WO2025153302A1 - Computerimplementiertes verfahren zum konfigurieren einer firewall, computerprogrammprodukt, computerlesbares speichermedium und fahrzeug - Google Patents

Abstract

Die Erfindung betrifft ein computerimplementiertes Verfahren zum Konfigurieren einer Firewall (1), wobei die Firewall (1) basierend auf einem durch die Konfiguration definierten Regelsatz (2) den Netzwerkverkehr in einem rechnergestützten Kommunikationsnetz (3) filtert, wobei Regeln für den Regelsatz (2) in Abhängigkeit von wenigstens einer an das Kommunikationsnetz (3) angeschlossenen Recheneinheit (4) bezogener Informationen festgelegt werden. Das erfindungsgemäße Verfahren ist gekennzeichnet durch die folgenden Verfahrensschritte: a) Erheben von Anschlussinformationen, umfassend eine Zuordnung zwischen an das Kommunikationsnetz (3) angeschlossenen Recheneinheiten (4) zu einem respektiven Netzwerkanschluss (5) eines in das Kommunikationsnetz (3) integrierten Netzwerkgeräts (6); b) Beziehen von Netzwerkdesigninformationen (7) von jeder mit dem Netzwerkgerät (6) verbundenen Recheneinheit (4), beschreibend eine zulässige Netzwerkkommunikation zumindest in Abhängigkeit einer Topografie des Kommunikationsnetzes (3); c) für jede Recheneinheit (4): Definieren eines Sub-Regelsatzes (8) basierend auf den von der respektiven Recheneinheit (4) bezogenen Netzwerkdesigninformationen (7), festlegend zumindest diejenigen Netzwerkanschlüsse (5) des Netzwerkgeräts (6) über die von der respektiven Recheneinheit (4) versendete Datenpakete verschickt werden dürfen und/oder über die an die respektive Recheneinheit (4) adressierte Datenpakete empfangen werden dürfen; d) Kombinieren sämtlicher Sub-Regelätze (8) zum Regelsatz (2); und e) Konfigurieren der Firewall (1) mit dem Regelsatz (2).

Description

Computerimplementiertes Verfahren zum Konfigurieren einer Firewall, Computerprogrammprodukt, computerlesbares Speichermedium und Fahrzeug

Die Erfindung betrifft ein computerimplementiertes Verfahren zum Konfigurieren einer Firewall nach der im Oberbegriff von Anspruch 1 näher definierten Art, ein Computerprogrammprodukt, ein computerlesbares Speichermedium sowie ein Fahrzeug.

Mit zunehmender Digitalisierung nimmt auch der Anteil von Computersystemen in Fahrzeugen zu. Neben Sensoren und Aktoren umfasst die Bordelektronik die unterschiedlichsten Recheneinheiten zur Verarbeitung entsprechender Sensorsignale, zur Erzeugung von Steuersignalen oder zur Bereitstellung von Funktionen. Die jeweiligen Komponenten der Bordelektronik können dabei über ein Kommunikationsnetz miteinander kommunizieren. Hierbei handelt es sich um ein oder mehrere Bus-Systeme, wie beispielsweise einen CAN-Bus, eine Ethernet-Datenleitung oder dergleichen. Unter einer fahrzeuginternen Recheneinheit werden insbesondere Verstanden: Steuergeräte, insbesondere in Form eines System-on-a-Chip (SoC), Netzwerkgeräte wie einem Switch, ein zentraler Bordcomputer, eine Telekommunikationseinheit und dergleichen.

Wie jedes rechnerbasierte Kommunikationsnetz, sind auch fahrzeuginterne Kommunikationsnetze gegenüber Cyberangriffen abzusichern. Ein erster und zentraler Bestandteil zur Erhöhung der Cybersicherheit ist das Integrieren einer oder mehrerer Firewalls in das Kommunikationsnetz zum Filtern der Kommunikation. Über das Kommunikationsnetz versendete Datenpakete werden dabei vor einer Weiterleitung zu einer Zieladresse von der Firewall untersucht, welche anhand festgelegter Regeln entscheidet, ob jeweilige Datenpakete zur Zieladresse hindurchgelassen werden sollen oder nicht. Zu sperrende Datenpakete werden durch die Firewall verworfen. Von der Firewall eingesetzte Regeln können in Form einer Whitelist oder Blacklist umgesetzt sein. In der Whitelist können vertrauenswürdige Zieladresse, Quelladressen, Datenpaketinhalte, Dienste und dergleichen angegeben werden, in deren Zusammenhang übermittelte Datenpakete von der Firewall weitergeleitet (englisch: routing) werden. Entsprechend enthält die Blacklist Informationen, die beschreiben in welchen Zusammenhängen Datenpakete an der Weiterleitung zur Zieladresse gehindert werden und verworfen werden sollen. So lassen sich unerlaubte Netzwerkzugriffe unterbinden.

Eine Firewall kann verschiedene Filtertechniken anwenden, wie insbesondere eine Paketfilterung, eine Stateful-Packet-Inspection, einen Proxyfilter, einen Contentfilter, eine Deep-Packet-Inspection und dergleichen. Eine Firewall kann dabei nicht nur die Kommunikation zwischen dem Kommunikationsnetz und externen Einrichtungen, beispielsweise einem Mobilfunknetz, dem Internet, oder einem beliebigen zum Kommunikationsnetz abweichendem Wide-Area-Network (WAN) überwachen, sondern auch die Kommunikation innerhalb des Kommunikationsnetzes filtern. Eine Kommunikation nach außen ist beispielsweise über einen von der Telekommunikationseinheit bereitgestellten Mobilfunkanschluss möglich oder auch per Bluetooth, Wi-Fi, NFC und dergleichen. Typischerweise ist eine separate Firewall in eine solche Telekommunikationseinheit zum Filtern der per Mobilfunk ausgetauschten Daten implementiert. Fahrzeuge können auch miteinander über eine sogenannte Fahrzeug-zu- Fahrzeug Kommunikationsschnittstelle Informationen austauschen, oder über eine Fahrzeug-zu-X Kommunikationsschnittstelle auch mit Infrastrukturobjekten.

Die Topographie von fahrzeuginternen Kommunikationsnetzen kann sich zwischen verschiedenen Fahrzeugen unterscheiden, beispielsweise in Abhängigkeit des Fahrzeugmodells, der Fahrzeugkonfiguration, insbesondere unter Berücksichtigung von Sonderausstattung, dem Bauzeitraum des Fahrzeugs und dergleichen. Typischerweise wird die Netzwerktopografie seitens des Fahrzeugherstellers durch eine sogenannte Netzwerkdesigninformation, auch als „Network-Communication-Design“ (NCD) bezeichnet, beschrieben. Das NCD definiert dabei jeglichen innerhalb des Fahrzeugs zugelassenen Kommunikationsverkehr. Typischerweise kann in jeder im Fahrzeug verbauten Recheneinheit das NCD in Form einer computerlesbaren Datei hinterlegt werden. Mit fortschreitender Entwicklung führt dies zwangsweise dazu, dass auf den unterschiedlichen Recheneinheiten im Fahrzeug unterschiedliche Versionen des NCD vorliegen, welche sich in ihrem Inhalt unterscheiden.

Zum Festlegen des von einer Firewall anzuwendenden Regelwerkes, insbesondere in Form besagter Whitelists bzw. Blacklists, wird typischerweise auf die durch das NCD beschriebenen Informationen zurückgegriffen. So lassen sich die Regeln für die Firewall automatisiert mit geringem menschlichen Aufwand festlegen. Typischerweise wird das Regelwerk basierend auf der neuesten Version des NCD generiert. Die neueste Version bzw. neuere Versionen des NCD, müssen dabei nicht zwangsweise kompatibel sein mit älteren Versionen des NCD. Dies kann dazu führen, dass unter Berücksichtigung ausschließlich des neusten NCDs zum Festlegen des von der Firewall einzusetzenden Regelwerks, Recheneinheiten mit einem auf einer älteren Version des NCD aufbauenden Kommunikationsablauf nicht miteinander kommunizieren können, da zwischen den Recheneinheiten auszutauschende Nachrichten nicht in einer resultierenden Whitelist aufgenommen wurden, bzw. fälschlicherweise ein entsprechender Eintrag in einer Blacklist angelegt wurde.

Beschreibt die neueste Version des NCDs zudem eine tatsächlich im Fahrzeug nicht durchgeführte Kommunikation, so kann dies die Sicherheit des fahrzeuginternen Kommunikationsnetzes reduzieren. So wird eine Netzwerkkommunikation toleriert, die tatsächlich im Fahrzeug im Regelbetrieb nicht durchgeführt wird. Dieser Teil der unnötigerweise zugelassenen Netzwerkkommunikation könnte potentiell für Angriffe genutzt werden. Ferner werden mehr Hardwareressourcen zum Inkludieren größerer Regelsätze in besagte Whitelist benötigt, was inneffizient ist.

Aus der EP 1 615 386 B1 sind ein Firewallsystem, in das Firewallsystem integrierte Geräte sowie ein Verfahren zum Aktualisieren der von der Firewall angewendeten Regeln bekannt. Die Firewall dient dabei dazu den Netzwerkverkehr innerhalb eines Heimnetzes zu überwachen. In das Heimnetz sind Endgeräte wie ein Fernseher, eine HiFi-Anlage, ein Smartphone, ein Desktopcomputer und dergleichen integriert. Mobile Endgeräte, wie besagtes Smartphone, können dabei auch in einer örtlichen Entfernung zum Heimnetz betrieben werden. Die Firewall ist in das Heimnetz integriert und läuft bei einer zentralen Implementierung Gefahr in einem solchen Fall besagtes mobiles Endgerät nicht überwachen zu können. Das durch die Druckschrift offenbarte Firewall system sieht es vor eine verteilte Firewall bereitzustellen, sodass eine entsprechende Firewallkomponente auch auf dem mobilen Endgerät ausgeführt werden kann, um dieses bei einem Betrieb außerhalb des Heimnetzes ebenfalls schützen zu können. Zum Erzeugen besagter Firewallregeln werden in einem jeweiligen Gerät Sicherheitsrichtlinien gespeichert. Diese Sicherheitsrichtlinien umfassen globale Sicherheitsregeln, eine Liste der Mitglieder des Kommunikationsnetzes sowie ihren Verbindungszustand und eine Liste lokal angebundener Dienste. Treten Änderungen im Kommunikationsnetz auf, so können besagte Sicherheitsrichtlinien aktualisiert werden und damit ein jeweiliger durch die Firewall ausgebildete Filter angepasst werden.

Ein Verfahren zum Aktualisieren des von einer Firewall angewendeten Regelwerks ist ferner aus der US 8,549,609 B2 bekannt. Das durch die Druckschrift offenbarte Verfahren widmet sich dem Problem, dass sich bei einer Verwendung von IPv6 Adressen die IP- Adresse eines Geräts dynamisch ändern kann, während sie bei IPv4 Adressen statisch sind. Dies führt zu der Gefahr, dass ein nicht autorisiertes Gerät die IP-Adresse eines autorisierten Geräts annehmen kann, was eine umfangreiche Netzwerkkommunikation mit dem nicht autorisierten Gerät ermöglichen würde. Um dies zu verhindern, beschreibt die Druckschrift das dynamische Anpassen der im Regelwerk der Firewall hinterlegten IP- Adressen. Kommt es zu einer entsprechenden Adressänderung im zugrunde liegenden Kommunikationsnetz, so wird dies automatisch festgestellt und das Regelwerk entsprechend angepasst.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde ein verbessertes computerimplementiertes Verfahren zum Konfigurieren einer Firewall anzugeben, welches mit einem geringen Aufwand einhergeht, wobei gleichzeitig das Aufrechterhalten der Cybersicherheit bei einer Gewährleistung einer zuverlässigen Kommunikation der Teilnehmer des Kommunikationsnetzes ermöglicht wird.

Erfindungsgemäß wird diese Aufgabe durch ein computerimplementiertes Verfahren zum Konfigurieren einer Firewall mit den Merkmalen des Anspruchs 1 gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sowie ein Computerprogrammprodukt, ein computerlesbares Speichermedium und ein Fahrzeug zur Durchführung des Verfahrens ergeben sich aus den hiervon abhängigen Ansprüchen.

Ein gattungsgemäßes computerimplementiertes Verfahren zum Konfigurieren einer Firewall, wobei die Firewall basierend auf einem durch die Konfiguration definierten Regelsatz den Netzwerkverkehr in einem rechnergestützten Kommunikationsnetz filtert, wobei Regeln für den Regelsatz in Abhängigkeit von wenigstens einer an das Kommunikationsnetz angeschlossenen Recheneinheit bezogener Informationen festgelegt werden, und wobei die Firewall von einer an das Kommunikationsnetz angeschlossenen Recheneinheit bereitgestellt wird, wird erfindungsgemäß weitergebildet durch die folgenden Verfahrensschritte: a) Erheben von Anschlussinformationen, umfassend eine Zuordnung zwischen an das Kommunikationsnetz angeschlossenen Recheneinheiten zu einem respektiven Netzwerkanschluss eines in das Kommunikationsnetz integrierten Netzwerkgeräts; b) Beziehen von Netzwerkdesigninformationen von jeder mit dem Netzwerkgerät verbundenen Recheneinheit, beschreibend eine zulässige Netzwerkkommunikation zumindest in Abhängigkeit einer Topografie des Kommunikationsnetzes; c) für jede Recheneinheit: Definieren eines Sub-Regelsatzes basierend auf den von der respektiven Recheneinheit bezogenen Netzwerkdesigninformationen, festlegend zumindest diejenigen Netzwerkanschlüsse des Netzwerkgeräts über die von der respektiven Recheneinheit versendete Datenpakete verschickt werden dürfen und/oder über die an die respektive Recheneinheit adressierte Datenpakete empfangen werden dürfen; d) Kombinieren sämtlicher Sub-Regelätze zum Regelsatz; und e) Konfigurieren der Firewall mit dem Regelsatz.

Mit Hilfe des erfindungsgemäßen Verfahrens ist es somit möglich die Firewall so zu konfigurieren, dass sämtliche Recheneinheiten des Kommunikationsnetzes so miteinander kommunizieren können, wie es durch die jeweiligen recheneinheitsspezifischen Netzwerkdesigninformationen vorgesehen ist. Umfasst eine solche Recheneinheit veraltete Netzwerkdesigninformationen, so ist dennoch eine Teilhabe der respektiven Recheneinheit am Netzwerkverkehr möglich, was bei einer alleinigen Berücksichtigung von aktuellen Netzwerkdesigninformationen zur Definition des Regelsatzes nicht möglich wäre. Hierdurch wird sichergestellt, dass die Kommunikation im Kommunikationsnetz gewährleistet wird, wobei Dank des generellen Einsatzes der Firewall gleichzeitig die Sicherheit des Kommunikationsnetzes vor Cyberangriffen erhöht wird.

Die Anschlussinformationen können dabei nach Bedarf durch eine in das Kommunikationsnetz integrierte Recheneinheit aktuell erhoben werden oder aber auch aus einem Speichermedium ausgelesen werden. Insbesondere wenn es sich um ein Kommunikationsnetz handelt, bei dem die an das Kommunikationsnetz angeschlossenen Recheneinheiten selten bis gar nicht ausgetauscht werden, bleiben die Anschlussinformationen über einen langen Zeitraum konstant. So können entsprechende Anschlussinformationen initial erhoben werden, beispielsweise beim Herstellen des Kommunikationsnetzes, und dann in besagtem Speichermedium persistent gespeichert werden, auch durch eine (für den Designprozess genutzte) kommunikationsnetzexterne Recheneinheit. Zum aktuellen Erheben der Anschlussinformationen kann beispielsweise ein sogenannter Portscan durchgeführt werden. Entsprechende Informationen können auch manuell von einem Entwickler festgelegt werden. Auch können die Anschlussinformationen Teil der Netzwerkdesigninformationen sein.

Die Recheneinheiten sind dabei über Netzwerkanschlüsse, auch als Port bezeichnet, mit dem Netzwerkgerät verbunden. Bei dem Netzwerkgerät kann es sich beispielsweise um einen Switch handeln. Der Switch kann zwei oder mehr Ports aufweisen. Es können auch mehrere Netzwerkgeräte miteinander verbunden sein, um mehrere Kommunikationsnetze zu einem großen Verbund-Kommunikationsnetz zusammenzuschließen. Die jeweiligen Kommunikationsnetze können die gleichen oder auch unterschiedliche Kommunikationsprotokolle verwenden. Beispielsweise kann ein CAN-Bus mit einem Lin- Bus und einer Ethernet-Datenleitung verbunden werden.

Die Anschlussinformationen geben also an welche Recheneinheit wo und wie an das Netzwerkgerät angeschlossen ist. Dies ermöglicht es die jeweilige Recheneinheit zu adressieren und die Netzwerkdesigninformation aus einem computerlesbaren Speichermedium der jeweiligen Recheneinheit auszulesen. Jede Netzwerkdesigninformation beschreibt dabei zumindest besagte Topografie des Kommunikationsnetzes. Die Topografie beschreibt wiederum zumindest welche Recheneinheiten das Kommunikationsnetz aufweist und welche Recheneinheit untereinander kommunizieren. Insbesondere beschreiben die Netzwerkdesigninformationen einen zugelassenen Umfang in wie weit eine jeweilige Recheneinheit mit einer anderen Recheneinheit kommunizieren darf, also im Zusammenhang mit welchem Dienst, Port, Datenpaketinhalt, und dergleichen.

In einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens können somit neben der Topografie weitere Informationen zur Beschreibung der zulässigen Netzwerkkommunikation berücksichtigt werden, wie beispielsweise im Zusammenhang mit besagtem von einer bestimmten Recheneinheit ausgeführten Dienst, ausgetauschten Dateityp, Dateiinhalt, genutztem Port und dergleichen.

Es können Netzwerkdesigninformationen für verschiedene Recheneinheiten des Kommunikationsnetzes in unterschiedlichen Versionen vorliegen. Die Netzwerkdesigninformationen können sich also von Recheneinheit zu Recheneinheit unterscheiden. Eine jeweilige Recheneinheit geht also umgangssprachlich ausgedrückt von einer abweichenden zugelassenen Netzwerkkommunikation aus.

Um dennoch eine zuverlässige Kommunikation zwischen den Recheneinheiten zu gewähren, wird basierend auf den recheneinheitsspezifischen Netzwerkdesigninformationen für jede Recheneinheit ein individueller Sub-Regelsatz erzeugt. Dieser Sub-Regelsatz ist dazu in der Lage die Firewall so zu konfigurieren, dass die von der respektiven Recheneinheit angenommene zugelassene Netzwerkkommunikation so auch durch die Firewall freigegeben wird. Alle Sub- Regelsätze werden zum Regelsatz kombiniert und anschließend die Firewall mit dem Regelsatz konfiguriert.

Die jeweiligen Sub-Regelsätze werden dabei bevorzugt für jede Port-Gruppe in Abhängigkeit der jeweiligen Netzwerkdesigninformation-Version generiert. Dabei kann geprüft werden, ob die durch die Netzwerkdesigninformation beschriebene Recheneinheit auch tatsächlich am besagten Port angeschlossen ist. Dies ermöglicht es, dass nur solche Regeln für die Firewall festgelegt werden, die auf einer solchen Kommunikation basieren, die auch tatsächlich im Kommunikationsnetz erfolgen kann. So lässt sich verhindern, dass eine Kommunikation im Kommunikationsnetz freigegeben wird, die jedoch im Normalbetrieb nicht auftritt und somit für Angriffe genutzt werden könnte.

Eine vorteilhafte Weiterbildung des erfindungsgemäßen Verfahrens sieht es dabei vor, dass eine in das Netzwerkgerät integriere Firewall konfiguriert wird. Generell könnte die Firewall auch extern zum Netzwerkgerät ausgeführt sein und in eine beliebige sonstige Recheneinheit des Kommunikationsnetzes integriert sein bzw. von einer solchen bereitgestellt werden. Dies würde jedoch bedeuten, dass die über das Netzwerkgerät laufende Netzwerkkommunikation erst der die Firewall beherbergenden Recheneinheit zugeführt werden müsste, auf der Recheneinheit gefiltert wird und dann die gefilterte Kommunikation zurück an das Netzwerkgerät übergeben wird. Dies ist aufwändig, rechenintensiv und geht mit einer Reduzierung der Latenz im Kommunikationsnetz einher. Bevorzugt ist daher die Firewall in das Netzwerkgerät integriert, sodass weniger Netzwerkverkehr notwendig ist, um die den Netzwerkverkehr ausbildenden Datenpakete entsprechend zu verarbeiten. Zur Ausbildung bzw. Bereitstellung der Firewall kann das Netzwerkgerät dedizierte Hardware- und/oder Softwarekomponenten aufweisen. Bei der Firewall kann es sich also auch um eine auf der Hardware des Netzwerkgeräts ausgeführte Software handeln. Diese Software kann auch in einer virtuellen Maschine laufen.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens führt eine in das Kommunikationsnetz integrierte Recheneinheit wenigstens einen der Verfahrensschritte a) bis e), bevorzugt sämtliche Verfahrensschritte, aus. Die Anschlussinformationen und/oder die Netzwerkdesigninformationen könnten auch für besagtes Kommunikationsnetz auf einer kommunikationsnetzexternen Speichereinrichtung vorgehalten sein. Dies ermöglicht eine entsprechende Analyse auch extern zum Kommunikationsnetz. Dabei besteht jedoch das Risiko, dass die extern zum Kommunikationsnetz vorgehaltenen Informationen veraltet sind und daher nicht mehr mit der Realität übereinstimmen, wodurch Fehler auftreten könnten. Das Erheben der Anschlussinformationen und/oder das Beziehen der Netzwerkdesigninformationen passiert daher bevorzugt innerhalb des Kommunikationsnetzes. Zur Erzeugung jeweiliger Sub-Regelsätze müssen die Netzwerkdesigninformationen verarbeitet werden. Auch dieses Verarbeiten kann innerhalb oder außerhalb des Kommunikationsnetzes erfolgen. Die Sub-Regelsätze können ebenfalls innerhalb oder außerhalb des Kommunikationsnetzes zum Regelsatz kombiniert werden. Auch das Konfigurieren der Firewall mit dem Regelsatz kann innerhalb oder außerhalb des Kommunikationsnetzes erfolgen. Ist die Firewall bereits in das Kommunikationsnetz implementiert, beispielsweise durch eine Bereitstellung durch das Netzwerkgerät, so kann der Regelsatz an das Netzwerkgerät übermittelt werden und die Firewall dort rekonfiguriert werden. Es wäre auch denkbar, dass die Firewall von einer Software ausgebildet wird, welche noch nicht auf das Netzwerkgerät eingespielt wurde. So kann diese Firewallsoftware auf einer Recheneinheit extern zum Kommunikationsnetz entsprechend des Regelsatzes vorkonfiguriert werden und danach auf das Netzwerkgerät aufgespielt werden. Im erweiterten Sinne erfolgt dabei das Konfigurieren der Firewall extern zum Kommunikationsnetz.

Werden alle Verfahrensschritte innerhalb des Kommunikationsnetzes ausgeführt, so lässt sich besonders zuverlässig sicherstellen, dass die jeweils aktuellen und damit korrekten Informationen erhoben und verarbeitet werden und somit mit der Realität übereinstimmende Erkenntnisse gewonnen werden. Dies erlaubt es die Firewall zuverlässig und korrekt zu konfigurieren. Besagte Verfahrensschritte werden dabei bevorzugt vom Netzwerkgerät ausgeführt. Das Netzwerkgerät kann somit nicht nur die Firewallfunktionalität bereitstellen, sondern auch selbst die Firewall konfigurieren. Insbesondere ist das Netzwerkgerät selbstständig dazu in der Lage die besagten Anschlussinformationen zu erheben. Werden die Netzwerkdesigninformationen auch vom Netzwerkgerät verarbeitet, so müssen diese nicht erst zur Verarbeitung erneut über das Kommunikationsnetz an eine zur Verarbeitung vorgesehene Recheneinheit versendet werden, was die Latenzen bei der Ausführung des erfindungsgemäßen Verfahrens noch weiter reduziert.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens filtert die Firewall den Netzwerkverkehr in einem fahrzeugintegrierten Kommunikationsnetz basierend auf der Konfiguration mit dem Regelsatz. Hierdurch lässt sich der konforme Betrieb des Fahrzeugs unter Wahrung der Cybersicherheit zuverlässig aufrechterhalten.

Ein Computerprogrammprodukt umfasst erfindungsgemäß computerinterpretierbare Anweisungen, welche eine Recheneinheit bei einer Ausführung durch einen Prozessor dazu in die Lage versetzen, ein im vorigen beschriebenes Verfahren auszuführen. Das Computerprogrammprodukt kann ein eigenständiges Programm ausbilden oder auch in ein Programm eingebettet sein, beispielsweise in eine Firewallsoftware, eine Firmware, ein BIOS, ein Anwendungsprogramm oder dergleichen.

Erfindungsgemäß umfasst ein computerlesbares Speichermedium besagtes Computerprogrammprodukt. Das computerlesbare Speichermedium ist dabei bevorzugt integriert in eine Recheneinheit des Kommunikationsnetzes. Die Firewall kann auf einer ersten Recheneinheit ausgeführt werden und durch eine zweite Recheneinheit konfiguriert werden. Auch kann die Firewall und die Konfiguration der Firewall durch ein- und dieselbe Recheneinheit erfolgen, insbesondere in Form des Netzwerkgeräts.

Ein Fahrzeug umfasst erfindungsgemäß wenigstens eine Recheneinheit, verfügend zumindest über einen Lesezugriff auf ein im vorigen beschriebenes computerlesbares Speichermedium. Bei dem Fahrzeug kann es sich um ein beliebiges Straßenfahrzeug wie einen Pkw, Lkw, Transporter, Bus oder dergleichen handeln. Generell könnte es sich auch um ein Schienenfahrzeug, Wasserfahrzeug oder Luftfahrzeug handeln. Durch den Lesezugriff auf das computerlesbare Speichermedium ist die Recheneinheit dazu in der Lage das erfindungsgemäße Verfahren bereitzustellen, also besagten Regelsatz aus den Sub-Regelsätzen zu erzeugen und damit die Firewall zu konfigurieren.

Bevorzugt handelt es sich bei derjenigen Recheneinheit die den Regelsatz für die Firewall ermittelt um ein Netzwerkgerät. Wie bereits im vorigen erwähnt ist somit eine schnelle und effiziente Ausführung des erfindungsgemäßen Verfahrens möglich. Insbesondere ist die Firewall ebenfalls in das Netzwerkgerät integriert.

Weitere vorteilhafte Ausgestaltungen des erfindungsgemäßen Verfahrens zum Konfigurieren der Firewall ergeben sich auch aus den Ausführungsbeispielen, welche nachfolgend unter Bezugnahme auf die Figuren näher beschrieben werden.

Dabei zeigen:

Fig. 1 eine schematische Darstellung eines rechnerbasierten Kommunikationsnetzes, dessen Netzwerkverkehr durch eine gemäß einem erfindungsgemäßen Verfahren konfigurierte Firewall gefiltert wird; und

Fig. 2 ein Ablaufdiagramm des erfindungsgemäßen Verfahrens.

Figur 1 zeigt schematisch ein rechnerbasiertes Kommunikationsnetz 3. Das Kommunikationsnetz 3 umfasst mehrere Recheneinheiten 4, wobei eine erste bis vierte Recheneinheit 4.1 - 4.4 über ein Netzwerkgerät 6 kommunikativ miteinander verbunden sind. Bei dem Netzwerkgerät 6 handelt es sich bevorzugt um einen Switch. Das Netzwerkgerät 6 verfügt über eine bestimmte Anzahl an Netzwerkanschlüssen 5. Bei dem in Figur 1 gezeigten Ausführungsbeispiel ist eine zur Anzahl der Recheneinheiten 4.1 - 4.4 übereinstimmende Anzahl an Netzwerkanschlüssen 5 dargestellt.

Besonders bevorzugt handelt es sich bei dem Kommunikationsnetz 3 um ein in ein Fahrzeug integriertes Kommunikationsnetz. Bei den Recheneinheiten 4.1 - 4.4 kann es sich beispielsweise um Steuergeräte für Fahrzeuguntersysteme, einen zentralen Bordcomputer, eine Telekommunikationseinheit oder dergleichen handeln. Jede Recheneinheit 4.1 - 4.4 umfasst eine Netzwerkdesigninformation 7, wobei unterschiedliche Recheneinheiten 4.1 - 4.4 Netzwerkdesigninformationen 7 in unterschiedlichen Versionen vorhalten können, beispielsweise eine erste Netzwerkdesigninformation 7.1 und eine zweite Netzwerkdesigninformation 7.2. In dem gezeigten Ausführungsbeispiel basiert die Kommunikation zwischen der ersten Recheneinheit 4.1 und der zweiten Recheneinheit 4.2 auf der ersten Netzwerkdesigninformation 7.1 und die Kommunikation zwischen der dritten Recheneinheit 4.3 und der vierten Recheneinheit 4.4 auf der zweiten Netzwerkdesigninformation 7.2, was durch eine entsprechende Schraffur angedeutet ist.

Zur Erhöhung der Cybersicherheit stellt das Netzwerkgerät 6 eine Firewall 1 bereit, die zum Filtern des Netzwerkverkehrs innerhalb des Kommunikationsnetzes 3 dient. Die Firewall 1 untersucht hierzu über die jeweiligen Netzwerkanschlüsse 5 empfangene Datenpakete und lässt nur solche Datenpakete hindurch, die die durch einen festgelegten Regelsatz 2 definierte Anforderungen erfüllen. Eine Umsetzung des Regelsatzes 2 kann beispielsweise mit Hilfe von einer sogenannten Whitelist und/oder Blacklist erfolgen.

Die Netzwerkdesigninformationen 7 beschreiben einen zulässigen Netzwerkverkehr innerhalb des Kommunikationsnetzes 3. Beispielsweise wurden die Netzwerkdesigninformationen 7 vom Fahrzeughersteller in der Entwicklung des Fahrzeugs bzw. der Bordelektronik festgelegt und entsprechend in die Recheneinheiten 4.1 - 4.4 implementiert. Aufgrund von Neuentwicklungen und Revisionen können die Netzwerkdesigninformationen 7 aktualisiert worden sein, wobei nicht für jede Recheneinheit 4.1 - 4.4 die jeweils neueste Netzwerkdesigninformation 7 implementiert wurde.

Zum Festlegen des von der Firewall 1 angewendeten Regelsatzes 2 werden nun besagte Netzwerkdesigninformationen 7 verarbeitet. Dies kann insbesondere durch das Netzwerkgerät 6 erfolgen, welches die Netzwerkdesigninformationen 7 von den jeweiligen Recheneinheiten 4.1 - 4.4 abgreift. Für jede Recheneinheit 4.1 - 4.4 bzw. jede Version der besagten Netzwerkdesigninformationen 7 werden Sub-Regelsätze 8 generiert, die gemeinsam den Regelsatz 2 ausbilden. In diesem Falle kommunizieren die erste Recheneinheit 4.1 und die zweite Recheneinheit 4.2 gemäß der ersten Netzwerkdesigninformationen 7.1 und die dritte Recheneinheit 4.3 und die vierte Recheneinheit 4.4 gemäß der zweiten Netzwerkdesigninformationen 7.2.

Figur 2 verdeutlichtet noch einmal stark vereinfacht den Ablauf des erfindungsgemäßen Verfahrens. Im Schritt 201 ermittelt eine das erfindungsgemäße Verfahren ausführende Recheneinheit 4, beispielsweise das Netzwerkgerät 6, die an das Netzwerkgerät 6 angebundenen Recheneinheiten 4.1 - 4.4 und bezieht jeweils die Netzwerkdesigninformationen 7. Zum Adressieren der jeweiligen Recheneinheiten 4.1 - 4.4 benötigt die Recheneinheit 4 Anschlussinformationen. Diese können in einem Speicher der Recheneinheit 4 abgelegt sein oder nach Bedarf von der Recheneinheit 4 ermittelt werden, beispielsweise durch das Durchführen eines Portscans.

Im Schritt 202 erzeugt besagte Recheneinheit 4 die jeweiligen Sub-Regelsätze 8 basierend auf den von der aktuellen Recheneinheit 4.1 - 4.4 bezogenen Netzwerkdesigninformationen 7.1 bzw. 7.2.

Im Schritt 203 wird der aktuell erzeugte Sub-Regelsatz 8 an die bisher generierten Sub- Regelsätze 8 angehängt. Somit wird nach und nach der Regelsatz für die Firewall 1 zusammengesetzt.

Im Schritt 204 überprüft die besagte Recheneinheit 4, ob die gesamte Netzwerkkommunikation abgedeckt wurde, also für alle zwischen den jeweiligen Recheneinheiten 4.1 - 4.4 im Rahmen der Netzwerkdesigninformationen 7 auszutauschende Nachrichten geprüft wurde, ob eine jeweilige Sub-Regel 8 erzeugt wurde. Ist dies der Fall, so wird im Schritt 205 die Firewall 1 mit dem Regelsatz 2 konfiguriert. Ist dies hingegen nicht der Fall, so werden für die verbleibenden Recheneinheiten 4.1 - 4.4 unter Analyse jeweiliger Netzwerkdesigninformationen 7.1, 7.2 weitere Sub-Regelsätze 8 erzeugt.

Das erfindungsgemäße Verfahren garantiert die zuverlässige Kommunikation innerhalb des Kommunikationsnetzes 3 bzw. des zugrunde liegenden Fahrzeugs. Die Cybersicherheit lässt sich dabei wahren. Dank der automatischen Konfiguration der Firewall 1 ist eine Reduktion des manuellen Aufwands für Entwickler möglich.

Claims

Patentansprüche

1. Computerimplementiertes Verfahren zum Konfigurieren einer Firewall (1), wobei die Firewall (1) basierend auf einem durch die Konfiguration definierten Regelsatz (2) den Netzwerkverkehr in einem rechnergestützten Kommunikationsnetz (3) filtert, wobei Regeln für den Regelsatz (2) in Abhängigkeit von wenigstens einer an das Kommunikationsnetz (3) angeschlossenen Recheneinheit (4) bezogener Informationen festgelegt werden, und wobei die Firewall (1) von einer an das Kommunikationsnetz (2) angeschlossenen Recheneinheit (3) bereitgestellt wird, gekennzeichnet durch die folgenden Verfahrensschritte: a) Erheben von Anschlussinformationen, umfassend eine Zuordnung zwischen an das Kommunikationsnetz (3) angeschlossenen Recheneinheiten (4) zu einem respektiven Netzwerkanschluss (5) eines in das Kommunikationsnetz (3) integrierten Netzwerkgeräts (6); b) Beziehen von Netzwerkdesigninformationen (7) von jeder mit dem Netzwerkgerät (6) verbundenen Recheneinheit (4), beschreibend eine zulässige Netzwerkkommunikation zumindest in Abhängigkeit einer Topografie des Kommunikationsnetzes (3); c) für jede Recheneinheit (4): Definieren eines Sub-Regelsatzes (8) basierend auf den von der respektiven Recheneinheit (4) bezogenen Netzwerkdesigninformationen (7), festlegend zumindest diejenigen Netzwerkanschlüsse (5) des Netzwerkgeräts (6) über die von der respektiven Recheneinheit (4) versendete Datenpakete verschickt werden dürfen und/oder über die an die respektive Recheneinheit (4) adressierte Datenpakete empfangen werden dürfen; d) Kombinieren sämtlicher Sub-Regelätze (8) zum Regelsatz (2); und e) Konfigurieren der Firewall (1) mit dem Regelsatz (2).

2. Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass eine in das Netzwerkgerät (6) integriere Firewall (1) konfiguriert wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass eine in das Kommunikationsnetz (3) integrierten Recheneinheit (4) wenigstens einen der Verfahrensschritte a) bis e), bevorzugt sämtliche Verfahrensschritte, ausführt.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass das Netzwerkgerät (6) den wenigstens einen Verfahrensschritt ausführt.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Firewall (1) den Netzwerkverkehr in einem fahrzeugintegrierten Kommunikationsnetz (3) basierend auf der Konfiguration mit dem Regelsatz (2 filtert.

6. Computerprogrammprodukt, gekennzeichnet durch computerinterpretierbare Anweisungen, welche eine Recheneinheit (4) bei einer Ausführung durch einen Prozessor dazu in die Lage versetzen ein Verfahren nach einem der Ansprüche 1 bis 5 auszuführen.

7. Computerlesbares Speichermedium, gekennzeichnet durch ein Computerprogrammprodukt nach Anspruch 6.

8. Fahrzeug, gekennzeichnet durch wenigstens eine Recheneinheit (4), verfügend zumindest über einen Lesezugriff auf ein computerlesbares Speichermedium nach Anspruch 7.

9. Fahrzeug nach Anspruch 8, dadurch gekennzeichnet, dass die Recheneinheit (4) als Netzwerkgerät (6) ausgeführt ist.