-
Die Erfindung betrifft ein Verfahren zur Datenübertragung zwischen mindestens einem ersten Netzwerk und wenigstens einem zweiten Netzwerk.
-
Zur sicheren Kommunikation zwischen zwei oder mehreren Netzwerken, insbesondere einem sicherheitskritischen und einem offenen Netzwerk, wie z.B. einem industriellen Steuerungsnetzwerk (engl. Industrial Control Network oder Operational Network) und einem klassischen IT-Netzwerk, können beispielsweise Einwegkommunikationseinheiten, wie z.B. Datendioden, eingesetzt werden, um eine unidirektionale Datenübertragung zu ermöglichen. Eine Datendiode mit Feedbackkanal, auch als bidirektionaler Network Guard oder Security Gateway bezeichnet, ermöglicht einen sicheren Datentransfer zwischen zwei Informationsbereichen mit unterschiedlichen Sicherheitsstufen. Ein Network Guard ist in der Regel eine Kombination aus Hardware und Software die eine - beispielsweise im Vergleich zu bekannten Firewalls - restriktivere Datenübertragung zwischen Netzen ermöglicht:
- Ein bidirektionaler Network Guard ist in der Regel derart aufgebaut, zwei voneinander getrennte unidirektionale Datenströme jeweils mittels einer Datendiode zu realisieren, wobei die Datenströme in entgegengesetzte Richtung fließen. Dies erlaubt einen Datenaustausch in beide Richtungen, wobei für jede Richtung bzw. Transferstrecke jeweils die Einwegfunktion gewährleistet ist. Beispielsweise können mit einem bidirektionalen Network Guard Daten aus einem Netzwerk mit hoher Sicherheitsanforderung in ein offenes Netzwerk mit geringer Sicherheitsanforderung bzw. vom Netzwerk mit geringer Sicherheitsanforderung an ein Netzwerk mit hoher Sicherheitsanforderung übermittelt werden.
-
Bei einem Datentransfer vom Netzwerk mit geringer Sicherheitsanforderung in das Netzwerk mit hoher Sicherheitsanforderung ist in der Regel eine zusätzliche Prüfung bzw. Validierung notwendig, um die Integrität und/oder Sicherheit des Netzwerks mit hoher Sicherheitsanforderung und/oder die Netzwerkverfügbarkeit zu gewährleisten.
-
Eine Data Capture Unit (DCU, www.siemens.com/dcu) repräsentiert einen rückwirkungsfreien Netzwerk-Tap, über den sich kosteneffizient unidirektionale Datentransfers realisieren lassen. Über die Tap-Anschlüsse der DCU können Nachrichten rückwirkungsfrei abgegriffen und dadurch unidirektionale Übertragungsstrecken eines Network Guards realisiert werden.
-
In
EP 19163812 ist bereits ein bidirektionales Netzwerkprotokoll vorgeschlagen worden, welches einen Network Guard auf Basis von zwei getrennten unidirektionalen Übertragungsstrecken realisiert.
-
Es ist Aufgabe der vorliegenden Erfindung, für einen Datenaustausch zwischen zwei oder mehreren Netzwerken eine Datenübertragung von dem einen in das andere Netzwerk flexibler gegenüber dem eingangs genannten Stand der Technik auszugestalten.
-
Die Aufgabe wird durch die in den unabhängigen Ansprüchen beschriebenen Merkmale gelöst. In den abhängigen Ansprüchen sind vorteilhafte Weiterbildungen der Erfindung beansprucht.
-
Die Erfindung beansprucht ein Verfahren zur Datenübertragung zwischen mindestens einem ersten Netzwerk und wenigstens einem zweiten Netzwerk, wobei
a) für zumindest eine Datenübertragung zwischen dem mindestens einem ersten Netzwerk und dem wenigstens einem zweiten Netzwerk zumindest eine Verbindung zwischen dem ersten Netzwerk und dem zweiten Netzwerk aufgebaut wird und ein Datum oder Daten über eine zwischen den genannten Netzwerken angeordneten Ressourcenzuteilungseinheit geleitet werden, wobei
b) die Ressourcenzuteilungseinheit für den Aufbau der zumindest einen Verbindung zumindest eine mit dem zweiten Netzwerk koppelbare Netzzugangsressource, beispielsweise ein Netzwerkkarte/-adapter für WLAN und/oder Ethernet, physikalischen Schnittstellen/Steckplätze, serielle Schnittstelle, CPU etc., und eine der Netzzugangsressource vorgeordnete Einwegkommunikationseinheit zur Vorgabe einer rückwirkungsfreien Datenübertragungsrichtung ausschließlich zuteilt.
-
Die Einwegkommunikationseinheit kann beispielsweise mittels einer optischen Datendiode oder alternativ durch einen passiven Netzwerktap einer DCU (z.B. Data Capture Unit, www.siemens.com/dcu) ausgestaltet sein.
-
Mit anderen Worten ausgedrückt, kann eine oder mehrere Verbindung(en) von einem ersten Netzwerk von möglichen mehrerer ersten Netzwerken in ein oder mehrere zweite Netzwerke aufgebaut werden (d.h. eine 1 zu m Beziehung). Außerdem kann es eine oder mehrere Verbindung(en) von einem zweiten Netzwerk von möglichen mehreren zweiten Netzwerken in ein oder mehrere erste Netzwerke aufgebaut werden (d.h. eine n zu 1 Beziehung). Theoretisch sind n erste und m zweite Netzwerke denkbar, die über die aufgebauten Verbindungen in eine n zu m Beziehung treten können. Bei einem Einsatz einer DCU sind vier Ports für den Einsatz von Verbindungen zwischen Netzwerken vorgesehen. Vorzugsweise weisen die 1 bis n möglichen ersten Netzwerke eine zu erfüllende Sicherheitsanforderung auf, wobei die 1 bis m möglichen zweiten Netzwerke eine zu den ersten Netzwerken unterschiedliche zu erfüllende Sicherheitsanforderung aufweisen. In der Regel weisen die ersten Netzwerke eine höhere Sicherheitsanforderung auf als die zweiten Netzwerke. Verbindung zwischen zwei Netzwerken mit gleicher Sicherheitsanforderung sind auch denkbar. Dadurch, dass die zumindest eine Verbindung über eine Einwegkommunikationseinheit z.B. ein Netzwerktap, das als Datendiode ausgestaltet sein kann, aufgebaut wird, wird die Datenübertragungsrichtung vorgegeben. D.h. die Datenübertragung kann je nach Anordnung und Zuteilung der Einwegkommunikationseinheit durch die Ressourcenzuteilungseinheit, entweder von ersten zum zweiten Netzwerk oder vom zweiten zum ersten Netzwerk unidirektional und somit rückwirkungsfrei gerichtet sein. Das Netzwerktap kann in die oben erwähnte DCU integriert sein.
-
Das Verfahren ist vorzugsweise computerimplementiert. Unter „computerimplementiert“ kann im Zusammenhang mit der Erfindung eine Implementierung des Verfahrens verstanden werden, bei dem insbesondere ein Prozessor mindestens einen Verfahrensschritt ausführt.
-
Eine Weiterbildung der Erfindung sieht vor, dass das mindestens eine erste Netzwerk eine erste Sicherheitsanforderung erfüllt und das wenigstens eine zweite Netzwerk eine im Vergleich zur ersten Sicherheitsanforderung andere zweite Sicherheitsanforderung erfüllt.
-
Eine Weiterbildung der Erfindung sieht vor, dass eine virtuelle Maschine für die Datenübertragung zwischen den genannten Netzwerken bereitgestellt wird, welche aus den in der Einwegkommunikationseinheit empfangenen Daten Nutzdaten rekonstruiert, wobei die Nutzdaten weitergeleitet werden.
-
Eine Virtuelle Maschine, abgekürzt VM, bedeutet eine software-technische Kapselung eines Rechnersystems innerhalb eines lauffähigen Rechnersystems. Die abstrahierende Schicht zwischen einem realem oder Host- (Gastgeber-) Rechnersystem, auf dem die virtuelle Maschine ausgeführt wird, und der virtuellen Maschine wird Hypervisor oder Virtual Machine Monitor genannt. Ihre Implementierung erfolgt rein hardwarebasiert, rein softwarebasiert oder durch eine Kombination aus beidem. Der Hypervisor erlaubt in der Regel den Betrieb mehrerer virtueller Maschinen gleichzeitig auf einem physischen Rechnersystem.
-
Eine Weiterbildung der Erfindung sieht vor, dass eine Validierungseinheit (VE) bereitgestellt wird, welche der virtuellen Maschine nachgeordnet wird/ist, wobei die Nutzdaten anhand einer vorgegebenen Regel beispielsweise auf Integrität, Authentizität, Signatur, etc. in der Validierungseinheit validiert und bei positiver Validierung weitergeleitet werden.
-
Eine Weiterbildung der Erfindung sieht vor, dass eine Datenschleuse bereitgestellt wird, welche der Validierungseinheit nachgeordnet wird/ist, wobei die Datenschleuse bei negativer Validierung die Weiterleitung der Nutzdaten unterbindet und gegebenenfalls die Nutzdaten zwischenspeichert.
-
Eine Weiterbildung der Erfindung sieht vor, dass die Datenschleuse wahlweise entweder eine Nutzdatenübertragung von der virtuellen Maschine zu ihr oder eine Nutzdatenübertragung von ihr zur zuteilten Netzwerkzugangsressource zulässt.
-
Ein weiterer Aspekt der Erfindung ist eine Übertragungsvorrichtung zur Datenübertragung zwischen mindestens einem ersten Netzwerk und wenigstens einem zweiten Netzwerk, aufweisend:
- a) mindestens eine Kommunikationseinheit, die dazu ausgelegt ist, für zumindest eine Datenübertragung zwischen dem mindestens einem ersten Netzwerk und dem wenigstens einem zweiten Netzwerk zumindest eine Verbindung zwischen dem ersten Netzwerk und dem zweiten Netzwerk aufgebaut wird und ein Datum oder Daten über eine zwischen den genannten Netzwerken angeordneten Ressourcenzuteilungseinheit geleitet werden, und aufweisend
- b) die Ressourcenzuteilungseinheit für den Aufbau der zumindest einen Verbindung, welche dazu ausgelegt ist, zumindest eine mit dem zweiten Netzwerk koppelbare Netzzugangsressource und eine der Netzzugangsressource vorgeordnete Einwegkommunikationseinheit zur Vorgabe einer rückwirkungsfreien Datenübertragungsrichtung ausschließlich zuzuteilen.
-
Eine Weiterbildung der Erfindung sieht vor, dass die Netzzugangsressource zur seriellen Datenübertragung ausgelegt ist.
-
Eine Eigenschaft des Verfahrens und der Übertragungsvorrichtung ist die exklusive bzw. ausschließliche Zuweisung von Netzzugangsressourcen durch die Ressourcenzuteilungseinheit an eine virtuelle Maschine. So sind die Netzzugangsressourcen - welche bidirektionale Kommunikation erlauben - exklusiv der jeweilen virtuellen Maschine zugewiesen. Auch für den Fall, dass es einem Angreifer gelingt, aus dem zweiten Netzwerk heraus die virtuelle Maschine (abgekürzt: VM) zu kontrollieren, kann er damit nicht direkt auf Ressourcen aus dem ersten Netzwerk zugreifen, da keine eingehende (weder unidirektionale noch bidirektionale) Verbindung in das erste Netzwerk gegeben ist. Ein Angreifer ist in diesem Fall in der virtuellen Maschine „gefangen“.
-
Die Erfindung ermöglicht insgesamt eine wenig aufwendige Realisierung eines bidirektionalen Gateways durch eine Kombination von Einwegkommunikationseinheiten für rückwirkungsfreie unidirektionale Übertragungs- bzw. Transferstrecken bzw. - verbindungen und Virtualisierung für eine sichere und effiziente technische Umsetzung von Steuerfunktionen auf nur einer Hardwareplattform.
-
Es kann die Data Capture Unit (DCU) als Hardwareplattform eingesetzt werden, wobei jeder VM-Instanz neben einer Netzwerkzugangssressource auch Ressourcen wie dedizierte CPU Kerne exklusiv zugewiesen werden können.
-
In Summe zeichnen sich die gezeigten Ausführungsvarianten aus durch:
- - Sichere Netzwerkanbindung durch eingehende und ausgehende Transferstrecken bzw. Verbindungen, wobei zumindest Teilstrecken von diesen jeweils über unidirektionale Kopplung mittels Einwegkommunikationseinheit realisiert sind.
- - Effiziente technische Realisierungsmöglichkeiten durch Verwendung von Taps anstelle klassischer Dioden und Einsatz von Virtualisierung zur Realisierung von Routing-, Zuteilungs- und ggf. Prüffunktionen.
-
Eine Einheit bzw. Komponente, insbesondere eine Kommunikationseinheit bzw. Netzwerkkomponente, kann als eine Hardware-Komponente ausgebildet sein. Eine Komponente kann einen Prozessor umfassen.
-
Bei einem Prozessor kann es sich insbesondere um einen Hauptprozessor (engl. Central Processing Unit, CPU), einen Mikroprozessor oder einen Mikrokontroller, beispielsweise eine anwendungsspezifische integrierte Schaltung oder einen digitalen Signalprozessor, möglicherweise in Kombination mit einer Speichereinheit zum Speichern von Programmbefehlen, etc. handeln. Bei einem Prozessor kann es sich beispielsweise auch um einen IC (integrierter Schaltkreis, engl. Integrated Circuit) oder um ein Multi-Chip-Modul handeln, insbesondere einen FPGA (engl. Field Programmable Gate Array) oder einen ASIC (anwendungsspezifische integrierte Schaltung, engl. Application-Specific Integrated Circuit), ein SoC (System on Chip) einen Grafikprozessor GPU (Graphics Processing Unit), einen Prozessor zur Auswertung eines neuronalen Netzes wie beispielsweise eine TPU (Tensor Processing Unit) oder einen DSP (Digitaler Signalprozessor, engl. Digital Signal Processor) handeln. Der Prozessor kann eine oder mehrere Rechenkerne (multi-core) aufweisen. Auch kann unter einem Prozessor ein virtualisierter Prozessor oder eine Soft-CPU verstanden werden. Es kann sich beispielsweise auch um einen programmierbaren Prozessor handeln, der mit Konfigurationsschritten zur Ausführung des genannten erfindungsgemäßen Verfahrens ausgerüstet wird oder mit Konfigurationsschritten derart konfiguriert ist, dass der programmierbare Prozessor die erfindungsgemäßen Merkmale des Verfahrens oder anderer Aspekte und Teilaspekte der Erfindung implementiert. Der Prozessor kann einen Tamper-Schutz zum Schutz vor physikalischen Manipulationen aufweisen, z.B. Tamper-Sensoren zur Detektion physikalischer Angriffe.
-
Des Weiteren betrifft die Erfindung ein Computerprogrammprodukt, das direkt in einen programmierbaren Computer ladbar ist, umfassend Programmcodeteile, die dazu geeignet sind, die Schritte eines erfindungsgemäßen computerimplementierten Verfahrens durchzuführen.
-
Ein Computerprogrammprodukt, wie zum Beispiel ein Computerprogramm-Mittel, kann beispielsweise als Speichermedium oder Datenträger, wie zum Beispiel als Speicherkarte, USB-Stick, CD-ROM, DVD oder auch in Form einer herunterladbaren Datei von einem Server in einem Netzwerk bereitgestellt oder geliefert werden.
-
Die Vorrichtungen, Einrichtungen, Einheiten bzw. Geräte, Module und Computerprogramm(produkte) können entsprechend der Weiterbildungen/Ausführungsformen des vorgenannten Verfahrens und deren Weiterbildungen/Ausführungsformen und umgekehrt ausgebildet sein.
-
Ausführungsbeispiele des erfindungsgemäßen Verfahrens und der Übertragungsvorrichtung sind in den Zeichnungen beispielhaft dargestellt und werden anhand der nachfolgenden Beschreibung näher erläutert. Es zeigen:
- 1 eine schematische Darstellung einer erfindungsgemäßen Übertragungsvorrichtung, die zur Datenübertragung zwischen zwei oder mehreren Netzwerken geeignet ist.
- 2 eine schematische Darstellung einer weiteren Ausführungsform der erfindungsgemäßen Übertragungsvorrichtung;
-
1 zeigt eine Ausführungsform der erfindungsgemäßen Übertragungsvorrichtung, die zur Datenübertragung zwischen zwei oder mehreren Netzwerken geeignet ist.
-
Über eine erste mit einer gestrichelten Linie gekennzeichneten Übertragungs- bzw. Transferstrecke bzw. -verbindung können ein Datum oder mehrere Daten aus einem ersten z.B. NW1 von möglichen mehreren ersten Netzwerken NW1, NW2 bis NWn, das vorzugsweise einer hohe Sicherheitsanforderung nachkommt z.B. ein Anlagennetz (z.B. mit Anlagenkomponenten C) in ein zweites Netzwerk z.B. NWB von möglichen mehreren zweiten Netzwerken NWA, NWB bis NWZ, das vorzugsweise eine gegenüber dem ersten Netzwerk niedrigere Sicherheitsanforderung erfüllt z.B. ein offenes Netzwerk (Monitoringnetzwerk mit einer Monitoringeinheit z.B. M), übertragen werden. Umgekehrt erfolgt ein Datentransfer von einem Datum oder von mehreren Daten aus einem der möglichen zweiten Netzwerke z.B. NWB in eines der möglichen ersten Netzwerke z.B. NW1 über eine zweite mit einer durchgezogenen Linie gekennzeichneten Übertragungsstrecke.
-
Es sind jeweils mehrere solche Übertragungsstrecken denkbar. Eine Übertragungsstrecke wird im Beispiel von einem Proxy z.B. Psec des ersten Netzwerkes über eine Netzzugangsressource NW IF z.B. eine Netzwerkkarte für Ethernet und/oder WLAN oder eine serielle Schnittstelle und über ein Netzwerktap einer Übertragungsvorrichtung NG, auch als Network Guard bezeichnet, zu einer Ressourcenzuteilungseinheit H, auch Hypervisor genannt, geführt. Von der Ressourcenzuteilungseinheit wird die Übertragungsstrecke weiter über eine Netzzugangsressource NW_IF zu einem Proxy z.B. Pop des zweiten Netzwerkes geführt. Umgekehrt kann eine Übertragungsstrecke vom Proxy Pop über die genannten Einheiten bzw. Komponenten zu Proxy Psec geführt werden. Hierbei werden das Datum bzw. die Daten unidirektional über die Übertragungsstrecken bzw. -pfade geleitet.
-
Der Network Guard realisiert und kontrolliert die unidirektionalen Übertragungspfade zwischen einem ersten und einem zweiten Netzwerk. Dabei umfasst der Network Guard folgende Einheiten/Komponenten, die hardware-, firmware- und/oder softwaremäßig ausgestaltet sein können:
- a. Netzwerktap NWTap (mind.) zwei rückwirkungsfreie Netzwerktaps, die eine Kommunikation bzw. Datenübertragung auf angeschlossenen Datenverbindungen nur lesen aber nicht schreiben/ändern können.
- b. Netzwerkzugangseinheit NW IF bzw. -Interface, wobei das ersten Netzwerk-Interface (bidirektional) mit dem Proxy Psec aus dem ersten Netzwerk verbunden ist.
- c. Eine weitere Netzwerkzugangseinheit NW IF, wobei das zweite Netzwerk-Interface (bidirektional) mit dem Proxy Pop aus dem zweiten Netzwerk verbunden ist.
- d. Eine Virtual Maschine VM eine erste virtuelle Maschine, über welche ein eingehender oder ausgehender Datentransfer je nach Datenübertragungsrichtung (unidirektional) geregelt wird. Die virtuelle Maschine VM kann aus den aufgezeichneten Rohdaten - wie unter Proxy Psec bzw. Pop nachstehend beschrieben - die eigentlichen Nutzdaten rekonstruieren. Im vorliegenden Beispiel wird in diesem Schritt eine transferierte Datei rekonstruiert. Eingehende Netzwerkpakete des Protokolls werden erkannt und weiterverarbeitet. Eine vorteilhafte erfindungsgemäße Ausprägung sieht vor, dass Pakete, die nicht dem Protokoll entsprechen, erkannt werden (diese können Hinweise auf mögliche Angriffe geben, auf die entsprechend reagiert werden muss - etwa über Alarme und nachfolgende Aktionen im Rahmen eines Intrusion Detection und/oder Prevention Verfahrens)
- e. Hypervisor H ein Hypervisor, welcher die Ressourcenverwaltung auf dem Network Guard regelt. Wie nachstehend beschrieben, werden Netzwerk-Interfaces und ggf. auch CPU(-Kerne) an die virtuellen Maschinen durch den Hypervisor exklusive bzw. ausschließlich zugeteilt.
-
Der Proxy Psec ist eine Systemkomponente, welche ausgehende Datentransfers aus dem ersten Netzwerk initiiert und eingehende Datentransfers empfängt und weiterverarbeitet bzw. weiterleitet. Die Komponente verfügt in der Regel über einen dedizierten Netzwerkport, welcher exklusiv mit dem Network Guard, wie in den Figuren gezeigt, verbunden ist. Nachdem der Netzwerktap nicht als Kommunikationspartner auftreten kann (da rein passiv und rückwirkungsfrei), ist die Transferstrecke zwischen Proxy Psec und Netzwerktap strikt unidirektional ausgelegt, das über eine Hardwareeigenschaft sichergestellt werden kann. Alternativ zum Netzwerktap kann auch eine optische Datendiode eingesetzt werden, um Datum/ Daten rein unidirektional zu übertragen. Für die Datenübertragung kann ein unidirektionales Protokoll wie z.B. UDP oder das in der eingangs erwähnten Patentanmeldung
EP 19163812 beschriebene Protokoll verwendet werden. Die Kommunikation des Proxy Psec wird über den Netwerktap mitgelesen (intercepted) und rückwirkungsfrei aufgezeichnet. Diese „Rohdaten“ werden anschließend an die virtuelle Maschine VM weitergegeben. Durch das Funktionsprinzip des Netzwerktaps ist diese Teilstrecke strikt unidirektional und rückwirkungsfrei realisiert. Die eigentlichen Nutzdaten werden demzufolge in ein Network Guard Protokoll eingebettet. So kann hierüber z.B. ein Dateitransfer erfolgen. Der Proxy Pop ist Systemkomponente, welche analog wie der Proxy Psec für eingehende Datentransfers agieren kann und demnach Datentransfer in das zweite Netzwerk initiiert und ausgehende Datentransfers empfängt und weiterverarbeitet bzw. weiterleitet. Die Komponente ist analog zum Proxy Psec aufgesetzt, d.h. verfügt über eine entsprechende dedizierte Anbindung an den Network Guard. Der Proxy Pop kann die übertragenen Daten von der virtuellen Maschine VM abfragen. Dies kann push- oder auch pull-basiert erfolgen. Diese Teilstrecke ist in der Regel bidirektional realisiert. Die wesentlichen Schutzziele für industrielle Anlagen, im Beispiel eines der ersten Netzwerke, sind in der Regel die Verfügbarkeit und die Integrität der Anlage (korrektes, definiertes Systemverhalten). Im Falle einer Anbindung an ein offenes Netzwerk, im Beispiel eines der zweiten Netzwerke, bietet eine strikt unidirektional realisierte ausgehende Verbindung ein hohes Maß an Sicherheit, welches mit dem Niveau einer physikalischen Netztrennung vergleichbar ist. Ein unidirektionaler ausgehender Datentransfer (in der
1 die gestrichelte Verbindung) kann für sich alleine damit meist dauerhaft aufrechterhalten werden.
-
Die genannten Schutzziele sind insbesondere durch die eingehende Verbindung (in der 1 die durchgezogene Transferstrecke) einem Risiko ausgesetzt. Wie im Falle von Application Level Firewalls, gilt es auch hier, eingehende Transfers genauer zu überwachen, d.h. nur eingeschränkt (z.B. in Bezug auf Datentypen und -inhalte von Transfers und zeitliche Verfügbarkeit) zu ermöglichen.
-
Es findet eine Datenübertragung zwischen mindestens einem ersten Netzwerk NW1 bzw. NW2 und wenigstens einem zweiten Netzwerk NWA bzw. NWB statt, wobei
- a) für zumindest eine Datenübertragung zwischen dem mindestens einem ersten Netzwerk und dem wenigstens einem zweiten Netzwerk zumindest eine Verbindung zwischen dem ersten Netzwerk und dem zweiten Netzwerk aufgebaut wird (siehe vor allem die gestrichelte Transferstrecke) und ein Datum oder Daten über eine zwischen den genannten Netzwerken angeordneten Ressourcenzuteilungseinheit H geleitet werden, wobei
- b) die Ressourcenzuteilungseinheit H für den Aufbau der zumindest einen Verbindung zumindest eine mit dem zweiten Netzwerk koppelbare Netzzugangsressource NWA_IF zur Vorgabe einer rückwirkungsfreien Datenübertragungsrichtung ausschließlich zuteilt.
-
2 zeigt eine Ausführungsvariante, die diese Anforderungen aufgreift und eingehende Verbindungen zusätzlich kontrolliert. Hierzu wird der Systemaufbau aus 1 um folgende Einheiten bzw. Komponenten erweitert:
- - Validierungseinheit VE: diese übernimmt die Aufgaben der Filterung eingehender Datentransfers. Datentransfers, welche über die Virtual Machine VM eingehen, werden an die Validierungseinheit VE über host-interne Kommunikation übergeben und von dieser anhand einer vorgebebenen Regel analysiert. Nur die Datentransfers, die die Regel erfüllen, werden akzeptiert und können in Richtung Proxy Secure später weitergegeben werden. Beispiele für solch eine Regel für die Überprüfung bzw. Validierung sind:
- o Signaturvalidierung für Firmware- und Softwareupdates
- o Virus-Scans
- o Nachrichtenprüfung: ähnlich zu „Deep-Packet-Inspection“-Ansätzen von Application Level Firewalls werden regelbasiert nur selektive Requests/Commands durchgelassen.
- o Integrität
- o Authentizität
- - Datenschleuse GVM: Diese übernimmt die Funktionalität eines Schleusenrechners. Diese kontrolliert die Verbindung zur Validierungseinheit VE und hat damit die Steuerung über den Aufbau oder die Unterbrechung der gesamten eingehenden Transferstrecke (vom zweiten zum ersten Netzwerk) inne. D.h. der Proxy Psec steuert zusammen mit der Datenschleuse GVM, ob die Verbindung geschaltet oder unterbrochen ist. Damit lassen sich Wartungszugänge kontrolliert aus dem ersten Netzwerk heraus temporär freischalten.
-
2 zeigt eine weitere Ausführungsform der Erfindung. Eine Anbindung des Proxy Pop erfolgt über eine serielle Schnittstelle S als Ausführungsform einer Netzwerkzugangsressource NW IF. Hierdurch wird es Angreifern erschwert, Angriffe auf den Network Guard (oder etwa den Hypervisor) über Standard-Netzwerkschnittstellen durchzuführen. Die Anbindung des Proxy Pop wird über eine Netzzugangsressource NW_IF in der Regel beibehalten. Diese Variante bietet den Vorteil, dass ausgehende Transfers mit einer höheren Transferrate durchgeführt werden können (da eine serielle Schnittelle niedrigere Transferraten im Vergleich zu Ethernet-Schnittstellen bietet). Dies ist insbesondere dann vorteilhaft, wenn eine konkrete Umsetzung einen höheren Datentransfer aus dem ersten Netzwerk in das zweite Netzwerk erfordert und weniger und/oder seltener Daten aus dem zweiten Netzwerk in das erste Netzwerk transferiert werden müssen.
-
Obwohl die Erfindung im Detail durch das bevorzugte Ausführungsbeispiel näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.
-
Die Implementierung der vorstehend beschriebenen Prozesse oder Verfahrensabläufe kann anhand von Instruktionen erfolgen, die auf computerlesbaren Speichermedien oder in flüchtigen Computerspeichern (im Folgenden zusammenfassend als computerlesbare Speicher bezeichnet) vorliegen. Computerlesbare Speicher sind beispielsweise flüchtige Speicher wie Caches, Puffer oder RAM sowie nichtflüchtige Speicher wie Wechseldatenträger, Festplatten, usw.
-
Die vorstehend beschriebenen Funktionen oder Schritte können dabei in Form zumindest eines Instruktionssatzes in/auf einem computerlesbaren Speicher vorliegen. Die Funktionen oder Schritte sind dabei nicht an einen bestimmten Instruktionssatz oder an eine bestimmte Form von Instruktionssätzen oder an ein bestimmtes Speichermedium oder an einen bestimmten Prozessor oder an bestimmte Ausführungsschemata gebunden und können durch Software, Firmware, Microcode, Hardware, Prozessoren, integrierte Schaltungen usw. im Alleinbetrieb oder in beliebiger Kombination ausgeführt werden. Dabei können verschiedenste Verarbeitungsstrategien zum Einsatz kommen, beispielsweise serielle Verarbeitung durch einen einzelnen Prozessor oder Multiprocessing oder Multitasking oder Parallelverarbeitung usw.
-
Die Instruktionen können in lokalen Speichern abgelegt sein, es ist aber auch möglich, die Instruktionen auf einem entfernten System abzulegen und darauf via Netzwerk zuzugreifen.
-
Die Übertragungsvorrichtung kann ein oder mehrere Prozessoren aufweisen. Der Begriff „Prozessor“, „zentrale Signalverarbeitung“, „Steuereinheit“ oder „Datenauswertemittel“, umfasst Verarbeitungsmittel im weitesten Sinne, also beispielsweise Server, Universalprozessoren, Grafikprozessoren, digitale Signalprozessoren, anwendungsspezifische integrierte Schaltungen (ASICs), programmierbare Logikschaltungen wie FPGAs, diskrete analoge oder digitale Schaltungen und beliebige Kombinationen davon, einschließlich aller anderen dem Fachmann bekannten oder in Zukunft entwickelten Verarbeitungsmittel. Prozessoren können dabei aus einer oder mehreren Vorrichtungen bzw. Einrichtungen bzw. Einheiten bestehen. Besteht ein Prozessor aus mehreren Vorrichtungen, können diese zur parallelen oder sequentiellen Verarbeitung bzw. Ausführung von Instruktionen ausgelegt bzw. konfiguriert sein.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
