(57)【特許請求の範囲】
【請求項１】
セキュリティサービスを提供するための装置であって、
データストレージと、
データストレージに通信可能に結合され、
複数のウェブページまたはファイルに対応する複数のセキュリティポリシーをデータストレージに格納し、
第１のウェブページまたはファイルを受信し、
第１のウェブページまたはファイルのコンテンツに基づいて第１の識別子を決定し、
第１の識別子に基づいて複数のセキュリティポリシーから第１のセキュリティポリシーを選択し、
第１のセキュリティポリシーを第１のウェブページまたはファイルに適用し、
第２のウェブページまたはファイルを受信し、
第２のウェブページまたはファイルのコンテンツに基づいて第２の識別子を決定し、
第２の識別子に基づいて、複数のセキュリティポリシーが第２のウェブページまたはファイルに対する有効なセキュリティポリシーを含んでいないと判断し、
複数のセキュリティポリシーが有効なセキュリティポリシーを含んでいないという判断に応じて、セントラルインスタンスに対し、第２のウェブページまたはファイルのアドレスを含むセキュリティ分析要求を送信する
ように構成されたプロセッサと
を備える、装置。
【請求項２】
第１の識別子の決定が、
第１のウェブページまたはファイルにハッシュ計算を適用する
ようにプロセッサを構成することを含む、請求項１に記載の装置。
【請求項３】
第１のセキュリティポリシーの適用が、
第１のセキュリティポリシーに基づいてクライアントにメッセージを送信する
ようにプロセッサを構成することを含む、請求項１に記載の装置。
【請求項４】
第１のセキュリティポリシーの適用が、
第１のセキュリティポリシーに基づいてクライアントにメッセージを送信し、
クライアント応答を受信し、
クライアント応答に基づいてウェブページまたはファイルを承認または拒否する
ようにプロセッサを構成することを含み、
第１のセキュリティポリシーが、潜在的なセキュリティリスクの警告を含む、請求項１に記載の装置。
【請求項５】
プロセッサが、
第１のウェブページまたはファイルを分割して複数の分割された第１のウェブページまたはファイルにする
ようにさらに構成され、
第１の識別子が、複数の分割された第１のウェブページまたはファイルの１つに対応する、請求項１に記載の装置。
【請求項６】
プロセッサが、
セントラルインスタンスからセントラルインスタンス応答を受信し、
セントラルインスタンス応答に基づいて第２のセキュリティポリシーを決定し、
第２のセキュリティポリシーを第２のウェブページまたはファイルに適用する
ようにさらに構成された、請求項１に記載の装置。
【請求項７】
プロセッサが、
１つまたは複数の保存メトリックに基づいて複数のセキュリティポリシーを更新するようにさらに構成され、１つまたは複数の保存メトリックが、
データストレージ中の複数のセキュリティポリシーの占有された格納スペース、
複数のセキュリティポリシーに対応するウェブページまたはファイルの地理的分類、
複数のセキュリティポリシーに対応するウェブページまたはファイルのソース、および
複数のセキュリティポリシーに対応するウェブページまたはファイルが将来受信される確率の判断
のうちの少なくとも１つを含む、請求項１に記載の装置。
【請求項８】
セキュリティサービスを提供するための装置であって、
データストレージと、
データストレージに通信可能に結合され、
ウェブページまたはファイルのアドレスを含む、ウェブページまたはファイルを分析するよう求める要求を受信し、
ウェブページまたはファイルのセキュリティ分析を行い、
セキュリティ分析に基づいてセントラルインスタンスポリシーを決定し、
複数のライトインスタンスを決定し、
複数のライトインスタンスに、セントラルインスタンスポリシーを含んだ更新メッセージを送信する
ように構成されたプロセッサと
を備える、装置。
【請求項９】
複数のライトインスタンスの決定が、ウェブページまたはファイルのコンテンツの分類に基づく、請求項８に記載の装置。
【請求項１０】
セキュリティサービスを提供するための方法であって、
データストレージに通信可能に結合されたプロセッサにおいて、複数のウェブページまたはファイルに対応する複数のセキュリティポリシーをデータストレージに格納するステップと、
データストレージと連携しているプロセッサによって、第１のウェブページまたはファイルを受信するステップと、
データストレージと連携しているプロセッサによって、第１のウェブページまたはファイルのコンテンツに基づいて第１の識別子を決定するステップと、
データストレージと連携しているプロセッサによって、第１の識別子に基づいて複数のセキュリティポリシーから第１のセキュリティポリシーを選択するステップと、
データストレージと連携しているプロセッサによって、第１のセキュリティポリシーを第１のウェブページまたはファイルに適用するステップと、
データストレージと連携しているプロセッサによって、第２のウェブページまたはファイルを受信するステップと、
データストレージと連携しているプロセッサによって、第２のウェブページまたはファイルのコンテンツに基づいて第２の識別子を決定するステップと、
データストレージと連携しているプロセッサによって、複数のセキュリティポリシーが、第２の識別子に基づいて第２のウェブページまたはファイルに対する有効なセキュリティポリシーを含んでいないと判断するステップと、
データストレージと連携しているプロセッサによって、複数のセキュリティポリシーが有効なセキュリティポリシーを含んでいないという判断に応じて、セントラルインスタンスに対し、第２のウェブページまたはファイルのアドレスを含むセキュリティ分析要求を送信するステップと
を含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して、クラウドネットワークにおいてセキュリティサービスを提供するための方法および装置に関する。
【背景技術】
【０００２】
この項では、本発明のよりよい理解を促す際に役立つ可能性のある諸態様を紹介する。したがって、この項で述べることは、この観点において読まれるべきであり、従来の技術にあるもの、または従来の技術にないものについての承認と理解されるべきではない。
【０００３】
いくつかの知られているセキュリティ方式では、アンチウイルスアプリケーションおよびアンチマルウェアアプリケーションが、ユーザのコンピュータ上に、またはネットワークエッジに格納されて、コンピューティングデバイスをマルウェアの感染および他の攻撃から保護する。
【０００４】
いくつかの他の知られているセキュリティ方式では、アンチウイルスサービスおよびアンチマルウェアサービスの複数のインスタンスがクラウドに置かれ、ユーザのコンピューティングデバイスからのトラフィックが、クラウドを介してアンチウイルスインスタンスおよびアンチマルウェアインスタンスにルーティングされて、コンピューティングデバイスをマルウェアの感染および他の攻撃から保護する。
【発明の概要】
【課題を解決するための手段】
【０００５】
様々な実施形態は、いくつかのセキュリティデバイスにおいて軽いセキュリティインスタンス（すなわち、ライトインスタンス）を実行し、選ばれたセキュリティデバイスにおいてセキュリティサービスの完全なセキュリティインスタンス（すなわち、セントラルインスタンス）を実行する分散型セキュリティサービスを提供する方法および装置を提供する。受信されたまたは送信されたクライアントコンテンツセグメントは、ライトインスタンスに向けられ、ライトインスタンスは、クライアントコンテンツセグメントが以前に分析されていて、有効なセキュリティポリシーを有する場合、クライアントコンテンツセグメントに対応するセキュリティポリシーを適用する、さもなければ、クライアントコンテンツセグメントをセントラルインスタンスに送信して分析されるようにする。セントラルインスタンスは、次いでクライアントコンテンツセグメントに完全なセキュリティ分析を行い、クライアントコンテンツセグメントに対応するセキュリティポリシーを決定し、決定したセキュリティポリシーをライトインスタンスの１つまたは複数にプッシュすることができる。有利には、分散型セキュリティサービス配信が、高度に安全で、ネットワーク効率が高く、費用対効果の大きいセキュリティサービスを提供することができる。
【０００６】
１つの実施形態では、分散型セキュリティサービス配信を提供するための装置が提供される。この装置は、データストレージと、データストレージに通信可能に結合されたプロセッサとを含む。プロセッサは、複数のクライアントコンテンツセグメントに対応する複数のセキュリティポリシーをデータストレージに格納し、第１のクライアントコンテンツセグメントを受信し、第１のクライアントコンテンツセグメントのコンテンツに基づいて第１のクライアントコンテンツセグメント識別子を決定し、第１のクライアントコンテンツセグメント識別子に基づいて複数のセキュリティポリシーから第１のセキュリティポリシーを選択し、第２のクライアントコンテンツセグメントを受信し、第２のクライアントコンテンツセグメントのコンテンツに基づいて第２のクライアントコンテンツセグメント識別子を決定し、第２のクライアントコンテンツセグメント識別子に基づいて、複数のセキュリティポリシーが第２のクライアントコンテンツセグメントに対する有効なセキュリティポリシーを含んでいないと判断し、複数のセキュリティポリシーが有効なセキュリティポリシーを含んでいないという判断に応じて、セントラルインスタンスにセキュリティ分析要求を送信するように構成される。
【０００７】
いくつかの実施形態では、第１のセキュリティポリシーは、第１のクライアントコンテンツセグメントを承認する、拒否する、または隔離する、のうちの少なくとも１つを含む。
【０００８】
いくつかの実施形態では、第１のクライアントコンテンツセグメント識別子の決定は、プロセッサが第１のクライアントコンテンツセグメントにハッシュ計算を適用するようにプログラムすることを含む。
【０００９】
いくつかの実施形態では、第１のセキュリティポリシーの適用は、プロセッサが第１のセキュリティポリシーに基づいてクライアントにメッセージを送信するようにプログラムすることを含む。
【００１０】
いくつかの実施形態では、第１のセキュリティポリシーの適用は、プロセッサが第１のセキュリティポリシーに基づいてクライアントにメッセージを送信し、クライアント応答を受信し、クライアント応答に基づいてクライアントコンテンツセグメントを承認する、または拒否するようにプログラムすることを含む。ここで、第１のセキュリティポリシーは、潜在的なセキュリティリスクの警告を含む。
【００１１】
いくつかの実施形態では、プロセッサはさらに、第１のクライアントコンテンツセグメントを分割して、複数の分割された第１のクライアントコンテンツセグメントにするようにプログラムされる。ここで、第１のクライアントコンテンツセグメント識別子は、複数の分割された第１のクライアントコンテンツセグメントの１つに対応する。
【００１２】
いくつかの実施形態では、第１のクライアントコンテンツセグメントの分割は、動的コンテンツに基づいている。
【００１３】
いくつかの実施形態では、プロセッサはさらに、セントラルインスタンスからセントラルインスタンス応答を受信し、セントラルインスタンス応答に基づいて第２のセキュリティポリシーを決定し、第２のセキュリティポリシーを第２のクライアントコンテンツセグメントに適用するようにプログラムされる。
【００１４】
いくつかの実施形態では、プロセッサはさらに、複数のセキュリティポリシーに有効期限ポリシーを適用し、さらに複数のセキュリティポリシーが有効なセキュリティポリシーを含んでいないという判断を、有効期限ポリシーに基づいて行うようにプログラムされる。
【００１５】
いくつかの実施形態では、有効期限ポリシーは、第２のクライアントコンテンツセグメントのソースに基づいている。
【００１６】
いくつかの実施形態では、プロセッサはさらに、セントラルインスタンスから更新メッセージを受信し、更新メッセージに基づいて複数のセキュリティポリシーを更新するようにプログラムされる。
【００１７】
いくつかの実施形態では、プロセッサはさらに、１つまたは複数の保存メトリック（ｐｒｅｓｅｒｖａｔｉｏｎ  ｍｅｔｒｉｃ）に基づいてセキュリティポリシーを更新するようにプログラムされる。１つまたは複数の保存メトリックは、データストレージにおける複数のセキュリティポリシーの占有格納スペース、複数のセキュリティポリシーに対応するクライアントコンテンツセグメントの地理的分類、複数のセキュリティポリシーに対応するクライアントコンテンツセグメントのソース、および複数のセキュリティポリシーに対応するクライアントコンテンツセグメントが将来受信される確率の決定のうちの少なくとも１つを含む。
【００１８】
第２の実施形態では、分散型セキュリティサービス配信を提供するための装置が提供される。この装置は、データストレージと、データストレージに通信可能に結合されたプロセッサとを含む。プロセッサは、クライアントコンテンツセグメントを分析するよう求める要求を受け取り、クライアントコンテンツセグメントのセキュリティ分析を行い、セキュリティ分析に基づいてセントラルインスタンスポリシーを決定し、複数のライトインスタンスを決定し、複数のライトインスタンスに、セントラルインスタンスポリシーを含んだ更新メッセージを送信するように構成される。
【００１９】
いくつかの実施形態では、セントラルインスタンスポリシーは、クライアントコンテンツセグメントに適用するためのセキュリティポリシー、およびクライアントコンテンツセグメントのセキュリティリスクのうちの少なくとも１つを含む。
【００２０】
いくつかの実施形態では、セキュリティリスクは、セキュリティリスク評価である。
【００２１】
いくつかの実施形態では、複数のライトインスタンスの決定は、クライアントコンテンツセグメントのコンテンツの分類に基づいている。
【００２２】
いくつかの実施形態では、複数のライトインスタンスの決定は、複数のライトインスタンスに対応する複数の地理的位置に基づいている。
【００２３】
いくつかの実施形態では、更新メッセージは、クライアントコンテンツセグメント識別子、セントラルインスタンスポリシーに対応する有効期限パラメータ、およびクライアントコンテンツセグメントのコンテンツタイプのうちの少なくとも１つをさらに含む。
【００２４】
第３の実施形態では、セキュリティサービスを提供するためのシステムが提供される。システムは、複数のライトインスタンスと、複数のライトインスタンスに通信可能に結合されたセントラルインスタンスとを含む。複数のライトインスタンスは、複数のクライアントコンテンツセグメントに対応する複数のセキュリティポリシーを格納し、第１のクライアントコンテンツセグメントを受信し、第１のクライアントコンテンツセグメントのコンテンツに基づいて第１のクライアントコンテンツセグメント識別子を決定し、第１のクライアントコンテンツセグメント識別子に基づいて複数のセキュリティポリシーから第１のセキュリティポリシーを選択し、第１のセキュリティポリシーを第１のクライアントコンテンツセグメントに適用し、第２のクライアントコンテンツセグメントを受信し、第２のクライアントコンテンツセグメントのコンテンツに基づいて第２のクライアントコンテンツセグメント識別子を決定し、第２のクライアントコンテンツセグメント識別子に基づいて複数のセキュリティポリシーが第２のクライアントコンテンツセグメントに対する有効なセキュリティポリシーを含んでいないと判断し、複数のセキュリティポリシーが有効なセキュリティポリシーを含んでいないという判断に応じてセントラルインスタンスにセキュリティ分析要求を送信するようにプログラムされる。セントラルインスタンスは、セキュリティ分析要求を受信し、クライアントコンテンツセグメントのセキュリティ分析を行い、セキュリティ分析に基づいてセントラルインスタンスポリシーを決定し、複数のライトインスタンスを決定し、複数のライトインスタンスに、セントラルインスタンスポリシーを含んだ更新メッセージを送信するようにプログラムされる。
【００２５】
第４の実施形態では、セキュリティサービスを提供するための方法が提供される。この方法は、データストレージに複数のクライアントコンテンツセグメントに対応する複数のセキュリティポリシーを格納することと、第１のクライアントコンテンツセグメントを受信することと、第１のクライアントコンテンツセグメントのコンテンツに基づいて第１のクライアントコンテンツセグメント識別子を決定することと、第１のクライアントコンテンツセグメント識別子に基づいて複数のセキュリティポリシーから第１のセキュリティポリシーを選択することと、第１のセキュリティポリシーを第１のクライアントコンテンツセグメントに適用することと、第２のクライアントコンテンツセグメントを受信することと、第２のクライアントコンテンツセグメントのコンテンツに基づいて第２のクライアントコンテンツセグメント識別子を決定することと、第２のクライアントコンテンツセグメント識別子に基づいて複数のセキュリティポリシーが第２のクライアントコンテンツセグメントに対して有効なセキュリティポリシーを含んでいないと判断することと、複数のセキュリティポリシーが有効なセキュリティポリシーを含んでいないという判断に応じてセントラルインスタンスにセキュリティ分析要求を送ることとを含む。
【００２６】
いくつかの実施形態では、第１のセキュリティポリシーは、第１のクライアントコンテンツセグメントを承認する、拒否する、または隔離する、のうちの少なくとも１つを含む。
【００２７】
いくつかの実施形態では、第１のクライアントコンテンツセグメント識別子を決定するステップは、第１のクライアントコンテンツセグメントにハッシュ計算結果を適用することを含む。
【００２８】
様々な実施形態が、添付の図面に示される。
【図面の簡単な説明】
【００２９】
【図１】分散型セキュリティサービス配信アーキテクチャ１００の一実施形態を含むクラウドネットワークを示す図である。
【図２】クラウドネットワークにおいて分散型セキュリティサービス配信を提供するための方法２００の一実施形態を示すフローチャートである。
【図３】ライトインスタンス（例えば、図１のライトインスタンス１４０の１つ）が図２のステップ２３０に示すようにクライアントコンテンツセグメントに軽いセキュリティインスタンスを適用する方法３００の一実施形態を示すフローチャートである。
【図４】セントラルインスタンス（例えば、図１のセントラルインスタンス１６０）が図２のステップ２４０に示すようにクライアントコンテンツセグメントを分析する方法４００の一実施形態を示すフローチャートである。
【図５】ライトインスタンス（例えば、図１のライトインスタンス１４０の１つ）がクライアントコンテンツセグメントに対応する（１つまたは複数の）格納済みセキュリティポリシーを更新する方法５００の一実施形態を示すフローチャートである。
【図６】図１のライトインスタンス１４０の１つ、または図１のセントラルインスタンス１６０のような、様々な装置６００の一実施形態を概略的に示す図である。
【発明を実施するための形態】
【００３０】
理解を容易にするため、実質的に同じもしくは同様の構造、または実質的に同じもしくは同様の機能を有する要素を示すために、同一の参照符号を使用している。
【００３１】
説明および図面は、本発明の原理を示すにすぎない。したがって、本明細書には明示的に記載または表示されていないが、本発明の原理を具体化し、本発明の範囲内に含まれる様々な仕組みを当業者は考案することができるであろうと理解される。さらに、本明細書に列挙するすべての例は、原則として、発明者により当技術分野の促進をもたらす本発明の原理および概念を理解する際に読者の助けとなるように、明らかに教育上の目的のためにすぎないものとし、このような具体的に列挙した例および条件に限定しないものであると解釈されたい。さらに、本明細書で使用する「または（ｏｒ）」という用語は、別段の指示（例えば、「さもなければ（ｏｒ  ｅｌｓｅ）」または「あるいは（ｏｒ  ｉｎ  ｔｈｅ  ａｌｔｅｒｎａｔｉｖｅ）」）がない限り、非排他的なまたはを指す。また、本明細書に記載する様々な実施形態は、必ずしも相互排他的であるとは限らず、いくつかの実施形態は、１つまたは複数の他の実施形態と結合されて、新しい実施形態を形成することができる。
【００３２】
様々な実施形態は、いくつかのセキュリティデバイスにおいてライトインスタンスを実行し、選ばれたセキュリティデバイスにおいてセキュリティサービスのセントラルインスタンスを実行する分散型セキュリティサービスを提供する方法および装置を提供する。受信されたまたは送信されたクライアントコンテンツセグメントは、ライトインスタンスに向けられ、ライトインスタンスは、クライアントコンテンツセグメントが以前に分析されていて、有効なセキュリティポリシーを有する場合、クライアントコンテンツセグメントに対応するセキュリティポリシーを適用する、さもなければ、クライアントコンテンツセグメントをセントラルインスタンスに送信して分析されるようにする。セントラルインスタンスは、次いでクライアントコンテンツセグメントに完全なセキュリティ分析を行い、クライアントコンテンツセグメントに対応するセキュリティポリシーを決定し、決定したセキュリティポリシーをライトインスタンスの１つまたは複数にプッシュすることができる。
【００３３】
図１は、分散型セキュリティサービス配信アーキテクチャ１００の一実施形態を含むクラウドネットワークを示す。分散型セキュリティサービス配信アーキテクチャ１００は、クライアント通信パスを通じてライトインスタンス１４０ａ−１４０ｃ（集合的に、ライトインスタンス１４０）を介してクライアントコンテンツセグメントを送信または受信する１つまたは複数のクライアント１２０ａ−１２０ｇ（集合的に、クライアント１２０）を含む。クライアント通信パスは、クライアント通信チャネル１２５ａ−１２５ｇ（集合的に、クライアント通信チャネル１２５）の１つと、クライアントネットワーク１３０ａ−１３０ｃ（集合的に、クライアントネットワーク１３０）の１つと、クライアントに面する（ｆａｃｉｎｇ）ライトインスタンス通信チャネル１３５ａ−１３５ｃ（集合的に、クライアントに面するライトインスタンス通信チャネル１３５）の１つとを含むことができる。ライトインスタンス１４０の対応する１つが、クライアントコンテンツセグメントに適用するためのセキュリティポリシーを識別することができない場合、ライトインスタンス１４０の対応する１つが、セントラルインスタンス通信パスを通じてクライアントコンテンツセグメントをセントラルインスタンス１６０へ送信して、クライアントコンテンツセグメントの完全なセキュリティ分析を行う。セントラルインスタンス通信パスは、セントラルインスタンスに面するライトインスタンス通信チャネル１４５ａ−１４５ｇ（集合的に、セントラルインスタンスに面するライトインスタンス通信チャネル１２５）の１つと、セントラルインスタンスネットワーク１５０と、セントラルインスタンス通信チャネル１６５とを含むことができる。
【００３４】
本明細書で使用される「クライアントコンテンツセグメント」という用語は、クライアント通信チャネル１２５を通じて送信または受信されることが可能であるいかなるコンテンツも含んでいると広く理解されるべきである。例えば、クライアントコンテンツセグメントは、パケット、パケットのストリーム、ファイル、ファイルブロック、デジタル文書、前述の任意の部分などであることがある。
【００３５】
クライアント１２０は、通信チャネル１２５の１つまたは複数を通じて１つまたは複数のクライアントコンテンツセグメントを送信することまたは受信することができる任意のタイプまたは数のクライアントマシンとすることができる。例えば、クライアント１２０は、シンクライアント（例えば、クライアント１２０−ａ）、スマートフォン（例えば、クライアント１２０−ｂ）、パーソナルコンピュータまたはラップトップコンピュータ（例えば、それぞれクライアント１２０−ｃおよびクライアント１２０−ｄ）、サーバ（例えば、クライアント１２０−ｅ）、ネットワークデバイス（例えば、クライアント１２０−ｆ）、タブレット、テレビのセットトップボックスなどであることがある。クライアント１２０は、例示的システム内の他のリソースに依存して、処理または格納のような、タスクの一部を行うことがある、または個々にタスクを行うことができることがある。
【００３６】
通信チャネル１２５、１３５、１４５、および１６５は、無線通信（例えば、ＬＴＥ、ＧＳＭ(登録商標)、ＣＤＭＡ、ブルートゥース）、フェムトセル通信（例えば、ＷｉＦｉ）、パケットネットワーク通信（例えば、ＩＰ）、ブロードバンド通信（例えば、ＤＯＣＳＩＳおよびＤＳＬ）、ストレージ通信（例えば、Ｆｉｂｒｅ  Ｃｈａｎｎｅｌ、ｉＳＣＳＩ）などのような、１つまたは複数の通信チャネルを通じた通信に対応する。単一接続として示しているが、通信チャネル１２５、１３５、１４５、および１６５は、任意の数の通信チャネルまたは通信チャネルの組合せであってもよいことを理解すべきである。
【００３７】
クライアントネットワーク１３０およびセントラルインスタンスネットワーク１５０は、例示のシステム１００の他のデバイス（例えば、クライアント１２０、ライトインスタンス１４０、またはセントラルインスタンス１６０）間の通信を提供するように構成されたデバイスまたはデバイス群とすることができる。例えば、ネットワーク１３０およびセントラルインスタンスネットワーク１５０は、ＬＴＥ、ＧＳＭ、ＣＤＭＡ、（１つまたは複数の）ローカルエリアネットワーク（ＬＡＮ）、（１つまたは複数の）ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）などを含む、いかなる組合せおよびいかなる数の無線、有線、またはフェムトセルネットワークとすることもできる。
【００３８】
ライトインスタンス１４０は、クライアントコンテンツセグメントに対してセキュリティサービスの軽いインスタンスを適用するいかなる装置であってもよい。具体的には、軽いインスタンスが、クライアントコンテンツセグメントが以前に分析されていて、ライトインスタンスがクライアントコンテンツセグメントに対応する有効なセキュリティポリシーを格納しているかどうかを判断する。ライトインスタンスが対応する有効なセキュリティポリシーを有する場合、ライトインスタンスは、格納されたセキュリティポリシーを適用し、さもなければ、ライトインスタンスは、クライアントコンテンツセグメントを分析するために要求をセントラルサーバ１６０に送信する。格納済みセキュリティポリシーは、クライアントコンテンツセグメントの先のセキュリティ分析（例えば、セントラルインスタンス１６０によって行われた分析）の結果として確立されたセキュリティポリシーに基づく。本明細書では３つのライトインスタンスを示しているが、システム１００は、より少ないまたはより多くのライトインスタンスを含むことがあることを理解すべきである。
【００３９】
セントラルインスタンス１６０は、クライアントコンテンツセグメントに対して完全なセキュリティサービスインスタンスを適用するいかなる装置であってもよい。具体的には、完全なセキュリティサービスインスタンスは、クライアントコンテンツセグメントを分析して、クライアントコンテンツセグメントが潜在的にセキュリティリスクを含んでいるかどうかを判断し、判断に基づいたセントラルインスタンスポリシーをライトインスタンス１４０の１つまたは複数に送信する。本明細書では１つのセントラルインスタンスを示しているが、システム１００は、より多くのセントラルインスタンスを含むことがあることを理解すべきである。
【００４０】
いくつかの実施形態では、１つまたは複数のクライアントネットワーク１３０またはセントラルインスタンスネットワーク１５０は、ネットワークの一部またはネットワーク全体を共有することがある。例えば、ネットワーク１３０−ａおよびネットワーク１５０は、説明のために２つの別個のネットワークとして示されていても、同じネットワークである可能性がある。この実施形態のさらなる実施形態では、クライアントに面するライトインスタンス通信チャネル１３５の１つおよびセントラルインスタンスに面するライトインスタンス通信チャネル１４５の対応する１つは、これらが説明のために別個の通信チャネルとして示されていても、同じ通信チャネルである可能性がある。例えば、ネットワーク１３０−ａおよびネットワーク１５０が、共有ネットワークの一部または共有ネットワーク全体を含む場合、クライアントに面するライトインスタンス通信チャネル１３５−ａおよびセントラルインスタンスに面するライトインスタンス通信チャネル１４５−ａは、同じ通信チャネルであることが可能であり、結果として、ライトインスタンス１４０−ａは、ただ１つのＩ／Ｏインタフェースを含んで両方の通信チャネルを通じて通信することができる。
【００４１】
いくつかの実施形態では、ライトインスタンス１４０の１つもしくは複数またはセントラルインスタンス１６０が、データセンターである。これらの実施形態のいくつかでは、データセンターは、必要に応じて（１つまたは複数の）軽いセキュリティインスタンスまたは完全なセキュリティインスタンスを実行する１つまたは複数の仮想マシンを備えたリソースを含んでいる。
【００４２】
いくつかの実施形態では、ライトインスタンス１４０の１つもしくは複数またはセントラルインスタンス１６０は、クライアントネットワーク１３０の１つまたはセントラルネットワーク１５０にあるデバイスである。例えば、ライトインスタンス１４０−ａは、ネットワーク１３０−ａ内のエッジデバイスとすることができる。
【００４３】
いくつかの実施形態では、ライトインスタンス１４０は、地理的に分散されている。この実施形態のさらなる実施形態では、クライアントコンテンツセグメントは、送信中／受信中のクライアントに最も近いライトインスタンスを介してルーティングされる。有利には、最も近いライトインスタンスを介してクライアントコンテンツセグメントをルーティングすることによって、ネットワークのボトルネックおよび遅延が回避されることが可能である。ライトインスタンスがクライアントに近いことは、物理的距離、ネットワークメトリック（例えば、待ち時間、コスト、またはＱｏＳ保証）、データのタイプ、サービスプロバイダなどのような、任意の好適なメトリックにより判断されることが可能であることを理解すべきである。
【００４４】
図２は、クラウドネットワークにおいて分散型セキュリティサービスを提供するための方法２００の一実施形態を示すフローチャートを示す。
【００４５】
方法２００では、ステップ２２０は、クライアントコンテンツセグメントを、クライアント（例えば、図１のクライアント１２０の１つ）からライトインスタンス（例えば、図１のライトインスタンス１４０の１つ）に送信することを含む。具体的には、クライアントによって送信または受信されるクライアントコンテンツセグメントは、セキュリティサービスを行うためにライトインスタンスを介して移動される。
【００４６】
方法２００では、ステップ２３０は、ライトインスタンス（例えば、図１のライトインスタンス１４０の１つ）がクライアントコンテンツセグメントに対してセキュリティサービスの軽いインスタンスを適用することを含む。具体的には、セキュリティサービスの軽いインスタンスは、クライアントコンテンツセグメントに対するクライアントコンテンツセグメント識別子を決定する。クライアントコンテンツセグメント識別子に基づいて、ライトインスタンスは次に、ライトインスタンスがクライアントコンテンツセグメントに対して格納された有効なセキュリティポリシーがあるかどうかを判断する。ライトインスタンスに有効なセキュリティポリシーがない場合、方法はステップ２４０に進み、そうでない場合、方法はステップ２５０に進む。有利には、クライアントコンテンツセグメント識別子を使用して、クライアントコンテンツセグメントに対応する格納済みセキュリティポリシーを取り出すことによって、ライトインスタンスが、インストール、保守（例えば、更新）、およびソフトウェアコストを低減することができる。ライトインスタンスは、ライトインスタンスごとにセキュリティソフトウェアの購入、インストール、および保守を必要としないからである。さらに、格納済みセキュリティポリシーは、（例えば、セントラルインスタンス１６０による）クライアントコンテンツセグメントの十分な分析に基づいているので、システムは、依然として高いセキュリティを提供することができる。
【００４７】
方法２００では、ステップ２４０は、セントラルインスタンスによる（例えば、図１のセントラルインスタンス１６０による）セキュリティサービスを行うことを含む。具体的には、完全なセキュリティサービスインスタンスは、クライアントコンテンツセグメントを分析して、クライアントコンテンツセグメントが潜在的にセキュリティリスクを含んでいるかどうかを判断し、判断したセキュリティリスクに基づいてライトインスタンス１４０の１つまたは複数を更新する。
【００４８】
方法２００では、ステップ２５０は、ステップ２３０からの格納済みセキュリティポリシーを適用すること、またはステップ２４０から取り出されたセキュリティ詳細に基づいたセキュリティポリシーを適用することを含む。
【００４９】
ステップ２５０の第１の実施形態では、セキュリティポリシーは、ライトインスタンス（例えば、図１のライトインスタンス１４０−ａ）で適用されることが可能である。第２の実施形態では、セキュリティポリシーは、クライアント（例えば、図１のクライアント１２０−ａ）で適用されることが可能である。
【００５０】
いくつかの実施形態では、ステップ２２０は、図１で上述したようにクライアントコンテンツセグメントを最も近いライトインスタンスに向かわせることを含む。
【００５１】
いくつかの実施形態では、ステップ２２０は、クライアントのネットワークに入ってくるクライアントコンテンツセグメントがセキュリティリスクを含んでいるかどうかを判断する外向きのライトインスタンスを含む。
【００５２】
いくつかの実施形態では、クライアントコンテンツセグメントは、ウェブサイトまたはその一部である。例えば、クライアント（例えば、図１のクライアント１２０の１つ）が、ｗｗｗ．ａｌｃａｔｅｌ−ｌｕｃｅｎｔ．ｃｏｍのようなウェブサイトを訪問することがあり、ウェブページのコンテンツは、クライアントコンテンツセグメントとすることができる。
【００５３】
いくつかの実施形態では、クライアントコンテンツセグメントが、２つ以上のクライアントコンテンツセグメントに分割されることが可能である。例えばウェブサイトｗｗｗ．ａｌｃａｔｅｌ−ｌｕｃｅｎｔ．ｃｏｍは、３つの異なるウェブサイトを指し示す３つのｉＦｒａｍｅを含むことができる。３つのウェブサイトのそれぞれからのコンテンツは、分かれている可能性があり、したがって、ライトインスタンスは、３つのウェブサイトのそれぞれを別個のクライアントコンテンツセグメントとして処理することができる。別の例では、クライアントコンテンツセグメントが、画像、ＨＴＭＬファイル、ｊａｖａアプレットなどのようないくつかのコンテンツ構成要素に分割されることが可能である。この例では、ライトインスタンスは、これらのコンテンツ構成要素のそれぞれを、別個のクライアントコンテンツセグメントとして処理することができる。この実施形態のさらなる実施形態では、クライアントコンテンツセグメントの分割は、コンテンツの動的な性質に基づくことができる。例えば、ウェブページの入力フォームセクションまたはウェブページ上の広告のような、動的コンテンツは、取り出されて別個のクライアントコンテンツセクションにされることが可能である。クライアントコンテンツセグメントから動的コンテンツを取り出すことによって、ライトインスタンスは、非動的クライアントコンテンツセグメントに対して格納済みセキュリティポリシーを有する可能性がより高くなることは理解されよう。
【００５４】
ステップ２４０のいくつかの実施形態では、セキュリティサービスは、アンチウイルスまたはアンチマルウェア（ＡＶＡＭ）サービスである。
【００５５】
ステップ２４０のいくつかの実施形態では、セキュリティサービスは、２つ以上のソフトウェアプログラムを含む。さらなる実施形態では、セキュリティサービスは、２つ以上ベンダからのソフトウェアプログラムを含む。有利には、複数の異なるソフトウェアプログラムを使用することによって、ただ１つのソフトウェアプログラムまたは１つのベンダのソフトウェアプログラムによりクライアントコンテンツセグメントを調べることに比べて、より高いレベルのセキュリティが提供される可能性がある。
【００５６】
ステップ２５０のいくつかの実施形態では、セキュリティポリシーは、クライアントコンテンツセグメントを承認する、拒否する、または隔離する決定である。ステップ２５０のいくつかの実施形態では、セキュリティポリシーは、行われるアクションのクライアントへの情報、またはクライアントコンテンツセグメントが潜在的なセキュリティリスクをもたらすという警告を提供することを含む。
【００５７】
いくつかの実施形態では、ステップ２５０は、クライアントコンテンツセグメントを承認するクライアントの承諾を含む。例えば、セキュリティポリシーでは、入ってくるクライアントコンテンツセグメントの潜在的なセキュリティリスクについてクライアントに情報を提供することにより、クライアントは、セキュリティポリシーの警告を受信した後に、クライアントコンテンツセグメントを受け取ることができる。さらなる実施形態では、クライアントは、クライアントコンテンツセグメントのクライアントの承諾または拒絶を格納することができる。こうした実施形態のいくつかにおいて、格納された承諾または拒絶は、将来においてクライアントコンテンツセグメントの自動的承諾または拒絶に使用されることが可能である。承諾または拒絶は、クライアント（例えば、図１のクライアント１２０−ａ）、ライトインスタンス（例えば、図１のライトインスタンス１４０−ａ）、またはセントラルインスタンス（例えば、図１のセントラルインスタンス１６０）に格納されることがある。
【００５８】
図３は、ライトインスタンス（例えば、図１のライトインスタンス１４０の１つ）が図２のステップ２３０に示すクライアントコンテンツセグメントに軽いセキュリティインスタンスを適用する方法３００の一実施形態を示すフローチャートを表す。この方法は、図２のステップ２２０中に取り込まれるなど、クライアントコンテンツセグメントを受信すること（ステップ３２０）を含む。この方法を行う装置は、次に、受信したクライアントコンテンツセグメントが、格納済みのセキュリティポリシーを有するかどうかを判断し（ステップ３３０）、そうである場合、セキュリティポリシーを適用し（ステップ３４０）、そうでない場合、装置は、クライアントコンテンツセグメントのセキュリティ分析を行うための要求をセントラルインスタンス（例えば、図１のセントラルインスタンス１６０）に送信する（ステップ３５０）。この方法を行う装置は、次に、クライアントセグメントに対応するセントラルインスタンスポリシーを含んだ要求応答をセントラルインスタンスから任意選択で受信し（ステップ３６０）、セントラルインスタンスポリシーに基づいたセキュリティポリシーを適用する（ステップ３７０）。
【００５９】
方法３００では、ステップ３２０は、クライアント（例えば、図１のクライアント１４０の１つ）からクライアントコンテンツセグメントを受信することを含む。
【００６０】
方法３００では、ステップ３３０は、受信したクライアントコンテンツセグメントが格納済みセキュリティポリシーを有するかどうかを判断することを含む。具体的には、クライアントコンテンツセグメントのコンテンツを識別するために使用されることが可能であるクライアントコンテンツセグメント識別子が決定される。クライアントコンテンツセグメント識別子は、その後、クライアントコンテンツセグメント識別子に対応する格納済みセキュリティポリシーが存在するかどうかを判断するために使用される。任意選択で、ステップ３３０は、格納済みセキュリティポリシーが有効であるかどうかを判断することを含むこともできる。ライトインスタンスが、格納された有効なセキュリティポリシーが存在すると判断する場合、方法はステップ３４０に進み、そうでない場合、方法はステップ３５０に進む。
【００６１】
方法３００では、ステップ３４０が、ステップ３３０において取り出されたセキュリティポリシーを適用することを含む。ライトインスタンスは、クライアントコンテンツセグメントに対してセキュリティポリシーを直接適用する、または、セキュリティポリシーに基づいたライトインスタンスセキュリティメッセージをクライアントに送信し、クライアントにクライアントコンテンツセグメントに適用すべきセキュリティポリシーを制御するよう指示することによってセキュリティポリシーを間接的に適用することができる。
【００６２】
方法３００では、ステップ３５０が、クライアントコンテンツセグメントのセキュリティ分析を行うように、セントラルインスタンスに要求を送信することを含む。具体的には、格納済みの有効なセキュリティポリシーがないクライアントコンテンツセグメントについては、ライトインスタンスは、評価のためにクライアントコンテンツセグメントをセントラルインスタンスに送信する。
【００６３】
方法３００は、任意選択でステップ３６０を含む。ステップ３６０は、ステップ３５０において送信された要求へのセントラルインスタンスからの応答を受信することを含む。セントラルインスタンス応答は、クライアントコンテンツセグメントに対応するセントラルインスタンスポリシーを含んでいる。
【００６４】
方法３００は、任意選択でステップ３７０を含む。ステップ３７０は、ステップ３４０で上述したように、ステップ３６０において受信されたセントラルインスタンス応答に基づいてセキュリティポリシーを適用することを含む。いくつかの実施形態では、セントラルインスタンスは、セキュリティポリシーを直接クライアントに送信することがあることは理解されよう。
【００６５】
いくつかの実施形態では、ステップ３３０は、方法がステップ３４０とステップ３５０の両方を行うように仕向けることを含む。例えば、ライトインスタンスは、セントラルインスタンスが利用できない場合、失効したセキュリティポリシーを使用することがある。別の例では、ライトインスタンスは、ステップ３６０で受信された受信済みセントラルインスタンスポリシーが失効したセキュリティポリシーに適合する場合、クライアントコンテンツセグメントの自動化された受諾のような、セキュリティポリシーの一部を使用することがある。
【００６６】
ステップ３３０のいくつかの実施形態では、セキュリティポリシーは、コンテンツを供給する、拒否する、隔離する、コンテンツにフラグを立てる、またはクライアントに警告するかどうかの指示を含む。
【００６７】
ステップ３３０のいくつかの実施形態では、内容参照メモリ（ｃｏｎｔｅｎｔ−ａｄｄｒｅｓｓａｂｌｅ  ｍｅｍｏｒｙ：ＣＡＭ）」または連想メモリ技法が使用されて、クライアントコンテンツセグメントのコンテンツに基づいてクライアントコンテンツセグメント識別子を決定する。
【００６８】
ステップ３３０のいくつかの実施形態では、クライアントコンテンツセグメントにハッシュ計算が適用されて、クライアントコンテンツセグメント識別子として使用するハッシュ値を決定する。こうした実施形態のいくつかにおいて、クライアントコンテンツセグメント識別子は、次に、テーブルまたはデータベースから格納済みセキュリティポリシーを取り出すために使用される。テーブルまたはデータベースのエントリは、実際のセキュリティポリシーへのポインタとすることができることは理解されよう。さらなる実施形態では、ライトインスタンスのテーブル中のエントリは、コンテンツのハッシュ、評価を行ったセントラルインスタンスのｉｄ、ハッシュが最後に更新された時間、または任意のコンテンツが前回ハッシュエントリに一致した時間を含む。
【００６９】
いくつかの実施形態では、ステップ３３０は、（ｉ）コンテンツ、（ｉｉ）ＵＲＬ、（ｉｉｉ）レイヤ２アドレスもしくはレイヤ３アドレスの任意の組合せ、（ｉｖ）トランスポート層ポート、（ｖ）ユニバーサルリソース識別子（ＵＲＩ）、（ｖｉ）パケット内のトランスポートペイロード、（ｖｉｉ）アプリケーション層ヘッダ（例えば、ＨＴＴＰヘッダ）、（ｖｉｉｉ）アプリケーションペイロード（ＨＴＴＰ  ＧＥＴ要求／応答）、または（ｉｘ）同様のもののうちの１つまたは複数に基づいて、クライアントコンテンツセグメント識別子を決定することを含む。例えば、このようなエンティティのいずれかの組合せでハッシュが計算されることが可能である。
【００７０】
ステップ３３０のいくつかの実施形態では、格納されたポリシーが、ある期間の後に無効になる。こうした実施形態のいくつかにおいて、ライトインスタンスは、各クライアントコンテンツセグメントのエントリにタイムアウトの可変レベルを適用する。
【００７１】
ステップ３３０のいくつかの実施形態では、ライトインスタンスは、確率分布関数を使用して、クライアントコンテンツセグメントのセキュリティポリシーが失効するときを決定する。期限切れの確率（ｅｘｐｉｒａｔｉｏｎ  ｐｒｏｂａｂｉｌｉｔｙ）は、（ｉ）クライアントコンテンツセグメント識別子と関連する年数、（ｉｉ）クライアントコンテンツセグメントのソース、（ｉｉｉ）タイムアウトパラメータの長さ、（ｉｖ）セキュリティポリシー（例えば、セキュリティ評価またはセキュリティリスクの分類）、または（ｖ）同様のもののうちの１つまたは複数の関数とすることができる。
【００７２】
ステップ３５０のいくつかの実施形態では、ライトインスタンスは、クライアントコンテンツセグメントのアドレス／ポインタをセントラルインスタンスに送信する。例えば、アドレスは、ウェブページまたはファイルのＵＲＬとすることができる。
【００７３】
ステップ３５０のいくつかの実施形態では、セントラルインスタンスのリクエストは、セントラルインスタンスがすでにそのクライアントコンテンツセグメントに対して格納済みのセントラルインスタンスポリシーを有する場合でも、セントラルインスタンスにクライアントコンテンツセグメントを分析させる特別なフラグを設定することを含む。
【００７４】
ステップ３６０のいくつかの実施形態では、セントラルインスタンス応答は、図４のステップ４４０および４６０に説明するように１つまたは複数のパラメータを含む。
【００７５】
図４は、セントラルインスタンス（例えば、図１のセントラルインスタンス１６０）が図２のステップ２４０に示すクライアントコンテンツセグメントを分析する方法４００の一実施形態を示すフローチャートを表す。この方法は、図３のステップ３５０中に送信されるような、クライアントコンテンツセグメントを分析するよう求める要求を受信すること（ステップ４２０）を含む。この方法を行う装置は、次にクライアントコンテンツセグメントを分析し、（１つまたは複数の）セントラルインスタンスポリシーを決定する（ステップ４４０）。この方法を行う装置は、次に任意選択で、セントラルインスタンス応答をライトインスタンスに送信する（ステップ４６０）。この方法を行う装置はまた、（１つまたは複数の）セントラルインスタンスポリシーに基づいて１つまたは複数のライトインスタンスを更新する（ステップ４８０）。
【００７６】
この方法４００では、ステップ４２０は、上述のようにクライアントコンテンツセグメントを分析するよう求める要求を受信することを含む。
【００７７】
この方法４００では、ステップ４４０は、上述のようにクライアントコンテンツセグメントを分析することと、（１つまたは複数の）セントラルインスタンスポリシーを決定することとを含む。具体的には、完全なセキュリティインスタンスは、クライアントコンテンツセグメントの分析を行い、（１つまたは複数の）セントラルインスタンスポリシーは、分析の結果に基づいている。例えば、完全なセキュリティインスタンスが、アンチウイルスチェックを行い、クライアントコンテンツセグメントがウイルスを含んでいると判断する場合、セントラルインスタンスポリシーは、クライアントコンテンツセグメントを拒否する、または隔離することになる可能性がある。
【００７８】
方法４００は、任意選択でステップ４６０を含む。ステップ４６０は、セントラルインスタンス応答をライトインスタンスに送信することを含む。具体的には、要求応答は、クライアントコンテンツセグメントに対してセキュリティポリシーの基礎を形成するために、要求側のライトインスタンスによって使用されることになる（１つまたは複数の）セントラルインスタンスポリシーを含む。
【００７９】
この方法４００では、ステップ４８０は、（１つまたは複数の）セントラルインスタンスポリシーに基づいて１つまたは複数のライトインスタンスを更新することを含む。具体的には、ステップ４４０で決定された（１つまたは複数の）セントラルインスタンスポリシーを含んだ更新メッセージが、１つまたは複数のライトインスタンスに送信される。
【００８０】
ステップ４２０のいくつかの実施形態では、クライアントコンテンツセグメントを分析するよう求める要求は、クライアントコンテンツセグメントのアドレスを含む。例えば、アドレスは、ウェブページまたは画像ファイルのようなファイルのＵＲＬとすることができる。有利には、クライアントコンテンツセグメントの代わりにアドレスを送信することによって、システムが必要とするネットワーク資源をより少なくすることができる。
【００８１】
ステップ４２０のいくつかの実施形態では、クライアントコンテンツセグメントを分析するよう求める要求は、クライアントコンテンツセグメント識別子を含む。例えば、セントラルインスタンスがすでにクライアントコンテンツセグメントを分析している場合、クライアントコンテンツセグメントは、クライアントコンテンツセグメント識別子によって識別されることが可能である。
【００８２】
ステップ４２０のいくつかの実施形態では、要求は、セントラルインスタンスが格納済みの有効な対応するセントラルインスタンスポリシーを有する場合でも、セントラルインスタンスにクライアントコンテンツセグメントの完全な分析を行わせるフラグを含む。
【００８３】
ステップ４４０のいくつかの実施形態では、セントラルインスタンスは、（１つまたは複数の）決定されたセントラルインスタンスポリシーを格納する。こうした実施形態のいくつかにおいて、セントラルインスタンスは、（１つまたは複数の）セントラルインスタンスポリシーに対応するクライアントコンテンツセグメント識別子も格納する。いくつかの実施形態では、受信した要求に対応するクライアントコンテンツセグメントが、（１つまたは複数の）格納済みのセントラルインスタンスポリシーを有する（すなわち、以前に分析している）場合、（１つまたは複数の）決定されたセントラルインスタンスポリシーは、ストレージから取り出されることが可能であり、クライアントコンテンツセグメントを再び分析することはない。こうした実施形態のいくつかにおいて、（１つまたは複数の）セントラルインスタンスポリシーは、有効期限パラメータを含む。有効期限パラメータが失効する場合、（１つまたは複数の）セントラルインスタンスポリシーは、もはや有効ではなく、セントラルインスタンスは、クライアントコンテンツセグメントの完全なセキュリティ分析を行うことになる。
【００８４】
ステップ４４０のこうした実施形態のいくつかにおいて、有効期限パラメータは、（ｉ）コンテンツのソースの信頼性（例えば、ｎｙｔｉｍｅｓ．ｃｏｍのコンテンツは、ｐｉｒａｔｅｂａｙ．ｏｒｇよりも有効期限が長いために信頼することができる）、（ｉｉ）ソースから供給される動的コンテンツの割合（例えば、ｙｏｕｔｕｂｅ．ｃｏｍは、ｗｈｉｔｅｈｏｕｓｅ．ｇｏｖよりも多くの動的なコンテンツを有し、ゆえにｙｏｕｔｕｂｅ．ｃｏｍは、より短い有効期限を有する）、（ｉｉｉ）（１つまたは複数の）セントラルインスタンスへの負荷、および（ｉｖ）同様のもののうちの１つまたは複数に基づくことができる。
【００８５】
ステップ４４０のいくつかの実施形態では、（１つまたは複数の）セントラルインスタンスポリシーは、（ｉ）クライアントコンテンツセグメントに適用するセキュリティポリシー、（ｉｉ）潜在的セキュリティリスクの情報または警告、（ｉｉｉ）セキュリティリスクの分類（例えば、ウイルス、アドウェア、またはトロイの木馬）、（ｉｖ）コンテンツの状態（例えば、安全な、または悪意のある）、（ｖ）セキュリティリスク評価、（ｖｉ）セキュリティリスクの説明（例えば、特定のタイプまたはウイルス）、または（ｖｉｉ）同様のもののうちの１つまたは複数を含む。
【００８６】
ステップ４６０またはステップ４８０のいくつかの実施形態では、要求応答は、（ｉ）クライアントコンテンツセグメント識別子、（ｉｉ）（１つまたは複数の）セントラルインスタンスポリシー、（ｉｉｉ）（１つまたは複数の）セントラルインスタンスポリシーの１つまたは複数の有効期限パラメータ、（ｉｖ）クライアントコンテンツセグメントを特徴付けるコンテンツのタイプの分類、または（ｖ）同様のもののうちの１つまたは複数を含む。
【００８７】
ステップ４６０またはステップ４８０のいくつかの実施形態では、クライアントコンテンツセグメント識別子は、上述のようにクライアントコンテンツセグメントのハッシュ計算結果である。
【００８８】
いくつかの実施形態では、ステップ４６０および４８０は、同時に行われる。例えば、ステップ４８０で送信される更新メッセージは、クライアントコンテンツセグメントに対してセキュリティポリシーの基礎を形成するために要求を送信しているライトインスタンスによって使用されることが可能である。
【００８９】
いくつかの実施形態では、ステップ４８０は、ライトインスタンスのサブセットを更新することを含む。こうした実施形態のいくつかにおいて、更新すべきライトインスタンスのサブセットの決定は、クライアントコンテンツセグメントのコンテンツのタイプの分類に基づく。例えば、ＷＡＰコンテンツとして分類されたクライアントコンテンツセグメントについては、セントラルインスタンスは、単に、無線ネットワークにサービスを提供しているライトインスタンスを更新することができる。別の例では、地理的に特有であるとして分類されたクライアントコンテンツセグメントについては、セントラルインスタンスは、単に、そうした地理的エリアにサービスを提供しているライトインスタンスを更新することができる。
【００９０】
図５は、ライトインスタンス（例えば、図１のライトインスタンス１４０の１つ）がクライアントコンテンツセグメントに対応する（１つまたは複数の）格納済みセキュリティポリシーを更新する方法５００の一実施形態を示すフローチャートを表す。この方法は、例えば図４のステップ４８０中に送信された、セントラルインスタンス（例えば、図１のセントラルインスタンス１６０）からの更新メッセージを受信すること（ステップ５２０）、または保存メトリックを決定すること（ステップ５４０）に基づいて、（１つまたは複数の）格納済みセキュリティポリシーを更新すること（ステップ５６０）を含む。
【００９１】
方法５００は、任意選択でステップ５２０を含む。ステップ５２０は、例えば図４のステップ４８０中に送信された、セントラルインスタンス（例えば、図１のセントラルいすタンス１６０）からの更新メッセージを受信すること（ステップ５２０）を含む。
【００９２】
方法５００は、任意選択でステップ５４０を含む。ステップ５４０は、保存メトリックを決定することを含む。具体的には、（１つまたは複数の）格納済みセキュリティポリシーに対して有効期限パラメータが決定され、適用されて、（１つまたは複数の）格納済みセキュリティポリシーを削除する、または、ライトインスタンスが格納済みセキュリティポリシーを有する（すなわち、格納されているが、もはや有効ではない）場合でも、分析要求がセントラルインスタンスに送信されるようにする（例えば、図３のステップ３５０）。
【００９３】
方法５００では、ステップ５６０が、受信済みポリシー更新または決定した更新メトリックに基づいて、（１つまたは複数の）格納済みセキュリティポリシーを更新することを含む（ステップ５６０）。具体的には、テーブル、データベース、またはその他の好適なストレージ機構が更新されて、更新されたストレージポリシー、クライアントコンテンツセグメント識別子、または本明細書に記載するその他の好適な情報を含める。
【００９４】
ステップ５４０のいくつかの実施形態では、格納済みセキュリティポリシーまたはそれらの関連データ（例えば、テーブルまたはデータベース中のエントリ）が削除されることがある。有利には、より古い格納済みセキュリティポリシーまたはそれらの関連データを削除することによって、格納スペースおよび軽いインスタンスの処理時間を減らすことができる。こうした実施形態のいくつかにおいて、（１つまたは複数の）セキュリティポリシーまたはその関連データは、（ｉ）データによって占有された占有格納スペース、（ｉｉ）クライアントコンテンツセグメントの分類、配置（ｇｅｏｇｒａｐｈｙ）、またはソース、（ｉｉｉ）クライアントコンテンツセグメントが将来受信される確率の判断、（ｉｖ）有効期限パラメータ、または（ｖ）同様のもののうちの１つまたは複数に基づいて削除される。
【００９５】
こうした実施形態のいくつかにおいて、クライアントコンテンツセグメントが将来受信される確率の判断は、以前受信されたクライアントコンテンツセグメントの履歴に基づく。
【００９６】
主として特定の順序で示し、説明しているが、方法２００、３００、４００、および５００は、任意の好適な順序で行われることが可能であることは理解されよう。さらに、１つのステップで識別される諸ステップは、１つまたは複数の他のステップにおいて順番に行われることもあり、または２つ以上のステップの共通のアクションが、１度だけ行われることがある。
【００９７】
様々な上述の方法のステップは、プログラムを組み込まれたコンピュータによって行われることが可能であることを理解されよう。本明細書では、いくつかの実施形態はまた、例えばデータ記憶媒体など、プログラム記憶装置を含むものとし、このプログラム記憶装置は、マシンまたはコンピュータ可読であって、命令のマシン実行可能もしくはコンピュータ実行可能プログラムをエンコードし、前記命令が上述の方法のステップの一部または全部を行う。プログラム記憶装置は、例えば、デジタルメモリ、磁気ディスクおよび磁気テープなどの磁気記憶媒体、ハードドライブ、または光学式可読データ記憶媒体であることが可能である。諸実施形態はまた、上述の方法の上記諸ステップを行うようにプログラムされたコンピュータを含むものとする。
【００９８】
図６は、図１のライトインスタンス１４０の１つ、または図１のセントラルインスタンス１６０のような、様々な装置６００の一実施形態を概略的に示す。装置６００は、プロセッサ６１０と、データストレージ６１１と、Ｉ／Ｏインタフェース６３０とを含む。
【００９９】
プロセッサ６１０は、装置６００の動作を制御する。プロセッサ６１０は、データストレージ６１１と連携する。
【０１００】
データストレージ６１１は、必要に応じて、セキュリティポリシーおよびその関連データ、セントラルインスタンスポリシーなどのプログラムデータを格納することができる。データストレージ６１１はまた、プロセッサ６１０によって実行可能なプログラム６２０を格納する。
【０１０１】
プロセッサ実行可能プログラム６２０は、Ｉ／Ｏインタフェースプログラム６２１、ライトインスタンス分析プログラム６２３、ライトインスタンス更新プログラム６２５、またはセントラルインスタンス分析プログラム６２７を含むことができる。プロセッサ６１０は、プロセッサ実行可能プログラム６２０と連携する。
【０１０２】
Ｉ／Ｏインタフェース６３０は、必要に応じて、また上述のように、プロセッサ６１０およびＩ／Ｏインタフェースプログラム６２１と連携して、図１の通信チャネル１２５、１４５、または１６５を通じた通信に対応する。
【０１０３】
ライトインスタンス分析プログラム６２３は、上述のように図３の方法３００のステップを行う。
【０１０４】
ライトインスタンス更新プログラム６２５は、上述のように図５の方法５００のステップを行う。
【０１０５】
セントラルインスタンス分析プログラム６２７は、上述のように図４の方法４００のステップを行う。
【０１０６】
いくつかの実施形態では、プロセッサ６１０は、プロセッサコア／ＣＰＵコアのようなリソースを含むことができ、Ｉ／Ｏインタフェース６３０は、任意の好適なネットワークインタフェースを含むことができ、またはデータストレージ６１１は、メモリもしくはストレージデバイスを含むことができる。さらに、装置６００は、（１つまたは複数の）サーバ、プロセッサなどの構成要素からなるブレード、メモリ、ネットワークインタフェース、またはストレージデバイスなどの、任意の好適な物理的ハードウェア構成とすることができる。こうした実施形態のいくつかにおいて、装置６００は、互いから遠く離れたクラウドネットワークリソースを含むことができる。
【０１０７】
いくつかの実施形態では、装置６００は、仮想マシンとすることができる。こうした実施形態のいくつかにおいて、仮想マシンは、異なるマシンからの構成要素を含む、または地理的に分散されることが可能である。例えば、データストレージ６１１およびプロセッサ６１０は、２つの異なる物理マシンの中にあるとすることができる。
【０１０８】
プロセッサ実行可能プログラム６２０がプロセッサ６１０に実装されるとき、プログラムコードセグメントは、プロセッサと結合して、特定の論理回路と似たように動作する固有の装置を提供する。
【０１０９】
例えば、プログラムおよび論理がデータストレージおよびメモリ内に格納され、メモリはプロセッサに通信可能に接続された実施形態について本明細書で示して説明するが、このような情報は、任意の他の好適な方法で（例えば、任意の好適な数のメモリ、ストレージ、またはデータベースを用いて）、任意の好適な配置の装置に通信可能に結合されたメモリ、ストレージ、またはデータベースの任意の好適な配置を用いて、（１つもしくは複数の）メモリ、（１つもしくは複数の）ストレージ、または（１つもしくは複数の）内部または外部データベースの任意の好適な組合せに情報を格納して、あるいは任意の好適な数のアクセス可能な外部メモリ、ストレージ、またはデータベースを使用して、格納されることが可能であることを理解されよう。したがって、本明細書で言及するデータストレージという用語は、（１つもしくは複数の）メモリ、（１つもしくは複数の）ストレージ、および（１つもしくは複数の）データベースのすべての好適な組合せを含むよう意図されている。
【０１１０】
説明および図面は、本発明の原理を示すにすぎない。したがって、本明細書には明示的に記載または表示されていないが、本発明の原理を具体化し、本発明の趣旨および範囲の内に含まれる様々な仕組みを当業者は案出することができるであろうと理解されよう。さらに、本明細書に列挙するすべての例は、原則として、発明者により当技術分野の促進をもたらす本発明の原理および概念を理解する際に読者の助けとなるように、明らかに教育上の目的のためにすぎないものとし、このような具体的に列挙した例および条件に限定しないものであると解釈されたい。さらに、本発明の原理、態様、および実施形態、ならびにその特定の例を列挙する本明細書中のあらゆる記載は、その均等物を含むものとする。
【０１１１】
「プロセッサ」と呼ぶいかなる機能ブロックも含む、図に示した様々な要素の機能は、専用のハードウェア、ならびに適切なソフトウェアと関連してソフトウェアを実行することができるハードウェアを使用することによって提供されることが可能である。プロセッサによって提供されるとき、機能は、単一の専用プロセッサによって、単一の共有プロセッサによって、またはその一部を共有することができる複数の個々のプロセッサによって、提供されることが可能である。さらに、「プロセッサ」または「コントローラ」という用語の明示的な使用は、ソフトウェアを実行することができるハードウェアのみを指すと解釈されるべきではなく、暗黙的に、デジタル信号プロセッサ（ＤＳＰ）のハードウェア、ネットワークプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ソフトウェアを格納するリードオンリーメモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、および不揮発記憶装置を含むことがある。従来型またはカスタム型の、他のハードウェアが含まれることもある。同様に、図に示したいかなるスイッチも、単に概念上のものである。これらの機能は、プログラム論理の動作によって、専用論理によって、プログラム制御と専用論理の相互作用によって、または手動でさえも実行することができ、特定の技術は、状況からより具体的に理解されるように実行者によって選択可能である。
【０１１２】
本明細書のいかなるブロック図も、本発明の原理を具体化する例示的回路の概念図を表すことは理解されよう。同様に、いかなるフローチャート、流れ図、状態遷移図、擬似コードなども、コンピュータまたはプロセッサが明示的に示されているかどうかにかかわらず、実質的にコンピュータ可読媒体に表現され、コンピュータまたはプロセッサによってそのように実行されることが可能である様々なプロセスを表すことは理解されよう。
【図１】
0006046234.tif 000002
【図２】
0006046234.tif 000003
【図３】
0006046234.tif 000004
【図４】
0006046234.tif 000005
【図５】
0006046234.tif 000006
【図６】
0006046234.tif 000007