NL1015390C1 - Security accessory for data system connected to Internet, uses input and output buffer memories to preserve and analyze recently deleted data - Google Patents
Security accessory for data system connected to Internet, uses input and output buffer memories to preserve and analyze recently deleted data Download PDFInfo
- Publication number
- NL1015390C1 NL1015390C1 NL1015390A NL1015390A NL1015390C1 NL 1015390 C1 NL1015390 C1 NL 1015390C1 NL 1015390 A NL1015390 A NL 1015390A NL 1015390 A NL1015390 A NL 1015390A NL 1015390 C1 NL1015390 C1 NL 1015390C1
- Authority
- NL
- Netherlands
- Prior art keywords
- data
- data system
- internet
- preserve
- output buffer
- Prior art date
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer And Data Communications (AREA)
Abstract
Description
Methode en systeem voor het beveiligen van een datasysteem ACHTERGROND VAN DE UITVINDINGBACKGROUND OF THE INVENTION Method and system for securing a data system
De uitvinding heeft betrekking op een methode voor het beveiligen 5 van een datasysteem dat door verbindingsmiddelen in verbinding staat met andere systemen en via die verbindingsmiddelen data uitwisselt met die andere systemen. De uitvinding betreft tevens een beveiligingssysteem voor het bewaken van een datasysteem dat via verbindingsmiddelen data met andere systemen uitwisselt.The invention relates to a method for securing a data system which is connected by connection means to other systems and which exchanges data with those other systems via those connection means. The invention also relates to a security system for monitoring a data system that exchanges data with other systems via connecting means.
10 Huidige (internet) security tools kunnen alleen bekende aanvallen tegen een datasysteem identificeren. Onbekende aanvallen worden niet geïdentificeerd en kunnen diensten onklaar maken. Zogeheten "network sniffers" kunnen al het verkeer op een netwerk loggen. Door toename van de bandbreedtes in de netwerken leveren sniffers echter een 15 enorme hoeveelheid informatie en het onderzoeken van al het gesnifte verkeer bij aankomst wordt hierdoor onmogelijk.10 Current (internet) security tools can only identify known attacks against a data system. Unknown attacks are not identified and can disable services. So-called "network sniffers" can log all traffic on a network. However, due to an increase in the bandwidths in the networks, sniffers supply an enormous amount of information and this makes it impossible to investigate all the snuffed traffic on arrival.
"Intrusion Detection Systems" zijn tools die boven op een sniffer in real-time netwerk stromen proberen te correleren op zoek naar aanvallen. Nadelen: door de toenamen van de snelheden en 20 bandbreedtes op netwerken worden deze tools steeds moeilijker inzetbaar. Met gigabit netwerk snelheiden zijn er geen systemen meer die dit aankunnen.Intrusion Detection Systems are tools that try to correlate flows on top of a sniffer in real-time network looking for attacks. Disadvantages: due to the increases in speeds and 20 bandwidths on networks, these tools are becoming increasingly difficult to use. With gigabit network speeds, there are no more systems that can handle this.
SAMENVATTING VAN DE UITVINDINGSUMMARY OF THE INVENTION
25 De onderhavige uitvinding berust op het inzicht dat pas op het moment dat een datasysteem disfunctioneert, bijvoorbeeld als gevolg van een "data-attack" het van belang is dat de laatste communicatie met de server bewaard wordt (vergelijk een "black box" in vliegtuigen). Deze bewaarde communicatie kan dan worden gebruikt om 30 de oorzaak van het disfunctioneren te analyseren en vast te stellen en een eventuele nieuwe attack te identificeren en het datasysteem er tegen te beveiligen.The present invention is based on the insight that it is important only when a data system malfunctions, for example as a result of a "data attack", that it is important that the last communication with the server is saved (compare a "black box" in aircraft ). This saved communication can then be used to analyze and determine the cause of the malfunction and identify any new attack and secure the data system against it.
De methode volgens de uitvinding wordt erdoor gekenmerkt dat voortdurend (alleen) de meest recente uitgewisselde data gebufferd 35 wordt, dat de normale werking van het datasysteem bewaakt wordt en dat (alleen) bij een abnormaliteit in de werking van het datasysteem de gebufferde data voor~analyse ter beschikking wordt gesteld. Over de uitgewisselde (binnenkomende en/of uitgaande) datastroom wordt .The method according to the invention is characterized in that the (only) the most recent exchanged data is continuously buffered, that the normal operation of the data system is monitored and that (only) in the event of an abnormality in the operation of the data system, the buffered data for ~ analysis is made available. About the exchanged (incoming and / or outgoing) data stream.
als het ware een "moving window" gezet, waarvan de inhoud normaliter 40 niet wordt bewerkt (geanalyseerd). Pas na het constateren van een : abnormaliteit in de werking van het te beveiligen datasysteem wordt de inhoud van de movlng^window bewaard en kan die geanalyseerd worden. De uitvinding lost dus het probleem van de grote hoeveelheid informatie en de beperkte analysetijd op door niet continue te 101 5390 2 analyseren maar dat alleen te doen als het nodig is.put, as it were, a "moving window", the content of which normally 40 is not edited (analyzed). Only after detecting an abnormality in the operation of the data system to be protected is the content of the movlng ^ window saved and can it be analyzed. Thus, the invention solves the problem of the large amount of information and the limited analysis time by not analyzing continuously but only doing so when necessary.
UITVOERINGSVOORBEELDENIMPLEMENTATION EXAMPLES
De methode volgens de uitvinding wordt geïllustreerd met behulp van 5 figuur 1. Figuur 1 toont een datasysteem 1, voorzien van een invoerbufferorgaan 2 en een uitvoerbufferorgaan 3, door middel waarvan het datasysteem 1 verbinding maakt met de node 4 van een netwerk 5 waarop andere (data)systemen kunnen zijn aangesloten, waarmee het datasysteem 1 data uitwisselt. Het datasysteem wordt 10 beveiligd doordat de meest recente uitgewisselde data gebufferd wordt in de bufferorganen 2 en 3. De normale werking van het datasysteem 1 wordt bewaakt in een bewakingsorgaan 6. Het bewakingsorgaan 6 bestuurt een uitvoerorgaan 7 zodanig dat alleen bij een abnormaliteit in de werking van het datasysteem de in de 15 bufferorganen 2 en 3 gebufferde, meest recente data door het uitvoerorgaan 7 worden opgevraagd. Het uitvoerorgaan 7 kan een beeldscherm omvatten waarop, nadat een storing in het datasysteem is opgetreden, de uit de buffers 2 en 3 opgevraagde data kunnen worden bekeken. Ook kan het uitvoerorgaan 7 een printer omvatten. Over de 20 uitgewisselde (binnenkomende en/of uitgaande) datastroom wordt als het ware een "moving window" gezet, waarvan de inhoud normaliter niet wordt bewerkt. Pas na het constateren van een abnormaliteit in de werking van het te beveiligen datasysteem wordt de inhoud van de moving window (in de bufferorganen 2 resp. 3) bewaard en kan die 25 geanalyseerd worden. Analyse van de in de laatste ogenblikken voor de storing uitgewisselde data kan "op het oog" geschieden, door gekwalificeerd personeel. Ook kan -evnetueel aanvullend- gebruik worden gemaakt van een analysesysteem 8.The method according to the invention is illustrated with the aid of figure 1. Figure 1 shows a data system 1, comprising an input buffer 2 and an output buffer 3, by means of which the data system 1 connects to the node 4 of a network 5 to which other ( data) systems may be connected, with which the data system 1 exchanges data. The data system is protected by buffering the most recent exchanged data in the buffer members 2 and 3. The normal operation of the data system 1 is monitored in a monitoring device 6. The monitoring device 6 controls an output device 7 such that only in the event of an abnormality in the operation from the data system, the most recent data buffered in the buffer members 2 and 3 are requested by the output member 7. The output member 7 may comprise a screen on which, after a failure in the data system has occurred, the data retrieved from buffers 2 and 3 can be viewed. The output member 7 may also comprise a printer. Over the 20 exchanged (incoming and / or outgoing) data streams, as it were, a "moving window" is set, the content of which is normally not edited. Only after detecting an abnormality in the operation of the data system to be secured is the content of the moving window (in the buffer members 2 and 3, respectively) saved and can it be analyzed. Analysis of the data exchanged in the last moments before the failure may be "on the surface" by qualified personnel. An analysis system can also be used, if necessary additionally 8.
Opgemerkt wordt dat het beveiligen van het datasysteem 1 ook 30 -bijvoorbeeld via het netwerk 5- op afstand kan worden gerealiseerd, zoals figuur 2 toont. In figuur 2 zijn de nodige connecties tussen de enerzijds de organen 1, 2 en 3 en anderzijds de organen 6 en 7 via de netwerknode 4 en een netwerknode 9 gerealiseerd. Uiteraard worden die connecties, afhankelijk van het netwerk, bij voorkeur 35 gerealiseerd door virtuele kanalen. De organen 6, 7 en 8 kunnen deel uitmaken van een beveiligingsserver 10, zoals figuur 3 toont, die een groot aantal datasystemen 1 kan monitoren. Het gedrag van de te beveiligen datasystemen 1 wordt real time gemonitored vanaf beveiligingsserver 10, die informatie ontvangt van de te beschermen 40 datasystemen 1. Indien een datasysteem 1 afwijkend gedrag vertoont, wordt de inhoud van de bufferorganen 2 en 3 door de beveiligingsserver "afgetapt" en onderzocht, al dan niet met behulp van geautomatiseerde analysemiddelen zoals orgaan 8 in figuur 2.It is noted that securing the data system 1 can also be realized remotely, for example via the network 5, as shown in figure 2. In Fig. 2, the necessary connections are made between the members 1, 2 and 3 on the one hand and the organs 6 and 7 on the other hand via the network node 4 and a network node 9. Depending on the network, these connections are of course preferably realized by virtual channels. The members 6, 7 and 8 can form part of a security server 10, as shown in figure 3, which can monitor a large number of data systems 1. The behavior of the data systems 1 to be protected is monitored in real time from security server 10, which receives information from the 40 data systems to be protected 1. If a data system 1 shows abnormal behavior, the content of the buffer members 2 and 3 is "tapped" by the security server. and examined, with or without the aid of automated analysis means such as member 8 in figure 2.
1015390 31015390 3
Opgemerkt wordt dat, waar in het bovenstaande twee bufferorganen, 2 en 3, worden voorgesteld, één voor inkomende data en één voor uitgaande data, deze functies in de praktijk ook kunnen worden uitgevoerd door één invoer/uitvoer-buffer. Bij het optreden van een 5 calamiteit in de werking van het datasysteem 1 wordt die I/O-buffer dan uitgelezen en de daarin op dat moment aanwezige communicatiedata aan het orgaan 7 ter beschikking gesteld.It should be noted that, where two buffer members, 2 and 3, are proposed above, one for incoming data and one for outgoing data, these functions can in practice also be performed by one input / output buffer. When a calamity occurs in the operation of the data system 1, that I / O buffer is then read out and the communication data present therein is made available to the device 7.
Afwijkend gedrag van een datasysteem 1 kan bijvoorbeeld zijn: een karakteristieke grootheid wijkt van zijn statistische waarde, een 10 piekbelasting, een continue zeer hoge belasting, het vollopen van een harddisk, het onderuitgaan van lopende processen, etc.Deviating behavior of a data system 1 can for instance be: a characteristic quantity deviates from its statistical value, a peak load, a continuous very high load, the filling of a hard disk, the failure of running processes, etc.
De analyse zou gebruikt kunnen worden voor: * Forensische onderzoek en het oplossen van schuldvragen etc.The analysis could be used for: * Forensic investigation and solving debt issues etc.
* Identificeren van (onbekende) "netwerkaanvallen"; de verkregen 15 informatie kan daarna gebruikt worden om de datasystemen nog beter te beschermen.* Identifying (unknown) "network attacks"; the information obtained can then be used to protect the data systems even better.
1 0 1 53901 0 1 5390
Claims (4)
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
NL1015390A NL1015390C1 (en) | 2000-06-07 | 2000-06-07 | Security accessory for data system connected to Internet, uses input and output buffer memories to preserve and analyze recently deleted data |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
NL1015390 | 2000-06-07 | ||
NL1015390A NL1015390C1 (en) | 2000-06-07 | 2000-06-07 | Security accessory for data system connected to Internet, uses input and output buffer memories to preserve and analyze recently deleted data |
Publications (1)
Publication Number | Publication Date |
---|---|
NL1015390C1 true NL1015390C1 (en) | 2000-07-06 |
Family
ID=19771506
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
NL1015390A NL1015390C1 (en) | 2000-06-07 | 2000-06-07 | Security accessory for data system connected to Internet, uses input and output buffer memories to preserve and analyze recently deleted data |
Country Status (1)
Country | Link |
---|---|
NL (1) | NL1015390C1 (en) |
-
2000
- 2000-06-07 NL NL1015390A patent/NL1015390C1/en not_active IP Right Cessation
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP3968724B2 (en) | Network security system and operation method thereof | |
EP2712479B1 (en) | Time machine device and methods thereof | |
US5796942A (en) | Method and apparatus for automated network-wide surveillance and security breach intervention | |
CN108270716A (en) | A kind of audit of information security method based on cloud computing | |
EP1742416A1 (en) | Methods, computer readable medium and system for analyzing and management of application traffic on networks | |
US20110211441A1 (en) | Sequential heartbeat packet arrangement and methods thereof | |
KR100466214B1 (en) | method and recorded media for security grade to measure the network security condition | |
US20070150955A1 (en) | Event detection system, management terminal and program, and event detection method | |
US9306959B2 (en) | Dual bypass module and methods thereof | |
CN104700024B (en) | A kind of method and system of Unix classes host subscriber operational order audit | |
CN108259263A (en) | Data analysing method, apparatus and system | |
JP7079721B2 (en) | Network anomaly detection device, network anomaly detection system and network anomaly detection method | |
CN107517214A (en) | System and method for providing computer network security | |
KR20030056652A (en) | Blacklist management apparatus in a policy-based network security management system and its proceeding method | |
CN113794590B (en) | Method, device and system for processing network security situation awareness information | |
CN115801441A (en) | Safety protection system and method of train communication network | |
NL1015389C2 (en) | Method and system for securing a data system. | |
CN105187403A (en) | Network security testing method for software-defined network | |
NL1015390C1 (en) | Security accessory for data system connected to Internet, uses input and output buffer memories to preserve and analyze recently deleted data | |
Sani et al. | DNS Tunneling detection using elasticsearch | |
CN112887303B (en) | Series threat access control system and method | |
AU2001263947A1 (en) | Method and system for securing a data system | |
CN113824730A (en) | Attack analysis method, device, equipment and storage medium | |
CN114006719A (en) | AI verification method, device and system based on situation awareness | |
Huang et al. | A logging scheme for database audit |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
VD2 | Discontinued due to expiration of the term of protection |
Effective date: 20060607 |