DE60016613T2

DE60016613T2 - Abschreckungssystem gegen aufschaltung und missbrauch

Info

Publication number: DE60016613T2
Application number: DE60016613T
Authority: DE
Inventors: F. Martin ROESCH; J. Ronald GULA
Original assignee: Verizon Corporate Services Group Inc; Genuity Inc
Current assignee: Verizon Corporate Services Group Inc; Genuity Inc
Priority date: 1999-04-14
Filing date: 2000-04-14
Publication date: 2005-12-08
Anticipated expiration: 2020-04-15
Also published as: CA2370135A1; US7958556B2; EP1218822B1; MXPA01010420A; US8955095B2; AU4245800A; EP1218822A4; ATE284557T1; US20140115687A1; DE60016613D1; WO2000062167A1; EP1218822A1; US7240368B1; CA2370135C; US20050177871A1

Description

Die vorliegende Erfindung betrifft im Allgemeinen Computernetzwerke und insbesondere ein System zum Identifizieren von Eindringlingen in einem Computernetzwerk.
Die Verbreitung des Internet hat dazu geführt, dass die größte und vielfältigste Sammlung von Informationen entstanden ist, die die Welt bisher kannte. Menschen wickeln heutzutage Transaktionen über das Internet ab, die früher intensive persönliche Interaktion erforderlich machten. Mit dieser Verbreitung einher geht eine schnelle Zunahme der Übertragung von vertraulichen Informationen über diese Netzwerke. Daher besteht ein dringender Bedarf nach verbesserten Verfahren, mit denen die Vertraulichkeit privater Informationen gewährleistet wird, die über Computernetzwerke laufen.
Herkömmliche Systeme zum Erfassen von Eindringen, sogenannte Intrusion Detection Systems (IDS), schützen Netzwerke vor Eindringlingen, indem sie den Inhalt jedes Paketes bzw. jeder Nachricht oder Meldung prüfen, die in das Netzwerk gelangt, und auf Basis von Mustervergleich (pattern matching) und einer Gruppe allgemeiner Regeln feststellen, ob sie verdächtig ist oder nicht. Mit zunehmender Größe der Netzwerke ergeben sich bei diesem Verfahren der Untersuchung jedes Paketes eine Reihe von Nachteilen. Eine Einschränkung besteht in der Geschwindigkeit, mit der das IDS die Informationen verarbeiten kann, die in den Millionen von Paketen enthalten sind, die jeden Tag stündlich die Netzwerkgrenzen überschreiten. Da die Netze schneller werden, hat das IDS noch weniger Zeit Feststellungen hinsichtlich der Pakete zu treffen, die es prüft, ohne Pakete auszulassen oder die Leistung des Systems zu beeinträchtigen.
Als Beispiel soll das internet-basierte (Client/Server)-Netzwerk 10 dienen, das in 1 dargestellt ist. Netzwerk 10 enthält einen Router 20, mehrere Clients 30 (beispielsweise die Clients 30a–e), von denen jeder einen Personalcomputer oder einen Arbeitsplatzrechner (Workstation) umfasst. In einem typischen Internet-Netzwerk kann jeder Client 30 so konfiguriert sein, dass er bestimmte Funktionen erfüllt. Client 30a kann beispielsweise als ein Web-Server konfiguriert sein, Client 30b kann ein Name-Server (Domain Name Server – DNS) sein, Client 30c kann ein Mail-Server sein, Client 30d kann eine Firewall sein, und Client 30e kann ein herkömmliches IDS sein.
Ein Web-Server (Client 30a) ist, um einen Hintergrund zu vermitteln, ein Computer im Internet, auf dem Software zur Abwicklung von Hypertext-Datenübertragung läuft. Menschliche Bediener leiten unter Verwendung von einzigartigen alphanumerischen Host-Namen, die jedem Server entsprechen, Zugriffsanforderungen zu Netzwerkvorrichtungen. Die eigentliche Weiterleitung von Informationen wird über den Einsatz von Internet-Protokoll (IP)-Adressen durchgeführt. Eine IP-Adresse ist nichtsymbolische Zahl aus 32 Bits (Format mit vier Achtergruppen), die die einzigartige Adresse einer Vorrichtung darstellt, die mit dem Internet verbunden ist. Die IP-Adressen mit den dazugehörigen alphanumerischen Host-Namen und Netzwerkpositionen sind in Web-Server 30a gespeichert.
Global einzigartige IP-Adressen werden an Unternehmen von einer zentralen Behörde ausgegeben, die als die Internet Assigned Number Authority ("IANA") bekannt ist. Die IANA gibt diese Adressen in einer von drei normalerweise verwendeten Klassen aus. IP-Adressen der Klasse "A" verwenden ihre erste Achtergruppe als Netzwerk-Identifikationsnummer (Net-ID) und ihre verbleibenden drei Achtergruppen als eine Host-Identifikationsnummer (Host-ID). Die Net-ID identifiziert das Unternehmens-Netzwerk, und die Host-ID identifiziert einen bestimmten Host in diesem Netzwerk. Da drei Achtergruppen zur Verfügung stehen, um einen Host anzugeben, verfügt ein Unernehmen mit Adressen der Klasse "A" über nahezu 17 Millionen Adressen zur Verwendung mit möglichen Hosts. Bei Adressen der Klasse "B" werden die zwei ersten Achtergruppen verwendet, um ein Netzwerk zu identifizieren (Net-ID), und die zweiten zwei Achtergruppen zur Identifizierung eines Host (Host-ID). So kann ein Unternehmen mit Adressen der Klasse "B" diese Adressen für nahezu 64000 Hosts verwenden. Bei Adressen der Klasse "C" schließlich werden ihre ersten drei Achtergruppen als ein Net-ID verwendet, und ihre letzte Achtergruppe als ein Host-ID. Für Unternehmen mit Adressen der Klasse "C" stehen lediglich 254 Host-Adressen zur Verfügung.
Wenn Pakete über Router 20 zu Netzwerk 10 geleitet werden, werden sie zu Web-Server 30a übertragen, der feststellt, ob sich der Empfänger in Netzwerk 10 befindet. Dann werden sie zu IDS 30e übertragen, das dann den Inhalt, den Absender und den Empfänger jedes Paketes auswertet, um festzustellen, ob es sich bei dem Paket um einen Eindringling handelt. Wenn IDS 30e feststellt, dass das Paket zulässig ist, kann es zu Firewall 30d geleitet werden, die erneut Absender, Inhalt und Empfänger des Paketes auswertet, um festzustellen, ob das Paket ordnungsgemäß zu Intranet 40 geleitet werden kann. Da die Netzwerke weiter wachsen und die Anzahl von Paketen, die typische Netzwerke durchlaufen, weiter sprunghaft ansteigt, nimmt auch die Verarbeitungszeit zu, die IDS 30e zugewiesen werden muss.
Ein weiteres Problem bei gegenwärtigen Systemen zum Erfassen von Eindringen besteht in ihrer Fähigkeit, zwischen zulässigem Gebrauch und unzulässigem Gebrauch zu unterscheiden. Die Pakete, die von IDS 30e erfasst werden, werden auf Basis fester Muster in der Mustervergleichsbibliothek und einer Gruppe allgemeiner Regeln geprüft. Wenn neuartige Angriffsstrategien entwickelt werden, sind diese Regeln und Muster veraltet, und dem IDS entgehen die neuartigen Angriffsstrategien vollständig. Aufgrund von Paketprüfungs-Zeitbeschränkungen, die den Netzwerken durch den Grad der Bandbreite auferlegt werden, gibt es auch eine Grenze hinsichtlich der Anzahl von Regeln, die jeweils in das System geladen werden können.
Der Gesamteffekt ist der, dass die Ausgabe von herkömmlichen IDS unzuverlässig und umfangreich ist und daher vom Sicherheitspersonal häufig ignoriert wird. Obwohl klar ist, dass bisher zahlreiche Verfahren zum Schützen von Netzwerken gegen unautorisierten Zugriff vorgeschlagen worden sind, sind diese Verfahren im Allgemeinen unausgereift, ineffizient und nicht in der Lage, ein Netzwerk gegen die Angriffe heutiger Hacker wirkungsvoll zu schützen. Des Weiteren sind gegenwärtige IDS aufgrund der Verarbeitungsbelastung für den Einsatz mit den größeren schnelleren Netzwerken, in denen sie zweifellos am meisten benötigt werden, nicht praktikabel.
Daher besteht ein Bedarf nach einer verbesserten Vorrichtung und einem verbesserten Verfahren, mit denen die Mängel herkömmlicher IDS überwunden werden.
Der Beitrag von Amoroso E. et al. unter dem Titel "A selection criteria for intrusion detection systems", (Computer Security Applications Conference, 1998, Protokoll, 14. Jahrgang, Phoenix, AZ, USA, 7. bis 11. Dezember 1998, Los Alamitos, CA, USA, IEEE Comput. Soc, US, 7. Dezember 1998, Seite 280 bis 288) offenbart ein Auswahlkriterium zum Vergleichen und Bewerten von Systemen zum Erfassen von Eindringen.
Die Aufgabe der vorliegenden Erfindung besteht darin, verbesserte Verfahren und Systeme zum Identifizieren von Eindringlingen zu schaffen, die versuchen, sich unautorisierten Zugriff auf ein Unternehmen zu verschaffen.
Diese Aufgabe wird durch den Gegenstand der unabhängigen Ansprüche 1, 2, 9 und 10 gelöst.
Bevorzugte Ausführungen sind Gegenstand der abhängigen Ansprüche.
Systeme und Verfahren gemäß einem Aspekt der vorliegenden Erfindung verbessern die Sicherheit von Computernetzwerken durch den Einsatz eines Systems zum Abschrecken von Eindringen und Missbrauch (Intrusion and Misuse Deterrence System – IMDS), das passiv Netzwerk-Eindringlinge auf eine Weise erfasst, die wenig zusätzlichen Verarbeitungsaufwand in einem Computernetzwerk mit sich bringt, anpassungsfähig ist und in Netzwerken beliebiger Größe einfach implementiert werden kann. Das IMDS erzeugt ein vollständiges synthetisches Netzwerk mit synthetischen Hosts und Routern. In Funktion überwacht das IMDS Paketfluss in einem Unternehmen, bis es feststellt, dass ein Paket für das synthetische Netzwerk bestimmt ist. Da es in dem synthetischen bzw. virtuellen Netzwerk keine legitimen Benutzer gibt, identifiziert das IMDS die Herkunft des Paketes und informiert einen System-Administrator über das Vorhandensein eines Netzwerk-Eindringlings. Das IMDS identifiziert ebenfalls Netzwerk-Eindringlinge, indem es Änderungsprotokolle überwacht, die mit dem virtuellen Netzwerk verknüpft sind, und einen System-Administrator benachrichtigt, wenn es eine Veränderung der Größe des Änderungsprotokolls bemerkt. Zusätzlich zur Benachrichtigung eines System-Administrators benachrichtigt das IMDS auch andere Netzwerk-Zugriffssteuervorrichtungen (beispielsweise Router, Firewalls usw.), wenn es das Vorhandensein eines Eindringlings erfasst.
Weitere Aufgaben, Merkmale und Vorteile der vorliegenden Erfindung sind in der folgenden Beschreibung aufgeführt, gehen aus der Beschreibung hervor oder werden bei der Ausführung der Erfindung ersichtlich. Sowohl die obenstehende allgemeine Be schreibung als auch die folgende ausführliche Beschreibung sind beispielhaft und erläuternd und dienen der weitergehenden Erläuterung der Erfindung, wie sie beansprucht wird.
1 ist ein Netzwerkschema eines herkömmlichen Client/Server-Netzwerks;
2 ist ein Netzwerkschema eines Client/Server-Netzwerks gemäß der vorliegenden Erfindung;
3 ist ein detailliertes Blockschema eines Computersystems, wie es in 1 und 2 dargestellt ist;
4 ist ein Blockschema eines Datenpaketes gemäß der vorliegenden Erfindung;
5 ist ein detailliertes Blockschema der Software-Module zum Durchführen des Erfassens von Eindringen gemäß der vorliegenden Erfindung;
6 ist ein detailliertes Blockschema der Schnittstelle zwischen den virtuellen Clients und dem System zum Abschrecken von Eindringen und Missbrauch gemäß der vorliegenden Erfindung;
7 ist ein detailliertes Blockschema der Schnittstelle zwischen der Administrator-Mailbox und dem System zum Abschrecken von Eindringen und Missbrauch der vorliegenden Erfindung; und
8 ist ein detailliertes Flussdiagramm des Prozesses zum Identifizieren eines Eindringlings gemäß der vorliegenden Erfindung.
In der folgenden ausführlichen Beschreibung der bevorzugten Ausführung wird auf die beigefügten Zeichnungen Bezug genommen, die einen Teil derselben bilden und in denen zur Veranschaulichung eine spezielle Ausführung dargestellt ist, in der die Erfindung umgesetzt werden kann. Diese Ausführung wird ausreichend detailliert beschrieben, um den Fachmann in die Lage zu versetzen, die Erfindung zu praktizieren, und es versteht sich, dass andere Ausführungen genutzt werden können und strukturelle Ver änderungen vorgenommen werden können, ohne vom Schutzumfang der vorliegenden Erfindung abzuweichen. Die folgende ausführliche Beschreibung ist daher nicht einschränkend zu verstehen.
Ein System gemäß einem Aspekt der vorliegenden Erfindung umfasst einen Netzwerk-Server mit dazugehöriger Anwendungssoftware, der für einen Netzwerk-Eindringling ein legitimer Bestandteil eines realen Netzwerkes zu sein scheint. Das IMDS animiert daher zur Nachforschung und führt den Eindringling von dem realen Netzwerk weg. Simulierte Dienst sind so konfiguriert, dass sie auf virtuellen Clients mit global einzigartigen IP-Adressen der Klasse "C" zu laufen scheinen. Zugelassene Netzwerkbenutzer kennen das virtuelle Netzwerk und seinen Zweck. Daher gibt es keine legitimen Benutzer des virtuellen Netzwerkes, und so müssen alle derartigen Aktivitäten unzulässig sein und können als solche behandelt werden. Die Fähigkeit des IMDS, unzulässige Aktivität lediglich auf Basis des Ziels von Netzwerkverkehr zu erfassen, bringt zwei große Vorteile mit sich. Der eine besteht darin, dass alle Transaktionen eines Eindringlings erfasst und identifiziert werden können, und nicht nur die Transaktionen, die mit einem vordefinierten Angriffsprofil übereinstimmen. Zweitens werden, da das System unabhängig von der Art des Angriffs arbeitet, neuartige Aktionen und Angriffe genauso effektiv gehandhabt wie bekannte Angriffe, wodurch Angriffsverfahren besser identifiziert werden und neue Angriffsstrategien besser identifiziert und analysiert werden. Mit dem IMDS fällt auch die Bandbreiteneinschränkung weg, unter der herkömmliche IDS leiden. Das IMDS muss nicht den gesamten Verkehr auf einem Netzwerksegment überwachen, sondern sich nur dem Verkehr widmen, der an seine simulierten Hosts gerichtet ist. Dadurch wird das Problem der Überwachung von Netzwerken mit ständig zunehmender Bandbreite entschärft. Das IMDS hat darüber hinaus die zusätzliche Wirkung, dass Angreifer von den realen Hosts abgelenkt werden, die es schützt.
Was zunächst die Terminologie der Patentbeschreibung angeht, so hält sich die ausführliche Beschreibung weitgehend an Prozesse und symbolische Darstellungen von Operationen, die von herkömmlichen Computerkomponenten durchgeführt werden, einschließlich einer zentralen Verarbeitungseinheit (Central Processing Unit – CPU), Speichervorrichtungen für die CPU und damit verbundener Anzeigevorrichtungen auf Pixel-Basis. Diese Operationen schließen die Verarbeitung von Datenbits durch die CPU und das Halten dieser Bits in Datenstrukturen ein, die in einer oder mehreren der Speicher vorrichtungen stehen. Diese Datenstrukturen verleihen der Ansammlung von Datenbits, die in dem Computerspeicher gespeichert sind, eine physische Ordnung und stellen spezielle elektrische oder magnetische Elemente dar. Diese symbolischen Darstellungen sind die Einrichtungen, die vom Fachmann auf dem Gebiet der Computerprogrammierung und der Computerkonstruktion verwendet werden, um anderen Fachleuten Lehren und Entdeckungen möglichst effektiv zu vermitteln.
Für die Zwecke der vorliegenden Erläuterung ist ein Prozess im Allgemeinen als eine Abfolge von durch Computer ausgeführten Schritten zu verstehen, die zu einem gewünschten Ergebnis führen. Diese Schritte machen im Allgemeinen physikalische Manipulationen von physikalischen Größen erforderlich. Diese Größen haben, auch wenn dies nicht zwangsläufig so ist, die Form elektrischer, magnetischer oder optischer Signale, die gespeichert, übertragen, kombiniert, verglichen oder anderweitig verarbeitet werden können. Der Fachmann bezeichnet diese Signale herkömmlicherweise als Bits, Werte, Elemente, Symbole, Zeichen, Ausdrücke, Objekte, Zahlen, Einträge, Dateien oder dergleichen. Es sollte jedoch beachtet werden, dass diese und ähnliche Ausdrücke mit geeigneten physikalischen Größen für Computeroperationen verknüpft werden sollten, und dass diese Ausdrücke lediglich herkömmliche Bezeichnungen sind, die für physikalische Größen verwendet werden, die innerhalb und während des Betriebs des Computers vorhanden sind.
Es versteht sich des Weiteren, dass Verarbeitungsvorgänge in dem Computer häufig mit Begriffen wie beispielsweise Addieren, Vergleichen, Verschieben usw. bezeichnet werden, die häufig mit manuellen Vorgängen verknüpft sind, die von einer menschlichen Bedienungsperson durchgeführt werden. Es versteht sich, dass bei der vorliegenden Erfindung kein derartiges Eingreifen einer menschlichen Bedienungsperson erforderlich oder wünschenswert ist. Die hier beschriebenen Operationen sind maschinelle Operationen, die in Verbindung mit einer menschlichen Bedienungsperson bzw. einem Benutzer durchgeführt werden, der in Interaktion mit dem Computer ist. Die Maschinen, die zum Durchführen des Vorgangs der vorliegenden Erfindung eingesetzt werden, schließen digitale Mehrzweckcomputer oder andere Rechenvorrichtungen ein.
Des Weiteren versteht sich, dass die Programme, Prozesse, Verfahren usw., die hier beschrieben sind, sich nicht auf einen speziellen Computer oder eine spezielle Vorrich tung beziehen oder darauf beschränkt sind. Statt dessen können verschiedenartige Mehrzweckmaschinen mit Programmen verwendet werden, die entsprechend den hier beschriebenen Lehren aufgebaut sind. Desgleichen kann es sich als vorteilhaft erweisen, spezielle Vorrichtungen herzustellen, um die hier beschriebenen Verfahrensschritte mit speziellen Computersystemen mit fest verdrahteter Logik oder Programmen durchzuführen, die in einem nichtflüchtigen Speicher, wie beispielsweise einem ROM, gespeichert sind.
Die Betriebsumgebung, in der die vorliegende Erfindung eingesetzt wird, schließt allgemeine verteilte Computersysteme ein, in denen Mehrzweckcomputer, Workstations oder Personalcomputer über verschiedenartige Datenübertragungsverbindungen verbunden sind. In einer Client-Server-Anordnung stehen Programme und Daten, viele in Form von Objekten, verschiedenen Mitgliedern des Systems zur Verfügung.
Ein System gemäß der vorliegenden Erfindung ist in 2 dargestellt. Wie das herkömmliche Netzwerk, das in 1 dargestellt ist, besteht das Netzwerk 10 in 2 aus einer Vielzahl von Netzwerk-Computern 30. Zusätzlich zu den Netzwerk-Computern, die in 1 dargestellt sind, besteht Netzwerk 10 in 2 aus einem System zum Abschrecken von Eindringen und Missbrauch (Intrusion and Misuse Deterrence System – IMDS) 65. Die unterbrochenen Linien 35, die sich von IMDS 65 aus erstrecken, stellen die Struktur eines virtuellen Netzwerkes 60 der Klasse "C" dar, das auf IMDS 65 läuft. Das heißt, das virtuelle Netzwerk 60 ist keine Ansammlung physischer Computer, sondern ein Programm, das auf IMDS 65 läuft und für Netzwerkbenutzer eine Ansammlung von ungefähr 254 physischen Computern simuliert.
Ein detaillierteres Blockschema jedes Netzwerk-Computers (Clients 30a–e und IMDS 65), die in Netzwerk 10 arbeiten, ist in 3 dargestellt. Jeder Netzwerk-Computer umfasst einen zentralen Prozessor 101, einen Hauptspeicher 102, eine Eingabe/Ausgabe-Steuerung 103, eine Eingabevorrichtung (beispielsweise eine Tastatur) 104, eine Zeigevorrichtung 105 (beispielsweise Maus, Trackball, Stiftvorrichtung oder dergleichen), eine Anzeige bzw. Bildschirmvorrichtung 106, einen Massenspeicher 107 (eine Festplatte, eine herausnehmbare Diskette, eine optische Platte, eine magnetooptische Platte oder einen Flash-Speicher), eine Netzwerk-Schnittstellenkarte bzw. einen Controller 111 (beispielsweise Ethernet) und ein Modem 112 (beispielsweise ein 56K-Baud-Modem o der ein ISDN-Modem). Die verschiedenen Komponenten jedes Netzwerk-Computers kommunizieren, wie dargestellt, über einen Systembus 110 oder eine ähnliche Architektur. Jeder Computer kommuniziert mit anderen Systemen über eine Netzwerk-Schnittstellenkarte 111 und/oder ein Modem 112.
4 zeigt den Aufbau eines typischen Datenpaketes 31, das Netzwerk 10 durchläuft. User Datagram Protocol/Internet Protocol (UDP/IP)- und Transmission Control Protocol/Internet protocol (TCP/IP)-Pakettransportmechanismen gewährleisten Datentransport, wobei die Übertragung digitaler Netzwerkdaten für den Benutzer transparent oder unsichtbar ist. Obwohl die vorliegende Patentbeschreibung das System unter Bezugnahme auf das TCP/IP-Protokoll beschreibt, ist es wichtig klarzustellen, dass die vorliegende Erfindung mit beiden Protokollen arbeiten kann. Jedes Protokoll 31 weist Nutzerdaten-Bytes 32 auf, die nacheinander in einen TCP-Umschlag, der mit einem TCP-Header 34 beginnt, einen IP-Umschlag, der mit einem IP-Header 36 beginnt, einen Sicherungs-Umschlag, der mit einem Sicherungs-Header 38 beginnt, und einen Bitübertragungs-Umschlag 39 eingekapselt werden. Der IP-Header 36 enthält eine IP-Zieladresse 44 und eine IP-Herkunftsadresse 46. Der TCP-Header 34 enthält einen TCP-Zielport 48, eine TCP-Herkunftsadresse 50 und einen Pakettyp 52.
Gemäß dem TCP/IP-Protokoll und anderen verbindungsorientierten Protokollen beginnt eine Vorrichtung außerhalb von Netzwerk 10, die mit einem Client (20, 30a–e und 65) in Netzwerk 10 kommunizieren will, die Kommunikation, indem sie ein Paket 31 sendet, das die Kennung eines Clients in Netzwerk 10 in seinem TCP-Zielport-Feld 48 aufweist. Das Paket 31 gelangt über Router 20 zu seinem gewünschten Ziel. Wenn eine Vorrichtung in Netzwerk 10 mit der fremden Vorrichtung kommunizieren will, antwortet sie mit einem SYN (Synchronize)-Paket, um eine Verbindung herzustellen. Anschließende Pakete können dann über den Router 20 ungehindert hin und hergesendet werden. Der Router 20 kann einen Komparator enthalten, der in CPU 101 läuft und feststellt, ob der Sicherungs-Header-Typ 52 eines Paketes sich in einer Protokolltabelle befindet, die eine vorgespeicherte Liste von Protokollen (beispielsweise TCP/IP) enthält, die für die Verwendung in Netzwerk 10 gültig sind. Ein zweiter Komparator kann feststellen, ob die IP-Zieladresse 44 des Paketes und in einigen Fällen der TCP-Zielport 48 in einer Zieladressen-Tabelle sind, die eine vorgespeicherte Liste von Adressen enthält, die für Netzwerk 10 gültig sind. Der Router 20 kann des Weiteren einen dritten Komparator aufwei sen, der feststellt, ob die IP-Ursprungsadresse 46 des Paketes und die TCP-Ursprungsadresse 50 in einer Ursprungsadressen-Tabelle sind, die eine vorgespeicherte Liste von Ursprungsadressen enthält, die nicht mit Vorrichtungen in Netzwerk 10 kommunizieren dürfen. Wenn ein Paket das richtige Protokoll aufweist und annehmbare Ziel- und Ursprungsadressen hat, lässt der Router 20 es zu Netzwerk 10 durch. Diese Vergleiche werden für alle Datenpakete unabhängig von ihrem Ursprung oder ihrem Ziel durchgeführt. Eine ähnliche Verarbeitung kann von Router 20 unter Verwendung ähnlicher Komparatoren und Tabellen für Pakete durchgeführt werden, die aus dem Netzwerk 10 gelangen. Da er Pakete überwacht, die zwischen Netzwerken fließen, ist Router 20 ein Beispiel für eine Netzwerk-Zugriffssteuervorrichtung.
Firewall 30d ist ein weiteres Beispiel für eine Netzwerk-Zugriffssteuervorrichtung, die einen Paketstrom auf etwas andere Weise steuert. Firewall 30d ist über Verbindung 24 mit Intranet 40 verbunden, wie dies in der 2 dargestellt ist. Firewall 30d ist andererseits über Verbindung 22 mit Router 20 verbunden. Statt eine direkte Verbindung für Paketfluss zwischen Netzwerken zu ermöglichen (wie Router 20), werden Datenübertragungen zwischen Netzwerk 10 und Intranet 40 abgewickelt, indem zwei unabhängige TCP/IP-Verbindungen eingerichtet werden, eine, die von Netzwerk 10 hergestellt wird, und die andere, die von Intranet 40 hergestellt wird. Normalerweise wird, wenn ein ankommendes Paket von außerhalb von Netzwerk 10 Firewall 30d erreicht, dieses von einem Regel-Prozessor geprüft, der feststellt, ob die Informationen in dem Paket Regeln entsprechen, die in einer Zulassungsregeltabelle und einer Verweigerungsregeltabelle enthalten sind, die in CPU 101 in Firewall 30d ausgeführt wird. Diese Regeln werden verwendet, um Informationen zu prüfen, die in jedem Paket enthalten sind, sowie Systeminformationen, wie beispielsweise die Tageszeit, um festzustellen, ob die Herstellung von Verbindungen für Paketübertragung zwischen dem Absender und dem Empfänger zugelassen oder abgelehnt wird. Die Regeln können für Herkunftsbenutzer und Zielbenutzer angeben: 1. die Zeit- und Datumsintervalle, zu denen eine Regel gelten soll; 2. die zugelassenen Dienstarten; 3. spezielle zugelassene Dienste; 4. Authentisierungs-Typen und 5. Warn-Schwellenwerte, die die Anzahl versuchter Zugriffe unter Verletzung der Regel pro Zeiteinheit vor Erzeugung einer Warnmeldung definieren. Der Regel-Prozessor verwendet die Zulassungs- und Verweigerungsregeln zusammen, um beispielsweise einer Klasse von Benutzern Zugriff zu gewähren, einem bestimmten Benutzer oder bestimmten Benutzern, denen ansonsten durch die Zulassungsregeln Zugriff gewährt wird, Zugriff zu verweigern. Der Regel-Prozessor wendet die Zulassungsregeln und die Verweigerungsregeln auf Verbindungs-Pakate an, die zu der Firewall 30d gelangen. Wenn die Regeln erfüllt sind und die zwei Verbindungen hergestellt sind, können andere Nichtverbindungs-Verwaltungspakete ohne ausführliche Regelprüfung von einer Verbindung zur anderen kopiert werden.
Eine IMDS-Zugriffssteuervorrichtung gemäß der vorliegenden Erfindung ist in 2 dargestellt. IMDS 65 ist auf ähnliche Weise wie die Clients 30a–e und Router 20 mit Netzwerk 10 gekoppelt. Es ist daher für Netzwerk-Nutzer sichtbar, und da es eine eigene Gruppe von anscheinend realen und angreifbaren Clients verwaltet, ist es für einen Eindringling interessanter. Router 20 ist so eingestellt, dass jedes Paket 31 mit einer Zieladresse, die nicht in dem virtuellen Netzwerk 60 vorhanden ist, zu Firewall 30d weitergeleitet wird. Jedes beliebige Paket mit einer Zieladresse 44 in dem virtuellen Netzwerk 60 wird zu IMDS 65 weitergeleitet. Das virtuelle Netzwerk 60, das auf IMDS 65 läuft, dient dazu, Eindringlinge anzuziehen und ihre Aktivität zu protokollieren. Es ist in einzelne virtuelle bzw. synthetische Hosts unterteilt, die jeweils ihre eigene IP-Adresse haben. Diese Hosts werden durch eine Gruppe von software-basierten Dienstsimulationen oder "Fassaden" erzeugt. Die Fassadendienste, die mit einem virtuellen Client verknüpft sind, entsprechen dem Typ Host, der simuliert wird. Das heißt, ein virtueller DNS-Host weist glaubwürdige Zuordnungen zwischen virtuellen alphanumerischen Host-Namen und numerischen IP-Adressen auf, während ein virtueller Mail-Server glaubhafte Beispiele von E-Mail-Dateien speichert.
IMDS 65 erfüllt drei Funktionen: Erfassung von Eindringen, Benachrichtigung über Eindringen und System-Administration. Erfassung von Eindringen wird über eine Gruppe von Softwarepaketen erreicht, wie sie in 5 dargestellt ist, die einen Netzwerk-Adressübersetzer (Network Address Translator – NAT) 70, ein Paket-Filter 72, einen Internetz-Dienst-Daemon (inetd) 74 und geschichtete Fassadendienste 76 enthalten. NAT 70 wirkt als eine Schnittstelle zwischen dem physikalischen Netzwerk 10 und dem virtuellen Netzwerk 60. In dem physikalischen Netzwerk 10 ist NAT 70 über Verbindung 22 mit einem Router 20 verbunden. Router 20 hingegen wirkt als eine Schnittstelle zwischen IMDS 65 und Internet-Zielen außerhalb von Netzwerk 10. Im Inneren von IMDS 65 ist NAT 70 mit Paket-Filter 72 verbunden, der seinerseits mit inetd 74 und den geschichteten Fassadendiensten 76 verbunden ist.
Der Ablauf einer Funktion zum Erfassen von Eindringen gemäß der vorliegenden Erfindung wird am besten anhand eines Beispiels erläutert. Gehen wir davon aus, dass eine Entität, die außerhalb von Netzwerk 10 arbeitet, Paket 31 über das Internet zu Router 20 sendet. Paket 31 ist, wie von IP-Header 36 angezeigt, für IMDS 65 bestimmt. Das heißt, Zieladresse 44 entspricht einer Zieladresse in dem virtuellen Netzwerk 60. Beim Empfangen von Paket 31 leitet Router 20 Paket 31 über Verbindung 22 zu IMDS 65. Bis zu diesem Punkt verhält sich das System entsprechend den meisten herkömmlichen Netzwerkverbindungsprotokollen. Da Paket 31 jedoch eine Zieladresse 44 enthält, die kein tatsächlicher Netzwerk-Client ist, muss NAT 70 das Paket zu einem Port 75 in IMDS 65 weiterleiten. IMDS 65 besteht, wie in 6 dargestellt, des Weiteren aus einer Vielzahl virtueller Clients 60a–c mit entsprechenden IMDS-Ports 75a–i. IMDS 75 enthält einen Port 75 für alle oder eine Teilgruppe aller IP-Herkunftsadressen der globalen Klasse "C", die dem virtuellen Netzwerk 60 zugewiesen sind. Obwohl die vorliegende Beschreibung IMDS 65 als ein virtuelles Netzwerk der Klasse "C" beschreibt, versteht sich, dass das Netzwerk auch ein Netzwerk der Klasse "A" oder der Klasse "B" sein kann. Wenn IMDS 65 eine Anforderung zum Zugriff auf Port 23 (dem Standard-Telnet-Port) an dem virtuellen Client 60a empfängt, ordnet NAT 70 die Anforderung Port 75c an IMDS 65 zu.
NAT 70 kann gleichzeitig bis zu 254 (Netzwerk der Klasse "C") Anforderungen zum Zugriff auf verschiedene Ports von IMDS 65 zuordnen. Nachdem NAT 70 den richtigen Weg für Paket 31 bestimmt hat, sendet er das Paket zu Paket-Filter 72. Paket-Filter 72 dient dazu, gleichzeitigen Zugriff auf einen der Ports 75 zu verhindern, die tatsächlich von IMDS 65 verwendet werden. Er dient auch dazu, Zugriff auf die administrativen Ports aus der Liste administrativer Workstations zuzulassen, die während der Installation konfiguriert werden, wie dies weiter unter erläutert wird. Paket 31 wird dann zu inetd 74 geleitet, der so konfiguriert ist, dass er auf Basis des Ziel-Ports, der von NAT 70 angegeben wird, den richtigen Fassadendienst 76 ausführt. Der Fassadendienst 76 antwortet dann entsprechend auf Paket 31 und leitet das Antwortpaket zu der ursprünglichen Netzwerk-Entität zurück. Nachdem die Sitzung abgeschlossen ist, kann die IMDS-Port 75 für eine andere Netzwerk-Entität verfügbar gemacht werden. Obwohl die vorliegende Patentbeschreibung das System so beschreibt, dass die Verarbeitung seriell ausgeführt wird, ist wichtig anzumerken, dass in einer bevorzugten Ausführung mehrere gleichzeitige Portverbindungen möglich sind.
Wenn IMDS 65 feststellt, dass ein Element auf Fassadendienste 76 zugegriffen hat, verhält es sich, als ob das Element ein Eindringling wäre. Dies ist eine zulässige Annahme, da definitionsgemäß alle Aktivitäten auf IMDS 65 von verdächtiger Herkunft sind. Die Elemente von IMDS 65, die einen Eindringling identifizieren und einen System-Administrator benachrichtigen, sind in 7 dargestellt. Das heißt, das System zum Identifizieren eines Eindringlings und zum Benachrichtigen besteht aus Cron-Daemon 78, Benachrichtigungs-Routine 80, Benachrichtigungsliste 82, Änderungsprotokollen 84, Sendmail-Routine 86 und wenigstens einer Administrator-Mailbox 88. Cron-Daemon 78 überwacht Anwendungen, die bei ihm registriert sind, und ruft die Benachrichtigungs-Routine 80 auf, wenn Änderungen bemerkt werden. Benachrichtigungsliste 82 enthält eine Liste aller Netzwerkpositionen. Änderungsprotokolle 84 speichern Datensätze für jedes Netzwerk-Zugriffsereignis. Das heißt, jedes Mal, wenn eine Entität versucht, auf einen IMDS-Port 75 zuzugreifen, erzeugt Änderungsprotokoll 84 einen Datensatz, der die Transaktion identifiziert, und speichert ihn. Die aufgezeichneten Änderungen umfassen Pakete verarbeiteter Informationen, die normalerweise von System-Administratoren verwendet werden, um elektronische Logbücher zu erzeugen, sowie zur Fehlerbeseitigung und für Operationen zum Rückgängigmachen. Da sie die Herkunft des Paketes identifizieren, können diese Datensätze auch verwendet werden, um einen Netzwerk-Eindringling zu identifizieren. Sendmail-Routine 86 stellt E-Mail-Mitteilungen zusammen und leitet die Mitteilungen unter Verwendung von Informationen, die von Benachrichtigungs-Routine 80 empfangen werden, zu Mailboxen 88 weiter. In Funktion führt der Prozess zum Identifizieren von Eindringlingen und zum Benachrichtigen, der mit IMDS 65 verknüpft ist, Befehle aus, die sich in "crontab"-Dateien finden, die sich in Cron-Daemon 78 befinden. Diese Befehle geben die durchzuführenden Operationen und die Netzwerk-Entitäten an, die zu benachrichtigen sind, wenn ein Eindringling erfasst wird.
Die Funktion des Systems zum Identifizieren von Eindringlingen und zum Benachrichtigen beginnt, wie in 8 dargestellt, in Schritt 810, in dem Cron-Daemon 78 eine vordefinierte Gruppe virtueller Netzwerk-Clients 60 überwacht. Dies tut er, indem er die vorhandenen Änderungsprotokolle 84 und ihre Größe beobachtet. Wenn neue Protokolle 84 erzeugt werden (Schritt 820) oder sich die Größe von Protokollen ändert (Schritt 830), ruft Cron-Daemon 78 in Schritt 840 die Benachrichtigungs-Routine 80 auf. In Schritt 850 greift Benachrichtigungs-Routine 80 auf Benachrichtigungsliste 82 zu und ruft Kennungen für zu benachrichtigende Mailboxen ab. Sie ruft des Weiteren in Schritt 860 die veränderten Informationen aus Änderungsprotokollen 84 ab. Benachrichtigungs-Routine 80 leitet dann in Schritt 870 Informationen zu Sendmail-Routine 86 (in 7 dargestellt). In Schritt 880 erzeugt Sendmail-Routine dann E-Mail-Meldungen unter Verwendung der von Benachrichtigungs-Routine 80 empfangenen Informationen. Die E-Mail-Meldungen werden dann in Schritt 890 zu den Empfängern geleitet, für die sie bestimmt sind. In einer bevorzugten Ausführung wird der Benachrichtigungsprozess alle 10 Minuten durchgeführt, die Häufigkeit kann jedoch je nach der empfundenen Bedrohung für das Netzwerk erhöht oder verringert werden. Obwohl die vorliegende Patentbeschreibung das System zum Identifizieren von Eindringlingen und zum Benachrichtigen als eines beschreibt, bei dem E-Mail-Meldungen eingesetzt werden, um das Vorhandensein von Eindringlingen anzuzeigen, kann jedes beliebige Verfahren einschließlich der Echtzeit-Benachrichtigung über eine Systemmeldung oder durch Protokollieren des Eindringens in einer Datei zum späteren Abrufen durch einen System-Administrator verwendet werden. Wenn ein Eindringling identifiziert ist, kann IMDS 65 auch die Herkunftsadresse des Paketes 31 extrahieren und Komparatoren bzw. Verweigerungsregeltabellen dazugehöriger Router und Firewalls aktualisieren. Es kann des Weiteren Verweigerungsregeltabellen aktualisieren, die in IMDS 65 gespeichert sind, um zu verhindern, dass der Eindringling erneut auf IMDS 65 zugreift.
Aus der obenstehenden Beschreibung wird ersichtlich, dass die vorliegende Erfindung ein effizientes System sowie ein Verfahren zum Erhöhen der Sicherheit von Computer-Netzwerken über den Einsatz eines IMDS schafft, das in einem Computer-Netzwerk arbeitet. Die vorliegende Erfindung ist im Zusammenhang mit speziellen Ausführungen beschrieben worden, die in jeder Hinsicht veranschaulichend und nicht einschränkend sein sollen. Für den Fachmann liegt auf der Hand, dass viele verschiedene Kombinationen von Hardware zum Umsetzen der vorliegenden Erfindung geeignet sind. Für alle oben beschriebenen Komponenten sind viele Ersatzlösungen erhältlich, die jeweils unterschiedliche Kosten und Leistungseigenschaften haben können.
Obwohl Aspekte der vorliegenden Erfindung als im Speicher resident beschrieben sind, liegt für den Fachmann auf der Hand, dass diese Aspekte auch auf anderen Typen computerlesbarer Medien gespeichert oder von ihnen gelesen werden können, so beispielsweise sekundären Speichervorrichtungen, wie z.B. Festplatten, Disketten oder CR-ROMs, einem Träger aus dem Internet oder anderen Formen von RAM oder ROM.
Desgleichen kann das Verfahren der vorliegenden Erfindung praktischerweise in Programmmodulen implementiert werden, die auf dem Flussdiagramm in 8 basieren. Es ist keine spezielle Programmiersprache zum Ausführen der verschiedenen oben beschriebenen Prozeduren dargestellt worden, da davon ausgegangen wird, dass die Operationen, Schritte und Prozeduren, die oben beschrieben und in den beigefügten Zeichnungen dargestellt sind, ausreichend offenbart wurden, um dem Fachmann zu ermöglichen, die vorliegende Erfindung zu praktizieren. Des Weiteren gibt es viele Computer und Betriebssysteme, die bei der Umsetzung der vorliegenden Erfindung eingesetzt werden können, und daher konnte kein detailliertes Computerprogramm bereitgestellt werden, das für diese vielen verschiedenen Systeme einsetzbar wäre. Jeder Benutzer eines bestimmten Computers kennt die Sprache und die Werkzeuge, die sich für die Bedürfnisse und Zwecke dieses Benutzers am besten eignen.

Claims

Verfahren zum Identifizieren von Eindringlingen, die versuchen, sich unautorisierten Zugriff auf ein Unternehmen zu verschaffen, das wenigstens ein reales Netzwerk (40), einen Router (20) und ein virtuelles Netzwerk (60) umfasst, wobei das Verfahren die folgenden Schritte umfasst: Erfassen eines Eingangspaketes (31), das bei dem Unternehmen ankommt; Feststellen, ob das Eingangspaket (31) für einen einer Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen; und Benachrichtigen eines Netzwerk-Administrators über das Vorhandensein eines Netzwerk-Eindringlings, wenn festgestellt wird, dass das Paket (31) für einen der Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen, wobei das Verfahren dadurch gekennzeichnet ist, dass der Benachrichtigungsschritt des Weiteren aus dem Schritt des Aktualisierens eines in dem Router (20) gespeicherten Komparators mit einer Netzwerk-Kennung des Eindringlings besteht.
Verfahren zum Identifizieren von Eindringlingen, die versuchen, sich unautorisierten Zugriff auf ein Unternehmen zu verschaffen, das wenigstens ein reales Netzwerk (40), eine Firewall (30d) und ein virtuelles Netzwerk (60) umfasst, wobei das Verfahren die folgenden Schritte umfasst: Erfassen eines Eingangspaketes (31), das bei dem Unternehmen ankommt; Feststellen, ob das Eingangspaket (31) für einen einer Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen; und Benachrichtigen eines Netzwerk-Administrators über das Vorhandensein eines Netzwerk-Eindringlings, wenn festgestellt wird, dass das Paket (31) für einen der Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen, wobei das Verfahren dadurch gekennzeichnet ist, dass: der Benachrichtigungsschritt des Weiteren aus dem Schritt des Aktualisierens einer in der Firewall (30d) gespeicherten Verweigerungsregeltabelle mit einer Netzwerk-Kennung des Eindringlings besteht.
Verfahren nach Anspruch 1 oder 2, wobei der Feststellschritt des Weiteren aus den folgenden Schritten besteht: Extrahieren einer globalen IP-Zieladresse (44) aus dem Eingangspaket (31); und Ermitteln, ob die globale IP-Zieladresse (44) einem einer Vielzahl von Clients entspricht, die in dem virtuellen Netzwerk (60) stehen.
Verfahren nach Anspruch 3, wobei der Ermittlungsschritt des Weiteren aus den folgenden Schritten besteht: Identifizieren eines Server-Zugangsports, der der globalen IP-Zieladresse (44) entspricht, Leiten des Eingangspaketes (31) zu dem Server-Zugangsport, wenn festgestellt wird, dass der Zugangsport verfügbar ist; und Ausführen eines Dienstes, der mit dem Zugangsport verbunden ist, entsprechend dem Eingangspaket (31).
Verfahren nach Anspruch 4, wobei der Ermittlungsschritt des Weiteren aus dem Schritt des Aktualisierens eines Änderungsprotokolls besteht, um die Ausführung des Dienstes widerzuspiegeln.
Verfahren nach einem der Ansprüche 1 bis 5, wobei der Benachrichtigungsschritt des Weiteren aus den folgenden Schritten besteht: Abrufen wenigstens einer Netzwerk-Administrator-Kennung, wenn festgestellt wird, dass das Paket (31) für einen der Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen; Extrahieren einer Herkunftsadresse (46) aus dem Paket (31); Abrufen eines Änderungsprotokolleintrages aus einem Änderungsprotokoll, der eine Ankunft des Paketes bei dem virtuellen Netzwerk (60) anzeigt; Zusammenstellen einer Eindringlings-Warnmeldung, die die Herkunftsadresse (46) des Paketes und den Änderungsprotokolleintrag umfasst; und Leiten der Eindringlings-Warnmeldung zu dem wenigstens einen Netzwerk-Administrator.
Verfahren nach einem der Ansprüche 1 bis 6, das des Weiteren den folgenden Schritt umfasst: Überwachen eines Änderungsprotokolls von Zugriffsereignissen des virtuellen Netzwerkes, wobei das Änderungsprotokoll einen Datensatz für jedes Zugriffsereignis des virtuellen Netzwerkes umfasst; und der Benachrichtigungsschritt umfasst: Benachrichtigen eines Netzwerk-Administrators über das Vorhandensein eines Netzwerk-Eindringlings, wenn das Änderungsprotokoll modifiziert wird.
Verfahren nach Anspruch 7, wobei der Benachrichtigungsschritt des Weiteren aus den folgenden Schritten besteht: Abrufen wenigstens einer Netzwerk-Administrator-Kennung, wenn das Änderungsprotokoll modifiziert wird; Abrufen eines Änderungsprotokolleintrages aus dem Änderungsprotokoll, der mit der Modifizierung des Änderungsprotokolls verknüpft ist; Extrahieren einer Herkunftsadresse aus dem Änderungsprotokolleintrag; Zusammenstellen einer Eindringlings-Warnmeldung, die die Herkunftsadresse und den Änderungsprotokolleintrag umfasst; und Leiten der Eindringlings-Warnmeldung zu einem Netzwerk-Administrator, der mit der Netzwerk-Administrator-Kennung verknüpft ist.
System zum Betrieb in einem Unternehmen, das wenigstens ein reales Netzwerk (40), einen Router (20) und ein virtuelles Netzwerk (60) umfasst, wobei das System so eingerichtet ist, dass es Eindringlinge identifiziert, die versuchen, sich unautorisierten Zugriff auf das Unternehmen zu verschaffen, wobei das System umfasst: eine Einrichtung, die ein Eingangspaket (31) erfasst, das bei dem Unternehmen ankommt; eine Einrichtung, die ermittelt, ob das Eingangspaket (31) für einen einer Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen; und eine Einrichtung, die einen Netzwerk-Administrator über das Vorhandensein eines Netzwerk-Eindringlings benachrichtigt, wenn festgestellt wird, dass das Paket (31) für einen der Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen, wobei das System dadurch gekennzeichnet ist, dass es des Weiteren umfasst: eine Einrichtung, die einen in dem Router (20) gespeicherten Komparator mit einer Netzwerk-Kennung des Eindringlings aktualisiert.
System zum Betreiben in einem Unternehmen, das wenigstens ein reales Netzwerk (40), eine Firewall (30d) und ein virtuelles Netzwerk (60) umfasst, wobei das System so eingerichtet ist, dass es Eindringlinge identifiziert, die versuchen, sich nichtautorisierten Zugriff auf das Unternehmen zu verschaffen, wobei das System umfasst: eine Einrichtung, die ein Eingangspaket (31) erfasst, das bei dem Unternehmen ankommt; eine Einrichtung, die feststellt, ob das Eingangspaket (31) für einen einer Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen; und eine Einrichtung, die einen Netzwerk-Administrator über das Vorhandensein eines Netzwerk-Eindringlings benachrichtigt, wenn festgestellt wird, dass das Paket (31) für einen der Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen, wobei das System dadurch gekennzeichnet ist, dass es des Weiteren umfasst: eine Einrichtung, die eine in der Firewall (30d) gespeicherte Verweigerungsregeltabelle mit einer Netzwerk-Kennung des Eindringlings aktualisiert.
System nach Anspruch 9 oder 10, wobei die Einrichtung zum Feststellen enthält: eine Einrichtung, die eine globale IP-Zieladresse (44) aus dem Eingangspaket (31) extrahiert; und eine Einrichtung, die ermittelt, ob die globale IP-Zieladresse (44) einem einer Vielzahl von Clients entspricht, die in dem virtuellen Netzwerk (60) stehen.
System nach Anspruch 11, wobei die Einrichtung zum Ermitteln enthält: eine Einrichtung, die einen Server-Zugangsport identifiziert, der der globalen IP-Zieladresse (44) entspricht; eine Einrichtung, die das Eingangspaket (31) zu dem Server-Zugangsport leitet, wenn festgestellt wird, dass der Zugangsport verfügbar ist; und eine Einrichtung, die einen Dienst, der mit dem Zugangsport verbunden ist, entsprechend dem Eingangspaket (31) ausführt.
System nach Anspruch 12, wobei die Einrichtung zum Ermitteln eine Einrichtung enthält, die ein Änderungsprotokoll aktualisiert, um die Ausführung des Dienstes widerzuspiegeln.
System nach einem der Ansprüche 9 bis 13, wobei die Einrichtung zum Benachrichtigen enthält: eine Einrichtung, die wenigstens eine Netzwerk-Administrator-Kennung abruft, wenn festgestellt wird, dass das Paket (31) für einen der Vielzahl von Clients bestimmt ist, die in dem virtuellen Netzwerk (60) stehen; eine Einrichtung, die eine Herkunftsadresse (46) aus dem Paket extrahiert; eine Einrichtung, die aus einem Änderungsprotokoll einen Änderungsprotokolleintrag abruft, der eine Ankunft des Paketes (31) bei dem virtuellen Netzwerk (60) anzeigt; eine Einrichtung, die eine Eindringlings-Warnmeldung zusammenstellt, die die Herkunftsadresse (46) des Paketes und den Änderungsprotokolleintrag umfasst; und eine Einrichtung, die die Eindringlings-Warnmeldung zu dem wenigstens einem Netzwerk-Administrator leitet.
System nach einem der Ansprüche 9 bis 14, das des Weiteren umfasst: eine Einrichtung, die ein Änderungsprotokoll von Zugriffsereignissen des virtuellen Netzwerkes überwacht, wobei das Änderungsprotokoll einen Datensatz für jedes Zugriffsereignis des virtuellen Netzwerkes umfasst; und wobei die Einrichtung zum Benachrichtigen so eingerichtet ist, dass sie den Netzwerk-Administrator über das Vorhandensein eines Netzwerk-Eindringlings benachrichtigt, wenn ein neues Netzwerk-Zugriffsereignis zu dem Änderungsprotokoll hinzugefügt wird.
System nach Anspruch 15, wobei die Einrichtung zum Benachrichtigen enthält: eine Einrichtung zum Abrufen wenigstens einer Netzwerk-Administrator-Kennung, wenn ein neues Netzwerk-Zugriffsereignis zu dem Änderungsprotokoll hinzugefügt wird; eine Einrichtung, die einen Änderungsprotokolleintrag abruft, der den Netzwerkzugriff anzeigt; eine Einrichtung, die eine Warnmeldung an den wenigstens einen Netzwerk-Administrator zusammenstellt, wobei die Warnmeldung die Identifizierung der Herkunfts- und der Ziel-Netzwerkentitäten und den Änderungsprotokolleintrag umfasst; und eine Einrichtung, die die Warnmeldung zu dem wenigstens einen Netzwerk-Administrator leitet.
Eindringlings-Erfassungssystem nach einem der Ansprüche 9 bis 16, das umfasst; eine Vielzahl von Client-Computern, die mit dem realen Computernetzwerk (40) verbunden sind; einen Server, der mit dem realen Computernetzwerk verbunden ist, wobei der Server so konfiguriert ist, dass er: eine Vielzahl von Client-Computern (60) simuliert; und einen Netzwerk-Administrator benachrichtigt, wenn ein Eindringling versucht, sich Zugriff auf einen der Vielzahl von Client-Computern zu verschaffen.
System nach Anspruch 17, wobei der Server des Weiteren so konfiguriert ist, dass er einen Änderungsprotokolleintrag jedes Server-Zugriffsereignisses aufzeichnet.
System nach Anspruch 17 oder 18, wobei die Vielzahl von Client-Computern ein IP-Netzwerk der Klasse "C" ist.
System nach einem der Ansprüche 17 bis 19, wobei der Server des Weiteren besteht aus: einem Netzwerk-Adressübersetzer; einem IP-Filter; einem Internet-Dienst-Daemon; und einer Vielzahl von Fassadendiensten.
System nach einem der Ansprüche 9 bis 16, das umfasst: einen Speicher mit Programmbefehlen; und einen Prozessor, der so konfiguriert ist, dass er die Programmbefehle verwendet, um eine Vielzahl von Client-Computern zu simulieren, und einen Netzwerk-Administrator zu benachrichtigen, wenn ein Benutzer auf den Server zugreift.
System nach Anspruch 21, wobei der Prozessor des Weiteren so konfiguriert ist, dass er einen Änderungsprotokollsatz jedes Server-Zugriffsereignisses aufzeichnet.