NO324958B1 - System, anordning og fremgangsmate for hurtig filtrering av datapakker - Google Patents

Description

Den foreliggende oppfinnelse vedrører et system, en anordning og en fremgangsmåte for hurtig pakkefiltrering på et pakkesvitsjet nettverk, og mer bestemt til et slikt system, en anordning og en fremgangsmåte som angitt i de respektive selvstendige krav 1, 17 og 19.

Konnektivitet og sikkerhet er de to mest konfliktfylte objekter i datamiljøet til de fleste organisasjoner. Det typiske moderne datasystemet er bygd opp rundt nettverks-kommunikasjoner som frembringer transparent aksess til et antall tjenester. Den globale tilgjengelighet til disse tjenestene er muligens det viktigste trekket ved moderne dataløsninger. Krav for konnektivitet kommer både fra innenfor organisasjonene og fra utsiden av dem.

Beskyttelse av nettverkstjenester fra uautorisert bruk er av særdeles viktighet for hvilken som helst organisa-sjon. Ettersom behovet for økt sikkerhet vokser, har mid-lene for å kontrollere aksess til nettverksressurser blitt en administrativ prioritet. For å spare kostnader og opprettholde produktivitet må aksesskontroll være enkelt å konfigurere og transparent for brukere og applikasjoner. Minimalisering av oppsettkostnader og nedetid er også viktige faktorer.

Pakkefiltrering er en fremgangsmåte som tillater konnektivitet, men som likevel frembringer sikkerhet ved å kontrollere trafikken som passerer, som således motvirker ulovlige kommunikasjonsforsøk, både i enkle nettverk og mellom tilkoblede nettverk.

US Patent Nr 5.835.726 (innsendt 17. juni 1996) og 5.606.668 (innsendt 15. desember 1993), hvorved begge her-ved i helhet er innarbeidet som referanse, beskriver frem-gangsmåter for å frembringe nettverkssikkerhet ved å kontrollere inn- og utgående datapakkestrøm i et datanettverk. Strømmen av pakker kontrolleres via pakkefiltrering, utført ifølge en brukergenerert regelbase som deretter blir konvertert til et sett av filterspråkinstruksjoner. Hver regel i regelbasen omfatter en kilde, mottak, tjeneste, hvorvidt å akseptere eller avslå pakken og hvorvidt å logge, kryptere og/eller autentisere hendelsen. Settet av filterspråkinstruksjoner er installert og utføres på inspeksjonsmekanismer som er plassert på datamaskiner og som virker som brannvegger. Inspeksjonsmekanismen utfører tilstandsinspeksjon for å bestemme hvorvidt en pakke skal tillates å komme gjennom brannveggen. Brannveggene er anordnet i datanettverket slik at all trafikk til og fra nettverket som skal beskyttes tvinges til å passere gjennom brannveggen. Således at pakker blir filtrert ettersom de strømmer inn i- og ut av nettverket ifølge reglene som er i regelbasen.

Ifølge disse referansene, virker inspeksjonsmekanismen som en virtuell pakkefiltreringsmekanisme som bestemmer på en pakke ved pakkebasis hvorvidt pakken skal avslås eller aksepteres. Hvis en pakke avslås, bortfaller den. Hvis den blir akseptert kan pakken deretter bli modifisert. Modifikasjonen kan omfatte kryptering, dekryptering, signaturgenerering, signaturverifisering eller adresseomforming. Alle modifikasjonene blir utført i samsvar med innholdet i regelbasen.

Uheldigvis er én ulempe med den omtalte metode at stor beregningsbyrde plasseres på datamaskinen som driver brannveggen. Den tidligere omtalte prosessen ved pakkefiltrering krever at hver pakke blir separat analysert, med mange

ulike sammenligninger med sett av regler ifølge hvor pakke-innføring gjennom brannveggen blir bestemt. Straks en

sesjon, eller tilkobling mellom to noder som er etablert gjennom brannveggen, er blitt vurdert som tillatt, trenger deretter i de fleste tilfeller imidlertid videre intensive analyser ikke være nødvendige. Således at redusering eller til og med eliminering av kravet for fortsatt analyse av pakker fra en tillatt tilkobling vil betydelig redusere beregningsbyrde påført brannveggen, og akselerere prosessen med pakkefiltrering, men likevel opprettholde sikkerheten til det beskyttede systemet.

Det er videre kjent fra EP 713311 Al et system for akselerert pakkefiltrering. Likeledes trekkes WO 2000/10297 Al frem som eksempel på kjent teknikk.

Det er således et behov for, og det vil være nyttig å ha, et system, en anordning og en fremgangsmåte for hurtig pakkefiltrering ifølge tilkoblingen hvorfra en pakke blir mottatt, slik at hvis en pakke mottas fra en tillatt tilkobling, blir kravet for fullstendig pakkeanalyse redusert eller til og med eliminert, mens muligheten for hurtig og effektivt å modifisere pakker fremdeles blir opprettholdt, valgfritt gjennom maskinvare akselerasjon av modifikasjons-prosessen.

Foreliggende oppfinnelse vedrører et system, en anordning og en fremgangsmåte for å akselerere pakkefiltrering på et pakkesvitsjet nettverk, foretrukket et IP-nettverk, ved å frembringe en brannvegg med en førfiltreringsmodul. Førfiltreringsmodulen utfører et begrenset sett av aksjoner med hensyn til pakkene, ifølge hvorvidt pakkene er mottatt fra en tilkobling som tidligere er blitt tillatt av brannveggen. Hvis pakken er mottatt fra en slik tillatt tilkobling, sender deretter førfiltreringsmodulen pakkene videre til deres bestemmelsessted, utfører valgfritt én eller flere aksjoner på pakkene. Ellers blir pakkene formidlet til brannveggen for håndtering. Straks brannveggen har overført ansvaret for tilkoblingen til førfiltreringsmodulen, eller «avlastet» tilkoblingen, mottar ikke brannveggen foretrukket videre pakker fra sin tilkobling inntil et tidsavbrudd oppstår for tilkoblingen, eller en pakke blir mottatt med en bestemt sesjonskontroll-feltverdi som indikerer at sesjonen er avsluttet, så som at tilkoblingen er lukket.

For den foretrukne utførelsen av foreliggende oppfinnelse med IP-nettverk er f.eks. en slik sesjons-kontrollfeltverdi et FIN/RST-flagg som er satt for pakken.

Én fordel med å redusere eller til og med eliminere mengden analyse som er nødvendig for pakker fra en tillatt forbindelse er at brannveggen valgfritt kan supplementeres ved maskinvareakselerasjon. Slik maskinvareakselerasjon har den fordel at den er mye hurtigere enn programvarebasert pakkeprosessering, og kan derfor betydelig øke effekten på brannveggsystemet. I tillegg kan maskinvareakselerasjon av modifiseringsprosessen opprettholde muligheten for hurtig og effektivt å modifisere pakker, siden modifiseringsprosessen krever mindre «intelligens» for å modifisere pakkene, men hurtigere prosessering, mens den motstående karakteristikk er korrekt for prosessen med pakkeanalyser. Således at valgfritt og foretrukket er førfiltrerings-modulen implementert som maskinvare.

Ifølge foreliggende oppfinnelse er det frembrakt et system for akselerert filtrering av en pakke på et nettverk, hvor systemet omfatter: (a) en brannvegg lokalisert på nettverket for å utføre pakkefiltrering på pakken i samsvar med minst en regel, (b) en førfiltreringsmodul som er i kommunikasjon med brannveggen, nevnte førfiltreringsmodul mottar pakken før brannveggen, og førfiltreringsmodulen utfører en initial pakkefiltrering på pakken i samsvar med minst en instruksjon mottatt fra brannveggen, slik at hvis pakken er tillatt ifølge den minst ene instruksjonen, håndterer førfiltreringsmodulen pakken, og alternativt formidler førfiltreringsmodulen pakken til brannveggen for håndtering.

Ifølge en annen utførelse av foreliggende oppfinnelse er det frembrakt en førfiltreringsanordning for å utføre filtrering av en pakke, hvor førfiltreringsanordningen er i kommunikasjon med en brannvegg og mottar pakken før brannveggen, idet førfiltreringsanordningen omfatter: (a) et minne for å lagre minst én instruksjon fra brannveggen for analyse av minst en parameter til pakken, hvor den minst ene instruksjonen omfatter det minst ene parameter for å identifisere pakken, (b) en klassifikasjonsmekanisme innrettet til å utføre en initial pakkefiltrering på pakken ved å analysere minst en del av pakken og til å sammenligne den minst ene delen av pakken med det minst ene parameter ifølge den minst ene instruksjonen, og (c) et brannvegg-grensesnitt innrettet for å sende pakken til brannveggen, bortsett fra dersom pakken er tillatt ifølge den minst ene instruksjonen.

Ifølge en videre annen utførelse av foreliggende oppfinnelse er det frembrakt en fremgangsmåte for akselerert pakkefiltrering på et nettverk i sammenheng med en brannvegg, hvori fremgangsmåten omfatter trinnene: (a) å frembringe en førfiltreringsmodul for å motta en pakke før brannveggen og for å utføre en initial pakkefiltrering på pakken,

(b) å motta pakken av førfiltreringsmodulen,

(c) å bestemme hvorvidt pakken er tillatt,

ifølge minst én instruksjon mottatt fra brannveggen,

(d) hvis pakken er tillatt, at pakken håndteres av

førfiltreringsmodulen, og

(e) alternativt, å formidle pakken til brannveggen.

Foretrukne utførelser av oppfinnelsen er definert i respektive uselvstendige krav 2-16, 18, og 20-28.

Heretter omfatter uttrykket «nettverk» en forbindelse mellom hvilke som helst to eller flere databehandlings-anordninger som tillater overføring av data.

Heretter omfatter uttrykket «databehandlings-anordninger», men ikke begrenset til, personlige datamaskiner (PC) med et operativsystem så som Windows, eller Linux, Macintosh™ datamaskiner; datamaskiner omfattende JAVA™-OS som operativsystem; arbeidsstasjoner så som datamaskiner til

Sun Microsystems™ og Silicon Graphics™, og andre datamaskiner omfattende en versjon av UNIX-operativsystem så som AIX™ eller SOLARIS™ til Sun Microsystems™, eller hvilket som helst annet kjent og tilgjengelig operativsystem; hvilken som helst type datamaskin; hvilken som helst anordning som kan kobles til et pakkesvitsjet nettverk og som har et operativsystem, omfattende, men ikke begrenset til VxWorks™ og PSOS™, og hvilken som helst anordning som kan kobles til et pakkesvitsjet nettverk og som er i stand til å overføre og motta pakker, og som har minst én dataprosessor, så som en nettverksprosessor f.eks., omfattende men ikke begrenset til, en enhet for sammenknytning av nettverk, en svitsj eller en ruter. Heretter omfatter uttrykket «Windows™», men er ikke begrenset til, Windows NT™, Windows98™, Windows2000™, Windows CE™ og hvilken som helst oppgradert versjon av disse operativsystemene av Microsoft Corporation (USA).

Fremgangsmåten ifølge foreliggende oppfinnelse kan beskrives som en serie trinn utført av en dataprosessor, og kan således valgfritt implementeres som programvare, maskinvare eller fastvare, eller en kombinasjon derav. For foreliggende oppfinnelse kan en programvareapplikasjon skrives i hovedsakelig hvilket som helst passende program-meringsspråk, som enkelt kan velges av en fagmann. Program-meringsspråket valgt skal være kompatibelt med databehandlingsanordningen ifølge hvortil programvare-applikasjonen kjøres. Eksempler på egnede programmerings-språk omfatter, men er ikke begrenset til C, C++ og Java.

Det forannevnte og andre formål, aspekter og fordeler skal bedre forstås fra den følgende detaljerte beskrivelse av en foretrukket utførelse av oppfinnelsen med henvisning til tegningene, hvori: Fig. 1 viser et skjematisk blokkdiagram av systemet ifølge foreliggende oppfinnelse, Fig. 2 viser et skjematisk blokkdiagram av et eksempel, men foretrukket utførelse av førfiltrerings-modulen i Fig. 1, ifølge foreliggende oppfinnelse, og Fig. 3 viser et flytdiagram for en eksempelfremgangs-måte ifølge foreliggende oppfinnelse.

Foreliggende oppfinnelse vedrører et system, en anordning og en fremgangsmåte for akselerert pakkefiltrering ved å frembringe en brannvegg med en førfiltrerings-modul. Førfiltreringsmodulen utfører en enkel sammenligning med hensyn til pakkene, f.eks. ifølge hvorvidt pakkene er mottatt fra en forbindelse som tidligere er blitt tillatt av brannveggen. Hvis pakken er mottatt fra en slik tillatt forbindelse, formidler deretter førfiltreringsmodulen pakkene til deres mottakssted, og utfører valgfritt én eller flere aksjoner på pakkene. Ellers blir pakkene videreformidlet til brannveggen for håndtering. I tillegg blir foretrukket pakkene formidlet til brannveggen for håndtering hvis disse pakkene har bestemte sesjonskontrollfeltverdier som krever inngripen av brannveggen. F.eks., for den foretrukne utførelse av den foreliggende oppfinnelse med IP-nettverkene, og mer bestemt med TCP/IP-trafikk, omfatter slike sesjonskontrollfeltverdier et sett av SYN/FIN/RST-flagg for pakken. Slike sesjonskontrollfeltverdier er indikative for pakker som bærer informasjon om tilkoblingsstatus, og er derfor viktig for brannveggen å motta og analysere for å bestemme status for tilkoblingen. Valgfritt blir fragmentpakker også formidlet til brannveggen hvis førfiltreringsmodulen ikke er i stand til å utføre bestemte funksjoner, så som virtuell defragmentering for den foretrukne utførelsen av foreliggende oppfinnelse med IP-nettverk, og mer bestemt med IP-trafikk.

Straks brannveggen har bestemt at en forbindelse er tillatt, eller på annen måte har bestemt minst en parameter for å utføre den enkle sammenligningen, sender foretrukket brannveggen en melding til førfiltreringsmodulen med detaljer om de nye tillatte pakkene. Straks brannveggen har overført ansvaret for tilkoblingen til førfiltrerings-modulen, eller «avlastet» tilkoblingen, mottar foretrukket brannveggen ikke videre pakker fra denne forbindelsen inntil et tidsavbrudd oppstår for tilkoblingen, eller en pakke blir mottatt med bestemte sesjonskontrollfeltverdier som indikerer at sesjonen er avsluttet, f.eks. med å ha FIN/RST-flagg satt for den foretrukne implementeringen med IP-nettverk, så som at forbindelsen er lukket. Et «tidsavbrudd» oppstår hvis en pakke ikke er blitt mottatt av brannveggen for en forhåndsdefinert tidsperiode.

Førfiltreringsmodulen er foretrukket implementert som maskinvare, for å trekke fordel av maskinvareaksellerasjon. Slik maskinvareakselerasjon har den fordel av å være mye hurtigere enn programvarebasert pakkeprosessering. Derfor er førfiltreringsmodulen foretrukket implementert som en maskinvarebasert anordning, selv om førfiltreringsmodulen alternativt kan være implementert som programvare eller fastvare. Valgfritt kan førfiltreringsmodulen og brannveggen være implementert som en kombinert anordning, som kan være en «black box» lagt til, eller alternativt som erstatning for, portnoden til et nettverk, for å forenkle installasjon og drift.

Prinsippene og driften av et system, en anordning og en fremgangsmåte ifølge foreliggende oppfinnelse skal bedre forstås med henvisning til tegningene og den vedlagte beskrivelse, det må forstås at disse tegningene kun er gitt for illustrasjonsformål og er ikke ment å være begrensende. Selv om den følgende beskrivelse konsentrerer seg om IP-nettverk, og mer bestemt om TCP/IP-pakketrafikk, må det forstås at dette er for illustrasjonsformål kun og er ikke ment å være begrensende på noen som helst måte.

Viser nå til tegningene hvor Fig. 1 viser et skjematisk blokkdiagram av et system ifølge foreliggende oppfinnelse. Et system 10 omfatter et beskyttet nettverk 12, som er et pakkesvitsjet nettverk, slik at data blir overført i form av pakker. Det beskyttede nettverk 12 er separert fra et eksternt pakkesvitsjet nettverk 14 ved en port 16, som valgfritt kan være hvilken som helst type databehandlingsanordning, også uttrykt heri som en «mellom-liggende node». Det eksterne nettverket 14 kan valgfritt f.eks. være Internett. Porten 16 er koblet til hvert av de eksterne nettverk 14 og det beskyttede nettverket 12 gjennom en maskinvaretilkobling, vist heri som en NIC 17.

Porten 16 driver en brannvegg 18 for å utføre pakkeanalyse og pakkefiltrering. Pakker som er tillatt å passere gjennom porten 16 fra det eksterne nettverket 14 blir deretter mottatt av én av et antall beskyttede noder 20, som er koblet til det beskyttede nettverket 12. Slik nettverks-trafikk er typisk toveis, slik at pakker blir mottatt av porten 16 fra det beskyttede nettverket 12 for overføring til det eksterne nettverket 14 og vice versa.

Brannveggen 18 er foretrukket implementert som tidligere beskrevet i US Patent Nr 5.838.726 og 5.606.668. Brannveggen 18 omfatter et pakkefilter 22 for å utføre

pakkefiltrering. Pakkefilteret 22 er foretrukket sammensatt av en analysemodul 24 for å analysere pakkene og en regelbase 26. Regelbasen 26 omfatter foretrukket én eller flere regler som er definert ifølge preferanser til systemadministrator eller annen kontrollerende bruker. Analysemodulen 24 trekker ut og sammenligner innholdet av de analyserte pakkene med reglene i regelbasen 26. Hvis resultatet av sammenligningen er slik at pakken tillates ifølge regel-

basen 26, tillater deretter pakkefilteret 22 pakken å inn-føres i det beskyttede nettverk 12.

Alternativt, hvis pakken ikke tillates ifølge regelbasen 26, blir deretter pakken valgfritt droppet. Pakken kan også valgfritt bli bestemt til å ikke være tillatt hvis regelbasen 26 ikke spesifikt tillater at pakken passerer.

Også valgfritt og foretrukket omfatter pakkefilteret 22 en modifiseringsmodul 28 for å modifisere pakken, hvis pakken blir akseptert.

Andre valgfrie trekk til brannveggen 18 omfatter mulighet til å utføre regnskap for pakkene, for å bestemme mengden data som overføres i alle pakkene som tilhører en spesifikk forbindelse; mulighet til å modifisere adresser i pakken; og mulighet til å kryptere pakkene. Pakkekryptering er mer bestemt tidligere blitt beskrevet i US Patent Nr 5.835.726. Ganske kort kan pakker valgfritt bli kryptert for overføring mellom to brannvegger 18, slik at pakkene er kryptert for å passere gjennom eksterne nettverk 14. Kryptering blir også valgfritt brukt for kommunikasjon mellom brannveggen 18 og en node fra det eksterne nettverket 14, f.eks. De krypterte pakkene blir deretter dekryptert av den mottakende brannvegg 18, og formidlet til det beskyttede nettverk 12. Således at prosessen med kryptering og overføring er automatisert, og kan utføres på en måte som er transparent for kommunikasjonsprogramvaren.

Disse trekkene til en brannvegg 18 er foretrukket implementert som tidligere beskrevet i US Patent Nr. 5.835.726 og 5.606.668. Formidling av alle pakkene gjennom brannveggen 18 før de tillates å innføres i porten 16 på-fører imidlertid en stor beregningsbyrde på brannveggen 18. Ifølge foreliggende oppfinnelse omfatter porten 16 derfor også en førfiltreringsmodul 30 som mottar pakkene før brannveggen 18, men som er foretrukket direkte koblet til det beskyttede nettverk 12. Førfiltreringsmodulen 30 mottar også foretrukket instruksjoner fra brannveggen 18, vedrør-ende pakker som er tillatt å innføres i det beskyttede nettverket 12. Disse instruksjonene er mer foretrukket bestemt av brannveggen 18 fra en analyse av én eller flere tidligere mottatte og relaterte pakker, slik at hvis en tidligere mottatt og relatert pakke er blitt tillatt å inn-føres i det beskyttede nettverket 12, skal således den nåværende pakke også tillates å innføres i det beskyttede nettverket 12. Således at hvis førfiltreringsmodulen 30 bestemmer at den nåværende pakken tillates å innføres, formidler deretter foretrukket førfiltreringsmodulen 30 pakken direkte gjennom til det beskyttede nettverket 12.

For å øke effektiviteten ved drift av førfiltrerings-modulen 30, kan foretrukket førfiltreringsmodulen 30 kun utføre begrensede analyser av hver pakke. Spesifikt blir mer foretrukket kun en del av hver pakke analysert av førfiltreringsmodulen 30. Mest foretrukket analyserer førfiltreringsmodulen 30 hver pakke kun med hensyn til en enkel sammenligning. Ved «enkel sammenligning» er det ment at informasjonen som trekkes ut er i form av én eller flere forhåndsdefinerte parameter som blir sammenlignet med et forhåndsdefinert mønster av slike parametere.

I en bestemt foretrukket utførelse av en enkel sammenligning blir pakken kun analysert inntil førfiltrerings-modulen 30 er i stand til å bestemme hvorvidt pakken er blitt mottatt fra en tillatt dataoverføring. Slik en tillatt overføring kan uttrykkes som en forbindelse mellom en kildenode som initierer forbindelsen, f.eks. fra det eksterne nettverket 14, til en mottaksnode som aksepterer forbindelsen, f.eks. en beskyttet node 20. Det må forstås at straks forbindelsen er blitt etablert, kan kommunikasjonen mellom kildenode og mottaksnode valgfritt være toveis.

Med hensyn til pakkeanalyse er en «forbindelse» definert ifølge minst én, og foretrukket et antall, parameter som beskriver dataoverføringen hvortil pakken tilhører. Eksempler på disse parametrene omfatter, men er ikke begrenset til kildeadresse og port til pakken; mottaksadresse og port til pakken; protokoll til pakken og grensesnitt hvorfra pakken var mottatt. Forbindelsen benyttes til å klassifisere pakken og til å bestemme hvorvidt pakken er tillatt å innføres i, eller forlate, det beskyttede nettverket 12.

Brannveggen 18 definerer hver forbindelse fra en analyse av én eller flere tidligere mottatte og undersøkte pakker. Brannveggen 18 undersøker innholdet av en slik pakke eller pakker, og basert på resultatet til analysemodulen 24 med regelbasen 26, bestemmes det hvorvidt pakkene fra den tilsvarende forbindelsen skal tillates å komme inn i og/eller forlate det beskyttede nettverket 12. I tillegg, fra reglene som er lagret i regelbasen 26, er analysemodulen 24 i stand til å bestemme én eller flere aksjoner som skal forbindes med hver forbindelse. Eksempler på slike aksjoner omfatter, men er ikke begrenset til, å utføre en regnskapsaksjon for å telle mengden data i pakken, kryptering/dekryptering av pakken, utføre nett-verksadresseomforming (NAT) ved å omskrive adressefeltene, osv. Et foretrukket eksempel på modifisering av pakken er å markere pakken, ved å tildele et prioritetsnummer til pakken av førfiltreringsmodulen 30, ifølge instruksjonene til brannveggen 18. Dette prioritetsnummeret bestemmer overføringsorden til pakken, og således dens «prioritet».

Brannveggen 18 formidler deretter relevante instruksjoner vedrørende i det minste hvorvidt pakken er tillatt å innføres i det beskyttede nettverket 12, og mer foretrukket aksjonene som skal utføres på etterfølgende pakker fra denne forbindelsen, til førfiltreringsmodulen 30.

Valgfritt og foretrukket utfører førfiltrerings-modulen 30 en «anti-spoofing»-metode. Siden førfiltrerings-modulen 30 valgfritt kan være koblet til et antall nettverk, kan pakker komme fra hvilke som helst av disse nettverkene. «Anti-spoofing»-metoden bestemmer hvorvidt en IP-pakke, indikert som opprinnelig fra et bestemt nettverk, i virkeligheten er ankommet fra det nettverket. Ettersom førfiltreringsmodulen 30 vet hvilke nettverk som er koblet til hvilke grensesnitt, kan førfiltreringsmodulen 30 bestemme hvorvidt en pakke mottatt fra et bestemt grensesnitt er tillatt.

Den enkleste måten å implementere «anti-spoofing»-metoden i en akselerator, så som førfiltreringsmodulen 30, er å inkludere informasjon vedrørende nettverksgrense-snittet som del av tilkoblingsforbindelsen som er tilgjengelig for førfiltreringsmodulen 30. Således at hvis en pakke kommer fra en tillatt kildenode skal den sendes til et tillatt mottakssted, og dersom ankommet gjennom det forventede grensesnittet kan pakken bli prosessert av førfiltreringsmodulen 30. Alternativt og valgfritt, selv hvis kun grensesnittet er korrekt, kan førfiltrerings-modulen 30 bestemme at pakken representerer et brudd som videre skal undersøkes av brannveggen 18 angående gyldig-het. Det er andre måter å implementere en «antispoofing»-metode, uten å omfatte informasjon vedrørende grensesnittet som en del av de lagrede instruksjoner for førfiltrerings-modulen 30, som også er betraktet som å være innenfor rammen av foreliggende oppfinnelse.

I en foretrukket utførelse av førfiltreringsmodulen 30 som er vist i Fig. 2, er førfiltreringsmodulen 30 utført i maskinvare, eller i det minste fastvare, i stedet for kun som programvare. Fordelene med maskinvare er at den er mye hurtigere enn programvare for å utføre de krevde aksjoner. Det skjematiske blokkdiagrammet i Fig. 2 er en logisk basert, i stedet for strukturell, illustrasjon av komponentene til førfiltreringsmodulen 30. F.eks. er ikke de fysiske forbindelsene mellom komponentene spesifisert, og kan f.eks. være en PCI-bus hvorpå alle komponentene er plassert. Valgfritt kan komponentene være tilkoblet med hovedsakelig hvilken type intern og/eller ekstern bus, f.eks.

For denne utførelsen kan førfiltreringsmodulen 30 bli beskrevet som en «anordning», foretrukket omfattende et minne 36. Førfiltreringsmodulen 30 omfatter en forbind-elsesdatabase 32 for å lagre relevante instruksjoner fra brannveggen 18, som er lagret i minnet 36. Tilkoblingsdatabasen 32 lagrer i det minste parameteren eller parametrene til pakken som er nødvendig for å definere forbindelsen, men lagrer også foretrukket i det minste én aksjon som skal utføres på pakker fra den forbindelsen.

Førfiltreringsmodulen 30 omfatter også foretrukket en klassifiseringsmekanisme 38, omfattende en dataprosessor, for i det minste delvis å analysere informasjonen fra pakken og for å hente informasjon fra tilkoblingsdatabasen 32. Førfiltreringsmodulen 30 omfatter også foretrukket en modifiseringsenhet 34, for å utføre den tilhørende aksjonen eller aksjoner på pakker fra den forbindelsen, som foretrukket lagres i tilkoblingsdatabasen 32 som tidligere omtalt.

Førfiltreringsmodulen 30 kommuniserer også valgfritt og foretrukket bestemt, utvalgt informasjon vedrørende i det minste én pakke til brannveggen 18. Den utvalgte informasjonen omfatter valgfritt i det minste én av, men er ikke begrenset til, de tidligere beskrevne parametere for analyse av pakken. Kommunikasjonen mellom førfiltrerings-modulen 30 og brannveggen 18 er valgfri og foretrukket utført ifølge én av et antall utførelser. I en første utførelse informerer førfiltreringsmodulen 30 aktivt brannveggen 18 ved mottak av slik informasjon, i en status eller hendelsesdrevet implementering. Alternativ i en andre utførelse, forespør brannveggen 18 førfiltreringsmodulen 30, i en avspørringsimplementering. F.eks. kan avspørringen valgfritt utføres etter at et bestemt tidsintervall er passert, eller alternativt ifølge en brukerforespørsel for slik informasjon, f.eks. fra en systemadministrator.

I tillegg omfatter førfiltreringsmodulen 30 også foretrukket i det minste én, og foretrukket et antall, nettverksgrensesnitt, vist som MAC (media-aksesskontroll) 40, som er maskinvare for sending og mottak av pakker fra det fysiske nettverket (ikke vist). Førfiltreringsmodulen 30 omfatter mer foretrukket et brannvegg-grensesnitt 42 for å overføre pakker til, og motta pakker fra, brannveggen (ikke vist).

Strømmen av operasjoner er foretrukket som følger. Pakker blir valgfritt mottatt fra MAC 40, merket «MAC 1», som deretter formidles til klassifiseringsmekanismen 38. Ved hjelp av informasjon og instruksjoner hentet fra databasen 32 i minnet 36, analyserer deretter klassifiseringsmekanismen 38 i det minste en del av informasjonen i hver pakke, og bestemmer hvorvidt pakken er tillatt. Hvis pakken er tillatt, blir den formidlet til modifiseringsenheten 34 for valgfri modifikasjon ifølge i det minste én instruksjon fra brannveggen (ikke vist), slik at hvis modifisering ikke er nødvendig, blir den i det minste ene relevante instruksjonen ikke sendt fra brannveggen.

Brannveggen kan valgfritt bestemme et grensesnitt hvortil en pakke skal sendes, f.eks. til en bestemt MAC 40. Imidlertid skal det bemerkes at selv om brannveggen kan instruere førfiltreringsmodulen 30 om å sende pakken til et bestemt grensesnitt, hvis ruting støttes, vil deretter slik ruting bli benyttet til å rute pakken, og ikke instruksjonen fra brannveggen (ikke vist).

Alternativt kan pakken valgfritt og foretrukket bli formidlet til brannveggen. Også alternativt, under bestemte omstendigheter som beskrevet mer detaljert nedenfor, kan pakken droppes, særlig med hensyn til pakker mottatt fra brannvegg-grensesnittet 42, som valgfritt blir tilsvarende analysert. For å unngå å droppe pakker som ikke trenger være IP-pakker, valgfritt og foretrukket, kan informasjon vedrørende én eller flere «standard»-pakker være lagret i databasen 32, slik at hvis slik informasjon ikke er lagret i databasen 32 blir pakken definert som å ikke være «ikke tillatt». Ett eksempel på en slik standardpakketype er en ARP (adresse-resolusjonsprotokoll)-pakke.

Som det kan ses med hensyn til implementeringen av førfiltreringsmodulen i Fig. 2, kan pakker valgfritt ankomme førfiltreringsmodulen 30 fra en ekstern kilde, så som MAC 40 f.eks., eller kan alternativt mottas fra brannvegg-grensesnittet 42. Hvis pakken er mottatt fra brannvegg-grensesnittet 42, kan den være generert av brannveggen selv, eller kan alternativt være videreformidlet eller generert av IP-stack'en til verten. Derfor, valgfritt og mer foretrukket, for slike pakker som er mottatt gjennom brannvegg-grensesnittet 42, er førfiltrerings-modulen 30 i stand til å droppe slike pakker hvis de ikke er tillatt, i stedet for å formidle dem til brannveggen. Således at mottak av hvorvidt å droppe eller å videreformidle pakker av førfiltreringsmodulen 30 er valgfritt og foretrukket utført i det minste delvis ifølge grensesnittet hvorigjennom pakken er mottatt.

Selvfølgelig er andre implementeringer av førfiltrer-ingsmodulen 30 mulige og anses som å være innenfor rammen av foreliggende oppfinnelse.

Fig. 3 viser et flytdiagram av en eksempelmetode for å drive foreliggende oppfinnelse. I trinn 1 blir en pakke mottatt av førfiltreringsmodulen. I trinn 2 blir i det minste en parameter til pakken hentet av førfiltrerings-modulen. I trinn 3 blir det minst ene parameter benyttet for å undersøke den kjente forbindelsen, foretrukket ved å utføre et oppslag i en tabell av slike kjente forbindelser.

I trinn 4a, hvis en innføring er funnet for pakken, blir deretter aksjonen eller aksjonene definert for denne forbindelsen utført av førfiltreringsmodulen. I trinn 5a blir pakken formidlet til sitt mottakssted. Trinnene 4a og 5a blir ikke utført hvis pakken har bestemte sesjonskontrollfeltverdier, så som et sett SYN/FIN/RST-flagg for en pakke overført over et IP-nettverk, i hvilket tilfelle pakken foretrukket formidles til brannveggen for håndtering. Slike sesjonskontrollfeltverdier er indikativer for pakker som kan bære informasjon om forbindelsesstatus, og er derfor viktig for brannveggen å motta og analysere, for å bestemme status på forbindelsen.

Valgfritt blir også fragmenterte pakker formidlet til brannveggen hvis førfiltreringsmodulen ikke er i stand til å utføre bestemte funksjoner, så som virtuell defragmentering for den foretrukne utførelsen av foreliggende oppfinnelse med IP-nettverk, og mer bestemt med TCP/IP-trafikk. Virtuell defragmentering utføres etter at en IP-pakke er blitt for stor for overføring, og blir derfor opp-delt i et antall mindre pakker, kalt fragmenter. Virtuell defragmentering er den prosess hvorved alle de mottatte fragmentene blir sammensatt til den opprinnelige store pakken.

For å motvirke ulike sorter angrep som kan forsøkes med fragmenter foretrukket førfiltreringsmodulen ifølge foreliggende oppfinnelse, alternativt brannveggen, duplikatpakkefragmenter. Med andre ord, hvis et tidligere mottatt fragment blir mottatt igjen, blir fragmentet droppet.

Viser igjen til flytdiagrammet i Fig. 3, alternativt i trinn 4b, hvis en innføring for pakken ikke finnes i

tabellen over forbindelser, blir pakken formidlet til brannveggen for håndtering. I trinn 5b, hvis brannveggen bestemmer at forbindelsen hvortil pakken tilhører er tillatt, sender brannveggen valgfritt en melding til

førfiltrerings-modulen med nødvendig informasjon vedrørende den nye forbindelsen. En slik melding omfatter foretrukket en nøkkel for å identifisere den nye forbindelsen, informasjon vedrørende adresseomforming og valgfri informasjon vedrørende kryptering, hvor begge er prosesser som involverer modifisering av selve pakken. Nøkkelen for å identifisere de nye forbindelser omfatter foretrukket slik informasjon som kilde IP-adresse og port, og mottaks-IP-adresse og port, protokollfelt og valgfritt grensesnitt hvorfra en pakke er forventet å bli mottatt, for «anti-spoof ing»beskyttelse . Adresseomformingsinformasjonen

omfatter den omformede kilde IP-adressen og porten, mottaks-IP-adresse og port.

Ifølge de foretrukne utførelser av foreliggende oppfinnelse, straks brannveggen har sendt denne meldingen til førfiltreringsmodulen, blir forbindelsen «avlastet» førfiltreringsmodulen, slik at brannveggen ikke lenger mottar noen pakker fra denne forbindelsen. Foretrukket mottar ikke brannveggen noen videre pakker inntil en pakke med bestemte sesjonskontrollfeltverdier blir mottatt for denne forbindelsen, som indikerer at sesjonen er avsluttet. F.eks., for IP-nettverk, omfatter slike verdier å ha et sett FIN/RST-flagg.

Mer foretrukket oppstår et tidsavbrudd når ingen pakke er blitt mottatt for en bestemt forbindelse innenfor en bestemt tidsperiode. Siden brannveggen ikke ser noen pakker for den avlastede forbindelsen, forespør brannveggen før-filtreringsmodulen om sist gang en pakke ble mottatt for den forbindelsen. Ifølge den mottatte responsen bestemmer brannveggen hvorvidt forbindelsen skal opprettholdes eller avsluttes. Hvis brannveggen avslutter forbindelsen, blir forbindelsen foretrukket slettet fra tabellen til før-filtreringsmodulen.

Ifølge andre foretrukne utførelser av foreliggende oppfinnelse, mottar brannveggen oppdatert regnskaps-informasjon fra førfiltreringsmodulen ved regulære inter-valler. Denne informasjonen er valgfritt og foretrukket formidlet til brannveggen av førfiltreringsmodulen, i stedet for at brannveggen avspør førfiltreringsmodulen. Regnskapsinformasjonen omfatter foretrukket antall pakker og bytes som er blitt mottatt av førfiltreringsmodulen for en bestemt forbindelse siden sist gang regnskapsinformasjonen ble oppdatert, og sist gang en pakke ble mottatt av førfiltreringsmodulen for denne bestemte forbindelsen. Denne informasjonen blir deretter tilbakestilt i før-filtreringsmodulen. Valgfritt og mer foretrukket, hvis førfiltreringsmodulen avslutter forbindelsen formidler førfiltreringsmodulen den siste regnskapsinformasjonen om denne forbindelsen til brannveggen.

Det skal forstås at den foregående beskrivelsen kun er ment som eksempel, og at mange andre utførelser er mulig innenfor rammen og omfanget av foreliggende oppfinnelse.

Claims (28)

1. System (10) for akselerert filtrering av en pakke på et nettverk (12), hvor systemet omfatter: (a) en brannvegg (18) lokalisert på nettverket (12) for å utføre pakkefiltrering på pakken i samsvar med minst en regel, (b) en førfiltreringsmodul (30) som er i kommunikasjon med brannveggen (18), nevnte førfiltreringsmodul (30) mottar pakken før brannveggen, og førfiltreringsmodulen (30) utfører en initial pakkefiltrering på pakken i samsvar med minst en instruksjon mottatt fra brannveggen (18), slik at hvis pakken er tillatt ifølge den minst ene instruksjonen, håndterer førfiltreringsmodulen (30) pakken, og alternativt formidler førfiltreringsmodulen (30) pakken til brannveggen (18) for håndtering.

2. System (10) i samsvar med krav 1, karakterisert ved å omfatte: (c) en kildenode (14) for sending av pakken, og (d) en mottaksnode (20) for mottak av pakken.

3. System (10) i samsvar med krav 1, karakterisert ved at pakkeoverføring mellom kildenoden (14) og mottaksnoden (20) danner en forbindelse, og at brannveggen (18) er innrettet til å bestemme hvorvidt forbindelsen er tillatt, slik at nevnte minst ene instruksjon omfatter minst en parameter til pakken for å identifisere en tillatt forbindelse, slik at hvis nevnte forbindelse er tillatt, håndterer førfiltrer-ingsmodulen (30) nevnte pakke.

4. System (10) i samsvar med krav 3, karakterisert ved at brannveggen (18) er innrettet til å motta en pakke fra den tillatte forbindelsen fra førfiltreringsmodulen (30), hvis pakken har en valgt sesjon-kontrollfeltverdi.

5. System (10) i samsvar med krav 3, karakterisert ved at det minst ene parameter for identifikasjon av den tillatte forbindelsen omfatter en kildeadresse og en mottaksadresse for pakken.

6. System (10) i samsvar med krav 5, karakterisert ved at det minst ene parameter for identifikasjon av den tillatte forbindelsen videre omfatter en kildeport og en mottaksport for pakken.

7. System (10) i samsvar med krav 3, karakterisert ved at dersom en tilleggs-pakke ikke er blitt mottatt for den tillatte forbindelsen etter en forhåndsdefinert tidsperiode., er brannveggen (18) innrettet til å avslutte forbindelsen.

8. System i samsvar med krav 3, karakterisert ved at dersom en pakke med en bestemt sesjon-kontrollfeltverdi indikativ for informasjon om en forbindelsesstatus blir mottatt for nevnte tillatte forbindelse, blir pakken formidlet til brannveggen (18).

9. System (10) i samsvar med krav 3, karakterisert ved at førfiltrerings-modulen (30) videre omfatter: (i) en tilkoblingsdatabase for å lagre det minst ene parameter til pakken for å identifisere den tillatte forbindelsen.

10. System (10) i samsvar med krav 9, karakterisert ved at førfiltrerings-modulen (30) videre omfatter: (ii)en klassifiseringsmekanisme (38) for å analysere minst en del av pakken og for å sammenligne den minst ene delen av pakken med det minst ene parameter.

11. System (10) i samsvar med krav 10, karakterisert ved at førfiltrerings-modulen (30) videre omfatter: (iii)en modifiseringsenhet (34) for å utføre minst én aksjon på pakken hvis pakken er mottatt fra den tillatte forbindelsen, hvor den minst ene aksjonen er definert ifølge en instruksjon fra brannveggen (18).

12. System (10) i samsvar med krav 11, karakterisert ved at førfiltrerings-modulen (30) er implementert som en maskinvareanordning.

13. System (10) i samsvar med krav 11, karakterisert ved å videre omfatte: e) en databehandlingsanordning anordnet mellom kildenoden og mottaksnoden, hvori førfiltrerings-modulen (30) og brannveggen (18) drives av databehandlingsanordningen.

14. System (10) i samsvar med krav 1, karakterisert ved at dersom pakken ikke er tillatt, formidler førfiltreringsmodulen (30) enten pakken til brannveggen (18) for håndtering hvis pakken er mottatt fra nettverket (12), og alternativt dropper pakken hvis pakken er mottatt fra brannveggen (18).

15. System (10) i samsvar med krav 2, karakterisert ved at pakkeoverføring mellom kildenoden (14) og mottaksnoden (20) utgjør en forbindelse, og at brannveggen (18) er innrettet til å bestemme hvorvidt forbindelsen er tillatt, slik at den minst ene instruksjonen omfatter minst en parameter til pakken for å identifisere en tillatt forbindelse, slik at hvis forbindelsen er tillatt, overfører minst førfiltrer-ingsmodulen (30) pakken på nettverket.

16. System (10) i samsvar med krav 15, karakterisert ved at førfiltrerings-modulen (30) er innrettet til å droppe pakken hvis forbindelsen ikke er en tillatt forbindelse.

17. Førfiltreringsanordning (30) for å utføre filtrering av en pakke, hvor førfiltreringsanordningen (30) er i kommunikasjon med en brannvegg (18) og mottar pakken før brannveggen (18), idet førfiltreringsanordningen (30) omfatter: (a) et minne (36) for å lagre minst én instruksjon fra brannveggen (18) for analyse av minst en parameter til pakken, hvor den minst ene instruksjonen omfatter det minst ene parameter for å identifisere pakken, (b) en klassifikasjonsmekanisme (38) innrettet til å utføre en initial pakkefiltrering på pakken ved å analysere minst en del av pakken og til å sammenligne den minst ene delen av pakken med det minst ene parameter ifølge den minst ene instruksjonen, og (c) et brannvegg-grensesnitt (42) innrettet for å sende pakken til brannveggen (18), bortsett fra dersom pakken er tillatt ifølge den minst ene instruksjonen.

18. Førfiltreringsanordning (30) i samsvar med krav 17, karakterisert ved å omfatte (d) en modifiseringsenhet (34) innrettet for å utføre minst én aksjon på pakken hvis pakken er tillatt, hvor den minst ene aksjonen er definert ifølge den minst ene instruksjonen fra brannveggen (18).

19. Fremgangsmåte for akselerert pakkefiltrering på et nettverk (12) i sammenheng med en brannvegg (18), idet fremgangsmåten omfatter trinnene: (a) å frembringe en førfiltreringsmodul (30) for å motta en pakke før brannveggen (18) og for å utføre en initial pakkefiltrering på pakken, (b) å motta pakken av førfiltreringsmodulen (30), (c) å bestemme hvorvidt pakken er tillatt, ifølge minst én instruksjon mottatt fra brannveggen (18), (d) hvis pakken er tillatt, at pakken håndteres av førfiltreringsmodulen (30), og (e) alternativt, å formidle pakken til brannveggen (18) .

20. Fremgangsmåte i samsvar med krav 19, karakterisert ved at trinn (e) utføres hvis pakken mottas fra nettverket (12).

21. Fremgangsmåte i samsvar med krav 20, karakterisert ved at hvis pakken mottas fra brannveggen (18), droppes pakken.

22. Fremgangsmåte i samsvar med krav 19, karakterisert ved at trinn (d) omfatter trinnet med å markere pakken med et prioritetsnummer.

23. Fremgangsmåte i samsvar med krav 19, karakterisert ved at hvis pakken mottas som et antall fragmenter, omfatter trinn (d) trinnet med å bestemme hvis et fragment er et duplikatfragment, slik at hvis fragmentet er et duplikatfragment omfatter fremgangsmåten videre trinnet med (f) å droppe duplikatfragmentet.

24. Fremgangsmåte i samsvar med krav 19, karakterisert ved at pakken har en mottaksadresse og hvori trinn (d) omfatter trinnet med å videreformidle pakken til mottaksadressen.

25. Fremgangsmåte i samsvar med krav 24, karakterisert ved at trinn (d) omfatter trinnet med å utføre minst én aksjon på pakken av førfiltreringsmodulen (30), hvor den minst ene aksjonen blir bestemt ifølge en instruksjon fra brannveggen (18).

26. Fremgangsmåte i samsvar med krav 19, karakterisert ved at pakken omfatter minst en parameter, og den minst ene instruksjonen identifiserer pakken som en tillatt pakke ifølge det minst ene parameter, slik at trinn (c) omfatter trinnet med å analysere pakken for å hente frem det minst ene parameter.

27. Fremgangsmåte i samsvar med krav 26, karakterisert ved at brannveggen (18) klassifiserer minst en tidligere mottatt pakke ifølge minst ene kildeadresse og en mottaksadresse til den minst ene tidligere mottatte pakke, hvor kildeadressen og mottaksadressen sammen danner en forbindelse, slik at brannveggen (18) sender kildeadressen og mottaksadressen for å identifisere forbindelsen som en tillatt forbindelse til førfiltreringsmodulen (30) som den minst ene instruksjon.

28. Fremgangsmåte i samsvar med krav 27, karakterisert ved at nettverket (12) kommuniserer med et antall grensesnitt, og at førfiltrer-ingsmodulen (30) er koblet til hvert av antallet grensesnitt, slik at trinn (c) omfatter trinnet med å bestemme hvorvidt pakken er mottatt fra den tillatte forbindelsen og fra et tillatt grensesnitt, slik at pakken blir tillatt kun hvis pakken er mottatt den tillatte forbindelsen gjennom det tillatte grensesnittet.