(57)【要約】  ネットワークアクセス制御のための方針の選択を援助するための、ネットワーク環境を検出するための方法及び装置を記載する。方法の実施例は、ネットワークに装置を接続する要求を受け取ることを含む。その装置の接続について、安全性の方針を受け取った場合は、方法の実施例は、その方針をその装置について適用することを含む。その装置の接続についての安全性の方針を受け取っていない場合は、その装置のドメインは、その装置が企業のドメインにいるかどうかを判断すること、及び、その装置がネットワークアクセス制御ドメインにいるかどうかを判断することにより、判断される。これにより、適切なドメイン／環境に特有な方針の選択ができる。
2009540476.tif 000002
【特許請求の範囲】
【請求項１】
装置をネットワークに接続する要求を受け取ること；
前記装置の前記接続に関して安全性の方針を受け取った場合には、前記方針を前記装置に適用すること；並びに
前記装置の前記接続に関して安全性の方針を受け取らなかった場合には：
前記装置が企業ドメインの内部にあるか否かを判断すること；及び
前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断すること；
によって前記装置のドメインを判断すること；
を含む方法。
【請求項２】
前記装置の前記判断したドメインの少なくとも部分に基づいて、前記装置の前記接続に関して安全性の方針を確立することを更に含む、請求項１の方法。
【請求項３】
前記ネットワークは、ネットワークアドレスの静的な割り当てを提供し、前記方法は、前記装置のネットワークアドレスを抽出することを更に含む、請求項１の方法。
【請求項４】
前記装置のドメインを前記判断することは、前記ネットワークアドレスの要素を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項３の方法。
【請求項５】
前記ネットワークは、ネットワークアドレスの動的な割り当てを提供する、請求項１の方法。
【請求項６】
前記装置からの応答が得られたか否かを判断することを更に含む、請求項５の方法。
【請求項７】
前記応答は、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）の応答を含む、請求項６の方法。
【請求項８】
前記装置からの応答が得られた場合には、前記装置が企業ドメインの内部にあるか否かを前記判断することは、ドメイン情報を前記応答から抽出することを含む、請求項６の方法。
【請求項９】
前記装置がネットワークアクセス制御ドメインの内部にあるか否かを前記判断することは、設定されたプロトコルオプションを前記応答に適用することを含む、請求項８の方法。
【請求項１０】
エージェント存在機能が利用可能であり、前記装置のドメインを前記判断することは、ネットワークアクセス制御エージェントが存在しているか否かを判断することを含む、請求項５の方法。
【請求項１１】
前記装置の前記ドメインに関するデータに、業界標準の署名方法を用いて署名すること；及び
前記データを、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）の応答の部分として伝えること；
を更に含む、請求項１の方法。
【請求項１２】
ネットワークアクセス制御区画及びネットワーク管理区画を含むネットワーク安全性装置、
ここで、前記ネットワークアクセス制御区画は、ネットワークへの接続を試みる装置の基盤を識別し、前記基盤を前記識別することは：
前記装置が企業ドメインの内部に含まれているか否かを判断すること；及び
前記装置がネットワークアクセス制御ドメインの内部に含まれているか否かを判断すること；
を含み、
かつ、前記ネットワーク管理区画は、前記装置の前記基盤を前記識別することに少なくとも部分的に基づいて、前記ネットワークへの前記装置のアクセスを制御する。
【請求項１３】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスの静的な割り当てを利用し、前記ネットワークアクセス制御区画による、前記装置の前記基盤を前記識別することは、前記装置のアドレスの要素を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項１２のネットワーク安全性装置。
【請求項１４】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスの動的な割り当てを利用し、前記ネットワークアクセス制御区画による、前記装置の前記基盤を前記識別することは、前記装置の応答からデータを抽出することを含む、請求項１２のネットワーク安全性装置。
【請求項１５】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスの動的な割り当てを利用し、前記ネットワークアクセス制御区画による、前記装置の前記基盤を前記識別することは、ネットワークアクセス制御エージェントが存在しているか否かを判断するために、存在機能を用いることを含む、請求項１２のネットワーク安全性装置。
【請求項１６】
装置に関してネットワークアクセスを判断する、ネットワークのための、ネットワークアクセス制御部；
前記ネットワークアクセス制御部に規則遵守ベクターを提供する信用サーバー；及び
装置の接続要求を前記ネットワークアクセス制御部に向ける経路制御器、ここで前記装置はネットワーク管理システムを使用可能である；
を含むシステム、ここで前記ネットワークアクセス制御部は、前記装置のドメインを判断するために、前記装置に関するデータを取得し、前記データは：
前記装置が企業ドメインの内部に含まれているか否か；及び
前記装置がネットワークアクセス制御ドメインの内部に含まれているか否か；
を含む。
【請求項１７】
前記ネットワーク管理システムは、前記装置による前記ネットワークへのアクセスのための方針を強制する、請求項１６のシステム。
【請求項１８】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）のアドレスの静的な割り当てを利用し、前記装置のドメインを前記判断することは、前記装置の前記アドレスの少なくとも部分を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項１６のシステム。
【請求項１９】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）のアドレスの動的な割り当てを利用する、請求項１６のシステム。
【請求項２０】
前記装置のドメインを前記判断することは、前記装置の応答を受け取ることと、前記応答から前記装置の前記ドメインを抽出することとを含む、請求項１９のシステム。
【請求項２１】
前記装置のドメインを前記判断することは、ネットワークアクセス制御エージェントの存在を判断するために、存在機能を用いることを含む、請求項１９のシステム。
【請求項２２】
前記装置の前記ドメインに関する前記データは、業界標準の署名方法を用いて署名されており、かつ、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）の応答の部分として伝えられる、請求項１６のシステム。
【請求項２３】
諸命令の列を表すデータを内部に格納して有する機械可読媒体、ここで前記諸命令を機械が実行すると、前記機械は：
装置をネットワークに接続する要求を受け取ること；
前記装置の前記接続に関して安全性の方針を受け取った場合には、前記方針を前記装置に適用すること；並びに
前記装置の前記接続に関して安全性の方針を受け取らなかった場合には：
前記装置が企業ドメインの内部にあるか否かを判断すること；及び
前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断すること；
によって前記装置のドメインを判断すること；
を含む操作を遂行する。
【請求項２４】
諸命令を更に含み、前記諸命令を前記機械が実行すると、前記機械は：
前記装置の前記判断したドメインの少なくとも部分に基づいて、前記装置の前記接続に関して安全性の方針を確立すること；
を含む操作を遂行する、請求項２３の媒体。
【請求項２５】
前記ネットワークは、ネットワークアドレスの静的な割り当てを提供し、並びに、前記装置が企業ドメインの内部にあるか否かを前記判断すること及び前記装置がネットワークアクセス制御ドメインの内部にあるか否かを前記判断することは、前記装置の前記ネットワークアドレスの要素を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項２３の媒体。
【請求項２６】
前記ネットワークは、ネットワークアドレスの動的な割り当てを提供し、前記装置のドメインを前記判断することは、前記装置からの応答からドメイン情報を抽出することを含む、請求項２３の媒体。
【請求項２７】
前記ネットワークは、ネットワークアドレスの動的な割り当てを提供し、前記装置のドメインを前記判断することは、ネットワークアクセス制御エージェントが存在しているか否かを判断することを含む、請求項２３の媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施例は、計算機の動作一般に関し、より詳細には、ネットワーク環境の検出に関する。
【背景技術】
【０００２】
計算機の動作に対するウィルスやワームの攻撃が激しくなり、またこれらのワーム類が企業ネットワークで蔓延する趨勢のため、業界では、保護されたネットワークに装置を接続する許可を与える前に、その装置の評価を要求する努力を行っている。このような努力は、標準に基づく及び独自の、問題解決の様々な場面で行われている。即ち、装置の種々の属性を測定し、そのような装置の接続を許可することに関する方針を決定し、許容範囲の承認を提供するための問題解決である。この最後の場合では、例えば、その装置がネットワークで許可されるか否か、及びどの資源がそのネットワークでアクセス可能であるはずかを示す徴表を接続点に送り返す。このような問題は、企業の情報技術部門にとって、未認可の又は不適合の装置が企業ネットワークから閉め出されていることを確証するために、特段の関心がある。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、従来のシステムでは、装置の接続の安全性に関する現在の環境が何であるかは、必ずしも明瞭ではなかった。接続の安全性の環境が利用不能であると思われる場合でも、その利用不能である理由が何であるかが判明するとは限らない。環境に関するこのような不確実性のために、その装置について、どのような動作が許可されるのが望ましいか又は望ましくないかを判断するのが、困難であるかもしれない。
【課題を解決するための手段】
【０００４】
装置をネットワークに接続する要求を受け取ること；
前記装置の前記接続に関して安全性の方針を受け取った場合には、前記方針を前記装置に適用すること；並びに
前記装置の前記接続に関して安全性の方針を受け取らなかった場合には：
前記装置が企業ドメインの内部にあるか否かを判断すること；及び
前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断すること；
によって前記装置のドメインを判断すること；
を含む方法。
【発明を実施するための最良の形態】
【０００５】
本発明は、実施例を説明する後述の記載及び添付の図面を参照することによって最も良く理解されうる。
【０００６】
ネットワークアクセス制御のための方針の選択を援助するための、ネットワーク環境を検出するための方法及び装置を記載する。
【０００７】
本願では「ネットワークアクセス制御」とは、ネットワークにアクセスすること又は接続することを求めている装置に対して、安全性の要求事項を強制する、装置、システム、又は処理過程を意味する。ネットワークアクセス制御が意図しているのは、ネットワークを安全性違反から保護すること、及び、例えばウィルス、ワーム、スパイウェア等のような悪意のあるソフトウェアを排除することである。ネットワークアクセス制御（ＮＡＣ）という用語は、ネットワークへのアクセスを求めている装置に、適切な証明書並びに追加で装置の設定及び状態を提出するように誰何する、一般的な枠組みを示す。中央の方針サーバーは、この証明書を用いて、その装置のネットワークへのアクセスを許可してもよいかを決定する。方針サーバーは、方針強制点と協働してもよい。方針強制点は、典型的にはスイッチ、経路制御器、又はゲートウェイのようなネットワーク装置であり、信用する装置をネットワークに許可し、不適合の装置をネットワークにアクセスできないようにする。装置とは例えばＰＣ（個人用計算機）、サーバー、ＰＤＡ（個人用デジタル補助装置）である。
【０００８】
本願では「ネットワーク管理」とは、ネットワーク資源の管理を提供する装置、システム、又は処理過程を意味する。ネットワーク管理という用語は、インテル（登録商標）アクティブ・マネジメント・テクノロジー（ＡＭＴ）を含むがこれに限らない。ＡＭＴは装置が動作していなくともシステムの管理能力を提供する。
【実施例】
【０００９】
本発明の実施例では、システムがネットワークの保護を助けるのは、ネットワークアクセス制御に関して基盤の状態を判断することによる。ある実施例では、システムは、ネットワークに接続することを求めている装置について現在の環境を判断する。ある実施例では、装置がネットワークに接続すると、そのアドレスのドメインが企業のドメインであるかどうかを判断し、そうであれば、そのドメインがネットワークアクセス制御の能力を含むかどうかを判断する。本発明の実施例では、システムは静的と動的の双方のＩＰ（インターネットプロトコル）アドレス割り当て方法で動作してもよい。
【００１０】
本発明の実施例では、装置の接続の安全性を含む、安全な環境の検出を行う方法及び装置を提供する。検出結果の環境は、インテル（登録商標）ＡＭＴが検出したＮＡＣの様々な形式を含んでもよいが、これに限定されない。ＮＡＣは企業のネットワークの安全性分野で次第に使われつつある枠組みである。ＮＡＣは、ネットワークの下部構造を用いて、安全性の方針に従うことを、あるネットワークに接続する装置に強制する。この技術はいくつかの認証、承認及び安全性の標準プロトコルを利用する。例えばＩＥＥＥ  ８０２．１Ｘと同様に、ＥＡＰ（拡張認証プロトコル）を含む。これは企業の主基盤で、ネットワークの要素にアクセス権を与える前に認証を行う。ＥＡＰはＰＰＰ（２点間プロトコル）における認証技術を拡張する枠組みであるが、ＩＥＥＥ  ８０２．１Ｘ（非特許文献１参照）のような異なる転送プロトコルでも容易に用いることができる。ＰＰＰはデータグラムを２点間の接続で転送するために設計された。ＥＡＰはＲＦＣ  ３７４８（非特許文献２参照）で規定されている。
【非特許文献１】ＩＥＥＥ  ８０２．１Ｘ−２００４  Ｐｏｒｔ  Ｂａｓｅｄ  Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ，  ＩＥＥＥ，  ２００４．
【非特許文献２】ＲＦＣ  ３７４８：  Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ（ＥＡＰ），  ＩＥＴＦ，  Ｊｕｌｙ  ２００４．
【００１１】
本発明の実施例では、装置の接続の安全性は、ネットワーク管理と統合している。統合したシステムを用いて、装置の接続の安全性に関する、基盤の状態を検知する。例えば、ＮＡＣ技術を、ＡＭＴと統合することにより、端点の基盤の観点からと、ネットワーク全体からとの双方で動作する、完全な企業の安全性の問題解決を構築してもよい。本発明の実施例では、装置の接続の安全性の環境（例えばＮＡＣ環境）の検出を、ＡＭＴのような、ネットワーク管理によって、実装してもよい。これにより、この二つの技術（ＮＡＣとＡＭＴ）を安全に統合し、ネットワークの方針を統合し、異なる環境における、継ぎ目の無い運用を行う。ある例では、ネットワークの方針の統合は、ＡＭＴによる「接続遮断器」方針の設定を、含んでもよい。本発明の実施例では、ホストへのＩＰアドレスの割り当てが、静的であっても動的であっても動作する、ネットワーク管理システムにより、環境を検出するための方法を提供する。
【００１２】
１つの実施例では、環境検出方法は、既存のネットワークの下部構造（例えばＤＨＣＰ（動的ホスト構成プロトコル）のサーバー）を活用して、既存のネットワーク管理への変更を最小限に抑える問題解決を提供する。ＤＨＣＰは計算機に動的にＩＰアドレスを割り当てるために用いるプロトコルである。実施例では、このプロトコルの能力を適用して、接続する装置について環境を検知する。
【００１３】
例を提示する。クライアントを、サプリカント又はアクセス要求者（ＡＲ）と呼んでもよい。典型的なＮＡＣのプロトコルによる情報交換では、ＡＲは、ネットワークへのアクセスを求めるために、企業の方針サーバーとデータを交換する。典型的には、ＡＲは、例えばＩＥＥＥ  ８０２．１ＸでＥＡＰを用いて、ネットワークアクセス装置（ＮＡＤ）に対して、ネットワーク接続を開始する。ＮＡＤは典型的にはネットワークの経路制御器又はスイッチである。ＡＲは次に、方針決定点（ＰＤＰ）に行き先を変えられてもよい。これにより、ネットワークに接続する意図を、制御チャンネル接続要求によって伝える。制御チャンネル接続要求は、最終的には、方針サーバーに回送される。方針サーバーは、ネットワークアクセスについての承認の判断を行うように備えている。この判断は管理方針又は制御プロトコルに基づく。この制御プロトコルの部分として、装置の情報（例えば装置の身元及び装置の状態）がＡＲによって伝えられる。これにより、方針サーバーは、クライアントにそのネットワークへのアクセスを許可するか否かについて、情報を得た上での判断ができる。判断がされると、その結果は通常ＮＡＤ又は方針強制点（ＰＥＰ）に渡される。ＰＥＰは、クライアント装置がそのネットワークに許可されているか否か、許可されているとしたらどのようにであるか、を制御する。
【００１４】
ＮＡＣは、企業ネットワークの安全性を保証するために、信用済みホスト基盤エージェントに依存する。１つの例では、ＡＭＴ技術を実施するシステムでは、ＮＡＣの情報交換を含む安全な情報交換のために、システム基盤上に信用の投錨点を提供する。ＡＭＴは、基盤の設定情報を収集する。これは、ホストのＯＳ（オペレーティングシステム）に依存しない方法で行う。ＡＭＴは、その情報を保証するために、その情報を秘密鍵で署名する。この秘密鍵はＡＭＴとＰＤＰとの間でＰＫＩ（公開鍵基盤）を通して関連づけられる。このようにして、ＡＭＴは、ホストの設定情報の高度な保証をＰＤＰに安全な閉じた環境の中で提供する。この安全な環境は途中では変更できないものである。
【００１５】
本発明の実施例では、ネットワークの接続性に関して、どの環境で、装置が動いているのかを、システムが検出するための方法を提供する。この環境は重要である。この環境は適用できる安全性を決定してもよいからである。適用できる安全性は、接続遮断器フィルター方針を含むがこれに限定されない。接続遮断器フィルター方針は、ＡＭＴによって、その基盤の入出力トラフィックの流れについて適用される。例えば、企業ドメインの内部で動作している移動基盤のための接続遮断器方針は、この基盤が企業ドメインの外部で動作していて、その企業ドメインにアクセスしようとしている最中に強制される接続遮断器方針とは異なることになる。例えば、企業ドメインの内部では全てのトラフィックを許可するが、外部からのアクセスはＶＰＮのトラフィックのみを許可するというように異なる。特定の実施例では、企業のＮＡＣドメインの内部で動いている基盤のための方針は、ＮＡＣドメインの外部で動いている基盤のための方針とは異なる。
【００１６】
本発明のある実施例では、システム（例えばインテル（登録商標）ＡＭＴを含むシステム）は、静的にＩＰアドレスを割り当てられる筋書きと、動的にＩＰアドレスを割り当てられる筋書きの双方について、自分の環境を発見してもよい。このシステムは、ＤＨＣＰにあるオプションを使って、動的なＩＰアドレスの筋書きで環境の検出を行ってもよい。ある算法の実施例を、ファームウェア階層の部分として実装してもよい。このファームウェア階層はＡＭＴファームウェア階層を含む。ある実施例では、この算法は、ＡＭＴ／ホストへの応答（例えばＤＨＣＰの応答）の中のドメイン名の情報を用いて、その基盤が企業ドメインの内部にあるかどうかを判断する。同様に、この算法はＤＨＣＰのオプション（これは企業のＩＴ部門がＤＨＣＰサーバーに設定できる）を用いて、その基盤が、ＮＡＣを有効にしたドメインの内部にあるかどうかを判断してもよい。更に、この情報を安全にするために、暗号署名を活用して、この環境特有データを保護してもよい。本発明のある実施例では、装置のドメインに関するデータを、いかなる業界標準の署名方法を用いて署名してもよい。このデータを署名するために用いる具体的な方法は、本開示の範囲を超える。多くの異なる算法及び技術が容易に業界で現在利用可能だからである。所与の環境を安全に検出したら、システムは、管理者が定義した方針（例えばＡＭＴの接続遮断器フィルター規則）を、この環境検出結果に基づいて、適用してもよい。本発明のある実施例では、この方法はまた、非ＮＡＣ環境にある基盤の筋書きと、基盤のＮＡＣ階層が使用不能にされている場合の筋書きとの間を、区別できる。
【００１７】
本発明の別の実施例では、システムは、エージェント存在基盤機能を含んでもよい。又は、ソフトウェアエージェント（例えばＮＡＣエージェント）がそのホスト基盤で動いているかどうかを検出するために用いることができる機能を含んでもよい。本発明の代わりの実施例では、システムはエージェント存在基盤機能を用いて、ＮＡＣエージェントがそのシステムで動いているかどうかを判断し、それによりＮＡＣ環境が存在するかどうかを判断する。
【００１８】
本発明の実施例では、静的なＩＰアドレスの筋書きの場合は、企業ドメイン用の、事前に設定されたＩＰプリフィックスのリスト及び、事前に設定されたＮＡＣドメインのＩＰプリフィックスのリストを、適用する。これらのリストは、その企業のＩＴの方針に基づいて、その企業のＩＴ部門の担当者が事前に設定する。インテル（登録商標）ＡＭＴのファームウェアの階層は、その環境及び適切な接続遮断器方針を判断するために、これらのリストに対して、静的に設定されたＩＰアドレスを確認する算法を、実装することになる。この明細書では、ネットワークアドレスのプリフィックスを参照するが、本発明のこの実施例は、プリフィックスに限定されず、アドレスのいかなる事前に設定された部分をも含んでよい。
【００１９】
本発明の実施例では、システムはプロトコルの動作（例えばＤＨＣPプロトコルのオプション）を用いて、環境の検出を提供する。本発明の実施例では、システムは、動的なＩＰアドレスの割り当て又は静的なＩＰアドレスの割り当てを提供してもよい。これを次に示す：
（Ａ）動的なＩＰアドレスの割り当てを活用するシステムでは、処理過程は次を含んでもよい：
（１）ＡＭＴ／ホストへのＤＨＣＰの応答を受信すること。及び、その応答からドメイン名の情報を抽出することにより、その基盤が企業ドメインの中にあるかどうかを判断すること。
【００２０】
（２）企業のＩＴ部門が、ＤＨＣＰサーバーでＤＨＣＰのオプションを設定することにより、その基盤がＮＡＣを使用可能にしたドメインの中にあるかどうかを判断すること。この算法は、企業のＩＴ方針に基づき接続遮断器フィルター規則を適用する。この方法は、そもそも非ＮＡＣ環境にある基盤の筋書きと、基盤のＮＡＣ階層がたまたま使用不能になっている筋書きとを区別できる。
【００２１】
更に、エージェント存在機能が基盤の機能として含まれている場合には、この機能を任意で用いて、ソフトウェアエージェント（例えばＮＡＣエージェント）がそのホスト基盤で動いているかどうかを検出してもよく、更に、そのエージェントがＮＡＣの枠組みの中で通信対話に関与しているかどうかを検出してもよい。
【００２２】
（Ｂ）静的なＩＰアドレスの割り当てを活用するシステムでは、処理過程は次を含んでもよい：
（１）プリフィックスのリストを事前に設定すること。これにより、企業ドメインのＩＰプリフィックスとＮＡＣドメインのＩＰプリフィックスを提供する。このリストは、企業のＩＴ方針に基づきＩＴ部門が設定する。
【００２３】
（２）装置の静的に設定されたＩＰアドレスを、このリストに対して確認することにより、適切な環境及び適切な接続遮断器方針であるかどうかを判断すること。この操作を例えばＡＭＴのファームウェア階層を用いて実装してもよい。
【００２４】
図１は、装置をネットワークに接続するためのネットワーク環境の検出の実施例の説明図である。図示しているのは、装置がネットワーク１０５に接続しようとしている状況である。ネットワーク１０５は、例えば、企業１１０のＬＡＮであってもよい。このネットワークはネットワークアクセス制御を提供する。これをネットワークアクセス制御モジュール１４０に示す。これにより、ネットワーク管理機能（ネットワーク管理１４５に示す）を用いて、接続しようとしている装置の安全性に対処する。しかし、適用される安全性は、企業１１０について、装置の環境に関連してもよく、ネットワークアクセス制御に関連してもよい。例えば、装置１３０は、企業１１０の内部に位置していてもよく、かつ、ネットワークアクセス制御が有効１１５であってもよい。第２の例では、装置１３５は、企業１１０の内部に位置していてもよいが、ネットワークアクセス制御が有効でない１２０場合であってもよい。最後に、装置１２５は、企業１１０の外部に位置してもよい。
【００２５】
本発明のある実施例では、ネットワーク１０５は、そのネットワークに接続を試みる装置の環境を検出する。ある実施例では、環境の検出は、静的なネットワークのアドレスの割り当てと、動的なネットワークのアドレスの割り当てとの、双方について行われてもよい。ある実施例では、環境の検出は、ネットワークアクセス制御１４０を、そのネットワークのネットワーク管理処理１４５と、共に用いて、行われる。
【００２６】
図２は、装置の環境を検出するための、ネットワークアーキテクチャーの実施例の説明図である。図示する通り、計算機システム２０２は、ネットワークに接続する装置を表してもよい。計算機システム２０２は、ＣＰＵ（中央演算処理装置）２０４（これは、いかなる数の処理装置又は処理装置核を含んでもよい）と、管理部（これはＡＭＴ２０６を含んでもよい）との双方を含む。ＣＰＵ２０４のためのＯＳ（オペレーティングシステム）２０８は、複数のＩＳＶ（独立ソフトウェア製造業者）エージェント２１０及び１つの信用エージェント２１２を含んでもよい。ＡＭＴ区画２０６はファームウェアエージェント２１４を含む。これにより管理操作を提供する。ファームウェアエージェント２１４は、接続遮断器及び発見的算法２１６を含んでもよい。信用エージェントは、計算機２０２のＴＰＭ（信用済み基盤区画）２１８と通信してもよい。計算機はネットワークと接続してもよい。これをハードウェアフィルター２２０とＭＡＣ（媒体アクセス管理）２２２経由の接続に示す。
【００２７】
計算機２０２は、ネットワークアクセス管理アーキテクチャーに向けて、経路接続してもよい。例えば、計算機２０２は、ネットワークアクセス装置２３０経由で接続してもよい。ネットワークアクセス装置２３０は、経路制御器又はスイッチであってよく、これにより、ネットワークアクセスＰＤＰ（方針決定点）２３２に接続する。ネットワークアクセスＰＤＰ２３２は、信用サーバー２３４に結合する。信用サーバー２３４は、規則遵守ベクター２３６−２３８の格納器に接続する。本発明の実施例では、ＡＭＴ２０６を、ネットワークアクセス制御と共に用いて、ネットワークに接続を試みる装置の環境を判断する。
【００２８】
図３は、静的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例を示す、流れ図である。この実施例では、電源が入ると、ネットワーク管理のＡＭＴが起動する。これが３０２である。ＮＡＣの方針を３０４で受け取ったなら、その方針を３０６で適用する。そうでなければ、その装置の静的なアドレスを用いて、その装置の環境を判断する。静的なアドレスの割り当てのためには、企業のＩＴ部門で、アドレスのプリフィックスのリストを、あらかじめ設定して用意している。接続を試みている装置のアドレスを取得して、アドレスのプリフィックスの、あらかじめ設定したリストと比べる。これが３０８である。アドレスの比較に基づいて、この装置のアドレスが、企業のドメイン内の位置を示すかどうかを判断する。これが３１０である。企業のドメイン内でなければ、適切な方針を適用する。これが、３１２に示す、企業でない／企業の外部の方針である。装置のアドレスが、企業のドメイン環境を示していると、３１０で判断されると、次に、このアドレスが、ネットワークアクセス制御（例えばＮＡＣ）ドメインを示しているかどうかを判断する。これが３１４である。このアドレスが、ネットワークアクセス制御（例えばＮＡＣ）ドメインでなければ、環境は企業の非ＮＡＣドメインということになり、例えば、省略時プロファイルに基づいて、接続遮断器を設定してもよい。これが３１６である。このアドレスが、ネットワークアクセス制御（例えばＮＡＣ）ドメインを示していた場合には、３０４で、ＮＡＣ方針を受け取れなかったことが問題である。従って、３１８で、企業ホスト違反方針を設定してもよい。
【００２９】
図４は、動的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例を示す、流れ図である。この例では、ＡＭＴ及びＮＡＣを用いる特定の実装例を示しているが、本発明の実施例は、この実装に限られるわけではない。この例では、電源が入ると、ネットワーク管理（例えばＡＭＴ）が起動する。これが電源投入段階４０２である。接続遮断器（ＣＢ）を初期化して、例えば次のようにする：ＥＡＰｏＬ（ＬＡＮ上の拡張可能認証プロトコル）、ＥＡＰｏＵＤＰ（ユーザーデータグラムプロトコル上の拡張可能認証プロトコル）、ＤＨＣＰのみを許可する。これが４０４である。ＮＡＣの方針を４０６で受け取ったなら、４０８でその方針を適用してもよい。するとこの処理過程は終わる。しかし、ＮＡＣの方針を受け取らなかった場合は、システムは、接続を試みる装置の環境を判断することになる。これにより、安全環境を適切に立ち上げる。本発明の実施例では、ＤＨＣＰの応答を得たかどうかを４１０で判断する。４１０でＤＨＣＰの応答が無く、かつ、４１２でネットワークにアクセスする必要がある場合には、４１４に進み、ＮＡＣ／８０２．１Ｘ／ＤＨＣＰの問い合わせを、接続する装置のＡＭＴについて行う。この時点で、ＡＭＴは、ネットワークへ接続できているかもしれないし、できていないかもしれない。しかし、ホストは接続していない。これが４１６である。これは、ホストを非友好的な環境から保護するという目的に従ってのことである。次に、接続遮断器を、安全様態に設定してもよい。安全様態では、ＥＡＰとＤＨＣＰをＡＭＴに通すが、率を遅く制限する。例えば、１分間に１個のメッセージのみというようにする。これが４１８である。これを、ホストがＥＡＰパケットを受け取るまで繰り返す。これが４２０である。ホストがＥＡＰパケットを受け取ると、４０６に戻り、ＮＡＣの方針を受け取ったかどうかの判断を行う。
【００３０】
４１０でＤＨＣＰの応答があった場合、装置が企業ドメインの内部にあるかどうかの判断を行う。これが４２２である。企業ドメインでなければ、企業でない／企業の外部の方針を設置する。これが４２４である。４２２で、装置が企業ドメインの内部にある場合、その装置がＮＡＣドメイン環境の内部に含まれるかどうかの判断を行う。これが４２８である。ＮＡＣドメイン環境の内部でなければ、企業の非ＮＡＣ環境の方針を設定する。即ち、接続遮断器を省略時プロファイルに設定する。これが４２６である。４２８で、その装置がＮＡＣドメインの内部に含まれていると判れば、これは違反事態である。ＮＡＣの方針が無いのに（４０６）、ＮＡＣドメインの内部だからである。従って、企業ホスト違反方針を、４３０で設定する。これが含意するのは、この環境は、ＮＡＣ環境であると検出されたが、ＮＡＣの方針を受け取っていないということである。本発明のある実施例では、ドメインに関するデータを、業界標準の署名方法によって署名してもよい。この署名方法は、いかなる既知の暗号化算法を用いてもよい。１つのありうる例では、署名はドメインに特有のデータを備えてもよい。この署名は例えば応答のＤＨＣＰの追加の属性として伝えられる。
【００３１】
図５は、エージェントの存在を用いた、動的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例を示す流れ図である。この例では、ＮＡＣエージェントの存在を判断することが可能である、特定の実施例を示す。この例では、電源が入ると、ネットワーク管理（例えばＡＭＴ）が起動する。これが、電源投入段階５０２である。接続遮断器（ＣＢ）を初期化して、ＥＡＰ及びＤＨＣＰを許可する。これが５０４である。又は、この状態についての省略時の方針に基づいて、いかなる他のプロトコルの通信を許可してもよい。システムは何秒間（管理方針で定める）か待ち、この間にホストは、ＮＡＣサーバーから方針を受け取る、又は、ＤＨＣＰでアドレスを取得する。これが５０６である。５０８で、ＮＡＣの方針を受け取った場合、適切な接続遮断器のフィルターを、５１０で適用してもよい。すると、この処理過程は終わる。しかし、ＮＡＣの方針を受け取らなかった場合は、次に、ホストがＩＰアドレスを得たかどうかを、５１２で判断する。５１２でＩＰアドレスを得ていなければ、接続遮断器は、その装置について、全ての送受信を遮断することになる。これが５１４である。前述と同様に、どのフィルター方針に基づくかは、管理方針が定める。次に、ＮＡＣ／８０２．１Ｘ／ＤＨＣＰの問い合わせを、接続する装置のＡＭＴについて行う。これが５１６である。この時点で、ＡＭＴは、ネットワークへ接続できているかもしれないし、できていないかもしれない。しかし、ホストは接続していない。これが５１８である。これは、ホストを非友好的な環境から保護するという目的に従ってのことである。次に、接続遮断器を、安全様態に設定してもよい。安全様態では、ＥＡＰとＤＨＣＰをＡＭＴに通すが、率を遅く制限する。例えば、１分間に１個のメッセージのみというようにする。これが５２０である。これを、ホストがＥＡＰパケットを受け取るまで、繰り返す。これが５２２である。ホストがＥＡＰパケットを受け取ると、５０４に戻り、接続遮断器（ＣＢ）を設定して、ＥＡＰ及びＤＨＣＰを許可する。
【００３２】
５１２でＩＰアドレスを得た場合、ＮＡＣエージェントが存在するかどうかの判断を行う。これを判断するのが、ＮＡＣエージェントの存在判定５２６を通過するかどうかである。ＮＡＣエージェントが存在しない場合は、このホストのＮＡＣ階層は、改竄されてしまったか、又は使用停止されているかであるということになる。従って、接続遮断器をその事態に応じて設定する。例えば、全ての通信を遮断する。これが５２４である。５２６でＮＡＣエージェントが存在するが、５２８で、ＥＡＰ−ＮＡＣのメッセージが送出されていない場合、ここでもまた、このホストのＮＡＣ階層は、改竄されてしまったか、又は使用停止されているかであると結論付けてよい。従って、５２４で接続遮断器をその事態に応じて設定する。５２８で、ＥＡＰ−ＮＡＣのメッセージが送出されている場合、接続する装置は非ＮＡＣ環境ということになる。従って、接続遮断器を省略時プロファイルに設定してもよい。これが５３０である。
【００３３】
図６は、本発明の実施例における、計算機システムの説明図である。この計算機システムは、ネットワークに接続を試みる装置を含んでもよい。いくつかの標準的で既知の部品で、本願発明に関与しないものは、示していない。本発明のある実施例では、計算機６００は、情報を伝達するためのバス６０５又は他の伝達手段を含む。計算機６００はまた、処理手段を含む。例えば２つ以上の処理装置６１０である。図では第１の処理装置６１５及び第２の処理装置６２０で示している。これらはバス６０５に接続し、情報を処理する。処理装置６１０は、１つ以上の物理的処理装置及び１つ以上の論理的処理装置を含んでもよい。更に、処理装置６１０の各々は、複数の処理装置核を含んでもよい。計算機６００は、図を単純にするために、バス６０５を１つしか描いていない。しかし、この計算機は、複数の異なるバスを有してもよく、これらのバスに対する部品の接続も、様々であってよい。図６に示すバス６０５は、ある抽象化であり、いかなる１つ以上の個別の具体的なバス、２点間接続、又は、適切なブリッジ、適合器、若しくは制御器により接続される、バス及び２点間接続の双方をも示す。バス６０５は、従って、次を例えば含んでもよい：システムバス；ＰＣＩ（商標）バス；ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（商標）又はＩＳＡバス；ＳＣＳＩバス；ＵＳＢ（商標）；ＩＩＣ（Ｉ２Ｃ）バス；又は、ＩＥＥＥ  １３９４バス（ＦｉｒｅＷｉｒｅ（商標）とも呼ばれる）。ＩＥＥＥ  １３９４については、非特許文献３を参照。本発明のある実施例では、処理装置６１０を用いて、ネットワークに接続を試みる装置を評価してもよい。
【非特許文献３】Ｓｔａｎｄａｒｄ  ｆｏｒ  ａ  Ｈｉｇｈ  Ｐｅｒｆｏｒｍａｎｃｅ  Ｓｅｒｉａｌ  Ｂｕｓ，  １３９４−１９９５，  ＩＥＥＥ，  １９９６年８月３０日、及び同補遺。
【００３４】
計算機６００は、更にＲＡＭ又は他の動的な格納装置を、主記憶６２５として含む。これにより、情報と、処理装置６１０が実行する命令とを格納する。主記憶６２５を用いてまた、一時変数又は他の、命令を処理装置６１０が実行する際の中間的な情報を格納してもよい。ＲＡＭはＤＲＡＭを含む。ＤＲＡＭは記憶内容のリフレッシュを必要とする。ＲＡＭはＳＲＡＭを含む。ＳＲＡＭは記憶内容のリフレッシュを必要としないが、コストが増える。ＤＲＡＭはＳＤＲＡＭを含んでもよい。ＳＤＲＡＭはクロック信号を制御信号に含む。ＤＲＡＭはＥＤＯ  ＤＲＡＭを含んでもよい。主記憶の使用は、動的な基盤の雑音を緩和することに関するデータの格納を含んでもよい。計算機６００はまた、ＲＯＭ６３０及び／又は他の静的な格納装置を含んでもよい。これにより静的な情報及び命令を処理装置６１０のために格納する。
【００３５】
データ格納装置６３５も計算機６００のバス６０５に接続してもよい。これにより、情報と命令を格納する。データ格納装置６３５は、次を含んでもよい：磁気ディスク若しくは光ディスク並びにそれらのための駆動装置；フラッシュ記憶装置又は他の不揮発性記憶装置；又は他の記憶装置。このような要素を、共に組み合わせてもよい。このような要素は、個別の部品であってもよい。このような要素は、計算機６００の他の要素を利用してもよい。
【００３６】
計算機６００はまた、バス６０５を経由して、表示装置６４０と結合してもよい。表示装置６４０の例は陰極線管（ＣＲＴ）表示装置、液晶表示装置（ＬＣD）、プラズマ表示装置、又はいかなる他の表示技術でもよい。これによって、情報を末端利用者に表示する。いくつかの実施例では、この表示装置は、接触感応型画面でもよい。これは、入力装置の、少なくとも部分としても活用される。いくつかの実施例では、表示装置６４０は、音声装置でもよく、音声装置を含んでもよい。例えば、音声情報を提供するスピーカーである。入力装置６４５を、バス６０５に結合してもよい。これにより、情報及び／又は命令の選択を、処理装置６１０に伝える。種々の実装では、入力装置６４５は、次であってよい：キーボード；キーパッド；接触感応型画面及び尖筆；音声入力システム；又は他の入力装置若しくはこれらの装置の組み合わせ。他の型の利用者入力装置で計算機に含まれてもよいものは、カーソル制御装置６５０である。例えばマウス、トラックボール、又はカーソル移動キーである。これにより、方向の情報及び命令の選択を、１つ以上の処理装置６１０に伝え、表示装置６４０の上でカーソルの移動を制御する。
【００３７】
通信装置６５５もまた、バス６０５に接続してよい。個別の実装に依存して、通信装置６５５は次を含んでもよい：送受信器；無線変復調器；ネットワークインターフェースカード；主基板上のＬＡＮインターフェース；又は他の接続装置。通信装置６５５の使用は、無線装置からの信号の受信を含んでもよい。無線通信に関しては、通信装置６５５は、１つ以上のアンテナ６６０を含んでもよい。１つの実施例では、通信装置６５５は、防火壁を含んでもよい。これにより、計算機６００を不正なアクセスから保護する。計算機６００は、ネットワーク又は他の装置に接続してもよい。この場合に通信装置６５５を用いる。この結合は、インターネットへの接続、ＬＡＮへの接続、又は他の環境への接続を含んでもよい。計算機６００はまた、電源装置又は電源システム６６５を含んでもよい。電源装置又は電源システム６６５は、次を含んでもよい：電源供給装置；電池；光電池；燃料電池；又は他のシステム若しくは装置で電力を供給若しくは生成するもの。電源装置又は電源システム６６５が供給する電力を、必要に応じて計算機６００の要素に分配してもよい。
【００３８】
前述の記載では、説明の目的のために、数多くの個別の詳細を述べている。これは、本願発明を、徹底的に理解してもらうためである。しかし、当業者には明らかになる通り、本願発明を、このような個別の詳細のいくつかを抜きに、実施してもよい。別の例では、周知の構造及び装置が、図面に示されている。
【００３９】
本願発明は、種々の処理過程を含んでもよい。本願発明の処理過程を、ハードウェア要素で実行してもよく、機械に実行可能な命令の形で実施してもよい。このような命令を用いて、汎用又は専用の、処理装置又は論理回路を、その命令でプログラムしてもよく、それにより、この処理過程を実行させてもよい。代わりに、この処理過程を、ハードウェアとソフトウェアの組み合わせによって、実行してもよい。
【００４０】
本願発明の部分を計算機プログラムとして提供してもよい。この計算機プログラムは、命令を格納した機械可読媒体を含んでもよい。この機械可読媒体を用いて、計算機（又は他の電子装置）をプログラムしてもよい。これにより、本願発明による処理過程を実行する。この機械可読媒体は、次を含むが、これらに限定されない：フレキシブルディスケット；光ディスク；ＣＤ−ＲＯＭ；光磁気ディスク；ＲＯＭ;ＲＡＭ；ＥＰＲＯＭ；ＥＥＰＲＯＭ；磁気又は光カード；フラッシュ記憶装置；又は、他の型の媒体若しくは機械可読媒体で電子的な命令を格納するために適しているもの。更に、本願発明をまた、計算機プログラムとしてファイル転送してもよい。ここでプログラムを遠隔の計算機から要求する計算機へ転送してもよい。この際にデータ信号を用いる。このデータ信号は、搬送波又は他の伝搬媒体において実施される。搬送波又は他の伝搬媒体は、通信接続（例えば変復調器又はネットワーク接続）を経由する。
【００４１】
方法の多くを、その最も基本的な形態で記載した。しかし、処理過程を、いかなる方法についても、追加又は削除できる。また、情報を、いかなる記載事項についても、追加又は削除できる。これらの場合のいずれにおいても、本願発明の基本範囲から離れずに、行うことができる。当業者には明らかになる通り、多くの更なる実施例及び適用例を作ることができる。特定の実施例を提供しているのは、本発明を制限するためではなく、例示するためである。本願発明の範囲を決定するのは、前述の個別の例ではなく、添付の特許請求の範囲のみである。
【００４２】
更に理解する必要があるのは、本明細書を通して、「１つの実施例」「ある実施例」という表現は、本発明の特定の特徴を、本発明のその実施に含めてもよいという意味であるということである。同様に、理解する必要があるのは、本発明の例示的な実施例の前述の記載においては、本発明の種々の特徴を、場合に応じて、その特徴の単一の実施例、図、又は記述に、共に纏めたことがあるということである。これは、開示を簡潔にし、種々の発明の観点の１つ以上のものの理解を助けるという、目的のためである。開示のこの方法を、しかし、次の意図を反映するものであると、解釈してはならない。即ち、請求の特許は、各請求項に明示的に記載した特徴よりも多くを必要とするという意図である。そうではなく、添付の特許請求の範囲が示す通り、発明の諸観点は、前述の開示した実施例の１つに含まれる全ての機能よりも小さい範囲に存する。従って、諸請求項をここに明示的に本明細書に援用する。ここで各請求項は独立して本発明の個別の実施例となる。
【図面の簡単な説明】
【００４３】
【図１】装置をネットワークに接続するためのネットワーク環境の検出の実施例の説明図である。
【図２】装置の環境を検出するためのネットワークアーキテクチャーの実施例の説明図である。
【図３】静的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例の流れ図である。
【図４】動的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例の流れ図である。
【図５】エージェントの存在を用いた、動的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例の流れ図である。
【図６】本発明の実施例のための計算機システムの説明図である。
【図１】
2009540476.tif 000003
【図２】
2009540476.tif 000004
2009540476.tif 000005
【図３】
2009540476.tif 000006
【図４】
2009540476.tif 000007
【図５】
2009540476.tif 000008
【図６】
2009540476.tif 000009
【国際調査報告】
2009540476.tif 000010
2009540476.tif 000011