-
HINTERGRUND
-
Durch
den jüngsten
Anstieg von Virus- und Wurmangriffen haben sich die Anstrengungen
in der Industrie dahingehend entwickelt, Rechengeräte, die an
ein Netzwerk gekoppelt sind, gegen diese Angriffe abzuhärten und
auch Maßnahmen
zum Schutz des Netzwerkes vor Rechengeräten, die für Angriffe anfällig sind,
einzurichten. Dies hat zu einer Anzahl von Initia tiven in der Industrie
geführt,
geheime und auf Standards basierende Netzwerk-Sicherheitsstrukturen und Kommunikationsprotokolle
zu definieren. Wenn sie eingesetzt werden, können diese auf Standards basierenden
Netzwerksicherheitsstrukturen Virus- oder Wurmangriffe in Grenzen
halten oder ihnen entgegenwirken. Zusätzlich haben Standardgruppen im
Institute for Electrical and Electronic Engineers (IEEE) und in
der Internet Engineering Task Force (IETF) Kommunikationsprotokolle
definiert oder sind im Begriff, sie zu definieren, die Druck ausüben können, zusätzliche
Netzwerksicherheit zur Verfügung zu
stellen. Diese Initiativen in der Industrie trachten danach, eine
strenge Zugriffssteuerung für
Rechengeräte,
die an ein Netzwerk angeschlossen sind, zur Verfügung zu stellen.
-
Gegenmaßnahmen,
die definiert worden sind, um vor Netzwerkangriffen zu schützen, haben hauptsächlich die
Form von Kommunikationsprotokollen der Schicht 2 der Open System
Interconnection (OSI), IEEE 802.1X. Siehe IEEE 802.1X-2001, veröffentlicht
am 25. Oktober 2001 ("IEEE
802.1X") und/oder
spätere
Versionen. Diese Kommunikationsprotokolle haben typischerweise eine
Hebelwirkung auf das von der IETF definierte erweiterbare Authentifizierungsprotokoll
(EAP – Extensible
Authentication Protocol) und damit verknüpfte Ableitungen, um die Referenzen
eines Rechengerätes
zu bestimmen, bevor dem Gerät
oder irgendeinem Element, das sich in diesem Gerät befindet/in ihm arbeitet,
erlaubt wird, auf das Netzwerk zuzugreifen. Siehe IETF, Network Working
Group, Request for Comments: 3748, Extensible Authentication Protocol,
veröffentlicht
im Juni 2004 ("RFC
3748"), und/oder
spätere
Versionen.
-
Sobald
eine anfängliche
Authentifizierung durchgeführt
worden ist (z. B. über
IEEE 802.1X und/oder RFC 3748) und einem Rechengerät der Zugriff
auf das Netzwerk gewährt
worden ist, kann ein zusätzliches
Protokoll ausgeführt
werden, welches einen sicheren Kommunikationskanal aufrecht erhält, über den
alle nachfolgenden Daten transportiert werden. Dieser sichere Kommunikationskanal
bietet Verschlüsselungsdienste
an, so wie Authentizität
des Ursprungs von Daten und Datenvertraulichkeit. Als ein Ergebnis
ist es wahrscheinlich, dass die vorherrschendsten Sicherheitsbedrohungen
verhindert oder unter Kontrolle gebracht werden. Für den Zugriff
auf ein drahtloses Netzwerk kann dieser sichere Kommunikationskanal
entsprechend dem IEEE 802.11i-2004, veröffentlicht im Juli 2004 ("IEEE 802.11i") und/oder späteren Versionen
arbeiten. Für den
Zugriff auf ein verdrahtetes Netzwerk kann der sichere Kommunikationskanal
entsprechend zweien mit dem IEEE 802.1X verwandten Spezifikationen
arbeiten. Die erste ist die IEEE 802.1AE, Entwurf 5.1, veröffentlicht
im Januar 2006 ("IEEE
802.1AE") und/oder
spätere
Entwürfe
oder Änderungen.
Die zweite ist eine Änderung
des IEEE 802.1X und ist die IEEE 802.1AF, Entwurf 0.4, veröffentlicht
im Januar 2006 ("IEEE
802.1AF") und/oder
spätere
Entwürfe oder Änderungen.
Zusätzlich
gibt es außerdem
Initiativen in der Industrie bezüglich
der Schicht 3 und der Schicht 4 des OSI für sichere Kommunikationskanäle. Diese
Initiativen für
die Schicht 3 und die Schicht 4 des OSI umfassen eine für die Sicherheit
des Internet-Protokolls(IPsec)-IETF, Network Working Group, RFC
2401, Security Architecture for the Internet Protocol, veröffentlicht
im November 1998 ("RFC
2401"), und eine
weitere für
die Sicherheit der Transportschicht (TLS – Transport Lager Security)-IETF,
Network Working Group, RFC 2246, The TLS Protocol Version 1.0, veröffentlicht
im Januar 1999 ("RFC 2246").
-
Ungeachtet
der Anstrengungen, die unternommen wurden, Rechengeräte gegen
Virus- und Wurmangriffe abzuhärten,
um ein gegebenes Netzwerk zu schützen,
hat die Forschung gezeigt, dass innerhalb eines typischen verdrahteten
Firmennetzwerks der Hauptanteil der Sicherheitseinbrüche von innerhalb
des Netzwerks herrührt.
Diese Einbrüche können vorsätzlich sein
oder als ein Nebeneffekt der Nachlässigkeit auf der Seite des
Benutzers eines Rechengerätes
auftreten. Zum Beispiel haben in der heutigen Umgebung viele Benutzer
mobile Rechengeräte
(z. B. Notebook-Computer), die innerhalb der Firma ebenso wie von
zu Hause aus genutzt werden. Innerhalb der Firma kann ein gewisser
Grad an Kontrolle durchgesetzt werden, um auf Netzwerkressourcen
zuzugreifen. Wenn der typische Benutzer jedoch ein Rechengerät mit dem
Internet von einer externen Quelle aus (von zu Hause, im Hotel,
im Internet-Cafe) verbindet, kann er/sie unbeabsichtigt einen Virus/Wurm
herunterladen, wenn eine nicht sichere Seite im Internet besucht
wird. Dieser Virus/Wurm kann bei der nächsten Verbindung des Rechengerätes mit
dem Netzwerk auf das Firmennetzwerk übertragen werden. Selbst innerhalb
der Firma können Strategien
nicht immer durchgesetzt werden – z. B. würde ein Nutzer nicht immer
die neuste Anti-Viren-Datei von der Firmenseite aktualisieren. Somit wird
das Netzwerk möglichen
Angriffen durch neue Viren oder Würmer ausgesetzt.
-
Herkömmliche
Technologien erlauben die Validierung der Identität und des
Zustandes eines Rechengerätes
(z. B. über
Integritäts-
oder Stellungs(posture)messungen), nachdem eine Anfrage nach Zugriff
auf das Netzwerk eingeleitet ist. Das Modell der IEEE 802.1X liefert
eine Struktur zum Transportieren zusätzlicher Protokolle, so wie
EAP, die Möglichkeiten
zum Austausch der authentifizierten Identität und Stellungsinformation
(posture information) des Rechengerätes zur Verfügung stellen,
bevor wenigstens irgendein Zugriff auf das Netzwerk erlaubt wird.
Dies unterstützt
beim Kontrollieren, ob irgendein(e) böswillige(s) Gerät/Software
ohne vorherige Bewertung in das Netzwerk eintritt. Dies wird erreicht,
indem eine Sicherheitslösung
am kleinsten gemeinsamen Nenner des Netzwerkstapels zur Verfügung gestellt
wird und eine Authentifizierung durchgeführt wird, bevor einem Rechengerät erlaubt
wird, eine IP-Adresse zu erlangen. Jedoch können nicht autorisierte oder
schurkenhafte Agenten weiter Zugriff erlangen, indem ein autorisiertes
Rechengerät nachgeahmt
wird oder der Authentifzierungsprozess parodiert wird.
-
KURZBESCHREIBUNG DER ZEICHNUNGEN
-
1 ist
eine Veranschaulichung von Elementen eines beispielhaften Systems;
-
2 ist
eine Veranschaulichung eines beispielhaften Systems, das eine Plattform,
die für
eine Virtualisierungstechnologie aktiviert ist, umfasst;
-
3 ist
ein Blockschaubild einer beispielhaften Architektur für eine Verwaltungsmaschine (manageability
engine);
-
4 ist
ein Ablaufdiagramm eines beispielhaften Verfahrens, um Zugriff auf
ein Netzwerk zu erhalten;
-
5 ist
eine Veranschaulichung eines beispielhaften Systems, welches eine
Plattform umfasst, die Zugriff auf mehrere Netzwerke erhält; und
-
6 ist
ein Ablaufdiagramm eines beispielhaften Verfahrens, das mehrere
Schichten eines hierarchischen Vertrauens einrichtet, um Zugriff
auf ein Netzwerk zu erhalten.
-
GENAUE BESCHREIBUNG
-
Wie
oben angesprochen haben Bestrebungen der Industrie es hervorgebracht,
Rechengeräte gegen
Virus- und Wurmangriffe abzuhärten
und Maßnahmen
einzurichten, das Verbreiten dieser Angriffe durch Schurken gegen
Netzwerke unter Kontrolle zu bringen. Wie es in weiteren Einzelheiten hiernach
beschrieben wird, ist eine große
Menge Vertrauen in Rechengeräte,
die an das Netzwerk koppeln, nötig,
um ein Netzwerk vor diesen Schurken zu schützen, die ein Netzwerk angreifen
können.
Zum Beispiel Vertrauen basierend auf Information, beispielsweise,
wenn das Rechengerät
und/oder seine Elemente behaupten, wer oder was sie sind und auch Information,
die erfassen kann, wenn Schurken dieses Vertrauen gefährden. Der
Grad des Vertrauens basierend auf dieser Information kann verwendet werden,
um festzustellen, welchen Zugriff das Rechengerät und/oder seine Elemente auf
das Netzwerk erhalten kann oder welche fördernden Maßnahmen nötig sind, wenn der Zugriff
verweigert wird.
-
Bei
einer Implementierung besteht ein Computernetzwerk (oder einfach
ein Netzwerk) aus zwei miteinander verbundenen Rechengeräten, die Sprach-
oder Datenverarbeitung zur Ver fügung
stellen. Der Ausdruck "Netzwerkgrenze" kann sich auf eine
logische Grenze zwischen einem Netzwerk und den Rechengeräten, die
sich außerhalb
des Netzwerks befinden, beziehen. Verschiedene Schemata für den Zugriff
auf ein Netzwerk liegen vor, um den Zugriff auf eine Netzwerkgrenze
zu steuern. Ein Beispiel eines Schemas für den Zugriff auf ein Netzwerk, um
den Netzwerkzugriff zu steuern, umfasst drei Netzwerk-Einheiten:
einen Anfragesteller für
einen Zugriff, einen Strategiedurchsetzungspunkt und einen Strategieentscheidungspunkt.
-
Bei
diesem beispielhaften Schema für
den Zugriff auf ein Netzwerk ist ein Anfragesteller für einen
Zugriff eine Einheit, die Zugriff auf ein Netzwerk (z. B. auf ein
geschütztes
Netzwerk) sucht. Der Antragsteller für einen Zugriff befindet sich üblicherweise
innerhalb einer Plattform für
ein Rechengerät. Praktisch
jedwedes Rechengerät,
eine Plattform oder ein Element (z. B. Hardware, Software, Firmware
oder eine Kombination aus diesen Elementen) innerhalb einer Plattform
kann ein Anfragesteller für einen
Zugriff sein.
-
Ein
Strategiedurchsetzungspunkt bei diesem beispielhaften Schema für den Zugriff
auf ein Netzwerk ist eine Einheit, die die Zugriffsentscheidungen des
Strategieentscheidungspunktes durchsetzt. Der Strategiedurchsetzungspunkt
kann auch in einen Authentifizierungs-/Autorisierungsprozess mit einem Anfragesteller
für einen
Zugriff eingreifen und die Ergebnisse des Authentifizierungs-/Autorisierungsprozesses
an den Strategieentscheidungspunkt weitergeben. Ein Strategiedurchsetzungspunkt
wird zum Beispiel an einem Schalter, an einer Firewall, als Teil eines
Gateways zu einem virtuellen privaten Netzwerk (VPN – Virtual
Private Network) und/oder auf der Plattform eines Rechengerätes über Hardware, Software
oder eine Kombination sowohl aus Hardware und Software implementiert.
-
Der
Strategieentscheidungspunkt bei diesem beispielhaften Schema für den Zugriff
auf ein Netzwerk ist eine Netzwerkeinheit, die entscheidet, ob einem
Antragsteller für
einen Zugriff Rechte für den
Zugriff auf das Netzwerk gegeben werden, basierend zum Beispiel
auf einer Netzwerkverwaltungsstrategie. Diese Netzwerkverwaltungsstrategien
können
eine oder mehrere Zugangssteuerstrategien umfassen, um zu bestimmen,
wer oder was auf das Netzwerk zugreifen darf. Die Netzwerkverwaltungsstrategien
können
auch eine oder mehrere Strategien zum Verhindern von Ausbrüchen, Strategien
zum Erfassen eines Eindringens und/oder Überwachungsstrategien und dergleichen
umfassen. Bei einem Beispiel ist der Strategieentscheidungspunkt
in einem Server implementiert, der zwischen das Netzwerk und den
Strategiedurchsetzungspunkt gekoppelt ist. Als ein alternatives
Beispiel sind der Strategiedurchsetzungspunkt und der Strategieentscheidungspunkt
als zwei logische Komponenten/Elemente implementiert, die räumlich zusammen
angeordnet sind (z. B. auf einer Plattform eines Rechengerätes, in
einem Netzwerkschalter, einem Netzwerkserver usw.).
-
Bei
einem Beispiel wird eine Anfrage nach Zugriff auf ein Netzwerk von
einem Anfragesteller für einen
Zugriff auf einer Plattform eingeleitet, die an ein Netzwerk gekoppelt
ist. Die Anfrage nach Zugriff auf ein Netzwerk wird an einen Strategieentscheidungspunkt
für das
Netzwerk gestellt. Ein sicherer Kommunikationskanal wird über eine
Kommunikationsverbindung zwischen dem Strategieentscheidungspunkt und
einem Strategiedurchsetzungspunkt auf der Plattform eingerichtet.
Ein sicherer Kommunikationskanal wird außerdem über eine weitere Kommunikationsverbindung
eingerichtet, wobei die weitere Kommunikationsverbindung sich zwischen
dem Strategiedurchsetzungspunkt und einer Verwaltungsmaschine (manageability
engine) befindet, die auf der Plattform angeordnet ist. Bei diesem
Beispiel leitet die Verwaltungsmaschine Stellungsinformation weiter,
die mit dem Anfragesteller für
einen Zugriff und der Verwaltungsmaschine verknüpft ist. Die Stellungsinformation
wird über
den sicheren Kommunikationskanal zwischen der Verwaltungsmaschine und
dem Strategiedurchsetzungspunkt geschickt. Die Stellungsinformation
wird dann über
den sicheren Kommunikationskanal zwischen dem Strategiedurchsetzungspunkt
und dem Strategieentscheidungspunkt an den Strategieentscheidungspunkt
geschickt. Der Strategieentscheidungspunkt dient dazu, anzugeben,
welchen Zugriff der Anfragesteller für einen Zugriff auf das Netzwerk
erhalten kann, basierend auf einem Vergleich der Stellungsinformation mit
einer oder mehreren Netzwerkverwaltungsstrategien.
-
1 ist
eine Veranschaulichung von Elementen eines beispielhaften Systems 100.
Bei einem Beispiel umfasst das System 100 drei Netzwerkeinheiten,
die oben beschrieben sind, um ein Schema für den Zugriff auf ein Netzwerk
zu implementieren. Diese drei Netzwerkeinheiten werden in weiteren Einzelheiten
hiernach als Elemente auf einer Plattform 101 und/oder
Teil eines Netzwerks, das mit der Plattform 101 gekoppelt
ist, beschrieben.
-
Wie
in 1 veranschaulicht, umfasst das System 100 die
Plattform 101, die durch den Strategieentscheidungspunkt 182 über eine
Kommunikationsverbindung 141 an das Netzwerk 180 koppelt.
Bei einem Beispiel umfasst die Kommunikationsverbindung 141 verdrahtete
oder drahtlose Wege, über
die die Plattform 101 an das Netzwerk 180 ankoppelt.
-
Bei
einer Implementierung, wie oben angesprochen, ist die Plattform 101 Teil
eines Rechengerätes.
Dieses Rechengerät
kann ein Desktop-Computer, ein Laptop-Computer, ein Notebook-Computer, ein
Server, ein Gerät
für die
digitale Breitbandtelefonie, ein digitales Heim-Netzwerkgerät (z. B. Kabel/Satellit/Settop-Box
usw.), ein persönlicher
digitaler Assistent (PDA) und dergleichen sein. Bei einem Beispiel
umfasst das Netzwerk 180 ein verdrahtetes oder drahtloses
Nahbereichsnetzwerk (LAN/WLAN), Fernbereichsnetzwerk (WAN/WWAN),
Mittelbereichsnetzwerk (MAN), ein persönliches Netzwerk (PAN) und
ein zellulares oder drahtloses Netzwerk für die Breitbandtelefonie, ist
aber nicht darauf beschränkt.
-
Bei
einem Beispiel umfasst die Plattform 101 die Software,
Hardware und/oder Firmware, um eine oder mehrere Funktionen für ein Rechengerät zu unterstützen. Diese
Aufgaben können
Aktivitäten
von Client/Host, Speicherung, allgemeine Verarbeitungsaufgaben usw.
umfassen. Wenigstens ein Teil dieser Software, Hardware und/oder
Firmware ist in 1 als Ressourcen 160 veranschaulicht.
Bei einer Implementierung stellen die Ressource 160A und 160B Speicher-
und Verarbeitungselemente dar, die jeweils Partitionen 110 und 120 zugeordnet
oder von diesen unabhängig
genutzt werden. Obwohl die Plattform 101 mit nur zwei Partitionen
gezeigt ist, ist diese Offenbarung nicht auf zwei Partitionen beschränkt, sondern
jede Anzahl von Partitionen auf einer Plattform in einem Rechengerät ist möglich. Wie es
für die 2 beschrieben
wird, können
diese Partitionen ein Teil einer Plattform sein, die Virtualisierungstechnologie
aktiviert.
-
Bei
einer Implementierung umfasst die Partition 110 ein Fähigkeiten-Betriebssystem
(COS – Capability
Operating System) 115. Bei einem Beispiel stellt das COS 115 diejenigen
Elemente dar, die auf eine Anfrage eines Benutzers antworten, um
Daten zu verarbeiten oder eine vom Benutzer eingeleitete Funktion
für ein
Rechengerät
auszuführen.
Das COS 115 ist als einen Agent bzw. Agenten 115A umfassend
veranschaulicht. Der/die Agent(en) 115A umfassen zum Beispiel
einen oder mehrere Agenten, um das Einleiten einer Anfrage nach
einem Zugriff auf das Netzwerk 180 zu vereinfachen und
um einen sicheren Kommunikationskanal zwischen einem Strategiedurchsetzungspunkt
und/oder einem Strategieentscheidungspunkt aufrecht zu erhalten,
sobald der Zugriff gegeben ist.
-
Bei
dieser Implementierung umfasst die Partition 120 ein Dienste-Betriebssystem
(SOS – Service Operating
System) 125. Bei einem Beispiel sorgt das SOS 125 für eine sichere
Ausführungsumgebung (nicht
gezeigt) für
Netzwerkzugriffssteuerungs (NAC – Network Access Control)-Kommunikationsprotokolle
(z. B. IEEE 802.1X und/oder RFC 3748). Zusätzlich kann das SOS 125 eine
sichere Ausführungsumgebung
zur Verfügung
stellen, um Authentifizierungsprozeduren zu implementieren, die
die Plattform 101 vor Elementen schützen, die mit der Plattform 101 gekoppelt
sind, und um möglicherweise
eine oder mehrere hierarchische Vertrauensschichten einzurichten,
um auf ein Netzwerk zuzugreifen. Diese Authentifizierungsprozeduren
umfassen, sind jedoch nicht beschränkt auf erweiterbare Auszeichnungssprachen
(XML – Extensible
Markup Language)-Signaturen und Zertifizierungen einer Infrastruktur
mit öffentlichem
Schlüssel
(PKI – Public
Key Infrastructure). Diese beiden Beispiele für Authentifizierungsprozeduren
sind wenigstens teilweise in IETF, Network Working Group,RFC 4210,
Internet X.509 Public Key Infrastructure Certificate Management
Protocol, veröffentlicht
im September 2005 ("RFC
4210"), und in IETF,
Network Working Group, RFC 3275, XML-Signature Syntax and Processing,
veröffentlicht
im März 2002
("RFC 3275"), beschrieben.
-
In
der 1 ist das SOS 125 als einen Agenten bzw.
Agenten 125A umfassend veranschaulicht. Der/die Agent(en) 125A führen zum
Beispiel Funktionen aus, um den Zugriff auf das Netzwerk für Elemente
auf der Plattform 101 zu vereinfachen, die den Zugriff
auf ein Netzwerk anfragen. Bei einem Beispiel umfasst der Agent
bzw. umfassen die Agenten 125A einen Strategiedurchsetzungsagenten,
der als ein Strategiedurchsetzungspunkt für einen Netzwerkadministrator
für das
Netzwerk 180 arbeitet. Bei einem Beispiel kann der Agent
bzw. können
die Agenten 125A auch als ein Zwischenträger zwischen
Elementen der Plattform 101 (z. B. dem COS 115)
und einem nicht vertrauenswürdigen
Netzwerk wirken. Dies kann einen sicheren Zugriff von einem Roaming-Ort vereinfachen,
um diese Elemente vor möglicherweise
schädlichen
oder böswilligen
Einheiten zu schützen.
Wie weiter unten beschrieben wird (siehe 6), kann
dies auch der Plattform 101 ermöglichen, wenigstens eine hierarchische
Vertrauensschicht einzurichten, um auf wenigstens ein Netzwerk zuzugreifen.
-
Bei
einem Beispiel umfasst die Plattform 101 eine Netzwerkschnittstelle 140.
Die Netzwerkschnittstelle 140 kann die Software, Hardware
und/oder hardwarenahe Software (Firmware) umfassen, um die Plattform 101 über verdrahtete
oder drahtlose Wege (z. B. einen Medienzugriffscontroller, einen drahtlosen
Transceiver, einen Digitalsignalprozessor, Antennen, Funk, Fabric-Schnittstelle
usw.) an ein Netzwerk zu koppeln. Die Netzwerkschnittstelle 140, wie
sie in der 1 veranschaulicht ist, kann
auch Filter 142 umfassen. Die Filter 142 sind
bei einem Beispiel Datenverkehrsfilter, die verwendet werden, um
den Fluss des Datenverkehrs zu und von der Plattform 101 über eine
Kommunikationsverbindung 141 zu steuern. Wie es in weiteren
Einzelheiten hiernach beschrieben ist, können die Filter 142 durch Ele mente
auf der Plattform 101 gebildet sein, um die Durchsetzung
von Netzwerkverwaltungsstrategien zu vereinfachen und um möglicherweise
eine oder mehrere hierarchische Vertrauensschichten einzurichten,
um auf ein Netzwerk zuzugreifen. Bei weiteren Beispielen werden
weitere Datenverkehrsfilter einer oder mehreren Partitionen der
Plattform 101 zugewiesen und durch weitere Elemente auf
der Plattform 101 gesteuert (z. B. das SOS 125,
den/die Agent(en) 125A, die Verwaltungsmaschine 150 usw.).
-
Bei
einer Implementierung umfasst die Plattform 101 eine Verwaltungsmaschine 150.
in der 1 dargestellt ist die Verwaltungsmaschine 150 über eine
Kommunikationsverbindung 121 mit dem SOS 125 und über eine
Kommunikationsverbindung 151 mit der Netzwerkschnittstelle 140 gekoppelt.
Bei einem Beispiel, wie es in weiteren Einzelheiten hiernach beschrieben
wird, umfasst die Verwaltungsmaschine 150 Logik und Speicher,
um einen sicheren Kommunikationskanal einzurichten (z. B. in dem XML-Signaturen
und/oder PKI-Zertifizierungen)
verwendet werden, mit einem Strategiedurchsetzungsagenten aus dem
Agent(en) 125A. Dieser sichere Kommunikationskanal wird
zum Beispiel über
die Kommunikationsverbindung 121 eingerichtet. Bei diesem
Beispiel erhält
die Verwaltungsmaschine 150 Stellungsinformation, die sowohl
mit ihr selbst als auch mit einem Anfragesteller für einen
Zugriff auf der Plattform 101 (z. B. das COS 115)
und/oder weiteren Elementen, die sich auf der Plattform 101 befinden
oder mit ihr verknüpft
sind, verknüpft
ist. Die erhaltene Stellungsinformation wird dann über den
sicheren Kommunikationskanal auf der Kommunikationsverbindung 121 zum
Strategiedurchsetzungsagenten geschickt. Bei einem Beispiel wird
diese Stellungsinformation, wie hiernach beschrieben, anschließend an
den Strategieentscheidungspunkt 182 geschickt.
-
In
einem weiten Sinne umfasst Stellungsinformation Integritätsmessungen,
die sich auf empirische Daten beziehen, welche von der Hardware,
der Software und/oder der Firmware einer Plattform gesammelt werden,
die mit einem Anfragesteller für
einen Zugriff verknüpft
oder diesem zur Unterstützung oder
Implementation zugewiesen ist (z. B. COS 115). Die Integri tätsmessungen
können
auch mit einer Verwaltungsmaschine (z. B. der Verwaltungsmaschine 150)
verknüpft
sein. Zum Beispiel werden die Integritätsmessungen direkt von der
Verwaltungsmaschine 150 oder mit der Unterstützung von
Elementen auf der Plattform 101 (z. B. Agent(en) 115A oder 125A) erhalten.
Die Verwaltungsmaschine 150 hat zum Beispiel direkten Zugriff
auf Hardwaredienste oder Ressourcen, die sich auf der Plattform 101 befinden (nicht
gezeigt). Diese Hardwareressourcen können Verarbeitungselemente,
Chipsatzregister, Speicher, Busse, Firmware usw. umfassen. Die Verwaltungsmaschine 150 kann
zum Beispiel direkt oder indirekt auf diese Hardwareressourcen zugreifen,
um Integritätsmessungen
zu erhalten, um Stellungsinformation für die Plattform 101 zu
sammeln.
-
Bei
einem Beispiel umfassen Integritätsmessungen
Anti-Viren-Parameter, den Status einer Firewall, Softwareversionen,
Hardwarestatus, Log/Trace-Dateien, das Vorhandensein einer gegebenen Software
im Speicher auf der Plattform und dergleichen. Bei einer Implementierung
wird gesammelte Stellungsinformation verwendet, um das Vorhandensein
und/oder die Fähigkeiten
bestimmter Agenten zu bestimmen, die mit einem Anfragesteller für einen
Zugriff und/oder einer Verwaltungsmaschine verknüpft sind. Zum Beispiel ist
Anti-Virus-Software
ein Agent, der in den Agent(en) 115A in dem COS 115 enthalten
ist. Die Integritätsmessungen
für Anti-Viren-Parameter
zum Beispiel bestimmen den Status (z. B. die jüngste Version), Fähigkeiten
und die Integrität/Authentizität dieses
Agenten.
-
Bei
einer Implementierung wird die Stellungsinformation, die von der
Verwaltungsmaschine 150 erhalten und verschickt wird, an
einen Strategieentscheidungspunkt 182 über einen sicheren Kommunikationskanal,
der über
die Kommunikationsverbindung 141 eingerichtet ist, geschickt.
Der Strategieentscheidungspunkt 182 gibt zum Beispiel an, welchen
Netzwerkzugriff auf das Netzwerk 180 der Anfragesteller
für einen
Zugriff erhalten kann, basierend auf einem Vergleich der Stellungsinformation mit
Netzwerkverwaltungsstrategien.
-
Bei
einem Beispiel nutzt das SOS 125 Agent(en) 125A,
um Stellungsinformation über
das COS 115 zu sammeln und diese Stellungsinformation entweder
direkt oder indirekt an den Strategieentscheidungspunkt 182 zu
transportieren. Zum Beispiel richtet das SOS 125 einen
sicheren Kommunikationskanal ein und implementiert außerdem Authentifizierungsprozeduren
mit dem Strategieentscheidungspunkt 182 (z. B. das kryptografische
Signieren ausgetauschter Information). Somit kann das Einrichten
des SOS 125 als einem vertrauenswürdigen Agenten, der direkt
die Stellungsinformation, die auf dem COS 115 für den Strategieentscheidungspunkt 182 gesammelt
wurde, weiter schicken kann, genutzt werden, um festzustellen, ob
dem COS 115 der Zugriff auf das Netzwerk 180 erlaubt
wird, ein zuvor erlaubter Zugriff aufrecht erhalten wird oder eine
gegebene hierarchische Vertrauensschicht aufrecht erhalten wird,
die erhalten wurde, als der Zugriff erlaubt wurde. Bei einem indirekten
Beispiel nutzt das SOS 125 die Verwaltungsmaschine 150 als
den vertrauenswürdigen
Agenten zum Strategieentscheidungspunkt 182. Somit wird
die Stellungsinformation zunächst
zur Verwaltungsmaschine 150 geschickt und wird dann anschließend an
den Strategieentscheidungspunkt 182 geschickt.
-
Wie
es oben kurz angesprochen wurde, kann bei einem Beispiel ein Agent
bzw. Agenten 125A, die in dem SOS 125 enthalten
sind, als Zwischenträger zwischen
Elementen der Plattform 101 und einem nicht vertrauenswürdigen Netzwerk
arbeiten. Bei diesem Beispiel ist das Element der Plattform 101 das COS 115.
Wenn somit zum Beispiel die Plattform 101 sich in einem
mobilen Rechengerät
befindet (z. B. in einem Notebook-Computer), können es der/die Agent(en) 125A einem
Benutzer erlauben, einen sicheren Zugriff von einem Roaming-Ort
zu erlangen, indem das COS 115 verwendet wird, ohne in
Gefahr zu laufen, durch böswillige
Gebilde bzw. Datensätze (z.
B. Würmer,
Viren usw.) geschädigt
oder überfallen zu
werden.
-
2 ist
eine Veranschaulichung eines beispielhaften Systems 200,
das eine Plattform 201 mit aktivierter Virtualisierungstechnologie
umfasst, um an das Netzwerk 280 zu koppeln. Wie es in der 2 veranschaulicht
ist, enthält
das System 200 ähnliche Elemente
wie das System 100, das in 1 dargestellt
ist. Bei einer Implementierung ist die Plattform 201 ein
Teil eines Rechengerätes
(nicht gezeigt), das über
eine Kommunikationsverbindung 241 entweder an ein LAN oder
ein WLAN (z. B. das Netzwerk 280) gekoppelt ist.
-
Bei
einem Beispiel ist die Plattform 201 so gestaltet, dass
sie gemäß einem
Schema der Virtualisierungstechnologie arbeitet. Dieses Schema teilt zum
Beispiel die Ressourcen auf, um eine Vielzahl von Betriebssystemen
zu unterstützen.
Wenigstens ein Teil dieser Ressourcen ist in der 2 als
Ressourcen 260 dargestellt. Bei einem Beispiel stellen Ressourcen 260A und 260B diejenigen
Ressourcen dar, die für
Partitionen 210 und 220 bestimmt oder von ihnen
unabhängig
genutzt werden. Das Virtualisierungsschema teilt diese Ressourcen
zum Beispiel in einer solche Weise auf, dass ein Betriebssystem getrennt
und unabhängig
von anderen Betriebssystemen arbeiten kann. Obwohl die 2 nur
zwei Partitionen auf der Plattform 201 veranschaulicht,
kann die Plattform 201 irgendeine Anzahl von Partitionen enthalten,
um eine Vielzahl von Betriebssystemen zu unterstützen.
-
Bei
einer Implementierung, wie in der 2 veranschaulicht,
umfasst die Plattform 201 Schnittstellen 205A–D, um das
Implementieren des Virtualisierungsschemas zu unterstützen. Zum
Beispiel ist die Schnittstelle 205A eine Schnittstelle,
die Verarbeitungselemente und Speicherressourcen für Virtualisierungsarbeitsgänge initialisiert
(z. B. eine zentrale Verarbeitungseinheit, einen Speichercontroller, Speicher
usw.). Die Schnittstelle 205B initialisiert zum Beispiel
ein Basis-Eingabe/Ausgabe-Systeme (BIOS – Basic Input/Output Systems)
für Virtualisierungsarbeitsgänge oder
bereitet sie darauf vor. Eine Schnittstelle 205C kann eine
Schnittstelle sein, um hardwarenahe Software auf der Plattform 201 zu
initialisieren (z. B. eine erweiterbare Schnittstelle für hardwarenahe
Software (EFI – Extensible
Firmware Interface) oder eine universelle erweiterbare Schnittstelle
für hardwarenahe
Software (UEFI – Universal Extensible
Firmware Interface)). Die Schnittstelle 205B kann eine
Schnittstelle sein, die zum Isolieren und Wiedergewinnen verwendet
werden kann (z. B. die Klienten-Isolations- und Wiedergewinnungstechnologie
(CIRT – Client
Isolation and Recovery Technology)), sollte es erforderlich sein,
dass die Plattform 201 von fern verwaltet wird, ohne dass
Betriebssysteme auf der Plattform 201 betroffen wären. Die Schnittstelle 205D kann
es auch einem oder mehreren Betriebssystemen (z. B. dem COS 215)
ermöglichen,
virtuelle Treiber zu benutzen, wie es hiernach diskutiert wird.
-
Bei
einem Beispiel umfasst die Partition 210 ein COS 215. Ähnlich dem
COS 115, das oben beschrieben ist, ist in einem Beispiel
das COS 215 ein Fähigkeiten-Betriebssystem.
Bei diesem Beispiel stellt das COS 215 die Elemente dar,
die auf die Anfrage eines Benutzers, Daten zu verarbeiten, antworten
oder eine vom Benutzer eingeleitete Funktion für ein Rechengerät (nicht
gezeigt) ausführen.
Das COS 215 umfasst bei einem Beispiel einen oder mehrere Agenten 215A.
Diese Agenten führen
zum Beispiel bestimmte Funktionen aus, um eine Zugriffsanfrage für das COS 215 auf
das Netzwerk 280 zu vereinfachen. Bei einem Beispiel sammelt
der Agent bzw. sammeln die Agenten 215A Stellungsinformation über das
COS 215 und weitere Elemente, die von dem COS 215 gesteuert
werden. Der/die Agent(en) 215A vereinfachen außerdem zum
Beispiel die sichere Kommunikation von dem COS 215. Diese
kann das Einleiten einer Zugriffsanfrage auf das Netzwerk 280 und
das Ausführen
irgendwelcher Prozesse, um sich selbst gegenüber dem Netzwerk 280 oder
gegenüber
Strategiedurchsetzung/Entscheidungspunkten für den Zugriff auf das Netzwerk 280 zu
authentifizieren, umfassen.
-
Bei
einer Implementierung koppelt die Partition 210 an virtuelle
Treiber 212A–B.
Bei dieser Implementierung werden diese Treiber als "virtuell" betrachtet, da sie
dem COS 215 als die tatsächlichen Treiber erscheinen
können,
jedoch tatsächlich
Speicherpositionen sind, die für
das COS 215 partitioniert sind. Als ein Ergebnis können andere
Elemente (z. B. das SOS 225) auf der oder gekoppelt an
die Plattform 201 mit den tatsächlichen Treibern koppeln und
können
somit Befehle, die in die partitionierten Speicherpositionen gebracht
worden sind, an diese tatsächlichen
Treiber verschicken. Auf die virtuellen Treiber kann zum Beispiel über die
Schnittstelle 205D zugegriffen werden. Der virtuelle Treiber 212A wird
zum Beispiel von dem COS 215 verwendet, um auf eine Schnittstelle
zu einem drahtlosen Netzwerk zuzugreifen oder mit dieser zu kommunizieren
(z. B. eine Netzwerkschnittstellenkarte (NIC) für ein WLAN). Der virtuelle
Treiber 212B wird zum Beispiel von dem COS 215 verwendet,
um auf eine Schnittstelle für
ein verdrahtetes Netzwerk zuzugreifen (z. B. eine NIC für ein LAN).
Zum Beispiel sind diese verdrahteten und/oder drahtlosen NICs in
der Netzwerkschnittstelle 240 enthalten.
-
Bei
einem Beispiel umfasst die Partition 220 ein SOS 225.
Das SOS 225, wie es in der 2 gezeigt
ist, umfasst einen oder mehrere Agenten 225A. Der/die Agent(en) 225A umfassen
bei einem Beispiel einen Strategiedurchsetzungsagenten, der es dem SOS 225 ermöglicht,
als ein Strategiedurchsetzungspunkt im Auftrag eines Netzwerkverwalters
für das Netzwerk 280 zu
arbeiten.
-
Bei
einer Implementierung greift der Agent bzw. greifen die Agenten 225A auf
Treiber 222A–E zu
oder steuern diese, die mit der Partition 220 gekoppelt
sind. Der Treiber 222A zum Beispiel erlaubt es dem/den
Agenten 225A, auf eine Schnittstelle für ein verdrahtetes Netzwerk
in der Netzwerkschnittstelle 240 zuzugreifen, und der Treiber 222B erlaubt den
Zugriff auf einen drahtlose Schnittstelle in der Netzwerkschnittstelle 240 (beide
nicht gezeigt). Auf den Treiber 222D zum Beispiel wird
von dem/den Agenten 225A zugegriffen, um mit der Verwaltungsmaschine 150 zu
kommunizieren.
-
Bei
einem Beispiel ist der Treiber 222C ein Treiber für einen
Strategiedurchsetzungsagenten aus der Anzahl des/der Agenten 225,
um Netzwerkverwaltungsstrategien durchzusetzen. Der Strategiedurchsetzungsagent
kann die Netzwerkverwaltungsstrategien durch Verwendung eines oder
mehrerer Lasttrennfilter (nicht gezeigt) durchsetzen. Diese Lasttrennfilter
können
sich innerhalb der Filter 242 in der Netzwerkschnittstelle 240 befinden
und/oder können
sich innerhalb von Partitionen auf der Plattform 201 befinden.
In diesem Sinne können
die Lasttrennfilter auf Hardware, hardwarenaher Software, Software
oder einer Kombination aus Hardware, Software oder hardwarenaher
Software basieren, die sich auf der Plattform 201 befindet.
Diese Lasttrennfilter werden zum Beispiel den Fluss des Datenverkehrs
zu oder von der Plattform 201 filtern. Somit kann der Strategiedurchsetzungsagent
den Treiber 222C ver wenden, um diese Lasttrennfilter zu
konfigurieren, so dass Datenverkehr blockiert (z. B. Schaltung getrennt
wird), wenn ein bestimmtes Kriterium, das mit den Netzwerkverwaltungsstrategien
verknüpft
ist, nicht erfüllt
ist. Dieses Kriterium basiert zum Beispiel auf Stellungsinformation,
die von der Verwaltungsmaschine 150 erhalten worden ist,
der Angabe darüber,
welcher Netzwerkzugriff von einem Strategieentscheidungspunkt für ein Netzwerk
erteilt worden ist, oder ein Verfahren zum Zugreifen oder Koppeln
an das Netzwerk, z. B. durch ein anderes Netzwerk.
-
Bei
einer Implementierung hält
oder hat das SOS 225 den Zugriff auf irgendeine Anzahl
von NAC-Kommunikationsprotokollen, um einen sicheren Kommunikationskanal
einzurichten oder aufrecht zu erhalten. Diese NAC-Kommunikationsprotokolle
sind zum Beispiel in 2 als NAC-Protokollstapel 262 dargestellt.
Bei einem Beispiel kann der NAC-Protokollstapel 262 in
einem Speicher (nicht gezeigt) gehalten oder gespeichert werden,
der in den Ressourcen 260 enthalten ist, auf die von dem
SOS 225 zugegriffen werden kann. Diese NAC-Kommunikationsprotokolle
umfassen verschiedene die Sicherheit betreffende Protokolle, die
zum Beispiel in industriellen Standards oder Initiativen beschrieben
sind. Diese industriellen Standards oder Initiativen umfassen, sind
jedoch nicht beschränkt
auf IEEE 802.1 AE/af für IEEE
802.1X-Protokolle, RFC 3748 für
EPA-Protokolle, RFC 2401 für
IPsec-Protokolle, RFC 2246 für TLS-Protokolle
und IEEE 802.11i für
Drahtlos-LAN-Protokolle. Bei einem Beispiel kann der Treiber 222E ein
Brückentreiber
sein, über
die ein Agent/Agenten 225A auf den NAC-Protokollstapel 262 zugreifen,
um einen sicheren Kommunikationskanal einzurichten.
-
Bei
einem Beispiel richtet ein Strategiedurchsetzungsagent, der in dem/den
Agenten 225A enthalten ist, einen sicheren Kommunikationskanal
mit dem Strategieentscheidungspunkt 282 über die Kommunikationsverbindung 241 ein.
Somit greift bei diesem Beispiel der Strategiedurchsetzungsagent über den
Treiber 222E auf den NAC-Protokollstapel 262 zu,
um diesen sicheren Kommunikationskanal einzurichten. Bei einer Implementierung
wird dieser sichere Kommunikationskanal auch verwendet, um Stellungsinformation
zu verschicken, die mit einem Antragsteller für einen Zugriff (z. B. dem
COS 215) verknüpft
ist.
-
Wie
es in der 2 veranschaulicht ist, umfasst
die Plattform 201 die Verwaltungsmaschine 150,
die über
die Kommunikationsverbindung 221 mit dem SOS gekoppelt
ist. Bei einem Beispiel, wie oben beschrieben, umfasst die Verwaltungsmaschinen 150 Logik
und Speicher, um einen sicheren Kommunikationskanal über die
Kommunikationsverbindung 221 einzurichten (z. B. indem
XML-Signaturen und/oder PKI-Zertifizierungen verwendet werden). Dieser
sichere Kommunikationskanal kann mit einem Strategiedurchsetzungsagenten
aus der Gruppe des/der Agenten 225A eingerichtet werden.
Bei diesem Beispiel erhält
die Verwaltungsmaschine 150 Stellungsinformation, die sowohl
mit ihr selbst als auch mit einem Anfragesteller für einen
Zugriff (z. B. dem COS 215) auf der Plattform 201 und/oder
anderen Elementen, die sich auf der Plattform 201 befinden
oder mit dieser verknüpft
sind, verknüpft
sind. Die erhaltene Stellungsinformation wird dann auf dem sicheren
Kommunikationskanal über
die Kommunikationsverbindung 221 an den Strategiedurchsetzungsagenten
geschickt.
-
Bei
einer Implementierung wird die Stellungsinformation, die von der
Verwaltungsmaschine 150 und/oder dem/den Agenten 225 erhalten
und verschickt wird, auch über
einen sicheren Kommunikationskanal, der über die Kommunikationsverbindung 241 eingerichtet
wird, an den Strategieentscheidungspunkt 282 geschickt.
Bei einem Beispiel gibt der Strategieentscheidungspunkt 282 an,
welchen Netzwerkzugriff auf das Netzwerk 280 der Anfragesteller
für den
Zugriff erhalten kann, basierend auf einem Vergleich der Stellungsinformation
mit den Netzwerkverwaltungsstrategien. Wie es oben für die 1 beschrieben
ist, kann dieser Prozess des Sammelns, Berichtens und Interpretierens
von Stellung durch verschiedene Merkmale in der Verwaltungsmaschine
und/oder einem Strategiedurchsetzungsagenten aus der Gruppe des/der
Agenten 225A durchgeführt
werden.
-
Bei
einer Implementierung, wie sie in der 2 gezeigt
ist, koppelt die Kommunikationsverbindung 243 die Verwaltungsmaschine 150 mit
der Netzwerkschnittstelle 240. Die Kommu nikationsverbindung 243 ist
zum Beispiel eine exklusive Kommunikationsverbindung, auf die nur
von der Verwaltungsmaschine 150 zugegriffen werden kann,
um Standard-Netzwerkverwaltungsstrategien
für die
Plattform 201 durchzusetzen. Zum Beispiel verwendet die Verwaltungsmaschine 150 als
Teil des Anstartens oder Hochfahrens der Plattform 201 die
Kommunikationsverbindung 243, um Filter 242 in
der Netzwerkschnittstelle 240 zu konfigurieren. Die Filter 242 können so
konfiguriert werden, dass nur Steuerdatenverkehr von Elementen auf
der Plattform 201 über
die Kommunikationsverbindung 241 fließen kann. Dieser Steuerdatenverkehr
umfasst zum Beispiel den Datenverkehr zwischen dem SOS 225 und
einem Strategieentscheidungspunkt für ein Netzwerk. Dieser Steuerdatenverkehr
kann einen sicheren Kommunikationskanal einrichten, um Zugriff auf
das Netzwerk zu erhalten. Als ein Ergebnis wird bei dieser Implementierung
der gesamte von der Plattform 201 fließende Datenverkehr, der nicht
das Einrichten eines sicheren Kommunikationskanals betrifft, blockiert,
bis der sichere Kommunikationskanal eingerichtet ist. Dieses Blockieren
richtet zum Beispiel eine erste hierarchische Vertrauensschicht
für den
Zugriff auf das Netzwerk 280 ein.
-
Bei
einer Implementierung sammelt die Verwaltungsmaschine 150,
statt oder zusätzlich
zu dem Implementieren von Standard-Netzwerkverwaltungsstrategien,
Information und leitet die Information durch das SOS 225 und über die
Kommunikationsverbindung 241 an einen Strategieentscheidungspunkt
für ein
Netzwerk. Diese Information kann mit einem privaten Schlüssel PKI
für die
Verwaltungsmaschine 150 verschlüsselt oder signiert werden.
Basierend wenigstens teilweise auf der Signatur mit dem privaten
Schlüssel
PKI vertraut der Strategieentscheidungspunkt darauf, dass die Verwaltungsmaschine 150 der
Sender der Stellungsinformation ist. Der Strategieentscheidungspunkt
kann dann Information, die mit einem Schlüssel PKI für den Strategieentscheidungspunkt
signiert ist, zurück
zur Verwaltungsmaschine 150 über die Kommunikationsverbindung 241 und
durch das SOS 225 schicken. Diese Information, wenn sie
entschlüsselt
ist, kann angeben, welcher Zugriff anfangs gegeben worden ist, damit
das SOS 225 einen sicheren Kommunikationskanal einrichtet
und einen besseren Zugriff auf das Netzwerk erhält. Bei einem Beispiel richtet
die Durchsetzung der Strategien durch das SOS 225, um sicherzustellen,
dass die Elemente der Plattform 201 nicht den bewilligten
Zugriff überschreiten,
eine zweite hierarchische Vertrauensschicht für den Zugriff auf das Netzwerk 280 ein.
-
Bei
einem Beispiel, als Teil von Hochfahrprozeduren, sammelt die Verwaltungsmaschine 150 Stellungsinformation,
die mit dem SOS 225 verknüpft ist, bevor ein Bild des
SOS 225 auf de Plattform 201 aktiviert wird (z.
B. partionierte Ressourcen zugewiesen werden). Die Verwaltungsmaschine 150 kann diese
Stellungsinformation mit Standard-Netzwerkverwaltungsstrategien
vergleichen, um sicherzustellen, dass das SOS 225 die richtigen
Referenzen bzw. Ausweise hat, um als ein Dienste-Betriebssystem
für die
Plattform 201 zu dienen. Dies kann verhindern, dass ein
schurkischer Agent das SOS 225 korrumpiert und als ein
vertrauenswürdiger
Agent für
die Plattform 201 arbeitet. Diese Standard-Netzwerkverwaltungsstrategien
können
das Authentifizierungs- und Integritätsanforderungen für das SOS 225 umfassen.
Zum Beispiel wird ein PKI-Authentifizierungsschema verwendet, um
das SOS 225 gegenüber
der Verwaltungsmaschine 150 zu authentifizieren. Ein Integritätsschema
kann verwendet werden, das einen Aufgabe-Antwort-Austausch (Challenge-Response Exchange)
zwischen der Verwaltungsmaschine 150 und dem SOS 225 umfasst,
jedoch nicht darauf beschränkt
ist. Dieses Authentifizierungs/Integritätsschema richtet zum Beispiel
wenigstens eine erste hierarchische Vertrauensschicht für den Zugriff
auf das Netzwerk 280 ein.
-
Die
Verwaltungsmaschine 150 leitet bei einem Beispiel, basierend
auf einem SOS 225, das die Standard-Netzwerkverwaltungsstrategien
nicht erfüllt,
Sanierungsmaßnahmen
ein. Zum Beispiel richtet die Verwaltungsmaschine 150 einen
sicheren Kommunikationskanal mit dem Strategieentscheidungspunkt 282 auf
dem Netzwerk 280 ein (z. B. über die Kommunikationsverbindungen 243 und 241).
Da dieser sichere Kommunikationskanal keinen Datenverkehr von Einheiten
auf der Plattform 201 außer von der Verwaltungsmaschine 150 hat,
ist der sichere Kommunikationskanal bei einem Beispiel eine Außenband-Netzwerkverbindung.
Bei diesem Beispiel fragt die Verwaltungsmaschine 150 nach
Information beim Erhalt eines neuen Bildes für das SOS 225 oder
beim Herunterladen eines Korrekturprogramms von einem Server, der über diese
Außenband-Netzwerkverbindung
mit dem Netzwerk 280 gekoppelt ist.
-
Bei
einem Beispiel umfasst die Verwaltungsmaschine 150 einen
NAC-Protokollstapel (z. B. in einem Speicher in der Verwaltungsmaschine 150 oder in
einem, auf den von ihr zugegriffen werden kann, gespeichert), um
das Einrichten und Aufrechterhalten dieser Außenband-Netzwerkverbindung zu vereinfachen,
bis das SOS 225 aktualisiert oder korrigiert ist.
-
Bei
einem weiteren Beispiel, basierend auf einem SOS 225, das
die Standard-Netzwerkverwaltungsstrategien nicht erfüllt, oder
einem SOS 225, dessen Bild nicht richtig aktiviert ist,
begrenzt oder beschränkt
die Verwaltungsmaschine 150 den Zugriff, den ein Anfragesteller
für einen
Zugriff auf der Plattform 201 erhalten kann, auf das Netzwerk 280. Bei
diesem Beispiel, da das COS 215 das SOS 225 nicht
benutzt, um anzufragen und Zugriff auf das Netzwerk 280 zu
erhalten, wird der Zugriff von der Verwaltungsmaschine 150 (z.
B. über
die Filter 242) beschränkt
oder begrenzt. Diese Beschränkung
kann wirksam bleiben, bis Sanierungsmaßnahmen vorgenommen sind, um
das SOS 225 richtig zu aktivieren und/oder es in Übereinstimmung
mit den Standard-Netzwerkverwaltungsstrategien zu bringen.
-
3 ist
ein Blockschaubild einer beispielhaften Architektur für die Verwaltungsmaschine 150. In 3 umfasst
die Verwaltungsmaschine 150 Sicherheitslogik 310,
Steuerlogik 320, Speicher 330, Eingabe/Ausgabe
(I/O)-Schnittstellen 340 und als Option eine oder mehrere
Anwendungen 350, die alle wie dargestellt gekoppelt sind.
-
Bei
einem Beispiel sind die Elemente, die im Blockschaubild der 3 dargestellt
sind, solche Elemente, die eine Verwaltungsmaschine 150 unterstützen oder
aktivieren, wie es in dieser Offenbarung beschrieben ist. Zum Beispiel
stellen die Sicherheitslogik 310 und die Steuerlogik 320 einzeln
oder gemeinsam irgendeines aus einer Vielfalt von logischen Geräten oder
ausführbarem
Inhalt dar, um die Merkmale der Verwaltungsmaschine 150 zu
implementieren. Diese(s) logische(n) Gerät(e) kann/können einen Mikroprozessor,
einen Netzwerk-Prozessor,
einen Diensteprozessor, einen Mikrocontroller, ein vor Ort modifizierbaren
Logikbaustein (FPGA – Field Programmable
Gate Array), eine anwendungsspezifische integrierte Schaltung (ASIC – Application
Specific Integrated Circuit), einen abgesonderten Thread oder Kern
eines Mehrkern/Multithread-Mikroprozessors, einen bestimmten Betriebsmodus
eines Prozessors (z. B. Systemverwaltungsmodus) oder eine Kombination
aus diesen umfassen.
-
In 3 umfasst
die Sicherheitslogik 310 ein Stellungsmerkmal 312,
ein Strategiemerkmal 314, ein Kommunikationsmerkmal 316 und
ein kryptografisches Merkmal 318. Bei einer Implementierung
verwendet die Sicherheitslogik 310 diese Merkmale, um mehrere
Funktionen auszuführen.
Diese Funktionen umfassen zum Beispiel das Erhalten von Stellungsinformation,
das Durchsetzen von Standard-Netzwerkverwaltungsstrategien, das
Einrichten eines sicheren Kommunikationskanals mit einem Strategiedurchsetzungsagenten,
das kryptografische Signieren der Stellungsinformation und das Schicken
der Information an den Strategiedurchsetzungsagenten. Diese Funktionen
können
auch das Verifizieren der Integrität und der Authentizität einer
Angabe durch einen Strategieentscheidungspunkt (z. B. den Strategieentscheidungspunkt 282)
darüber,
welchen Netzwerkzugriff (z. B. auf das Netzwerk 280) der
Anfragesteller für
einen Zugriff erhalten kann, basierend auf der geschickten Stellungsinformation,
umfassen. Bei einer weiteren Implementierung können diese Merkmale verwendet
werden, um Sanierungsmaßnahmen
vorzunehmen, falls standardmäßige oder
andere Netzwerkverwaltungsstrategien keinen Erfolg dabei haben,
den Zugriff zu erteilen, der von dem Anfragesteller für den Zugriff
gewünscht
oder benötigt
wird.
-
Die
Steuerlogik 320 kann den Gesamtbetrieb der Verwaltungsmaschine 150 steuern
und kann, wie oben angesprochen, irgendeines aus einer weiten Vielfalt
von logischen Geräten
oder ausführbarem
Inhalt darstellen, um die Steuerung der Verwaltungsmaschine 150 zu
implementieren. Bei alternativen Beispielen sind die Merkmale und
die Funktionalität der
Steuerlogik 320 innerhalb der Sicherheitslogik 310 implementiert.
-
Gemäß einem
Beispiel ist wenigstens ein Teil des Speichers 330 Speicher,
auf den ausschließlich von
der Sicherheitslogik 310 und der Steuerlogik 320 zugegriffen
werden kann, um Information zeitweilig zu speichern. Beispielsweise
einen geheimen Schlüssel,
der verwendet werden soll, um Stellungsinformation oder Information
in Bezug auf eine sichere Verbindung zwischen der Verwaltungsmaschine 150 und
einem Strategiedurchsetzungsagenten (z. B. aus dem/den Agenten 225A),
Information, um XML-Signaturen zu erzeugen, oder Informationen im Hinblick
auf Standard-Netzwerkverwaltungsstrategien kryptografisch zu signieren.
Auch kann ein NAC-Kommunikationsprotokollstapel in wenigstens einem
Teil des Speichers 330 gespeichert sein, um beim Einrichten
und Aufrechterhalten eines sicheren Kommunikationskanals über eine
Kommunikationsverbindung außerhalb
des Bandes zu unterstützen. Der
Speicher 330 kann auch ausführbaren Inhalt speichern. Der
ausführbare
Inhalt kann von der Steuerlogik 320 und/oder der Sicherheitslogik 310 verwendet
werden, um Merkmale oder Elemente der Verwaltungsmaschine 150 zu
implementieren oder zu aktivieren.
-
Die
I/O-Schnittstellen 340 können eine Schnittstelle über ein
Kommunikationsmedium oder eine Verbindung zwischen der Verwaltungsmaschine 150 und
Elementen, die sich auf einer Plattform (z. B. der Plattform 210)
befinden oder sich entfernt von dem Knoten befinden (z. B. ein Strategieentscheidungspunkt,
so wie der Strategieentscheidungspunkt 282), zur Verfügung stellen.
Als ein Ergebnis können die
I/O-Schnittstellen 340 die Sicherheitslogik 310 oder
die Steuerlogik 320 aktivieren, um eine Anzahl von Befehlen
von diesen Elementen zu erhalten. Die Anzahl der Befehle kann die
Sicherheitslogik 310 und/oder die Steuerlogik 320 aktivieren,
ein oder mehrere Merkmale der Verwaltungsmaschine 150 zu implementieren.
Dies kann das Durchsetzen von Standard-Netzwerkverwaltungsstrategien
umfassen.
-
Bei
einem Beispiel umfasst die Verwaltungsmaschine 150 eine
oder mehrere Anwendungen 350, um interne Befehle für die Steuerlogik 320 und/oder die
Sicherheitslogik 310 zur Verfügung zu stellen.
-
4 ist
ein Ablaufdiagramm eines beispielhaften Verfahrens, um einen Zugriff
auf ein Netzwerk zu erhalten. Bei einem Beispiel wird das System 200, das
in der 2 veranschaulicht ist, verwendet, um dieses Verfahren
zu beschreiben. In Block 410 wird beispielsweise eine Plattform,
so wie die Plattform 201 eingeschaltet oder hochgefahren.
Dieses Hochfahren kann geschehen, wenn Energie anfangs der Plattform 201 zur
Verfügung
gestellt wird oder verbunden mit einem Rücksetzen der Plattform.
-
Im
Block 420 aktiviert bei einem Beispiel nach dem Hochfahren
der Plattform 201 die Sicherheitslogik 310 in
der Verwaltungsmaschine 150 das Strategiemerkmal 314.
Das Strategiemerkmal 314 erhält bei einem Beispiel Standard-Netzwerkverwaltungsstrategien
(z. B. vom Speicher 330). Bei diesem Beispiel, basierend
auf diesen Standard-Netzwerkverwaltungsstrategien, konfiguriert
das Strategiemerkmal 314 die Filter 242 in der
Netzwerkschnittstelle 240. Wie oben angesprochen kann dies
ermöglichen,
dass nur Steuerdatenverkehr von Elementen auf der Plattform 201 fließt und dies
kann auch eine erste hierarchische Vertrauensschicht für den Zugriff auf
das Netzwerk 280 einrichten.
-
Bei
einer Implementierung aktiviert die Sicherheitslogik 310 außerdem das
Stellungsmerkmal 312, um Stellungsinformation zu erhalten,
die mit dem SOS 225 verknüpft ist. Wie oben angesprochen kann
diese Stellungsinformation erhalten werden, bevor das Bild des SOS 225 auf
der Plattform 201 aktiviert wird. Bei einem Beispiel vergleicht
das Strategiemerkmal 314 die Stellungsinformation mit den Standard-Netzwerkverwaltungsstrategien
und stellt fest, ob irgendwelche Sanierungsmaßnahmen benötigt werden, um sicherzustellen,
dass das SOS 225 als ein vertrauenswürdiger Agent für die Plattform 201 arbeiten
kann. Dies kann auch weiter die erste hierarchische Vertrauensschicht
einrichten.
-
Bei
einem Beispiel umfassen Sanierungsmaßnahmen Sicherheitslogik 310,
die das Kommunikationsmerkmal 316 aktivieren, um einen
sicheren Kommunikationskanal über
eine Außenband-Kommunikationsverbindung
mit dem Strategieentscheidungspunkt 282 aufrecht zu erhalten.
Zusätzlich
aktiviert zum Beispiel die Sicherheitslogik 310 das Verschlüsselungsmerkmal 318,
um für
die ausgetauschte Information eine zusätzliche Ebene der Sicherheit zur
Verfügung
zu stellen. Ein Beispiel dieser hinzugefügten Ebene der Sicherheit ist
hiernach für
den Block 460 beschrieben.
-
Im
Block 430 ist bei einem Beispiel eine Netzwerkzugriffsanfrage
von einem Anfragesteller für
einen Zugriff auf der Plattform 201 eingeleitet. Wie oben
angesprochen kann bei einem Beispiel der Anfragesteller für einen
Zugriff irgendein Element auf der Plattform 201 sein, das
Hardware, Software, hardwarenahe Software oder eine Kombination
dieser Elemente umfasst. Zum Beispiel ist der Anfragesteller für einen
Zugriff das COS 215. Die Anfrage nach einem Zugriff wird
bei einem Beispiel an den Strategieentscheidungspunkt 282 gerichtet.
-
Im
Block 440 wird bei einem Beispiel die Anfrage nach einem
Zugriff durch das SOS 225 auf der Plattform 201 vereinfacht.
Bei einer Implementierung läuft
die gesamte Netzwerkkommunikation von bestimmten Elementen der Plattform 201,
so wie dem COS 215, durch das SOS 225. Im Hinblick
darauf dient das SOS 225 als der Strategiedurchsetzungspunkt
für Netzwerkverwaltungsstrategien
für diese Netzwerkkommunikationen.
Bei einem Beispiel aktiviert das SOS 225 einen Strategiedurchsetzungsagenten
aus dem/den Agenten 225A, um Strategiedurchsetzungstätigkeiten
zu implementieren.
-
Bei
einer Implementierung richtet der Strategiedurchsetzungsagent aus
dem/den Agenten 225A einen sicheren Kommunikationssignal über die
Kommunikationsverbindung 241 mit dem Strategieentscheidungspunkt 282 ein.
Die Kommunikationsverbindung 241 kann einen verdrahteten,
einen drahtlosen oder eine Kombination aus einem verdrahteten oder
einem drahtlosen Weg umfassen. Zum Beispiel ist der Teil der Kommunikationsverbindung
zwischen dem SOS 225 und der Netzwerkschnittstelle 240 ein verdrahteter
Pfad, der auf der Plattform 201 geführt wird, und der Teil zwischen
der Netzwerkschnittstelle 240 und dem Strategieentscheidungspunkt 282 ist ein
drahtloser Pfad. Bei dieser Implementierung wird der sichere Kommunikationskanal
von dem Strategiedurchsetzungsagenten entsprechend einem oder mehreren
Protokollen für
die drahtlose und/oder verdrahtete NAC-Kommunikation, die zum Beispiel
in dem NAC-Protokollstapel 262 enthalten sind, eingerichtet
und dann aufrecht erhalten.
-
Im
Block 450 richtet bei einem Beispiel der Strategiedurchsetzungsagent
aus dem/den Agenten 225A außerdem einen sicheren Kommunikationskanal über eine
weitere Kommunikationsverbindung ein. Diese weitere Kommunikationsverbindung
ist zum Beispiel die Kommunikationsverbindung 221. Obwohl
die Kommunikationsverbindung 212 in der 2 so
veranschaulicht ist, dass sie mit dem Treiber 222D gekoppelt
ist, steuert bei einem Beispiel der Strategiedurchsetzungsagent
den Treiber 222D, der mit der Kommunikationsverbindung 221 gekoppelt ist.
Somit, da die Kommunikationsverbindung 221 mit dem Treiber 222D gekoppelt
ist, ist der Strategiedurchsetzungsagent mit der Kommunikationsverbindung 221 gekoppelt. Ähnlich der
sicheren Verbindung zwischen dem SOS 225 und dem Strategieentscheidungspunkt 282 wird
der sichere Kommunikationskanal zwischen der Verwaltungsmaschine 150 und
dem Strategiedurchsetzungsagenten eingerichtet und dann beibehalten,
indem XML-Signaturen und/oder
PKI-Zertifizierungen verwendet werden. Bei einer Implementierung
richtet das Kommunikationsmerkmal 316 der Sicherheitslogik 310 den
sicheren Kommunikationskanal mit dem Strategiedurchsetzungsagenten
aus dem/den Agenten 225A ein.
-
Im
Block 460 erhält
bei einem Beispiel das Stellungsmerkmal 312 Stellungsinformation,
die mit dem Anfragesteller für
einen Zugriff, dem COS 215, und mit der Verwaltungsmaschine 150 verknüpft ist. Diese
Stellungsinformation kann in Attributwertpaare (AVPs – Attribute-Value Pairs) oder
Typlängenwerte (TLVs – Type-Length
Values) umgewandelt werden, um das Verschicken der Stellungsinformation
an den Strategiedurchsetzungsagenten zu vereinfachen.
-
Bei
einer Implementierung liefert das kryptografische Merkmal 318 in
der Sicherheitslogik 310 eine zusätzliche Ebene der Sicherheit.
Bei dieser Implementierung erhält
das kryptografische Merkmal 318 einen geheimen Schlüssel (z.
B. vom Speicher 330) und signiert kryptografisch die Stellungsinformation
mit dem geheimen Schlüssel,
wobei PKI oder ein anderer Typ eines Verschlüsselungsschemas verwendet wird.
Als noch eine weitere Sicherheitsmaßnahme kann das kryptografische
Merkmal 318 auch eine einatomige Transaktions-ID oder ein
einmal verwendeter Wert (Nounce) sein, um die Lebendigkeit (z. B.
Zeitempfindlichkeit) zu beweisen und um sicherzustellen, dass eine
zwischengeschaltete Schurkenvorrichtung die Stellungsinformation
nicht einfangen und wiedergeben kann. Die einmal verwendete Zahl
kann zum Beispiel eine zeitempfindliche, zufällig erzeugte Zahl sein, die
an die Stellungsinformation angehängt wird. Die kryptografisch
signierte Stellungsinformation, einschließlich der einmal verwendeten
Zahl, wird dann an den Strategiedurchsetzungsagenten geschickt.
Der Strategiedurchsetzungsagent aus dem/den Agenten 225A schickt dann
bei einem Beispiel die kryptografisch signierte Stellungsinformation
an den Strategieentscheidungspunkt 282.
-
Im
Block 470 gibt der Strategieentscheidungspunkt 282 bei
einem Beispiel an, welchen Zugriff das COS 215 auf das
Netzwerk 280 haben kann. Zum Beispiel bewertet der Strategieentscheidungspunkt 282 zunächst die
Integrität
und Authentizität der
Stellungsinformation und vergleicht die Stellungsinformation dann
mit Netzwerkverwaltungsstrategien, um festzustellen, welcher Zugriff
auf das Netzwerk erlaubt werden kann.
-
Bei
einer Implementierung wird diese Angabe kryptografisch signiert
und enthält
die einmal verwendete Zahl, die von dem kryptografischen Merkmal 318 hinzugefügt worden
ist. Diese Angabe kann zum Beispiel kryptografisch signiert werden,
so dass sie nur von dem kryptografischen Merkmal 318 interpretiert
werden kann (z. B. über
die Verwendung eines PKI oder eines anderen Typs eines Verschlüsselungsschemas).
In dieser Hinsicht, sobald die Angabe von dem Strategieentscheidungspunkt 282 erhalten
worden ist, schickt der Strategiedurchsetzungsagent die Angabe an
die Verwaltungsmaschine 150.
-
Bei
einem Beispiel verifiziert das Verschlüsselungsmerkmal 318 die
Integrität
und die Authentizität
der Angabe, sobald die Verwaltungsmaschine 150 die Angabe
empfängt.
Dieses Bestimmen der Integrität
umfasst einen Vergleich der einmal verwendeten Zahl, die in der
Angabe enthalten ist, mit der einmal verwendeten Zahl, die in der
Stellungsinformation enthalten war, welche zuvor verschickt worden
war. Das Bestimmen der Authentizität umfasst die Verwendung von
Authentifizierungsprozeduren, so wie eine PKI-Zertifizierung oder
eine XML-Signatur. Bei einer Implementierung wird, falls die Angabe
Integrität
hat und authen tisch ist, die Angabe vom kryptografischen Merkmal 318 dekodiert,
und die Verwaltungsmaschine 150 schickt die dekodierte
Angabe an den Strategiedurchsetzungsagenten über den sicheren Kommunikationskanal
durch die Kommunikationsverbindung 221. Der Strategiedurchsetzungsagent
interpretiert dann beispielsweise, ob die dekodierte Angabe, die
von der Verwaltungsmaschine 150 verschickt worden ist,
den Zugriff erteilt, der von dem Anfragesteller für den Zugriff,
dem COS 215, angefragt worden ist.
-
Bei
einem Beispiel, falls das kryptografische Merkmal 318 herausfindet,
dass die Angabe nicht authentisch ist (z. B. die PKI-Zertifizierung
versagt oder eine ungültige
XML-Signatur vorliegt) oder ihr die Integrität fehlt (z. B. passt die einmal
verwendete Zahl nicht zu der einmal verwendeten Zahl, die anfangs angehängt worden
ist und/oder es fehlt die Lebendigkeit), wird die kryptografisch
signierte Stellungsinformation wieder verschickt (z. B. den Tätigkeiten
folgend, die im Block 460 vorgenommen worden sind), wobei
eine neue einmal verwendete Zahl eingeschlossen wird. Das erneute
Verschicken mit einer neuen, einmal verwendeten Zahl kann zum Beispiel Täuschungsversuche
von einer schurkischen Recheneinrichtung durchkreuzen, die als ein
Strategieentscheidungspunkt arbeitet.
-
Im
Block 480 wurde bei einem Beispiel dem COS 215 der
Zugriff auf das Netzwerk erteilt. In diesem Fall kann die Ebene
des Netzwerkzugriffes durch den Strategiedurchsetzungsagenten aus dem/den
Agenten 225A durch die Konfiguration der Filter 242 in
der Netzwerkschnittstelle 240 oder anderer Datenverkehrsfilter
innerhalb der Partitionen der Plattform gesteuert werden. Da diese
Angabe Netzwerkverwaltungsstrategien widerspiegelt, setzt bei diesem
Beispiel der Strategiedurchsetzungsagent Netzwerkverwaltungsstrategien
durch, wenn er die Angabe interpretiert und die Datenverkehrsfilter
auf der Plattform 201 basierend auf der Interpretation konfiguriert.
Somit wird zum Beispiel eine zweite hierarchische Vertrauensschicht
für den
Zugriff auf das Netzwerk 280 eingerichtet.
-
Im
Block 490 war bei einem Beispiel der Zugriff auf das Netzwerk
nicht bewilligt worden. In diesem Fall können der/die Agent(en) 225A in
dem SOS 225 bestimmen, welche Tätigkeiten erforderlich sind, um
den gewünschten
Zugriff zu erhalten. Bei einer Implementierung umfasst die Angabe
auch Information, wie diese Tätigkeiten
vorzunehmen sind. Zum Beispiel das Aktualisieren von Anti-Viren-Software oder
das Herunterladen von Korrektursoftware von bestimmten internen
oder externen Servern, die an das Netzwerk 280 gekoppelt
sind, oder das Implementieren einer Zugriffssteuerstrategie, die
Zugriffssteuerlisten (ACLs – Access
Control Lists) umfassen, was zum Neukonfigurieren der Datenverkehrsfilter auf
der Plattform 201 (z. B. der Filter 242) führen kann.
-
Bei
einem Beispiel schließen
der/die Agent(en) 225A die Sanierungsmaßnahmen ab, die in der Angabe
von dem Strategieentscheidungspunkt 282 beschrieben worden
sind. Diese Sanierungsmaßnahmen
umfassen zum Beispiel das Aktualisieren von Anti-Viren-Software,
das Herunterladen einer Korrektursoftware von einem Server und das
Herunterladen oder Installieren vorgegebener Software, sind jedoch
nicht darauf beschränkt.
Die Sanierungsmaßnahmen
können
auch das Konfigurieren von Datenverkehrsfiltern 242 auf
der Kommunikationsverbindung 241 umfassen, um eine Zugriffssteuerstrategie
zu implementieren, damit die Zugriffssteuerstrategie durchgesetzt
werden kann. Basierend auf dem Abschließen einer oder mehrerer Sanierungsmaßnahmen
kann der Strategiedurchsetzungsagent aus dem/den Agent(en) 252A fordern,
dass die Verwaltungsmaschine 150 aktualisierte Stellungsinformation
erhält,
die die vorgenommenen Sanierungsmaßnahmen wiedergibt. In diesem
Fall kehrt der Prozess zum Block 460 zurück.
-
Bei
einer Implementierung wird ein sicherer Kommunikationskanal zwischen
dem Strategieentscheidungspunkt 282 und dem SOS 225 eingerichtet,
und ein weiterer sicherer Kommunikationskanal wird außerdem zwischen
dem Strategiedurchsetzungsagenten und der Verwaltungsmaschine 150 eingerichtet.
Somit kehrt bei dieser Implementierung für nachfolgende Anfragen auf
Zugriff durch Anfragesteller für
einen Zugriff auf der Plattform 201 der Prozess zum Block 460 zurück.
-
5 ist
eine Veranschaulichung eines beispielhaften Systems 500,
das die Plattform 101 enthält, welches Zugriff auf mehrere
Netzwerke erhält. Wie
in der 5 gezeigt, umfasst das System 500 die
Plattform 101, die über
den Strategieentscheidungspunkt 182 an das Netzwerk 180 gekoppelt
ist. Bei dem System 500 ist in der 5 auch gezeigt, dass
es die Netzwerke 520 und 530 enthält, die
jedes einen Strategieentscheidungspunkt 522 bzw. 532 hat.
-
Bei
einer Implementierung umfasst die Plattform 101 dieselben
Elemente, wie sie für
die 1 beschrieben worden sind, und erlangt über den
Strategieentscheidungspunkt 182 den Zugriff auf das Netzwerk 180 und
hält ihn
aufrecht, wie es für 1 beschrieben
ist. Als Teil dieses Zugriffsprozesses versucht die Plattform 101,
einen sicheren Kommunikationskanal über die Kommunikationsverbindung 141 einzurichten.
Dies kann, wie oben angesprochen, das Durchsetzen von Standard-Verwaltungsstrategien
durch die Verwaltungsmaschine 150 umfassen. Eine solche
Strategie kann eine Anforderung umfassen, dass das SOS 125 auf
der Plattform 101 authentifiziert und/oder richtig aktiviert
wird, bevor irgendein Zugriff erlaubt wird. Somit werden zum Beispiel
die Anfragen auf Zugriff auf das Netzwerk, die von den COS 115 gestellt
worden sind, von der Verwaltungsmaschine 150 blockiert
werden, wenn das SOS 125 nicht authentifiziert und/oder
richtig aktiviert ist.
-
Bei
dieser Implementierung wird, basierend auf dem SOS 125,
das authentifiziert und richtig aktiviert ist, und der Stellungsinformation,
die den Verwaltungsstrategien für
das Netzwerk 180 entspricht, einem Anfragesteller für einen
Zugriff auf der Plattform 101 der Zugriff auf das Netzwerk 180 durch
den Strategieentscheidungspunkt 182 gewährt. Der Anfragesteller für einen
Zugriff sucht dann den Zugriff auf weitere Netzwerke, so wie dem
Netzwerk 520 oder 530. Das Einleiten dieses weiteren
Zugriffs umfasst zum Beispiel das Einrichten von sicheren Kommunikationskanälen über Kommunikationsverbindungen 521 oder 431 zu
Strategieentscheidungspunkten 532 bzw. 534. Der
Zugriff auf jedes Netzwerk wird zum Beispiel erhalten, wie es für die 1–4 beschrieben
ist.
-
6 ist
ein Ablaufdiagramm eines beispielhaften Verfahrens, um mehrere Schichten
eines hierarchischen Vertrauens einzurichten, um Zugriff auf ein
Netzwerk zu erhalten. Bei einem Beispiel wird das System 500,
das in der 5 veranschaulicht ist, verwendet,
um dieses Verfahren zu beschreiben. Bei diesem Verfahren befindet
sich die Plattform 101 innerhalb eines Rechengerätes, z.
B. eines Notebook-Computers. Ein Benutzer dieses Notebook-Computers kann eine
Person sein, die in einem Unternehmen angestellt ist, mit möglichen
Zugriffsprivilegien auf ein Unternehmensnetzwerk (z. B. ein zweites
Netzwerk – das
Netzwerk 530). Bei diesem Beispiel reist der Benutzer und
verwendet den Notebook-Computer, um Zugriff auf das LAN eines Hotels zu
erlangen (z. B. ein erstes Netzwerk – das Netzwerk 180),
das an das Internet angekoppelt ist. Der Nutzer beispielsweise nutzt
diesen Zugriff auf das LAN des Hotels, das Netzwerk 180,
um Zugriff auf das Fimennetzwerk, das Netzwerk 530, zu
erlangen.
-
Wie
es in dem beispielhaften Ablaufdiagramm der 6 veranschaulicht
ist, werden drei Schichten eines hierarchischen Vertrauens eingerichtet,
bevor Zugriff auf das Netzwerk 530 erhalten wird, die Vertrauensschichten 610, 620 und 630.
Für die
Vertrauensschicht 610 setzt die Blockverwaltungsmaschine 150 beispielsweise
eine Strategie durch (z. B. aus Standard-Netzwerkverwaltungsstrategien), die
den Zugriff auf ein Netzwerk durch einen Anfragesteller für einen
Zugriff (z. B. das COS 115) nur dann erlaubt, wenn das
Dienste-Betriebssystem (z. B. das SOS 125) heraufgefahren
ist und läuft und/oder
auf der Plattform 101 richtig aktiviert ist. Im Block 612 überwacht
die Verwaltungsmaschine 150 zum Beispiel die Plattform 101 und
bestimmt im Block 614 basierend auf der Überwachung,
ob der Strategie der Aktivierung des SOS 125 entsprochen wird.
Zum Beispiel wird im Block 616, wenn der Strategie entsprochen
wird, eine erste hierarchische Vertrauensschicht eingerichtet, und
der Anfragesteller für
einen Zugriff erhält
den Zugriff auf das Netzwerk 180.
-
Für die Vertrauensschicht 620 setzt
das SOS 125 eine oder mehrere Strategien durch, z. B. aus der
Gruppe der Standard-Netzwerkverwaltungsstrategien. Diese Strategien
basieren zum Beispiel darauf, dass das Netzwerk 530 fordert,
dass irgendeine Plattform, die an das Netz werk 530 durch
ein anderes Netzwerk gekoppelt ist, diese Strategien durchsetzt,
bevor sie den Zugriff durch das andere Netzwerk sucht. Zum Beispiel
setzt das SOS 125 diese Strategien durch, indem Protokollfilterung
(z. B. über die
Filter 142) und/oder Proxy-Dienste bereit gehalten werden,
um sicherzustellen, dass schädlicher
Inhalt daran gehindert wird, zum COS 115 zu gelangen, wenn
es den Zugriff auf das Netzwerk 530 durch das Netzwerk 180 sucht.
Diese Strategien können
zum Beispiel auch eine Strategie mit einer Zugriffssteuerliste,
eine das Ausbrechen verhindernde Strategie, eine das Eindringen
erfassende Strategie oder andere Typen von überwachenden Strategien, die
zusätzlich
zu dem Proxy-Überwachen
stattfinden, umfassen, sind jedoch nicht darauf beschränkt.
-
Im
Block 622 überwacht
zum Beispiel das SOS 125 die Kommunikation zwischen dem
PDP (Strategieentscheidungspunkt) 182 für das Netzwerk 180 und
dem COS 115. Um die Strategien durchzusetzen und um das
COS 115 zu schützen,
kann zum Beispiel das SOS 125 den Datenverkehr überwachen,
indem es als ein HTTP(s)-Proxy für
die Netzwerkverbindung zwischen dem COS 115 und dem Netzwerk
des Hotels, dem Netzwerk 180, dient. Das SOS 125 kann
auch als ein HTTP(s)-Client für
den Strategieentscheidungspunkt 182 oder andere Elemente
des Netzwerks 180 dienen.
-
Im
Block 624 kann zum Beispiel, als ein Proxy sowohl für das COS 115 und
Elemente des Netzwerks 180, das SOS 125 jeden
gefährlichen
Datenverkehr, der für
das COS 115 bestimmt ist, überprüfen und filtern/stoppen. Das
SOS 125 kann auch Datenverkehr, der von dem COS 115 kommt, überprüfen und
filtern/stoppen. Da das SOS 125 bewirkt, dass jedwede Kommunikation,
die zu/von dem COS 115 läuft, durch die Filterung geht
und auch als ein Proxy wirkt, ist bei einem Beispiel die Strategie
des Schützens
des COS 115 erfüllt.
Somit wird am Block 626 beispielsweise eine zweite hierarchische
Vertrauensschicht eingerichtet, und das COS 115 kann weiter
den Zugriff auf das Netzwerk 530 durch das Netzwerk 180 suchen.
-
Für die Vertrauensschicht 630 kann
bei einem Beispiel der Zugriff auf das Netzwerk 530 erhalten
werden, wie es für
die 1–4 beschrieben ist.
Im Block 632 wird zum Beispiel Stellungsinformation gesammelt
und dem PDP 532 für
das Netzwerk 530 zur Verfügung gestellt. Wie es in 6 veranschaulicht
ist, kann diese Stellungsinformation von der Verwaltungsmaschine 150 und/oder
dem SOS 125 zur Verfügung
gestellt werden. Die Information kann beispielsweise von der Verwaltungsmaschine 150 kryptografisch
signiert werden oder sowohl von der Verwaltungsmaschine als auch
dem SOS 125 kryptografisch signiert werden.
-
Im
Block 634 vergleicht zum Beispiel der PDP 532 die
Stellungsinformation mit den Verwaltungsstrategien des Netzwerks 530 und
sendet eine Angabe zurück
an die Verwaltungsmaschine 150 und/oder das SOS 125,
den Zugriff, der erteilt worden ist, betreffend. Auch wie es oben
für die 1–4 angesprochen
ist, kann diese Angabe zum Beispiel die Konfiguration/Neukonfiguration
von Filtern oder empfohlene Sanierungsmaßnahmen umfassen. Zum Beispiel
konfiguriert das SOS 125 die Filter 142 basierend
auf der Angabe, um die Verwaltungsstrategien des Netzwerks 530 durchzusetzen.
-
Im
Block 636 wird zum Beispiel eine dritte hierarchische Vertrauensschicht
basierend auf der Konfiguration der Filter 142 durch das
SOS 125 oder die Verwaltungsmaschine 150 eingerichtet,
die die Verwaltungsstrategien des Netzwerks 530 durchsetzt oder
Sanierungsmaßnahmen
vornimmt, die das COS 115 und/oder andere Elemente der
Plattform 101 in Übereinstimmung
mit den Strategien bringt. Bei einem Beispiel hat das COS 115 ausreichend
Zugriff auf das Netzwerk 530 erlangt, um eine VPN-Verbindung
zu einem Server auf dem Netzwerk 530 einzurichten (z. B.
gemeinsam genutzte Laufwerke oder Firmendatenbanken). Bei einem
Beispiel sind, sobald die VPN-Verbindung eingerichtet ist, die Tätigkeiten,
die das SOS 125 und/oder die Verwaltungsmaschine 150 vornehmen,
um die erste und die zweite hierarchische Vertrauensschicht zu erhalten,
nicht mehr erforderlich oder werden verringert. Zum Beispiel wird
das SOS 125 nicht mehr als ein Proxy arbeiten und/oder
die Kommunikation zu/von den COS 115 filtern, solange die
VPN-Verbindung aufrechterhalten ist.
-
Bei
einem Beispiel können
das SOS 125 und/oder die Verwaltungsmaschine 150 periodisch Stellungsinformation
für das
COS 115 oder die Plattform 101 sammeln und die
Stellungsinformation an den Strategieentscheidungspunkt 532 schicken,
um die dritte hierarchische Vertrauensschicht aufrecht zu erhalten.
Als ein Ergebnis kann der Strategieentscheidungspunkt 532 Information
im Hinblick auf den Status des COS 115 empfangen und den
Zugriff einschränken,
sollte der Status Netzwerkverwaltungsstrategien verletzen. Dieser
eingeschränkte
Zugriff kann zum Beispiel eine Forderung enthalten, die Verwaltungsmaschine 150 zu
benutzen, um das SOS 125 wieder zu authentifizieren und/oder
Sanierungsmaßnahmen
vorzunehmen, um eine oder mehrere der hierarchischen Vertrauensebenen
zurück
zu bekommen oder neu einzurichten.
-
Mit
Bezug wieder auf den Speicher 330 in 3 kann
der Speicher 330 eine weite Vielfalt von Speichermedien
umfassen, die einen flüchtiger
Speicher, einen nicht flüchtigen
Speicher, Flash, programmierbare Variablen oder Zustände, einen
Speicher mit wahlfreiem Zugriff (RAM – Random Access Memory), Nur-Lese-Speicher
(ROM – Read-Only
Memory), Flash oder andere statische oder dynamische Speichermedien
umfassen, ist jedoch nicht darauf beschränkt.
-
Bei
einem Beispiel können
maschinenlesbare Befehle an den Speicher 330 von einer
Form eines Mediums, auf das eine Maschine zugreifen kann, geliefert
werden. Ein Medium, auf das eine Maschine zugreifen kann, kann irgendeinen
Mechanismus darstellen, der Information oder Inhalt in einer Form
zur Verfügung
stellt (d. h. speichert und/oder sendet), die von einer Maschine
(z. B. einer ASIC, einem speziell arbeitenden Controller oder Prozessor,
einem FPGA, einer Verwaltungsmaschine oder einer anderen Hardwarevorrichtung)
lesbar ist. Zum Beispiel kann ein Medium, auf das durch eine Maschine
zugreifbar ist, umfassen: ROM; RAM; Magnetplatten-Speichermedien;
optische Speichermedien; Flash-Speichergeräte; elektrische, optische,
akustische oder andere Formen sich fortpflanzender Signale (z. B.
Trägerwellen,
Infrarotsignale, digitale Signale) und dergleichen.
-
Bezüge, die
in der Beschreibung auf den Ausdruck "ansprechend auf' gemacht wurden, sind nicht auf die
Ansprechbarkeit auf nur ein bestimmtes Merkmal und/oder eine Struktur
beschränkt.
Ein Merkmal kann auch auf ein anderes Merkmal und/oder eine andere
Struktur "ansprechen" und sich auch innerhalb
des Merkmals und/oder der Struktur befinden. Zusätzlich kann der Ausdruck "ansprechend auf' auch synonym mit
anderen Ausdrücken sein,
beispielsweise "zur
Kommunikation gekoppelt mit" oder "betrieblich gekoppelt
mit", obwohl der
Ausdruck in dieser Hinsicht nicht beschränkt ist.
-
In
der vorangegangenen Beschreibung sind zum Zwecke der Erläuterung
zahlreiche bestimmte Einzelheiten aufgeführt, um für ein Verständnis dieser Offenbarung zu
sorgen. Es wird deutlich werden, dass die Offenbarung ohne diese
bestimmten Einzelheiten in die Praxis umgesetzt werden kann. In
anderen Fällen
wurden Strukturen und Bauelemente in Blockschaubildform gezeigt,
um das Verschleiern der Offenbarung zu vermeiden.
-
ZUSAMMENFASSUNG
-
Ein
Verfahren, das das Einleiten einer Zugriffsanfrage auf ein Netzwerk
von einem Antragsteller für
den Zugriff auf einer Plattform einleitet, die an ein Netzwerk gekoppelt
ist, wobei die Anfrage nach einem Netzwerkzugriff an einen Strategieentscheidungspunkt
für das
Netzwerk gestellt wird. Das Verfahren umfasst auch das Einrichten
eines sicheren Kommunikationskanals über eine Kommunikationsverbindung
zwischen dem Strategieentscheidungspunkt und einem Strategiedurchsetzungspunkt
auf der Plattform. Ein weiterer sicherer Kommunikationskanal wird über eine
weitere Kommunikationsverbindung eingerichtet. Die andere Kommunikationsverbindung
besteht zwischen wenigstens dem Strategiedurchsetzungspunkt und
einer Verwaltungsmaschine, die sich auf der Plattform befindet.
Die Verwaltungsmaschine schickt Stellungsinformation, die mit dem
Anfragesteller für
den Zugriff verknüpft
ist, über
den anderen sicheren Kommunikationskanal. Die Stellungsinformation
wird dann an den Strategieentscheidungspunkt über den sicheren Kommunikationskanal
zwischen dem Strategiedurchsetzungspunkt und dem Strategieentscheidungspunkt
geschickt. Der Strategieentscheidungspunkt gibt an, welchen Zugriff
der Antragsteller für
den Zugriff auf das Netzwerk erhalten kann, basierend auf einem Vergleich
der Stellungsinformation mit einer oder mehreren Netzwerkverwaltungsstrategien.