(57)【特許請求の範囲】
【請求項１】
セキュリティポリシーをアプリケーションセッションに適用する方法であって、
（ａ）セキュリティゲートウェイを介して、ネットワークとアプリケーションとのアプリケーションセッションを認識するステップ、
（ｂ）前記セキュリティゲートウェイが、前記アプリケーションセッションについての情報を使用して、前記アプリケーションセッションのユーザ識別情報を特定するステップであって、（ｂ１）ホストを通して前記ネットワークにアクセスするために使用される、前記ユーザ識別情報、前記ホストのホスト識別情報、及びアプリケーションセッション時刻を含む、前記アプリケーションセッションのアプリケーションセッション記録から前記ユーザ識別情報を特定するステップを含むステップ、
（ｃ）前記セキュリティゲートウェイが、前記ユーザ識別情報にマッピングされたネットワークパラメータを含む前記セキュリティポリシーを取得するステップ、及び
（ｄ）前記セキュリティゲートウェイが前記セキュリティポリシーを前記アプリケーションセッションに適用するステップ、
を含む方法であって、
前記ステップ（ｂ１）の前記アプリケーションセッション記録の作成において、
（ｂ１ｉ）第２のホストと前記ネットワークとのアクセスセッションのアクセスセッション記録を含む識別情報サーバに対して、前記アプリケーションセッション記録内の前記ホスト識別情報及び前記アプリケーションセッション時刻を送信することにより問い合わせるステップであって、前記アクセスセッション記録が、前記第２のホストを通して前記ネットワークへのアクセスに使用される第２のユーザ識別情報、前記第２のホストの第２のホスト識別情報、及びアクセスセッション時刻を含むステップ、
（ｂ１ｉｉ）前記識別情報サーバが、前記アプリケーションセッション記録内の前記ホスト識別情報を、前記アクセスセッション記録内の前記第２のホスト識別情報と比較し、前記アクセスセッション時刻を前記アプリケーションセッション時刻とを比較するステップ、
（ｂ１ｉｉｉ）前記アプリケーションセッション記録内の前記ホスト識別情報が前記アクセスセッション記録内の前記第２のホスト識別情報に一致し、且つ前記アクセスセッション時刻が前記アプリケーションセッション時刻に一致する場合、前記識別情報サーバが、前記アクセスセッション記録内の前記第２のユーザ識別情報を返すステップ、及び
（ｂ１ｉｖ）前記ネットワークのアクセスに使用される前記ユーザ識別情報として、前記アプリケーションセッション記録内に前記第２のユーザ識別情報を記憶するステップ、
を含む、方法。
【請求項２】
前記ユーザ識別情報は、前記ネットワークへのアクセスに使用されるネットワークユーザ識別情報を含むことを特徴とする、請求項１に記載の方法。
【請求項３】
前記ユーザ識別情報は、前記アプリケーションへのアクセスに使用されるユーザ識別情報を含み、前記ユーザ識別情報は、前記アプリケーションセッションのパケットから認識されることを特徴とする、請求項１に記載の方法。
【請求項４】
前記取得するステップ（ｃ）及び前記適用するステップ（ｄ）は、各々、
（ｃ１）前記ユーザ識別情報にマッピングされたネットワークトラフィックポリシーを含む前記セキュリティポリシーを取得するステップ、及び
（ｄ１）前記ネットワークトラフィックポリシーを前記アプリケーションセッションに適用するステップ、
を含むことを特徴とする、請求項１〜３いずれか１項に記載の方法。
【請求項５】
前記ネットワークトラフィックポリシーは、以下：
前記アプリケーションセッションのパケット変更制御、
トラフィック整形制御、
前記ユーザ識別情報が前記アプリケーションセッションの継続について拒絶されるか、それとも許可されるかを示すアプリケーションセッションアクセス制御、及び
帯域幅制御
のうちの１つ以上を含むことを特徴とする、請求項４に記載の方法。
【請求項６】
前記アプリケーションセッションの前記パケット変更制御は、以下：
前記アプリケーションセッションに対してネットワークアドレス変換を実行すること、
所定のポート番号を使用して、前記アプリケーションセッションに対してポートアドレス変換を実行すること、
前記アプリケーションセッションがハイパーテキスト転送プロトコル（ＨＴＴＰ）セッションであり、且つ前記アプリケーションセッションのデータパケット内のユニバーサルリソースロケータ（ＵＲＬ）が、所定のＵＲＬに一致する場合、コンテンツ置換を実行すること、
前記アプリケーションセッションがファイル転送セッションであり、且つ所定のファイル名に一致するファイル名が、前記アプリケーションセッションのデータパケット内で見つけられる場合、ファイル名置換を実行すること、及び
前記アプリケーションセッションがＨＴＴＰセッションである場合、前記ユーザ識別情報の前記ユーザのクッキーを挿入すること
のうちの１つ以上を含むことを特徴とする、請求項５に記載の方法。
【請求項７】
前記トラフィック整形制御は、以下：
ウィンドウセグメントサイズを変更すること、及び
伝送制御プロトコル（ＴＣＰ）ウィンドウを調整すること
のうちの１つ以上を含むことを特徴とする、請求項５に記載の方法。
【請求項８】
前記ネットワークトラフィックポリシーは接続速度制御を含むことを特徴とする、請求項４に記載の方法。
【請求項９】
前記ネットワークトラフィックポリシーは、サーバ負荷平衡器選好を含むことを特徴とする、請求項４に記載の方法。
【請求項１０】
前記ネットワークトラフィックポリシーは、サービス品質を含むことを特徴とする、請求項４に記載の方法。
【請求項１１】
前記サービス品質は、前記アプリケーションセッションのデータパケット内の差別化サービスコードポイント（ＤＳＣＰ）の変更を示すことを特徴とする、請求項１０に記載の方法。
【請求項１２】
前記取得するステップ（ｃ）及び前記適用するステップ（ｄ）が、各々、
（ｃ１）前記ユーザ識別情報にマッピングされた文書アクセスポリシーを含む前記セキュリティポリシーを取得するステップ、及び
（ｄ１）前記文書アクセスポリシーを前記アプリケーションセッションに適用するステップ、
を含むことを特徴とする、請求項１に記載の方法。
【請求項１３】
前記文書アクセスポリシーは、文書識別情報及び文書ユーザ識別情報を含み、前記適用するステップ（ｄ１）は、
（ｄ１ｉ）前記ユーザ識別情報を前記文書ユーザ識別情報と比較するステップ、及び
（ｄ１ｉｉ）前記ユーザ識別情報が前記文書ユーザ識別情報に一致するとの判断に応答して、前記ユーザ識別情報により前記文書識別情報を有する文書にアクセスできるようにするステップ、
を含むことを特徴とする、請求項１２に記載の方法。
【請求項１４】
（ｅ）前記アプリケーションセッションへの前記セキュリティポリシーの前記適用に関するセキュリティリポートを生成するステップ
をさらに含むことを特徴とする、請求項１〜１３のいずれか１項に記載の方法。
【請求項１５】
セキュリティポリシーをアプリケーションセッションに適用するコンピュータプログラムであって、
コンピュータ可読プログラムコードが具現されるコンピュータ可読記憶媒体を備え、前記コンピュータ可読プログラムコードは、
（ａ）セキュリティゲートウェイを介して、ネットワークとアプリケーションとのアプリケーションセッションを認識するステップ、
（ｂ）前記アプリケーションセッションについての情報を使用して、前記アプリケーションセッションのユーザ識別情報を特定するステップであって、（ｂ１）ホストを通して前記ネットワークにアクセスするために使用される、前記ユーザ識別情報、前記ホストのホスト識別情報、及びアプリケーションセッション時刻を含む、前記アプリケーションセッションのアプリケーションセッション記録から、前記ユーザ識別情報を特定するステップを含むステップ、
（ｃ）前記ユーザ識別情報にマッピングされたネットワークパラメータを含む前記セキュリティポリシーを取得するステップ、及び、
（ｄ）前記セキュリティポリシーを前記アプリケーションセッションに適用するステップ、
を実行するように構成され、
前記アプリケーションセッション記録の作成が、
（ｂ１ｉ）第２のホストと前記ネットワークとのアクセスセッションのアクセスセッション記録を含む識別情報サーバに対して、前記アプリケーションセッション記録内の前記ホスト識別情報及び前記アプリケーションセッション時刻を送信することにより問い合わせるステップであって、前記アクセスセッション記録が、前記第２のホストを通して前記ネットワークへのアクセスに使用される第２のユーザ識別情報、前記第２のホストの第２のホスト識別情報、及びアクセスセッション時刻を含むステップ、
（ｂ１ｉｉ）前記識別情報サーバが、前記アプリケーションセッション記録内の前記ホスト識別情報を、前記アクセスセッション記録内の前記第２のホスト識別情報と比較し、前記アクセスセッション時刻を前記アプリケーションセッション時刻とを比較するステップ、
（ｂ１ｉｉｉ）前記アプリケーションセッション記録内の前記ホスト識別情報が前記アクセスセッション記録内の前記第２のホスト識別情報に一致し、且つ前記アクセスセッション時刻が前記アプリケーションセッション時刻に一致する場合、前記識別情報サーバが、前記アクセスセッション記録内の前記第２のユーザ識別情報を返すステップ、及び
（ｂ１ｉｖ）前記ネットワークのアクセスに使用されるユーザ識別情報として、前記アプリケーションセッション記録内に前記第２のユーザ識別情報を記憶するステップ、
を含むステップ、
を含むことを特徴とする、コンピュータプログラム。
【請求項１６】
前記ユーザ識別情報は、前記ネットワークへのアクセスに使用されるネットワークユーザ識別情報を含むことを特徴とする、請求項１５に記載のコンピュータプログラム。
【請求項１７】
前記ユーザ識別情報は、前記アプリケーションへのアクセスに使用されるユーザ識別情報を含み、前記ユーザ識別情報は、前記アプリケーションセッションのパケットから認識されることを特徴とする、請求項１５に記載のコンピュータプログラム。
【請求項１８】
前記取得するステップ（ｃ）、及び前記適用するステップ（ｄ）が、各々、
（ｃ１）前記ユーザ識別情報にマッピングされたネットワークトラフィックポリシーを含む前記セキュリティポリシーを取得するステップ、及び、
（ｄ１）前記ネットワークトラフィックポリシーを前記アプリケーションセッションに適用するステップ
を含むことを特徴とする、請求項１５〜１７のいずれか１項に記載のコンピュータプログラム。
【請求項１９】
前記取得するステップ（ｃ）、及び前記適用するステップ（ｄ）が、各々、
（ｃ１）前記ユーザ識別情報にマッピングされた文書アクセスポリシーを含む前記セキュリティポリシーを取得するステップ、及び、
（ｄ１）前記文書アクセスポリシーを前記アプリケーションセッションに適用するステップ
を含むことを特徴とする、請求項１５に記載のコンピュータプログラム。
【請求項２０】
複数のセキュリティポリシーを含む企業ディレクトリと、
セキュリティゲートウェイと、
識別情報サーバと、
を含むシステムであって、
前記セキュリティゲートウェイは、
（ａ）ネットワークとアプリケーションとのアプリケーションセッションを認識し、
（ｂ）前記アプリケーションセッションについての情報を使用して、前記アプリケーションセッションのユーザ識別情報を特定し、
（ｃ）前記企業ディレクトリから、前記ユーザ識別情報にマッピングされたネットワークパラメータを含む前記セキュリティポリシーを、複数の前記セキュリティポリシーから取得し、
（ｄ）前記セキュリティポリシーを前記アプリケーションセッションに適用する、
するものであり、
前記セキュリティゲートウェイによる前記ユーザ識別情報の特定は、 
（ｂ１）ホストを通して前記ネットワークにアクセスするために使用される、前記ユーザ識別情報、前記ホストのホスト識別情報、及びアプリケーションセッション時刻を含む、前記アプリケーションセッションのアプリケーションセッション記録から、前記ユーザ識別情報を特定することを含み、
前記アプリケーションセッション記録の作成は、
（ｂ１ｉ）第２のホストと前記ネットワークとのアクセスセッションのアクセスセッション記録であって、前記第２のホストを通して前記ネットワークへのアクセスに使用される第２のユーザ識別情報、前記第２のホストの第２のホスト識別情報、及びアクセスセッション時刻を含む記録を含む識別情報サーバに対して、前記アプリケーションセッション記録内の前記ホスト識別情報及び前記アプリケーションセッション時刻を送信することにより問い合わせて、
（ｂ１ｉｉ）前記識別情報サーバが、前記アプリケーションセッション記録内の前記ホスト識別情報を、前記アクセスセッション記録内の前記第２のホスト識別情報と比較し、前記アクセスセッション時刻を前記アプリケーションセッション時刻とを比較し、
（ｂ１ｉｉｉ）前記アプリケーションセッション記録内の前記ホスト識別情報が前記アクセスセッション記録内の前記第２のホスト識別情報に一致し、且つ前記アクセスセッション時刻が前記アプリケーションセッション時刻に一致する場合、前記識別情報サーバが、前記アクセスセッション記録内の前記第２のユーザ識別情報を返し、
（ｂ１ｉｖ）前記ネットワークのアクセスに使用される前記ユーザ識別情報として、前記アプリケーションセッション記録内に前記第２のユーザ識別情報を記憶すること、
により行われることを特徴とする、システム。
【請求項２１】
前記ユーザ識別情報は、前記ネットワークへのアクセスに使用されるネットワークユーザ識別情報又は前記アプリケーションへのアクセスに使用されるユーザ識別情報を含み、前記ユーザ識別情報は、前記アプリケーションセッションのパケットから認識されることを特徴とする、請求項２０に記載のシステム。
【請求項２２】
前記セキュリティゲートウェイはさらに、
前記ユーザ識別情報にマッピングされたネットワークトラフィックポリシーを含む前記セキュリティポリシーを取得し、
前記ネットワークトラフィックポリシーを前記アプリケーションセッションに適用することを特徴とする、請求項２０または２１に記載のシステム。
【請求項２３】
前記セキュリティゲートウェイはさらに、
前記ユーザ識別情報にマッピングされた文書アクセスポリシーを含む前記セキュリティポリシーを取得し、
前記文書アクセスポリシーを前記アプリケーションセッションに適用することを特徴とする、請求項２０または２１に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にはデータネットワーキングに関し、より詳細には、アプリケーションセッション中にユーザ識別情報に基づいてネットワークトラフィックポリシーを適用するシステム及び方法に関する。
【背景技術】
【０００２】
企業のセキュアデータネットワークは、企業ビジネス活動の日々の機能に極めて重要な構成要素である。企業の従業員は、セキュアデータネットワークにアクセスして、企業内で通信するとともに、外部世界と通信する。往々にして独占権下にあるか、又は機密である企業情報が、通信中に交換される。
【０００３】
通常、従業員は、ユーザ名「Ｒｏｂｅｒｔ  Ｐ．Ｗｉｌｌｉａｍｓｏｎ」又は従業員番号「ＮＧ０１−６０４１０」等の秘密ユーザ識別情報を使用してネットワークログオン手順により、企業のセキュアデータネットワークへのアクセスを得る。電子メール、ファイル転送、又は文書制御等の企業のオフィスアプリケーションを使用して続く情報の交換は、ネットワークイベントログを通して、秘密ユーザ識別情報に基づいて追跡可能である。
【０００４】
１９９０年代後半から、Ｙａｈｏｏ（商標）、Ａｍｅｒｉｃａ  Ｏｎｌｉｎｅ（商標）（ＡＯＬ）、若しくはＧｏｏｇｌｅ（商標）により提供される電子メール及びインスタントメッセージング、ＷｅｂＥｘ（商標）若しくはＣｅｎｔｒａ（商標）により提供される会議及びコラボレーションサービス、又は様々なファイル共有のピアツーピアサービス等の公衆通信アプリケーション及びサービスの驚異的な人気上昇を目撃した。一般に、公衆通信サービスにより、ユーザは、「ｂｕｔｔｅｒｄｒａｇｏｎ」、「ｆｉｎｇｅｒｎａｉｌ１９８４」、又は「ｐｅｔｅｒｒａｂｂｉｔ」等の公開ユーザ識別情報を使用して、メッセージング、テキストチャット、又は文書交換を通して情報を交換することができる。
【０００５】
しかし、企業設定では、従業員が、企業のセキュアデータネットワークを介して公開ユーザ識別情報を用いて公衆通信サービスに接続する場合、公開ユーザ識別情報は秘密ユーザ識別情報に結びつけられないため、情報交換の追跡は、仮に追跡可能であったとしても難しい。
【０００６】
一例では、企業の情報技術（ＩＴ）部門は、従業員のＶｉｃｔｏｒが企業の電子メールシステムを使用して、独占権下にある文書を送信し、企業のセキュリティポリシーに違反したことに気付く。Ｖｉｃｔｏｒに警告を発した後、ＩＴ部門はさらなる違反を発見しない。不都合なことに、ＩＴ部門は、Ｖｉｃｔｏｒが、公開ユーザ識別情報「ＰｉｒａｔｅｓＯｆＣａｒｉｂｂｅａｎ＠Ｙａｈｏｏ．ｃｏｍ」を用いてＹａｈｏｏ（商標）電子メールを使用してこの活動を続けたことに気付かない。
【０００７】
別の例では、大きな展示会の２週間前に、企業はセキュリティ対策をとり、ディレクターレベル以上の従業員の通信活動を監視し、競合する情報の機密性を保証する。そのセキュリティ対策は、企業の電子メール、電話での会話、及びボイスメッセージングを網羅するが、それにも関わらず、機密情報がどのみち、展示会前に経済記者に漏出したため、失敗であることが証明される。漏出源は決して確認し得ず、経済記者は密かに、スクリーン名「ｏｐｅｎｓｅｃｒｅｔ２００６」を用いてＡＯＬ  Ｉｎｓｔａｎｔ  Ｍｅｓｓａｇｉｎｇ（商標）を使用する企業の匿名従業員から情報を得たことを明かす。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記考察は、ユーザ識別情報を公開アプリケーションに関連付けるセキュリティ解決策の必要性を示す。
【課題を解決するための手段】
【０００９】
セキュリティポリシーをアプリケーションセッションに適用する方法は、セキュリティゲートウェイを介してネットワークとアプリケーションとのアプリケーションセッションについての情報を使用して、アプリケーションセッションのユーザ識別情報を特定すること、セキュリティゲートウェイが、ユーザ識別情報にマッピングされたネットワークパラメータを含むセキュリティポリシーを取得すること、及びセキュリティゲートウェイが、セキュリティポリシーをアプリケーションセッションに適用することを含む。ユーザ識別情報は、アプリケーションセッションのパケットから認識されるネットワークユーザ識別情報又はアプリケーションユーザ識別情報であり得る。セキュリティポリシーは、ユーザ識別情報にマッピングされたネットワークトラフィックポリシー及び／又は文書アクセスポリシーを含み得、ネットワークトラフィックポリシーはアプリケーションセッションに適用される。セキュリティゲートウェイは、アプリケーションセッションへのセキュリティポリシーの適用に関するセキュリティリポートをさらに生成し得る。
【図面の簡単な説明】
【００１０】
【図１ａ】セキュアネットワークを示す。
【図１ｂ】アクセスセッション及びアプリケーションセッションを示す。
【図１ｃ】アクセスセッション記録及びアプリケーションセッション記録を示す。
【図２】アプリケーションセッション記録を生成するプロセスを示す。
【図３】アプリケーションセッションを認識するプロセスを示す。
【図４ａ】アプリケーションセッションの公開ユーザ識別情報を特定するプロセスを示す。
【図４ｂ】ＡＩＭログオンパケット内のデータパケットを示す。
【図５】秘密ユーザ識別情報を特定するプロセスを示す。
【図６】企業ディレクトリを照会することにより、セキュリティポリシーを得るセキュリティゲートウェイの実施形態を示す。
【図７】セキュリティ制御を含むセキュリティポリシーを示す。
【図８】ネットワークトラフィックポリシーの複数の実施形態を示す。
【発明を実施するための形態】
【００１１】
図１ａはセキュアネットワークを示す。
【００１２】
セキュアネットワーク１６０はホスト１３０を含む。ユーザ１２０は、ホスト１３０を使用して、アプリケーションサーバ１９０内でホストされる公開アプリケーション１８０にアクセスする。アプリケーションサーバ１９０は、セキュアネットワーク１６０の外部にある。ホスト１３０とアプリケーションサーバ１９０との間のネットワークトラフィックは、セキュリティゲートウェイ１５０を通る。セキュリティゲートウェイ１５０は、プロセッサ１７１及びコンピュータ可読媒体１７２に動作的に結合される。コンピュータ可読媒体１７２は、本明細書に記載される本発明の様々な実施形態を実施するコンピュータ可読プログラムコードを記憶する。
【００１３】
ホスト１３０は、ネットワークアクセス性能を有する計算装置である。ホスト１３０は、プロセッサ１７３及びコンピュータ可読媒体１７４に動作的に結合される。コンピュータ可読媒体１７４は、本明細書に記載される本発明の様々な実施形態を実施するコンピュータ可読プログラムコードを記憶する。一実施形態では、ホスト１３０はワークステーション、デスクトップパーソナルコンピュータ、又はラップトップパーソナルコンピュータである。一実施形態では、ホスト１３０は個人情報端末（ＰＤＡ）、スマートフォン、又はセルラ電話である。
【００１４】
一実施形態では、セキュアネットワーク１６０はインターネットプロトコル（ＩＰ）ネットワークである。一実施形態では、セキュアネットワーク１６０は、企業データネットワーク又は地域企業データネットワークである。一実施形態では、セキュアネットワーク１６０はインターネットサービスプロバイダネットワークである。一実施形態では、セキュアネットワーク１６０は住宅データネットワークである。一実施形態では、セキュアネットワーク１６０は、Ｅｔｈｅｒｎｅｔ（登録商標）等の有線ネットワークを含む。一実施形態では、セキュアネットワーク１６０は、ＷｉＦｉネットワーク等の無線ネットワークを含む。
【００１５】
公開アプリケーション１８０は、ユーザ１２０が他のユーザとリアルタイムで通信できるようにするサービスを提供する。一実施形態では、サービスはテキストチャットを含む。一実施形態では、サービスはボイスコール又はビデオコールを含む。一実施形態では、サービスはネットワークゲームを含む。一実施形態では、サービスは、テキスト文書、ＰｏｗｅｒＰｏｉｎｔ（商標）プレゼンテーション、Ｅｘｃｅｌ（商標）スプレッドシート、イメージファイル、又はビデオクリップの送信又は受信等の文書の交換を含む。一実施形態では、サービスは、文書、ビジネスプラン、合意書の作成等の協働的な文書処理を含み、ユーザ１２０は他のユーザとリアルタイムで協働する。一実施形態では、サービスは会議電話等の協働的な情報交換を含む。一実施形態では、サービスはソーシャルネットワーキングサービスである。一実施形態では、サービスはリアルタイムコラボレーション及び非リアルタイムコラボレーションを含む。
【００１６】
一実施形態では、公開アプリケーション１８０は、Ａｍｅｒｉｃａ  Ｏｎｌｉｎｅ  Ｉｎｓｔａｎｔ  Ｍｅｓｓｅｎｇｅｒ（商標）サービスを提供する。一実施形態では、公開アプリケーション１８０は、Ｙａｈｏｏ  Ｉｎｓｔａｎｔ  Ｍｅｓｓｅｎｇｅｒ（商標）ボイスサービスを提供する。一実施形態では、公開アプリケーション１８０は、Ｋａｚａａ（商標）ファイル共有サービス等のファイル共有サービスを提供する。一実施形態では、公開アプリケーション１８０は、Ｍｉｃｒｏｓｏｆｔ（商標）ネットワークゲームサービス等のネットワークゲームサービスを提供する。一実施形態では、公開アプリケーション１８０は、Ｇｏｏｇｌｅ  Ｄｏｃｓ（商標）及びＳａｌｅｓｆｏｒｃｅ．ｃｏｍ（商標）等のオンライン協働文書処理を提供する。一実施形態では、公開アプリケーション１８０は、ＷｅｂＥｘ（商標）等のオンライン情報交換及び通信を提供する。一実施形態では、公開アプリケーション１８０は、ライブビデオストリーミング、ライブオーディオストリーミング、及び瞬間ピクチャアップロード等のライブ情報ストリーミングを提供する。
【００１７】
セキュリティゲートウェイ１５０は、セキュアネットワーク１６０のエッジに配置される。セキュリティゲートウェイ１５０は、セキュアネットワーク１６０を公開アプリケーション１８０に接続する。セキュリティゲートウェイ１５０は、セキュアネットワーク１６０からネットワークトラフィックを受信し、ネットワークトラフィックをアプリケーションサーバ１９０に送信する。同様に、セキュリティゲートウェイ１５０は、アプリケーションサーバ１９０からネットワークトラフィックを受信し、ネットワークトラフィックをセキュアネットワーク１６０に送信する。
【００１８】
一実施形態では、セキュリティゲートウェイ１５０は、企業広域ネットワーク（ＷＡＮ）ゲートウェイの機能を含む。一実施形態では、セキュリティゲートウェイ１５０は、住宅ブロードバンドゲートウェイの機能を含む。一実施形態では、セキュリティゲートウェイ１５０は、インターネットサービスプロバイダのＷＡＮゲートウェイの機能を含む。
【００１９】
図１ｂは、アクセスセッション及びアプリケーションセッションを示す。
【００２０】
ユーザ１２０は、アクセスセッション１６２中、ホスト１３０を使用してセキュリティネットワーク１６０にアクセスする。
【００２１】
ホスト１３０はホスト識別情報１３４を含む。ホスト１３０は、ホスト識別情報１３４を使用してセキュアネットワーク１６０に接続する。一実施形態では、ホスト識別情報１３４はＩＰアドレスを含む。一実施形態では、ホスト識別情報１３４は媒体アクセス制御（ＭＡＣ）アドレスを含む。
【００２２】
セキュアネットワーク１６０内で、ユーザ１２０は秘密ユーザ識別情報１２４を有する。一実施形態では、秘密ユーザ識別情報１２４は、従業員番号又は従業員氏名である。一実施形態では、秘密ユーザ識別情報１２４はインターネットサービス加入識別番号である。一実施形態では、アクセスセッション１６２は、秘密ユーザ識別情報１２４を使用して、セキュアネットワーク１６０の、従業員ネットワークログイン等のネットワークユーザログイン手順に成功した後に確立される。秘密ユーザ識別情報１２４にはホスト識別情報１３４が関連付けられる。一実施形態では、ホスト１３０はゲスト計算装置である。秘密ユーザ識別情報１２４には、ホスト１３０が接続する「Ｅｔｈｅｒｎｅｔ」交換ポートが関連付けられる。この実施形態では、秘密ユーザ識別情報１２４は、ポート番号、「Ｅｔｈｅｒｎｅｔ」インタフェース識別情報、又は「Ｅｔｈｅｒｎｅｔ」  ＶＬＡＮ識別情報である。
【００２３】
ユーザ１２０は、アプリケーションセッション１８２中、ホスト１３０を使用して、公開アプリケーション１８０にアクセスする。ユーザ１２０は、アプリケーションセッション１８２中、公開ユーザ識別情報１２７を使用する。一実施形態では、公開アプリケーション１８０は、アプリケーションセッション１８２を確立する前に、ログインするようにユーザ１２０に促す。アプリケーションユーザログイン手順中、ユーザ１２０は、公開アプリケーション１８０にユーザ識別情報１２７を提供する。別の実施形態では、公開アプリケーション１８０は、アプリケーションセッション１８２のためのユーザ１２０の公開ユーザ識別情報１２７を選択する。一実施形態では、公開ユーザ識別情報１２７は、ユーザ登録プロセス又はサービス加入プロセスを通してセットアップされる。アプリケーションセッション１８２内のネットワークトラフィックは、セキュリティゲートウェイ１５０を通る。
【００２４】
図１ｃは、アクセスセッション記録及びアプリケーションセッション記録を示す。
【００２５】
アクセスセッション記録１６４は、アクセスセッション１６２についての情報を記録する。情報は、秘密ユーザ識別情報１２４、ホスト識別情報１３４、及びアクセスセッション時刻１６６を含む。一実施形態では、アクセスセッション時刻１６６は、アクセスセッション１６２が確立された開始時刻である。一実施形態では、アクセスセッション時刻１６６は、開始時刻と、ユーザ１２０がアクセスセッション１６２を終了した終了時刻とを含む。一実施形態では、アクセスセッション時刻１６６は、アクセスセッション１６２中の時刻のタイムスタンプである。
【００２６】
アプリケーションセッション記録１８４は、アプリケーションセッション１８２についての情報を記録する。情報は、秘密ユーザ識別情報１２４、公開ユーザ識別情報１２７、及びアプリケーションセッション時刻１８６を含む。一実施形態では、情報はホスト識別情報１３４をさらに含む。一実施形態では、アプリケーションセッション時刻１８６は、アプリケーションセッション１８２が確立された開始時刻を含む。一実施形態では、アプリケーションセッション時刻１８６は、アプリケーションセッション１８２中のタイムスタンプを含む。一実施形態では、アプリケーションセッション時刻１８６は、セキュリティゲートウェイ１５０がアプリケーションセッション１８２を認識したときのタイムスタンプを含む。
【００２７】
図２は、アプリケーションセッション記録を生成するプロセスを示す。
【００２８】
アプリケーションセッション記録１８４を生成するプロセスは、複数のステップを含む。
【００２９】
ステップ２０１において、セキュリティゲートウェイ１５０はアプリケーションセッションを認識する。
【００３０】
ステップ２０２において、セキュリティゲートウェイ１５０は、アプリケーションセッションの公開ユーザ識別情報を特定する。
【００３１】
ステップ２０３において、セキュリティゲートウェイ１５０は、アプリケーションセッションについての情報を使用して、秘密ユーザ識別情報を特定する。
【００３２】
図３〜図５は、ステップ２０１〜２０３のそれぞれを示す。
【００３３】
図３は、アプリケーションセッションを認識するプロセスを示す。
【００３４】
セキュリティゲートウェイ１５０は、ホスト１３０とアプリケーションサーバ１９０とのネットワークトラフィックを検査して、公開アプリケーション１８０のアプリケーションセッション１８２を認識する。
【００３５】
一実施形態では、セキュリティゲートウェイ１５０は、ホスト１３０とアプリケーションサーバ１９０との間のデータパケット３３９を検査して、アプリケーションセッション１８２を認識する。
【００３６】
セキュリティゲートウェイ１５０は、公開アプリケーション１８０のアプリケーション識別子３５５を含む。アプリケーション識別子３５５は、アプリケーションセッション１８２を認識する情報を含む。一実施形態では、アプリケーション識別子３５５は、伝送制御プロトコル（ＴＣＰ）又はユーザダイアグラムプロトコル（ＵＤＰ）等のトランスポート層情報と、ＴＣＰポート番号又はＵＤＰポート番号等の少なくとも１つのトランスポートポート番号とを含む。一実施形態では、アプリケーション識別子３５５は、１つ以上のデータフィルタ等のアプリケーション層情報を含み、データフィルタは、データパケット内の値及び値の位置を指定する。一例では、データフィルタは［値「０×５２」を有するバイト０］である。一例では、データフィルタは［ＡＳＣＩＩ値「ＡＤＥＨ」を有するバイト４〜７］である。
【００３７】
セキュリティゲートウェイ１５０は、データパケット３３９をアプリケーション識別子３５５と突き合わせて照合する。
【００３８】
一実施形態では、アプリケーション識別子３５５は、ＴＣＰのトランスポートプロトコルタイプと、ＡＩＭプロトコルにより使用されるＴＣＰポート番号である５１９０という宛先ＴＣＰポート番号とを含む。この実施形態では、データパケット３３９は、ホスト１３０からアプリケーションサーバ１９０へのＴＣＰパケットである。セキュリティゲートウェイ１５０は、データパケット３３９をアプリケーション識別子３５５と突き合わせて照合し、公開アプリケーション１８０がＡＩＭサービスを提供することを決定する。
【００３９】
セキュリティゲートウェイ１５０は、アプリケーションセッション記録１８４を作成する。セキュリティゲートウェイ１５０は、データパケット３３９のＩＰヘッダから送信元ＩＰアドレスを抽出し、送信元ＩＰアドレスをホスト識別情報１３４として記憶する。一実施形態では、データパケット３３９は、送信元ＭＡＣアドレス等のリンク層情報を含み、セキュリティゲートウェイ１５０は、送信元ＭＡＣアドレスを抽出し、ホスト識別情報１３４として記憶する。
【００４０】
一実施形態では、セキュリティゲートウェイ１５０はクロック３５９に接続する。クロック３５９は、現在の日時を示す。セキュリティゲートウェイ１５０は、クロック３５９により示された日時をアプリケーションセッション時刻１８６に記憶する。
【００４１】
図４ａは、アプリケーションセッション１８２の公開ユーザ識別情報を特定するプロセスを示す。
【００４２】
公開ユーザ識別情報１２７を特定する方法は通常、公開アプリケーション１８０に固有である。一実施形態では、データパケット３３９はアプリケーションパケットである。例えば、公開アプリケーション１８０は、ＡＩＭサービスを提供し、データパケット３３９はＡＩＭパケットである。
【００４３】
ＡＩＭパケットは複数のフィールドを含み、例えば、
コマンド開始フィールドは、固定された１６進数値「０×０２」を有するバイトオフセット０で開始される１バイトデータフィールドであり、
チャネルＩＤフィールドは、バイトオフセット１で開始される１バイトデータフィールドであり、
シーケンス番号フィールドは、バイトオフセット２で開始される２バイト整数であり、
データフィールド長フィールドは、バイトオフセット４で開始される２バイトデータフィールドであり、
ファミリフィールドは、バイトオフセット６で開始される２バイトデータフィールドであり、
サブタイプフィールドは、バイトオフセット８で開始される２バイトデータフィールドである。
【００４４】
ＡＩＭログオンパケットは、固定された１６進数値「０×００  ０×１７」を有するファミリフィールドと、固定された１６進数値「０×００  ０×０６」を有するサブタイプフィールドとを有するＡＩＭパケットである。
【００４５】
ＡＩＭログオンパケットは、バイトオフセット１９で開始される１バイト整数であるバディ名前（ｂｕｄｄｙ  ｎａｍｅ）長さフィールドと、バイトオフセット２０で開始される可変長バディ名前フィールドとをさらに含む。バディ名前長さフィールドは、バディ名前フィールドのバイト単位での長さを示す。
【００４６】
セキュリティゲートウェイ１５０は、データパケット３３９を照合して、データパケット３３９がＡＩＭログオンパケットであるか否かを判断する。一実施形態では、データパケット３３９は、図４ｂに示されるＡＩＭログオンパケット４００である。セキュリティゲートウェイ１５０はさらに、バディ名前長さフィールド４０５を抽出する。セキュリティゲートウェイ１５０は、バディ名前フィールド４０７をさらに抽出する。この実施形態では、バディ名前長さフィールド４０５は整数「１３」であり、バディ名前フィールド４０７は「ＪｏｈｎＳｍｉｔｈ１９８４」である。セキュリティゲートウェイ１５０は、「ＪｏｈｎＳｍｉｔｈ１９８４」を公開ユーザ識別情報１２４としてアプリケーションセッション記録１８４に記憶する。
【００４７】
一実施形態では、データパケット３３９はＡＩＭログオンパケットではない。セキュリティゲートウェイ１５０は、ホスト１３０からの別のデータパケットを検査する。
【００４８】
図５は、秘密ユーザ識別情報を特定するプロセスを示す。
【００４９】
セキュアネットワーク１６０は、識別情報サーバ５７０を含む。識別情報サーバ５７０は、プロセッサ５８１及びコンピュータ可読媒体５８２に動作的に結合される。コンピュータ可読媒体５８２は、本明細書に記載される本発明の様々な実施形態を実施するコンピュータ可読プログラムコードを記憶する。識別情報サーバ５７０は、ユーザ１２０がアプリケーションセッション１８２にアクセスするアクセスセッション１６２のアクセスセッション記録１６４を含む。
【００５０】
セキュリティゲートウェイ１５０は、識別情報サーバ５７０に問い合わせる。セキュリティゲートウェイ１５０は、ホスト識別情報１３４及びアプリケーションセッション時刻１８６を識別情報サーバ５７０に送信する。
【００５１】
識別情報サーバ５７０は、ホスト識別情報１３４及びアプリケーションセッション時刻１８６を受信する。識別情報サーバ５７０は、ホスト識別情報１３４及びアプリケーションセッション時刻１８６をアクセスセッション記録１６４と突き合わせて照合する。識別情報サーバ５７０は、ホスト識別情報１３４がアクセスセッション記録１６４のホスト識別情報と一致すると判断する。識別情報サーバ５７０は、アプリケーションセッション時刻１８６がアクセスセッション記録１６４の開始時刻と終了時刻との間にある場合、アプリケーションセッション時刻１８６がアクセスセッション記録１６４のアクセスセッション時刻１６６に一致するとさらに判断する。識別情報サーバ５７０は、アクセスセッション記録１６４の秘密ユーザ識別情報１２４を、問い合わせの応答としてセキュリティゲートウェイ１５０に送信する。
【００５２】
セキュリティゲートウェイ１５０は、秘密ユーザ識別情報１２４を識別情報サーバ５７０から受信し、秘密ユーザ識別情報１２４をアプリケーションセッション記録１８４に記憶する。
【００５３】
一実施形態では、セキュリティゲートウェイ１５０は、公開アプリケーション１８０からの公開ユーザ識別情報１２７のログオン承認指示を認識した後、公開ユーザ識別情報１２７をアプリケーションセッション記録１８４に記憶する。
【００５４】
一実施形態では、セキュリティゲートウェイ１５０は、公開ユーザ識別情報１２７を特定した直後、識別情報サーバ５７０に問い合わせる。一実施形態では、セキュリティゲートウェイ１５０は、アプリケーションセッション１８２が終了した後、識別情報サーバ５７０に問い合わせる。
【００５５】
一実施形態では、セキュリティゲートウェイ１５０は、複数のホスト識別情報をバルク要求内で送信することにより識別情報サーバ５７０に問い合わせ、複数の秘密ユーザ識別情報をバルク応答で受信する。
【００５６】
一実施形態では、アプリケーションセッション記録１８４は、個室若しくはオフィスの番号、個室若しくはオフィスの位置、電話番号、電子メールアドレス、メールドロップ位置、部門名／識別情報、又はマネージャ名等の秘密ユーザ識別情報１２４に関連付けられた追加のユーザ情報を含む。
【００５７】
一実施形態では、セキュリティゲートウェイ１５０は、追加のユーザ情報を識別情報サーバ５７０から得る。一実施形態では、セキュリティゲートウェイ１５０は、識別情報サーバ５７０から受信した秘密ユーザ識別情報１２４を使用することにより、企業ディレクトリサーバ等の異なるサーバに問い合わせることで、追加のユーザ情報を得る。
【００５８】
一実施形態では、公開アプリケーション１８０は、ファイル転送プロトコル（ＦＴＰ）プロトコル又はプロプライエタリプロトコルを使用してファイル転送サービスを提供する。一実施形態では、公開アプリケーション１８０は、簡易メール転送プロトコル（ＳＭＴＰ）、インターネットメッセージアクセスプロトコル（ＩＭＡＰ）、又はポストオフィスプロトコルバージョン３（ＰＯＰ３）プロトコルを使用して電子メールサービスを提供する。
【００５９】
アプリケーションセッション記録を使用することにより、アプリケーションセッション１８２の秘密ユーザ識別情報１２４及び公開ユーザ識別情報１２７を特定し得る。一実施形態では、図６に示されるように、公開ユーザ識別情報及び秘密ユーザ識別情報が特定されると、セキュリティゲートウェイ１５０は、企業ディレクトリ４７０に問い合わせることにより、アプリケーションセッション１８２のセキュリティポリシー４０２を得る。一実施形態では、企業ディレクトリ４７０はセキュリティポリシー４０２を含む。一実施形態では、企業ディレクトリ４７０は、セキュリティポリシー４０２を含む記憶装置６０１を備えたサーバコンピュータである。他の実施形態では、企業ディレクトリ４７０は、コンピュータで実行中のコンピュータ可読媒体（図示せず）に記憶されたプログラムコードを有するソフトウェアモジュールである。一実施形態では、企業ディレクトリ４７０は識別情報サーバ５７０に常駐する。一実施形態では、企業ディレクトリ４７０は、Ｍｉｃｒｏｓｏｆｔ  Ａｃｔｉｖｅ  Ｄｉｒｅｃｔｏｒｙ（商標）、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）ディレクトリサービス、ウェブサービス、Ｊａｖａ（登録商標）技術を使用するディレクトリサービス等のディレクトリ技術を使用する。一実施形態では、企業ディレクトリ４７０は、セキュリティポリシー４０２及び他のポリシーをホストするポリシーサーバを含む。
【００６０】
セキュリティゲートウェイ１５０は、セキュリティポリシーについて企業ディレクトリ４７０に問い合わせ、問い合わせはユーザ識別情報４２４を含む。ユーザ識別情報４２４は、秘密ユーザ識別情報１２４又は公開ユーザ識別情報１２７を含み得る。企業ディレクトリ４７０は、ユーザ識別情報４２４をセキュリティポリシー４０２と突き合わせて照合し、セキュリティポリシー４０２がユーザ識別情報４２４に適用可能であると判断する。一実施形態では、セキュリティポリシー４０２は、ネットワークパラメータをユーザ識別情報にマッピングし、ユーザ識別情報４２４とセキュリティポリシー４０２内のユーザ識別情報とが一致する。一実施形態では、セキュリティポリシー４０２は、ネットワークパラメータをグループ識別情報（図示せず）にマッピングし、ユーザ識別情報４２４はグループ識別情報のメンバである。ユーザ識別情報４２４とセキュリティポリシー４０２内のユーザ識別情報との一致が見つかったことに応答して、企業ディレクトリ４７０は、セキュリティポリシー４０２をセキュリティゲートウェイ１５０に送信する。
【００６１】
一実施形態では、セキュリティゲートウェイ１５０は、アプリケーションセッション記録１８４及びセキュリティポリシー４０２に基づいて、セキュリティリポート４７５を生成する。一実施形態では、セキュリティゲートウェイ１５０は、所定のユーザ識別情報又は所定のユーザ識別情報リストに基づいて、セキュリティリポート４７５を生成する。例えば、セキュリティリポートは、１つ以上のユーザ識別情報の入力に基づいて生成し得る。一実施形態では、セキュリティゲートウェイ１５０は、事前に定義されるスケジュールに基づいて、又はオペレータにより要求される場合に、セキュリティリポート４７５を生成する。
【００６２】
一実施形態では、セキュリティポリシー４０２は、図７に示されるセキュリティ制御機能を含む。セキュリティゲートウェイ１５０は、アプリケーションセッション１８２への問い合わせに応答して、企業ディレクトリ４７０から受信したセキュリティポリシー４０２を適用する。セキュリティポリシー４０２は通常、企業機密文書への不正アクセスから保護し、企業の運営にとって極めて重要な企業セキュアネットワーク１６０を不正使用から保護するように、企業により構成される。一実施形態では、セキュリティポリシー４０２の受信に応答して、セキュリティゲートウェイ１５０は、受信したセキュリティポリシー４０２が、問い合わせで送信されたユーザ識別情報４２４に一致するユーザ識別情報を含むことを確認する。確認に応答して、セキュリティゲートウェイ１５０は、セキュリティポリシー４０２をアプリケーションセッション１８２に適用する。図７では、セキュリティポリシー４０２は、ネットワークトラフィックポリシー４５１又は文書アクセスポリシー４５３を含む。
【００６３】
図８は、ネットワークトラフィックポリシー４５１の複数の実施形態を示す。一実施形態では、ネットワークトラフィックポリシー４５１は、ユーザ識別情報４２４が、アプリケーションセッション１８２の継続について拒絶されるか、それとも許可されるかを示す、ネットワークに基づくアプリケーションセッションアクセス制御を指定する。拒絶される場合、セキュリティゲートウェイ１５０は、アプリケーションセッション１８２のデータパケット４３９の転送を停止し得る。一実施形態では、ネットワークポリシー４５１は、１Ｍｂｐｓ、１日当たり１００ＭＢ、又は１ヶ月当たり５ＧＢ等の帯域幅速度容量を指定する。実施形態では、帯域幅速度容量は、毎秒１００パケット、１日当たり１０，０００パケット、又は１ヶ月当たり４００万パケット等、パケット単位で測定される。一実施形態では、ネットワークトラフィックポリシー４５１は、アプリケーションセッション１８２のユーザ識別情報４２４にマッピングされるサービス品質（ＱＯＳ）を指定する。例えば、ネットワークトラフィックポリシー４５１は、アプリケーションセッション１８２のデータパケット４３９内の差別化サービスコードポイント（ＤＳＣＰ）マークの変更を示す。一実施形態では、ネットワークトラフィックポリシー４５１は、キュー入れ遅延、キュー入れ優先度、パケット転送路、リンクインタフェース選好、サーバ負荷、平衡選好、パケットルーティングポリシー、又はアプリケーションセッション１８２のデータパケット４３９を処理する他の制御を指定する。
【００６４】
一実施形態では、ネットワークトラフィックポリシー４５１は、トラフィック整形制御を含む。一例では、トラフィック整形制御は、ウィンドウセグメントサイズの変更又はＴＣＰウィンドウ調整等のＴＣＰプロファイルを指定する。
【００６５】
一実施形態では、ネットワークトラフィックポリシー４５１は、毎秒１０のセッション接続、３５の同時接続、昼食時間中に１００セッション、１日当たり５００セッション、１日当たり２４のボイスセッション、又は１時間当たり７５のファイル転送セッション等の速度又は容量を指定する、ユーザ識別情報４２４に基づくセッション接続速度制御を示す。一実施形態では、ネットワークトラフィックポリシー４５１は、速度又は容量を超える場合、アプリケーションセッション１８２が拒絶されるか、それともアプリケーションセッション１８２のデータパケット４３９がドロップされるかを指定し得る。
【００６６】
一実施形態では、ネットワークトラフィックポリシー４５１は、アプリケーションセッション１８２のデータパケット４３９が、ユーザ識別情報４２４を有するユーザに対してどのように変更されるかを指定する、ユーザ識別情報４２４にマッピングされたアプリケーションセッション変更制御を含む。一例では、アプリケーションセッション変更制御は、セキュリティゲートウェイ１５０が、ユーザ識別情報４２４のアプリケーションセッション１８２に対してネットワークアドレス変換（ＮＡＴ）を実行すべきであることを指定する。一例では、セキュリティゲートウェイ１５０は、ユーザ識別情報４２４に所定のポート番号を使用して、アプリケーションセッション１８２に対してポートアドレス変換（ＰＡＴ）を実行すべきである。別の例では、セキュリティゲートウェイ１５０は、アプリケーションセッション１８２がＨＴＴＰセッションであり、且つアプリケーションセッション１８２のデータパケット４３９内のユニバーサルリソースロケータ（ＵＲＬ）がユーザ識別情報４２４の所定のＵＲＬに一致する場合、コンテンツ置換を実行すべきである。例では、セキュリティゲートウェイ１５０は、アプリケーションセッション１８２がファイル転送セッションであり、且つ所定のファイル名に一致するファイル名が、ユーザ識別情報４２４のアプリケーションセッション１８２のデータパケット４３９で見つけられた場合、ファイル名置換を実行すべきである。別の例では、セキュリティゲートウェイ１５０は、アプリケーションセッション１８２が、任意選択的にＵＲＬの事前決定されたＰＯＳＴ又はＧＥＴ要求に一致するデータパケット４３９を有する、ＨＴＴＰセッションである場合、ユーザ識別情報４２４についてのクッキーを挿入すべきである。
【００６７】
図７に戻ると、一実施形態では、文書アクセスポリシー４５３は、文書４４７へのアクセスが許可されるか、それとも拒絶されるかを指定する。一実施形態では、文書４４７は、ファイル、ビジネス合意書、契約書、スプレッドシート、プレゼンテーション、絵、テキスト文書、マニュアル、プログラム、ソフトウェアプログラム、デザイン、製品仕様書、データシート、ビデオファイル、オーディオファイル、電子メール、ボイスメール、ファックス、文書のフォトコピー、又は任意のビジネス文書を含む。一実施形態では、文書４４７は、データベース照会要求、ウェブページ、ビデオ、又は音楽等のデジタル情報に繋がるＵＲＬを含む。一実施形態では、文書４４７は、ビデオストリーミング、オーディオストリーミング、ウェブキャスト、ポッドキャスト、ビデオショー、テレビ会議セッション、又は電話呼等の情報のリアルタイム転送又はストリーミングを含む。一実施形態では、文書アクセスポリシー４５３は、文書識別情報４４３及び文書ユーザ識別情報４４４を含む。文書識別情報４４３は文書４４７を識別する。文書ユーザ識別情報４４４は、文書４４７へのアクセスが文書アクセスポリシー４５３により影響を受けるユーザを識別する。実施形態では、セキュリティゲートウェイ１５０は、ユーザ識別情報４２４を文書ユーザ識別情報４４４と比較する。ユーザ識別情報４２４が文書ユーザ識別情報４４４に一致するとの判断に応答して、一実施形態では、セキュリティゲートウェイ１５０は、文書識別情報４４３を有する文書４４７にユーザ識別情報４２４でアクセスできるようにする。別の実施形態では、セキュリティゲートウェイ１５０は、文書識別情報４４３を有する文書４４７へのアクセスを拒絶する。アクセスを拒絶するに当たり、セキュリティゲートウェイ１５０は、アプリケーションセッション１８２を切断するか、又はデータパケット４３９を破棄し得る。一実施形態では、セキュリティゲートウェイ１５０は、データパケット４３９は文書識別情報４４３を含むことを確認する。データパケット４３９が文書識別情報４４３を含むことの確認に応答して、セキュリティゲートウェイ１５０は文書アクセスポリシー４５３を適用する。
【００６８】
一実施形態では、セキュリティポリシー４０２は時間４５７を含み、セキュリティポリシー４０２は、時間４５７内で適用可能である。一実施形態では、時間４５７は、午前８時、午後４時、真夜中等の開始時間を示す。実施形態では、時間４５７は、午前８時から午前１０時、午後７時から午前５時、朝の時間、昼食時間、ラッシュアワー時間、プライム時間等の時間範囲を示す。セキュリティゲートウェイ１５０は、クロック３５９を時間４５７と比較し、セキュリティポリシー４０２が適用可能か否かを判断する。
【００６９】
一実施形態では、セキュリティゲートウェイ１５０は、セキュリティポリシー４０２をユーザ識別情報４２４のアプリケーションセッション１８２に適用可能であるか否かを判断する場合、セキュリティメッセージ４７２を生成する。一実施形態では、セキュリティゲートウェイ１５０は、セキュリティポリシー４０２をアプリケーションセッション１８２に適用する場合、セキュリティメッセージ４７２を生成する。一実施形態では、セキュリティリポート４７５はセキュリティメッセージ４７２を含む。一例では、セキュリティメッセージ４７２は、セキュリティポリシー４０２及びユーザ識別情報４２４を含む。一例では、セキュリティメッセージ４７２は、動作セキュリティゲートウェイ１５０を含み、セキュリティポリシー４０２を使用してアプリケーションセッション１８２に適用する。
【００７０】
本発明は、全体的にハードウェアの実施形態、全体的にソフトウェアの実施形態、又はハードウェア要素とソフトウェア要素との両方を含む実施形態の形態をとることができる。好ましい実施形態では、本発明はソフトウェアで実施され、ソフトウェアは、ファームウェア、常駐ソフトウェア、マイクロコード等を含むが、これらに限定されない。
【００７１】
さらに、本発明は、コンピュータ若しくは任意の命令実行システムにより使用されるか、又はこれに接続されるプログラムコードを提供するコンピュータ使用可能又はコンピュータ可読媒体からアクセス可能なコンピュータプログラム製品の形態をとることができる。この説明では、コンピュータ使用可能又はコンピュータ可読媒体は、命令実行システム、装置、又はデバイスにより使用されるか、又はこれに接続されるｅｈプログラムの含有、記憶、通信、伝播、又は輸送が可能な任意の装置であることができる。
【００７２】
媒体は、電子システム、磁気システム、光学システム、電磁システム、赤外線システム、半導体システム（又は装置若しくはデバイス）、或いは伝播媒体であることができる。コンピュータ可読媒体の例としては、半導体メモリ、固体状態メモリ、磁気テープ、リムーバブルコンピュータディスク、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、剛性磁気ディスク、及び光ディスクが挙げられる。光ディスクの現在の例としては、コンパクトディスク−読み取り専用メモリ（ＣＤ−ＲＯＭ）、コンパクトディスク−読み取り／書き込み（ＣＤ−Ｒ／Ｗ）、及びＤＶＤが挙げられる。
【００７３】
プログラムコードの記憶及び／又は実行に適したデータ処理システムは、システムバスを通してメモリ要素に直接又は間接的に結合される少なくとも１つのプロセッサを含む。メモリ要素は、プログラムコードの実際の実行中に利用されるローカルメモリと、大容量記憶装置と、実行中にコードを大容量記憶装置から検索しなければならない回数を低減するために、少なくともいくつかのプログラムコードの一時的な記憶を提供するキャッシュメモリとを含むことができる。
【００７４】
入力／出力装置又はＩ／Ｏ装置（キーボード、ディスプレイ、ポイントデバイス等を含むが、これらに限定されない）は、直接、又は介在するＩ／Ｏコントローラを通してシステムに結合することができる。
【００７５】
ネットワークアダプタもシステムに結合して、介在する私設又は公衆ネットワークを通してデータ処理システムを他のデータ処理システム、リモートプリンタ、又は記憶装置に結合できるようにし得る。モデム、ケーブルモデム、及び「Ｅｔｈｅｒｎｅｔ」カードは、現在利用可能な種類のネットワークアダプタのほんの少数である。
【００７６】
本発明の上述した実施形態は、例示及び説明として提供される。実施形態は、本発明を説明される厳密な形態に限定する意図はない。特に、本明細書に記載される本発明の機能的な実施態様は、ハードウェア、ソフトウェア、ファームウェア、及び／又は他の利用可能な機能構成要素若しくは構成ブロックで等しく実施し得ること、並びにネットワークが有線、無線、又は有線と無線との組み合わせであり得ることが意図される。他の変形及び実施形態が上記教示に鑑みて可能であり、したがって、本発明の範囲がこの詳細な説明によって限定されず、むしろ以下の特許請求の範囲により限定されることが意図される。
【図１ａ】
0005946189.tif 000002
【図１ｂ】
0005946189.tif 000003
【図１ｃ】
0005946189.tif 000004
【図２】
0005946189.tif 000005
【図３】
0005946189.tif 000006
【図４ａ】
0005946189.tif 000007
【図４ｂ】
0005946189.tif 000008
【図５】
0005946189.tif 000009
【図６】
0005946189.tif 000010
【図７】
0005946189.tif 000011
【図８】
0005946189.tif 000012