-
TECHNISCHES FELD
-
Die vorliegende Offenbarung bezieht sich auf ein Weiterleitungsgerät, das einen Frame bzw. Rahmen zwischen einer Mehrzahl von Kommunikationsleitungen weiterleitet.
-
HINTERGRUND
-
Es ist ein Weiterleitungsgerät bekannt, dass mit einer Funktion eines Filterns von Frames, die weitergeleitet werden sollen, versehen ist. Ein Frame sind allgemeine Daten, die einen Header bzw. Kopfteil und wirkliche Daten, die zu einem vorbestimmten Protokoll korrespondieren, enthalten. Zum Beispiel offenbart Patenliteratur 1 eine Technik, die eine große Anzahl von Filterregeln vorbereitet und einstellt, ob ein Frame nach der großen Anzahl von Filterregeln weitergeleitet oder dieser verworfen wird.
-
Patentliteratur 1:
JP 2009-296246A -
ZUSAMMENFASSUNG
-
Detaillierte Studien durch die Erfinder haben ergeben, dass das vorstehende Weiterleitungsgerät nicht dazu fähig sein kann, später zu analysieren, ob der Frame verworfen wurde oder nicht. Dementsprechend ist es, wenn eine Sicherheitsattacke wie z.B. unautorisierter Zugriff empfangen wird, schwierig, diese später zu analysieren.
-
Es ist eine Aufgabe der vorliegenden Offenbarung, ein Weiterleitungsgerät, das einen Frame zwischen einer Mehrzahl von Kommunikationsleitungen weiterleitet, zu erlauben, eine Sicherheitsattacke später zu analysieren, wenn die Sicherheitsattacke empfangen wurde.
-
Nach einem Beispiel der vorliegenden Offenbarung ist ein Weiterleitungsgerät, das einen Frame zwischen einer Mehrzahl von Kommunikationsleitungen weiterleitet, vorgesehen, um ein Weiterleitungsausführungsmodul und ein Verwurfsspeichermodul zu enthalten. Das Weiterleitungsmodul ist konfiguriert, um entweder (i) ein Übertragen eines empfangenen Frames, das von einer Kommunikationsleitung empfangen wurde, zu einer Kommunikationsleitung, die ein andere ist, oder (ii) Verwerfen des empfangenen Frames als eines verworfenen Frames nach einer voreingestellten Filterregel auszuführen. Das Verwurfsspeichermodul ist mit einem Verwurfsaufzeichnungsspeicher verbunden, wobei das Verwurfsspeichermodul konfiguriert ist, um Verwurfsinformationen, die Informationen des verworfenen Frames anzeigen, bei dem Verwurfsaufzeichnungsspeicher im Ansprechen darauf, dass das Weiterleitungsausführungsmodul den empfangenen Frame als den verworfenen Frame verwirft, zu speichern.
-
Solch eine Konfiguration kann, wenn der Frame nach der Filterregel verworfen wird, die Verwurfsinformationen aufgezeichnet werden. Dementsprechend wird, wenn eine Sicherheitsattacke wie zum Beispiel ein unautorisierter Zugriff empfangen wird, auf die Verwurfsinformationen später verwiesen, um die Inhalte der Sicherheitsattacke zu analysieren.
-
Figurenliste
-
Die vorstehenden und andere Aufgaben, Merkmale und Vorteile der vorliegenden Offenbarung werden von der folgenden detaillierten Beschreibung, die in Bezug auf die beiliegenden Zeichnungen gemacht ist, sichtbarer. Bei den Zeichnungen:
- ist 1 ein Blockdiagramm, das eine Konfiguration eines Kommunikationssystems zeigt,
- ist 2 ein erklärendes Diagramm, das ein Beispiel einer Regeltabelle darstellt,
- ist 3 ein erklärendes Diagramm, das ein Beispiel einer Verwurfsbestimmungstabelle darstellt,
- ist 4 ein erklärendes Diagramm, das ein Beispiel einer Anschlussbestimmungstabelle darstellt,
- ist 5 ein erklärendes Diagramm, das ein Strukturbeispiel eines Empfangsframes darstellt,
- ist 6 ein erklärendes Diagramm, das ein Beispiel einer Verwurfsinformationstabelle zeigt,
- ist 7 ein Flussdiagramm eines Weiterleitungsprozesses,
- ist 8 ein Flussdiagramm eines Verwurfsinformationsübertragungsprozesses,
- ist 9 ein erklärendes Diagramm, das ein Beispiel eines Frames, das Verwurfsinformationen enthält, die zu einem Werkzeug übertragen werden, zeigt, und
- ist 10 ein erklärendes Diagramm, das ein Beispiel von Daten, die in einem Kopfteilabschnitt enthalten sind, darstellt.
-
DETAILLIERTE BESCHREIBUNG
-
[Übersicht]
-
Ein Switch eines Ethernets (eingetragene Handelsmarke) ist als ein Netzwerkswitch, der konfiguriert ist, um einen Frame zwischen einer Mehrzahl von Kommunikationsgeräten weiterzuleiten, bekannt. Der Switch des Ethernets hat Sicherheitsfunktionen wie zum Beispiel die Fähigkeit, Frames zu filtern, aber sieht keine Funktion vor, um verworfene Frames aufzuzeichnen, wobei dies es schwierig macht, Sicherheitsattacken später zu analysieren.
-
Dementsprechend enthält bei dieser Ausführungsform der Switch des Ethernets, der eine Sicherheitsfunktion hat, (i) ein Weiterleitungsverarbeitungsmodul, (ii) ein Speicherverarbeitungsmodul und (iii) einen Aufzeichnungsspeicher, wobei das Weiterleitungsverarbeitungsmodul konfiguriert ist, um den empfangenen Frame nach einer spezifizierten Richtlinie zu verwerfen. Das Speicherverarbeitungsmodul ist konfiguriert, um Informationen (d.h. Verwurfsinformationen) von einem Frame, der verworfen werden soll, wie zum Beispiel einen Teil der Daten des Frames, den Faktor des Verwurfs, den Empfangsanschluss und den Zeitstempel bei dem Aufzeichnungsspeicher zu speichern. Es sollte bemerkt werden, dass „Informationen“ verwendet werden können, um nicht nur unzählbar aber auch zählbar bei der vorliegenden Offenbarung zu sein. Das heißt, dass „Informationen“ zu einem Informationselement äquivalent sein können, wobei eine Mehrzahl von Informationen zu einer Mehrzahl von Informationselement äquivalent sein können. Außerdem können Informationen verwendet werden, um äquivalent zu Daten oder einem Datenelement zu sein, wobei eine Mehrzahl von Informationen verwendet werden kann, die zu einer Mehrzahl von Daten oder eine Mehrzahl von Datenelementen äquivalent sein sollen.
-
Der Aufzeichnungsspeicher zeichnet die Summe von verworfenen Frames (gesamt verworfene Frameanzahl) für jeden Verwurfsfaktor auf. Die Verwurfsinformationen sind konfiguriert, um durch ein Werkzeug gelesen zu werden. Dies ermöglicht es, Sicherheitsattacken zu analysieren. Der Frame, der aufgezeichnet werden soll (das heißt ein Aufzeichnungszielframe) kann spezifiziert werden oder für jeden Verwurfsfaktor oder für jeden Anschluss bestimmt werden und kann verwendet werden, um eine spezifische Attacke zu analysieren.
-
Details einer solchen Konfiguration werden nachstehend beschrieben.
-
[Ausführungsform]
-
Im Folgenden werden Ausführungsformen der vorliegenden Offenbarung mit Bezug auf die Zeichnungen beschrieben.
-
[Konfiguration]
-
Ein Kommunikationssystem 1 ist an einem Fahrzeug wie zum Beispiel einem Personenfahrzeug montiert und ist ein System zum Weiterleiten von Frames zwischen den Kommunikationsgeräten bei dem Fahrzeug.
-
Das Kommunikationssystem 1, das in 1 dargestellt ist, enthält einen Netzwerkswitch 20, der ein Weiterleitungsgerät ist. Außerdem kann das Kommunikationssystem 1 eine erste ECU 30A, eine zweite ECU 30B, eine dritte ECU 30C und ein Werkzeug 35 außerdem enthalten. Der Netzwerkswitch 20 kann Anschlüsse P1, P2, P3 und P4 enthalten.
-
Die erste ECU 30A ist mit der Kommunikationsleitung 5A verbunden, wobei die zweite ECU 30B mit der Kommunikationsleitung 5B verbunden ist. Die dritte ECU 30C ist mit der Kommunikationsleitung 5C verbunden. Das Werkzeug 35 ist mit der Kommunikationsleitung 5D verbunden. Die erste ECU 30A, die zweite ECU 30B, die dritte ECU 30C und das Werkzeug kommunizieren miteinander über die Kommunikationsleitungen 5A, 5B, 5C, 5D und den Netzwerkswitch 20. Die erste ECU 30A, die zweite ECU 30B, die dritte ECU 30C und das Werkzeug 35 sind bei einem Kommunikationsgerät enthalten.
-
Die vier Kommunikationsleitungen 5A, 5B, 5C und 5D sind mit den Anschlüssen P1, P2, P3 und P4 jeweilig verbunden. Die Anschlüsse P1, P2, P3 und P4 fungieren als Übertragungs-Empfangs-Einrichtungen, die Frames übertragen und diese empfangen.
-
Der Netzwerkswitch 20 ist als ein 2-Layer-Switch bzw. 2-Schichten-Switch konfiguriert, der unter Verwendung von Protokollen wie zum Beispiel Ethernet und Internetprotokoll kommuniziert. Der Netzwerkswitch 20 ist konfiguriert, um Frames während eines Filterns zwischen der Mehrzahl von Kommunikationsleitungen 5A, 5B, 5C und 5D weiterzuleiten.
-
Der Netzwerkswitch 20 ist zum Beispiel als Hardwareschaltungen oder Schaltungsaufbau, der eine Schaltung wie zum Beispiel eine Halbleitervorrichtung enthält, konfiguriert. Der Netzwerkswitch 20 enthält ein Weiterleitungsverarbeitungsmodul 21, ein Speicherverarbeitungsmodul 22 und einen Aufzeichnungsspeicher 25.
-
Das Weiterleitungsverarbeitungsmodul 21 verwaltet die gesamte Weiterleitung von Frames zum Beispiel führt das Weiterleitungsverarbeitungsmodul 21 S110, S120 und S150 des Weiterleitungsprozesses, der später beschrieben wird, durch und wählt, ob der empfangene Frame nach den Filterregeln, die im Vorhinein vorbereitet wurden, weitergeleitet oder dieser verworfen wird. Filterregeln werden verwendet, um zu bestimmen, ob ein empfangener Frame nach den Framecharakteristiken wie z.B. einer Adresse, einem Frameformat, eine Framedatenlänge und einer Frame Art, die bei dem empfangenen Frame enthalten sind, weitergeleitet oder dieser verworfen wird.
-
Wenn das Weiterleitungsverarbeitungsmodul 21 den Frame verwirft, speichert das Speicherverarbeitungsmodul 22 die Verwurfsinformationen in dem Aufzeichnungsspeicher 25 in S130 und S140 des Weiterleitungsprozesses, der später beschrieben wird. Die Verwurfsinformationen repräsentieren Informationen, die einen Frame betreffen, der verworfen werden soll. Bei der vorliegenden Ausführungsform enthalten die Verwurfsinformationen Kopfteilinformationen über den Frame, der verworfen werden soll. Die Kopfteilinformationen werden später beschrieben.
-
Außerdem überträgt das Speicherverarbeitungsmodul 22 die Verwurfsinformationen, die bei dem Aufzeichnungsspeicher 25 aufgezeichnet wurden, an einen externen Apparat oder ein externes Gerät wie zum Beispiel das Werkzeug 35 durch ein Durchführen eines Verwurfsinformationenübertragungsprozesses, der später beschrieben wird. Der Aufzeichnungsspeicher 25 ist konfiguriert, um eine Regeltabelle 26, eine Verwurfsbestimmungstabelle 27A, eine Anschlussbestimmungstabelle 27B, eine Verwurfsinformationstabelle 28 und eine Weiterleitungstabelle 29 aufzuzeichnen.
-
Die Regeltabelle 26 beschreibt eine Mehrzahl von Filterregeln. In der Regeltabelle 26 werden die Beschreibungselemente für eine Reihe als eine individuelle Filterregel beschrieben, wie es in 2 gezeigt wird.
-
Jede Filterregel enthält eine Regelnummer (Nr.), einen Anwendungsanschluss, eine Zieladresse, eine Quell-MAC-Adresse, eine Art und andere Zustände.
-
Die Regelnummer ist eine Nummer zum Spezifizieren einer Filterregel und eine einzigartige Nummer wird jeder Filterregel zugeordnet. Der Anwendungsanschluss zeigt einen Anschluss an, auf den die Filterregel unter den Anschlüssen P1, P2, P3 und P4 angewendet wird. Die Zieladresse beschreibt die Adresse der ECU, die ein Übertragungsziel des Frames ist, zum Beispiel die Mac-Adresse.
-
Es sollte bemerkt werden, dass die Zieladresse eine Adresse, die eine andere als die MAC-Adresse ist, wie zum Beispiel eine IP-Adresse sein kann. Die Art zeigt die Version eines Internetprotokolls wie zum Beispiel IPv4 oder IPv6 an. Hier beschreibt in dem Beispiel, wie es in 2 gezeigt wird, die Filterregel mit Regelnummer 1 (i) eine Regel, die nur den Frame, dessen Quelladresse die erste ECU 30A unter den IPv4 Frames, die bei dem Anschluss P1 empfangen werden, ist, überträgt, und (ii) eine Regel, die nur den Frame, dessen Zieladresse die erste ECU 30A unter den IPv4 Frames, die von dem Anschluss P1 übertragen werden, ist überträgt. Die Filterregeln mit Regelnummer 2 beschreibt (i) eine Regel, die nur den Frame, dessen Quelladresse das Werkzeug 35 (d.h. vierte ECU) und IPv4 Frames, die an dem Anschluss P4 empfangen werden, ist, überträgt, und (ii) eine Regel, die nur den Frame, dessen Zieladresse das Werkzeug 35 (d.h. vierte ECU) IPv4 Frames, die von dem Anschluss P4 übertragen werden, ist, überträgt.
-
Zusätzlich, obwohl viele Filterregeln in der Regeltabelle 26 eingestellt werden können, wird die Beschreibung hier verkürzt. Die Verwurfsbestimmungstabelle 27A und die Anschlussbestimmungstabelle 27B sind Tabellen, die Einstellungen zum Bestimmen, ob die Verwurfsinformationen in dem Aufzeichnungsspeicher 25 gespeichert sind oder nicht, beschreiben. In der Verwurfsbestimmungstabelle 27A, die in 3 gezeigt wird, ist eine Mehrzahl von Filterregeln mit gültigem oder ungültigen Einstellungen zum Speichern von Verwurfsinformationen assoziiert.
-
Zum Beispiel ist in dem Beispiel, das in 3 gezeigt wird, die Filterregelnummer „1“ mit „gültig“ assoziiert. Dies zeigt an, dass das Speicherverarbeitungsmodul 22 die Verwurfsinformationen in dem Aufzeichnungsspeicher 25 speichern muss, wenn das Weiterleitungsverarbeitungsmodul 21 den Frame nach der Filterregel „1“ verwirft. Auf der anderen Seite ist in dem Beispiel, dass in 3 gezeigt wird die Filterregel Nr. „3“ mit „ungültig“ assoziiert. Dies zeigt an, dass das Speicherverarbeitungsmodul 22 die Verwurfsinformationen in dem Aufzeichnungsspeicher 25 nicht speichern muss, wenn das Verwurfsverarbeitungsmodul 21 den Frame nach der Filterregel „3“ verwirft.
-
Bei der vorliegenden Ausführungsform speichert das Speicherverarbeitungsmodul 22 die Verwurfsinformationen, die bestimmt werden, um bei beiden Tabellen, Verwurfbestimmungstabelle 27A und Anschlussbestimmungstabelle 27B, gültig zu sein, in dem Aufzeichnungsspeicher 25, während Verwurfsinformationen, die in entweder der Verwurfbestimmungstabelle 27A oder der Anschlussbestimmungstabelle 27B bestimmt werden, um ungültig zu sein, nicht gespeichert werden.
-
Hier hat der Frame 7, der durch jede Kommunikationsleitung 5A, 5B, 5C, 5D übertragen oder durch diese empfangen wird, zum Beispiel eine Struktur, wie es in 5 gezeigt wird. Das heißt, dass der Frame 7, der einen Kopfteilabschnitt und einen Inhalt, der wirkliche Daten ist, enthält, in der Reihenfolge des Kopfteilabschnitts und des Inhaltes übertragen und in dieser empfangen wird. Der Kopfteilabschnitt enthält einen Ether-Kopfteil, einen IP- Kopfteil und einen UTP-Kopfteil. Es sollte bemerkt werden, dass ein TCP-Kopfteil anstelle des UTP-Kopfteils vorgesehen sein kann.
-
Die Verwurfsinformationstabelle 28 ist ein Aufzeichnungsbereich zum Speichern einer Mehrzahl von Verwurfsinformationen in Bezug auf die verworfenen Frames in der Reihenfolge von den verworfenen Informationen des frühesten verworfenen Frames zu denen des spätesten verworfenen Frames. Bei der vorliegenden Ausführungsform beinhaltet, wie es in 6 gezeigt wird, die Verwurfsinformationstabelle 28 eine Mehrzahl von Spalten zum Speichern von Daten, die bei den Verwurfsinformationen enthalten sind. Hier zeigt die „#“ Spalte die Reihenfolge eines Auftretens des Verwurfs, das heißt, welche Zahl des verworfenen Frames in der Reihenfolge des Auftretens, wobei letztendlich die Zahl oder ein numerischer Wert, der in der letzten „#“ Spalte (das heißt der niedrigsten„#“ Spalte) zu der Summe der verworfenen Frames bis jetzt korrespondiert. Die Verwurfsinformationstabelle 28 enthält individuelle Verwurfsinformationen, die durch eine einzigartige Zahl, die in der „#“ Spalte beschrieben sind, identifiziert werden. Die Verwurfsinformationen enthalten den Empfangsanschluss, Filterregel, Frameinhalt, Zeitstempel und eine kumulierte Zahl.
-
Die Verwurfsinformationstabelle 28 beschreibt den Anschluss, der den verworfenen Frame empfangen hat, in der Spalte des Empfangsanschlusses. Die Filterregelspalte beschreibt die Filterregelnummer, die einen Faktor anzeigt, der den Frame veranlasst, verworfen zu werden. Die Frame Inhaltsspalte enthält Kopfteilinformationen als Verwurfsinformationen.
-
Die Kopfteilinformationen zeigen Daten des Kopfteilabschnitts des Frames 7 an, wie es in 5 gezeigt wird. Die Kopfteilinformationen brauchen nur zumindest einen Ethernet-Kopfteil, einen VLAN-Tag, einen IP-Kopfteil, einen TCP-Kopfteil oder einen UDP-Kopfteil zu enthalten (das heißt zumindest einen der Kopfteile, die ein Ethernet-Kopfteil, einen VLAN-Tag, einen IP-Kopfteil, einen TCP-Kopfteil und einen UDP-Kopfteil enthalten). Es sollte bemerkt werden, dass das VLAN-Tag zum Beispiel eine VLAN-ID, die in einem Tag-VLAN (TagVLAN), wie es durch IEEE 802.1q definiert wird, anzeigt.
-
Die Zeitstempelreihe beschreibt numerische Informationen, die die Zeit, wenn der Frame verworfen wird, oder die Zeit, wenn die Verwurfsinformationen erzeugt werden, betreffen. Die kumulierte-Zahl-Spalte beschreibt die Zahl von Malen, bei denen Frames für jede Filterregel verworfen werden. Das heißt, dass die kumulierte-Zahl-Spalte zu der Zahl von Verwürfen in Bezug auf jede Filterregel, die als ein Verwurf-Faktor dient, korrespondiert.
-
Es sollte bemerkt werden, dass bei der vorliegenden Offenbarung, der Verwurfsfaktor zu einer Filterregel korrespondiert. Es gibt allerdings keinen Grund, darauf beschränkt zu sein, wobei der Verwurfsfaktor verschieden definiert sein kann. Außerdem ist, wenn ein gewisser einer Frame von einer Mehrzahl von Verwurfsfaktoren verworfen wird, eine Mehrzahl von „#“ Spalten zur gleichen Zeit oder einer Zeit aufgelistet. In solch einem Fall ist die Summe von allen kumulierten Nummern, die durch alle „#“ Spalten identifiziert werden, nicht gleich dem numerischen Wert der letzten „#“ Spalte.
-
Die Weiterleitungstabelle 29 ist eine Tabelle, die die Zieladresse der ECU, die mit jedem Anschluss verbunden ist, aufzeichnet. Auf die Weiterleitungstabelle 29 wird durch das Weiterleitungsverarbeitungsmodul 21 verwiesen, wenn das Weiterleitungsverarbeitungsmodul 21 einen Zielanschluss eines Frames spezifiziert.
-
Das Werkzeug 35 ist ein Apparat oder Gerät, dass die Verwurfsinformationen, die in dem Aufzeichnungsspeicher 25 gespeichert sind, liest und eine Sicherheitsattacke oder ähnliches auf Grundlage der gelesenen Verwurfsinformationen analysiert. Das Werkzeug 35 ist konfiguriert, um in Bezug auf die Kommunikationsleitung 5D entfernbar zu sein und ist mit der Kommunikationsleitung 5D, wenn nötig, wie z.B. während einer Fahrzeuginspektion, verbunden. Außerdem überträgt, wenn ein vorbestimmter Vorgang durch den Benutzer eingegeben wird, das Werkzeug 35 eine externe Anweisung zum Anfragen von Verwurfsinformationen an den Netzwerkswitch 20 über die Kommunikationsleitung 5D.
-
Die vorliegende Ausführungsform beschreibt den Fall, bei dem die Anzahl von Kommunikationsleitungen, die mit dem Netzwerkswitch 20 verbunden sind, vier ist. Die Anzahl der Kommunikationsleitungen kann allerdings jede Nummer sein, solange sie zwei oder mehr ist.
-
[Verarbeitung]
-
[Weiterleitungsprozess]
-
Der Weiterleitungsprozess, der durch den Netzwerkswitch 20 ausgeführt wird, wird in Bezug auf das Flussdiagramm von 7 beschrieben. Der Weiterleitungsprozess startet zum Beispiel, wenn ein Frame von einem Anschluss empfangen wird.
-
Bei dem Weiterleitungsprozess bestimmt ein Netzwerkswitch 20 zunächst in S110, ob der empfangene Frame bestimmt ist, um verworfen zu werden, oder nicht. Das heißt, dass das Weiterleitungsverarbeitungsmodul 21 den Anschluss spezifiziert, bei dem die Zieladresse, die in dem Kopfteilabschnitt des Frames beschrieben wird, in Bezug auf die Weiterleitungstabelle 29 existiert und bestimmt, ob der Frame zu der Zieladresse weitergeleitet wird oder der Frame nach der Regeltabelle 26 verworfen wird, um dadurch zu bestimmen, ob der Frame verworfen wird oder nicht.
-
Wenn der Netzwerkswitch 20 in S110 bestimmt, dass der empfangene Frame nicht bestimmt ist, um verworfen zu werden, fährt der Netzwerkswitch 20 mit S120 fort. In S120 wird der Weiterleitungsprozess zum Weiterleiten des normalen Frames zu der Zieladresse als ein normaler Frame, der kein Frame ist, der verworfen werden soll, durchgeführt. Der Weiterleitungsprozess von 7 wird dann beendet.
-
Auf der anderen Seite fährt, wenn der Netzwerkswitch 20 in S110 bestimmt, dass der empfangene Frame bestimmt ist, um verworfen zu werden, fährt der Netzwerkswitch 20 mit S130 fort. In S130 wird bestimmt, ob das Aufzeichnen der Verwurfsinformationen eingestellt ist, um für den Empfangsanschluss, der ein Anschluss ist, der den empfangenen Frame empfängt, um gültig zu sein, und gleichzeitig das Aufzeichnen der Verwurfsinformationen eingestellt ist, um für den Verwurfsfaktor gültig zu sein, oder nicht.
-
Mit anderen Worten wird in diesem Prozess, wenn ein Frame verworfen wird, bestimmt, ob der verworfene Frame ein Speicherzielframe ist oder nicht. Der Speicherzielframe ist in den Frames, die bestimmt sind, um nach den Filterregeln verworfen zu werden, enthalten, wobei außerdem der Speicherzielframe ein Frame oder ein verworfener Frame, von dem die korrespondierenden Verwurfsinformationen eingestellt sind, um in dem Aufzeichnungsspeicher 25 gespeichert oder in diesem aufgezeichnet zu werden, ist.
-
Wenn der Netzwerkswitch 20 in S130 bestimmt, dass das Aufzeichnen der Verwurfsinformationen eingestellt ist, um für den Empfangsanschluss gültig zu sein, und das Aufzeichnen der Verwurfsinformationen eingestellt ist, um für den Verwurfsfaktor gültig zu sein, fährt der Netzwerkswitch 20 mit S140 fort. In S140 werden die Verwurfsinformationen in der Verwurfsinformationstabelle 28 des Aufzeichnungsspeichers 25 gespeichert. Danach fährt der Prozess mit S150 fort.
-
Auf der anderen Seite fährt, wenn der Netzwerkswitch 20 in S130 bestimmt, dass das Aufzeichnen der Verwurfsinformationen nicht eingestellt ist, um für den Empfangsanschluss gültig zu sein, oder das Aufzeichnen der Verwurfsinformationen nicht eingestellt ist, um für den Verwurfsfaktor gültig zu sein, der Prozess mit S150 fort. In S150 wird der empfangene Frame verworfen, wobei dann der Prozess in 7 beendet ist.
-
[Verwurfsinformationsübertragungsprozess]
-
Als Nächstes wird der Verwurfsinformationsübertragungsprozess, der durch den Netzwerkswitch 20 insbesondere durch das Speicherverarbeitungsmodul 22 ausgeführt wird, in Bezug auf das Flussdiagramm von 8 beschrieben. Der Verwurfsinformationsübertragungsprozess ist ein Prozess, der gestartet wird, wenn der Netzwerkswitch 20 eine externe Anweisung, die Verwurfsinformationen von dem Werkzeug 35 anfragt, empfängt.
-
Bei dem Verwurfsinformationsübertragungsprozess bestimmt zunächst in S210 der Netzwerkswitch 20, ob die Verwurfsinformationen in dem Aufzeichnungsspeicher 25 gespeichert sind oder nicht. Wenn es in S210 bestimmt wird, dass die Verwurfsinformationen in dem Aufzeichnungsspeicher 25 nicht gespeichert sind, wird der Verwurfsinformationsübertragungsprozess in 8 beendet.
-
Auf der anderen Seite fährt, wenn der Netzwerkswitch 20 in S210 bestimmt, dass die Verwurfsinformationen in dem Aufzeichnungsspeicher 25 gespeichert sind, der Netzwerkswitch 20 mit S220 fort, bei dem bestimmt wird, ob es nicht-übertragene Verwurfsinformationen gibt. Wenn es in S220 bestimmt wird, dass es keine nicht-übertragenen Verwurfsinformationen gibt, wird der Verwurfsinformationsübertragungsprozess in 8 beendet.
-
Auf der anderen Seite fährt, wenn der Netzwerkswitch 20 in S220 bestimmt, dass es nicht-übertragene Verwurfsinformationen gibt, fährt der Netzwerkswitch 20 mit S230 fort, bei dem nicht-übertragene Verwurfsinformationen wie benötigt geteilt werden und zu dem Werkzeug 35 übertragen werden. Dann kehrt der Prozess zu S220 zurück. Das Speicherverarbeitungsmodul 22 verwaltet die übertragenen Verwurfsinformationen, so dass die übertragenen Verwurfsinformationen von den nicht-übertragenen Verwurfsinformationen zum Beispiel durch ein Einstellen eines Übertragen Flags unterschieden werden.
-
Details einer Verarbeitung zum Übertragen von nicht-übertragenen Verwurfsinformationen werden nachstehend beschrieben. In S230 erzeugt das Speicherverarbeitungsmodul 22 einen Frame, dessen Datenformat zumindest eines von Protokollen, die Ethernet, IP und UDP-Protokolle enthalten, ist, wie es in 9 gezeigt wird. In diesem Fall ist das Werkzeug 35 als das Ziel in dem Kopfteilabschnitt des Frames vorgesehen und der Inhalt, der die wirklichen Datenabschnitte des Frames ist, wird eingestellt, um die Verwurfsinformationen, die von dem Aufzeichnungsspeicher 25 gelesen wurde, zu enthalten. Der erzeugte Frame wird durch das Werkzeug 35 durch das Speicherverarbeitungsmodul 22 in Übereinstimmung mit der Beschreibung des Kopfteilabschnitts übertragen.
-
Die Verwurfsinformationen werden in Inhaltsabschnitte von einer Mehrzahl von Frames, wenn nötig geteilt. Zum Beispiel nehme man einen Fall an, dass (i) das Speicherverarbeitungsmodul 22 die Verwurfsinformationen des Aufnahmeframes 1 und die Verwurfsinformationen des Aufnahmeframes 2 überträgt und (ii) ein einzelner Frame fähig ist, nur die Verwurfsinformationen des Aufnahmeframes 1 zu übertragen. In solch einem Fall packt, wie es in 9 gezeigt wird, das Speicherverarbeitungsmodul 22 (i) eine Gesamtheit des Aufnahmeframes 1 und (ii) Daten bis zur Mitte des Aufnahmeframes 2 in den Inhaltsabschnitt des ersten Frames. Ein Teilen der Daten durch das Speicherverarbeitungsmodul 22 wird durch eine Sequenznummer, die in dem Kopfteilabschnitt enthalten ist, verwaltet. Die Sequenznummer des ersten Frames ist auf 0 eingestellt, was die ersten Daten anzeigt.
-
Dann packt das Speicherverarbeitungsmodul 22 die übrigen Daten des Aufnahmeframes 2 in den Inhaltsabschnitt des zweiten Frames. Die Sequenznummer des zweiten Frames wird auf 1400 eingestellt, wenn der Inhaltsabschnitt des ersten Frames 1400 Bytes ist.
-
Es sollte bemerkt werden, das Informationen, wie es in 10 gezeigt wird, in dem Kopfteilabschnitt des Frames, der durch das Speicherverarbeitungsmodul 22 in S230 erzeugt wird, gespeichert werden kann. Die Informationen, die in dem Kopfteilabschnitt enthalten sind, können einen voreingestellten Wert oder einen Wert, der nach dem Inhalt des Frames, der übertragen werden soll, berechnet wird, sein.
-
[Effekte]
-
Nach der Ausführungsform, die vorstehend im Detail beschrieben ist, werden die folgenden Effekte erhalten.
-
(2a) Das Kommunikationssystem 1 enthält einen Netzwerkswitch 20, der konfiguriert ist, um einen Frame zwischen einer Mehrzahl von Kommunikationsleitungen weiterzuleiten, wobei der Netzwerkswitch 20 ein Weiterleitungsverarbeitungsmodul 21 und ein Speicherverarbeitungsmodul 22 enthält. In S110, S120 und S150 ist das Weiterleitungsverarbeitungsmodul 21 konfiguriert, um entweder (i) ein Übertragen eines Frames, der von einer der Kommunikationsleitungen empfangen wird, zu einer anderen Kommunikationsleitung oder (ii) ein Verwerfen des Frames nach einer vorbestimmten Filterregel auswählend auszuführen. In S130 und S140 ist das Speicherverarbeitungsmodul 22 konfiguriert, um in dem Aufnahmespeicher 25, der im Vorhinein eingestellt wird, die Verwurfsinformationen, die die Informationen, die sich auf den verworfenen Frame beziehen, im Ansprechen darauf, das der Frame verworfen wird, anzeigen, zu speichern.
-
Nach solch einer Konfiguration kann, wenn der Frame nach der Filterregel verworfen wird, die Verwurfsinformationen aufgenommen werden. Dementsprechend wird, wenn eine Sicherheitsattacke wie zum Beispiel unautorisierter Zugriff empfangen wird, sich später auf die Verwurfsinformationen bezogen und die Sicherheitsattacke kann analysiert werden. Die Verwurfsinformationen kann zumindest einen Teil des Frames, der verworfen werden soll, enthalten. In diesem Fall können die Verwurfsinformationen einen vorbestimmten Teil des Frames oder den gesamten Frame enthalten.
-
(2b) S130 und S140 speichert das Speicherverarbeitungsmodul 22 die Verwurfsinformationen. Die gespeicherten Verwurfsinformationen enthalten zumindest eines von Datenelementen, die (i) der Empfangsanschluss, der den Anschluss anzeigt, der den Frame empfängt, (ii) den Verwurfsfaktor, (iii) den Zeitstempel, der die Zeit, wenn der Frame verworfen wurde oder die Zeit, wenn die Verwurfsinformationen erzeugt wurde, anzeigt, sind.
-
Nach einer solchen Konfiguration ist es, da die Verwurfsinformationen zumindest den Empfangsanschluss oder den Verwurfsfaktor oder den Zeitstempel enthalten, möglich, die Inhalte der Sicherheitsattacke von den Verwurfsinformationen einfach zu analysieren.
-
(2c) In S140 ist zusätzlich zu dem Empfangsanschluss, dem Verwurfsfaktor und dem Zeitstempel das Speicherverarbeitungsmodul 22 konfiguriert, um (i) die Summe der verworfenen Frames für jeden Verwurfsfaktor und (ii) die Summe der Verwurfsfaktoren, für die die empfangenen Frames verworfen wurden, in dem Aufzeichnungsspeicher 25 aufzuzeichnen.
-
Nach solch einer Konfiguration können, da die Summe der verworfenen Frames für jeden Verwurfsfaktor und die Summe der Verwurfsfaktoren, für die die empfangenen Frames verworfen werden, verwendet werden können, die Inhalte der Sicherheitsattacke einfach analysiert werden.
-
(2d) In S130 und S140 speichert das Speicherverarbeitungsmodul 22 Kopfteilinformationen, die zumindest eine der Kopfteile, die den Ethernet-Kopfteil, VLAN-Tag, IP-Kopfteil, TCP-Kopfteil und UDP-Kopfteil enthalten, als Verwurfsinformationen enthalten.
-
Nach solch einer Konfiguration können, da Kopfteilinformationen, die sich auf eine Adresse oder Ähnliches beziehen, gespeichert werden, die Frame Charakteristiken effizient gespeichert werden, während die Kapazität des Aufnahmespeichers, der die Verwurfsinformationen speichert, im Vergleich mit der Konfiguration, bei der die gesamten der Frames gespeichert werden, einsparen.
-
(2e) Bei einem Empfangen einer voreingestellten externen Anweisung in S230 ist das Speicherverarbeitungsmodul 22 konfiguriert, um die Verwurfsinformationen, die in dem Aufnahmespeicher 25 gespeichert sind, zu dem Werkzeug 35, das ein voreingestellter externer Apparat oder ein Gerät ist, zu übertragen.
-
Nach einer solchen Konfiguration können Verwurfsinformationen zu dem Werkzeug 35 in Übereinstimmung mit einer externen Anweisung übertragen werden.
-
(2f) In S230 ist das Speicherverarbeitungsmodul 22 konfiguriert, um einen Frame zu erzeugen, der ein Datenformat von zumindest einem der Elemente, Ethernet oder IP oder UDP, hat, während eines Enthaltens von (i) der Informationen, die das Werkzeug 35 in dem Kopfteilabschnitt spezifiziert und (ii) die Verwurfsinformationen in dem wirklichen Datenabschnitt. Der erzeugte Frame wird dann zu dem Werkzeug 35 nach dem Kopfteilabschnitt übertragen.
-
Nach solch einer Konfiguration wird ein Frame, dessen Datenformat zumindest eines der Elemente Ethernet, IP und UDP, ist erzeugt. Demnach ist es einem Frame, der Verwurfsinformationen enthält, möglich, über die Kommunikationsleitung, die mit dem Netzwerkswitch 20 verbunden ist, zu dem Werkzeug 35 übertragen zu werden.
-
(2g) Bei dem Netzwerkswitch 20 sind die Verwurfsbestimmungstabelle 27A und die Anschlussbestimmungstabelle 27B vorbereitet, die die Einstellung von ob, die Verwurfsinformationen in dem Aufnahmespeicher 25 für jede Filterregel (d.h. Verwurfsfaktor) und für jeden Empfangsanschluss jeweilig gespeichert werden, in dem Aufnahmespeicher 25 beschrieben. In S130 ist das Speicherverarbeitungsmodul 22 konfiguriert, um im Ansprechen darauf, das ein Frame verworfen wird, zu bestimmen, ob der verworfene Frame ein Speicherzielframe ist oder nicht. Das Speicherverarbeitungsmodul 22 ist konfiguriert, um die Verwurfsinformationen in dem Aufnahmespeicher 25 zu speichern, wenn der Frame, der verworfen werden soll (d.h. der verworfene Frame) bestimmt wird, um ein Speicherzielframe in S140 zu sein.
-
Nach solch einer Konfiguration ist es möglich, einzustellen, ob die Verwurfsinformationen für jede Filterregel oder für jeden Empfangsanschluss gespeichert werden oder nicht, so dass benötigte Verwurfsinformationen effizient gesammelt werden können.
-
Der Netzwerkswitch 20 bei der vorstehenden Ausführungsform kann zu einem Weiterleitungsgerät korrespondieren. Das Werkzeug 35 kann zu einem externen Apparat korrespondieren. Die Verwurfsbestimmungstabelle 27A und die Anschlussbestimmungstabelle 27B können zu gespeicherten Informationen oder gespeicherten Daten korrespondieren. Der Aufnahmespeicher 25 kann zu einem Verwurfsinformationenaufzeichnungsspeicher, der Verwurfsinformationen speichert, eine Anzahl Aufnahmespeicher, die die Summe der verworfenen Frames oder ähnliches speichert, und gespeicherten Informationsaufnahmespeicher, der gespeicherte Informationen speichert, korrespondieren. Mit anderen Worten kann der Aufnahmespeicher 25 als einer oder mehrere Aufnahmespeicher 25, die die jeweiligen Daten speichern, vorgesehen sein.
-
Von der Verarbeitung, die durch das Weiterleitungsverarbeitungsmodul 21 ausgeführt wird, können S110, S120 und S150 zu einem Weiterleitungsausführungsmodul korrespondieren. Des Weiteren können S130 und S140 der Verarbeitung, die durch das Speicherverarbeitungsmodul 22 ausgeführt wird, zu einem Verwurfsspeichermodul korrespondieren. S130 kann zu einem Speicherbestimmungsmodul korrespondieren, wobei S140 zu einem Nummernspeichermodul oder einem Speicherausführungsmodul korrespondieren kann. Auch kann S230 zu einem Verwurfsübertragungsmodul korrespondieren. Die vorstehenden Module, Weiterleitungsausführungsmodul, Verwurfsspeichermodul, Speicherbestimmungsmodul, Nummerspeichermodul und Speicherausführungsmodul, können auch als Modul, das von dem Weiterleitungsverarbeitungsmodul 21 oder dem Speicherverarbeitungsmodul separat ist, vorgesehen sein.
-
[Andere Ausführungsformen]
-
Während der Ausführungsform der vorliegenden Offenbarung beschrieben wurde, ist die vorliegende Offenbarung nicht aus die Ausführungsform, die vorstehend beschrieben ist, beschränkt und kann auf verschiedene Weise modifiziert werden.
-
(3a) Bei der vorstehenden Ausführungsform beschreibt die vorliegende Ausführungsform die Konfiguration, bei der die Funktionen als das Weiterleitungsverarbeitungsmodul 21, das Speicherverarbeitungsmodul 22, das Weiterleitungsausführungsmodul, das Verwurfsspeichermodul, das Nummerspeichermodul und das Speicherausführungsmodul durch Hardwareschaltungen oder Schaltungsaufbau verwirklicht sind. Allerdings ist die vorliegende Offenbarung nicht darauf beschränkt. Zum Beispiel können diese Funktionen oder Module durch eine Softwareverarbeitung verwirklicht werden. In diesem Fall erhält der Netzwerkswitch 20 eine CPU und einen Speicher, wobei die CPU ein Programm in dem Speicher ausführt und Funktionen wie das Weiterleitungsverarbeitungsmodul 21, des Speicherverarbeitungsmodul 22, des Weiterleitungsausführungsmoduls, des Verwurfsspeichermoduls, des Speicherbestimmungsmoduls, des Nummerspeichermodul und des Speicherausführungsmoduls erreicht.
-
Mit anderen Worten kann der Netzwerkswitch 20 als ein Weiterleitungsgerät ein oder mehrere Steuerungsschaltungen (d.h. Steuerungseinrichtungen) enthalten, um eine Mehrzahl von Funktionen vorzusehen. Solch eine oder mehrere Steuerungsschaltungen können Module (oder Schaltungen) enthalten, um die jeweiligen Funktionen wie des Weiterleitungsverarbeitungsmoduls 21, des Speicherverarbeitungsmoduls 22, des Weiterleitungsausführungsmoduls, des Verwurfsspeichermoduls, des Speicherbestimmungsmoduls, des Nummernspeichermoduls und des Speicherausführungsmoduls zu erreichen.
-
Es sollte bemerkt werden, das ein einzelnes von solchen Modulen oder ein einzelnes Eines von einem oder mehreren Steuerungsschaltungen durch ein Enthalten von (i) eine Hardwareschaltung oder Schaltungsaufbau, wie es bei der Ausführungsform beschrieben ist, oder (ii) eine CPU zusammen mit Speicher, der Anweisungen speichert, die durch die CPU ausgeführt werden, oder (iii) beides, Hardwareschaltung und CPU zusammen mit Speicher, vorgesehen sein. Außerdem kann ein einzelner Einer von einer oder mehreren Steuerungsschaltungen in dem Netzwerkswitch 20 oder in einem externen Gerät, das mit dem Netzwerkswitch 20 über eine Kommunikationsverbindung verbunden ist, vorgesehen sein.
-
(3b) Bei der vorstehenden Ausführungsform speichert das Speicherverarbeitungsmodul 22 alle Elemente, Empfangsanschluss, Verwurfsfaktor und Zeitstempel, als die Verwurfsinformationen in dem Aufnahmespeicher 25. Allerdings ist die vorliegende Offenbarung nicht darauf beschränkt. Zum Beispiel kann das Speicherverarbeitungsmodul 22 konfiguriert sein, um zumindest eines von Datenelementen, die ein Empfangsanschluss, ein Verwurfsfaktor und Zeitstempel sind als die Verwurfsinformationen zu speichern.
-
(3c) Bei der vorstehenden Ausführungsform ist die Nummer von Verwürfen in Bezug auf jeden der Verwurfsfaktoren und die Summer der verworfenen Frames in dem Verwurfsinformationen enthalten. Allerdings ist die vorliegende Offenbarung nicht darauf beschränkt. Zum Beispiel kann die Anzahl von Verwürfen in Bezug auf jeden der Verwurfsfaktoren und die Summe der verworfenen Frames von den Verwurfsinformationen separat aufgenommen sein.
-
(3d) Bei der vorliegenden Ausführungsform wurde es beschrieben, dass die externe Anweisung von dem Werkzeug 35 von dem Anschluss eingegeben wird. Allerdings ist die vorliegende Offenbarung nicht darauf beschränkt. Zum Beispiel kann die Anweisung von einem physischen Kabel, das ein anderes als ein Anschluss it, eingegeben werden.
-
(3e) Verschiedene Funktionen, die durch ein einzelnes Element bei den Ausführungsformen, die vorstehend beschrieben wurden, vorgesehen sind, können durch mehrere Elemente vorgesehen sein. Eine einzelne Funktion, die durch ein einzelnes Element vorgesehen ist, kann durch mehrere Elemente vorgesehen sein. Außerdem kann eine Mehrzahl von Funktionen von einer Mehrzahl von Elementen durch ein Element implementiert werden oder eine Funktion, die durch eine Mehrzahl von Elementen implementiert ist, kann durch ein einzelnes Element implementiert sein. Ein Teil der Konfiguration der vorstehenden Ausführungsform kann ausgelassen werden. Zumindest ein Abschnitt der Konfiguration von einer der Ausführungsformen, wie vorstehend beschrieben sind, kann zu dem einer anderen der Ausführungsformen, die vorstehend beschrieben sind, hinzugefügt werden oder das der anderen einen der Ausführungsformen, die vorstehend beschrieben sind, ersetzen.
-
(3f) Zusätzlich zu dem Kommunikationssystem 1, der vorstehend beschrieben ist, kann die vorliegende Offenbarung auch in verschiedenen Formen wie z.B. einem Gerät oder Vorrichtung wie zum Beispiel einem Netzwerkswitch 20 als einer Komponente des Kommunikationssystems 1, ein Programm zum veranlassen eines Computers, wie das Gerät oder die Vorrichtung zu funktionieren, einem nicht flüchtigen greifbaren Speichermedium, bei dem das Programm aufgezeichnet ist, wie z.B. ein Halbleiterspeicher und einem Kommunikationsverfahren verwirklicht werden.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
