DE202014011510U1

DE202014011510U1 - Filtern von Netzwerkdatenübertragungen

Info

Publication number: DE202014011510U1
Application number: DE202014011510.9U
Authority: DE
Original assignee: Centripetal Networks LLC
Current assignee: Centripetal Ltd Ie
Priority date: 2013-03-12
Filing date: 2014-03-11
Publication date: 2021-07-20
Anticipated expiration: 2024-03-12
Also published as: US20160072709A1; US11418487B2; WO2014164713A1; CA2902158C; US10505898B2; US20200186498A1; US11012415B2; US20180123955A1; US20140283004A1; US20220353243A1; CA2902158A1; US10735380B2; AU2014249055B2; US20210258285A1; US10567343B2; EP2974212B1; US9124552B2; US9686193B2; US20150237012A1; AU2014249055A1

Abstract

System, das umfasst:
wenigstens einen Prozessor; und
einen Speicher, der Befehle speichert, die, wenn sie von dem wenigstens einen Prozessor ausgeführt werden, das System zu Folgendem veranlassen:
Empfangen mehrerer Pakete von einer Computervorrichtung, die sich in einem ersten Netzwerk befindet, wobei die mehreren Pakete einen ersten Teil von Paketen und einen zweiten Teil von Paketen umfassen;
in Reaktion auf eine Feststellung, dass der erste Teil von Paketen Daten umfasst, die Kriterien entsprechen, die durch eine oder mehrere Paketfilterungsregeln vorgegeben sind, die so konfiguriert sind, dass sie eine bestimmte Art von Datenübertragung vom ersten Netzwerk zu einem zweiten Netzwerk verhindern, wobei die Daten anzeigen, dass der erste Teil von Paketen für das zweite Netzwerk bestimmt ist:
Anwenden auf jedes Paket im ersten Teil von Paketen eines ersten durch die eine oder die mehreren Paketfilterungsregeln vorgegebenen Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind; und
Fallenlassen jedes Paket im ersten Teil von Paketen; und
in Reaktion auf eine Feststellung, dass der zweite Teil von Paketen Daten umfasst, die nicht den Kriterien entsprechen, wobei die Daten anzeigen, dass der zweite Teil von Paketen für ein drittes Netzwerk bestimmt ist:
Anwenden auf jedes Paket im zweiten Teil von Paketen und ohne Anwenden der einen oder der mehreren Paketfilterungsregeln, die so konfiguriert sind, dass sie die bestimmte Art der Datenübertragung vom ersten Netzwerk zum zweiten Netzwerk verhindern, eines zweiten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des dritten Netzwerks weiterleitet; und
Weiterleiten jedes Paket im zweiten Teil von Paketen in Richtung des dritten Netzwerks.

Description

In Übereinstimmung mit den Bestimmungen des Gebrauchsmustergesetzes sind nur Vorrichtungen, wie sie in den anliegenden Schutzansprüchen definiert sind, geschützt und vom Gebrauchsmuster abgedeckt, nicht jedoch Verfahren. Soweit in der nachstehenden Beschreibung gegebenenfalls auf Verfahren Bezug genommen wird, dienen diese Hinweise nur zur exemplarischen Erläuterung der mit den anliegenden Schutzansprüchen geschützten Vorrichtung(en). Insbesondere können diese Verfahren in engem Zusammenhang mit den geschützten Vorrichtungen (z.B. Systemen oder computerlesbare Medien) stehen, zum Beispiel dergestalt, dass die geschützten Vorrichtungen derart ausgelegt sind, dass sie die Verfahren durchführen oder Befehle auf ihnen gespeichert sind, die, wenn sie von einem Computersystem ausgeführt werden, das Computersystem veranlassen, das Verfahren durchzuführen.
QUERVERWEIS AUF VERWANDTE ANMELDUNG
Dieses Gebrauchsmuster beansprucht die Priorität der US-Patentanmeldung mit der Seriennummer 13/795,822 , eingereicht am 12. März 2013 unter dem Titel „FILTERING NETWORK DATA TRANSFERS“ (Filtern von Netzwerkdatenübertragungen), deren Offenbarung hier in ihrer Gesamtheit durch Bezugnahme eingeschlossen und Bestandteil davon ist.
HINTERGRUND
Die TCP/IP-Netzwerkprotokolle (z.B. das Transmission Control Protocol (TCP) und das Internet Protocol (IP)) wurden zum Aufbauen großer, belastbarer, zuverlässiger und robuster Netzwerke konzipiert. Solche Protokolle wurden jedoch ursprünglich nicht im Hinblick auf Sicherheit konzipiert. Spätere Entwicklungen haben solche Protokolle erweitert, um sichere Kommunikation zwischen Peers (z.B. Internet Protocol Security (IPsec)) bereitzustellen, aber die Netzwerke selbst bleiben anfällig für Angriffe (z.B. DDoS-(Distributed Denial-of-Service)-Angriffe, Phishing-Angriffe und dergleichen).
Eine als Exfiltration bekannte Cyberangriffskategorie (z.B. Stehlen empfindlicher Daten oder Zugangsdaten über das Internet) hat sich als für herkömmliche Cyberabwehrsysteme besonders schwer zu verhindern erwiesen. Eine erste Ursache ist, dass viele Exfiltrationen durch die Nutzung gängiger Netzwerkdatenübertragungsprotokolle wie das vom World Wide Web benutzte Hypertext Transfer Protocol (HTTP) erleichtert werden, die für einen Beobachter (z.B. einem herkömmlichen Cyberabwehrsystem) oft wie normales Netzwerkverhalten aussehen. Eine zweite Ursache ist, dass typische Netzwerk-Trust-Modelle, wie die von Netzwerk-Firewalls benutzten, Exfiltrationen als vertrauenswürdige Operationen interpretieren. Eine dritte Ursache ist, dass sich menschliche Benutzer häufig wissentlich oder unwissentlich an Netzwerkaktivitäten beteiligen, die für Angriffe anfällig sind. Eine vierte Ursache ist die allgemeine Unfähigkeit herkömmlicher Cyberabwehrsysteme, sich ausreichend zu skalieren, um einer Cyberbedrohung zu begegnen; zum Beispiel in Bezug auf Verkehrsvolumen, Netzwerkverbindungsgeschwindigkeiten, Netzwerkleistung (z.B. Latenz- und Paketverlustanforderungen), Durchsetzung von Netzwerknutzungsrichtlinien usw. Demgemäß nutzen viele Cyberangriffe (z.B. DDoS-Angriffe und Exfiltrationen) die Eigenschaften des Internets, um ihre Ziele zu erreichen. Darüber hinaus gibt es, über die hier aufgezählten hinaus, noch andere Ursachen für das Versagen herkömmlicher Cyberabwehrsysteme des Standes der Technik, Cyberangriffe wie Exfiltrationen zu verhindern.
KURZFASSUNG
Es folgt eine vereinfachte Zusammenfassung, um ein Grundverständnis für einige Aspekte der Offenbarung bereitzustellen. Es ist weder beabsichtigt, wesentliche oder entscheidende Elemente der Offenbarung zu identifizieren, noch den Umfang der Offenbarung zu begrenzen. Die nachfolgende Zusammenfassung präsentiert lediglich einige Konzepte in einer vereinfachten Form als eine Einleitung zu der nachfolgenden ausführlichen Beschreibung.
Aspekte dieser Offenbarung beziehen sich auf ein Filtern von Netzwerkdatenübertragungen. In einigen Variationen können mehrere Pakete empfangen werden. Es kann festgestellt werden, dass ein Teil der Pakete Paket-Header-Feldwerte entsprechend einer Paketfilterungsregel haben. In Reaktion auf eine solche Feststellung kann ein durch die Paketfilterungsregel vorgegebener Operator auf den Teil von Paketen angewendet werden, deren Paket-Header-Feldwerte der Paketfilterungsregel entsprechen. Es kann ferner festgestellt werden, dass eines oder mehrere aus dem Teil der Pakete einen oder mehrere Anwendungs-Header-Feldwerte haben, die einem oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien entsprechen. In Reaktion auf eine solche Feststellung kann wenigstens eine durch den Operator vorgegebene Pakettransformationsfunktion auf das eine oder die mehreren aus dem Teil der Pakete angewendet werden.
In einigen Ausführungsformen kann sich ein Netzwerkpaketfilter an einer Grenze zwischen einem gesicherten Netzwerk und einem ungesicherten Netzwerk (z.B. dem Internet) befinden. Das Filter kann Pakete beobachten, die die Netzwerkverbindung zwischen dem gesicherten Netzwerk und dem ungesicherten Netzwerk überqueren. Das Filter kann möglicherweise bestimmte Paket-Header-Informationen (z.B. Quell- und Ziel-IP-Adresse(n), Quell- und Zielport(s) und Protokolltyp(en)) mit einer oder mehreren Paketfilterungsregeln vergleichen, die eine Netzwerknutzungsrichtlinie oder eine Netzwerksicherheitsrichtlinie definieren können. Eine oder mehrere der Regeln können mit einem Operator assoziiert sein, der auf ein Paket angewendet werden kann, das ein oder mehrere durch die Regel vorgegebene Kriterien erfüllt.
Solche Paketfilter können wenigstens zwei Operatoren implementieren: einen Identitätsoperator, der es dem Paket erlauben kann, in Richtung seines Ziels fortzufahren, und einen Nulloperator, der verhindern oder blockieren kann, dass das Paket in Richtung seines Ziels fortfährt. In einigen Ausführungsformen kann das Netzwerkpaketfilter einen oder mehrere zusätzliche Operatoren mit der Fähigkeit implementieren festzustellen, ob ein Paket einen Header auf Anwendungsebene enthält, der ein bestimmtes mit einem Datenübertragungsprotokoll assoziiertes Verfahren vorgibt; und falls ja, ob ein Identitätsoperator oder ein Nulloperator auf das Paket angewendet werden soll. Zum Unterscheiden eines Netzwerkpaketfilters, das die genannten zusätzlichen Operatoren implementiert, von Netzwerkpaketfiltern, die es nicht tun, wird ein Netzwerkpaketfilter, das solche zusätzlichen Operatoren implementiert, nachfolgend als Packet Security Gateway (PSG) bezeichnet.
Zum Beispiel kann ein solcher Operator in der Lage sein, eine oder mehrere der folgenden Funktionen auszuführen: (1) Feststellen, ob ein eine Grenze überquerendes IP-Paket ein HTTP-Paket enthält (z.B. ein HTTP-Paket auf Anwendungsebene), das ein oder mehrere spezifische HTTP-Verfahren (z.B. GET, PUT, POST usw.) vorgibt, und (2) Erlauben bzw. Zulassen des Pakets (z.B. falls ein GET-Verfahren vorgegeben wird) oder Blockieren des Pakets (z.B. falls ein PUT- oder POST-Verfahren vorgegeben wird). Ein oder mehrere Administratoren des gesicherten Netzwerks können einen solchen Operator mit einer oder mehreren Regeln in einer Netzwerksicherheitsrichtlinie assoziieren, um über das PSG eine Webnutzungsrichtlinie durchzusetzen, die es beispielsweise Benutzern erlauben kann, auf einer oder mehreren an das Internet angeschlossenen Websites zu surfen (z.B. GET), die aber verhindern können, dass ein oder mehrere solche Benutzer auf einer oder mehreren Websites Datendateien schreiben (z.B. PUT) und/oder Formulare posten (z.B. POST). Zum Beispiel können ein oder mehrere Administratoren solche Funktionalität nutzen, um eine oder mehrere Exfiltrationen (z.B. Dateiübertragungen, die empfindliche Informationen enthalten, Posten von Anmeldedaten (Benutzernamen und Passwörter) usw.) zu Netzwerkknoten (z.B. Websites) zu verhindern, denen sie möglicherweise nicht vertrauen.
Weitere Einzelheiten und Merkmale werden in den nachfolgenden Abschnitten beschrieben.
Figurenliste
Die vorliegende Offenbarung wird insbesondere in den beiliegenden Schutzansprüchen dargelegt. Merkmale der Offenbarung werden nach einem Studium der vorliegenden Offenbarung in ihrer Gesamtheit, einschließlich der beiliegenden Zeichnungsfiguren, offenkundiger.
Einige Merkmale hier werden beispielhaft und nicht zur Begrenzung in den Figuren der Begleitzeichnungen illustriert, in denen sich gleiche Bezugsziffern auf ähnliche Elemente beziehen.

1 veranschaulicht eine beispielhafte Netzwerkumgebung, in der ein oder mehrere Aspekte der Offenbarung implementiert werden können.
2 veranschaulicht ein beispielhaftes PaketSicherheits-Gateway.
3 veranschaulicht eine beispielhafte dynamische Sicherheitsrichtlinie mit Operatoren, die Datenübertragungsprotokoll- oder Anwendungsschichtprotokoll-Header-Informationen filtern.
4 veranschaulicht ein beispielhaftes Verfahren zum Schützen eines gesicherten Netzwerks durch Durchsetzen von einer oder mehreren Netzwerknutzungsrichtlinien oder Netzwerksicherheitsrichtlinien.

AUSFÜHRLICHE BESCHREIBUNG
In der nachfolgenden Beschreibung von verschiedenen veranschaulichenden Ausführungsformen wird auf die Begleitzeichnungen Bezug genommen, die Bestandteil davon bilden und in denen durch Veranschaulichung verschiedene Ausführungsformen gezeigt werden, in denen Aspekte der Offenbarung praktiziert werden können. Es versteht sich, dass auch andere Ausführungsformen benutzt und strukturelle und funktionelle Modifikationen vorgenommen werden können, ohne vom Umfang der vorliegenden Offenbarung abzuweichen.
Verschiedene Verbindungen zwischen Elementen werden in der nachfolgenden Beschreibung erörtert. Diese Verbindungen sind allgemein und können, falls nichts anderes angegeben ist, direkt oder indirekt, drahtgebunden oder drahtlos, physisch oder logisch sein. In dieser Hinsicht soll die Spezifikation nicht einschränkend sein.
1 veranschaulicht eine beispielhafte Netzwerkumgebung 100, in der ein oder mehrere Aspekte der Offenbarung implementiert werden können. Mit Bezug auf 1 kann Netzwerk 102 als Verbindung zwischen Netzwerken 104, 106 und 108 fungieren. Zum Beispiel kann Netzwerk 102 das öffentliche Internet oder ein anderes großes TCP/IP-Netzwerk sein, das als Verbindung zwischen einem oder mehreren lokalen Netzwerken (LANs) oder Weitbereichsnetzen (WANs) fungiert (z.B. das Non-classified Internet Protocol (IP) Router Network (NIPRNet), betrieben von der United States Defense Information Systems Agency (DISA)). Netzwerke 104, 106 und 108 können LANs oder WANs sein, die von verschiedenen Organisationen (z.B. einem oder mehreren Wirtschaftsunternehmen, Firmen, Universitäten, Militärdienststellen, Regierungsbehörden oder cyberkriminellen Organisationen) betrieben werden oder anderweitig damit assoziiert sein können.
Zum Beispiel kann ein geografisch verteiltes Wirtschaftsunternehmen X Besitzer und Betreiber der Netzwerke 104 und 106 sein und Netzwerk 102 (z.B. das Internet) zum Verbinden von Netzwerken 104 und 106 und zum Zugreifen auf andere an das Netzwerk 102 angeschlossene Netzwerke (z.B. andere Netzwerke, deren Besitzer oder Betreiber nicht das Unternehmen X ist) benutzen. Ein oder mehrere Computervorrichtungen (z.B. Workstations, Server usw.) von Unternehmen X können an Netzwerk 104 oder 106 angeschlossen werden. Netzwerk 108 kann einer cyberkriminellen Organisation Z gehören und von ihr betrieben werden, die versuchen kann, Informationen (z.B. empfindliche Daten) von Unternehmen X beispielsweise über das Netzwerk 102 zu stehlen. Mitglieder von Organisation Z können ein oder mehrere Computervorrichtungen (z.B. Workstations oder Server) an das Netzwerk 108 anschließen und können diese Workstation(s) oder Server zum Angreifen auf oder Sammeln von Daten von einem oder mehreren an Unternehmen X angegliederten Netzwerken (z.B. Netzwerk 104 oder 106) benutzen.
Wie hier verwendet, kann ein Packet Security Gateway (PSG) ein oder mehrere Computervorrichtungen umfassen, die zum Empfangen von Paketen und zum Anwenden von einem oder mehreren Filtern oder Operatoren, einschließlich eines Identitäts- (z.B. Erlauben bzw. Zulassen) oder Null-(z.B. Blockieren) Operators, auf die Pakete konfiguriert sind. In einigen Ausführungsformen kann ein Packet Security Gateway zum Anwenden von einem oder mehreren zusätzlichen Operatoren, wie hier beschrieben, konfiguriert sein. Wie hier verwendet, kann ein Sicherheitsrichtlinien-Managementserver ein oder mehrere Computervorrichtungen umfassen, die zum Übermitteln einer dynamischen Sicherheitsrichtlinie an ein Packet Security Gateway konfiguriert sind. In einigen Ausführungsformen kann ein Sicherheitsrichtlinien-Managementserver zum Durchführen von einer oder mehreren zusätzlichen Funktionen wie hier beschrieben konfiguriert sein. Wie hier verwendet, kann eine dynamische Sicherheitsrichtlinie eine oder mehrere Regeln, Nachrichten, Befehle, Dateien, Datenstrukturen oder dergleichen umfassen, die Kriterien vorgeben, die einem oder mehreren Paketen entsprechen, und kann einen oder mehrere Operatoren zur Anwendung auf Pakete entsprechend den vorgegebenen Kriterien identifizieren. In einigen Ausführungsformen kann eine dynamische Sicherheitsrichtlinie einen oder mehrere zusätzliche Parameter wie hier beschrieben vorgeben.
Netzwerkumgebung 100 kann ein oder mehrere Packet Security Gateways sowie einen oder mehrere Sicherheitsrichtlinien-Managementserver umfassen. Zum Beispiel kann die Netzwerkumgebung 100 Packet Security Gateways 110 und 112 sowie einen Sicherheitsrichtlinien-Managementserver 114 umfassen. Ein oder mehrere Sicherheitsrichtlinien-Managementserver können mit einem geschützten Netzwerk assoziiert sein. Zum Beispiel können Netzwerke 104 und 106 jeweils separate LANs sein, die mit einem gemeinsamen Unternehmen X assoziiert sind, und können jeweils Bestandteil eines geschützten oder gesicherten Netzwerks bilden, das mit dem Sicherheitsrichtlinien-Managementserver 114 assoziiert ist. Unternehmen X möchte möglicherweise Cyberangriffe (z.B. Exfiltrationen) aus einem oder mehreren seiner Netzwerke (z.B. Netzwerk 104 oder 106) verhüten. Demgemäß kann es ein oder mehrere Packet Security Gateways an jeder Grenze zwischen seinen Netzwerken und einem oder mehreren öffentlichen Verbindungsnetzwerken (z.B. Netzwerk 102) positionieren, die von einem Cyberkriminellen wie Organisation Z benutzt werden können, um zu versuchen, aus der Ferne auf seine Netzwerke (z.B. Netzwerk 104 oder 106) zuzugreifen, und die zum Beispiel potentiell benutzt werden können, um eine Übertragung von Daten von einem oder mehreren seiner Netzwerke (z.B. Netzwerk 104 oder 106) auf ein oder mehrere an die Organisation Z angegliederte Netzwerke (z.B. Netzwerk 108) zu versuchen. Zum Beispiel kann das Packet Security Gateway 110 Netzwerk 104 vor einem oder mehreren Cyberangriffen (z.B. Exfiltrationen) schützen, die vom Netzwerk 102 (z.B. dem Internet) vermittelt werden, und Packet Security Gateway 112 kann das Netzwerk 106 vor einem oder mehreren von Netzwerk 102 vermittelten Cyberangriffen (z.B. Exfiltrationen) schützen.
Wie nachfolgend ausführlicher beschrieben wird, kann jedes von, mit einem Sicherheitsrichtlinien-Managementserver assoziierten, ein oder mehreren Packet Security Gateways konfiguriert sein zum Empfangen einer dynamischen Sicherheitsrichtlinie aus einem Sicherheitsrichtlinien-Managementserver, zum Empfangen von Paketen, die mit einem vom Packet Security Gateway geschützten Netzwerk assoziiert sind, und zum Durchführen von einer oder mehreren durch die dynamische Sicherheitsrichtlinie vorgegebenen Operationen an den Paketen. Zum Beispiel kann jedes der Packet Security Gateways 110 und 112 zum Empfangen einer dynamischen Sicherheitsrichtlinie aus Sicherheitsrichtlinien-Managementserver 114 konfiguriert sein. Jedes der Packet Security Gateways 110 und 112 kann auch zum Empfangen von mit Netzwerken 104, 106 oder 108 assoziierten Paketen konfiguriert sein. Jedes der Packet Security Gateways 110 und 112 kann ferner konfiguriert sein zum Anwenden einer oder mehrerer Regeln oder Operatoren, die von der aus Sicherheitsrichtlinien-Managementserver 114 empfangenen dynamischen Sicherheitsrichtlinie vorgegeben werden, auf mit den Netzwerken 104, 106 oder 108 assoziierte Pakete.
2 veranschaulicht ein beispielhaftes Packet Security Gateway gemäß einem oder mehreren Aspekten der Offenbarung. Mit Bezug auf 2 kann, wie oben angedeutet, sich ein Packet Security Gateway 110 an einer Netzwerkgrenze 202 zwischen Netzwerken 104 und 102 befinden. Das Packet Security Gateway 110 kann einen oder mehrere Prozessoren 204, Speicher 206, Netzwerkschnittstellen 208 und 210, Paketfilter 212 und eine Managementschnittstelle 214 beinhalten. Der eine oder die mehreren Prozessoren 204, der Speicher 206, die Netzwerkschnittstellen 208 und 210, das Paketfilter 212 und die Managementschnittstelle 214 können über Datenbus 216 miteinander verbunden werden. Netzwerkschnittstelle 208 kann das Packet Security Gateway 110 mit dem Netzwerk 104 verbinden. Ebenso kann die Netzwerkschnittstelle 210 das Packet Security Gateway 110 mit dem Netzwerk 102 verbinden. Der Speicher 206 kann ein oder mehrere Programmmodule beinhalten, die bei Ausführung durch die ein oder mehreren Prozessoren 204 das Packet Security Gateway 110 zum Durchführen von einer oder mehreren von verschiedenen hier beschriebenen Funktionen konfigurieren können.
Das Packet Security Gateway 110 kann zum Empfangen einer dynamischen Sicherheitsrichtlinie aus dem Sicherheitsrichtlinien-Managementserver 114 konfiguriert sein. Zum Beispiel kann das Packet Security Gateway 110 eine dynamische Sicherheitsrichtlinie 218 aus dem Sicherheitsrichtlinien-Managementserver 114 über die Managementschnittstelle 214 (z.B. über bandexterne Signalisierung) oder über die Netzwerkschnittstelle 208 (z.B. über bandinterne Signalisierung) empfangen. Das Packet Security Gateway 110 kann ein oder mehrere Paketfilter oder Paketdiskriminatoren oder Logik zum Implementieren von einem oder mehreren Paketfiltern oder Paketdiskriminatoren umfassen. Zum Beispiel kann Packet Security Gateway 110 das Paketfilter 212 umfassen, das zum Untersuchen von Informationen, die mit vom Packet Security Gateway 110 empfangenen Paketen assoziiert sind, und zum Weiterleiten solcher Pakete zu einem oder mehreren der Operatoren 220, 222 oder 224 auf der Basis der untersuchten Informationen konfiguriert sein kann. Zum Beispiel kann das Paketfilter 212 Informationen untersuchen, die mit vom Packet Security Gateway 110 empfangenen Paketen assoziiert sind (z.B. Pakete, die aus Netzwerk 104 über die Netzwerkschnittstelle 208 empfangen werden), und die Pakete zu einem oder mehreren Operatoren 220, 222 oder 224 auf der Basis der untersuchten Informationen weiterleiten.
Wie nachfolgend ausführlicher beschrieben wird, kann die dynamische Sicherheitsrichtlinie 218 eine oder mehrere Regeln umfassen und die Konfiguration des Paketfilters 212 kann auf einer oder mehreren der in der dynamischen Sicherheitsrichtlinie 218 enthaltenen Regeln basieren. Zum Beispiel kann die dynamische Sicherheitsrichtlinie 218 eine oder mehrere Regeln umfassen, die vorgeben, dass Pakete mit vorgegebenen Informationen zum Operator 220 weitergeleitet werden sollen, dass Pakete mit anderen vorgegebenen Informationen zum Operator 222 weitergeleitet werden sollen und dass alle anderen Pakete zum Operator 224 weitergeleitet werden sollen. Operatoren 220, 222 und 224 können zum Durchführen einer oder mehreren Funktionen an Paketen konfiguriert sein, die sie vom Paketfilter 212 erhalten. Zum Beispiel können ein oder mehrere der Operatoren 220, 222 und 224 zum Weiterleiten von vom Paketfilter 212 empfangenen Paketen in das Netzwerk 102, zum Weiterleiten von vom Paketfilter 212 empfangenen Paketen zu einem IPsec-Stapel (nicht veranschaulicht) mit einer IPsec-Sicherheitsassoziation entsprechend den Paketen oder zum Fallenlassen von vom Paketfilter 212 empfangenen Paketen konfiguriert sein. In einigen Ausführungsformen können ein oder mehrere Operatoren 220, 222 oder 224 zum Fallenlassen von Paketen durch Senden der Pakete zu einer lokalen „unendlichen Senke“ (infinite sink) (z.B. der /dev/null-Gerätedatei in einem UNIX/LINUX-System) konfiguriert sein.
3 veranschaulicht eine beispielhafte dynamische Sicherheitsrichtlinie gemäß einer oder mehreren Ausführungsformen. Mit Bezug auf 3 kann die dynamische Sicherheitsrichtlinie 218 Regeln 1 302, 2 304, 3 306, 4 308, 5 310, 6 312 und 7 314 umfassen. Jede dieser Regeln kann Kriterien und einen oder mehrere Operatoren vorgeben, die auf Pakete angewendet werden können, die mit den vorgegebenen Kriterien assoziiert sind (z.B. damit übereinstimmen). Die vorgegebenen Kriterien können die Form eines Fünf-Tupels haben, das beispielsweise einen oder mehrere Werte umfassen kann, die aus Paket-Header-Informationen ausgewählt sind, unter Vorgabe eines Protokolltyps des Datenteils eines IP-Pakets (z.B. TCP, User Datagram Protocol (UDP), Internet Control Message Protocol (ICMP) oder einem oder mehreren anderen Protokollen), einer oder mehreren Quell-IP-Adressen, einem oder mehreren Quell-Port-Werten, einer oder mehreren Ziel-IP-Adressen und einem oder mehreren Zielports.
Zum Beispiel kann Regel 1 302 vorgeben, dass auf IP-Pakete, die ein oder mehrere TCP-Pakete enthalten, die von einer Quell-IP-Adresse stammen, die mit 140.210 beginnt, mit einem beliebigen Quellport, bestimmt für eine IP-Adresse, die mit 140.212 beginnt, und bestimmt für Port 22 (z.B. mit dem Secure Shell (SSH) Protocol assoziiert), ein ALLOW-Operator (z.B. ein Identitätsoperator) angewendet werden soll. Ebenso kann Regel 2 304 vorgeben, dass auf IP-Pakete, die ein oder mehrere TCP-Pakete enthalten, die von einer Quell-IP-Adresse stammen, die mit 140.210 beginnt, mit einem beliebigen Quellport, bestimmt für eine IP-Adresse, die mit 140.212 beginnt, und bestimmt für Port 25 (z.B. mit dem Simple Mail Transfer Protocol (SMTP) assoziiert), ein ALLOW-Operator (ERLAUBEN-Operator) angewendet werden soll.
Regel 3 306 kann vorgeben, dass auf IP-Pakete, die ein oder mehrere TCP-Pakete umfassen, die von einer Quell-IP-Adresse stammen, die mit 140.210 beginnt, mit einem beliebigen Quellport, bestimmt für eine IP-Adresse, die mit 140.212 beginnt, und bestimmt für Port 110 (z.B. mit Post Office Protocol Version 3 (POP3) assoziiert), ein ALLOW-Operator (ERLAUBEN-Operator) angewendet werden soll.
Regel 4 308 kann vorgeben, dass auf IP-Pakete, die ein oder mehrere TCP-Pakete umfassen, die von einer Quell-IP-Adresse stammen, die mit 140.210 beginnt, mit einem beliebigen Quellport, bestimmt für eine IP-Adresse, die mit 140.212 beginnt, und bestimmt für Port 143 (z.B. mit dem Internet Message Access Protocol (IMAP) assoziiert), ein ALLOW-Operator (ERLAUBEN-Operator) angewendet werden soll.
Regel 5 310 kann vorgeben, dass auf IP-Pakete, die ein oder mehrere TCP-Pakete umfassen, die von einer Quell-IP-Adresse stammen, die mit 140.210 beginnt, mit einem beliebigen Quellport, bestimmt für eine IP-Adresse, die mit 140.212 beginnt, und bestimmt für Port 443 (z.B. mit dem Port für das Hypertext Transfer Protocol Secure (HTTPS) Protokoll assoziiert), ein vorgegebener TLS-(Transport Layer Security)-Protokoll (z.B. REQUIRE-TLS 1.1-1.2) Operator (wie nachfolgend ausführlicher beschrieben) angewendet werden soll.
Regel 7 314 kann eine „Platzhalter“-Regel sein und kann einen BLOCK-Operator (z.B. einen Nulloperator, der Pakete „fallenlässt“, auf die er angewendet wird) auf Pakete anwenden, die nicht die Kriterien von beliebigen der Regeln 1 302, 2 304, 3 306, 4 308, 5 310 oder 6 312 erfüllen (z.B. wenn Regeln 1 302, 2 304, 3 306, 4 308, 5 310, 6 312 und 7 314 auf lineare Weise auf Pakete angewendet werden).
Wie oben mit Bezug auf 1 beschrieben, können die Netzwerke 104 und 106 dem Unternehmen X gehören oder von ihm betrieben werden. Das Unternehmen X kann IPv4-Adressen 140.210.0.0/16 dem Netzwerk 104 und IPv4-Adressen 140.212.0.0/16 dem Netzwerk 106 zugeordnet haben. Das Unternehmen X hat möglicherweise die dynamische Sicherheitsrichtlinie 218 auf das PSG 110 geladen und kann das PSG 110 zum Durchsetzen von einer oder mehreren Netzwerksicherheitsrichtlinien nutzen, die in einer oder mehreren Regeln der dynamischen Sicherheitsrichtlinie 218 ausgestaltet sind, um Netzwerkkommunikationen zwischen Netzwerken 104 und 106 zu beschränken (z.B. zum Sichern von System-Logins, E-Mail, verschlüsselten Websitzungen und dergleichen). Zum Beispiel kann Regel 1 302 auf der Basis der Standardnutzung von Ports erlauben, dass beliebige an das Netzwerk 104 angeschlossene Hosts SSH-(Secure Shell)-Sitzungen (z.B. System-Logins) mit beliebigen an das Netzwerk 106 angeschlossenen Hosts durchführen; Regel 2 304 kann es erlauben, dass beliebige an das Netzwerk 104 angeschlossene E-Mail-Server SMTP-Sitzungen (z.B. E-Mail-Übertragungssitzungen) mit beliebigen an das Netzwerk 106 angeschlossenen E-Mail-Servern durchführen; Regel 3 306 und Regel 4 308 können es jeweils erlauben, dass an das Netzwerk 104 angeschlossene E-Mail-Clients POP3- und IMAP-Sitzungen (z.B. E-Mail-Download-Sitzungen auf eine Webmail-Browser-Anwendung) mit beliebigen an das Netzwerk 106 angeschlossenen E-Mail-Servern durchführen; und Regel 5 310 kann es erlauben, dass an das Netzwerk 104 angeschlossene Web-Browser HTTPS-Sitzungen (z.B. sichere Websitzungen) mit beliebigen an das Netzwerk 106 angeschlossenen Webservern durchführen, aber, wie unten näher beschrieben wird, den REQUIRE-TLS-1.1-1.2 Operator benutzen können, um zu gewährleisten, dass nur HTTPS-sichere Websitzungen mit Version 1.1 oder 1.2 des TLS-(Transport Layer Security)-Protokolls zum Sichern solcher HTTPS-Sitzungen zugelassen werden (z.B. weil das gängige TLS Version 1.0 Protokoll eine bekannte Sicherheitsverwundbarkeit hat, die Angreifer zum Entschlüsseln von HTTPS-Sitzungen nutzen können).
Regel 6 312 kann vorgeben, dass auf IP-Pakete, die ein oder mehrere TCP-Pakete umfassen, die von einer Quell-IP-Adresse stammen, die mit 140.210 beginnt, mit einem beliebigen Quellport, bestimmt für eine IP-Adresse, die mit 200.214 beginnt, und bestimmt für Port 80 (z.B. assoziiert mit dem HTTP-Protokoll), ein HTTP-EXFIL-Operator angewendet werden soll. Wie nachfolgend ausführlicher beschrieben wird, kann ein HTTP-EXFIL-Operator HTTP-Pakete erlauben, die ein GET-Verfahren enthalten, aber HTTP-Pakete blockieren, die andere HTTP-Verfahren enthalten (z.B. PUT, POST, CONNECT usw.). Ein solcher Operator kann es somit erlauben, dass ein Web-Browser „auf dem Web surft“ (z.B. von Web-Servern gehostete Webseiten herunterlädt), aber kann verhindern, dass der Web-Browser Dateien auf einen Web-Server schreibt (z.B. mit dem PUT-Verfahren), Formulare (z.B. Formulare, die Anmeldedaten wie Benutzernamen oder Passwörter enthalten können) auf einen Web-Server postet (z.B. mit dem POST-Verfahren) oder auf andere Weise mit einem Web-Server kommuniziert (z.B. mit einem HTTP-Verfahren ausgenommen GET). Da Angreifer häufig HTTP-, PUT- oder POST-Verfahren zum Exfiltrieren empfindlicher Daten benutzen, können Operatoren wie HTTP-EXFIL zum Stoppen solcher Exfiltrationen benutzt werden.
Zurück zum oben beschriebenen Beispiel, Organisation Z kann Besitzer oder Betreiber des Netzwerks 108 sein und kann dem Netzwerk 108 Netzwerk-IP-Adressen 214.0.0.0/8 zugeordnet haben. Das Unternehmen X hat möglicherweise keine Geschäftsbeziehung zu Organisation Z und hält daher evtl. das Netzwerk 108 nicht für vertrauenswürdig. Während Unternehmen X einfach alle Kommunikationen zu Netzwerken blockieren könnte, deren Besitzer und Betreiber Organisationen sind, denen es nicht völlig vertraut, hätte dies wahrscheinlich zur Folge, dass Unternehmen X den Zugang zum größten Teil des Internets blockiert. Mitarbeiter von Unternehmen X könnten daher nicht frei auf dem Web surfen, was die Fähigkeit der Mitarbeiter beschränken kann, Geschäfte für Unternehmen X zu tätigen. Durch Durchsetzen von Regelsätzen ähnlich Regel 6 312, die Operatoren wie oder ähnlich HTTP-EXFIL anwenden können, kann Unternehmen X seine Mitarbeiter befähigen, frei auf dem Web zu surfen und Firmengeschäfte zu tätigen, kann aber einen oder mehrere Cyberangriffe (z.B. HTTP-vermittelte Exfiltrationen) verhüten.
Eine Funktion von Operatoren wie HTTP-EXFIL und REQUIRE-TLS-1.1-1.2 kann darin bestehen, Felder in den Headern von in IP-Paketen enthaltenen Anwendungspaketen zu prüfen, Feldwerte zu bestimmen und je nach den Feldwerten zu beschließen, zu erlauben, zu blockieren oder auf andere Weise (z.B. Verkapseln des Pakets in einen Tunnel, Verändern von einem oder mehreren Header-Feldwerten usw.) eine Pakettransformationsfunktion auf die Pakete anzuwenden. Die Logik für diese Funktion kann von einem oder mehreren der Operatoren 220, 222 und 224 ausgeführt werden. Die Logik kann in einer High-Level-Programmiersprache wie C entwickelt werden. Ein Beispiel für eine solche programmatische Logik, in Pseudocode geschrieben, für den HTTP-EXFIL-Operator lautet wie folgt:
Operator HTTP-EXFIL(ip-packet):

          Inspect app-pkt(ip-packet) match GET return ALLOW;
          Inspect app-pkt(ip-packet) match POST return
          BLOCK;
          Inspect app-pkt(ip-packet) match PUT return BLOCK;
          Inspect app-pkt(ip-packet) match DELETE return
          BLOCK;
          Inspect app-pkt(ip-packet) match CONNECT return
          BLOCK;
          Return BLOCK;
       End Operator HTTP-EXFIL;

Mit Bezug auf das obige Beispiel kann der Operator HTTP-EXFIL als Eingabe ein IP-Paket akzeptieren, das eine Regel erfüllt, wie Regel 6 312 der dynamischen Sicherheitsrichtlinie 218. Falls das in dem IP-Paket enthaltene Anwendungspaket ein HTTP-Paket ist, dann kann der Wert des HTTP-Verfahrenfelds im HTTP-Paket-Header mit den Werten verglichen werden, die die Verfahren GET, POST, PUT, DELETE und CONNECT codieren. Falls eine Übereinstimmung gefunden wird, dann kann der HTTP-EXFIL-Operator ALLOW oder BLOCK zurückgeben, je nach Verfahrenswert. Falls keine Übereinstimmung gefunden wird, dann kann der HTTP-EXFIL-Operator BLOCK zurückgeben.

Es wird nachfolgend ein Beispiel für Programmierlogik, in Pseudocode geschrieben, für einen REQUIRE-TLS-1.1-1.2 Operator gegeben. Der REQUIRE-TLS-1.1-1.2 Operator kann mit Filterregeln für HTTPS-Sitzungen wie Regel 5 310 der dynamischen Sicherheitsrichtlinie 218 assoziiert sein. HTTPS kann zum Verschlüsseln von HTTP-Sitzungen benutzt werden. HTTPS ist kein Protokoll an sich, sondern eher das Ergebnis der Schichtung des HTTP-Protokolls auf das TLS-Protokoll. Für eine HTTPS-Sitzung bestehend aus IP-Paketen können die in den IP-Paketen enthaltenen Anwendungspakete TLS Record Protocol Pakete sein. Die Header-Felder von TLS Record Protocol Paketen sind evtl. nicht verschlüsselt. Eines der Header-Felder kann einen Wert enthalten, der die TLS-Version anzeigt.

Beispielhafte programmatische Logik für einen in Pseudocode geschriebenen REQUIRE-TLS-1.1-1.2 Operator lautet wie folgt:

Operator REQUIRE-TLS-1.1-1.2(ip-packet):

          Inspect app-pkt(ip-packet) match 1.0 return BLOCK;
          Inspect app-pkt(ip-packet) match 1.1 return ALLOW; 



          Inspect app-pkt(ip-packet) match 1.2 return ALLOW;
              Return BLOCK;
       End Operator REQUIRE-TLS-1.1-1.2

Mit Bezug auf das obige Beispiel kann der Operator REQUIRE-TLS-1.1-1.2 als Eingabe ein IP-Paket akzeptieren, das eine Regel wie Regel 5 310 der dynamischen Sicherheitsrichtlinie 218 erfüllt. Falls das in dem IP-Paket enthaltene Anwendungspaket ein TLS Record Protocol Paket ist, dann kann der Wert des Versionsfelds im TLS Record Protocol Paket-Header mit den Werten verglichen werden, die Versionsnummern 1.0, 1.1 und 1.2 codieren. Falls eine Übereinstimmung gefunden wird, dann kann der REQUIRE-TLS-1.1-1.2 Operator ALLOW oder BLOCK zurückgeben, je nach dem Versionsnummernwert. Falls keine Übereinstimmung gefunden wird, dann kann der REQUIRE-TLS-1.1-1.2 Operator BLOCK zurückgeben.

Der hier beschriebene Filterprozess kann so angesehen werden, dass er zwei (2) Stufen hat: eine erste Stufe, in der die „5-Tupel“ von IP-Paket-Header-Feldwerten und Transportprotokoll-(z.B. TCP, UDP usw.)-Paket-Header-Feldwerten gefiltert werden können; und eine zweite Stufe, in der Anwendungspaket-Header-Feldwerte gefiltert werden können (z.B. durch Anwenden von Operator-Logik ähnlich der oben beschriebenen). Konzeptionell kann die erste Stufe feststellen, ob die Netzwerkrichtlinie Kommunikationen zwischen den in der 5-Tupel-Regel identifizierten Ressourcen erlaubt; falls ja, dann kann die zweite Stufe feststellen, ob die Richtlinie das/den spezifische(n) Kommunikationsverfahren oder -typ (z.B. Datei lesen, Datei schreiben, verschlüsselte Kommunikation usw.) zwischen den Ressourcen zulässt. Ein solches Verfahren kann jedoch auch in anderen Konzeptmodellen benutzt werden.

Die oben beschriebenen Verfahren können modifiziert werden, um eine andere Funktionalität zu erzielen, und können auf andere Datenübertragungsprotokolle oder auf andere Anwendungsschichtprotokolle erweitert werden. Diese Verfahren können Netzwerkadministratoren Fähigkeiten zum Durchsetzen von Netzwerknutzungsrichtlinien und Netzwerksicherheitsrichtlinien verleihen, die Fähigkeiten und Funktionalitäten über die oben beschriebenen hinaus haben. Zum Beispiel können diese Verfahren Netzwerkadministratoren Fähigkeiten zum Verhindern von Exfiltrationen geben, die von anderen Datenübertragungsprotokollen neben HTTP und HTTPS vermittelt werden. Beispiele für solche Protokolle sind File Transfer Protocol (FTP) und Messaging-Protokolle wie eXtensible Messaging and Presence Protocol (XMPP). Darüber hinaus können in Zukunft neue Netzwerkanwendungen auftreten, die neue Datenübertragungsprotokolle und Anwendungsschichtprotokolle benutzen können, auf die die vorliegenden Verfahren angewendet werden können. Diese Verfahren können auch für andere Zwecke als Netzwerkrichtliniendurchsetzung und Exfiltrationsverhütung benutzt werden. Zum Beispiel können sie nützlich sein, damit ein Paketfilter rasch erkennen kann, ob ein IP-Paket ein RTP-(Real-time Transport Protocol)-Anwendungspaket enthält, das zum Liefern von Audio- oder Videoinformationen benutzt wird (z.B. falls ein Cyberangriff auf der Basis von RTP noch entdeckt werden muss, dann können Netzwerkadministratoren wählen, RTP-Pakete nicht durch die Cybersicherheitsabwehrsysteme zu verarbeiten, die möglicherweise ihre Netzwerke schützen).

4 veranschaulicht ein beispielhaftes Verfahren zum Schützen eines gesicherten Netzwerks gemäß einer oder mehreren Ausführungsformen der vorliegenden Offenbarung. Die Schritte können an einem oder mehreren mit einem Sicherheitsrichtlinien-Managementserver assoziierten Packet Security Gateways durchgeführt werden. Zum Beispiel kann jedes der Packet Security Gateways 110 und 112 mit dem Sicherheitsrichtlinien-Managementserver 114 assoziiert sein und die Schritte können am Packet Security Gateway 110 oder 112 durchgeführt werden. In Schritt 400 können Pakete empfangen werden. Zum Beispiel kann das Packet Security Gateway 110 Pakete vom Netzwerk 104 über die Netzwerkschnittstelle 208 empfangen, die für das Netzwerk 106 bestimmt sind. In Schritt 402 kann festgestellt werden, ob ein Teil der empfangenen Pakete Paket-Header-Feldwerte entsprechend einer Paketfilterungsregel haben. Zum Beispiel kann festgestellt werden, ob ein Teil der vom Netzwerk 104 empfangenen Pakete Paket-Header-Feldwerte (z.B. ein oder mehrere von einem oder mehreren Datensektionsprotokollen, eine oder mehrere Quell-IP-Adressen, ein oder mehrere Quellports, eine oder mehrere Ziel-IP-Adressen oder ein oder mehrere Zielports) entsprechend Regel 5 310 haben. In Schritt 404 kann, in Reaktion auf die Feststellung, dass ein oder mehrere des Teils von empfangenen Paketen Paket-Header-Feldwerte entsprechend der Paketfilterungsregel haben, ein von der Paketfilterungsregel vorgegebener Operator auf den Teil der empfangenen Pakete angewendet werden. Zum Beispiel kann der durch Regel 5 310 vorgegebene REQUIRE-TLS-1.1-1.2 Operator auf den Teil der empfangenen Pakete angewendet werden.

In Schritt 406 kann festgestellt werden, ob ein oder mehrere Anwendungs-Header-Feldwerte von einem oder mehreren aus dem Teil der empfangenen Pakete einem oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien entsprechen. Zum Beispiel kann festgestellt werden, ob ein oder mehrere aus dem Teil der empfangenen Pakete Anwendungs-Header-Feldwerte entsprechend einem oder mehreren Anwendungs-Header-Feldkriterien des von Regel 5 310 vorgegebenen REQUIRE-TLS-1.1-1.2 Operator haben (z.B. Anwendungs-Header-Feldwerte entsprechend TLS-Version 1.1 oder 1.2). In Schritt 408 kann in Reaktion auf die Feststellung, dass ein oder mehrere aus dem Teil von empfangenen Paketen Anwendungs-Header-Feldwerte entsprechend einem oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien haben, eine durch den Operator vorgegebene Pakettransformationsfunktion auf die ein oder mehreren aus dem Teil der empfangenen Pakete angewendet werden. Zum Beispiel kann eine durch den REQUIRE-TLS-1.1-1.2 Operator vorgegebene ALLOW-Pakettransformationsfunktion auf die ein oder mehreren aus dem Teil der empfangenen Pakete mit Anwendungs-Header-Feldwerten entsprechend dem einem oder den mehreren Anwendungs-Header-Feldkriterien des durch Regel 5 310 vorgegebenen REQUIRE-TLS-1.1-1.2 Operators angewendet werden (z.B. jedes der ein oder mehreren aus dem Teil der empfangenen Pakete kann weiter in Richtung seines jeweiligen Ziels fortfahren). Das Verfahren kann dann zu Schritt 400 zurückkehren und auf den Empfang von einem oder mehreren zusätzlichen Paketen warten (z.B. ein oder mehrere zusätzliche über die Netzwerkschnittstelle 208 empfangenen Pakete vom Netzwerk 104, bestimmt für Netzwerk 106).

Zurück zu Schritt 406 kann festgestellt werden, ob ein oder mehrere Anwendungs-Header-Feldwerte von einem oder mehreren aus dem Teil der empfangenen Pakete einem oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien entsprechen. Zum Beispiel kann festgestellt werden, ob ein oder mehrere aus dem Teil der empfangenen Pakete Anwendungs-Header-Feldwerte entsprechend einem oder mehreren Anwendungs-Header-Feldkriterien des durch Regel 5 310 vorgegebenen REQUIRE-TLS-1.1-1.2 Operators haben (z.B. Anwendungs-Header-Feldwerte entsprechend TLS-Version 1.1 oder 1.2). In Reaktion auf die Feststellung, dass ein oder mehrere aus dem Teil der empfangenen Pakete Anwendungs-Header-Feldwerte haben, die nicht einem oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien entsprechen, können eine oder mehrere zusätzliche Paketfilterungsregeln auf die ein oder mehreren aus dem Teil der empfangenen Pakete angewendet werden. Zum Beispiel kann Regel 7 314 auf die ein oder mehreren aus dem Teil der empfangenen Pakete mit Anwendungs-Header-Feldwerten angewendet werden, die nicht einem oder mehreren Anwendungs-Header-Feldkriterien des durch Regel 5 310 vorgegebenen REQUIRE-TLS-1.1-1.2 Operators entsprechen (z.B. jedes der ein oder mehreren aus dem Teil der empfangenen Pakete kann von einem Fortfahren in Richtung seines jeweiligen Ziels blockiert werden). Das Verfahren kann dann zu Schritt 400 zurückkehren und auf den Empfang von einem oder mehreren zusätzlichen Paketen warten (z.B. einem oder mehreren über die Netzwerkschnittstelle 208 empfangenen zusätzlichen Paketen aus Netzwerk 104, die für Netzwerk 106 bestimmt sind).

Zurück zu Schritt 402 kann festgestellt werden, ob ein Teil der empfangenen Pakete Paket-Header-Feldwerte entsprechend einer Paketfilterungsregel hat. Zum Beispiel kann festgestellt werden, ob ein Teil der vom Netzwerk 104 empfangenen Pakete Paket-Header-Feldwerte (z.B. ein oder mehrere aus einem oder mehreren Datensektionsprotokollen, eine oder mehrere Quell-IP-Adressen, ein oder mehrere Quellports, eine oder mehrere Ziel-IP-Adressen oder ein oder mehrere Zielports) entsprechend Regel 5 310 hat. In Reaktion auf die Feststellung, dass der Teil von empfangenen Paketen Paket-Header-Feldwerte hat, die der Paketfilterungsregel nicht entsprechen, können eine oder mehrere zusätzliche Paketfilterungsregeln auf die ein oder mehreren aus dem Teil der empfangenen Pakete angewendet werden. Zum Beispiel kann Regel 7 314 auf den Teil von empfangenen Paketen angewendet werden, die keine Paket-Header-Feldwerte haben, die Regel 5 310 entsprechen (z.B. jedes aus dem Teil der empfangenen Pakete kann an einem Fortfahren in Richtung auf sein jeweiliges Ziel blockiert werden). Das Verfahren kann dann zu Schritt 400 zurückkehren und auf den Empfang von einem oder mehreren zusätzlichen Paketen warten (z.B. eine oder mehrere über die Netzwerkschnittstelle 208 empfangene zusätzliche Pakete vom Netzwerk 104, die für das Netzwerk 106 bestimmt sind).

Die hier beschriebenen Funktionen und Schritte können in computernutzbaren Daten oder computerausführbaren Befehlen ausgestaltet werden, wie in einem oder mehreren Programmmodulen, ausgeführt von einem oder mehreren Computern oder anderen Vorrichtungen zum Durchführen von einer oder mehreren der hier beschriebenen Funktionen. Im Allgemeinen umfassen Programmmodule Routinen, Programme, Objekte, Komponenten, Datenstrukturen usw., die bestimmte Aufgaben durchführen oder bestimmte abstrakte Datentypen implementieren, wenn sie von einem oder mehreren Prozessoren in einem Computer oder einer anderen Datenverarbeitungsvorrichtung ausgeführt werden. Die computerausführbaren Befehle können auf einem computerlesbaren Medium wie Festplatte, optische Platte, entfernbares Speichermedium, Festplattenspeicher, RAM usw. gespeichert werden. Man wird verstehen, dass die Funktionalität der Programmmodule in verschiedenen Ausführungsformen nach Bedarf kombiniert oder verteilt werden kann. Zusätzlich kann die Funktionalität ganz oder teilweise in Firmware- oder Hardware-Äquivalenten wie integrierten Schaltungen, anwendungsspezifischen integrierten Schaltungen (ASIC), feldprogrammierbaren Gate-Arrays (FPGA) und dergleichen ausgestaltet werden. Bestimmte Datenstrukturen können benutzt werden, um einen oder mehrere Aspekte der Offenbarung effektiver zu implementieren, und solche Datenstrukturen können so angesehen werden, dass sie in den Rahmen von computerausführbaren Befehlen und computerbenutzbaren Daten wie hier beschrieben fallen.

Obwohl dies nicht erforderlich ist, wird die durchschnittliche Fachperson verstehen, dass verschiedene hier beschriebene Aspekte als ein Verfahren, eine Vorrichtung oder als ein oder mehrere computerlesbare Medien zum Speichern von computerausführbaren Befehlen ausgestaltet sein können. Demgemäß können diese Aspekte die Form einer Ausführungsform ganz in Hardware, einer Ausführungsform ganz in Software, einer Ausführungsform ganz in Firmware oder einer Ausführungsform annehmen, die Software-, Hardware- und Firmware-Aspekte in einer beliebigen Kombination kombiniert.

Wie hier beschrieben, können die verschiedenen Verfahren und Tätigkeiten über ein oder mehrere Computervorrichtungen und ein oder mehrere Netzwerke operativ sein. Die Funktionalität kann auf eine beliebige Weise verteilt werden oder sich auf einer einzigen Computervorrichtung (z.B. einem Server, einem Client-Computer usw.) befinden.

Aspekte der Offenbarung wurden im Hinblick auf veranschaulichende Ausführungsformen davon beschrieben. Der durchschnittlichen Fachperson werden nach einem Studium der vorliegenden Offenbarung zahlreiche andere Ausgestaltungen, Modifikationen und Variationen innerhalb des Umfangs oder Wesens der beiliegenden Schutzansprüche einfallen. Zum Beispiel wird die durchschnittliche Fachperson verstehen, dass die in den veranschaulichenden Figuren veranschaulichten Schritte in einer anderen als der aufgeführten Reihenfolge durchgeführt werden können und dass ein oder mehrere veranschaulichte Schritte optional sein können.

Die folgenden durchnummerierten Beispiele werden ebenfalls offenbart. Die in den folgenden Beispielen offenbarten Verfahren werden jeweils auch als System offenbart, das wenigstens einen Prozessor umfasst; sowie einen Speicher, der Befehle speichert, die, wenn sie von dem wenigstens einen Prozessor ausgeführt werden, das System veranlasst, die in den Verfahren genannten Schritte durchzuführen.

Beispiel 1: Verfahren, umfassend: an einer Computerplattform, die wenigstens einen Prozessor, einen Speicher und eine Kommunikationsschnittstelle umfasst: Empfangen mehrerer Pakete über die Kommunikationsschnittstelle; Feststellen, durch den Prozessor, dass wenigstens ein Teil der mehreren Pakete Paket-Header-Feldwerte entsprechend einer im Speicher gespeicherten Paketfilterungsregel hat; Anwenden, in Reaktion auf die Feststellung, dass der wenigstens eine Teil der mehreren Pakete Paket-Header-Feldwerte entsprechend der im Speicher gespeicherten Paketfilterungsregel hat, eines durch die Paketfilterungsregel vorgegebenen Operators auf den wenigstens einen Teil der mehreren Pakete, wobei der Operator ein oder mehrere Anwendungs-Header-Feldwertkriterien vorgibt; Feststellen, durch den Prozessor, dass eines oder mehrere des wenigstens einen Teils der mehreren Pakete einen oder mehrere Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldwertkritieren haben; und Anwenden, in Reaktion auf die Feststellung, dass die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete einen oder mehrere Anwendungs-Header-Feldwerte entsprechend den durch den Operator vorgegebenen einem oder mehreren Anwendungs-Header-Feldkriterien haben, von wenigstens einer durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete.
Beispiel 2: Verfahren nach Beispiel 1, wobei der wenigstens eine Teil der mehreren Pakete HTTPS-(Hypertext Transfer Protocol Secure)-Pakete umfasst und wobei die ein oder mehreren Anwendungs-Header-Feldwertkriterien einen oder mehrere TLS-(Transport Layer Security)-Versionswerte umfassen.
Beispiel 3: Verfahren nach Beispiel 2, wobei die ein oder mehreren TLS-Versionswerte eine oder mehrere TLS-Versionen vorgeben, für die erlaubt werden soll, dass Pakete in Richtung ihrer jeweiligen Ziele fortfahren, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den durch den Operator vorgegebenen einem oder mehreren Anwendungs-Header-Feldkriterien eine oder mehrere der TLS-Versionen umfassen, und wobei das Anwenden der durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete ein Erlauben umfasst, dass jedes der ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete in Richtung seines jeweiligen Ziels fortfährt.
Beispiel 4: Verfahren nach Beispiel 2, wobei die ein oder mehreren TLS-Versionswerte eine oder mehrere TLS-Versionen vorgeben, für die das Fortfahren der Pakete in Richtung ihrer jeweiligen Zielen blockiert wird, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien eine oder mehrere der TLS-Versionen umfassen, und wobei das Anwenden der durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete ein Blockieren des Fortfahrens jedes der ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete in Richtung seines jeweiligen Ziels umfasst.
Beispiel 5: Verfahren nach Beispiel 1, wobei der wenigstens eine Teil der mehreren Pakete HTTP-(Hypertext Transfer Protocol)-Pakete umfasst und wobei die ein oder mehreren Anwendungs-Header-Feldwertkriterien einen oder mehrere HTTP-Verfahrenswerte umfassen.
Beispiel 6: Verfahren nach Beispiel 5, wobei die ein oder mehreren HTTP-Verfahrenswerte ein oder mehrere HTTP-Verfahren vorgeben, für die erlaubt werden soll, dass Pakete in Richtung ihrer jeweiligen Ziele fortfahren, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien ein oder mehrere der HTTP-Verfahren umfassen, und wobei das Anwenden der durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete ein Erlauben umfasst, dass jedes der ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete in Richtung seines jeweiligen Ziels fortfährt.
Beispiel 7: Verfahren nach Beispiel 5, wobei die ein oder mehreren HTTP-Verfahrenswerte ein oder mehrere HTTP-Verfahren vorgeben, für die das Fortfahren von Paketen in Richtung ihres jeweiligen Ziels blockiert werden soll, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den durch den Operator vorgegebenen ein oder mehreren Anwendungs-Header-Feldkriterien ein oder mehrere der HTTP-Verfahren umfassen, und wobei das Anwenden der durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren des wenigstens einen Teils der mehreren Pakete ein Blockieren des Fortfahrens jedes der ein oder mehreren des wenigstens einen Teils der mehreren Pakete in Richtung seines jeweiligen Ziels umfasst.
Beispiel 8: Verfahren nach Beispiel 5, wobei die ein oder mehreren des wenigstens einen Teils der mehreren Pakete einen ersten Teil von HTTP-Paketen, die jeweils wenigstens einen GET-Verfahrenswert umfassen, und einen zweiten Teil von HTTP-Paketen umfassen, die jeweils einen oder mehrere aus PUT-, POST- oder CONNECT-Verfahrenswerten umfassen, und wobei das Anwenden der wenigstens einen durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren des wenigstens einen Teils der mehreren Pakete Folgendes umfasst: Erlauben, dass jedes aus dem ersten Teil von HTTP-Paketen in Richtung seines jeweiligen Ziels fortfährt; und Blockieren des Fortfahrens von jedem aus dem zweiten Teil von HTTP-Paketen in Richtung seines jeweiligen Ziels.
Beispiel 9: Verfahren nach Beispiel 1, wobei das Feststellen, dass der wenigstens eine Teil der mehreren Pakete Paket-Header-Feldwerten entsprechend der im Speicher gespeicherten Paketfilterungsregel hat, umfasst: Vergleichen eines Protokolls eines Datenteils von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einem durch die Paketfilterungsregel vorgegebenen Protokoll; Vergleichen einer Quell-IP-(Internet Protocol)-Adresse von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einer oder mehreren durch die Paketfilterungsregel vorgegebenen Quell-IP-Adressen; Vergleichen eines Quellports von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einem oder mehreren durch die Paketfilterungsregel vorgegebenen Quellport; Vergleichen einer Ziel-IP-Adresse von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einer oder mehreren durch die Paketfilterungsregel vorgegebenen Ziel-IP-Adressen; und Vergleichen eines Zielports von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einem oder mehreren durch die Paketfilterungsregel vorgegebenen Zielport.
Beispiel 10: Verfahren nach Beispiel 1, umfassend: Empfangen von zweiten mehreren Paketen über die Kommunikationsschnittstelle; Feststellen, durch den Prozessor, dass die zweiten mehreren Pakete keine Paket-Header-Feldwerte entsprechend der im Speicher gespeicherten Paketfilterungsregel haben; und Blockieren, in Reaktion auf die Feststellung, dass die zweiten mehreren Pakete keine Paket-Header-Feldwerte entsprechend der Paketfilterungsregel haben, des Fortfahrens von jedem aus den zweiten mehreren Paketen in Richtung seines jeweiligen Ziels, ohne den durch die Paketfilterungsregel vorgegebenen Operator auf die zweiten mehreren Pakete anzuwenden.
Beispiel 11: Vorrichtung, umfassend: wenigstens einen Prozessor; und einen Speicher zum Speichern von Befehlen, die bei Ausführung durch den wenigstens einen Prozessor bewirken, dass die Vorrichtung durchführt: Empfangen mehrerer Pakete; Feststellen, dass wenigstens ein Teil der mehreren Pakete Paket-Header-Feldwerte entsprechend einer Paketfilterungsregel hat; Anwenden, in Reaktion auf die Feststellung, dass der wenigstens eine Teil der mehreren Pakete Paket-Header-Feldwerte entsprechend der Paketfilterungsregel hat, eines durch die Paketfilterungsregel vorgegebenen Operators auf den wenigstens einen Teil der mehreren Pakete, wobei der Operator ein oder mehrere Anwendungs-Header-Feldwertkriterien vorgibt; Feststellen, dass ein oder mehrere aus dem wenigstens einen Teil der mehreren Pakete einen oder mehrere Anwendungs-Header-Feldwerte entsprechend den durch den Operator vorgegebenen ein oder mehreren Anwendungs-Header-Feldwertkriterien haben; und Anwenden, in Reaktion auf die Feststellung, dass die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete einen oder mehrere Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien haben, von wenigstens einer durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete.
Beispiel 12: Vorrichtung nach Beispiel 11, wobei der wenigstens eine Teil der mehreren Pakete HTTPS-(Hypertext Transfer Protocol Secure)-Pakete umfasst, und wobei die ein oder mehreren Anwendungs-Header-Feldwertkriterien einen oder mehrere TLS-(Transport Layer Security)-Versionswerte umfassen.
Beispiel 13: Vorrichtung nach Beispiel 12, wobei die ein oder mehreren TLS-Versionswerte eine oder mehrere TLS-Versionen vorgeben, für die erlaubt werden soll, dass Pakete in Richtung ihrer jeweiligen Ziele fortfahren, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien eine oder mehrere der TLS-Versionen umfassen, und wobei die Befehle bei Ausführung durch den wenigstens einen Prozessor bewirken, dass es die Vorrichtung erlaubt, dass jedes der ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete in Richtung seines jeweiligen Ziels fortfährt.
Beispiel 14: Vorrichtung nach Beispiel 12, wobei die ein oder mehreren TLS-Versionswerte eine oder mehrere TLS-Versionen vorgeben, für die ein Fortfahren der Pakete in Richtung ihrer jeweiligen Ziele blockiert werden soll, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien eine oder mehrere der TLS-Versionen umfassen, und wobei die Befehle bei Ausführung durch den wenigstens einen Prozessor bewirken, dass die Vorrichtung ein Fortfahren von jedem der ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete in Richtung ihrer jeweiligen Ziele blockiert. Beispiel 15: Vorrichtung nach Beispiel 11, wobei der wenigstens eine Teil der mehreren Pakete HTTP-(Hypertext Transfer Protocol)-Pakete umfasst und wobei die ein oder mehreren Anwendungs-Header-Feldwertkriterien einen oder mehrere HTTP-Verfahrenswerte umfassen.
Beispiel 16: Vorrichtung nach Beispiel 15, wobei die ein oder mehreren HTTP-Verfahrenswerte ein oder mehrere HTTP-Verfahren vorgeben, für die es Paketen erlaubt werden soll, in Richtung ihrer jeweiligen Ziele fortzufahren, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien ein oder mehrere der HTTP-Verfahren umfassen, und wobei die Befehle bei Ausführung durch den wenigstens einen Prozessor bewirken, dass es die Vorrichtung erlaubt, dass jedes der ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete in Richtung seines jeweiligen Ziels fortfährt.
Beispiel 17: Vorrichtung nach Beispiel 15, wobei die ein oder mehreren HTTP-Verfahrenswerte ein oder mehrere HTTP-Verfahren vorgeben, für die ein Fortfahren der Pakete in Richtung ihrer jeweiligen Ziele blockiert werden soll, wobei die ein oder mehreren Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien ein oder mehrere der HTTP-Verfahren umfassen, und wobei die Befehle bei Ausführung durch den wenigstens einen Prozessor bewirken, dass die Vorrichtung ein Fortfahren von jedem der ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete in Richtung seines jeweiligen Ziels blockiert. Beispiel 18: Vorrichtung nach Beispiel 15, wobei die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete einen ersten Teil von HTTP-Paketen, die jeweils wenigstens einen GET-Verfahrenswert umfassen, und einen zweiten Teil von HTTP-Paketen umfassen, die jeweils einen oder mehrere aus PUT-, POST- oder CONNECT-Verfahrenswerten umfassen, und wobei die Befehle bei Ausführung durch den wenigstens einen Prozessor bewirken, dass die Vorrichtung durchführt: Erlauben, dass jedes aus dem ersten Teil von HTTP-Paketen in Richtung seines jeweiligen Ziels fortfährt; und Blockieren des Fortfahrens jedes aus dem zweiten Teil von HTTP-Paketen in Richtung seines jeweiligen Ziels.
Beispiel 19: Vorrichtung nach Beispiel 11, wobei die Befehle bei Ausführung durch den wenigstens einen Prozessor bewirken, dass die Vorrichtung durchführt: Vergleichen eines Protokolls eines Datenteils von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einem durch die Paketfilterungsregel vorgegebenen Protokoll; Vergleichen einer Quell-IP-(Internet Protocol)-Adresse von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einer oder mehreren durch die Paketfilterungsregel vorgegebenen Quell-IP-Adressen; Vergleichen eines Quellports von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einem oder mehreren durch die Paketfilterungsregel vorgegebenen Quellport; Vergleichen einer Ziel-IP-Adresse von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einer oder mehreren durch die Paketfilterungsregel vorgegebenen Ziel-IP-Adressen; und Vergleichen eines Zielports von jedem aus dem wenigstens einen Teil der mehreren Pakete mit einem oder mehreren durch die Paketfilterungsregel vorgegebenen Zielports.
Beispiel 20: Ein oder mehrere nichtflüchtige computerlesbare Medien, auf denen Befehle gespeichert sind, die bei Ausführung durch ein oder mehrere Computervorrichtungen bewirken, dass die ein oder mehreren Computervorrichtungen durchführen: Empfangen mehrerer Pakete; Feststellen, dass wenigstens ein Teil der mehreren Pakete Paket-Header-Feldwerte entsprechend einer Paketfilterungsregel hat; Anwenden, in Reaktion auf die Feststellung, dass der wenigstens eine Teil der mehreren Pakete Paket-Header-Feldwerte entsprechend der Paketfilterungsregel hat, eines durch die Paketfilterungsregel vorgegebenen Operators auf den wenigstens einen Teil der mehreren Pakete, wobei der Operator ein oder mehrere Anwendungs-Header-Feldwertkriterien vorgibt; Feststellen, dass ein oder mehrere aus dem wenigstens einen Teil der mehreren Pakete einen oder mehrere Anwendungs-Header-Feldwerte entsprechend den durch den Operator vorgegebenen ein oder mehreren Anwendungs-Header-Feldwertkriterien haben; und Anwenden, in Reaktion auf die Feststellung, dass die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete einen oder mehrere Anwendungs-Header-Feldwerte entsprechend den ein oder mehreren durch den Operator vorgegebenen Anwendungs-Header-Feldkriterien haben, von wenigstens einer durch den Operator vorgegebenen Pakettransformationsfunktion auf die ein oder mehreren aus dem wenigstens einen Teil der mehreren Pakete.
Beispiel 21: Verfahren, umfassend: Empfangen mehrerer Pakete durch ein Paketsicherheits-Gateway (110) über eine Kommunikationsschnittstelle (208, 210) und von einem ersten Netzwerk; Feststellen, basierend auf einer Zieladresse jedes eines ersten Teils der mehreren Pakete, die anzeigt, dass der erste Teil der mehreren Pakete für ein zweites Netzwerk bestimmt ist, dass der erste Teil der mehreren Pakete einen oder mehrere Paketkopffeldwerte umfasst, die einer ersten Paketfilterungsregel entsprechen, wobei die erste Paketfilterungsregel zu einem Satz von Paketfilterungsregeln gehört, die konfiguriert sind, um bestimmte Arten von Datenübertragungen von dem ersten Netzwerk zu einem zweiten Netzwerk zu verhindern;in Reaktion auf die Feststellung, dass der erste Teil der mehreren Pakete einen oder mehrere Paketkopf-Feldwerte umfasst, die der Paketfilterungsregel entsprechen: Feststellen, dass wenigstens ein Paket des ersten Teils der mehreren Pakete Anwendungskopffeldwerte umfasst, die der ersten Paketfilterungsregel entsprechen und mit den bestimmten Arten von Datenübertragungen assoziiert sind; Anwenden wenigstens einer ersten Pakettransformationsfunktion, die durch die erste Paketfilterungsregel definiert ist, um das wenigstens eine Paket des ersten Teils der mehreren Pakete an der Fortsetzung in Richtung des zweiten Netzwerks zu hindern; und Anwenden wenigstens einer zweiten Pakettransformationsfunktion, die durch die erste Paketfilterungsregel definiert ist, um wenigstens ein weiteres Paket des ersten Teils der mehreren Pakete zur Weiterleitung an das zweite Netzwerk zuzulassen.
Beispiel 22: Verfahren nach Beispiel 21, wobei das Feststellen, dass der erste Teil der mehreren Pakete einen oder mehrere Anwendungs-Header-Feldwerte umfasst, die der ersten Paketfilterungsregel entsprechen, ein Feststellen umfasst, dass das eine oder mehrere Anwendungs-Header-Feld wenigstens eines der folgenden umfasst: ein POST-Verfahren, ein PUT-Verfahren, ein GET-Verfahren oder ein CONNECT-Verfahren.
Beispiel 23: Verfahren nach Beispiel 21 oder Beispiel 22, wobei: das erste Netzwerk ein geschütztes Netzwerk umfasst; und das zweite Netzwerk ein Ziel außerhalb des geschützten Netzwerks umfasst.
Beispiel 24: Verfahren nach einem der Beispiele 21 bis 23, ferner umfassend: Feststellen einer zweiten Zieladresse von jedem eines zweiten Teils der mehreren Pakete, wobei die zweite Zieladresse ein vertrauenswürdiges Netzwerk umfasst; und Anwenden wenigstens einer dritten Pakettransformationsfunktion, die durch eine zweite Paketfilterungsregel des Satzes von Paketfilterungsregeln definiert ist, um jedes des zweiten Teils der mehreren Pakete in Richtung der zweiten Zieladresse weiterzuleiten.
Beispiel 25: Verfahren nach einem der Beispiele 21 bis 23, ferner umfassend: Feststellen einer zweiten Zieladresse von jedem eines zweiten Teils der mehreren Pakete, wobei die zweite Zieladresse ein nicht vertrauenswürdiges Netzwerk umfasst; und Anwenden wenigstens einer dritten Pakettransformationsfunktion, die durch eine zweite Paketfilterungsregel des Satzes von Paketfilterungsregeln definiert ist, um jedes des zweiten Teils der mehreren Pakete fallenzulassen.
Beispiel 26: Verfahren nach Beispiel 21, ferner umfassend: Feststellen, dass der eine oder die mehreren Anwendungs-Header-Feldwerte einen bestimmten TLS-Versionswert (Transport Layer Security) umfassen; und Anwenden der wenigstens einen zweiten Pakettransformationsfunktion, basierend auf einer Feststellung, dass der eine oder die mehreren Anwendungskopffeldwerte einen bestimmten TLS-Versionswert umfassen, um die Weiterleitung des wenigstens einen weiteren Pakets in Richtung des zweiten Netzwerks zu ermöglichen.
Beispiel 27: Verfahren nach Beispiel 21, ferner umfassend: Feststellen, dass der eine oder die mehreren Anwendungs-Header-Feldwerte einen bestimmten TLS-Versionswert (Transport Layer Security) umfassen; und Anwenden der wenigstens einen ersten Pakettransformationsfunktion, basierend auf einer Feststellung, dass der eine oder die mehreren Anwendungs-Header-Feldwerte einen bestimmten TLS-Versionswert umfassen, um das wenigstens eine Paket des ersten Teils der mehreren Pakete zu blockieren.
Beispiel 28: Verfahren nach einem der Beispiele 21 bis 27, ferner umfassend: Empfangen einer dynamischen Sicherheitsrichtlinie, die den Satz von Regeln zur Paketfilterung umfasst, von einem Sicherheitsrichtlinien-Managementserver.
Beispiel 29: Verfahren nach Beispiel 28, wobei sich der Sicherheitsrichtlinien-Managementserver außerhalb des ersten Netzwerks befindet.
Beispiel 30: Verfahren nach Beispiel 21, wobei der eine oder die mehreren Anwendungs-Header-Feldwerte eine Angabe des Extensible Messaging and Presence Protocol (XMPP) umfassen.
Beispiel 31: Verfahren nach Beispiel 21, wobei die Anwendung wenigstens einer zweiten Pakettransformationsfunktion, um das wenigstens eine weitere Paket zuzulassen, ein Einkapseln des wenigstens einen weiteren Pakets in einen Tunnel umfasst.
Beispiel 32: Verfahren nach Beispiel 31, wobei der eine oder die mehreren Anwendungs-Header-Werte eine oder mehrere HTTP-Verfahren vorgeben, für die es Paketen erlaubt sein sollte, zu ihren jeweiligen Zielen fortzufahren.
Beispiel 33: Paketsicherheits-Gateway (110) mit: einem oder mehreren Prozessoren (204); und Speicher (206), der Anweisungen speichert, die, wenn sie von dem einen oder den mehreren Prozessoren ausgeführt werden, das Paketsicherheits-Gateway veranlassen, das Verfahren nach einem der Beispiele 21 bis 32 durchzuführen.
Beispiel 34: System, umfassend: ein Paketsicherheits-Gateway, das so konfiguriert ist, dass es das Verfahren nach einem der Beispiele 21 bis 32 durchführt; und eine Computervorrichtung, die zum Senden der mehreren Pakete konfiguriert ist.
Beispiel 35: Nichtflüchtiges computerlesbares Medium, das Befehle speichert, die, wenn sie ausgeführt werden, die Durchführung des Verfahrens nach einem der Beispiele 21 bis 32 bewirken.

ZITATE ENTHALTEN IN DER BESCHREIBUNG

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.

Zitierte Patentliteratur

US 13/795822 [0002]

Claims

System, das umfasst: wenigstens einen Prozessor; und einen Speicher, der Befehle speichert, die, wenn sie von dem wenigstens einen Prozessor ausgeführt werden, das System zu Folgendem veranlassen: Empfangen mehrerer Pakete von einer Computervorrichtung, die sich in einem ersten Netzwerk befindet, wobei die mehreren Pakete einen ersten Teil von Paketen und einen zweiten Teil von Paketen umfassen; in Reaktion auf eine Feststellung, dass der erste Teil von Paketen Daten umfasst, die Kriterien entsprechen, die durch eine oder mehrere Paketfilterungsregeln vorgegeben sind, die so konfiguriert sind, dass sie eine bestimmte Art von Datenübertragung vom ersten Netzwerk zu einem zweiten Netzwerk verhindern, wobei die Daten anzeigen, dass der erste Teil von Paketen für das zweite Netzwerk bestimmt ist: Anwenden auf jedes Paket im ersten Teil von Paketen eines ersten durch die eine oder die mehreren Paketfilterungsregeln vorgegebenen Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind; und Fallenlassen jedes Paket im ersten Teil von Paketen; und in Reaktion auf eine Feststellung, dass der zweite Teil von Paketen Daten umfasst, die nicht den Kriterien entsprechen, wobei die Daten anzeigen, dass der zweite Teil von Paketen für ein drittes Netzwerk bestimmt ist: Anwenden auf jedes Paket im zweiten Teil von Paketen und ohne Anwenden der einen oder der mehreren Paketfilterungsregeln, die so konfiguriert sind, dass sie die bestimmte Art der Datenübertragung vom ersten Netzwerk zum zweiten Netzwerk verhindern, eines zweiten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des dritten Netzwerks weiterleitet; und Weiterleiten jedes Paket im zweiten Teil von Paketen in Richtung des dritten Netzwerks.
System nach Anspruch 1, wobei der erste Teil von Paketen Daten umfasst, die anzeigen: einen Protokolltyp, der mit der bestimmten Art der Datenübertragung assoziiert ist und den Kriterien entspricht, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen Daten umfasst, die einen Protokolltyp angeben, der nicht mit der bestimmten Art der Datenübertragung assoziiert ist.
System nach Anspruch 1 oder Anspruch 2, wobei: der erste Teil von Paketen Daten umfasst, die eine erste Zielportnummer angeben, die mit der bestimmten Art der Datenübertragung assoziiert ist und den Kriterien entspricht, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen Daten umfasst, die eine zweite Zielportnummer angeben, die nicht mit der bestimmten Art der Datenübertragung assoziiert ist.
System nach einem der vorhergehende Ansprüche, wobei: der erste Teil von Paketen Daten umfasst, die mit dem Hypertext-Transfer-Protokoll (HTTP) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit HTTP assoziierte Daten enthält.
System nach einem der vorhergehenden Ansprüche, wobei: der erste Teil von Paketen Daten umfasst, die mit dem sicheren Hypertext-Übertragungsprotokoll (HTTPS) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit HTTPS assoziierte Daten umfasst.
System nach einem der vorhergehenden Ansprüche, wobei: der erste Teil von Paketen Daten umfasst, die mit dem Dateiübertragungsprotokoll (FTP) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit FTP assoziierte Daten umfasst.
System nach einem der vorhergehenden Ansprüche, wobei: der erste Teil von Paketen Daten umfasst, die mit dem Echtzeit-Transportprotokoll (RTP) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit RTP assoziierte Daten umfasst.
System nach einem der vorhergehenden Ansprüche, wobei: das Empfangen der mehreren Pakete ein Empfangen von Paketen umfasst, die Daten umfassen, die mit dem Hypertext-Transfer-Protokoll (HTTP) assoziiert sind; der erste Teil von Paketen einen ersten Typ von Daten umfasst, die mit HTTP assoziiert sind; der zweite Teil von Paketen einen zweiten Typ von Daten umfasst, der mit HTTP assoziiert ist; und das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen den ersten Typ von Daten umfasst.
System nach Anspruch 8, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Pakete Daten umfasst, die einem HTTP-POST-Verfahren entsprechen.
System nach Anspruch 8, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem HTTP-PUT-Verfahren entsprechen.
System nach Anspruch 8, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem HTTP DELETE-Verfahren entsprechen.
System nach Anspruch 8, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem HTTP-CONNECT-Verfahren entsprechen.
System nach Anspruch 8, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des zweiten Netzwerks weiterleitet, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der zweite Teil von Paketen den zweiten Typ von Daten umfasst.
System nach Anspruch 8, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des zweiten Netzwerks weiterleitet, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der zweite Teil von Paketen Daten umfasst, die einem HTTP-GET-Verfahren entsprechen.
System nach Anspruch 1, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem bestimmten TLS-Versionswert (Transport Layer Security) entsprechen.
System nach Anspruch 1, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des zweiten Netzwerks weiterleitet, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der zweite Teil von Paketen Daten umfasst, die einem bestimmten Versionswert der Transportschichtsicherheit (TLS) entsprechen.
System nach Anspruch 1, wobei: der erste Teil von Paketen Daten umfasst, die anzeigen: eine erste Quellportnummer, die mit der bestimmten Art der Datenübertragung assoziiert ist und den Kriterien entspricht, die durch die eine oder mehrere Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen Daten umfasst, die eine zweite Quellportnummer angeben, die nicht mit der bestimmten Art der Datenübertragung assoziiert ist.
System, das umfasst: wenigstens einen Prozessor; und einen Speicher, der Befehle speichert, die, wenn sie von dem wenigstens einen Prozessor ausgeführt werden, das System zu Folgendem veranlassen: Empfangen mehrerer Pakete von einer Computervorrichtung, die sich in einem ersten Netzwerk befindet; in Reaktion auf eine Feststellung, dass ein erstes Paket der mehreren Pakete Daten umfasst, die mit dem eXtensible Messaging and Presence Protocol (XMPP) assoziiert sind, und die Daten Kriterien entsprechen, die durch eine oder mehrere Paketfilterungsregeln vorgegeben sind, die so konfiguriert sind, dass sie eine bestimmte Art der Datenübertragung vom ersten Netzwerk zu einem zweiten Netzwerk verhindern: Anwenden auf das erste Paket eines ersten durch die eine oder mehreren Paketfilterungsregeln vorgegebenen Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind; und Fallenlassen des ersten Pakets; und in Reaktion auf eine Feststellung, dass ein zweites Paket der mehreren Pakete keine mit XMPP assoziierte Daten umfasst: Anwenden auf das zweite Paket und ohne Anwenden der einen oder mehreren Paketfilterungsregeln, die so konfiguriert sind, dass sie die bestimmte Art der Datenübertragung vom ersten Netzwerk zum zweiten Netzwerk verhindern, eines zweiten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, zum zweiten Netzwerk weiterleitet; und Weiterleiten des zweiten Pakets in Richtung des zweiten Netzwerks.
Ein oder mehrere nichtflüchtige computerlesbare Medien, die Befehle umfassen, die bei Ausführung durch ein oder mehrere Systeme das eine oder die mehreren Systeme veranlassen zum: Empfangen mehrerer Pakete von einer Computervorrichtung, die sich in einem ersten Netzwerk befindet, wobei die mehreren Pakete einen ersten Teil von Paketen und einen zweiten Teil von Paketen umfassen; in Reaktion auf eine Feststellung, dass der erste Teil von Paketen Daten umfasst, die Kriterien entsprechen, die durch eine oder mehrere Paketfilterungsregeln vorgegeben sind, die so konfiguriert sind, dass sie eine bestimmte Art von Datenübertragung vom ersten Netzwerk zu einem zweiten Netzwerk verhindern, wobei die Daten anzeigen, dass der erste Teil von Pakete für das zweite Netzwerk bestimmt ist: Anwenden auf jedes Paket im ersten Teil von Paketen eines ersten durch die eine oder die mehreren Paketfilterungsregeln vorgegebenen Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind; und Fallenlassen jedes Paket im ersten Teil von Paketen; und in Reaktion auf eine Feststellung, dass der zweite Teil von Paketen Daten umfasst, die nicht den Kriterien entsprechen, wobei die Daten anzeigen, dass der zweite Teil von Paketen für ein drittes Netzwerk bestimmt ist: Anwenden auf jedes Paket im zweiten Teil von Paketen und ohne Anwenden der einen oder mehreren Paketfilterungsregeln, die so konfiguriert sind, dass sie die bestimmte Art der Datenübertragung vom ersten Netzwerk zum zweiten Netzwerk verhindern, eines zweiten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des dritten Netzwerks weiterleitet; und Weiterleiten jedes Paket im zweiten Teil von Paketen in Richtung des dritten Netzwerks.
System, das umfasst: wenigstens einen Prozessor; und einen Speicher, der Befehle speichert, die, wenn sie von dem wenigstens einen Prozessor ausgeführt werden, das System zu Folgendem veranlassen: Empfangen mehrerer Pakete von einer Computervorrichtung, die sich in einem ersten Netzwerk befindet, wobei die mehreren Pakete einen ersten Teil von Paketen und einen zweiten Teil von Paketen umfassen; in Reaktion auf eine Feststellung, dass der erste Teil von Paketen Daten umfasst, die Kriterien entsprechen, die durch eine oder mehrere Paketfilterungsregeln vorgegeben sind, die so konfiguriert sind, dass sie eine bestimmte Art von Datenübertragung vom ersten Netzwerk zu einem zweiten Netzwerk verhindern, wobei die Daten anzeigen, dass der erste Teil von Paketen für das zweite Netzwerk bestimmt ist: Anwenden auf jedes Paket im ersten Teil von Paketen eines ersten durch die eine oder die mehreren Paketfilterungsregeln vorgegebenen Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind; und Fallenlassen jedes Paket im ersten Teil von Paketen; und in Reaktion auf eine Feststellung, dass der zweite Teil von Paketen Daten umfasst, die nicht den Kriterien entsprechen, wobei die Daten anzeigen, dass der zweite Teil von Paketen für ein drittes Netzwerk bestimmt ist: Anwenden auf jedes Paket im zweiten Teil von Paketen eines zweiten, durch eine oder mehrere zweite Paketfilterungsregeln, verschieden von der einen oder den mehreren Filterungsregeln, vorgegebenen Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des dritten Netzwerks weiterleitet; und Weiterleiten jedes Paket im zweiten Teil von Paketen in Richtung des dritten Netzwerks.
System nach Anspruch 20, wobei der erste Teil von Paketen Daten umfasst, die anzeigen: einen Protokolltyp, der mit der bestimmten Art der Datenübertragung assoziiert ist und den Kriterien entspricht, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen Daten umfasst, die einen Protokolltyp angeben, der nicht mit der bestimmten Art der Datenübertragung assoziiert ist.
System nach Anspruch 20 oder Anspruch 21, wobei: der erste Teil von Paketen Daten umfasst, die eine erste Zielportnummer angeben, die mit der bestimmten Art der Datenübertragung assoziiert ist und den Kriterien entspricht, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen Daten umfasst, die eine zweite Zielportnummer angeben, die nicht mit der bestimmten Art der Datenübertragung assoziiert ist.
System nach einem der Ansprüche 20-22, wobei: der erste Teil von Paketen Daten umfasst, die mit dem Hypertext-Transfer-Protokoll (HTTP) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit HTTP assoziierte Daten enthält.
System nach einem der Ansprüche 20-23, wobei: der erste Teil von Paketen Daten umfasst, die mit dem sicheren Hypertext-Übertragungsprotokoll (HTTPS) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit HTTPS assoziierte Daten umfasst.
System nach einem der Ansprüche 20-24, wobei: der erste Teil von Paketen Daten umfasst, die mit dem Dateiübertragungsprotokoll (FTP) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit FTP assoziierte Daten umfasst.
System nach einem der Ansprüche 20-25, wobei: der erste Teil von Paketen Daten umfasst, die mit dem Echtzeit-Transportprotokoll (RTP) assoziiert sind und den Kriterien entsprechen, die durch die eine oder die mehreren Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen keine mit RTP assoziierte Daten umfasst.
System nach einem der Ansprüche 20-26, wobei: das Empfangen der mehreren Pakete ein Empfangen von Paketen umfasst, die Daten umfassen, die mit dem Hypertext-Transfer-Protokoll (HTTP) assoziiert sind; der erste Teil von Paketen einen ersten Typ von Daten umfasst, die mit HTTP assoziiert sind; der zweite Teil von Paketen einen zweiten Typ von Daten umfasst, der mit HTTP assoziiert ist; und das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen den ersten Typ von Daten umfasst.
System nach Anspruch 27, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem HTTP-POST-Verfahren entsprechen.
System nach Anspruch 27, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem HTTP-PUT-Verfahren entsprechen.
System nach Anspruch 27, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem HTTP DELETE-Verfahren entsprechen.
System nach Anspruch 27, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem HTTP-CONNECT-Verfahren entsprechen.
System nach Anspruch 27, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des zweiten Netzwerks weiterleitet, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der zweite Teil von Paketen den zweiten Typ von Daten umfasst.
System nach Anspruch 27, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des zweiten Netzwerks weiterleitet, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der zweite Teil von Paketen Daten umfasst, die einem HTTP-GET-Verfahren entsprechen.
System nach Anspruch 20, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der erste Teil von Paketen Daten umfasst, die einem bestimmten TLS-Versionswert (Transport Layer Security) entsprechen.
System nach Anspruch 20, wobei das Anwenden des ersten Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des zweiten Netzwerks weiterleitet, in Reaktion auf eine Bestimmung durch das System durchgeführt wird, dass der zweite Teil von Paketen Daten umfasst, die einem bestimmten Versionswert der Transportschichtsicherheit (TLS) entsprechen.
System nach Anspruch 20, wobei: der erste Teil von Paketen Daten umfasst, die anzeigen: eine erste Quellportnummer, die mit der bestimmten Art der Datenübertragung assoziiert ist und den Kriterien entspricht, die durch die eine oder mehrere Paketfilterungsregeln vorgegeben sind; und der zweite Teil von Paketen Daten umfasst, die eine zweite Quellportnummer angeben, die nicht mit der bestimmten Art der Datenübertragung assoziiert ist.
System, das umfasst: wenigstens einen Prozessor; und einen Speicher, der Befehle speichert, die, wenn sie von dem wenigstens einen Prozessor ausgeführt werden, das System zu Folgendem veranlassen: Empfangen mehrerer Pakete von einer Computervorrichtung, die sich in einem ersten Netzwerk befindet; in Reaktion auf eine Feststellung, dass ein erstes Paket der mehreren Pakete Daten umfasst, die mit dem eXtensible Messaging and Presence Protocol (XMPP) assoziiert sind, und die Daten Kriterien entsprechen, die durch eine oder mehrere Paketfilterungsregeln vorgegeben sind, die so konfiguriert sind, dass sie eine bestimmte Art der Datenübertragung vom ersten Netzwerk zu einem zweiten Netzwerk verhindern: Anwenden auf das erste Paket eines ersten durch die eine oder mehreren Paketfilterungsregeln vorgegebenen Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind; und Fallenlassen des ersten Pakets; und in Reaktion auf eine Feststellung, dass ein zweites Paket der mehreren Pakete keine mit XMPP assoziierte Daten umfasst: Anwenden auf das zweite Paket eines zweiten, durch eine oder mehrere zweite Paketfilterungsregeln, verschieden von der einen oder den mehreren Filterungsregeln, vorgegebenen Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, zum zweiten Netzwerk weiterleitet; und Weiterleiten des zweiten Pakets in Richtung des zweiten Netzwerks.
Ein oder mehrere nichtflüchtige computerlesbare Medien, die Befehle umfassen, die bei Ausführung durch ein oder mehrere Systeme das eine oder die mehreren Systeme veranlassen zum: Empfangen mehrerer Pakete von einer Computervorrichtung, die sich in einem ersten Netzwerk befindet, wobei die mehreren Pakete einen ersten Teil von Paketen und einen zweiten Teil von Paketen umfassen; in Reaktion auf eine Feststellung, dass der erste Teil von Paketen Daten umfasst, die Kriterien entsprechen, die durch eine oder mehrere Paketfilterungsregeln vorgegeben sind, die so konfiguriert sind, dass sie eine bestimmte Art von Datenübertragung vom ersten Netzwerk zu einem zweiten Netzwerk verhindern, wobei die Daten anzeigen, dass der erste Teil von Paketen für das zweite Netzwerk bestimmt ist: Anwenden auf jedes Paket im ersten Teil von Paketen eines ersten durch die eine oder die mehreren Paketfilterungsregeln vorgegebenen Operators, der so konfiguriert ist, dass er Pakete fallenlässt, die mit der bestimmten Art der Datenübertragung assoziiert sind; und Fallenlassen jedes Paket im ersten Teil von Paketen; und in Reaktion auf eine Feststellung, dass der zweite Teil von Paketen Daten umfasst, die nicht den Kriterien entsprechen, wobei die Daten anzeigen, dass der zweite Teil von Paketen für ein drittes Netzwerk bestimmt ist: Anwenden auf jedes Paket im zweiten Teil von Paketen eines zweiten, durch eine oder mehrere zweite Paketfilterungsregeln, verschieden von der einen oder den mehreren Filterungsregeln, vorgegebenen Operators, der so konfiguriert ist, dass er Pakete, die nicht mit der bestimmten Art der Datenübertragung assoziiert sind, in Richtung des dritten Netzwerks weiterleitet; und Weiterleiten jedes Paket im zweiten Teil von Paketen in Richtung des dritten Netzwerks.