(57)【要約】【課題】ネットワークセキュリティモジュールによって実施された保護セキュリティ手段によってネットワークアクティビティが全般的にブロックされているときに、ネットワークデバイスがセキュアな方法でネットワークアクティビティを再開することを可能にする。【解決手段】セキュリティサービスは、ネットワークセキュリティモジュールによって実施されるとネットワークデバイスが一部のネットワークアクティビティを再開できるようにするセキュリティ手段の緩和されたセットをネットワークセキュリティモジュール／ネットワークデバイスが受け取ることができるか判定する。そしてセキュリティ手段の緩和されたセットを受け取ることができると判定された場合に、セキュリティ手段の緩和されたセットが、ネットワークセキュリティモジュールに返され、ネットワークセキュリティモジュールで実施される。【選択図】図３
2006074760.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークセキュリティモジュールによって実施される保護セキュリティ手段によってネットワークアクティビティが全般的にブロックされているときに第１ネットワークデバイスが通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にするシステムであって、
通信ネットワークと、
第１ネットワークセキュリティモジュールを含む複数のネットワークセキュリティモジュールであって、前記複数のネットワークセキュリティモジュールのそれぞれは、前記通信ネットワークとネットワークデバイスとの間に入れられ、前記第１ネットワークセキュリティモジュールは、前記通信ネットワークと前記第１ネットワークデバイスとの間に入れられ、前記複数のネットワークセキュリティモジュールのそれぞれは、セキュリティサービスから入手されたセキュリティ手段を実施することによって、保護されたネットワークデバイスとの間のネットワークアクティビティを制御する、複数のネットワークセキュリティモジュールと、
少なくとも前記第１ネットワークセキュリティモジュールにセキュリティ手段を提供するセキュリティサービスであって、前記セキュリティサービスは、前記複数のネットワークセキュリティモジュールが前記複数のネットワークデバイスとの間のネットワークアクティビティをブロックするセキュリティ手段を実施しているときに、前記第１ネットワークセキュリティモジュールによって実施されると、前記第１ネットワークデバイスが少なくともいくつかのネットワークアクティビティを再開することを、許可するセキュリティ手段の緩和されたセットを前記セキュリティサービスが前記第１ネットワークセキュリティモジュールに提供するように、管理者によって構成可能である、セキュリティサービスと
を備えることを特徴とするシステム。
【請求項２】
前記セキュリティサービスは、前記第１ネットワークセキュリティモジュールからのセキュリティ手段を求める周期的要求に応答して、前記第１ネットワークセキュリティモジュールにセキュリティ手段を提供することを特徴とする請求項１に記載のシステム。
【請求項３】
前記セキュリティサービスは、前記ネットワークデバイスが所定の判断基準のセットを満足するかどうかの判定時に、前記第１ネットワークセキュリティモジュールにセキュリティ手段の前記緩和されたセットを提供することを特徴とする請求項２に記載のシステム。
【請求項４】
前記セキュリティサービスは、管理者が所定の判断基準の前記セットを確立できるように、前記管理者によって構成可能であることを特徴とする請求項３に記載のシステム。
【請求項５】
前記セキュリティサービスは、前記第１ネットワークデバイスに関する追加情報を入手することによって、前記第１ネットワークデバイスが所定の判断基準の前記セットを満足するかどうかを判定することを特徴とする請求項４に記載のシステム。
【請求項６】
前記第１ネットワークデバイスに関する追加情報を入手することは、ソフトウェアアップデートが前記第１ネットワークデバイスにインストールされているかどうかを前記第１ネットワークセキュリティモジュールに照会することを含むことを特徴とする請求項５に記載のシステム。
【請求項７】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスが特定のＶＬＡＮのメンバであるかどうかを前記第１ネットワークセキュリティモジュールに照会することを含むことを特徴とする請求項５に記載のシステム。
【請求項８】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスがコンピュータエクスプロイトがないかどうかに関する情報を入手することを含むことを特徴とする請求項５に記載のシステム。
【請求項９】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスが、そのメンバであるＶＬＡＮを管理するルータがネットワークセキュリティモジュールによって保護されているかどうかを照会することを含むことを特徴とする請求項５に記載のシステム。
【請求項１０】
通信ネットワーク内のセキュリティサービスで実施される、ネットワークセキュリティモジュールによって実施された保護セキュリティ手段によって通信ネットワーク上のネットワークアクティビティが全般的にブロックされているときに、第１ネットワークデバイスが前記通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする方法であって、
前記通信ネットワークと前記第１ネットワークデバイスとの間に入れられたネットワークセキュリティモジュールからセキュリティ手段を求める要求を受信することと、
前記セキュリティサービスは、セキュリティ手段の緩和されたセットを前記ネットワークセキュリティモジュールに配布するように構成済みであるかどうかを判定することであって、セキュリティ手段の前記緩和されたセットは、前記ネットワークセキュリティモジュールによって実施されたときに、前記第１ネットワークデバイスが前記通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする、判定することと、
前記セキュリティサービスがセキュリティ手段の前記緩和されたセットを前記ネットワークセキュリティモジュールに配布するように構成済みであると判定された場合に、セキュリティ手段の前記緩和されたセットを前記ネットワークセキュリティモジュールに返すことと
を備えることを特徴とする方法。
【請求項１１】
前記第１ネットワークデバイスが所定の判断基準を満足するかどうかを判定することと、前記ネットワークデバイスが前記所定の判断基準を満足する場合にセキュリティ手段の前記緩和されたセットを前記ネットワークセキュリティモジュールに返すこととをさらに備えることを特徴とする請求項１０に記載の方法。
【請求項１２】
前記第１ネットワークデバイスが所定の判断基準を満足するかどうかを判定することは、前記第１ネットワークデバイスに関する追加情報を入手することと、前記追加情報が前記所定の判断基準を満足するかどうかを判定することとを含むことを特徴とする請求項１１に記載の方法。
【請求項１３】
前記第１ネットワークデバイスに関する追加情報を入手することは、ソフトウェアアップデートが前記第１ネットワークデバイスにインストールされているかどうかを前記ネットワークセキュリティモジュールに照会することを含むことを特徴とする請求項１２に記載の方法。
【請求項１４】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスが特定のＶＬＡＮのメンバであるかどうかを前記ネットワークセキュリティモジュールに照会することを含むことを特徴とする請求項１２に記載の方法。
【請求項１５】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスがコンピュータエクスプロイトがないかどうかに関する情報を入手することを含むことを特徴とする請求項１２に記載の方法。
【請求項１６】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスが、そのメンバであるＶＬＡＮを管理するルータがネットワークセキュリティモジュールによって保護されているかどうかを照会することを含むことを特徴とする請求項１２に記載の方法。
【請求項１７】
通信ネットワークとネットワークデバイスとの間に入れられた複数のネットワークセキュリティモジュールにセキュリティ手段を提供するコンピューティングデバイスで実行されると、ネットワークセキュリティモジュールによって実施された保護セキュリティ手段によって前記通信ネットワーク上のネットワークアクティビティが全般的にブロックされているときに第１ネットワークデバイスが前記通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする方法を実行するコンピュータ実行可能命令を有するコンピュータ可読媒体であって、前記方法は、
前記通信ネットワークと前記第１ネットワークデバイスとの間に入れられたネットワークセキュリティモジュールからセキュリティ手段を求める要求を受信することと、
前記コンピューティングデバイスがセキュリティ手段の緩和されたセットを前記ネットワークセキュリティモジュールに配布するように構成済みであるかどうかを判定することであって、セキュリティ手段の前記緩和されたセットは、前記ネットワークセキュリティモジュールによって実施されると、前記第１ネットワークデバイスが前記通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする、判定することと、
前記コンピューティングデバイスがセキュリティ手段の前記緩和されたセットを前記ネットワークセキュリティモジュールに配布するように構成済みであると判定された場合に、セキュリティ手段の前記緩和されたセットを前記ネットワークセキュリティモジュールに返すことと
を備えることを特徴とするコンピュータ可読媒体。
【請求項１８】
前記方法は、
前記第１ネットワークデバイスが所定の判断基準を満足するかどうかを判定することと、前記ネットワークデバイスが前記所定の判断基準を満足する場合にセキュリティ手段の前記緩和されたセットを前記ネットワークセキュリティモジュールに返すこととをさらに備えることを特徴とする請求項１７に記載のコンピュータ可読媒体。
【請求項１９】
前記第１ネットワークデバイスが所定の判断基準を満足するかどうかを判定することは、前記第１ネットワークデバイスに関する追加情報を入手することと、前記追加情報が前記所定の判断基準を満足するかどうかを判定することとを含むことを特徴とする請求項１８に記載のコンピュータ可読媒体。
【請求項２０】
前記第１ネットワークデバイスに関する追加情報を入手することは、ソフトウェアアップデートが前記第１ネットワークデバイスにインストールされているかどうかを前記ネットワークセキュリティモジュールに照会することを含むことを特徴とする請求項１９に記載のコンピュータ可読媒体。
【請求項２１】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスが特定のＶＬＡＮのメンバであるかどうかを前記ネットワークセキュリティモジュールに照会することを含むことを特徴とする請求項１９に記載のコンピュータ可読媒体。
【請求項２２】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスがコンピュータエクスプロイトがないかどうかに関する情報を入手することを含むことを特徴とする請求項１９に記載のコンピュータ可読媒体。
【請求項２３】
前記第１ネットワークデバイスに関する追加情報を入手することは、前記第１ネットワークデバイスが、そのメンバであるＶＬＡＮを管理するルータがネットワークセキュリティモジュールによって保護されているかどうかを照会することを含むことを特徴とする請求項１９に記載のコンピュータ可読媒体。
【請求項２４】
ネットワークセキュリティモジュールによって実施された保護セキュリティ手段によってネットワークアクティビティが全般的にブロックされているときに、第１ネットワークデバイスが通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にするコンピュータネットワーク化されたシステムであって、
通信ネットワークと、
第１ネットワークセキュリティモジュールを含む複数のネットワークセキュリティモジュールであって、前記複数のネットワークセキュリティモジュールのそれぞれは、前記通信ネットワークとネットワークデバイスとの間に入れられ、前記第１ネットワークセキュリティモジュールは、前記通信ネットワークと前記第１ネットワークデバイスとの間に入れられ、前記複数のネットワークセキュリティモジュールのそれぞれは、セキュリティサービス手段から入手されたセキュリティ手段を実施することによって、保護されたネットワークデバイスとの間のネットワークアクティビティを制御する、複数のネットワークセキュリティモジュールと、
少なくとも前記第１ネットワークセキュリティモジュールにセキュリティ手段を提供するセキュリティサービス手段であって、前記セキュリティサービス手段は、前記複数のネットワークセキュリティモジュールが前記複数のネットワークデバイスとの間のネットワークアクティビティをブロックするセキュリティ手段を実施しているときに、前記第１ネットワークセキュリティモジュールによって実施されると、前記第１ネットワークデバイスが少なくともいくつかのネットワークアクティビティを再開することを、許可するセキュリティ手段の緩和されたセットを前記セキュリティサービス手段が前記第１ネットワークセキュリティモジュールに提供するように、管理者によって構成可能である、セキュリティサービス手段と
を備えることを特徴とするシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワークおよびデバイスのセキュリティに関し、具体的には、ネットワークの通信がセキュリティの脅威に起因して全般的に制限されている間に仮想ネットワーク内のネットワーク化されたデバイスが動作することをセキュアに可能にするシステムおよび方法に関する。
【背景技術】
【０００２】
より多くのコンピュータおよび他のコンピューティングデバイスが、インターネットなどの様々なネットワークを介して相互接続されるようになるにつれて、特にネットワークまたは情報ストリームを介して配布される侵入または攻撃からのコンピュータセキュリティが、ますます重要になってきた。これらの攻撃が、コンピュータウィルス、コンピュータワーム、システムコンポーネント置換、サービス拒否攻撃、正当なコンピュータシステムの機能の誤用／濫用を含むがこれに限定されない多数の異なる形態で来て、これらのすべてが、不正な目的に１つまたは複数のコンピュータシステムの脆弱性を利用することを当業者は理解されよう。当業者は、様々なコンピュータ攻撃が互いに技術的に別個であることを認識するであろうが、本発明において、説明を単純にするために、これらの攻撃のすべてを以下では一般にコンピュータエクスプロイト（ｃｏｍｐｕｔｅｒ  ｅｘｐｌｏｉｔ）または単にエクスプロイトと呼称する。
【０００３】
コンピュータシステムが、コンピュータエクスプロイトによって攻撃されるか「感染」されると、システムデバイスの使用不能化；ファームウェア、アプリケーション、またはデータファイルの消去または破壊；潜在的に機密のデータのネットワーク上の別の位置への送信；コンピュータシステムのシャットダウン；あるいはコンピュータシステムをクラッシュさせることを含めて、悪い結果は様々である。すべてではないが多くのコンピュータエクスプロイトのもう１つの悪質な態様は、感染したコンピュータシステムが他のコンピュータの感染に使用されることである。
【０００４】
図１は、それを介してコンピュータエクスプロイトが一般に配布される例示的なネットワーク化された環境１００を示す図である。図１からわかるように、例示的なネットワーク化された環境１００に、イントラネットなどの通信ネットワーク１１０を介して、または一般にインターネットと称するグローバルＴＣＰ／ＩＰネットワークを含むより大きいネットワークを介してすべてが相互接続された複数のコンピュータ１０２〜１０８が含まれる。どのような理由であれ、コンピュータ１０２など、通信ネットワーク１１０に接続されたコンピュータ側の悪意のある当事者は、コンピュータエクスプロイト１１２を開発し、ネットワークで放出する。放出されたコンピュータエクスプロイト１１２は、矢印１１４によって示されているように、コンピュータ１０４などの１つまたは複数のコンピュータによって受け取られ、これに感染する。多くのコンピュータエクスプロイトで典型的であるように、感染したならば、コンピュータ１０４は、矢印１１６によって示されているように、コンピュータ１０８などの他のコンピュータに感染するのに使用され、これが、矢印１１８によって示されるように、コンピュータ１０６などのさらに別のコンピュータに感染する。明らかに、現代のコンピュータネットワークの速度および到達範囲に起因して、コンピュータエクスプロイト１１２は、指数関数的な速度で「増加」することができ、瞬時にローカルに流行し、これが瞬く間にグローバルにコンピュータで流行するようにエスカレートする。
【０００５】
コンピュータエクスプロイト、特にコンピュータウィルスおよびコンピュータワームに対する伝統的な防御は、アンチウィルスソフトウェアである。一般に、アンチウィルスソフトウェアは、ネットワークを介して到着する着信データをスキャンし、既知のコンピュータエクスプロイトに関連する識別可能なパターンを探す。既知のコンピュータエクスプロイトに関連するパターンを検出したときに、アンチウィルスソフトウェアは、感染したデータからコンピュータウィルスを除去し、データを隔離し、または「感染した」着信データを削除することによって応答することができる。残念ながら、アンチウィルスソフトウェアは、通常、「既知の」識別可能なコンピュータエクスプロイトを扱う。これは、頻繁に、データ内のパターンをエクスプロイトの「シグネチャ」と称するものとマッチングすることによって行われる。このエクスプロイト検出モデルの核になる欠陥の１つが、コンピュータのアンチウィルスソフトウェアがアップデートされて新しいコンピュータエクスプロイトを識別し、反応するようになるまで、未知のコンピュータエクスプロイトがネットワーク内を検査されずに伝搬する可能性があることである。
【０００６】
アンチウィルスソフトウェアが、数千個の既知のコンピュータエクスプロイトの認識において洗練され、効率的になるにつれて、コンピュータエクスプロイトも洗練されてきた。例えば、多数の最近のコンピュータエクスプロイトは、現在はポリモーフィック（ｐｏｌｙｍｏｒｐｈｉｃ）であり、言い換えると、移動中にアンチウィルスソフトウェアによって認識できる識別パターンまたは「シグネチャ」を有しない。これらのポリモーフィックエクスプロイトは、別のコンピュータシステムに伝搬する前にそれ自体を変更するので、しばしば、アンチウィルスソフトウェアによって認識不能である。
【０００７】
コンピュータエクスプロイトに対する保護で現在一般的なもう１つの防御は、ハードウェアまたはソフトウェアのネットワークファイヤウォールである。当業者が認めるように、ファイヤウォールは、内部ネットワークと外部ネットワークの間の情報の流れを制御することによって、外部ネットワークから発する許可されないアクセスから内部ネットワークを保護するセキュリティシステムである。ファイヤウォールの外部から発するすべての通信が、まず、プロキシに送られ、このプロキシは、通信を検査し、その通信を所期の宛先に転送することが安全または許可可能であるかどうかを判定する。残念ながら、許容可能なネットワークアクティビティが妨げられず、許容不能なネットワークアクティビティが拒否されるようにファイヤウォールを正しく構成することは、高度な複雑な作業である。技術的に複雑であることに加えて、ファイヤウォール構成は、管理がむずかしい。ファイヤウォールが不正に構成されたときに、許容可能なネットワークトラフィックが、誤ってシャットダウンされる可能性があり、許容不能なネットワークトラフィックが、通過を許され、内部ネットワークを危険にさらす可能性がある。この理由から、ファイヤウォールに対する変更は、一般に低い頻度で、技術的なネットワーク設計という主題に精通した人のみによって行われる。
【０００８】
ファイヤウォールのさらなる限定として、ファイヤウォールは、内部ネットワークを保護するが、特定のコンピュータに関する保護を提供しない。言い換えると、ファイヤウォールは、特定のコンピュータの必要に合わせてそれ自体を適合させない。その代わりに、ファイヤウォールが単一のコンピュータの保護に使用される場合であっても、そのファイヤウォールは、単一のコンピュータの構成に従ってではなく、そのファイヤウォールの構成に従ってコンピュータを保護する。
【０００９】
ファイヤウォールに関連するもう１つの問題は、ファイヤウォールが、ファイヤウォールによって確立された境界の中から発するコンピュータエクスプロイトからの保護を提供しないことである。言い換えると、エクスプロイトが、ファイヤウォールによって保護されたネットワークに侵入できたならば、そのエクスプロイトは、ファイヤウォールによって妨げられない。この状況は、従業員がポータブルコンピュータを自宅（すなわち会社ファイヤウォール保護の外部）に持ち帰り、家庭のより安全でない環境でそれを使用するときに頻繁に発生する。その後、従業員に知られずに、ポータブルコンピュータが感染する。このポータブルコンピュータが、ファイヤウォールの保護の中の会社ネットワークに再接続されたときに、エクスプロイトは、しばしば、ファイヤウォールによって検査されずに、他のコンピュータに感染することができる。同様に、ある人が、知らずにまたはそれ以外で、ＣＤ−ＲＯＭ、フロッピディスク、フラッシュメモリストレージデバイスなどの、コンピュータエクスプロイトに感染した媒体を持ち込み、ファイヤウォールの保護障壁の中のコンピュータを使用してその媒体に記憶された情報を読み取るか実行するときに、そのコンピュータおよび会社ネットワークが、やはり、露出され、危険であり、ファイヤウォールによって保護されない。
【００１０】
コンピュータエクスプロイトに潜在的に感染しているポータブルコンピュータをネットワークに接続または再接続するという問題に関して、１つの解決策は、追加されるコンピュータを、ネットワーク内の隔離された仮想ローカルエリアネットワーク（ＶＬＡＮと呼称する）に置くことであった。ＶＬＡＮは、当技術分野で既知の通り、ネットワークの実際の物理的構成と無関係に、実際のネットワークの中で確立できる論理サブネットワークである。ネットワーク管理者は、１つのＶＬＡＮ内のコンピュータが、他のＶＬＡＮ内のコンピュータおよびデバイスなど、ネットワーク内のＶＬＡＮの外部の他のデバイスと通信する能力を制御する。したがって、隔離されたＶＬＡＮは、隔離されたＶＬＡＮ内のコンピュータが、非常に限られた例外を除いて、隔離されたＶＬＡＮの外部の他のデバイスおよび／またはコンピュータと通信することを許可しないように構成される。追加されたコンピュータが、コンピュータエクスプロイトがないと証明された後に限って、追加されたコンピュータは、ネットワーク内の他の「通常の」ＶＬＡＮに入ることを許される。残念ながら、この実践は、追加されたコンピュータで見つかるすべてのコンピュータエクスプロイトからネットワークを保護することができるが、潜在的に深刻な結果がある。
【００１１】
追加されたコンピュータを隔離されたＶＬＡＮに隔離することの結果の１つが、追加されたコンピュータが、隔離されたＶＬＡＮ内を循環するコンピュータエクスプロイトにさらされることである。したがって、追加されたコンピュータは、隔離される前にコンピュータエクスプロイトがまったくない場合があるが、隔離されたＶＬＡＮに置かれたときに、やはり隔離されたＶＬＡＮに隔離された他のコンピュータのコンピュータエクスプロイトに感染する、かなりの危険性がある。もう１つの結果として、追加されたコンピュータが、コンピュータエクスプロイトに感染している場合に、追加されたコンピュータが、隔離されたＶＬＡＮに置かれたときに、その隔離内の他のコンピュータが、追加されたコンピュータに感染しているコンピュータエクスプロイトにさらされる。要するに、ネットワーク全体を保護することはできるが、隔離されたＶＬＡＮに置かれたコンピュータはコンピュータエクスプロイトに感染する可能性が、かなり高くなる。
【００１２】
上で述べたように、コンピュータエクスプロイトは、現在、攻撃において正当なコンピュータシステムの機能を活用する。したがって、ファイヤウォールプロバイダおよびアンチウィルスソフトウェアプロバイダ以外の多数の当事者が、これらのコンピュータエクスプロイトからコンピュータを防衛することに参加しなければならない。例えば、オペレーティングシステムプロバイダは、現在、経済的理由および契約上の理由から、オペレーティングシステムを継続的に分析して、コンピュータエクスプロイトによって使用される可能性がある弱点または脆弱性を識別しなければならない。この議論において、コンピュータエクスプロイトがそれによってコンピュータシステムを攻撃できる道を、一般に、コンピュータシステムの脆弱性または単に脆弱性と呼称する。
【００１３】
脆弱性が、オペレーティングシステムあるいは他のコンピュータシステムコンポーネント、ドライバ、および／またはアプリケーションで識別され、対処されるときに、プロバイダは、通常、脆弱性を矯正し、対処するためのソフトウェアアップデートを公開する。これらのアップデートは、しばしばパッチと呼ばれるが、識別された脆弱性からコンピュータシステムを保護するために、コンピュータシステムにインストールされることを意図されたものである。しかし、これらのアップデートは、本質的に、オペレーティングシステム、デバイスドライバ、またはソフトウェアアプリケーションなどのコンポーネントに対するコード変更である。したがって、これらは、アンチウィルスソフトウェアプロバイダからのアンチウィルスアップデートのように素早く自由に公開することができない。これらのアップデートは、コード変更なので、ソフトウェアアップデートは、公衆に公開する前に、かなりのインハウステスト（ｉｎ−ｈｏｕｓｅ  ｔｅｓｔ）を必要とする。残念ながら、インハウステストを行っても、ソフトウェアアップデートが、１つまたは複数の他のコンピュータシステムの機能の破壊または誤動作を引き起こす場合がある。したがって、ソフトウェアアップデートは、コンピュータのある態様に頼る当事者に、特にソフトウェアアップデートがコンピュータシステムのクリティカルな特徴に影響する可能性がある場合に、巨大なジレンマをもたらす。具体的に言うと、当事者は、脆弱性から保護するためにコンピュータシステムをアップデートし、コンピュータシステムの動作を分裂させるか、コンピュータシステムのアップデートを控え、コンピュータシステムが感染する危険性を冒すかである。
【００１４】
パーソナルコンピュータ、携帯情報端末（ＰＤＡ）、モバイル通信デバイスなどを含むネットワークデバイスを保護する新規の手法の１つが、ネットワークとネットワークデバイスの間にネットワークセキュリティモジュールを置き、ネットワークデバイスとの間のすべての通信がネットワークセキュリティモジュールを通過しなければならないようにすることである。この新規の手法は、同一出願人による２００４年２月１３日出願の「System and Method for Securing a Computer System Connected to a Network from Attacks」という名称の米国特許仮出願第６０／５４４７８３号明細書により詳細に記載されており、参照によりその全体が本明細書に組み込まれる。
【００１５】
この参照により組み込まれるシステムおよび方法によれば、各ネットワークセキュリティモジュールは、保護されたネットワークデバイスの特定の構成および現在識別されているコンピュータシステムの脆弱性に対応するセキュリティ手段を実施または強制する。ネットワークセキュリティモジュールは、グローバルセキュリティサービスからまたは、連合セキュリティサービス（ｆｅｄｅｒａｔｅｄ  ｓｅｃｕｒｉｔｙ  ｓｅｒｖｉｃｅ）と称するセキュリティサービスの階層編成を介してのいずれかで、セキュリティサービスからセキュリティ手段を入手する。セキュリティ手段の実施または強制は、保護されたネットワークデバイスとの間のネットワークアクティビティの様々な態様に制御を行使することを暗示する。セキュリティ手段の例に、セキュリティサービスまたはアンチウィルスソフトウェアサービスなどの信頼されるネットワークロケーションと保護されたネットワークデバイスとの間の通信を除いて、保護されたネットワークデバイスとの間のすべてのネットワーク通信をブロックすること；ある通信ポートおよび通信アドレスに対するネットワークトラフィックをブロックすること；電子メールアプリケーションまたはウェブブラウザアプリケーションなどのあるネットワーク関連アプリケーションとの間の通信をブロックすること；および保護されたネットワークデバイスにある特定のハードウェアコンポーネントまたはソフトウェアコンポーネントへのアクセスをブロックすることが含まれる。
【００１６】
動作中に、ネットワークセキュリティモジュールは、通常、現在のセキュリティ手段を求めてセキュリティサービスに周期的に照会するかポーリングするように構成される。したがって、コンピュータエクスプロイトがネットワークで検出されたとき、またはオペレーティングシステムプロバイダがシステム内の脆弱性を検出した場合に、オペレーティングシステムプロバイダは、その脆弱性／エクスプロイトに対抗するセキュリティ手段をセキュリティサービスに供給する。これらのアップデートされたセキュリティ手段が、その後、ネットワークセキュリティモジュールが周期的にセキュリティサービスをポーリングするときに、ネットワークセキュリティモジュールによって入手される。入手されたならば、アップデートされた／最新のセキュリティ手段が、ネットワークセキュリティモジュールによって実施／強制され、これによって、保護されたネットワークデバイスが、検出されたコンピュータエクスプロイトまたは脆弱性から防護される。
【００１７】
コンピュータエクスプロイトがよりよく理解されるまで、最初のセキュリティ手段に、保護されたネットワークデバイスとの間のすべてのネットワークアクティビティをブロックすることを含めることができる。しかし、コンピュータエクスプロイトがよりよく理解されたならば、セキュリティ手段のよりゆるやかなセットを使用して、あるネットワークアクティビティを許可しながら、脆弱性からの適度な保護を維持することができる。さらに、ソフトウェアアップデートまたはアンチウィルスアップデートが開発され、その後、保護されたネットワークデバイスにインストールされたならば、「普通」のネットワークアクティビティの再開を可能にする、セキュリティ手段の新しいセットを入手することができ、この新しいセットは、ソフトウェアアップデートまたはアンチウィルスアップデートのインストールに起因して、保護されたネットワークデバイスがもはや脆弱でないという事実を反映したものである。
【００１８】
上で組み込まれたシステムは、ネットワークデバイスをコンピュータエクスプロイトからどのように保護するかに対処するが、特定の悪性のコンピュータエクスプロイトが検出されたときに、ビジネスクリティカルなオペレーションを実行するコンピュータ間の通信を含めて、ネットワーク内のすべてのネットワークデバイスでのすべてのネットワークアクティビティがブロックされる、実際の可能性が存在する。例えば、ビジネスクリティカルなアプリケーションが、アプリケーションサーバで実行され、コンピュータネットワーク内のどこかにあるデータベースサーバに記憶された情報の入手に依存すると仮定する。すべてのネットワークアクティビティのブロックは、アプリケーションサーバがデータベースサーバから情報を入手できなくなり、これによって、そのビジネスクリティカルなアプリケーションが停止することを必然的に意味する。
【００１９】
１つの解決策（２００４年２月１３日出願の「System and Method for Protecting a Computing Device From Computer Exploits Delivered Over a Networked Environment in a Secured Communication」という名称の米国特許仮出願第６０／５４４７７２号明細書）は、ネットワークセキュリティモジュールに対するオーバーライドを使用し、これによって、ネットワークデバイスを保護するように設計されたセキュリティ手段をバイパスすることである。しかし、ほとんどのビジネス環境を含む多くの情況で、ネットワークセキュリティモジュールにオーバーライドを含めることは望ましくない。ほとんどのシステム管理者は、存在する場合に、どのコンピュータが保護セキュリティ手段をオーバーライドできなければならないかを決定することを好む。
【発明の開示】
【発明が解決しようとする課題】
【００２０】
上で説明した問題に鑑みて、必要なものは、ネットワークを介する通信アクティビティがセキュリティの脅威に起因して制限されている間に、ＶＬＡＮ内の特定のネットワークデバイスが通信することを可能にするシステムおよび方法である。従来技術に見られる上記および他の問題は、本発明によって対処される。
【課題を解決するための手段】
【００２１】
本発明によれば、ネットワークセキュリティモジュールによって実施された保護セキュリティ手段によってネットワークアクティビティが全般的にブロックされているときに、第１ネットワークデバイスが通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にするシステムが提供される。このシステムには、通信ネットワークと、第１ネットワークセキュリティモジュールを含む複数のネットワークセキュリティモジュールとが含まれる。複数のネットワークセキュリティモジュールのそれぞれは、通信ネットワークとネットワークデバイスとの間に入れられ、具体的には、第１ネットワークセキュリティモジュールは、通信ネットワークと第１ネットワークデバイスとの間に入れられる。さらに、複数のネットワークセキュリティモジュールのそれぞれが、セキュリティサービスから入手されたセキュリティ手段を実施することによって、保護されたネットワークデバイスとの間のネットワークアクティビティを制御する。このシステムに、少なくとも第１ネットワークセキュリティモジュールにセキュリティ手段を提供するセキュリティサービスも含まれる。セキュリティサービスは、管理者によって構成可能であって、複数のネットワークセキュリティモジュールが、複数のネットワークデバイスとの間のネットワークアクティビティをブロックするセキュリティ手段を実施しているときに、セキュリティサービスが、第１ネットワークセキュリティモジュールにセキュリティ手段の緩和されたセットを供給するようになっている。セキュリティ手段の緩和されたセットが、第１ネットワークセキュリティモジュールによって実施されると、第１ネットワークデバイスは、少なくともいくつかのネットワークアクティビティを再開することができる。
【００２２】
本発明の付加的な態様によれば、通信ネットワークのセキュリティサービスで実施される、ネットワークセキュリティモジュールによって実施された保護セキュリティ手段によって通信ネットワーク上のネットワークアクティビティがブロックされているときに、第１ネットワークデバイスが通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする方法が提示される。セキュリティ手段を求める要求が、ネットワークサービスモジュールから受信される。ネットワークセキュリティモジュールが、通信ネットワークと第１ネットワークデバイスの間に入れられる。セキュリティサービスが、ネットワークセキュリティモジュールにセキュリティ手段の緩和されたセットを配布するように構成済みであるかどうかに関する判定を行う。このセキュリティ手段の緩和されたセットは、ネットワークセキュリティモジュールによって実施されると、第１ネットワークデバイスが通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする。セキュリティ手段の緩和されたセットは、セキュリティサービスがネットワークセキュリティモジュールにセキュリティ手段の緩和されたセットを配布するように構成済みであると判定された場合に、ネットワークセキュリティモジュールに返される。
【００２３】
本発明のもう１つの態様によれば、コンピュータ実行可能命令を有するコンピュータ可読媒体が提示される。コンピュータ実行可能命令は、通信ネットワークとネットワークデバイスとの間に入れられた複数のネットワークセキュリティモジュールにセキュリティ手段を提供するコンピューティングデバイスで実行されると、ネットワークセキュリティモジュールによって実施された保護セキュリティ手段によって通信ネットワーク上のネットワークアクティビティが全般的にブロックされているときに第１ネットワークデバイスが通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする方法を実行する。この方法には、まず、通信ネットワークと第１ネットワークデバイスとの間に入れられたネットワークセキュリティモジュールからセキュリティ手段を求める要求を受信することが含まれる。次に、セキュリティサービスが、ネットワークセキュリティモジュールにセキュリティ手段の緩和されたセットを配布するように構成済みであるかどうかに関する判定を行う。このセキュリティ手段の緩和されたセットは、ネットワークセキュリティモジュールによって実施されると、第１ネットワークデバイスが通信ネットワーク上においてセキュアな方法でネットワークアクティビティを再開することを可能にする。その後、セキュリティサービスが、ネットワークセキュリティモジュールにセキュリティ手段の緩和されたセットを配布するように構成済みであると判定された場合に、ネットワークセキュリティモジュールにセキュリティ手段の緩和されたセットを返す。
【００２４】
添付の図面と合わせて以下の詳細な説明を参照することで、本発明の上述の諸形態および付随する利点の多くはより理解しやすいものとなり、これによりこれらはより容易に理解されるものとなろう。
【発明を実施するための最良の形態】
【００２５】
上で述べたように、本発明は、ネットワーク上の通信アクティビティが、検出された脆弱性に応じてネットワークセキュリティモジュールによって実施されたセキュリティ手段に起因して全般的に制限されている間に、ＶＬＡＮ内の特定のネットワークデバイスが通信することを可能にすることを対象とする。図２は、本発明の態様を実施するのに適する例示的なネットワーク化された環境２００を示す図である。例示的なネットワーク化された環境２００に、どちらもインターネット２０６に接続された、本発明の態様に従って適合された一般的なセキュリティサービス２０４および物理ネットワーク２０２が含まれる。
【００２６】
図２からわかるように、例示的な物理ネットワーク２０２に、ルータ２０８および連合セキュリティサービス２１０が含まれる。例示的な物理ネットワーク２０２には、ネットワークスイッチ２１２〜２１６およびネットワークコンピューティングデバイス２２０〜２４４も含まれる。図２からわかるように、物理ネットワーク２０２内のネットワークデバイスは、ネットワークセキュリティモジュール２４６〜２５４を含むネットワークセキュリティモジュールによって保護されている。例えば、ルータ２０８は、ネットワークセキュリティモジュール２５０によって保護され、タブレットコンピュータ２２８は、ネットワークセキュリティモジュール２４６によって保護され、スイッチＣ  ２１６は、ネットワークセキュリティモジュール２５２によって保護されている。しかし、本発明は、ネットワークコンピューティングデバイス２２０〜２４４などのネットワークコンピューティングデバイスだけがネットワークセキュリティモジュールによって保護される物理ネットワークで実施できることを理解されたい。
【００２７】
例示的な物理ネットワーク２０２は、あるネットワークハードウェアデバイス、具体的にはルータ２０８およびスイッチ２１２〜２１６を含むものとして図示されているが、この例示的な物理ネットワークが、例示だけのためのものであり、本発明に対する限定と解釈してはならないことを理解されたい。物理ネットワークに、多数の構成で編成された任意の個数のネットワーク関連ハードウェアデバイスを含めることができ、そのすべてが本発明の範囲に入るように意図されていることを、当業者は理解されよう。
【００２８】
上で示したように、連合セキュリティサービス２１０は、セキュリティサービス２０４からのセキュリティ手段の配布ポイントとして動作する。明らかに、セキュリティサービス２０４など、多数のネットワークおよび個々のコンピューティングデバイスにセキュリティ手段を供給する一般の／グローバルなセキュリティサービスは、それがサービスするネットワークおよびデバイスに関する特定の情報を用いて実用的に管理し、構成することができない。しかし、連合セキュリティサービス２１０などの連合セキュリティサービスが、物理ネットワーク２０２などの物理ネットワーク内で、特にネットワーク内のネットワークセキュリティモジュールにサービスするために確立されたときに、特定のネットワークの考慮事項、必要性、および状況に従って、ネットワークおよびそのネットワークデバイスに対して連合セキュリティサービスを管理し、構成することが、実用的であり有益である。ローカル管理のそのような応用例の１つは、物理ネットワーク２０２上のネットワークアクティビティが、検出された脆弱性に起因してネットワークセキュリティモジュールによって全般的にブロックされ、これによってクリティカルな動作の停止がもたらされるときに生じる。下で詳細に説明するように、連合セキュリティサービス２１０は、特定のネットワークデバイスがネットワークアクティビティを再開できるように、ある判断基準が満たされるときに特定のネットワークデバイスにセキュリティ手段の緩和されたセットを供給するように管理的に構成することができる。さらに、連合セキュリティサービス２１０は、ルータ２０８または物理ネットワーク２０２内の他のネットワーク関連デバイスと協力して、コンピュータを物理ネットワークに、具体的にはネットワーク内のＶＬＡＮにセキュアに接続（または再接続）するように構成することもできる。
【００２９】
上で述べたように、物理ネットワーク２０２は、ネットワークおよびそのデバイスの実際の物理的配置と関わりなく、任意の個数の論理サブネットワークすなわちＶＬＡＮに編成することができる。例示のみのために、図２に、物理ネットワーク２０２内の３種類のネットワークコンピューティングデバイスすなわち、ワークステーション２２０、２２６、２３２、２３４、および２３６を含むワークステーション；ノートブックコンピュータ２２２、２２４、２３０、および２４４を含むノートブックコンピュータ；およびタブレットコンピュータ２２８、２３８、２４０、および２４２を含むタブレットコンピュータが含まれる。物理ネットワーク２０２は、仮想的に論理構成に構成することができるので、ネットワーク管理者がそれを望む場合に、ＶＬＡＮを、コンピューティングデバイスのタイプごとに作成することができ、ここで、各ＶＬＡＮに、１つの種類だけのコンピューティングデバイスが含まれる。図３は、コンピューティングデバイスタイプに従って論理ＶＬＡＮに編成された、本発明の態様を実施し示すのに適する、図２の例示的な物理ネットワーク２０２を示す図である。
【００３０】
図３に、上で説明した３つのＶＬＡＮ、具体的には、ノートブックＶＬＡＮ  ３０２、ワークステーションＶＬＡＮ  ３０４、およびタブレットコンピュータＶＬＡＮ  ３０６が示されている。当業者は、ＶＬＡＮ内のネットワークデバイスが、通常は、ＶＬＡＮ内の他のネットワークデバイスと通信できることを理解されよう。当業者は、異なるＶＬＡＮのネットワークデバイスの間の通信も行えることも理解されよう。しかし、この議論において、ネットワークデバイスが特定のＶＬＡＮ内の他のネットワークデバイスだけと通信するようにＶＬＡＮが構成済みであると仮定する。コンピューティングデバイスの間の通信の他に、ネットワーク２０２は、ネットワークデバイスまたはネットワークセキュリティモジュールが、連合セキュリティサービス２１０またはセキュリティサービス２０４（図２）と通信することを許可するように構成されている。
【００３１】
一実施形態で、本発明は、検出された脆弱性に応じて、セキュリティ手段を実施するネットワークセキュリティモジュールによってネットワークアクティビティが全般的にブロックされている間に、特定のネットワークデバイスがネットワークアクティビティを再開することを可能にするように動作する。例えば、特定の悪性のコンピュータエクスプロイトが、インターネット２０６を循環しているのを検出することができ、オペレーティングシステムプロバイダは、まず、そのエクスプロイトが、物理ネットワーク２０２内のコンピューティングデバイスを含む、そのオペレーティングシステムを実行するすべてのコンピューティングデバイスに、かなりの脅威をもたらすと判定する。したがって、オペレーティングシステムプロバイダは、セキュリティサービス２０４を介して、効果的に保護されたネットワークデバイスとの間のすべてのネットワークアクティビティをブロックするようにネットワークセキュリティモジュールに指示する最初のセキュリティ手段をポストする。この最初のセキュリティ手段は、物理ネットワーク２０２内に存在する連合セキュリティサービス２１０を含むすべての連合セキュリティサービスにも配布される。したがって、ネットワークセキュリティモジュール２４６〜２５４を含む物理ネットワーク２０２内のネットワークセキュリティモジュールが、連合セキュリティサービス２１０をポーリングし、最初のセキュリティ手段を入手したときに、ＶＬＡＮ内のネットワークデバイス間のネットワークアクティビティを含む、物理ネットワーク２０２内のネットワークアクティビティが、ブロックされる。
【００３２】
上の例を続けると、物理ネットワーク２０２が、会社のネットワークであり、ワークステーションＶＬＡＮ  ３０４内のワークステーション２３４が、ワークステーション２３６に配置されたデータベースサーバで動作する情報に頼るビジネスクリティカルなアプリケーションを実行するアプリケーションサーバであると仮定する。明らかに、ネットワークアクティビティが、検出されたコンピュータエクスプロイトによってもたらされる脅威に起因してネットワークセキュリティモジュール２４８および２５４によってブロックされたときに、このビジネスクリティカルなアプリケーションが停止する。明らかに、ビジネスクリティカルな動作が停止した会社は、明らかに、少なくともこれらの動作を再開し、検出されたコンピュータエクスプロイトによってもたらされた脅威から保護されることを望む。
【００３３】
上の例を続けると、セキュリティ手段が実施される前に、物理ネットワーク２０２全体が、検出されたコンピュータエクスプロイトに感染していない場合に、このネットワーク全体が、ルータ２０８を保護するネットワークセキュリティモジュール２５０によって保護されている。これは、物理ネットワーク２０２内のネットワークデバイスの間のネットワークアクティビティを、検出されたコンピュータエクスプロイトからの感染の恐れなしに再開できることを意味する。明らかに、セキュリティサービス２０４（図２）など、多数のネットワーク、コンピュータ、およびデバイスにセキュリティ手段を供給する一般的なセキュリティサービスは、実用的に詳細な特定のネットワーク構成を維持することができず、これらの構成を評価して、どのデバイスがどのデバイスとのネットワークアクティビティを再開することを許可されるかを判定することができない。しかし、ネットワークに、連合セキュリティサービス２１０などのそれ自体の連合セキュリティサービスが含まれるときに、ネットワークセキュリティを維持しながら特定のデバイスがネットワークアクティビティを再開することを許可できるかどうかに関する判定を行えるという趣旨で、ネットワークデバイスおよびネットワーク構成に関するネットワーク固有情報を、連合セキュリティサービスで記憶し、管理することができる。
【００３４】
本発明の態様によれば、管理者は、ネットワークデバイスを保護する特定のネットワークセキュリティモジュールにセキュリティ手段の緩和されたセットを供給するように連合セキュリティサービス２１０を構成することができる。このセキュリティ手段の緩和されたセットは、ワークステーション２３４および２３６などの保護されたネットワークデバイスまたはワークステーションＶＬＡＮ  ３０４内のすべてのデバイスが、他のイネーブルされたネットワークデバイスとのネットワークアクティビティを再開することを許可する。その後、ネットワークセキュリティモジュール２４８および２５４などの各ネットワークセキュリティモジュールが、最新の／現在のセキュリティ手段を求めて連合セキュリティサービス２１０を周期的にポーリングするときに、連合セキュリティサービスは、アップデート要求のソースを識別し、保護されたネットワークデバイスに対応するセキュリティ手段のセットを返すことができる。
【００３５】
上で組み込まれた参照文献に記載されているように、ネットワークセキュリティモジュールが、セキュリティサービス２０４（図２）または連合セキュリティサービス２１０をポーリングして、アップデートされたセキュリティ手段を入手するときに、セキュリティ手段のセットが、情報の追加の交換なしで返される。しかし、本発明の態様によれば、連合セキュリティサービス２１０が、ネットワークのためにネットワーク２０２の境界内にある場合に、ネットワークセキュリティモジュールにセキュリティ手段のセットを返す前に、追加の構成情報についてネットワークセキュリティモジュール／保護されたネットワークデバイスに照会するように連合セキュリティサービスを構成することができる。追加の構成情報に基づいて、または追加の構成情報の欠如に基づいて、連合セキュリティサービス２１０は、ネットワークセキュリティモジュールに返されるセキュリティ手段のセットを決定する。この追加情報に、特定のソフトウェアアップデートまたはアンチウィルスアップデートが保護されたネットワークデバイスにインストールされているかどうか、ネットワークデバイスが特定のＶＬＡＮ内に位置するかどうか、ネットワークデバイスによってまたはネットワークデバイスで実行されたテストアプリケーションが、ネットワークデバイスにコンピュータエクスプロイトがないと確認したかどうかなどを含めることができるが、これに限定はされない。ネットワークデバイスに関するこの追加情報の入手を、下で図４Ａおよび４Ｂに関して説明する。
【００３６】
図４Ａに、検出された脆弱性からネットワーク化されたデバイスを保護するセキュリティ手段を得るための、ネットワークデバイスを保護するネットワークセキュリティモジュールとセキュリティサービス２０４または連合セキュリティサービス２１０との間の例示的な交換を示す。具体的に言うと、この例示的交換には、ネットワークセキュリティモジュールが、上で組み込まれた参照文献に記載の保護セキュリティ手段を入手する通常の方法が示されている。この２つの間の交換を、イベントに関して説明する。図４Ａに示すように、イベント４０２によって示されるように、ネットワークセキュリティモジュール２４８などのネットワークセキュリティモジュールが、その周期的アップデートプロセスの一部として、アップデートされた／最新のセキュリティ手段を求めてセキュリティサービス２０４または連合セキュリティサービス２１０をポーリングする。それに応答して、イベント４０４によって示されるように、セキュリティサービス２０４が、最新のセキュリティ手段をネットワークセキュリティモジュールに返す。アップデートされた／最新のセキュリティ手段を入手した後に、ネットワークセキュリティモジュールは、それを実施し、これによってネットワークデバイスを保護する。
【００３７】
残念ながら、上で説明したように、ある条件の下で、セキュリティサービス２０４とネットワークセキュリティモジュールの間の通常の交換が、効果的に、クリティカルなコンピュータアクティビティ、特にネットワーク通信に頼るアクティビティを停止させる可能性がある。したがって、図４Ａで説明した例示的な交換４００と異なって、図４Ｂには、検出された脆弱性からネットワークデバイスを保護するセキュリティ手段を得るための、ネットワークデバイスを保護するネットワークセキュリティモジュール２４８と連合セキュリティサービス２１０との間の例示的な交換４２０が示されている。その周期的なアップデートプロセスで、イベント４２２に示されているように、ネットワークセキュリティモジュール２４８は、ネットワークデバイスを保護するアップデートされた／最新のセキュリティ手段を求めて連合セキュリティサービス２１０をポーリングする。この場合に、連合セキュリティサービス２１０は、管理者によって、保護されたネットワークデバイスがネットワークを介して通信できるように、この特定のネットワークセキュリティモジュール２４８にセキュリティ手段の緩和されたセットを供給するように構成済みである。具体的に言うと、この例示的な交換では、連合セキュリティサービス２１０が、ネットワークセキュリティモジュール２４８に追加情報を要求するように構成済みである。
【００３８】
したがって、イベント４２４によって示される、この要求に応答して、連合セキュリティサービス２１０は、ネットワークセキュリティモジュール２４８に追加情報を要求する。上で述べたように、この追加情報に、保護されたデバイスにコンピュータエクスプロイトがないかどうか、保護されたデバイスが特定のソフトウェアアップデートまたはアンチウィルスアップデートをインストールされているかどうか、保護されたデバイスが特定のＶＬＡＮ内にあるかどうかなどを含めることができるが、これに限定はされない。ネットワークセキュリティモジュール２４８は、既にこの追加情報を所有している場合があり、あるいはその代わりに、保護されたネットワークデバイスからこの情報を入手する必要がある場合がある。
【００３９】
ネットワークセキュリティモジュール２４８が、この追加情報を得たならば、この情報が、イベント４２６によって示されているように、連合セキュリティサービス２１０に提出される。追加情報を受け取った後に、追加情報の実質が、セキュリティ手段の緩和されたセットの供給に関して管理者によって確立された判断基準を満足すると仮定すると、連合セキュリティサービス２１０は、イベント４２８によって示されるように、ネットワークセキュリティモジュール２４８にセキュリティ手段の緩和されたセットを返す。このセキュリティ手段の緩和されたセットは、保護されたネットワークデバイスが、影響されないＴＣＰポートのオープンなどのある通信／ネットワークアクティビティを再開することを許可するように、ネットワークセキュリティモジュールに指示する。もちろん、連合セキュリティサービスは、追加情報が、セキュリティ手段の緩和されたセットの供給に関して管理者が確立した判断基準を満足できないと判定する場合があり、その場合には、「通常の」セキュリティ手段が、ネットワークセキュリティモジュール２４８に返され、保護されたネットワークデバイスとの間の通信は、ブロックされたままになる。
【００４０】
図５は、検出された脆弱性に起因してネットワークアクティビティが全般的にブロックされているときに、ネットワークセキュリティモジュールによって保護されたネットワークデバイスが、あるネットワークアクティビティを再開することを可能にするために、連合セキュリティサービス２１０で実行される例示的なルーチン５００を示す流れ図である。ブロック５０２で開始して、連合セキュリティサービス２１０は、アップデートされたセキュリティ手段に関する、ネットワークデバイスに関連するネットワークセキュリティモジュールからの要求を受信する。
【００４１】
判断ブロック５０４で、この特定のネットワークデバイスに特別な考慮を払う必要があるかどうかに関する判定を行う。この特別な考慮事項は、特定の必要に従って連合セキュリティサービス２１０を構成するときに管理者によって確立される。この特別な考慮事項に、そのネットワークデバイスを保護するネットワークセキュリティモジュールが、上で説明したセキュリティ手段の緩和されたセットを含む、ネットワークに関する一般的なセキュリティ手段以外の代替セキュリティ手段を入手できるかどうかを判定する指示を含めることができる。通常、時別な考慮事項は、特定のネットワークデバイスおよび対応するネットワークセキュリティモジュールについて、または特定のＶＬＡＮ内にあるネットワークデバイスおよび対応するネットワークセキュリティモジュールについて確立される。したがって、ネットワークデバイス／ネットワークセキュリティモジュールが、特別に考慮されるものとして識別されない場合に、ブロック５０６で、連合セキュリティサービス２１０は、ネットワークに全般的に適用可能な通常のセキュリティ手段を用いて応答し、その後、終了する。
【００４２】
ネットワークデバイス／ネットワークセキュリティモジュールが、特別な考慮を払われるものとして識別される場合には、ブロック５０８で、連合セキュリティサービス２１０が、追加情報の要求を用いて応答する。上で説明したように、この追加情報に、特定のソフトウェアアップデートがインストールされているかどうか、最新のアンチウィルスソフトウェアリビジョンがインストールされているかどうか、ネットワークデバイスにコンピュータエクスプロイトがないことが立証されているかどうかなどを含めることができる。この例示的なルーチン５００には、連合セキュリティサービス２１０が必ず追加情報を要求することが示されているが、代替実施形態では、管理者の構成に従って、まず追加情報を入手するかどうかに関するテストを行うことができ、あるいは、単純にセキュリティ手段の代替の／緩和されたセットを供給することができる。
【００４３】
ブロック５１０で、連合セキュリティサービス２１０が、要求された追加情報を受信する。判断ブロック５１２で、もう１つの判定を行うが、これは、追加情報が、セキュリティ手段の緩和されたセットなどの代替セキュリティ手段をネットワークセキュリティモジュールに供給することに関して管理者によって確立された判断基準をその追加情報が満足するかどうかに関するものである。追加情報が、セキュリティ手段の緩和されたセットの供給に関する判断基準を満足できない場合には、ブロック５０６で、連合セキュリティサービス２１０が、全般的なネットワーク用の通常のセキュリティ手段を返し、その後、終了する。しかし、追加情報が、確立された判断基準を満足する場合には、ブロック５１４で、連合セキュリティサービス２１０が、セキュリティ手段の緩和されたセットをネットワークセキュリティモジュールに返す。このセキュリティ手段の緩和されたセットは、ネットワークセキュリティモジュールによって実施されると、他の同様にイネーブルされたネットワークデバイスとの通信などのネットワークアクティビティを、保護されたネットワークデバイスが再開することを許可する。その後、例示的なルーチン５００が終了する。
【００４４】
例示的なルーチン５００に、ネットワークセキュリティモジュールから要求を受信することが含まれるが、代替実施形態では、ネットワークセキュリティモジュールからの要求が、このルーチンの外部で受信／処理され、ルーチン５００の残りを開始する。したがって、例示的なルーチン５００は、例示と見られなければならず、本発明に対する限定と解釈してはならない。
【００４５】
上で述べたように、本発明の態様は、セキュアな方法すなわち、そうでなければ「追加される」コンピュータまたは他のネットワークデバイスによって導入される可能性があるコンピュータエクスプロイトからネットワークが保護される方法で、コンピュータをネットワークに接続するか再接続するのにも使用することができる。図６に、ネットワークデバイスをネットワークにセキュアな方法で追加する際の、ネットワークデバイスおよびそのネットワークセキュリティモジュール（図６では集合的にネットワークデバイス６０２と呼称する）と、連合セキュリティサービス２１０と、ルータ２０８との間での例示的な交換６００を示す。例示的な交換６００は、ネットワークデバイス６０２がネットワークに接続されるときに開始される。
【００４６】
イベント６０４によって示されているように、ネットワークデバイス６０２は、そのネットワークセキュリティモジュールを介して、ルータ２０８にＩＰアドレスを要求する。ＩＰアドレスの要求の他に、この要求に、通常はネットワーク内の特定のＶＬＡＮへの接続の要求が含まれることを、当業者は理解されよう。それに応答して、要求されたＶＬＡＮ内のＩＰアドレスをネットワークデバイス６０２に与えるのではなく、ルータ２０８は、イベント６０６によって示されるように、そのネットワークデバイスを分離されたＶＬＡＮ内に置くＩＰアドレスを返す。分離されたＶＬＡＮとは、追加されるネットワークデバイスが唯一のメンバであり、ネットワークデバイスが、そこからルータおよび連合セキュリティサービス２１０以外のネットワーク内の他のネットワークデバイスと通信することができないＶＬＡＮである。
【００４７】
上で組み込まれた参照文献に記載されているように、ネットワークサービスモジュールによって保護されたコンピュータまたは他のデバイスが、初めて電源を投入されるかネットワークに接続されるとき、または対応するネットワークセキュリティモジュールが、初めて電源を投入されるかネットワークに接続されるときに、そのネットワークセキュリティモジュールは、デフォルトとして、信頼されるネットワークロケーションとの通信を除くすべてのネットワークアクティビティをブロックする。この信頼されるネットワークロケーションに、連合セキュリティサービス２１０または一般的なセキュリティサービス２０４、アンチウィルスアップデートロケーション、オペレーティングシステムアップデートロケーション、ルータ２０８などが含まれるが、これに限定はされない。したがって、ネットワークデバイス６０２の、そのネットワークセキュリティモジュールによって許可される最初のネットワークアクティビティは、最新のセキュリティ手段を求めてセキュリティサービスをポーリングすることである。図示の交換６００では、ネットワークデバイス６０２が、イベント６０８によって示されているように、最新のセキュリティ手段を求めて連合セキュリティサービス２１０をポーリングする。
【００４８】
本発明の態様によれば、連合セキュリティサービス２１０は、ネットワークデバイス６０２が他のＶＬＡＮ、特にそのＩＰアドレス要求でデバイスによって要求されたＶＬＡＮ内で信頼できるかどうかを、所定の判断基準に従って判定するように管理者によって構成されている。図４Ｂおよび５に関して上で説明した、ブロックされたネットワークデバイスがネットワークアクティビティを再開することを可能にすることに似て、この所定の判断基準に、特定のソフトウェアアップデートがネットワークデバイスにインストールされているかどうか、最新のアンチウィルスソフトウェアリビジョンがインストールされているかどうか、ネットワークデバイスにコンピュータエクスプロイトがないことが立証されているかどうかなどを含めることができるが、これに限定はされない。さらに、この所定の判断基準に、ネットワークデバイスがネットワークセキュリティモジュールを介してネットワークに接続されているかどうかを含めることもできる。
【００４９】
ネットワークデバイスが所定の判断基準を満足するかどうかをテストするために、連合セキュリティサービス２１０は、イベント６１０によって示されているように、ネットワークデバイス６０２に追加情報を要求することによって応答する。ネットワークデバイス６０２、具体的にはそのネットワークセキュリティモジュールが、イベント６１２によって示されているように、追加情報を返す。この追加情報が、所定の判断基準を満足すると仮定すると、連合セキュリティサービス２１０は、イベント６１４によって示されているように、ネットワークデバイス６０２にアップデートされたセキュリティ手段を返す。このアップデートされたセキュリティ手段は、上で説明したセキュリティ手段の緩和されたセットに対応するものであっても、そうでなくてもよい。実際に、アップデートされたセキュリティ手段は、ネットワークセキュリティモジュールに、すべてのネットワークアクティビティのブロックを継続するように指示することができる。一実施形態で、ネットワークデバイス６０２に配布されるセキュリティ手段の特定のセットは、管理者構成（ａｄｍｉｎｉｓｔｒａｔｏｒ  ｃｏｎｆｉｇｕｒａｔｉｏｎｓ）に従って確立される。
【００５０】
セキュリティ手段をネットワークデバイス６０２に返すことの他に、連合セキュリティサービス２１０は、イベント６１６によって示されているように、ネットワークデバイスが信頼に値するかどうかについてルータ２０８に通知する。ネットワークデバイス６０２が、所定の判断基準に従って信頼に値すると仮定すると、ルータ２０８は、その後、イベント６１８によって示されているように、このネットワークデバイスを分離されたＶＬＡＮから除去し、ＩＰアドレス要求中に要求されたＶＬＡＮに置く。
【００５１】
例示的な交換６００は、本発明の複数の有益な態様を強調したものである。例えば、ネットワークデバイスが、ネットワークセキュリティモジュールによって保護されずにネットワークに接続しようとした場合に、そのデバイスは、他のネットワークデバイスと通信する能力なしで、分離されたＶＬＡＮに置かれ、ネットワークは、そのデバイスに感染したコンピュータエクスプロイトから保護されたままになる。このネットワークデバイスは、そのネットワークデバイスのネットワーク内の他のＶＬＡＮへの追加に管理者が手作業で対処するまで、分離されたＶＬＡＮ内に留まる。
【００５２】
本発明のもう１つの有益な態様は、ネットワークデバイス６０２が分離されたＶＬＡＮに置かれる場合であっても、このネットワークデバイスが、それが信頼に値することが確立／判定されたときに、より高いレベルの通信をそれを介して自動的に確立できるネットワークへの通路を有することである。具体的に言うと、ネットワークデバイスは、まず、そのネットワークデバイスがコンピュータエクスプロイトに感染している場合に、そのネットワークデバイスがネットワーク内の他のネットワークデバイスに感染できない位置に置かれる。しかし、そのデバイスがネットワークセキュリティモジュールを介して接続されている場合に、そのデバイスは、連合セキュリティサービス２１０と通信する能力を有し、それが信頼に値することを確立することができる。そのネットワークデバイス６０２が、信頼に値することを確立したときに、連合セキュリティサービス２１０は、ルータ２０８または他のネットワークコンポーネントに通知して、そのネットワークデバイスがネットワーク内の他のＶＬＡＮに参加することを許可する。
【００５３】
図７は、ネットワークデバイス６０２をネットワークＶＬＡＮにセキュアな方法で追加するためにネットワークルータ２０８または他のネットワークコンポーネントで実行される例示的なルーチン７００を示す流れ図である。ブロック７０２で開始して、ルータ２０８が、ネットワークデバイス６０２からＩＰアドレス要求を受信する。ブロック７０４で、ルータ２０８が、ネットワークデバイス６０２にＩＰアドレスを返し、ネットワークデバイスを分離されたＶＬＡＮに置く。その後のある時点で、ブロック７０６で、ルータ２０８が、連合セキュリティサービス２１０からセキュリティ状況情報を受信する。上で説明したように、このセキュリティ状況情報は、ネットワークデバイス６０２が信頼に値するかどうかすなわち、このネットワークデバイスが、要求されたＶＬＡＮにこのネットワークデバイスを許容するための所定の判断基準を満足したかどうかを示す。
【００５４】
判断ブロック７０８で、ルータ２０８は、ネットワークデバイス６０２が、要求されたＶＬＡＮに入ることの許可に関するセキュリティ判断基準を満足したかどうかを判定する。ネットワークデバイス６０２がセキュリティ判断基準を満足できない場合には、そのネットワークデバイスは、後に、ブロック７０６で、ルータ２０８が連合セキュリティサービス２１０からもう一度セキュリティ状況情報を受信するまで、分離されたＶＬＡＮ内に残される。この処理は、この方法で、判断ブロック７０８でネットワークデバイスが要求された保護されたＶＬＡＮに入ることの許可に関する所定の判断基準をネットワークデバイス６０２が成功裡に満足したと判定されるまで、継続される。その後、ルータ２０８は、ネットワークデバイス６０２を要求されたＶＬＡＮに追加し、ルーチン７００が終了する。
【００５５】
図５に関する上記に似て、例示的なルーチン７００を、ネットワークセキュリティモジュールからのＩＰアドレス要求の受信を含むものとして説明したが、代替実施形態では、その要求を、このルーチンの外部で受信／処理し、例示的なルーチン７００の残りを開始することができる。したがって、例示的なルーチン７００は、例示と見られなければならず、本発明を限定するものと解釈してはならない。
【００５６】
図８は、上で図７、特にブロック７０６で説明したように、ネットワークデバイスを保護されたＶＬＡＮに追加するのを助けるためにルータ２０８にセキュリティ状況情報を供給するために連合セキュリティサービス２１０で実行される例示的なルーチン８００を示す流れ図である。ブロック８０２で開始して、ネットワークデバイス６０２に関する最新セキュリティ手段を求める要求を受け取る。判断ブロック８０４で、ネットワークデバイス６０２が、図５に関して上で説明したものなどの特別な考慮を払われるかどうかに関する判断を行う。ネットワークデバイス６０２が、特別な考慮を払われるものとして識別されない場合には、ブロック８０６で、連合セキュリティサービス２１０が、通常の全般的に適用可能なセキュリティ手段をネットワークデバイス６０２に返し、その後、終了する。代替の態様によれば、単純に終了することの代替案として、ネットワークデバイス６０２が特別な考慮を受けるものとして識別されないときであっても、連合セキュリティサービス２１０が、ブロック８１６へのオプションの線によって示されているように、ネットワークデバイスのセキュリティ状況についてルータ２０８に通知することができる。
【００５７】
連合セキュリティサービス２１０が、ネットワークデバイス６０２に特別な考慮を払うように構成されている場合に、ブロック８０８で、連合セキュリティサービスが、クライアントに追加情報を要求する。この追加情報の要求は、一般に、図５にブロック５０８に関して上で説明した要求に似ている。ブロック８１０で、連合セキュリティサービス２１０が、ネットワークデバイス６０２に関する要求された追加情報を受信する。
【００５８】
判断ブロック８１２で、ネットワークデバイス６０２が、セキュリティ手段の緩和されたセットを受け取るための所定の判断基準を満足するかどうかに関する判定を行う。所定の判断基準が満足されない場合に、ブロック８０６で、連合セキュリティサービス２１０が、通常の全般的に適用可能なセキュリティ手段を用いて応答する。しかし、ネットワークデバイス６０２が、所定の判断基準を満足する場合には、ブロック８１４で、連合セキュリティサービス２１０が、セキュリティ手段の緩和されたセットを用いて応答する。その後、ブロック８１６で、連合セキュリティサービス２１０が、ネットワークデバイス６０２のセキュリティ状況についてルータ２０８に通知し、その後、終了する。
【００５９】
図５および７に関する上記と同様に、ルーチン８００を、ネットワークセキュリティモジュールから最新のセキュリティ手段を求める要求を受信することを含むものとして説明したが、代替実施形態では、この要求を、このルーチンの外部で受信／処理し、例示的なルーチン８００の残りを開始することができる。したがって、上で説明したルーチン８００は、例示と見られなければならず、本発明に対する限定と解釈してはならない。
【００６０】
好ましい実施形態を含む本発明の様々な実施形態を図示し、説明したが、本発明の趣旨および範囲から逸脱せずに、様々な変更を行えることを理解されたい。
【図面の簡単な説明】
【００６１】
【図１】それを介してコンピュータエクスプロイトが一般に配布される、従来技術に見られる例示的なネットワーク化された環境を示す図である。
【図２】本発明の態様を実施するのに適する例示的な物理的にネットワーク化された環境を示す図である。
【図３】論理ＶＬＡＮに編成された、本発明の態様を実施するのに適する、図２の例示的な物理的にネットワーク化された環境を示す図である。
【図４Ａ】ネットワーク化されたデバイスを保護するセキュリティ手段を得るための、ネットワーク化されたデバイスを保護するネットワークセキュリティモジュールとセキュリティサービスとの間の例示的な交換を示す図である。
【図４Ｂ】保護されたネットワーク化されたデバイスが保護されたＶＬＡＮ内の他のネットワーク化されたデバイスと通信できるようにするセキュリティ手段を得るためのための、保護されたＶＬＡＮ内のネットワーク化されたデバイスを保護するネットワークセキュリティモジュールと連合セキュリティサービスの間の例示的な交換を示す図である。
【図５】保護されたＶＬＡＮ内のネットワークデバイスが他のイネーブルされたネットワークデバイスと通信できるようにするために連合セキュリティサービスで実行される例示的なルーチンを示す流れ図である。
【図６】ネットワーククライアントを保護されたＶＬＡＮにセキュアな方法で追加する際の、ネットワークデバイスおよび対応するネットワークセキュリティモジュールと、連合セキュリティサービスと、ルータとの間での例示的な交換を示す図である。
【図７】ネットワークデバイスを保護されたＶＬＡＮにセキュアな方法で追加するためにネットワークルータで実行される例示的なルーチンを示す流れ図である。
【図８】ネットワークデバイスを保護されたＶＬＡＮにセキュアな方法で追加するのを助けるためにネットワークルータにセキュリティ情報を供給するために連合セキュリティサービスで実行される例示的なルーチンを示す流れ図である。
【符号の説明】
【００６２】
１１２  エクスプロイト
１１０  ネットワーク
２０４  セキュリティサービス
２０６  インターネット
２０８  ルータ
２１０  連合セキュリティサービス
２１２  スイッチＡ
２１４  スイッチＢ
２１６  スイッチＣ
【図１】
2006074760.tif 000003
【図２】
2006074760.tif 000004
【図３】
2006074760.tif 000005
【図４Ａ】
2006074760.tif 000006
【図４Ｂ】
2006074760.tif 000007
【図５】
2006074760.tif 000008
【図６】
2006074760.tif 000009
【図７】
2006074760.tif 000010
【図８】
2006074760.tif 000011
【外国語明細書】
2006074760000001.pdf