CN116391348A - 用于运行网络的方法和计算机程序产品 - Google Patents

Abstract

用于运行具有带至少一种网络资源或管理至少一种网络资源的至少一个端点的网络的方法具有如下步骤：‑为该至少一个端点规定具有至少一个规则的规则集；‑观察该至少一个端点对所述规则集的合规性；‑根据该合规性来分派得分；而且‑根据该得分来确定至少一项措施。计算机程序产品被设计用于存储该至少一个端点的具有至少一个规则的规则集，用于接收关于该至少一个端点对该规则集的合规性的观察数据，以及用于根据该合规性来分派得分。

Description

用于运行网络的方法和计算机程序产品

技术领域

本发明涉及一种用于运行网络的方法以及一种计算机程序产品，该网络具有管理至少一种网络资源的至少一个端点。

背景技术

企业和生产车间中的网络经常受到第三方的大量攻击。因此，确保IT安全非常重要。

在本发明的框架内的IT安全有利地被理解为信息安全。备选地或附加地并且同样有利地，IT安全被理解为功能安全。

发明内容

因而，本发明的任务在于提供一种用于运行网络的方法，该方法可以安全地被执行，而且该方法具有自动化选项。本发明的任务还在于说明一种计算机程序产品，该计算机程序产品支持这种方法的执行。

该任务利用具有在权利要求1中说明的特征的方法以及利用具有在权利要求14中说明的特征的计算机程序产品来解决。本发明的优选的扩展方案在附属的从属权利要求、随后的描述以及附图中予以说明。

按照本发明的方法是一种用于运行网络的方法，该网络具有管理至少一种网络资源的至少一个端点。换言之，该方法是一种用于运行具有管理至少一种网络资源的至少一个端点的网络的方法。即，该至少一个端点管理该至少一种网络资源。优选地，该至少一个端点通过如下方式来管理该至少一种网络资源：该端点配置该至少一种网络资源、优选地该端点的软件、尤其是操作系统的至少一个对于IT安全来说重要的参数。在按照本发明的方法中，该至少一种网络资源是这种不仅管理该网络资源的该至少一个端点可以访问而且该网络的一个或多个其它端点可以访问的网络资源。按照本发明的方法具有如下步骤：

-为该至少一个端点规定具有至少一个规则的规则集，优选地用于通过该至少一个端点来管理该至少一种网络资源；

-观察该至少一个端点对该规则集的合规性(Compliance)；

-根据该合规性来分派得分；而且

-根据该得分来确定至少一项措施。

理想情况下，按照本发明的方法是一种计算机实现的方法。

有利地，在按照本发明的方法中，该至少一种网络资源可以分别是管理该网络资源的该至少一个端点的一部分。备选地并且同样优选地，该至少一种网络资源分别与管理该网络资源的该至少一个端点在物理上分离。

在本发明的一个特别优选的扩展方案中，在根据得分来确定至少一项措施之后，执行该至少一项措施。优选地，该措施是用于提高该至少一个端点对该规则集的合规性的措施和/或用于提高在该网络的其它端点访问该网络资源时的IT安全的措施。

借助于按照本发明的方法，可以有利地按照IT安全要求来运行该网络。

适宜地，该规则集包括用于IT安全的规则，使得借助于按照本发明的方法可以使网络、比如在企业或生产车间中的网络容易得到保护。

优选地，该规则集包括至少一个规则，用于管理该网络的其它、即未管理该网络资源的端点对该网络资源的关于IT安全方面安全的访问的授权。

优选地，在按照本发明的方法中，该至少一项措施包括：根据得分来限制该端点在该网络中的特权。尤其是，限制特权是限制用于管理该网络资源的特权。这样，比如可以使对该网络资源的管理限于不那么安全关键的特权子集。

优选地，在按照本发明的方法的一个扩展方案中，该至少一项措施包括中断该网络的运行。在无法对该网络的继续运行负责的极端情况下，可以考虑中断该网络的运行。备选地或附加地并且同样优选地，在本发明的一个扩展方案中，该至少一项措施包括：中断该网络资源的运行；或者限制该网络的其它、未管理该网络资源的端点对该网络资源的访问。

在按照本发明的方法中，该至少一个端点优选地各利用至少一种网络资源和/或至少一个管理员硬件和/或至少一个硬件接口来形成，该管理员硬件优选地是客户端计算机和/或认证硬件，该硬件接口优选地是用户账户(User-Account)。有利地，该客户端计算机或该认证硬件、比如电子可读公司身份证，可以链接到管理员账户上，使得只能有唯一一个管理员与该端点连接。

在按照本发明的方法的一个有利的扩展方案中，该至少一种网络资源利用硬件和/或利用软件来形成，该硬件尤其是服务器，该软件尤其是操作系统和/或用于借助于该网络来应用的应用程序。

在按照本发明的方法的一个有利的扩展方案中，该端点形成管理员接口。

优选地，在按照本发明的方法中，该规则集规定该软件和/或在该硬件上的软件的更新的规律性。

在按照本发明的方法的一个优选的扩展方案中，根据至少一个更新被错过的时间段和/或根据错过的更新的数量和/或安全关键性来形成该得分。

在按照本发明的方法的一个有利的扩展方案中，该措施包括：更改或限制管理特权；和/或更改该端点到该网络的连接，比如将该端点与该网络分离或者更改在连接到该网络上时的授权；和/或对与该端点连接的管理员进行培训。备选地或附加地，该措施包括：更改或扩展管理特权。

适宜地，在上述扩展方案的后一种情况下，该得分以至少两个类别来被分派，并且该培训优选地借助于模块根据在这些类别中的得分来被调整，优选地根据这些类别的占用和/或这些类别的绝对和/或相对权重。

在本发明的一个扩展方案中，适当地，管理员只有在培训之后才被允许访问网络。

优选地，在按照本发明的方法中，根据培训、优选地重复的培训和/或检查、优选地重复的检查来给予或维持该得分。

按照本发明的计算机程序产品被设计用于在如上所述的按照本发明的方法中应用。按照本发明的计算机程序产品被设计用于存储该至少一个端点的具有至少一个规则的规则集，用于接收关于该至少一个端点对该规则集的合规性的观察数据，以及用于根据该合规性来分派得分。

附图说明

随后，本发明依据在附图中所示出的实施例进一步予以阐述。唯一的附图1以截面图示意性示出了具有网络资源的企业网络，这些网络资源借助于该企业网络来被管理。

具体实施方式

图1中示出的网络10是企业网络并且具有互连的计算机。网络10的计算机中的一些计算机形成网络资源的分布式服务器30。网络10的计算机中的其它计算机被实现为用于管理这些服务器30的客户端计算机50。不仅服务器30而且客户端计算机50都形成网络10的端点，这些端点要么作为服务器30将内容或服务馈入到网络10中，要么作为客户端计算机50为管理任务提供与管理员的接口。在所示出的实施例中，网络10被设计成云网络。在该云网络中，这些服务器30不是作为单独的、在其相应的硬件方面彼此隔离的计算机存在，而是这些服务器30分别作为就存储于网络10的多个计算机上的分布式数据库而言的逻辑服务器30存在。在其它、未具体示出的实施例中，网络10也可以被设计成另外的、常规的、比如分层的网络10，在该网络中，服务器30作为单独的、物理上分离的硬件服务器存在。

这些服务器30被配置用于借助于网络10来运行项目协调软件。借助于该项目协调软件，用户可以将项目里程碑馈入到系统中并且关于这些用户的成就方面相互协调，使得用户迅速了解项目状态以及他关于项目里程碑的责任的履行情况。

该网络附加地包含中央权限管理服务器60，该中央权限管理服务器授予或拒绝对网络资源的访问权限。

该网络10还具有观察单元70，该观察单元观察该网络10的安全状态。观察单元70定期或持续检查服务器30的操作系统的更新状态、例如服务器30的Linux系统的更新状态。在此，观察单元70将相应操作系统的现状

与该操作系统的目标现状进行比较，该目标现状比如对应于Linux系统发行版的仓库维护者(Repository-Maintainer)的推荐。如果例如Linux系统的当前补丁未曾被安装，则根据尽管可能有更新但是Linux系统未被更新的时间段以及根据补丁数量和补丁的比如从来自开发者或仓库维护者的归类中得出的安全关键性，计算得分，该得分被分配给相应服务器30。例如，该得分包含与上述时间段成比例的大小(例如以小时为单位的时间段的具有比例因子的数据)以及使每个尽管可用但仍被错过的补丁的安全关键性的量度(例如对于“高度关键”来说值为“5”，对于“关键”来说值为“3”并且对于“推荐”来说值为“1”)相加的大小的总和。以这种方式，每个服务器30都分配有操作系统的安全性的得分，相应服务器30的安全漏洞越多或越严重，该得分就越高。

根据对于项目协调软件来说可用的补丁或更新，类似的得分也被分配给该项目协调软件。

该项目协调软件的得分以及该操作系统的得分的总和形成服务器30的总分，该总分作为证书被分配给服务器30。如果该总分超过第一临界阈值，则将该总分或关于超过该第一阈值的信息传送给权限管理服务器60，由于超过该第一阈值，该权限管理服务器引入用于提高网络10的安全性的措施。该措施比如可以是指：在紧急模式下受限制地运行服务器30；或者——在明显超过该阈值、比如超过50％时——切断服务器30或网络10。

附加地，这种总分不仅仅被分配给服务器30。更确切地说，总分也被分配给相应管理员(在附图中未明确示出)，该管理员负责服务器30和项目协调软件的更新。在此，该分配要么是分配给相应管理员的客户端计算机50，要么在可能从相应管理员的客户端计算机50变更为管理员账户以用于管理员对网络10的特权访问的情况下发生。

在所示出的实施例中，分别借助于得分账户来将总分分配给服务器30以及将得分值归属到管理员账户，该得分账户被唯一地分配给服务器30和管理员账户。服务器30的管理员的得分账户在权限管理服务器60上待命。

在所示出的实施例中，分配到管理员账户，该管理员账户在所示出的实施例中唯一地被分配给特定管理员。在此，被归属于该管理员账户的只有那些分摊到该管理员账户的管理员所负责的软件、即该管理员账户的管理员针对其实际承担更新任务的得分值。

在图2中描绘了权限管理：

为了特别是被允许担任网络10的服务器30的管理员角色，管理员必须完成网络安全培训(Cybersecurity Training)CYTR，该网络安全培训提供有关对于网络10来说负有责任的安全相关的规则的管理员规则集的信息。这些安全相关的规则主要包括对补丁的及时且尽可能完整的安装的要求。如果管理员完成该网络安全培训CYTR，则向该管理员授予管理员证书ISDL。基于该管理员证书ISDL，向管理员账户添加密码签名作为管理员签名，该管理员签名授权该管理员作为服务器30的管理员。

同时，服务器30本身还必须满足安全要求，这些安全要求被组合在系统目标配置SYSOPC中，该系统目标配置意味着所有安装在服务器30上的软件、这里是该操作系统以及该项目协调软件都是最新的。在检查出服务器30的配置满足系统目标配置SYSOPC之后，向服务器30赋予对网络10的服务器许可证ISLP。基于对网络10的服务器许可证ISLP，服务器30被授予以服务器签名为形式的另一密码签名，该服务器签名证明服务器30至少初始满足系统目标配置SYSOPC。借助于该服务器签名，服务器30被允许集成到网络10中。

在所示出的实施例中，管理员登录到网络10以管理服务器30按如下地进行：

首先，管理员以本身公知的方式相对于网络10认证UACREQ。为此，该管理员借助于他的管理员账户将唯一的标识符传送给网络10。权限管理服务器60依据被分配给该标识符的管理员签名来检查该管理员是否拥有管理员证书。如果情况如此，则依据该管理员签名来确定管理员账户，并且标识被分配给该管理员账户的得分账户。检查在该得分账户中记账的得分值是否超过该第一阈值。如果得分值低于该第一阈值，则继续管理员对网络10的登录。如果得分值高于该第一阈值，则管理员被网络10拒绝。

接下来，管理员选择项目协调软件在其上运行并且他管理的服务器30。该服务器30检查管理员是否为了管理该服务器30而事先已经注册了UREGSYS。如果情况不是如此，则服务器30拒绝该管理员。如果管理员被注册以管理该服务器30，则继续管理员的登录。

最后，权限管理服务器60依据服务器30的服务器签名来检查该服务器当前是否满足系统目标配置SYSOPC。如果情况如此，则管理员获得许可OPALL以管理服务器30。而如果服务器30当前不满足系统目标配置SYSOPC，则服务器许可证ISLP被撤销。

在所示出的实施例中，服务器30的服务器许可证ISLP以及用于管理服务器30的管理员证书ISDL不仅仅为了首次允许管理员和服务器30访问网络10而被验证。更确切地说，管理员证书ISDL的维持取决于管理员所属的管理员账户的得分账户的得分值，并且服务器许可证ISLP取决于服务器30的得分账户的得分值。这样，观察单元70定期或持续地进一步检查服务器30的操作系统的更新状态。如果管理员所属的管理员账户的得分账户的得分值超过该第一阈值，则该管理员被权限管理服务器60排除在对服务器30的继续管理之外。此外，还将服务器30与网络10分离。在其它未具体示出的实施例中，管理员没有被排除在对服务器30的继续管理之外，而是向网络10的安全员发送相对应的消息，该消息表明已经相对应地超过该第一阈值。此外，不使服务器30与网络10分离，而是向网络10的安全员发送消息，使得该安全员可以更仔细地检查情况。

如果网络10的服务器30的管理员超过被分配给他的得分账户，则可以通过权限管理服务器60对该管理员进行培训，在执行该培训之后，向该管理员再次赋予管理员证书ISDL。尤其是，得分值可以以多个维度、比如分别关于服务器30的由该管理员所配置的软件、这里例如项目协调软件和服务器30的操作系统来被确定。如果当借助于管理员账户被分配给管理员的得分账户的得分值超过该第一阈值时发现该超过大多应归因于服务器30的操作系统的更新有缺陷，则该培训可以自动化地提供对与服务器30的操作系统相关的内容的更高的加权。为此，适宜地，以针对其可模块化地使用培训内容的那些维度、即类别来记录得分值。在所示出的实施例中，这些培训内容模块化地以5至10个类别存在，比如当这些类别在得分值超过的情况下被条目填充时，这些类别被纳入到对管理员的培训中。那些没有分配非零得分值的类别在对该培训进行加权时要么完全被忽略，要么以标准内容来被考虑，该标准内容不同于培训后内容，当类别被非零得分值填充时，该培训后内容被纳入到对管理员的培训中。在所示出的实施例中，培训模块借助于权限管理服务器60的软件自动化地被编译。

Claims (14)

1.一种用于运行网络的方法，所述网络具有管理至少一种网络资源的至少一个端点，所述方法具有如下步骤：

-为所述至少一个端点规定具有至少一个规则的规则集；

-观察所述至少一个端点对所述规则集的合规性；

-根据所述合规性来分派得分；而且

-根据所述得分来确定至少一项措施。

2.根据上一权利要求所述的方法，其中具有所述至少一个规则的所述规则集是用于通过所述至少一个端点来管理所述至少一种网络资源的规则集。

3.根据上一权利要求所述的方法，其中所述至少一项措施包括：根据所述得分来限制所述端点在所述网络中的特权。

4.根据上述权利要求中任一项所述的方法，其中所述至少一项措施包括中断所述网络的运行。

5.根据上述权利要求中任一项所述的方法，其中所述至少一个端点各利用至少一种网络资源和/或至少一个管理员硬件和/或至少一个硬件接口来形成，所述管理员硬件优选地是客户端计算机和/或认证硬件，所述硬件接口优选地是用户账户。

6.根据上述权利要求中任一项所述的方法，其中所述至少一种网络资源利用硬件和/或利用软件来形成，所述硬件尤其是服务器，所述软件尤其是操作系统和/或用于借助于所述网络来应用的应用程序。

7.根据上述权利要求中任一项所述的方法，其中所述规则集规定所述软件和/或在所述硬件上的软件的更新的规律性和/或及时性。

8.根据上一权利要求所述的方法，其中所述得分取决于至少一个更新被错过的时间段和/或取决于错过的更新的数量和/或错过的更新的关于IT安全的关键性。

9.根据上述权利要求中任一项所述的方法，其中所述措施包括：更改或限制管理特权。

10.根据上述权利要求中任一项所述的方法，其中所述措施包括：将所述端点连接到所述网络；或者更改所述端点到所述网络的连接。

11.根据上述权利要求中任一项所述的方法，其中所述措施包含：对与所述端点连接的管理员进行培训。

12.根据上述权利要求中任一项所述的方法，其中所述得分以至少两个类别来被分派，并且所述培训优选地借助于模块根据在所述类别中的所述得分来被调整，优选地根据所述类别的占用和/或所述类别的绝对和/或相对权重；和/或其中管理员只有在培训之后才被允许访问所述网络。

13.根据上述权利要求中任一项所述的方法，其中根据培训、优选地重复的培训和/或检查、优选地重复的检查来给予或维持或更改所述得分。

14.一种计算机程序产品，所述计算机程序产品尤其被设计用于在根据上述权利要求中任一项所述的方法中应用，还被设计用于存储所述至少一个端点的具有至少一个规则的规则集，用于接收关于所述至少一个端点对所述规则集的合规性的观察数据，以及用于根据所述合规性来分派得分。

Images