CN105814861A - 用于传输数据的设备和方法 - Google Patents

Abstract

用于将数据从第一通信网络（21）中的发送方传输到安全关键的第二通信网络（22）中的接收方的方法和设备包括输入缓冲单元（31）、输出缓冲单元（32）、等待单元（33）和测试单元（34）。所述输入缓冲单元（31）提供所要进行传输的数据。所述等待单元（33）检测所要进行传输的数据的输入时间点、确定所述数据的停留持续时间并且存储所要进行传输的数据和/或所要进行传输的数据的检查值。所述测试单元（34）如此被构造：在停留持续时间期满之后利用在所述停留持续时间期满之后为当前的测试样式（41）来测试所要进行传输的数据。所述输出缓冲单元（32）如此被构造：如果所述数据在检验时已经被认为是不令人生疑的，那么针对接收方提供所述数据。所述测试样式优选地涉及病毒样式。

Description

用于传输数据的设备和方法

技术领域

本发明涉及一种用于将数据从第一通信网络中的发送方传输到安全关键的第二通信网络中的接收方的设备和方法。

背景技术

在诸如轨道自动化中的信号塔或者列车控制装置的工业自动化系统中，在例如制造自动化的生产车间中或者例如在过程自动化中的精炼厂或者酿酒厂中，在安全性方面，关键的自动化区域与通用的网络（例如办公室网络）相耦合。在第一通信网络与安全关键的第二通信网络之间的网络边界上，通常安装安全网络网关单元（例如防火墙），以便实现关键性不同的网络区域的被控制的耦合。在这种安全网关（Gateway）中，要进行传输的数据流按照可配置的过滤规则被过滤并且相对于测试样式（Pruefmuster）（诸如病毒样式（Virenpattern））被检验。

例如，从出版文献DE102006036111B3公知一种用于将消息从第一区安全地传输到第二区的方法和测试系统。在此，该消息借助于单向选通单元（Einweg-Schleuseneinheit）（例如数据二极管）从第一区被传输到第三区的评估单元（Auswerteeinheit）。在此，该消息的副本供不同分析单元支配，所述不同分析单元测试所述副本并且接着必要时根据所有的分析单元的评估结果将所述消息转发到第二区中。这种分析单元例如是检验消息或数据流的到那时为止已知的测试样式（在这种情况下为病毒样式）的病毒扫描器。

为了实现可靠的防止如病毒那样的恶意软件，所述测试样式必须连续地被更新。在此，常见的是以小时节律（Stundenrhythmus）或者在最长的情况下以天节律（Tagesrhythmus）来更新测试样式。加载（Einspielen）这种每小时或每天更新的测试样式或者病毒样式在工业化环境中是不实用的。因而在实践中使用“白名单（WhiteList）”扫描器而不是病毒扫描器。在白名单中详细说明（spezifizieren）了被允许通过进入到安全关键的第二通信网络中的样式或者数据。然而，这种白名单扫描器只可以内部地、在静态的环境之内被使用。因为可变的数据没有被录入在固定的白名单中，所以为了将这种数据安全地与外部系统进行交换，所述白名单扫描器是不适当的。

发明内容

因此，本发明的任务是提供数据在过渡时从通用的第一通信网络到安全关键的第二通信网络的安全的交换并且在此尤其是克服所陈述的缺点。

按照本发明的用于将数据从第一通信网络中的发送方传输到安全关键的第二通信网络中的接收方的方法，在第一方法步骤中，要进行传输的数据由发送方提供。在其它的方法步骤中，所述要进行传输的数据的输入时间点被检测，并且停留持续时间根据要进行传输的数据的信息被确定。所述要进行传输的数据和/或所述要进行传输的数据的检查值（Kontrollwert）被存储在停留存储器（Verweilspeicher）中。在紧接着的方法步骤中，要进行传输的数据在停留持续时间期满之后利用在停留持续时间期满之后为当前的测试样式来被测试，并且如果所述数据在检验时被认为是不令人生疑的，那么针对接收方提供所述数据。

通过在所确定的停留持续时间内存储要进行传输的数据和/或检查值，保证了：所述数据利用也识别恶意软件的测试样式来被测试，所述恶意软件在提供数据时还不曾是可识别的。因此，尤其是在更新测试样式时可以以较大的间距保证：过时的测试样式没有被用于敏感的数据。

在一个有利的实施形式中，在检验数据之前，通过重新确定所要进行传输的数据的当前的检查值并且将当前的检查值与所存储的检查值相比较来保证所述要进行传输的数据的真实可靠性。

这有如下优点：为了存储要进行传输的数据本身必须维持较少的存储容量。只有在检验所述要进行传输的数据之前才必须重新提供所述要进行传输的数据。另一方面可以保证：所存储的要进行传输的数据不曾在停留持续时间期间在停留存储器中被操纵。

在一个有利的实施形式中，发送方预先注册（voranmelden）要进行传输的数据，其方式是所述要进行传输的数据仅仅为了检测输入时间点和为了确定停留持续时间而临时地由发送方提供并且该发送方在停留持续时间期满之后重新提供所述要进行传输的数据用于传输。这同样减少了在停留存储器中的所需的存储容量。

在一个实施形式中，根据输入时间点和/或根据可预先给定的配置参数来确定停留持续时间。

这有如下优点：停留持续时间可以根据针对要进行传输的数据的边界条件最优地被选择。这样，在测试样式更新之后不久的输入时间点和直至下一更新的较长的时间区间的情况下的停留持续时间被选择得比在输入时间点之后不久被指定的测试样式更新的情况下的停了持续时间长。

在一个有利的实施形式中，停留持续时间静态地被预先配置或者停留持续时间从可预先给定的值域随机地被确定。

这有如下优点：简单的模式（Schema）被应用于确定停留持续时间而简单地被结构化的部件可以完成该任务。

在一个实施例中，根据所要进行传输的数据的文件类型来确定停留持续时间。

在此，对于可实施的文件类型（例如程序代码）比对于例如不关键的文本文件指定了更长的停留时间。

在另一实施例中，根据发送方的置信值（Vertrauenswert）和/或根据接收方的安全级别来确定停留持续时间。发送方的置信值对于发送方可以是特定的，和/或该置信值对于发送方的发送域（Senderdomaene）和/或对于发送方的类型是特定的。例如，通过被分配了发送方的子网络来确定发送方的发送域。例如可以根据发送方的IP地址或者DNS名来确定该发送域。例如可以通过发送方的制造商、模型或者版本来确定发送方的类型。同样，接收方的安全级别对于接收方可以是特定的或者对于接收方的接收域是特定的或者对于接收方的类型是特定的。

例如，低的置信值可以被分配给由因特网中的公司不熟悉的服务器提供的要进行传输的数据，而较高的置信值被分配给由公司自己的内联网中的研发部门的服务器提供的要进行传输的数据。较短的停留持续时间例如可以被分配给发送方的具有高的置信值的要进行传输的数据。以相同的方式可以区别：接收方有系统关键的功能还是不直接干涉关键的过程。

在一个实施形式中，要进行传输的数据利用在执行测试的时间点为当前的测试样式来被测试。

这有如下优点：尤其是当该测试本身只有在停留持续时间期满之后较长时间才进行时，总是使用最为当前的测试样式。

在一个实施形式中，被检验为不令人生疑的数据被录入在被释放用于传输到第二通信网络的数据的列表中。

这使得在时间上灵活地传输数据（例如整个自动化设施或者自动化设施的部分的针对固定的时间点被指定的更新）成为可能。

按照本发明的用于将数据从第一通信网络中的发送方传输到安全关键的第二通信网络中的接收方的设备包括输入缓冲单元、输出缓冲单元、等待单元和测试单元。输入缓冲单元如此被构造：提供所要进行传输的数据。等待单元如此被构造：检测所要传输的数据的输入时间点，并且根据要进行传输的数据的信息来确定停留持续时间，并且存储所要进行传输的数据和/或所要进行传输的数据的检查值。测试单元如此被构造：在停留持续时间期满之后利用在该停留持续时间期满之后为当前的测试样式来测试所要进行传输的数据。输出缓冲单元如此被构造：如果所述数据在检验时被认为是不令人生疑的，那么针对接收方提供所述数据。

这种设备使得在其中例如可以仅仅以较长的时间间距来加载经过更新的测试样式的系统中能够以相对当前的测试样式高的安全性来测试数据并且因此阻止了将恶意软件混进安全关键的通信网络。

按照本发明的具有用于执行该方法的程序指令的计算机程序产品以及存储该计算机程序产品的数据载体使得能够在各种各样的（unterschiedlichst）处理器控制的设备上读入或实施这种方法。

附图说明

按照本发明的设备和按照本发明的方法的实施例在附图中示例性地被示出并且依据随后的描述进一步被解释。

图1作为流程图示出了按照本发明的方法的实施例；

图2以示意图示出了具有按照本发明的设备的实施例的通信环境；和

图3以示意图示出了按照本发明的传输设备的实施例。

彼此相对应的部分在所有的附图中都被配备有相同的参考符号。

具体实施方式

图1示出了从第一通信网络（例如办公室网络）中的发送方给安全关键的第二通信网络（例如轨道自动化网络、车辆控制网络或者过程自动化网络）中的接收方的数据传输的各个方法步骤。

从开始状态11出发，在第一方法步骤12中，所要进行传输的数据由发送方提供。紧接着，在方法步骤13中检测所要进行传输的数据的输入时间点，而在方法步骤14中根据所要进行传输的数据的信息来确定停留持续时间。紧接着，在方法步骤15中，所要进行传输的数据和/或所要进行传输的数据的检查值被存储在停留存储器中。可替换地，方法步骤15也可在检测输入时间点之前（参见方法步骤13）进行，使得存储所要进行传输的数据和/或检查值的时间点被检测为输入时间点。

在存储数据时，文件内容本身被存储。可替换于此地或者除此之外，检查值可根据所要进行传输的数据被确定并且被存储在停留存储器中。该检查值例如可以是利用哈希函数（诸如SHA-256算法）被确定的哈希值（Hash-Wert）。该检查值或者根据相对应的网关设备中的所提供的具有所要进行传输的数据的文件被制订或者也可以直接由发送方传送。

如果检查值被存储，那么在实际检验数据之前，通过重新确定所要进行传输的数据的当前的检查值和将其与所存储的检查值相比较保证了所要进行传输的数据的真实可靠性。为了确定当前的检查值而使用与用于确定所存储的检查值的函数相同的函数。只有当所述当前的检查值与所存储的检查值一致时，才利用在停留时间期满之后为当前的测试样式来进行检验。如果所述两个检查值不一致，那么例如可以输出故障消息并且中止该方法。

所要进行传输的数据在停留存储器中的停留持续时间或直到最早可能的测试时间点的停留持续时间例如根据所登记的输入时间点被确定。该停留持续时间例如可以根据在输入时间点的最后的测试样式更新的时间点来被选择。但是，针对该停留持续时间也可以确定例如大于预先确定的阈值或者最小值和/或在可预先给定的值域中的随机值。

该停留持续时间例如也可以根据所要进行传输的数据的文件类型被确定。该准则所基于的事实在于：不同的数据格式对接收方产生关键性不同的影响。例如，程序代码的例如改变控制设备的参数的数据比仅仅将新消息显示到控制监控器上的文本文件要被认为关键得多。

但是，该停留持续时间也可以或者附加地根据发送方对于发送恶意软件的置信值而是有关的。为此，这种置信值必须已经事先被分配给每个发送方。发送方的置信值可以对于发送方是特定的和/或该置信值可以对于发送方的发送域和/或发送方的类型是特定的。

可替换地或者也附加地，该停留持续时间可以根据接收方的安全级别被确定。附加地，可以给予时间特别关键的所要进行传输的数据较短的停留持续时间，所述时间特别关键的所要进行传输的数据相对应地被标记或者将所述特性一起提供为元数据。同样，该停留持续时间可以根据被分配给该文件的“必需直到（benoetigtbis）”时间点来被确定。在此，当仅仅稍后才必需该文件时，该停留持续时间可选地可以被延长。该停留持续时间例如可以在数小时范围内，但也可以计为天或者更长。

接着，在停留持续时间期满之后利用在该停留持续时间期满之后为当前的测试样式来检验所要进行传输的数据，参见方法步骤16。如果所要进行传输的数据不是直接在停留持续时间期满之后由接收方调用，而是仅仅稍后才被调用，那么例如可以仅仅在所述调用的时间点才测试利用在该调用时间点为当前的测试样式的检验。因此，也实现最新的有害样式或者恶意软件的探测。然而，必须始终保证：利用至少直接在停留持续时间期满之后是当前的测试样式来检验所要进行传输的数据。

紧接着，如果在测试时间点所述数据已经被测试为不令人生疑的，那么文件被转发给安全关键的通信网络中的接收方，参见方法步骤17。例如可以通过病毒扫描器来进行该测试。在此，可选地，执行该测试的时间点和所使用的测试样式的参考日期可以作为元数据被提供给经测试的数据。

可替换于转发数据，也可以录入所述数据或将所述数据的参考录入到为了传输而被释放的数据的列表中。这种列表例如也被称作“白名单”。例如，文件名、下载路径或者数据的检查值也可以被用作针对所述数据的参考。

图2示出了具有第一通信网络21和安全关键的第二通信网络22的通信环境20。应该从第一通信网络21被传输到安全关键的第二通信网络22中的数据在网络网关上由安全网关设备24来检验。这种安全网关设备24例如可以是防火墙。安全关键的第二网络可以是轨道自动化网络、车辆控制网络、能量自动化网络、制造自动化网络等等。接收方23.1、23.2、23.3例如可以是控制设备或者也可以是这种安全关键的通信网络22中的监控终端。第一通信网络21中的发送方25例如可以是办公室网络中的计算机设备或者服务器。安全网关设备24例如可以实现按照本发明的方法。

图3示出了具有按照本发明的用于将数据从第一通信网络21中的发送方25传输到安全关键的第二通信网络22中的接收方23.1、23.2、23.3的设备的实施形式的网关设备30。该设备30包括与等待单元33相连的输入缓冲器31。等待单元33又与测试单元34相连，所述测试单元34有权访问连续地被更新的测试样式41。测试单元34又与输出缓冲器32相连，从所述输出缓冲器32，经测试的数据例如可以由安全关键的通信网络22中的接收方23.1、23.2、23.3调用。

输入缓冲器31以及输出缓冲器32可以被构造为如下存储单元：所述存储单元将所要进行传输的数据或经测试的数据临时地用于或者传送到等待单元33中或者传送到第二通信网络22中。

等待单元33本身如此被构造：将由输入缓冲器31提供的数据37、38存储到等待区域35、36中并且在此检测所要进行传输的数据的输入时间点。此外，检验所要进行传输的数据的其它的配置参数。现在，依据所述信息或配置数据和/或连同输入时间点来确定停留持续时间。在所确定的停留持续时间期间，所要进行传输的数据37、38保持被存储在等待区域35、36中。输入时间点、停留持续时间和可选地其它信息作为元数据39、40同样被存储在等待单元33中、尤其是被存储在所属的要进行传输的数据的相对应的等待区域35、36中。

也可以例如借助于哈希函数通过所要进行传输的数据来形成检查值，而不是将全部的要进行传输的数据存储在等待区域35、36中。接着，仅仅该检查值连同输入时间点、停留持续时间等等被存储在区域39、40中。在停留持续时间期满之后，例如被存储在第一等待区域35中的所要进行传输的数据39被转交给测试单元34并且在那里利用当前的测试样式41被检验。在此，所使用的测试样式41必须至少在直接在停留持续时间结束之后的时间点是当前的。如果检验仅仅在停留持续时间结束之后的时间区间才被执行，那么该测试样式41也可以是在所述稍后的时间点为当前的测试样式。但是，测试单元34也可以包括例如不同的制造商的多个恶意软件扫描器，以便这样提高恶意软件的探测概率。

如果所述测试没有得出数据的有害侵袭（Schadbefall），那么通过输出缓冲器32针对（例如用于收取的）接收方提供经检验的数据。

如果检查值在输入所要进行传输的数据时已经被等待单元33确定并且例如连同已经被存储在区域38中的所要进行传输的数据已经被存储在第二等待区域36的区域40中，那么在将数据输送到测试单元34之前，所要进行传输的数据的真实可靠性被检查。为此，当前的检查值由所要进行传输的数据利用相同的算法或利用相同的函数来确定并且与被存储在区域38中的检查值相比较。如果两个检查值一致，那么要进行检验的数据被转交给测试单元34。如果这不是这种情况，那么例如输出故障消息。

但是，所要进行传输的数据也可以被预先注册。在此，在预先注册的情况下，所述数据临时地被传输给等待单元33，而且检查值在那里被确定并且被存储。输入时间点以及停留持续时间被确定并且例如被通知给发送方。所要进行传输的数据本身或者保持在输入缓冲器31中直到停留持续时间期满或者由发送方25自己重新提供。所要进行传输的数据的真实可靠性的测试以及所述检验本身也在等待时间期满之后以与之前所描述的方式相同的方式来进行。

文件或文件的参考（例如文件名、下载路径或者检查值）可以被录入在白名单中并且被释放用于下载，而不是为了通过接收方收取而在输出缓冲器32中提供经测试的数据。

除了例如在网关设备30中应用按照本发明的方法之外，也可以在外部网络中实现这种方法，例如实现为云服务（CloudService）。在这种情况下充当发送方21的用户可以将所要进行传输的数据上传到等待云服务（Warte-CloudService）中。在那里，在也可被视作隔离持续时间（Quarantaenedauer）的停留持续时间内，该等待云服务被存储，并且之后根据接着为当前的测试样式被测试。如果文件被认为是不令人生疑的，那么该文件被提供用于下载。接着，例如被寄存在等待云服务中的文件才可以由系统加载到安全关键的第二通信网络中。

在另一应用情形下，在云中、例如在运行数据的大数据分析（BigDataAnalyse）时在隔离或停留持续时间之后进行对所要进行传输的数据的加工。这里，在所上传的数据被暂存在其中的等待区域被设立在云服务中。在隔离或停留持续时间期满之后，在所述被上传的数据被提供给大数据分析云业务（BigDataAnalyse-CloudDienst）之前，检验所述被上传的数据的恶意内容。

所要进行传输的数据以任意的文件格式例如可以是文本文件、程序文件、也称作补丁程序（Patch）的更新文件、配置文件、视频文件、音频文件或者XML文件。

更确切地说，通过所描述的方法和所描述的设备在传输数据时得出较大的延迟。但是，因此可以实现：仅仅例如几天之后才通过测试单元被识别的恶意软件也被考虑。这导致了被提高的可靠性并且减少了对所谓的“零天攻击（Zero-Day-Exploits）”的漏洞，使得没有具有本身已知的有害功能的数据被传输到安全关键的通信网络中。

所有被描述的和/或被描绘的特征可以在本发明的范围内有利地彼此相结合。本发明不限于所描述的实施例。

Claims (12)

1.用于将数据从第一通信网络（21）中的发送方（25）传输到安全关键的第二通信网络（22）中的接收方（23.1、23.2、23.3）的方法，其具有如下方法步骤：

－通过发送方（25）提供（12）所要进行传输的数据，

－检测（13）所要进行传输的数据的输入时间点，

－根据所要进行传输的数据的信息来确定（14）停留持续时间，

－将所要进行传输的数据存储（15）在停留存储器中和/或将所要进行传输的数据的检查值存储在停留存储器中，

－在停留持续时间期满之后利用在停留持续时间期满之后为当前的测试样式来检验（16）所要进行传输的数据，并且

－如果所述数据已经在检验时被认为是不令人生疑的，那么针对接收方提供（17）所述数据。

2.根据权利要求1所述的方法，其中，在检验所述数据之前通过重新确定所要进行传输的数据的当前的检查值和将所述当前的检查值与所存储的检查值相比较来保证所要进行传输的数据的真实可靠性。

3.根据权利要求1或2所述的方法，其中，所述发送方（25）预先注册所要进行传输的数据，其方式是所要进行传输的数据仅仅为了检测输入时间点并且为了确定停留持续时间而临时地由发送方（25）提供，并且所述发送方（25）在所述停留持续时间期满之后重新提供所要进行传输的数据用于传输。

4.根据权利要求1至3之一所述的方法，其中，所述停留持续时间根据输入时间点被确定。

5.根据权利要求1至4之一所述的方法，其中，所述停留持续时间静态地被预先配置或者所述停留持续时间根据可预先给定的值域随机地被确定。

6.根据权利要求1至5之一所述的方法，其中，所述停留持续时间根据所要进行传输的数据的文件类型被确定。

7.根据权利要求1至6之一所述的方法，其中，所述停留持续时间根据发送方（25）的置信值和/或根据接收方（23.1、23.2、23.3）的安全等级被确定。

8.根据权利要求1至7之一所述的方法，其中，所述要进行传输的数据利用在执行测试的时间点为当前的测试样式来被检验。

9.根据权利要求1至8之一所述的方法，其中，被检验为不令人生疑的数据被录入在被释放用于传输到第二通信网络中的数据的列表中。

10.用于将数据从第一通信网络（21）中的发送方（25）传输给安全关键的第二通信网络（22）中的接收方（23.1、23.2、23.3）的设备，所述设备包括输入缓冲单元（31）、输出缓冲单元（32）、等待单元（33）和测试单元（34），其中

－所述输入缓冲单元（31）被构造为：提供所要进行传输的数据，

－所述等待单元（33）被构造为：检测所要进行传输的数据的输入时间点，并且根据所要进行传输的数据的信息来确定停留持续时间，并且存储所要进行传输的数据和/或所要进行传输的数据的检查值，

－所述测试单元（34）被构造为：在停留持续时间期满之后利用在所述停留持续时间期满之后为当前的测试样式（41）来检验所要进行传输的数据，

－所述输出缓冲单元（32）被构造为：如果所述数据在检验时已经被认为是不令人生疑的，那么针对接收方（23.1、23.2、23.3）提供所述数据。

11.计算机程序产品，其具有用于执行按照权利要求1至9所述的方法的程序指令。

12.数据载体，其存储根据权利要求11所述的计算机程序产品。