DK170490B1 - Databehandlingsanlæg - Google Patents

Description

i DK 170490 B1

Opfindelsen angår et databehandlingsanlæg omfattende et antal datamater, der er forbundet indbyrdes via et lokalt netværk, fortrinsvis i form af et ringnetværk, hvor der til netværket er sluttet en netværksadapter, der er i stand til at modtage 5 al information på netværket.

En sådan netværksadapter er indrettet til at måle ydeevnen og hastigheden af netværket, blandt andet for at kunne vurdere om netværket er optimalt udformet.

10

Til et ringformet netværk kan der være sluttet en netserver. Netserveren kan indeholde et netværksprogram, som brugerne på de enkelte arbejdsstationer kan have adgang til. Den enkelte bruger kan desuden have adgang til de logiske drev i netser-15 veren, i hvilke drev brugeren vil kunne indlægge programmer og data, der derefter vil kunne udlæses af en anden bruger (uden at brugerne skal udveksle disketter). I netserveren kan der desuden ligge et virusprogram, som vil kunne udlæses af brugeren af en arbejdsstation med henblik på skandering af den 20 lokale disk for virus. En virusskandering vil af brugeren kunne foretages med jævne mellemrum. Et eventuelt virus vil imidlertid kunne have nået at udbrede sig til et større antal arbejdsstationer, inden det detekteres.

25 Formålet med opfindelsen er at tilvejebringe databehandlingsanlæg af den indledningsvis nævnte art, hvor et eventuelt virus og heraf inficerede datamater detekteres langt hurtigere end hidtil kendt, således at spredningen af viruset vil kunne begrænses.

30

Databehandlingsanlægget ifølge opfindelsen er ejendommeligt ved, at der til netværksadapteren er sluttet en datamat, der sammen med adapteren kan foretage en opsamling og en skandering af alle filer i netværket og foretage en genkendelse af 35 eventuelle virussignaturer (bitmønstre). Derved opfanges de enkelte filstykker (pakker), der cirkulerer i det ringformede netværk, hvilke filstykker, efter at være blevet samlet til en DK 170490 B1 2 fil, skanderes for detektion af eventuelle virus. I tilfælde af at der detekteres en virussignatur i filen, får man samtidigt information om sender- og modtagerstationerne, og der vil blive slået alarm, således at en yderligere spredning af vi-5 ruset vil kunne forhindres.

Fremdeles kan ifølge opfindelsen den til adapteren sluttede datamat være indrettet til at udsende en såkaldt "vaccine" til de datamater, der måtte være blevet inficeret med den nævnte 10 virus. Den periode, hvori anlægget er lukket ned som følge af en detektion af et virus, er derved reduceret til nul.

Endvidere kan ifølge opfindelsen vaccinen implementeres ved at lade den til adapteren sluttede datamat udføre en skandering l5 af de inficerede datamater ved hjælp af et i og for sig kendt program, der uskadeliggør viruset.

*

Desuden kan ifølge opfindelsen den til adapteren sluttede datamat indeholde et neuralt netværk i form af et program, der 20 er indrettet til at kunne genkende en normal trafik i det lokale netværk og slå alarm i tilfælde af, at der konstateres en trafik, der ikke er normal og muligvis svarer til signaturen af et endnu ikke kendt virus. Derved bliver det også muligt at detektere endnu ikke kendte virus, og derigennem opnås en be-25 dre virusdetektion end hidtil kendt.

Endvidere kan ifølge opfindelsen det neurale netværk omfatte neuronlignende elementer.

3° Endelig kan ifølge opfindelsen det neurale netværk udgøres af en Boltzmannraaskine.

\

Opfindelsen skal nærmere forklares i det følgende under henvisning til tegningen, hvor fig. 1 viser et databehandlingsanlæg ifølge opfindelsen omfattende et lokalt netværk i form af et ringnetværk, hvortil der 35 3 DK 170490 B1 er sluttet et antal datamater, idet en af datamaterne er udstyret med en speciel netværksadapter, fig. 2 en illustration af hvorledes en datamat inficeres og 5 derefter selv vil kunne inficere netværket, fig. 3 en illustration af hvorledes en til netværket sluttet adapter vil kunne opfange pakker af en i netværket cirkulerende information med henblik på detektion af eventuelle vi-10 rus, fig. 4 et databehandlingsanlæg omfattende et lokalt netværk i form af et strengnetværk, hvortil der er sluttet et antal datamater, af hvilke den ene er udstyret med en speciel 15 netværksadapter, fig. 5 en neuron til genkendelse af endnu ikke kendte virus, fig. 6 et neuralt netværk i form af et inputlag, et mellemlag 20 og et outputlag, og fig. 7 eksempler på hypercubelignende multiprocesserstruktur-er, hvori databehandlingsanlægget ifølge opfindelsen vil kunne indgå.

25

Det i fig. 1 viste databehandlingsanlæg omfatter et antal datamater 2 i form af PC’ere, der er forbundet indbyrdes via et lokalt netværk i form af et ringnetværk 1. Et virus kan indføres i en PC via en diskette 3, der indføres i en af PC'erne 30 2. PC'eren kopierer da programmet på disketten 3 og bliver selv inficeret under afviklingen af programmet i tilfælde af, at der i dette program er indlagt et virus. Det inficerede program kan derefter via netværket overføres til en eller flere af de øvrige PC'ere 2, der er sluttet til netværket 1. 35 Overførslen sker ved, at programmet eller programfilen opdeles i pakker, der transmitteres serielt via det ringformede netværk 1. Den enkelte pakke indeholder en adresse, der angiver 4 DK 170490 B1 den arbejdsstation, der skal modtage pakken. Pakken cirkulerer i netværket 1, og ved den arbejdsstation (PC), der skal modtage pakken, genkendes adressen, hvorefter pakken vil kunne læses af den pågældende station. Denne station er normalt . 5 den eneste arbejdsstation, der kan læse pakken og derefter mærke denne som læst. Pakken sendes derefter videre i netvær- * ket 1, og når den når tilbage til den station, hvorfra den er udsendt, vil denne arbejdsstation kunne se, om pakken er blevet læst. Hvis dette er tilfældet, kan pakken tømmes og mærkes 10 som ledig.

Til netværket 1 er der desuden sluttet en netserver 5. Ved hjælp af et program i netserveren 5, kunne den enkelte bruger tidligere med jævne mellemrum foretage en virusskandering af 15 programmerne i PC'eren 2 på arbejdsstationen. En ulempe ved denne form for viruskontrol er, at et eventuelt virus kan nå at udbrede sig til et stort antal arbejdsstationer i databehandlingsanlægget, inden der slås alarm.

20 Ifølge opfindelsen er en af arbejdsstationerne nemlig datamaten 8 forbundet med en speciel netværksadapter 7, eksempelvis en IBM trace and performance adapter, der er i stand til at modtage al information på netværket 1. Netværksadapteren 7 modtager udvalgte pakker på netværket (kun pakker, der inde-25 holder data, er af interesse). Pakkerne fortsætter uden forsinkelse til bestemmelsesstedet. En TAP-logik i netværksadapteren 7 samler derefter pakkerne til filer - se fig. 3 - med henblik på skandering for detektion af eventuelle virussignaturer. Adapteren 7 (der i fig. 1 er symboliseret ved hjælp af 30 et forstørrelsesglas) er sluttet til datamaten 8, der er i stand til at skandere filerne og genkende eventuelle virussig- * naturer.

Et program består af en række kommandoer til et EDB-system.

35 Kommandoerne er angivet i koder (hexadecimale koder), der er lette at genkende. Derved bliver det muligt at sammenligne programmet med programdele (signaturer) for at fastslå, om en 5 DK 170490 B1 programdel er en del af det samlede program. Et virus er i virkeligheden et program og vil derfor kunne genkendes på samme måde. Hvis viruset er kendt, kan alle filer i et EDB-system skanderes for signaturen af denne virus ved, at der 5 foretages en sammenligning med denne signatur. Hvis signaturen er en del af en fil, er der risiko for, at denne fil er inficeret. Der findes et stort antal programmer, der er i stand til at skandere for kendte virussignaturer. Ved hjælp af disse programmer er det muligt at konstatere, om et EDB-system 10 er inficeret med kendte virus.

Ved detektion af et virus vil der øjeblikkeligt blive slået alarm, og udsendt en såkaldt "Vaccine" til de PC'ere, der har modtaget inficeret information. Dette er muligt, eftersom den 15 enkelte pakke i det ringformede netværk 1 indeholder adresserne af sender- og modtagerstationerne af den pågældende information. Vaccinen tilvejebringes f.eks. ved hjælp af programmet "Clean", der leveres af firmaet Mcafee. Dette program kan slette eller skrive hen over et virusprogram, der typisk - 20 ligger foran eller bagved det egentlige program. Hvis virusprogrammet · 1 igger foran det egentlige program, kan det efter en sletning eller overskrivning af dette indikeres, at det egentlige program først starter lidt senere. Ved en hurtig udsendelse af en sådan vaccine begrænses smitteudbredelsen til 25 et minimum. Princippet er særlig velegnet i forbindelse med ét ringformet netværk, idet informationspakkerne under hvert omløb passerer adapteren 7 og derved detekteres så hurtigt som det overhovedet er muligt.

30 Princippet vil imidlertid også kunne anvendes i forbindelse med et strengformet netværk - se fig. A. I et strengformet netværk 1' modtager alle tilkoblede arbejdsstationer 2 den samme information. Kiin den arbejdsstation, hvis adresse svarer til modtageradressen, vil kunne læse informationen. En TAP-35 maskine 11, der også er sluttet til det strengformede netværk og er udstyret med en speciel adapter, vil imidlertid også kunne læse informationen. Denne adapter kan f.eks. være af 6 DK 170490 B1 typen spideranalyser 325-R version 2.1 fra firmaet Spider Systems. TAP-maskinens 11 adapter opfatter alle informationspakker som værende til den; også selv om dette ikke er til- t fældet. Adapteren er sat i en speciel mode, der bevirker, at 5 den ignorerer adressen og læser alle pakker. Adapteren indeholder en buffer, hvori pakkerne lagres. Bufferen tømmes af og ' til, eksempelvis når den er fuld, eller er ved at blive det. Tømningen sker ved hjælp af en netværkssoftware. Et antal pakker svarende til flere filer, kan evt. ankomme samtidigt.

10 Ved hjælp af netværkssoftwaren omsættes pakkerne til en form, som er læsbar for det pågældende operativsystem. Operativsystemet vil derved kunne indlægge filerne på en disk eller indlæse dem i hukommelsen af maskinen.

15 Databehandlingsanlægget kan videreudvikles til også at kunne genkende et nyt virus og sende vaccine ud efter dette. Videreudviklingen består i, at den til netværksadapteren sluttede arbejdsstation 8 eller 11 desuden indeholder et neuralt netværk i form af et program, der er trænet op til at kunne 20 skelne mellem normal og unormal trafik i det lokale netværk og slå alarm i tilfælde af, at der konstateres en unormal trafik i form af en ukendt signatur, der muligvis svarer til et endnu ikke kendt virus.

25 Man udnytter, at langt de fleste vira har visse fællestræk.

En maskine, der kan lære ud fra eksempler, vil derfor kunne trænes op til at kunne opfange langt de fleste vira. Et sådant indlæringsmaskine kan f.eks. udgøres af et i og for sig kendt Hopfield netværk, eksempelvis en Boltzmannmåskine, der svarer 30 til et Hopfield netværk med én væsentlig forskel. Når en enhed skal afgøre, hvilken tilstand den efterfølgende skal indtage, « indføres et tilfældigt signal i enheden. Dette tilfældige signal "ryster" netværket ud af lokale optima (fastlåste tilstande), således at det bliver muligt at finde frem til de 35 globalt bedste konfigurationer. En overraskende egenskab ved dette netværk er, at det er muligt at udlede en meget simpel relation mellem en given vægtfaktor og den globale adfærd af 7 DK 170490 B1 netværket, selvom dette er meget komplekst. Netværket kan præsenteres for sammenhørende ind- og udgangssignaler og vil derigennem kunne justere de enkelte vægtfaktorer og derigennem tilpasse netværkets adfærd til den ønskede adfærd. Derved 5 sker der en gradvis forbedring af netværkets adfærd.

I et særlig enkelt tilfælde kan det neurale netværk udgøres af en perceptron. En sådan perceptron er vist i fig. 5. En per-ceptron består af en eller flere processerende elementer 10 (neuroner) i et lag. For enkeltheds skyld vil kun et af disse elementer blive beskrevet.

Den i fig. 5 viste perceptron, der kun består af én neuron, tilføres et antal indgangssignaler Xq, Xj, X2 ···· Xn °9 af-15 giver et udgangssignal Y'. Under optræning af neuronen tilfø res det korrekte udgangssignal svarende til de tilførte indgangssignaler. Indgangssignalerne udtrykkes ved en vektor X, af dimensionen N + 1. Xq er sat til 1. Det enkelte signal Xp af vektoren X vægtes med en vægtfaktor Wp af en vektor R, 20 der ligeledes har dimensionen N+l. Udgangssignalet Y' udregnes som summen af produkterne Xq · Wq ... Xn · Wn svarende til vektorproduktet R · X. Hvis dette vektorprodukt er større end 0, sættes Y' til 1, ellers sættes Y' til 0 svarende til henholdsvis klasse 0 eller 1. Neuronen er således i stand til at 25 placere en given vektor i én ud af to klasser. Neuronen præ senteres nu for et stort antal forskellige X, der hver især hører til klasse 0 eller 1. Under indlæringen får neuronen tilført en vektor X sammen med den korrekte klasse. Derved kan neuronen justere sine vægtfaktorer efter formlen 30

Rny s Rgl + (γ - γ·) . χ, hvor Y er den korrekte klasse for den pågældende indgangssignalvektor X, og Y' er neuronens udgangssignal (R · X). Denne 35 formel, der kaldes indlæringsreglen, angiver, hvorledes neu ronens vægtfaktorer justeres.

8 DK 170490 B1

En af flere neuroner bestående perceptron kan anvendes til at genkende et mønster, såsom en virussignatur. En perceptron til genkendelse af en virussignatur består fortrinsvis af mindst « to neuroner. Det antages, at en virussignatur har en maksimal 5 længde på m hexadecimale tal på 8 bit. Et hexadecimalt tal på 8 bit kan antage 256 forskellige værdier. Indgangssignalvekto- * ren X skal i dette tilfælde have dimensionen m · (256 + 1).

Alle tænkelige kombinationer af virussignaturer vil derved resultere i forskellige X-vektorer.

10 I det følgende er datastrukturen af perceptronen angivet i en Pascal 1ignende syntaks.

Perceptron 15

Type

Talværdi = reelt tal

Klasse = [0;1]

Input-vektor = array [1..m;0..256] af talværdi 20 Vægt-vektor = array [1..m;0..256] af talværdi

Neuron = post W: vægt-vektor; Y': klasse slutpost 25 Perceptron » post

Neuron lsNeuron;

Neuron 2:Neuron slutpost.

30 Til at begynde med sættes fl * 0,5.

Der skal tilvejebringes to procedurer, en til at udregne produktet X · R, og en til at justere vægtfaktorerne i overensstemmelse med indlæringsreglen.

35

Perceptronen præsenteres derefter for et stort antal virussignaturer, samt et stort antal signaturer, der ikke er virus.

9 DK 170490 B1

Hvis signaturen er en virus, skal klassen for neuron 1 være 1, medens klassen for neuron 2 skal være 0. Hvis signaturen ikke er en virus, skal klassen for neuron 1 være 0, medens klassen for neuron 2 skal være 1. Dvs.: 5

Signaturen er en virus :Neuron l.Y = 1 og Neuron 2.Y =0. Signaturen er ikke en virus:Neuron l.Y = 0 og Neuron 2.Y =1.

Efter tilførsel af en virussignatur skal neuronernes vægtfak- 10 torer justeres ved hjælp af indlæringsreglen, indtil percep- tronen er stabiliseret svarende til, at andelen af korrekte svar ikke længere ændres. Når dette er tilfældet, foretages ikke yderligere justeringer ved hjælp af indlæringsreglen.

15 En perceptron, der er implementeret på denne måde, vil ikke kun kunne genkende kendte virus. Den vil også kunne genkende ukendte virus, såfremt signaturen af disse "ligner" signaturen af de virus, perceptronen allerede er blevet præsenteret for.

20

Ofte vil et nyt virus "ligne” et kendt virus, idet mange nye virus udvikles på basis af kendte virus. Enkelte virus er desuden i stand til at ændre signatur hele tiden ved, at der indføres NOP'er (no operation) i signaturen. (Man siger, at vi-25 russet muterer). ΕΝ Ν0Ρ indebærer ikke nogen aktivitet, og vi russets funktioner forbliver uændret. Virussets signatur vil imidlertid være ændret. Perceptronen vil i mange tilfælde også være i stand til at genkende sådanne mutanter, idet indsættelsen af NOP'er ikke påvirker perceptronen på afgørende måde. 30

Yderligere detaljer vedrørende implementering af indlæringsregler i form af indlæringsalgoritmer fremgår af litteraturstedet "Neurocomputing" af Robert Hecht-Nielsen udgivet af Addison-Wesley Publishing Company. ISBN 0-201-09355-3. Der 35 henvises især til afsnit 3.3 og 3.4, der er en del af nærvæ rende beskrivelse.

10 DK 170490 B1

En særlig fordel ved databehandlingsanlægget ifølge opfindelsen er, at den enkelte bruger ikke behøver at skandere programmerne i den enkelte PC. Ifølge opfindelsen skanderes i stedet kommunikationen i netværket, og denne skandering sker * 5 centralt.

♦

Datamater, der ikke eller kun sjældent sender ud på netværket 1, 1', kan imidlertid være inficeret og må derfor kontrolleres på konventionel måde af den enkelte bruger.

10

Problemet har hidtil været, at man ikke var i stand til at lokalisere den senderstation, der havde inficeret netværket.

Med anlægget ifølge opfindelsen er dette muliggjort, inden "sporene" slettes.

15

Databehandlingsanlægget ifølge opfindelsen er ikke begrænset til anvendelse i forbindelse med ringformede eller strengformede netværk. Det vil i al almindelighed kunne anvendes i forbindelse med hypercubelignende multiprocessorstrukturer, der 20 f.eks. er karakteriseret ved, at de har 2n processorer, der er indbyrdes forbundne via en n-dimensional kubus - fig. 6, der viser eksempler på hypercubelignende strukturer. Der henvises i den forbindelse til litteraturstedet "multiprocessors" af Daniel Tabak, Printice Hall Series in Computerengineering, 25 især kapitel 2, som er en del af nærværende beskrivelse. Hver processor har direkte og separate kommunikationsveje til N og andre processorer. Disse veje svarer til kanterne af kubussen. Hypercubestrukturer en implementeret af Intel og Floting Point System, der angiver overføringshastigheder på 1 M bit/sek.

30

Databehandlingsanlægget ifølge opfindelsen vil også kunne an-vendes i forbindelse med switch netværk strukturer og vektorprocessorer. I tilfælde af switch netværk strukturer kan det være nødvendigt at anvende flere netværksadaptere, der hver 35 især er sluttet til en datamat, der sammen med adapteren kan foretage en opsamling og skandering af filer på netværket.

Claims (8)

11 DK 170490 B1 Patentkrav.

1. Databehandlingsanlæg omfattende et antal datamater (2), 5 der er forbundet indbyrdes via et lokalt netværk (1), fortrinsvis i form af et ringnetværk, hvor der til netværket (l) er sluttet en netværksadapter (7), der er i stand til at modtage al information på netværket (1), kendetegnet ved, at der til netværksadapteren (7) er sluttet en datamat 10 (8), der sammen med adapteren (7) kan foretage en opsamling og en skandering af alle filer på netværket (1) og foretage en genkendelse af eventuelle virussignaturer.

2. Databehandlingsanlæg ifølge krav 1, kendetegnet 15 ved, at den til adapteren (7) sluttede datamat (8) er indrettet til at afgive information om, hvorfra en eventuelt inficeret information stammer, og hvortil denne information er blevet overført.

3. Databehandlingsanlæg ifølge krav 1 eller 2, kende tegnet ved, at den til adapteren (7) sluttede datamat (2) er indrettet til at udsende en såkaldt "vaccine" til de datamater (8), der måtte være blevet inficeret af den eller de nævnte virus. 25

4. Databehandlingsanlæg ifølge krav 3, kendetegnet ved, at vaccinen implementeres ved at lade den til adapteren (7) sluttede datamat (8) starte en skanderingsproces på de in-ficererede datamater (2) ved hjælp af et i og for sig kendt 30 program.

5. Databehandlingsanlæg ifølge et eller flere af kravene 1-4, kendetegnet ved, at den til adapteren (7) sluttede datamat (8) indeholder et neuralt netværk i form af et pro- 35 gram, der er indrettet til at kunne genkende den normale trafik på det lokale netværk (1) og slå alarm i tilfælde af, at der konstateres en unormal trafik, der muligvis svarer til et ukendt virussignatur. 12 DK 170490 B1

6. Databehandlingsanlæg ifølge krav 5, kendetegnet ved, at det neurale netværk omfatter neuronlignende elementer. *

7. Databehandlingsanlæg ifølge krav 5, kendetegnet 5 ved, at det neurale netværk udgøres af et Hopfield netværk.

8. Databehandlingsanlæg ifølge krav 5, kendetegnet ved, at det neurale netværk udgøres af en Boltzmann maskine. 10 15 20 25 30 * ζ 35