DE102005037968A1

DE102005037968A1 - Schutzsystem für eine Netzwerkinformationssicherheitszone

Info

Publication number: DE102005037968A1
Application number: DE102005037968A
Authority: DE
Inventors: Wei-Ming Wu; Chun-Yu Yeh; Tse-En Shao
Original assignee: D Link Corp
Current assignee: D Link Corp
Priority date: 2005-06-10
Filing date: 2005-08-11
Publication date: 2006-12-14
Anticipated expiration: 2025-08-12
Also published as: FR2887053B1; TWI294726B; FR2887053A1; GB2427108B; TW200644495A; ITMI20052288A1; GB2427108A; DE102005037968B4; US20060282893A1; GB0515850D0

Abstract

Geschaffen wird ein kombiniertes Schutzsystem für eine Netzwerkinformationssicherheitszone, das mit Hilfe einer Netzwerkschutzeinrichtung einen Netzwerkverbindungsstatus überwacht. Sobald die Netzwerkschutzeinrichtung einen Benutzer-Computer in einem Netzwerksystem entdeckt, der die Bedingungen eines kombinierten Netzwerrkzonenschutzes auslöst, schließt die Netzwerkschutzeinrichtung unverzüglich und automatisch an einen festgelegten Netzwerkschalter an, so dass der Netzwerkschalter den für den Benutzer-Computer bereitgestellten Netzwerkzugangsdienst unterbricht, um damit auf wirksame Weise die weitere Ausbreitung von Viren oder Hackern im selben oder in anderen Teilnetzen des Netzwerks zu verhindern und des Weiteren den Virus daran zu hindern, eine DDoS-Attacke zu starten oder den Netzwerkserver zu paralysieren, wodurch die Schäden und Verluste am Netzwerksystem in hohem Maße reduziert werden.

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft einen Netzwerkinformations-Sicherheitsmechanismus, und insbesondere ein kombiniertes Schutzsystem für eine Netzwerkinformationssicherheitszone mit einer Netzwerkschutzeinrichtung zur Überwachung des Netzwerkverbindungsstatus mit Benutzercomputern in einem Netzwerk und zum Trennen des Netzwerkdienstes eines Benutzercomputers, wenn die Netzwerkschutzeinrichtung feststellt, dass der Benutzercomputer ein abnormales Verhalten zeigt und Regeln des Netzwerkzugangsdienstes verletzt, um dadurch einen das abnormale Verhalten auslösenden Virus wirksam daran zu hindern, sich kontinuierlich im selben oder in anderen Teilnetzen des Netzwerks zu verbreiten.

HINTERGRUND DER ERFINDUNG

Angesichts der raschen Entwicklung des Internets und des e-Commerce sind die Menschen heute sehr optimistisch in Bezug auf die von Netzwerken eröffneten geschäftlichen Möglichkeiten. Allerdings müssen Personen oder Unternehmen unterschiedlicher potenzieller Bedrohungen der Netzwerksicherheit gewahr sein, wie beispielsweise der Verbreitung von Viren und Hacker-Invasionen, wenn sie sich in hohem Maße auf die Netzwerkkommunikation verlassen. Vor dem Hintergrund der Merkmale des offenen Systems und der praktischen Übertragungsmöglichkeiten des Internets haben die Angriffe einiger Hacker beispielsweise nicht den Zweck, in die Computersysteme von Unternehmen einzudringen, um Websitedaten zu stehlen oder zu ändern, sondern vielmehr die Lancierung einer sogenannten "Distributed Denial of Service"-Attacke (DDoS-Attacke; verteilter Angriff auf Serverdienste), mit der eine große Menge von Packets mit manipulierten IP-Adressen über mehrere an unterschiedlichen Stellen verteilten Computern versendet werden. Auf diese Art wird der Netzwerkserver des Opfers so paralysiert, dass er aufgrund einer unter 1% gefallenen normalen Logon-Rate nicht mehr in der Lage ist, normale Dienste zu erbringen.

Um eine oder mehrere Zielwebsites zu paralysieren, versenden DDoS-Attacken eine massive Menge an Daten, die weit über der Netzwerkbelastbarkeit oder der Belastbarkeit des attackierten Computers liegen, anstatt das Systemprogramm des attackierten Netzwerkservers zu beenden. Das heißt, DDoS-Attacken bringen einen gleichzeitigen Start der Denial-of-Service-Attacken (DoS) auf mehrere Computergruppen im Netzwerk über eine Technik mit netzverteilten Quellen mit sich, so dass der angegriffene Netzwerkserver Feinden von mehreren Hunderten von Computern übers Netz gegenübersteht. Deshalb benötigt die DDoS-Attacke eine bestimmte Anzahl von Computern, die als Daemon (Platten- und Ausführungs-Kontrollprogramme) fungieren. Die Daemons nehmen gleichzeitig ein Ziel ins Visier, um eine paralytische Attacke zu starten, vorausgesetzt ein Hacker versendet einen Angriffsbefehl. Vor dem geheimen Start einer DDoS-Attacke müssen die Hacker durch Stehlen oder Beobachten illegal an Passwörter spezifischer Computer kommen und dann die Kontrolle der Computer übernehmen und sie zu Masters machen. In der Zwischenzeit legen die Hacker ein invadiertes Backdoor-Programm in den Masters ab und versuchen dann, über das auf den Masters installierte Backdoor-Programm mehrere Netzwerkcomputer zu invadieren, um eine ausreichende Zahl von Computern als Daemons zu gewinnen. Schließlich legen die Hacker ein Attack-Masterprogramm in die Masters, das den Daemons den Befehl erteilt, die DDoS-Attacken gleichzeitig zu starten, und auch ein Attack-Programm in die Daemons, um den paralytischen Angriff durchzuführen.

Im Allgemeinen nützt die Methode der DDoS-Attacke zur Durchführung des Angriffs hauptsächlich die Sicherheitslücke des Request- und Response-Modus des TCP/IP-Kommunikationsprotokolls. In einem typischen Netzwerksystem senden beide kommunizierenden Teilnehmer normalerweise ein Anforderungspaket (Request) an den anderen Teilnehmer, um eine funktionierende Verbindung für die Kommunikation sicherzustellen, und warten auf ein korrektes Antwortpaket (Response) vom anderen Teilnehmer. Eine korrekte Verbindung ist sichergestellt, wenn der antwortende Teilnehmer ein korrektes Response-Packet zurück sendet. Wenn beispielsweise Teilnehmer A in Kommunikationsverbindung mit Teilnehmer B im TCP/IP-Kommunikationsprotokoll steht, sendet Teilnehmer A ein SYN-Packet an den Teilnehmer B. Teilnehmer B antwortet mit einem SYN-ACK-Packet an den Teilnehmer A, unter der Bedingung, dass der Teilnehmer B das Anforderungspaket empfängt. Gleichermaßen sendet Teilnehmer A ein ACK-Packet an den Teilnehmer B zur Bestätigung. Nachdem diese Prozedur abgeschlossen ist, wird die Verbindung zwischen den Teilnehmern A und B für die Datenübertragung sichergestellt. Unter dem beschriebenen Kommunikationsmodus kann ein Hacker versuchen, eine Menge von SYN-Packets an einen bestimmten Computer im Netzwerk zu produzieren, ohne das ACK-Packet an diesen Computer zurück zu senden, so dass der angegriffene Zielcomputer oder das Netzwerk dazu gebracht wird, langsamer zu werden oder abzustürzen, weil die vom Hacker produzierte oder gefälschte Menge an Junk-Packets nicht mehr bewältigbar ist.

Um eine DDoS-Attacke wirksam zu verhindern, müssen Systemadministratoren den Netzwerkcomputer finden, auf dem ein permanent residierendes Attack-Programm installiert ist, bevor sie die Bedrohung der DDoS-Attacken lösen können. Zur Zeit stehen zahlreiche Werkzeuge zur Entdeckung der permanent residierenden Attack-Programme zur Verfügung. Beispielsweise in einem Windows-Betriebssystem können der Internet Scanner 6.01 und das Programm RealSure 3.2.1 von IIS zum Scannen benützt werden, wobei das Erstere beispielsweise das permanent residierende Attack-Programm des TribeFlood Networks scannen kann und dazu beiträgt, die Sicherheitslücke der Website zu finden, um zu verhindern, dass die Website zu einem Einfallstor für Hacker wird, um die DDoS-Attacke durchzuführen, und Letzteres kann die Kommunikation zwischen dem Master und dem Daemon des DDoS erfassen und so den Hacker daran hindern, die DDoS-Attacke zu starten. Außerdem hat die britische NIPC ebenfalls ein Programm zur Entdeckung einer DDoS-Attacke entwickelt, welches den Systemadministratoren erlaubt, ihre Systeme zu testen und zu prüfen, ob ein Programm ähnlich dem DDoS-Attackenprogramm installiert ist. Schließlich können die Systemadministratoren ihre Computer oder Router kontrollieren und alle abnormalen Packets mit IP-Adressen aus manipulierter Quelle eliminieren, wie beispielsweise 10.0.0.0./8, 172.16.0.0/12 und 192.168.0.0/16 oder alle Service Ports schließen, die vom Netzwerkcomputer nicht benötigt werden. Inzwischen kann der Systemadministrator auch eine Logon-Liste auf dem Netzwerkcomputer oder dem Router erstellen, um Invasionen zu verhindern. Allerdings sind die meisten Systemadministratoren unfähig, ihre Systeme zu schützen, weil die Attacken intern lanciert werden. Das Einzige, was der Systemadministrator tun kann, ist Gegenmaßnahmen im Anschluss an die Attacke zu ergreifen. Dann ist es allerdings bereits zu spät. Eigentlich wird ein Netzwerk-Sicherheitsmechanismus zur automatischen Entdeckung und Unterbindung abnormaler Netzwerkoperationen durch einen automatischen Mechanismus eingerichtet, um alle bösartigen Angriffe oder ernsthaften Schäden, die das Netzwerk paralysieren könnten, wirksam und zeitgerecht zu verhindern. Beispielsweise kann der Systemadministrator eine Blacklist für den Netzwerkzugriff und den Service einrichten. Gegenwärtig gibt es zahlreiche Netzwerkvorrichtungen wie Schalter und Netzwerksicherheitsmittel einschließlich Firewalls und Ähnlichen, die einen Mechanismus zur Überwachung des Netzwerk-Flows und zur Kontrolle des Netzwerkzugriffs bereitstellen. Allerdings fehlt diesen Kontrollinstrumenten ein interaktiver Mechanismus, und sie können nicht rechtzeitig an das Netzwerk anschließen, weshalb sie auch nicht in der Lage sind, bösartige Angriffe auf das Netzwerk wirksam zu verhindern.

Heutzutage zielt die Technologie der Kontrolle und Verwaltung von Netzwerkverbindungen auf das abnormale Packet oder die Verbindung, welche die Netzwerkprinzipien verletzt, um den Service zu verweigern, wenn das Packet durch die Netzwerk-Sicherheitseinrichtungen geht, sie kann aber nicht den Datenfluss erfassen, der nicht durch die Netzwerksicherheitseinrichtung geht und die Netzwerkverbindung des Benutzer-Computers nicht wirksam verweigern. Wenn kontinuierliche oder Mengen-Netzwerk-Attacken oder abnormale Netzwerkzugriffe zutage treten, fährt der Netzwerk-Administrator damit fort, die verweigerten Netzwerkzugriffe und Services zu bearbeiten und wird damit stark belastet. Überdies achtet der Netzwerkadministrator möglicherweise zu wenig auf die wirksame und zeitgerechte Bekämpfung der bösartigen Angriffe aufs Netzwerk. Eine Methode besteht deshalb darin, einen Netzwerkschalter durch einen Netzwerk-Management-Computer anzuschließen und die Einstellungen des Schalters manuell zu ändern, um das Netzwerk des Benutzer-Computers zu trennen. Eine solche Anordnung kann keine wirksame und zeitgerechte aktive Schutzfunktion bieten und endet in der Regel mit einem schweren Schaden. Wir nehmen beispielsweise Bezug auf 1 und stellen fest, dass ein traditionelles Internet einen Netzwerk-Management-Computer 11, eine Netzwerk-Schutzeinrichtung 20, eine Mehrzahl von Netzwerkschaltern 30, 31, 40, 41 für unterschiedliche Netzwerkabschnitte A, B, C, eine Mehrzahl von an die Netzwerk-Schutzeinrichtung 20 angeschlossenen Servern 50 und eine Mehrzahl von an den Netzwerkschalter 31 angeschlossenen Benutzer-Computern 10, 12 umfasst. Die voranstehende Beschreibung zusammenfassend, wendet das Netzwerksystem folgende Maßnahmen und Methoden an, wenn es auf einen Virusangriff trifft:

(1) Ein Benutzer-Computer 10 (mit einer IP-Adresse 192.168.1.2) wird von einem Wurmvirus infiziert (WORM_MSBLAST.A) und versendet die Menge von TCP SYN (DST Port: 135) Packets und scannt alle Computer im Netzwerk, die mit einem Windows Betriebssystem ausgerüstet sind, und verteilt dann den Virus auf diese Computer durch die Sicherheitslücke des RPC DCOM Overflow im Windows Betriebssystem.
(2) Wenn die TCP SYN (DST Port: 135) Packets durch eine Netzwerkschutzeinrichtung 20 gehen und der Netzwerkadministrator den Sicherheits-Setup auf der Netzwerkschutzeinrichtung 20 durchgeführt hat, werden die TCP SYN (DST: Port 135) Packets erfolgreich blockiert, und die Packets werden nicht in den Teilnetzen B und C des Netzwerks verteilt. Wenn der Netzwerkadministrator für die Netzwerkschutzeinrichtung 20 ein adäquates Warn- und Protokollierungs-Setup gestartet hat, muss er die Netzwerkschutzeinrichtung 20 erneut einloggen, um den Log-Eintrag zur Analyse der Computer zu prüfen, ob irgendein abnormales Verhalten des Benutzer-Computers stattfindet, wie beispielsweise das Versenden einer großen Menge von TCP SYN (DST Port: 135) Packets.
(3) Da die Netzwerkschalter 30, 31, wie in 1 dargestellt, zum selben Teilnetz A des Netzwerks gehören, kann die Netzwerkschutzeinrichtung 20 die TCP SYN (DST Port: 135) Packets vom Computer im selben Teilnetz des Netzwerks nicht ausgeben, um die Blockierung zu erreichen, weshalb das Teilnetz A des Netzwerks mit den Netzwerkschaltern 30, 31 verbunden ist und die selbe Sicherheitslücke gegenüber anderen Benutzer-Computern 12 hat, die vom Virus und der DDoS-Attacke betroffen sein werden.
(4) Deshalb muss der Netzwerkadministrator einen Netzwerk-Management-Computer 11 benützen, um die Warnanalyse und das Prozessprotokoll wie in Schritt (2) beschrieben auszuführen, um sicherzustellen, dass der angegriffene Computer 10 mit dem Netzwerk durch den Netzwerkschalter 31 verbunden ist, und dann wird der Netzwerk-Management-Computer 11 mit dem Netzwerkschalter 31 verbunden, um das Denial-to- Service-Netzwerk für den Computer 10 einzurichten. Es nimmt allerdings viel Zeit in Anspruch, den gesamten Denial-to-Service-Setup durchzuführen, und der Virus kann sich bereits auf andere Computer in den Teilnetzen A, B und C des Netzwerks verbreitet haben.

Mit Blick auf die vorangehende Beschreibung fehlt den herkömmlichen Netzwerkschutzeinrichtungen ein interaktiver Mechanismus, weshalb sie keine zeitgerechten Verbindungen untereinander herstellen können, um einen bösartigen Angriff auf das Netzwerk wirksam zu verhindern. Es ist ein wichtiges Thema für Netzwerkfirmen, eine Möglichkeit zur Integration der Netzwerkschutzeinrichtungen zu finden, so dass wenn ein Benutzer-Computer ein abnormales Netzwerk entdeckt, der Benutzer-Computer die Quelle zeitgerecht trennen und den Netzwerkverbindungsdienst des Benutzer-Computers unterbrechen kann, um weitere Beeinträchtigungen des Virus im selben Teilnetz oder in anderen Teilnetzen des Netzwerks sowie einen Start der DDoS-Attacke, die den Netzwerkserver paralysiert, zu verhindern.

ZUSAMMENFASSUNG DER ERFINDUNG

Angesichts der Tatsache, dass nach dem Stand der Technik die Kontrolltechnologie für Netzwerkverbindungen nur auf das abnormale Packet oder den die Netzwerkprinzipien verletzenden Denial-to-Service-Setup für den Netzwerk-Flow abzielt, aber nicht fähig ist, das abnormale Netzwerk in Entsprechung zur Quelle automatisch und zeitgerecht zu trennen, hat der Erfinder der vorliegenden Erfindung auf der Grundlage jahrelanger Erfahrung in der Entwicklung von Netzwerkeinrichtungen und Systemen zur Durchführung extensiver Forschungsarbeiten und Experimente in Entsprechung zu den Merkmalen und Methoden einer Virusverbreitung und Website-Paralyse ein kombiniertes Schutzsystem für eine Netzwerkinformationssicherheitszone gemäß der vorliegenden Erfindung entwickelt.

Ein Ziel der Erfindung ist demnach die Erfassung eines Netzwerkverbindungsstatus durch eine Netzwerkschutzeinrichtung. Sobald die Netzwerkschutzeinrichtung einen Benutzer-Computer im Netzwerk entdeckt, der ein abnormales Verhalten an den Tag legt, das die Regeln des Netzwerkzugriffservice verletzt, verhindert die Netzwerkschutzeinrichtung sofort die abnormale Verbindung durch den automatischen Anschluss an den Netzwerkschalter, der die Netzwerkverbindungen für die Benutzer-Computer bereitstellt, und den Befehl an den Netzwerkschalter, die Netzwerkverbindung des Benutzer-Computers zu trennen und rasch die Services an den Benutzer-Computer zu verweigern, der bösartige Packets sendet oder die Prinzipien (Policy) des Netzwerkzugriffs verletzt, um einen Virus bzw. Hacker wirksam daran zu hindern, mit der Verbreitung des Virus im selben oder in anderen Teilnetzen des Netzwerks fortzufahren, und des weiteren den Virus daran zu hindern, eine DDoS-Attacke zu starten oder den Netzwerkserver zu paralysieren; auf diese Weise werden die Schäden und Verluste am Netzwerksystem beträchtlich reduziert.

Ein weiteres Ziel der vorliegenden Erfindung ist die Bereitstellung einer Netzwerkschutzeinrichtung, die einen Unterbrechungsbefehl gemäß mindestens einer kritischen Bedingung versendet, wobei der Netzwerkadministrator keine Zeit damit verschwenden muss, den infizierten Computer zu finden. Nach Lokalisierung des infizierten Computers muss der Netzwerkadministrator nicht manuell einen Denial-to-Service-Befehl geben, um die Netzwerkverbindung des infizierten Computers zu trennen, wodurch sich der Arbeits- und Zeitaufwand für das Netzwerk-Management bedeutend reduziert.

Ein weiteres Ziel der vorliegenden Erfindung ist die Verwendung des Simple Network Management Protocol (SNMP), um eine neue Funktion zur Netzwerkschutzeinrichtung hinzuzufügen und die Bedingungen zum Starten des kombinierten Netzwerkzonenschutzes durch den Netzwerkadministrator zu definieren. Wenn ein Benutzer-Computer Packets eines Flows abgibt, der solche Bedingungen auslöst, verwendet die Netzwerkschutzeinrichtung das SNMP zum Versenden eines Denial-to-Service-Befehls zum Netzwerkschalter, so dass nach dem Eintreffen des Denial-to-Service-Befehls beim Netzwerkschalter das Setup für den Netzwerk-Denial-to-Service-Befehl sofort ausgeführt wird, um den Netzwerk-Zugangs-Dienst des Benutzer-Computers zu unterbrechen und ein Antwortpaket an die Netzwerkschutzeinrichtung zurück zu senden, um die erfolgreiche Unterbrechung des vom Netzwerkschalter des Benutzer-Computers bereitgestellten Netzwerk-Zugangs-Dienstes zu bestätigen.

Die oben genannten und andere Ziele, Merkmale und Vorteile der vorliegenden Erfindung gehen aus der folgenden detaillierten Beschreibung unter Bezugnahme auf die begleitenden Zeichnungen hervor.

KURZE BESCHREIBUNG DER ZEICHNUNGEN

1 ist eine schematische Ansicht der Verbindungen eines Netzwerksystems nach dem Stand der Technik;

2 ist ein Fließdiagramm einer Netzwerkschutzeinrichtung gemäß einem bevorzugten Ausführungsbeispiel der Erfindung; und

3 ist eine schematische Ansicht von den Verbindungen eines Netzwerksystems gemäß einem bevorzugten Ausführungsbeispiel der Erfindung.

DETAILLIERTE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSBEISPIELE
Die vorliegende Erfindung betrifft ein kombiniertes Schutzsystem für Netzwerkinformationssicherheit, das sich eines einfachen Netzwerkverwaltungsprotokolls (Network Management Protocols – SNMP) bedient, um einen Netzwerkverbindungsstatus einer Netzwerkschutzeinrichtung zu kontrollieren, etwa einer Firewall, eines Bandbreitenmanagers, eines Intrusion Defense Systems (Einbruchabwehrsystem – IDS) oder eines Flow Analyzers, um eine Funktion hinzuzufügen und die Bedingungen für den Start eines kombinierten Zonenschutzes zu definieren, wie er vom Netzwerkadministrator für das Netzwerk benötigt wird. Nachdem mindestens eine der Bedingungen ausgelöst wurde, beispielsweise durch die Menge der von einem Benutzer-Computer gesendeten Packets, schließt die Netzwerkschutzeinrichtung unverzüglich und automatisch an einen oder mehrere Netzwerkschalter an, und das SNMP wird dazu verwendet, einen Denial-to-Service-Befehl an den Netzwerkschalter zu senden, um den Unterbrechungs-Setup für den Netzwerk-Zugangsdienst des Benutzer-Computers sofort auszuführen, nachdem der Netzwerkschalter den Denial-to-Service-Befehl erhalten hat, den Netzwerk-Zugangsdienst des Benutzer-Computers sofort zu unterbrechen und den Virus wirksam daran zu hindern, sich in anderen Teilnetzen des Netzwerks auszubreiten. Eine solche Anordnung hindert den Virus im weiteren daran, die DDoS-Attacke zu starten oder den Netzwerkserver zu paralysieren, um die Schäden und Verluste des Netzwerksystems zu minimieren. Inzwischen sendet der Netzwerkschalter ein Antwortpaket an die Netzwerkschutzeinrichtung zur Bestätigung einer erfolgreichen Unterbrechung des vom Netzwerkschalter des Benutzer-Computers bereitgestellten Netzwerk-Zugangsdienstes zu bestätigen.
Es wird festgehalten, dass die Verwendung des SNMP in der Definition der Regeln und Erzeugung der Unterbrechungsbefehle in der vorliegenden Erfindung vorteilhaft und bevorzugt ist, da SNMP zu einer Art von Übertragungssteuerungsprotokoll/Internetprotokoll (TCP/IP) gehört und heute in den unterschiedlichen Netzwerkvorrichtungen oder Systemen reichlich zum Einsatz kommt, etwa für Firewalls, Bandbreitenmanager, IDS-Einbruchabwehrsysteme und Flow Analyzer, usw. Mit dem SNMP wird das kombinierte Zonenschutzsystem der vorliegenden Erfindung einfach und ohne Modifizierung der Hardware oder Rücksichtnahme auf die Kompatibilität an den bestehenden Netzwerkvorrichtungen und Systemen angewendet. Das Dienstprogramm SNMP ist allerdings keine Beschränkung der vorliegenden Erfindung. Zahlreiche Modifikationen und Variationen könnten von Fachpersonen daran vorgenommen werden, ohne vom Geltungsbereich und den Prinzipien der in den Ansprüchen definierten Erfindung abzuweichen.
Ferner ist zu sagen, dass die Gründe für das abnormale Verhalten der erwähnten Benutzer-Computer allgemein mit den unterschiedlichen abnormalen Verhaltensweisen in Verbindung stehen, die von Benutzern nicht wahrnehmbar sind, die von den Benutzern nicht erlaubt werden können, die den normalen Betrieb der Netzwerkkommunikation des Benutzer-Computers bedrohen oder paralysieren oder die von verschiedenen Hackern oder Viren verursacht werden, doch das Prinzip der Erfindung ist nicht auf diese beschränkt. Zusätzlich kann der Angriff und die Bedrohung verschiedene Formen annehmen, wie etwa Pufferüberlauf-Angriffe, Port-Scan-Angriffe, Trojanische Pferde, IP-Fragmentierungsangriffe, Wurmangriffe oder Angriffe auf Sicherheitslücken in Systemen und Anwendungen. Folglich sind die abnormalen Verhaltensweisen nicht auf die oben genannten DDoS-Attacken beschränkt.
Wenn das System der vorliegenden Erfindung implementiert wird, ermöglicht eine zusätzliche Funktion in der Netzwerkschutzeinrichtung des Netzwerksystems einem Netzwerkadministrator die Definition der Bedingungen zum Starten des kombinierten Netzwerkzonenschutzes. Somit führt – wie in 2 dargestellt – die Netzwerkschutzeinrichtung folgende Prozeduren zur Feststellung einer Verletzung der Netzwerkzugangsdienstregeln oder der Auslösung der Bedingungen des kombinierten Netzwerkzonenschutzes durch einen oder mehrere Benutzer-Computer und die Unterbrechung der Netzwerkzugangsdienste aus. Der Prozess umfasst folgende Schritte:
Schritt (50): Erfassen der Packet-Daten, die durch die Netzwerkschutzeinrichtung gehen;
Schritt (51): Analysieren der erfassten Packet-Daten, um festzustellen, ob einer der Benutzer-Computer die Bedingungen des kombinierten Netzwerkzonenschutzes auslöst, wie das Erreichen eines bestimmten kritischen Zustands, einschließlich – aber nicht beschränkt auf – einer Packet-Quantität oder eine bandbreite; wenn ja, Weitergehen zum nächsten Schritt oder sonst Rückkehr zu Schritt (50);
Schritt (52): Ablesen der IP-Adresse des Benutzer-Computers, der den kombinierten Netzwerkzonenschutz auslöst oder die Netzwerkzugangsdienstregel verletzt;
Schritt (53): Verwendung des SNMP zum Versenden eines Denial-to-Service-Befehls an einen oder mehrere Netzwerkschalter; nachdem der Netzwerkschalter den Denial-to-Service-Befehl erhalten hat, unterbricht der Netzwerkschalter den Netzwerkzugangsdienst des Benutzer-Computers und blockiert den Netzwerkzugangsdienst für den Benutzer-Computer, um den Virus wirksam daran zu hindern, sich auf andere Teilnetze des Netzwerks zu verbreiten.
Zur Beschreibung des Designkonzepts und der Leistungsfähigkeit der vorliegenden Erfindung wird ein bevorzugtes Ausführungsbeispiel, wie in 3 dargestellt, zur Illustration verwendet. Wenn das Netzwerksystem einmal von einem Virus infiziert wurde, führt das kombinierte Schutzsystem für eine Netzwerkinformationssicherheitszone der vorliegenden Erfindung folgende Prozedur aus:

(1) In einem Netzwerksystem wird ein Benutzer-Computer 60 mit der IP Adresse 192.168.1.2 von einem Wurmvirus infiziert (WORM_MSBLAST.A) und beginnt mit dem Versenden großer Mengen TCP SYN (DST Port: 135) Packets. Nachdem die anderen Computer, in denen das Windows Betriebssystem installiert ist und die an das Netzwerk angeschlossen sind, gescannt wurden, verbreitet sich der Virus und startet die DDoS-Attacke durch die Sicherheitslücke des RPC DCOM Overflow im Windows Betriebssystem.
(2) Wenn die TCP SYN (DST Port: 135) Packets durch eine Netzwerkschutzeinrichtung 70 gehen, in denen die Bedingungen einer Auslösung des kombinierten Netzwerkzonenschutzes eingestellt oder vordefiniert sind, etwa zur Verhinderung von IDS-Angriffen, http/Ftp-Adressen oder Flow Limit, Höchstwert für Benutzer-Netzwerkanschlüsse usw., fährt die Netzwerkschutzeinrichtung 70 mit der Überwachung des Durchgangs von Netzwerk-Packets fort und analysiert des weiteren, ob der Benutzer-Computer abnormale Übertragungen von TCP SYN (DST Port: 135) Packets in großer Menge ausführt oder nicht.
(3) Wenn die Netzwerkschutzeinrichtung 70 ein abnormales Verhalten eines Benutzer-Computers 60 feststellt, wie das Versenden einer großen Menge TCP SYN (DST Port: 135) Packets, liest er die IP-Adresse des Benutzer-Computers 60 ab, der die Netzwerkzugangsdienstregel verletzt, und schließt gemäß der IP-Adresse des Benutzer-Computers 60 automatisch an den Netzwerkschalter 80 oder andere vorher definierte bzw. zugewiesene Netzwerkschalter an, um einen Denial-to-Service-Befehl zu versenden (wie etwa "deny (192.168.1.2 any TCP 137)").
(4) Der Netzwerkschalter 80 legt eine Unterbrechung mit Bezug auf den Netzwerk-Denial-to-Service-Befehl fest und unterbricht dann sofort den Netzwerkzugangsdienst für den Benutzer-Computer 60, so dass der Benutzer-Computer 60 mit einer IP-Adresse 192.168.1.2 in kürzest möglicher Zeit blockiert wird, um die Netzwerk-Packets daran zuhindern, in das gesamte Netz einzudringen. Dementsprechend wird der Virus wirksam daran gehindert, sich über alle anderen (nicht dargestellten) Benutzer-Computer im gleichen Teilnetz des Netzwerks, auf andere Benutzer-Computer in der Vermittlungseinheit des gleichen Teilnetzes oder andere (nicht dargestellte) Benutzer-Computer anderer Teilnetze des Netzwerks zu verbreiten.

In dem oben genannten bevorzugten Ausführungsbeispiel kann die IP-Adresse der Netzwerkschutzeinrichtung 70 zu 192.168.1.1 zugeordnet werden, und die IP-Adresse des Netzwerkschalters 80 ist 192.168.1.250. Wenn die Netzwerkschutzeinrichtung 70 festgestellt hat, dass der Benutzer-Computer 60 eine große Menge abnormaler ACP SYN (DST Port: 135) Packets versendet, kann sie über SNMP gemäß der IP-Adresse des Benutzer-Computers eine Anforderung folgenden Inhalts versenden, um die Netzwerkschalter 80 zu instruieren, den Zugangsdienst des Netzwerks für den Benutzer-Computer 60 mit der IP-Adresse 192.168.1.2 zu unterbrechen:

IP: Quelladresse	= [192.168.1.1]
IP: Zieladresse	= [192.168.1.250]
SNMP: Befehl	= Set request (Anforderung stellen)
SNMP: Objekt	= {1.3.6.1.4.1.171.12.9.2.2.1.4.2.1}
SNMP: Wert	= [192.168.1.2]

wobei der Netzwerkschalter 80 ein von der D-Link Company (D-Link ist eine Handelsmarke der D-Link Corporation) hergestellter Schalter und sein MIB Objekt 171.12.9.2.2.1.4.2.1 eine von der Einrichtung annehmbare Zugangskontrollliste (ACL) ist (MIB-Parameter variiert je nach Modell und Schaltermarke) und die Systemnummer 9.2.2.1.4.2.1 ist. Die Netzwerkschutzeinrichtung 70 versendet einen Befehl zum Unterbrechen des Netzwerkzugangsdienstes des Benutzer-Computers 60 mit einer IP-Adresse 192.168.1.2 an die MIB-Adresse im D-Link-Schalter durch das SNMP.

Nachdem der Netzwerkschalter 80 den Netzwerk-Denial-to-Service-Befehl erhalten hat und der Setup abgeschlossen ist, sendet der Netzwerkschalter 80 ein Antwortpaket (Get response) mit folgendem Inhalt an die Netzwerkschutzeinrichtung 70 zurück, um die Netzwerkschutzeinrichtung 70 darüber zu informieren, dass der Netzwerkzugangsdienst des Benutzer-Computers 60 mit einer IP-Adresse 192.168.1.2 im Netzwerkschalter 80 erfolgreich blockiert wurde:

IP: Quelladresse	= [192.168.1.250]
IP: Zieladresse	= [192.168.1.1]
SNMP: Befehl	= Get response (Antwort senden)
SNMP: Objekt	= {1.3.6.1.4.1.171.12.9.2.2.1.4.2.1}
SNMP: Wert	= [192.168.1.2]

Angesichts der Beschreibung oben betreibt die vorliegende Erfindung eine Netzwerkschutzeinrichtung im Netzwerksystem zur automatischen Feststellung der durchgehenden Netzwerk-Packets.
Wenn die Menge oder der Durchfluss von Packets eines Benutzer-Computers einen kombinierten Netzwerkzonenschutz auslöst, wird automatisch ein Netzwerk-Denial-to-Service-Befehl an einen festgelegten Netzwerkschalter und/oder andere Schalter gesendet, um die Netzwerkverbindung des Benutzer-Computers sofort zu unterbrechen und die normale Netzwerkverbindung rasch zu blockieren und damit Schäden und Verluste am Netzwerksystem durch abnormales Verhalten drastisch zu reduzieren, um damit die Netzwerkleistung wirksam zu steigern.
Der Netzwerkadministrator muss deshalb keine Zeit damit verschwenden, den infizierten Computer zu suchen. Außerdem muss der Netzwerkadministrator an den infizierten Computer keinen manuellen Netzwerk-Denial-to-Service-Befehl ausgeben.
Dem entsprechend wird der Netzwerkdienst am Rand des Netzwerks (wo sich auch die dem infizierten Computer nächstliegende Quelle befindet) unterbrochen und sehr viel Arbeitskraft und Zeitaufwand für das Netzwerkmanagement eingespart.
Zwar wurde die hier offenbarte Erfindung anhand spezifischer Ausführungsbeispiele beschrieben, doch können daran von Fachpersonen zahlreiche Modifikationen und Variationen vorgenommen werden, ohne vom Geltungsbereich und Prinzip der in den Ansprüchen definierten Erfindung abzuweichen.

Claims

Kombiniertes Schutzsystem für eine Netzwerkinformationssicherheitszpne, das den Verbindungsstatus eines Netzwerksystems durch eine Netzwerkschutzeinrichtung überwacht, wobei wenn die Netzwerkschutzeinrichtung in dem Netzwerksystem einen Benutzer-Computer feststellt, der die Bedingung eines kombinierten Netzwerkzonenschutzes auslöst, die Netzwerkschutzeinrichtung unverzüglich und automatisch an einen festgelegten Netzwerkschalter anschließt, so dass der festgelegte Netzwerkschalter einen für den Benutzer-Computer bereitgestellten Netzwerkzugangsdienst unterbricht.
System nach Anspruch 1, wobei die Netzwerkschutzeinrichtung eine Firewall, ein Bandbreitenmanager, ein IDS Einbruchabwehrsystem oder ein Flow Analyzer ist.
System nach Anspruch 2, wobei die Netzwerkschutzeinrichtung einen Mechanismus zur Definition der Regeln des von einem Netzwerkadministrator erlaubten Netzwerkzugangsdienstes und der Bedingungen zur Auslösung des kombinierten Netzwerkzonenschutzes umfasst.
System nach Anspruch 1, wobei wenn die Netzwerkschutzeinrichtung ein abnormales Verhalten des Benutzer-Computers im Netzwerksystem entdeckt, das eine Netzwerkzugangsdienstregel verletzt, das System unverzüglich und automatisch die Netzwerkschutzeinrichtung an den festgelegten Netzwerkschalter anschließt und den festgelegten Netzwerkschalter befähigt, den für den Benutzer-Computer bereitgestellten Netzwerkzugangsdienst zu unterbrechen.
System nach Anspruch 1, wobei die Netzwerkschutzeinrichtung ein einfaches Netzverwaltungsprotokoll (SNMP) benützt, um einen Denial-to-Service-Befehl an den festgelegten Netzwerkschalter zu senden, um den für den Benutzer-Computer bereitgestellten Netzwerkzugangsdienst zu unterbrechen.
System nach Anspruch 5, wobei nachdem der festgelegte Netzwerkschalter den Netzwerk-Denial-to-Service-Befehl empfangen hat, der festgelegte Netzwerkschalter eine Unterbrechung festlegt und dann den vom Netzwerkschalter bereitgestellten Netzwerkzugangsdienst gemäß der Unterbrechung blockiert.
Methode zur Kontrolle eines Netzwerkdienstes, folgende Schritte umfassend: Erfassen von Packet-Daten, die von einem Benutzer-Computer kommen; Bestimmen, ob die Packet-Daten mindestens einer der Netzwerkdienstregeln entsprechen; und Versenden eines Unterbrechungsbefehls an eine festgelegte Schalteinrichtung zur Ausführung des Unterbrechungsbefehls, um die Übertragung der Packet-Daten des Benutzer-Computers anzuhalten, unter der Bedingung, dass die Packet-Daten des Benutzer-Computers zumindest einer der Netzwerkdienstregeln entsprechen.
Methode zur Kontrolle eines Netzwerkdienstes nach Anspruch 7, wobei der Versendeschritt des weiteren die Verwendung eines einfachen Netzverwaltungsprotokolls (SNMP) zum Versenden des Unterbrechungsbefehls umfasst.
Methode zur Kontrolle eines Netzwerkdienstes nach Anspruch 7, die des weiteren die Voreinstellung der Netzwerkdienstregeln umfasst.
Methode zur Kontrolle eines Netzwerkdienstes nach Anspruch 9, wobei der Bestimmungsschritt des weiteren den Vergleich einer Packet-Quantität der Packet-Daten des Benutzer-Computers mit der Netzwerkdienstregel umfasst.
Methode zur Kontrolle eines Netzwerkdienstes nach Anspruch 7, die des weiteren die Voreinstellung der festgelegten Schalteinrichtung umfasst.
Netzwerksicherheitsschutzeinrichtung, umfassend: Setup-Mittel zur Festlegung mindestens einer der Netzwerkdienstregeln und mindestens einer der festgelegten Schalteinrichtungen. Schutzmittel zum Erfassen von Packet-Daten eines Benutzer-Computers; Analysemittel zum Vergleichen der Netzwerkdienstregel mit den Packet-Daten des Benutzer-Computers; und Sicherheitsmittel zum Versenden eines von einem Vergleichsergebnis gesteuerten Unterbrechungsbefehls, wobei der Unterbrechungsbefehl von der festgelegten Schalteinrichtung zum Blockieren der Übertragung der Packet-Daten des Benutzer-Computers ausgeführt wird.
Netzwerksicherheitsschutzeinrichtung nach Anspruch 12, wobei das Sicherheitsmittel zum Versenden des Unterbrechungsbefehls ein einfaches Netzwerkverwaltungsprotokoll (SNMP) benützt.
Netzwerksicherheitsschutzeinrichtung nach Anspruch 12, wobei das Schutzmittel eine Firewall, ein Bandbreitenmanager, ein IDS Einbruchabwehrsystem oder ein Flow Analyzer ist.
Netzwerksicherheitsschutzeinrichtung nach Anspruch 12, wobei das Analysemittel einen Mechanismus zum Festlegen der Regeln des vom Netzwerkadministrator erlaubten Netzwerkzugangsdienstes und der Bedingungen zur Auslösung des kombinierten Netzwerkzonenschutzes umfasst.