(57)【要約】  １つの小型のハードウェアは、モバイル・デバイスに接続され、攻撃コードや悪意あるコードをフィルタにより除去する。１つのハードウェアを使用することで、モバイル・デバイスは、より大きなセキュリティによって、また場合によっては、その関連する企業／エンタープライズが提供するセキュリティと同等レベルのセキュリティによって保護されうる。１つの実施形態において、モバイル・セキュリティ・システムは、モバイル・デバイスのデータ・ポートに接続してモバイル・デバイスと通信する接続機構と、ネットワークへのゲートウェイとしての機能を果たすネットワーク接続モジュールと、モバイル・デバイスに向けられたコンテンツをモバイル・デバイスに転送するかどうかを決定するセキュリティ・ポリシーと、セキュリティ・ポリシーを実行するセキュリティ・エンジンとを含む。
2009523331.tif 000002
【特許請求の範囲】
【請求項１】
モバイル・デバイスのデータ・ポートに接続するため、及び前記モバイル・デバイスと通信するための接続機構と、
ネットワークへのゲートウェイとしての機能を果たすためのネットワーク接続モジュールと、
前記モバイル・デバイスに向けられたコンテンツを前記モバイル・デバイスに転送するかどうかを決定するためのセキュリティ・ポリシーと、
前記セキュリティ・ポリシーを実行するためのセキュリティ・エンジンと
を備えるモバイル・セキュリティ・システム。
【請求項２】
前記接続機構は、ＵＳＢコネクタ、ＰＣＭＣＩＡコネクタ、イーサネット・コネクタ、及び無線通信モジュールのうちの少なくとも１つを含む請求項１に記載のモバイル・セキュリティ・システム。
【請求項３】
前記ネットワーク接続モジュールは無線ネットワーク・インターフェイス・カードを含む請求項１に記載のモバイル・セキュリティ・システム。
【請求項４】
前記セキュリティ・エンジンは、アンチウィルス・エンジン、アンチスパイウェアエンジン、ファイアウォール・エンジン、ＩＰＳ／ＩＤＳエンジン、コンテンツ・フィルタリング・エンジン、多重階層セキュリティ・モニタ、バイトコード・モニタ、及びＵＲＬモニタのうちの少なくとも１つを含む請求項１に記載のモバイル・セキュリティ・システム。
【請求項５】
前記セキュリティ・ポリシーは重み付きリスク分析を実行する請求項１に記載のモバイル・セキュリティ・システム。
【請求項６】
前記重み付きリスク分析はコンテンツ・タイプに基づいてリスクの重みを計る請求項５に記載のモバイル・セキュリティ・システム。
【請求項７】
前記重み付きリスク分析はコンテンツ・ソースに基づいてリスクの重みを計る請求項５に記載のモバイル・セキュリティ・システム。
【請求項８】
前記重み付きリスク分析はコンテンツ・ソース・カテゴリに基づいてリスクの重みを計る請求項５に記載のモバイル・セキュリティ・システム。
【請求項９】
前記重み付きリスク分析はユーザの履歴アクションに基づいてリスクの重みを計る請求項５に記載のモバイル・セキュリティ・システム。
【請求項１０】
セキュリティ・ポリシー更新を受信することができる遠隔管理モジュールをさらに備える請求項１に記載のモバイル・セキュリティ・システム。
【請求項１１】
セキュリティ・エンジン更新を受信することができる遠隔管理モジュールをさらに備える請求項１に記載のモバイル・セキュリティ・システム。
【請求項１２】
セキュリティ・データとセキュリティ・データ更新を受信することができる遠隔管理モジュールとをさらに備える請求項１に記載のモバイル・セキュリティ・システム。
【請求項１３】
前記セキュリティ・データは悪意あるコンテンツ・シグニチャを含む請求項１に記載のモバイル・セキュリティ・システム。
【請求項１４】
更新を他のモバイル・セキュリティ・システムに転送することができる配布モジュールをさらに備える請求項１に記載のモバイル・セキュリティ・システム。
【請求項１５】
前記モバイル・デバイスのブート・セクタが損なわれた場合に備えて前記モバイル・デバイスの前記ブート・セクタの少なくとも一部を格納することができるバックアップ・モジュールをさらに備える請求項１に記載のモバイル・セキュリティ・システム。
【請求項１６】
ウィザードと通信することができる遠隔構成モジュールをさらに備え、前記ウィザードはエンタープライズ・ネットワーク・セキュリティ・システムと通信し、前記ウィザードは前記エンタープライズ・ネットワーク・セキュリティ・システム上のポリシーとデータに基づいて前記ポリシーとデータのほぼ自動的な生成を行うことができ、前記遠隔構成モジュールは前記ウィザードにより生成された前記ポリシーとデータをインストールすることができる請求項１に記載のモバイル・セキュリティ・システム。
【請求項１７】
実行時にアクセスできないプリブート・メモリをさらに備え、前記プリブート・メモリは前記モバイル・セキュリティ・システムのオペレーティング・システムの少なくとも一部のコピーを格納し、前記モバイル・セキュリティ・システムがリブートされるごとに前記オペレーティング・システム部分をロードするように構成される請求項１に記載のモバイル・セキュリティ・システム。
【請求項１８】
モバイル・デバイスが信頼できるネットワークの外部にあるときに、前記モバイル・デバイスからネットワーク接続要求を受信するステップと、
前記モバイル・デバイスに代わってネットワークへのゲートウェイとしての機能を果たすステップと、
前記モバイル・デバイスに向けられた情報を前記ネットワークから受信するステップと、
セキュリティ・ポリシーに従って前記情報を前記モバイル・デバイスに転送するかどうかを決定するステップとを備える方法。
【請求項１９】
モバイル・デバイスが信頼できるネットワークの外にあるときに、前記モバイル・デバイスに代わってネットワークへのゲートウェイとしての機能を果たす手段を有し、
前記モバイル・デバイスに向けられた情報を前記ネットワークから受信し、
セキュリティ・ポリシーに従って前記情報を前記モバイル・デバイスに転送するかどうかを決定する、システム。
【請求項２０】
無線接続を介してモバイル・デバイスでインターネット・トラフィックを受信するするステップと、
前記インターネット・トラフィックをカーネル・レベルでモバイル・セキュリティ・システムにリダイレクトするステップと、
セキュリティ・ポリシーの違反がないか前記インターネット・トラフィックをスキャンするステップと、
前記セキュリティ・ポリシーの違反を前記インターネット・トラフィックから除去してクリーンなインターネット・トラフィックを生成するステップと、
前記クリーンなインターネット・トラフィックを実行のために前記モバイル・デバイスに送信するステップとを備える方法。
【請求項２１】
インターネット・トラフィックを受信するためのモバイル・デバイス上の無線ネットワーク・インターフェイス・カードと、
前記インターネット・トラフィックをカーネル・レベルでモバイル・セキュリティ・システムにリダイレクトするための前記モバイル・デバイス上のカーネル・レベル・リダイレクタと、
セキュリティ・ポリシーの違反がないか前記インターネット・トラフィックをスキャンするため、及び前記セキュリティ・ポリシーの違反を前記インターネット・トラフィックから除去してクリーンなインターネット・トラフィックを生成するためのセキュリティ・エンジンと、
前記カーネル・レベル・リダイレクタから前記リダイレクトされたインターネット・トラフィックを受信するため、及び前記クリーンなインターネット・トラフィックを実行のために前記モバイル・デバイスに送信するための接続機構とを備えるシステム。
【発明の詳細な説明】
【関連出願】
【０００１】
（優先権の主張）
本出願は、２００５年１２月１３日に出願した、発明者Ｓｈｌｏｍｏ  Ｔｏｕｂｏｕｌによる「Ｐｅｒｓｏｎａｌ  Ｓｅｃｕｒｉｔｙ  Ａｐｐｌｉａｎｃｅ」と題する米国特許仮出願第６０／７５０，３２６号の利益を主張し、参照により本明細書に援用するものである。
【技術分野】
【０００２】
本発明は一般に、ネットワーク・セキュリティに関し、詳細には、ネットワーク・セキュリティをモバイル・デバイスに与えるためのシステム及び方法を提供する。
【背景技術】
【０００３】
インターネットは、政府機関、大学、非営利団体、企業、個人に所有される数百万もの個々のコンピュータ・ネットワークの相互接続である。インターネットは貴重な情報とエンターテイメントの膨大な源であるが、インターネットはまた、「ウィルス」、「スパイウェア」、「アドウェア」、「ワーム」、「トロイの木馬」、その他の悪意あるコードのような、システムに害を与え、システムに致命的なアプリケーション・コードの主要な源ともなっている。
【０００４】
ユーザを保護するため、プログラマは、悪意あるコードが個人やネットワーク・コンピュータを攻撃することを阻止するために、コンピュータ及びコンピュータ・ネットワーク・セキュリティ・システムを設計する。ほとんどの部分において、ネットワーク・セキュリティ・システムは、比較的成功を収めてきた。エンタープライズのネットワーク内からインターネットに接続するコンピュータは、通常２つの防衛線を備えている。第１の防衛線は、ファイアウォール、アンチウィルス、アンチスパイウェア、コンテンツ・フィルタリングを含む、ネットワーク・ゲートウェイの一部を成しうるネットワーク・セキュリティ・システムを含む。第２の防衛線は、個々のマシン上の個別のセキュリティ・ソフトウェアを含むが、これは通常ネットワーク・セキュリティ・システムほど安全ではなく、そのため攻撃をより受けやすい。組み合わせることで、第１及び第２の防衛線は共に、かなり良好なセキュリティ保護を提供する。しかし、介在するネットワーク・セキュリティ・システムを使用せずにデバイスがインターネットに接続されるとき、デバイスはその第１の防衛線を失う。したがって、モバイル・デバイス（たとえば、ラップトップ、デスクトップ、ＲＩＭのＢｌａｃｋｂｅｒｒｙのようなＰＤＡ、携帯電話、インターネットに接続するあらゆる無線デバイスなど）は、エンタープライズ・ネットワークの外部を移動しているとき、さらに攻撃を受けやすくなる。
【０００５】
図１は、従来技術のネットワーク・システム例１００を示す。ネットワーク・システム１００は、各々エンタープライズのイントラネット１１５に結合されているデスクトップ１０５やモバイル・デバイス１１０を含む。イントラネット１１５は、（エンタープライズのゲートウェイの一部を成しうる）ネットワーク・セキュリティ・システム１２０を介して信頼できないインターネット１３０に結合されている。したがって、デスクトップ１０５やモバイル・デバイス１１０は、ネットワーク・セキュリティ・システム１２０を介してインターネット１３０にアクセスする。セキュリティ・アドミニストレータ１２５は通常、ネットワーク・セキュリティ・システム１２０を管理して、そこに最新のセキュリティ保護を確実に含むように、ひいてはデスクトップ１０５やモバイル・デバイス１１０が悪意あるコードから確実に保護されるようにする。境界１３５は、信頼できるエンタープライズ１４０と信頼できないパブリック・インターネット１３０を分離している。デスクトップ１０５やモバイル・デバイス１１０はネットワーク・セキュリティ・システム１２０を介してインターネット１３０に接続されているので、いずれもインターネット１３０からの悪意あるコードに対して２つの防衛線（つまり、ネットワーク・セキュリティ・システム１２０とデバイス自体に常駐するセキュリティ・ソフトウェア）を備えている。もちろん、信頼できるとはいえ、イントラネット１１５もまた、悪意あるコードの源となるおそれがある。
【０００６】
図２は、モバイル・デバイス１１０が信頼できるエンタープライズ１４０の外で移動して、信頼できないインターネット１３０に再接続されているときの、従来技術のネットワーク・システム例２００を示す。この状況は、おそらく、ユーザが移動中にモバイル・デバイス１１０を持ち歩き、サイバーカフェで、ホテルで、又は信頼できない有線又は無線接続を介してインターネット１３０に接続するときに生じる可能性がある。したがって、示されているように、モバイル・デバイス１１０はもはや、第１の防衛線によって（ネットワーク・セキュリティ・システム１２０によって）保護されず、そのため悪意あるコードを受け取るリスクを高めている。さらに、モバイル・デバイス１１０を信頼できるエンタープライズ１４０に物理的に持ち帰り、そこから再接続することによって、モバイル・デバイス１１０は、受け取った悪意あるコードをイントラネット１１５に受け渡してしまうリスクを冒すことになる。
【０００７】
モバイル・デバイスの数と攻撃の数が増加するにつれて、モバイル・セキュリティはますます重要性が高まっている。この問題については、２００５年１２月７日〜８日にニューヨークで開催された最近のＩｎｆｏ−Ｓｅｃｕｒｉｔｙ  Ｃｏｎｆｅｒｅｎｃｅで強調された。しかし、完全な解決策は提示されなかった。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
エンタープライズ・ネットワーク・セキュリティ・システムによって提供されるようなレベルのネットワーク・セキュリティを提供することができるパーソナル・セキュリティ・アプライアンスが必要とされている。
【課題を解決するための手段】
【０００９】
本発明の実施態様は、モバイル・デバイスに接続して、攻撃コードや悪意あるコードをフィルタにより除去する１つの小型のハードウェアを使用する。その１つのハードウェアを、「モバイル・セキュリティ・システム」又は「パーソナル・セキュリティ・アプライアンス」と呼ぶことができる。モバイル・セキュリティ・システムを使用することで、モバイル・デバイスは、より大きなセキュリティによって、また場合によっては、その関連する企業／エンタープライズが提供するセキュリティと同等レベルのセキュリティによって保護される。
【００１０】
１つの実施態様において、モバイル・セキュリティ・システムは、モバイル・デバイスのデータ・ポートに接続するため、及びモバイル・デバイスと通信するための接続機構と、ネットワークへのゲートウェイとしての機能を果たすためのネットワーク接続モジュールと、モバイル・デバイスに向けられたコンテンツをモバイル・デバイスに転送するかどうかを決定するためのセキュリティ・ポリシーと、セキュリティ・ポリシーを実行するためのセキュリティ・エンジンとを含む。
【００１１】
接続機構は、ＵＳＢコネクタや、ＰＣＭＣＩＡコネクタ、イーサネット（登録商標）・コネクタ、ブルートゥース通信モジュールの少なくとも１つを含む。ネットワーク接続モジュールは、ＷｉＦｉ、ＷｉＭＡＸ、ＧＰＲＳ、ＧＳＭ、ＵＭＴＳ、ＣＤＭＡ、第３世代、その他の携帯電話インターネット接続プロトコルなどを実施するネットワーク・インターフェイス・カードを含む。セキュリティ・エンジンは、アンチウィルス・エンジンや、アンチスパイウェアエンジン、ファイアウォール・エンジン、ＩＰＳ／ＩＤＳエンジン、コンテンツ・フィルタリング・エンジン、多重階層セキュリティ・モニタ、バイトコード・モニタ、ＵＲＬモニタのうちの少なくとも１つを含むことができる。セキュリティ・ポリシーは、コンテンツ・タイプ、コンテンツ・ソース、コンテンツ・カテゴリ、又はユーザの履歴アクションに基づいて、重み付きリスク分析を実行することができる。リモート管理モジュールは、セキュリティ・ポリシー更新、セキュリティ・エンジン更新、セキュリティ・データ更新（悪意あるコンテンツ・シグニチャを含む）の受信を可能にする。モバイル・セキュリティ・システムは、更新を他のモバイル・セキュリティ・システムに転送することができる配布モジュール、及び／又はモバイル・デバイスのブート・セクタが損なわれた場合に備えてモバイル・デバイスのブート・セクタの少なくとも一部を格納することができるバックアップ・モジュールを含むことができる。モバイル・セキュリティ・システムは、ウィザードと通信することができるリモート構成モジュールを含み、ウィザードはエンタープライズ・ネットワーク・セキュリティ・システムと通信し、ウィザードはエンタープライズ・ネットワーク・セキュリティ・システム上のポリシーとデータに基づいてポリシーとデータのほぼ自動的な生成を行うことができ、リモート構成モジュールはウィザードにより生成されたポリシーとデータをインストールすることができる。モバイル・セキュリティ・システムは、実行時にアクセスできないプリブート・メモリを含むことができ、プリブート・メモリはモバイル・セキュリティ・システムのオペレーティング・システムの少なくとも一部のコピーを格納し、モバイル・セキュリティ・システムはモバイル・セキュリティ・システムがリブートされるごとにオペレーティング・システム部分をロードするように構成される。
【００１２】
もう１つの実施態様において、方法は、信頼できるネットワークの外部のモバイル・デバイスからネットワーク接続要求を受信するステップと、モバイル・デバイスに代わりネットワークへのゲートウェイとしての機能を果たすステップと、ネットワークからモバイル・デバイスに向けられた情報を受信するステップと、セキュリティ・ポリシーに従って情報をモバイル・デバイスに転送するかどうかを決定するステップとを備える。
【００１３】
もう１つの実施態様において、モバイル・セキュリティ・システムは、信頼できるネットワークの外部のモバイル・デバイスに代わってネットワークへのゲートウェイとしての機能を果たす手段と、ネットワークからモバイル・デバイスに向けられた情報を受信する手段と、セキュリティ・ポリシーに従って情報をモバイル・デバイスに転送するかどうかを決定する手段とを備える。
【００１４】
さらにもう１つの実施態様において、方法は、無線接続を介してモバイル・デバイスでインターネット・トラフィックを受信するステップと、カーネル・レベルでインターネット・トラフィックをモバイル・セキュリティ・システムにリダイレクトするステップと、セキュリティ・ポリシーの違反がないかインターネット・トラフィックをスキャンするステップと、インターネット・トラフィックからセキュリティ・ポリシーの違反を除去してクリーンなインターネット・トラフィックを生成するステップと、クリーンなインターネット・トラフィックを実行のためにモバイル・デバイスに送信するステップとを備える。
【００１５】
さらにもう１つの実施態様において、システムは、インターネット・トラフィックを受信するためのモバイル・デバイス上の無線ネットワーク・インターフェイス・カードと、カーネル・レベルでインターネット・トラフィックをモバイル・セキュリティ・システムにリダイレクトするためのモバイル・デバイス上のカーネル・レベル・リダイレクタと、セキュリティ・ポリシーの違反がないかインターネット・トラフィックをスキャンするためや、インターネット・トラフィックからセキュリティ・ポリシーの違反を除去してクリーンなインターネット・トラフィックを生成するためのセキュリティ・エンジンと、カーネル・レベル・リダイレクタからリダイレクトされたインターネット・トラフィックを受信するためや、クリーンなインターネット・トラフィックを実行のためにモバイル・デバイスに送信するための接続機構とを備える。
【発明を実施するための最良の形態】
【００１６】
以下の説明は、当業者が本発明を行い使用することができるように提供され、特定の用途及びその要件という状況で提供される。当業者には本実施態様にさまざまな変更を加えることが可能であり、本明細書に定義される一般的な原理は、本発明の精神と範囲を逸脱することなくさまざまな実施形態や用途に適用することができる。したがって、本発明は、示されている実施形態に限定されることを意図してはおらず、本明細書に開示される原理、特徴、教示に首尾一貫する最も広い範囲を許容されるべきである。
【００１７】
本発明の実施形態は、モバイル・デバイスに接続して、攻撃コードや悪意あるコードをフィルタにより除去する１つの小型のハードウェアを使用する。その１つのハードウェアは、「モバイル・セキュリティ・システム」又は「パーソナル・セキュリティ・アプライアンス」と呼ばれる。モバイル・セキュリティ・システムを使用することで、モバイル・デバイスは、より大きなセキュリティによって、また場合によっては、その関連する企業／エンタープライズが提供するセキュリティと同等レベルのセキュリティによって保護されうる。
【００１８】
図３は、本発明の実施形態によるネットワーク・システム３００を示す。ネットワーク・システム３００は、デスクトップ３０５、第１のモバイル・デバイス３１０ａ、第２のモバイル・デバイス３１０ｂを含む。第１のモバイル・デバイス３１０ａは、現時点では、エンタープライズ・ネットワーク３４０内に示され、モバイル・セキュリティ・システム３４５ａを介してエンタープライズのイントラネット３１５に結合されている。デスクトップ３０５と第２のモバイル・デバイス３１０ｂもまた、エンタープライズ・ネットワーク３４０内にあるが、この実施形態においては、モバイル・セキュリティ・システム３４５ｂのような介在するモバイル・セキュリティ・システム３４５を使用せずにイントラネット３１５に結合されている。イントラネット３４５は、（エンタープライズのゲートウェイの一部を成しうる）ネットワーク・セキュリティ・システム３２０を介して信頼できないインターネット３３０に結合されている。したがって、第１のモバイル・デバイス３１０ａ、第２のモバイル・デバイス３１０ｂ、デスクトップ３０５は、ネットワーク・セキュリティ・システム３２０を介して信頼できないインターネット３３０にアクセスする。各々はまた、その上に常駐するパーソナル・セキュリティ・システム（図示せず）によって保護されてもよい。第３のモバイル・デバイス３１０ｃは、現在、エンタープライズ・ネットワーク３４０の外にあり、モバイル・セキュリティ・システム３４５ｂを介して信頼できないインターネット３３０に結合されている。第３のモバイル・デバイス３１０は、現在移動中の信頼できるエンタープライズ３４０の従業員により使用中の場合もある。セキュリティ・アドミニストレータ３２５は、モバイル・セキュリティ・システム３４５ａ、モバイル・セキュリティ・システム３４５ｂ、ネットワーク・セキュリティ・システム３２０を管理して、それらが最新のセキュリティ保護を確実に含むようにする。当業者であれば、同一のセキュリティ・アドミニストレータがさまざまなデバイスを管理する必要はないことを理解するであろう。さらに、セキュリティ・アドミニストレータはユーザであってもよく、信頼できるエンタープライズ３４０内にある必要もない。
【００１９】
境界３３５は、信頼できるエンタープライズ３４０と信頼できないパブリックにアクセス可能なインターネット３３０を分離している。モバイル・デバイス３１０ａ、３１０ｂ、３１０ｃを、各々、総称的にモバイル・デバイス３１０と呼ぶことができるが、同一のものである必要はない。モバイル・セキュリティ・システム３４５ａと３４５ｂを、各々、総称的にモバイル・セキュリティ・システム３４５と呼ぶことができるが、同一のものである必要はない。
【００２０】
示されているように、モバイル・デバイス３１０ｃは信頼できるエンタープライズ３４０の外を移動しているが、モバイル・デバイス３１０ｃは、モバイル・セキュリティ・システム３４５ｂを介して信頼できないインターネット３３０に接続されているので、２つの防衛線（つまり、モバイル・セキュリティ・システム３４５ｂとデバイス自体に常駐するセキュリティ・ソフトウェア）を保持している。この実施形態において、モバイル・セキュリティ・システム３４５は、モバイル・デバイス３１０ｃに代わってモバイル・インターネット・ゲートウェイとしての機能を効果的に果たす。１つの実施形態において、モバイル・セキュリティ・システム３４５は、ネットワーク・セキュリティに専用のデバイスであってもよい。１つの実施形態において、各モバイル・セキュリティ・システム３４５は、複数のモバイル・デバイス３１０をサポートすることができ、場合によっては、たとえばエンタープライズ３４０に属するような登録済みのモバイル・デバイス３１０のみをサポートすることができる。
【００２１】
各モバイル・セキュリティ・システム３４５（たとえば、３４５ａ、３４５ｂ）は、市販のハードウェア（ＩｎｔｅｌのＸｓｃａｌｅをコアとして備える）、Ｌｉｎｕｘ  ＯＳとネットワーク・サービス、及びオープン・ソース・ファイアウォール、ＩＤＳ／ＩＰＳ及びアンチウィルス保護をベースにした縮小型サーバであってもよい。モバイル・セキュリティ・システム３４５は、強化された組込みＬｉｎｕｘ２．６をベースにすることもできる。
【００２２】
この実施形態において、セキュリティ・アドミニストレータ３２５はモバイル・セキュリティ・システム３４５ｂと遠隔で通信できるので、ＩＴはモバイル・セキュリティ・システム３４５ｂ上で実施されるセキュリティ・ポリシー／データ／エンジンを監視し及び／又は更新することができる。セキュリティ・アドミニストレータ３２５は、遠隔で又は直接に、すべてのエンタープライズ・デバイスを一元的に管理することができる。さらに、セキュリティ・アドミニストレータ３２５やモバイル・セキュリティ・システム３４５は、エンタープライズ・セキュリティ・ポリシーをモバイル・セキュリティ・ポリシーに自動的に変換し、それに応じてモバイル・セキュリティ・システム３４５を構成するように対話することができる。モバイル・セキュリティ・システム３４５は、エンタープライズ３４０の関連するセキュリティ・ポリシーから生成されるので、現在移動中のモバイル・デバイス３１０ｃは、信頼できるエンタープライズ３４０内のデバイス３０５／３１０と同等レベルの保護を備えることができる。
【００２３】
モバイル・セキュリティ・システム３４５は、既存のソフトウェア・セキュリティへのアド・オンとして、また移動中のモバイル・デバイス上のすべてのセキュリティ・ハードウェアとソフトウェアを置き換えるために設計されてもよい。これらのセキュリティ・アプリケーションは、図８で説明されるシステム例に示されているように、最大のセキュリティ及び悪意あるコードを検知するために異なるＯＳＩ層で稼働することが好ましい。下位のＯＳＩ層で稼働し、（ファイアウォール又はルータ・パケットをスクリーニングすることにより）ＴＣＰ／ＩＰパケット分析のみを行うことで、ウィルス及び／又はワームの振る舞いを見逃してしまう。さらに、多くの最新のウィルスは、第７のＯＳＩ層（アプリケーション−ＨＴＴＰ、ＦＴＰなど）よりも「上位の」レベルで実装されるモバイル・コードを使用しており、そのためパケット層又はアプリケーション層において解釈されることはない。たとえば、悪意あるＪａｖａ（登録商標）  Ｓｃｒｉｐｔ（つまりＨＴＭＬページに含まれる）にセッション層又はトランスポート層のみでアンチウィルス分析を適用し、パケットで、しかもコンテンツ・タイプ（Ｊａｖａ  Ｓｃｒｉｐｔ）を理解せずにシグニチャを一致させようと試みても、Ｊａｖａ  Ｓｃｒｉｐｔの悪意ある本質を検知しない。より優れた保護を提供するため、モバイル・セキュリティ・システム３４５は、企業クラスのセキュリティ・アプライアンスとしての機能を果たし、コンテンツ・タイプ及び適切なＯＳＩ層（又は、さらにはコンテンツがアプリケーション層にカプセル化される場合は「さらに上位の」レベル）に基づいてさまざまなセキュリティ・アプリケーションを採用することができる。モバイル・セキュリティ・システム３４５は、たとえばパケット・レベルからアプリケーション・レベルへと、異なるＯＳＩ層においてコンテンツ分析を実行するように構成されてもよい。悪意あるコンテンツの振る舞いを検知するため、及びウィルス、ワーム、スパイウェア、トロイの木馬などの検知を向上させるために、アプリケーション・レベルにおいて徹底した検査を行うことが重要であることが理解されよう。以下のソフトウェア・パッケージは、モバイル・セキュリティ・システム３４５で実施することができる。
【００２４】
・  ステートフルとステートレス・ファイアウォール、ＮＡＴ、パケット・フィルタリングと操作、ＤＯＳ／ＤＤＯＳ、ネットフィルタを含むファイアウォール及びＶＰＮは、ユーザのモバイル・デバイスをインターネットから分離し、デバイスなどでＶＰＮプログラムを実行する。
【００２５】
・  ＳｑｕｉｄベースのオプションのＷｅｂアクセラレータ及び帯域幅／キャッシュ管理。
・  ＩＤＳ／ＩＰＳ−Ｓｎｏｒｔベースの侵入検知及び侵入防止システム。Ｓｎｏｒｔは、ルール主導型言語を使用するオープン・ソースのネットワーク侵入防止及び侵入検知システムであり、シグニチャ、プロトコル、異常ベースの検査の利点を組み合わせる。
【００２６】
・  ＣｌａｍＡＶベースのアンチウィルス及びアンチスパイウェア、たとえばＭｃＡｆｅｅ、Ｋａｓｐｅｒｓｋｙ、Ｐａｎｄａｍａｙなどの追加のＡＶ及びＡＳエンジンは追加の加入料で提供されうる。
・  悪意あるコンテンツの検知−シグニチャを有する以前に悪意あるコンテンツを検知するようコンテンツ分析を行うオン・ザ・フライのヒューリスティック。これは、ルール・ベース及び更新済みルールに基づき、コンテンツ依存のスキャンとなる。
【００２７】
・  ＵＲＬカテゴリ化フィルタリング−Ｓｕｒｆｃｏｎｔｒｏｌ、Ｓｍａｒｔ  Ｆｉｌｔｅｒｓ又はＷｅｂｓｅｎｓｅなどの市販エンジンをベースとする。ギャンブル、アダルト・コンテンツ、ニュース、ＷｅｂメールなどのようなＵＲＬの約７０のカテゴリを提供することができる。モバイル・デバイス３４５は、たとえば、ギャンブル又はアダルト・コンテンツのＷｅｂサイトなどに対するより高い制限やヒューリスティックなど、ＵＲＬカテゴリに基づいてさまざまなセキュリティ・ポリシーを適用することができる。
【００２８】
図４は、コンピュータ・システム例４００の詳細を示すブロック図であり、そのデスクトップ３０５、モバイル・デバイス３１０、ネットワーク・セキュリティ・システム３２０、モバイル・セキュリティ・システム３４５、セキュリティ・アドミニストレータ３２５の各々はインスタンスである。コンピュータ・システム４００は、通信チャネル４１０に結合された、Ｉｎｔｅｌ  Ｐｅｎｔｉｕｍ（登録商標）マイクロプロセッサ又はＭｏｔｏｒｏｌａ  Ｐｏｗｅｒ  ＰＣ（登録商標）マイクロプロセッサなどのプロセッサ４０５を含む。コンピュータ・システム４００はさらに、各々通信チャネル４１０に結合された、キーボード又はマウスなどの入力デバイス４１５、ブラウン管ディスプレイなどの出力デバイス４２０、通信デバイス４２５、磁気ディスクなどのデータ・ストレージ・デバイス４３０、及びランダム・アクセス・メモリ（ＲＡＭ）などのメモリ４３５を含む。通信インターフェイス４２５は、直接又はモバイル・セキュリティ・システム３４５を介して、インターネットなどのネットワークに結合されてもよい。データ・ストレージ・デバイス４３０とメモリ４３５は別のユニットとして示されているが、データ・ストレージ・デバイス４３０とメモリ４３５は同一のユニット、分散ユニット、仮想メモリなどの一部であってもよいことを、当業者であれば理解するであろう。
【００２９】
データ・ストレージ・デバイス４３０及び／又はメモリ４３５は、Ｍｉｃｒｏｓｏｆｔ  Ｗｉｎｄｏｗｓ  ＸＰ、ＩＢＭ  ＯＳ／２オペレーティング・システム、ＭＡＣ  ＯＳ、ＵＮＩＸ（登録商標）  ＯＳ、ＬＩＮＵＸ  ＯＳなどのオペレーティング・システム４４０、及び／又はその他のプログラム４４５を格納することができる。好ましい実施形態はまた、上記以外のプラットフォームやオペレーティング・システム上に実装されてもよいことが理解されよう。実施形態は、ＪＡＶＡ（登録商標）、Ｃ、及び／又はＣ＋＋言語、あるいはその他のプログラミング言語を使用し、おそらくはオブジェクト指向プログラミング方法論を使用して、作成することができる。
【００３０】
コンピュータ・システム４００はまた、ネットワーク接続、追加のメモリ、追加のプロセッサ、ＬＡＮ、ハードウェア・チャネルを通して情報を転送する入出力回線、インターネット又はイントラネットなどの追加情報を含むことができることを、当業者であれば理解するであろう。当業者であれば、また、プログラムやデータが別の方法でシステムによって受信され、システムに格納されうることを理解するであろう。たとえば、磁気ディスク・ドライブ、ハード・ディスク・ドライブ、光磁気リーダー、ＣＰＵなどのコンピュータ可読記憶媒体（ＣＲＳＭ）リーダー４５０は、磁気ディスク、ハード・ディスク、光磁気ディスク、ＲＡＭなどのコンピュータ可読記憶媒体（ＣＲＳＭ）４５５を読み取るために通信バス４１０に結合されてもよい。したがって、コンピュータ・システム４００は、ＣＲＳＭリーダー４５０を介してプログラム及び／又はデータを受信することができる。さらに、本明細書において「メモリ」という用語は、永続的又は一時的のいずれであるかにかかわらず、すべてのデータ記憶媒体を対象とすることを意図していることが理解されよう。
【００３１】
図５は、本発明の実施形態によるモバイル・セキュリティ・システム３４５の詳細を示すブロック図である。モバイル・セキュリティ・システム３４５は、アダプタ／ポート／ドライバ５０５、メモリ５１０、プロセッサ５１５、モバイル・セキュリティ・システムのオペレーティング・システムや他のアプリケーションのセキュアなバージョンを格納するプリブート・フラッシュ／ＲＯＭメモリ・モジュール５２０、ネットワーク接続モジュール５２５、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、セキュリティ・データ５４０、遠隔管理モジュール５５０、配布モジュール５５５、バックアップ・モジュール５６０を含む。これらのモジュールはモバイル・セキュリティ・システム３４５内に示されているが、その多くは、たとえばセキュリティ・アドミニストレータ３２５、又はモバイル・セキュリティ・システム３４５と通信するサード・パーティ・システムなど、他の場所に配置されてもよいことを当業者であれば理解するであろう。モバイル・セキュリティ・システム３４５は、ポケット・サイズ、ハンドヘルド・サイズ、又はキー・チェーン・イズの筐体であっても、あるいはさらに小型であってもよい。さらに、モバイル・セキュリティ・システム３４５は、モバイル・デバイス３１０内に組み込まれてもよい。
【００３２】
アダプタ／ポート／ドライバ５０５は、モバイル・セキュリティ・システム３４５のＵＳＢ、イーサネット、ＷｉＦｉ、ＷｉＭＡＸ、ＧＳＭ、ＣＤＭＡ、ブルートゥース、ＰＣＭＣＩＡ及び／又はその他の接続データ・ポート用の（ドライバなどのソフトウェアを含む）接続機構を含む。１つの実施形態において、アダプタ／ポート／ドライバ５０５は、複数のデバイス３１０に接続して、複数のデバイス３１０にネットワーク・セキュリティを提供することができる。
【００３３】
メモリ５１０とプロセッサ５１５は、オペレーティング・システムとアプリケーションをモバイル・セキュリティ・システム３４５で実行する。この例において、プリブート・フラッシュ５２０は、オペレーティング・システムとアプリケーションを格納する。ブート時に、オペレーティング・システムとアプリケーションは、実行のためにプリブート・フラッシュ５２０からメモリ５１０にロードされる。オペレーティング・システムとアプリケーションは、実行時にユーザによってアクセスできないプリブート・フラッシュ５２０に格納されるので、プリブート・フラッシュ５２０内のオペレーティング・システムとアプリケーションは破損されにくい。たとえば悪意あるコードによって、メモリ５１０内のオペレーティング・システムとアプリケーションのコピーが破損されていた場合、オペレーティング・システムとアプリケーションは、たとえば再起動時に、プリブート・フラッシュ５２０からメモリ５１０に再ロードされる。プリブート・フラッシュ５２０内に格納されるように説明されているが、ＯＳやアプリケーションを、ＲＯＭ、ＰＲＯＭ、ＥＥＰＲＯＭなど、他の読み取り専用メモリ・デバイス内に安全に格納することができる。
【００３４】
モバイル・セキュリティ・システム３４５上のメモリ（メモリ５１０及びプリブート・フラッシュ５２０を含む）は、以下のようにゾーンに分割することができる。
【表１】
2009523331.tif 000003
【００３５】
「ハード」再起動を行うごとに、モバイル・セキュリティ・システム３４５のブート・ローダ（領域１に常駐）は、カーネル及びセキュリティ・アプリケーション（新規の変更されていないコピー）を領域１から２にコピーする。これにより、ＯＳ及びアプリケーションのクリーンなバージョンが、領域２に毎回ロードされる。このようにして、特殊なモバイル・セキュリティ・システム３４５の攻撃が開始された場合、ＯＳ及びアプリケーションは実行時にメモリ領域１にアクセスできなくなっているので、攻撃がシステムに波及することは不可能になる。さらに、メモリ５１０に到達する攻撃は、１回しか実行することができず、ハード再起動が行われると消滅してしまう。トリガー機構は、感染が検知されるとモバイル・セキュリティ・システム３４５を自動的に再起動するために使用することができる。
【００３６】
ネットワーク接続モジュール５２５は、たとえば、ＷｉＦｉ、ＷｉＭＡＸ、ＣＤＭＡ、ＧＳＭ、ＧＰＲＳ、イーサネット、モデムなどを含むネットワーク通信ハードウェア／ソフトウェアを介してインターネット３３０又はイントラネット３１５へのネットワーク接続を可能にする。たとえば、モバイル・デバイス３１０をＷｉＦｉ接続を介してイントラネット３３０に接続しようとする場合、アダプタ／ポート／ドライバ５０５は、モバイル・デバイス３１０のＰＣＩポート、ＵＳＢポート、又はＰＣＭＣＩＡポートに接続され、モバイル・セキュリティ・システム３４５のネットワーク接続モジュール５２５は、無線アクセス・ポイントに接続するためのＷｉＦｉネットワーク・インターフェイス・カードを含むことができる。ネットワーク接続モジュール４２５を使用して、モバイル・セキュリティ・システム３４５は、モバイル・デバイス３１０のセキュア・ゲートウェイとしてネットワークと通信することができる。その他の接続アーキテクチャについては、図１０Ａ〜１０Ｃにおいて説明される。
【００３７】
セキュリティ・エンジン５３０は、いずれもＩＴマネージャによって作成されるセキュリティ・ポリシー５３５とセキュリティ・データ５４０に基づいてセキュリティ・プログラムを実行する。セキュリティ・エンジン５３０は、ファイアウォール、ＶＰＮ、ＩＰＳ／ＩＤＳ、アンチウィルス、アンチスパイウェア、悪意あるコンテンツのフィルタリング、多層化セキュリティ・モニタ、Ｊａｖａ、及びバイトコード・モニタなどを含むことができる。各セキュリティ・エンジン５３０は、どのプロシージャ、コンテンツ、ＵＲＬ、システム呼び出しなどをエンジン５３０が許可できるか又は許可できないかを指示するため、専用のセキュリティ・ポリシー５３５及びセキュリティ・データ５４０を有してもよい。セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、セキュリティ・データ５４０は、ネットワーク・セキュリティ・システム３２０上のエンジンと同じであるか、そのポリシーのサブセットであるか、及び／又はそのデータから作成されたものであってもよい。
【００３８】
アンチウィルス・ソフトウェアやアンチスパイウェア・ソフトウェアによるより高いセキュリティ・レベルを提供するため、各モバイル・セキュリティ・システム３４５のセキュリティ・エンジン５３０は、コンテンツ分析やリスク評価アルゴリズムを実施する。たとえば、ＯＳＩの第７層及びそれより上位（第７層内でカプセル化されるモバイル・コード）で動作し、これらのアルゴリズムは、ルール・エンジンやルール更新によって制御される専用のハイ・リスク・コンテンツ・フィルタリング（ＨＲＣＦ）によって実行されてもよい。ＨＲＣＦは、実際のコンテンツ・タイプを検査するために徹底したコンテンツ分析を実行する強力な検知ライブラリをベースにする。それは、多くの攻撃が不正なＭＩＭＥタイプ内に隠され、及び／又は巧妙なトリックを使用してテキスト・ファイル・タイプを危険なアクティブ・スクリプト若しくはＡｃｔｉｖｅＸコンテンツ・タイプに提示することができるからである。ＨＲＣＦは、ＵＲＬカテゴリに基づく自動ルール調整のためにＵＲＬカテゴリ化セキュリティ・エンジン５３０と統合することができる。１つの実施形態において、リスク・レベルが高まると（前述の機構を使用して）モバイル・セキュリティ・システム３４５は、自動的にフィルタリングを調整して増強し、さらに多くのアクティブなコンテンツをトラフィックから除去することができる。たとえば、より大きいリスクが判別された場合、たとえばＪａｖａスクリプト、ＶＢスクリプトなどのあらゆるモバイル・コードが除去されてもよい。
【００３９】
企業ポリシー・サーバ・レガシー・システムと統合する３つの態様は、以下に説明するように、ルール、ＬＤＡＰとアクティブ・ディレクトリ、及びロギングとレポーティングを含む。１つの実施形態において、セキュリティ・アドミニストレータ３２５で稼働しているポリシー・インポート・エージェントは、Ｃｈｅｃｋｐｏｉｎｔ  Ｆｉｒｅｗａｌｌ−１及びＣｉｓｃｏ  ＰＩＸ  Ｆｉｒｅｗａｌｌのルール・ベースにアクセスして、それらをローカル・コピーにインポートする。ルール分析モジュールは、重要なルールを処理し、モバイル・セキュリティ・システム３４５のそのまま使用できるルール及びポリシーを提示する。この提案されたポリシーは、エンタープライズ３４０のファイアウォール・ポリシーに準拠するルールの最良適合をすべてのモバイル・セキュリティ・システム３４５に提示する。エージェントは定期的に実行して変更を反映し、モバイル・セキュリティ・システム３４５ポリシー５３５の更新を生成する。ＬＤＡＰ及びＡｃｔｉｖｅ  Ｄｉｒｅｃｔｏｒｙは、エンタープライズのディレクトリ定義に応答するモバイル・セキュリティ・システム３４５のセキュリティ・ポリシー５３５を保持するために、ディレクトリ・サービスと統合されてもよい。たとえば、ＬＤＡＰユーザＧｒｏｕｐ「Ｇ」の企業ポリシーは、「Ｇ」グループのすべてのモバイル・セキュリティ・システム３４５に自動的に伝搬させることができる。モバイル・セキュリティ・システム３４５のローカル・ログ及び監査証跡は、ロギング及びレポーティング・ポリシーに従って、セキュリティ・アドミニストレータ３２５に格納されている中央ログに送信される。Ｗｅｂインターフェイスを使用して、ＩＴは、すべてのモバイル・デバイス３１０のユーザ、そのインターネット経験、及び感染したデバイスをエンタープライズ３４０に戻そうとする試行に関連するレポートや監査ビューを生成することができる。ＩＴは、ＳＹＳＬＯＧやＳＮＭＰトラップを介して、イベントやログ・レコードをレガシー管理システムに転送することができるようになる。
【００４０】
セキュリティ・エンジン５３０は、重み付きリスク分析を実行することができる。たとえば、セキュリティ・エンジン５３０は、インターネット３３０から到着するトラフィックを含む、ＨＴＴＰ、ＦＴＰ、ＳＭＴＰ、ＰＯＰ３、ＩＭ、Ｐ２Ｐなどを分析する。セキュリティ・エンジン５３０は、すべてのオブジェクトの重りとランクを、そのタイプ、複雑さ、機能の豊富さ、オブジェクトのソースなどに基づいて割り当てる。セキュリティ・エンジン５３０は、既知の危険なソース又は既知の安全なソースのリストを使用して、ソースに基づいて重みを割り当てる。セキュリティ・エンジン５３０は、たとえば、ギャンブルのソース、アダルト・コンテンツのソース、ニュースのソース、評判の高い企業のソース、銀行業務のソースなど、ソースのカテゴリに基づいてオブジェクトに重みを割り当てることができる。セキュリティ・エンジン５３０は、重みを計算し、結果に基づいて、コンテンツへのアクセスを許可するか許可しないかどうか、スクリプトを実行するかどうか、システム変更を行うかどうか、などを決定することができる。セキュリティ・エンジン５３０は、（所定の期間にわたりユーザがアクセスする一般的コンテンツを分析することにより）ユーザ・コンテンツを「学習」することができ、それに応じてパーソナル・コンテンツ・プロファイルを作成することができる。パーソナル・コンテンツ・プロファイルは、ランタイム分析中にコンテンツに割り当てられた重みを調整して、精度を高め、重み付きリスク分析を特定のユーザ特性に合わせるために使用されてもよい。
【００４１】
いくつかの実施形態において、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、セキュリティ・データ５４０は、モバイル・セキュリティ・システム３４５のバイパスを可能にすることができる。セキュリティ・アドミニストレータ３２５によって設定されたセキュリティ・ポリシー５３５は、信頼できるエンタープライズ３４０の外部にあるとき、モバイル・セキュリティ・システム３２５を通じてネットワーク接続を強制するために特殊属性を含む。したがって、この属性が「オン」に設定されている場合、モバイル・セキュリティ・システム３４５を使用せず、信頼できるエンタープライズ３４０内からではなく、モバイル・デバイス３１０をインターネット３３０に接続しようと試みるとき、ＬＡＮ接続、ＵＳＢ−ｎｅｔ、モデム、ブルートゥース、ＷｉＦｉなどを含むすべてのデータ転送接続は閉じられる。モバイル・デバイス３１０は、完全に分離され、インターネット３３０を含むあらゆるネットワークに接続することができなくなる。
【００４２】
１つの実施形態において、これを可能にするために、たとえば（電力とＵＳＢの接続作成のために）ＵＳＢケーブルを使用して最初にモバイル・セキュリティ・システム３４５をモバイル・デバイス３１０に接続するとき、ＵＳＢプラグ・アンド・プレイ・デバイス・ドライバがモバイル・デバイス３１０に送信される。インストールされるドライバは、モバイル・セキュリティ・システム３４５のＵＳＢ−ｎｅｔ接続を可能にする「Ｌｉｎｕｘ．ｉｎｆ」であってもよい。この接続により、モバイル・セキュリティ・システム３４５は、ＵＳＢポートを介して、モバイル・デバイス３１０のネットワーク接続に加えて追加のコード（「接続クライアント」）を使用して、インターネット３３０にアクセスすることができるようになる。Ｗｉｎｄｏｗｓ（登録商標）の例において、接続クライアントは、図６に示されるすべてのネットワーク接続のあらゆるネットワーク・インターフェイス・カードの上のモバイル・デバイス３１０のＮＤＩＳレベルにおいてインストールされてもよい。実装形態は、ＮＤＩＳ  Ｉｎｔｅｒｍｅｄｉａｔｅ（ＩＭ）Ｄｒｉｖｅｒ又はＮＤＩＳ−Ｈｏｏｋｉｎｇ  Ｆｉｌｔｅｒ  Ｄｒｉｖｅｒとなる。いずれの実装形態も、エンド・ユーザがこれを停止又は削除することができないように、カーネル・レベルで行われる。モバイル・デバイス３１０を起動するとき、接続クライアントは、信頼できるエンタープライズ３４０内でローカルにセキュリティ・アドミニストレータ３２５又はネットワーク・セキュリティ・システム３２０に接続しようと試みることができる。ノードが検出されない場合（ＶＰＮを介しての検出はローカルＬＡＮでは非存在と見なされる）、接続クライアントは、それが信頼できるエンタープライズ３４０の外部から働きかけていると仮定し、たとえばＵＳＢ−ｎｅｔ又は他の接続機構を介して接続されるモバイル・セキュリティ・システム３４５を検出することを期待する。モバイル・セキュリティ・システム３４５が検出されない場合、接続クライアントは、あらゆるネットワーク接続への通信を回避することができる。ポリシー定義により、この振る舞いは、モバイル・デバイス３１０にインストールされているＶＰＮを介してエンタープライズ３４０への通信を可能にするように変更されてもよい。同様に、モバイル・デバイス・システム３４５に障害が発生した場合、エンタープライズ３４０へのＶＰＮ接続を除き、すべてのトラフィックは使用不可にすることができる。
【００４３】
ＮＤＩＳはカーネル・レベルでトラフィックをインターセプトする１つの可能な実装形態であることが理解されよう。たとえば、もう１つの実施形態において、システムは、Ｗｉｎｓｏｃｋにフックするか、又は今後のＷｉｎｄｏｗｓバージョンに備えられる他の様式を適用することができる。
【００４４】
モバイル・セキュリティ・システム３４５が複数のモバイル・デバイス３１０をサポートする１つの実施形態において、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、セキュリティ・データ５４０は、（たとえば、ユーザ基本設定又はＩＴの決定などに基づいて）モバイル・デバイス３１０ごとに異なっていてもよい。代替として、これは、すべての接続されているデバイス３１０に対して同じエンジン５３０、ポリシー５３５、データ５４０を適用することができる。
【００４５】
遠隔管理モジュール５５０は、セキュリティ・アドミニストレータ３２５（及び／又は他のセキュリティ・アドミニストレータ）との通信を可能にし、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、シグニチャを含むセキュリティ・データ５４０、その他のアプリケーションのローカル更新を可能にする。１つの実施形態において、セキュリティ・ポリシー５３５とデータ５４０の変更は、セキュリティ・アドミニストレータ３２５によってのみ行うことができる。モバイル・セキュリティ・システム３４５の遠隔管理モジュール５５０は、たとえばセキュアな接続を介してセキュリティ・アドミニストレータ３２５上で、更新権限デバイス（ＵＡＤ）から更新を受信することができる。ＵＡＤは、インターネット３３０に位置するカスタマＩＴセンターにおいて更新サーバで稼働して、更新の管理を担当するエンタープライズ５４０におそらくは属していないモバイル・セキュリティ・システム３４５に更新を転送することができる。ＵＡＤは、モバイル・セキュリティ・システム３４５で稼働することができる。セキュリティ・エンジン５３０の更新は、アンチウィルス・エンジンＤＬＬなどを変更する。ＯＳ及びセキュリティ・アプリケーションの更新は、セキュリティ・アドミニストレータ３２５に接続中、及び暗号化された認証済みの接続を介して、エンタープライズ５４０内からのみ実施することができる。
【００４６】
セキュリティ・アドミニストレータ３２５は、移動中のユーザの遠隔サポート用のＵＲＬの白黒リストを変更することができる。偽陽性の場合、セキュリティ・アドミニストレータ３２５は、事前対応のヒューリスティック・セキュリティをバイパスしながらも引き続きファイアウォール、アンチウィルス、ＩＰＳ／ＩＤＳなどにより監視することによって、特定のＵＲＬへのアクセスを許可することができる。追加の遠隔デバイス管理機能は、セキュリティ・アドミニストレータ３２５がモバイル・セキュリティ・システム３４５上で遠隔診断の実行、ローカル・ログへのアクセス、構成パラメータの変更などを行えるようにすることができる。セキュリティ・アドミニストレータ３２５は、タスクをサポートのためにヘルプデスクに委任することができる。
【００４７】
遠隔管理モジュール５５０は、ウィザード（たとえば、ウィザード７４５）と通信することができるが、これは図７に示されるセキュリティ・アドミニストレータ３２５又は別のシステムにあってもよい。ウィザード７４５の詳細や、遠隔管理モジュール５５０とウィザード７４５との間の通信方式の詳細については、図７を参照して以下で説明される。
【００４８】
配布モジュール５５５は、モバイル・セキュリティ・システム３４５からＮ個の他のモバイル・セキュリティ・システム３４５によって、たとえば、ルール更新を含むセキュリティ・ポリシー５３５更新、シグニチャ更新を含むセキュリティ・データ５４０更新、セキュリティ・エンジン５３０更新、アプリケーション／ＯＳ更新など、更新の配布を可能にする。更新の転送先となるＮ個の他のモバイル・セキュリティ・システム３４５を識別するルーティング・テーブルは、システム３４５どうしの間の通信を可能にするために配布モジュール５５５に提供されてもよい。更新は、セキュリティ・アドミニストレータ３２５によって設定されるポリシーに従って実施されてもよい。更新を転送する場合、配布モジュール５５５はＵＡＤとしての機能を果たす。
【００４９】
各モバイル・セキュリティ・システム３４５は、セキュリティ情報の更新と共に、定期的に、所定の時間に、ログイン時などに、そのルーティング・テーブルを取得することができる。ルーティング・テーブルは、たとえばセキュリティ・アドミニストレータ３２５又は別のモバイル・セキュリティ・システム３４５など、サーバ上で保持されてもよい。１つの実施形態において、モバイル・セキュリティ・システム３４５は、ルーティング・テーブルを取り出すためにサーバと連絡を取ることができる。代替として、サーバは、ルーティング・テーブルをモバイル・セキュリティ・システム３４５にプッシュすることができる。
【００５０】
配布モジュール５５５は、図９に示されるように、迅速な更新を可能にすることができる。現在、使用可能なすべての市販のアンチウィルス製品は、ウィルスの拡散を上回る速さでデバイスの更新を行うことはない。新しいウィルス攻撃が、たとえばシグニチャ更新よりも迅速に拡散しないことを確実にするため、各モバイル・セキュリティ・システム３４５はアクティブなＵＡＤであってもよい。１つの実施形態において、図９に示されるように、各モバイル・セキュリティ・システム３４５はシグニチャ更新を４つの他のデバイス３４５に転送する責任を負っている。当業者であれば、すべてのデバイス３４５が他の同数のデバイス３４５に転送する必要はないことを理解するであろう。複数のデバイス３４５は、同じデバイス３４５に転送する責任を負っている。必要に応じて、アクティブ化されるオフラインのデバイス３４５は、ルーティング・テーブル更新のために、たとえばセキュリティ・アドミニストレータ３２５などのサーバをポーリングする。その他の多くの更新技法もまた可能である。
【００５１】
バックアップ・モジュール５６０は、モバイル・デバイス３１０のブート・セクタとシステム・ファイルのイメージと変更を、フラッシュ・メモリ５２０又は別の永続メモリ・デバイスに常時バックアップする。そのように、モバイル・デバイス３１０のシステム又はブート・セクタの損失を含む重大な障害が発生した場合、モバイル・セキュリティ・システム３４５はリブート中にＣＤ−ＲＯＭとして識別され、バックアップ・モジュール（又は別個のプログラム）を起動してモバイル・デバイス３１０上のブート・セクタ及びシステム・ファイルを復元し、それによりＩＴサポートを必要とすることなくモバイル・デバイス３１０を回復させることができる。ネットワーク・セキュリティ・システム３４５が複数のモバイル・デバイス３１０をサポートする１つの実施形態において、バックアップ・モジュール５６０は、異なっている場合、モバイル・デバイス３１０ごとに別個のブート・セクタ及びシステム・ファイルを含む。
【００５２】
図７は、本発明の実施形態によるスマート・ポリシー更新システム７００の詳細を示すブロック図である。システム７００は、ネットワーク・セキュリティ・システム３２０を含み、かつモバイル・セキュリティ・システム３４５に結合されているセキュリティ・アドミニストレータ３２５を含む。ネットワーク・セキュリティ・システム３２０は、アンチウィルス・エンジン７１５、ＩＰＳ／ＩＤＳエンジン７２０、ファイアウォール・エンジン７２５、その他のセキュリティ・エンジンを含むセキュリティ・エンジン７０５を含む。ネットワーク・セキュリティ・システム３２０はまた、アンチウィルス・ポリシーとデータ７３０、ＩＰＳ／ＩＤＳポリシーとデータ７３５、ファイアウォール・ポリシーとデータ７４０、その他のポリシーとデータを含むセキュリティ・ポリシーとデータ７１０を含む。同様に、モバイル・セキュリティ・システム３４５は、アンチウィルス・エンジン７５５、ＩＰＳ／ＩＤＳエンジン７６０、ファイアウォール・エンジン７６５、その他のセキュリティ・エンジンを含む。モバイル・セキュリティ・システム３４５はまた、アンチウィルスセキュリティ・ポリシーとデータ７７０、ＩＰＳ／ＩＤＳセキュリティ・ポリシーとデータ７７５、ファイアウォール・セキュリティ・ポリシーとデータ７８０、その他のセキュリティ・ポリシーとデータを含むセキュリティ・ポリシーとデータ５３５／５４０を含む。
【００５３】
セキュリティ・アドミニストレータ３２５は、モバイル・セキュリティ・システム３４５でのセキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、及びセキュリティ・データ５４０の実質的に自動の初期及び場合によっては動的なセットアップを可能にするためのウィザード７４５を含む。１つの実施形態において、ウィザード７４５は、ネットワーク・セキュリティ・システム３２０のすべてのセキュリティ・エンジン７０５とポリシーとデータ７１０とを、モバイル・セキュリティ・システム３４５上のセキュリティ・エンジン５３０とポリシーとデータ５３５／５４０として自動的にロードすることができる。もう１つの実施形態において、ウィザード７４５は、たとえば、会計によって使用される請求書作成ソフトウェアに関連するもの、Ｗｅｂサーバでのみ稼働するＷｅｂソフトウェアに関連するものなど、無関係であることが分かっているものを除き、すべてのセキュリティ・エンジン７０５を含み、かつポリシーとデータ７１０を含む。もう１つの実施形態において、エンジン５３０は、ＩＴマネージャによってロードされる必要があり、ウィザード７４５によって自動的にはロードされない。
【００５４】
１つの実施形態において、ウィザード７４５は、モバイル・セキュリティ・システム３４５が、たとえばアンチウィルス・エンジン７５５、ＩＰＳ／ＩＤＳエンジン７６０、ファイアウォール・エンジン７６５など、特定のセキュリティ・エンジン５３０を必要とするかどうかを判別する。必要とされる場合、ウィザード７４５は、エンジン５３０をモバイル・セキュリティ・システム３４５にロードする。次いで、ウィザード７４５は、たとえばアンチウィルス・エンジン７５５用のもの、ＩＰＳ／ＩＤＳエンジン７６０用のもの、ファイアウォール・エンジン７６５用のものなど、どのポリシーとデータのセットがモバイル・セキュリティ・システム３４５にとって重要であるかを判別する。次いで、ウィザード７４５は、ネットワーク・セキュリティ・システム３２０のどのアンチウィルス・ポリシーとデータ７３０がモバイル・セキュリティ・システム３４５上のアンチウィルス・ポリシーとデータ７７０に関連するか、ネットワーク・セキュリティ・システム３２０のどのＩＰＳ／ＩＤＳポリシーとデータ７３５がモバイル・セキュリティ・システム３４５上のＩＰＳ／ＩＤＳポリシーとデータ７７５と関連するか、ネットワーク・セキュリティ・システム３２０のどのファイアウォール・ポリシーとデータ７３０がモバイル・セキュリティ・システム３４５上のファイアウォール・ポリシーとデータ７８０と関連するか、ネットワーク・セキュリティ・システム３２０のその他のどのポリシーとデータがモバイル・セキュリティ・システム３４５上のポリシーとデータに関連するかを判別する。前述のように、ウィザード７４５は、すべてのセキュリティ・エンジン７０５又はサブセットのみがモバイル・セキュリティ・システム３４５で必要とされているかどうかを判別することができる。ウィザード７４５は、所与のエンジン・タイプのすべてのポリシーとデータ７１０又はサブセットのみが転送されるべきかどうかを判別する。ウィザード７４５は、セットアップ手順中の項目別の選択に基づき、ＩＴマネージャによって作成されたルールなどに基づいて、どの関連ポリシーとデータ７１０がモバイル・セキュリティ・システム３４５に転送されるべきであるかを判別する。ウィザード７４５の代替として、ＩＴマネージャは、ウィザード７４５を使用せずにモバイル・セキュリティ・システム３４５のエンジン５３０及びポリシーとデータ５３５／５４０をセットアップする。
【００５５】
セキュリティ・アドミニストレータ３２５はまた、更新権限デバイス７５０を含むことができる。更新権限デバイス７５０は、セキュリティ・システム更新（たとえば、シグニチャ更新）を取得することができ、更新をネットワーク・セキュリティ・システム３２０とモバイル・セキュリティ・システム３４５とに送信する。ネットワーク・セキュリティ・システム３２０への更新と、モバイル・セキュリティ・システム３４５への更新は同じである必要はないことを、当業者であれば理解するであろう。さらに、更新権限デバイス７５０は、セキュリティ・マネージャ、セキュリティ・エンジン開発者、アンチウィルススペシャリストなどから更新を取得することができる。更新権限デバイス７５０は、更新をすべてのネットワーク・セキュリティ・システム３２０やすべてのモバイル・セキュリティ・システム３４５に転送するか、又はルーティング・テーブルをすべてのモバイル・セキュリティ・システム３４５に転送して更新をモバイル・セキュリティ・システム３４５の初期セットにのみ転送する。モバイル・セキュリティ・システム３４５の初期セットは、図９に示されるプロセスと類似した、Ｐ２Ｐの様式でルーティング・テーブルの識別されているモバイル・セキュリティ・システム３４５に更新を転送することができる。前述のように、更新を転送するように動作する各モバイル・セキュリティ・システム３４５は、自ら更新権限デバイス７５０の機能を果たしている。
【００５６】
その他のアプリケーションは、モバイル・セキュリティ・システム３４５に含まれてもよい。たとえば、既存の顧客からの経常収益用のアド・オン・アプリケーションは、汎用電子メール、アンチスパム、直接かつセキュアな電子メール配信、情報ボールト、安全なスカイプ、その他のインスタント・メッセージング・サービスなどを含むことができる。
【００５７】
・  電子メール・セキュリティ及びアンチスパム−メールの実施はモバイル・セキュリティ・システム３４５（上記のＷｅｂセキュリティ・エンジンを含む）に依存し、ローカル・スパム検疫（ＳｅｎｄＭａｉｌ又は同様のプロセスに基づく）はリアルタイム索引付け（オンラインＷｅｂスパム源泉を介する）を備えるアンチスパムを含む完全なメール・セキュリティ・スイート（ＳＭＴＰ及びＰＯＰ３）を実施することができる。ユーザは、Ｗｅｂインターフェイスを介して、スパム・メッセージを検討し、メッセージをリリースし、カスタム・スパム・ルールを変更するなどのために検疫にアクセスする。
【００５８】
・  メール中継に基づく直接のセキュアな電子メール配信により、モバイル・セキュリティ・システム３４５は、ルート・メール・サーバを使用せずに、あるモバイル・セキュリティ・システム３４５から別のモバイル・セキュリティ・システム３４５へ直接ユーザ電子メールを送信できる。これにより、企業ユーザは、インターネットを移動する必要のない電子メールを送信することができるので、経路内のさまざまな不明なメール・サーバ上に痕跡や複製を残すことができる。これは、２つのモバイル・セキュリティ・システム間のセキュアなパイプを使用する能力と相まって、企業にとって貴重である。そのような方法論がなくても、人々は、メッセージを配信するために使用された中間メール・サーバのコピーを徹底的に調べることにより、エンタープライズのメール・サーバにアクセスせずに電子メール交換を追跡することができる。
【００５９】
・  情報ボールト−モバイル・セキュリティ・システム３４５にエンド・ユーザ情報を暗号化して格納するアプリケーションは、あらゆるモバイル・セキュリティ・システム３４５で実施されたＷｅｂインターフェイス及びＷｅｂサーバ（たとえば、ＢＯＡ、Ａｐａｃｈｅなど）を介して許可されたユーザのみに使用可能にする。
【００６０】
・  安全なスカイプ及びその他のＩＭ−モバイル・セキュリティ・システム３４５へのインスタント・メッセージング・クライアントの実装は、インスタント・メッセージング・システム又はＰ２Ｐアプリケーションがモバイル・デバイス３１０上のデータにアクセスしないことを保証することができる。ＡＣ／９７のチップセットを追加してモバイル・セキュリティ・システム３２５のサウンド・インターフェイスを提供することで、ユーザは、モバイル・セキュリティ・システム３２５との間で直接対話してコールを受けることができる。
【００６１】
図示されていないが、小型のバッテリが、モバイル・セキュリティ・システム３４５に付属している。このバッテリは、実行時に、又はいつでも電源アダプタを使用して、ＵＳＢ接続により充電される。バッテリは、たとえばユーザがＵＳＢケーブルをモバイル・セキュリティ・システム３４５から取り外したときなどに、適正なシャットダウンを保証することができる。それは、アプリケーションやシステムのシャットダウンを開始するシステムによって信号で伝えられる。これは、ファイル・システムの適切な状態と、オープン・ファイル・バッファのフラッシュとを確実にする。
【００６２】
多重階層の防御及び検知能力が必要とされる。これは、さまざまなシステム（アンチウィルス、ＩＤＳ／ＩＰＳ、ファイアウォール、アンチスパイウェア、ＵＲＬカテゴリなど）により、さまざまなレベルにおいて、スキャン結果を常時監視して、たとえ個別のサブシステムの各々には認識されなかったとしても、問題を提起して攻撃を識別する特殊なコードによって行うことができる。これを行うことにより、モバイル・セキュリティ・システム３４５は、エンタープライズ５４０内に提供されたセキュリティ・レベルを保持し、また場合によってはセキュリティ・レベルを向上させることができる。
【００６３】
モバイル・セキュリティ・システム３４５の１つの使用可能な利点は、移動中又は在宅勤務の間、エンド・ユーザでエンタープライズ５４０のポリシーを実施できるその能力である。モバイル・セキュリティ・システム３４５は、エンタープライズ５４０内から接続される場合と類似したセキュリティ・エンジンやセキュリティ・ポリシーを使用するので、またエンド・ユーザは（エンタープライズ５４０へのＶＰＮ接続経由の場合を除いて）モバイル・セキュリティ・システム３４５を使用せずにインターネット３３０にアクセスすることができないので、ＩＴはそのセキュリティ・ポリシーをエンタープライズ５４０の境界を越えて実施することができる。ＯＳは、ＩＴの全面的な監視の下にあるが、モバイル・セキュリティ・システム３４５のＯＳは、その制御の下でエンド・ユーザＯＳとしての機能を果たす。このことは、制御側と制御対象、及びいかにしてセキュリティと生産性が最小限の妥協に達するかという問題を解決する。
【００６４】
モバイル・セキュリティ・システム３４５のスタンドアロン・バージョンは、同様の機能を提示することができ、Ｗｅｂブラウザを介してローカル管理インターフェイスを提供することができる。ＩＴ部門がないホーム・ユーザや中小規模オフィスにとって魅力的な、モバイル・セキュリティ・システム３４５により、エンド・ユーザは、ブラウザを起動し、モバイル・セキュリティ・システム３４５に接続して、白黒ＵＲＬリストの変更などを含むさまざまなポリシー（更新ポリシー、セキュリティ・ルールなど）を設定することができる。さらに、加入によりモバイル・セキュリティ・システム３４５の遠隔管理のサービスをエンド・ユーザに提供する機会もある。
【００６５】
図１０Ａ、１０Ｂ、１０Ｃは、本発明のさまざまな実施形態による、モバイル・セキュリティ・システム３４５をモバイル・デバイス３１０に接続するための３つのアーキテクチャの例を示す。図１０Ａにおいて、モバイル・デバイス３１０は、ＵＳＢ接続１０１５と１０２０を介してモバイル・セキュリティ・システム３４５に結合され、ＮＩＣカード１００５を介してインターネット３３０に結合されている。モバイル・デバイス３１０は、そのＮＩＣカード１００５を介してインターネット３３０からインターネット・トラフィックを受信する。モバイル・デバイス３１０上のカーネル・レベル・リダイレクタ１０１０（たとえば、ＮＤＩＳ、Ｗｉｎｓｏｃｋなどを経由）は、ＵＳＢ接続１０１５、１０２０を介してインターネット・トラフィックをモバイル・セキュリティ・システム３４５に自動的にリダイレクトするが、これはスキャンと除去を行って、クリーンなインターネット・トラフィックをＵＳＢ接続１０１５、１０２０経由でモバイル・デバイス３１０に返す。図１０Ｂにおいて、モバイル・デバイス３１０は、ＵＳＢ接続１０２５、１０３０を介してモバイル・セキュリティ・システム３４５に結合されている。モバイル・セキュリティ・システム３４５は、インターネット３３０からインターネット・トラフィックを受信するためのＮＩＣカード１０３５を含む。モバイル・セキュリティ・システム３４５は、スキャンと除去を行って、インターネット・トラフィックをＵＳＢ接続１０２５、１０３０経由でモバイル・デバイス３１０に転送する。図１０Ｃにおいて、モバイル・デバイス３１０は、ＮＩＣカード１０４０、１０４５を介してモバイル・セキュリティ・システム３４５に結合されている。モバイル・セキュリティ・システム３４５は、そのＮＩＣカード１０４５を介してインターネット３３０からインターネット・トラフィックを受信する。モバイル・セキュリティ・システム３４５は、スキャンと除去を行って、インターネット・トラフィックをＮＩＣカード１０４０、１０４５経由で無線でモバイル・デバイス３１０に転送する。その他の接続アーキテクチャもまた可能である。
【００６６】
本発明の好ましい実施形態の上記の説明は、例示のみを目的としており、前述の教示に照らして、前述の実施形態及び方法のその他の変形及び変更が可能である。ネットワーク・サイトは別個の異なるサイトとして説明されているが、これらのサイトは総合的なサイトの一部であってもよく、各々が複数のサイトの部分を含むか、又は単一及び複数のサイトの組合せを含むことができることを当業者であれば理解するであろう。本明細書に示されるさまざまな実施形態は、ハードウェア、ソフトウェア、又はそれらの任意の所望の組合せを使用して実施することができる。それに関しては、本明細書に示されるさまざまな機能を実施することができる論理の任意のタイプが使用されてもよい。コンポーネントは、プログラムされた汎用デジタル・コンピュータを使用して実施されても、特定用途向け集積回路を使用して実施されても、又は相互接続された従来のコンポーネント及び回路のネットワークを使用して実施されてもよい。接続は、有線、無線、モデムなどであってもよい。本明細書に説明される実施形態は、包括的又は限定的であることを意図していない。本発明は、添付の特許請求の範囲によってのみ限定される。
【図面の簡単な説明】
【００６７】
【図１】第１の状態における従来技術のネットワーク・システムを示すブロック図である。
【図２】第２の状態における従来技術のネットワーク・システムを示すブロック図である。
【図３】本発明の実施形態によるネットワーク・システムを示すブロック図である。
【図４】本発明の実施形態によるコンピュータ・システムの詳細を示すブロック図である。
【図５】本発明の実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図６】Ｍｉｃｒｏｓｏｆｔ  Ｗｉｎｄｏｗｓの実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図７】本発明の実施形態によるスマート・ポリシー更新システムの詳細を示すブロック図である。
【図８】ＯＳＩ層に関連してネットワーク・セキュリティ対策の詳細を示すブロック図である。
【図９】モバイル・セキュリティ・システムにセキュリティ・コードを拡散するための通信技法の詳細を示すブロック図である。
【図１０】本発明のさまざまな実施形態による、モバイル・デバイスをモバイル・セキュリティ・システムに接続するためのさまざまなアーキテクチャを示すブロック図である。
【図１】
2009523331.tif 000004
【図２】
2009523331.tif 000005
【図３】
2009523331.tif 000006
【図４】
2009523331.tif 000007
【図５】
2009523331.tif 000008
【図６】
2009523331.tif 000009
【図７】
2009523331.tif 000010
【図８】
2009523331.tif 000011
【図９】
2009523331.tif 000012
【図１０】
2009523331.tif 000013
【手続補正書】
【提出日】平成20年8月14日(2008.8.14)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】００３４
【補正方法】変更
【補正の内容】
【００３４】
モバイル・セキュリティ・システム３４５上のメモリ（メモリ５１０及びプリブート・フラッシュ５２０を含む）は、ゾーンに分割することができる。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００６７
【補正方法】変更
【補正の内容】
【００６７】
【図１】第１の状態における従来技術のネットワーク・システムを示すブロック図である。
【図２】第２の状態における従来技術のネットワーク・システムを示すブロック図である。
【図３】本発明の実施形態によるネットワーク・システムを示すブロック図である。
【図４】本発明の実施形態によるコンピュータ・システムの詳細を示すブロック図である。
【図５】本発明の実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図６】Ｍｉｃｒｏｓｏｆｔ  Ｗｉｎｄｏｗｓの実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図７】本発明の実施形態によるスマート・ポリシー更新システムの詳細を示すブロック図である。
【図８】ＯＳＩ層に関連してネットワーク・セキュリティ対策の詳細を示すブロック図である。
【図９】モバイル・セキュリティ・システムにセキュリティ・コードを拡散するための通信技法の詳細を示すブロック図である。
【図１０】本発明のさまざまな実施形態による、モバイル・デバイスをモバイル・セキュリティ・システムに接続するためのさまざまなアーキテクチャを示すブロック図である。
【図１１】本発明実施形態によるモバイル・セキュリティ・システム上のメモリのゾーンを示すブロック・ダイヤグラム。
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】図１１
【補正方法】追加
【補正の内容】
【図１１】
2009523331.tif 000014