(57)【要約】  本発明は、企業ネットワークへのセキュアリモートアクセスを提供する方法および装置を含む。装置１０４は、装置に関連するホストコンピュータの電源状態に関係なくネットワークデバイスとのセキュアネットワーク接続１２０を維持するように構成されたネットワークインターフェースモジュール２０２と、セキュア接続に関連する情報を格納するための記憶モジュールと、ネットワークインターフェースおよびメモリに結合されており、ユーザ対話なしにセキュア接続を自動的に開始するように構成されたプロセッサ２０４とを含む。
2009518886.tif 000002
【特許請求の範囲】
【請求項１】
装置に関連するホストコンピュータの電源状態に関係なくネットワークデバイスとのセキュア接続を維持するように構成されたネットワークインターフェースモジュールと、
セキュア接続に関連する情報を格納するための記憶モジュールと、
ネットワークインターフェースおよびメモリに結合されており、ユーザ対話なしにセキュア接続を自動的に開始するように構成されたプロセッサとを含む、装置。
【請求項２】
プロセッサが、トリガ条件に応答してセキュア接続を自動的に開始するように構成され、トリガ条件が、使用可能なネットワークの検出、またはネットワークデバイスからの要求の検出のうちの１つを含む、請求項１に記載の装置。
【請求項３】
セキュア接続に関連する情報が、セキュア接続を介して受信された情報、セキュア接続を介した送信のために割り当てられた情報のうちの少なくとも１つを含む、請求項１に記載の方法。
【請求項４】
装置とホストコンピュータの間の通信をサポートするためにプロセッサに結合されたホストインターフェースモジュールをさらに含み、
プロセッサが、非アクティブ状態からアクティブ状態へのホストコンピュータの遷移を検出することに応答して、記憶デバイスから情報を取り出し、ホストコンピュータに情報を転送するためのホストインターフェースに情報を提供するように構成される、請求項１に記載の装置。
【請求項５】
プロセッサが、
セキュア接続が使用不可能であるという決定に応答して、セキュア接続を介した送信のために割り当てられた情報を記憶モジュール内に格納するように構成される、請求項１に記載の装置。
【請求項６】
プロセッサが、
アクセスネットワークが使用可能であるという決定に応答してセキュア接続を再確立し、記憶モジュールから情報を取り出し、セキュア接続を使用してネットワークデバイスに情報を転送するように構成される、請求項５に記載の装置。
【請求項７】
ホストコンピュータから情報を受信するステップと、
ユーザ対話なしに自動的に確立され、ホストコンピュータの電源状態に関係なく維持されるセキュア接続を使用して、受信された情報をネットワークデバイスに送信するステップとを含む、方法。
【請求項８】
ネットワークが使用不可能であることを含む第１の条件に応答して、受信された情報を格納するステップと、
ネットワークが使用可能であることを含む第２の条件に応答して、格納された情報を抽出するステップと、
第２の条件に応答してセキュア接続を自動的に確立するステップとをさらに含む、請求項７に記載の方法。
【請求項９】
ユーザ対話なしに自動的に確立され、ホストコンピュータの電源状態に関係なく維持されるセキュア接続を介して情報を受信するステップと、
情報をホストコンピュータに転送するステップとを含む、方法。
【請求項１０】
ホストコンピュータの電源状態が非アクティブ状態を含むという決定に応答して、受信された情報を格納するステップと、
ホストコンピュータの電源状態が非アクティブ状態からアクティブ状態に遷移することの検出に応答して、格納された情報を抽出するステップとをさらに含む、請求項９に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークの分野に関し、より詳細には、企業ネットワークへのセキュアリモートアクセスを提供することに関する。
【背景技術】
【０００２】
一般に、広帯域無線アクセス技術は、モバイル企業ユーザに極めて重要な企業リソースへの連続的なアクセスを提供することによって、企業が生産性を増加させることを可能にする。しかし、こうした技術を展開することによって、企業のセキュリティ問題が生じている。たとえば、企業ユーザは、イーサネット（登録商標）接続を介した企業イントラネットへの接続を同時に維持しながら、広帯域無線アクセスを使用して公衆インターネットに接続することができる。この同時接続性は、重大なセキュリティ違反をもたらし得る。
【０００３】
企業ネットワーク基盤への攻撃をもたらす様々なセキュリティ違反は、企業の構外から発生することがある。たとえば、企業ユーザシステムは、企業の構外から、公衆インターネットを介してウイルス／ワームに感染することがあり、またこのウイルス／ワームを企業イントラネットに伝播することがある。この例では、ＩＰ転送が可能にされる場合、企業ユーザシステムは、ルータとして動作し、悪意のある外部侵入者が企業ファイアウォールを回避し、極めて重要な企業リソースにアクセスすることが可能となる。さらに、企業は、企業を攻撃するため悪意のある外部ユーザがデュアル接続性を有する企業ユーザシステムを使用する他の攻撃に対して脆弱であり得る。企業は、企業ネットワークのこうした外部アクセスを防止するために高価な機構を展開しているが、デュアルネットワーク接続性は、悪意のある外部ユーザに、企業ネットワークにアクセスする能力を提供する。
【０００４】
企業ネットワーク基盤への攻撃をもたらす様々なセキュリティ違反は、企業の構内から生じることがある。実際、企業は、ネットワーク基盤への攻撃の大部分が内部妨害行為、または意図的でない誤りの結果として生じることをますます認識している。たとえば、こうした活動は、従業員が機密文書を暗号化せずに公衆インターネットを介して転送すること、または幹部が企業のセキュリティポリシーを遵守せずにインスタントメッセージを交換することを含み得る。さらに、こうした活動は、コンピュータスパイ行為、および政府規制違反につながり、企業への重大な財政的損害をもたらすことがある。企業は、企業ユーザがこうした活動に関与することを防止するために高価な機構およびポリシー制御を展開しているが、デュアルネットワーク接続性によってユーザは、こうした機構および制御を回避し、機構および制御の下に置かれることなしにインターネットに直接接続することができる。
【発明の開示】
【課題を解決するための手段】
【０００５】
従来技術の様々な欠点が、企業ネットワークへのセキュアリモートアクセスを提供する方法および装置の本発明によって対処される。装置が、装置に関連するホストコンピュータの電源状態に関係なくネットワークデバイスとのセキュアネットワーク接続を維持するように構成されたネットワークインターフェースモジュールと、セキュア接続に関連する情報を格納するための記憶モジュールと、ネットワークインターフェースおよびメモリに結合されており、ユーザ対話なしにセキュア接続を自動的に開始するように構成されたプロセッサとを含む。
【０００６】
本発明の教示は、以下の詳細な説明を添付の図面と併せて考慮することによって容易に理解され得る。
【発明を実施するための最良の形態】
【０００７】
理解を促すため、可能であれば、図に共通の同一の要素を示すために同一の参照符号が使用されている。
【０００８】
一般に、企業ユーザの観点からすると、無線ネットワークの性能は、他の広帯域アクセス技術の性能に一致すべきである。広帯域無線アクセスの主な利点は、ネットワーク接続をどこでも使用できることであるが、こうした使用可能性は、使用可能な帯域幅を減少させるという代償のもので得られることが多い。企業ユーザは、企業ユーザの位置、接続のタイプ、システム管理および保守機能、および他の様々な要因に関係なく、低待ち時間の高帯域性能を求める。一般に、企業システム管理者の観点からすると、リモートのモバイル企業ユーザをサポートするシステムの管理および保守は一般に、難しく高価である。多くのこうしたリモートモバイル企業ユーザ（たとえば企業の営業チーム）は、企業構内にいるのは稀であり、移動しながらネットワークリソースに絶えずリモートアクセスするので、企業ユーザがリモート位置から企業ネットワークにアクセスする間にソフトウェア更新が実施されなければならない。こうしたソフトウェア更新は極めて重要なセキュリティパッチを伴い得るが、ソフトウェア更新は、（たとえばソフトウェア更新を送信し適用するために貴重なシステムおよびネットワークリソースを消費することによって）企業ユーザにかなりの不便を与えることもある。たとえば、企業ユーザが重要な会議を行っており、リソースへの即時アクセスを必要とする間に、ソフトウェアパッチが開始されることがある。
【０００９】
本発明は、企業ユーザ（たとえば、公衆網を使用してセキュア企業ネットワークにリモートアクセスするリモート企業ユーザ、セキュア企業ネットワークにローカルアクセスするローカル企業ユーザなど）が、広帯域無線ネットワークをますます使用しながら企業ネットワークに安全にアクセスすることを可能にするセキュアシステムを提供する。セキュアシステムは、セキュアクライアントデバイスから生じた企業ユーザトラフィックが（ユーザ位置に関係なく）セキュアゲートウェイを介してルーティングされることを保証する。セキュアシステムは、企業ネットワークにアクセスする各エンドポイントデバイスに関連するセキュアクライアントデバイスを含む。セキュアシステムは、各セキュアクライアントデバイスが企業ネットワークにアクセスするためのセキュアゲートウェイデバイスを含む。一実施形態では、セキュアクライアントデバイスの「常時オン」能力は、エンドポイントデバイスと企業ネットワークの間の絶え間ない通信を可能にする。セキュアな「常時オン」システムは、エンドユーザおよびシステム管理者のためになる様々な機能のサポートを可能にする。セキュアな「常時オン」システムによって使用可能になる機能は、アプリケーションアクセラレーション機能、リモート管理機能、無線ネットワーク最適化機能および類似の機能、ならびにその様々な組合せを含み得る。
【００１０】
一実施形態では、アプリケーションアクセラレーション機能は、バックグラウンド転送、トラフィックフィルタリング、データ／プロトコル圧縮、トンネルアドレス変換、（たとえばセキュアクライアントデバイス、基地局上などの）プロトコル最適化など、ならびにその様々な組合せを含む。一実施形態では、リモート管理機能は、リモートエンドポイントデバイスが電源オン状態でないときでもシステム管理者がソフトウェアアップグレード、ポリシー更新、バックアップ操作などをリモートエンドポイントデバイスにプッシュすることを可能にすること、リモートエンドポイントデバイスが電源オン状態でないときにエンドユーザがソフトウェアアップグレード、ポリシー更新、バックアップ操作をスケジューリングすることを可能にすることなど、ならびにその様々な組合せを含む。一実施形態では、無線ネットワーク最適化機能は、即時応答を必要とする遅延に敏感な情報転送（たとえば音声会話）と、即時応答を必要としない遅延に敏感でない情報転送（たとえば電子メール転送、データバックアップ転送など）とを区別するために、要求された情報転送を解析すること、および様々な条件（たとえば無線信号品質が閾値を満たすまで、他のクライアントの閾値数が満たされるときなど）に応答して、遅延に敏感でない情報転送を遅延させることなどを含む。
【００１１】
図１は、通信ネットワークのハイレベルブロック図を示している。図１に示されるように、通信ネットワーク１００は、複数の各々のセキュアクライアント（ＳＣ：ｓｅｃｕｒｅ  ｃｌｉｅｎｔ）１０４Ｒ１−１０４ＲＮ（総称してＳＣ  １０４Ｒ）を含む複数のリモートエンドポイント（ＲＥ：ｒｅｍｏｔｅ  ｅｎｄｐｏｉｎｔ）１０２Ｒ１−１０２ＲＮ（総称してＲＥ  １０２Ｒ）と、複数の無線ネットワーク（ＷＮ：ｗｉｒｅｌｅｓｓ  ｎｅｔｗｏｒｋ）１０６１−１０６Ｎ（総称してＷＮ  １０６）と、インターネット１０８と、企業構内（ＥＣ：ｅｎｔｅｒｐｒｉｓｅ  ｃａｍｐｕｓ）１１０とを含む。図１に示されるように、ＥＣ  １１０は、複数の各々のセキュアクライアント（ＳＣ）１０４Ｌ１−１０４ＬＮ（総称してＳＣ  １０４Ｌ）を含む複数のローカルエンドポイント（ＬＥ：ｌｏｃａｌ  ｅｎｄｐｏｉｎｔ）１０２Ｌ１−１０２ＬＮ（総称してＬＥ  １０２Ｌ）と、イントラネット１１４と、セキュアゲートウェイ（ＳＧ：ｓｅｃｕｒｅ  ｇａｔｅｗａｙ）１１２と、管理システム（ＭＳ：ｍａｎａｇｅｍｅｎｔ  ｓｙｓｔｅｍ）１１６とを含む。ＲＥ  １０２ＲおよびＬＥ  １０２Ｌは総称して、エンドポイント１０２と呼ばれ得る。
【００１２】
図１に示されるように、ＲＥ  １０２Ｒは、複数の無線接続（ＷＣ：ｗｉｒｅｌｅｓｓ  ｃｏｎｎｅｃｔｉｏｎ）１０５１−１０５Ｎ（総称してＷＣ  １０５）を使用してＷＮ  １０６と通信する。具体的には、ＲＥ  １０２Ｒ１のＳＣ  １０４Ｒ１は、ＷＣ  １０５１を使用してＷＮ  １０６１と通信し、ＲＥ  １０２Ｒ２のＳＣ  １０４Ｒ２は、ＷＣ  １０５２を使用してＷＮ  １０６２と通信し、ＲＥ  １０２Ｒ３のＳＣ  １０４Ｒ３は、ＷＣ  １０５３を使用してＷＮ  １０６２と通信し、ＲＥ  １０２ＲＮのＳＣ  １０４ＲＮは、ＷＣ  １０５Ｎを使用してＷＮ  １０６Ｎと通信する。図１に示されるように、ＷＮ  １０６は、複数の通信リンク（ＣＬ：ｃｏｍｍｕｎｉｃａｔｉｏｎ  ｌｉｎｋ）１０７１−１０７Ｎ（総称してＣＬ  １０７）を使用してインターネット１０８と通信する。インターネット１０８は、通信リンク（ＣＬ）１０９を使用してＥＣ  １１０（例示的にはＥＣ  １１０のＳＧ  １１２）と通信する。したがって、ＲＥ  １０２Ｒ（および具体的にはＳＣ  １０４Ｒ）は、ＳＣ  １０４ＲとＳＧ  １１２の間のセキュア接続を使用して、ＥＣ  １１０のうちのどんなネットワーク要素にもアクセスすることができる。
【００１３】
図１に示されるように、ＬＥ  １０２Ｌは、複数の通信リンク（ＣＬ）１１８１−１１８Ｎ（総称してＣＬ  １１８）を使用してイントラネット１１４と通信する。具体的には、ＬＥ  １０２Ｌ１のＳＣ  １０４Ｌ１は、ＣＬ  １１８１を使用してイントラネット１１４と通信し、ＬＥ  １０２Ｌ２のＳＣ  １０４Ｌ２は、ＣＬ  １１８２を使用してイントラネット１１４と通信し、ＬＥ  １０２ＬＮのＳＣ  １０４ＬＮは、ＣＬ  １１８Ｎを使用してイントラネット１１４と通信する。イントラネット１１４は、通信リンク（ＣＬ）１１３を使用してＳＧ１１２と通信する。したがって、ＬＥ  １０２Ｌ（および具体的にはＳＣ  １０４Ｌ）は、ＳＧ  １１２によって監視されたセキュアポリシーを使用して、ＥＣ  １１０の外部のいずれかのネットワーク要素にアクセスしてもよい。ＭＳ  １１６は通信リンク（ＣＬ）１１５を使用してイントラネット１１４と通信する。したがって、ＭＳ  １１６は、ＳＣ  １０４ＲとＳＧ  １１２の間のセキュア接続を使用してＲＥ  １０２Ｒ（具体的にはＳＣ  １０４Ｒ）と通信してもよい。
【００１４】
図１に示されるように、ＲＥ  １０２Ｒ１−１０２ＲＮ（例示的にはＳＣ  １０４Ｒ１−１０４ＲＮ）は、複数のインターネットプロトコルセキュリティ（ＩＰＳｅｃ：Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｓｅｃｕｒｉｔｙ）トンネル１２０１−１２０Ｎ（総称してＩＰＳｅｃトンネル１２０）を使用してＥＣ  １１０と通信する。一実施形態では、ＩＰＳｅｃトンネル１２０は、（関連するＲＥ  １０２Ｒが電源オン状態かどうかに関係なく、）ＳＣ  １０４Ｒによって使用可能ＷＮ  １０６が検出されることに応答して、ＳＣ  １０４Ｒによって確立されてもよい。一実施形態では、ＩＰＳｅｃトンネル１２０は、（関連するＲＥ  １０２Ｒが電源オン状態かどうかに関係なく）ＩＰＳｅｃトンネル１２０の確立を求めるＳＧ  １１２による要求に応答して、ＳＣ  １０４Ｒによって確立されてもよい。ＳＣ  １０４ＲとＳＧ  １１２の間のＩＰＳｅｃトンネル１２０は、ＲＥ  １０２Ｒと、ＳＧ１１２（例示的にはＬＥ  １０２Ｌ、ＭＳ  １１６など）と通信している様々なネットワークデバイスとの間で情報を移送する。ＩＰＳｅｃトンネル１２０に関して説明されているが、ＳＣ  １０４ＲとＳＧ  １１２の間の任意のセキュア接続が、本発明の一実施形態で使用されてもよい。
【００１５】
図１に示されるように、通信ネットワーク１００は概して、ＥＣ  １１０（すなわちＲＥ  １０２Ｒに関連するユーザ）の外部に位置する企業ユーザのためのセキュアシステム、ならびにＥＣ  １１０の内部に位置する企業ユーザ（すなわち、ＬＥ  １０２Ｌに関連するユーザ、および任意選択でＭＳ  １１６に関連するシステム管理者）を示している。図１に示されるように、セキュアシステムは、（ｉ）セキュリティ、ならびにアプリケーションアクセラレーション、リモート管理、無線ネットワーク最適化、および広帯域無線ネットワークインターフェース上の類似の機能を統合するセキュアクライアントデバイス（例示的はエンドポイント１０２）と、（ｉｉ）アプリケーションアクセラレーション、リモート管理、無線ネットワーク最適化、および類似の機能をサポートするためのセキュアクライアントデバイスへのセキュアインターフェースを提供する、企業のエッジに配置されたセキュアゲートウェイデバイス（例示的には、ＥＣ  １１０とインターネット１０８の間のインターフェースとして配置されたＳＧ  １１２）とを含む。
【００１６】
本発明の一実施形態では、セキュアクライアントを備えた企業ユーザシステムが企業の構外に位置する場合、リモートセキュアクライアントは、ユーザの介入なしにセキュアゲートウェイへのセキュアトンネルを確立してもよい。本発明の一実施形態によるリモートセキュアクライアントは、関連するリモートエンドポイントデバイスが非アクティブな電源状態（たとえばスリープモード、電源オフなど）であり、またユーザ対話が存在しないときにセキュアネットワーク接続を確立するように動作可能なアクティブネットワークコンポーネントとして動作する。したがって、本発明の一実施形態のリモートセキュアクライアントは、関連するリモートエンドポイントデバイスが電源オン状態であるとき、また少なくとも何らかのユーザ対話に応答してだけネットワーク接続を確立するように動作可能である受動的なモデムとして動作していた以前のネットワークインターフェースクライアントに置き換わるものである。
【００１７】
本発明の一実施形態では、セキュアクライアントを備えた企業ユーザシステムが企業の構内に位置する場合、ローカルセキュアクライアントは、ユーザを認証することができ、ローカルセキュアクライアントから送信されたトラフィックは、企業イントラネット（例示的にはイントラネット１１４）に直接ルーティングされ、それによって、すべての企業ユーザトラフィックが公衆インターネット（例示的にはインターネット１０８）への到達前に同じ企業ポリシー制御を受けることを保証する。本発明の一実施形態では、ローカルセキュアクライアント内にセキュアトンネリング機能を実装することによって、ローカルセキュアクライアントを含むローカルエンドポイントに関連する企業ユーザはその結果、企業セキュリティポリシーを回避できないようになる。
【００１８】
一実施形態では、セキュアクライアントとセキュアゲートウェイとを含むセキュアシステムが、モバイルユーザをサポートするように構成される。デバイスがＩＰネットワーク内の移動体である場合、モバイルデバイスの公衆ＩＰアドレスは、デバイスがある位置から別の位置に移動するにつれて変化することがある。こうしたＩＰアドレスの変化が生じる場合、すべてのアクティブなネットワークセッションが終了される。これは、モバイルユーザにとって、明らかに望ましくない。この問題に対処する既存の機構はモバイルＩＰであり、このモバイルＩＰは、モバイルデバイス上の特別のサポートを必要とし、また追加のネットワークオーバーヘッドをもたらす。モバイルデバイスがＩＰＳｅｃエンドポイントである場合、ネットワークオーバーヘッドはさらに増加する。一実施形態では、モバイルＩＰのこうした損失を回避するために、セキュアシステムは、クライアントの公衆ＩＰアドレスが変化する場合でも、モバイルＩＰを使用せずにＩＰＳｅｃトンネルを維持するための機構をサポートする。この実施形態では、モバイルデバイス上のネットワークアプリケーションは、トンネルＩＰアドレスを使用するので、影響を受けない。
【００１９】
本明細書に説明されるように、本発明の一実施形態によるセキュアクライアントは、様々な無線ネットワークとインターフェースするためのネットワークインターフェースモジュールと、他のエンドユーザシステムと同じ脆弱性にさらされないセキュアオペレーティングシステムを実行する専用マイクロコントローラと、不揮発性メモリ（たとえばフラッシュメモリ）とを含む。一実施形態では、ネットワーク接続がそれを介して確立される無線ネットワークインターフェースが機能しなくなる（たとえばエンドポイントが戸内から戸外に移動した）とき、セキュアクライアントは、優先度リストから次の使用可能な無線ネットワークを選択すること、エンドポイントに関連するユーザに別のネットワークインターフェースの入力を促すことなどを行うことができる。こうした一実施形態では、ＩＰＳｅｃトンネルが再確立される必要があり得るので、エンドポイント上のアプリケーションは、ネットワークインターフェースの不具合による影響を受けることがある。
【００２０】
一実施形態では、本発明の一実施形態よるセキュアクライアントは、関連するホストコンピュータ（例示的にはエンドポイント１０２）が電源オフ状態（たとえばスリープモード）であるときもアクティブである（たとえばウェイクアップモード、電源オン状態などである）ように構成される。したがって、本発明の一実施形態によるセキュアクライアントは、関連するホストコンピュータがアイドル状態である間にセキュアクライアントがネットワーク転送を完了することを可能にし、システム管理者が、関連するホストコンピュータをリモートでアクティブにする（たとえばウェイクアップする）ことを可能にし、また類似の機能を使用可能にする「常時オン」能力を含む。
【００２１】
リモートクライアントデバイスおよびローカルクライアントデバイスについて具体的な要素、機能などに関して説明されているが、本発明の一実施形態のリモートクライアントデバイスは、ローカルクライアントデバイスに関して説明された要素および機能の少なくとも一部を含むことができ、本発明の一実施形態のローカルクライアントデバイスは、リモートクライアントデバイスに関して説明された要素および機能の少なくとも一部を含むことができる。したがって、本発明の一実施形態によるクライアントデバイスは、本発明の様々な機能をサポートするための要素、機能などの様々な組合せを含んでもよい。
【００２２】
本明細書に説明されるように、リモートセキュアクライアント（例示的にはＳＣ  １０４Ｒ）のために、本発明の一実施形態によるセキュアゲートウェイ（例示的にはＳＧ  １１２）は、セキュリティ機能をサポートする（たとえば、リモートセキュアクライアントからセキュアトンネルを終了する）。本明細書に説明されるように、ローカルセキュアクライアント（例示的にはＳＣ  １０４Ｌ）のために、本発明の一実施形態によるセキュアゲートウェイは、セキュリティ機能をサポートする（たとえば、（たとえばローカルセキュアクライアント（例示的にはＳＣ  １０４Ｌ）のための）ネットワークアクセス、管理システム（例示的にはＭＳ  １１６）などを管理し、ユーザ証明書、セキュリティポリシーなどを管理し、類似のセキュリティ機能を実施する）。
【００２３】
本明細書に示されるように、本発明の一実施形態によるセキュアゲートウェイは、サポートされたセキュリティ機能を補完して、アプリケーションアクセラレーション、リモート管理、無線ネットワーク最適化および類似の機能をサポートしてもよい。たとえば、本発明の一実施形態によるセキュアゲートウェイは、圧縮機構、接続管理（たとえば、最小限の中断を伴うインターフェースおよび／またはネットワーク間をユーザがローミングすることを可能にすることによって接続の移動性の側面を管理すること）、接続最適化（たとえば様々なアクセス技術の制限をアプリケーションから見えないようにすること）、ならびに様々な他の機能をサポートしてもよい。
【００２４】
図１に示されるように、ＭＳ  １１６は、セキュアクライアントおよびセキュアゲートウェイと通信するように構成された管理システムである。一実施形態では、ＭＳ  １１６は、関連するエンドポイントデバイス（例示的には、それぞれＲＥ  １０２Ｒ、およびＬＥ  １０２Ｌ）にソフトウェアアップグレード、ポリシー更新、バックアップ操作などをプッシュするためにセキュアクライアント（例示的にはＳＣ  １０４ＲおよびＳＣ  １０４Ｌ）と通信する。一実施形態では、ＭＳ  １１６は、セキュリティポリシー更新を配布し、インベントリおよびエンドユーザポリシーを管理し、類似の機能を実施するためにセキュアゲートウェイ（例示的にはＳＧ  １１２）と通信する。一実施形態では、ＭＳ  １１６は、システム管理者機能をサポートする様々な機構を提供する。
【００２５】
一実施形態では、ＭＳ  １１６は、ユーザ管理インターフェース、ポリシー管理インターフェース、セキュアクライアントアクセスインターフェース、保守インターフェース、ネットワーク侵入対策制御機能、類似のインターフェース、機能および関連するプロセッサ、メモリ、サポート回路など、ならびにその様々な組合せのうちの少なくとも１つを含む。一実施形態では、ユーザ管理インターフェースは、システム管理者がセキュアクライアントインベントリ、ユーザ−クライアント−コンピュータ関連付けなどを管理することを可能にする。一実施形態では、ポリシー管理インターフェースは、ネットワークポリシー、リソースアクセスポリシーなどを定義する。一実施形態では、クライアントアクセスインターフェースは、システム管理者が（ネットワーク接続タイプに関係なく）リモートセキュアクライアントにアクセスすることを可能にする。一実施形態では、保守インターフェースは、ソフトウェア更新、ウイルス／ファイアウォールポリシー更新などを含めて、クライアントのリモート保守を可能にする。一実施形態では、管理上制御されたネットワーク侵入対策は、セキュアクライアントフラッシュメモリおよびリモートエンドポイントの保護を含む（セキュアクライアントが紛失し、または盗まれる場合、フラッシュメモリを消去し、ハードディスクを使用不能にする）。
【００２６】
図２は、図１の通信ネットワークのセキュアクライアントデバイスのうちの１つのハイレベルブロック図を示している。一実施形態では、図２に関して示され説明されたセキュアクライアント１０４は、リモートエンドポイント（例示的には、図１に示されたＲＥ  １０２Ｒのうちの対応する１つに関連するＳＣ  １０４Ｒのうちの１つ）に関連するセキュアクライアントである。一実施形態では、図２に関して示され説明されたセキュアクライアント１０４は、ローカルエンドポイント（例示的には、図１に示されたＬＥ  １０２Ｌのうちの対応する１つに関連するＳＣ  １０４Ｌのうちの１つ）に関連するセキュアクライアントである。コンポーネントの特定の組合せを含むように示されているが、セキュアクライアント１０２は、類似のまたは異なる構成で配列されたより少ないコンポーネントを含むことも、より多くのコンポーネントを含むこともある。
【００２７】
図２に示されるように、ＳＣ  １０４は、ネットワークインターフェースモジュール（ＮＩＭ：ｎｅｔｗｏｒｋ  ｉｎｔｅｒｆａｃｅ  ｍｏｄｕｌｅ）２０２と、クライアントプロセッサ（ＣＰ：ｃｌｉｅｎｔ  ｐｒｏｃｅｓｓｏｒ）２０４と、ユーザメモリ（ＵＭ：ｕｓｅｒ  ｍｅｍｏｒｙ）２０６と、ホストインターフェース（ＨＩ：ｈｏｓｔ  ｉｎｔｅｒｆａｃｅ）２０８と、クライアントメモリ（ＣＭ：ｃｌｉｅｎｔ  ｍｅｍｏｒｙ）２１０とを含む。ＣＭ  ２１０は、オペレーティングシステム（ＯＳ）２１２と、プログラム２１４と、データ２１６とを含む。図２に示されるように、ＣＰ  ２０４は、ＮＩＭ  ２０２、ＵＭ  ２０６、ＨＩ  ２０８およびＣＭ  ２１０に結合される。図２に示されるように、ＮＩＭ  ２０２は、少なくとも１つの外部ネットワークにインターフェースする。セキュアクライアントがリモートセキュアクライアント（例示的にはＳＣ  １０４Ｒ）である一実施形態では、ＮＩＭ  ２０２は、無線ネットワーク（例示的には、図１に示されたＷＮ  １０６のうちの１つ）と通信する。セキュアクライアントがローカルセキュアクライアント（例示的にはＳＣ  １０４Ｌ）である一実施形態では、ＮＩＭ  ２０２は、企業ネットワーク（例示的には、図１に示されたイントラネット１１４）と通信する。
【００２８】
図２に示されるように、ＳＣ  １０４は、要素および関連する機能の様々な組合せで実装されてもよい。一実施形態では、ＳＣ  １０４は、カードバス（３２ビット）ＰＣカード形式で実装されてもよい。一実施形態では、ＳＣ  １０４は、タイプＩＩ  ＰＣＭＣＩＡスロットをサポートするＰＣプラットフォームと互換性があり得る。こうした一実施形態では、ＳＣ  １０４は、カードバスインターフェース上で少なくともＤ０、Ｄ１、Ｄ２およびＤ３電源状態をサポートしてもよく、Ｄ３ホットステートで電源を維持することが可能であり得る。一実施形態では、無線ネットワークの様々な組合せへのサポートを含めて、ＳＣ  １０４の様々な具体例がサポートされてもよい。
【００２９】
一実施形態では、ＳＣ  １０４は、完全ＩＰスタック操作、ポイントツーポイントプロトコル（ＰＰＰ：Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ  Ｐｒｏｔｏｃｏｌ）カプセル化、ＩＰＳｅｃカプセル化、暗号／復号操作、データ／ヘッダ圧縮など、ならびにその様々な組合せを含めて、データトラフィック処理をサポートする。一実施形態では、ＳＣ  １０４は、内部および外部アンテナサポート、ＳＩＭ互換性、ユーザアクセス用に別個の区画を有する組込みフラッシュメモリ、ローカルＤＲＡＭを備えた組込みプロセッササブシステム、ならびに二要素認証用の統合基盤、およびホストコンピュータの状態とは独立の（すなわちホストコンピュータがアクティブ（電源オン状態）か、それとも非アクティブ（電源オフ状態）かに関係ない）ネットワークインターフェース用の外部オン／オフスイッチなど、ならびにその様々な組合せなどの追加の機能を含む。
【００３０】
図２に示されるように、ＮＩＭ  ２０２は、無線ネットワークを介して関連するホストコンピュータ（例示的にはエンドポイント１０２）にＩＰネットワーク接続性を提供する無線モデムとして実装されてもよい。ＮＩＭ  ２０２は、１ｘエボルーション（１ｘＥＶ）データオンリー（ＥＶＤＯ：Ｅｖｏｌｕｔｉｏｎ  ｄａｔａ  ｏｎｌｙ）ネットワーク、単一搬送波（１Ｘ）無線伝送技術（１ｘＲＴＴ：１ｘ  ｒａｄｉｏ  ｔｒａｎｓｍｉｓｓｉｏｎ  ｔｅｃｈｎｏｌｏｇｙ）ネットワーク、高速ダウンリンクパケットアクセス（ＨＳＰＤＡ：ｈｉｇｈ−ｓｐｅｅｄ  ｄｏｗｎｌｉｎｋ  ｐａｃｋｅｔ  ａｃｃｅｓｓ）ネットワーク、汎用パケット無線システム（ＧＰＲＳ：  Ｇｅｎｅｒａｌ  Ｐａｃｋｅｔ  Ｒａｄｉｏ  Ｓｅｒｖｉｃｅ）ネットワーク、無線フィデリティ（ＷｉＦｉ：ｗｉｒｅｌｅｓｓ  ｆｉｄｅｌｉｔｙ）ネットワーク、ユニバーサル移動通信システム（ＵＭＴＳ：Ｕｎｉｖｅｒｓａｌ  Ｍｏｂｉｌｅ  Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｓｙｓｔｅｍ）ネットワーク、ならびに類似の公衆および私設無線ネットワークを含めて、無線ネットワークの様々な組合せにインターフェースするように構成されてもよい。したがって、ＮＩＭ  ２０２の様々な具体例は、無線インターフェースの様々な組合せをサポートし得る。
【００３１】
図２に示されるように、ＮＩＭ  ２０２は、送信機および受信機として動作する。一実施形態では、Ｎ１Ｍ  ２０２の送信機機能は、最小送信電力、最大送信電力、周波数誤差、帯域外放射、隣接チャネル漏洩電力割当て、スプリアス放射、相互変調、誤りベクトルの大きさ、ピークコードドメインエラーなど、ならびにその様々な組合せを含めて、様々な構成可能パラメータを含む。一実施形態では、ＮＩＭ  ２０２の受信機機能は、感度、最大入力レベル、隣接チャネル選択率、ブロッキング特性、帯域内パラメータ、帯域外パラメータ、狭帯域パラメータ、スプリアス応答、相互変調、スプリアス放射など、ならびにその様々な組合せ含めて、様々な構成可能パラメータを含む。
【００３２】
図２に示されるように、ＣＰ  ２０４は、セキュリティ機能、セキュア接続開始、ユーザ認証、ならびにアプリケーション最適化、ネットワーク最適化および制御、類似の機能を含めて、本明細書に説明された本発明の機能の少なくとも一部を実施するように構成される。一実施形態では、ＣＰ  ２０４は、本明細書に説明された様々な機能を実施するためにエンドポイント１０２のコンポーネントの少なくとも一部と協力する。一実施形態では、ＳＣ  １０４がホットステート（たとえばＤ３ホットステート）であり、ＮＩＭ  ２０２が休止モードである間、ＣＰ  ２０４は、節電のためにスリープモードに入ることがある。
【００３３】
図２に示されるように、ＵＭ  ２０６は、ユーザ情報を格納する。一実施形態では、ＵＭ  ２０６内に格納されたユーザ情報は、ユーザをコンピュータハードウェアおよび企業ネットワークに関連付けるために、ＣＰ  ２０４または少なくとも１つの他のコンポーネント（たとえば認証サブシステム（図示せず））によって使用されてもよい。図２に示されるように、ＣＭ  ２１０はＯＳ  ２１２、プログラム２１４およびデータ２１６を格納する。一実施形態では、ＣＭ  ２１０は、永続的データ、セキュリティ証明書、クライアント同期データなど、ならびにその組合せを格納する。一実施形態では、ＵＭ  ２０６およびＣＭ  ２１０は、ユーザメモリ空間およびシステムメモリ空間を形成するように分割された単一のメモリコンポーネントを使用して実装される。一実施形態では、ＵＭ  ２０６およびＣＭ  ２１０は、不揮発性メモリを含む。
【００３４】
図２に示されるように、ＣＭ  ２１０は、ＯＳ  ２１２、プログラム２１４およびデータ２１６を格納する。図２に示されるように、ＯＳ  ２１２は、オンカードリモートアクセス機能、アプリケーション、サービスなど、ならびにその様々な組合せをホストするオンカードオペレーティングシステムである。一実施形態では、ＯＳ  ２１２は、アクティブ企業ネットワーク管理、たとえばトンネル監視、リモートソフトウェア／ファームウェア更新、リモート補助など、ならびにその様々な組合せを可能にする企業セキュリティセンタへの管理リンクを提供する。
【００３５】
図２に示されるように、ＨＩ  ２０８は、ＳＣ  １０４と、関連するエンドポイント１０２（すなわちホストシステム）の間のインターフェースとして動作する。一実施形態では、ＨＩ  ２０８は、ＳＣ  １０４とエンドポイント１０２の間の情報の転送を容易にする。たとえば、ＨＩ  ２０８は、セキュア接続を介した送信に備えてＳＣ  １０４のＣＭ  ２１０内に格納するエンドポイント１０２からの情報（たとえばエンドポイント１０２上のユーザによって作成された電子メール）の転送を容易にしてもよい。たとえば、ＨＩ  ２０８は、エンドポイント１０２への情報（たとえばセキュア接続を介して受信され、ＣＭ  ２１０に格納された情報）の引渡しを容易にしてもよい。一実施形態では、ＨＩ  ２０８は、拡張構成および電力インターフェース（ＡＣＰＩ：Ａｄｖａｎｃｅｄ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  ａｎｄ  Ｐｏｗｅｒ  Ｉｎｔｅｒｆａｃｅ）規格によってホストオペレーティングシステム（例示的にはＯＳ  ２３１）へのインターフェースを提供する。
【００３６】
図２に示されるように、ＳＣ  １０４に加えて、エンドポイント１０２は、クライアントインターフェースモジュール（ＣＩＭ：ｃｌｉｅｎｔ  ｉｎｔｅｒｆａｃｅ  ｍｏｄｕｌｅ）２２２と、ホストプロセッサ（ＨＰ：ｈｏｓｔ  ｐｒｏｃｅｓｓｏｒ）２２４と、サポート回路（ＳＣ：ｓｕｐｐｏｒｔ  ｃｉｒｃｕｉｔ）２２６と、入出力（Ｉ／Ｏ：ｉｎｐｕｔ−ｏｕｔｐｕｔ）モジュール２２８と、ホストメモリ（ＨＭ：ｈｏｓｔ  ｍｅｍｏｒｙ）２３０とを含む。ＨＭ  ２３０は、オペレーティングシステム（ＯＳ：ｏｐｅｒａｔｉｎｇ  ｓｙｓｔｅｍ）２３１（たとえばＷｉｎｄｏｗｓ（登録商標）、Ｌｉｎｕｘなど）、カーネルドライバ（ＫＤ：ｋｅｒｎｅｌ  ｄｒｉｖｅｒ）２３２、プログラム２３３、サポートライブラリ（ＳＬ：ｓｕｐｐｏｒｔ  ｌｉｂｒａｒｙ）２３４、アプリケーション２３５およびデータ２３６を含む。図２に示されるように、ＨＰ  ２０４は、ＣＩＭ  ２２２、ＳＣ  ２２６、Ｉ／Ｏモジュール２２８およびＨＭ  ２３０に結合される。図２に示されるように、エンドポイント１０２は、パーソナルコンピュータ（たとえばラップトップ）を含む。
【００３７】
図２に示されるように、ＣＩ  ２２２は、エンドポイント１０２（すなわちホストシステム）と、関連するＳＣ  １０４の間のインターフェースとして働く。一実施形態では、Ｃｌ  ２２２は、ＳＣ  １０４とエンドポイント１０２の間の情報の転送を容易にする。たとえば、ＣＩ  ２２２は、セキュア接続を介した送信に備えてＳＣ１０４のＣＭ  ２１０内に格納するエンドポイント１０２からの情報（たとえばエンドポイント１０２上のユーザによって作成された電子メール）の転送を容易にしてもよい。たとえば、ＣＩ  ２２２は、エンドポイント１０２への情報（たとえばセキュア接続を介して受信され、ＣＭ  ２１０に格納された情報）の引渡しを容易にしてもよい。一実施形態では、ＣＩ  ２２２は、拡張構成および電力インターフェース（ＡＣＰＩ）規格によってホストオペレーティングシステム（例示的にはＯＳ  ２３１）へのインターフェースを提供する。
【００３８】
図２に示されるように、Ｉ／Ｏモジュール２２８は、ユーザとセキュアクライアント上の機能の間のインターフェースとして働く。一実施形態では、Ｉ／Ｏモジュール２２８は、ディスプレイ、スピーカ、出力ポート、ユーザ入力デバイス（キーボード、キーパッド、マウスなど）、記憶デバイス（たとえば、それだけに限らないが、テープドライブ、フロッピー（登録商標）ドライブ、ハードディスクドライブまたはコンパクトディスクドライブを含む）、受信機、送信機、および様々な他のデバイスなど、様々なユーザインターフェースにインターフェースするように構成される。したがって、Ｉ／Ｏモジュール２２８は、パーソナルコンピュータから使用可能などんなユーザ対話をもサポートする。図２に示されるように、ＳＣ  ２２６は、本発明の一実施形態による様々な他の機能を実施するためにＨＰ  ２２４と協力する。
【００３９】
図２に示されるように、ＨＰ  ２２４は、セキュリティ機能、セキュア接続開始、ユーザ認証、ならびにアプリケーション最適化、ネットワーク最適化および制御、および類似の機能を含めて、本明細書に説明される本発明の機能の少なくとも一部を実施しかつ／またはサポートするように構成される。一実施形態では、ＨＰ  ２２４は、本明細書に示された様々な機能を実施するために、ＳＣ  １０４のコンポーネントの少なくとも一部と協力する。
【００４０】
本発明の一実施形態では、エンドポイント１０２（すなわちＨＰ  ２２４、ＣＩＭ  ２２２、ＳＣ  ２２６、ＨＭ  ２３０およびＩ／Ｏモジュール２２８の間の対話の様々な組合せ）は、本発明の一実施形態による様々な機能を実施する。一実施形態では、エンドポイント１０２は、エンドポイント１０２とセキュアクライアント（例示的にはＳＣ  １０４）の間のインターフェースを提供する。一実施形態では、エンドポイント１０２は、セキュアクライアントのためのホストドライバを提供し、すべてのネットワーク接続をセキュアクライアントを介してルーティングするように指示するための機構を組み込み、セキュアゲートウェイ（例示的には、図１に示されたＳＧ  １１２）に対する、悪意のあるどんなユーザ活動をも記録し報告し、セキュアクライアントの任意のユーザ構成可能パラメータのためのインターフェース、および類似の機能、ならびに様々な組合せを提供する。
【００４１】
図２に示されるように、ＨＰ  ２２４は、本明細書に説明された様々な機能を実施するために、ＨＭ  ２３０に格納されたＯＳ  ２３１、ＫＤ  ２３２、プログラム２３３、ＳＬ  ２３４、アプリケーション２３５およびデータ２３６の様々な組合せと協力する。したがって、本明細書ではエンドポイント１０２の様々な機能について、こうした機能を実施するように構成されたホストソフトウェア（たとえばエンドポイント１０２のコンポーネントの組合せが協力すること）の文脈で、さらに説明される。図２に関して示され説明されるように、ホストソフトウェアは、カーネルモードソフトウェアドライバ（例示的にはＫＤ  ２３２）と、グラフィカルユーザインターフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）と、アプリケーション（例示的にはアプリケーション２３５）と、サポートライブラリ（例示的にはＳＬ  ２３４）とを含む。
【００４２】
一実施形態では、カーネルモードソフトウェアドライバは、セキュアクライアントドライバと、ネットワークキングサポートドライバと、ネットワーキングデバイスドライバなどを含む。セキュアクライアントドライバのサポートは、１つまたは複数のプロセスとして実行するために実装されてもよい。一実施形態では、ネットワークキングサポートドライバは、無線インターフェースを駆動する。一実施形態では、ネットワークキングサポートドライバは、常にロードされる。一実施形態では、ネットワークキングサポートドライバは、ネットワークデバイスドライバとセキュアクライアントドライバの間に配置され、それによって、企業とのセキュア通信のためにすべてのＩＰトラフィックがセキュアクライアントを横断することを保証する（すなわち、企業ネットワークを通過せずに公衆インターネットに接続するのは不可能であることを保証する）。さらに、様々な機能（リモート管理、監視、セキュリティなどを含む）への低レベルサポートは、セキュアクライアントドライバとネットワークキングサポートドライバの両方によって提供される。したがって、エンドポイント１０２は、有効な現在のセキュアクライアントを通過した後にしか、すべてのネットワークインターフェースに到達し得ないことを保証する。
【００４３】
一実施形態では、エンドポイント１０２は、ネットワーキングサポート、改ざん防止機能、管理アプリケーション、リモート管理サポートなど、ならびにその様々な組合せを提供する。一実施形態では、こうした機能は、エンドポイント１０２（例示的にはアプリケーション２３５）に格納された様々な管理アプリケーションを使用して提供されてもよい。一実施形態では、こうしたアプリケーションは、構成、監視および接続確立のためのサポートを提供する。一実施形態では、サービス監視アプリケーションは、インターフェース統計情報（ｉｎｔｅｒｆａｃｅ  ｓｔａｔｉｓｔｉｃｓ）および現在の接続状態を表示する。一実施形態では、構成アプリケーションは、セキュアゲートウェイに定義された企業ポリシーによって許可されるようにセキュアシステムの操作の構成を可能にする。一実施形態では、公衆ＩＰアドレスがまずユーザ対話を介してネゴシエーションされなければならない場合、接続確立アプリケーションが、接続をサポートする。
【００４４】
一般に、セキュアクライアントの目的は、関連するエンドポイントにサービスを提供することである。本発明の一実施形態では、エンドポイントおよび関連するセキュアクライアントは、様々な機能を提供するように共に動作する。一実施形態では、エンドポイントおよび関連するセキュアクライアントは、セキュリティ機能の提供、アプリケーションアクセラレーション機能の提供、リモートシステム管理機能の提供、ネットワーク最適化機能の提供、および他の機能の提供、ならびにその様々な組合せを行うように共に動作する。一実施形態では、表１に関して示されるように、こうした機能を提供するために様々な電源モードの組合せがサポートされてもよい。
【表１】
2009518886.tif 000003
【００４５】
エンドポイント、および関連するセキュアクライアントは、適切に働くときにだけ、関連する企業を保護し得るので、本発明の一実施形態では、エンドポイント、および関連するセキュアクライアントは、改ざん検出および保護機能を提供するように共に動作する。表２に示されるように、セキュリティが危険にさらされる様々なシナリオが存在する。セキュリティが危険にさらされる特定のシナリオが図２に関して示され説明されているが、エンドポイントおよび関連するセキュアクライアントは、こうしたシナリオを検出し防止するように構成された様々な機能を含んでもよい。換言すると、エンドポイントおよび関連するセキュアクライアントは、本発明のセキュリティ機能を回避しようとする試みを検出し防止するように構成された機能を含んでもよい。
【表２】
2009518886.tif 000004
【００４６】
一実施形態では、エンドポイントおよび関連するセキュアクライアントのいずれかまたはその両方を改ざんしようとする試みの検出が、エンドポイントおよび関連するセキュアクライアントによって実施され得る。こうした一実施形態では、セキュアクライアントは、エンドポイントドライバを監視し、エンドポイントドライバは、互いにまたセキュアクライアントを監視する。コンポーネントが危険にさらされる場合、他のコンポーネントの少なくとも一部は、干渉を検出し報告する。別の実施形態では、改ざんの試みは、様々なサーバ駆動チャレンジ／レスポンス技術のいずれかを使用して検出されてもよく、このチャレンジ／レスポンス技術は、セキュアクライアントおよび関連するエンドポイントの少なくとも１つの、暗号保護された幅広い保全性チェックを引き起こす。
【００４７】
別の実施形態では、エンドポイントおよび関連するセキュアクライアントのいずれかまたは両方を改ざんしようとする試みの検出は、少なくとも１つの他のコンポーネント（たとえばセキュアゲートウェイ、管理システムなど）によって実施されてもよい。こうした一実施形態では、エンドポイントおよびセキュアクライアントは、活動、および特定の条件が発生するときを記録し、この記録は、改ざんの影響を検出するための解析および相関のために、少なくとも１つの他のデバイスに送信される。一実施形態では、セキュリティ違反（たとえば知的財産の不適切な移転）につながるイベントのシーケンスを決定するために、監査追跡が生成されてもよい。一実施形態では、エンドポイントは、ログメッセージの１次発生元として動作する。こうした一実施形態では、セキュアゲートウェイへの接続が使用可能でない場合、接続が再確立されるまで、エンドポイントまたはセキュアクライアントは、暗号化され作成されたファイル内にログ情報をキャッシュしてもよい。
【００４８】
一実施形態では、企業は、どのセキュアクライアントがどのエンドポイントと共に動作し得るか制限してもよい。こうした一実施形態では、有効なセキュアクライアントが、セキュアクライアントが割り当てられた関連するエンドポイント内に存在しない場合、様々なレスポンスが開始されてもよい。こうした一実施形態では、セキュリティロックが実装されてもよい。概して、セキュリティロックは一般に、コンピュータにアクセスするためにコンピュータ内に存在しなければならないＵＳＢデバイスである。削除されると、画面は、セキュリティキーが再挿入されるまでロックされる。このように、セキュアクライアントを削除すると、エンドポイント上で、リモートまたはローカルユーザが機能できなくなる。別のこうした実施形態では、すべてのネットワークトラフィックがドロップされ得る。別のこうした実施形態では、エンドポイントは、ブート不可能である。
【００４９】
一実施形態では、エンドポイントは、関連するセキュアクライアントが、エンドポイントの関連するスロット内に置かれていないと決定することに応答して、使用不可能にされ得る。たとえば、エンドポイントソフトウェアは、ユーザインターフェースコンポーネント（たとえばマウス、キーボードなど）をディセーブルすること、表示画面のブランキング、および類似のアクションの実施、ならびにその様々な組合せなどのアクションを実施してもよい。一実施形態では、エンドポイントからのセキュアクライアントの削除に応答して実施されるアクションは、管理構成によって決定されてもよい。別の実施形態では、正確なセキュアクライアントを存在させることは、関連するエンドポイントのハードディスクを暗号化することによって、またエンドポイントハードディスクの復号に必要な復号化機能の少なくとも一部を実施するようにセキュアクライアントを構成するために実施され得る。
【００５０】
図３は、図１の通信ネットワークのセキュアゲートウェイのハイレベルブロック図を示している。図３に示されるように、セキュアゲートウェイ１１２は、インターネットインターフェース３０２と、イントラネットインターフェース３０４と、プロセッサ３０６と、管理コンソールポート３０８と、アクセラレーションモジュール３１０と、メモリ３２０とを含む。メモリ３２０は、オペレーティングシステム（ＯＳ）３２２と、プログラム３２４と、データ３２６とを含む。図３に示されるように、プロセッサ３０６は、インターネットインターフェース３０２、イントラネットインターフェース３０４、管理コンソールポート３０８、アクセラレーションモジュール３１０およびメモリ３２０に結合される。コンポーネントの特定の組合せを含むように示されているが、セキュアゲートウェイ１１２は、類似または異なる構成で配列されたより少ないコンポーネントを含んでも、より多くのコンポーネントを含んでもよい。
【００５１】
図３に示されるように、インターネットインターフェース３０２は、ＣＬ  １０９を使用してインターネット１０８に結合される。一実施形態では、インターネットインターフェース３０２は、エッジルータ、ファイアウォールなどのうちの少なくとも１つを介してインターネット１０８にインターフェースする。一実施形態では、インターネットインターフェース３０２は、リモートエンドポイントから（例示的には、図１に示されたＲＥ  １０２Ｒから）生じるセキュア接続を終了するように構成される。イントラネットインターフェース３０４は、ＣＬ  １１８を使用してイントラネット３０４に結合される。一実施形態では、イントラネットインターフェース３０４は、ローカルエンドポイントから（例示的には、図１に示されたＬＥ  １０２Ｌから）から生じるセキュア接続を終了するように構成される。
【００５２】
図３に示されるように、アクセラレーションモジュール３１０は、様々なアクセラレーション機構を含む。一実施形態では、アクセラレーションモジュールは、無線ネットワークを介したアプリケーションアクセラレーションのための企業側サポートを提供するためのアプリケーションアクセラレーション機構を含む。こうした一実施形態では、アクセラレーションモジュール３１０は、本発明のセキュアシステムによってサポートされたアプリケーションアクセラレーション機能の少なくとも一部の実施に使用されるように構成される。一実施形態では、アクセラレーションモジュール３１０は、低速無線ネットワークを介して関連するセキュアクライアントの性能を最適化するための無線アクセラレーション機構を含む。一実施形態では、アクセラレーションモジュール３１０は、暗号化／復号機能、キー管理機能、圧縮機能など、ならびにその様々な組合せをサポートする。こうした一実施形態では、アクセラレーションモジュール３１０は、本発明のセキュアシステムによってサポートされたネットワーク最適化機能の少なくとも一部を実施する際に使用されるように構成される。
【００５３】
図３に示されるように、管理コンソールポート３０８は、システム管理者が様々な機能（たとえば構成アクションの開始、構成結果の表示など）を実施することを可能にするユーザインターフェースを提供するように構成される。したがって、管理コンソールポート３０８は、ディスプレイ、スピーカ、出力ポート、ユーザ入力デバイス（キーボード、キーパッド、マウスなど）などの様々なユーザインターフェース、記憶デバイス（たとえば、それだけに限らないが、テープドライブ、フロッピー（登録商標）ドライブ、ハードディスクドライブまたはコンパクトディスクドライブを含む）、受信機、送信機、および様々な他のデバイスにインターフェースするように構成される。一実施形態では、管理コンソールポート３０８は、本発明のセキュアシステムによってサポートされたリモートネットワーク構成機能の少なくとも一部を実施する際に使用されるように構成される。
【００５４】
図３に示されるように、プロセッサ３０２は、本発明の一実施形態に従って様々な機能をサポートするために、インターネットインターフェース３０２、イントラネットインターフェース３０４、管理コンソールポート３０８、アクセラレーションモジュール３１０、およびメモリ３２０の様々な組合せと協力する。たとえば、プロセッサ３０２は、業界標準認証プラットフォーム（ＲＳＡ  ＳｅｃｕｒｅＩＤなど）へのインターフェースを介した（たとえば二要素チャレンジ／レスポンス認証機構に基づく）ユーザ認証、ポリシーがユーザ識別、ユーザグループ、リモートアクセス技術、位置など、および類似の技術、ならびにその様々な組合せを含み得るユーザ単位（またはエンドポイント単位）ネットワークおよびリソースアクセス管理のための細粒度ポリシー制御機構をサポートしてもよい。
【００５５】
本発明の一実施形態では、セキュリティゲートウェイは一般に、企業ネットワークのエッジに、またはその近くに配置される。関連するファイアウォール、ならびに他のセキュリティコンポーネントは一般に、企業ネットワークのエッジに、またはその近くに配置されるので、本発明の一実施形態に従って様々なセキュリティゲートウェイ配置構成がサポートされてもよい。換言すると、ＳＧ  １１２は、図１では公衆インターネット１０８と企業イントラネット１１４の間に置かれているように示されているが、複数の異なる構成で配置されてもよい。一実施形態では、セキュアゲートウェイは、アクセスルータ、ファイアウォールおよび他のアプリケーションレベルゲートウェイのうちの少なくとも１つ、ならびにＮＡＰ（ｎｅｔｗｏｒｋ  ａｃｃｅｓｓ  ｐｒｏｔｅｃｔｉｏｎ：ネットワークアクセス保護）サーバなどのサービスなど、ならびにその様々な組合せと協力する。
【００５６】
図４は、複数のセキュアゲートウェイ配置構成のハイレベルブロック図を示している。図４に示されるように、複数のセキュアゲートウェイ配置構成は、第１の構成４０２と、第２の構成４０４と、第３の構成４０６とを含む。図４に示されるように、第１の構成４０２、第２の構成４０４、および第３の構成４０６はそれぞれ、ＥＣ  １１０と通信するインターネット１０８を含む。図４に示されるように、第１の構成４０２、第２の構成４０４、および第３の構成４０６のそれぞれのＥＣ  １１０は、エッジルータ（ＥＲ：ｅｄｇｅ  ｒｏｕｔｅｒ）４１０と、ＳＧ  １１２と、ファイアウォール４２０とを含んでいた。図４に示されるように、第１の構成４０２、第２の構成４０４、および第３の構成４０６のそれぞれについて、インターネット１０８は、通信リンク４３０を使用してＥＲ  ４１０と通信する。
【００５７】
第１の構成４０２に関して図４に示されるように、ＥＲ  ４１０は、通信リンク４４２を使用してＳＧ  １１２と通信し、ＥＲ  ４１０は、通信リンク４４４を使用してファイアウォール４２０と通信する。第２の構成４０４に関して図４に示されるように、ＥＲ  ４１０は、通信リンク４５２を使用してファイアウォール４２０と通信し、ファイアウォール４２０は、通信リンク４５４を使用してＳＧ  １１２と通信する。第３の構成４０６に関して図４に示されるように、ＥＲ  ４１０は、通信リンク４６２を使用してＳＧ  １１２と通信し、ＳＧ  １１２は、通信リンク４６４を使用してファイアウォール４２０と通信する。第１の構成４０２、第２の構成４０４および第３の構成４０６は、様々な機能をサポートするように構成可能である。
【００５８】
図４に関して示され説明された第１の構成４０２に関して、企業の外部で生じる（また企業を宛先とする）トラフィックの場合、ＥＲ  ４１０は、すべてのＩＰＳｅｃ関連トラフィックをセキュアゲートウェイに、また他のすべてのトラフィックをファイアウォールにルーティングする。ＥＲ  ４１０は、インターネット鍵交換（ＩＫＥ：Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）プロトコル（たとえばＵＤＰポート５００）などのプロトコルによって使用されるＩＰヘッダ内のプロトコルタイプ（たとえば５０および５１）、およびポート番号を使用して、ＩＰＳｅｃトラフィックを識別する。図４に関して示され説明された第１の構成４０２に関して、企業内部で生じたトラフィックの場合、ルーティング機構は、ＩＰＳｅｃトラフィックをセキュアゲートウェイに、他のすべてのトラフィックをファイアウォールにルーティングする。一実施形態では、少なくとも１つの内部ルーティングプロトコルが、アドレス空間の厳密な分割および優先順位付けによってすべてのＩＰＳｅｃ関連トラフィックをそれ自体に向けるためにＳＧ  １１２上で実行される。この実施形態では、ＳＧ  １１２は、総ＩＰＳｅｃトラフィックに相当する転送容量だけを有する必要がある。
【００５９】
図４に関して示され説明された第２の構成４０４に関して、企業に入るすべてのトラフィックは、（ファイアウォール４２０がＳＧ  １１２に転送するＩＰＳｅｃ関連トラフィックのためのピンホールを有する）ファイアウォール４２０へと進む。こうした一実施形態では、ファイアウォール４２０は、こうしたトラフィックのための既定ルートを潜在的に有するＳＧ  １１２に、他のすべてのトラフィックを送信する。この実施形態では、ＳＧ  １１２は、ＩＰＳｅｃと非ＩＰＳｅｃの両方のトラフィックをサポートするための転送容量を含む。この実施形態では、複雑なルーティングプロトコル機構は不要である。別のこうした実施形態では、ファイアウォール４２０は、異なるデバイス（図示せず）に、他のすべてのトラフィックを送信する。この実施形態では、第１の構成４０２と同様に、ＳＧ  １１２は、ＩＰＳｅｃトラフィックをサポートするのに十分な容量だけを必要とする（しかし、企業内で生じ、ＩＰＳｅｃトンネルエンドポイントに向かうトラフィックをルーティングするには、複雑なルーティング機構が必要であり得る）。
【００６０】
図４に関して示され説明された第３の構成４０６に関して、第１の構成４０２および第２の構成４０４の様々な実施形態と同様に、ＳＧ  １１２、ＳＧ  １１２は、ＩＰＳｅｃと非ＩＰＳｅｃの両方のトラフィックをサポートするための転送容量を含む。この実施形態では、ＳＧ１１２は、ＥＲ  ４１０とファイアウォール４２０の間に置かれているので、ＩＰＳｅｃトンネルエンドポイントに到着するすべてのトラフィックは、企業ファイアウォールポリシーに従う。具体的なセキュアゲートウェイ配置構成について、本明細書で図４に関して示し説明されたが、本発明は、こうしたセキュアゲートウェイ配置構成に限定されるものではない。本発明の機能は、様々な他のセキュアゲートウェイ配置構成を使用してサポートされてもよい。
【００６１】
図３に関して説明するように、ＳＧ  １１２は、（アクセスルータを介した）公衆インターネットへの１つの外部インターフェースと、企業ネットワークへの複数の内部インターフェースとを含んでもよい。一実施形態では、内部インターフェースの実際の使用は、企業によって実施されるセキュアゲートウェイ配置シナリオによって決まり得る。企業が仮想ローカルエリアネットワーク（ＶＬＡＮ：ｖｉｒｔｕａｌ  ｌｏｃａｌ  ａｒｅａ  ｎｅｔｗｏｒｋ）に分割される一実施形態では、セキュアゲートウェイは、セキュアトンネルを確立されたＶＬＡＮにマッピングすることによってポリシーベースのアクセス制御を実施してもよい。一実施形態では、ポートベースのＶＬＡＮについて、こうしたセキュアトンネルマッピングが実施される。セキュアゲートウェイがポート当たり複数のＶＬＡＮをサポートするこうした一実施形態では、ポート当たり複数のＶＬＡＮの使用が、電気電子学会（ＩＥＥＥ：Ｅｌｅｃｔｒｉｃａｌ  ａｎｄ  Ｅｌｅｃｔｒｏｎｉｃｓ  Ｅｎｇｉｎｅｅｒｓ）８０２．１ｑ構造に従って実施される。
【００６２】
一実施形態では、本発明の一実施形態によるセキュアゲートウェイは、ユーザ認証機能をサポートする。一実施形態では、セキュアゲートウェイ上のユーザ認証機能の実装は、理由は他にもあるが、企業によって配置された既存の基盤に応じて変化し得る。一実施形態では、（セキュアゲートウェイに対して）ローカルのユーザ認証が実施される。別の実施形態では、ユーザ認証は、ＲＡＤＩＵＳサーバを使用して実施される。別の実施形態では、ユーザ認証は、ＳｅｃｕｒｅＩＤサーバを使用して実施される。別の実施形態では、ユーザ認証は、こうしたユーザ認証機能の様々な組合せを使用して実施される。
【００６３】
一実施形態では、（セキュアゲートウェイに対して）ローカルのユーザ認証が実施される。一般にローカル認証は、ユーザに関するすべての情報およびパスワードがセキュアゲートウェイ上でローカルに維持される、セキュアゲートウェイ（例示的には、図３に示されたメモリ３２０）に対して自己完結型の機構である。一実施形態では、格納は、暗号化された形であってもよい。用語パスワードは、この文脈では大まかに使用されており、ログインのために使用されるパスワードとだけ同一であると見なすべきでないことに留意されたい。本明細書では用語パスワードは、トンネル確立および保守に関して本明細書に説明されるように、ユーザ識別情報、およびユーザに関連するセキュアクライアント内に格納された情報を含めて、すべての情報に言及するものである。
【００６４】
一実施形態では、ユーザ認証は、ＲＡＤＩＵＳサーバを使用して実施される。様々な他の機能を実施するために複数の企業が一般にＲＡＤＩＵＳサーバを既に使用しているという事実を活用するこの実施形態では、セキュアゲートウェイは、ＲＡＤＩＵＳサーバによって提供された情報に基づく認証をサポートするために、関連するＲＡＤＩＵＳクライアントをサポートする。この実施形態は、他のいくつかのユーザ認証ソリューションの制限（たとえばスケーラビリティ、管理可能性など）を回避する。一実施形態では、ユーザ認証は、ＲＳＡ  ＳｅｃｕｒｅＩＤサーバを使用して実施される。
【００６５】
本発明の一実施形態では、セキュアゲートウェイは、セキュア接続の終了を実施する。トンネリングを使用してセキュア接続がサポートされる一実施形態では、セキュアゲートウェイは、トンネル終了を実施する。一実施形態では、トンネリングは、ＩＰＳｅｃ（ＩＰ認証ヘッダＡＨ）およびＩＰカプセル化セキュリティペイロード（ＥＳＰ：Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ：）、ＩＫＥおよび類似のプロトコルを含めて、少なくとも１つのインターネット技術特別調査委員会（ＩＥＴＦ：Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）規格のプロトコルを使用してサポートされる。一般に、ＩＰＳｅｃトンネルの確立は、（１）交換されているデータの暗号化／復号（ＡＨ／ＥＳＰを使用してサポートされる）、および（２）トンネルエンドポイント間のセキュリティ関連付けの維持（ＩＫＥを使用してサポートされる）を伴う。一実施形態では、ユーザによって構成されたＩＰＳｅｃポリシーに基づいて、それぞれ異なる暗号化／復号機構が使用されてもよい。
【００６６】
本発明の一実施形態では、セキュアゲートウェイは、企業ポリシーのコンプライアンスの評価を実施する。一般に、任意のネットワークアクセス機構の重要な一特徴は、ネットワークに接続するデバイス（例示的にはエンドポイント１０２）の（企業によって定義されたポリシーの）コンプライアンスを評価する能力である。概して、こうしたコンプライアンスは一般に、デバイスがアンチウイルスソフトウェアの正確なバージョン、システム管理者によって推奨されたすべてのパッチなど、ならびにその様々な組合せを含むことを保証することを伴う。一実施形態では、遵守していないデバイスは、企業ネットワークにアクセスできないようにされてもよい。こうした一実施形態では、デバイスは、デバイスコンプライアンス評価を通過した後にだけ、企業ＩＰアドレスを受け取ってもよい。
【００６７】
一実施形態では、デバイスコンプライアンス評価は、ダイナミックホストコンフィギュレーションプロトコル（ＤＨＣＰ：Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）ネゴシエーション（たとえばＭｉｃｒｏｓｏｆｔ（登録商標）  ＮＡＰ）のうちの１つを使用して、ＤＨＣＰより下の層（たとえばＣｉｓｃｏ（登録商標）  ＮＡＣ）で実施されてもよい。一般に、Ｍｉｃｒｏｓｏｆｔ（登録商標）  ＮＡＰソリューションは主として、ＶＰＮを介して企業ネットワークにＰＣを接続するのによく適したＰＣ指向のソフトウェアのソリューションである（しかし、Ｍｉｃｒｏｓｏｆｔ（登録商標）  ＮＡＰソリューションは、インターネット認証サーバ（ＩＡＳ：Ｉｎｔｅｒｎｅｔ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｅｒ）の構成および管理を必要とする）。一般に、Ｃｉｓｃｏ（登録商標）  ＮＡＣソリューションは主として、ホストが接続され得るスイッチ、ハブおよびルータなどのすべての基盤要素からのサポートを必要とするので、企業ＬＡＮに直接接続するホスト用に設計されている。本発明の一実施形態では、セキュアゲートウェイは、デバイスコンプライアンス評価を実施するためのＤＨＣＰ関連の拡張物、ならびにデバイスコンプライアンス評価を実施する他の様々な方法をサポートする。
【００６８】
こうした実施形態では、デバイスコンプライアンス評価のサポートは、エンドポイント上で必要とされ得る（たとえば、定義された企業ポリシーとの比較のためにデバイスに関する情報を収集する）。Ｍｉｃｒｏｓｏｆｔ（登録商標）  ＮＡＰソリューションを使用して、こうした情報は、検疫エージェント（ＱＡ：Ｑｕａｒａｎｔｉｎｅ  Ａｇｅｎｔ）と呼ばれるＭｉｃｒｏｓｏｆｔ（登録商標）エージェントによって収集されてもよく、このＭｉｃｒｏｓｏｆｔ（登録商標）エージェントはアプリケーションプログラミングインターフェース（ＡＰＩ：Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）を公開し、それによって様々な他のエージェント（たとえばファイアウォール、ウイルススキャナなど）は、既存の情報を追加の情報で補完することができる。一実施形態では、こうした情報は、エンドポイントとセキュアクライアント上のソフトウェアの協力により収集される。
【００６９】
一実施形態では、セキュアゲートウェイとのセキュア接続を確立すると、エンドポイント（またはエンドポイントに関連するユーザ）は、ポリシー情報が取り出され、エンドポイント（または関連するユーザ）が企業ポリシーを遵守していると見なされるまで、自動的に検疫ゾーンに置かれる。エンドポイントは、遵守していないと見なされる場合、読出し専用ストアに接続され、この読出し専用ストアから、必要なソフトウェア更新／パッチが、セキュアゲートウェイと、エンドポイントに関連するセキュアクライアントの間のセキュア接続を使用してエンドポイントに自動的にダウンロードされる。エンドポイントの再構成に続いて、エンドポイントの企業ポリシーコンプライアンスが再評価され、エンドポイントは、遵守していると見なされる場合には、検疫ゾーンから取り除かれ、標準の作業ゾーンに置かれる。
【００７０】
本発明の一実施形態では、セキュアゲートウェイは、企業内で生じるセキュア接続（たとえばトンネル）（例示的には、図１に示されたＥＣ  １１０内のＬＥ  １０２Ｌから生じるセキュアトンネル）をサポートする。本発明の一実施形態では、企業の内部から生じるセキュア接続は、完全なイントラネットアクセスを受ける前に企業ポリシーコンプライアンスに関してエンドポイントを評価するための機構を提供する。一実施形態では、こうしたコンプライアンス評価は、ＤＨＣＰネゴシエーション（すなわちＭｉｃｒｏｓｏｆｔ（登録商標）  ＮＡＰソリューション）の一環として実施されてもよい。別の実施形態では、こうしたコンプライアンス評価は、下位層プロトコル（たとえばＣｉｓｃｏ（登録商標）のＮＡＣソリューション）を使用して実施されてもよい。
【００７１】
一実施形態では、エンドポイントがデバイス評価手順をうまく通過する場合は、セキュアトンネルは壊されて、企業ネットワークにエンドポイントの通常のアクセスが与えられてもよい。一実施形態では、エンドポイントがデバイス評価手順をうまく通過しない場合は、セキュアトンネルは、セキュアトンネルが終了される前にエンドポイントをコンプライアンス状態にするようにエンドポイントをパッチするために使用されてもよい。一実施形態では、セキュアゲートウェイは、コンプライアンスの成功によるトンネル終了と、他の理由によるトンネルの終了とを区別するように構成される。こうした一実施形態では、コンプライアンスチェックの成功によるトンネル終了と、他の理由によるトンネルの終了とを区別するために、拡張型のトンネル終了手順がセキュアゲートウェイによって使用されてもよい。
【００７２】
図５は、本発明の一実施形態による一方法のフローチャートを示している。具体的には、図５の方法５００は、セキュアクライアントから情報を送信するための一方法を含む。連続的に実施されるように示されているが、方法５００のステップの少なくとも一部が同時に実施されても、図５に提示されたのとは異なる順序で実施されてもよいことが当業者には理解されよう。方法５００は、ステップ５０２で開始し、ステップ５０４に進む。ステップ５０４で、情報が、エンドポイントから、関連するセキュアクライアントに転送される。
【００７３】
ステップ５０６で、セキュアクライアントから、セキュアゲートウェイと通信しているデバイスに情報を送信するためのセキュア接続が存在しているかどうか判断される。一実施形態では、セキュアクライアントが「常時オン」能力をサポートするので、（関連するエンドポイントが非アクティブ状態、たとえば電源オフ状態でも）セキュア接続が存在し得る。セキュア接続が存在する場合は、方法５００は、ステップ５１６に進む。一実施形態では、モバイル企業顧客が無線サービスエリアに移動し、またはそこから移動し得るので、セキュアクライアントとセキュアゲートウェイの間のセキュア接続をサポートするのに無線ネットワークが使用できないことがある。セキュア接続が存在しない場合、方法５００はステップ５０８に進む。
【００７４】
ステップ５０８で、ネットワークが使用可能かどうか判断される。一実施形態では、無線ネットワークが使用可能かどうか判断される。ネットワークが使用可能な場合は、方法５００は、ステップ５１６に移る。一実施形態では、モバイル企業顧客が無線サービスエリアに移動し、またはそこから移動し得るので、セキュアクライアントとセキュアゲートウェイの間のセキュア接続をサポートするのに無線ネットワークが使用できないことがある。ネットワークが使用可能でない場合は、方法５００は、ステップ５１０に進む。ステップ５１０で、エンドポイントから受信された情報は、セキュアクライアントによってローカルに格納される。一実施形態では、情報は、セキュアクライアント上の不揮発性フラッシュメモリに格納されてもよい。次いで、方法５００は、ステップ５１２に進む。
【００７５】
ステップ５１２で、ネットワークが使用可能かどうか判断される。一実施形態では、無線ネットワークが使用可能かどうか判断される。ネットワークが使用可能でない場合は、方法５００は、情報を送信するためのセキュア接続を確立するためにネットワークが検出されるまで、ステップ５１２内でループする。ネットワークが使用可能な場合は、方法５００は、ステップ５１４に移る。ステップ５１４で、エンドポイントから受信された情報が、セキュアクライアントメモリから抽出される。次いで、方法５００は、ステップ５２４に進む。
【００７６】
ステップ５１６で、エンドポイントから受信された情報の送信が遅延されるかどうか判断される。一実施形態では、本明細書で説明されるように、セキュア接続を使用した情報送信が遅延され得る複数の理由のうちのいずれかのために、送信が遅延され得る。たとえば、一実施形態では、要求された情報転送が、瞬時応答を必要とする転送（たとえば音声会話）と、瞬時応答を必要としない転送（たとえば電子メール転送、データバックアップ転送など）とを区別するために解析され、様々な条件に応答して、瞬時応答を必要としないいずれかの情報転送が遅延され得る（たとえば無線信号品質が閾値を満たすまで遅延され、他のクライアントの閾値数が満たされるときに遅延されるなど）。情報の送信が遅延されない場合は、方法５００は、ステップ５２４に進む。情報の送信が遅延される場合は、方法５００は、ステップ５１８に進む。
【００７７】
ステップ５１８で、エンドポイントから受信された情報が、セキュアクライアントによってローカルに格納される。一実施形態では、情報は、セキュアクライアント上の不揮発性フラッシュメモリに格納されてもよい。次いで、方法５００は、ステップ５２０に進む。ステップ５２０で、送信基準が満たされるかどうか判断される。たとえば、要求された情報転送が、遅延に敏感な情報転送と、遅延に敏感でない情報転送とを区別するために解析される一実施形態では、遅延に敏感でない情報転送は、送信基準が満たされるまで（たとえば無線信号品質が閾値を満たすまで、他のクライアントの閾値数が満たされるまで）遅延される。送信基準が満たされない場合は、方法５００は、送信基準が満たされるまで、ステップ５２０内でループする。送信基準が満たされる場合は、方法５００は、ステップ５２２に進む。ステップ５２２で、エンドポイントから受信された情報が、セキュアクライアントメモリから抽出される。次いで、方法５００は、ステップ５２４に進む。
【００７８】
ステップ５２４で、情報が、セキュアクライアントとセキュアゲートウェイの間のセキュア接続を使用してセキュアクライアントから送信される。本発明の一実施形態では、セキュアクライアントに関連するエンドポイントの電源状態に関係なく（たとえばウェイクアップモード、電源オンなどのアクティブ電源状態に関係なく、スリープモード、電源オフモードなどの非アクティブ電源状態に関係なく、また他の有効な電源状態に関係なく）セキュアクライアントがセキュアゲートウェイとのセキュア接続を維持するように構成されるので、セキュアクライアントは、セキュアクライアントに関連するエンドポイントの電源状態に関係なく情報を送信するように構成される。次いで、方法５００は、ステップ５２６に進み、ステップ５２６で、方法５００は終了する。
【００７９】
図６は、本発明の一実施例による一方法のフローチャートを示している。具体的には、図６の方法６００は、セキュアクライアント上で情報を受信するための方法を含む。連続的に実施されるように示されているが、方法６００のステップの少なくとも一部が同時に実施されても、図６に提示されたのとは異なる順序で実施されてもよいことが当業者には理解されよう。方法６００は、ステップ６０２で開始し、ステップ６０４に進む。ステップ６０４で、情報が、セキュア接続を介してセキュアクライアント上で受信される。
【００８０】
ステップ６０６で、セキュアクライアントに関連するエンドポイントがアクティブかどうか判断される。セキュアクライアントデバイスに関連するエンドポイントがアクティブである場合は、方法６００は、ステップ６１４に進む。セキュアクライアントデバイスに関連するエンドポイントがアクティブでない（たとえば、クライアントデバイスに関連するエンドポイントがスリープモード、電源オフ状態であるなど）場合は、方法６００は、ステップ６０８に進む。ステップ６０８で、セキュアクライアント上で受信された情報は、セキュアクライアントによってローカルに格納される。一実施形態では、情報は、セキュアクライアント上の不揮発性フラッシュメモリに格納されてもよい。次いで、方法６００は、ステップ６１０に進む。
【００８１】
ステップ６１０で、セキュアクライアントに関連するエンドポイントがアクティブかどうか判断される。セキュアクライアントデバイスに関連するエンドポイントがアクティブでない場合は、方法６００は、セキュアクライアントに関連するエンドポイントがアクティブであることをセキュアクライアントが検出するまで（たとえばエンドポイントが非アクティブ状態（たとえばスリープモード、電源オフなど）からアクティブ状態（たとえばウェイクアップモード、電源オン状態など）に遷移することをセキュアクライアントが検出するまで）ステップ６１０内でループする。セキュアクライアントデバイスに関連するエンドポイントがアクティブである場合は、方法６００は、ステップ６１２に進む。ステップ６１２で、セキュアクライアントによって受信され格納された情報が、セキュアクライアントメモリから抽出される。次いで、方法５００は、ステップ６１４に進む。
【００８２】
ステップ６１４で、情報が、セキュアクライアントから、関連するエンドポイントに転送される。本発明の一実施形態では、セキュアクライアントは、セキュリティクライアントに関連するエンドポイントの電源状態（たとえば電源オン状態、スリープモード、電源オフ状態など）に関係なくセキュアゲートウェイとのセキュア接続を維持するように構成されるので、関連するエンドポイントが非アクティブである間、様々な情報（たとえば電子メールメッセージ、企業によってプッシュされたソフトウェアパッチなど）を受信し、次いで、エンドポイントが非アクティブ状態からアクティブ状態に遷移したことを検出することに応答してエンドポイントに情報を引き渡すように構成される。次いで、方法６００は、ステップ６１６に進み、ステップ６１６で方法６００は終了する。
【００８３】
本明細書に説明されるように、本発明は、企業ユーザが広帯域無線ネットワークをますます使用しながら企業ネットワークに安全にアクセスすることを可能にするセキュアシステムを提供する。本発明の一実施形態では、セキュアクライアントデバイスの「常時オン」能力によって、エンドポイントデバイスと企業ネットワークの間の絶え間ない通信が可能になる。セキュアな「常時オン」システムは、エンドユーザおよびシステム管理者にとって有益な様々な機能のサポートを可能にする。セキュアな「常時オン」システムによって使用可能になる機能は、アプリケーションアクセラレーション機能、リモート管理機能、無線ネットワーク最適化機能および類似の機能、ならびにその様々な組合せを含んでもよい。
【００８４】
一実施形態では、本明細書に説明されるセキュアシステムは、セキュアクライアントを含むエンドポイント内で、そのエンドポイントのための唯一のＩＰネットワークアクセスが、企業内部ネットワークを介したものであることを保証する。こうした一実施形態では、本明細書に説明されたセキュアシステムは、エンドポイントが企業の外部にある場合は、そのエンドポイントのための唯一のＩＰネットワークアクセスが、企業の内部で終了するセキュアトンネルを介したものであることを保証する。こうしたセキュリティ目的をサポートするように構成された本発明の一実施形態によれば、セキュアシステムは、エンドポイント上でログインしていない（またはエンドポイント上で非特権アカウントにログインした）ユーザが、（セキュアクライアントの挿入／削除、エンドポイントの電源オン／オフ制御（ｐｏｗｅｒ  ｃｙｃｌｉｎｇ）、ホストＰＣ上でのキーボード、マウスおよび取外し可能格納媒体を使用した操作の実施などの様々な組合せを含めて）、主要なセキュリティ目的を決して無効にできないことを保証する。
【００８５】
一実施形態では、本明細書に説明されたセキュアシステムは、エンドポイントが、そのエンドポイントに関連する対応するセキュアクライアントなしでは使用不可能であることを保証する。一実施形態で、セキュアシステムは、セキュアシステムに違反するどんな試み（成功または不成功）をも検出し報告する。したがって、エンドポイントのユーザが管理の特権を取得しても、セキュアソリューションによって実施された制限を回避しようとする試みは失敗する可能性が高い。さらに、セキュアシステムが拡張型ソフトウェアまたはハードウェアハッカーによって攻撃されても、セキュアシステムによって実施された制限を回避しようとする試みが検出され報告され、セキュアゲートウェイとセキュアクライアントの間のセキュア接続を使用して管理システムからセキュアクライアントにプッシュされた更新によって、セキュリティのうまい抜け道（ｓｕｃｃｅｓｓｆｕｌ  ｅｘｐｌｏｉｔ）が閉じられる。
【００８６】
本明細書に説明されるように、本発明のセキュアシステムによるセキュア接続は、セキュアトンネルを使用して実施されてもよい。こうした一実施形態では、セキュアトンネルは、セキュアクライアント上で発生し、セキュアゲートウェイ上で終了する。こうした一実施形態では、セキュアクライアントに関連するエンドポイントは、すべてのネットワーク通信がセキュアクライアントを横断することを保証する。本発明の一実施形態による（すなわち本発明の様々な機能をサポートするための）セキュアトンネルを確立するために、ホストインターフェースの選択、ＩＰアドレスの取得、およびセキュアトンネルが確立されるセキュアゲートウェイの選択を含めて、様々なアクションが実施される。
【００８７】
一般に、コンピューティングデバイスは、（多分それぞれ異なるタイプの）複数のネットワークインターフェースを有することがある。エンドポイントによって潜在的にサポートされたネットワークインターフェースに加えて、エンドポイントに関連するセキュアクライアントは、無線ネットワークインターフェースをサポートする。したがって、関連するユーザは、ネットワーク接続の確立のための様々なオプションを有する。本発明の「常時オン」機能をサポートするために、セキュアクライアント無線ネットワークインターフェースは、無線ネットワークに常に接続され、したがって、エンドポイントからアクセス可能である。本発明の一実施形態では、エンドポイントに関連するすべてのトラフィックが、セキュアクライアントを通過する。セキュアクライアントは、セキュアクライアント内の無線ネットワークインターフェースを含めて、エンドポイント内のすべてのインターフェースのためのＩＰＳｅｃ処理を実施する。
【００８８】
一実施形態では、エンドポイントとセキュアクライアントコンポーネントの組合せは、ＩＰアドレスを取得し、デバイス互換性評価手順に応答し、セキュアゲートウェイへのセキュアトンネルを確立するために協力する。インターネット上で通信するために、コンピューティングデバイスは、ＩＰアドレス、およびデフォルトゲートウェイ、ドメインネームサービス（ＤＮＳ：ｄｏｍａｉｎ  ｎａｍｅ  ｓｅｒｖｉｃｅ）サーバなど他の情報などを有さなければならない。この情報は一般に、ＤＨＣＰプロトコルなどを使用するサーバを介して、コンピュータ上の静的割当てによって取得される。通常の設定では、ユーザは、ＩＰアドレス（すなわち非企業ＩＰアドレス）が取得されると、インターネットに自由にアクセスすることができる。
【００８９】
この実施形態では、非企業ＩＰアドレスを取得した後、セキュアクライアントは、セキュアゲートウェイとのセキュアトンネルを確立しようと試みる。企業が単一のセキュアゲートウェイを配置する一実施形態では、次いで企業ＩＰアドレスが、セキュアゲートウェイから取得される。企業が複数のセキュアゲートウェイを配置する別の実施形態では、セキュアトンネルを確立するためのセキュアゲートウェイが選択されなければならない。この実施形態では、それとのセキュアトンネルが確立されるセキュアゲートウェイの選択は、事前構成された静的情報、負荷バランシングについての理解を促す動的情報などのうちの少なくとも１つに基づいてもよい。一実施形態では、セキュアゲートウェイの選択は、初期のセキュアトンネル確立に加えて、セキュアゲートウェイ失敗のシナリオの間に使用されてもよい。
【００９０】
この実施形態では、非企業ＩＰアドレスの取得、およびセキュアトンネルが確立されるべきセキュアゲートウェイの識別に続いて、セキュアクライアントは、セキュアゲートウェイからＩＰアドレス（すなわち企業ＩＰアドレス）を取得する。エンドポイントアプリケーションは、企業ＩＰアドレスによってだけネットワークにアクセスすることができる（すなわち、エンドポイントアプリケーションは、非企業ＩＰアドレスを用いてはネットワークにアクセスすることができない）。一実施形態では、非企業ＩＰアドレスを取得するための（たとえばＤＨＣＰを使用した）ネゴシエーション、およびその後のセキュアトンネルの確立は、セキュアクライアントによって実施され、エンドポイントからは見えない。
【００９１】
この実施形態では、企業ＩＰアドレスの取得に続いて、セキュアクライアントカードとセキュアゲートウェイの間でセキュアトンネルが確立される。こうした一実施形態では、トンネル確立は、標準のＩＰＳｅｃ手順（ＩＫＥを含む）を使用して実施される。一実施形態では、セキュアゲートウェイとのトンネル確立の一環として、認証が実施される。一実施形態では、認証は、パスフレーズや、デジタル化された指紋などのユーザ識別、および関連するＶＰＮキーカードによって生成された秘密鍵に基づくことができ、したがって、ユーザ識別またはＶＰＮカードだけを危険にさらすことでは、システムは危険にさらされない。一般にＶＰＮキーカードは、ユーザに一意に関連付けられる。セキュアクライアントカードは、エンドポイントソフトウェアと協力してユーザ識別を実施する。一実施形態では、セキュアトンネルの確立に続き、またエンドポイントソフトウェアによるセキュアトンネルの使用の前に、デバイスチェックが、エンドポイントソフトウェア、セキュアクライアントおよびセキュアサーバによって協調的に実施されてもよい。
【００９２】
一実施形態では、セキュアトンネルの確立に続いて、セキュアクライアントおよびセキュアゲートウェイは、エンドポイントに関連するユーザにとって透過的であり、かつ無線ネットワークリソースの面で効率的であるやり方でセキュアトンネルを維持するために協力する。たとえば、無線ネットワークが使用不可能になり、ユーザがエンドポイントを電源オフ状態に置く一実施形態では、無線ネットワークが使用可能であることを検出すると、セキュアクライアントは、セキュアゲートウェイとのセキュアトンネルを再確立してもよい。したがって、本発明の一実施形態では、セキュアクライアントは、格納された情報（無線ネットワーク接続が使用不可能な間、関連するエンドポイントから取得され、セキュアクライアントによってローカルに格納される）を送信し、エンドポイントが電源オフ状態であってもセキュア接続を使用して情報（エンドポイントが電源オフの間、企業イントラネットから取得され、セキュアクライアントによってローカルに格納される）を受信し格納してもよい。
【００９３】
本明細書に示されるように、本発明の、セキュアクライアントおよびセキュアゲートウェイを含むセキュアシステムは、アプリケーションアクセラレーション機能をサポートする。一般に、企業ユーザは、職場および自宅の高品質で高速の接続に慣れてきており、リモート接続から同じ体験を期待する。本発明は、高品質で高速のリモート接続性を提供するための様々なアプリケーションアクセラレーション機能を含む。本発明の一実施形態では、アプリケーションアクセラレーション機能は、（たとえばバックグラウンド転送のための）キャッシング機能、（たとえばセキュアクライアント、セキュアゲートウェイ上などの）トラフィックフィルタリング機能、圧縮機能（たとえばデータ圧縮、プロトコルヘッダ圧縮など）、トンネルアドレス変換機能、プロトコル最適化機能など、ならびにその様々な組合せを含んでもよい。
【００９４】
一実施形態では、本発明は、セキュアクライアントへのキャッシングを提供する。こうした一実施形態では、セキュアクライアントは、インライン双方向透過アプリケーションキャッシングプロキシを含む。キャッシングプロキシは、ＩＰＳｅｃ層の上に常駐し、両方向に（すなわちエンドポイントからネットワークに、またネットワークからエンドポイントに）データをキャッシュする。一実施形態では、セキュアクライアントは、ユーザ証明書をキャッシュするが、セキュリティを脅かさずに揮発性メモリ内で行われ得る証明書キャッシング量は限られている。一実施形態では、セキュアクライアントは、電子メール、カレンダー（すなわちＭｉｃｒｏｓｏｆｔ（登録商標）  Ｅｘｃｈａｎｇｅ）、ウェブフィード（たとえばＲＳＳ  ２．０）および類似のアプリケーション、ならびにその様々な組合せなどのアプリケーションのために、アプリケーションデータを両方向にキャッシュする。
【００９５】
エンドポイントが電源オフ状態（たとえばスリープ状態）である場合でもセキュアクライアントがアクティブなままであるので、エンドポイントが電源オフ状態である間、キャッシュを使用して様々な転送が実施されてもよい。一実施形態では、セキュアクライアントがネットワークとのセキュア接続を維持するので、セキュアクライアント上のキャッシュは、セキュア接続を使用してネットワークから受信されたデータを格納するために使用されてもよい。さらなる一実施形態では、クライアントデバイスに関連するエンドポイントのアクティブ化を検出すると、キャッシュされたネットワークデータの少なくとも一部が、エンドポイントメモリに転送されてもよい。一実施形態では、セキュアクライアントがネットワークとのセキュア接続を維持するので、セキュアクライアント上のキャッシュは、セキュアクライアント上でキャッシュを使用してバッファに入れられたデータを（ネットワークとのセキュア接続を介して）アップロードするために使用されてもよい。
【００９６】
一実施形態では、（特に無線リンクが休止モードであるときに）無線帯域幅を保存するために、本発明は、不必要なトラフィックを取り除くためのアプリケーショントラフィックフィルタリングを提供する。アプリケーショントラフィックフィルタリングは、セキュアクライアント、セキュアゲートウェイなど、ならびにその様々な組合せのうちの少なくとも１つによって実施されてもよい。一実施形態では、ブロードキャストトラフィック（たとえばＲＩＰ、ＯＳＰＦ、ＡＲＰなど）の少なくとも一部がフィルタリングされてもよい。たとえば、ルーティング更新はユーザにとって不要なので、ＡＲＰは、プロキシＡＲＰを使用してセキュアトンネルの一方の端で抑制されてもよい。一実施形態では、ＮｅｔＢＩＯＳがフィルタリングされてもよい。一実施形態では、フィルタリングされたトラフィックの少なくとも一部が、キャッシュデータを使用してプロキシされてもよい。
【００９７】
一実施形態では、アプリケーショントラフィックフィルタリングに加えて、またはその代わりに、本発明は、それぞれ異なるオペレーティングパラメータに従って様々なアプリケーションを操作してもよい。一実施形態では、アプリケーションは、減少された更新頻度で実行されてもよい。たとえば、電子メールおよびＲＳＳフィードは、３０秒ごとではなく、５分ごとにポーリングされてもよい。一実施形態では、アプリケーション要求は、一緒にまとめられてもよい。たとえばＴＣＰ接続では、「キープアライブ」要求が、たとえば１つの間隔へとまとめられ、セキュアトンネルの一方の端でプロキシされるなどされてもよい。本明細書ではアプリケーションデータフィルタリングおよびアプリケーション動作パラメータの修正に関して主として説明したが、本発明の一実施形態による無線帯域幅を保存する他の様々な方法が使用されてもよい。
【００９８】
一実施形態では、本発明は、アプリケーションアクセラレーションのサポートとして圧縮能力を提供する。一実施形態では、アプリケーションデータが、圧縮されてもよい。こうした一実施形態では、アプリケーションデータ圧縮は、ＩＰＳｅｃと併せてＩＰＣＯＭ圧縮規格を使用して実施されてもよい。こうした圧縮は、テキストデータ、たとえばＸＭＬには有用であり得るが、一般には既に圧縮されているバイナリファイル（たとえばＧＩＦ、ＺＩＰ、ＥＸＥ、ＭＰＥＧなど）にはそれほど有用でない。一実施形態では、プロトコルヘッダが圧縮されてもよい。こうした一実施形態では、プロトコルヘッダは、ユーザデータグラムプロトコル（ＵＤＰ：Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）用のＶＪ圧縮、転送制御プロトコル（ＴＣＰ：Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）、およびインターネットプロトコル（ＩＰ：Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）内部ヘッダ圧縮を使用して圧縮されてもよい。
【００９９】
一実施形態では、本発明は、アプリケーションアクセラレーションのサポートとしてトンネルアドレス変換（ＴＡＴ：ｔｕｎｎｅｌ  ａｄｄｒｅｓｓ  ｔｒａｎｓｌａｔｉｏｎ）能力を提供する。一般に、トンネルアドレス変換は、トンネリングされたヘッダがトンネルの片端ではＮＡＴｅｄとし、トンネルのもう１つの端ではｄｅＮＡＴｅｄとするための分散ネットワークアドレス変換（ＮＡＴ：Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）操作である。従来のトンネリングでは、追加のＵＤＰ／ＩＰヘッダは、パケットの元のＴＣＰ／ＩＰまたはＵＤＰ／ＩＰヘッダに添付される。その結果、それぞれのパケットは、２つのソースＩＰ、２つの宛先ＩＰ、２つのソースポートおよび２つの宛先ポート（すなわち外部ヘッダ用に１つ、および内部ヘッダ用に１つ）に関連付けられる。一実施形態では、ＴＡＴ実装は、フロー開始およびフロー終了の検出を必要とし、それは、フローフィルタリング、アプリケーションスヌーピング（たとえばＳＩＰ  ＩＮＶＩＴＥペイロード上のスヌープ）などを使用して実施され得る。
【０１００】
この実施形態では、すべてのフローについて、外側ヘッダアドレスおよびポートが不変であり、さらに、所与のフローについて、内部ヘッダアドレスおよびポートが不変であることに留意することによって、それぞれのフローが、外部と内部の両方のヘッダをカプセル化する新しい単一のヘッダに再マッピングされてもよい。この実施形態では、ＴＣＰフローは、ＴＣＰ／ＩＰヘッダを必要とし、ＵＤＰフローは、ＵＤＰ／ＩＰヘッダを必要とする。たとえばＵＤＰフロー（たとえば音声会話およびビデオストリーム）について考慮すると、内部ＵＤＰ／ＩＰヘッダを取り除くと、各パケットについて２８バイトが取り除かれ、無線リンク効率が著しく向上される。同様に、ＴＣＰフローでは、外部ＵＤＰ／ＩＰヘッダを取り除くと、パケット当たりの２８バイトのオーバーヘッドが取り除かれる。
【０１０１】
一実施形態では、本発明は、アプリケーションアクセラレーションのサポートとしてプロトコル最適化能力を提供する。一実施形態では、プロトコル最適化は、ＴＣＰ最適化を含む。こうした一実施形態では、ＴＣＰ最適化は、リンク損失に応答してＴＣＰセグメントを積極的に再送することを含んでもよい。一実施形態では、無線の帯域幅が稀少なリソースであるので、プロトコル最適化は、低優先度アプリケーションの使用可能な帯域幅を制限するためのアプリケーション優先順位付け（アプリケーション優先度よるパケットスケジューリングを含む）を含んでもよい。たとえば、オーディオトラフィックは、高優先度を有するように構成されてもよく、電子メールは、低優先度を有するように構成されてもよい。
【０１０２】
本明細書に説明されるように、本発明の、セキュアクライアントおよびセキュアゲートウェイを含むセキュアシステムは、リモートシステム管理機能をサポートする。一実施形態では、セキュアクライアントが置かれるエンドポイントの状態に関係なくセキュアクライアントが動作する（すなわちセキュアクライアントが「常時オン」能力をサポートする）ので、システム管理者は、セキュアクライアントが置かれたエンドポイントの状態に関係なく、セキュアクライアントにリモートアクセスすることができる。一実施形態では、セキュアクライアントがセキュア接続を維持するセキュアゲートウェイが、システム管理者によるセキュアクライアントのリモートアクセスをサポートする。
【０１０３】
一実施形態では、システム管理者によるセキュアクライアントのリモートアクセスは、システム管理者が様々なセキュアクライアント保守および制御活動を実施することを可能にする。こうした一実施形態では、システム管理者は、セキュアクライアントおよび関連するエンドポイントの現在のソフトウェアバージョンを決定し、（セキュアクライアントまたはエンドポイント内にインストールされたアンチウイルスまたは他のソフトウェアの最新バージョンを含めて）セキュアクライアントソフトウェアおよびエンドポイントソフトウェアのソフトウェアアップグレード／パッチのインベントリを決定し、ネットワークアクティビティログ（たとえばアップタイムおよびダウンタイム情報）にアクセスし、それを読み出し、エンドポイントに関連するユーザがポリシーのいずれかの違反（たとえば、エンドポイントからのセキュアクライアントドライバの削除、エンドポイントからのエンドポイントドライバの削除など）を試みたかどうか判断してもよい。
【０１０４】
一実施形態では、システム管理者によるセキュアクライアントのリモートアクセスは、システム管理者がセキュアクライアントにソフトウェア更新をプッシュすることを可能にする。一実施形態では、セキュアクライアント「常時オン」能力をサポートするので、システム管理者は、関連するエンドポイントが電源オフ状態である間、セキュアクライアントにソフトウェア更新をプッシュすることができる。この実施形態では、関連するエンドポイントが電源オフ状態である間にセキュアクライアントによって情報（たとえばソフトウェア更新、電子メールなど）が受信されると、受信された情報がセキュアクライアントのローカルフラッシュメモリに格納されることになる。この実施形態では、セキュアクライアントのフラッシュメモリに格納された情報は、エンドポイントが電源オン状態であるときに、セキュアクライアントからエンドポイントに転送される（すなわち、ユーザが即時に使用できるようになる）。
【０１０５】
一実施形態では、システム管理者によるセキュアクライアントのリモートアクセスは、システム管理者が、検出された条件に応答してセキュアクライアントにソフトウェア更新をプッシュすることを可能にする。たとえば、リモート企業ユーザが、情報への即時アクセスを必要とする重要な会議に参加しており、ソフトウェア更新がロードされるまでエンドポイントが使用され得ない（すなわちソフトウェア更新のインストールをダウンロードするのに必要なエンドポイントおよび帯域幅リソースの消費により、エンドポイントが事実上使用不可能になる）場合、モバイルワーカーの生産性が影響を受ける。こうした一実施形態では、本発明は、セキュアクライアントに関連するエンドポイント機能が使用されていない（たとえば１つまたは複数のエンドポイントプロセスがアイドル状態であり、エンドポイントがスリープモードであり、エンドポイントが電源オフ状態であるなど）と決定することに応答してシステム管理者が情報をセキュアクライアントにプッシュすることを可能にする。
【０１０６】
一実施形態では、セキュアクライアントのリモートアクセスは、セキュアクライアント上のリモートシステムアップグレードおよびパッチを可能にする。一実施形態では、企業システム管理者は、確立されたセキュアトンネルを介して、管理システム（例示的には、図１に示されたＭＳ  １１６）からセキュアクライアントメモリ（たとえば、ソフトウェアのサイズに応じてＤＲＡＭ、フラッシュメモリなどのうちの少なくとも１つを使用する）に、システム画像、ソフトウェアモジュール（動的ロード可能デバイスドライバモジュールを含む）アップグレードおよびパッチをプッシュする。一実施形態では、必要なソフトウェアがセキュアクライアント上にダウンロードされた後に、関連するソフトウェアアップグレードおよびパッチコマンドが、セキュアクライアント組込みシステム上でリモートに実行されてもよい。
【０１０７】
一実施形態では、セキュアクライアントソフトウェアアップグレードおよびパッチは、関連するエンドポイントを使用して、関連する企業ユーザに透過的なやり方で実施される。別の実施形態では、企業ユーザによるエンドポイント使用の中断を最小限に抑えるために、エンドポイントユーザ対話インターフェースが、リソース集約的なアップグレード／パッチプロセスについてセキュアクライアントシステムに知らせるために実装されてもよい。こうした一実施形態では、エンドポイントユーザ対話インターフェースは、エンドポイントに関連する企業ユーザがアップグレード／パッチプロセスを開始し（たとえば「今すぐアップグレード」）または延期する（たとえば「１時間後にアップグレード」）ことを可能にする選択可能オプションを提示してもよい。
【０１０８】
一実施形態では、セキュアクライアントソフトウェアアップグレードおよびパッチは、セキュアクライアント構成、セキュリティパラメータ、セキュリティポリシーなど、ならびにその様々な組合せをアップグレードしパッチするための様々な能力を含む。一実施形態では、セキュアクライアント組込みシステムは、ユーザ体験の向上のためにアップグレードおよびパッチソフトウェアのダウンロードと通常のネットワークインターフェースの使用とのバランスを取るファイルダウンロードマネージャを含む。ダウンロードマネージャは、ネットワーク中断、切断および再接続、低速ネットワーク環境内の大きいファイルのダウンロードなど、ならびにその様々な組合せに対処するために、セグメント化されたファイルダウンロード技術を使用する。
【０１０９】
一実施形態では、エンドポイントのリモートアクセスは、エンドポイント上のリモートシステムアップグレードおよびパッチを可能にする。一実施形態では、管理システムは、エンドポイント上で、リモートオペレーティングシステムおよびソフトウェアアップグレードおよびパッチ、アンチウイルスソフトウェア定義の更新、企業システムポリシー更新など、およびその様々な組合せを実施する。多くのこうしたタスクがＭｉｃｒｏｓｏｆｔ（登録商標）システム管理サーバ（ＳＭＳ：Ｍｉｃｒｏｓｏｆｔ（登録商標）  Ｓｙｓｔｅｍ  Ｍａｎａｇｅｍｅｎｔ  Ｓｅｒｖｅｒ）やサードパーティベンダソリューションなどの既存の企業ＩＴ基盤にサポートされるので、管理システムは、セキュア接続（たとえば企業ＶＰＮ）を使用してこれらおよび類似のタスクを実施するために、既存のソリューションを利用してもよい。
【０１１０】
一実施形態では、管理システムは、タスクをより効率的に完了し、それによってエンドポイント干渉を最小限に抑えるために極めて重要なアップグレードおよびパッチダウンロードを速やかにスケジューリングし、クライアントファイルダウンロードマネージャを使用することによって、エンドポイントソフトウェアアップグレードおよびパッチタスクの実行を向上させる。本明細書に説明されるように、ダウンロードの終了前にエンドポイントリソースが消費されないようにダウンロードファイルをバッファするために、セキュアクライアント上のフラッシュメモリが使用されてもよい。一実施形態では、エンドポイントソフトウェア、デバイスドライバおよびプロファイルアップグレードおよびパッチが、既存の企業ソリューションに組み込まれてもよい。
【０１１１】
本明細書に説明されるように、本発明の、セキュアクライアントとセキュアゲートウェイとを含むセキュアシステムは、無線ネットワーク最適化機能をサポートする。一実施形態では、無線ネットワーク最適化は、アプリケーション応答時間要件に従ってアプリケーションデータ転送を優先順位付けすることによって実施される。こうした一実施形態では、瞬時の応答時間を必要としないアプリケーション（たとえば電子メール、データバックアップなど）に関連するデータ送信が遅延される。一実施形態では、セキュアクライアントは、遅延に敏感な情報転送と遅延に敏感でない情報転送とを区別し、関連する基地局が（１）無線信号品質が閾値を満たし、（２）基地局が、サービスを求める顧客の閾値数を満たす場合にだけ、遅延に敏感でない情報転送を開始することを要求する。本発明の一実施形態では、こうした最適化は、かなりの無線ネットワーク容量向上を可能にし、それによって無線サービスプロバイダのかなりの費用効果をもたらす。
【０１１２】
本発明の教示を取り入れる様々な実施形態が示され、本明細書に詳細に説明されたが、当業者は、これらの教示をやはり組み込む他の多くの様々な実施形態を容易に考案することができる。
【図面の簡単な説明】
【０１１３】
【図１】通信ネットワークのハイレベルブロック図である。
【図２】図１の通信ネットワークのエンドポイントのうちの１つのハイレベルブロック図である。
【図３】図１の通信ネットワークのセキュアゲートウェイのハイレベルブロック図である。
【図４】本発明の一実施形態による方法を示す図である。
【図５】本発明の一実施形態による方法を示す図である。
【図６】本発明の一実施形態による方法のフローチャートである。
【図１】
2009518886.tif 000005
【図２】
2009518886.tif 000006
【図３】
2009518886.tif 000007
【図４】
2009518886.tif 000008
【図５】
2009518886.tif 000009
【図６】
2009518886.tif 000010
【国際調査報告】
2009518886.tif 000011
2009518886.tif 000012
2009518886.tif 000013