-
Gebiet der
Erfindung
-
Die
vorliegende Erfindung betrifft im Allgemeinen das Gebiet der Datenverarbeitung
und insbesondere ein verbessertes Datenverarbeitungssystem und ein
Verfahren zum Ergreifen von Maßnahmen nach
einem vorsätzlichen
Einbruch unter Verwendung einer grafischen Darstellung der Auswirkung des
Einbruchs.
-
Grundlagen
der Erfindung
-
Die
meisten modernen Unternehmensnetze enthalten Mittel zum Benutzerzugriff
aus der Ferne, normalerweise über
das Internet. Dieser Zugriff ist so gestaltet, dass er berechtigten
Benutzern eine Interaktion mit dem Netz ermöglicht, beispielsweise für elektronischen
Handel, die gemeinsame Nutzung von Inhalten und andere elektronische
Vorgänge.
Da diese Netze so gestaltet sind, dass berechtigte Benutzer problemlos
darauf zugreifen können,
sind sie auch anfällig
für den
Zugriff durch unberechtigte Benutzer, insbesondere jene mit böser Absicht
beim Zugriff auf das Netz. Diese böse Absicht stellt sich in Form
eines "Einbruchs" durch den Benutzer
dar. Ein Einbruch wird definiert als ein vorsätzlicher elektronischer Zugriff
auf das Netz oder einen Computer im Netz. Zu Beispielen für Einbrüche gehören Viren,
und unberechtigte Datenerhebung (durch „Hacker") und Angriffe bezüglich einer verteilten Verweigerung
von Rechenleistung (distributed denial of service – DDOS),
bei denen ein Computersystem durch den Einbruch überlastet wird, so dass keine
wirklichen Arbeitsgänge
mehr ausgeführt
werden können.
-
Ein
Einbruchereignis wird definiert als das Ergebnis (die Auswirkung)
eines Einbruchs. Beispiele für
ein Einbruchereignis sind beschädigte
oder illegal kopierte Datendateien, System-/Computerabstürze und
eine System-/Computerverlangsamung.
-
Das
Ergreifen von Maßnahmen
nach Einbrüchen
ist normalerweise die Aufgabe eines Sicherheitsadministrators, eines
Spezialisten der Informationstechnik, der mit Hilfe einer Risikoverwaltungssoftware
(risk management software) ein Computersystem auf Einbrüche überwacht.
Obwohl es viele bekannte Verfahren zum Erkennen eines Einbruchs und
des Einbruchereignisses gibt, ist das Einleiten von Reaktionen auf
den Einbruch äußerst kompliziert.
Das heißt,
obwohl die Erkennung eines Ereignisses allgemein bekannt ist und
automatisch erfolgen kann, werden das Ergreifen von Maßnahmen und
das Einleiten von Reaktionen im Allgemeinen manuell ausgeführt. Aufgrund
der Komplexität
eines Einbruchs ist es für
den Sicherheitsadministrator schwierig zu bewerten, um welchen Typ
von Einbruch es sich handelt und wie angemessen reagiert werden
kann.
-
Das
Dokument "Intrusion
detection using autonomous agents" von Eugene H. Spafford und Diego Zamboni
interpretiert den Begriff "Einbrucherkennung", leitet wünschenswerte
Eigenschaften eines Einbrucherkennungssystems ab, liefert einen
Vergleich zwischen verschiedenen vorhandenen verteilten und zentralisierten
Systemausführungen
und schlägt
vor, autonome Softwareagenten zur Datenerfassung und -analyse zu
integrieren. In Bezug auf Benutzeroberflächen werden eine grafische
Benutzeroberfläche
(graphical user interface – GUI)
zum interaktiven Zugriff und eine befehlsleitungsbasierte Oberfläche (command
live based interface) in Skriptform zur Wartungsautomation erwähnt.
-
Folglich
besteht ein Bedarf an einem Verfahren und einem System zur Unterstützung des
Sicherheitsadministrators bei der Reaktion auf erkannte Einbrüche, vorzugsweise
auf automatische oder halbautomatische Weise.
-
ZUSAMMENFASSUNG DER ERFINDUNG
-
Die
vorliegende Erfindung betrifft ein Verfahren und ein System zum
Ergreifen von Maßnahmen nach
einem Computereinbruch durch grafisches Darstellen eines Einbruchmusters
eines bekannten vergangenen Einbruchs und anschließendes Vergleichen
des Einbruchmusters eines aktuellen Einbruchs mit dem vergangenen
Einbruch. Falls der bekannte und der aktuelle Einbruch einige oder
alle Ereignisse gemeinsam haben (Einbruchereignisse oder gemeinsam
betroffene Hardware), kann ein Sicherheitsadministrator schriftliche
Antworten ausführen,
um durch den aktuellen Einbruch verursachte Schäden zu beheben oder zumindest
zu verhindern, dass der aktuelle Einbruch noch weiteren Schaden
anrichtet.
-
Das
Einbruchmuster kann entweder auf Einbruchereignissen, die die Auswirkungen
des Einbruchs sind, oder auf Vorgängen beruhen, die eine Signatur
des Einbruchtyps liefern, oder das Einbruchmuster kann auf der vom
Einbruch betroffenen Hardwaretopologie beruhen.
-
Das
Einbruchmuster wird dem Sicherheitsadministrator grafisch angezeigt,
der durch die Ausführung
schriftlicher Antworten reagieren kann, die in einer bevorzugten
Ausführungsform
in jedem Knoten im Einbruchmuster zugeordneten Aufklappfenstern dargestellt
werden. Alternativ kann die Antwort auf den Einbruch automatisch
auf der Grundlage eines festgelegten Prozentsatzes von gemeinsamen
Merkmalen im Einbruchmuster des bekannten vergangenen Einbruchs
und des aktuellen Einbruchs erfolgen.
-
Die
obigen sowie zusätzliche
Zielsetzungen, Merkmale und Vorteile der vorliegenden Erfindung gehen
aus der folgenden ausführlichen
Beschreibung hervor.
-
KURZE BESCHREIBUNG
DER ZEICHNUNGEN
-
Bevorzugte
Ausführungsformen
der vorliegenden Erfindung werden nun lediglich beispielhaft mit
Bezugnahme auf die folgenden Zeichnungen ausführlich beschrieben:
-
1 stellt
ein Blockschaltbild eines Datenverarbeitungssystems in einer bevorzugten
Ausführungsform
der vorliegenden Erfindung dar;
-
2a stellt
ein Einbruchmuster auf der Grundlage von Einbruchereignissen von
vielen verschiedenen Einbrüchen,
darunter ein bekannter vergangener Einbruch, in einer bevorzugten
Ausführungsform
der vorliegenden Erfindung dar;
-
2b zeigt
ein Einbruchmuster auf der Grundlage von Einbruchereignissen eines
unbekannten aktuellen Einbruchs, das mit einem Einbruchmuster eines
bekannten vergangenen Einbruchs übereinstimmt,
in einer bevorzugten Ausführungsform
der vorliegenden Erfindung;
-
3 ist
ein Flussdiagramm einer bevorzugten Ausführungsform der vorliegenden
Erfindung zum automatischen Einleiten von schriftlichen Antworten
für einen
unbekannten aktuellen Einbruch in einer bevorzugten Ausführungsform
der vorliegenden Erfindung;
-
4a zeigt
ein Einbruchmuster auf der Grundlage einer betroffenen Hardwaretopologie
von vielen verschiedenen Einbrüchen,
darunter ein bekannter vergangener Einbruch, in einer bevorzugten Ausführungsform
der vorliegenden Erfindung;
-
4b zeigt
ein Einbruchmuster auf der Grundlage einer betroffenen Hardwaretopologie
eines unbekannten aktuellen Einbruchs, das mit einem Einbruchmuster
eines bekannten vergangenen Einbruchs übereinstimmt, in einer bevorzugten
Ausführungsform
der vorliegenden Erfindung.
-
AUSFÜHRLICHE
BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORMEN
-
Mit
Bezugnahme auf die Figuren und insbesondere mit Bezugnahme auf 1 wird
nun ein Datenverarbeitungssystem 100, das mit einem Netz (nicht
gezeigt) Daten austauschen kann, gemäß einer bevorzugten Ausführungsform
der vorliegenden Erfindung gezeigt. Das Datenverarbeitungssystem 100 kann
beispielsweise eines der von International Business Machines Corporation
von Armonk, New York, erhältlichen
Modelle von Personal Computern oder Servern sein. Das Datenverarbeitungssystem 100 kann
nur einen einzigen Prozessor beinhalten oder ein System mit mehreren
Prozessoren (MP-System) (multiprocessor (MP) system) sein, das eine
Vielzahl von Prozessoren enthält.
Im dargestellten Beispiel wird ein System mit einem einzigen Prozessor
gezeigt. Zum dargestellten System kann ein zweiter Prozessor (nicht
gezeigt) hinzugefügt
werden, der entweder einen gesonderten Cachespeicher der Ebene 2
(L2 cache) aufweist oder den L2-Cachespeicher 108 mit dem
Prozessor 102 gemeinsam nutzt. Der Prozessor 102 kann
ein superskalarer Prozessor mit reduziertem Befehlsvorrat (reduced
instruction set computing (RISC) processor) sein, der gesonderte
Befehls- und Datencachespeicher 104 und 106 der
Ebene 1 (L1) im Prozessor enthält.
-
Der
Prozessor 102 ist mit dem Cachespeicher 108 der
Ebene 2 (Level Two (L2) Cache) verbunden. Der L2-Cachespeicher ist
mit dem Systembus 110 für
das Datenverarbeitungssystem 100 verbunden. Der Systemspeicher 112 ist
ebenfalls mit dem Systembus 110 verbunden, ebenso die Ein-/Ausgabe-(E/A-)Busbrücke 114.
Die E/A-Busbrücke 114 verbindet
den E/A-Bus 118 mit dem Systembus 110, der Datentransaktionen
von einem Bus an einen anderen weiterleitet und/oder neu bearbeitet. Es
können
noch andere Einheiten mit dem Systembus 110 verbunden werden,
beispielsweise ein auf den Speicher abgebildeter Grafikadapter 116,
der Daten der Benutzeroberfläche
an eine Anzeige 124 überträgt.
-
Die
E/A-Busbrücke 114 ist
mit dem E/A-Bus 118 verbunden, der mit einer Vielfalt von
anderen Einheiten verbunden sein kann, beispielsweise mit einer
Eingabeeinheit 126, die eine herkömmliche Maus, eine Rollkugel,
eine Tastatur oder dergleichen sein kann, und mit einem nichtflüchtigen
Speicher 122, beispielsweise einem Festplattenlaufwerk,
einem CD-ROM-Laufwerk,
einem DVD-Laufwerk oder ähnlichen
Speichereinheiten.
-
Mit
dem E/A-Bus 118 ist außerdem
ein Netzadapter 120 verbunden, der eine logische Schnittstelle
mit einem Netz bereitstellt, das ein lokales Netz (local area network – LAN),
ein überregionales
Netz (wide area network – WAN),
das Internet oder ein anderes Netz sein kann, das einen Datenaustausch
von anderen Computern im Netz mit dem Datenverarbeitungssystem 100 ermöglicht.
-
Die
in 1 gezeigte beispielhafte Ausführungsform dient lediglich
zur Erläuterung
einer bevorzugten Ausführungsform
der vorliegenden Erfindung, und Fachleute werden erkennen, dass
zahlreiche Änderungen
sowohl hinsichtlich der Form als auch der Funktion möglich sind.
Beispielsweise können eine
Audiokarte und Lautsprecher, andere E/A-Einheiten und Datenübertragungsanschlüsse und
zahlreiche andere Komponenten zum Datenverarbeitungssystem 100 gehören.
-
Mit
Bezugnahme auf 2a werden nun mögliche Einbruchereignisse
dargestellt, die von vielen verschiedenen Einbrüchen verursacht wurden. Die
Einbruchereignisse sind definiert als durch den Einbruch eingeleitete
Auswirkungen oder Vorgänge. Obwohl
diese Einbruchereignisse in Form eines Baumes gezeigt werden, werden
sie am besten verstanden, indem erkannt wird, dass die dargestellten
Einbruchereignisse miteinander in Zusammenhang stehen. Beispielsweise
soll ein Einbruchpfad 200 betrachtet werden, der durch
einen Einbruch A verursachte Einbruchereignisse (in Kreisen mit
durchgezogener Linie gezeigt) darstellt. Der Einbruch A, der beispielsweise ein
Virus wie "Code
Red" sein kann, ist
ein Einbruch, der mehrere Hosts 202 betrifft, indem er
eine verteilte Verweigerung von Rechenleistung (distributed denial
of service) 204 in einem Hostcomputer 206 erzeugt.
Gemäß der Darstellung
wird der Einbruch A von einem Snort 208 erkannt, bei dem es
sich um ein beispielhaftes Einbrucherkennungssystem handelt, das
eine Echtzeit-Datenverkehrsanalyse und eine Paketprotokollierung
(packet logging) in IP-Netzen ausführen kann. Der Snort 208 kann
eine Protokollanalyse, eine Inhaltssuche bzw. einen Inhaltsvergleich
ausführen
und zum Erkennen einer Vielfalt von Angriffen und Abtastvorgängen verwendet
werden, beispielsweise Pufferüberläufe, heimliche
Anschlussabtastvorgänge
(port scans), Angriffe gegen die Common Gateway Interface (CGI),
Abtastungen des Servernachrichtenblocks (server message block – SMB),
Versuche eines Betriebssystem-Fingerabdrucks (operating system (OS) fingerprinting
attempts) und dergleichen.
-
Der
Einbruch A kann auch eine Antwort von einem Einbrucherkennungssystem
(intrusion detection system – IDS) 210 auslösen, das
jede eingehende und ausgehende Netzaktivität prüft und verdächtige Muster ermittelt, die
möglicherweise
einen Netz- oder Systemangriff von jemandem anzeigen, der versucht,
in das System einzubrechen oder diesem zu schaden. Das IDS 210 erkennt
ein Netzereignis 212, im vorliegenden Beispiel den Einbruch
A, der ein Typ von Einbruchereignis 214 ist, das das gesamte
System beeinflusst und von diesem identifiziert wird.
-
Es
sei darauf hingewiesen, dass der Einbruch A auch andere Teile des
Computersystems beeinflusst, wie durch den Einbruchpfad 200 gezeigt wird.
Das heißt,
der Einbruch A erzeugt auch ein Hostereignis 216, das auf
der Systemebene 218 sowohl ein Speicherereignis 220 als
auch ein Berechtigungsereignis 222 betrifft. Außerdem erzeugt
der Einbruch A ein Perimeterereignis (perimeter event) 224,
das von der Firewall 226 sowohl als Abtastereignis 228 als
auch als ein fehlerhaftes Datenpaket 230 aufweisend erkannt
wird. Wie gezeigt wird, handelt es sich bei dem fehlerhaften Paket 230 um
ein fehlerhaftes Protokollpaket 232 vom Übertragungssteuerprotokoll
(Transmission Control Protocol – TCP).
-
Folglich
ist das durch den Einbruchpfad 200 mit durchgezogenen Linien
gezeigte Muster ein Einbruchmuster mit eindeutiger Signatur für den Einbruch
A. Mit Bezugnahme auf 2b wird nun ein Einbruchpfad 201 auf
der Grundlage von Einbruchereignissen eines unbekannten aktuellen
Einbruchs dargestellt. Die Ursache des aktuellen Einbruchs ist zunächst unbekannt.
Da das Einbruchmuster identisch mit demjenigen des Einbruchs A von 2a ist, kann
der Sicherheitsadministrator des Computernetzes oder des Computers,
in den eingebrochen wurde, jedoch erkennen, dass der aktuelle Einbruch gleich
dem Einbruch A ist oder zumindest auf die gleiche Weise wie dieser
vorgeht.
-
In
einer bevorzugten Ausführungsform
der vorliegenden Erfindung wird jedem Knoten eine schriftliche Antwort
zugeordnet, beispielsweise die dem Ereignis 204 der Verweigerung
von Rechenleistung zugeordnete schriftliche Antwort 204a.
Die schriftliche Antwort ist ein vorformulierter Code zum Ergreifen
von Maßnahmen
nach dem Einbruchereignis. Beispielsweise kann die schriftliche
Antwort 204a ein Programm sein, das entwickelt wurde, um
den das Computersystem betreffenden Einbruch zu isolieren und diesen
anschließend
außer
Kraft zu setzen. Gemäß der Darstellung
sind die schriftlichen Antworten jedem ein Ereignis beschreibenden
Knoten zugeordnet und befinden sich vorzugsweise in einem aktiven
Fenster, beispielsweise einem Aufklappfenster, das die schriftliche
Antwort einleitet, indem das aktive Fenster einfach mit einer Maus
oder einer ähnlichen
Zeigeeinheit angeklickt wird. Obwohl schriftliche Antworten als
einzelne Elemente dargestellt werden, wird in einer anderen bevorzugten
Ausführungsform
eine Liste von mehreren vorgeschlagenen schriftlichen Antworten
dargestellt, die in einem oder allen Knoten im Einbruchpfad 201 aktiv
sind. Die mehreren schriftlichen Antworten werden vorzugsweise mit
Rangordnungen dargestellt, wobei eine der schriftlichen Antworten
aufgrund eines vergangenen Erfolgs unter Verwendung der schriftlichen
Antwort, der Gefährlichkeit
des Einbruchs oder anderer Faktoren, die bei der Entwicklung eines
Risikoverwaltungsprogramms zur Bewertung von Einbrüchen vom
Sicherheitsadministrator festgelegt werden, eine höchste Rangordnung
hat. Beispielsweise kann ein Risikoverwaltungsprogramm sicherstellen,
dass jeder Einbruch, der unternehmenswichtige Daten angreift, selbst
dann isoliert wird, wenn die Isolation nichtbetroffene Teile des
Computersystems abschaltet. In einem solchen Fall wäre die vorgeschlagene Antwort
mit der höchsten
Rangordnung die Abschaltung vieler Bereiche des Computersystems,
und dies würde
entsprechend empfohlen.
-
Es
sei darauf hingewiesen, dass Einbruchpfade nicht identisch sein
müssen,
um dem Sicherheitsadministrator Daten darüber zu liefern, wie auf den
Einbruch reagiert werden muss. Das heißt, falls die bekannten und
unbekannten Einbrüche
eine bestimmte Anzahl von Gemeinsamkeiten in ihren Einbruchpfaden
aufweisen, kann der Sicherheitsadministrator eine Maßnahme einleiten,
die bei den meisten, wenn nicht sogar bei allen schädlichen
Auswirkungen des aktuellen unbekannten Einbruchs Abhilfe schaffen
kann.
-
In
einer Ausführungsform
der vorliegenden Erfindung wird jede schriftliche Antwort vom Sicherheitsadministrator
für jeden
Knoten im Einbruchpfad 201 manuell ausgewählt. Alternativ
kann eine Einstellung ausgewählt
werden, um auf einen Einbruch hin eine vorgeschlagene Antwort mit
der höchsten Rangordnung
für alle
Knoten einzuleiten, wie im Fluss von 3 beschrieben
wird. Wie im Block 302 beschrieben wird, wird ein aktueller
Einbruch erkannt, vorzugsweise von einer Risikoverwaltungseinrichtung,
die einen Einbruch gemäß Eigenschaften des
Einbruchs erkennen kann. Zu solchen Eigenschaften eines Einbruchs
gehören
bekannte Pakete von schädlichen
Vorsatzdaten oder andere empfangene Daten, von Software oder Hardware
im Computersystem ergriffene Maßnahmen,
die charakteristisch bei einem Einbruch sind, beispielsweise das
Abfragen aller Computer in einem Netz nach einer IP-Adresse (Internet
protocol (IP) address), eine plötzliche
Verschlechterung der Computerleistung oder der CPU-Nutzung und ähnliche
Ereignisse oder Zustände.
Die Einbruchereignisse des aktuellen Einbruchs werden mit jenen
eines bekannten Einbruchs verglichen, wie im Block 304 beschrieben
wird. Wie im Abfrageblock 306 gezeigt wird, wird festgestellt, ob
ein festgelegter Prozentsatz von Knoten mit gemeinsamen Ereignissen
sowohl im unbekannten aktuellen Einbruch als auch im bekannten zurückliegenden
Einbruch gefunden wird. Das heißt,
die Einbruchpfade des bekannten und des unbekannten Einbruchs werden
verglichen. Falls der bekannte zurückliegende und der unbekannte
aktuelle Einbruch eine erhebliche Anzahl von Knoten mit gemeinsamen Ereignissen
aufweisen, werden schriftliche Antworten für alle Knoten automatisch ausgeführt, wie
im Block 310 beschrieben wird. Falls es nicht genügend Knoten
mit gemeinsamen Ereignissen zwischen dem bekannten und dem unbekannten
Einbruch gibt, wird der Sicherheitsadministrator aufgefordert, eine schriftliche
Antwort für
jeden Ereignisknoten manuell auszuwählen.
-
Das
Festlegen des automatischen Ausführens
aller schriftlichen Antworten kann auch durch ein Risikoverwaltungsprogramm
im Computersystem erfolgen, das Einbrüche klassifiziert, um festzustellen, ob
eine automatische Antwort aktiviert werden muss. Falls das Risikoverwaltungsprogramm
beispielsweise feststellt, dass der aktuelle Einbruch von einem bekannten
Klassifikationstyp ist oder einen bekannten Schweregrad aufweist,
der einen Absturz des gesamten Systems verursachen könnte, kann
eine automatische Antwort eingeleitet werden. In einer bevorzugten
Ausführungsform
wird der Schweregrad des Einbruchs mit einem Schweregrad der Ergebnisse
einer schriftlichen Antwort verglichen. Das heißt, ein schwerwiegender Einbruch
wird mit einer schriftlichen Antwort verglichen, die eine schwerwiegende Auswirkung
auf das System haben kann, beispielsweise das vorrangige Abschalten
eines Teils des Systems, jedoch kann die schwerwiegende Auswirkung
aufgrund der Schwere des Einbruchs und des möglichen Schadens, den er verursachen
kann, beurteilt werden.
-
Falls
das Risikoverwaltungsprogramm so gestaltet ist, dass es erkennt,
dass die erwartete Antwortzeit bezüglich der Reaktion des Sicherheitsadministrators
wahrscheinlich so lang ist, dass dem System vor dessen Antwort ein
beträchtlicher
Schaden entsteht, kann ebenso eine automatische schriftliche Antwort
eingeleitet werden. Falls ein bestimmter Einbruchpfad in der Vergangenheit
eine erhebliche Anzahl von Malen (nicht nur einmal) zu einer Ausführung von
spezifischen schriftlichen Antworten geführt hat, kann das Risikoverwaltungsprogramm
ebenso die Ausführung
der schriftlichen Antworten auf der Grundlage dieses Protokolls
automatisch einleiten.
-
Wie
in den 2a und 2b gezeigt
wird, haben Einbrüche
neben den Mustern gemeinsamer Ereignisse auch Signaturen hinsichtlich
der in einer Hardwaretopologie betroffenen Hardware. Mit Bezugnahme
auf 4a wird nun Hardware dargestellt, die von einem
Einbruch betroffen werden kann. Ein Einbruchpfad 400, der
in der Figur durch Felder mit fett gedruckten Linien gekennzeichnet
ist, kennzeichnet die Hardwaretopologie eines Computersystems, die
vom oben in 2a beschriebenen Einbruch A betroffen
ist. Folglich verursacht der Einbruch A eine Anomalie im Intranet 402 des
Computersystems eines Unternehmens, das durch ein lokales Netz (LAN) A 404 im
Intranet 402 betroffen ist. Im LAN A 404 sind die
Server 406, die Personal Computer (PCs) 408 und
die Hardware 410 des Einbrucherkennungssystems (IDS) betroffen.
Zu den Servern 406 gehört
ein betroffener Webserver 416, dessen Portal B 418 ebenfalls
vom Einbruch A betroffen ist. Ähnlich
sind alle PCs betroffen, die Betriebssysteme auf der Grundlage von
Windows® ausführen und
als Windows®-basierte 414 PCs
gezeigt werden. Ebenso registriert die IDS-Hardware 410,
die eine Snort-fähige Hardware 412 ausführt, ein
Ereignis, dass der Einbruch erkannt wurde. Folglich zeigt die Hardware
ein Signatur-Einbruchmuster auf eine Weise, die analog zu derjenigen
des oben mit Bezugnahme auf die 2a und 2b beschriebenen
Einbruchmusters des Einbruchereignisses ist.
-
Mit
Bezugnahme auf 4b zeigt nun der Einbruchpfad 401 der
Hardwaretopologie das durch den Einbruch A verursachte Muster. Wenn
ein aktueller unbekannter Einbruch stattfindet, der ein gleiches
oder ähnliches
Muster wie das durch den Einbruchpfad 401 der Hardwaretopologie
gezeigte aufweist, reagiert der Sicherheitsadministrator auf eine ähnliche
Weise, wie sie für
das Einbruchmuster des Einbruchereignisses oben beschrieben wurde.
Folglich beinhaltet jeder Ereignisknoten im Einbruchpfad 401 der
Hardwaretopologie ein zugeordnetes aktives Fenster, das eine oder
mehrere schriftliche Antwort(en) enthält, die analog zu jenen sind,
die oben bei der Beschreibung der 2a und 2b beschrieben
wurden. Wie bei schriftlichen Antworten für Einbruchereignisse können die
im Einbruchpfad 401 der Hardwaretopologie beschriebenen
schriftlichen Antworten gemäß der Darstellung
einzeln oder in Form einer Liste von vorgeschlagenen schriftlichen Antworten
vorliegen, deren Rangfolge vorzugsweise so ist, dass eine höchste schriftliche
Antwort befürwortet
wird. Die schriftlichen Antworten können manuell oder automatisch
auf eine Weise eingeleitet werden, die analog zu derjenigen ist,
die oben für
die Einbruchpfade des Einbruchereignisses beschrieben wurde.
-
Wie
bei der grafischen Anzeige von Einbruchereignissen, die oben in
Bezug auf die 2a und 2b beschrieben
und gezeigt wurden, müssen Einbruchpfade
von bekannten und unbekannten Einbrüchen nicht unbedingt identisch
sein, um dem Sicherheitsadministrator Daten darüber zu liefern, wie auf den
Einbruch reagiert werden muss. Das heißt, falls der bekannte und
der unbekannte Einbruch eine bestimmte Anzahl von Gemeinsamkeiten
in ihren Einbruchpfaden aufweisen, kann der Sicherheitsadministrator
eine Antwort einleiten, die bei den meisten, wenn nicht bei allen
schädlichen
Auswirkungen des aktuellen unbekannten Einbruchs Abhilfe schaffen
kann.
-
Die
schriftlichen Antworten auf den Einbruch können vom Sicherheitsadministrator
lokal oder aus der Ferne auf einen Hinweis hin eingeleitet werden. Beispielsweise
kann der Sicherheitsadministrator einen Hinweis auf einem Funktelefon
oder einem Personal Digital Assistant (PDA) empfangen, der ihn über das
Einbruchereignis benachrichtigt. Der Sicherheitsadministrator kann
sodann einige oder alle der schriftlichen Antworten elektronisch
einleiten, indem er ein interaktives Fenster im PDA anklickt, so dass
die Eingabe von einem Risikoverwaltungsprogramm für das Computersystem
erkannt wird, um die angeforderte(n) schriftliche(n) Antwort(en)
einzuleiten.
-
Die
oben beschriebene bevorzugte Ausführungsform bietet ein Verfahren
und ein Mittel ein Erzeugung und grafischen Darstellung eines Einbruchmusters
eines bekannten Einbruchs zum Vergleich mit einem aktuellen Einbruch,
der für
das Risikoverwaltungsprogramm des Computersystems bekannt oder unbekannt
ist. Nachdem der aktuelle Einbruch gemäß seinem grafisch dargestelltem
Signatur-Einbruchpfad identifiziert wurde, werden schriftliche. Antworten
eingeleitet, um auf den Einbruch zu reagieren und diesen zu steuern.
Die schriftlichen Antworten können
auf protokollierten Daten für
den bekannten Einbruch beruhen. Der bekannte und der aktuelle Einbruch
können
gleich oder verschieden sein, und vorgeschlagene schriftliche Antworten
werden in Verbindung mit einigen oder allen der vom aktuellen Einbruch
betroffenen Ereignis- oder Hardwareknoten im Einbruchpfad grafisch
dargestellt. Die schriftlichen Antworten können einzeln für jeden
Ereignis/Hardwareknoten im Einbruchpfad oder aus einer Rangliste
von vorgeschlagenen schriftlichen Antworten ausgewählt werden.
-
Programme,
die Funktionen der bevorzugten Ausführungsform definieren, können über eine
Vielfalt von signaltragenden Medien, unter anderem – jedoch
nicht ausschließlich – nichtbeschreibbare
Speichermedien (z.B. CD-ROM), beschreibbare Speichermedien (z.B.
eine Diskette, ein Festplattenlaufwerk, eine Lese/Schreib-CD-ROM,
optische Medien), und Datenübertragungsmedien,
beispielsweise Computer- und Telefonnetze einschließlich Ethernet, an
ein Datenspeichersystem oder ein Computersystem übermittelt werden. Wenn solche
signaltragenden Medien computerlesbare Befehle übertragen oder codieren, die
Verfahrensfunktionen der vorliegenden Erfindung steuern, stellen
sie alternative Ausführungsformen
der vorliegenden Erfindung dar.