DE102014112478A1

DE102014112478A1 - Verfahren zur Verteilung von Tasks zwischen Computersystemen, Computernetz-Infrastruktur sowie Computerprogramm-Produkt

Info

Publication number: DE102014112478A1
Application number: DE102014112478.2A
Authority: DE
Inventors: Heinz-Josef Claes
Original assignee: Fujitsu Technology Solutions Intellectual Property GmbH
Current assignee: Fujitsu Technology Solutions Intellectual Property GmbH
Priority date: 2014-06-03
Filing date: 2014-08-29
Publication date: 2015-12-03
Also published as: EP3152660A1; JP2017519298A; JP6419216B2; WO2015185505A1; US20170220391A1

Abstract

Die Erfindung betrifft ein Verfahren zur Verteilung von Tasks zwischen abgesicherten Computersystemen in einer Computernetz-Infrastruktur. Das Verfahren umfasst die folgenden Schritte: – paralleles Empfangen einer Task-Datei durch eine Mehrzahl von Vermittlungs-Computersystemen, – Aushandeln eines primären Vermittlungs-Computersystems aus der Gruppe der Vermittlungs-Computersysteme zur weiteren Verarbeitung der Task-Datei, – Übertragen von Task-Informationen aus der Task-Datei vom primären Vermittlungs-Computersystem an ein primäres Bearbeitungs-Computersystem aus einer Mehrzahl von Bearbeitungs-Computersystemen, sowie – Durchführen wenigstens einer Aktion im primären Bearbeitungs-Computersystem anhand der übertragenen Task-Informationen. Zudem halten alle aus der Gruppe der Bearbeitungs-Computersysteme vorbestimmte Netzwerk-Ports geschlossen, so dass ein Zugriff über ein Netzwerk vermittels dieser Netzwerk-Ports verhindert wird. Ferner werden eine entsprechende Computernetz-Infrastruktur sowie ein Computerprogramm-Produkt zur Durchführung eines entsprechenden Verfahrens beschrieben.

Description

Die Erfindung betrifft ein Verfahren zur Verteilung von Tasks zwischen abgesicherten Computersystemen in einer Computernetz-Infrastruktur, eine entsprechende Computernetz-Infrastruktur sowie ein Computerprogramm-Produkt zur Durchführung eines entsprechenden Verfahrens.
Verteilte Rechnernetze bzw. so genannte Computernetz-Infrastrukturen beschreiben eine Mehrzahl von Computersystemen, die über Datenverbindungen miteinander kommunizieren können. Dabei werden zum Teil vertrauliche Inhalte ausgetauscht, auf die nicht-autorisierte Personen keine Zugriffsmöglichkeit haben sollen. Insbesondere in Computernetz-Infrastrukturen, welche Server-Client-Topologien umfassen, werden vertrauliche Daten, z. B. Kundendaten oder Benutzerdaten, zwischen dem Client und dem Server ausgetauscht, wobei ein Zugriff Dritter auf diese Daten unterbunden werden muss.
Herkömmliche Sicherheitsstrategien zur Erhöhung des Datenschutzes umfassen Vorschriften (Prozesse, die eingehalten werden sollen) oder Regeln (Gebote bzw. Verbote) für dritte Personen, beispielsweise Administratoren, wodurch nur ein eingeschränkter beziehungsweise kontrollierter Zugriff auf vertrauliche Daten möglich sein soll.
Andererseits sind technische Maßnahmen an beziehungsweise in den Computersystemen vorgesehen, welche einen physischen und/oder logischen Zugriff auf Computersysteme verhindern beziehungsweise auf autorisierte Personen einschränken sollen.
Derartige Ansätze zur Verbesserung des Datenschutzes sind zur Datensicherheit zwar förderlich, haben jedoch den Nachteil, dass sie in der Regel keine zwingenden Maßnahmen darstellen, um einen Zugriff auf vertrauliche Daten zu unterbinden.
Ferner arbeiten gängige Computernetz-Infrastrukturen für den Datenaustausch beziehungsweise zur Kommunikation untereinander mit Zugangsmöglichkeiten, beispielsweise über Netzwerk, beziehungsweise Möglichkeiten der Ansprechbarkeit von Diensten in den Computersystemen, welche die Computersysteme empfindlich gegen Angriffe von außen machen. Denn zu einer Ansprechbarkeit von Diensten ist ein laufendes Programm an einem oder mehreren Netzwerk-Ports eines Computersystems erforderlich. Dieses laufende Programm stellt eine potenzielle Sicherheitslücke für Angriffe von außen über Netzwerk dar.
Dabei besteht eine Gefahr darin, dass unter Umständen ein Angreifer (Cracker), der sich Zugang zu einem Computersystem verschafft, vertrauliche Daten auf diesem Computersystem abgreifen kann und/oder durch den Angriff Zugang zu weiteren Computersystemen in der Computernetz-Infrastruktur erlangt, z.B. weil er sich über eine manipulierte Signatur als vertrauenswürdig tarnt.
Andererseits bedarf es in einer Computernetz-Infrastruktur zur Kommunikation und Verarbeitung von Informationen zwischen einzelnen Computersystemen notwendiger Kommunikationsstrukturen. Derartige Kommunikationsstrukturen sehen unter anderem eine Lastverteilung, d. h. eine Verteilung von bestimmten Aktionen oder Prozessen (Tasks) zwischen einer Mehrzahl beteiligter Computersysteme bzw. das Bestimmen eines Computersystems aus einer Gruppe von Computersystemen zur Übernahme einer Aufgabe, vor.
Die Aufgabe der vorliegenden Erfindung besteht darin, den Schutz vor Angriffen auf Computersysteme innerhalb einer Computernetz-Infrastruktur, insbesondere den unerlaubten Zugriff auf vertrauliche Daten, durch technische Maßnahmen zu verbessern und dennoch eine Verteilung von Tasks innerhalb der Computernetz-Infrastruktur vorzuschlagen, welche eine zufriedenstellende Weiterleitung von Daten innerhalb der Computernetz-Infrastruktur gewährleistet.
In einem ersten Aspekt wird diese Aufgabe durch ein Verfahren zur Verteilung von Tasks zwischen abgesicherten Computersystemen in einer Computernetz-Infrastruktur nach Anspruch 1 gelöst.
Das Verfahren umfasst die folgenden Schritte:

– paralleles Empfangen einer Task-Datei durch eine Mehrzahl von Vermittlungs-Computersystemen,
– Aushandeln eines primären Vermittlungs-Computersystems aus der Gruppe der Vermittlungs-Computersysteme zur weiteren Verarbeitung der Task-Datei,
– Übertragen von Task-Informationen aus der Task-Datei vom primären Vermittlungs-Computersystem an ein primäres Bearbeitungs-Computersystem aus einer Mehrzahl von Bearbeitungs-Computersystemen, sowie
– Durchführen wenigstens einer Aktion im primären Bearbeitungs-Computersystem anhand der übertragenen Task-Informationen,

Ein derartiges Verfahren erlaubt eine Lastverteilung derart, dass aus einer Gruppe von Vermittlungs-Computersystemen ein primäres Computersystem zur weiteren Bearbeitung einer ankommenden Task-Datei ausgewählt wird. Somit können mehrere einzelne Aufgaben auf mehrere Vermittlungs-Computersysteme aufgeteilt werden, sodass die Gesamtlast der Gruppe der Vermittlungs-Computersysteme sich nicht etwa auf ein einzelnes Computersystem konzentriert, sondern innerhalb der Gruppe der Vermittlungs-Computersysteme aufgeteilt werden kann.
Ferner hat das Verfahren den Vorteil, dass ein dediziertes Vermittlungs-Computersystem als primäres Computersystem bestimmt wird, welches automatisiert den weiteren Verfahrensablauf steuern kann. Dies schließt insbesondere eine Kommunikation mit einer Mehrzahl von Bearbeitungs-Computersystemen innerhalb der Computernetz-Infrastruktur ein.
Bei dem hier erläuterten Verfahren verhalten sich alle aus der Gruppe der Bearbeitungs-Computersysteme zudem als eingekapselte Systeme. Ein Zugriff über ein Netzwerk auf diese Computersysteme ist zumindest unter bestimmten Betriebsbedingungen (vorteilhaft dauerhaft während der Durchführung des hier erläuterten Verfahrens bzw. der obigen Verfahrensschritte) nicht oder nur deutlich erschwert möglich.
Der Begriff „vorbestimmte Netzwerk-Ports“ bedeutet, dass in sämtlichen Bearbeitungs-Computersystemen sämtliche oder nur ausgewählte sicherheitskritische Netzwerk-Ports, z.B. die für dieses Verfahren verwendeten Netzwerk-Ports, dauerhaft oder vorübergehend geschlossen sind.
Dies hat den Vorteil, dass auf den Bearbeitungs-Computersystemen keine Programme eingerichtet bzw. notwendig sind, die zum Zweck der Ansprechbarkeit bzw. des Verbindungsaufbaus von außen die entsprechenden Netzwerk-Ports abhören (sogenanntes „listening“) und eine potenzielle Sicherheitslücke (z. B. durch Buffer-Overflow) bilden. Somit bedeutet der Begriff „geschlossene Netzwerk-Ports“ in diesem Kontext, dass diese keine „listening ports“ sind, d.h. kein Verbindungsaufbau von außen zugelassen wird. Ein Dritter ist in diesem Fall nicht in der Lage, sich von außen über Netzwerk an einem entsprechenden Bearbeitungs-Computersystem zu authentifizieren oder einzuloggen, z.B. bei Unix-basierten Systemen über einen Secure-Shell-(SSH-)Daemon, oder spezielle Aktionen auf dem Bearbeitungs-Computersystem durchzuführen.
Allerdings kann für eine erste Benutzergruppe ein lokaler Zugriff auf ein jeweiliges Bearbeitungs-Computersystem eingerichtet sein (z.B. für Bearbeiter des jeweiligen Bearbeitungs-Computersystems). Für andere Dritte wird jedoch ein lokaler Zugriff auf ein entsprechendes Bearbeitungs-Computersystem verhindert.
Im Unterschied zu den Bearbeitungs-Computersystemen erlaubt das Verfahren jedoch einen Zugriff auf ein Vermittlungs-Computersystem aus der Gruppe der Vermittlungs-Computersysteme von außen. Ein jedes aus der Gruppe der Vermittlungs-Computersysteme ist dabei als "offenes" System mit wenigstens einem ansprechbaren offenen („listening“) Netzwerk-Port über Netzwerk zugänglich. Das bedeutet, dass auf einem Vermittlungs-Computersystem beispielsweise Programme laufen und/oder Applikationen vorbereitet sind, sodass ein Bearbeitungs-Computersystem auf ein Vermittlungs-Computersystem zugreifen kann und eine Verbindung zum Vermittlungs-Computersystem aufbauen kann, um entsprechende Task-Informationen aus der Task-Datei gemäß dem vorgestellten Verfahren (über eine dann aufgebaute Verbindung, „established“) von einem Vermittlungs-Computersystem abzuholen, um wenigstens eine Aktion anhand der Task-Informationen durchzuführen, oder im Vermittlungs-Computersystem Rückantworten und/oder Resultate der lokal durchgeführten Aktion abzulegen. Unter Sicherheitsaspekten ist ein solches „offenes“ Vermittlungs-Computersystem ähnlich zu bewerten wie ein traditionelles, speziell abgesichertes Computersystem.
Somit dient ein jedes Vermittlungs-Computersystem, im konkreten Fall das primäre Vermittlungs-Computersystem, als (abgesicherter, aber ansprechbarer) Vermittler für eine Kommunikation mit der Gruppe der Bearbeitungs-Computersysteme, welche jedoch selbst eingekapselt sind. Auf diese Weise ist ein vordefiniertes Verfahren zur Lastverteilung zwischen Vermittlungs-Computersystemen zur gezielten Informationsweitergabe vermittels der Gruppe der Vermittlungs-Computersysteme trotz eingekapselter Bearbeitungs-Computersysteme möglich.
In diesem Kontext sind Task-Dateien vorbereitet zur Ausführung vorbestimmter Prozesse (Tasks) in einem Bearbeitungs-Computersystem und/oder in einem (nicht näher spezifizierten) Ziel-Computersystem, welches einen vorbestimmten Task anhand der Task-Datei durchführen soll. Derartige Prozesse können z. B. sein:

– das Speichern und/oder Verarbeiten (z.B. Ergänzen) von übertragenen Daten,
– der Neustart eines Programms,
– die Anweisung zu einem physischen Zugang zum jeweiligen Computersystem,
– das Wiederherstellen von Backup-Daten oder
– ein SSH-Zugriff auf das entsprechende Computersystem.

Entsprechende Kombinationen derartiger Aktionen und Anweisungen sind natürlich denkbar. Die Besonderheit des vorliegenden Verfahrens besteht darin, dass vermittels der Task-Dateien eine Event-Steuerung eines Bearbeitungs-Computersystems oder eines nicht näher spezifizierten Ziel-Computersystems unter entsprechender Informationsweitergabe ermöglicht ist.
Eine Task-Datei unterscheidet sich grundlegend von einem reinen Kommando-Befehl an ein jeweiliges Bearbeitungs-Computersystem, weil ein Kommando-Befehl zu dessen Auswertung auf Seiten des Bearbeitungs-Computersystems ein kontinuierlich laufendes, nach außen offenes und damit angreifbares Programm notwendig macht. Ein derartiges Programm entfällt jedoch, wie bereits erläutert, beim vorliegenden Verfahren mangels eines Zugriffs über Netzwerk auf ein jeweiliges Bearbeitungs-Computersystem.
Es können jedoch Anweisungen an ein Bearbeitungs-Computersystem auf einem Vermittlungs-Computersystem vorbereitet werden und durch das Bearbeitungs-Computersystem, welches von sich aus eine Verbindung zum Vermittlungs-Computersystem herstellt, abgeholt werden. Die Anweisungen können dann z.B. lokal auf dem Bearbeitungs-Computersystem verarbeitet werden.
Der Begriff „Task-Informationen aus der Task-Datei“ soll verstanden werden als Informationen, die in der Task-Datei vorhanden (z.B. eingebettet) sind. Dies können Informationen über Anweisungen, Beschreibungen, Prozess-Daten, Signaturen, Passwörter, usw. betreffend auszuführende Aktionen bzw. Tasks sein. Die Task-Informationen können Teile aus der Task-Datei oder die gesamte Task-Datei als solche umfassen. Das bedeutet, dass als Task-Informationen Teile der Task-Datei oder auch die gesamte Task-Datei an ein Bearbeitungs-Computersystem übertragen werden können.
Zum Übertragen von Task-Informationen vom primären Vermittlungs-Computersystem auf das primäre Bearbeitungs-Computersystem kann ein Prozess angestoßen werden, welcher die ausgewählten Task-Informationen im primären Vermittlungs-Computersystem aufruft und automatisiert vom primären Vermittlungs-Computersystem auf das primäre Bearbeitungs-Computersystem überträgt. Vorteilhaft ist das automatisierte Übertragen der Task-Informationen vom primären Vermittlungs-Computersystem auf das primäre Bearbeitungs-Computersystem so ausgestaltet, dass ein Dritter von außen darauf keine Einflussmöglichkeiten hat und somit eine Gefahr für Manipulationen des primären Bearbeitungs-Computersystems über die Task-Informationen ausgeschlossen ist. Zum Beispiel können die Task-Informationen verschlüsselt sein. Eine (unterschiedliche) Verschlüsselung kann auch mehrfach auf Teile der Task-Informationen oder auf gesamte Daten-Pakete (welche Task-Informationen enthalten) angewandt werden. Im primären Bearbeitungs-Computersystem kann dann die Gültigkeit der Task-Informationen überprüft werden und eine entsprechende Aktion durchgeführt werden. Die Gültigkeit der Task-Informationen kann anhand von Signaturen überprüft werden, mit denen Daten-Pakete signiert worden sind.
Nach erfolgreicher Be- bzw. Verarbeitung der Task-Informationen im primären Bearbeitungs-Computersystem können die Task-Informationen auf das primäre Vermittlungs-Computersystem zurück übertragen werden. Danach können die Task-Informationen im Prozess weitertransportiert werden, z. B. an ein Ziel-Computersystem zur Durchführung eines Tasks im Ziel-Computersystem anhand der bearbeiteten Task-Informationen.
Vorteilhaft umfasst das Verfahren der erläuterten Art zusätzlich die folgenden Schritte:

– Erstellen eines ersten Interaktions-Paketes, in welchem die Task-Informationen enthalten sind, durch das primäre Vermittlungs-Computersystem,
– Übertragen des ersten Interaktions-Paketes vom primären Vermittlungs-Computersystem an das primäre Bearbeitungs-Computersystem,
– Extrahieren der Task-Informationen aus dem ersten Interaktions-Paket zum Durchführen der wenigstens einen Aktion im primären Bearbeitungs-Computersystem,
– Erstellen eines zweiten Interaktions-Paketes, in welchem eine Rückantwort auf das erste Interaktions-Paket enthalten ist, durch das primäre Bearbeitungs-Computersystem,
– Übertragen des zweiten Interaktions-Paketes vom primären Bearbeitungs-Computersystem zurück auf das primäre Vermittlungs-Computersystem nach Durchführen der wenigstens einen Aktion.

Ein Einpacken der Task-Informationen in ein Interaktions-Paket ermöglicht das Mitschicken weiterer Informationen, die z.B. Signaturen des primären Vermittlungs-Computersystem, Berechtigungen, Anweisungen usw. sein können. Vorteilhaft bleiben dabei die Task-Informationen der ursprünglichen Task-Datei bzw. die Task-Informationen nach Durchführen der Aktion im primären Bearbeitungs-Computersystem erhalten. So können z.B. Informationen zur Kommunikation zwischen dem primären Vermittlungs-Computersystem und dem primären Bearbeitungs-Computersystem von Task-Informationen aus der Task-Datei zur Durchführung eines Tasks, z.B. auf einem weiteren Ziel-Computersystem, unterschieden werden.
Ferner ist denkbar, die ursprüngliche Task-Datei bzw. deren Task-Informationen durch eine Signatur eines unabhängigen (hier nicht näher spezifizierten) Key-Computersystems als weitere Sicherheits-Instanz gegen Manipulationen innerhalb des primären Vermittlungs-Computersystems abzusichern. Eine derartige „Basis-Signatur“ bleibt trotz Einpackens der Task-Informationen in das Interaktions-Paket nachprüfbar erhalten und garantiert die Echtheit der Task-Informationen. Ein Auslösen einer (kriminellen) Aktion in einem Bearbeitungs-Computersystem durch ein manipuliertes Vermittlungs-Computersystem kann dadurch verhindert oder zumindest stark erschwert werden, weil die „Basis-Signatur“ eine gewisse Fälschungssicherheit bietet.
Bevorzugt umfasst bei dem Verfahren der erläuterten Art die wenigstens eine Aktion im primären Bearbeitungs-Computersystem zumindest:

– Ergänzen der Task-Informationen um weitere Daten und/oder
– Signieren der Task-Informationen mit wenigstens einem privaten Schlüssel und/oder
– Verschlüsseln der Task-Informationen mit einem öffentlichen Schlüssel eines Ziel-Computersystems.

Zum Durchführen der Aktion im primären Bearbeitungs-Computersystem können beispielsweise die Task-Informationen aus dem Interaktions-Paket, wie oben erläutert, extrahiert bzw. entpackt werden. Entscheidend bei sämtlichen Aktionen ist, dass diese lokal in einem beteiligten Bearbeitungs-Computersystem ausgeführt werden, sodass sicherheitsrelevante Passphrasen oder Schlüssel zur Bearbeitung und Durchführung der Aktionen nur lokal auf den jeweiligen Computersystemen vorliegen oder verwendet werden müssen und nicht innerhalb der Computernetz-Infrastruktur, insbesondere zwischen dem primären Vermittlungs-Computersystem und dem primären Bearbeitungs-Computersystem, ausgetauscht werden. Auch diese Tatsache erhöht die Sicherheit gegen Angriffe eines Eindringlings von außen.
Vorteilhaft umfasst das Verfahren der erläuterten Art die zusätzlichen Schritte:

– Erstellen eines Informations-Pakets durch das primäre Vermittlungs-Computersystem, wobei im Informations-Paket ebenfalls Task-Informationen aus der Tasks-Datei und/oder Informationen über die wenigstens eine vermittels der Gruppe der Bearbeitungs-Computersysteme durchzuführende Aktion zusammengefasst werden,
– Übertragen des Informations-Pakets vom primären Vermittlungs-Computersystem an alle aus der Gruppe der Bearbeitungs-Computersysteme,
– Antworten wenigstens eines Bearbeitungs-Computersystems innerhalb einer vorbestimmten oder zufälligen Zeitspanne auf das übertragene Informations-Paket mit einer Bereitschaft zur weiteren Bearbeitung,
– Bestimmen des erstantwortenden Bearbeitungs-Computersystems als primäres Bearbeitungs-Computersystem durch das Vermittlungs-Computersystem.

Die vorgenannten Maßnahmen eines Austauschs eines Informations-Paketes erfolgen im Verfahrensablauf vorteilhaft vor dem weiter oben erläuterten Übertragen von Task-Informationen an das primäre Bearbeitungs-Computersystem (vermittels des ersten Interaktions-Paketes) und dienen insbesondere zunächst der Bestimmung eines primären Bearbeitungs-Computersystems aus der Mehrzahl der in der Computernetz-Infrastruktur vorhandenen Bearbeitungs-Computersysteme. Die zweiten Task-Informationen im Informations-Paket können sich von den weiter oben erläuterten Task-Informationen (im ersten Interaktions-Paket) im Inhalt unterscheiden, überlappen oder identisch sein.
Zur Durchführung dieser Maßnahmen sind vorbestimmte Zeitpunkte bzw. Zeitspannen (sogenannte „Time-Outs“) vorgesehen zur Antwort der Bearbeitungs-Computersysteme bzw. zur Selektierung, welches Bearbeitungs-Computersystem als erstes, zu spät oder gar nicht antwortet.
Vermittels des Informations-Pakets erhalten alle Bearbeitungs-Computersysteme eine Mitteilung über die Task-Datei und/oder die anhand der Task-Datei bzw. der Task-Informationen durchzuführenden Aktionen. Auf diese Weise kann ein jedes Bearbeitungs-Computersystem entscheiden, ob es die entsprechenden Task-Informationen annehmen kann, soll oder darf bzw. die entsprechende Aktion anhand der Task-Informationen durchführen kann, soll oder darf.
Vorteilhaft wird anhand der erläuterten Maßnahmen ein einzelnes primäres Bearbeitungs-Computersystem bestimmt, welches die weitere Verarbeitung bzw. Bearbeitung der Task-Informationen und/oder die Durchführung der im Zusammenhang stehenden Aktion ausführt.
Neben einer Lastverteilung auf Seiten der Vermittlungs-Computersysteme erfolgt durch die an dieser Stelle erläuterten Maßnahmen eine Zuordnung bzw. Lastverteilung auf Seiten der Bearbeitungs-Computersysteme. Dies hat den Vorteil, dass aus einer Gruppe von Bearbeitungs-Computersystemen ein dediziertes Computersystem eine spezifische Aufgabe übernehmen kann. Dies kann vermittels des dargestellten Verfahrens automatisiert erfolgen.
Insbesondere bei einem so genannten manuellen Task, z.B. bei einer Freigabe der Task-Informationen durch einen Bearbeiter aus einer Gruppe von Bearbeitern, die einem oder mehreren Bearbeitungs-Computersystemen zugeordnet sind, kann es zur kontinuierlichen Durchführung des Verfahrens notwendig sein, die Abhängigkeit des Verfahrens von einer bestimmten Person zu vermeiden. Die erläuterten Maßnahmen erlauben somit eine gerichtete Anfrage an die Gruppe der Bearbeitungs-Computersysteme vermittels des Informations-Pakets durch das primäre Vermittlungs-Computersystem und eine nachgelagerte Auswahl und ein Bestimmen eines primären Bearbeitungs-Computersystems, welches positiv auf das Informations-Paket antwortet.
Alternativ oder ergänzend zur Bestimmung des erstantwortenden Bearbeitungs-Computersystems können auch andere Kriterien zur Bestimmung herangezogen werden. Beispielsweise ist es denkbar, eine positive Antwort eines Bearbeitungs-Computersystems mit einer Rückmeldung vorbestimmter Bearbeitungs-Informationen des entsprechenden Bearbeitungs-Computersystems zu verknüpfen. Derartige Bearbeitungs-Informationen können beispielsweise die Verfügbarkeit, Zeitpunkt, Zeitdauer, Auslastung usw. des entsprechenden Bearbeitungs-Computersystems sein.
Es ist denkbar, einzelne oder alle Bearbeitungs-Computersysteme über weitere Vermittlungs-Computersysteme an das primäre Vermittlungs-Computersystem anzubinden.
Vorteilhaft umfasst bei dem Verfahren der erläuterten Art der Schritt des Aushandelns eines primären Vermittlungs-Computersystems die folgenden Teilschritte:

– Abwarten einer vorbestimmten oder zufälligen ersten Zeitspanne durch ein Vermittlungs-Computersystem nach Empfangen der Task-Datei,
– Mitteilen einer Bereitschaft, die Bearbeitung als primäres Vermittlungs-Computersystem fortzuführen, durch das Vermittlungs-Computersystem an alle anderen Vermittlungs-Computersysteme nach Ablauf der ersten Zeitspanne,
– erneutes Abwarten einer vorbestimmten oder zufälligen zweiten Zeitspanne durch das mitteilende Vermittlungs-Computersystem,
– Validieren durch das mitteilende Vermittlungs-Computersystem nach Ablauf der zweiten Zeitspanne, dass dieses das einzige mit der Bereitschaft ist, die Bearbeitung als primäres Vermittlungs-Computersystem fortzuführen, sowie
– Bestimmen des mitteilenden Vermittlungs-Computersystems als primäres Vermittlungs-Computersystem, falls das Validieren erfolgreich war.

Die vorgenannten Maßnahmen, welche unter Umständen vollständig oder teilweise von jedem aus der Gruppe der Vermittlungs-Computersysteme durchgeführt werden, erlauben das automatisierte (und mit hoher Wahrscheinlichkeit eindeutige) Bestimmen eines Vermittlungs-Computersystems als primäres Computersystem (so genannter „Primary“) zur Weiterverteilung einer ankommenden Task-Datei.
Durch Abwarten der ersten Zeitspanne durch ein jedes Vermittlungs-Computersystem nach Empfangen der Task-Datei kann erreicht werden, dass jedes Vermittlungs-Computersystem entscheiden kann, ob es in der Funktion als Primary Task-Informationen im Kommunikationsprozess weiterleiten kann, darf oder soll. Nach Abwarten der ersten Zeitspanne, welche für jedes Vermittlungs-Computersystem individuell vorbestimmt sein kann, teilt ein Vermittlungs-Computersystem allen anderen Vermittlungs-Computersystemen mit, dass es die Bearbeitung als Primary fortführen wird. Wenn ein anderes Vermittlungs-Computersystem diese Mitteilung bekommt, verzichtet es selbst darauf, die Rolle des Primary zu übernehmen.
Nach einer zweiten Zeitspanne, welche beispielsweise größer als die erste Zeitspanne sein kann, nimmt ein Vermittlungs-Computersystem, welches sich selbst als potentieller Primary gegenüber den anderen deklariert hat, wiederum Verbindung zu den anderen Vermittlungs-Computersystemen auf, um zu validieren, dass es der einzige Primary ist.
Vorteilhaft werden die Teilschritte des Aushandelns eines primären Vermittlungs-Computersystems erneut durchgeführt (unter Umständen mit zufälliger Wartezeit zu Beginn), falls das Validieren durch das mitteilende Vermittlungs-Computersystem, dass dieses das einzige mit der Bereitschaft ist, die Bearbeitung als primäres Vermittlungs-Computersystem fortzuführen, nicht erfolgreich war.
Eine Validierung kann beispielsweise nicht erfolgreich sein, wenn mehrere Vermittlungs-Computersysteme, unter Umständen gleichzeitig oder zeitlich überlappend, eine Bereitschaft signalisieren, jeweils als primäres System die Bearbeitung fortzusetzen. Aufgrund von Parallelität beim Aushandeln könnten zwei oder mehr Vermittlungs-Computersysteme die Rolle des Primary einnehmen wollen. Nachdem jedoch gemäß dem erläuterten Verfahren eine Lastverteilung, insbesondere eine Verteilung von Task-Dateien zwischen den beteiligten Vermittlungs-Computersystemen erzielt werden soll, kann und darf es bevorzugt auch nur ein einziges primäres Vermittlungs-Computersystem geben.
Vorteilhaft wird beim Verfahren der erläuterten Art der Schritt des Aushandelns eines primären Vermittlungs-Computersystems nach jedem parallelen Empfangen einer Task-Datei durch die Gruppe der Vermittlungs-Computersysteme erneut durchgeführt. Alternativ kann das Aushandeln des Primary gespeichert werden. Dann würde jedoch bevorzugt nach jedem Empfangen einer Task-Datei das primäre Vermittlungs-Computersystem erneut überprüft. Falls die Überprüfung eine Nichterreichbarkeit des primären Vermittlungs-Computersystems ergibt, wird ein Aushandeln gemäß den oben erläuterten Teilschritten erneut durchgeführt.
Bevorzugt wird bei dem Verfahren der erläuterten Art der Schritt des Aushandelns eines primären Vermittlungs-Computersystems nach jeder Veränderung der Gruppe der Vermittlungs-Computersysteme erneut durchgeführt. Eine Veränderung kann beispielsweise ein Hinzufügen oder Wegnehmen von Vermittlungs-Computersystemen im Cluster der Computernetz-Infrastruktur sein.
Sämtliche beteiligten Computersysteme der Computernetz-Infrastruktur, d.h. Vermittlungs-Computersysteme und Bearbeitungs-Computersysteme, sind über Netzwerk-Pfade in ihrer Kommunikation verbunden. Bei ungünstigem Ausfall eines oder mehrerer Netzwerk-Pfade kann es in der Computernetz-Infrastruktur zum so genannten „Split-Brain-Problem“ kommen. Dieses Problem tritt auf, wenn Netzwerk-Pfade derart unterbrochen sind, dass zwei Teilgruppen beteiligter Computersysteme entstehen, die nicht mehr miteinander kommunizieren können. Dann weiß die eine Gruppe nichts von der anderen und umgekehrt, weil die Kommunikation gespalten ist.
Bei Auftreten eines derartigen Split-Brain-Problems kann es beim Aushandeln und Bestimmen innerhalb der Gruppe der Vermittlungs-Computersysteme bzw. innerhalb der Gruppe der Bearbeitungs-Computersysteme (welche ggf. in Teilgruppen gesplittet sind) zu mehreren primären Computersystemen kommen. Auf diese Weise würden redundante Daten-Pakete durch mehrere Primarys erstellt, übertragen und gegebenenfalls bearbeitet.
Redundante Daten-Pakete fallen im Prozess jedoch spätestens bei Ankunft identischer Pakete an einem Ziel auf. Somit können redundante Daten-Pakete verworfen werden, sodass ein Split-Brain-Problem zwar zur Redundanz, aber zur Ausfilterung redundanter Informationen innerhalb des Verfahrens führt. Im ungünstigsten Fall führt eine Ver- bzw. Bearbeitung redundanter Pakete innerhalb eines Bearbeitungs-Computersystems zu divergierendem Verhalten. Dies kann über ein Monitoring einer Identifikation von Task-Paketen berücksichtigt werden, sodass ggf. Problemlösungsmaßnahmen ergriffen werden können.
Ergänzend können redundante Netzwerk-Pfade innerhalb der Computernetz-Infrastruktur eingesetzt werden, um eine Wahrscheinlichkeit eines Split-Brain-Problems zu minimieren.
Vorteilhaft umfasst das Verfahren der erläuterten Art die Schritte:

– Überwachen des primären Vermittlungs-Computersystems durch die sekundären Vermittlungs-Computersysteme auf Erreichbarkeit während der Durchführung des Verfahrens, sowie
– Abbruch des Verfahrens und erneutes Aushandeln eines primären Vermittlungs-Computersystems, falls das Überwachen des primären Vermittlungs-Computersystems ergeben hat, dass dieses nicht oder nicht mehr erreichbar ist.

Auf diese Weise kann erkannt werden, dass ein primäres Vermittlungs-Computersystem die Funktion des Primary nicht oder nicht mehr ausführen kann. Dies führt zum erneuten Aushandeln eines Primary gemäß den oben erläuterten Verfahrensschritten.
Alternativ oder ergänzend zum Überwachen des primären Vermittlungs-Computersystems wäre es auch denkbar, ein gegenseitiges Überwachen einer Mehrzahl oder aller Vermittlungs-Computersysteme gegenseitig durchzuführen. Dies hätte den Vorteil, dass bei einer plötzlichen Nichterreichbarkeit einer Mehrzahl von Vermittlungs-Computersystemen, welche durch andere Vermittlungs-Computersysteme erkannt wird, der Hinweis auf ein Split-Brain-Problem – wie oben erläutert – vorliegen könnte. Dies könnte beispielsweise über ein Monitoring im Hinblick auf mögliche Redundanz weitergeleiteter Daten-Pakete bzw. Task-Dateien mitgeteilt und protokolliert werden.
Bevorzugt wird bei dem Verfahren der erläuterten Art zusätzlich der Schritt durchgeführt:

– Übertragen einer On-Hold-Anweisung vom primären Vermittlungs-Computersystem an alle nicht-primären Bearbeitungs-Computersysteme zur Signalisierung, dass diese in einen Warte-Betrieb gehen sollen. Auf diese Weise wird den nicht-primären Bearbeitungs-Computersystemen signalisiert, dass diese in Bezug auf entsprechende Task-Informationen (zunächst) keine weitere Aktion durchführen sollen.

Vorteilhaft umfasst das Verfahren der erläuterten Art zusätzlich die Schritte:

– Übertragen einer Bearbeitung-Beendet-Anweisung vom primären Vermittlungs-Computersystem an alle aus der Gruppe der Bearbeitungs-Computersysteme, nachdem die wenigstens eine Aktion im primären Bearbeitungs-Computersystem durchgeführt wurde,
– Bereinigen und/oder Entfernen sämtlicher Daten, die zur und während der Durchführung des Verfahrens in den Bearbeitungs-Computersystemen generiert wurden.

Diese Maßnahmen haben einen zweifachen Vorteil. Ein erster Vorteil besteht darin, dass nach Durchführen der Aktion im primären Bearbeitungs-Computersystem sämtliche Daten auf beteiligten Bearbeitungs-Computersystemen, die mit der Weiterleitung der Task-Informationen (oder auch sonstiger Informations- oder Interaktions-Pakete wie oben erläutert) gemäß dem erläuterten Verfahren in Zusammenhang stehen, bereinigt werden können. Ein zweiter Vorteil besteht darin, dass alle Bearbeitungs-Computersysteme (sowohl das primäre als auch die nicht-primären) erkennen, dass die Bearbeitung der Task-Informationen bzw. der Aktion erfolgreich durchgeführt wurde.
Eine Bearbeitung-Beendet-Anweisung kann alternativ auch nach einem Rückübertragen der bearbeiteten Task-Informationen vom primären Bearbeitungs-Computersystem auf das primäre Vermittlungs-Computersystem oder zu sonstigen vorbestimmten Zeitpunkten gesendet werden.
Bevorzugt umfasst das Übertragen der Task-Informationen und/oder sonstiger Daten-Pakete und/oder Anweisungen von einem Vermittlungs-Computersystem auf ein Bearbeitungs-Computersystem die folgenden Schritte:

– Senden einer vorbestimmten Sequenz an Paket-Daten vom Vermittlungs-Computersystem an das Bearbeitungs-Computersystem, wobei die vorbestimmten Netzwerk-Ports des Bearbeitungs-Computersystems geschlossen sind und wobei die Sequenz in einer vorbestimmten Reihenfolge einen oder mehrere Netzwerk-Ports des Bearbeitungs-Computersystems anspricht,
– Überprüfen der gesendeten Sequenz auf Übereinstimmung mit einer vordefinierten Sequenz im Bearbeitungs-Computersystem, sowie
– Veranlassen des Übertragens der Task-Informationen und/oder sonstiger Daten-Pakete und/oder Anweisungen durch das Bearbeitungs-Computersystem, falls die Überprüfung der gesendeten Sequenz positiv ist.

Die hier aufgeführten zusätzlichen Verfahrensschritte haben den Vorteil, dass grundsätzlich die (für das Verfahren maßgeblichen) Netzwerk-Ports der beteiligten Bearbeitungs-Computersysteme – in oben erläutertem Sinne – geschlossen sind und einen Verbindungsaufbau zum entsprechenden Bearbeitungs-Computersystem von außen blockieren bzw. einen manipulativen Zugriff deutlich erschweren. Das Veranlassen des Übertragens der Task-Informationen und/oder sonstiger Daten-Pakete und/oder Anweisungen vermittels des empfangenden Bearbeitungs-Computersystems kann ein automatisierter Prozess zum Übertragen der jeweiligen Task-Informationen auf das Bearbeitungs-Computersystem (zum Beispiel über den Unix-basierten Befehl „Secure Copy“, scp) sein. Gemäß dem Prozess baut das Bearbeitungs-Computersystem seinerseits eine Verbindung zum Vermittlungs-Computersystem auf und holt die Task-Informationen oder sonstige Daten-Pakete ab. Dieser Prozess kann gestartet werden, nachdem eine vorbestimmte Sequenz an Paket-Daten an das Bearbeitungs-Computersystem gesendet wurde, falls diese Sequenz mit einer vordefinierten Sequenz übereinstimmt. Die IP-Adresse des Sequenz-sendenden Computersystems kann dabei statisch im Bearbeitungs-Computersystem vorgegeben oder dynamisch aus den dem Kernel des Bearbeitungs-Computersystems bekannten Quell-IP-Adressen möglicher Sequenz-sendender Computersysteme entnommen werden.
Ein derartiges Verfahren ist unter dem Begriff „Port-Knocking“ (englisch: to knock-anklopfen) bekannt. Die vorgenannten Schritte können beispielsweise über einen sogenannten Knock-Daemon, also ein Programm, welches Port-Knocking ermöglicht, durchgeführt werden. Der Knock-Daemon sitzt an den Netzwerk-Ports des Bearbeitungs-Computersystems, überprüft die gesendete Sequenz von Paket-Daten und veranlasst gegebenenfalls (z.B. durch Starten eines Skriptes/Programmes) ein gesteuertes Übertragen der entsprechenden Task-Informationen von einem Vermittlungs-Computersystem auf das Bearbeitungs-Computersystem, wenn die gesendete Sequenz mit einer vordefinierten Sequenz übereinstimmt. Der oben beschriebene Ablauf ermöglicht somit das Übertragen/Kopieren der Task-Informationen von einem Vermittlungs-Computersystem auf das entsprechende Bearbeitungs-Computersystem, ohne dass das Bearbeitungs-Computersystem hierfür einen offenen Port mit einem ansprechbaren Programm vorhalten muss.
Alternativ oder ergänzend zum oben erläuterten Port-Knocking ist auch denkbar, dass das beteiligte Bearbeitungs-Computersystem von sich aus in regelmäßigen Abständen beim Vermittlungs-Computersystem anfragt (Polling), ob auszutauschende Task-Informationen vorliegen. Ist dies der Fall, kann eine entsprechende Übertragung der Task-Informationen vom Vermittlungs-Computersystem an das Bearbeitungs-Computersystem initiiert werden. Es ist auch denkbar, dass das Bearbeitungs-Computersystem ein Polling durchführt, wenn zum Beispiel eine bestimmte Zeitspanne überschritten wird, in der kein Port-Knocking durchgeführt worden ist. Probleme beim Port-Knocking könnten so erkannt werden und die Funktionalität bleibt erhalten.
Durch die erläuterten Maßnahmen ist eine Kommunikation zwischen abgesicherten Computersystemen innerhalb der Computernetz-Infrastruktur via der Gruppe der Vermittlungs-Computersysteme möglich. Auf diese Weise bilden die Gruppe der Vermittlungs-Computersysteme sowie die Gruppe der Bearbeitungs-Computersysteme gemäß dem hier erläuterten Verfahren eine Art sichere „Kommunikations-Middleware“, wobei eine Lastverteilung zwischen beteiligten Computersystemen durchgeführt wird.
Die obige Aufgabe wird in einem weiteren Aspekt durch eine Computernetz-Infrastruktur gelöst, die zumindest umfasst:

– eine Mehrzahl von Vermittlungs-Computersystemen, sowie
– eine Mehrzahl von Bearbeitungs-Computersystemen, wobei die Computersysteme eingerichtet sind, Daten-Pakete und/oder Anweisungen von wenigstens einem aus der Gruppe der Vermittlungs-Computersysteme an wenigstens eines aus der Gruppe der Bearbeitungs-Computersysteme zu übertragen zur Verarbeitung der Daten-Pakete und/oder Anweisungen, wobei die Gruppe der Vermittlungs-Computersysteme und/oder die Gruppe der Bearbeitungs-Computersysteme jeweils eingerichtet sind, ein primäres Vermittlungs-Computersystem und/oder ein primäres Bearbeitungs-Computersystem zur Kommunikation auszuhandeln und/oder zu bestimmen, und wobei alle aus der Gruppe der Bearbeitungs-Computersysteme jeweils eine Zugriffssteuereinheit aufweisen, die eingerichtet ist, vorbestimmte Netzwerk-Ports zu schließen, sodass ein Zugriff über ein Netzwerk vermittels dieser Netzwerk-Ports verhindert ist.

Vorteilhaft ist eine derartige Computernetz-Infrastruktur eingerichtet, ein Verfahren der oben erläuterten Art durchzuführen.
Auch durch eine Computernetz-Infrastruktur dieser Art ergeben sich die im Zusammenhang mit dem oben erläuterten Verfahren genannten Vorteile analog. Sämtliche vorteilhaften Maßnahmen, die im Zusammenhang mit dem obigen Verfahren erläutert wurden, finden in entsprechenden strukturellen Merkmalen der Computernetz-Infrastruktur Anwendung und umgekehrt.
In einem weiteren Aspekt wird die obige Aufgabe durch ein Computerprogramm-Produkt gelöst, welches eingerichtet ist, auf einem oder mehreren Computersystemen ausgeführt zu werden und welches bei Ausführung ein Verfahren der oben erläuterten Art durchführt.
Weitere vorteilhafte Ausführungen sind in den Unteransprüchen sowie in der nachfolgenden Figurenbeschreibung offenbart.
Die Erfindung wird anhand einer Zeichnung im Folgenden näher erläutert.
Die Figur (1) zeigt eine schematisierte Darstellung zumindest eines Teils einer Computernetz-Infrastruktur, die eingerichtet ist, eine Lastverteilung zwischen beteiligten Computersystemen durchzuführen.
Die Computernetz-Infrastruktur umfasst im gezeigten Ausführungsbeispiel eine Gruppe von Vermittlungs-Computersystemen, nämlich einen Task-Server 1 und einen Task-Server 2. Ferner umfasst die Computernetz-Infrastruktur eine Gruppe von Bearbeitungs-Computersystemen, nämlich einen Admin-Client 1, einen Admin-Client 2 sowie einen Admin-Client 3.
Die Bearbeitungs-Computersysteme Admin-Client 1 bis 3 verhalten sich als eingekapselte Systeme mit geschlossenen Netzwerk-Ports. Dies ist durch eine schraffierte Ein-/Ausgangsebene dieser Computersysteme in der Zeichnung schematisiert dargestellt. Das bedeutet, dass an den Netzwerk-Ports der Admin-Clients 1 bis 3 keine laufenden Programme oder Dienste notwendig sind für eine Ansprechbarkeit über Netzwerk von außen. Vielmehr ist ein Zugriff auf die Admin-Clients 1 bis 3 über Netzwerk aufgrund der jeweils geschlossenen Netzwerk-Ports nicht möglich.
Allerdings kann eine jeweilige Benutzergruppe lokal auf den Admin-Client 1 bzw. 2 oder 3 zugreifen, um dort lokal Aktionen zu initiieren.
Im Unterschied zu den Bearbeitungs-Computersystemen, den Admin-Client 1 bis 3, verhalten sich die Vermittlungs-Computersysteme, also die Task-Server 1 und 2, als "offene" Systeme. Die Task-Server 1 und 2 haben somit zumindest einen Netzwerk-Port geöffnet, wobei ein Dienst bzw. eine Applikation auf den Task-Servern 1 und 2 läuft, um eine Ansprechbarkeit über Netzwerk von außen zu ermöglichen. Beispielsweise kann eine Netzwerk-Verbindung bei diesen Computersystemen über VPN („Virtual Private Network“) oder SSH („Secure Shell“) eingeschränkt sein, sodass nur vorbestimmte, verschlüsselte Netzwerk-Verbindungen mit dedizierten Computersystemen erlaubt sind. Die Task-Server 1 und 2 dienen als Vermittler zur Kommunikation und Weiterleitung von Daten-Paketen und/oder Anweisungen innerhalb der Computernetz-Infrastruktur.
Zur Kommunikation zwischen den ansprechbaren Vermittlungs-Computersystemen, Task-Server 1 und 2, und den eingekapselten Bearbeitungs-Computersystemen, Admin-Client 1 bis 3, mit deren jeweils geschlossenen Netzwerk-Ports ist ein vorbestimmter Prozess eingerichtet. Daten-Pakete und/oder Anweisungen können von einem Admin-Client 1 bis 3 unmittelbar an einen oder mehrere der Task-Server 1 und 2 übertragen und dort abgelegt werden, denn die Task-Server 1 und 2 sind über Netzwerk direkt ansprechbar.
In umgekehrter Richtung, d.h. von Task-Server 1 oder 2 aus in Richtung der Admin-Clients 1 bis 3, wird zunächst ein Port-Knocking-Prozess durchgeführt, wobei eine vorbestimmte Sequenz an Paket-Daten von einem der Task-Server 1 oder 2 an einen oder mehrere der Admin-Clients 1 bis 3 gesendet wird, wobei die Netzwerk-Ports des entsprechenden Bearbeitungs-Computersystems geschlossen sind und wobei die Sequenz in einer vorbestimmten Reihenfolge einen oder mehrere Netzwerk-Ports des entsprechenden Bearbeitungs-Computersystems anspricht. Anschließend erfolgt eine Überprüfung der gesendeten Sequenz im entsprechenden Bearbeitungs-Computersystem auf Übereinstimmung mit einer vordefinierten Sequenz sowie ein Veranlassen eines Übertragens eines entsprechenden Daten-Pakets und/oder einer Anweisung durch das Bearbeitungs-Computersystem, falls die Überprüfung der gesendeten Sequenz positiv ist.
Insbesondere startet das entsprechende Bearbeitungs-Computersystem einen Prozess, der ein zu übertragendes Daten-Paket vom entsprechenden Vermittlungs-Computersystem (Task-Server 1 oder 2) abholt. Ein derartiger Prozess kann beispielsweise über den Unix-basierten Befehl "Secure Copy" (SCP) erfolgen. Auf diese Weise können die beteiligten Computersysteme trotz eingekapselter Bearbeitungs-Computersysteme innerhalb der Computernetz-Infrastruktur miteinander kommunizieren, Daten-Pakete weiterleiten und/oder Anweisungen erteilen.
Nachfolgend soll anhand mehrerer Verfahrensschritte, welche in der Zeichnung als Nummerierungen aufgeführt sind, eine Lastverteilung bzw. Auswahl dedizierter Computersysteme zur Bearbeitung von Task-Dateien bzw. Task-Informationen aus Task-Dateien erläutert werden.
In einem Schritt 1 wird eine Task-Datei von einer nicht näher bestimmten Stelle jeweils an den Task-Server 1 und den Task-Server 2 übertragen und dort abgelegt. Die Task-Datei kann beispielsweise eine Anweisung für einen Prozess (Task) auf einem der Bearbeitungs-Computersysteme und/oder auf einem nicht näher spezifizierten Ziel-Computersystem enthalten. Ein derartiger Prozess kann z.B. sein:

– das Speichern, Ergänzen und/oder Verarbeiten von übertragenen Daten,
– der Neustart eines Programms,
– die Anweisung zu einem physischen Zugang zum entsprechenden Computersystem,
– das Wiederherstellen von Backup-Daten,
– das Einfügen weiterer Daten und/oder Informationen in eine übertragene Datei oder
– ein SSH-Zugriff auf das entsprechende Computersystem.

Entsprechende Kombinationen derartige Aktionen und Anweisungen sind natürlich denkbar.
Nach Übertragen der Task-Datei in Schritt 1 auf die jeweiligen Task-Server 1 und 2 führen diese in Schritt 2 ein Aushandeln durch, welcher der beiden Task-Server 1 oder 2 als primäres Vermittlungs-Computersystem die weitere Bearbeitung der Task-Datei durchführt. Hierzu können beide Task-Server 1 oder 2 vorbestimmte Zeiträume (Time-Outs) abwarten, nach denen beispielsweise Task-Server 1 dem Task-Server 2 mitteilt, dass Task-Server 1 als primäres Vermittlungs-Computersystem (sogenannter Primary) die weitere Bearbeitung übernehmen wird. Nach Eingang einer entsprechenden Mitteilung an Task-Server 2 wird dieser entsprechend akzeptieren und bestätigen, dass Task-Server 1 die Rolle des Primary übernimmt.
Falls beispielsweise aufgrund eines zeitlichen Überlappens beide Vermittlungs-Computersysteme Task-Server 1 und Task-Server 2 die Rolle des Primary übernehmen möchten, so wird dies in einer gegenseitigen Validierung erkannt und ein Aushandeln eines eindeutigen, einzigen Primary erneut durchgeführt.
Auf diese Weise kann zwischen den Vermittlungs-Computersystemen, Task-Server 1 und Task-Server 2, eine Lastverteilung bzw. Auswahl eines Computersystems zur weiteren Bearbeitung der eingegangenen Task-Datei ausgeführt werden.
Gemäß des Ausführungsbeispiels aus der Zeichnung übernimmt Task-Server 1 die Rolle des Primary zur weiteren Bearbeitung der eingegangenen Task-Datei. Task-Server 2 kann die Task-Datei entweder verwerfen oder für eine Rückfallposition im Falle des Ausfalls des Task-Servers 1 die Task-Datei behalten. Ferner kann Task-Server 2 in einen Warte-Modus gehen.
Zur weiteren Bearbeitung der Task-Datei, insbesondere zur Weiterleitung von Task-Informationen aus der Task-Datei oder der Task-Datei selbst innerhalb der Computernetz-Infrastruktur, erzeugt Task-Server 1 ein Informations-Paket, wobei im Informations-Paket Task-Informationen aus der Task-Datei und/oder Informationen über wenigstens eine vermittels der Gruppe der Bearbeitungs-Computersysteme durchzuführende Aktion zusammengefasst sind. Insbesondere können derartige Informationen auf Vorgaben innerhalb der Task-Datei, insbesondere vorhandenen bzw. notwendigen Signaturen, vorhandenen Time-Outs, vorhandenen Angaben über die weitere Bearbeitung der Task-Datei, usw. basieren.
Innerhalb des Informations-Pakets kann auch eine Information über die Weiterleitung an sämtliche aus der Gruppe der Bearbeitungs-Computersysteme, d. h. sowohl an Admin-Client 1 als auch an Admin-Client 2 als auch an Admin-Client 3, gemäß einer Weiterleitung 1:n festgelegt sein.
Hierzu ruft Task-Server 1 vorbestimmte Routing-Informationen auf, die in der Task-Datei hinterlegt sind, wobei die Routing-Informationen eine vorbestimmte Kommunikationspfad-Struktur zwischen dem Task-Server 1 und den Bearbeitungs-Computersystemen, Admin-Client 1 bis 3, definieren.
In Schritt 3 werden diese Routing-Informationen für eine 1:n Weiterleitung an die Bearbeitungs-Computersysteme verarbeitet.
In Schritt 4 führt Task-Server 1 einen Port-Knocking-Prozess – wie oben erläutert – an sämtliche Bearbeitungs-Computersysteme, Admin-Client 1 bis 3, durch. Daraufhin holen alle Admin-Clients 1 bis 3 das erstellte Informations-Paket vom Task-Server 1 ab.
In Schritt 5, welcher einen maßgeblichen Verfahrensschritt darstellt, wird bestimmt, welches der Bearbeitungs-Computersysteme Admin-Client 1 bis 3 die weitere Bearbeitung von weiteren Task-Informationen anhand einer Auswertung des übertragenen Informations-Pakets vornimmt. Ein derartiges primäres Bearbeitungs-Computersystem kann beispielsweise anhand vorgegebener Time-Outs innerhalb des Informations-Pakets und/oder anhand der Tatsache bestimmt werden, welches der Bearbeitungs-Computersysteme als erstes auf das übertragene und ausgewertete Informations-Paket positiv antwortet. Im Falle der in der Zeichnung dargestellten Konstellation legt Admin-Client 2 fest, dass er die weitere Bearbeitung durchführen will.
In Schritt 6 berechnet der Admin-Client 2 hierzu ein Routing zum Task-Server 1 und transportiert in Schritt 7 eine positive Rückantwort auf das gesendete Informations-Paket zum Task-Server 1.
In Schritt 8 wird die positive Rückantwort im Task-Server 1 registriert und der Admin-Client 2 als primäres Bearbeitungs-Computersystem festgelegt. Somit ist auch auf Seiten der Bearbeitungs-Computersysteme eine Aufgabenverteilung bzw. eine Auswahl eines konkreten Bearbeitungs-Computersystems zur direkten Kommunikation mit dem primären Vermittlungs-Computersystem Task-Server 1 vollzogen.
Ferner erstellt Task-Server 1 in Schritt 8 ein Interaktions-Paket, in welchem wiederum Task-Informationen der ursprünglichen Task-Datei enthalten sind. Das Interaktions-Paket kann neben diesen Task-Informationen noch weitere Informationen (z. B. Signaturen, Berechtigungen, Anweisungen usw.) zwischen dem Task-Server 1 und dem Admin-Client 2 enthalten, wobei die Informationen der ursprünglichen Task-Datei erhalten bleiben. Alternativ kann im Interaktions-Paket auch die ursprüngliche Task-Datei selbst als Task-Informationen enthalten sein.
Ferner ist denkbar, die Task-Informationen bzw. die ursprüngliche Task-Datei selbst durch eine Signatur eines unabhängigen (hier nicht näher spezifizierten) Key-Computersystems abzusichern. Eine derartige „Basis-Signatur“ bleibt trotz Einpackens der Task-Informationen bzw. der Task-Datei in das Interaktions-Paket nachprüfbar erhalten und garantiert die Echtheit der Task-Informationen bzw. der Task-Datei. Eine solche „Basis-Signatur“ bietet eine gewisse Fälschungssicherheit.
Parallel dazu erzeugt der Task-Server 1 in Schritt 8a sogenannte On-Hold-Anweisungen für Admin-Client 1 und Admin-Client 3, welche die nicht-primären Bearbeitungs-Computersysteme bilden. Derartige On-Hold-Anweisungen signalisieren dem Admin-Client 1 und dem Admin-Client 3, dass diese in einen Warte-Betrieb gehen sollen.
In Schritt 9 wird im Task-Server 1 ein Routing zu dem jeweiligen Bearbeitungs-Computersystemen Admin-Client 1 bis 3 berechnet. In Schritt 10 erfolgt ein Abholen des Interaktions-Pakets vom Task-Server 1 durch den Admin-Client 2 nach einem entsprechenden Port-Knocking-Prozess durch Task-Server 1. In Schritt 10a erfolgt ein Abholen der On-Hold-Anweisungen durch die Admin-Clients 1 und 3 vom Task-Server 1 nach analogem Durchführen eines Port-Knocking-Prozesses durch Task-Server 1 gegenüber diesen Computersystemen.
In Schritt 11, welcher ebenfalls ein maßgeblicher Schritt innerhalb des Verfahrens ist, extrahiert bzw. entpackt der Admin-Client 2 als primäres Bearbeitungs-Computersystem aus dem übertragenen Interaktions-Paket die Task-Informationen und ermittelt anhand dessen eine Aktion, die lokal auf dem Admin-Client 2 zu erfolgen hat. Diese Aktion betrifft z.B. das Einfügen weiterer Daten in die Task-Informationen und/oder ein Signieren der Task-Informationen mit wenigstens einem privaten Schlüssel lokal innerhalb des Admin-Clients 2 und/oder ein Verschlüsseln der Task-Informationen mit einem öffentlichen Schlüssel eines nicht näher spezifizierten Ziel-Computersystems. Gemäß der Konstellation aus der Zeichnung kann beispielsweise eine Signierung der Task-Informationen durch eine private Signatur eines Bearbeiters im Admin-Client 2 erfolgen.
Die weiteren Bearbeitungs-Computersysteme Admin-Client 1 und Admin-Client 3 verarbeiten in Schritt 11a die abgeholte On-Hold-Anweisung und schalten in einen Warte-Betrieb ("on hold") für eine Aufforderung zur weiteren Aktion seitens des Task-Servers 1.
In Schritt 12 berechnet der Admin-Client 2 ein Routing der bearbeiteten Task-Informationen zurück zum Task-Server 1, der ihm als primäres Vermittlungs-Computersystem mitgeteilt worden ist, z.B. vermittels des zuvor gesendeten Informations-Paketes. Ferner kann Admin-Client 2 die bearbeiteten Task-Informationen nach Durchführen der entsprechenden Aktion in ein zweites Interaktions-Paket einpacken, welches beispielsweise eine Rückinformation für den Task-Server 1 enthält.
Anschließend erfolgt in Schritt 13 ein Rücktransport des auf diese Weise erstellten, zweiten Interaktions-Pakets vom Admin-Client 2 zurück auf den Task-Server 1.
Task-Server 1 erstellt in Schritt 14 eine Bearbeitung-Beendet-Anweisung für alle Admin-Clients 1 bis 3.
Ferner werden in Schritt 14a die ergänzten und bearbeiteten Task-Informationen im Task-Server 1 aktualisiert, z. B. eine Information hinzugefügt, dass ein vorbestimmter Schritt bearbeitet worden ist. Anschließend kann im Task-Server 1 z.B. aus den rücktransportierten Task-Informationen wiederum die Task-Datei ergänzt bzw. erneut erstellt werden.
In Schritt 15 berechnet der Task-Server 1 schließlich ein Routing der Bearbeitung-Beendet-Anweisung hin zu den Admin-Clients 1 bis 3.
In Schritt 15a wird ferner ein Routing für einen Weitertransport der mit den bearbeiteten Task-Informationen aktualisierten Task-Datei hin zu einem nicht spezifizierten Ziel-Computersystem zur Durchführung eines entsprechenden Tasks im Ziel-Computersystem berechnet.
In Schritt 16 erfolgt ein Port-Knocking-Prozess vom Task-Server 1 gegenüber allen Admin-Clients 1 bis 3, wobei diese jeweils die Bearbeitung-Beendet-Anweisung vom Task-Server 1 abholen. Durch die Bearbeitung-Beendet-Anweisung erhalten alle Admin-Clients 1 bis 3 eine Information darüber, dass der Vorgang der Bearbeitung der Task-Informationen beendet ist.
In Schritt 16a erfolgt parallel dazu der Weitertransport der ergänzten Task-Datei in Richtung des nicht näher spezifizierten Ziel-Computersystems, sodass die Task-Datei schließlich außerhalb der in der Zeichnung dargestellten Konstellation weiterverarbeitet werden kann.
In einem letzten Schritt 17 wird in jedem Admin-Client 1 bis 3, ausgelöst durch die Bearbeitung-Beendet-Anweisung, eine Datenbereinigung der im Zusammenhang mit dem durchgeführten Verfahren angefallenen Daten durchgeführt und gegebenenfalls ausgeführte Jobs und Aktionen entfernt. Der Schritt 17 kann an eine Zeitvorgabe gekoppelt sein. Das bedeutet, dass Schritt 17 automatisch durchgeführt wird, falls eine vorbestimmte Zeitdauer überschritten worden ist, unabhängig davon, welcher Schritt des Verfahrens gerade durchgeführt wird oder wurde. Ferner kann auch ein Benutzer eines jeden Admin-Clients 1 bis 3 bei Durchführen des Schrittes 17 über das Ende der durchgeführten Aktion informiert werden.
Damit ist das Verfahren beendet.
Ergänzend könnte ein weiterer Schritt 18 (nicht dargestellt) vorgesehen sein, in dem von Task-Server 1 an Task-Server 2 die Information weitergegeben wird, dass die Aktion erfolgreich abgeschlossen worden ist. Falls dieses nicht innerhalb einer entsprechenden Zeitspanne erfolgt, kann Task-Server 2 versuchen, die Rolle des Primary (nun für sich) erneut auszuhandeln, und wiederholt ggf. die Kommunikation gemäß dem erläuterten Verfahren mit den Admin-Clients 1 bis 3. Optional kann ebenfalls eine Meldung von Task-Server 1 an Task-Server 2 erfolgen, wenn die vorgegebene Zeitspanne für die Aktion überschritten wurde, die Aktion aber durch die Admin-Clients nicht (erfolgreich) beendet wurde. Hierdurch erhält der Task-Server 2 die Information, dass die Aktion „formal“ beendet ist. Schritt 18 kann als letzter Schritt nach Schritt 17 oder alternativ auch schon vor Schritt 17 im Verfahren implementiert sein.
Vorteilhaft wird ein jedes Daten-Paket, welches gemäß dem erläuterten Verfahren zwischen den beteiligen Computersystemen ausgetauscht wird, in wenigstens einem beteiligten Computersystem mit einer Kennung versehen. Alternativ kann auch eine bereits bestehende Kennung eines entsprechenden Daten-Pakets ergänzt werden. Dies hat den Vorteil, dass ein Daten-Paket auch über mehrere Instanzen der Kommunikationspfad-Struktur hinweg nachverfolgbar ist (sogenanntes „tracing“). Ein Ergänzen einer Kennung kann beispielsweise ein Versehen mit einem eindeutigen Zusatz sein.
Der Verlauf der Daten-Pakete entlang der Kommunikationspfad-Struktur kann über ein Monitoring anhand der Kennung, ggf. in Verbindung mit vorhandenen Signaturen (fälschungssicher), überwacht werden. Ferner kann eine Verweildauer der Daten-Pakete auf einem entlang der Kommunikationspfad-Struktur beteiligten Computersystem überwacht werden. Zudem können sämtliche Verfahrensschritte durch das Monitoring protokolliert werden.
Anhand der Kennung eines Daten-Pakets, gegebenenfalls in Verbindung mit hinterlegten Routing-Informationen und/oder Signaturen, kann festgestellt werden, ob die Kommunikationspfad-Struktur eingehalten wird und welche Computersysteme im Routing erfolgreich erreicht werden können und dürfen. Beispielsweise kann anhand der Kennung überprüft werden, ob Task-Informationen erfolgreich vom primären Vermittlungs-Computersystem, Task-Server 1, an das primäre Bearbeitungs-Computersystem, Admin-Client 2, gemäß der dargestellten Konstellation übertragen worden sind.
Eine Verweildauer kann z. B. innerhalb der Task-Datei definiert sein. Dabei kann festgelegt werden, dass nach Ablauf der Verweildauer die Task-Datei oder Task-Informationen aus der Task-Datei nicht weitertransportiert werden dürfen oder können oder gegebenenfalls unbrauchbar werden. Dies erhöht die Datensicherheit bzw. das Konfliktmanagement innerhalb der Computernetz-Infrastruktur.
Gegebenenfalls können Alarmmeldungen erzeugt oder sonstige Maßnahmen vermittels des Monitorings ergriffen werden.
Das Monitoring, welches im Ausführungsbeispiel nicht näher dargestellt ist, kann entweder durch die beteiligten Computersysteme selbst realisiert sein oder durch weitere, nicht näher spezifizierte Computersysteme ausgeführt werden. Ferner ist denkbar und vorteilhaft, das Monitoring über eine separate Netzwerkpfad-Struktur durchzuführen.
Die dargestellte Konstellation einer Computernetz-Infrastruktur ist lediglich beispielhaft gewählt. Dabei wurden der Einfachheit halber lediglich maßgeblich beteiligte Komponenten dargestellt.
Bezugszeichenliste

Task-Server 1: Vermittlungs-Computersystem
Task-Server 2: Vermittlungs-Computersystem
Admin-Client 1: Bearbeitungs-Computersystem
Admin-Client 2: Bearbeitungs-Computersystem
Admin-Client 3: Bearbeitungs-Computersystem
1 bis 17: Verfahrensschritte

Claims

Verfahren zur Verteilung von Tasks zwischen abgesicherten Computersystemen in einer Computernetz-Infrastruktur, umfassend die folgenden Schritte: – paralleles Empfangen einer Task-Datei durch eine Mehrzahl von Vermittlungs-Computersystemen, – Aushandeln eines primären Vermittlungs-Computersystems aus der Gruppe der Vermittlungs-Computersysteme zur weiteren Verarbeitung der Task-Datei, – Übertragen von Task-Informationen aus der Task-Datei vom primären Vermittlungs-Computersystem an ein primäres Bearbeitungs-Computersystem aus einer Mehrzahl von Bearbeitungs-Computersystemen, sowie – Durchführen wenigstens einer Aktion im primären Bearbeitungs-Computersystem anhand der übertragenen Task-Informationen, wobei alle aus der Gruppe der Bearbeitungs-Computersysteme vorbestimmte Netzwerk-Ports geschlossen halten, so dass ein Zugriff über ein Netzwerk vermittels dieser Netzwerk-Ports verhindert wird.
Verfahren nach Anspruch 1, zusätzlich umfassend die Schritte: – Erstellen eines ersten Interaktions-Paketes, in welchem die Task-Informationen enthalten sind, durch das primäre Vermittlungs-Computersystem, – Übertragen des ersten Interaktions-Paketes vom primären Vermittlungs-Computersystem an das primäre Bearbeitungs-Computersystem, – Extrahieren der Task-Informationen aus dem ersten Interaktions-Paket zum Durchführen der wenigstens einen Aktion im primären Bearbeitungs-Computersystem, – Erstellen eines zweiten Interaktions-Paketes, in welchem eine Rückantwort auf das erste Interaktions-Paket enthalten ist, durch das primäre Bearbeitungs-Computersystem, – Übertragen des zweiten Interaktions-Paketes vom primären Bearbeitungs-Computersystem zurück auf das primäre Vermittlungs-Computersystem nach Durchführen der wenigstens einen Aktion.
Verfahren nach Anspruch 1 oder 2, wobei die wenigstens eine Aktion zumindest umfasst: – Ergänzen der Task-Informationen um weitere Daten und/oder – Signieren der Task-Informationen mit wenigstens einem privaten Schlüssel und/oder – Verschlüsseln der Task-Informationen mit einem öffentlichen Schlüssel eines Ziel-Computersystems.
Verfahren nach einem der Ansprüche 1 bis 3, umfassend die zusätzlichen Schritte: – Erstellen eines Informations-Paketes durch das primäre Vermittlungs-Computersystem, wobei im Informations-Paket ebenfalls Task-Informationen aus der Task-Datei und/oder Informationen über die wenigstens eine vermittels der Gruppe der Bearbeitungs-Computersysteme durchzuführende Aktion zusammengefasst werden, – Übertragen des Informations-Paketes vom primären Vermittlungs-Computersystem an alle aus der Gruppe der Bearbeitungs-Computersysteme, – Antworten wenigstens eines Bearbeitungs-Computersystems innerhalb einer vorbestimmten oder zufälligen Zeitspanne auf das übertragene Informations-Paket mit einer Bereitschaft zur weiteren Bearbeitung, – Bestimmen des erstantwortenden Bearbeitungs-Computersystems als primäres Bearbeitungs-Computersystem durch das Vermittlungs-Computersystem.
Verfahren nach einem der Ansprüche 1 bis 4, wobei der Schritt des Aushandelns eines primären Vermittlungs-Computersystems die folgenden Teilschritte umfasst: – Abwarten einer vorbestimmten oder zufälligen ersten Zeitspanne durch ein Vermittlungs-Computersystem nach Empfangen der Task-Datei, – Mitteilen einer Bereitschaft, die Bearbeitung als primäres Vermittlungs-Computersystem fortzuführen, durch das Vermittlungs-Computersystem an alle anderen Vermittlungs-Computersysteme nach Ablauf der ersten Zeitspanne, – erneutes Abwarten einer vorbestimmten oder zufälligen zweiten Zeitspanne durch das mitteilende Vermittlungs-Computersystem, – Validieren durch das mitteilende Vermittlungs-Computersystem nach Ablauf der zweiten Zeitspanne, dass dieses das einzige mit der Bereitschaft ist, die Bearbeitung als primäres Vermittlungs-Computersystem fortzuführen, sowie – Bestimmen des mitteilenden Vermittlungs-Computersystems als primäres Vermittlungs-Computersystem, falls das Validieren erfolgreich war.
Verfahren nach Anspruch 5, wobei die Teilschritte des Aushandelns eines primären Vermittlungs-Computersystems erneut durchgeführt werden, falls das Validieren durch das mitteilende Vermittlungs-Computersystem, dass dieses das einzige mit der Bereitschaft ist, die Bearbeitung als primäres Vermittlungs-Computersystem fortzuführen, nicht erfolgreich war.
Verfahren nach einem der Ansprüche 1 bis 6, wobei der Schritt des Aushandelns eines primären Vermittlungs-Computersystems nach jedem parallelen Empfangen einer Task-Datei durch die Gruppe der Vermittlungs-Computersysteme erneut durchgeführt wird.
Verfahren nach einem der Ansprüche 1 bis 7, wobei der Schritt des Aushandelns eines primären Vermittlungs-Computersystems nach jeder Veränderung der Gruppe der Vermittlungs-Computersysteme erneut durchgeführt wird.
Verfahren nach einem der Ansprüche 1 bis 8, zusätzlich umfassend die Schritte: – Überwachen des primären Vermittlungs-Computersystems durch die sekundären Vermittlungs-Computersysteme auf Erreichbarkeit während der Durchführung des Verfahrens, sowie – Abbruch des Verfahrens und erneutes Aushandeln eines primären Vermittlungs-Computersystems, falls das Überwachen des primären Vermittlungs-Computersystems ergeben hat, dass dieses nicht oder nicht mehr erreichbar ist.
Verfahren nach einem der Ansprüche 1 bis 9, zusätzlich umfassend den Schritt: – Übertragen einer On-hold-Anweisung vom primären Vermittlungs-Computersystem an alle nicht primären Bearbeitungs-Computersysteme zur Signalisierung, dass diese in einen Warte-Betrieb gehen sollen.
Verfahren nach einem der Ansprüche 1 bis 10, zusätzlich umfassend die Schritte: – Übertragen einer Bearbeitung-Beendet-Anweisung vom primären Vermittlungs-Computersystem an alle aus der Gruppe der Bearbeitungs-Computersysteme, nachdem die wenigstens eine Aktion im primären Bearbeitungs-Computersystem durchgeführt wurde, – Bereinigen und/oder Entfernen sämtlicher Daten, die zur und während der Durchführung des Verfahrens in den Bearbeitungs-Computersystemen generiert wurden.
Verfahren nach einem der Ansprüche 1 bis 11, wobei das Übertragen der Task-Informationen und/oder sonstiger Daten-Pakete und/oder Anweisungen von einem Vermittlungs-Computersystem auf ein Bearbeitungs-Computersystem die folgenden Schritte umfasst: – Senden einer vorbestimmten Sequenz an Paket-Daten vom Vermittlungs-Computersystem an das Bearbeitungs-Computersystem, wobei die vorbestimmten Netzwerk-Ports des Bearbeitungs-Computersystems geschlossen sind und wobei die Sequenz in einer vorbestimmten Reihenfolge einen oder mehrere Netzwerk-Ports des Bearbeitungs-Computersystems anspricht, – Überprüfen der gesendeten Sequenz auf Übereinstimmung mit einer vordefinierten Sequenz im Bearbeitungs-Computersystem, sowie – Veranlassen des Übertragens der Task-Informationen und/oder sonstiger Daten-Pakete und/oder Anweisungen durch das Bearbeitungs-Computersystem, falls die Überprüfung der gesendeten Sequenz positiv ist.
Computernetz-Infrastruktur zumindest umfassend: – eine Mehrzahl von Vermittlungs-Computersystemen, sowie – eine Mehrzahl von Bearbeitungs-Computersystemen, wobei die Computersysteme eingerichtet sind, Daten-Pakete und/oder Anweisungen von wenigstens einem aus der Gruppe der Vermittlungs-Computersysteme an wenigstens eines aus der Gruppe der Bearbeitungs-Computersysteme zu übertragen zur Verarbeitung der Daten-Pakete und/oder Anweisungen, wobei die Gruppe der Vermittlungs-Computersysteme und/oder die Gruppe der Bearbeitungs-Computersysteme jeweils eingerichtet sind, ein primäres Vermittlungs-Computersystem und/oder ein primäres Bearbeitungs-Computersystem zur Kommunikation auszuhandeln und/oder zu bestimmen, und wobei alle aus der Gruppe der Bearbeitungs-Computersysteme jeweils eine Zugriffssteuereinheit aufweisen, die eingerichtet ist, vorbestimmte Netzwerk-Ports zu schließen, so dass ein Zugriff über ein Netzwerk vermittels dieser Netzwerk-Ports verhindert ist.
Computernetz-Infrastruktur nach Anspruch 13, welche eingerichtet ist, ein Verfahren nach einem der Ansprüche 1 bis 12 durchzuführen.
Computerprogramm-Produkt, welches eingerichtet ist, auf einem oder mehreren Computersystemen ausgeführt zu werden und welches bei seiner Ausführung ein Verfahren nach einem der Ansprüche 1 bis 12 durchführt.