DE60122033T4

DE60122033T4 - Schutz von Computernetzen gegen böswillige Inhalte

Info

Publication number: DE60122033T4
Application number: DE60122033T
Authority: DE
Inventors: Dany Margalit; Shimon Gruper
Original assignee: Aladdin Knowledge Systems Ltd
Current assignee: SafeNet Data Security Israel Ltd
Priority date: 2000-02-04
Filing date: 2001-02-01
Publication date: 2009-04-02
Anticipated expiration: 2021-02-02
Also published as: EP1122932A2; DE60122033T2; DE60122033D1; EP1122932A3; ATE336131T1; EP1122932B1

Description

Erfindungsgebiet
Die vorliegende Erfindung betrifft Computernetzkommunikationen im allgemeinen und insbesondere Vorrichtungen und Verfahren zum Bereitstellen der Sicherheit in Computernetznachrichten.
Hintergrund der Erfindung
Es gibt eine große Anzahl an U.S.-Patenten, die sich mit der Sicherheit in Computernetzkommunikationen befassen. Es wird angenommen, dass die folgenden U.S.-Patente und die darin zitierten Entgegenhaltungen den Stand der Technik darstellen: 5.951.698 ; 5.918.008 ; 5.907.834 ; 5.892.904 ; 5.889.934 ; 5.881.151 ; 5.859.966 ; 5.854.916 ; 5.842.002 ; 5.832.208 ; 5.826.012 ; 5.822.517 ; 5.809.138 ; 5.802.277 ; 5.748.940 ; 5.684.875 ; 5.679.525 ; 5.675.711 ; 5.666.411 ; 5.657.473 ; 5.649.095 ; 5.623.600 ; 5.613.002 ; 5.537.540 ; 5.511.184 ; 5.111.163 ; 5.502.815 ; 5.485.575 ; 5.473.769 ; 5.452.442 ; 5.398.196 ; 5.359.659 ; 5.319.776 .
Sicherheit in Computernetzkommunikationen setzen sich mit zwei allgemeinen Arten bedrohenden Inhalts auseinander, die über ein Netz an einen Computer übermittelt werden können: Viren und Vandalen: Viren können in eine Reihe von Kategorien unterteilt werden, wie z. B. Dateieninfizierer, Dateisystemviren, Makro-Viren und System/Bootsektor-Infizierer.
Vandalen unterscheiden sich darin von Viren, dass Vandalen selbst-ausführbare Internet-Applikationen sind und einen sofortigen Schaden bewirken können, wohingegen die Viren es erfordern, dass der Anwender selbst die Applikationenen ausführt. Gegenwärtig sind folgende Arten von Vandalen bekannt: Java-Applets, ActiveX-Objekte, Scripts und Cookies. Vandalen können in verschiedene Arten mitteilenden Inhalts verweilen, einschließlich E-mail, Web-Inhalt, Legitime-Seiten und Datei-Downloads.
Es ist bekannt, Proxy-Server zu benutzen, um den Empfang eines böswilligen Inhalts durch einen Computer zu erfassen und zu verhindern. Die Verwendung von Proxy-Servern für diese Applikationsart wird u. a. in den zuvor genannten U.S.-Patenten 5.951.698 ; 5.889.934 & 5.623.600 beschrieben. Die Verwendung von Proxy-Servern für diesen Zweck hat eine Reihe an Nachteilen einschließliech des Nicht-Echtzeitbetriebs, des Erzeugens von Netz-Engpässen, des Erfordernisses der speziellen Konfiguration eines jeden Desktops und der relativen Leichtigkeit der Umgehung durch den Benutzer.
WO-00/00879 offenbart ein virtuelles privates Netz (VPN), in dem Computer verbunden werden, um auf Filter zuzugreifen, die eine Zugriffsüberprüfung auf IP-Niveau und ein Protokoll bereitstellen. Die Zugriffsfilter umfassen Proxies, die, nachdem sie überprüft und bestätigt haben, dass der Zugriff gestattet werden darf, alle Daten überprüfen, die in das VPN eingehen, und diese Daten an die Kunden und an eine temporäre Datei für die Virus-Überprüfung überführen, wobei sie verhindern, dass der letzte Teil der Daten an die Kunden gesendet wird, bis die Virus-Überprüfung abgeschlossen ist.
WO-97/39399 offenbart eine Vorrichtung zum Erfassen und Beseitigen von Viren, das durch einen Post-Netzknoten eines Netz-E-Mail-Systems eingeführt werden kann, in dem der Postknoten auf nicht gescannte Nachrichten hin abgefragt wird, die heruntergeladen werden und in einem Speicher des Knotens auf Viren hin überprüft werden.
Zusammenfassung der Erfindung
Die vorliegende Erfindung hat das Bestreben, eine Vorrichtung und ein Verfahren zum Schutz von Computern gegen einen böswilligen Inhalt bereitzustellen, und zwar allgemein in Echtzeit und ohne die Verwendung eines Proxy-Servers zu benötigen. Die Vorrichtung und das Verfahren gemäß der Erfindung werden in den anhängenden Ansprüchen definiert.
In Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung wird ein Gateway bereitgestellt, das eine Eingabe zum Empfangen von Nachrichtenpaketen, eine Ausgabe zum Ausgeben von Nachrichtenpaketen, und zwar allgemein in Echtzeit in Bezug auf ihren Empfang, einen Vorgehensweise-Verwalter, der die Kriterien zum Sammeln und Untersuchen einer Sammlung von Paketen bestimmt, und einen Paketsammelagenten einschließt, der in Übereinstimmung mit vom Vorgehensweise-Verwalter festgelegten Kriterien Pakete aus der Eingabe empfängt und einen Inhaltsinspektor einschließt, der die Sammelung von Paketen in Übereinstimmung mit vom Vorgehensweise-Verwalter festgelegten Kriterien untersucht und in Betrieb ist, um das Zuführen von mindestens einem Paket einer Sammlung von Paketen an die Ausgabe zu verhindern, wenn die Sammlung von Paketen in Übereinstimmung mit den vom Vorgehensweise-Verwalter festgelegten Kriterien einen unerwünschten Inhalt einschließt.
In Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung wird auch ein Verfahren bereitgestellt, um einen Computer vor einem böswilligen Inhalt zu schützen, das folgende Schritte umfasst:
das Bestimmen von Kriterien zum Sammeln und Untersuchen einer Sammelung von Paketen;
das Empfangen von Paketen aus der Sammlung von Paketen in Übereinstimmung mit den Kriterien;
das Untersuchen der Pakete in Übereinstimmung mit den Kriterien;
das Verhindern der Ausgabe von mindestens einem Paket aber nicht von allen Paketen einer Sammlung von Paketen in Übereinstimmung mit den Kriterien, wenn die Sammlung von Paketen einen unerwünschten Inhalt einschließt; und
das Ausgeben von anderen Paketen als dem mindestens einen Paket, und zwar in Echtzeit in Bezug auf ihren Empfang.
In Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung ist das mindestens eine Paket das letzte Paket einer Datei.
Kurze Beschreibung der Zeichnungen
Die vorliegende Erfindung wird vollständiger aus der folgenden detaillierten Beschreibung verständlich und gewürdigt werden, die in Verbindung mit den Zeichnungen vorgenommen wird, in denen:
1a eine vereinfachte Blockdiagrammdarstellung der Implementierung der Erfindung in einer Firewall-artigen Konfiguration zum Prüfen des ankommenden Internetverkehrs und nicht des Intranetverkehrs ist;
1b eine vereinfachte Blockdiagrammdarstellung der Implementierung der Erfindung zum Überprüfen aller ankommenden Nachrichten ist;
2 eine vereinfachte Blockdiagrammdarstellung der Verwendung mehrerer Inhaltsinspektoren durch einen Einpaket-Sammelagenten ist; und
3 ein vereinfachtes Flußdiagramm ist, das den Betrieb eines Paketsammelagenten in Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung darstellt.
Detaillierte Beschreibung der bevorzugten Ausführungsformen
Die vorliegende Erfindung ist bestrebt, den Schutz eines Computers gegen einen bedrohenden Inhalt bereitzustellen, ohne die Verwendung eines Proxy-Servers zu benötigen.
Es wird jetzt auf 1a Bezug genommen, die eine vereinfachte Blockdiagrammdarstellung der Implementierung der Erfindung in einer Firewall-artigen Konfiguration zum Überprüfen des ankommenden Internetverkehrs, jedoch nicht Intranetverkehrs, ist. Wie in 1a zu sehen, wird ein typischer Computer 10 bereitgestellt, in dem eine herkömmliche TCP/IP-Leitwegsoftware 12 resident ist. Der Computer 10 ist für gewöhnlich mit einem Netz 13 verbunden.
In Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung wird zwischen eine Netz-Schnittstellenbaugruppe (NIC) 16, die den Internetverkehr empfängt, und die TCP/IP-Leitwegsoftware 12 ein Paketsammelagent (PCA) 14 gesetzt. In dieser Ausführungsform wickelt eine separate NIC 18 den Intranetverkehr ab und verfügt über keinen PCA, der eine Schnittstelle mit ihr und der TCP/IP-Leitwegsoftware 12 bildet.
In Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung bildet der PCA 14 eine Schnittstelle mit der Vorgehensweise-Verwaltersoftware 20, die die Sammelkriterien, d. h. die Pakettypen, bestimmt, von denen Typen von Dateien gesammelt werden, und Untersuchungskriterien, d. h. welche Inhaltstypen in einer Datei nicht an ein oder von einem Netz 13 weitergeleitet werden dürfen, bestimmt.
Auf der Grundlage der von der Vorgehensweise-Verwalter software 20 festgelegten Kriterien betreibt der PCA 14 eine Inhaltsinspektorsoftware 22, die die Pakete einer Datei untersucht, die die Kriterien für das Sammeln und Untersuchen erfüllen. Die Inhaltsinspektorsoftware 22 arbeitet auf der Grundlage der durch die Vorgehensweise-Verwaltersoftware 20 festgelegten Kriterien und meldet dem PCA 14 ihre Untersuchungsbefunde. Alternativ kann die Vorgehensweise-Verwaltersoftware 20 weggelassen werden. In diesem Fall werden der PCA 14 und die Inhaltsverwaltersoftware jeweils mit geeigneten Kriterien programmiert.
In Übereinstimmung mit einer bevorzugten Ausführungsform der Erfindung verzögert der PCA 14 nicht die Übertragung der meisten Pakete, nicht einmal von Dateien, die eine Untersuchung erfordern. Während er alle Pakete, jedoch für gewöhnlich nicht das letzte Paket in einer Datei überträgt, betreibt er eher die Inhaltsinspektorsoftware 22, um die Inhalte der Datei zu untersuchen. Wenn befunden wird, dass die Inhalte angenommen werden können, wird für gewöhnlich das letzte Paket freigegeben. Wenn befunden wird, dass die Inhalte einer Datei durch die Kriterien, die für gewöhnlich von der Vorgehensweise-Verwaltersoftware 20 festgelegt werden, nicht angenommen werden können, wird mindestens ein Paket, für gewöhnlich das letzte Paket, nicht freigegeben, die Aktivierung des inakzeptablen Inhalts durch den Computer verhindernd.
Es wird jetzt auf 1b Bezug genommen, die die Implementierung der Erfindung zur Überprüfung aller ankommenden Nachrichten in einem Netz 28 darstellt. In dieser dargestellten Ausführungsform wird, wie in 1b ersichtlich, ein typischer Computer 30 bereitgestellt, in dem eine TCP/IP-Software 32 resident ist. In Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung wird zwischen eine Netzschnittstellenbaugruppe (NIC) 36, die den Internet- und Intranetverkehr empfängt, und die TCP/IP-Software 32 ein Paketsammelagent (PCA) 34 gesetzt.
In Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung bildet der PCA 34 wie in der Ausführungsform der 1a eine Schnittstelle mit der Vorgehensweise- Verwaltersoftware 40, die die Sammelkriterien, d. h. welche Typen von Paketen von welchen Typen von Dateien gesammelt werden, und die Untersuchungskriterien, d. h. welche Inhaltstypen in einer Datei nicht an den Computer weitergeleitet werden dürfen, bestimmt.
Auf der Grundlage der für gewöhnlich von der Vorgehensweise-Verwaltersoftware 40 festgelegten Kriterien setzt der PCA 34 die Inhaltsinspektorsoftware 42 in Betrieb, die die Pakete einer Datei untersucht, die die Kriterien für das Sammeln und Untersuchen erfüllt. Die Inhaltsinspektorsoftware 42 arbeitet für gewöhnlich auf der Grundlage der durch die Vorgehensweise-Verwaltersoftware 40 festgelegten Kriterien und meldet dem PCA 34 ihre Untersuchungsbefunde.
In Übereinstimmung mit einer bevorzugten Ausführungsform der Erfindung verzögert der PCA 34 nicht die Übertragung der meisten Pakete, nicht einmal von Dateien, die eine Untersuchung erfordern. Während er alle Pakete, jedoch für gewöhnlich nicht das letzte Paket in einer Datei überträgt, setzt er eher die Inhaltsinspektorsoftware 22 in Betrieb, um die Inhalte der Datei zu untersuchen. Wenn befunden wird, dass die Inhalte angenommen werden können, wird für gewöhnlich das letzte Paket freigegeben. Wenn befunden wird, dass die Inhalte einer Datei durch die Kriterien, die für gewöhnlich von der Vorgehensweise-Verwaltersoftware 40 festgelegt werden, nicht angenommen werden können, wird mindestens ein Paket, für gewöhnlich das letzte Paket, nicht freigegeben, die Aktivierung des inakzeptablen Inhalts durch den Computer verhindernd.
Es wird jetzt auf 2 Bezug genommen, die eine vereinfachte Blockdiagrammdarstellung der Verwendung mehrerer Inhaltsinspektoren durch einen Einpaket-Sammelagenten ist. Wie in 2 dargestellt, kann ein einzelner PCA 50 gleichzeitig eine Schnittstelle mit einem einzelnen Vorgehensweise-Verwalter 52, der in bestimmten Ausführungsformen weggelassen werden kann, und mit mehreren Inhaltsinspektoren 54 bilden. Die Anordnungsart kann bei der Abwicklung von hohen Verkehrs-Volumina besonders nützlich sein.
Es wird jetzt auf 3 Bezug genommen, die ein ver einfachtes Flußdiagramm darstellt, das den Betrieb eines PCA in Übereinstimmung mit einer bevorzugten Ausführungsform der vorliegenden Erfindung darstellt.
Wie in 3 ersichtlich, wird beim Empfang eines Pakets das Paket allgemein in Echtzeit gleichzeitig gespeichert und an seinen Bestimmungsort freigegeben, wenn das Paket im Zusammenhang einer bestehenden Datei empfangen wird und nicht das letzte Paket ist.
Wenn das Paket das letzte Paket in einer Datei ist, erhält der PCA für gewöhnlich die Untersuchungskriterien vom Vorgehensweise-Verwalter und sendet alle Pakete in der Datei für die Untersuchung in Übereinstimmung mit den für gewöhnlich vom Vorgehensweise-Verwalter festgelegten Untersuchungsvorgehensweise an einen Inhaltsinspektor. Wenn die Datei die Untersuchung besteht, wird auch das letzte Paket freigegeben. Falls nicht, wird das letzte Paket nicht freigegeben.
Wenn das Paket das erste Paket einer neuen Datei ist und solchermaßen im Gegensatz zu einem Datenpaket ein Steuerpaket ist, benutzt der PCA die für gewöhnlich vom Vorgehensweise-Verwalter festgelegten Sammelkriterien, um zu bestimmen, ob die Datei eine Untersuchung benötigt. Wenn nicht, werden die Pakete und alle anschließenden Pakete dieser Datei sofort freigegeben, wenn sie ankommen. Wenn die Datei ein Dateityp ist, der nicht erlaubt ist, werden keine Pakete freigegeben. Falls jedoch die Datei ein Dateityp ist, der eine Untersuchung benötigt, wird das Paket sofort freigegeben und die anschließenden Pakete werden untersucht.
Der Fachmann wird erkennen, dass die vorliegende Erfindung nicht auf das, was besonders verstehend gezeigt und beschrieben wurde, beschränkt ist.
Wenn technische Merkmale in den Ansprüchen mit Bezugszeichen versehen sind, so sind diese Bezugszeichen lediglich zum besseren Verständnis der Ansprüche vorhanden und dementsprechend stellen solche Bezugszeichen keine Einschränkungen des Schutzumfangs solcher Elemente dar, die nur exemplarisch durch solche Bezugszeichen gekennzeichnet sind.

Claims

Ein Gateway (10), das eine Eingabe zum Empfangen von Nachrichtenpaketen umfasst, dadurch gekennzeichnet, dass es folgendes umfasst: eine Ausgabe zum Ausgeben von Nachrichtenpaketen bei ihrem Empfang; einen Vorgehensweise-Verwalter (20) zum Bestimmen von Kriterien für die Sammlung von Paketen und von Kriterien für die Untersuchung der Sammlung von Paketen, wobei die Sammelkriterien zu sammelnde Pakettypen ausgewählter Dateitypen sind und wobei die Untersuchungskriterien der zu untersuchende Inhalt sind; einen Paketsammelagenten (14), der in Übereinstimmung mit vom Vorgehensweise-Verwalter (20) festgelegten Kriterien Pakete von der Eingabe empfängt; und mindestens einen vom Paketsammelagenten (14) betriebenen Inhaltsinspektor (22), der die Sammlung von Paketen in Übereinstimmung mit den Kriterien untersucht, wobei der Paketsammelagent (14) wirksam ist, um die Zufuhr von mindestens einem Paket, aber nicht aller Pakete, aus der Sammlung von Paketen an die Ausgabe zu verhindern, wenn die Sammlung von Paketen in Übereinstimmung mit den Kriterien einen unerwünschten Inhalt einschließt.
Ein Gateway nach Anspruch 1, und worin das mindestens eine Paket das letzte Paket einer Datei ist.
Ein Gateway nach irgendeinem der Ansprüche 1 bis 2, und worin der Paketsammelagent (14) alle Pakete der Dateien untersucht, die untersucht werden sollen.
Ein Gateway nach irgendeinem der Ansprüche 1 bis 3, und worin der mindestens eine Inhaltsinspektor (22) mehrere Inhaltsinspektoren (54) einschließt, die gleichzeitig die Sammlung von Paketen untersuchen.
Ein Gateway nach irgendeinem der Ansprüche 1 bis 4, und worin der Vorgehensweise-Verwalter (20) Kriterien bestimmt, durch die die Freigabe von Paketen von einigen Dateitypen von den Paketsammelagenten verhindert wird.
Ein Gateway nach irgendeinem der Ansprüche 1 bis 5, und worin der Paketsammelagent im Internet-, aber nicht im Intranet-Verkehr, arbeitet.
Ein Verfahren zum Schützen eines Computers vor einem böswilligen Inhalt schützt, das folgende Schritte umfasst: das Bestimmen an einem Gateway von Kriterien für die Sammlung von Paketen und Kriterien für die Untersuchung der Sammlung von Paketen, wobei die Sammelkriterien zu sammelnde Pakettypen ausgewählter Dateitypen sind und wobei die Untersuchungskriterien den zu untersuchenden Inhalt darstellen; das Empfangen von Paketen aus der Sammlung von Paketen in Übereinstimmung mit den Kriterien; das Untersuchen der Pakete in Übereinstimmung mit den Kriterien; das Verhindern der Ausgabe von mindestens einem Paket, aber nicht von allen Paketen aus der Sammlung von Paketen, wenn die Sammlung von Paketen in Übereinstimmung mit den Kriterien einen unerwünschten Inhalt einschließt; und das Ausgeben von Paketen, die nicht das mindestens eine Paket sind, bei ihrem Empfang.
Ein Verfahren nach Anspruch 7, und worin das mindestens eine Paket das letzte Paket einer Datei ist.
Ein Verfahren nach Anspruch 7, und worin die Untersuchung das Untersuchen aller Dateienpakete einschließt, die untersucht werden sollen.
Ein Verfahren nach Anspruch 7, und worin die Untersuchung das gleichzeitige Untersuchen durch mehrere Inhaltsinspektoren einschließt.
Ein Verfahren nach Anspruch 7, und worin die Bestimmungskriterien Bestimmungskriterien einschließen, durch die verhindert wird, dass die Pakete einiger Dateitypen freigegeben werden.
Ein Verfahren nach Anspruch 7, und worin ein Paketsammelagent im Internet-, aber nicht im Intranetverkehr arbeitet.