EP1949647A1 - Verfahren, detektionseinrichtung und servereinrichtung zur auswertung einer eingehenden kommunikation an einer kommunikationseinrichtung - Google Patents

Verfahren, detektionseinrichtung und servereinrichtung zur auswertung einer eingehenden kommunikation an einer kommunikationseinrichtung

Info

Publication number
EP1949647A1
EP1949647A1 EP06807286A EP06807286A EP1949647A1 EP 1949647 A1 EP1949647 A1 EP 1949647A1 EP 06807286 A EP06807286 A EP 06807286A EP 06807286 A EP06807286 A EP 06807286A EP 1949647 A1 EP1949647 A1 EP 1949647A1
Authority
EP
European Patent Office
Prior art keywords
communication
information
adp
incoming
egl
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP06807286A
Other languages
English (en)
French (fr)
Inventor
Jorge Daetz
Holger Lankes
Stephan Schaade
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Unify GmbH and Co KG
Original Assignee
Siemens Enterprise Communications GmbH and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Enterprise Communications GmbH and Co KG filed Critical Siemens Enterprise Communications GmbH and Co KG
Publication of EP1949647A1 publication Critical patent/EP1949647A1/de
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • IP IP-based data network
  • IP-based principles creates problems for the voice communication systems that were previously known only in computer networks.
  • an IP phone can be attacked by means of a so-called computer virus, a so-called computer worm or a denial of service attack and thereby caused to a misconduct. Protection against such attacks usually provides a firewall in the data network, which can block unwanted traffic.
  • a firewall is often not optimized to defend against attacks on IP phones.
  • a firewall must not be configured too restrictive, as the desired communication exchange should not be hindered.
  • the user is often unaware that his phone uses IP-based methods. He is therefore not at all sensitized to attacks on the phone, as this is largely unknown in traditional telephones based on time-slot-oriented procedures. Thus, the user was usually not attributed to a malfunction of the phone on an attack on the phone.
  • IP telephones which, according to a communication standard subjected to a dynamic expansion process - such as the SIP standard (SIP: Session Initiated Protocol) - communicate that the IP Phones as communication partners of a connection often did not implement the same protocol scope.
  • SIP Session Initiated Protocol
  • protocol elements can be sent out by a sending IP telephone, which are not expected by the received IP telephone and with which it can not handle. Again, for a user in such a situation, it is usually not apparent why a feature or function of his IP phone is not performed as desired.
  • Such misconduct is based in particular on the one hand on a lack of implementation of protocol elements of a Communication standards in the IP phone or on the other hand, an incorrect implementation of the protocol elements.
  • the present invention is therefore based on the object malfunction of a communication
  • Detection device with the features of claim 18, and by a server device with the features of claim 19.
  • Communication device is detected from the incoming communication or ascertainable communication information by a coupled between the connecting line and the communication device, the communication device one-to-one associated detection device detected.
  • “One-to-one” here means that each communication device exactly a detection device is assigned and that a respective detection device provides a service for exactly one communication device. By the detection device is checked whether the detected communication information with a predetermined
  • Data pattern information matches and / or whether a response message to be triggered by the incoming communication from the communication device via the connecting line fails. If the result of the check is positive, the detected communication information is stored. This storage is preferably carried out in the communication device or in a server device. The saved
  • Communication information is further read in the context of a central, by a, preferably different from the communication device, preferably central server device performed evaluation.
  • connection line is the coupling of the communication device to a communication system, a data network and / or a
  • this coupling via cable and via radio - for example, when coupled via WLAN (Wireless Local Area Network) - can be performed as a transmission medium.
  • connection line that connection is the
  • the incoming communication is in particular a packet-switched
  • Signaling connection or to a packet-switched user data connection for example according to the SIP protocol (SIP: Session Initiation Protocol) or according to a protocol according to the ITU-T Recommendation H.323 (ITU-T: International Telecommunication Union - Telecommunications Standardization Sector).
  • SIP Session Initiation Protocol
  • ITU-T International Telecommunication Union - Telecommunications Standardization Sector
  • it may be in the incoming communication to an undesirable attack on the Communication device to act as a so-called computer virus, a so-called computer worm, a so-called denial-of-service attack or a, a buffer overflow in the communication device generating attack.
  • the communication device is in particular a packet-oriented
  • Communication terminal such as an IP phone or running on a workstation telephone application - a so-called soft client -, a gateway and / or a gatekeeper for a packet-oriented voice, video and / or multimedia communication.
  • the communication information is read out or determined from the incoming communication and includes information as to which type of data packet is the incoming communication, from which sender the incoming communication is sent, via which path the incoming communication reaches the communication device, on which date or at which time the incoming communication is transmitted and / or which protocol element of a connection is the incoming communication. Furthermore, the
  • Communication information is a sequence of binary data of the incoming communication. Rules for determining the communication information can be found in the
  • Detection device are stored updateable.
  • the data pattern information can also be updated stored in the detection device and includes comparison values with which the detected
  • Communication information can be compared for compliance.
  • the data pattern information here is in particular a pattern of a computer virus or worm and / or the sender address of an incoming communication.
  • the data pattern information By checking for conformity or by comparing the communication information with the data pattern information, it can be recognized whether it is Incoming communication involves a computer virus, a computer worm, an unwanted so-called spam attack, or any other attack.
  • an undesired incoming communication or a malfunction initiating communication in the detection device can preferably be detected.
  • the acquired communication information is stored and provided to a server device for central evaluation.
  • the incoming communication can be analyzed and recorded in a communication device-specific manner.
  • the communication devices in a communication system individual data pattern information and / or rules for
  • Acquisition of the communication information can be provided. Furthermore, due to the central evaluation in the server device, a communication system-comprehensive analysis method can be used for the evaluation.
  • the inventive method can also be used to detect erroneous or missing implementations of protocol elements of a transmission protocol.
  • An absence of a response message here is an indication that the communication device can not respond appropriately or correctly to a protocol element of the sender, in particular because the communication device is not supported by a feature that is to be activated by the protocol element.
  • the incoming communication is therefore logged in the case of a missing response message by the communication device in such a way, that the detected communication information is stored if the expected response message fails.
  • it can be recognized which communication devices in a communication system do not harmonize with one another and which communication devices require a new software version. This is advantageous in particular when using the SIP protocol, in which usually by a communication device not recognized
  • Performance features or protocol elements is reacted by the absence of an associated acknowledgment message.
  • the evaluation in a server device is particularly advantageous in that as a result communication system-wide evaluations, but also communication device-specific evaluations for a plurality of detection devices of a plurality of communication devices can be performed.
  • the server device can send a query message to the relevant communication device at regular or irregular intervals. This then transmits the accumulated and stored up to that time communication information. Alternatively, the affected
  • Communication devices independently communicate the stored communication information to the server device - at intervals or in each case after the storage of the respective communication information.
  • the server device can analyze misbehavior of communication devices or alternatively perform a usage statistics of the features of the communication device.
  • the method according to the invention is particularly advantageous in that only communication data traffic that has passed through a firewall in the communication system is analyzed can be implemented and thus a multi-level security concept can be implemented. Furthermore, it is advantageous that rules for acquiring the communication information and that the data pattern information can be distributed and activated electronically in a communication device-specific manner. In addition, it is advantageous that the detection device only analyzes the incoming communication, but can forward it unchanged or largely unchanged, so that, in contrast to a firewall, there is no change in the communication traffic.
  • a central evaluation is carried out by the server device and thus a malfunction of a plurality of communication devices can be detected and possibly attributed to the same cause.
  • it can be easily recognized by a service employee by electronically polling the server device whether a plurality of terminals require a new software level.
  • the server device can automatically send a notification to a computer of a manufacturer of the communication device upon detection of a malfunction of a communication device. In this way, a manufacturer can react quickly to attacks against the communication device or to a faulty implementation of the communication device and then provide corrections.
  • the server device can be used in particular for distributing new software versions to the communication devices.
  • the server device with the communication device and others Communication facilities are connected and based on the evaluation of the
  • Direct communication devices to block specific ports or to communicate over another port. This makes it easy to respond to an attack on a particular port.
  • the server device can perform the query to the communication device - as the incoming communication - via the connecting line of the communication device.
  • the query is based on IP-based principles.
  • the server device can be integrated with little effort into an existing IP data network, for example a LAN (Local Area Network) of a company or organization.
  • the server device can thus be integrated in an already existing network infrastructure, for example in a gatekeeper, in a registration unit for the communication devices and / or in a gateway.
  • Figure 1 shows the integration of an inventive
  • FIG. 1 is a message flow diagram with the essential
  • Figure 3 is a flowchart with the essential in the
  • Procedural steps. 1 shows a schematic representation of a communication system for carrying out the inventive method is shown.
  • this communication system there is a first IP telephone EG1 as a communication device according to the invention, a second IP telephone EG2 and an attack computer AR.
  • the first IP telephone EG1 and the second IP telephone EG2 are IP telephones based on the SIP protocol standard.
  • These two IP telephones EG1, EG2 are connected via an IP network IPN.
  • the connection of the first IP telephone EGL to the IP network IPN via the connection line AL and can be wired or wireless, for example via wireless LAN configured.
  • a connection V between the first IP telephone EG1 and the second IP telephone EG2 takes place via the connection line AL and the IP network IPN and comprises packet-oriented signaling and user data messages, in particular for voice communication.
  • the attack computer AR is also coupled to the IP network IPN - possibly located outside a LAN and coupled via an access computer, not shown, to the LAN - and can send via this to the first IP phone EGL attack data packets ADP, thereby the first IP Telephone EGl to influence.
  • the attack data packets ADP and the connection V can in particular represent the inventive inbound communication.
  • a server S as a server device according to the invention is coupled to the IP network IPN. Via this coupling, the server S can query the first IP telephone EG1 as part of a central evaluation in the first IP telephone EGL stored communication information. This polling is performed by the readout unit AE of the server S.
  • the server S includes a
  • Evaluation console AK for triggering the central evaluation and a notification service BD to others, not Inform data processing devices shown in the communication system via the central evaluation.
  • the first IP telephone EGl includes a
  • the first IP telephone EG1 comprises a detection device DE according to the invention coupled to the telephone function device TF.
  • the detection device DE is also coupled directly to the connection line AL and, in addition, to a terminal memory EGDB which can store communication information, rules for the communication information, data pattern information and stored protocols generated by the method according to the invention.
  • IP phones which are queried together with the first IP phone EGL from server S for stored communication information. These queried data from different IP telephones are stored by the server S in the server database SDB coupled to the server S for further evaluation.
  • a connection V is established between the first IP telephone EG1 and the second IP telephone EG2.
  • the illustrated as a double arrow connection V proceeds starting from the second IP telephone EG2, via the IP network IPN, via the connection line AL, by the detection device DE of the first IP telephone EGL to the telephone function device TF of the first IP telephone EGL.
  • the connection path located router or switch are not shown.
  • the incoming via the connection line AL data packets in the context of the connection V - as according to the invention incoming communication - are in the detection device DE according to predetermined rules, which in Terminal memory EGDB are stored, analyzed.
  • the respective protocol elements of the SIP standard are extracted and stored as communication information in a local memory (not shown) or in the terminal memory EGDB.
  • the protocol elements represent features such as call setup, conference call, or call forwarding.
  • the phone function device TF sends a respective acknowledgment message back to the second IP phone EG2 via the detection device DE. If this does not happen and the telephone function device TF sends no response, then this is an indication that the corresponding feature or protocol element in the first IP telephone EGL is not - or not correctly - implemented and was therefore discarded.
  • the detection device DE After receipt and storage of a protocol element from the second IP phone EG2 is analyzed by the detection device DE any erroneous data traffic for a certain period of time after receiving the incoming communication from the second IP phone EG2 and checks whether a suitable response message to the stored protocol element of the phone function TF device to the second IP telephone EG2. If an associated response message remains after a predefinable period of time, then the detection device DE stores the protocol element in the terminal memory EGDB in a local protocol. This local log represents a list of all
  • Protocol elements that are not supported by the first IP telephone EGL.
  • the detection device DE directs the useful data and signaling traffic in both
  • further local protocols are stored in respective terminal stores by further IP telephones in the communication system, the protocols being determined by the respective detection devices uniquely assigned to the IP telephones.
  • each IP telephone locally stores which protocol elements the respective IP telephone does not support.
  • the readout unit AE of the server S cyclically and at regular intervals a query message A to the respective IP phones sent - in Figure 1 as a double arrow between readout unit AE and
  • the detection device A receiving detection device DE transmits the respective stored local protocol to the readout unit AE.
  • This stores the transmitted, received, local protocols and the communication information contained therein in a common protocol or a common database table in the server database SDB.
  • the stored communication information for a communication system-wide evaluation in a central server device - the server S - are available.
  • the evaluation console AK can now be used to perform a manual, central evaluation based on the stored data in the server database SDB. Furthermore, an automatic evaluation by the notification service BD based on the collected data of the server database SDB can be performed at cyclic intervals. As part of the evaluation, for example, communication device type-specific can be determined, which protocol elements are not supported by a specific device type. These evaluated or filtered data can then be transmitted, for example, by the notification service BD to a manufacturer's computer manufacturer of the respective IP phone. The manufacturer may then correct the firmware or software for the particular IP phone and provide the correction to the server S for redistribution.
  • the procedure is not restricted to the use for IP end devices, but can also be extended to server devices such as gatekeepers or gateways.
  • the server S has the ability to query various information from the respective IP phones, such as the current software release, the time at which a transmission has arrived and the date of the last readout of the terminal memory EGDB.
  • the integration of the detection device DE into the first IP telephone EG1 according to FIG. 1 is advantageous insofar as it can avoid a negative effect on the signaling or user data traffic. In particular, a delay of the communication structure or the transmission of user data can be prevented.
  • the integration of the detection device DE in the first IP telephone EGL is further particularly advantageous than that the detection device DE on hardware and software components of the first IP telephone EGL, such as a receiving unit, can fall back.
  • a processor of the first IP phone EGL also the functions of
  • Detection device DE export.
  • the detection device DE could also be coupled outside the first IP telephone EG1 to its communication input.
  • the invention can also be applied to existing, commercial, not adapted to the invention IP phones.
  • the detection device DE is used to detect attacks or obstructions from other computers and to develop coordinated defense strategies within the scope of a central evaluation.
  • patterns are stored in the terminal memory EGDB as data pattern information, against which the incoming communication traffic is compared.
  • a pattern is a byte string representing, for example, the code of a computer virus.
  • an attack computer AR transmits a computer virus packaged in attack data packets ADP to an address specified by an IP address and a port-a so-called socket-of the first IP phone EG1.
  • the attack data packets ADP are illustrated in FIG. 1 as a directed arrow from the attack computer AR to the detection device DE.
  • the detection device DE of the first IP telephone EG1 receives the incoming attack data packets ADP and determines therefrom according to predetermined and / or predefinable rules one or more communication information.
  • This communication information is, for example, an IP header content information of the attack data packets ADP or a data pattern within the payload area of the attack data packets ADP. Parallel to this or after reading and / or determining the communication information, the attack data packets ADP are transmitted largely immediately to the telephone function device TF. This ensures that no data that may be important to the telephone facility TF is lost.
  • the detection device DE now compares the determined communication information with the predetermined data pattern information and tries in this way to detect a computer virus, a computer worm, spam messages or other unwanted incoming data packets. If there is no match, the detection device DE discards the communication information. If a match takes place, then the
  • Detection DE a local protocol that includes information about this process. These are, in particular, information about which data pattern was detected - for example the name of a computer virus - at which time the data pattern was detected and from which attack computer the incoming attack data packets ADP were transmitted. Thus, it can be determined specific to the communication device, which attacks on a respective IP telephone, how frequently these attacks and from which sources these attacks are carried out.
  • the server S can cyclically and periodically interrogate this stored communication information from the respective IP telephones, in particular the first IP telephone EG1, by means of the readout unit AE and store it in the server database SDB. After being stored in the server database SDB, the communication information of all such IP telephones queried in the communication system is available for evaluation by the
  • Evaluation console AK or by the notification service BD.
  • About the evaluation console AK can In particular statistically determined over all IP phones in the communication system, which type of attacks on the communication system is performed on what terminals attacks are performed and through which communication paths these attacks are routed. It is particularly relevant over which firewall an attack has been passed.
  • the evaluation can be carried out under consideration of predetermined frequency threshold values. If an increase in the number of attacks can be detected, for example, by the notification service BD an alarm to an operator of the communication system will be triggered. In this way, for example, a denial-of-service attack can be seen, usually in short
  • the notification service BD can create a security report and / or initiate a software update to the manufacturer of the IP telephone or the firewall in the communication system. Furthermore, in the case of repeated attacks on a specific IP telephone by the server S, a new registration of this IP telephone can be carried out, so that a new communication address, in particular IP address and / or port number, is assigned to it. Furthermore, can be communicated as a measure against attacks by the server S the IP phone by means of a configuration message to perform the communication on another port and disable the existing port.
  • data pattern information includes all permitted protocol elements of a protocol standard Consideration.
  • this information for example, to determine the frequency of use of features - can also error analysis for malfunctions of the respective IP phones are facilitated.
  • the server S is integrated into existing infrastructure.
  • this is a license server for the IP phones or a gatekeeper
  • the integration of the server device according to the invention into an existing server computer advantageously makes it possible to avoid a change in the network infrastructure.
  • the detection, detection, testing and storage steps in the detection device can be performed by an independent process or by a stand-alone processor independently of the processing of the incoming communication in the communication device. This is advantageous in that it can be guaranteed that the analysis of the incoming data stream has no effect on the functionality of the communication device. A blocking of the communication device by the
  • the detection device DE can access several or all protocol layers of an incoming communication as part of the determination of the communication information and the
  • This information can greatly facilitate service personnel finding and correcting an error in an existing IP phone.
  • the server S can also remain passive and the respective IP telephones independently send the communication information to the user according to a predetermined time or procedure pattern Server S.
  • the address of the server S should be known to the respective IP telephones, so that these messages can be sent to the server S.
  • the transmission of the communication information by the respective communication device is in this case advantageous in that it can respond more quickly to critical actions in the communication system than with regular queries by the server S.
  • FIG. 2 illustrates in a message flow diagram an exchange of messages and / or data to and from the first IP telephone EG1.
  • a time axis is plotted from top to bottom.
  • Messages are displayed as directed arrows with the arrowhead at a receiver of a respective message.
  • Telephone function device TF and detection device DE, the second IP telephone EG2 and the attack computer AR, these components are arranged horizontally next to each other and are shown in the context of illustrating the message traffic as a vertical line.
  • Messages according to the SIP protocol are designated in FIG. 2 by the letter M and a consecutive number.
  • a possible message number is specified in part analogous to the SIP protocol and a name of the message.
  • FIG. 2 illustrates a connection setup according to the SIP protocol initiated by the telephone function device TF of the first IP telephone EG1 by means of a so-called Invite message Ml to the second IP telephone EG2.
  • the second IP telephone EG2 signals visually and / or acoustically an incoming call to a user and confirms this to the telephone function device TF by sending a so-called ringing message M2 with the SIP message number 180.
  • a so-called OK message M3 is transmitted with the SIP message number 200 to the telephone function device TF.
  • the input of the OK message M3 is signaled by the telephone function device TF by means of a confirmation message M4, also called ACK, the second IP telephone EG2. Subsequently, the payload connection between the
  • Telephone function device TF and the second IP telephone EG2 established.
  • the detection device DE leaves upon entry or passage of a message their idle state - state 1 in Figure 3 - and analyzed, which type of data traffic is - Query 2 in Figure 3.
  • there are SIP protocol elements wherein in the present exemplary embodiment it is assumed that the detection device DE has not defined any monitoring rules for the messages M 1 to M 4 and thus these messages are not considered further. It is therefore in Figure 3, starting from the query 2, the path "incoming communication is another SIP data packet" go through, which sounds in the idle state 1.
  • a feature is, for example, the initiation of a conference call between a plurality of communication terminals or a forwarding of the connection to another communication terminal, wherein the features are abstractly referred to as the first feature LMl and second feature LM2.
  • Activation of the first feature LM1 is initiated by the second IP telephone EG2 by means of a message M5 and transmitted to the telephone function device TF.
  • Message M5 is assigned the designation ACT_LM1 in FIG. 2, as well as the SIP message number 743.
  • the message M5 passes through the detection device DE at time Tl, it leaves its idle state 1, recognizes in step 2 that the incoming communication is a to be monitored
  • SIP data packet trades and stores the SIP message number 743 in a temporary memory - action 3 in FIG. 3.
  • a timer is started - action 4 - and until the expiration of the timer the jerking message traffic from the telephone function device TF to the second IP telephone EG2 analyzed - query 5.
  • the first IP telephone EG1 supports the first feature LM1 and responds to the message M5 with an acknowledgment message M6, ACK_LM1, with the SIP message number 744.
  • the time difference ⁇ ti has elapsed, this time difference ⁇ ti short as the timer duration.
  • the detection device DE recognizes the received acknowledgment message M6 as an acknowledgment for the message M5 and also recognizes that the timer duration has not yet expired is - query 5. Then it clears the temporary memory - action 7 - and returns to idle state 1.
  • the second feature LM2 Upon activation of a further feature, the second feature LM2, it is assumed that the first IP telephone EG1 has a software version which does not know this second feature LM2 and can not implement it. Analogously to message M5, the second IP telephone EG2 now transmits a message M7 for activating the second feature LM2 for the telephone function device TF.
  • the message M7 is assigned the designation ACT LM2, as well as the SIP message number 789 in FIG.
  • the message M7 passes through the detection device DE at time T3, it leaves its idle state 1, recognizes in step 2 that the incoming communication is to be monitored
  • SIP data packet trades and stores the SIP message number 789 in a temporary memory - action 3 in FIG. 3.
  • a timer is started - action 4 - and until the expiration of the timer the jerking message traffic from the telephone function device TF to the second IP telephone EG2 analyzed - query 5.
  • the telephone function TF receives the message M7 at time T4, but does not know this message M7 and can not respond to this message M7. No receipt will be sent - neither a positive nor a negative receipt. After expiration of the
  • the detection device DE After a period of time .DELTA.t 2 at time T5, the detection device DE from query state 5 to 6 action in which it permanently stores the unacknowledged, temporarily stored protocol element in the terminal memory EGDB and provides for an evaluation by the server S at your disposal. Following action 6, the temporary memory can be deleted by the detection device DE - action 7 - and the idle state 1 can be assumed.
  • the attacking computer AR is the attacking computer AR
  • the attack data packet ADP arrives at the detection device DE at a time T6 and becomes the
  • Telephone function device TF forwarded, where it arrives at a time T7.
  • the detection device DE Upon receipt of the attack data packet ADP, the detection device DE leaves its idle state 1, analyzes the attack data packet ADP - query 2 - and categorizes this as a non-SIP data packet. This is followed by a change to query state 8 by checking whether the data packet is a standard data packet in IP traffic and does not have to be considered separately. This is, for example, a so-called ping request or a configuration message to the first IP telephone EG1. If this is the case, the detection device DE changes back to its idle state 1 without further action.
  • a pattern comparison is carried out in query 9, which compares the incoming data packet with known virus patterns and known further attack patterns from the terminal memory EGDB. If no match is found, the detection device DE goes back to the idle state 1, since the incoming data packet is either no attack on the first IP phone EGL or represents an attack for which no comparison pattern is specified as data pattern information. If, on the other hand, agreement is found in the pattern comparison, information about the incoming pattern or the pattern itself is stored together with further information such as the current time and the current date in a log file in the terminal memory EGDB - action 10. Subsequently, the detection device DE goes into idle state 1 above.
  • FIGS. 2 and 3 clarify in what way Invention incoming traffic at a
  • Communications terminal can be monitored and logged and a central server device for further evaluation can be made available.
  • the invention allows the evaluation of whether a specific traffic, what type of traffic and how often the traffic in the
  • Communication end devices are detected without manual involvement of users of the communication terminals. Furthermore, a lack of implementation of features or protocol elements in the communication terminal can be disclosed and recognized. Missing implementations or errors in the security rules can be evaluated in such a way that, based on the evaluation, software corrections for the communication terminal device or a firewall in the communication system are triggered automatically and can possibly be installed automatically.
  • the invention allows in this way in particular an analysis of communication problems between communication devices in real operation. This is advantageous in that in the usual
  • Communication systems often a variety of different communication devices or a variety of the same communication devices but with different software levels and different protocol support may be present. Thus, problems of communication devices in real installations can be quickly located and corrected.
  • SIP features is particularly advantageous than that SIP communication devices usually when they are an incoming SIP protocol element do not recognize or do not support, do not return a receipt to the communication partner and thus protocol elements and / or requirements remain unconfirmed. This can be detected by means of the invention as part of the evaluation.
  • the data pattern information is regularly recorded or updated, so that the detection device can access an up-to-date level of comparison patterns.
  • the detection device can access an up-to-date level of comparison patterns.
  • when importing data pattern information when querying and / or when transmitting stored communication information secure mechanisms such as encryption or backup using electronic certificates used to prevent unauthorized monitoring or query the communication device of unauthorized persons.
  • the data pattern information may preferably be defined in a description language, such as XML (Extensible Markup Language), advantageously using wildcards, so that the data pattern information can be limited to a few, concise comparison patterns and a bytewise comparison of long byte sequences can be avoided. Furthermore, it can also be defined by means of the data pattern information, which is the set of permitted or known protocol elements and recognition of an unknown protocol element is evaluated as a positive check result in the sense of the invention.
  • a description language such as XML (Extensible Markup Language)
  • the incoming communication can be evaluated separately starting from an address outside a predetermined address range. This is advantageous in that the
  • the data pattern information may, for example, be the so-called netmask of an IP address range.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)

Abstract

Die Erfindung betrifft ein Verfahren, eine Detektionseinrichtung und eine Servereinrichtung zur Auswertung einer über eine Anschlussleitung (AL) eingehenden Kommunikation (V, ADP, M5,M7) an der Kommunikationseinrichtung (EGl) . Hierbei wird eine aus der eingehenden Kommunikation (V, ADP,M5,M7) auslesbare oder ermittelbare Kommunikationsinformation durch die, zwischen der Anschlussleitung (AL) und der Kommunikationseinrichtung (EGl) gekoppelte, der Kommunikationseinrichtung (EGl) eineindeutig zugeordnete Detektionseinrichtung (DE) erfasst. Weiterhin wird durch die Detektionseinrichtung (DE) geprüft, ob die erfasste Kommunikationsinformation mit einer vorgebbaren Datenmusterinformation übereinstimmt und/oder ob eine durch die eingehende Kommunikation (V, ADP, M5, M7 ) auszulosende Antwortmeldung (M6) von der Kommunikationseinrichtung (EGl) über die Anschlussleitung (AL) ausbleibt. Bei einem positiven Prufergebnis wird die erfasste Kommunikationsinformation gespeichert wird und im Rahmen einer zentralen, durch die Servereinrichtung (S) vorgenommenen Auswertung ausgelesen.

Description

Beschreibung
Verfahren, Detektionseinrichtung und Servereinrichtung zur Auswertung einer eingehenden Kommunikation an einer Kommunikationseinrichtung
Sprach-Kommunikationssysteme innerhalb von Firmen und Organisationen verwenden vermehrt paketorientierte Verfahren für die Sprachkommunikation. Ein Grund dafür ist häufig, dass dadurch eine gemeinsame Nutzung einer Verkabelung eines IP- basierten Datennetzes (IP: Internet Protocol) für eine Kopplung von Datenrechnern, sowie für eine Kopplung von IP- basierten Kommunikationseinrichtungen des Sprach-Kommunika- tionssystems - beispielsweise IP-Telefone, Gatekeeper, Gateways - ermöglicht wird.
Durch den Einsatz von IP-basierten Prinzipien ergeben sich Probleme für die Sprach-Kommunikationssysteme, die bisher nur in Rechnernetzen bekannt waren. So kann beispielsweise ein IP-Telefon mittels eines so genannten Computervirus, eines so genannten Computerwurms oder eines Denial-Of-Service-Angriffs attackiert werden und dadurch zu einem Fehlverhalten veranlasst werden. Einen Schutz gegenüber derartiger Angriffe bietet üblicherweise eine Firewall im Datennetz, die unerwünschten Datenverkehr abblocken kann. Eine Firewall ist aber häufig nicht zur Abwehr gegenüber Angriffe auf IP- Telefone optimiert. Weiterhin darf eine Firewall nicht zu restriktiv konfiguriert sein, da der gewünschte Kommunikationsaustausch nicht behindert werden sollte.
Wahrend ein Angriff auf einen Arbeitsplatzrechner, der nicht von einer Firewall blockiert wird, aufgrund eines unublichen Verhaltens von auf diesen ablaufenden Programmen durch den Benutzer häufig schnell erkannt und umgehend einem für das Rechnernetzwerk zustandigen Service-Mitarbeiter mitgeteilt werden kann, zeigt sich ein Fehlverhalten eines IP-Telefons für den Benutzer häufig nicht so offensichtlich, da beispielsweise ein fälschlicherweise abgewiesener Anruf dem Benutzer nicht auffallt, da das IP-Telefon lediglich in seinem Ruhezustand verharrt.
Weiterhin ist dem Benutzer häufig nicht bewusst, dass sein Telefon IP-basierte Verfahren verwendet. Er ist somit gegenüber Angriffen auf das Telefon überhaupt nicht sensibilisiert, da dies bei traditionellen Telefonen, die auf zeitschlitzorientierten Verfahren basieren weitgehend unbekannt ist. Somit wurde der Benutzer ein Fehlverhalten des Telefons üblicherweise nicht auf einen Angriff auf das Telefon zurückfuhren.
Des Weiteren ist problematisch, dass Angriffe auf ein IP- Telefon unentdeckt bleiben können, weil sie häufig nur kurzfristig auftreten und bei einem in diesem Zeitraum im Ruhezustand befindlichen IP-Telefon einem Benutzer nicht auffallen. Somit bleiben diese Angriffe eine schwebende, dauerhafte Gefahr, die jederzeit einen Einsatz der IP- Telefone im Kommunikationssystem behindern können.
Neben derartigen, mutwillig ausgelosten Fehlfunktionen von IP-Telefonen, besteht insbesondere bei IP-Telefonen, die nach einem, einem dynamischen Erweiterungsprozess unterworfenen Kommunikationsstandard - wie beispielsweise der SIP-Standard (SIP: Session Initiated Protocol) - kommunizieren, das Problem, dass die IP-Telefone als Kommunikationspartner einer Verbindung häufig nicht den selben Protokollumfang implementiert haben. Somit können durch ein sendendes IP- Telefon Protokollelemente ausgesendet werden, die durch das empfangene IP-Telefon nicht erwartet werden und mit denen es nicht umgehen kann. Wiederum ist für einen Benutzer in einer derartigen Situation üblicherweise nicht ersichtlich, warum ein Leistungsmerkmal oder eine Funktion seines IP-Telefons nicht wie gewünscht ausgeführt wird. Derartiges Fehlverhalten basiert insbesondere einerseits auf einer fehlenden Implementierung von Protokollelementen eines Kommunikationsstandards im IP-Telefon oder andererseits auf eine fehlerhafte Implementierung der Protokollelemente.
Selbst in Fallen, in denen bekannt ist, dass ein bestimmtes IP-Telefon zeitweilig ein Fehlverhalten aufweist, ist es in den vorstehend genannten Problemfallen häufig schwierig, die
Ursache für ein auftretendes Fehlerverhalten zu ermitteln und
Maßnahmen auszuwählen, durch die das Fehlverhalten dauerhaft korrigiert werden kann.
Der vorliegenden Erfindung liegt somit die Aufgabe zugrunde, bei einer Kommunikation Fehlfunktionen einer
Kommunikationseinrichtung, Angriffe auf die
Kommunikationseinrichtung und/oder eine fehlende Implementierung von Protokollelementen in der
Kommunikationseinrichtung einfacher zu erkennen und auszuwerten .
Gelost wird diese Aufgabe durch ein Verfahren mit den Merkmalen des Patentanspruchs 1, durch eine
Detektionseinrichtung mit den Merkmalen des Patentanspruchs 18, sowie durch eine Servereinrichtung mit den Merkmalen des Patentanspruchs 19.
Vorteilhafte Ausfuhrungsformen und Weiterbildungen der Erfindung sind in den abhangigen Ansprüchen angegeben.
Bei dem erfindungsgemaßen Verfahren zur Auswertung einer über eine Anschlussleitung eingehenden, insbesondere paketorientierten Kommunikation an einer
Kommunikationseinrichtung wird eine aus der eingehenden Kommunikation auslesbare oder ermittelbare Kommunikationsinformation durch eine zwischen der Anschlussleitung und der Kommunikationseinrichtung gekoppelte, der Kommunikationseinrichtung eineindeutig zugeordnete Detektionseinrichtung erfasst. „Eineindeutig" bedeutet hierbei, dass jeder Kommunikationseinrichtung genau eine Detektionseinrichtung zugeordnet wird und dass eine jeweilige Detektionseinrichtung einen Dienst für genau eine Kommunikationseinrichtung bereitstellt. Durch die Detektionseinrichtung wird geprüft, ob die erfasste Kommunikationsinformation mit einer vorgebbaren
Datenmusterinformation übereinstimmt und/oder ob eine durch die eingehende Kommunikation auszulosende Antwortmeldung von der Kommunikationseinrichtung über die Anschlussleitung ausbleibt. Bei einem positiven Prufergebnis wird die erfasste Kommunikationsinformation gespeichert. Diese Speicherung erfolgt vorzugsweise in der Kommunikationseinrichtung oder in einer Servereinrichtung. Die gespeicherte
Kommunikationsinformation wird weiterhin im Rahmen einer zentralen, durch eine, vorzugsweise von der Kommunikationseinrichtung verschiedene, vorzugsweise zentrale Servereinrichtung vorgenommenen Auswertung ausgelesen.
Als die Anschlussleitung ist im Rahmen der Erfindung die Kopplung der Kommunikationseinrichtung an ein Kommunikationssystem, ein Datennetz und/oder eine
Vermittlungsanlage zu verstehen, wobei diese Kopplung über Kabel als auch über Funk - beispielsweise bei Ankopplung über WLAN (Wireless Local Area Network) - als Ubertragungsmedium durchgeführt werden kann. Insbesondere ist als Anschlussleitung derjenige Anschluss der
Kommunikationseinrichtung zu verstehen, der für Nutzdaten- und/oder Signalisierungsverbindungen eingesetzt wird.
Bei der eingehenden Kommunikation handelt es sich insbesondere um eine paketvermittelte
Signalisierungsverbindung oder um eine paketvermittelte Nutzdatenverbindung, beispielsweise nach dem SIP-Protokoll (SIP: Session Initiation Protocol) oder nach einem Protokoll gemäß der ITU-T-Empfehlung H.323 (ITU-T: International Telecommunication Union - Telecommunications Standardization Sector) . Weiterhin kann es sich bei der eingehenden Kommunikation um einen unerwünschten Angriff auf die Kommunikationseinrichtung, um einen so genannten Computervirus, um einen so genannten Computerwurm, um eine so genannte Denial-of-Service-Attacke oder um einen, einen Puffer-Uberlauf in der Kommunikationseinrichtung erzeugenden Angriff handeln. Die Kommunikationseinrichtung ist insbesondere eine paketorientierte
Kommunikationsendeinrichtung, beispielsweise ein IP-Telefon oder eine auf einem Arbeitsplatzrechner ablaufende Telefonapplikation - ein so genannter Soft-Client -, ein Gateway und/oder ein Gatekeeper für eine paketorientierte Sprach-, Video- und/oder Multimediakommunikation.
Die Kommunikationsinformation wird aus der eingehenden Kommunikation ausgelesen oder ermittelt und umfasst Informationen, um welche Art von Datenpaket es sich bei der eingehenden Kommunikation handelt, von welchem Sender die eingehende Kommunikation geschickt wird, über welchen Pfad die eingehende Kommunikation zur Kommunikationseinrichtung gelangt, an welchem Datum oder zu welcher Uhrzeit die eingehende Kommunikation übermittelt wird und/oder um welches Protokollelement einer Verbindung es sich bei der eingehenden Kommunikation handelt. Weiterhin kann die
Kommunikationsinformation eine Folge von binaren Daten der eingehenden Kommunikation darstellen. Regeln zum Ermitteln der Kommunikationsinformation können dabei in der
Detektionseinrichtung aktualisierbar gespeichert werden.
Die Datenmusterinformation kann ebenfalls aktualisierbar in der Detektionseinrichtung gespeichert werden und umfasst Vergleichswerte, mit denen die erfasste
Kommunikationsinformation auf Übereinstimmung verglichen werden kann. Die Datenmusterinformation ist hierbei insbesondere ein Muster eines Computervirus oder -wurms und/oder die Absendeadresse einer eingehenden Kommunikation. Durch die Prüfung auf Übereinstimmung oder durch einen Vergleich der Kommunikationsinformation mit der Datenmusterinformation kann erkannt werden, ob es sich bei der eingehenden Kommunikation um einen Computervirus, einen Computerwurm, um eine unerwünschte so genannte Spam-Attacke oder um einen beliebigen, anderen Angriff handelt. Somit kann vorzugsweise eine unerwünscht eingehende Kommunikation oder eine ein Fehlverhalten auslosende Kommunikation in der Detektionseinrichtung erkannt werden.
Bei Erkennen wird die erfasste Kommunikationsinformation gespeichert und einer Servereinrichtung für eine zentrale Auswertung bereitgestellt. Bei diesen Verfahrensschritten ist insbesondere vorteilhaft, dass die eingehende Kommunikation kommunikationseinrichtungs-spezifisch analysiert und erfasst werden kann. Weiterhin ist vorteilhaft, dass den Kommunikationseinrichtungen in einem Kommunikationssystem individuelle Datenmusterinformationen und/oder Regeln zur
Erfassung der Kommunikationsinformation bereitgestellt werden können. Weiterhin kann aufgrund der zentralen Auswertung in der Servereinrichtung ein kommunikationssystem-ubergreifend gültiges Analyseverfahren zur Auswertung angewendet werden.
Neben dem Erkennen von Angriffen auf die
Kommunikationseinrichtung kann das erfindungsgemaße Verfahren auch eingesetzt werden, um fehlerhafte oder fehlende Implementierungen von Protokollelementen eines Ubertragungsprotokolls zu erkennen. Hierbei wird die Ruckubertragung von Antwortmeldungen von der
Kommunikationseinrichtung mit in die Analyse einbezogen. Ein Ausbleiben einer Antwortmeldung ist hierbei ein Indiz, dass die Kommunikationseinrichtung auf ein Protokollelement des Senders nicht angemessen oder korrekt reagieren kann, insbesondere weil die Kommunikationseinrichtung ein Leistungsmerkmal, das durch das Protokollelement aktiviert werden soll, nicht unterstutzt wird. Zur Protokollierung und zur darauf basierenden Auswertung von fehlerhaften Protokollimplementierungen wird deshalb im Falle einer fehlenden Antwortmeldung von der Kommunikationseinrichtung die eingehende Kommunikation dergestalt mitprotokolliert, dass die erfasste Kommunikationsinformation gespeichert wird, wenn die erwartete Antwortmeldung ausbleibt. Auf diese Weise kann im Rahmen einer zentralen Auswertung durch eine Servereinrichtung erkannt werden, welche Kommunikationseinrichtungen in einem Kommunikationssystem nicht miteinander harmonisieren und welche Kommunikationseinrichtungen einen neuen Softwarestand benotigen. Dies ist insbesondere bei Verwendung des SIP- Protokolls vorteilhaft, bei dem üblicherweise durch eine Kommunikationseinrichtung auf nicht erkannte
Leistungsmerkmale oder Protokollelemente durch Ausbleiben einer zugehörigen Quittungsmeldung reagiert wird.
Die Auswertung in einer Servereinrichtung ist insbesondere vorteilhaft, als dass dadurch kommunikationssystem-weite Auswertungen, aber auch kommunikationseinrichtungs-spezi- fische Auswertungen für mehrere Detektionseinrichtungen mehrerer Kommunikationseinrichtungen durchgeführt werden können. Zur Abfrage von erfassten Kommunikationsinformationen kann die Servereinrichtung in regelmäßigen oder unregelmäßigen Zeitabstanden eine Abfragemeldung an die betreffende Kommunikationseinrichtung absenden. Diese übermittelt daraufhin die bis zu diesem Zeitpunkt aufgelaufenen und gespeicherten Kommunikationsinformationen. Alternativ können auch die betroffenen
Kommunikationseinrichtungen die gespeicherten Kommunikationsinformationen selbständig an die Servereinrichtung übermitteln - in Zeitabstanden oder jeweils nach dem Speichern der jeweiligen Kommunikationsinformation. Im Rahmen der zentralen Auswertung kann die Servereinrichtung Fehlverhalten von Kommunikationseinrichtungen analysieren oder alternativ eine Nutzungsstatistik der Leistungsmerkmale der Kommunikationseinrichtung durchfuhren.
Das erfindungsgemaße Verfahren ist insbesondere vorteilhaft, als dass lediglich Kommunikationsdatenverkehr, der eine Firewall im Kommunikationssystem passiert hat, analysiert werden kann und somit ein mehrstufiges Sicherheitskonzept umgesetzt werden kann. Weiterhin ist vorteilhaft, dass Regeln zur Erfassung der Kommunikationsinformation und dass die DatenmusterInformation kommunikationseinrichtungs-spezifisch elektronisch verteilt und aktiviert werden können. Darüber hinaus ist vorteilhaft, dass die Detektionseinrichtung die eingehende Kommunikation lediglich analysiert, aber unverändert oder weitgehend unverändert weiterleiten kann, so dass im Gegensatz zu einer Firewall keine Veränderung des Kommunikationsverkehrs stattfindet.
Des Weiteren erweist sich als vorteilhaft, dass durch die Servereinrichtung eine zentrale Auswertung durchgeführt wird und somit ein Fehlverhalten von einer Mehrzahl an Kommunikationseinrichtungen erkannt und möglicherweise auf die gleiche Ursache zurückgeführt werden kann. Somit kann von einem Service-Mitarbeiter durch elektronische Abfrage der Servereinrichtung auf einfache Weise erkannt werden, ob eine Mehrzahl an Endeinrichtungen einen neuen Softwarestand benotigen.
In einer vorteilhaften Weiterbildung des erfindungsgemaßen Verfahrens kann die Servereinrichtung bei Erkennen eines Fehlverhaltens einer Kommunikationseinrichtung automatisch eine Benachrichtigung an einen Rechner eines Herstellers der Kommunikationseinrichtung absenden. Auf diese Weise kann ein Hersteller schnell auf Angriffe gegen die Kommunikationseinrichtung oder auf eine fehlerhafte Implementierung der Kommunikationseinrichtung reagieren und daraufhin Korrekturen bereitstellen. Die Servereinrichtung kann darüber hinaus insbesondere zur Verteilung von neuen Softwarestanden an die Kommunikationseinrichtungen verwendet werden .
In einer weiteren vorteilhaften Weiterbildung des erfindungsgemaßen Verfahrens kann die Servereinrichtung mit der Kommunikationseinrichtung und weiteren Kommunikationseinrichtungen in Verbindung stehen und basierend auf der Auswertung eine der
Kommunikationseinrichtungen anweisen bestimmte Ports zu sperren oder die Kommunikation über einen anderen Port durchzufuhren. Somit kann auf einfache Weise auf einen Angriff auf einen bestimmten Port reagiert werden.
In einer vorteilhaften Ausfuhrungsform der Erfindung kann die Servereinrichtung die Abfrage zur Kommunikationseinrichtung - wie die eingehende Kommunikation - über die Anschlussleitung der Kommunikationseinrichtung durchfuhren. Vorzugsweise basiert die Abfrage auf IP-basierten Prinzipien. Dadurch lasst sich vorteilhafterweise die Servereinrichtung mit geringem Aufwand in ein bestehendes IP-Datennetz, beispielsweise ein LAN (Local Area Network) einer Firma oder Organisation einbinden. Insbesondere kann somit die Servereinrichtung in bereits bestehende Netzwerk- Infrastruktur, beispielsweise in einen Gatekeeper, in eine Registrierungseinheit für die Kommunikationseinrichtungen und/oder in einen Gateway integriert werden.
Ein Ausfuhrungsbeispiel der Erfindung wird nachfolgend an Hand einer Zeichnung naher erklart.
Dabei zeigen in schematischer Darstellung die
Figur 1 die Integration einer erfindungsgemaßen
Servereinrichtung und einer erfindungsgemaßen
Detektionseinrichtung einer Kommunikationseinrichtung in ein
KommunikationsSystem, Figur 2 ein Meldungsflussdiagramm mit den wesentlichen
Meldungen zu und von der Kommunikationseinrichtung, und Figur 3 ein Ablaufdiagramm mit den wesentlichen in der
Detektionseinrichtung ablaufenden
Verfahrensschritten . In Figur 1 ist in schematischer Darstellung ein Kommunikationssystem zur Durchfuhrung des erfindungsgemaßen Verfahrens dargestellt. In diesem Kommunikationssystem befindet sich ein erstes IP-Telefon EGl als eine erfindungsgemaße Kommunikationseinrichtung, ein zweites IP- Telefon EG2 und ein Angriffsrechner AR. Das erste IP-Telefon EGl und das zweite IP-Telefon EG2 seien im vorliegenden Ausfuhrungsbeispiel IP-Telefone basierend auf dem SIP- Protokoll-Standard. Verbunden werden diese beiden IP-Telefone EGl, EG2 über ein IP-Netzwerk IPN. Die Anbindung des ersten IP-Telefons EGl an das IP-Netzwerk IPN erfolgt über die Anschlussleitung AL und kann kabelgebunden oder funkgebunden, beispielsweise über Wireless-LAN, ausgestaltet sein. Eine Verbindung V zwischen dem ersten IP-Telefon EGl und dem zweiten IP-Telefon EG2 erfolgt über die Anschlussleitung AL und das IP-Netzwerk IPN und umfasst paketorientierte Signalisierungs- und Nutzdatenmeldungen, insbesondere für eine Sprachkommunikation. Der Angriffsrechner AR ist ebenfalls an das IP-Netzwerk IPN gekoppelt - eventuell außerhalb eines LANs angeordnet und über einen nicht dargestellten Zugangsrechner an das LAN gekoppelt - und kann über dieses an das erste IP-Telefon EGl Angriffsdatenpakete ADP senden, um dadurch das erste IP-Telefon EGl zu beeinflussen. Die Angriffsdatenpakete ADP und die Verbindung V können insbesondere die erfindungsgemaße eingehende Kommunikation repräsentieren.
Des Weiteren ist ein Server S als erfindungsgemaße Servereinrichtung an das IP-Netzwerk IPN gekoppelt. Über diese Kopplung kann der Server S vom ersten IP-Telefon EGl im Rahmen einer zentralen Auswertung im ersten IP-Telefon EGl gespeicherte Kommunikationsinformationen abfragen. Dieses Abfragen wird durch die Ausleseeinheit AE des Servers S ausgeführt. Darüber hinaus umfasst der Server S eine
Auswertungskonsole AK zum Auslosen der zentralen Auswertung und einen Benachrichtigungsdienst BD um weitere, nicht dargestellte Datenverarbeitungseinrichtungen im Kommunikationssystem über die zentrale Auswertung zu informieren .
Das erste IP-Telefon EGl umfasst eine
Telefonfunktionseinrichtung TF zur Durchfuhrung üblicher Telefoniefunktionen wie einen Anruf aufbauen, einen Anruf annehmen und Telefon-Leistungsmerkmale ausfuhren. Weiterhin umfasst das erste IP-Telefon EGl eine an die Telefonfunktionseinrichtung TF gekoppelte erfindungsgemaße Detektionseinrichtung DE. Die Detektionseinrichtung DE ist außerdem direkt an die Anschlussleitung AL gekoppelt und darüber hinaus an einen Endgeratespeicher EGDB, der Kommunikationsinformationen, Regeln für die Kommunikationsinformationen, Datenmusterinformationen und durch das erfindungsgemaße Verfahren erzeugte, gespeicherte Protokolle abspeichern kann. Darüber hinaus befinden sich im Kommunikationssystem weitere, nicht dargestellte IP-Telefone, die zusammen mit dem ersten IP-Telefon EGl vom Server S bezuglich gespeicherter Kommunikationsinformationen abgefragt werden. Diese abgefragten Daten von verschiedenen IP- Telefonen werden durch den Server S in der, an den Server S gekoppelten Serverdatenbank SDB für eine weitergehende Auswertung abgespeichert.
In einem ersten Szenario ist zwischen dem ersten IP-Telefon EGl und dem zweiten IP-Telefon EG2 eine Verbindung V aufgebaut. Die als Doppelpfeil veranschaulichte Verbindung V verlauft dabei ausgehend vom zweiten IP-Telefon EG2, über das IP-Netzwerk IPN, über die Anschlussleitung AL, durch die Detektionseinrichtung DE des ersten IP-Telefons EGl zur Telefonfunktionseinrichtung TF des ersten IP-Telefons EGl. Im Verbindungspfad befindliche Router oder Switches sind dabei nicht dargestellt. Die über die Anschlussleitung AL eingehenden Datenpakete im Rahmen der Verbindung V - als erfindungsgemaße eingehende Kommunikation - werden in der Detektionseinrichtung DE gemäß vorgegebenen Regeln, die im Endgeratespeicher EGDB gespeichert sind, analysiert. Für das erste Szenario sei angenommen, dass eine Regel existiert, dass für alle eingehenden SIP-Datenpakete, die jeweiligen Protokollelemente des SIP-Standards extrahiert werden und als Kommunikationsinformation in einem lokalen Speicher (nicht dargestellt) oder im Endgeratespeicher EGDB abgelegt werden. Die Protokollelemente repräsentieren insbesondere Leistungsmerkmale, wie einen Rufaufbau, eine Konferenzschaltung oder eine Rufweiterleitung . Für jedes eingehende Protokollelement wird zur Erfüllung des SIP- Standards erwartet, dass die Telefonfunktionseinrichtung TF eine jeweilig entsprechende Quittungsmeldung zurück über die Detektionseinrichtung DE an das zweite IP-Telefon EG2 sendet. Geschieht dies nicht und sendet die Telefonfunktionseinrichtung TF keinerlei Ruckantwort, dann ist dies ein Anzeichen dafür, dass das entsprechende Leistungsmerkmal bzw. Protokollelement im ersten IP-Telefon EGl nicht - oder nicht korrekt - implementiert ist und deshalb verworfen wurde. Nach Erhalt und Speicherung eines Protokollelements vom zweiten IP-Telefon EG2 wird durch die Detektionseinrichtung DE jeglicher ruckgehender Datenverkehr über eine gewisse Zeitspanne nach Erhalt der eingehenden Kommunikation vom zweiten IP-Telefon EG2 analysiert und überprüft, ob eine passende Antwortmeldung zum gespeicherten Protokollelement von der Telefonfunktionseinrichtung TF zum zweiten IP-Telefon EG2 übermittelt wird. Bleibt nach einer vorgebbaren Zeitspanne eine zugehörige Antwortmeldung aus, so speichert die Detektionseinrichtung DE das Protokollelement im Endgeratespeicher EGDB in einem lokalen Protokoll. Dieses lokale Protokoll repräsentiert eine Liste aller
Protokollelemente, die durch das erste IP-Telefon EGl nicht unterstutzt werden.
Vorteilhafterweise leitet die Detektionseinrichtung DE den Nutzdaten- und Signalisierungsverkehr in beide
Kommunikationsrichtungen transparent oder unverändert weiter, so dass der Datenverkehr zwischen der Telefonfunktionseinrichtung TF und dem zweiten IP-Telefon EG2 ohne Modifikationen übertragen wird.
Auf analoge Weise werden durch weitere IP-Telefone im Kommunikationssystem weitere lokale Protokolle in jeweiligen Endgeratespeichern abgespeichert, wobei die Protokolle durch die jeweiligen, den IP-Telefonen eindeutig zugeordneten Detektionseinrichtungen ermittelt werden. Somit speichert jedes IP-Telefon lokal, welche Protokollelemente das jeweilige IP-Telefon nicht unterstutzt.
Durch die Ausleseeinheit AE des Servers S wird zyklisch und in regelmäßigen Zeitabstanden eine Abfragemeldung A an die jeweiligen IP-Telefone abgesendet - in Figur 1 als Doppelpfeil zwischen Ausleseeinheit AE und
Detektionseinrichtung DE veranschaulicht. Daraufhin übermittelt die, die Abfragemeldung A empfangende Detektionseinrichtung DE das jeweilige, gespeicherte, lokale Protokoll an die Ausleseeinheit AE. Diese speichert die übermittelten, empfangenen, lokalen Protokolle und die darin enthaltenen Kommunikationsinformationen in einem gemeinsamen Protokoll oder einer gemeinsamen Datenbanktabelle in der Serverdatenbank SDB. Somit stehen die gespeicherten Kommunikationsinformationen für eine Kommunikationssystem- weite Auswertung in einer zentralen Servereinrichtung - dem Server S - zur Verfugung.
Über die Auswertungskonsole AK kann nun eine manuelle, zentrale Auswertung basierend auf den gespeicherten Daten in der Serverdatenbank SDB durchgeführt werden. Weiterhin kann in zyklischen Abstanden eine automatische Auswertung durch den Benachrichtigungsdienst BD basierend auf den gesammelten Daten der Serverdatenbank SDB durchgeführt werden. Im Rahmen der Auswertung kann beispielsweise kommunikationseinrichtungstypspezifisch ermittelt werden, welche Protokollelemente durch einen spezifischen Geratetyp nicht unterstutzt werden. Diese ausgewerteten oder gefilterten Daten können beispielsweise daraufhin durch den Benachrichtigungsdienst BD an einen Herstellerrechner eines Herstellers des jeweiligen IP-Telefons übermittelt werden. Der Hersteller kann daraufhin eine Korrektur der Firm- oder Software für das jeweilige IP- Telefon durchfuhren und die Korrektur dem Server S für eine Weiterverteilung zur Verfugung stellen. Auf diese Weise kann schnell und einfach ermittelt werden, welche Protokollelemente durch jeweilige IP-Telefone nicht unterstutzt werden und es kann weiterhin schnell und einfach eine Korrekturanforderung an einen Hersteller übermittelt werden, damit dieser eine Softwarekorrektur bereitstellen kann. Das Verwalten der Softwarestande und - ausstattung der verschiedenen IP-Telefone im Kommunikationssystem wird dadurch erheblich erleichtert, da aufgrund des realen Kommunikationsbetriebs erkannt wird, welche Kommunikationseinrichtungen einen Software- oder Firmen- Update benotigen.
Das Verfahren ist dabei nicht auf den Einsatz für IP-End- gerate beschrankt, sondern kann auch auf Servereinrichtungen wie Gatekeeper oder Gateways erweitert werden. Vorteilhafterweise besitzt der Server S die Möglichkeit verschiedene Informationen von den jeweiligen IP-Telefonen abzufragen, beispielsweise den aktuellen Softwarestand, die Uhrzeit zu der eine Übertragung eingetroffen ist und das Datum des letzten Auslesens des Endgeratespeichers EGDB.
Die Integration der Detektionseinrichtung DE in das erste IP- Telefon EGl gemäß Figur 1 ist insofern vorteilhaft, als dass dadurch eine sich negativ auswirkende Beeinflussung des Signalisierungs- oder Nutzdatenverkehrs vermieden werden kann. Insbesondere eine Verzögerung des Kommunikationsaufbaus oder der Übermittlung von Nutzdaten kann unterbunden werden. Die Integration der Detektionseinrichtung DE in das erste IP- Telefon EGl ist weiterhin insbesondere vorteilhaft, als dass die Detektionseinrichtung DE auf Hardware- und Softwarekomponenten des ersten IP-Telefons EGl, wie beispielsweise eine Empfangseinheit, zurückgreifen kann. Somit kann beispielsweise ein Prozessor des ersten IP- Telefons EGl ebenfalls die Funktionen der
Detektionseinrichtung DE ausfuhren. Alternativ konnte die Detektionseinrichtung DE aber auch außerhalb des ersten IP- Telefons EGl an dessen Kommunikationseingang gekoppelt werden. Somit kann die Erfindung auch auf bestehende, handelsübliche, nicht an die Erfindung angepasste IP-Telefone angewendet werden.
In einem zweiten Szenario wird die Detektionseinrichtung DE dazu verwendet Angriffe oder Behinderungen von weiteren Rechnern zu erkennen und im Rahmen einer zentralen Auswertung darauf abgestimmte Abwehrstrategien zu entwickeln. Zur Erkennung von Angriffen sind dazu im Endgeratespeicher EGDB Muster als Datenmusterinformationen abgelegt, gegenüber denen der eingehende Kommunikationsverkehr verglichen wird. Ein Muster ist insbesondere eine Byte-Folge, die beispielsweise der Code eines Computervirus darstellt. Ausgangssituation ist in diesem Szenario, dass ein Angriffsrechner AR einen in Angriffsdatenpakten ADP verpackten Computervirus an eine durch eine IP-Adresse und einen Port spezifizierte Adresse - ein so genannter Socket - des ersten IP-Telefons EGl übermittelt. Die Angriffsdatenpakte ADP sind in Figur 1 als gerichteter Pfeil vom Angriffsrechner AR zur Detektionseinrichtung DE veranschaulicht.
Die Detektionseinrichtung DE des ersten IP-Telefons EGl empfangt die eingehenden Angriffsdatenpakete ADP und ermittelt daraus nach vorgegebenen und/oder vorgebbaren Regeln eine oder mehrere Kommunikationsinformationen. Diese Kommunikationsinformationen sind z.B. eine IP-Header- Inhaltsinformation der Angriffsdatenpakete ADP oder ein Datenmuster innerhalb des Nutzdatenbereichs der Angriffsdatenpakete ADP. Parallel dazu bzw. nach Auslesen und/oder Ermitteln der Kommunikationsinformationen werden die Angriffsdatenpakete ADP weitgehend unverzüglich weiter an die Telefonfunktionseinrichtung TF übermittelt. Somit wird sichergestellt, dass keinerlei, für die Telefonfunktionseinrichtung TF möglicherweise wichtige Daten verloren gehen.
Die Detektionseinrichtung DE vergleicht nun die ermittelten Kommunikationsinformationen mit den vorgegebenen Datenmusterinformationen und versucht auf diese Weise einen Computervirus, einen Computerwurm, Spam-Nachrichten oder andere ungewunschte eingehende Datenpakete zu erkennen. Findet keinerlei Übereinstimmung statt, verwirft die Detektionseinrichtung DE die Kommunikationsinformationen. Findet eine Übereinstimmung statt, so erzeugt die
Detektionseinrichtung DE ein lokales Protokoll, das Informationen zu diesem Vorgang umfasst. Dies sind insbesondere Informationen darüber, welches Datenmuster erkannt wurde - beispielsweise der Name eines Computervirus - , zu welchem Zeitpunkt das Datenmuster erkannt wurde und von welchem Angriffsrechner die eingehenden Angriffsdatenpakete ADP übermittelt wurden. Somit kann kommunikationseinrichtungs-spezifisch ermittelt werden, welche Angriffe auf ein jeweiliges IP-Telefon, wie häufig diese Angriffe und von welchen Quellen diese Angriffe durchgeführt werden.
Analog zu Szenario 1 kann der Server S mittels der Ausleseeinheit AE zyklisch und periodisch diese gespeicherten Kommunikationsinformationen von den jeweiligen IP-Telefonen, insbesondere dem ersten IP-Telefon EGl abfragen und in der Serverdatenbank SDB ablegen. Nach Speicherung in der Serverdatenbank SDB stehen die Kommunikationsinformationen von allen, derartig abgefragten IP-Telefonen im Kommunikationssystem für eine Auswertung durch die
Auswertungskonsole AK oder durch den Benachrichtigungsdienst BD zur Verfugung. Über die Auswertungskonsole AK kann insbesondere statistisch über alle IP-Telefone im Kommunikationssystem ermittelt werden, welche Art von Angriffen auf das Kommunikationssystem durchgeführt wird, auf welche Endgerate Angriffe durchgeführt werden und über welche Kommunikationspfade diese Angriffe geleitet werden. Dabei ist insbesondere relevant, über welche Firewall ein Angriff durchgeleitet worden ist.
Die Auswertung kann unter Beachtung vorgegebener Haufigkeits- Schwellwerte durchgeführt werden. Sofern eine Erhöhung der Anzahl von Angriffen zu erkennen ist, kann beispielsweise durch den Benachrichtigungsdienst BD ein Alarm an einen Operator des Kommunikationssystems ausgelost werden. Auf diese Weise lasst sich beispielsweise eine Denial-Of-Service- Attacke erkennen, bei der üblicherweise in kurzen
Zeitabstanden eine hohe Anzahl an eingehenden Datenpakten empfangen wird. Weiterhin kann der Benachrichtigungsdienst BD einen Sicherheitsreport erstellen und/oder eine Softwareaktualisierung beim Hersteller des IP-Telefons oder der Firewall im Kommunikationssystem auslosen. Weiterhin kann bei wiederholten Angriffen auf ein spezifisches IP-Telefon durch den Server S eine Neuregistrierung dieses IP-Telefons durchgeführt werden, so dass diesem eine neue Kommunikationsadresse, insbesondere IP-Adresse und/oder Port- Nummer, zugewiesen wird. Weiterhin kann als Maßnahme gegen Angriffe durch den Server S dem IP-Telefon mittels einer Konfigurierungsmeldung mitgeteilt werden, die Kommunikation auf einem weiteren Port durchzufuhren und den bestehenden Port zu deaktivieren.
In einer Erweiterung des Gedankens des zweiten Szenarios können im Gegensatz zur Analyse von Angriffen lediglich Statistikinformationen zu den unterstutzen Protokollen in den jeweiligen IP-Telefonen durch die jeweiligen Detektionseinrichtungen ermittelt werden. Als
Datenmusterinformationen kommen hierbei beispielsweise alle erlaubten Protokollelemente eines Protokollstandards in Betracht. Neben einer reinen statistischen Auswertung dieser Informationen - beispielsweise für die Ermittlung der Nutzungshaufigkeit von Leistungsmerkmalen -, können dadurch auch Fehleranalysen bezuglich Fehlfunktionen der jeweiligen IP-Telefone erleichtert werden.
In den beiden Szenarien ist insbesondere vorteilhaft, dass eine umfassende, kommunikationssystem-weite Analyse von eingehender Kommunikation im Kommunikationssystem zu IP- Telefonen durchgeführt werden kann. Dabei ist insbesondere vorteilhaft, dass spezifisch für ein jeweiliges IP-Telefon durch die Detektionseinrichtung unterschiedliche Regeln zur Erfassung der Kommunikationsinformationen angewendet werden können. Somit ist es möglich eine unterschiedliche Granularitat der Analyse der eingehenden Kommunikation je Kommunikationseinrichtung zu ermöglichen.
Vorteilhafterweise wird der Server S in bestehende Infrastruktur integriert. Dies ist beispielsweise ein Lizenzserver für die IP-Telefone oder ein Gatekeeper zur
Durchfuhrung von Leistungsmerkmalen der IP-Telefone. Durch die Integration der erfindungsgemaßen Servereinrichtung in einen bestehenden Serverrechner kann vorteilhafter Weise eine Veränderung der Netzwerk-Infrastruktur vermieden werden.
In einer Weiterbildung können die Ermittlungs-, Erfassungs-, Prüf- und Speicherungsschritte in der Detektionseinrichtung durch einen unabhängigen Prozess oder durch einen eigenständigen Prozessor unabhängig von der Verarbeitung der eingehenden Kommunikation in der Kommunikationseinrichtung durchgeführt werden. Dies ist insofern vorteilhaft, als dass dadurch garantiert werden kann, dass die Analyse des eingehenden Datenstroms keinerlei Auswirkung auf die Funktionalitat der Kommunikationseinrichtung hat. Eine Blockierung der Kommunikationseinrichtung durch die
Integration einer Detektionseinrichtung kann somit verhindert werden . Vorteilhafterweise kann die Detektionseinrichtung DE auf mehrere bzw. alle Protokollschichten einer eingehenden Kommunikation im Rahmen der Ermittlung der Kommunikationsinformation zugreifen und die
Kommunikationsinformation aus einer oder mehrerer dieser Protokollschichten ermitteln. Somit wird ermöglicht Datenmuster beispielsweise auf Transportebene und/oder auf Applikationsebene definieren zu können und auf Übereinstimmung überprüfen zu können. Weiterhin lassen sich auch datenpaketubergreifende Datenmuster definieren und abprufen, wobei die Detektionseinrichtung DE zu diesem Zweck eingehende Datenpakete temporar speichern kann, um mehrere Datenpakete gemeinsam überprüfen zu können.
Im Zusammenhang mit einer Überprüfung der Funktionalitat eines IP-Telefons im realen Einsatz ist es insbesondere vorteilhaft zusatzlich zur Kommunikationsinformation auch Informationen der Telefonfunktionseinrichtung TF des ersten IP-Telefons EGl zu speichern. Diese sind insbesondere Zustande und/oder Zustandsubergange der
Kommunikationsendeinrichtung. Mit diesen Informationen kann einem Servicepersonal deutlich erleichtert werden, einen Fehler in einem bestehenden IP-Telefon zu finden und zu korrigieren.
Zur Bekanntgabe der IP-Telefone beim Server S, um spater mittels Abfragemeldungen A die Kommunikationsinformation aus den IP-Telefonen abzufragen, kann es erforderlich sein, dass sich die IP-Telefone im Kommunikationssystem bei dem Server S oder einem weiteren Server registrieren, dass diese beim Server S konfiguriert sind oder dass der Server S mittels Polling die zu überwachenden IP-Telefone selbständige ermittelt. Alternativ zu dieser Ausgestaltung kann der Server S auch passiv bleiben und die jeweiligen IP-Telefone senden selbständig nach einem vorgegebenen Zeit- oder Verfahrensmuster die Kommunikationsinformationen an den Server S. In diesem Fall sollte die Adresse des Servers S den jeweiligen IP-Telefonen bekannt sein, damit diese Meldungen an den Server S absetzen können. Die Übermittlung der Kommunikationsinformationen durch die jeweilige Kommunikationseinrichtung ist hierbei insofern vorteilhaft, als dass dadurch schneller auf kritische Aktionen im Kommunikationssystem reagiert werden kann als bei regelmäßigem Abfragen durch den Server S.
In Figur 2 wird in einem Meldungsflussdiagramm ein Austausch von Meldungen und/oder Daten zum und vom ersten IP-Telefon EGl veranschaulicht. Im Meldungsflussdiagramm ist eine zeitliche Achse von oben nach unten angetragen. Meldungen werden als gerichtete Pfeile mit der Pfeilspitze bei einem Empfanger einer jeweiligen Meldung dargestellt. Die in Figur
2 betrachteten Kommunikationspartner sind das erste IP- Telefon EGl mit seinen Komponenten
Telefonfunktionseinrichtung TF und Detektionseinrichtung DE, das zweite IP-Telefon EG2 und der Angriffsrechner AR, wobei diese Komponenten horizontal nebeneinander angeordnet sind und im Rahmen der Veranschaulichung des Meldungsverkehrs als vertikale Linie dargestellt sind.
Meldungen gemäß dem SIP-Protokoll werden in Figur 2 mit dem Buchstaben M und einer fortlaufenden Nummer bezeichnet.
Zusatzlich wird teilweise eine mögliche Meldungsnummer analog dem SIP-Protokoll angegeben und ein Name der Meldung.
Meldungen im Rahmen des Verbindungsaufbaus und Meldungen wahrend der aufgebauten Nutzdatenverbindung sind durch eine gestrichelte Linie voneinander getrennt, wobei der Zeitraum bei aufgebauter Nutzdatenverbindung mit schraffierten
Schrägstrichen hinterlegt ist.
Im Folgenden wird anhand Figur 2 ein Meldungsverkehr erörtert, wobei das Verhalten der Detektionseinrichtung DE aufgrund des Meldungsverkehrs unter Zuhilfenahme des in Figur
3 dargestellten Ablaufdiagramms veranschaulicht wird. Figur 2 veranschaulicht einen Verbindungsaufbau gemäß dem SIP-Protokoll, initiiert von der Telefonfunktionseinrichtung TF des ersten IP-Telefons EGl mittels einer so genannten Invite-Meldung Ml zum zweiten IP-Telefon EG2. Das zweite IP- Telefon EG2 signalisiert einem Benutzer optisch und/oder akustisch einen eingehenden Ruf und bestätigt dies der Telefonfunktionseinrichtung TF durch Senden einer so genannten Ringing-Meldung M2 mit der SIP-Meldungsnummer 180. In Figur 2 wird vorausgesetzt, dass der Benutzer des zweiten IP-Telefons EG2 die Verbindung annimmt, worauf daraufhin eine so genannte OK-Meldung M3 mit der SIP-Meldungsnummer 200 zur Telefonfunktionseinrichtung TF übermittelt wird. Der Eingang der OK-Meldung M3 wird durch die Telefonfunktionseinrichtung TF mittels einer Bestatigungsmeldung M4 , auch ACK genannt, dem zweiten IP-Telefon EG2 signalisiert. Anschließend wird die Nutzdatenverbindung zwischen der
Telefonfunktionseinrichtung TF und dem zweiten IP-Telefon EG2 aufgebaut .
Alle der genannten SIP-Meldungen Ml bis M4 passieren jeweils die Detektionseinrichtung DE. Dies ist in Figur 2 dadurch veranschaulicht, dass die Meldungen jeweils die Linie der Detektionseinrichtung DE durchkreuzen. Die Detektionseinrichtung DE verlasst bei Ein- bzw. Durchgang einer Meldung ihren Ruhezustand - Zustand 1 in Figur 3 - und analysiert, um welche Art von Datenverkehr es sich handelt - Abfrage 2 in Figur 3. In diesem Fall handelt es sich um SIP- Protokollelemente, wobei im vorliegenden Ausfuhrungsbeispiel angenommen wird, dass die Detektionseinrichtung DE für die Meldungen Ml bis M4 keine Uberwachungsregeln definiert hat und diese Meldungen somit nicht weiter beachtet werden. Es wird deshalb in Figur 3 ausgehend von der Abfrage 2 der Pfad „eingehende Kommunikation ist anderes SIP-Datenpaket" durchlaufen, der in den Ruhezustand 1 mundet. Im Folgenden ist nun die Nutzdatenverbindung zwischen dem ersten IP-Telefon EGl und dem zweiten IP-Telefon EG2 aufgebaut, wobei wahrend der bestehenden Nutzdatenverbindung nacheinander zwei Leistungsmerkmale vom Benutzer des zweiten IP-Telefons EG2 ausgelost werden. Ein Leistungsmerkmal ist beispielsweise das Einleiten einer Konferenzschaltung zwischen mehreren Kommunikationsendeinrichtungen oder ein Weiterleiten der Verbindung zu einer weiteren Kommunikationsendeinrichtung, wobei im Folgenden die Leistungsmerkmale abstrakt als erstes Leistungsmerkmal LMl und als zweites Leistungsmerkmal LM2 bezeichnet werden.
Durch das zweite IP-Telefon EG2 wird mittels einer Meldung M5 eine Aktivierung des ersten Leistungsmerkmals LMl initiiert und zur Telefonfunktionseinrichtung TF übermittelt. Der
Meldung M5 ist in Figur 2 die Bezeichnung ACT_LM1 zugeordnet, sowie die SIP-Meldungsnummer 743. Bei Durchlauf der Meldung M5 bei der Detektionseinrichtung DE zum Zeitpunkt Tl verlasst diese ihren Ruhezustand 1, erkennt im Schritt 2, dass es sich bei der eingehenden Kommunikation um ein zu überwachendes
SIP-Datenpaket handelt und speichert die SIP-Meldungsnummer 743 in einem temporaren Speicher - Aktion 3 in Figur 3. Ein Zeitgeber wird gestartet - Aktion 4 - und bis zum Ablauf des Zeitgebers wird der rucklaufende Meldungsverkehr von der Telefonfunktionseinrichtung TF zum zweiten IP-Telefon EG2 analysiert - Abfrage 5.
Das erste IP-Telefon EGl unterstutzt das erste Leistungsmerkmal LMl und antwortet auf die Meldung M5 mit einer Quittungsmeldung M6, ACK_LM1, mit der SIP- Meldungsnummer 744. Bei Durchlauf der Quittungsmeldung M6 zum Zeitpunkt T2 sei die Zeitdifferenz Δti verstrichen, wobei diese Zeitdifferenz Δti kurzer als die Zeitgeber-Zeitdauer sei. Die Detektionseinrichtung DE erkennt die empfangene Quittungsmeldung M6 als Quittung zur Meldung M5 und erkennt weiterhin, dass die Zeitgeber-Zeitdauer noch nicht abgelaufen ist - Abfrage 5. Daraufhin loscht sie den temporaren Speicher - Aktion 7 - und geht zurück in den Ruhezustand 1.
Bei einer Aktivierung eines weiteren Leistungsmerkmals, das zweite Leistungsmerkmal LM2, sei angenommen, dass das erste IP-Telefon EGl einen Softwarestand besitzt, der dieses zweite Leistungsmerkmal LM2 nicht kennt und nicht umsetzen kann. Analog zu Meldung M5 übermittelt nun das zweite IP-Telefon EG2 eine Meldung M7 für eine Aktivierung des zweiten Leistungsmerkmals LM2 zur Telefonfunktionseinrichtung TF. Der Meldung M7 ist in Figur 2 die Bezeichnung ACT LM2, sowie die SIP-Meldungsnummer 789 zugeordnet. Bei Durchlauf der Meldung M7 bei der Detektionseinrichtung DE zum Zeitpunkt T3 verlasst diese ihren Ruhezustand 1, erkennt im Schritt 2, dass es sich bei der eingehenden Kommunikation um ein zu überwachendes
SIP-Datenpaket handelt und speichert die SIP-Meldungsnummer 789 in einem temporaren Speicher - Aktion 3 in Figur 3. Ein Zeitgeber wird gestartet - Aktion 4 - und bis zum Ablauf des Zeitgebers wird der rucklaufende Meldungsverkehr von der Telefonfunktionseinrichtung TF zum zweiten IP-Telefon EG2 analysiert - Abfrage 5. Die Telefonfunktionseinrichtung TF erhalt die Meldung M7 zum Zeitpunkt T4, aber kennt diese Meldung M7 nicht und kann auf diese Meldung M7 nicht reagieren. Es wird keinerlei Quittung übermittelt - weder eine positive noch eine negative Quittung. Nach Ablauf des
Zeitgebers nach einer Zeitdauer Δt2 geht zum Zeitpunkt T5 die Detektionseinrichtung DE vom Abfragezustand 5 zur Aktion 6 über, in der sie das nicht quittierte, temporar gespeicherte Protokollelement im Endgeratespeicher EGDB permanent speichert und für eine Auswertung durch den Server S zur Verfugung stellt. Aktion 6 folgend kann durch die Detektionseinrichtung DE der temporare Speicher geloscht werden - Aktion 7 - und der Ruhezustand 1 eingenommen werden.
Anhand der Meldung Ml bis M7 wurde vorstehend erläutert, wie die Detektionseinrichtung DE erwünschten SIP-Datenverkehr analysieren kann. Im Folgenden wird darüber hinaus das Eingehen einer unerwünschten Kommunikation veranschaulicht. Hierbei wird von dem Angriffsrechner AR das
Angriffsdatenpaket ADP zum ersten IP-Telefon EGl übermittelt. Das Angriffsdatenpaket ADP trifft zu einem Zeitpunkt T6 bei der Detektionseinrichtung DE ein und wird zur
Telefonfunktionseinrichtung TF weitergeleitet, wo es zu einem Zeitpunkt T7 eintrifft. Bei Erhalt des Angriffsdatenpakets ADP verlasst die Detektionseinrichtung DE ihren Ruhezustand 1, analysiert das Angriffsdatenpakets ADP - Abfrage 2 - und kategorisiert dieses als Nicht-SIP-Datenpaket . Daraufhin erfolgt ein Wechsel zum Abfragezustand 8, indem geprüft wird, ob es sich bei dem Datenpaket um ein übliches Datenpaket im IP-Verkehr handelt, dass nicht gesondert beachtet werden muss. Dies ist beispielsweise eine so genannte Ping-Anfrage oder eine Konfigurationsmeldung an das erste IP-Telefon EGl. Ist dies der Fall, wechselt die Detektionseinrichtung DE ohne weitere Aktion zurück in seinen Ruhezustand 1.
Ist dies nicht der Fall, so wird in der Abfrage 9 ein Mustervergleich durchgeführt, der das eingehende Datenpaket mit bekannten Virenmustern und bekannten weiteren Angriffsmustern aus dem Endgeratespeicher EGDB vergleicht. Wird keinerlei Übereinstimmung festgestellt, geht die Detektionseinrichtung DE in den Ruhezustand 1 zurück, da das eingehende Datenpaket entweder keinen Angriff auf das erste IP-Telefon EGl darstellt oder einen Angriff darstellt, für den kein Vergleichsmuster als Datenmusterinformation vorgegeben ist. Wird dagegen Übereinstimmung beim Mustervergleich festgestellt, wird eine Information über das eingehende Muster oder das Muster selbst zusammen mit weiteren Informationen wie die aktuelle Uhrzeit und das aktuelle Datum in einer Protokolldatei im Endgeratespeicher EGDB abgespeichert- Aktion 10. Anschließend geht die Detektionseinrichtung DE in den Ruhezustand 1 über.
Mittels der genannten Meldungen und Zustandsubergange verdeutlichen die Figuren 2 und 3, auf welche Weise durch die Erfindung eingehender Datenverkehr bei einer
Kommunikationsendeinrichtung überwacht und mitprotokolliert werden kann und einer zentralen Servereinrichtung zur weitergehenden Auswertung zur Verfugung gestellt werden kann. Dabei erlaubt die Erfindung die Auswertung, ob ein spezifischer Datenverkehr, welche Art von Datenverkehr und wie häufig der Datenverkehr bei der
Kommunikationsendeinrichtung eingetroffen ist. Im Rahmen der Auswertung können Fehler in den Sicherheitsregeln des Kommunikationsnetzwerks und/oder von
Kommunikationsendeinrichtungen ohne manuelle Einbeziehung von Benutzern der Kommunikationsendeinrichtungen erkannt werden. Weiterhin kann eine fehlende Implementierung von Leistungsmerkmalen oder Protokollelementen in der Kommunikationsendeinrichtung offengelegt und erkannt werden. Fehlende Implementierungen oder Fehler in den Sicherheitsregeln können derart ausgewertet werden, dass basierend auf der Auswertung Software-Korrekturen für die Kommunikationsendeinrichtung oder einer Firewall im Kommunikationssystem automatisiert angestoßen werden und eventuell automatisiert installiert werden können.
Die Erfindung erlaubt auf diese Weise insbesondere eine Analyse von Kommunikationsproblemen zwischen Kommunikationseinrichtungen im realen Betrieb. Dies ist insofern vorteilhaft, als dass in üblichen
Kommunikationssystemen häufig eine Vielzahl von verschiedenen Kommunikationseinrichtungen oder eine Vielzahl von gleichen Kommunikationseinrichtungen aber mit unterschiedlichen Softwarestanden und unterschiedlicher Protokoll-Unterstützung vorhanden sein kann. Somit können Probleme von Kommunikationseinrichtungen in realen Installationen schnell lokalisiert und korrigiert werden.
Die Auswertung von SIP-Leistungsmerkmalen ist insbesondere vorteilhaft, als dass SIP-Kommunikationseinrichtungen üblicherweise, wenn sie ein eingehendes SIP-Protokollelement nicht erkennen oder nicht unterstutzen, keine Quittung an den Kommunikationspartner zurückschicken und somit Protokollelemente und/oder Anforderungen unbestätigt bleiben. Dies kann mittels der Erfindung im Rahmen der Auswertung erkannt werden.
Vorteilhafterweise werden die Datenmusterinformationen regelmäßig eingespielt oder aktualisiert, so dass die Detektionseinrichtung auf einen aktuellen Stand an Vergleichsmustern zurückgreifen kann. Vorteilhafterweise werden bei Einspielen von Datenmusterinformationen, beim Abfragen und/oder beim Übermitteln von gespeicherten Kommunikationsinformationen gesicherte Mechanismen wie Verschlüsselung oder Sicherung mittels elektronischer Zertifikate eingesetzt, um eine unerlaubte Überwachung oder Abfrage der Kommunikationseinrichtung von Unberechtigten zu verhindern .
Die Datenmusterinformation kann vorzugsweise in einer Beschreibungssprache, wie beispielsweise XML (Extensible Markup Language) , definiert werden, vorteilhafterweise Wildcards verwenden, so dass die Datenmusterinformation auf wenige, prägnante Vergleichsmuster beschrankt werden kann und ein byteweiser Vergleich langer Byte-Folgen vermieden werden kann. Weiterhin kann mittels der Datenmusterinformation auch definiert werden, welches der Satz der erlaubten oder bekannten Protokollelemente ist und ein Erkennen eines unbekannten Protokollelements als positives Prufergebnis im Sinne der Erfindung gewertet werden.
Bei der Definition der Datenmusterinformation als ein Adressbereich im IP-Netzwerk lasst sich die eingehende Kommunikation ausgehend von einer Adresse außerhalb eines vorgegebenen Adressbereichs gesondert auswerten. Dies ist insofern vorteilhaft, als dass die
Kommunikationseinrichtungen in einem Kommunikationssystem häufig bestimmten Adressbereichen zugewiesen werden und somit eine eingehende Kommunikation von außerhalb dieses Adressbereichs einen potentieller Angreifer darstellen kann. Die Datenmusterinformation kann hierbei beispielsweise die so genannte Netmask eines IP-Adressbereichs sein.

Claims

Patentansprüche
1. Verfahren zur Auswertung einer über eine Anschlussleitung
(AL) eingehenden Kommunikation (V, ADP, M5, M7 ) an einer Kommunikationseinrichtung (EGl), wobei a. eine aus der eingehenden Kommunikation (V, ADP, M5, M7) auslesbare oder ermittelbare Kommunikationsinformation durch eine, zwischen der Anschlussleitung (AL) und der
Kommunikationseinrichtung (EGl) gekoppelte, der Kommunikationseinrichtung (EGl) eineindeutig zugeordnete Detektionseinrichtung (DE) erfasst wird, b. durch die Detektionseinrichtung (DE) geprüft wird, i . ob die erfasste Kommunikationsinformation mit einer vorgebbaren Datenmusterinformation übereinstimmt und/oder ii . ob eine durch die eingehende Kommunikation
(V, ADP, M5, M7) auszulosende Antwortmeldung (M6) von der Kommunikationseinrichtung (EGl) über die Anschlussleitung (AL) ausbleibt, c. bei einem positiven Prufergebnis die erfasste Kommunikationsinformation gespeichert wird, und d. die gespeicherte Kommunikationsinformation im Rahmen einer zentralen, durch eine Servereinrichtung (S) vorgenommenen Auswertung ausgelesen wird.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass durch die Servereinrichtung (S) weitere
Kommunikationsinformationen von mindestens einer weiteren, an eine weitere Kommunikationseinrichtung eineindeutig gekoppelte Detektionseinrichtung ausgelesen werden.
3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Detektionseinrichtung (DE) in die Kommunikationseinrichtung (EGl) integriert ist oder als eigenständige, an eine Anschlussschnittstelle der Kommunikationseinrichtung (EGl) gekoppelte Einrichtung ausgestaltet ist.
4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Detektionseinrichtung (DE) die eingehende Kommunikation (V, ADP, M5, M7) unverändert von der Anschlussleitung (AL) an die Kommunikationseinrichtung (EGl, TF) weiterleitet.
5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass es sich bei der eingehenden Kommunikation (V,ADP,M5, M7 ) um eine Echtzeit-Verbindung (V,M5,M7) zur Sprach-, Video- oder Multimedia-Kommunikation, und/oder um eine ein Fehlverhalten oder eine Blockierung der Kommunikationseinrichtung hervorrufende Kommunikation (ADP) handelt.
6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ausgelost durch einen Empfang der eingehenden Kommunikation (V, ADP, M5, M7) in der Detektionseinrichtung (DE) ermittelt wird,
- mittels welchen Netzprotokolls die eingehende Kommunikation (V, ADP, M5, M7) transportiert wird, und/oder
- welches Kommunikationsprotokoll bei der eingehenden Kommunikation (V,M5,M7) für eine Medienubertragung eingesetzt wird, und/oder
- an welche Zieladresse und/oder welchen Ziel-Port der Kommunikationseinrichtung (EGl) die eingehende Kommunikation (V, ADP, M5, M7) gesendet wird, und/oder - von welcher Absendeadresse die eingehende Kommunikation (V, ADP,M5,M7) ausgesendet wurde, und/oder - über welchen Kommunikationspfad die eingehende Kommunikation (V, ADP, M5, M7) zur Kommunikationseinrichtung (EGl) geleitet wird, und/oder
- über welche Firewall-Einrichtung die eingehende Kommunikation (V, ADP, M5, M7) geleitet wird, und/oder
- an welchem Datum und zu welcher Uhrzeit die eingehende Kommunikation (V, ADP, M5, M7) eintrifft, und/oder
- mit welcher Antwortmeldung (M6) die Kommunikationseinrichtung (EGl) auf die eingehende Kommunikation (V, ADP, M5,M7) reagiert, und/oder
- welches Protokollelement eines Kommunikationsprotokolls mittels der eingehenden Kommunikation (V,M5,M7) übermittelt wird und/oder welches Leistungsmerkmal mittels der eingehenden Kommunikation (V,M5,M7) durch die Kommunikationseinrichtung (EGl) aktiviert werden soll und daraus die Kommunikationsinformation gebildet wird und/oder eine Zusatzinformation gebildet wird, die zusammen mit der Kommunikationsinformation gespeichert und durch die Servereinrichtung (S) ausgelesen wird.
7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Datenmusterinformation (DE) ein Abbild oder ein Muster einer zu erkennenden Kommunikation (V, ADP, M5, M7) darstellt und ein Erkennen eines Vorhandenseins und/oder eines Fehlens der Datenmusterinformation in der erfassten Kommunikationsinformation als positives Prufergebnis der Prüfung auf Übereinstimmung zwischen Kommunikationsinformation und Datenmusterinformation gewertet wird.
8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass
- die Datenmusterinformation, und/oder — Regeln zur Ermittlung der KommunikationsInformation, und/oder
- Regeln zur Prüfung auf Übereinstimmung der Kommunikationsinformation mit der Datenmusterinformation in einem der Erfassung der Kommunikationsinformation vorausgehenden Verfahrensschritt zur Detektionseinrichtung (DE) übermittelt werden.
9. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die gespeicherte Kommunikationsinformation zusammen mit weiteren, gespeicherten Kommunikationsinformationen in zeitlichen Abstanden zur Servereinrichtung (S) übertragen oder von dieser abfragt werden.
10. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass durch die Servereinrichtung (S) wiederholt und automatisch Auswertungen über die gespeicherten Kommunikationsinformationen durchgeführt werden.
11. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass durch die Servereinrichtung (S) Statistik-Informati- onen über die gespeicherten Kommunikationsinformationen ermittelt werden .
12. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Datenmusterinformation Protokollelemente eines Kommunikationsprotokolls umfasst .
13. Verfahren nach Anspruch 12, dadurch gekennzeichnet, dass es sich bei dem Kommunikationsprotokoll um SIP und/oder um H.323 handelt.
14. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass durch die Servereinrichtung (S) für einen Zeitraum eine Haufigkeitsstatistik für die gespeicherte, mit der Datenmusterinformation übereinstimmende Kommunikationsinformation erstellt wird.
15. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass durch die Servereinrichtung (S) eine
Abwehrinformation an die Detektionseinrichtung (DE) übermittelt wird und daraufhin durch die
Detektionseinrichtung (DE) ein in der Abwehrinformation angegebener Port gesperrt wird und/oder ein durch die Abwehrinformation spezifizierter Kommunikationsblock der eingehenden Kommunikation (ADP) ausgefiltert wird.
16. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass durch die Servereinrichtung (S) im Rahmen der zentralen Auswertung eine Aktion angelost wird, und die Aktion
- als Alarm, und/oder
- als Erstellung eines Sicherheits-Reports, und/oder - als Bereitstellung von Analyse-Daten für eine weitergehende Analyse, und/oder
- als Auslosen einer Rechteaktualisierung bei einer Firewall, und/oder
- als Auslosen einer Firmware- und/oder Software-Aktuali- sierung bei der Kommunikationseinrichtung (EGl), und/oder
- als Sperren einer Funktion, eines Leistungsmerkmals und/oder eines Ports der Kommunikationseinrichtung
(EGl) , und/oder - als Sperren, Inaktivieren, Herunterfahren,
Deregistrieren der Kommunikationseinrichtung (EGl), und/oder - als Neuvergeben einer Adresse und/oder eines Ports der Kommunikationseinrichtung (EGl) für weitere, eingehende Kommunikation, und/oder
- als Ermittlung der die eingehende Kommunikation (V, ADP, M5,M7) sendende Sender-Kommunikationseinrichtung (EG2,
AR) ausgestaltet ist.
17. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Kommunikationseinrichtung (EGl) und weitere Kommunikationseinrichtungen
- bei der Servereinrichtung (S) konfiguriert sind, und/oder - sich selbst mittels Registriermeldungen bei der Servereinrichtung (S) registrieren, und/oder
- durch die Servereinrichtung (S) mittels Senden von Abfragen an Einrichtungen innerhalb eines Adressbereichs und Erhalt dadurch ausgeloster, zugehöriger Quittungen erkannt und daraufhin registriert werden.
18. Detektionseinrichtung (DE) zur Auswertung einer über eine Anschlussleitung (AL) eingehenden Kommunikation (V,ADP,M5, M7 ) an einer Kommunikationseinrichtung (EGl), dadurch gekennzeichnet, dass Mittel zur Durchfuhrung des Verfahrens gemäß einem der vorhergehenden Verfahrensanspruche vorgesehen sind.
19. Servereinrichtung (S) zur Auswertung einer über eine Anschlussleitung (AL) eingehenden Kommunikation (V,ADP,M5, M7 ) an einer Kommunikationseinrichtung (EGl), dadurch gekennzeichnet, dass Mittel zur Durchfuhrung des Verfahrens gemäß einem der vorhergehenden Verfahrensanspruche vorgesehen sind.
EP06807286A 2005-11-18 2006-10-16 Verfahren, detektionseinrichtung und servereinrichtung zur auswertung einer eingehenden kommunikation an einer kommunikationseinrichtung Withdrawn EP1949647A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102005055148A DE102005055148B4 (de) 2005-11-18 2005-11-18 Verfahren, Detektionseinrichtung und Servereinrichtung zur Auswertung einer eingehenden Kommunikation an einer Kommunikationseinrichtung
PCT/EP2006/067427 WO2007057267A1 (de) 2005-11-18 2006-10-16 Verfahren, detektionseinrichtung und servereinrichtung zur auswertung einer eingehenden kommunikation an einer kommunikationseinrichtung

Publications (1)

Publication Number Publication Date
EP1949647A1 true EP1949647A1 (de) 2008-07-30

Family

ID=37654906

Family Applications (1)

Application Number Title Priority Date Filing Date
EP06807286A Withdrawn EP1949647A1 (de) 2005-11-18 2006-10-16 Verfahren, detektionseinrichtung und servereinrichtung zur auswertung einer eingehenden kommunikation an einer kommunikationseinrichtung

Country Status (5)

Country Link
US (1) US7746792B2 (de)
EP (1) EP1949647A1 (de)
CN (1) CN101326786A (de)
DE (1) DE102005055148B4 (de)
WO (1) WO2007057267A1 (de)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070300304A1 (en) * 2006-06-26 2007-12-27 Nokia Corporation SIP washing machine
EP2112803B1 (de) * 2008-04-22 2013-12-18 Alcatel Lucent Angriffsschutz für paketbasierte Netzwerke
US8321926B1 (en) * 2008-12-02 2012-11-27 Lockheed Martin Corporation System and method of protecting a system that includes unprotected computer devices
US8526306B2 (en) * 2008-12-05 2013-09-03 Cloudshield Technologies, Inc. Identification of patterns in stateful transactions
JP2011199847A (ja) * 2010-02-25 2011-10-06 Ricoh Co Ltd 会議システムの端末装置、会議システム
US20110307541A1 (en) * 2010-06-10 2011-12-15 Microsoft Corporation Server load balancing and draining in enhanced communication systems
KR101107739B1 (ko) * 2010-08-03 2012-01-20 한국인터넷진흥원 ＶｏＩＰ 네트워크의 비정상 ＳＩＰ 트래픽 탐지 시스템 및 그 탐지 방법
US8953471B2 (en) * 2012-01-05 2015-02-10 International Business Machines Corporation Counteracting spam in voice over internet protocol telephony systems
CN105722226A (zh) * 2012-06-26 2016-06-29 电信科学技术研究院 一种数据处理方法、装置及系统
US11196611B1 (en) * 2017-08-24 2021-12-07 National Technology & Engineering Solutions Of Sandia, Llc Systems and methods for electronic communication with a device using an unknown communications protocol

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6499107B1 (en) * 1998-12-29 2002-12-24 Cisco Technology, Inc. Method and system for adaptive network security using intelligent packet analysis
US7089428B2 (en) * 2000-04-28 2006-08-08 Internet Security Systems, Inc. Method and system for managing computer security information
US7254832B1 (en) * 2000-08-28 2007-08-07 Nortel Networks Limited Firewall control for secure private networks with public VoIP access
JP3593039B2 (ja) * 2001-01-22 2004-11-24 松下電器産業株式会社 誤り及び同期検出装置並びに方法
CA2465127A1 (en) * 2001-11-16 2003-05-30 Cetacea Networks Corporation Method and system for detecting and disabling sources of network packet flooding
US20040111632A1 (en) * 2002-05-06 2004-06-10 Avner Halperin System and method of virus containment in computer networks
DE10226744B4 (de) * 2002-06-14 2005-05-04 T-Mobile Deutschland Gmbh Content- und Security Proxy in einem Mobilkommunikationssystem
US7716725B2 (en) * 2002-09-20 2010-05-11 Fortinet, Inc. Firewall interface configuration and processes to enable bi-directional VoIP traversal communications
US7228564B2 (en) * 2003-07-24 2007-06-05 Hewlett-Packard Development Company, L.P. Method for configuring a network intrusion detection system
AU2004310728B2 (en) * 2003-12-05 2009-09-03 Blackberry Limited Apparatus and method of controlling unsolicited traffic destined to a wireless communication device
JP4616020B2 (ja) * 2005-01-27 2011-01-19 富士通株式会社 ネットワーク監視プログラム及びネットワークシステム
JP4454516B2 (ja) * 2005-02-16 2010-04-21 富士通株式会社 障害検出装置
US7486625B2 (en) * 2005-07-01 2009-02-03 Net Optics, Inc. Communications network tap with link fault detector

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2007057267A1 *

Also Published As

Publication number Publication date
US7746792B2 (en) 2010-06-29
WO2007057267A1 (de) 2007-05-24
CN101326786A (zh) 2008-12-17
DE102005055148B4 (de) 2008-04-10
US20090252029A1 (en) 2009-10-08
DE102005055148A1 (de) 2007-05-24

Similar Documents

Publication Publication Date Title
DE102005055148B4 (de) Verfahren, Detektionseinrichtung und Servereinrichtung zur Auswertung einer eingehenden Kommunikation an einer Kommunikationseinrichtung
EP2005699A1 (de) Verfahren für lawful interception bei anrufweiterschaltung in einem paketorientierten telekommunikationsnetz
DE102005020098B4 (de) Verfahren und System zum Zuweisen von Teilnehmeridentifizierungsdaten zu Netzwerkübertragungsereignissen und Computerprogrammprodukt
DE102019210229A1 (de) Verfahren und Vorrichtung zur Analyse dienste-orientierter Kommunikation
EP3799379B1 (de) Verfahren und ip-basiertes kommunikationssystem zum wechseln von verbindungs-steuerungsinstanzen ohne neuregistrierung von endteilnehmern
EP1341357B1 (de) Verfahren zur Dienstgütesicherung in einem Kommunikationsnetz sowie Anordnung und Einrichtungen zur Realisierung des Verfahrens
DE102019210224A1 (de) Vorrichtung und Verfahren für Angriffserkennung in einem Rechnernetzwerk
DE102006012439A1 (de) Verfahren und Vorrichtungen zur Vermeidung einer fehlerhaften Klassifizierung von erwünschten Nachrichten als Spam over Internet Telephony-Nachrichten, abgekürzt SPIT-Nachrichten, in einem Kommunikationsnetzwerk
EP1430693B1 (de) Verfahren und vorrichtung zur realisierung einer firewallanwendung für kommunikationsdaten
EP1400063B1 (de) Fehlertoleranter verbindungstest
DE102006014594A1 (de) Verfahren zum Wiederherstellen einer mit IPsec kryptographisch gesicherten Verbindung
EP1771993B1 (de) Verfahren zur überwachung eines nachrichtenverkehrs, sowie eine erste und zweite netzwerkeinheit zu dessen durchführung
DE102019210225A1 (de) Verfahren und Vorrichtung zur Analyse dienste-orientierter Kommunikation
EP1618704B1 (de) Verfahren und steuerungsprogramm zum betrieb eines kommunikationsendgeräts für paketorientierte datenübermittlung
EP2681890B1 (de) Verfahren zur kommunikation und komponente in einem kommunikationsnetzwerk
EP1560393B1 (de) Vorrichtungen und Verfahren zum Überprüfen einer Anfrage-Nachricht auf Authentizität und Autorisierung
DE102019210223A1 (de) Vorrichtung und Verfahren für Angriffserkennung in einem Rechnernetzwerk
EP2649751B1 (de) Verfahren und system zur überwachung eines kommunikationssystems
EP3439259B1 (de) Härten eines kommunikationsgerätes
WO2007107473A1 (de) Verfahren und vorrichtung zur erkennung von spam over internet telephony-nachrichten versendenden teilnehmern, abgekürzt spit-versender, in einem ip-kommunikationsnetzwerk
EP1981293B1 (de) Verfahren zum Erfassen von Anrufen und zugehörige Einheiten
DE102008045790B4 (de) Verfahren und Kommunikationsnetz zum mehrfachen Umleiten einer Kommunikationsverbindung
DE10152010B4 (de) Erkennung und Abwehr von unbefugtem Eindringen in ein Kommunikationsnetz
DE60319859T2 (de) Sicherheitsverwaltungsverfahren für eine integrierte einrichtung eines netzwerks
DE60225875T2 (de) Zugangskontrollegateway zu einem Aktiven Netzwerk

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20080411

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): DE FR GB IT SE

DAX Request for extension of the european patent (deleted)
RBV Designated contracting states (corrected)

Designated state(s): DE FR GB IT SE

17Q First examination report despatched

Effective date: 20090917

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20100330