-
Die vorliegende Erfindung betrifft eine Sicherheitseineinheit bestehend aus parallel
arbeitenden Sensoren, Analyseeinheit und Gegenmaßnahmeneinheit zum Zweck der
Herstellung und Aufrechterhaltung der Sicherheit in einem Kommunikationsnetzwerk.
Außerdem betrifft sie ein Verfahren zur Herstellung und Aufrechterhaltung der Sicherheit
in einem Kommunikationsnetzwerk mittels einer Sicherheitseinheit bestehend aus parallel
arbeitenden Sensoren, Analyseeinheit und Gegenmaßnahmeneinheit.
-
Das Kommunikationsnetzwerk kann ein einzelnes Kommunikationsnetzwerk, eine
Verbund aus mehreren Kommunikationsnetzwerken, ein in mehrere kleinere in sich
selbstständige Kommunikationsnetzwerke unterteiltes großes Kommunikationsnetzwerk
oder eine Kombination aus den zuvor genannten Formen darstellen. Diese
Kommunikationsnetzwerke können sowohl logisch als auch physisch verschieden
ausgebildet sein und über eine beliebige Anzahl von Computersystemen verfügen.
-
Jede Kommunikation zwischen Computersystemen in einem oder mehreren
Kommunikationsnetzwerken und die Konfiguration dieser Computersysteme wirft Fragen
nach der Sicherheit auf. Jede Implementierung von Kommunikationsverfahren und
Anwendungen können unbewusst Sicherheitsrisiken oder Sicherheitslücken mit sich
tragen, die von potentiellen Angreifern ausgenutzt werden können. Dabei können diese
Personen ein Kommunikationsnetzwerk und die darin enthaltenen Computersysteme
sowohl von außen, als auch von innen unter der Ausnutzung der zuvor genannten Risiken
angreifen. Ein Kommunikationsnetzwerk ist per Definition immer einer Gefährdung
ausgesetzt, solange irgendeine Form der Kommunikation stattfindet.
-
Aus dem Stand der Technik sind eine Vielzahl unterschiedlicher Konfigurationen,
Anwendungen und Kommunikationsformen bekannt. Zur Lösung der
Sicherheitsproblematik werden sogenannte Firewalls eingesetzt. Firewalls prüfen nur ob
Datenpakete sich auf zugelassenen Pfaden zwischen Netzwerken bewegen.
Unberechtigte Zugriffe werden verwehrt und berechtigte Anfragen zugelassen. Ist eine
Anfrage berechtigt findet keine weitere Prüfung des tatsächlichen Inhalts statt. Das
fragliche Datenpaket kann zwar hinsichtlich seines Ursprungs- und Bestimmungsorts
augenscheinlich in Ordnung sein, jedoch für den Bestimmungsort einen schädlichen Inhalt
haben, der von einer Firewall nicht erkannt wird. Außerdem filtern Firewalls keinen
Datenverkehr innerhalb eines Kommunikationsnetzwerks, sondern nur Datenverkehr
zwischen Kommunikationsnetzwerken. Ein potentieller Angreifer, der sich bereits
innerhalb eines Kommunikationsnetzwerks befindet oder einen auf den ersten Blick
zugelassenen Kommunikationspfad von außen ausnutzt wird von der Firewall nicht
behelligt. Firewalls stellen demnach nur eine Art Pförtner für Kommunikationsnetzwerke
dar, der nur den Eingang und den Ausgang eines Gebäudes kontrolliert, jedoch nicht was
eine Person innerhalb dieses Gebäudes macht. Zusätzlich lassen sich Firewalls oft durch
verschiedene technische Maßnahmen, wie beispielsweise IP-Fragmentation oder TCP-
Segment-Boundary-Tricks überlisten.
-
Zusätzlich zu Firewalls existieren sogenannten Intrusion Detection Systems, die den Inhalt
von Datenpaketen auf Muster prüfen. Diese Mustererkennung bringt ein
schwerwiegendes Problem mit sich, dass für jedes potentiell schädliche Datenpaket ein
Muster definiert werden muss. Jedoch können Anfragen an ein Computersystem auf
vielfältige Weise formuliert werden. Ist eine Formulierungsvariante in der
Signaturdatenbank zur Mustererkennung nicht enthalten, wird ein potentiell schädliches
Paket nicht als ein solches erkannt. Außerdem ist durch die Prüfung auf mehrere Muster
trotz selber Bedeutung eine größere Rechenkapazität notwendig, als wenn nur eine
Prüfung durchgeführt werden muss. Es können in schnellen Netzwerken oft nur zwischen
50 Prozent und 70 Prozent des Netzwerkverkehrs überprüft werden. Ein potentieller
Angreifer könnte demnach gezielt versuchen ein System zu überlasten, so dass sein
Angriff auch das gewünschte Zielsystem erreicht. Intrusion Detection Systems bringen
vereinzelt Gegenmaßnahmen mit sich, die sich auf das Umkonfigurieren von Firewalls
und Routern, auf das Sperren von Benutzerkonten oder auf das Trennen von
Verbindungen beschränken. Diese Maßnahmen sind schon im Ansatz nicht durchdacht
und können für einen Angriff auf ein anderes System gezielt missbraucht werden.
Beispielsweise könnte ein potentieller Angreifer dafür sorgen, dass die Verbindung von
Kommunikationsnetzwerk A zu Kommunikationsnetzwerk B getrennt wird, damit er für
seinen Angriff gegenüber Kommunikationsnetzwerk B die Rolle eines Computersystems
aus Kommunikationsnetzwerk A einnimmt.
-
Als dritte Technik existieren noch Security Scanner, welche die Konfiguration von
Computersystemen auf vordefinierten Sicherheitslücken prüfen. Diese Werkzeuge prüfen
nur auf bestimmte Dateiversionen und Konfigurationseinstellungen, prüfen jedoch nicht
die tatsächliche Verletzbarkeit eines Computersystems oder die kumulative Wirkung von
Einstellungen bzgl. der Sicherheit. Auch sind diese Werkzeuge nicht ständig aktiv,
sondern führen im Rahmen eines Risk Assesments nur in Intervallen eine Prüfungen
durch. Es werden bestenfalls nur Anleitungen zur Beseitigung von Sicherheitslücken
geliefert, die Lücken jedoch nicht selbstständig gestopft.
-
Insbesondere zeigen ständig neue Meldungen über Viren, Würmer und Trojaner sowie
über Angriffe von Hackern, dass die bisher eingesetzten Werkzeuge in ihrer Form keinen
ausreichenden proaktiven Schutz bieten. Es ist deshalb die Aufgabe der vorliegenden
Erfindung eine Sicherheitseinheit dahingehend auszugestalten, dass die Sicherheit in
einem Kommunikationsnetzwerk zur jeder Zeit hergestellt und aufrechterhalten wird, so
dass potentielle Angriffe von innen und außen erfolglos bleiben.
-
Zur Lösung dieser Aufgabe schlägt die Erfindung ausgehend von der Sicherheitseinheit
der eingangs genannten Art vor, dass der Netzwerkverkehr über parallel arbeitende
Sensoren an verschiedenen Stellen in einem Kommunikationsnetzwerk geprüft wird und
potentiell schädliche Daten an eine Analyseeinheit gemeldet werden, die anstelle einer
Mustererkennung eine intelligente Protokoll- und Syntaxanalyse durchführt und nach einer
Bewertung mittels frei definierbaren und automatisch aktualisierbaren Maßnahmen und
Handlungsanweisungen über eine Gegenmaßnahmeneinheit regulierend in den
Datenverkehr eingreift. Zusätzlich werden über die Analyseeinheit ständig die
Konfiguration und die Verletzbarkeit von Computersystemen auf Sicherheitsrisiken und
Sicherheitslücken geprüft, welche beim Vorhandensein von der Gegenmaßnahmeneinheit
automatisch beseitigt werden.
-
Erfindungsgemäß ist erkannt worden, dass erst durch eine Sicherheitseinheit mit
intelligenter Protokoll- und Syntaxanalyse Daten mit geringerem Zeit- und
Rechenaufwand, als bei einer Mustererkennung als potentiell schädlich befunden werden
können und nur eine Definition alle denkbaren Formulierungen abdeckt, da ein
Datenpaket in seiner essentiellen Bedeutung verstanden wird. Durch den Einsatz von
parallel arbeitenden Sensoren zur Meldung von potentiell schädlichen Datenpaketen und
einer zentralen Analyseeinheit können potentiell schädlichen Datenpakete von
verschiedenen Quellen in ihrer gesamten Bedeutung für ein Kommunikationsnetzwerk
durch die erfindungsgemäße Sicherheitseinheit verstanden und anschließend bewertet
werden.
-
Die parallel arbeitenden Sensoren und die Analyseeinheit können beispielsweise als ein
Computersystem ausgebildet werden, wobei die Sensoren als datensammelnde und
erstbewertende Einheiten über eine besondere Schnittstelle (Promiscuous Mode,
Monitoring Port oder Intermediate Driver) zum Kommunikationsnetzwerk verfügen
müssen, damit sie allen Datenverkehr in erster Instanz prüfen können.
-
Gemäß einer vorteilhaften Weiterbildung der Erfindung wird vorgeschlagen, dass die
Sicherheitseinheit zusätzlich über eine Gegenmaßnahmeneinheit verfügt, die nach
erfolgter Analyse des Gesamtbildes durch eine Analyseeinheit ermöglicht regulierend in
den Datenverkehr einzugreifen. Dabei werden durch frei definierbare und automatisch
aktualisierbare Maßnahmen und Handlungsanweisungen eine maximale Flexibilität und
kürzeste Reaktionszeiten gewährleistet, so dass die erfindungsgemäße Sicherheitseinheit
auch zukünftige Bedrohungen und besondere Bedürfnisse eines
Kommunikationsnetzwerks berücksichtigt.
-
Gemäß einer anderen vorteilhaften Weiterbildung der erfindungsgemäßen
Sicherheitseinheit wird vorgeschlagen, die Analyseeinheit um eine Prüfungsfunktionalität
der Konfiguration und Verletzbarkeit durch Angriffe von innen und außen von
Computersystemen zu ergänzen. In logischer Konsequenz wird auch die
Gegenmaßnahmeneinheit um die Fähigkeit zur Beseitigung der aufgespürten
Sicherheitslücken erweitert. Die potentiellen Angriffe unter der Ausnutzung von
Sicherheitslücken, fehlerhaften Konfigurationen und der Kombinationen aus einzeln
betrachtet harmlosen Einstellungen stellen eine besonders große Gefahr für die
Datensicherheit dar.
-
Gemäß einer anderen vorteilhaften Weiterbildung der erfindungsgemäßen
Sicherheitseinheit wird vorgeschlagen, die Anzahl und Platzierung von parallel
arbeitenden Sensoren, Analyseeinheit und Gegenmaßnahmeneinheit an die logische und
physische Ausbildung eines Kommunikationsnetzwerks in einer hierarchischen Struktur
anzulehnen. Auf diese Weise können Kommunikationsnetzwerke jeglicher
Größenordnung, Form und Aufgabe von der erfindungsgemäßen Sicherheitseinheit
abgesichert werden.
-
Parallel arbeitende Sensoren, Analyseeinheit und Gegenmaßnahmeneinheit der
erfindungsgemäßen Sicherheitseinheit können sich beispielsweise auf einem
Computersystem befinden oder in Anlehnung an die physische und logische Ausbildung
eines Kommunikationsnetzwerkes auf mehrere Computersysteme in einer hierarchischen
Struktur verteilt werden. Dabei wird sichergestellt, dass jede Sicherheitseinheit beim
Ausfall einer anderen Sicherheitseinheit unabhängig von dieser weiter ihre
erfindungsgemäße Aufgabe verrichtet.
-
Eine weitere Aufgabe der vorliegenden Erfindung besteht darin, ein Verfahren der
eingangs genannten Art dahingehend auszugestalten und weiterzubilden, dass die
Sicherheit eines Kommunikationsnetzwerks herstellt und aufrechterhält.
-
Zur Lösung dieser Aufgabe schlägt die Erfindung ausgehend vom Verfahren der eingangs
genannten Art vor, dass über parallel arbeitende Sensoren an verschiedenen Stellen in
einem Kommunikationsnetzwerk der Netzwerkverkehr geprüft wird und potentiell
schädliche Daten an eine Analyseeinheit gemeldet werden, die anstelle einer
Mustererkennung eine intelligente Protokoll- und Syntaxanalyse durchführt und nach einer
Bewertung mittels frei definierbaren und automatische aktualisierbaren Maßnahmen und
Handlungsanweisungen über eine Gegenmaßnahmeneinheit regulierend in den
Datenverkehr eingreift. Zusätzlich werden über die Analyseeinheit ständig die
Konfiguration und die Verletzbarkeit von Computersystemen auf Sicherheitsrisiken und
Sicherheitslücken geprüft, welche beim Vorhandensein von der Gegenmaßnahmeneinheit
automatisch beseitigt werden.
-
Erfindungsgemäß ist erkannt worden, dass erst durch ein Verfahren mit intelligenter
Protokoll- und Syntaxanalyse Daten mit geringerem Zeit- und Rechenaufwand, als bei
einer Mustererkennung als potentiell schädlich befunden werden können und nur eine
Definition alle denkbaren Formulierungen abdeckt, da ein Datenpaket in seiner
essentiellen Bedeutung verstanden wird. Durch den Einsatz von parallel arbeitenden
Sensoren zur Meldungen von potentiell schädlichen Datenpaketen und einer zentralen
Analyseeinheit können bei diesem erfindungsgemäßen Verfahren potentiell schädliche
Datenpakete von verschiedenen Quellen in ihrer gesamten Bedeutung für ein
Kommunikationsnetzwerk verstanden und anschließend bewertet werden.
-
Gemäß einer vorteilhaften Weiterbildung der Erfindung wird vorgeschlagen, dass in das
Verfahren zusätzlich eine Gegenmaßnahmeneinheit integriert wird, die nach erfolgter
Analyse des Gesamtbildes durch eine Analyseeinheit ermöglicht regulierend in den
Datenverkehr einzugreifen. Dabei werden durch frei definierbare und automatische
aktualisierbare Maßnahmen und Handlungsanweisungen eine maximale Flexibilität und
kürzeste Reaktionszeiten gewährleistet, so dass das erfindungsgemäße Verfahren auch
zukünftige Bedrohungen und besondere Bedürfnisse eines Kommunikationsnetzwerkes
berücksichtigt.
-
Gemäß einer anderen vorteilhaften Weiterbildung der Erfindung wird vorgeschlagen, das
Verfahren um eine Prüfungsfunktionalität der Konfiguration und der Verletzbarkeit durch
Angriffe von innen und außen von Computersystemen zu ergänzen. In logischer
Konsequenz wird auch die Gegenmaßnahmeneinheit um die Fähigkeit zur Beseitigung
der aufgespürten Sicherheitslücken erweitert. Dadurch berücksichtigt das
erfindungsgemäße Verfahren die besonders große Gefahr für die Datensicherheit, die
durch die Ausnutzung von Sicherheitslücken, fehlerhaften Konfigurationen und der
Kombinationen aus einzeln betrachtet harmlosen Einstellungen durch potentielle Angreifer
entsteht.
-
Gemäß einer anderen vorteilhaften Weiterbildung des erfindungsgemäßen Verfahrens
wird vorgeschlagen, die Anzahl und Platzierung von parallel arbeitenden Sensoren,
Analyseeinheit und Gegenmaßnahmeneinheit an die logische und physische Ausbildung
eines Kommunikationsnetzwerks in einer hierarchischen Struktur anzulehnen. Auf diese
Weise können Kommunikationsnetzwerke jeglicher Größenordnung, Form und Aufgabe
von dem erfindungsgemäßen Verfahren abgesichert werden.
-
Die Erfindung könnte wie in folgendem Ablaufbeispielen dargestellt ausgeführt werden:
Beispiel eines Angriffs
-
- - Ein potentieller Angreifer versucht einen Webserver anzugreifen, um illegal Zugriff
auf den Bereich einer geschlossenen Benutzergruppe zu erlangen.
- - Er versucht über ein besonderes Paket die eingesetzte Web-Server-Software und
das verwendete Betriebsystem zu identifizieren.
- - Das Paket durchdringt die Firewall, da es sich auf gültigen Kommunikationspfaden
bewegt.
- - Die Sensoren entdecken das Datenpaket, verstehen es in seiner Bedeutung und
melden es an die Analyseeinheit.
- - Die Analyseeinheit bewertet dieses Paket als gefährlich, da solche Anfragen für
gewöhnlich als Vorbereitung auf einen Angriff dienen und informiert die
Gegenmaßnahmeneinheit.
- - Die Gegenmaßnahmeneinheit sorgt dafür, dass die Anfrage nicht von der Web-
Server-Maschine beantwortet wird.
- - Die Gegenmaßnahmeneinheit sendet eine Antwort mit falschen Inhalt an den
potentieller Angreifer zurück. Diese Antwort enthält falsche Daten, die eine andere
nicht im Unternehmen eingesetzte Web-Server-Software und ein anderes als das
verwendete Betriebsystem ausweisen.
- - Wenig später greift der potentielle Angreifer den Web-Server über eine Buffer-
Overflow-Attacke an, die speziell auf die von der Gegenmaßnahmeneinheit
gemeldeten Falschinformationen ausgelegt ist.
- - Das Paket durchdringt die Firewall, da es sich auf gültigen Kommunikationspfaden
bewegt.
- - Die Sensoren entdecken das Datenpaket, verstehen es in seiner Bedeutung und
melden es an die Analyseeinheit.
- - Die Analyseeinheit stellt fest, dass das Paket keine Bedrohung darstellt und eine
Reaktion auf die zuvor gesendeten Fehlinformationen ist. Es werden keine
weiteren Aktionen durchgeführt.
- - Der potentielle Angreifer versucht noch mehrfach den Web-Server mittels oben
genannten Pakets anzugreifen und gibt mangels Erfolg letztendlich auf.
Beispiel einer neuen Sicherheitslücke
-
- - Eine neue Sicherheitslücke wird der Erfindung durch den integrierten
Aktualisierungsmechanismus bekannt gemacht.
- - Die Analyseeinheit stellt fest, dass etliche Computersysteme von dieser
Sicherheitslücke betroffen sind und informiert die Gegenmaßnahmeneinheit.
- - Die Gegenmaßnahmeneinheit beseitigt die Sicherheitslücke nach den vorgegeben
Anweisungen auf allen betroffenen Systemen.
- - Die Analyseeinheit findet keine weiteren Sicherheitslücken.