按照本发明专利技术的用于监控安全网络网关单元（23）、例如防火墙的方法包括如下方法步骤：复制并且耦合输出在第二接口（22）上的数据流；在不容许的数据业务方面检验被耦合输出的数据流；如果在数据流中识别出不容许的数据业务，则向安全网络网关单元发送报警消息；和如果该报警消息在安全网络网关单元（23）中被接收，则通过该安全网络网关单元限制数据流；其中所述安全网络网关单元（23）通过第一接口（21）接收数据包流、相对于过滤规则检验该数据流并且将该数据流输出给第二接口（22）。按照本发明专利技术的设备或系统包括被这样构造为以便执行所提到的方法的单元。
【技术实现步骤摘要】
【国外来华专利技术】
本专利技术涉及一种用于监控网络网关单元的方法、设备和系统以及计算机程序和存储介质，所述网络网关单元通过第一接口接收数据包流，相对于过滤规则检验该数据流并且将该数据流输出给第二接口。
技术介绍
安全网络网关单元(例如防火墙(Firewall))被安装在网络边界上，以便实现不同程度地关键性的网络区域的受控的耦合。在此，进行数据业务(Datenverkehr)的过滤，使得只允许通过容许的数据业务。在工业自动化系统(诸如在铁路自动化中的信号塔或者列车控制装置)中，在例如制造自动化的生产车间中，或者例如在过程自动化中的精炼厂或者酿造厂中，关键性的自动化区域关于安全方面与一般的网络(例如办公室网络)相耦合。为此，采用并且配置安全网关或防火墙，使得只有被容许的数据业务可以通过。在此，数据流按照可配置的过滤规则被过滤。由于在实施安全网络网关单元中的错误或者由于在其配置、尤其是其过滤规则中的错误，或者也由于安全网络网关单元通过对该单元本身的攻击而妥协(Kompromittieren)，存在安全网络网关单元有错误地工作并且本来使不容许的数据包允许通过的可能性。迄今，安全网络网关单元的可能的不便之处通过如下方式被减轻:多个安全网络网关单元(例如多个防火墙)相继地被接通。在此，尤其是使用不同制造商的网络网关单元。然而这有缺点:延迟或抖动(Jitter)由于更长的处理时间而增加并且因此对于实时通信的要求不被满足。另一方面，在安全网络网关单元中的过滤规则必须不断地被更新，以便可以保护、尤其是防御对(例如通过病毒或者蠕虫引起的)新的攻击。在某些工业自动化环境下，对完整性适用高要求，使得安全网络网关单元或在其中被实施的过滤规则必须被容许，并且安全网络网关单元的配置或者过滤规则或反病毒软件(Ant1-Viren-Software)的改变或更新是不容许的。此外必须保证:通过安全网络网关单元到自动化网络中的数据流不被改变，尤其是没有额外的数据包通过网络网关单元被馈入到自动化网络中。在DE 10 2011 007 387中，例如安全网络网关单元的自监控是公知的。在此，检验对于发出的数据包是否已经接收到对应的进入的数据包。由此可以保证:网络网关单元没有在功能失误的情况下自己产生数据包。
技术实现思路
因此，本专利技术的任务是提出一种方法、一种设备和一种系统，所述方法将不容许的数据业务在转变到安全相关的(sicherheitsrelevant)数据网络中的情况下可靠地过滤并且即使在有错误的安全网络网关单元的情况下确保在安全相关的数据网络中的数据完整性。在此，安全网络网关单元的无反作用应该被保证，也就是说不允许额外的数据包通过安全网络网关单元被引入到安全网络中。该任务由在独立权利要求中所描述的措施来解决。在从属权利要求中，本专利技术的有利的扩展方案被示出。按照本专利技术的用于监控安全网络网关单元(例如防火墙)的方法包括如下方法步骤:复制并且耦合输出(Auskoppeln)在第二接口上的数据流;在不容许的数据业务方面检验被耦合输出的数据流;如果在数据流中识别出不容许的数据业务，则向安全网络网关单元发送报警消息；和如果该报警消息在安全网络网关单元(23)中被接收到，则通过该安全网络网关单元限制该数据流;其中所述安全网络网关单元通过第一接口接收数据包流、相对于过滤规则检验该数据流并且将该数据流输出给第二接口。因为数据流在位于安全网络网关单元之后并且在安全相关的数据网络之内的第二接口上被分接，所以安全网络网关单元的功能失误可以通过检验该被过滤的数据流而被识别出。另一优点是，在这种怀疑(Verdacht)的情况下，安全网络网关单元关于此被通知并且因此可以非常迅速地发起用于限制数据流的措施。在此，因为作为从报告该怀疑得到的结果仅仅进行通过安全网络网关单元、尤其是防火墙来限制数据流，所以阻止了将消息引入到安全相关的数据网络本身中、也就是到第二接口中。因此，例如有容许义务的或者被证明的安全网络网关单元通过被更新的过滤软件在监控单元中被监控，而无须适配并且由此重新容许或者证明该网络网关单元本身的配置或软件版本。在指示不容许的数据业务的情况下，该数据业务被安全网络网关单元限制。安全网络网关单元可以(也许通过附加信息)在报警消息中根据该附加信息来采取合适的措施。在一个有利的实施形式中，按照本专利技术的方法包括如下附加的方法步骤:复制并且耦合输出在第一接口上的数据流；比较在第一接口上的数据流与在第二接口上的数据流;和如果第二接口的数据流区别于第一接口的数据流，则向安全网络网关单元发送报警消息。这有优点:也由安全网络网关单元成功地防御的不容许的数据业务被识别出。在这种情况下，根据所做出的预给定可以配置:进行到安全网络网关单元(例如防火墙)的有约束力(restriktiv)的运行方式的更换。由此也识别出，不曾存在于第一接口上的新的数据包被引入到安全相关的数据网络中，并且数据流立即被安全网络网关单元限制。在一个有利的实施形式中，通过激活安全网络网关单元的置换过滤规则(Ersatz-Filterregeln)来进行数据流的限制。因此，用于受限制的运行的相协调的和例如被容许的过滤规则或有约束力的过滤规则可以事先被限定并且在怀疑不容许的数据进入到安全相关的数据网络的情况下，这些规则立即可以被激活。因此，在网络网关的尽可能小的停止时间(Ausfallzeit)的情况下快速避开危险是可执行的。在一个有利的实施形式中，通过利用受保护的起动软件重新起动安全网络网关单元或者通过利用置换固件重新起动安全网络网关单元或者通过在防火墙中从活跃的(aktive)虚拟机更换到置换虚拟机来进行对数据流的限制。通过重新起动安全网络网关单元，在许多情况下可以撤销在网络网关单元的软件上的操纵，因为在重新起动的情况下该软件又被转置到最初的原始状态下。在嵌入式系统(所谓的Embedded System)的情况下，利用置换固件可以将重新起动复位，所述置换固件或者对应于最初的网络网关单元的原始状态或者包括更严格的过滤规则。在此，该置换固件可以被存放在只读存储器(Read Only Memory)中或者在闪存中，所述只读存储器和闪存在防火墙的正常运行中是不可修改的。在将安全网络网关单元实施为虚拟机的情况下，通过从活跃的虚拟机更换到置换虚拟机可以达到相对应的效果。在此，在更换期间的停止时间特别小。因此，到安全相关的数据网络中的数据业务只是很短地被中断。在另一有利的实施形式中，通过停用防火墙的第二接口和/或通过停用防火墙的第一接口来进行对数据流的限制。如果第二接口被停用，那么决定性(definitiv)地保证，不可以将其它数据渗入到安全网络中。由于到达的数据流，过滤器的溢出或安全网络网关单元的损坏通过停用网络网关单元的第一接口而被避免。在另一有利的实施形式中，通过停用安全网络网关单元的供电来进行数据流的限制。因此，越过网络边界的数据流的物理中断被保证。该措施有优点:不管也当前第1页1 2 3 4 本文档来自技高网...
【技术保护点】
用于监控安全网络网关单元（23）的方法，所述安全网络网关单元（23）通过第一接口（21）接收数据包流、相对于过滤规则检验数据流并且向第二接口（22）输出所述数据流，所述方法具有方法步骤：－ 复制并且耦合输出（11）在第二接口（22）上的数据流，－ 在不容许的数据业务方面检验（12）被耦合输出的数据流，－ 如果在数据流中不容许的数据业务（12）被识别出，则向安全网络网关单元（23）发送（14）报警消息（28），并且－ 如果报警消息（28）在安全网络网关单元（23）中被接收到，则通过所述安全网络网关单元（23）限制（15）所述数据流。
【技术特征摘要】
【国外来华专利技术】...
【专利技术属性】
技术研发人员：R法尔克，D冯奥海姆布，U布勒歇尔，
申请(专利权)人：西门子公司，
类型：发明
国别省市：德国;DE
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。