EP4740362A1 - Computerimplementiertes verfahren zum konfigurieren einer firewall, computerprogrammprodukt, computerlesbares speichermedium und fahrzeug - Google Patents

Abstract

Die Erfindung betrifft ein computerimplementiertes Verfahren zum Konfigurieren einer Firewall (1), wobei die Firewall (1) basierend auf einem durch die Konfiguration definierten Regelsatz den Netzwerkverkehr in einem rechnergestützten Kommunikationsnetz (2) filtert, und wobei Regeln für den Regelsatz in Abhängigkeit von wenigstens einer an das Kommunikationsnetz (2) angeschlossenen Recheneinheit (3) bezogener Informationen festgelegt werden, und wobei die Firewall (1) von einer an das Kommunikationsnetz (2) angeschlossenen Recheneinheit (3) bereitgestellt wird. Das erfindungsgemäße Verfahren ist gekennzeichnet durch die folgenden Verfahrensschritte: a) Beziehen von Netzwerkdesigninformationen (NDI) von wenigstens zwei an das Kommunikationsnetz (2) angeschlossenen Recheneinheiten (3), beschreibend eine zulässige Netzwerkkommunikation innerhalb des Kommunikationsnetzes (2); b) Bilden einer Netzwerkdesignzusammenfassung (NDZ) aus einer Vereinigungsmenge des Inhalts von wenigstens zwei der bezogenen Netzwerkdesigninformationen (NDI); c) Ableiten der Regeln aus der Netzwerkdesignzusammenfassung (NDZ) in Übereinkunft mit der zulässigen Netzwerkkommunikation und Zusammenfassen der Regeln zum Regelsatz; und d) Konfigurieren der Firewall (1) mit dem Regelsatz.

Description

Computerimplementiertes Verfahren zum Konfigurieren einer Firewall, Computerprogrammprodukt, computerlesbares Speichermedium und Fahrzeug

Die Erfindung betrifft ein computerimplementiertes Verfahren zum Konfigurieren einer Firewall nach der im Oberbegriff von Anspruch 1 näher definierten Art, ein Computerprogrammprodukt, ein computerlesbares Speichermedium, bevorratend ein solches Computerprogrammprodukt, sowie ein Fahrzeug.

Mit zunehmender Digitalisierung nimmt auch der Anteil von Computersystemen in Fahrzeugen zu. Neben Sensoren und Aktoren umfasst die Bordelektronik die unterschiedlichsten Recheneinheiten zur Verarbeitung entsprechender Sensorsignale, zur Erzeugung von Steuersignalen oder zur Bereitstellung von Funktionen. Die jeweiligen Komponenten der Bordelektronik können dabei über ein Kommunikationsnetz miteinander kommunizieren. Hierbei handelt es sich um ein oder mehrere Bus-Systeme, wie beispielsweise einen CAN-Bus, eine Ethernet-Datenleitung oder dergleichen. Unter einer fahrzeuginternen Recheneinheit werden insbesondere Verstanden: Steuergeräte, insbesondere in Form eines System-on-a-Chip (SoC), Netzwerkgeräte wie einem Switch, ein zentraler Bordcomputer, eine Telekommunikationseinheit und dergleichen.

Wie jedes rechnerbasierte Kommunikationsnetz, sind auch fahrzeuginterne Kommunikationsnetze gegenüber Cyberangriffen abzusichern. Ein erster und zentraler Bestandteil zur Erhöhung der Cybersicherheit ist das Integrieren einer oder mehrerer Firewalls in das Kommunikationsnetz zum Filtern der Kommunikation. Über das Kommunikationsnetz versendete Datenpakete werden dabei vor einer Weiterleitung zu einer Zieladresse von der Firewall untersucht, welche anhand festgelegter Regeln entscheidet, ob jeweilige Datenpakete zur Zieladresse hindurchgelassen werden sollen oder nicht. Zu sperrende Datenpakete werden durch die Firewall verworfen. Von der Firewall eingesetzte Regeln können in Form einer Whitelist oder Blacklist umgesetzt sein. In der Whitelist können vertrauenswürdige Zieladresse, Quelladressen, Datenpaketinhalte, Dienste und dergleichen angegeben werden, in deren Zusammenhang übermittelte Datenpakete von der Firewall weitergeleitet (englisch: routing) werden. Entsprechend enthält die Blacklist Informationen, die beschreiben in welchen Zusammenhängen Datenpakete an der Weiterleitung zur Zieladresse gehindert werden und verworfen werden sollen. So lassen sich unerlaubte Netzwerkzugriffe unterbinden.

Eine Firewall kann verschiedene Filtertechniken anwenden, wie insbesondere eine Paketfilterung, eine Stateful-Packet-Inspection, einen Proxyfilter, einen Contentfilter, eine Deep-Packet-Inspection und dergleichen. Eine Firewall kann dabei nicht nur die Kommunikation zwischen dem Kommunikationsnetz und externen Einrichtungen, beispielsweise einem Mobilfunknetz, dem Internet, oder einem beliebigen zum Kommunikationsnetz abweichendem Wide-Area-Network (WAN) überwachen, sondern auch die Kommunikation innerhalb des Kommunikationsnetzes filtern. Eine Kommunikation nach außen ist beispielsweise über einen von der Telekommunikationseinheit bereitgestellten Mobilfunkanschluss möglich oder auch per Bluetooth, Wi-Fi, NFC und dergleichen. Typischerweise ist eine separate Firewall in eine solche Telekommunikationseinheit zum Filtern der per Mobilfunk ausgetauschten Daten implementiert. Fahrzeuge können auch miteinander über eine sogenannte Fahrzeug-zu- Fahrzeug Kommunikationsschnittstelle Informationen austauschen, oder über eine Fahrzeug-zu-X Kommunikationsschnittstelle auch mit Infrastrukturobjekten.

Die Topographie von fahrzeuginternen Kommunikationsnetzen kann sich zwischen verschiedenen Fahrzeugen unterscheiden, beispielsweise in Abhängigkeit des Fahrzeugmodells, der Fahrzeugkonfiguration, insbesondere unter Berücksichtigung von Sonderausstattung, dem Bauzeitraum des Fahrzeugs und dergleichen. Typischerweise wird die Netzwerktopografie seitens des Fahrzeugherstellers durch eine sogenannte Netzwerkdesigninformation, auch als „Network-Communication-Design“ (NCD) bezeichnet, beschrieben. Das NCD definiert dabei jeglichen innerhalb des Fahrzeugs zugelassenen Kommunikationsverkehr. Typischerweise kann in jeder im Fahrzeug verbauten Recheneinheit das NCD in Form einer computerlesbaren Datei hinterlegt werden. Mit fortschreitender Entwicklung führt dies zwangsweise dazu, dass auf den unterschiedlichen Recheneinheiten im Fahrzeug unterschiedliche Versionen des NCD vorliegen, welche sich in ihrem Inhalt unterscheiden.

Zum Festlegen des von einer Firewall anzuwendenden Regelwerkes, insbesondere in Form besagter Whitelists bzw. Blacklists, wird typischerweise auf die durch das NCD beschriebenen Informationen zurückgegriffen. So lassen sich die Regeln für die Firewall automatisiert mit geringem menschlichen Aufwand festlegen. Typischerweise wird das Regelwerk basierend auf der neuesten Version des NCD generiert. Die neueste Version bzw. neuere Versionen des NCD, müssen dabei nicht zwangsweise kompatibel sein mit älteren Versionen des NCD. Dies kann dazu führen, dass unter Berücksichtigung ausschließlich des neusten NCDs zum Festlegen des von der Firewall einzusetzenden Regelwerks, Recheneinheiten mit einem auf einer älteren Version des NCD aufbauenden Kommunikationsablauf nicht miteinander kommunizieren können, da zwischen den Recheneinheiten auszutauschende Nachrichten nicht in einer resultierenden Whitelist aufgenommen wurden, bzw. fälschlicherweise ein entsprechender Eintrag in einer Blacklist angelegt wurde.

Beschreibt die neueste Version des NCDs zudem eine tatsächlich im Fahrzeug nicht durchgeführte Kommunikation, so kann dies die Sicherheit des fahrzeuginternen Kommunikationsnetzes reduzieren. So wird eine Netzwerkkommunikation toleriert, die tatsächlich im Fahrzeug im Regelbetrieb nicht durchgeführt wird. Dieser Teil der unnötigerweise zugelassenen Netzwerkkommunikation könnte potentiell für Angriffe genutzt werden. Ferner werden mehr Hardwareressourcen zum Inkludieren größerer Regelsätze in besagte Whitelist benötigt, was inneffizient ist.

Aus der EP 1 615 386 B1 sind ein Firewallsystem, in das Firewallsystem integrierte Geräte sowie ein Verfahren zum Aktualisieren der von der Firewall angewendeten Regeln bekannt. Die Firewall dient dabei dazu den Netzwerkverkehr innerhalb eines Heimnetzes zu überwachen. In das Heimnetz sind Endgeräte wie ein Fernseher, eine HiFi-Anlage, ein Smartphone, ein Desktopcomputer und dergleichen integriert. Mobile Endgeräte, wie besagtes Smartphone, können dabei auch in einer örtlichen Entfernung zum Heimnetz betrieben werden. Die Firewall ist in das Heimnetz integriert und läuft bei einer zentralen Implementierung Gefahr in einem solchen Fall besagtes mobiles Endgerät nicht überwachen zu können. Das durch die Druckschrift offenbarte Firewallsystem sieht es vor eine verteilte Firewall bereitzustellen, sodass eine entsprechende Firewallkomponente auch auf dem mobilen Endgerät ausgeführt werden kann, um dieses bei einem Betrieb außerhalb des Heimnetzes ebenfalls schützen zu können. Zum Erzeugen besagter Firewallregeln werden in einem jeweiligen Gerät Sicherheitsrichtlinien gespeichert. Diese Sicherheitsrichtlinien umfassen globale Sicherheitsregeln, eine Liste der Mitglieder des Kommunikationsnetzes sowie ihren Verbindungszustand und eine Liste lokal angebundener Dienste. Treten Änderungen im Kommunikationsnetz auf, so können besagte Sicherheitsrichtlinien aktualisiert werden und damit ein jeweiliger durch die Firewall ausgebildete Filter angepasst werden.

Ein Verfahren zum Aktualisieren des von einer Firewall angewendeten Regelwerks ist ferner aus der US 8,549,609 B2 bekannt. Das durch die Druckschrift offenbarte Verfahren widmet sich dem Problem, dass sich bei einer Verwendung von IPv6 Adressen die IP- Adresse eines Geräts dynamisch ändern kann, während sie bei IPv4 Adressen statisch sind. Dies führt zu der Gefahr, dass ein nicht autorisiertes Gerät die IP-Adresse eines autorisierten Geräts annehmen kann, was eine umfangreiche Netzwerkkommunikation mit dem nicht autorisierten Gerät ermöglichen würde. Um dies zu verhindern, beschreibt die Druckschrift das dynamische Anpassen der im Regelwerk der Firewall hinterlegten IP- Adressen. Kommt es zu einer entsprechenden Adressänderung im zugrunde liegenden Kommunikationsnetz, so wird dies automatisch festgestellt und das Regelwerk entsprechend angepasst.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde ein verbessertes computerimplementiertes Verfahren zum Konfigurieren einer Firewall anzugeben, welches mit einem geringen Aufwand einhergeht, wobei gleichzeitig das Aufrechterhalten der Cybersicherheit bei einer Gewährleistung einer zuverlässigen Kommunikation der Teilnehmer des Kommunikationsnetzes ermöglicht wird.

Ein gattungsgemäßes computerimplementiertes Verfahren zum Konfigurieren einer Firewall, wobei die Firewall basierend auf einem durch die Konfiguration definierten Regelsatz den Netzwerkverkehr in einem rechnergestützten Kommunikationsnetz filtert, wobei Regeln für den Regelsatz in Abhängigkeit von auf wenigstens einer an das Kommunikationsnetz angeschlossenen Recheneinheit vorgehaltenen Informationen festgelegt werden, und wobei die Firewall von einer an das Kommunikationsnetz angeschlossenen Recheneinheit bereitgestellt wird, wird erfindungsgemäß durch die folgenden Verfahrensschritte weitergebildet: a) Beziehen von in wenigstens zwei an das Kommunikationsnetz angeschlossenen Recheneinheiten eingebrachten Netzwerkdesigninformationen, beschreibend eine zulässige Netzwerkkommunikation innerhalb des Kommunikationsnetzes; b) Bilden einer Netzwerkdesignzusammenfassung aus einer Vereinigungsmenge des Inhalts von wenigstens zwei der bezogenen Netzwerkdesigninformationen; c) Ableiten der Regeln aus der Netzwerkdesignzusammenfassung in Übereinkunft mit der zulässigen Netzwerkkommunikation und Zusammenfassen der Regeln zum Regelsatz; und d) Konfigurieren der Firewall mit dem Regelsatz.

Die auf den verschiedenen an das Kommunikationsnetz angeschlossenen Recheneinheiten vorgehaltenen Netzwerkdesigninformationen können sich in der Version unterscheiden und somit einen unterschiedlichen Inhalt aufweisen. Durch das Bilden der Vereinigungsmenge der jeweiligen Inhalte der berücksichtigten Netzwerkdesigninformationen ist es möglich den Inhalt von unterschiedlich versionierten Netzwerkdesigninformationen zu kombinieren. In die Netzwerkdesignzusammenfassung wird dabei ein Inhalt aufgenommen, sobald er zumindest in einer der berücksichtigten Netzwerkdesigninformationen oder auch in mehreren Netzwerkdesigninformationen vorkommt. Somit lässt sich verhindern, dass zum Aufrechterhalten der Kommunikation zwischen den Recheneinheiten im Kommunikationsnetz erforderliche Regeln nicht implementiert werden, wie im Falle, wenn nur die neueste Version der Netzwerkdesigninformationen berücksichtigt würden. Dies erlaubt es das Kommunikationsnetz durch den Einsatz der Firewall abzusichern, bei gleichzeitiger Gewährleistung der zuverlässigen Netzwerkkommunikation.

Die Netzwerkdesigninformationen können von einer in das Kommunikationsnetz integrierten Recheneinheit von den jeweiligen anderen Recheneinheiten abgegriffen werden. Bei dieser Recheneinheit kann es sich auch um ein Netzwerkgerät wie einen Switch handeln. Zum Adressieren der jeweiligen Recheneinheiten können Anschlussinformationen benötigt werden, die beschreiben welche Recheneinheit wie kontaktiert werden kann, also beispielsweise umfassend eine Netzwerkadresse, eine Portnummer und dergleichen. Die Anschlussinformationen können in Form einer computerlesbaren Datei in einer jeweiligen Recheneinheit implementiert sein. Die Anschlussinformationen können auch aus den Netzwerkdesigninformationen selbst ableitbar sein. Ein Netzwerkgerät kann beispielsweise durch einen Portscan selbst ermitteln welche Recheneinheiten jeweils an welchen Netzwerkanschluss angeschlossen sind. Auch können die Netzwerkdesigninformationen extern zum Kommunikationsnetz zur Netzwerkdesignzusammenfassung zusammengefügt werden. Hierzu können die jeweiligen auf den Recheneinheiten implementierten unterschiedlich versionierten Netzwerkdesigninformationen auf einem zentralen Datenspeicher, beispielsweise eine Festplatte oder SSD in einem Serververbund, vorgehalten werden. Ebenfalls ist eine Zuordnung durch den Serververbund, bzw. einen an den Serverbund angeschlossenen Entwicklerrechner, abrufbar, beschreibend welche in das Kommunikationsnetz integrierte Recheneinheit welche Version der Netzwerkdesigninformationen aufweist. Ein Server oder Entwicklerrechner kann dann die Vereinigungsmenge der jeweiligen Netzwerkdesigninformationen bilden, daraus die Netzwerkdesignzusammenfassung generieren und diese ebenfalls im zentralen Datenspeicher ablegen. Eine solche Datei kann dann einer Recheneinheit im Kommunikationsnetz, beispielsweise der die Firewall im Kommunikationsnetz bereitstellenden Recheneinheit, zugänglich gemacht werden, sodass die Recheneinheit die entsprechenden Regeln ableiten und damit die Firewall konfigurieren kann. Auch ist es denkbar die Regeln außerhalb des Kommunikationsnetzes zu generieren und nur den fertigen Regelsatz in das Kommunikationsnetz einzubringen.

Die Netzwerkdesigninformationen beschreiben die zulässige Netzwerkkommunikation, also zumindest welche Recheneinheit mit welcher Recheneinheit Informationen austauschen darf, insbesondere unter Berücksichtigung eines für die Kommunikation verwendeten Ports, eines Datenpaketinhalts, eines von einer Recheneinheit ausgeführten Dienstes und dergleichen.

Dabei müssen nicht zwangsweise alle von den jeweiligen Recheneinheiten bezogenen Netzwerkdesigninformationen zur Bildung der Netzwerkdesignzusammenfassung berücksichtigt werden, zumindest jedoch zwei. Beispielsweise kann eine Auswahl anhand eines Kriteriums wie der Version erfolgen.

Eine vorteilhafte Weiterbildung des erfindungsgemäßen Verfahrens sieht ferner vor, dass zumindest einer der Verfahrensschritte a) bis d), bevorzugt sämtliche Verfahrensschritte, von derselben Recheneinheit ausgeführt werden, die auch die Firewall bereitstellt. Generell ist es möglich, dass unterschiedliche Recheneinheiten die Firewall bereitstellen können und die Verfahrensschritte a) bis d) ausführen können. Auch können einzelne der Verfahrensschritte a) bis d) von unterschiedlichen Recheneinheiten ausgeführt werden, sogar von einer oder mehrerer kommunikationsnetzexternen Recheneinheiten, wie im vorigen bereits ausgeführt. Damit die Firewall den Netzwerkverkehr filtern kann, muss eine die Firewall bereitstellende Recheneinheit jedoch zwangsweise an das Kommunikationsnetz angeschlossen sein. Führt diejenige Recheneinheit die Verfahrensschritte a) bis d) aus, die auch die Firewall bereitstellt, so muss der erzeugte Regelsatz nicht erst über das Kommunikationsnetz an die respektive Recheneinheit verschickt werden, was die Latenzen bei der Ausführung des erfindungsgemäßen Verfahrens reduziert.

Die Firewall kann generell von dedizierten Hardware- und/oder Softwarekomponenten ausgebildet sein. Es kann sich auch um eine reine Softwarelösung handeln. Ein solches Firewallprogramm kann auch in einer virtuellen Maschine laufen.

Ein zur Ausbildung der Firewall genutztes Programm kann ferner auch auf einer kommunikationsnetzexternen Recheneinheit basierend auf dem Regelsatz programmiert werden und anschließend das fertige Programm auf eine kommunikationsnetzinterne Recheneinheit aufgespielt werden. Im erweiterten Sinne würde so die Firewall außerhalb des Kommunikationsnetzes konfiguriert werden. Das Ausführen der Verfahrensschritte a) bis d) erlaubt darüber hinaus auch eine nachträgliche Rekonfiguration der Firewall.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens werden Eigenschaften der jeweiligen von den Recheneinheiten bezogenen Netzwerkdesigninformationen ermittelt, und nur solche Netzwerkdesigninformationen zum Bilden der Netzwerkdesignzusammenfassung genutzt, deren Eigenschaften ein festgelegtes Kriterium erfüllen. Hierdurch lässt sich sicherstellen, dass nur solche Inhalte von Netzwerkdesigninformationen zum Ableiten der Regeln benutzt werden, die auch tatsächlich erwünscht sind. So könnten insbesondere veraltete Netzwerkdesigninformationen eine Netzwerkkommunikation beschreiben, die zum aktuellen Zeitpunkt nicht mehr zulässig ist. Entsprechend muss verhindert werden, dass solche unzulässigen Netzwerkkommunikationsabläufe zum Konfigurieren der Firewall eingesetzt werden. Unter Berücksichtigung der Eigenschaften der Netzwerkdesigninformationen ist dies möglich. Die Eigenschaften der Netzwerkdesigninformationen können beispielsweise in den Metadaten einer jeweiligen Datei beschrieben sein. Bei den Eigenschaften kann es sich beispielsweise um eine Dateigröße, einen Dateityp, einen Zeitstempel, eine Versionsnummer, einen Entwickler, ein Computersystem bzw. Computernetzwerk, in dem die jeweilige Datei erzeugt wurde, und dergleichen handeln.

Für verschiedene Eigenschaften können dann unterschiedliche Randbedingungen definiert werden, die angeben, unter welchen Bedingungen eine jeweilige Netzwerkdesigninformation zum Bilden der Vereinigungsmenge berücksichtigt werden soll oder nicht. Um dies zu überprüfen, wird eine jeweilige Eigenschaft mit einer jeweiligen für diese Eigenschaft vordefiniertem Kriterium verglichen.

Bevorzugt wird eine Netzwerkdesigninformation zum Bilden der Netzwerkdesignzusammenfassung verwendet, wenn:

- eine Version der respektiven Netzwerkdesigninformation aktueller ist, als ein festgelegter Versionsschwellwert; oder

- ein Implementierungszeitstempel der respektiven Netzwerkdesigninformation, beschreibend einen Einbringzeitpunkt der Netzwerkdesigninformation auf der Recheneinheit, jünger ist, als ein festgelegter Implementierungszeitstempelschwellwert.

Unter Berücksichtigung einer jeweiligen Version bzw. Versionsnummer der Netzwerkdesigninformationen lässt sich besonders einfach und zuverlässig sowie leicht nachvollziehbar festlegen, welche Netzwerkkommunikation im zugrunde liegenden Kommunikationsnetz zulässig ist und welche nicht. So können Entwickler die unterschiedlichen Versionen der Netzwerkdesigninformationen auf ihren Inhalt überprüfen und mit der Topografie bzw. dem Einsatzzweck des zugrunde liegenden Kommunikationsnetzes abgleichen. So können die Entwickler entscheiden welche Netzwerkdesigninformationen für das Kommunikationsnetz geeignet sind und welche nicht. Entsprechend können die Entwickler den Versionsschwellwert für den jeweiligen Einsatzfall manuell festlegen und entsprechend an die zumindest den Verfahrensschritt b) ausführende Recheneinheit übertragen.

Anstelle der Versionsnummer bzw. einem Versionsbezeichner kann auch ein Zeitfaktor zum Unterscheiden von zu berücksichtigenden Netzwerkdesigninformationen und zu ignorierenden Netzwerkdesigninformationen verwendet werden. So kann in den Metadaten der Netzwerkdesigninformationen ein Eintrag ergänzt werden, der den aktuellen Zeitpunkt beschreibt, an dem die jeweilige Netzwerkdesigninformation in die jeweilige Recheneinheit eingebracht wurde. Bei dem Einbringzeitpunkt kann es sich beispielsweise um ein Datum handeln. Der Einbringzeitpunkt kann ergänzend eine Uhrzeit umfassen. Hierdurch lässt sich ein Aufwand für die Entwickler reduzieren. So kann es der Fall sein, dass jeweilige Entwickler wissen, dass nur solche Netzwerkdesigninformationen berücksichtigt werden sollen, die nach dem Einbringzeitpunkt freigegeben (englisch: released) wurden. Dies erspart es den Entwicklern erst aufwändig die Inhalte unterschiedlich versicherter Netzwerkdesigninformationen miteinander abzugleichen.

Bevorzugt wird der festgelegte Versionsschwellwert bestimmt durch:

- eine festgelegte Anzahl zu berücksichtigender Versionen, beginnend bei der aktuellen Version und rückwärtszählend in Abhängigkeit der Version; oder

- die innerhalb eines festgelegten Zeitraums freigegebenen Versionen der Netzwerkdesigninformationen, insbesondere ein ab dem aktuellen Zeitpunkt mit einer festgelegten Berücksichtigungsdauer rückwärts laufender gleitender Zeitraum.

Dies erlaubt es den Entwicklern besonders einfach festzulegen, welche vergangenen Versionen der Netzwerkdesigninformationen zum Ableiten der Regeln für die Firewall berücksichtigt werden sollen oder nicht, wenn die Auswahl der respektiven Netzwerkdesigninformationen auf der Version basiert. Im einfachsten Falle können die Entwickler beispielsweise angeben, dass die neusten zwei, drei, oder vier Versionen der Netzwerkdesigninformationen berücksichtigt werden sollen. Hierbei handelt es sich um eine Betrachtungsweise nach dem Prinzip „first in, first out“.

Auch ist es möglich die zu berücksichtigenden Netzwerkdesigninformationen zeitabhängig anzugeben. So können alle Versionen zur Bildung der Netzwerkdesignzusammenfassung berücksichtigt werden, die innerhalb des festgelegten Zeitraums, beispielsweise innerhalb des letzten Quartals des Vorjahres, freigegeben bzw. veröffentlicht wurden. Bevorzugt wird ein gleitender Zeitraum definiert, beginnend zum aktuellen Zeitpunkt und rückwärtslaufend, wobei alle innerhalb des Zeitraums freigegebenen Versionen der Netzwerkdesigninformationen berücksichtigt werden.

Eine weitere vorteilhafte Ausgestaltung des erfindungsgemäßen Verfahrens sieht ferner vor, dass für den Fall, dass sich zwei zur Bildung der Netzwerkdesignzusammenfassung berücksichtigte Netzwerkdesigninformationen in zumindest einem Aspekt der zulässigen Netzwerkkommunikation widersprechen, eine den Aspekt betreffende Regel in Übereinkunft mit einer Standardreaktion bestimmt wird. Generell besteht die Möglichkeit, dass sich Netzwerkdesignzusammenfassungen unterschiedlicher Versionen auch widersprechen können. Beispielsweise umfassen zwei unterschiedlich versionierte Netzwerkdesignzusammenfassungen für eine bestimmte Recheneinheit ein anderes Kommunikationsziel für eine bestimmte Nachricht. Auch könnte ein bestimmter Nachrichtentyp in einer Netzwerkdesignzusammenfassung zur Datenweiterleitung freigegeben sein und in einer anderen Version einer Netzwerkdesignzusammenfassungen verboten sein.

Werden solche Widersprüche entdeckt, so gibt es generell verschiedene Möglichkeiten, wie damit umgegangen werden kann. Beispielsweise können alle Aspekte der zulässigen bzw. unzulässigen Netzwerkkommunikation verworfen werden, für die ein Widerspruch festgestellt wird. Dies bedeutet, dass für den entsprechenden Aspekt keine Regeln mit in die Netzwerkdesignzusammenfassung aufgenommen werden. Stattdessen könnte auch diejenige Vorgabe der Netzwerkdesignzusammenfassung mit der aktuellsten Version berücksichtigt werden und die Aussagen älterer Versionen ignoriert werden. Anstelle der neuesten Version einer Netzwerkdesignzusammenfassung ist es auch denkbar, dass ein Entwickler manuell vorgibt, welcher Version der Netzwerkdesignzusammenfassung Vorrang zu geben ist. Um eine maximale Cybersicherheit zu gewährleisten, kann es auch möglich sein, dass die sich jeweils ergebenden striktesten Regeln umgesetzt werden, also im Zweifelsfall bei einem Widerspruch eine entsprechende Netzwerkkommunikation unterbunden wird, anstelle einer Freigabe.

Unter Berücksichtigung der Einsatzrandbedingungen des Kommunikationsnetzes, beispielsweise der Netzwerktopografie oder dem Kontext, in dem das Kommunikationsnetz eingebettet ist, können auch für unterschiedliche Fälle unterschiedliche Standardreaktionen definiert werden.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens filtert die Firewall den Netzwerkverkehr in einem fahrzeugintegrierten Kommunikationsnetz basierend auf der Konfiguration mit dem Regelsatz. Hierdurch lässt sich der konforme Betrieb des Fahrzeugs unter Wahrung der Cybersicherheit zuverlässig aufrechterhalten.

Ein Computerprogrammprodukt umfasst erfindungsgemäß computerinterpretierbare Anweisungen, welche eine Recheneinheit bei einer Ausführung durch einen Prozessor dazu in die Lage versetzen, ein im vorigen beschriebenes Verfahren auszuführen. Das Computerprogrammprodukt kann ein eigenständiges Programm ausbilden oder auch in ein Programm eingebettet sein, beispielsweise in eine Firewallsoftware, eine Firmware, ein BIOS, ein Anwendungsprogramm oder dergleichen.

Erfindungsgemäß umfasst ein computerlesbares Speichermedium besagtes Computerprogrammprodukt. Das computerlesbare Speichermedium ist dabei bevorzugt integriert in eine Recheneinheit des Kommunikationsnetzes. Die Firewall kann auf einer ersten Recheneinheit ausgeführt werden und durch eine zweite Recheneinheit konfiguriert werden. Auch kann die Firewall und die Konfiguration der Firewall durch ein- und dieselbe Recheneinheit erfolgen, insbesondere in Form eines Netzwerkgeräts.

Ein Fahrzeug umfasst erfindungsgemäß wenigstens eine Recheneinheit, verfügend zumindest über einen Lesezugriff auf ein im vorigen beschriebenes computerlesbares Speichermedium. Bei dem Fahrzeug kann es sich um ein beliebiges Straßenfahrzeug wie einen Pkw, Lkw, Transporter, Bus oder dergleichen handeln. Generell könnte es sich auch um ein Schienenfahrzeug, Wasserfahrzeug oder Luftfahrzeug handeln. Durch den Lesezugriff auf das computerlesbare Speichermedium ist die Recheneinheit dazu in der Lage das erfindungsgemäße Verfahren bereitzustellen, also besagten Regelsatz aus der Netzwerkdesignzusammenfassung zu erzeugen und damit die Firewall zu konfigurieren.

Weitere vorteilhafte Ausgestaltungen des erfindungsgemäßen Verfahrens zum Konfigurieren der Firewall ergeben sich auch aus den Ausführungsbeispielen, welche nachfolgend unter Bezugnahme auf die Figuren näher beschrieben werden.

Dabei zeigen:

Fig. 1 eine schematische Darstellung eines rechnerbasierten Kommunikationsnetzes, dessen Netzwerkverkehr durch eine gemäß einem erfindungsgemäßen Verfahren konfigurierte Firewall gefiltert wird;

Fig. 2 eine schematische Darstellung des sich überschneidenden Inhalts unterschiedlich versionierter Netzwerkdesigninformationen; und

Fig. 3 eine schematische Darstellung eines Auswahlverfahrens der zur Erzeugung einer Netzwerkdesignzusammenfassung zu berücksichtigender Netzwerkdesigninformationen.

Figur 1 zeigt stark schematisiert ein Kommunikationsnetz 2, umfassend mehrere Recheneinheiten 3, die über eine Datenleitung 5 kommunikativ miteinander verschaltet sind. Auf einer dieser Recheneinheiten 3, insbesondere in Form eines Netzwerkgeräts, wird eine Firewall 1 ausgeführt bzw. durch diese bereitgestellt. Besonders bevorzugt ist das Kommunikationsnetz 2 fahrzeugintegriert. Bei den Recheneinheiten 3 kann es sich beispielsweise um die Steuergeräte von Fahrzeuguntersystemen, einen zentralen Bordcomputer, eine Telekommunikationseinheit und dergleichen handeln. Eine solche Recheneinheit 3 kann beispielsweise von einem System-on-a-Chip (SoC) ausgebildet sein.

Mit fortschreitender Entwicklung des Fahrzeugs bzw. der Bordelektronik kann sich die Topografie des Kommunikationsnetzes 2 ändern oder der Kommunikationsablauf über das Kommunikationsnetz 2. Je nach Art und Weise der durch die Recheneinheiten 3 bereitgestellten Funktionalitäten und genutzten Dienste, kann es erforderlich sein die Kommunikation zwischen den Recheneinheiten 3 anzupassen. Die zulässige Netzwerkkommunikation wird dabei durch sogenannte Netzwerkdesigninformationen NDI beschrieben. Die Netzwerkdesigninformationen NDI können beispielsweise vom Fahrzeughersteller im Zuge der Entwicklung festgelegt worden sein und in Form einer computerlesbaren Datei in den jeweiligen Recheneinheiten 3 implementiert sein. Aufgrund besagter Änderungen werden die Netzwerkdesigninformationen NDI versioniert. Auf unterschiedlichen Recheneinheiten 3 können verschiedene Versionen der Netzwerkdesigninformationen NDI vorliegen, was durch eine unterschiedliche Schraffur angedeutet ist.

Zum Konfigurieren der Firewall 1 ist es vorgesehen die durch die Netzwerkdesigninformation NDI beschriebene Netzwerkkommunikation automatisiert von einem Programm einzulesen und Regeln zum Bestimmen eines Regelsatzes zum Konfigurieren der Firewall 1 daraus abzuleiten. Unter alleiniger Berücksichtigung der aktuellsten Version der Netzwerkdesigninformationen NDI könnte dies jedoch dazu führen, dass zumindest einige zwischen den Recheneinheiten 3 auszutauschenden Nachrichten nicht an ihr tatsächliches vorgesehenes Ziel gelangen könnten, da eine erwünschte Netzwerkkommunikation in der aktuellsten Version der Netzwerkdesigninformationen NDI fehlt. Um dieses Problem zu lösen dient ein erfindungsgemäßes computerimplementiertes Verfahren zum Konfigurieren der Firewall 1. Die Idee ist es, die jeweiligen unterschiedlich versicherten Netzwerkdesigninformationen NDI von den jeweiligen Recheneinheiten 3 zu vergleichen und eine Netzwerkdesignzusammenfassung NDZ aus einer Vereinigungsmenge des Inhalts der Netzwerkdesigninformationen NDI zu bilden. Figur 2 zeigt hierzu die entsprechende Überschneidungsmenge der unterschiedlich versicherten Netzwerkdesigninformationen NDI für vier unterschiedlich versicherte Netzwerkdesigninformationen NDI-1 bis NDI-4. In der Netzwerkdesignzusammenfassung NDZ werden somit alle Inhalte der respektiven Netzwerkdesigninformationen NDI-1 bis NDI-4 übernommen, die in zumindest einer dieser Netzwerkdesigninformationen NDI vorkommen. Hierdurch wird zuverlässig gewährleistet, dass sämtliche relevanten zulässigen Netzwerkkommunikationen zum Ableiten der Regeln für die Firewall 1 berücksichtigt werden.

Dabei stellt sich die Frage wie viele bzw. welche der unterschiedlichen Versionen der Netzwerkdesigninformationen NDI zum Erzeugen der Netzwerkdesignzusammenfassung NDZ berücksichtigt werden sollen. Beispielsweise kann eine bestimmte Anzahl unterschiedlicher Versionen der Netzwerkdesigninformationen NDI berücksichtigt werden. Auch könnte ein Zeitaspekt berücksichtigt werden, wie die innerhalb eines bestimmten Zeitraums freigegebenen Netzwerkdesigninformationen NDI.

Figur 3 zeigt dabei eine bevorzugte Ausführungsform, bei der alle innerhalb eines gleitenden Berücksichtigungszeitraums 4 freigegebenen Netzwerkdesigninformationen NDI berücksichtigt werden, hier also die Netzwerkdesigninformationen NDI-2, NDI-3, NDI- 4 und NDI-5. Der gleitende Berücksichtigungszeitraum 4 beginnt zum aktuellen Zeitpunkt to und reicht mit einer situationsspezifisch festlegbaren Berücksichtigungsdauer At in die Vergangenheit zurück.

Wurde innerhalb des gleitenden Berücksichtigungszeitraums 4 keine neue Version der Netzwerkdesigninformationen NDI freigegeben, so kann die aktuellste Version verwendet werden.

Ebenfalls kann es vorkommen, dass Widersprüche in unterschiedlichen Versionen der Netzwerkdesigninformationen NDI vorkommen. In diesem Falle kann zum Ableiten von Regeln für die Firewall 1 eine Standardreaktion ausgeführt werden, wie das Berücksichtigen desjenigen Inhalts der Netzwerkdesigninformation NDI mit der aktuellsten Version, dass Unterbinden der durch den jeweiligen Aspekt beschriebenen Netzwerkkommunikation, das Ignorieren des jeweiligen Aspekts und dergleichen.

Mit Hilfe des erfindungsgemäßen Verfahrens lässt sich die Firewall 1 besonders zuverlässig, schnell und einfach konfigurieren. Durch die Verwendung der Firewall 1 wird die Cybersicherheit des Kommunikationsnetzes 2 verbessert. Gleichzeitig ist ein zuverlässiger Datenaustausch zwischen den Recheneinheiten 3 gewährleistet, da auch ältere zugelassene Netzwerkkommunikationen durch entsprechende Regeln umgesetzt sind.

Claims

Patentansprüche

1. Computerimplementiertes Verfahren zum Konfigurieren einer Firewall (1), wobei die Firewall (1) basierend auf einem durch die Konfiguration definierten Regelsatz den Netzwerkverkehr in einem rechnergestützten Kommunikationsnetz (2) filtert, und wobei Regeln für den Regelsatz in Abhängigkeit von auf wenigstens einer an das Kommunikationsnetz (2) angeschlossenen Recheneinheit (3) vorgehaltenen Informationen festgelegt werden, und wobei die Firewall (1) von einer an das Kommunikationsnetz (2) angeschlossenen Recheneinheit (3) bereitgestellt wird, gekennzeichnet durch die folgenden Verfahrensschritte: a) Beziehen von in wenigstens zwei an das Kommunikationsnetz (2) angeschlossenen Recheneinheiten (3) eingebrachten Netzwerkdesigninformationen (NDI), beschreibend eine zulässige Netzwerkkommunikation innerhalb des Kommunikationsnetzes (2); b) Bilden einer Netzwerkdesignzusammenfassung (NDZ) aus einer Vereinigungsmenge des Inhalts von wenigstens zwei der bezogenen Netzwerkdesigninformationen (NDI); c) Ableiten der Regeln aus der Netzwerkdesignzusammenfassung (NDZ) in Übereinkunft mit der zulässigen Netzwerkkommunikation und Zusammenfassen der Regeln zum Regelsatz; und d) Konfigurieren der Firewall (1) mit dem Regelsatz.

2. Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass zumindest einer der Verfahrensschritte a) bis d), bevorzugt sämtliche Verfahrensschritte, von derselben Recheneinheit (3) ausgeführt werden, die auch die Firewall (1) bereitstellt.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass jeweils Eigenschaften der jeweiligen von den Recheneinheiten (3) bezogenen Netzwerkdesigninformationen (NDI) ermittelt werden, und nur solche Netzwerkdesigninformationen (NDI) zum Bilden der Netzwerkdesignzusammenfassung (NDZ) genutzt werden, deren Eigenschaften ein festgelegtes Kriterium erfüllen.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass eine Netzwerkdesigninformation (NDI) zum Bilden der

Netzwerkdesignzusammenfassung (NDZ) verwendet wird, wenn:

- eine Version der respektiven Netzwerkdesigninformation (NDI) aktueller ist, als ein festgelegter Versionsschwellwert; oder

- ein Implementierungszeitstempel der respektiven Netzwerkdesigninformation (NDI), beschreibend einen Einbringzeitpunkt der Netzwerkdesigninformation (NDI) auf der Recheneinheit (3), jünger ist, als ein festgelegter Implementierungszeitstempelschwellwert.

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass der festgelegte Versionsschwellwert bestimmt wird durch:

- eine festgelegte Anzahl zu berücksichtigender Versionen, beginnend bei der aktuellen Version und rückwärtszählend in Abhängigkeit der Version; oder

- die innerhalb eines festgelegten Zeitraums freigegebenen Versionen der Netzwerkdesigninformationen (NDI), insbesondere ein ab dem aktuellen Zeitpunkt (to) mit einer festgelegten Berücksichtigungsdauer (At) rückwärts laufender gleitender Zeitraum (4).

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass für den Fall, dass sich zwei zur Bildung der Netzwerkdesignzusammenfassung (NDZ) berücksichtigte Netzwerkdesigninformationen (NDI) in zumindest einem Aspekt der zulässigen Netzwerkkommunikation widersprechen, eine den Aspekt betreffende Regel in Übereinkunft mit einer Standardreaktion bestimmt wird.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass die Firewall (1) den Netzwerkverkehr in einem fahrzeugintegrierten Kommunikationsnetz (2) basierend auf der Konfiguration mit dem Regelsatz filtert.

8. Computerprogrammprodukt, gekennzeichnet durch computerinterpretierbare Anweisungen, welche eine Recheneinheit (3) bei einer Ausführung durch einen Prozessor dazu in die Lage versetzen ein Verfahren nach einem der Ansprüche 1 bis 7 auszuführen.

9. Computerlesbares Speichermedium, gekennzeichnet durch ein Computerprogrammprodukt nach Anspruch 8.

10. Fahrzeug, gekennzeichnet durch wenigstens eine Recheneinheit (3), verfügend zumindest über einen Lesezugriff auf ein computerlesbares Speichermedium nach Anspruch 9.