DE102005001150B4

DE102005001150B4 - Verfahren zur Einrichtung von verteilten Filtern in einem Paket-orientierten Netz basierend auf abstrakten Sicherheits-Vorgaben

Info

Publication number: DE102005001150B4
Application number: DE102005001150A
Authority: DE
Inventors: Joachim Dr. Charzinski; Birger Toedtmann
Original assignee: Siemens AG
Current assignee: Nokia Solutions and Networks GmbH and Co KG
Priority date: 2005-01-10
Filing date: 2005-01-10
Publication date: 2006-11-16
Anticipated expiration: 2025-01-11
Also published as: US20090249468A1; CN101116307A; DE102005001150A1; EP1839422A1; WO2006072618A1

Abstract

Verfahren zur Einrichtung von verteilten Filtern in einem Paket-orientierten Netz basierend auf Sicherheits-Vorgaben demzufolge
– nach Maßgabe vorgegebener, formal formulierter Sicherheits-Vorgaben dafür relevante Netzelemente des Netzes ausgewählt werden,
– die Sicherheits-Eigenschaften der Netzelemente bereitgestellt werden,
– für einen Paket-Fluss die Netzelemente lokalisiert werden, die eine Umsetzung der Sicherheits-Vorgaben erbringen,
– in den lokalisierten Netzelementen den Sicherheits-Vorgaben entsprechende Filter aktiviert werden und
– für einen Paket-Fluss auf Basis der Netz-Topologie alle möglichen Pfade zusammenstellt und für alle möglichen Kombinationen von Filtern entsprechend der Fähigkeiten der Netzelemente für diesen Pfad die Güte der Sicherheits-Vorgabe bestimmt werden.

Description

Der Anmeldungsgegenstand bezieht sich auf eine automatisierte Entwicklung und Einsatz effizienter verteilter Filter in paketorientierten heterogenen Netzen
Der Anmeldungsgegenstand betrifft ein Verfahren zur Einrichtung von verteilten Filtern in einem Paket-orientierten Netz basierend auf Sicherheits-Vorgaben mit den Merkmalen des Anspruchs 1.
In paketorientierten Netzen (z.B. Ethernet-Netze oder IP-Netze), die mit weiteren Netzen verbunden sind, müssen Schutzmechanismen eingesetzt werden, um

• die Endkunden der Netze vor Angriffen (z.B. Viren, Würmer, Eindringversuche in Rechner, Distributed Denial of Service (D)DoS) über das Netz zu schützen
• die Netzelemente vor Angriffen zu schützen

Dazu werden an ausgewählten Stellen des Netzes sog. Firewalls eingesetzt, aber auch Paketfilter in Routern, Dienste-Servern (z.B. Softswitch) oder Ethernet Switches (auch Digital Subscriber Line Access Modul DSLAM) konfiguriert. Die Konfigurationen all dieser Filter sollten aufeinander abgestimmt sein, damit

• kein Netzelement ungeschützt bleibt, d.h. das Schutzziel wirklich erreicht wird
• nicht die Fehlkonfiguration eines Netzelementes zur Umgehung der Filter anderer Netzelemente genutzt werden kann
• Filter in einem heterogenen Netz auf denjenigen Netzelementen konfiguriert werden, die die entsprechenden Funktionen unterstützen können
• in einem Netzelement nicht mehr Filter konfiguriert werden müssen als dieses unterstützen kann (entweder wegen harter Grenzen, z.B. von Tabellen- oder Listengrößen, oder aus Performance-Gründen)
• Funktionen nicht unnötigerweise redundant und mehrfach ausgeführt werden

Die Abstimmung der Konfigurationen, die Erstellung der jeweiligen Konfigurationsdateien und die Durchführung der Konfiguration werden heute von Hand durchgeführt. Es gibt Management-Systeme, die für eine Klasse von Netzelementen (z.B. für die Firewalls eines Herstellers in einem Netz) eine koordinierte Konfiguration anbieten.

Aus der EP 1 484 860 A1 ist ein System zur automatischen Ermittlung und Konfigurierung externer Sicherheits-Netztopologien bekannt, wobei insbesondere in Software realisiere Firewalls mittels eines broadcast Mechanismus' adressiert werden.

Aus der US 2004/0044780 A1 ist ein System zum Inhaltsbasierten Routen von Daten bekannt, bei dem in dazwischen liegenden Zugangsknoten Filter nach Maßgabe der Daten von Interesse konfigurierbar sind.

Aus der US 2003/0014665 A1 ist eine Bereitstellung von Filtern in Netzelementen im Sinne einer Einrichtung von verteilten Filtern zur Abwehr von DDoS-(Distributed Denial of Service) Angriffen bekannt.

Dem Anmeldungsgegenstand liegt das Problem zugrunde, ein System zu schaffen, das eine koordinierte Konfiguration für mehrere Klassen von Netzelementen, für die Elemente verschiedener Hersteller und mit automatischer Optimierung der Verteilung der Funktionen unter Bestimmung der Güte der Sicherheits-Vorgabe bewerkstelligt.

Das Problem wird durch die Merkmale des Anspruchs 1 gelöst.

Der Netzbetreiber muss keine langwierigen und fehlerträchtigen Konfigurationen von Sicherheitsfunktionen von Hand erstellen. Er muss nicht von Hand versuchen, die Funktionen passend auf die Netzelemente zu verteilen. Über die Bestimmung der Güte erhält er ein Maß für die Einhaltung der Sicherheits-Vorgabe.

Vorteilhafte Weiterbildungen des Anmeldungsgegenstandes sind in den Unteransprüchen angegeben.

Der Anmeldungsgegenstand wird im Folgenden als Ausführungsbeispiel in einem zum Verständnis erforderlichen Umfang anhand von Figuren näher erläutert. Dabei zeigen:
1 eine erfindungsgemäße Anordnung zum Einrichten einer Zugangs-Sicherheits-Vorgabe und
2 eine Implementierung der Anordnung zum Einrichten einer Zugangs-Sicherheits-Vorgabe in einem Netz.
2 zeigt eine schematische Darstellung eines mit Knoten/Netzelementen gebildeten Netzes, das ein Management System aufweist. Die Netzelemente können sich nach Hardware-Plattform, Betriebssystem, installierten Filtern/installierter Filtersoftware und darüber hinaus nach der installierten Version der Software unterscheiden, womit das Netz eine heterogene Struktur aufweist.
1 zeigt eine prinzipielle Anordnung für das Zusammenwirken eines Netzes, das einen Zugangs-Sicherheits-Vorgabe Ausführungs-Punkt APEP (für: access policy enforcment point) aufweist, mit einer Netzmanagementeinrichtung NM und einem Zugangs-Sicherheits-Vorgabe -Einrichtungs-Punkt APCP (für: access policy configuration point). Auf Ansteuerung einer Netzmanagement-Steuerung NMC (für: Network-Management-Control) analysiert eine Netz-Aufklärungs-Einrichtung ND (für: Network-Discovery) die Struktur des Netzes und übergibt die Ergebnisse in eine Topology-Datenbank TDB (für: Topology-Data-Base). In dem Zugangs-Sicherheits-Vorgabe -Einrichtungs-Punkt wird zu Beginn (Start) in dem Aktionspunkt ITDB (für: Import Technology Data Base) die Daten aus der Topology-Datenbasis des Netzwork Managements verfügbar gemacht. In dem Entscheidungspunkt CTDB (für: Cababilities in Topology-Data Base) wird abgefragt, ob für die einzelnen Netzelemente die Fähigkeiten ihrer Sicherheitsmaßnahmen abgespeichert sind.
Wenn die Abfrage in dem Entscheidungspunkt CTDB positiv ist (yes) wird in dem Aktionspunkt PFP (für: Parth Filter Policy) unter Berücksichtigung einer von außen zugeführten Sicherheitsrichtlinie Polcfg (für: Policy Configuration) eine formale Formulierung dieser Richtlinien erstellt. In dem Aktionsfeld CC (für: Call Classifier) wird eine Liste der relevanten Netzelemente als gültig für die weitere Bearbeitung unter Berücksichtigung der vorliegenden Zugangsvorgabe erstellt. Die Funktion Call Classifier liefert beispielsweise auf die Zuordnungsvorgabe „Alle Router" einen Satz von IP-Adressen und Schnittstellennamen, wobei die Funktion die Topology-Datenbasis abfragt, um die erforderlichen IP-Adressen zu erhalten. Beispielsweise wird die Vorgabe „Alle Router und Management Server" übersetzt in 10.0.0/8 und 10.1.1. Hierbei werden die Präfixe in vorteilhafter Weise aggregiert, um eine aussagekräftige Beschreibung für „Alle Router" zu erhalten. In dem Aktionspunkt PPS (für Parth Protokoll Specification) wird die Protokoll-Spezifikations-Datenbasis Protocfg abgefragt, um einen gültigen Ausdruck für Aussagen wie „über Management Protokoll" zu erhalten was eine invariante Vorgabe ist, die entsprechend dem verwendeten Protokoll substantiiert werden muss. In dem Aktionsfeld CFL (für: Computed Filter Location) werden die besten Filter-Plazierungen ermittelt, die für einen spezifischen Paketfluss geeignet sind. Nachdem die Pfade, über die die zugangskontrollierten Paketflüsse laufen sich mit der Änderung des Netzwerk-internen Routings ändern können berücksichtigt die CFL mehrere Pfade und fügt weiteren Knoten weitere Filter zu. Die Filterplatzierungsfunktion mag eine Einschätzung über die Sicherheitseigenschaften der vorgeschlagenen Konfiguration geben und darüber hinaus eine Abschätzung wie sich diese Eigenschaften bei einer Änderung des Routings verändern. In dem Aktionspunkt Filter Syntax Bestimmung CFS (für: Compute Filter Syntax) werden mit Unterstützung einer Syntax Datenbasis SDB (für: Syntax Data Base) die korrekte Syntax Specifikation für die Plattform und das Betriebssystem der einzelnen Knoten, wo die Filter angeordnet werden, ermittelt, um die bislang noch unvollständigen Filterstatements auf reale, arbeitsfähige Filterregeln umzusetzen. Hierzu kann in vorteilhafter Weise XML stylesheet formating eingesetzt werden für die Umsetzung auf syntaktisch korrekte Regeln. In dem Aktionspunkt EFS (für: Export Filter Statement) werden die syntaktisch korrekten Filterregeln in die Topology-Datenbasis des Network-Managements gegeben, von wo sie über eine Knotenkonfigurationseinrichtung NC (für: Note Configurator) zu den jeweiligen Knoten weitergeleitet werden, wo die Filterregeln implementiert werden.
Das erfindungsgemäße System erlaubt es einem Netzbetreiber, Sicherheitsrichtlinien in einer abstrakten Formulierung vorzugeben und das System dann

• nach einer Analyse einer Netzkonfiguration und der vorhandenen Netzelemente
• die Realisierung dieser Sicherheitsrichtlinien automatisch auf die Möglichkeiten der verschiedenen Netzelemente abbildet
• die Verteilung der verschiedenen Sicherheitsfunktionen in den verschiedenen Netzelementen so optimiert, dass (1) das Schutzziel erreicht wird, (2) kein Netzelement zu viele Konfigurationseinträge erhält und (3) Funktionen nicht redundant implementiert werden

Das System bekommt z.B. von einem Netzmanagementsystem NM eine Netzbeschreibung (Topologie, Adressen, Netzelemente) geliefert. Zusätzlich benötigt es eine Abbildungsvorschrift, die allgemein angibt, welche Funktionen welches Netzelement unterstützt (z.B. Paketfilter, stateful firewall, Filterung auf MAC-Adressen-Ebene). Außerdem enthält das System Abbildungsvorschriften für die Konfiguration von Funktionen für Netzelemente in der jeweiligen Konfigurationssprache (z.B. Command line interface CLI für verschiedene Netzelemente wie Router von Cisco, Juniper M/T, Juniper E, Ethernet Switch von Siemens, Firewall von Checkpoint, etc.).
Das System erstellt (falls nötig) in einem ersten Schritt aus der abstrakten Formulierung der Sicherheitsrichtlinien eine formale Formulierung dieser Richtlinien, optimiert dann die Verteilung der Funktionen auf die Netzelemente und generiert schließlich für jedes Netzelement in dessen Konfigurationssprache eine Konfigurationsdatei.
Optionen und Erweiterungen

a. Vorgabe einer Klassifizierung der Netzelemente mit Prioritäten, welche Arten von Funktionen vorzugsweise in welcher Art von Netzelementen durchgeführt werden sollen
b. Vorgabe einer Abbildungsfunktion, die im Sinne einer Zielfunktion einer Optimierung eine Qualität angibt als Funktion der relativen Füllung von Filtertabellen bezüglich ihrer Grenzen und/oder als Funktion der Anzahl von Filteroperationen oder -regeln.
c. automatische Berechnung einer Gütefunktion zur Bewertung des Grades der Erreichung des Schutzzieles auf der Basis der erzeugten Konfigurationen
d. Verwendung der Gütefunktion von Option c als Zielfunktion einer Optimierung
e. automatische Konfiguration durch das System oder durch ein angeschlossenes Netzmanagementsystem
f. Möglichkeit, gezielt eine Komponente der Sicherheitsrichtlinie zeitweise zu deaktivieren und automatische Erstellung der entsprechenden Konfigurationskommandos
g. Vorgabe einer bestehenden Konfiguration mit der Maßgabe, das Schutzziel mit möglichst wenig Änderungen im Vergleich zur bestehenden Konfiguration vorzunehmen
h. Kombination des Systems mit einem System zur automatischen Generierung eines Adressenplans
i. Verwendung des Systems zur optimierten Positionierung beispielsweise von Firewall-Systemen (Netzplanung zur Bereitstellung von Sicherheitsfunktionen)
j. Einsatz des Systems in einem Netz, in dem nur Ethernet-Switches oder nur IP-Router zu konfigurieren sind.
k. Kombination mit einem System zur automatischen formalen Verifikation der Konfiguration im Bezug auf die vorgegebenen Sicherheitsrichtlinien
l. Realisierung der Optionen c und d durch einen Mechanismus, der auf Basis der Topologie alle denkbaren Pfade zusammenstellt und für alle möglichen Kombinationen von Filtern entsprechend der Fähigkeiten der Netzelemente auf diesen Pfad die Güte der Lösung bewertet
m. Realisierung von Option l mit geeigneten Heuristiken zur Beschränkung des Lösungsraumes

Claims

Verfahren zur Einrichtung von verteilten Filtern in einem Paket-orientierten Netz basierend auf Sicherheits-Vorgaben demzufolge – nach Maßgabe vorgegebener, formal formulierter Sicherheits-Vorgaben dafür relevante Netzelemente des Netzes ausgewählt werden, – die Sicherheits-Eigenschaften der Netzelemente bereitgestellt werden, – für einen Paket-Fluss die Netzelemente lokalisiert werden, die eine Umsetzung der Sicherheits-Vorgaben erbringen, – in den lokalisierten Netzelementen den Sicherheits-Vorgaben entsprechende Filter aktiviert werden und – für einen Paket-Fluss auf Basis der Netz-Topologie alle möglichen Pfade zusammenstellt und für alle möglichen Kombinationen von Filtern entsprechend der Fähigkeiten der Netzelemente für diesen Pfad die Güte der Sicherheits-Vorgabe bestimmt werden.
Verfahren nach Anspruch 1 dadurch gekennzeichnet, dass die Aktivierung der Filter für jedes Netzelement durch Generierung einer Konfigurationsdatei in dessen Konfigurationssprache erfolgt.
Verfahren nach einem der vorstehenden Ansprüche dadurch gekennzeichnet dass der Grad an Sicherheit, die ein Filter bietet, schrittweise reduziert wird bis eine Sicherheits-Vorgabe noch eingehalten wird.
Verfahren nach einem der vorstehenden Ansprüche dadurch gekennzeichnet, dass die formale Formulierung der Sicherheits-Vorgaben aus einer abstrakten Formulierung der Sicherheits-Vorgaben abgeleitet wird.
Verfahren nach einem der vorstehenden Ansprüche gekennzeichnet durch eine Vorgabe einer Klassifizierung der Netzelemente mit Prioritäten, welche Arten von Funktionen in welcher Art von Netzelementen durchgeführt werden sollen.
Verfahren nach einem der vorstehenden Ansprüche gekennzeichnet durch die Vorgabe einer Abbildungsfunktion, die im Sinne einer Zielfunktion einer Optimierung eine Qualität angibt als Funktion der relativen Füllung von Filtertabellen bezüglich ihrer Grenzen und/oder als Funktion der Anzahl von Filteroperationen oder -regeln.
Verfahren nach einem der vorstehenden Ansprüche gekennzeichnet durch eine automatische Berechnung einer Gütefunktion zur Bewertung des Grades der Erreichung der Sicherheits-Vorgabe auf der Basis der erzeugten Konfiguration.
Verfahren nach Anspruch 7 gekennzeichnet durch die Verwendung der Gütefunktion als Zielfunktion einer Optimierung.
Verfahren nach einem der vorstehenden Ansprüche gekennzeichnet durch eine automatische Konfiguration durch das Netzmanagementsystem.
Verfahren nach einem der vorstehenden Ansprüche gekennzeichnet durch zeitweises Deaktivieren einer Komponente der Sicherheits-Vorgabe zur automatischen Erstellung entsprechender Konfigurations kommandos.
Verfahren nach einem der vorstehenden Ansprüche gekennzeichnet durch Vorgabe einer bestehenden Konfiguration mit der Maßgabe, die Sicherheits-Vorgabe mit wenigen Änderungen im Vergleich zur bestehenden Konfiguration vorzunehmen.
Verfahren nach einem der vorstehenden Ansprüche dadurch gekennzeichnet, dass es mit einem System zur automatischen Generierung eines Adressenplans zusammenwirkt.
Verfahren nach einem der vorstehenden Ansprüche dadurch gekennzeichnet, dass eine Positionierung eines Firewall-Systemes erfolgt.
Verfahren nach einem der vorstehenden Ansprüche dadurch gekennzeichnet, dass es in dem nur mit Ethernet-Switches gebildeten Netz durchgeführt wird.
Verfahren nach einem der vorstehenden Ansprüche 1 bis 13 dadurch gekennzeichnet, dass es in dem nur mit IP-Routern gebildeten Netz durchgeführt wird.
Verfahren nach einem der vorstehenden Ansprüche dadurch gekennzeichnet, dass es mit einem System zur automatischen Verifikation der Konfiguration im Bezug auf die vorgegebenen Sicherheits-Vorgaben zusammenwirkt.