-
Erfindungsgebiet
-
Die
vorliegende Erfindung betrifft Computernetzkommunikationen im allgemeinen
und insbesondere Vorrichtungen und Verfahren zum Bereitstellen der
Sicherheit in Computernetznachrichten.
-
Hintergrund der Erfindung
-
Es
gibt eine große
Anzahl an U.S.-Patenten, die sich mit der Sicherheit in Computernetzkommunikationen
befassen. Es wird angenommen, dass die folgenden U.S.-Patente und
die darin zitierten Entgegenhaltungen den Stand der Technik darstellen:
5.951.698;
5.918.008; 5.907.834; 5.892.904; 5.889.934; 5.881.151; 5.859.966;
5.854.916; 5.842.002; 5.832.208; 5.826.012; 5.822.517; 5.809.138;
5.802.277; 5.748.940; 5.684.875; 5.679.525; 5.675.711; 5.666.411;
5.657.473; 5.649.095; 5.623.600; 5.613.002; 5.537.540; 5.511.184;
5.111.163; 5.502.815; 5.485.575; 5.473.769; 5.452.442; 5.398.196;
5.359.659; 5.319.776.
-
Sicherheit
in Computernetzkommunikationen setzen sich mit zwei allgemeinen
Arten bedrohenden Inhalts auseinander, die über ein Netz an einen Computer übermittelt
werden können:
Viren und Vandalen: Viren können
in eine Reihe von Kategorien unterteilt werden, wie z. B. Dateieninfizierer,
Dateisystemviren, Makro-Viren
und System/Bootsektor-Infizierer.
-
Vandalen
unterscheiden sich darin von Viren, dass Vandalen selbst-ausführbare Internet-Applikationen
sind und einen sofortigen Schaden bewirken können, wohingegen die Viren
es erfordern, dass der Anwender selbst die Applikationenen ausführt. Gegenwärtig sind
folgende Arten von Vandalen bekannt: Java-Applets, ActiveX-Objekte, Scripts und Cookies.
Vandalen können
in verschiedene Arten mitteilenden Inhalts verweilen, einschließlich E-mail, Web-Inhalt,
Legitime-Seiten und Datei-Downloads.
-
Es
ist bekannt, Proxy-Server zu benutzen, um den Empfang eines böswilligen
Inhalts durch einen Computer zu erfassen und zu verhindern. Die Verwendung
von Proxy-Servern für
diese Applikationsart wird u. a. in den zuvor genannten U.S.-Patenten
5.951.698; 5.889.934 & 5.623.600
beschrieben. Die Verwendung von Proxy-Servern für diesen Zweck hat eine Reihe
an Nachteilen einschließliech des
Nicht-Echtzeitbetriebs, des Erzeugens von Netz-Engpässen,
des Erfordernisses der speziellen Konfiguration eines jeden Desktops
und der relativen Leichtigkeit der Umgehung durch den Benutzer.
-
WO-00/00879
offenbart ein virtuelles privates Netz (VPN), in dem Computer verbunden
werden, um auf Filter zuzugreifen, die eine Zugriffsüberprüfung auf
IP-Niveau und ein Protokoll bereitstellen. Die Zugriffsfilter umfassen
Proxies, die, nachdem sie überprüft und bestätigt haben,
dass der Zugriff gestattet werden darf, alle Daten überprüfen, die
in das VPN eingehen, und diese Daten an die Kunden und an eine temporäre Datei
für die
Virus-Überprüfung überführen, wobei
sie verhindern, dass der letzte Teil der Daten an die Kunden gesendet
wird, bis die Virus-Überprüfung abgeschlossen
ist.
-
WO-97/39399
offenbart eine Vorrichtung zum Erfassen und Beseitigen von Viren,
das durch einen Post-Netzknoten eines Netz-E-Mail-Systems eingeführt werden
kann, in dem der Postknoten auf nicht gescannte Nachrichten hin
abgefragt wird, die heruntergeladen werden und in einem Speicher
des Knotens auf Viren hin überprüft werden.
-
Zusammenfassung der Erfindung
-
Die
vorliegende Erfindung hat das Bestreben, eine Vorrichtung und ein
Verfahren zum Schutz von Computern gegen einen böswilligen Inhalt bereitzustellen,
und zwar allgemein in Echtzeit und ohne die Verwendung eines Proxy-Servers
zu benötigen. Die
Vorrichtung und das Verfahren gemäß der Erfindung werden in den
anhängenden
Ansprüchen
definiert.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der vorliegenden Erfindung wird ein Gateway bereitgestellt, das
eine Eingabe zum Empfangen von Nachrichtenpaketen, eine Ausgabe zum
Ausgeben von Nachrichtenpaketen, und zwar allgemein in Echtzeit
in Bezug auf ihren Empfang, einen Vorgehensweise-Verwalter, der
die Kriterien zum Sammeln und Untersuchen einer Sammlung von Paketen
bestimmt, und einen Paketsammelagenten einschließt, der in Übereinstimmung mit vom Vorgehensweise-Verwalter
festgelegten Kriterien Pakete aus der Eingabe empfängt und
einen Inhaltsinspektor einschließt, der die Sammelung von Paketen
in Übereinstimmung
mit vom Vorgehensweise-Verwalter festgelegten Kriterien untersucht
und in Betrieb ist, um das Zuführen
von mindestens einem Paket einer Sammlung von Paketen an die Ausgabe
zu verhindern, wenn die Sammlung von Paketen in Übereinstimmung mit den vom
Vorgehensweise-Verwalter festgelegten Kriterien einen unerwünschten
Inhalt einschließt.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der vorliegenden Erfindung wird auch ein Verfahren bereitgestellt,
um einen Computer vor einem böswilligen
Inhalt zu schützen,
das folgende Schritte umfasst:
das Bestimmen von Kriterien
zum Sammeln und Untersuchen einer Sammelung von Paketen;
das
Empfangen von Paketen aus der Sammlung von Paketen in Übereinstimmung
mit den Kriterien;
das Untersuchen der Pakete in Übereinstimmung
mit den Kriterien;
das Verhindern der Ausgabe von mindestens
einem Paket aber nicht von allen Paketen einer Sammlung von Paketen
in Übereinstimmung
mit den Kriterien, wenn die Sammlung von Paketen einen unerwünschten
Inhalt einschließt;
und
das Ausgeben von anderen Paketen als dem mindestens einen
Paket, und zwar in Echtzeit in Bezug auf ihren Empfang.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der vorliegenden Erfindung ist das mindestens eine Paket das letzte
Paket einer Datei.
-
Kurze Beschreibung der
Zeichnungen
-
Die
vorliegende Erfindung wird vollständiger aus der folgenden detaillierten
Beschreibung verständlich
und gewürdigt
werden, die in Verbindung mit den Zeichnungen vorgenommen wird,
in denen:
-
1a eine
vereinfachte Blockdiagrammdarstellung der Implementierung der Erfindung
in einer Firewall-artigen Konfiguration zum Prüfen des ankommenden Internetverkehrs
und nicht des Intranetverkehrs ist;
-
1b eine
vereinfachte Blockdiagrammdarstellung der Implementierung der Erfindung
zum Überprüfen aller
ankommenden Nachrichten ist;
-
2 eine
vereinfachte Blockdiagrammdarstellung der Verwendung mehrerer Inhaltsinspektoren
durch einen Einpaket-Sammelagenten ist; und
-
3 ein
vereinfachtes Flußdiagramm
ist, das den Betrieb eines Paketsammelagenten in Übereinstimmung
mit einer bevorzugten Ausführungsform der
vorliegenden Erfindung darstellt.
-
Detaillierte
Beschreibung der bevorzugten Ausführungsformen
-
Die
vorliegende Erfindung ist bestrebt, den Schutz eines Computers gegen
einen bedrohenden Inhalt bereitzustellen, ohne die Verwendung eines Proxy-Servers
zu benötigen.
-
Es
wird jetzt auf 1a Bezug genommen, die eine
vereinfachte Blockdiagrammdarstellung der Implementierung der Erfindung
in einer Firewall-artigen Konfiguration zum Überprüfen des ankommenden Internetverkehrs,
jedoch nicht Intranetverkehrs, ist. Wie in 1a zu
sehen, wird ein typischer Computer 10 bereitgestellt, in
dem eine herkömmliche TCP/IP-Leitwegsoftware 12 resident
ist. Der Computer 10 ist für gewöhnlich mit einem Netz 13 verbunden.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der vorliegenden Erfindung wird zwischen eine Netz-Schnittstellenbaugruppe
(NIC) 16, die den Internetverkehr empfängt, und die TCP/IP-Leitwegsoftware 12 ein
Paketsammelagent (PCA) 14 gesetzt. In dieser Ausführungsform
wickelt eine separate NIC 18 den Intranetverkehr ab und
verfügt über keinen
PCA, der eine Schnittstelle mit ihr und der TCP/IP-Leitwegsoftware 12 bildet.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der vorliegenden Erfindung bildet der PCA 14 eine Schnittstelle
mit der Vorgehensweise-Verwaltersoftware 20, die die Sammelkriterien,
d. h. die Pakettypen, bestimmt, von denen Typen von Dateien gesammelt
werden, und Untersuchungskriterien, d. h. welche Inhaltstypen in
einer Datei nicht an ein oder von einem Netz 13 weitergeleitet
werden dürfen,
bestimmt.
-
Auf
der Grundlage der von der Vorgehensweise-Verwalter- software 20 festgelegten
Kriterien betreibt der PCA 14 eine Inhaltsinspektorsoftware 22,
die die Pakete einer Datei untersucht, die die Kriterien für das Sammeln
und Untersuchen erfüllen. Die
Inhaltsinspektorsoftware 22 arbeitet auf der Grundlage
der durch die Vorgehensweise-Verwaltersoftware 20 festgelegten
Kriterien und meldet dem PCA 14 ihre Untersuchungsbefunde.
Alternativ kann die Vorgehensweise-Verwaltersoftware 20 weggelassen
werden. In diesem Fall werden der PCA 14 und die Inhaltsverwaltersoftware
jeweils mit geeigneten Kriterien programmiert.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der Erfindung verzögert
der PCA 14 nicht die Übertragung
der meisten Pakete, nicht einmal von Dateien, die eine Untersuchung
erfordern. Während
er alle Pakete, jedoch für
gewöhnlich nicht
das letzte Paket in einer Datei überträgt, betreibt
er eher die Inhaltsinspektorsoftware 22, um die Inhalte
der Datei zu untersuchen. Wenn befunden wird, dass die Inhalte angenommen
werden können, wird
für gewöhnlich das
letzte Paket freigegeben. Wenn befunden wird, dass die Inhalte einer
Datei durch die Kriterien, die für
gewöhnlich
von der Vorgehensweise-Verwaltersoftware 20 festgelegt
werden, nicht angenommen werden können, wird mindestens ein Paket,
für gewöhnlich das
letzte Paket, nicht freigegeben, die Aktivierung des inakzeptablen
Inhalts durch den Computer verhindernd.
-
Es
wird jetzt auf 1b Bezug genommen, die die Implementierung
der Erfindung zur Überprüfung aller
ankommenden Nachrichten in einem Netz 28 darstellt. In
dieser dargestellten Ausführungsform wird,
wie in 1b ersichtlich, ein typischer
Computer 30 bereitgestellt, in dem eine TCP/IP-Software 32 resident
ist. In Übereinstimmung
mit einer bevorzugten Ausführungsform
der vorliegenden Erfindung wird zwischen eine Netzschnittstellenbaugruppe (NIC) 36,
die den Internet- und Intranetverkehr empfängt, und die TCP/IP-Software 32 ein
Paketsammelagent (PCA) 34 gesetzt.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der vorliegenden Erfindung bildet der PCA 34 wie in der
Ausführungsform
der 1a eine Schnittstelle mit der Vorgehensweise- Verwaltersoftware 40,
die die Sammelkriterien, d. h. welche Typen von Paketen von welchen
Typen von Dateien gesammelt werden, und die Untersuchungskriterien, d.
h. welche Inhaltstypen in einer Datei nicht an den Computer weitergeleitet
werden dürfen,
bestimmt.
-
Auf
der Grundlage der für
gewöhnlich
von der Vorgehensweise-Verwaltersoftware 40 festgelegten
Kriterien setzt der PCA 34 die Inhaltsinspektorsoftware 42 in
Betrieb, die die Pakete einer Datei untersucht, die die Kriterien
für das
Sammeln und Untersuchen erfüllt.
Die Inhaltsinspektorsoftware 42 arbeitet für gewöhnlich auf
der Grundlage der durch die Vorgehensweise-Verwaltersoftware 40 festgelegten Kriterien
und meldet dem PCA 34 ihre Untersuchungsbefunde.
-
In Übereinstimmung
mit einer bevorzugten Ausführungsform
der Erfindung verzögert
der PCA 34 nicht die Übertragung
der meisten Pakete, nicht einmal von Dateien, die eine Untersuchung
erfordern. Während
er alle Pakete, jedoch für
gewöhnlich nicht
das letzte Paket in einer Datei überträgt, setzt
er eher die Inhaltsinspektorsoftware 22 in Betrieb, um die
Inhalte der Datei zu untersuchen. Wenn befunden wird, dass die Inhalte
angenommen werden können, wird
für gewöhnlich das
letzte Paket freigegeben. Wenn befunden wird, dass die Inhalte einer
Datei durch die Kriterien, die für
gewöhnlich
von der Vorgehensweise-Verwaltersoftware 40 festgelegt
werden, nicht angenommen werden können, wird mindestens ein Paket,
für gewöhnlich das
letzte Paket, nicht freigegeben, die Aktivierung des inakzeptablen
Inhalts durch den Computer verhindernd.
-
Es
wird jetzt auf 2 Bezug genommen, die eine vereinfachte
Blockdiagrammdarstellung der Verwendung mehrerer Inhaltsinspektoren
durch einen Einpaket-Sammelagenten ist. Wie in 2 dargestellt,
kann ein einzelner PCA 50 gleichzeitig eine Schnittstelle
mit einem einzelnen Vorgehensweise-Verwalter 52, der in
bestimmten Ausführungsformen
weggelassen werden kann, und mit mehreren Inhaltsinspektoren 54 bilden.
Die Anordnungsart kann bei der Abwicklung von hohen Verkehrs-Volumina
besonders nützlich
sein.
-
Es
wird jetzt auf 3 Bezug genommen, die ein ver einfachtes
Flußdiagramm
darstellt, das den Betrieb eines PCA in Übereinstimmung mit einer bevorzugten
Ausführungsform
der vorliegenden Erfindung darstellt.
-
Wie
in 3 ersichtlich, wird beim Empfang eines Pakets
das Paket allgemein in Echtzeit gleichzeitig gespeichert und an
seinen Bestimmungsort freigegeben, wenn das Paket im Zusammenhang
einer bestehenden Datei empfangen wird und nicht das letzte Paket
ist.
-
Wenn
das Paket das letzte Paket in einer Datei ist, erhält der PCA
für gewöhnlich die
Untersuchungskriterien vom Vorgehensweise-Verwalter und sendet alle
Pakete in der Datei für
die Untersuchung in Übereinstimmung
mit den für
gewöhnlich
vom Vorgehensweise-Verwalter festgelegten Untersuchungsvorgehensweise
an einen Inhaltsinspektor. Wenn die Datei die Untersuchung besteht,
wird auch das letzte Paket freigegeben. Falls nicht, wird das letzte
Paket nicht freigegeben.
-
Wenn
das Paket das erste Paket einer neuen Datei ist und solchermaßen im Gegensatz
zu einem Datenpaket ein Steuerpaket ist, benutzt der PCA die für gewöhnlich vom
Vorgehensweise-Verwalter
festgelegten Sammelkriterien, um zu bestimmen, ob die Datei eine
Untersuchung benötigt.
Wenn nicht, werden die Pakete und alle anschließenden Pakete dieser Datei
sofort freigegeben, wenn sie ankommen. Wenn die Datei ein Dateityp
ist, der nicht erlaubt ist, werden keine Pakete freigegeben. Falls
jedoch die Datei ein Dateityp ist, der eine Untersuchung benötigt, wird
das Paket sofort freigegeben und die anschließenden Pakete werden untersucht.
-
Wenn
technische Merkmale in den Ansprüchen
mit Bezugszeichen versehen sind, so sind diese Bezugszeichen lediglich
zum besseren Verständnis der
Ansprüche
vorhanden und dementsprechend stellen solche Bezugszeichen keine
Einschränkungen
des Schutzumfangs solcher Elemente dar, die nur exemplarisch durch
solche Bezugszeichen gekennzeichnet sind.