(57)【要約】  ネットワークに接続するプラットホーム上のアクセスリクエスタからのネットワークアクセス要求を開始することを含む方法を提供する。このネットワークアクセス要求は、ネットワーク用のポリシー決定ポイントに対して出される。この方法は更に、ポリシー決定ポイントと、プラットホーム上のポリシー施行ポイントとの間の通信リンク上にセキュア通信チャネルを確立することを含む。別のセキュア通信チャネルが、別の通信リンク上に確立される。この別の通信リンクは、少なくともポリシー施行ポイントと、プラットホーム上に常駐するマネージャビリティエンジンとの間にある。マネージャビリティエンジンは、アクセスリクエスタに関連付けられるポスチャ情報を、この別のセキュア通信チャネルを介して転送する。次に、ポスチャ情報は、ポリシー施行ポイントとポリシー決定ポイントとの間のセキュア通信チャネルを介してポリシー決定ポイントに転送される。ポリシー決定ポイントは、１つ以上のネットワーク管理ポリシーとのポスチャ情報の比較に基づいて、アクセスリクエスタが獲得可能であるネットワークへのアクセスを示す。【選択図】  図６
2009525711.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続するプラットホーム上のアクセスリクエスタから、前記ネットワーク用のポリシー決定ポイントに対して出されるネットワークアクセス要求を開始する段階と、
前記ポリシー決定ポイントと、前記プラットホーム上のポリシー施行ポイントとの間の通信リンク上にセキュア通信チャネルを確立する段階と、
前記ポリシー施行ポイントと、前記プラットホーム上に常駐するマネージャビリティエンジンとの間の別の通信リンク上にセキュア通信チャネルを確立する段階であって、前記マネージャビリティエンジンは、前記アクセスリクエスタ及び前記マネージャビリティエンジンに関連付けられるポスチャ情報を転送し、前記ポスチャ情報は、前記マネージャビリティエンジンと前記ポリシー施行ポイントとの間の前記セキュア通信チャネルを介して転送される、段階と、
前記ポリシー施行ポイントと前記ポリシー決定ポイントとの間の前記セキュア通信チャネルを介して、前記ポスチャ情報を前記ポリシー決定ポイントに転送する段階であって、前記ポリシー決定ポイントは、１つ以上のネットワーク管理ポリシーとの前記ポスチャ情報の比較に基づいて、前記アクセスリクエスタが獲得可能である前記ネットワークへのアクセスを示す、段階と、
を含む方法。
【請求項２】
前記プラットホームを前記ネットワークに接続させる通信リンク上のデータトラフィックフィルタを構成する段階を更に含み、
前記データトラフィックフィルタは、デフォルトネットワーク管理ポリシーに基づいて、前記マネージャビリティエンジンにより構成され、
前記データトラフィックフィルタを構成する段階は、前記ポスチャ情報を前記ポリシー決定ポイントに転送する段階の前に発生し、
前記データトラフィックフィルタを構成することにより、前記ネットワークにアクセスするための第１の階層型信頼レイヤが確立される、請求項１に記載の方法。
【請求項３】
前記ポリシー決定ポイントにより示されたアクセスに少なくとも部分的に基づいて、前記データトラフィックフィルタを再構成する段階を更に含み、
前記データトラフィックフィルタを再構成することにより、前記ネットワークにアクセスするための第２の階層型信頼レイヤが確立される、請求項２に記載の方法。
【請求項４】
前記アクセスリクエスタが獲得可能である前記ネットワークへのアクセスの前記指示を受信する段階と、
前記アクセスリクエスタが求める前記ネットワークアクセスレベルを許可しないことを示す前記指示に基づいて、修正アクションを実施する段階と、
を更に含み、
前記修正アクションを実施することにより、前記ネットワークにアクセスするための第２の階層型信頼レイヤが確立される、請求項１に記載の方法。
【請求項５】
前記修正アクションは、アンチウイルスソフトウェアのアップデート、サーバからのパッチのダウンロード、所与のソフトウェアのインストール、及び、前記プラットホームを前記ネットワークに接続させる前記通信リンク上の前記データトラフィックフィルタの構成によるアクセス制御ポリシーの実施から選択される少なくとも１つの修正アクションを含む、請求項２に記載の方法。
【請求項６】
前記アクセスリクエスタに関連付けられる前記ポスチャ情報は、前記アクセスリクエスタの完全性測定結果に基づき、
前記完全性測定結果は、アンチウイルスパラメータ、ファイアウォールステータス、ソフトウェアバージョン、ハードウェアステータス、ログファイル、及び前記プラットホーム上のメモリにおける所与のソフトウェアの存在から選択される少なくとも１つの完全性測定結果を含む、請求項１に記載の方法。
【請求項７】
前記１つ以上のネットワーク管理ポリシーは、アクセス制御リストポリシー、アウトブレイク抑制ポリシー、侵入検知ポリシー、及びモニタリングポリシーから選択される少なくとも１つのポリシーを含む、請求項１に記載の方法。
【請求項８】
前記プラットホーム上の前記アクセスリクエスタから前記ネットワークアクセス要求を開始する段階は更に、
複数のパーティションを前記プラットホーム上に含める段階であって、各パーティションは、別のパーティションにより使用されるプラットホームリソースとは独立したプラットホームリソースの少なくとも一部を使用し、前記複数のパーティションは、前記アクセスリクエスタを含むケーパビリティオペレーティングシステムをサポートする１つのパーティションと、前記ポリシー施行ポイントを含むサービスオペレーティングシステムをサポートする１つのパーティションとを含む、段階と、
前記サービスオペレーティングシステムが前記プラットホーム上で作動されているか否かを、前記プラットホーム上に常駐する前記マネージャビリティエンジンにより判断する段階と、
前記マネージャビリティエンジンの判断に基づいて、前記ネットワークへの前記要求したアクセスを前記アクセスリクエスタが求めることを許可する段階と、
を含み、
前記要求したアクセスを前記アクセスリクエスタが求めることを許可することにより、第２のネットワークにアクセスするための第１の階層型信頼レイヤが確立される、請求項１に記載の方法。
【請求項９】
前記アクセスリクエスタについて示された前記第１のネットワークへの前記アクセスを獲得する段階と、
前記第１のネットワークを介する前記第２のネットワークへのアクセスを、前記アクセスリクエスタにより求める段階と、
前記ケーパビリティオペレーティングシステムと前記第１のネットワークとの間のデータトラフィックを、前記サービスオペレーティングシステムによりモニタリングする段階と、
前記データトラフィックが、前記第２のネットワーク用の１つ以上のデフォルトネットワーク管理ポリシーを満足させるか否か、前記サービスオペレーティングシステムにより判断する段階と、
前記システムオペレーティングシステムの判断に基づいて、前記第２のネットワークへの前記要求したアクセスを前記アクセスリクエスタが開始することを許可する段階と、
を含み、
前記第２のネットワークへの前記要求したアクセスを前記アクセスリクエスタが開始することを許可することにより、前記第２のネットワークにアクセスするための第２の階層型信頼レイヤが確立される、請求項８に記載の方法。
【請求項１０】
前記１つ以上のデフォルトネットワーク管理ポリシーは、アクセス制御リストポリシー、アウトブレイク抑制ポリシー、侵入検知ポリシー、及びモニタリングポリシーから選択される少なくとも１つのポリシーを含む、請求項９に記載の方法。
【請求項１１】
前記アクセスリクエスタが、前記第２のネットワーク用のポリシー決定ポイントに対して出される、前記第１のネットワークを介する前記第２のネットワークへの前記別のネットワークアクセス要求を開始する段階と、
前記第２のネットワーク用の前記ポリシー決定ポイントと前記サービスオペレーティングシステムとの間の通信リンク上にセキュア通信チャネルを確立する段階と、
前記サービスオペレーティングシステムと、前記マネージャビリティエンジンとの間の別の通信リンク上にセキュア通信チャネルを確立する段階であって、前記マネージャビリティエンジンは、前記アクセスリクエスタ及び前記マネージャビリティエンジンに関連付けられるポスチャ情報を転送し、前記ポスチャ情報は、前記マネージャビリティエンジンと前記サービスオペレーティングシステムとの間の前記セキュア通信チャネルを介して転送される、段階と、
前記サービスオペレーティングシステムと前記第２のネットワーク用の前記ポリシー決定ポイントとの間の前記セキュア通信チャネルを介して、前記ポスチャ情報を前記第２のネットワーク用の前記ポリシー決定ポイントに転送する段階であって、前記第２のネットワーク用の前記ポリシー決定ポイントは、１つ以上のネットワーク管理ポリシーとの前記ポスチャ情報の比較に基づいて、前記アクセスリクエスタが獲得可能である前記第２のネットワークへのアクセスを示す、段階と、
前記アクセスリクエスタが獲得可能である前記第２のネットワークへのアクセスの指示を受信する段階であって、前記システムオペレーティングシステムの前記ポリシー施行エージェントは、前記指示に基づいて、前記アクセスレベルを施行し、前記アクセスレベルを施行することにより、前記第２のネットワークにアクセスするための第３の階層型信頼レイヤが確立される、段階と、
を含む、請求項９に記載の方法。
【請求項１２】
前記アクセスリクエスタについて示された前記第２のネットワークへの前記アクセスを獲得する段階と、
前記ケーパビリティオペレーティングシステムに関連付けられるポスチャ情報を、前記サービスオペレーティングシステムにより収集する段階と、
前記収集されたポスチャ情報を、前記第２のネットワーク用の前記ポリシー決定ポイントに転送する段階であって、前記第２のネットワーク用の前記ポリシー決定ポイントは、前記１つ以上のネットワーク管理ポリシーとの前記収集されたポスチャ情報の比較に基づいて、前記第２のネットワークに対して前記アクセスリクエスタが維持可能であるアクセスを示す、段階と、
前記第２のネットワークに対して前記アクセスリクエスタが維持可能であるアクセスの指示を受信する段階であって、前記システムオペレーティングシステムのポリシー施行エージェントは、前記指示に基づいて、前記アクセスレベルを施行し、前記アクセスレベルを施行することにより、前記第２のネットワークにアクセスするための第３の階層型信頼レベルが維持される、請求項１１に記載の方法。
【請求項１３】
ネットワークに接続するプラットホーム上に常駐する装置であって、
メモリ及びロジックを有するマネージャビリティエンジンを含み、
前記ロジックは、
前記プラットホーム上の通信リンクを介して、前記プラットホーム上のポリシー施行エージェントとセキュア通信チャネルを確立し、
前記マネージャビリティエンジンと、前記ネットワークへのアクセスを求める、前記プラットホーム上のアクセスリクエスタとに関連付けられるポスチャ情報を獲得し、
前記ポスチャ情報に、前記メモリ内に保持される秘密鍵を用いて暗号署名し、
前記暗号署名されたポスチャ情報を、前記セキュア通信チャネルを介して前記ポリシー施行エージェントに転送し、
前記暗号署名されたポスチャ情報は、前記ネットワーク用のポリシー決定ポイントに、前記ポリシー施行エージェントと前記ポリシー決定ポイントとの間に確立される別のセキュア通信チャネルを介して転送され、
前記ポリシー決定ポイントは、ネットワーク管理ポリシーとの前記ポスチャ情報の比較に基づいて、前記アクセスリクエスタが獲得可能である前記ネットワークへのアクセスを示す、装置。
【請求項１４】
前記ロジックは更に、
前記プラットホームを前記ネットワークに接続させる通信リンク上のデータトラフィックフィルタを構成するロジックを含み、
前記データトラフィックフィルタは、制御データトラフィックのみが前記データトラフィックフィルタを通過可能とするデフォルトネットワーク管理ポリシーに基づいて、前記ロジックによって構成され、
前記制御データトラフィックは、認証情報を含み、
前記ロジックは、前記暗号署名されたポリスチャ情報を前記ポリシー決定ポイントに転送する前に、前記データトラフィックフィルタを構成して、前記ネットワークにアクセスするための第１の階層型信頼レイヤを確立する、請求項１３に記載の装置。
【請求項１５】
前記アクセスリクエスタが獲得可能である前記ネットワークへのアクセスの前記指示は、前記ポリシー決定ポイントにより暗号署名され、
前記暗号署名された指示は、前記マネージャビリティエンジンの前記ロジックにより復号化されて前記アクセスリクエスタが獲得可能である前記ネットワークへのアクセスが決定され、
前記プラットホーム上の前記ポリシー施行エージェントは、獲得可能であると決定された前記アクセスレベルを施行して前記ネットワークにアクセスするための第２の階層型信頼レベルを確立する、請求項１３に記載の装置。
【請求項１６】
前記ポスチャ情報及び前記指示は、公開鍵インフラストラクチャ（ＰＫＩ）暗号化スキームを使用して暗号署名される、請求項１５に記載の装置。
【請求項１７】
ネットワークに接続するプラットホームであって、
メモリと１つ以上の処理エレメントとを有するプラットホームリソースと、
複数のパーティションと、
ロジックと前記ロジックにより排他的にアクセス可能であるメモリとを有するマネージャビリティエンジンと、
を含み、
各パーティションは、別のパーティションにより使用されるプラットホームリソースとは独立したプラットホームリソースの少なくとも一部を使用し、
前記複数のパーティションは、ケーパビリティオペレーティングシステムをサポートする１つのパーティションと、サービスオペレーティングシステムをサポートする１つのパーティションを有し、
前記ケーパビリティオペレーティングシステムは、前記ネットワークへのアクセスを要求し、
前記サービスオペレーティングシステムは、１つ以上のネットワーク管理ポリシーを施行するポリシー施行エージェントを有し、
前記ロジックは、
前記ケーパビリティオペレーティングシステムに関連付けられるポスチャ情報を獲得し、
前記ポスチャ情報に、前記ロジックにより排他的にアクセス可能である前記メモリ内に保持される秘密鍵を用いて暗号署名し、
前記暗号署名されたポスチャ情報を、前記ネットワーク用のポリシー決定ポイントに転送し、
前記ポリシー決定ポイントは、複数のネットワーク管理ポリシーとの前記ポスチャ情報の比較に基づいて、前記ケーパビリティオペレーティングシステムが獲得可能である前記ネットワークへのアクセスを示す、プラットホーム。
【請求項１８】
前記マネージャビリティエンジンの前記ロジックにより排他的にアクセス可能である前記メモリは、複数のデフォルトネットワーク管理ポリシーを有し、
前記複数のデフォルトネットワーク管理ポリシーは、前記サービスオペレーティングシステムが作動中ではない場合に、前記ケーパビリティオペレーティングシステムへのアクセスを制限するポリシーを有し、
前記マネージャビリティエンジンの前記ロジックは、前記ポリシーを施行し、
前記ポリシーを施行することにより、前記ネットワークにアクセスするための第１の階層型信頼レイヤが確立される、請求項１７に記載のプラットホーム。
【請求項１９】
前記サービスオペレーティングシステムは、前記ポリシー決定ポイントとセキュア通信リンクを確立し、
前記サービスオペレーティングシステムは、前記ケーパビリティオペレーティングシステムに関連付けられるポスチャ情報を収集及び転送し、
前記ポリシー決定ポイントは、前記サービスオペレーティングシステムにより収集された前記ポスチャ情報の比較に基づいて、前記ケーパビリティオペレーティングシステムが獲得可能である前記ネットワークへのネットワークアクセスを示し、
前記サービスオペレーティングシステムの前記ポリシー施行エージェントは、前記ポリシー決定ポイントからの前記指示に基づいて、前記アクセスレベルを施行し、
前記アクセスレベルを施行することにより、前記ネットワークにアクセスするための第２の階層型信頼レベルが維持される、請求項１７に記載のプラットホーム。
【請求項２０】
コンテンツを含む機械アクセス可能媒体であって、ネットワークに接続されるプラットホーム上に常駐する機械により実行されると、前記機械に、
前記プラットホーム上の通信リンクを介して、前記プラットホーム上のポリシー施行エージェントとセキュア通信チャネルを確立させ、
前記機械と、前記ネットワークへのアクセスを求める、前記プラットホーム上のアクセスリクエスタとに関連付けられるポスチャ情報を獲得させ、
前記ポスチャ情報に、前記メモリ内に保持される秘密鍵を用いて暗号署名させ、
前記暗号署名されたポスチャ情報を、前記セキュア通信チャネルを介して前記ポリシー施行エージェントに転送させ、
前記暗号署名されたポスチャ情報は、前記ネットワーク用のポリシー決定ポイントに、前記ポリシー施行エージェントと前記ポリシー決定ポイントとの間に確立される別のセキュア通信チャネルを介して転送され、
前記ポリシー決定ポイントは、複数のネットワーク管理ポリシーとの前記ポスチャ情報の比較に基づいて、前記アクセスリクエスタが獲得可能である前記ネットワークへのアクセスを示す、機械アクセス可能媒体。
【請求項２１】
前記アクセスリクエスタと前記機械とに関連付けられた前記ポスチャ情報は、前記アクセスリクエスタ及び前記機械の完全性測定結果に基づき、
前記完全性測定結果は、アンチウイルスパラメータ、ファイアウォールステータス、ソフトウェアバージョン、ハードウェアステータス、ログファイル、及び前記プラットホーム上のメモリにおける所与のソフトウェアの存在から選択される少なくとも１つの完全性測定結果を含む、請求項２０に記載の機械アクセス可能媒体。
【発明の詳細な説明】
【背景技術】
【０００１】
最近のウイルス及びワーム攻撃の増加に伴い、これらの攻撃に対してネットワークに接続されたコンピューティングデバイスを強健にし、また、攻撃元となりうるコンピューティングデバイスからネットワークを保護するための措置を導入する産業努力が行われている。この結果、幾つかの産業イニシアティブは、ネットワークセキュリティフレームワーク及び通信プロトコルに基づいたプロプライエタリ及び標準規格を定義した。ネットワークセキュリティフレームワークに基づいたこれらの標準規格が採用される場合、これらの規格は、ウイルス又はワーム攻撃を阻止又は対抗しうる。更に、電気電子学会（ＩＥＥＥ）及びインターネット技術タスクフォース（ＩＥＴＦ）標準化団体は、更なるネットワークセキュリティを提供するよう使用しうる通信プロトコルを定義した、又は、定義する過程にある。これらの産業イニシアティブは、コンピューティングデバイスがネットワークに接続する際のアクセス制御を厳しくしようとしている。
【０００２】
ネットワーク攻撃に対する保護対策は、主に、オープン・システム・インターコネクション（ＯＳＩ）レイヤ２、ＩＥＥＥ８０２．１Ｘ通信プロトコルの形式を取ってきている。２００１年１０月２５日に発表されたＩＥＥＥ８０２．１Ｘ−２００１（「ＩＥＥＥ８０２．１Ｘ」）、及び／又は後のバージョンを参照されたい。これらの通信プロトコルは、一般に、ＩＥＴＦにより定義された拡張認証プロトコル（ＥＡＰ）及び関連の派生物を使用して、コンピューティングデバイスのクレデンシャルを、そのデバイス又はそのデバイス上に常駐／動作する任意のエレメントがネットワークへのアクセスを許可される前に決定する。２００４年６月に発表されたＩＥＴＦ、ネットワークワーキンググループ、リクエスト・フォー・コメント：３７４８、拡張認証プロトコル（「ＲＦＣ３７４８」）、及び／又は、後のバージョンを参照されたい。
【０００３】
（例えば、ＩＥＥＥ８０２．１Ｘ及び／又はＲＦＣ３７４８を介して）最初の認証が行われ、コンピューティングデバイスはネットワークへのアクセスが許可されると、セキュア通信チャネルを維持する追加のプロトコルが実行されうる。このセキュア通信チャネル上を全ての後続のデータが運ばれる。このセキュア通信チャネルは、データ発信元の真正性及びデータの機密性といった暗号サービスを提供する。その結果、主要なセキュリティ脅威は阻止又は食い止められうる。ワイヤレスネットワークアクセスでは、このセキュア通信チャネルは、２００４年７月に発表されたＩＥＥＥ８０２．１ｌｉ−２００４（「ＩＥＥＥ８０２．１ｌｉ」）、及び／又は後のバージョンに従って動作しうる。有線ネットワークアクセスでは、セキュア通信チャネルは、ＩＥＥＥ８０２．１Ｘに関連する２つの仕様に従って動作しうる。１つは、２００６年１月に発表されたＩＥＥＥ８０２．１ＡＥ、ドラフト５．１（「ＩＥＥＥ８０２．１ＡＥ」）、及び／又は後のドラフト又はバージョンである。もう１つは、ＩＥＥＥ８０２．１Ｘの修正版であり、つまり、２００６年１月に発表されたＩＥＥＥ８０２．１ＡＦ、ドラフト０．４（「ＩＥＥＥ８０２．１ＡＦ」）、及び／又は後のドラフト又はバージョンである。更に、セキュア通信チャネル用のＯＳＩレイヤ３及びレイヤ４産業イニシアティブも存在する。これらのＯＳＩレイヤ３及びレイヤ４イニシアティブには、１９９８年１１月に発表されたインターネット・プロトコル・セキュリティ（ＩＰｓｅｃ）−ＩＥＴＦ、ネットワークワーキンググループ、ＲＦＣ２４０１、インターネットプロトコルのためのセキュリティアーキテクチャについての１つ）「ＲＦＣ２４０１」）と、１９９９年１月に発表されたトランスポート・レイヤ・セキュリティ（ＴＬＳ）−ＩＥＴＦ、ネットワークワーキンググループ、ＲＦＣ２２４６、ＴＬＳプロトコル  バージョン１．０（「ＲＦＣ２２４６」）についての１つが含まれる。
【０００４】
所与のネットワークを保護する目的でウイルス及びワーム攻撃に対してコンピューティングデバイスを強健にする努力がなされてきているにも関わらず、調査の結果、一般的な企業有線ネットワークにおいて、セキュリティ侵害の多くはネットワーク内部から発生していることがわかっている。このような侵害は、意図的である場合もあるし、コンピューティングデバイスのユーザ側の過失による副次的な悪影響である場合もある。例えば、今日の環境では、多くのユーザは、企業内のみならず家庭でも使用されるモバイルコンピューティングデバイス（例えば、ノートブックコンピュータ）を有する。企業内では、ある程度の制御を、ネットワークリソースにアクセスする際に施行しうる。しかし、典型的なユーザがコンピューティングデバイスをインターネットに外部ソース（家庭、ホテル、インターネットカフェ）から接続する場合、ユーザは、インターネット上の不確かなサイトを訪れる際にウイルス／ワームを気付かずにダウンロードしてしまいうる。このウイルス／ワームは、当該のコンピューティングデバイスが次に企業内ネットワークに接続する際に企業内ネットワークに転送されてしまう。企業内においても、ポリシーが常に施行されているわけではない。例えば、ユーザは、企業サイトから最新のアンチウイルスデータファイルに常にアップデートしているわけではない。このように、企業内ネットワークは、新しいウイルス又はワームによる可能な攻撃にさらされる。
【０００５】
従来の技術は、（例えば、完全性又はポスチャ測定結果による）コンピューティングデバイスの識別情報及び状態の検証を、ネットワークへのアクセス要求が開始された後に許可する。ＩＥＥＥ８０２．１Ｘモデルは、コンピューティングデバイスの認証された識別情報及びポスチャ情報を、ネットワークへの少なくとも一部のアクセスを許可する前に交換する能力を与えるＥＡＰといった追加のプロトコルを有するフレームワークを提供する。これは、任意の悪意のあるデバイス／ソフトウェアが、事前評価なしにネットワークに入ることを制御することを支援する。このことは、ネットワークスタックの最小公分母（lowest common denominator）においてセキュリティソリューションを提供し、また、コンピューティングデバイスがＩＰアドレスを取得することが許可される前に認証を行うことにより実現される。しかし、未許可又は不正エージェントは依然として、許可されたコンピューティングデバイスをミミックする又は認証処理をスプーフィングすることでアクセスを獲得してしまいうる。
【図面の簡単な説明】
【０００６】
【図１】例示的なシステムのエレメントを示す図である。
【図２】仮想化技術がイネーブルされたプラットホームを含む例示的なシステムを示す図である。
【図３】マネージャビリティエンジン用の例示的なアーキテクチャを示すブロック図である。
【図４】ネットワークアクセスを獲得する例示的な方法を説明するフローチャートである。
【図５】複数のネットワークへのアクセスを獲得するプラットホームを含む例示的なシステムを示す図である。
【図６】複数の階層型信頼レイヤを確立してネットワークアクセスを獲得する例示的な方法を説明するフローチャートである。
【発明を実施するための最良の形態】
【０００７】
上述したように、ウイルス及びワーム攻撃に対してコンピューティングデバイスを強健にし、不正エージェントからのこのような攻撃がネットワークに広がることを阻止する措置を導入する産業努力が行われてきている。以下により詳細に説明するように、ネットワークを攻撃しうるこれらの不正エージェントからネットワークを保護するためにはネットワークに接続するコンピューティングデバイスに高度な信頼が必要である。例えば、信頼は、コンピューティングデバイス及び／又はそのエレメントが主張する身元といった情報、及び、不正エージェントがコンピューティングデバイスの信頼を侵害する場合を検出しうる情報に基づく。このような情報に基づいた信頼のレベルを使用して、コンピューティングデバイス及び／又はそのエレメントが獲得しうるネットワークへのアクセス、及び／又は、アクセスが拒否される場合に必要な修正アクションを決定しうる。
【０００８】
一実施形態では、コンピュータネットワーク（又は、単に、ネットワーク）とは、音声又はデータプロセッシングを供給する２つ以上の相互接続されたコンピューティングデバイスである。用語「ネットワーク境界」とは、ネットワークと、ネットワーク外のコンピューティングデバイスとの間の論理的境界を指しうる。ネットワーク境界へのアクセスを制御する様々なネットワークアクセススキームが存在する。ネットワークアクセスを制御するネットワークアクセススキームの一例には、３つのネットワークエンティティ、即ち、アクセスリクエスタ、ポリシー施行ポイント、及びポリシー決定ポイントが関与する。
【０００９】
この例示的なネットワークアクセススキームにおいて、アクセスリクエスタは、ネットワーク（例えば、保護されたネットワーク）へのアクセスを求めるエンティティである。アクセスリクエスタは、通常、コンピューティングデバイス用のプラットホーム内に常駐する。略全てのコンピューティングデバイス、プラットホーム、又はプラットホーム内のエレメント（例えば、ハードウェア、ソフトウェア、ファームウェア、又はこれらのエレメントの組み合わせ）がアクセスリクエスタでありうる。アクセスリクエスタは、例えば、ネットワークにアクセスする要求を開始する能力を有することを特徴とする。
【００１０】
上述の例示的なネットワークアクセススキームにおいて、ポリシー施行ポイントは、ポリシー決定ポイントのアクセス決定を施行するエンティティである。ポリシー施行ポイントは更に、アクセスリクエスタと共に認証／許可処理を行い、その認証／許可処理の結果をポリシー決定ポイントに転送しうる。ポリシー施行ポイントは、例えば、スイッチにおいて、ファイアウォールにおいて、仮想プライベートネットワーク（ＶＰＮ）ゲートウェイの一部として、及び／又は、コンピューティングデバイスのプラットホーム上で、ハードウェア、ソフトウェア、又は、ハードウェア及びソフトウェアの両方のある組み合わせによって、実施される。
【００１１】
上述の例示的なネットワークアクセススキームにおいて、ポリシー決定ポイントは、例えば、ネットワーク管理ポリシーに基づいて、ネットワークアクセス権をアクセスリクエスタに許可するか否かを決定するネットワークエンティティである。ネットワーク管理ポリシーには、ネットワークにアクセスしうる対象を決定する１つ以上のアクセス制御ポリシーが含まれうる。ネットワーク管理ポリシーには更に、１つ以上のアウトブレイク（outbreak）抑制ポリシー、進入検出ポリシー、及び／又は、モニタリングポリシー等が含まれうる。一例では、ポリシー決定ポイントは、ネットワークとポリシー施行ポイントとの間に接続されるサーバ内に実装される。別の例では、ポリシー施行ポイント及びポリシー決定ポイントは、（例えば、コンピューティングデバイスのプラットホーム上、ネットワークスイッチ内、ネットワークサーバ内等に）物理的に共同配置される２つの論理的なコンポーネント／エレメントとして実装されうる。
【００１２】
一例では、ネットワークアクセス要求は、ネットワークに接続するプラットホーム上のアクセスリクエスタから開始される。このネットワークアクセス要求は、ネットワーク用のポリシー決定ポイントに対してなされる。セキュア通信チャネルが、ポリシー決定ポイントとプラットホーム上のポリシー施行ポイントとの間の通信リンク上に確立される。セキュア通信チャネルは更に、別の通信リンク、少なくともポリシー施行ポイントとプラットホーム上に常駐するマネージャビリティエンジンとの間の別の通信リンク上にも確立される。この例では、マネージャビリティエンジンは、アクセスリクエスタ及びマネージャビリティエンジンに関連付けられるポスチャ（posture）情報を転送する。このポスチャ情報は、マネージャビリティエンジンとポリシー施行ポイントとの間のセキュア通信チャネルを介して転送される。ポスチャ情報は次に、ポリシー施行ポイントとポリシー決定ポイントとの間のセキュア通信チャネルを介してポリシー決定ポイントに転送される。ポリシー決定ポイントは、ポスチャ情報と１つ以上のネットワーク管理ポリシーとの比較に基づいてアクセスリクエスタが獲得可能であるネットワークへのアクセスを示す。
【００１３】
図１は、例示的なシステム１００のエレメントを示す図である。一例では、システム１００は、上述した３つのネットワークエンティティを含んでネットワークアクセススキームを実施する。これらの３つのネットワークエンティティは、プラットホーム１０１上のエレメントとして、及び／又は、プラットホーム１０１に接続されるネットワークの一部として、以下により詳細に説明する。
【００１４】
図１に示すように、システム１００は、通信リンク１４１を介してポリシー決定ポイント１８２を通じてネットワーク１８０に接続されるプラットホーム１０１を含む。一例では、通信リンク１４１は、有線及び／又はワイヤレスの経路を含み、これらの経路を介して、プラットホーム１０１は、ネットワーク１８０に接続される。
【００１５】
一実施形態では、上述したように、プラットホーム１０１は、コンピューティングデバイスの一部である。このコンピューティングデバイスは、デスクトップコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、サーバ、デジタルブロードバンド電話デバイス、デジタルホームネットワークデバイス（例えば、ケーブル／衛星／セットトップボックス等）、携帯情報端末（ＰＤＡ）等でありうる。一例では、ネットワーク１８０には、以下に限定されないが、有線又はワイヤレスのローカルエリアネットワーク（ＬＡＮ／ＷＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ／ＷＷＡＮ）、首都圏ネットワーク（ＭＡＮ）、パーソナルエリアネットワーク（ＰＡＮ）、及び、セルラ又はワイヤレスブロードバンド電話ネットワークが含まれる。
【００１６】
一例では、プラットホーム１０１は、ソフトウェア、ハードウェア、及び／又はファームウェアを含み、コンピューティングデバイスの１つ以上の機能をサポートする。これらのタスクには、クライアント／ホストのアクティビティ、ストレージ、汎用処理タスク等が含まれうる。このソフトウェア、ハードウェア、及び／又はファームウェアの少なくとも一部は、図１において、リソース１６０として図示する。一実施形態では、リソース１６０Ａ及び１６０Ｂは、各パーティション１１０及び１２０に専用又は独立して使用されるメモリ及び処理エレメントを表す。プラットホーム１０１には２つのパーティションしか図示していないが、本開示は２つのパーティションに限定されるわけではなく、コンピューティングデバイス内のプラットホーム上には任意の数のパーティションが可能である。図２について説明するが、これらのパーティションは、仮想化技術がイネーブルされたプラットホームの一部でありうる。
【００１７】
一実施形態では、パーティション１１０は、ケーパビリティオペレーティングシステム（ＣＯＳ）１１５を含む。ＣＯＳ１１５は、一例では、データを処理する、又は、ユーザによって開始されるコンピューティングデバイスの機能を実行するようユーザの要求に応答するエレメントを表す。ＣＯＳ１１５は、１つ以上のエージェント１１５Ａを含む。１つ以上のエージェント１１５Ａは、例えば、ネットワーク１８０へのアクセス要求の開始を容易にする、また、アクセスが許可された場合にポリシー施行ポイント及び／又はポリシー決定ポイントとの間にセキュア通信チャネルを維持する１つ以上のエージェントを含む。
【００１８】
この実施形態では、パーティション１２０は、サービスオペレーティングシステム（ＳＯＳ）１２５を含む。ＳＯＳ１２５は、一例では、ネットワークアクセス制御（ＮＡＣ）通信プロトコル（例えば、ＩＥＥＥ８０２．１Ｘ及び／又はＲＦＣ３７４８）用のセキュア実行環境（図示せず）を供給する。更に、ＳＯＳ１２５は、プラットホーム１０１に接続される、プラットホーム１０１のエレメントを保護し、ネットワークにアクセスするための１つ以上の階層型信頼レイヤを潜在的に確立する認証手順を実施するセキュア実行環境を供給しうる。この認証手順には、以下に限定されないが、拡張可能マークアップ言語（ＸＭＬ）署名及び公開鍵インフラストラクチャ（ＰＫＩ）証明が含まれる。認証手順のこれらの２つの例は、少なくとも部分的に、２００５年９月に発表されたＩＥＴＦ、ネットワークワーキンググループ、ＲＦＣ４２１０、インターネットＸ．５０９公開鍵インフラストラクチャ証明書管理プロトコル（「ＲＦＣ４２１０」）、及び、２００２年３月に発表されたＩＥＴＦ、ネットワークワーキンググループ、ＲＦＣ３２７５、ＸＭＬ署名シンタックス及び処理（「ＲＦＣ３２７５」）に説明される。
【００１９】
図１において、ＳＯＳ１２５は、１つ以上のエージェント１２５Ａを含む。１つ以上のエージェント１２５Ａは、例えば、ネットワークへのアクセスを要求するプラットホーム１０１上のエレメントのネットワークアクセスを容易にする機能を実行する。一例では、１つ以上のエージェント１２５Ａは、ネットワーク１８０用のネットワーク管理者に代わってポリシー施行ポイントとして動作するポリシー施行エージェントを含む。一例では、１つ以上のエージェント１２５Ａは更に、プラットホーム１０１のエレメント（例えば、ＣＯＳ１１５）と、信頼できないネットワークとの間の仲裁者として動作しうる。このことは、潜在的に危険性のある又は悪意のあるエンティティからこれらのエレメントを保護するようローミングロケーションからの安全なアクセスを容易にしうる。以下に説明するように（図６参照）、このことは更に、プラットホーム１０１が、少なくとも１つのネットワークにアクセスするための少なくとも１つの階層型信頼レイヤを確立することを可能にしうる。
【００２０】
一例では、プラットホーム１０１は、ネットワークインターフェイス１４０を含む。ネットワークインターフェイス１４０は、有線又はワイヤレス経路を介してプラットホーム１０１をネットワークに接続するためのソフトウェア、ハードウェア、及び／又はファームウェア（例えば、メディアアクセスコントローラ、ワイヤレス送受信器、デジタル信号プロセッサ、アンテナ、無線、ファブリックインターフェイス等）を含みうる。図１に示すように、ネットワークインターフェイス１４０は、複数のフィルタ１４２を含みうる。複数のフィルタ１４２は、一例では、データトラフィックフィルタであり、通信リンク１４１を介するプラットホーム１０１からの／へのデータトラフィックのフローを制御するよう使用される。以下により詳細に説明するように、複数のフィルタ１４２は、ネットワーク管理ポリシーの施行を容易にする、また、可能である場合は、ネットワークにアクセスするための１つ以上の階層型信頼レイヤを確立するようプラットホーム１０１上のエレメントによって構成されうる。他の例では、他のデータトラフィックフィルタが、プラットホーム１０１の１つ以上のパーティションに割り当てられ、プラットホーム１０１上の他のエレメント（例えば、ＳＯＳ１２５、１つ以上のエージェント１２５Ａ、マネージャビリティエンジン１５０等）により制御される。
【００２１】
一実施形態では、プラットホーム１０１は、マネージャビリティ（manageability）エンジン１５０を含む。図１に示すように、マネージャビリティエンジン１５０は、通信リンク１２１を介してＳＯＳ１２５に接続され、通信リンク１５１を介してネットワークインターフェイス１４０に接続される。一例では、以下により詳細に説明するように、マネージャビリティエンジン１５０は、１つ以上のエージェント１２５Ａのうちのポリシー施行エージェントとセキュア通信チャネルを（例えば、ＸＭＬ署名及び／又はＰＫＩ証明を使用して）確立するためのロジック及びメモリを含む。このセキュア通信チャネルは、例えば、通信リンク１２１を介して確立される。この例では、マネージャビリティエンジン１５０は、自分自身とプラットホーム１０１上のアクセスリクエスタ（例えば、ＣＯＳ１１５）及び／又はプラットホーム１０１上に常駐する又は関連付けられる他のエレメントに関連付けられるポスチャ情報を獲得する。この獲得されたポスチャ情報は、次に、通信リンク１２１上のセキュア通信チャネルを介してポリシー施行エージェントに転送される。一例では、このポスチャ情報は、以下に説明するように、次に、ポリシー決定ポイント１８２に転送される。
【００２２】
広義において、ポスチャ情報には、アクセスリクエスタ（例えば、ＣＯＳ１１５）をサポートする又は実施するよう関連付けられる又は割り当てられるプラットホームのハードウェア、ソフトウェア、及び／又は、ファームウェアから収集される経験データをさす完全性測定結果が含まれる。完全性測定結果は更に、マネージャビリティエンジン（例えば、マネージャビリティエンジン１５０）に関連付けられうる。例えば、完全性測定結果は、マネージャビリティエンジン１５０によって直接的に、又は、プラットホーム１０１上のエレメント（例えば、エージェント１１５Ａ又は１２５Ａ）に支援されて獲得される。マネージャビリティエンジン１５０は、例えば、プラットホーム１０１上に常駐するハードウェアサービス又はリソース（図示せず）への直接的なアクセスを有する。これらのハードウェアリソースには、処理エレメント、チップセットレジスタ、メモリ、バス、ファームウェア等が含まれうる。マネージャビリティエンジン１５０は、例えば、これらのハードウェアリソースに直接又は間接的にアクセスして、プラットホーム１０１用のポスチャ情報を収集するために完全性測定結果を獲得することができる。
【００２３】
一例では、完全性測定結果は、アンチウイルスパラメータ、ファイアウォールステータス、ソフトウェアバージョン、ハードウェアステータス、ログ／トレースファイル、プラットホーム上のメモリ内の所与のソフトウェアの存在等を含む。一実施形態では、収集されたポスチャ情報を使用して、アクセスリクエスタ及び／又はマネージャビリティエンジンに関連付けられた特定のエージェントの存在及び／又は能力を決定する。例えば、アンチウイルスソフトウェアは、ＣＯＳ１１５内の１つ以上のエージェント１１５Ａに含まれるエージェントである。アンチウイルスパラメータについての完全性測定結果は、例えば、そのエージェントのステータス（例えば、最新のバージョン）、能力、及び完全性／真正性を決定する。
【００２４】
一実施形態では、マネージャビリティエンジン１５０によって獲得及び転送されたポスチャ情報は更に、通信リンク１４１を介して確立されるセキュア通信チャネルをわたってポリシー決定ポイント１８２に転送される。ポリシー決定ポイント１８２は、例えば、ポスチャ情報とネットワーク管理ポリシーとの比較に基づいて、アクセスリクエスタが獲得可能であるネットワーク１８０へのネットワークアクセスを示す。
【００２５】
一例では、ＳＯＳ１２５は、１つ以上のエージェント１２５Ａを使用して、ＣＯＳ１１５に関するポスチャ情報を収集し、このポスチャ情報を、ポリシー決定ポイント１８２に直接的又は間接的に伝達する。例えば、ＳＯＳ１２５は、ポリシー決定ポイント１８２と共に、セキュア通信チャネルを確立し、更に、認証手順を実施する（例えば、交換情報に暗号署名する）。このようにして、ＳＯＳ１２５を、ＣＯＳ１１５にネットワーク１８０へのアクセスを許可するか、前に許可したアクセスを維持するか、又は、アクセスが許可される場合に得られた所与の階層型信頼レイヤを維持するか、ポリシー決定ポイント１８２が決定するためにＣＯＳ１１５について収集されたポスチャ情報を直接伝達できる信頼できるエージェントとして確立する。間接的な例では、ＳＯＳ１２５は、マネージャビリティエンジン１５０を使用して、ポリシー決定ポイント１８２に対する信頼できるエージェントとなる。従って、ポスチャ情報は最初にマネージャビリティエンジン１５０に転送され、次に、続けて、ポリシー決定ポイント１８２に転送される。
【００２６】
簡単に上述したように、一例では、ＳＯＳ１２５に含まれる１つ以上のエージェント１２５Ａは、プラットホーム１０１のエレメントと、信頼できないネットワークとの間の仲裁者として動作しうる。この例では、プラットホーム１０１のエレメントとは、ＣＯＳ１１５である。従って、例えば、プラットホーム１０１が、モバイルコンピューティングデバイス（例えば、ノートブックコンピュータ）内にある場合、１つ以上のエージェント１２５Ａは、悪意のあるエンティティ（例えば、ワーム、ウイルス等）により危害が加えられる又はハイジャックされる恐れなく、ＣＯＳ１１５を使用してユーザがローミングロケーションから安全なアクセスを得ることを可能にしうる。
【００２７】
図２は、ネットワーク２８０に接続するよう仮想化技術がイネーブルされたプラットホーム２０１を含む例示的なシステム２００を示す図である。図２に示すように、システム２００は、図１に示すシステム１００と類似するエレメントを含む。一実施形態では、プラットホーム２０１は、通信リンク２４１を介してＬＡＮ又はＷＬＡＮ（例えば、ネットワーク２８０）に接続するコンピューティングデバイス（図示せず）の一部である。
【００２８】
一実施形態では、プラットホーム２０１は、仮想化技術スキームに従って動作するよう設計される。このスキームは、例えば、リソースを分配して、複数のオペレーティングシステムをサポートする。これらのリソースの少なくとも一部を図２においてリソース２６０として示す。一例では、リソース２６０Ａ及び２６０Ｂは、パーティション２１０及び２２０に専用又は独立して使用されるリソースを表す。仮想化スキームは、例えば、これらのリソースを、１つのオペレーティングシステムが別のオペレーティングシステムとは別個に独立して動作可能であるよう分配する。図２には、プラットホーム２０１上に２つのパーティションしか示さないが、プラットホーム２０１は、任意の数のパーティションを含んで、複数のオペレーティングシステムをサポートしうる。
【００２９】
一実施形態では、図２に示すように、プラットホーム２０１は、仮想化スキームの実施を支援する複数のインターフェイス２０５Ａ−Ｄを含む。例えば、インターフェイス２０５Ａは、仮想化演算のために処理エレメント及びメモリリソース（例えば、中央演算処理ユニット、メモリコントローラ、メモリ等）を初期化するインターフェイスである。インターフェイス２０５Ｂは、例えば、仮想化演算のために基本入出力システム（ＢＩＯＳ）を初期化又は準備を整える。インターフェイス２０５Ｃは、プラットホーム２０１上のファームウェア（例えば、拡張可能ファームウェアインターフェイス（ＥＦＩ）又は汎用拡張可能ファームウェアインターフェイス（ＵＥＦＩ））を初期化するインターフェイスでありうる。インターフェイス２０５Ｄは、プラットホーム２０１が、プラットホーム２０１上のオペレーティングシステムが関与することなく遠隔管理される必要がある場合には分離及び回復（例えば、クライアント分離及び回復技術（ＣＩＲＴ））のために使用できるインターフェイスでありうる。インターフェイス２０５Ｄは更に、１つ以上のオペレーティングシステム（例えば、ＣＯＳ２１５）が、以下に説明するように、仮想ドライバを使用することを可能にしうる。
【００３０】
一例では、パーティション２１０は、ＣＯＳ２１５を含む。上述したＣＯＳ１１５と同様に、ＣＯＳ２１５は、一例では、ケーパビリティオペレーティングシステムである。この例では、ＣＯＳ２１５は、データを処理する、又は、ユーザによって開始されるコンピューティングデバイス（図示せず）の機能を実行するようユーザの要求に応答するエレメントを表す。ＣＯＳ２１５は、一例では、１つ以上のエージェント２１５Ａを含む。これらのエージェントは、例えば、ネットワーク２８０へのＣＯＳ２１５のアクセス要求を容易にする特定の機能を実行する。一例では、１つ以上のエージェント２１５Ａは、ＣＯＳ２１５及びＣＯＳ２１５によって制御される他のエレメントについてのポスチャ情報を収集する。１つ以上のエージェント２１５Ａは更に、例えば、ＣＯＳ２１５からのセキュア通信を容易にする。これには、ネットワーク２８０へのアクセス要求の開始と、ネットワーク２８０又はネットワーク２８０へのアクセスのためにポリシー施行／決定ポイントに対して自分自身を認証するための任意の処理の実行とが含まれうる。
【００３１】
１つの実施形態では、パーティション２１０は、仮想ドライバ２１２Ａ−Ｂに接続する。この実施形態では、これらのドライバは、ＣＯＳ２１５には実際のドライバのように見えうるが、実際にはＣＯＳ２１５に分配されたメモリスロットであるので、「仮想」とみなされる。その結果、プラットホーム２０１上の又はプラットホーム２０１に接続される他のエレメント（例えば、ＳＯＳ２２５）は実際のドライバに接続され、分配されたメモリスロット内に入れられたコマンドを、これらの実際のドライバに転送しうる。仮想ドライバは、例えば、インターフェイス２０５Ｄを介してアクセスされうる。ＣＯＳ２１５は、仮想ドライバ２１２Ａを使用して、例えば、ワイヤレスネットワークインターフェイス（例えば、ＷＬＡＮネットワークインターフェイスカード（ＮＩＣ））にアクセス又は通信する。ＣＯＳ２１５は、仮想ドライバ２１２Ｂを使用して、例えば、有線ネットワークインターフェイス（例えば、ＬＡＮ  ＮＩＣ）にアクセスする。例えば、これらの有線及び／又はワイヤレスＮＩＣは、ネットワークインターフェイス２４０内に含まれる。
【００３２】
一例では、パーティション２２０は、ＳＯＳ２２５を含む。ＳＯＳ２２５は、図２に示すように、１つ以上のエージェント２２５Ａを含む。１つ以上のエージェント２２５Ａは、一例では、ＳＯＳ２２５が、ネットワーク２８０用のネットワーク管理者に代わってポリシー施行ポイントとして動作することを可能にするポリシー施行エージェントを含む。
【００３３】
一実施形態では、１つ以上のエージェント２２５Ａは、パーティション２２０に接続される複数のドライバ２２２Ａ−Ｅにアクセス又は制御する。ドライバ２２２Ａは、例えば、１つ以上のエージェント２２５Ａが、ネットワークインターフェイス２４０内の有線ネットワークインターフェイスにアクセスすることを可能にし、また、ドライバ２２２Ｂは、ネットワークインターフェイス２４０内のワイヤレスインターフェイスにアクセスすることを可能にする（有線ネットワークインターフェイス及びワイヤレスインターフェイスは共に図示せず）。ドライバ２２２Ｄは、例えば、１つ以上のエージェント２２５Ａによってアクセスされてマネージャビリティエンジン１５０と通信する。
【００３４】
一例では、ドライバ２２２Ｃは、ネットワーク管理ポリシーを施行する１つ以上のエージェント２２５のうちのポリシー施行エージェント用のドライバである。ポリシー施行エージェントは、１つ以上の回路遮断器フィルタ（図示せず）を使用してネットワーク管理ポリシーを施行しうる。これらの回路遮断器フィルタは、ネットワークインターフェイス２４０内の複数のフィルタ２４２内に、及び／又は、プラットホーム２０１上のパーティション内に位置付けられうる。この意味で、回路遮断器フィルタは、プラットホーム２０１上に常駐するハードウェア、ファームウェア、ソフトウェア、又は、ハードウェア、ソフトウェア、若しくはファームウェアの組み合わせに基づきうる。これらの回路遮断器フィルタは、例えば、プラットホーム２０１への／からのデータトラフィックのフローをフィルタリングする。従って、ポリシー施行エージェントは、ドライバ２２２Ｃを使用して、これらの回路遮断器フィルタを、ネットワーク管理ポリシーに関連付けられる特定の基準が満足されない場合に、データトラフィックが阻止されるよう（例えば、回路を遮断する）構成しうる。この基準は、例えば、マネージャビリティエンジン１５０により獲得されるポスチャ情報、ネットワークに対してポリシー決定ポイントによって許可されるネットワークアクセスの指示、又は、例えば、別のネットワークを介するネットワークのアクセス又は接続方法に基づく。
【００３５】
一実施形態では、ＳＯＳ２２５は、任意の数のＮＡＣ通信プロトコルを維持する、又は、任意の数のＮＡＣ通信プロトコルへのアクセスを有してセキュア通信チャネルを確立又は維持する。これらのＮＡＣ通信プロトコルは、例えば、図２に、ＮＡＣプロトコルスタック２６２として示す。一例では、ＮＡＣプロトコルスタック２６２は、ＳＯＳ２２５がアクセス可能であるリソース２６０内に含まれるメモリ（図示せず）内に保持される又は格納されうる。これらのＮＡＣ通信プロトコルには、例えば、産業標準規格又はイニシアティブに記載される様々なセキュリティ関連プロトコルが含まれる。これらの産業標準規格又はイニシアティブには、以下に限定されないが、ＩＥＥＥ８０２．１Ｘプロトコル用のＩＥＥＥ８０２．１ＡＥ／ａｆ、ＥＡＰプロトコル用のＲＦＣ３７４８、ＩＰｓｅｃプロトコル用のＲＦＣ２４０１、ＴＬＳプロトコル用のＲＦＣ２２４６、及びワイヤレスＬＡＮプロトコル用のＩＥＥＥ８０２．１ｌｉが含まれる。一例では、ドライバ２２２Ｅは、ブリッジドライバでありえ、このドライバを介して、１つ以上のエージェント２２５ＡはＮＡＣプロトコルスタック２６２にアクセスしてセキュア通信チャネルを確立する。
【００３６】
一例では、１つ以上のエージェント２２５Ａに含まれるポリシー施行エージェントは、通信リンク２４１を介してポリシー決定ポイント２８２とセキュア通信チャネルを確立する。従って、この例では、ポリシー施行エージェントは、ＮＡＣプロトコルスタック２６２にドライバ２２２Ｅを介してアクセスして、このセキュア通信チャネルを確立する。一実施形態では、このセキュア通信チャネルは更に、アクセスリクエスタ（例えば、ＣＯＳ２１５）に関連付けられるポスチャ情報を転送するためにも使用される。
【００３７】
図２に示すように、プラットホーム２０１は、通信リンク２２１を介してＳＯＳ２２５に接続されるマネージャビリティエンジン１５０を含む。一例では、上述したように、マネージャビリティエンジン１５０は、通信リンク２２１を介するセキュア通信チャネルを（例えば、ＸＭＬ署名及び／又はＰＫＩ証明を使用して）確立するロジック及びメモリを含む。このセキュア通信チャネルは、１つ以上のエージェント２２５Ａのうちのポリシー施行エージェントと確立されうる。この例では、マネージャビリティエンジン１５０は、自分自身と、プラットホーム２０１上のアクセスリクエスタ（例えば、ＣＯＳ２１５）及び／又はプラットホーム２０１上に常駐する又は関連付けられる他のエレメントに関するポスチャ情報を獲得する。獲得されたポスチャ情報は、次に、通信リンク２２１を介してセキュア通信チャネルをわたってポリシー施行エージェントに転送される。
【００３８】
一実施形態では、マネージャビリティエンジン１５０及び／又は１つ以上のエージェント２２５により獲得及び転送されたポスチャ情報は更に、通信リンク２４１を介して確立されるセキュア通信チャネルをわたってポリシー決定ポイント２８２に転送される。一例では、ポリシー決定ポイント２８２は、ポスチャ情報とネットワーク管理ポリシーとの比較に基づいてアクセスリクエスタが獲得可能であるネットワーク２８０へのネットワークアクセスを示す。図１について上述したように、このポスチャ収集、レポーティング、及び解釈の処理は、マネージャビリティエンジン１５０及び／又は１つ以上のエージェント２２５Ａからのポリシー施行エージェントにおける様々な特徴によって実行されうる。
【００３９】
一実施形態では、図２に示すように、通信リンク２４３は、マネージャビリティエンジン１５０をネットワークインターフェイス２４０に接続させる。通信リンク２４３は、例えば、プラットホーム２０１用のデフォルトネットワーク管理ポリシーを施行するためにマネージャビリティエンジン１５０によってのみアクセス可能である排他的通信リンクである。例えば、プラットホーム２０１のスタートアップ又は起動の一部として、マネージャビリティエンジン１５０は、通信リンク２４３を使用して、ネットワークインターフェイス２４０における複数のフィルタ２４２を構成する。複数のフィルタ２４２は、制御データトラフィックのみが、プラットホーム２０１のエレメントから通信リンク２４１を介して流れることが可能であるよう構成されうる。この制御データトラフィックは、例えば、ＳＯＳ２２５と、ネットワーク用のポリシー決定ポイントとの間のデータトラフィックを含みうる。この制御データトラフィックは、そのネットワークへのアクセスを獲得するためのセキュア通信チャネルを確立しうる。その結果、この実施形態では、セキュア通信チャネルの確立に関連しないプラットホーム２０１からのデータトラフィックは全て、セキュア通信チャネルが確立されるまで阻止される。この阻止は、例えば、ネットワーク２８０にアクセスするための第１の階層型信頼レイヤを確立する。
【００４０】
一実施形態では、デフォルトネットワーク管理ポリシーの実施ではなく、又は、デフォルトネットワーク管理ポリシーの実施に加えて、マネージャビリティエンジン１５０は、ポスチャ情報を収集し、その情報を、ＳＯＳ２２５を通り且つ通信リンク２４１をわたって、ネットワーク用のポリシー決定ポイントにルーティングする。この情報は、マネージャビリティエンジン１５０用のＰＫＩ秘密鍵を用いて暗号化又は署名されうる。ポリシー決定ポイントは、ＰＫＩ秘密鍵署名の少なくとも一部に基づいて、マネージャビリティエンジン１５０がポスチャ情報の送信者であることを信用する。ポリシー決定ポイントは、次に、ポリシー決定ポイント用のＰＫＩ鍵で署名された情報を、通信リンク２４１をわたってＳＯＳ２２５を介してマネージャビリティエンジン１５０に転送して戻しうる。この情報は、復号化されると、ＳＯＳ２２５がセキュア通信チャネルを確立し、ネットワークのより多くのアクセスを獲得するために最初に許可されるアクセスを示しうる。一例では、プラットホーム２０１のエレメントが許可されたアクセスを超過しないことを確実にするためのＳＯＳ２２５によるポリシーの施行は、ネットワーク２８０にアクセスするための第２の階層型信頼レイヤを確立する。
【００４１】
一例では、スタートアップ手順の一部として、マネージャビリティエンジン１５０は、ＳＯＳ２２５のイメージがプラットホーム２０１上で作動される（例えば、分配されたリソースが割り当てられる）前にＳＯＳ２２５に関連付けられるポスチャ情報を収集する。マネージャビリティエンジン１５０は、このポスチャ情報をデフォルトのネットワーク管理ポリシーと比較して、ＳＯＳ２２５が、プラットホーム２０１用のサービスオペレーティングシステムとして機能するために適切なクレデンシャルを有することを確実にしうる。このことは、不正エージェントが、ＳＯＳ２２５に悪影響を及ぼし、また、プラットホーム２０１に対する信頼できるエージェントとして動作することを阻止しうる。これらのデフォルトネットワーク管理ポリシーには、ＳＯＳ２２５用の認証及び完全性要件が含まれうる。例えば、ＰＫＩ認証スキームを使用してＳＯＳ２２５をマネージャビリティエンジン１５０に対して認証する。以下に限定されないが、マネージャビリティエンジン１５０とＳＯＳ２２５との間のチャレンジ−応答交換を含む完全性スキームを使用してもよい。この認証／完全性スキームは、例えば、ネットワーク２８０にアクセスするための少なくとも第１の階層型信頼レイヤを確立する。
【００４２】
マネージャビリティエンジン１５０は、一例では、ＳＯＳ２２５がデフォルトネットワーク管理ポリシーを満足しないことに基づいて、修正手順を開始する。例えば、マネージャビリティエンジン１５０は、ネットワーク２８０上のポリシー決定ポイント２８２とセキュア通信チャネルを（例えば、通信リンク２４３及び２４１を介して）確立する。このセキュア通信チャネルには、マネージャビリティエンジン１５０以外のプラットホーム２０１上のエレメントからのデータトラフィックがないので、このセキュア通信チャネルは、一例では、アウト・オブ・バンドネットワーク接続である。この例では、マネージャビリティエンジン１５０は、ＳＯＳ２２５用の新しいイメージを獲得する、又は、ネットワーク２８０に接続されるサーバからパッチをダウンロードすることについての情報を、このアウト・オブ・バンドネットワーク接続を介して要求する。一例では、マネージャビリティエンジン１５０は、（例えば、マネージャビリティエンジン１５０上、又は、マネージャビリティエンジン１５０がアクセス可能であるメモリ内に格納される）ＮＡＣプロトコルスタックを含み、ＳＯＳ２２５がアップデートされる又はパッチがあてられるまで、このアウト・オブ・バンドネットワーク接続を確立及び維持することを容易にする。
【００４３】
別の例では、ＳＯＳ２２５がデフォルトネットワーク管理ポリシーを満足しないこと、又は、ＳＯＳ２２５のイメージが不適切に作動されることに基づいて、マネージャビリティエンジン１５０は、プラットホーム２０１上のアクセスリクエスタが獲得しうるネットワーク２８０へのアクセスを限定又は制限する。この例では、ＣＯＳ２１５は、ＳＯＳ２２５を使用してネットワーク２８０へのアクセスを要求及び獲得しないので、アクセスは、（例えば、複数のフィルタ２４２によって）マネージャビリティエンジン１５０により制限又は限定される。この制限は、修正手順が行われ、ＳＯＳ２２５を適切に作動させる及び／又はＳＯＳ２２５をデフォルトネットワーク管理ポリシーに従うようにさせるまで課されうる。
【００４４】
図３は、マネージャビリティエンジン１５０用の例示的なアーキテクチャのブロック図である。図３では、マネージャビリティエンジン１５０は、セキュリティロジック３１０、制御ロジック３２０、メモリ３３０、入出力（Ｉ／Ｏ）インターフェイス３４０、及び任意選択的に１つ以上のアプリケーション３５０を、それぞれ図示するように接続されて含む。
【００４５】
一例では、図３のブロック図に示すエレメントは、本開示に記載するようにマネージャビリティエンジン１５０をサポート又はイネーブルするエレメントである。例えば、セキュリティロジック３１０及び制御ロジック３２０はそれぞれ又は全体として、マネージャビリティエンジン１５０の特徴を実施するための様々なロジックデバイス又は実行可能なコンテンツのうちのいずれかを表す。これらのロジックデバイスには、マイクロプロセッサ、ネットワークプロセッサ、サービスプロセッサ、マイクロコントローラ、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、特殊用途向け集積回路（ＡＳＩＣ）、マルチコア／マルチスレッドマイクロプロセッサの隔離スレッド又はコア、プロセッサの特殊オペレーティングモード（例えば、システム管理モード）、又はこれらの組み合わせが含まれうる。
【００４６】
図３では、セキュリティロジック３１０は、ポスチャ特徴３１２、ポリシー特徴３１４、通信特徴３１６、及び暗号特徴３１８を含む。一実施形態では、セキュリティロジック３１０は、これらの特徴を使用して幾つかの機能を実行する。これらの機能には、例えば、ポスチャ情報を獲得すること、デフォルトネットワーク管理ポリシーを施行すること、ポリシー施行エージェントとセキュア通信チャネルを確立すること、ポスチャ情報に暗号署名すること、及び、その情報をポリシー施行エージェントに転送することが含まれる。これらの機能には更に、転送されたポスチャ情報に基づいてアクセスリクエスタが獲得可能である（例えば、ネットワーク２８０）へのネットワークアクセスのポリシー決定ポイント（例えば、ポリシー決定ポイント２８２）による指示の完全性及び真正性を検証することが含まれる。別の実施形態では、デフォルト又は他のネットワーク管理ポリシーが、アクセスリクエスタによって所望される又は必要とされるアクセスを許可することができなかった場合に、これらの特徴を使用して修正アクションを行いうる。
【００４７】
制御ロジック３２０は、マネージャビリティエンジン１５０の全体の動作を制御し、また、上述したように、マネージャビリティエンジン１５０の制御を実施する様々なロジックデバイス又は実行可能なコンテンツのいずれかを表しうる。別の例では、制御ロジック３２０の特徴及び機能は、セキュリティロジック３１０内に実装される。
【００４８】
一例では、メモリ３３０の少なくとも一部は、情報を一時的に格納するためにセキュリティロジック３１０又は制御ロジック３２０によって排他的にアクセス可能であるメモリである。例えば、ポスチャ情報、又は、マネージャビリティエンジン１５０と（例えば、１つ以上のエージェント２２５Ａからの）ポリシー施行エージェントとの間のセキュア接続に関する情報に暗号署名するために使用される秘密鍵、ＸＭＬ署名を生成するための情報、又は、デフォルトネットワーク管理ポリシーに関する情報である。ＮＡＣ通信プロトコルスタックも、メモリ３３０の少なくとも一部内に格納されて、アウト・オブ・バンド通信リンクを介するセキュア通信チャネルを確立及び維持することを支援しうる。メモリ３３０は、実行可能なコンテンツも格納しうる。実行可能なコンテンツは、制御ロジック３２０及び／又はセキュリティロジック３１０によって使用されて、マネージャビリティエンジン１５０の特徴又はエレメントを実施又は作動させうる。
【００４９】
複数のＩ／Ｏインターフェイス３４０は、マネージャビリティエンジン１５０と、プラットホーム（例えば、プラットホーム２０１）上に常駐する又はノードから遠隔に位置付けられるエレメント（例えば、ポリシー決定ポイント２８２といったポリシー決定ポイント）との間の通信メディア又はリンクを介するインターフェイスを提供しうる。この結果、複数のＩ／Ｏインターフェイス３４０は、セキュリティロジック３１０又は制御ロジック３２０が、これらのエレメントから一連の命令を受信することを可能にしうる。この一連の命令は、セキュリティロジック３１０及び／又は制御ロジック３２０が、マネージャビリティエンジン１５０の１つ以上の特徴を実施することを可能にしうる。これには、デフォルトネットワーク管理ポリシーを施行することが含まれうる。
【００５０】
一例では、マネージャビリティエンジン１５０は、内部命令を制御ロジック３２０及び／又はセキュリティロジック３１０に供給する１つ以上のアプリケーション３５０を含む。
【００５１】
図４は、ネットワークアクセスを獲得する例示的な方法を説明するフローチャートである。一例では、図２に示すシステム２００をこの方法を説明するために使用する。段階４１０において、例えば、プラットホーム２０１といったプラットホームがオンにされる又は起動される。この起動は、プラットホーム２０１に最初に電力が供給されることによって、又は、プラットホームのリセットによって行われうる。
【００５２】
段階４２０において、一例では、プラットホーム２０１を起動すると、マネージャビリティエンジン１５０内のセキュリティロジック３１０が、ポリシー特徴３１４を作動させる。ポリシー特徴３１４は、一例では、デフォルトネットワーク管理ポリシーを（例えば、メモリ３３０から）獲得する。この例では、このデフォルトネットワーク管理ポリシーに基づいて、ポリシー特徴３１４は、ネットワークインターフェイス２４０内の複数のフィルタ２４２を構成する。上述したように、フィルタの構成により、制御データトラフィックだけが、プラットホーム２０１上のエレメントから流れることを可能にし、更に、ネットワーク２８０にアクセスするための第１の階層型信頼レイヤを確立しうる。
【００５３】
一実施形態では、セキュリティロジック３１０は更に、ポスチャ特徴３１２を作動させてＳＯＳ２２５に関連付けられるポスチャ情報を獲得する。上述したように、このポスチャ情報は、ＳＯＳ２２５のイメージがプラットホーム２０１上で作動される前に獲得されうる。一例では、ポリシー特徴３１４は、ポスチャ情報をデフォルトネットワーク管理ポリシーと比較し、ＳＯＳ２２５がプラットホーム２０１用の信頼できるエージェントとして動作可能であることを確実にするために任意の修正アクションが必要であるか否か判断する。これも、第１の階層型信頼レイヤを確立しうる。
【００５４】
一例では、修正アクションには、セキュリティロジック３１０が通信特徴３１６を作動させて、ポリシー決定ポイント２８２とアウト・オブ・バンド通信リンクを介してセキュア通信チャネルを確立及び維持することが含まれる。更に、セキュリティロジック３１０は、例えば、暗号特徴３１８を作動させて、交換される情報に追加のセキュリティレベルを提供する。この追加のセキュリティレベルの一例は、段階４６０について以下に説明する。
【００５５】
段階４３０において、一例では、ネットワークアクセス要求が、プラットホーム２０１上のアクセスリクエスタから開始される。上述したように、一例では、アクセスリクエスタは、プラットホーム２０１上の任意のエレメントであってよく、ハードウェア、ソフトウェア、ファームウェア、又はこれらのエレメントの組み合わせを含む。例えば、アクセスリクエスタは、ＣＯＳ２１５である。アクセス要求は、一例では、ポリシー決定ポイント２８２に対してなされる。
【００５６】
段階４４０において、一例では、アクセス要求は、プラットホーム２０１上のＳＯＳ２２５によって容易にされる。一実施形態では、ＣＯＳ２１５といったプラットホーム２０１の特定のエレメントからの全てのネットワーク通信は、ＳＯＳ２２５を通過する。この観点から、ＳＯＳ２２５は、これらのネットワーク通信用のネットワーク管理ポリシーのポリシー施行ポイントとして機能する。一例では、ＳＯＳ２２５は、１つ以上のエージェント２２５Ａからのポリシー施行エージェントを作動させ、ポリシー施行アクティビティを実施する。
【００５７】
一実施形態では、１つ以上のエージェント２２５Ａからのポリシー施行エージェントは、ポリシー決定ポイント２８２と通信リンク２４１上のセキュア通信チャネルを確立する。通信リンク２４１には、有線経路、ワイヤレス経路、又は、有線経路又はワイヤレス経路の組み合わせが含まれうる。例えば、ＳＯＳ２２５とネットワークインターフェイス２４０との間の通信リンクの一部は、プラットホーム２０１上にルーティングされた有線経路であり、ネットワークインターフェイス２４０とポリシー決定ポイント２８２との間の一部は、ワイヤレス経路である。この実施形態では、例えば、ＮＡＣプロトコルスタック２６２内に含まれる１つ以上のワイヤレス及び／又は有線ＮＡＣ通信プロトコルに従ってポリシー施行エージェントによってセキュア通信チャネルが確立され、維持される。
【００５８】
段階４５０において、一例では、１つ以上のエージェント２２５Ａからのポリシー施行エージェントは更に、別の通信リンク上にセキュア通信チャネルを確立する。この別の通信リンクは、例えば、通信リンク２２１である。通信リンク２２１は、図２において、ドライバ２２２Ｄに接続するとして示すが、ポリシー施行エージェントは、一例では、通信リンク２２１に接続されるドライバ２２２Ｄを制御する。従って、通信リンク２２１はドライバ２２２Ｄに接続されるので、ポリシー施行エージェントは、通信リンク２２１に接続される。ＳＯＳ２２５とポリシー決定ポイント２８２との間のセキュア接続と同様に、マネージャビリティエンジン１５０とポリシー施行エージェントとの間のセキュア通信チャネルが、ＸＭＬ署名及び／又はＰＫＩ証明を使用して確立され、維持される。一実施形態では、セキュリティロジック３１０の通信特徴３１６は、１つ以上のエージェント２２５Ａからのポリシー施行エージェントとセキュア通信チャネルを確立する。
【００５９】
段階４６０において、一例では、ポスチャ特徴３１２は、アクセスリクエスタであるＣＯＳ２１５とマネージャビリティエンジン１５０に関連付けられるポスチャ情報を獲得する。このポスチャ情報は、属性−値対（ＡＶＰ）又は型−長さ−値（ＴＬＶ）に変換されて、ポリシー施行エージェントへのポスチャ情報の転送を容易にしうる。
【００６０】
一実施形態では、セキュリティロジック３１０内の暗号特徴３１８は、追加のセキュリティレベルを与える。この実施形態では、暗号特徴３１８は、秘密鍵を（例えば、メモリ３３０から）獲得し、ポスチャ情報に、ＰＫＩ又は別のタイプの暗号化スキームを使用してこの秘密鍵を用いて暗号署名をする。更に別のセキュリティ手段として、暗号特徴３１８は、活性（liveliness）（例えば、時間依存型）を証明し、仲裁する不正デバイスがポスチャ情報を獲得し中継することができないことを確実にするようモナトミック（monatomic）トランザクションＩＤ又はナンスを含みうる。ノンスは、例えば、ポスチャ情報に添付される、時間依存型のランダムに発生された数を含みうる。ノンスを含む、暗号署名されたポスチャ情報は、次に、ポリシー施行エージェントに転送される。１つ以上のエージェント２２５Ａからのポリシー施行エージェントは、一例では、その暗号署名されたポスチャ情報を、ポリシー決定ポイント２８２に転送する。
【００６１】
段階４７０において、一例では、ポリシー決定ポイント２８２は、ＣＯＳ２１５が有することのできるネットワーク２８０へのアクセスの指示を与える。例えば、ポリシー決定ポイント２８２は最初に、ポスチャ情報の完全性及び真正性を評価し、次に、そのポスチャ情報をネットワーク管理ポリシーと比較して、許可するネットワークアクセスを決定する。
【００６２】
一実施形態では、この指示は、暗号署名され、且つ、暗号特徴３１８により追加されたノンスを含む。この指示は、例えば、その指示が（例えば、ＰＫＩ又は他のタイプの暗号化スキームを使用して）暗号特徴３１８によってのみ解釈可能であるよう暗号署名されうる。ポリシー施行エージェントは、指示をポリシー決定ポイント２８２から受信すると、その指示をマネージャビリティエンジン１５０に転送する。
【００６３】
一例では、マネージャビリティエンジン１５０が指示を受信すると、暗号特徴３１８は、その指示の完全性及び真正性を検証する。完全性を判断するためには、指示内に含まれるノンスを、前に転送されたポスチャ情報内に含まれるノンスと比較する。真正性を判断するためには、ＰＫＩ証明又はＸＭＬ署名といった認証手順を使用する。一実施形態では、指示は、完全性を有しまた真正であると分かると、暗号特徴３１８によって復号化され、マネージャビリティエンジン１５０は、復号化された指示を、通信リンク２２１を介するセキュア通信チャネルをわたってポリシー施行エージェントに転送する。次に、ポリシー施行エージェントは、例えば、マネージャビリティエンジン１５０から転送された復号化された指示において、アクセスリクエスタであるＣＯＳ２１５により要求されたアクセスが許可されるか否か解釈する。
【００６４】
一例では、暗号特徴３１８が、指示は真正ではない（例えば、ＰＫＩ証明が失敗する又は無効なＸＭＬ署名）、又は、完全性を有さない（例えば、ノンスが、最初に添付されたノンスと一致しない及び／又は活性を有さない）と分かると、暗号署名されたポスチャ情報は、新しいノンスが含められて（例えば、段階４６０において行われたアクションの後で）再び転送される。新しいノンスと共に再度転送することは、ポリシー決定ポイントとして動作する不正コンピューティングデバイスによって試みられているスプーフィングを阻止しうる。
【００６５】
段階４８０において、一例では、ネットワークアクセスが、ＣＯＳ２１５に許可される。この場合、ネットワークアクセスのレベルは、ネットワークインターフェイス２４０内の複数のフィルタ２４２又はプラットフォームパーティション内の他のデータトラフィックフィルタの構成を介して、１つ以上のエージェント２２５Ａからのポリシー施行エージェントにより制御可能である。上述の指示は、ネットワーク管理ポリシーを反映するので、ポリシー施行エージェントは、この例では、この指示を解釈し、その解釈に基づいてプラットホーム２０１上のデータトラフィックフィルタを構成する場合にネットワーク管理ポリシーを施行していることになる。このように、例えば、ネットワーク２８０にアクセスするための第２の階層型信頼レイヤが確立される。
【００６６】
段階４９０において、一例では、ネットワークアクセスが許可されない。この場合、ＳＯＳ２２５内の１つ以上のエージェント２２５Ａは、所望のアクセスを獲得するために必要なアクションを決定しうる。一実施形態では、指示は更に、これらのアクションを行う方法に関する情報を含む。例えば、アンチウイルスソフトウェアをアップデートすること、ネットワーク２８０に接続される指定内部又は外部サーバからパッチをダウンロードすること、又は、プラットホーム２０１上のデータトラフィックフィルタ（例えば、フィルタ２４２）を再構成しうるアクセス制御リスト（ＡＣＬ）を含むアクセス制御ポリシーを実施することである。
【００６７】
一例では、１つ以上のエージェント２２５Ａは、ポリシー決定ポイント２８２によって指示内に記述された修正アクションを完了する。この修正アクションには、例えば、以下に限定されないが、アンチウイルスソフトウェアをアップデートすること、サーバからパッチをダウンロードすること、所与のソフトウェアをダウンロードする又はインストールすることが含まれうる。修正アクションには更に、通信リンク２４１上のデータトラフィックフィルタ２４２を構成して、アクセス制御ポリシーを施行するアクセス制御ポリシーを実施することが含まれうる。１つ以上の修正アクションの完了に基づいて、１つ以上のエージェント２２５Ａからのポスチャ施行エージェントは、マネージャビリティエンジン１５０に、行った修正アクションを反映するアップデートされたポスチャ情報を獲得することを要求しうる。この場合、処理は、段階４６０に戻る。
【００６８】
一実施形態では、１つのセキュア通信チャネルが、ポリシー決定ポイント２８２とＳＯＳ２２５との間に確立され、別のセキュア通信チャネルが、ポリシー施行エージェントとマネージャビリティエンジン１５０との間にも確立される。このようにして、この実施形態では、プラットホーム２０１上のアクセスリクエスタによる後続のアクセス要求について、処理は段階４６０に戻る。
【００６９】
図５は、複数のネットワークへのアクセスを獲得するプラットホーム１０１を含む例示的なシステム５００を示す図である。図５に示すように、システム５００は、ポリシー決定ポイント１８２を介してネットワーク１８０に接続するプラットホーム１０１を含む。図５に示すシステム５００は更に、それぞれ、ポリシー決定ポイント５２２及び５３２を含むネットワーク５２０及び５３０を含む。
【００７０】
一実施形態では、プラットホーム１０１は、図１について説明したエレメントと同じエレメントを含み、図１について説明したようにポリシー決定ポイント１８２を介してネットワーク１８０へのアクセスを開始及び獲得する。そのアクセス処理の一部として、プラットホーム１０１は、通信リンク１４１上にセキュア通信チャネルを確立することを試みる。これには、上述したように、マネージャビリティエンジン１５０によるデフォルト管理ポリシーの施行が含まれうる。１つのそのようなポリシーには、任意のアクセスが許可される前に、プラットホーム１０１上でＳＯＳ１２５が認証される及び／又は適切に作動されるという要件が含まれうる。このようにして、例えば、ＣＯＳ１１５によってなされたネットワークアクセス要求は、ＳＯＳ１２５が認証されず及び／又は適切に作動されない場合には、マネージャビリティエンジン１５０により阻止される。
【００７１】
この実施形態では、ＳＯＳ１２５が認証され且つ適切に作動されること、及び、ポスチャ情報がネットワーク１８０用の管理ポリシーを満足することに基づいて、プラットホーム１０１上のアクセスリクエスタには、ポリシー決定ポイント１８２によってネットワーク１８０へのアクセスが許可される。アクセスリクエスタは次に、ネットワーク５２０及び５３０といった他のネットワークへの他のアクセスを求める。この他のアクセスを開始することには、例えば、ポリシー決定ポイント５３２又は５３４への通信リンク５２１又は５３１上にセキュア通信チャネルを確立することが含まれる。各ネットワークへのアクセスは、例えば、図１−４に説明したように獲得される。
【００７２】
図６は、複数の階層型信頼レイヤを確立してネットワークアクセスを獲得する例示的な方法を説明するフローチャートである。一例では、図５に示すシステム５００を使用して、この方法を説明する。この方法では、プラットホーム１０１は、例えば、ノートブックコンピュータであるコンピューティングデバイス内にある。このノートブックコンピュータのユーザは、企業内ネットワーク（例えば、第２のネットワーク、即ち、ネットワーク５３０）への可能なアクセス特権を有する従業員でありうる。この例では、ユーザは移動しており、ノートブックコンピュータを使用して、インターネットに接続されるホテルのＬＡＮ（例えば、第１のネットワーク、即ち、ネットワーク１８０）へのアクセスを獲得する。ユーザは、例えば、ホテルのＬＡＮ、即ち、ネットワーク１８０へのアクセスを使用して、企業内ネットワーク、即ち、ネットワーク５３０へのアクセスを獲得する。
【００７３】
図６における例示的なフローチャートにおいて示すように、ネットワーク５３０へのアクセスが獲得される前に３つの階層型信頼レイヤ、即ち、信頼レイヤ６１０、６２０、及び６３０が確立される。信頼レイヤ６１０について、例えば、ブロックマネージャビリティエンジン１５０は、サービスオペレーションシステム（例えば、ＳＯＳ１２５）が起動中である及び／又はプラットホーム１０１上で適切に作動している場合にのみ、アクセスリクエスタ（例えば、ＣＯＳ１１５）によるネットワークへのアクセスを許可する（例えば、複数のデフォルトネットワーク管理ポリシーからの）１つのポリシーを施行する。段階６１２において、例えば、マネージャビリティエンジン（ＭＥ）１５０は、プラットホーム１０１をモニタリングし、段階６１４において、モニタリングに基づいて、ＳＯＳ１２５の作動のポリシーが満足されたか否かを判断する。例えば、段階６１６において、上述のポリシーが満足される場合、第１の階層型信頼レイヤが確立され、アクセスリクエスタは、ネットワーク１８０へのアクセスを獲得する。
【００７４】
信頼レイヤ６２０について、ＳＯＳ１２５は、例えば、複数のデフォルトネットワーク管理ポリシーからの１つ以上のポリシーを施行する。これらのポリシーは、例えば、ネットワーク５３０が、ネットワーク５３０に別のネットワークを介して接続されるプラットホームはいずれも、その別のネットワークを介するアクセスを求める前にこれらのポリシーを施行することを要求することに基づく。例えば、ＳＯＳ１２５は、（例えば、フィルタ１４２を介する）プロトコルフィルタリング、及び／又は、プロキシサービスを供給することによりこれらのポリシーを施行して、ＣＯＳ１１５がネットワーク１８０を介してネットワーク５３０にアクセスすることを求める際に悪意のあるコンテンツがＣＯＳ１１５に到達することが阻止されることを確実にする。これらのポリシーには、例えば、以下に限定されないが、アクセス制御リストポリシー、アウトブレイク抑制ポリシー、侵入検知ポリシー、又は、プロキシモニタリングに対して追加的である他のタイプのモニタリングポリシーが含まれる。
【００７５】
段階６２２において、例えば、ＳＯＳ１２５は、ネットワーク１８０用のポリシー決定ポイント（ＰＤＰ）１８２とＣＯＳ１１５との間の通信をモニタリングする。ポリシーを施行し、ＣＯＳ１１５を保護するためには、例えば、ＳＯＳ１２５は、ＣＯＳ１１５とホテルのネットワーク、即ち、ネットワーク１８０との間のネットワーク接続用のＨＴＴＰプロキシとして機能することによりデータトラフィックをモニタリングしうる。ＳＯＳ１２５は、ポリシー決定ポイント１８２又は他のネットワーク１８０のエレメントに対するＨＴＴＰクライアントとして機能しうる。
【００７６】
段階６２４において、例えば、ＣＯＳ１１５及びネットワーク１８０のエレメントに対するプロキシとして、ＳＯＳ１２５は、ＣＯＳ１１５に向けられる任意の悪意のあるデータトラフィックを試験し、及び、フィルタリング／停止しうる。ＳＯＳ１２５は更に、ＣＯＳ１１５からくるデータトラフィックも試験し、及び、フィルタリング／停止しうる。ＳＯＳ１２５は、ＣＯＳ１１５へ／から通過する任意の通信をフィルタリングし、また、プロキシとして動作するので、一例では、ＣＯＳ１１５を保護するポリシーは満足される。従って、段階６２６において、例えば、第２の階層型信頼レイヤが確立され、ＣＯＳ１１５は、ネットワーク１８０を介してネットワーク５３０へのアクセスを求めることを続行しうる。
【００７７】
信頼レイヤ６３０について、一例では、ネットワーク５３０へのアクセスは、図１−４について説明したように獲得される。段階６３２において、例えば、ポスチャ情報が収集され、ネットワーク５３０用のポリシー決定ポイント（ＰＤＰ）５３２に供給される。図６に示すように、このポスチャ情報は、マネージャビリティエンジン１５０及び／又はＳＯＳ１２５によって供給されうる。この情報は、例えば、マネージャビリティエンジン１５０によって暗号署名がされるか、又は、マネージャビリティエンジン１５０及びＳＯＳ１２５の両方によって暗号を用いて署名がされうる。
【００７８】
段階６３４において、例えば、ポリシー決定ポイント（ＰＤＰ）５３２は、ポスチャ情報を、ネットワーク５３０の管理ポリシーと比較して、許可されるアクセスについての指示を、マネージャビリティエンジン１５０及び／又はＳＯＳ１２５に戻す。図１−４について上述したように、例えば、この指示には、フィルタの構成／再構成、又は、推奨される修正アクションを含みうる。例えば、ＳＯＳ１２５は、フィルタ１４２を、この指示に基づいて構成して、ネットワーク５３０の管理ポリシーを施行する。
【００７９】
段階６３６において、例えば、第３の階層型信頼レイヤは、ＳＯＳ１２５又はマネージャビリティエンジン１５０が複数のフィルタ１４２を構成してネットワーク５３０の管理ポリシーを施行すること、又は、ＣＯＳ１１５及び／又はプラットホーム１０１の他のエレメントがポリシーに適合するようにする修正アクションを行うことに基づいて確立される。一例では、ＣＯＳ１１５は、ネットワーク５３０への十分なアクセスを獲得して、ネットワーク５３０上のサーバ（例えば、共有ドライブ又は企業内データベース）へのＶＰＮ接続を確立する。一例では、ＶＰＮ接続が確立されると、第１及び第２の階層型信頼レイヤを獲得するためにＳＯＳ１２５及び／又はマネージャビリティエンジン１５０が行ったアクションはもはや必要でなくなる、又は、規模縮小される。例えば、ＳＯＳ１２５は、ＶＰＮ接続が維持される限り、もはやプロキシとして動作しない、及び／又は、ＣＯＳ１１５へ／からの通信をフィルタリングしない。
【００８０】
一例では、ＳＯＳ１２５及びマネージャビリティエンジン１２５は、ＣＯＳ１１５又はプラットホーム１０１用のポスチャ情報を定期的に収集し、そのポスチャ情報を、ポリシー決定ポイント５３２に転送して、第３の階層型信頼レベルを維持しうる。その結果、ポリシー決定ポイント５３２は、ＣＯＳ１１５のステータスに関する情報を受信し、そのステータスがネットワーク管理ポリシーを侵害する場合にはアクセスを制限しうる。この制限されたアクセスには、例えば、ＳＯＳ１２５を再度認証するためにマネージャビリティエンジン１５０を使用する、及び／又は、１つ以上の階層型信頼レベルを再度獲得する、又は、再度確立するために修正アクションを行うという要件が含まれうる。
【００８１】
図３のメモリ３３０を再び参照する。メモリ３３０は、以下に限定されないが、揮発性メモリ、不揮発性メモリ、フラッシュ、プログラマブル変数又は状態、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、フラッシュ、又は、他のスタティック又はダイナミック記憶媒体を含む様々なメモリ媒体を含みうる。
【００８２】
一例では、機械可読命令は、機械アクセス可能媒体の一形態からメモリ３３０に供給可能である。機械アクセス可能媒体は、機械（ＡＳＩＣ、特殊機能コントローラ又はプロセッサ、ＦＰＧＡ、マネージャビリティエンジン又は他のハードウェアデバイス）によって読出し可能である形式の情報又はコンテンツを供給する（例えば、格納する及び／又は送信する）任意の機構を表しうる。例えば、機械アクセス可能媒体には、ＲＯＭ、ＲＡＭ、磁気ディスク記憶媒体、光記憶媒体、フラッシュメモリデバイス、電気的、光学的、音響的、又は他の形式の伝播信号（例えば、搬送波、赤外線信号、デジタル信号）等が含まれうる。
【００８３】
用語「応答する」への本明細書及び特許請求の範囲における参照は、特定の機能及び／又は構造のみに対する応答性に限定されない。１つの特徴は、別の特徴及び／又は構造に対する「応答する」も有し得るものであり、その特徴及び／又は構造内にあることもあり得る。更に、用語「応答する」は、「通信するよう結合された」、「動作するよう結合された」や、「相互作用する」などの他の用語と同義であり得るが、上記用語はこの点に限定されない。
【００８４】
以上、説明の目的で、本明細書及び特許請求の範囲の理解をもたらすために、数多くの具体的な詳細を記載した。本明細書及び特許請求の範囲は、前述の具体的な詳細なしで実施可能であることは明らかである。一方、本明細書及び特許請求の範囲を不明瞭とすることを回避する目的で構造及び装置をブロック図で示している。
【図１】
2009525711.tif 000003
【図２】
2009525711.tif 000004
【図３】
2009525711.tif 000005
【図４】
2009525711.tif 000006
【図５】
2009525711.tif 000007
【図６】
2009525711.tif 000008
【国際調査報告】
2009525711.tif 000009
2009525711.tif 000010