunikationslink, der das Proxy-System und einen ICAP-(Internet Content Adaptation Protocol)-Server verbindet, von einem oder mehreren Paketen, die wenigstens eines aus einer ICAP-Anforderung, einer vom ICAP-Server erzeugten Antwort oder einer vom ICAP-Server erzeugten modifizierten Anforderung umfassen.
  41. Computerlesbares Medium nach einem der Ansprüche 25-40, wobei die verschlüsselte Daten umfassenden Pakete Pakete umfassen, die von einem ersten Host empfangen wurden und für einen zweiten Host bestimmt sind, wobei das Verfahren ferner ein Fallenlassen und/oder Protokollieren anderer Pakete als die verschlüsselte Daten umfassenden Pakete auf der Basis einer Feststellung umfasst, dass die anderen Pakete als die verschlüsselte Daten umfassenden Pakete vom zweiten Host empfangen wurden und/oder für den ersten Host bestimmt sind.
  42. Computerlesbares Medium nach einem der Ansprüche 25-41, wobei: die unverschlüsselte Daten umfassenden Pakete ein oder mehrere Pakete umfassen, die eine oder mehrere Handshake-Nachrichten umfassen, die zum Aufbauen einer verschlüsselten Kommunikationssitzung zwischen einem Client und einem Server konfiguriert sind, wobei das Verfahren ferner umfasst: Feststellen, dass die ein oder mehreren Handshake-Nachrichten den als Netzwerkbedrohung identifizierten Domänennamen umfassen.
  43. Computerlesbares Medium nach Anspruch 42, wobei das Verfahren ferner umfasst: Fallenlassen und/oder Protokollieren der verschlüsselte Daten umfassenden Pakete in Reaktion auf ein Feststellen, dass die ein oder mehreren Handshake-Nachrichten den als Netzwerkbedrohung identifizierten Domänennamen umfassen.
  44. Computerlesbares Medium nach Anspruch 42 oder Anspruch 43, wobei: die ein oder mehreren Handshake-Nachrichten eine vom Client erzeugte Hallo-Nachricht und/oder eine vom Server erzeugte Zertifikatnachricht umfassen; und das Feststellen, dass die ein oder mehreren Handshake-Nachrichten den als Netzwerkbedrohung identifizierten Domänennamen umfassen, ein Feststellen umfasst, dass die vom Client erzeugte Hallo-Nachricht und/oder die vom Server erzeugte Zertifikatnachricht den als Netzwerkbedrohung identifizieren Domänennamen umfassen.
  45. Computerlesbares Medium nach einem der Ansprüche 42-44, wobei der Teil der unverschlüsselten Daten eine oder mehrere Netzwerkadressen umfasst, die in einem oder mehreren Headern der ein oder mehreren die ein oder mehreren Handshake-Nachrichten umfassenden Pakete enthalten sind, wobei das Verfahren ferner ein Feststellen umfasst, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die wenigstens eine der ein oder mehreren Netzwerkadressen umfassen.
  46. Computerlesbares Medium nach Anspruch 45, wobei die ein oder mehreren Netzwerkadressen eine Netzwerkadresse des Servers und eine Netzwerkadresse eines Web-Proxy umfassen, wobei das Verfahren ferner umfasst: Identifizieren von einem oder mehreren Paketen, die einen oder mehrere Paket-Header umfassen, die die Netzwerkadresse des Web-Proxy und eine Netzwerkadresse des Client umfassen; und Feststellen, dass die verschlüsselte Daten umfassenden Pakete einen oder mehrere Paket-Header umfassen, die die Netzwerkadresse des Servers und die Netzwerkadresse des Client umfassen.
  47. Computerlesbares Medium nach einem der Ansprüche 25-46, wobei die unverschlüsselte Daten umfassenden Pakete eine Zertifikatnachricht für eine verschlüsselte Kommunikationssitzung umfassen, wobei das Verfahren ferner umfasst: Fallenlassen und/oder Protokollieren von einem oder mehreren der verschlüsselte Daten umfassenden Pakete auf der Basis einer Feststellung, dass die Zertifikatnachricht Daten umfasst, die wenigstens eines anzeigen von: eine durch die mehreren Paketfilterungsregeln angezeigte Seriennummer, einen durch die mehreren Paketfilterungsregeln angezeigten Ausgeber, einen durch die mehreren Paketfilterungsregeln angezeigten Gültigkeitszeitbereich, einen durch die mehreren Paketfilterungsregeln angezeigten Schlüssel oder eine durch die mehreren Paketfilterungsregeln angezeigte Signierungsstelle.
DE202016008885.9U 2015-12-23 2016-12-16 Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen Active DE202016008885U1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US201514757638 2015-12-23
US14/757,638 US9917856B2 (en) 2015-12-23 2015-12-23 Rule-based network-threat detection for encrypted communications

Publications (1)

Publication Number Publication Date
DE202016008885U1 true DE202016008885U1 (de) 2020-05-28

Family

ID=58191544

Family Applications (2)

Application Number Title Priority Date Filing Date
DE202016008885.9U Active DE202016008885U1 (de) 2015-12-23 2016-12-16 Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen
DE202016009181.7U Active DE202016009181U1 (de) 2015-12-23 2016-12-16 Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen

Family Applications After (1)

Application Number Title Priority Date Filing Date
DE202016009181.7U Active DE202016009181U1 (de) 2015-12-23 2016-12-16 Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen

Country Status (6)

Country Link
US (8) US9917856B2 (de)
EP (4) EP4224793A1 (de)
AU (2) AU2016379156B2 (de)
CA (1) CA3047908A1 (de)
DE (2) DE202016008885U1 (de)
WO (1) WO2017112535A1 (de)

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9860274B2 (en) 2006-09-13 2018-01-02 Sophos Limited Policy management
US11722524B2 (en) 2013-12-17 2023-08-08 Bank Of America Corporation Dynamic event securitization and neural network analysis system
US10438705B2 (en) 2014-12-29 2019-10-08 Terrapower, Llc Fission reaction control in a molten salt reactor
US10142353B2 (en) 2015-06-05 2018-11-27 Cisco Technology, Inc. System for monitoring and managing datacenters
US10536357B2 (en) 2015-06-05 2020-01-14 Cisco Technology, Inc. Late data detection in data center
WO2017086928A1 (en) * 2015-11-17 2017-05-26 Hewlett Packard Enterprise Development Lp Handling network threats
US9917856B2 (en) 2015-12-23 2018-03-13 Centripetal Networks, Inc. Rule-based network-threat detection for encrypted communications
US11182476B2 (en) * 2016-09-07 2021-11-23 Micro Focus Llc Enhanced intelligence for a security information sharing platform
US10142364B2 (en) 2016-09-21 2018-11-27 Upguard, Inc. Network isolation by policy compliance evaluation
US10868803B2 (en) * 2017-01-13 2020-12-15 Parallel Wireless, Inc. Multi-stage secure network element certificate provisioning in a distributed mobile access network
CN106685990B (zh) * 2017-02-09 2020-07-14 北京东土科技股份有限公司 一种基于工业互联网操作系统的安全性检测方法及装置
US10594664B2 (en) * 2017-03-13 2020-03-17 At&T Intellectual Property I, L.P. Extracting data from encrypted packet flows
IL251683B (en) 2017-04-09 2019-08-29 Yoseph Koren A system and method for dynamic management of private data
US10548109B2 (en) * 2017-06-23 2020-01-28 Cisco Technology, Inc. Opportunistic network-based location detection using unsolicited data packets
US11017102B2 (en) 2017-09-12 2021-05-25 Sophos Limited Communicating application information to a firewall
US10965651B2 (en) * 2017-12-20 2021-03-30 ColorTokens, Inc. Secure domain name system to support a private communication service
US20190306110A1 (en) * 2018-04-03 2019-10-03 Comcast Cable Communications, Llc Experience differentiation
US10931661B2 (en) 2019-03-05 2021-02-23 Centripetal Networks Methods and systems for certificate filtering
US11444878B2 (en) * 2019-09-04 2022-09-13 Yahoo Ad Tech Llc Intelligent dataflow-based service discovery and analysis
CN111107087B (zh) * 2019-12-19 2022-03-25 杭州迪普科技股份有限公司 报文检测方法及装置
US10924456B1 (en) 2020-07-14 2021-02-16 Centripetal Networks, Inc. Methods and systems for efficient encrypted SNI filtering for cybersecurity applications
US20220191223A1 (en) * 2020-12-11 2022-06-16 Marvell Asia Pte Ltd System and Method for Intrusion Detection of Malware Traffic based on Feature Information
US20220385675A1 (en) * 2021-05-27 2022-12-01 Saudi Arabian Oil Company System and methods for detecting malware adversary and campaign identification
US20230344812A1 (en) * 2022-04-20 2023-10-26 Bank Of America Corporation System and method for establishing a secure session to authenticate dns requests via dynamically configurable trusted network interface controllers

Family Cites Families (313)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5802320A (en) 1995-05-18 1998-09-01 Sun Microsystems, Inc. System for packet filtering of data packets at a computer network interface
US6147976A (en) 1996-06-24 2000-11-14 Cabletron Systems, Inc. Fast network layer packet filter
US6453345B2 (en) 1996-11-06 2002-09-17 Datadirect Networks, Inc. Network security and surveillance system
US6098172A (en) 1997-09-12 2000-08-01 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with proxy reflection
US7143438B1 (en) 1997-09-12 2006-11-28 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with multiple domain support
US6484261B1 (en) 1998-02-17 2002-11-19 Cisco Technology, Inc. Graphical network security policy management
US6279113B1 (en) 1998-03-16 2001-08-21 Internet Tools, Inc. Dynamic signature inspection-based network intrusion detection
US6389532B1 (en) * 1998-04-20 2002-05-14 Sun Microsystems, Inc. Method and apparatus for using digital signatures to filter packets in a network
US6317837B1 (en) 1998-09-01 2001-11-13 Applianceware, Llc Internal network node with dedicated firewall
US6826694B1 (en) 1998-10-22 2004-11-30 At&T Corp. High resolution access control
US20010039624A1 (en) 1998-11-24 2001-11-08 Kellum Charles W. Processes systems and networks for secured information exchange using computer hardware
CA2287689C (en) 1998-12-03 2003-09-30 P. Krishnan Adaptive re-ordering of data packet filter rules
US6226372B1 (en) 1998-12-11 2001-05-01 Securelogix Corporation Tightly integrated cooperative telecommunications firewall and scanner with distributed capabilities
US6611875B1 (en) 1998-12-31 2003-08-26 Pmc-Sierra, Inc. Control system for high speed rule processors
US6678827B1 (en) 1999-05-06 2004-01-13 Watchguard Technologies, Inc. Managing multiple network security devices from a manager device
JP2000332817A (ja) 1999-05-18 2000-11-30 Fujitsu Ltd パケット処理装置
CN100384191C (zh) 1999-06-10 2008-04-23 阿尔卡塔尔互联网运行公司 基于策略的网络体系结构
US7051365B1 (en) 1999-06-30 2006-05-23 At&T Corp. Method and apparatus for a distributed firewall
US6971028B1 (en) 1999-08-30 2005-11-29 Symantec Corporation System and method for tracking the source of a computer attack
EP1107140A3 (de) 1999-11-30 2004-01-28 Hitachi, Ltd. Verfahren zur Unterstützung des Entwurfs von Sicherheitssystemen
US7215637B1 (en) 2000-04-17 2007-05-08 Juniper Networks, Inc. Systems and methods for processing packets
US7058976B1 (en) 2000-05-17 2006-06-06 Deep Nines, Inc. Intelligent feedback loop process control system
US8204082B2 (en) 2000-06-23 2012-06-19 Cloudshield Technologies, Inc. Transparent provisioning of services over a network
US7032031B2 (en) 2000-06-23 2006-04-18 Cloudshield Technologies, Inc. Edge adapter apparatus and method
US6907470B2 (en) 2000-06-29 2005-06-14 Hitachi, Ltd. Communication apparatus for routing or discarding a packet sent from a user terminal
US20020164962A1 (en) 2000-07-18 2002-11-07 Mankins Matt W. D. Apparatuses, methods, and computer programs for displaying information on mobile units, with reporting by, and control of, such units
US7152240B1 (en) 2000-07-25 2006-12-19 Green Stuart D Method for communication security and apparatus therefor
US6834342B2 (en) 2000-08-16 2004-12-21 Eecad, Inc. Method and system for secure communication over unstable public connections
US6662235B1 (en) 2000-08-24 2003-12-09 International Business Machines Corporation Methods systems and computer program products for processing complex policy rules based on rule form type
US20020038339A1 (en) 2000-09-08 2002-03-28 Wei Xu Systems and methods for packet distribution
US20110214157A1 (en) 2000-09-25 2011-09-01 Yevgeny Korsunsky Securing a network with data flow processing
US9525696B2 (en) 2000-09-25 2016-12-20 Blue Coat Systems, Inc. Systems and methods for processing data flows
US7129825B2 (en) 2000-09-26 2006-10-31 Caterpillar Inc. Action recommendation system for a mobile vehicle
US20060212572A1 (en) 2000-10-17 2006-09-21 Yehuda Afek Protecting against malicious traffic
US7657628B1 (en) 2000-11-28 2010-02-02 Verizon Business Global Llc External processor for a distributed network access system
US7046680B1 (en) 2000-11-28 2006-05-16 Mci, Inc. Network access system including a programmable access device having distributed service control
CA2430571C (en) 2000-11-30 2011-07-12 Lancope, Inc. Flow-based detection of network intrusions
US7095741B1 (en) 2000-12-20 2006-08-22 Cisco Technology, Inc. Port isolation for restricting traffic flow on layer 2 switches
US20030051026A1 (en) 2001-01-19 2003-03-13 Carter Ernst B. Network surveillance and security system
US7061874B2 (en) 2001-01-26 2006-06-13 Broadcom Corporation Method, system and computer program product for classifying packet flows with a bit mask
FI20010256A0 (fi) 2001-02-12 2001-02-12 Stonesoft Oy Pakettidatayhteystietojen käsittely tietoturvagatewayelementissä
EP1371242A1 (de) 2001-03-14 2003-12-17 Nokia Corporation Verfahren zur aktivierung einer verbindung in einem kommunikationssystem, mobilstation, netzwerkelement und paketfilter
US7095716B1 (en) 2001-03-30 2006-08-22 Juniper Networks, Inc. Internet security device and method
US20020186683A1 (en) 2001-04-02 2002-12-12 Alan Buck Firewall gateway for voice over internet telephony communications
AUPR435501A0 (en) 2001-04-11 2001-05-17 Firebridge Systems Pty Ltd Network security system
KR100398281B1 (ko) 2001-04-17 2003-09-19 시큐아이닷컴 주식회사 패킷 차단방식 방화벽 시스템에서의 고속 정책 판별 방법
US7227842B1 (en) 2001-04-24 2007-06-05 Tensilica, Inc. Fast IP packet classification with configurable processor
EP1410210A4 (de) 2001-06-11 2005-12-14 Bluefire Security Technology I Paketfilterungssystem und verfahren
US6947983B2 (en) 2001-06-22 2005-09-20 International Business Machines Corporation Method and system for exploiting likelihood in filter rule enforcement
US7315892B2 (en) 2001-06-27 2008-01-01 International Business Machines Corporation In-kernel content-aware service differentiation
US7028179B2 (en) 2001-07-03 2006-04-11 Intel Corporation Apparatus and method for secure, automated response to distributed denial of service attacks
KR20010079361A (ko) 2001-07-09 2001-08-22 김상욱 네트워크 상태 기반의 방화벽 장치 및 그 방법
US7207062B2 (en) 2001-08-16 2007-04-17 Lucent Technologies Inc Method and apparatus for protecting web sites from distributed denial-of-service attacks
US7331061B1 (en) 2001-09-07 2008-02-12 Secureworks, Inc. Integrated computer security management system and method
US7386525B2 (en) 2001-09-21 2008-06-10 Stonesoft Corporation Data packet filtering
US7159109B2 (en) 2001-11-07 2007-01-02 Intel Corporation Method and apparatus to manage address translation for secure connections
US7325248B2 (en) 2001-11-19 2008-01-29 Stonesoft Corporation Personal firewall with location dependent functionality
FI20012338A0 (fi) 2001-11-29 2001-11-29 Stonesoft Corp Palomuuri tunneloitujen datapakettien suodattamiseksi
US20030123456A1 (en) 2001-12-28 2003-07-03 Denz Peter R. Methods and system for data packet filtering using tree-like hierarchy
US7222366B2 (en) 2002-01-28 2007-05-22 International Business Machines Corporation Intrusion event filtering
US7161942B2 (en) 2002-01-31 2007-01-09 Telcordia Technologies, Inc. Method for distributing and conditioning traffic for mobile networks based on differentiated services
JP3797937B2 (ja) 2002-02-04 2006-07-19 株式会社日立製作所 ネットワーク接続システム、ネットワーク接続方法、および、それらに用いられるネットワーク接続装置
TWI246285B (en) 2002-02-08 2005-12-21 Matsushita Electric Ind Co Ltd Gateway apparatus and its controlling method
US8370936B2 (en) 2002-02-08 2013-02-05 Juniper Networks, Inc. Multi-method gateway-based network security systems and methods
US7107613B1 (en) 2002-03-27 2006-09-12 Cisco Technology, Inc. Method and apparatus for reducing the number of tunnels used to implement a security policy on a network
US7185365B2 (en) 2002-03-27 2007-02-27 Intel Corporation Security enabled network access control
WO2003090019A2 (en) 2002-04-15 2003-10-30 Core Sdi, Incorporated Secure auditing of information systems
GB2387681A (en) 2002-04-18 2003-10-22 Isis Innovation Intrusion detection system with inductive logic means for suggesting new general rules
AUPS214802A0 (en) 2002-05-01 2002-06-06 Firebridge Systems Pty Ltd Firewall with stateful inspection
US20030212900A1 (en) 2002-05-13 2003-11-13 Hsin-Yuo Liu Packet classifying network services
WO2003105009A1 (en) 2002-06-07 2003-12-18 Bellsouth Intellectual Property Corporation Sytems and methods for establishing electronic conferencing over a distributed network
TWI244297B (en) 2002-06-12 2005-11-21 Thomson Licensing Sa Apparatus and method adapted to communicate via a network
US7441262B2 (en) 2002-07-11 2008-10-21 Seaway Networks Inc. Integrated VPN/firewall system
US20040015719A1 (en) 2002-07-16 2004-01-22 Dae-Hyung Lee Intelligent security engine and intelligent and integrated security system using the same
US7684400B2 (en) 2002-08-08 2010-03-23 Intel Corporation Logarithmic time range-based multifield-correlation packet classification
US7263099B1 (en) 2002-08-14 2007-08-28 Juniper Networks, Inc. Multicast packet replication
JP3794491B2 (ja) 2002-08-20 2006-07-05 日本電気株式会社 攻撃防御システムおよび攻撃防御方法
FR2844415B1 (fr) 2002-09-05 2005-02-11 At & T Corp Systeme pare-feu pour interconnecter deux reseaux ip geres par deux entites administratives differentes
CA2500305A1 (en) 2002-10-02 2004-04-15 Richard Reiner Rule creation for computer application screening; application error testing
US7313141B2 (en) 2002-10-09 2007-12-25 Alcatel Lucent Packet sequence number network monitoring system
US7793342B1 (en) 2002-10-15 2010-09-07 Novell, Inc. Single sign-on with basic authentication for a transparent proxy
US7574738B2 (en) 2002-11-06 2009-08-11 At&T Intellectual Property Ii, L.P. Virtual private network crossovers based on certificates
US7454499B2 (en) 2002-11-07 2008-11-18 Tippingpoint Technologies, Inc. Active network defense system and method
US7296288B1 (en) 2002-11-15 2007-11-13 Packeteer, Inc. Methods, apparatuses, and systems allowing for bandwidth management schemes responsive to utilization characteristics associated with individual users
US20040098511A1 (en) 2002-11-16 2004-05-20 Lin David H. Packet routing method and system that routes packets to one of at least two processes based on at least one routing rule
US7584352B2 (en) 2002-12-04 2009-09-01 International Business Machines Corporation Protection against denial of service attacks
US7366174B2 (en) 2002-12-17 2008-04-29 Lucent Technologies Inc. Adaptive classification of network traffic
US7050394B2 (en) 2002-12-18 2006-05-23 Intel Corporation Framer
US20050125697A1 (en) 2002-12-27 2005-06-09 Fujitsu Limited Device for checking firewall policy
US7913303B1 (en) 2003-01-21 2011-03-22 International Business Machines Corporation Method and system for dynamically protecting a computer system from attack
US20040148520A1 (en) 2003-01-29 2004-07-29 Rajesh Talpade Mitigating denial of service attacks
US20040193943A1 (en) 2003-02-13 2004-09-30 Robert Angelino Multiparameter network fault detection system using probabilistic and aggregation analysis
US20040177139A1 (en) 2003-03-03 2004-09-09 Schuba Christoph L. Method and apparatus for computing priorities between conflicting rules for network services
US7539186B2 (en) 2003-03-31 2009-05-26 Motorola, Inc. Packet filtering for emergency service access in a packet data network communication system
US7441036B2 (en) * 2003-04-01 2008-10-21 International Business Machines Corporation Method and system for a debugging utility based on a TCP tunnel
US7305708B2 (en) 2003-04-14 2007-12-04 Sourcefire, Inc. Methods and systems for intrusion detection
US7681235B2 (en) 2003-05-19 2010-03-16 Radware Ltd. Dynamic network protection
US7509673B2 (en) 2003-06-06 2009-03-24 Microsoft Corporation Multi-layered firewall architecture
US7308711B2 (en) 2003-06-06 2007-12-11 Microsoft Corporation Method and framework for integrating a plurality of network policies
US7710885B2 (en) 2003-08-29 2010-05-04 Agilent Technologies, Inc. Routing monitoring
KR100502068B1 (ko) 2003-09-29 2005-07-25 한국전자통신연구원 네트워크 노드의 보안 엔진 관리 장치 및 방법
KR100558658B1 (ko) 2003-10-02 2006-03-14 한국전자통신연구원 인-라인 모드 네트워크 침입 탐지/차단 시스템 및 그 방법
US7937759B2 (en) * 2003-10-02 2011-05-03 Auburn University System and method for protecting communication devices from denial of service attacks
JP4107213B2 (ja) 2003-10-06 2008-06-25 松下電工株式会社 パケット判定装置
US20050108557A1 (en) 2003-10-11 2005-05-19 Kayo David G. Systems and methods for detecting and preventing unauthorized access to networked devices
US7237267B2 (en) 2003-10-16 2007-06-26 Cisco Technology, Inc. Policy-based network security management
US7672318B2 (en) 2003-11-06 2010-03-02 Telefonaktiebolaget L M Ericsson (Publ) Adaptable network bridge
US20050138426A1 (en) * 2003-11-07 2005-06-23 Brian Styslinger Method, system, and apparatus for managing, monitoring, auditing, cataloging, scoring, and improving vulnerability assessment tests, as well as automating retesting efforts and elements of tests
US8839417B1 (en) 2003-11-17 2014-09-16 Mcafee, Inc. Device, system and method for defending a computer network
US20050183140A1 (en) 2003-11-20 2005-08-18 Goddard Stephen M. Hierarchical firewall load balancing and L4/L7 dispatching
US7389532B2 (en) 2003-11-26 2008-06-17 Microsoft Corporation Method for indexing a plurality of policy filters
US7437362B1 (en) 2003-11-26 2008-10-14 Guardium, Inc. System and methods for nonintrusive database security
US7756008B2 (en) 2003-12-19 2010-07-13 At&T Intellectual Property Ii, L.P. Routing protocols with predicted outrage notification
US7523314B2 (en) * 2003-12-22 2009-04-21 Voltage Security, Inc. Identity-based-encryption message management system
US20050141537A1 (en) 2003-12-29 2005-06-30 Intel Corporation A Delaware Corporation Auto-learning of MAC addresses and lexicographic lookup of hardware database
US7761923B2 (en) 2004-03-01 2010-07-20 Invensys Systems, Inc. Process control methods and apparatus for intrusion detection, protection and network hardening
US7610621B2 (en) 2004-03-10 2009-10-27 Eric White System and method for behavior-based firewall modeling
US7814546B1 (en) 2004-03-19 2010-10-12 Verizon Corporate Services Group, Inc. Method and system for integrated computer networking attack attribution
US8161547B1 (en) 2004-03-22 2012-04-17 Cisco Technology, Inc. Monitoring traffic to provide enhanced network security
US8031616B2 (en) 2004-03-23 2011-10-04 Level 3 Communications, Llc Systems and methods for accessing IP transmissions
US20050229246A1 (en) 2004-03-31 2005-10-13 Priya Rajagopal Programmable context aware firewall with integrated intrusion detection system
US8923292B2 (en) 2004-04-06 2014-12-30 Rockstar Consortium Us Lp Differential forwarding in address-based carrier networks
US20050249214A1 (en) 2004-05-07 2005-11-10 Tao Peng System and process for managing network traffic
JP4341517B2 (ja) 2004-06-21 2009-10-07 日本電気株式会社 セキュリティポリシー管理システム、セキュリティポリシー管理方法およびプログラム
JP2008504737A (ja) 2004-06-23 2008-02-14 クゥアルコム・インコーポレイテッド ネットワークパケットの効率的な分類
US20060031928A1 (en) 2004-08-09 2006-02-09 Conley James W Detector and computerized method for determining an occurrence of tunneling activity
US7778194B1 (en) 2004-08-13 2010-08-17 Packeteer, Inc. Examination of connection handshake to enhance classification of encrypted network traffic
US20060048142A1 (en) 2004-09-02 2006-03-02 Roese John J System and method for rapid response network policy implementation
US8331234B1 (en) 2004-09-08 2012-12-11 Q1 Labs Inc. Network data flow collection and processing
US7478429B2 (en) 2004-10-01 2009-01-13 Prolexic Technologies, Inc. Network overload detection and mitigation system and method
US7490235B2 (en) 2004-10-08 2009-02-10 International Business Machines Corporation Offline analysis of packets
US7509493B2 (en) 2004-11-19 2009-03-24 Microsoft Corporation Method and system for distributing security policies
JP4369351B2 (ja) 2004-11-30 2009-11-18 株式会社日立製作所 パケット転送装置
JP2006174350A (ja) 2004-12-20 2006-06-29 Fujitsu Ltd 通信装置
US7602731B2 (en) 2004-12-22 2009-10-13 Intruguard Devices, Inc. System and method for integrated header, state, rate and content anomaly prevention with policy enforcement
US7607170B2 (en) 2004-12-22 2009-10-20 Radware Ltd. Stateful attack protection
CA2594020C (en) 2004-12-22 2014-12-09 Wake Forest University Method, systems, and computer program products for implementing function-parallel network firewall
US7551567B2 (en) 2005-01-05 2009-06-23 Cisco Technology, Inc. Interpreting an application message at a network element using sampling and heuristics
GB2422505A (en) 2005-01-20 2006-07-26 Agilent Technologies Inc Sampling datagrams
US7792775B2 (en) 2005-02-24 2010-09-07 Nec Corporation Filtering rule analysis method and system
US8042167B2 (en) 2005-03-28 2011-10-18 Wake Forest University Methods, systems, and computer program products for network firewall policy optimization
US20080229415A1 (en) 2005-07-01 2008-09-18 Harsh Kapoor Systems and methods for processing data flows
US7499412B2 (en) 2005-07-01 2009-03-03 Net Optics, Inc. Active packet content analyzer for communications network
US8296846B2 (en) 2005-08-19 2012-10-23 Cpacket Networks, Inc. Apparatus and method for associating categorization information with network traffic to facilitate application level processing
US20070056038A1 (en) 2005-09-06 2007-03-08 Lok Technology, Inc. Fusion instrusion protection system
US20070083924A1 (en) 2005-10-08 2007-04-12 Lu Hongqian K System and method for multi-stage packet filtering on a networked-enabled device
US8027251B2 (en) 2005-11-08 2011-09-27 Verizon Services Corp. Systems and methods for implementing protocol-aware network firewall
US7716729B2 (en) 2005-11-23 2010-05-11 Genband Inc. Method for responding to denial of service attacks at the session layer or above
US7661136B1 (en) 2005-12-13 2010-02-09 At&T Intellectual Property Ii, L.P. Detecting anomalous web proxy activity
US7832009B2 (en) 2005-12-28 2010-11-09 Foundry Networks, Llc Techniques for preventing attacks on computer systems and networks
US8397284B2 (en) 2006-01-17 2013-03-12 University Of Maryland Detection of distributed denial of service attacks in autonomous system domains
US8316429B2 (en) 2006-01-31 2012-11-20 Blue Coat Systems, Inc. Methods and systems for obtaining URL filtering information
US8116312B2 (en) 2006-02-08 2012-02-14 Solarflare Communications, Inc. Method and apparatus for multicast packet reception
WO2007096884A2 (en) 2006-02-22 2007-08-30 Elad Barkan Wireless internet system and method
US7898963B2 (en) 2006-03-07 2011-03-01 Cisco Technology, Inc. Graphical representation of the flow of a packet through a network device
KR101503624B1 (ko) 2006-03-16 2015-03-17 엠.브루베이커 커티스 이동 객체에 하이퍼-관련 광고의 표시를 통한 수익 획득 시스템 및 방법
US7980378B2 (en) * 2006-03-23 2011-07-19 Cummins-Allison Corporation Systems, apparatus, and methods for currency processing control and redemption
US20070240208A1 (en) 2006-04-10 2007-10-11 Ming-Che Yu Network appliance for controlling hypertext transfer protocol (HTTP) messages between a local area network and a global communications network
US7849507B1 (en) 2006-04-29 2010-12-07 Ironport Systems, Inc. Apparatus for filtering server responses
GB2437791A (en) 2006-05-03 2007-11-07 Skype Ltd Secure communication using protocol encapsulation
US8009566B2 (en) 2006-06-26 2011-08-30 Palo Alto Networks, Inc. Packet classification in a network security device
US7966655B2 (en) 2006-06-30 2011-06-21 At&T Intellectual Property Ii, L.P. Method and apparatus for optimizing a firewall
US8639837B2 (en) 2006-07-29 2014-01-28 Blue Coat Systems, Inc. System and method of traffic inspection and classification for purposes of implementing session ND content control
US8446874B2 (en) 2006-08-21 2013-05-21 Samsung Electronics Co., Ltd Apparatus and method for filtering packet in a network system using mobile IP
US8234702B2 (en) 2006-08-29 2012-07-31 Oracle International Corporation Cross network layer correlation-based firewalls
US8385331B2 (en) 2006-09-29 2013-02-26 Verizon Patent And Licensing Inc. Secure and reliable policy enforcement
US7624084B2 (en) 2006-10-09 2009-11-24 Radware, Ltd. Method of generating anomaly pattern for HTTP flood protection
US7768921B2 (en) 2006-10-30 2010-08-03 Juniper Networks, Inc. Identification of potential network threats using a distributed threshold random walk
US8004994B1 (en) 2006-11-01 2011-08-23 Azimuth Systems, Inc. System and method for intelligently analyzing performance of a device under test
US7954143B2 (en) 2006-11-13 2011-05-31 At&T Intellectual Property I, Lp Methods, network services, and computer program products for dynamically assigning users to firewall policy groups
GB0623101D0 (en) * 2006-11-20 2006-12-27 British Telecomm Secure network architecture
US8214635B2 (en) 2006-11-28 2012-07-03 Cisco Technology, Inc. Transparent proxy of encrypted sessions
US8176561B1 (en) 2006-12-14 2012-05-08 Athena Security, Inc. Assessing network security risk using best practices
US7835348B2 (en) 2006-12-30 2010-11-16 Extreme Networks, Inc. Method and apparatus for dynamic anomaly-based updates to traffic selection policies in a switch
WO2008093320A1 (en) 2007-01-31 2008-08-07 Tufin Software Technologies Ltd. System and method for auditing a security policy
US7873710B2 (en) 2007-02-06 2011-01-18 5O9, Inc. Contextual data communication platform
IL189530A0 (en) 2007-02-15 2009-02-11 Marvell Software Solutions Isr Method and apparatus for deep packet inspection for network intrusion detection
US7853998B2 (en) 2007-03-22 2010-12-14 Mocana Corporation Firewall propagation
US8209738B2 (en) 2007-05-31 2012-06-26 The Board Of Trustees Of The University Of Illinois Analysis of distributed policy rule-sets for compliance with global policy
US8863286B1 (en) * 2007-06-05 2014-10-14 Sonicwall, Inc. Notification for reassembly-free file scanning
US20120084866A1 (en) 2007-06-12 2012-04-05 Stolfo Salvatore J Methods, systems, and media for measuring computer security
US7853689B2 (en) 2007-06-15 2010-12-14 Broadcom Corporation Multi-stage deep packet inspection for lightweight devices
US20080320116A1 (en) 2007-06-21 2008-12-25 Christopher Briggs Identification of endpoint devices operably coupled to a network through a network address translation router
US7995584B2 (en) 2007-07-26 2011-08-09 Hewlett-Packard Development Company, L.P. Method and apparatus for detecting malicious routers from packet payload
US8763108B2 (en) 2007-11-29 2014-06-24 Qualcomm Incorporated Flow classification for encrypted and tunneled packet streams
KR100949808B1 (ko) 2007-12-07 2010-03-30 한국전자통신연구원 Ｐ２ｐ 트래픽 관리 장치 및 그 방법
US8307029B2 (en) 2007-12-10 2012-11-06 Yahoo! Inc. System and method for conditional delivery of messages
US8418240B2 (en) 2007-12-26 2013-04-09 Algorithmic Security (Israel) Ltd. Reordering a firewall rule base according to usage statistics
KR100958250B1 (ko) 2008-01-09 2010-05-17 한남대학교 산학협력단 웹 서버 보안 방법 및 이를 위한 웹 방화벽
US8561129B2 (en) 2008-02-28 2013-10-15 Mcafee, Inc Unified network threat management with rule classification
US9298747B2 (en) 2008-03-20 2016-03-29 Microsoft Technology Licensing, Llc Deployable, consistent, and extensible computing environment platform
CN101552803B (zh) 2008-04-03 2011-10-05 华为技术有限公司 网络地址转换地址映射表维护方法、媒体网关及其控制器
US8346225B2 (en) 2009-01-28 2013-01-01 Headwater Partners I, Llc Quality of service for device assisted services
US8856926B2 (en) 2008-06-27 2014-10-07 Juniper Networks, Inc. Dynamic policy provisioning within network security devices
US8490171B2 (en) 2008-07-14 2013-07-16 Tufin Software Technologies Ltd. Method of configuring a security gateway and system thereof
US8161155B2 (en) 2008-09-29 2012-04-17 At&T Intellectual Property I, L.P. Filtering unwanted data traffic via a per-customer blacklist
US8572717B2 (en) 2008-10-09 2013-10-29 Juniper Networks, Inc. Dynamic access control policy with port restrictions for a network security appliance
US20100107240A1 (en) 2008-10-24 2010-04-29 Microsoft Corporation Network location determination for direct access networks
US8850571B2 (en) 2008-11-03 2014-09-30 Fireeye, Inc. Systems and methods for detecting malicious network content
US8272029B2 (en) 2008-11-25 2012-09-18 At&T Intellectual Property I, L.P. Independent role based authorization in boundary interface elements
US20100138910A1 (en) 2008-12-03 2010-06-03 Check Point Software Technologies, Ltd. Methods for encrypted-traffic url filtering using address-mapping interception
US8341724B1 (en) * 2008-12-19 2012-12-25 Juniper Networks, Inc. Blocking unidentified encrypted communication sessions
US20100199346A1 (en) 2009-02-02 2010-08-05 Telcordia Technologies, Inc. System and method for determining symantic equivalence between access control lists
US8321938B2 (en) 2009-02-12 2012-11-27 Raytheon Bbn Technologies Corp. Multi-tiered scalable network monitoring
US8539221B2 (en) 2009-03-27 2013-09-17 Guavus, Inc. Method and system for identifying an application type of encrypted traffic
US20100250731A1 (en) 2009-03-31 2010-09-30 Xiao Haitao Systems and methods for application identification
US8468220B2 (en) 2009-04-21 2013-06-18 Techguard Security Llc Methods of structuring data, pre-compiled exception list engines, and network appliances
US8588422B2 (en) 2009-05-28 2013-11-19 Novell, Inc. Key management to protect encrypted data of an endpoint computing device
US8098677B1 (en) 2009-07-31 2012-01-17 Anue Systems, Inc. Superset packet forwarding for overlapping filters and related systems and methods
US8495725B2 (en) 2009-08-28 2013-07-23 Great Wall Systems Methods, systems, and computer readable media for adaptive packet filtering
US7890627B1 (en) 2009-09-02 2011-02-15 Sophos Plc Hierarchical statistical model of internet reputation
US9413616B2 (en) 2009-10-14 2016-08-09 Hewlett Packard Enterprise Development Lp Detection of network address spoofing and false positive avoidance
WO2011052136A1 (en) 2009-10-30 2011-05-05 Panasonic Corporation Communication system and apparatus for status dependent mobile services
US8271645B2 (en) 2009-11-25 2012-09-18 Citrix Systems, Inc. Systems and methods for trace filters by association of client to vserver to services
US8219675B2 (en) 2009-12-11 2012-07-10 Tektronix, Inc. System and method for correlating IP flows across network address translation firewalls
US8254257B2 (en) 2009-12-11 2012-08-28 At&T Intellectual Property I, Lp System and method for location, time-of-day, and quality-of-service based prioritized access control
US9154462B2 (en) 2009-12-22 2015-10-06 At&T Intellectual Property I, L.P. Methods, systems, and computer program products for managing firewall change requests in a communication network
US8438270B2 (en) 2010-01-26 2013-05-07 Tenable Network Security, Inc. System and method for correlating network identities and addresses
US8793789B2 (en) * 2010-07-22 2014-07-29 Bank Of America Corporation Insider threat correlation tool
JP5408332B2 (ja) 2010-03-10 2014-02-05 富士通株式会社 中継装置および通信プログラム
US8549650B2 (en) 2010-05-06 2013-10-01 Tenable Network Security, Inc. System and method for three-dimensional visualization of vulnerability and asset data
EP2385676B1 (de) 2010-05-07 2019-06-26 Alcatel Lucent Verfahren zur Anpassung von Sicherheitsrichtlinien einer Informationssysteminfrastruktur
US9350708B2 (en) 2010-06-01 2016-05-24 Good Technology Corporation System and method for providing secured access to services
US8578486B2 (en) * 2010-06-18 2013-11-05 Microsoft Corporation Encrypted network traffic interception and inspection
US8510821B1 (en) 2010-06-29 2013-08-13 Amazon Technologies, Inc. Tiered network flow analysis
JP5518594B2 (ja) * 2010-06-30 2014-06-11 三菱電機株式会社 内部ネットワーク管理システム及び内部ネットワーク管理方法及びプログラム
US8935785B2 (en) 2010-09-24 2015-01-13 Verisign, Inc IP prioritization and scoring system for DDoS detection and mitigation
EP2437442B1 (de) 2010-09-30 2013-02-13 Alcatel Lucent Vorrichtung und Verfahren zum Umschalten von Datenverkehr in einem digitalen Übertragungsnetzwerk
US8627448B2 (en) 2010-11-02 2014-01-07 Jose Renato Santos Selective invalidation of packet filtering results
US10116617B2 (en) 2010-11-17 2018-10-30 Cardinalcommerce Corporation System architecture for DMZ external IP addresses
US8806638B1 (en) 2010-12-10 2014-08-12 Symantec Corporation Systems and methods for protecting networks from infected computing devices
US8726376B2 (en) 2011-03-11 2014-05-13 Openet Telecom Ltd. Methods, systems and devices for the detection and prevention of malware within a network
US9052898B2 (en) 2011-03-11 2015-06-09 Qualcomm Incorporated Remote access and administration of device content, with device power optimization, using HTTP protocol
US8261295B1 (en) 2011-03-16 2012-09-04 Google Inc. High-level language for specifying configurations of cloud-based deployments
IL212344A (en) * 2011-04-14 2015-03-31 Verint Systems Ltd A system and method for selectively controlling encrypted traffic
US10200270B2 (en) 2011-04-28 2019-02-05 Voipfuture Gmbh Correlation of media plane and signaling plane of media services in a packet-switched network
US9215237B2 (en) 2011-05-23 2015-12-15 Nec Corporation Communication system, control device, communication method, and program
US8892665B1 (en) 2011-05-24 2014-11-18 Palo Alto Networks, Inc. Encrypted peer-to-peer detection
US8621556B1 (en) 2011-05-25 2013-12-31 Palo Alto Networks, Inc. Dynamic resolution of fully qualified domain name (FQDN) address objects in policy definitions
US9118702B2 (en) 2011-05-31 2015-08-25 Bce Inc. System and method for generating and refining cyber threat intelligence data
US8995360B2 (en) 2011-06-09 2015-03-31 Time Warner Cable Enterprises Llc Techniques for prefix subnetting
US8683573B2 (en) 2011-06-27 2014-03-25 International Business Machines Corporation Detection of rogue client-agnostic nat device tunnels
US8949413B2 (en) 2011-06-30 2015-02-03 Juniper Networks, Inc. Filter selection and resuse
US9843601B2 (en) 2011-07-06 2017-12-12 Nominum, Inc. Analyzing DNS requests for anomaly detection
US8726379B1 (en) 2011-07-15 2014-05-13 Norse Corporation Systems and methods for dynamic protection from electronic attacks
WO2013055807A1 (en) 2011-10-10 2013-04-18 Global Dataguard, Inc Detecting emergent behavior in communications networks
US8856936B2 (en) 2011-10-14 2014-10-07 Albeado Inc. Pervasive, domain and situational-aware, adaptive, automated, and coordinated analysis and control of enterprise-wide computers, networks, and applications for mitigation of business and operational risks and enhancement of cyber security
US8856922B2 (en) 2011-11-30 2014-10-07 Facebook, Inc. Imposter account report management in a social networking system
GB2497940B (en) * 2011-12-21 2016-02-17 Eckoh Uk Ltd Method and apparatus for mediating communications
US9710644B2 (en) * 2012-02-01 2017-07-18 Servicenow, Inc. Techniques for sharing network security event information
US8930690B2 (en) 2012-03-21 2015-01-06 Microsoft Corporation Offloading packet processing for networking device virtualization
US9973473B2 (en) * 2012-03-30 2018-05-15 The University Of North Carolina At Chapel Hill Methods, systems, and computer readable media for rapid filtering of opaque data traffic
US20130291100A1 (en) 2012-04-30 2013-10-31 Sundaram S. Ganapathy Detection And Prevention Of Machine-To-Machine Hijacking Attacks
US9548962B2 (en) 2012-05-11 2017-01-17 Alcatel Lucent Apparatus and method for providing a fluid security layer
US9237168B2 (en) 2012-05-17 2016-01-12 Cisco Technology, Inc. Transport layer security traffic control using service name identification
US8789135B1 (en) 2012-06-15 2014-07-22 Google Inc. Scalable stateful firewall design in openflow based networks
US8813228B2 (en) 2012-06-29 2014-08-19 Deloitte Development Llc Collective threat intelligence gathering system
US9392003B2 (en) 2012-08-23 2016-07-12 Raytheon Foreground Security, Inc. Internet security cyber threat reporting system and method
US9386030B2 (en) 2012-09-18 2016-07-05 Vencore Labs, Inc. System and method for correlating historical attacks with diverse indicators to generate indicator profiles for detecting and predicting future network attacks
US9124628B2 (en) 2012-09-20 2015-09-01 Cisco Technology, Inc. Seamless engagement and disengagement of transport layer security proxy services
US20140089661A1 (en) * 2012-09-25 2014-03-27 Securly, Inc. System and method for securing network traffic
US9137205B2 (en) 2012-10-22 2015-09-15 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9565213B2 (en) 2012-10-22 2017-02-07 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9258218B2 (en) * 2012-11-30 2016-02-09 Alcatel Lucent Software-defined network overlay
JP2014112768A (ja) 2012-12-05 2014-06-19 Hitachi Ltd 自動障害対応キャッシュシステム及びキャッシュサーバの障害対応処理方法並びにキャッシュマネージャ
US9124619B2 (en) 2012-12-08 2015-09-01 International Business Machines Corporation Directing audited data traffic to specific repositories
US9203806B2 (en) 2013-01-11 2015-12-01 Centripetal Networks, Inc. Rule swapping in a packet network
US9077702B2 (en) 2013-01-30 2015-07-07 Palo Alto Networks, Inc. Flow ownership assignment in a distributed processor system
EP2953298B1 (de) 2013-01-30 2018-03-21 Nippon Telegraph and Telephone Corporation Protokollanalysevorrichtung, informationsverarbeitungsverfahren und programm
US9154502B2 (en) 2013-01-31 2015-10-06 Google Inc. Accessing objects in hosted storage
US9253068B1 (en) 2013-02-22 2016-02-02 Trend Micro Incorporated Network application classification for network traffic management
US9130901B2 (en) 2013-02-26 2015-09-08 Zentera Systems, Inc. Peripheral firewall system for application protection in cloud computing environments
US9124552B2 (en) 2013-03-12 2015-09-01 Centripetal Networks, Inc. Filtering network data transfers
US9094445B2 (en) 2013-03-15 2015-07-28 Centripetal Networks, Inc. Protecting networks from cyber attacks and overloading
US9407519B2 (en) 2013-03-15 2016-08-02 Vmware, Inc. Virtual network flow monitoring
US9172627B2 (en) 2013-03-15 2015-10-27 Extreme Networks, Inc. Device and related method for dynamic traffic mirroring
US9338134B2 (en) 2013-03-27 2016-05-10 Fortinet, Inc. Firewall policy management
US9106536B2 (en) 2013-04-15 2015-08-11 International Business Machines Corporation Identification and classification of web traffic inside encrypted network tunnels
US8739243B1 (en) 2013-04-18 2014-05-27 Phantom Technologies, Inc. Selectively performing man in the middle decryption
KR101394424B1 (ko) 2013-04-22 2014-05-13 한국인터넷진흥원 하이퍼바이저 기반 침입 방지 플랫폼 및 가상화 네트워크 침입 방지 시스템
US9021575B2 (en) 2013-05-08 2015-04-28 Iboss, Inc. Selectively performing man in the middle decryption
US9419942B1 (en) 2013-06-05 2016-08-16 Palo Alto Networks, Inc. Destination domain extraction for secure protocols
US20150033336A1 (en) * 2013-07-24 2015-01-29 Fortinet, Inc. Logging attack context data
US9634911B2 (en) 2013-07-30 2017-04-25 Avaya Inc. Communication device event captures
US9009461B2 (en) 2013-08-14 2015-04-14 Iboss, Inc. Selectively performing man in the middle decryption
DE102013216847B4 (de) 2013-08-23 2023-06-01 Siemens Mobility GmbH Verfahren, Vorrichtung und System zur Überwachung einer Sicherheits-Netzübergangseinheit
US9875355B1 (en) 2013-09-17 2018-01-23 Amazon Technologies, Inc. DNS query analysis for detection of malicious software
JP6201614B2 (ja) 2013-10-11 2017-09-27 富士通株式会社 ログ分析装置、方法およびプログラム
EP3061030A4 (de) 2013-10-24 2017-04-19 McAfee, Inc. Agentenunterstützte blockierung böswilliger anwendungen in einer netzwerkumgebung
US9392007B2 (en) 2013-11-04 2016-07-12 Crypteia Networks S.A. System and method for identifying infected networks and systems from unknown attacks
US9516049B2 (en) 2013-11-13 2016-12-06 ProtectWise, Inc. Packet capture and network traffic replay
US8832832B1 (en) 2014-01-03 2014-09-09 Palantir Technologies Inc. IP reputation
US9886581B2 (en) 2014-02-25 2018-02-06 Accenture Global Solutions Limited Automated intelligence graph construction and countermeasure deployment
US20150256431A1 (en) 2014-03-07 2015-09-10 Cisco Technology, Inc. Selective flow inspection based on endpoint behavior and random sampling
US9462008B2 (en) 2014-05-16 2016-10-04 Cisco Technology, Inc. Identifying threats based on hierarchical classification
US20150350229A1 (en) 2014-05-29 2015-12-03 Singularity Networks, Inc. Network Threat Detection and Mitigation Using a Domain Name Service and Network Transaction Data
US10469514B2 (en) 2014-06-23 2019-11-05 Hewlett Packard Enterprise Development Lp Collaborative and adaptive threat intelligence for computer security
US20160191558A1 (en) 2014-12-23 2016-06-30 Bricata Llc Accelerated threat mitigation system
US9306818B2 (en) 2014-07-17 2016-04-05 Cellos Software Ltd Method for calculating statistic data of traffic flows in data network and probe thereof
US9450972B2 (en) 2014-07-23 2016-09-20 Cisco Technology, Inc. Network attack detection using combined probabilities
US9531672B1 (en) 2014-07-30 2016-12-27 Palo Alto Networks, Inc. Network device implementing two-stage flow information aggregation
PL3095034T3 (pl) 2014-10-21 2019-11-29 Ironnet Cybersecurity Inc Układ zabezpieczeń cybernetycznych
US20160119365A1 (en) 2014-10-28 2016-04-28 Comsec Consulting Ltd. System and method for a cyber intelligence hub
US20160127417A1 (en) 2014-10-29 2016-05-05 SECaaS Inc. Systems, methods, and devices for improved cybersecurity
US20160180022A1 (en) 2014-12-18 2016-06-23 Fortinet, Inc. Abnormal behaviour and fraud detection based on electronic medical records
US10484405B2 (en) 2015-01-23 2019-11-19 Cisco Technology, Inc. Packet capture for anomalous traffic flows
US10764162B2 (en) 2015-03-25 2020-09-01 Gigamon Inc. In-fabric traffic analysis
US9667656B2 (en) 2015-03-30 2017-05-30 Amazon Technologies, Inc. Networking flow logs for multi-tenant environments
US9917852B1 (en) * 2015-06-29 2018-03-13 Palo Alto Networks, Inc. DGA behavior detection
US9584328B1 (en) 2015-10-05 2017-02-28 Cloudflare, Inc. Embedding information or information identifier in an IPv6 address
US9917856B2 (en) 2015-12-23 2018-03-13 Centripetal Networks, Inc. Rule-based network-threat detection for encrypted communications
US10270789B2 (en) 2016-01-29 2019-04-23 Acalvio Technologies, Inc. Multiphase threat analysis and correlation engine
WO2017160772A1 (en) 2016-03-15 2017-09-21 Carbon Black, Inc. Using private threat intelligence in public cloud

Also Published As

Publication number Publication date
EP3832978A1 (de) 2021-06-09
US20170187733A1 (en) 2017-06-29
AU2020202724B2 (en) 2021-11-11
US20220014538A1 (en) 2022-01-13
EP3395043A1 (de) 2018-10-31
WO2017112535A1 (en) 2017-06-29
US9917856B2 (en) 2018-03-13
EP3395043B1 (de) 2021-02-03
US20190014136A1 (en) 2019-01-10
EP3832978B1 (de) 2021-11-24
US11477224B2 (en) 2022-10-18
US11811810B2 (en) 2023-11-07
CA3047908A1 (en) 2017-06-29
US20210352094A1 (en) 2021-11-11
AU2016379156A1 (en) 2018-08-09
EP3979559A1 (de) 2022-04-06
US11824879B2 (en) 2023-11-21
AU2020202724A1 (en) 2020-05-14
US20220014536A1 (en) 2022-01-13
US11811808B2 (en) 2023-11-07
US20240007493A1 (en) 2024-01-04
US11563758B2 (en) 2023-01-24
US20220014537A1 (en) 2022-01-13
DE202016009181U1 (de) 2023-10-25
EP4224793A1 (de) 2023-08-09
US11811809B2 (en) 2023-11-07
US20210360014A1 (en) 2021-11-18
AU2016379156B2 (en) 2020-01-30

Similar Documents

Publication Publication Date Title
DE202016008885U1 (de) Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen
EP3400691B1 (de) Effiziente paketerfassung zur analyse von cyberbedrohungen
DE202014011510U1 (de) Filtern von Netzwerkdatenübertragungen
DE202016009029U1 (de) Regelbasierte Netzwerkbedrohungsdetektion
DE202018006616U1 (de) Beschleunigung des Arbeitsablaufs von Cyberanalysen
DE102015001024A1 (de) Verfahren und Systeme zum Erkennen von Extrusion und Intrusion in einer Cloud-Computer-Umgebung, welche Netzwerkkommunikationsgeräte verwendet
DE102015001054A1 (de) Verfahren und systeme zum erkennen von extrusion und intrusion in einer cloud-computer-umgebung
DE112012006217T5 (de) Techniken zur Überwachung von Verbindungspfaden bei vernetzten Geräten
DE102015003235A1 (de) Verfahren und System zum Bereitstellen von Kommunikationskanälen, welche verschiedene sichere Kommunikationsprotokolle verwenden
EP3105898B1 (de) Verfahren zur kommunikation zwischen abgesicherten computersystemen sowie computernetz-infrastruktur
DE102019210226A1 (de) Vorrichtung und Verfahren für Angriffserkennung in einem Kommunikationsnetzwerk
DE102016100692A1 (de) Netzwerkschutzentität und Verfahren zum Schutz eines Kommunikationsnetzwerks gegen betrügerische Nachrichten
DE202023100576U1 (de) Cyber-Schutz für entfernte Netzwerke durch selektive Policy Durchsetzung in einem zentralen Netzwerk
EP3395039A1 (de) Vorrichtung und verfahren zum weiterleiten von datenpaketen
Hoherz et al. Intrusion Detection Systeme in Firewalls
DE102007019019A1 (de) Verfahren zum Verarbeiten von elektronischen Daten und Mobilfunkzugangspunkt
Hammerle Flexible Datentunnelung per ICMP

Legal Events

Date Code Title Description
R150 Utility model maintained after payment of first maintenance fee after three years
R081 Change of applicant/patentee

Owner name: CENTRIPETAL LTD., IE

Free format text: FORMER OWNER: ANMELDERANGABEN UNKLAR / UNVOLLSTAENDIG, 80297 MUENCHEN, DE

R082 Change of representative

Representative=s name: VENNER SHIPLEY LLP, DE

R150 Utility model maintained after payment of first maintenance fee after three years
R207 Utility model specification
R082 Change of representative

Representative=s name: MFG PATENTANWAELTE MEYER-WILDHAGEN MEGGLE-FREU, DE

R079 Amendment of ipc main class

Free format text: PREVIOUS MAIN CLASS: H04L0012260000

Ipc: H04L0043000000

R165 Request for cancellation or ruling filed
R151 Utility model maintained after payment of second maintenance fee after six years
R081 Change of applicant/patentee

Owner name: CENTRIPETAL LTD., IE

Free format text: FORMER OWNER: CENTRIPETAL NETWORKS INC., HERNDON, VA, US

R443 Decision by department
R006 Appeal filed
R008 Case pending at federal patent court