DE19958638C2

DE19958638C2 - Device and method for individually filtering information transmitted over a network

Info

Publication number: DE19958638C2
Application number: DE19958638A
Authority: DE
Inventors: Rene Holzer; Ramona Wonneberger
Original assignee: NUTZWERK INFORMATIONSGMBH
Current assignee: NUTZWERK INFORMATIONSGESELLSCHAFT MBH, 04315 LEIPZ
Priority date: 1999-12-04
Filing date: 1999-12-04
Publication date: 2002-05-23
Anticipated expiration: 2019-12-05
Also published as: DE19958638A1

Description

Die Erfindung betrifft Vorrichtungen und Verfahren zum indivi duellen Filtern von über ein Netzwerk übertragener Informatio nen, die an ein Nutzergerät gerichtet sind.The invention relates to devices and methods for individual duel filtering of information transmitted over a network nen, which are aimed at a user device.

Aufgrund des starken Wachstums des Internet und seines unstruk turierten, unkontrollierbaren Aufbaus findet man dort eine Rei he von Informationen, die bestimmten Berufsgruppen oder Perso nengruppen nicht zugänglich sein sollten. Insbesondere Kinder sollten keinen Zugang zu Themen wie Gewalt haben. Auch in Un ternehmen besteht ein Bedarf den Zugang zum Internet zu kon trollieren und nur Informationen bereitzustellen, die der Er füllung der Aufgabe des Arbeitnehmers dienen können. Die primä ren Dienste, die kontrolliert werden sollen, sind WWW, Email und FTP. Bekannte Netzwerkfilter, wie sie von CyberPatrol und NetNanny angeboten werden, sind lediglich statischer Natur. Es ist mit ihnen nicht möglich eine nutzerspezifische Filterung von Informationen vorzunehmen. Vielmehr weisen sie eine Daten bank auf, in der alle Seiten gespeichert sind, auf die ein Zu griff nicht zu erfolgen hat bzw. auf die zugegriffen werden kann. Diese Eigenschaft ermöglicht es lediglich diese bekannten Filter in großen Firmennetzwerken einzusetzen, bei denen die Filteranforderungen für eine große Nutzerzahl identisch sind. Eine Verwendung bei Internet-Providern, die eine Vielzahl von unterschiedlichen Nutzern aufweisen, die unterschiedliche Anforderung an die Filterung der Informationen haben, ist hiermit nicht möglich.Due to the strong growth of the Internet and its unstructured tured, uncontrollable structure there is a Rei hey of information related to specific occupations or personalities groups should not be accessible. Especially children shouldn't have access to issues like violence. Even in Un There is a need for companies to access the Internet troll and only provide information that the Er can serve the employee's task. The primary Its services to be controlled are WWW, email and FTP. Known network filters, such as those from CyberPatrol and NetNanny offered are only static in nature. It user-specific filtering is not possible with them of information. Rather, they assign data bank, in which all pages are stored, on which a Zu did not have to be accessed or accessed can. This property only enables these known ones Use filters in large company networks where the Filter requirements for a large number of users are identical. A use by Internet providers that have a variety of have different users, the different requirement to filter the information is hereby not possible.

Aus EP 0762707 ist ein Filter bekannt, der anhand der IP- Adressen eine Filterung vornimmt. Im Gegensatz zu der vorlie genden Erfindung ist die Erfindung aus dieser Druckschrift nicht in der Lage, den Inhalt der übertragenen Daten zu analy sieren.A filter is known from EP 0762707, which is based on the IP Filtering addresses. In contrast to the present The present invention is the invention from this document unable to analyze the content of the transferred data Sieren.

Aus der EP 0957 618 ist ein Filter zu entnehmen, der zusätzlich zu den IP-Adressen den Inhalt der Informationen überprüft. Die Liste der Wörter bildet jedoch lediglich eine Ausschlussliste.A filter can be found in EP 0957 618, which additionally checked the content of the information for the IP addresses. The List of words is only an exclusion list.

Aus der WO 98/41913 ist eine Vorrichtung und ein Verfahren be kannt, die sowohl die IP-Adressen von bestimmten Internet Si tes blockieren als auch eine Liste von Wörtern berücksichtig ten, die nicht in den übertragenen Informationen enthalten sein dürfen.WO 98/41913 describes a device and a method knows both the IP addresses of certain Internet Si block as well as a list of words that are not included in the transmitted information may be.

Aus der US 5996 011 Druckschrift ist eine Vorrichtung und ein Verfahren bekannt, die sowohl die IP-Adressen von bestimmten Internet Sites blockieren als auch eine Liste von Wörtern be rücksichtigten, die nicht in den übertragenen Informationen enthalten sein dürfen. Ferner werden sowohl positive Listen als auch negative Listen geführt, die nacheinander überprüft wer den. Falls ein Begriff nicht in einer positiven Liste enthalten ist, so wird die negative Liste überprüft.From US 5996 011 a device and a Known procedures that both the IP addresses of certain Internet sites also block a list of words accounted for that is not in the transmitted information may be included. Furthermore, both positive lists and also kept negative lists, which are checked one after the other the. If a term is not in a positive list the negative list is checked.

Die WO 99/48261 zeigt eine Firewall, die eine Filterung auf der Basis der IP-Adressen und der Portadressen vornimmt, jedoch keine inhaltsbezogenen Analysen durchführt.WO 99/48261 shows a firewall that filters on the Based on the IP addresses and port addresses, however does not perform content-related analyzes.

Die WO 99/54827 offenbart eine Firewall und einen Proxy, der ausschließlich auf der Basis von IP-Adressen eine Analyse der Internetdaten vornimmt. Eine Überprüfung des Inhalts der Inter netdaten erfolgt nicht.WO 99/54827 discloses a firewall and a proxy that an analysis of the IP address only Internet data. A review of the content of the Inter net data does not take place.

Aufgabe der vorliegenden Erfindung ist es, einen Netzwerkfilter bereitzustellen, der unterschiedliche Filterprofile verwaltet, die einem Nutzer individuellen zugeordnet werden können und de ren Regeln je nach Bedarf angepaßt werden können.The object of the present invention is a network filter that manages different filter profiles, that can be individually assigned to a user and de Ren rules can be adjusted as needed.

Gelöst wird diese Aufgabe durch Vorrichtungen und Verfahren mit den Merkmalen der unabhängigen Ansprüche, insbesondere durch eine Vorrichtung zum individuellen Filtern von über ein Netz werk übertragener Informationen, die an ein Nutzergerät gerich tet sind. Diese Vorrichtung hat mindestens einen Nutzerprofil speicher, in dem nutzerspezifische Filterprofile abgelegt sind. Weiterhin hat sie mindestens ein Eingabegerät, das die zu fil ternden Informationen aus dem Netzwerk empfängt, und mindestens ein Ausgabegerät, das die gefilterten Informationen zum Nutzer gerät sendet. Weiterhin hat die Vorrichtung eine Bearbeitungs einheit, die eine Netzwerkadresse des Nutzergeräts anhand der zumindest einmalig übertragenen Nutzeridentifikationsdaten dem nutzerspezifischen Filterprofil zuordnet und die im folgenden anhand des Filterprofils die Informationen aus dem Netzwerk, die unmittelbar oder mittelbar an die entsprechenden Netzwerk adresse adressiert sind, nach den Kriterien des Filterprofils filtert.This task is solved by devices and methods the features of the independent claims, in particular by a device for individual filtering over a network information transmitted to a user device are. This device has at least one user profile memory in which user-specific filter profiles are stored. It also has at least one input device that can be used to fil receiving information from the network, and at least an output device that provides the filtered information to the user device sends. Furthermore, the device has a machining unit, which is a network address of the user device based on the user identification data transmitted at least once to the assigns user-specific filter profile and the following based on the filter profile, the information from the network, the directly or indirectly to the appropriate network are addressed according to the criteria of the filter profile filters.

Das Netzwerk ist vorzugsweise das Internet, wobei die Vorrich tung zwischen dem Internet und dem Nutzergerät angeordnet ist. Die Vorrichtung kann sowohl logisch als auch physikalisch zwi schen dem Nutzergerät und dem Internet angeordnet sein. Das Eingabegerät, das vorzugsweise eine Netzwerkkarte darstellt, ist mit dem Internet verbunden ist, um Informationen aus dem Internet zu empfangen. Über das Ausgabegerät werden die gefil terten Ergebnisse aus dem Internet dann an das Nutzergerät ü bermittelt. Hierbei ordnet die Bearbeitungseinheit anhand der übertragenen Nutzeridentifikationsdaten ein nutzerspezifisches Filterprofil der IP-Adresse des Nutzergeräts zu. Die Bear beitungseinheit filtert im folgenden anhand des Filterprofils die Informationen aus dem Netzwerk, die unmittelbar oder mit telbar an die entsprechende IP-Adresse adressiert sind oder von ihr stammen, nach den Kriterien des Filterprofils. The network is preferably the Internet, with the device device between the Internet and the user device is arranged. The device can logically as well as physically between be arranged between the user device and the Internet. The Input device, which preferably represents a network card, is connected to the internet to get information from the To receive internet. The filed are via the output device Results from the Internet are then transferred to the user device bermittelt. The processing unit uses the transmitted user identification data a user-specific Filter profile of the IP address of the user device. The Bear The processing unit filters below based on the filter profile the information from the network that is immediate or with are addressed to the corresponding IP address or from you come from, according to the criteria of the filter profile.

In einer weiteren vorteilhaften Ausbildung weist die Vorrich tung zusätzlich die Funktionalität eines bekannten Internet- Proxys auf, der eine lokale Socket-Verbindung zum Nutzergerät aufbaut, über die der Informationsaustausch mit dem Internet erfolgt, wobei anhand der zumindest einmaligen übertragenen Nutzeridentifikationsdaten, die in Abhängigkeit zu der IP- Adresse des Nutzergeräts stehen, die Bearbeitungseinheit das nutzerspezifische Filterprofil der IP-Adresse zuordnet. Die Funktionalität eines Internet-Proxys ist maßgeblich dadurch be stimmt, daß die IP-Adressen der Nutzergeräte auf eine einheit liche IP-Adresse abgebildet werden, wobei diese einheitliche IP-Adresse maskiert wird, um eine Rücktransformation zu erlau ben. Weiterhin weist der Internet-Proxy eine Cache-Funktion auf, die es erlaubt, bereits abgerufene Informationen schneller bereitzustellen.In a further advantageous embodiment, the Vorrich the functionality of a well-known Internet Proxies on a local socket connection to the user device builds up through which the exchange of information with the Internet takes place, based on the at least one transmitted User identification data that depends on the IP Address of the user device, the processing unit assigns user-specific filter profile to the IP address. The The functionality of an Internet proxy is therefore crucial true that the IP addresses of the user devices on one unit IP address are mapped, whereby this uniform IP address is masked to allow a reverse transformation ben. The Internet proxy also has a cache function on, which allows information already retrieved faster provide.

Auch ist es möglich das gewünschte Ergebnis mit einem transpa renten Internet-Proxy zu erreichen. Ein transparenter Proxy lauscht am Informationsverkehr zwischen den Nutzergeräten und dem Internet. Es ist somit nicht notwendig, daß das Nutzergerät eine lokale IP-Verbindung zum Proxy aufbaut. Bei der Verwendung eines transparenten Proxys ist es jedoch notwendig, daß das NAS (Network-Access-System) bei jeder Einwahl eines neuen Nutzerge rätes IP-Adresse und Nutzeridentifikationsdaten an den Informa tionsfilter selbständig überträgt.It is also possible to achieve the desired result with a transpa to reach Internet proxy. A transparent proxy listens to the information traffic between the user devices and the internet. It is therefore not necessary that the user device establishes a local IP connection to the proxy. When using a transparent proxy, however, it is necessary that the NAS (Network access system) every time a new user is dialed in advises IP address and user identification data to the informa tion filter transfers independently.

Weiterhin wird die Aufgabe durch ein Verfahren zum individuel len Filtern von über ein Netzwerk übertragener Informationen, die an ein Nutzergerät gerichtet sind, mit Nutzerprofilen ge löst. Nach der Zuordnung der Netzwerkadresse des Nutzergeräts zu einem Nutzerprofil anhand der zumindest einmalige übertrage nen Nutzeridentifikationsdaten, werden die vom Nutzergerät an geforderten Informationen anhand der im Nutzerprofil gespei cherten Regeln gefiltert. Durch die Regeln werden Mengen an In formationen definiert, die an das Nutzergerät übertragen werden dürfen bzw. die nicht übertragen werden dürfen. Die so defi nierten Mengen können durch bekannte Mengenoperationen ver knüpft werden. Diese Mengen können durch in den Informationen enthaltene Wörter, durch Domain-Namen, durch die Verweilzeit im Internet oder durch die Größe der Informationen bestimmt wer den.Furthermore, the task is individualized through a process len filtering information transmitted over a network, which are aimed at a user device with user profiles solves. After assigning the network address of the user device to a user profile based on the at least one-time transfer NEN user identification data, that from the user device required information based on the information saved in the user profile filtered rules. The rules set amounts of In formations that are transferred to the user device may or may not be transferred. The so defi nated sets can be ver by known set operations be knotted. These amounts can be found in the information Words contained, by domain names, by the time in the Internet or who is determined by the size of the information the.

Weitere vorteilhafte Ausführungsformen sind in den Unteransprü chen aufgeführt. Es folgt eine detaillierte Beschreibung anhand der Zeichnungen. Es zeigt:Further advantageous embodiments are in the subclaims Chen listed. A detailed description follows based on of the drawings. It shows:

Fig. 1 die Anordnung des Informationsfilter zwischen dem In ternet und den Nutzergeräten, wobei die Nutzergeräte über ein NAS mit dem Internet verbunden sind und die Informationen entweder über den Informationsfilter oder einen bereits vorhanden Proxy geleitet werden; . Figure 1 shows the arrangement of the information filter between the In ternet and the user equipment, wherein the user devices are connected via a NAS to the Internet and the information is passed either through the filter or information already available proxy;

Fig. 2 ein Ablaufdiagramm des Verbindungsaufbaus des Nutzerge räts mit dem NAS, wobei sich das Nutzergeräte einwählt und vom NAS eine IP-Adresse zu gewiesen bekommt, die in Verbindung mit den Nutzeridentifikationsdaten vom In formationsfilter ausgelesen werden kann, weiterhin wird gleichzeitig eine Nutzerstatistik geführt; Fig. 2 is a flowchart of the connection establishment of the user device with the NAS, the user device dialing in and being assigned an IP address by the NAS, which can be read out in connection with the user identification data by the information filter; furthermore, user statistics are simultaneously carried out;

Fig. 3 ein Ablaufdiagramm einer Anfrage eines Nutzergeräts, die einmal über einen normalen Proxy geleitet wird und alternativ über einen erfindungsgemäßen Informations filter mit der Funktionalität eines Proxys, der anhand der Regeln überprüft, ob eine Anfrage oder die Antwort auf eine Anfrage zulässig ist; Fig. 3 is a flowchart of a request from a user device that is passed once through a standard proxy and alternatively an inventive information filter with the functionality of a proxy, which checks on the basis of rules to determine whether a request or response is permitted to a request;

Fig. 4 ein Ablaufdiagramm einer Anfrage eines Nutzergeräts, wobei überprüft wird, ob eine Anfrage zu diesem Zeit punkt gestellt werden darf, ob die Internet Adressen zulässig ist, ob der angefragte Dateitypen zulässig ist und ob persönliche Daten weitergegeben werden; FIG. 4 is a flowchart of a request from a user's device, it being checked whether a request should be made point at this time whether the Internet addresses is permitted, if the requested file types is admissible and whether personal data are disclosed;

Fig. 5 ein Ablaufdiagramm einer Antwort auf eine Anfrage eines Nutzergeräts, wobei überprüft wird, ob Schlagwörter enthalten sind, die ausgeschlossen sind, ob die Datei größe überschritten wurde, ob der Domain-Name in der Positivliste enthalten war, wobei Statistiken gespei chert werden. Fig. 5 is a flowchart of a response to a request from a user's device, it being checked whether Tags are included that are excluded if the file has been exceeded in size, if the domain name was included in the positive list, where statistics are chert vomit.

Die Fig. 1 zeigt den Informationsfilter 10 in seiner Anordnung bei einem Provider 24, der einen Zugang zum Internet 17 über ein NAS (Network Access System) 26 ermöglicht. Ein Nutzer 23 wählt sich über sein Nutzergerät 15 vorzugsweise mit Hilfe ei nes Modems beim Provider 24 ein. Andere Formen der Verbindung sind ebenfalls denkbar. So kann eine Einwahl über ein Kabelmo dem, über eine Standleitung oder über Funk erfolgen. Fig. 1 shows the information filter 10 in its arrangement enables an access to the Internet 17 through a NAS (Network Access System) 26 with a provider 24. A user 23 dials in via his user device 15, preferably with the help of a modem, from the provider 24 . Other forms of connection are also conceivable. Dial-in can be made via a cable modem, via a dedicated line or via radio.

Aufgrund der begrenzten Anzahl von IP-Adressen, die den Provi dern zugeteilt werden, werden diese dynamisch erst dann durch das NAS 26 zugeteilt, wenn sie benötigt werden. Hierzu wird ei ne Vorrichtung 13 zum zuweisen von IP-Adressen verwendet, die diese IP-Adressen über ein Modem- oder ISDN-Pool 12, mit denen die Nutzergerätes 15 in Verbindung stehen, an die Nutzergeräte 15 weiterleitet. Das NAS 26 weist weiterhin einen nicht darge stellten Speicherbereich auf, indem die Nutzeridentifikations daten abgelegt werden, um bei einer Einwahl überprüfen zu kön nen, ob der jeweilige Nutzer ein Zugangsrecht hat oder nicht. Weiterhin bietet das NAS 26 die Möglichkeit von außen auf die Nutzeridentifikationdaten zuzugreifen die wiederum in Relation zu der zugewiesenen IP-Adresse gespeichert sind, sobald eine Verbindung aufgebaut wird.Due to the limited number of IP addresses that are assigned to the providers, these are only assigned dynamically by the NAS 26 when they are required. To this end, ei ne device 13 to assign IP addresses is used, the forwards these IP addresses via a modem or ISDN pool 12 with which the user device 15 are connected to the user equipment 15th The NAS 26 also has a memory area (not shown) in which the user identification data are stored in order to be able to check when dialing in whether the respective user has an access right or not. Furthermore, the NAS 26 offers the possibility to access the user identification data from the outside, which in turn is stored in relation to the assigned IP address as soon as a connection is established.

Anhand der Nutzeridentifikationsdaten wird ebenfalls der Be reich bzw. die Maske der IP-Adressen festgelegt, so daß ein Routing über einen Router 16 möglich ist. Hierdurch kann be reits zu diesem Zeitpunkt festgelegt werden, ob die Anfragen und Antworten des Nutzergerätes 15 über den Informationsfilter 10 geleitet werden sollen oder direkt ins Internet. Wie der Fig. 1 zu entnehmen ist, werden Informationen, die nicht über den Informationsfilter 10 geleitet werden sollen, über einen bereits vorhandenen Proxy 11 geleitet. Alternativ können diese Informationen auch direkt ins Internet, ohne dabei einen Proxy verwenden zu müssen, gesendet werden. Based on the user identification data, the area or the mask of the IP addresses is also determined, so that routing via a router 16 is possible. As a result, it can already be determined at this point in time whether the inquiries and answers of the user device 15 are to be routed via the information filter 10 or directly to the Internet. As can be seen from FIG. 1, information that is not to be routed via the information filter 10 is routed via an already existing proxy 11 . Alternatively, this information can also be sent directly to the Internet without having to use a proxy.

Der Informationsfilter 10 weist ein Eingabegeräte 20 und ein Ausgabegerät 21 auf, die im vorliegenden Beispiel sowohl Ein- als auch Ausgabefunktionalitäten aufweisen. Das Eingabegeräte 20 steht mit den Nutzergeräten 15 in Verbindung. Das Ausgabege rät 20 steht über den Router 16 mit dem Internet 17 in Verbin dung. Weiterhin weist der Informationsfilter 10 eine Bearbei tungseinheit 22 und einen Nutzerprofilspeicher 18 auf. Im Nut zerprofilspeicher 18 sind Filterprofile 19 abgelegt, die ein Regelwerk für Anfragen und Antworten beinhalten.The information filter 10 has an input device 20 and an output device 21 , which in the present example have both input and output functionalities. The input device 20 is connected to the user devices 15 . The device advises 20 is connected to the Internet 17 via the router 16 . Furthermore, the information filter 10 has a processing unit 22 and a user profile memory 18 . Filter profiles 19 are stored in the user profile memory 18 and contain a set of rules for inquiries and answers.

Zusätzlich umfaßt der Informationsfilter 10, der vorzugsweise die Funktionalität eines Proxys oder eines transparenten Proxys aufweist, einen Cache-Speicher 25 zum Zwischenspeichern von In formationen. Durch den Cache-Speicher 25 kann ein Zugriff auf Informationen im Internet 17 erheblich beschleunigt werden. Falls diese Information bereits zu einem früheren Zeitpunkt an gefordert wurden, ist es nun nicht mehr notwendig, diese Infor mationen erneut aus dem Internet 17 zu laden.In addition, the information filter 10 , which preferably has the functionality of a proxy or a transparent proxy, comprises a cache memory 25 for temporarily storing information. Access to information on the Internet 17 can be considerably accelerated by the cache memory 25 . If this information has already been requested at an earlier point in time, it is no longer necessary to reload this information from the Internet 17 .

Der Fig. 2 ist der Ablauf der Anmeldung eines Nutzergerätes 15 am NAS 26 zu entnehmen. Das Nutzergerätes 15 wählt sich über den Modem- und ISDN-Pool 12 des NAS 26 ein. Hierbei überprüft das NAS 20 die Nutzeridentifikationsdaten, um festzustellen, ob das Nutzergerät 15 Zugang zum Internet 17 erhalten darf. Wei terhin überprüft das NAS 26 anhand der Nutzeridentifikationsda ten welche IP-Adresse aus dem IP-Pool dem Nutzergeräte 15 zuge ordnet werden soll. Das NAS 26 übermittelt an das Nutzergerät 15 eine IP-Adresse und trägt diese IP-Adresse in eine interne Router-Tabelle ein, um ankommende Antworten an das richtige Nutzergerät 15 weiterzuleiten. Weiterhin ordnete es die IP- Adresse den Nutzeridentifikationsdaten zu. Fig. 2 is shown in the sequence of the application of a user device 15 at the NAS 26th The user device 15 dials in via the modem and ISDN pool 12 of the NAS 26 . Here, the NAS 20 checks the user identification data in order to determine whether the user device 15 may have access to the Internet 17 . Furthermore, the NAS 26 uses the user identification data to check which IP address from the IP pool is to be assigned to the user devices 15 . The NAS 26 transmits an IP address to the user device 15 and enters this IP address in an internal router table in order to forward incoming answers to the correct user device 15 . It also assigned the IP address to the user identification data.

Die Fig. 3 zeigt die Bearbeitung einer Anfrage und einer Ant wort eines Nutzergerätes 15, wobei unterschiedliche Wege be schritten werden. In der ersten Variante erfolgt die Anfrage über einen Proxy 11, der keinen Filter aufweist. Bei einer An frage eines Nutzers wird überprüft, ob diese Anfrage nicht be reits durch die Informationen im Cache-Speicher beantwortet werden kann. Sollte dies der Fall sein, so wird die Antwort aus dem Cache-Speicher gegeben. Ist die Seite nicht vorhanden, so wird eine Verbindung zum Internet aufgebaut und die Seite z. B. von einem WWW-Server geladen. Fig. 3 shows the processing of a request and an Ant word of a user device 15 , wherein different ways be taken. In the first variant, the request is made via a proxy 11 that has no filter. When there is a request from a user, it is checked whether this request cannot already be answered by the information in the cache memory. If this is the case, the answer is given from the cache memory. If the page is not available, a connection to the Internet will be established and the page e.g. B. loaded from a WWW server.

Bei einer Anfrage, die über den Informationsfilter 10 geroutet wird, erfolgt, bevor die Anfrage weitergeleitet wird, eine Ü berprüfung anhand des Filterprofile 19, ob diese Art von Datei von dieser Domain bzw. IP-Adresse zu der gegebenen Zeit geladen werden darf. Sollte ein Anfrage erlaubt sein, so wird, wie be reits oben beschrieben, der Cache-Speicher 25 überprüft, ob die Anfrage durch zwischengespeicherte Informationen beantwortet werden kann. Wenn dies nicht der Fall ist, wird die Information aus dem Internet abgerufen. Die so geladenen Information werden im Cache-Speicher 25 zwischengespeichert. Bevor die Antwort an das Nutzergerät weitergeleitet wird, erfolgt eine Überprüfung der Informationen anhand von Schlagworten. Sollte in der Ant wort ein ausgeschlossenes Schlagwort gefunden werden, so wird die Antwort zurückgehalten und einer weiteren Überprüfung un terzogen. Diese weitere Überprüfung erfolgt anhand einer Posi tivliste, in der alle Domain bzw. IP-Adressen aufgeführt sind, deren Informationen die Schlagworte enthalten dürfen. So kann z. B. das Wort "Gewalt" in einem Artikel der Zeitschrift "Spie gel" aufgeführt werden, wohingegen dieses Wort in einem anderem Zusammenhang ausgeschlossen werden soll. Eine Verknüpfung der Schlagworte mit den Einträgen der Positivliste ist individuell möglich. Weiterhin sind alle Profileinträge variabel zu gestal ten. Nach der Überprüfung der Positivliste wird die Antwort auch auf ihre Größe überprüft. Sollte die Antwort eine vorge schriebene Dateigröße überschreiten, so wird die Antwort eben falls zurückgehalten.In the case of a request that is routed via the information filter 10 , a check is carried out before the request is forwarded on the basis of the filter profile 19 as to whether this type of file can be loaded from this domain or IP address at the given time. If a request is permitted, the cache memory 25 is checked, as already described above, to determine whether the request can be answered by cached information. If this is not the case, the information is retrieved from the Internet. The information loaded in this way is temporarily stored in the cache memory 25 . Before the answer is forwarded to the user device, the information is checked using keywords. If an excluded keyword is found in the response, the answer is withheld and subjected to further review. This further check is carried out on the basis of a positive list in which all domains or IP addresses are listed, the information of which may contain the keywords. So z. B. the word "violence" in an article of the magazine "Spie gel" are listed, whereas this word should be excluded in another context. The keywords can be individually linked to the entries in the positive list. Furthermore, all profile entries are to be made variable. After checking the positive list, the answer is also checked for its size. If the answer exceeds a prescribed file size, the answer will also be held back.

Weiterhin werde Statistiken über das Verhalten aller Nutzer so wie Nutzerstatistiken für einzelne Nutzer geführt. Die Statis tiken enthalten eine Reihe von Informationen. Mögliche Informa tionen sind die Anzahl von Zugriffen im Monat und am Tag, der Durchschnittswert pro Woche, Tag und Stunde, der Zugriff geor dert nach gewählten Domain, z. B. Auswertung pro Land, der Zu- Zugriff geordnet nach gewählten Internet-Adressen, die Anzahl und Größe der heruntergeladener Dateien, die z. B. nach Typ und Größe geordnet sind. Die Auswertung kann dabei sowohl tabella risch als auch graphisch veranschaulicht werde. Weiterhin kön nen Anfragen und Antworten gespeichert werden, deren Zugriff bzw. deren Weiterleitung aufgrund der Regeln unzulässig war. Zusätzlich kann ein Zeitraum bestimmt werden, indem die Infor mationen gespeichert werden. Dies kann z. B. 12 Monate sein.Statistics on the behavior of all users will continue to be like this how user statistics are kept for individual users. The statis Tics contain a range of information. Possible information are the number of accesses per month and per day Average per week, day and hour, access geor depending on the selected domain, e.g. B. Evaluation per country, the Access ordered by chosen Internet addresses, the number and size of the downloaded files, e.g. B. by type and Size. The evaluation can be both tabella be illustrated graphically as well as graphically. Furthermore, Inquiries and answers are saved, their access or whose forwarding was not permitted due to the rules. In addition, a period can be determined by using the Infor mations can be saved. This can e.g. B. 12 months.

Die Fig. 4 zeigt einen detaillierten Ablaufplan der Filterung einer Anfrage. So wird zu Beginn überprüft, ob der Nutzer zum gegeben Zeitpunkt im Internet surfen bzw. ob er darauf zugrei fen darf. Sollte dies der Fall sein, so wird als nächstes ü berprüft, ob die IP-Adressen, an die die Anfrage gerichtet ist, in einer Negativliste bzw. Blockingliste aufgeführt ist. Diese Listen können von anderen Dienstanbietern, wie CyberPatrol, on line bezogen werden. CyberPatrol ist ein Anbieter, der das In ternet regelmäßig auf Domains und IP-Adressen überprüft, deren Inhalt dem Anstandsgefühl des gewöhnlichen Nutzers nicht ent spricht. Auch kann diese Negativliste manuell erweitert werden. Sollte die IP-Adressen nicht in der Negativliste aufgeführt sein, so wird weiter überprüft, ob der angefragt Dateityp über haupt abgerufen werden darf. So können z. B. ftp-Aufträge un terbunden werden, durch die ausführbare Dateien geladen werden, die möglicherweise Viren enthalten. Die Dateiliste enthält eine Reihe von Dateitypen, die nicht aus dem Internet geladen werden dürfen. FIG. 4 shows a detailed flow chart of the filtering of a request. At the beginning, it is checked whether the user is surfing the Internet at the given time or whether he is allowed to access it. If this is the case, the next step is to check whether the IP addresses to which the request is directed are listed in a negative list or blocking list. These lists can be obtained online from other service providers, such as CyberPatrol. CyberPatrol is a provider that regularly checks the Internet for domains and IP addresses, the content of which does not correspond to the decency of the ordinary user. This negative list can also be expanded manually. If the IP addresses are not included in the negative list, it is further checked whether the requested file type can be called up at all. So z. For example, ftp jobs can be prevented from loading executable files that may contain viruses. The file list contains a number of file types that must not be downloaded from the Internet.

Zuletzt wird überprüft, ob persönliche Daten weitergeben wer den. Dies kann z. B. der Fall sein, wenn in Emails Passwörter übertragen werden. Ferner kann verhindern werden, daß bestimmte Dateitypen vom Nutzer versandt werden. Hierdurch wird sicherge stellt, daß keine unternehmenswichtigen Daten in das Internet gelangen.Finally, it is checked whether personal data is passed on the. This can e.g. B. be the case if in emails passwords be transmitted. Furthermore, certain can be prevented File types are sent by the user. This will secure provides that no mission-critical data in the Internet reach.

Fig. 5 zeigt den Ablaufplan der Filterung bei Eintreffen der Antwort. Beim Eintreffen einer Antwort wird der gesamte Inhalt der Antwortet überprüft. Hierbei wird die gesamte Datei auf Schlagwörter überprüft. Eine Liste von Schlagwörter kann z. B. von anderen Diensten bezogen werden. Auch können sie manuell hinzugefügt werden. Sollten bestimmte Schlagwörter enthalten sein, so wird anhand einer Positivliste überprüft, ob von die ser IP-Adresse bzw. Domain Informationen bezogen werden dürfen, die das Schlagwort enthalten. Nach dieser Überprüfung wird die Dateigröße der Information ermittelt und mit der maximal zuläs sigen Dateigröße verglichen. Sollte auch dieses Kriterium er füllt sein, so wird die Information zum Nutzer weitergeleitet. Fig. 5 shows the flow chart of the filtering when the response arrives. When a response arrives, the entire content of the response is checked. The entire file is checked for keywords. A list of keywords can e.g. B. obtained from other services. They can also be added manually. If certain keywords are included, a positive list is used to check whether information containing the keyword can be obtained from this IP address or domain. After this check, the file size of the information is determined and compared with the maximum permissible file size. If this criterion is also met, the information is forwarded to the user.

Der Benutzer bestimmt die Regeln entweder durch einfach gestal tete Formulare, in denen er ein vordefiniertes Regelwerk aus wählen kann, das individuell angepaßt werden kann, oder er sen det eine Email an einen entsprechenden Email-Server. Die in der Email definierten Regeln entsprechen einer bestimmten vorgege benen Syntax. Der Email-Server verarbeitet diese Emails und trägt die Regeln in das entsprechende Filterprofil ein.The user determines the rules either by simply designing them tied forms in which he made up a predefined set of rules can choose that can be customized, or sen sen detects an email to a corresponding email server. The in the Email defined rules correspond to a specific one syntax. The email server processes these emails and enters the rules in the corresponding filter profile.

Die so durch die Regeln bestimmten Mengen können durch Mengen operationen wie Vereinigung, Schnitt und Komplementärmenge mit einander verknüpft werden. Hierbei ist es nicht maßgeblich, ob die Regeln eine Antwortmenge oder eine Fragemenge bestimmt ha ben.The quantities determined by the rules can be defined by quantities operations such as union, intersection and complementary set with be linked together. It is not important here whether the rules determined a set of answers or a set of questions ben.

Eine integrierte Firewall, die in der Regel eine Kombination aus Hardware und Software darstellt, dient zum Schutz des Nut zergerätes vor Angriffen aus dem Internet. Der gesamte Informa tionsaustausch wird ausschließlich über die Firewall geführt. Die Firewall arbeiteten dabei auf verschiedenen Ebenen.An integrated firewall, which is usually a combination from hardware and software is used to protect the groove against attacks from the Internet. All information The exchange of information is carried out exclusively via the firewall. The firewall worked on different levels.

Ein Packet-Filter analysiert die Informationen, die in Form von Datenpaketen übertragen werden, auf der Netzwerkschicht.A packet filter analyzes the information in the form of Data packets are transmitted on the network layer.

Mit Hilfe eines Circuit-Relais werden alle Verbindung am Ein gang der Firewall unterbrochen, um sie dann am Ausgang wieder aufzubauen, damit eine direkte Verbindung des Nutzergerätes mit dem Internet auf der Protokollebende verhindern wird. With the help of a circuit relay, all connections are on The firewall is interrupted in order to return it to the exit to set up, so that a direct connection of the user device with the Internet at the end of the log will prevent.

Mit dem Application-Level-Gateway erfolgt ein Schutz auf der An wendungsebenen. So wird für jede Anwendung ein Gateway-Dienst (Proxy-Dienst) integriert, über den das Nutzergerät mit der entsprechenden Anwendung in das Internet gelangt. Diese Gate way-Dienst gibt es z. B. für Web-Browser und FTP-Clients. Hier durch hat nur der Proxy Zugang zum Internet das Nutzergeräte selber jedoch nicht.The application level gateway provides protection on the An application levels. So there is a gateway service for every application (Proxy service) integrated, via which the user device with the corresponding application reaches the Internet. This gate way service is available e.g. B. for web browsers and FTP clients. here only the proxy has access to the Internet through the user devices but not itself.

Eine weitere Schutzmaßnahmen ist, daß die IP-Adressen der Nut zergerätes durch den Firewall maskiert werden, so daß nur die erfindungsgemäße Vorrichtung Verbindung mit dem Internet hat.Another protective measure is that the IP addresses of the groove devices are masked by the firewall, so that only the device according to the invention has connection to the Internet.

Der Informationsfilter 10 ist vorzugsweise als Hochleistungs rechner ausgebildet, wobei die Bearbeitungseinheit 22 aus einem oder mehreren Mikroprozessoren besteht. Das Eingabegeräte 20 und das Ausgabegerät 21 sind Netzwerkkarten bzw. Netzwerk- Adapter die eine Verbindung zu den entsprechenden Netzwerken bereitstellen. Die Funktionalität dieses Hochleistungsrechner wird vorzugsweise durch Software bestimmt.The information filter 10 is preferably designed as a high-performance computer, the processing unit 22 consisting of one or more microprocessors. The input devices 20 and the output device 21 are network cards or network adapters which provide a connection to the corresponding networks. The functionality of this high-performance computer is preferably determined by software.

Der Nutzerprofilspeicher 18 und der Cache-Speicher 25 sind Standardspeichermedien wie Festplatten oder RAM-Speicher. Es ist ebenfalls möglich, daß der Zugriff auf den Inhalt der Spei cher über hoch performante Datenbanken erfolgt.The user profile memory 18 and the cache memory 25 are standard storage media such as hard disks or RAM memory. It is also possible that the content of the memory is accessed via high-performance databases.

Computersoftware, gekennzeichnet durch die Merkmale des An spruchs 13 und einem oder mehreren seiner Unteransprüche. Computer software, characterized by the features of the An claim 13 and one or more of its subclaims.

reference numeral

1010

Informationsfilter
information filter

1111

Proxy, bereits vorhanden
Proxy, already exists

1212

Modem-, ISDN-Pool
Modem, ISDN pool

1313

Vorrichtung zum Zuweisen von IP-Adressen
Device for assigning IP addresses

1414

Wahlverbindungen
dial-up connections

1515

Nutzergeräte des Nutzers
User devices of the user

1616

Router
router

1717

Netzwerk, Internet
Network, internet

1818

Nutzerprofilspeicher
User Profile Memory

1919

Filterprofil
filter profile

2020

Eingabegerät
input device

2121

Ausgabegerät
output device

2222

Bearbeitungseinheit
processing unit

2323

Nutzer
user

2424

Provider
provider

2525

Cache-Speicher
Cache

2626

NAS (Network Access System)
NAS (Network Access System)

Claims

1. Device for individually filtering information transmitted via a network ( 17 ), which is directed to a user device ( 15 ),
with at least one user profile memory ( 18 ) in which user-specific filter profiles ( 19 ) are stored in the form of a set of rules, the rules defining approval and exclusion amounts for inquiries and answers,
with at least one input device ( 20 ) which receives the queries to be filtered and sends them to the network ( 17 ),
with at least one output device ( 21 ) which sends the filtered responses to the user device ( 15 ),
with at least one machining unit (22), the network address is a network of the user device (15) assigns the basis of the at least once transmitted user identification data to the user-specific filtering profile (19) and below the nut zerspezifischen filter section (19) based on the information from the network (17) that are addressed directly or indirectly to the corresponding network addresses or originate from them, according to the rules of the filter profile ( 19 ).

2. Device according to claim 1, characterized by a further information store ( 25 ) which serves for caching information from the network ( 17 ).

3. Device according to one or more of claims 1 or 2, characterized in that
that the network ( 17 ) is the Internet and the device ( 10 ) is arranged between the Internet ( 17 ) and the user device ( 15 ), and
that the input device ( 20 ) is connected to the Internet ( 17 ) in order to receive information from the Internet ( 17 ), and
that the output device ( 21 ) transmits the filtered results from the Internet ( 17 ) to the user device ( 15 ),
that the processing unit ( 22 ) uses the transmitted user identification data to assign a user-specific filter profile ( 19 ) to the IP address of the user device ( 15 ) and the processing unit ( 22 ) uses the filter profile ( 19 ) to subsequently provide the information from the network ( 17 ) that are addressed directly or indirectly to the corresponding IP address or originate from it, according to the criteria of the filter profile ( 19 ).

4. The device according to one or more of claims 1 to 3, characterized by the functionality of an Internet proxy that establishes a local socket connection to the user device ( 15 ), via which the information exchange with the Internet ( 17 ) follows, based on the at least one transmitted user identification data, which are dependent on the IP address of the user device ( 15 ), the processing unit ( 22 ) assigns the user-specific filter profile ( 19 ) to the IP address and, based on the filter profile ( 19 ), the inquiries of User device ( 15 ) and the information from the Internet ( 17 ), which was requested by the corresponding user device ( 15 ), according to the criteria of the filter profile ( 19 ) in order to then filter the information filtered via the socket connection to the user device ( 15 ) transferred to.

5. The device according to claim 4, characterized in that in the case of information requested by the user device ( 15 ) in the Ca che memory ( 25 ), the information is searched for, in the absence of this information, to forward the request to the Internet ( 17 ), after the arrival or the finding of the information, it is only forwarded to the user device ( 15 ) via the socket connection if the filter profile ( 19 ) allows this.

6. The device according to one or more of claims 1 to 5, characterized in that the Rules determine words that are included in the information may or may not be.

7. The device according to one or more of claims 1 to 6, characterized in that the rules determine domain names, from which the information may or may not be obtained.

8. The device according to one or more of claims 1 to 7, characterized in that the rules the size, the type and / or the time at which the information was accessed will limit.

9. The device according to one or more of claims 1 to 8, characterized in that the rules change user-specifically are cash.

10. The device according to one or more of claims 1 to 9, characterized in that a review of the requested Information on viruses using known detection methods ren is done.

11. The device according to one or more of claims 1 to 10, characterized by the functionality of a firewall, wherein
the input device ( 20 ) is designed as an input and output device,
the output device ( 21 ) is designed as an input and output device, and
the device ( 10 ) via the input and output devices ( 20 , 21 ) physically connects the user device ( 15 ) to the Internet ( 17 ) and a direct physical connection to the Internet ( 17 ) is not possible for the user device ( 15 ) ,

12. The device according to one or more of claims 1 to 11, characterized in that statistical information about the request behavior for each user profile is saved.

13.A method for individually filtering information transmitted via a network in the form of inquiries and responses which are directed to a user device, with individual user profiles for a user device and / or its user, the user profiles being determined by a computer-readable control system and the rules define several user-specific admission quantities and exclusion quantities for inquiries and answers, at which
in one step, a network address of the user device is assigned to the user profile on the basis of the at least one transmitted user identification data, and
in a further step, based on the user-specific filter profile, the information from the network that is addressed directly or indirectly to the corresponding network addresses or originates from it is filtered according to the rules of the filter profile.

14. The method according to claim 13, characterized in that the Establishing a connection to the network through a user device, the the network address assigned to the user device and the user IDs identification data are stored in relation to each other and can be loaded to select the user profile, with the Establishing the connection is checked whether a specific groove zerprofil is available to this, if it exists, too enable and filter the information.

15. The method according to one or more of claims 13 and 14, characterized in that the network is the Internet, the Access to the Internet through a network access server (NAS) that follows the user identification data in relation to the Network address saves and access to this information allowed.

16. The method according to claim 15, characterized in that the NAS actively transmits the user identification data when a new user has registered.

17. The method according to claim 15, characterized in that the NAS passively transmits the user identification data when ei a request is made to him.

18. The method according to one or more of claims 13 to 17, characterized in that a local network connection with each user device is set up, via the information in Form of requests and responses are transmitted, the Network addresses of the user devices when requesting a Network address shown with a corresponding masking and be forwarded to the Internet, and if the Responses arrive back transformed.

19. The method according to one or more of claims 13 to 18, characterized in that the answers over a longer period Period can be cached in order to restart ask for a shorter response time by using the between saved responses are transferred.