(57)【要約】本明細書に開示した方法及びシステムは、エンタプライズにおける少なくとも１つのアセットを管理するために使用することが可能であり、その場合に、本方法及びシステムは、第一サーバーを設け、該第一サーバーは該少なくとも１つのアセットと関連する少なくとも１つのアセットプロフィールを包含する形態とされており、該第一サーバーは該エンタプライズにより制御され、且つ別個の第二サーバーへの要求に応答して、少なくとも１つのアセットと関連する少なくとも１つの脆弱性に関連するデータを該第一サーバーにおいて受取る、ことを包含しており、尚該第二サーバーは該エンタプライズの制御外にある。
2005530239.tif 000002
【特許請求の範囲】
【請求項１】
エンタプライズにおける少なくとも１つのアセットを管理する方法において、
第一サーバーを設け、前記第一サーバーは前記少なくとも１つのアセットと関連する少なくとも１つのアセットプロフィールを包含する形態とされており、前記第一サーバーは前記エンタプライズにより制御され、
別個の第二サーバーへの要求に応答して、前記第一サーバーにおいて前記少なくとも１つのアセットと関連する少なくとも１つの脆弱性と関連するデータを受取り、前記第二サーバーが前記エンタプライズの制御外である、方法。
【請求項２】
請求項１において、受取る場合に、ソフトウエアパッチ及びソフトウエアパッチに対するリンクのうちの少なくとも１つを受取ることを包含している方法。
【請求項３】
請求項１において、受取る場合に、インターネット及びポータブルメモリのうちの少なくとも１つを介して受取ることを包含している方法。
【請求項４】
請求項１において、更に、前記別個の第二サーバーからのデータを要求することを包含しており、前記要求は、前記少なくとも１つのアセット及び前記少なくとも１つのアセットプロフィールのうちの少なくとも１つに基づくものである方法。
【請求項５】
請求項１において、受取る場合に、周期的な間隔でデータを受取ることを包含している方法。
【請求項６】
請求項１において、受取る場合に、少なくとも１つの脆弱性プロフィール、前記少なくとも１つのアセットプロフィール、少なくとも１つのコンフィギュレーションスタンダード、少なくとも１つのリスク評価、及び少なくとも１つのタスクリストのうちの少なくとも１つに基づいて受取ったデータをフィルタすることを包含している方法。
【請求項７】
請求項１において、更に、前記少なくとも１つの別個の第二サーバーからデータを要求することを包含しており、前記要求が時間及び日付のうちの少なくとも１つを包含している方法。
【請求項８】
請求項１において、更に、前記要求内に包含されている時間及び日付のうちの少なくとも１つに基づいて前記要求に応答することを包含している方法。
【請求項９】
請求項１において、設ける場合に、前記少なくとも１つのアセット及び前記少なくとも１つのアセットプロフィールのうちの少なくとも１つと関連する少なくとも１つの脆弱性プロフィールを設けることを包含している方法。
【請求項１０】
請求項９において、受取る場合に、受取ったデータが前記少なくとも１つのアセットに影響を与えるか否かを判別するために、前記少なくとも１つのアセットプロフィール、少なくとも１つのコンフィギュレーションスタンダード、少なくとも１つのリスク評価、前記少なくとも１つの脆弱性プロフィール、及び少なくとも１つのタスクリストのうちの少なくとも１つに問い合わせを行うことを包含している方法。
【請求項１１】
請求項１０において、受取る場合に、
前記受取ったデータに基づいてパッチを受取り、
前記パッチを受取ったデータにより影響される少なくとも１つのアセットへ適用する、
ことを包含している方法。
【請求項１２】
請求項１において、受取る場合に、少なくとも１つの脆弱性プロフィールを受取ることを包含している方法。
【請求項１３】
請求項１において、更に、少なくとも１つのアセット、少なくとも１つのアセットプロフィール、時間、及び日付のうちの少なくとも１つに基づいて前記第二サーバーにおける脆弱性データに質問することを包含している方法。
【請求項１４】
請求項１において、更に、前記受取ったデータに基づいてパッチを得ることを包含している方法。
【請求項１５】
請求項１において、更に、前記少なくとも１つのアセットに対してパッチを適用することを包含しており、前記パッチは、前記受取ったデータ及び前記少なくとも１つのアセットと関連するグローバルアセットコンフィギュレーション及び個別的アセットコンフィギュレーションのうちの少なくとも１つに基づいている方法。
【請求項１６】
請求項１において、受取る場合に、セキュア通信リンクを介して受取ることを包含している方法。
【請求項１７】
請求項１６において、前記セキュア通信リンクが匿名セキュアソケットレイヤー（ＳＳＬ）を包含している方法。
【請求項１８】
請求項１において、更に、固定した間隔で前記別個の第二サーバーからデータを要求することを包含している方法。
【請求項１９】
請求項１において、更に、
前記別個の第二サーバーにおいて前記要求を受取り、且つ
前記要求をアカウント及び特権のうちの少なくとも１つと関連付ける、
ことを包含している方法。
【請求項２０】
請求項１において、前記要求が前記少なくとも１つのアセットを識別するデータを包含している方法。
【請求項２１】
請求項１において、更に、前記エンタプライズのオートディスカバリを実施することを包含している方法。
【請求項２２】
請求項１において、更に、エンタプライズのインベントリを実施することを包含している方法。
【請求項２３】
請求項１において、更に、
前記エンタプライズのオートディスカバリを実施し、
前記エンタプライズのインベントリを実施し、且つ、
前記オートディスカバリ及び前記インベントリのうちの少なくとも１つに基づいて、条件付きで、
少なくとも１つのアセットプロフィールの作成、及び、
前記少なくとも１つのアセットプロフィールの修正、
を実施する、
ことを包含している方法。
【請求項２４】
請求項２３において、前記少なくとも１つのアセットプロフィールを修正する場合に、リメディエーションモジュールに基づいて前記少なくとも１つのプロフィールを修正することを包含している方法。
【請求項２５】
請求項１において、更に、
前記受取ったデータと、前記少なくとも１つのアセットプロフィール、少なくとも１つのコンフィギュレーションスタンダード、少なくとも１つのリスク評価、少なくとも１つの脆弱性プロフィール、及び少なくとも１つのタスクリストのうちの少なくとも１つとに基づいて自動リメディエーションプロセスを使用する、
ことを包含している方法。
【請求項２６】
請求項１において、更に、
自動インベントリ及び自動ディスカバリモジュールのうちの少なくとも１つに基づいて少なくとも１つのアセットタスクを発生し、且つ
自動リメディエーションモジュールに基づいて前記少なくとも１つのアセットタスクをアップデートする、
ことを包含している方法。
【請求項２７】
請求項２６において、アップデートする場合に、
前記アセットタスクリストと関連している少なくとも１つのコンフィギュレーションスタンダード及び少なくとも１つの脆弱性プロフィールのうちの少なくとも１つを識別し、且つ、
前記少なくとも１つのアセットタスクリスト及び少なくとも１つのコンフィギュレーションスタンダードと少なくとも１つの脆弱性プロフィールのうちの前記識別された少なくとも１つに基づいて、少なくとも１つのアセット及び少なくとも１つのアセットコンポーネントのうちの少なくとも１つを修正する、
ことを包含している方法。
【請求項２８】
請求項１において、更に、
アカウント情報を前記第二サーバーに対してのデータに対する要求と関連付け、
前記第二サーバーにおいて妥当性検査及び認証のうちの少なくとも１つを実施し、且つ、
前記妥当性検査及び認証のうちの少なくとも１つに基づいて、前記要求に応答する、
ことを包含している方法。
【請求項２９】
エンタプライズにおける少なくとも１つのアセットを管理するシステムにおいて、
前記エンタプライズにより制御され且つ前記少なくとも１つのアセットと関連する少なくとも１つのアセットプロフィールを包含する形態とされている第一サーバー、
前記エンタプライズの制御外の別個の第二サーバーであって、前記第一サーバーからの要求に応答して前記第一サーバーへデータを供給し、前記データが前記少なくとも１つのアセットと関連している少なくとも１つの脆弱性と関連している第二サーバー、
を有しているシステム。
【請求項３０】
請求項２９において、前記第一サーバー及び前記第二サーバーのうちの少なくとも１つが脆弱性モジュールを包含しているシステム。
【請求項３１】
請求項２９において、前記第二サーバーが前記第一サーバーと関連しているアカウントデータを包含しており、前記アカウントデータが特権データを包含しているシステム。
【請求項３２】
請求項２９において、前記第一サーバーがワークフローモジュール、スキャニングモジュール、オートディスカバリモジュール、オートインベントリモジュール、オートリメディエーションモジュールのうちの少なくとも１つを包含しているシステム。
【請求項３３】
請求項２９において、前記第一サーバーが前記少なくとも１つのアセットプロフィールと関連している少なくとも１つの脆弱性プロフィールを包含しているシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
ここに開示される方法及びシステムは、大略、コンピュータコンフィギュレーション方法及びシステムに関するものである。
【背景技術】
【０００２】
コンピュータ情報及び／又はネットワークセキュリティを管理することは興味深いものである場合があり且つコンフィギュレーションプログラムはエンタプライズの全体的な成功に対して基本的なものである場合がある。セキュリティ違反の結果は、その違反の厳しさ及び危険にさらされたシステムの性質に依存して様々な場合がある。例としては、詐欺からの損失、情報の窃取、サービスの破壊、資源の無権限使用、顧客信頼の喪失、及びブランドの低下等がある。然しながら、効果的なコンピュータコンフィギュレーションプログラムを維持することは、セキュリティ脅威の変化する性質、情報技術（ＩＴ）資源の欠乏、セキュリティ意識の欠乏、実現の困難性、及びその他の問題点に起因して困難なものである場合がある。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ここに開示する方法及びシステムは、少なくとも１つのアセットを管理する方法を包含しており、本方法は、該少なくとも１つのアセットを少なくとも一人のユーザと関連付け、且つ該少なくとも一人のユーザに、該少なくとも１つのアセットの脆弱性と関連している少なくとも１つのタスク及び該少なくとも１つのアセットと関連している少なくとも１つのコンフィギュレーションスタンダードと関連している少なくとも１つのタスクを包含している少なくとも１つのタスクリストを供給することを包含している。該タスクリストは、アセット管理タスクリスト、期限経過通知タスクリスト、アーカイブ通知タスクリスト、承認タスクリスト、及びアセットリスク例外タスクリストのうちの少なくとも１つとすることが可能である。該コンフィギュレーションスタンダードは、該アセットの少なくとも１つの動作特性と関連する少なくとも１つの最小ベースライン手順を包含することが可能であり、且つ該アセットの動作特性を実現するための手順を包含することが可能である。該アセットは、１つ又はそれ以上のアセットコンポーネントを包含することが可能であり、その場合にアセットコンポーネントはアプリケーション、デバイス、オペレーティングシステム、及び／又はデータベースとすることが可能である。
【０００４】
該ユーザは少なくとも１つの責任グループと関連付けることが可能であり、且つアセットをユーザと関連付けるための少なくとも１つのインターフェースを与えることが可能である。従って、アセットは、エンタプライズ、機能単位、及び責任グループと関連付けることが可能である。
【課題を解決するための手段】
【０００５】
ここに開示する方法は、又、少なくとも１つのポリシーを提供することを包含しており、その場合にコンフィギュレーションスタンダードは１つ又はそれ以上のポリシーと関連付けることが可能である。ポリシーは、更に、エンタプライズと関連付けることが可能である。ポリシーは、名前、目的、及びステートメントを包含することが可能であり、且つデフォルトポリシーを設けることが可能である。
【０００６】
アセットの少なくとも１つの検知された脆弱性と関連付けることが可能な少なくとも１つの脆弱性プロフィールを発生する方法も包含され、その場合に、該脆弱性プロフィールは、１つ又はそれ以上のソフトウエアパッチへの少なくとも１つのリンク及び／又はその脆弱性と関連するその他の情報を包含することが可能である。ユーザは、発生された脆弱性プロフィールの通知を受けることが可能である。パッチへのリンクは、１つ又はそれ以上のユニフォームリソースロケーター（ＵＲＬ）を包含することが可能である。
【０００７】
本方法及びシステムは、又、アセットプロフィール、脆弱性プロフィール、及び少なくとも１つのコンフィギュレーションスタンダードに基づいた１つ又はそれ以上のレポートを供給することを包含している。従って、該レポートは、アセット脆弱性評価レポート、アセットコンフィギュレーションスタンダード評価レポート、アセット脆弱性リスク状態レポート、アセットコンフィギュレーションスタンダードリスク状態レポート、脆弱性ステータスサマリーレポート、コンフィギュレーションスタンダードステータスサマリーレポート、及びアドホックレポートを包含することが可能である。
【０００８】
ここに開示する方法及びシステムは、１つ又はそれ以上のアセットの１つ又はそれ以上の脆弱性を検知するためのスキャニングモジュールを包含することが可能である。検知された脆弱性は、ユーザと関連しているか又は関連していない場合のあるアセット及び／又はアセットコンポーネントと関連している場合がある。該スキャニングモジュールは、又は、ユーザと関連していない場合があるアセット及び／又はアセットコンポーネントを検知することも可能である。
【０００９】
少なくとも１つのアセットを管理するシステムも開示し、本システムは、１つ又はそれ以上のアセットを１つ又はそれ以上の脆弱性及び１つ又はそれ以上のコンフィギュレーションスタンダードと関連付けるための少なくとも１つのメモリ、及びプロセッサをして該アセットをユーザと関連付け且つ該ユーザに該アセットと関連するコンフィギュレーションスタンダードと関連するアセット及びタスクの脆弱性と関連する１つ又はそれ以上のタスクを包含するタスクリストをユーザに提供する命令を具備しているプロセッサを包含している。該アセットは、１つ又はそれ以上のアセットコンポーネントを包含することが可能であり、アセットコンポーネントは１つ又はそれ以上のアプリケーション、デバイス、オペレーティングシステム、及び／又はデータベースとすることが可能である。脆弱性及び／又は脆弱性プロフィールは、脆弱性名、発見日付、脆弱性の記述、脆弱性タイプ、脆弱性リスクレーティング、及び該脆弱性により影響される１つ又はそれ以上のアセットのリスト又は関連性を包含することが可能である。コンフィギュレーションスタンダードは、コンフィギュレーションスタンダード名、コンフィギュレーションスタンダードの記述、コンフィギュレーションスタンダードと関連する１つ又はそれ以上のアセットのリスト、少なくとも１つの責任グループ名、少なくとも１つのリスクステートメント、少なくとも１つの実現手順、少なくとも１つの実現スクリプト、及び少なくとも１つの手動レビュー手順を包含することが可能である。
【００１０】
ここに開示する方法及びシステムは、エンタプライズにおける少なくとも１つのアセットを管理する方法を包含している。アセットは、アセットコンポーネントとして知られるハードウエア及びソフトウエアコンポーネントを包含することが可能なプロセッサ制御型デバイスとすることが可能である。エンタプライズは、１つ又はそれ以上のアセットと関連することが可能な識別子とすることが可能であり、且つ、例えば、会社、教育機関、組織、個人又はその他のエンティティを包含することが可能である。従って、本方法は、第一サーバーを供給し、該サーバーは該少なくとも１つのアセットと関連している少なくとも１つのアセットプロフィールを包含すべく形態とされており、該第一サーバーは該エンタプライズにより制御され、且つ別個の第二サーバーに対する要求に応答して、該第一サーバーにおいて該アセットと関連する少なくとも１つの脆弱性と関連するデータを受取ることを包含することが可能である。
【００１１】
該第一サーバーは、該エンタプライズにより制御することが可能であり、該エンタプライズにより物理的にアクセス可能であり及び／又はそうでなければ制御されるデバイス及び／又はエリア内に物理的に位置させることが可能である。該別個の第二サーバーは、該エンタプライズにより制御される場合があり、又はインターネットを包含することが可能な１つ又はそれ以上のネットワークを介してアクセスすることが可能である。
【００１２】
受取られるデータは、インターネット及び／又は例えばコンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、フロッピィディスク、又は該サーバー及び該別個の第二サーバーによりアクセスすることが可能な別のポータブルメモリコンポーネント等のポータブルメモリを使用して受取ることが可能である。該データは、匿名セキュアソケットレイヤー（ＳＳＬ）又は別のセキュア方法を包含することが可能なセキュア通信リンクを介して受取ることが可能である。
【００１３】
該第二サーバーに対するデータ要求は、該エンタプライズにより制御されるサーバーにより開始させることが可能であり、且つこのような要求は非同期的及び／又は固定した間隔におけるものとすることが可能であり、且つ該アセットと関連するデータ、及び／又は該アセットと関連する場合のある１つ又はそれ以上のアセットプロフィールと関連するデータに基づくか又はそうでない場合には包含することが可能である。該要求は、周期的な間隔においてアップデートに対する要求を包含する場合があり、且つエンタプライズ制御型サーバーは、例えば、脆弱性プロフィール、アセットプロフィール、コンフィギュレーションスタンダード、リスク評価、及び／又は該アセットと関連する場合のあるタスクリストに基づいて受取ったデータをフィルタすることが可能である。該要求は、又は、時間及び／又は日付を包含することが可能であり、且つその応答は該時間及び／又は日付に基づいて条件付けさせることが可能である。
【００１４】
データが受取られると、アセットプロフィール、コンフィギュレーションスタンダード、リスト評価、脆弱性プロフィール、及び／又はタスクリストは、その受取ったデータが少なくとも１つのアセットに影響を与えるか否かを判別するためにクエリー即ち質問することが可能である。パッチ及び／又はソフトウエアパッチへのリンクを包含することが可能なその受取ったデータに基づいて、ソフトウエアパッチ又はその他のフィックスを得且つその受取ったデータにより影響されるか又はそうでなければそれと関連する場合のある１つ又はそれ以上のアセットへ適用することが可能である。パッチをアセットへ適用することは、その受取ったデータがグローバルアセットコンフィギュレーション及び／又はそのアセットと関連する個別的アセットコンフィギュレーションと関連しているか否かを判別することを包含することが可能である。
【００１５】
要求を受取ると、該第二サーバーは、該要求をアカウント及びそのアカウントと関連することが可能な少なくとも１つの特権と関連付けることが可能である。該第二サーバーは、又、バリデーション即ち妥当性検査及び／又は認証を実施することが可能であり、且つその妥当性検査及び／又は認証に基づいて、該要求に応答することが可能である。
【００１６】
本方法及びシステムは、又、エンタプライズのアセットのオートディスカバリを実施することが可能なオートディスカバリ方法及び／又はモジュールを包含している。又、エンタプライズの異なるアセットのインベントリを発生する場合のあるエンタプライズの自動的インベントリも包含することが可能である。オートディスカバリ及びオートインベントリは、幾つかの実施例においては逐次的な順番で実施することが可能である。オートディスカバリ及び／又はオートインベントリから受取られる情報及び／又はデータは、アセットプロフィールを作成するため及び／又は既存のアセットプロフィールを修正するために使用することが可能である。アセットタスクリストは、オートディスカバリ及び／又はオートインベントリデータに基づいて自動的に発生することが可能である。
【００１７】
１つの例においては、アセットプロフィール、コンフィギュレーションスタンダード、リスク評価、脆弱性プロフィール、及びタスクリスクのうちの１つ又はそれ以上に基づいて１つ又はそれ以上のアセットに対して脆弱性フィックス、ソフトウエアパッチ等を適用するためにリメディエーション（ｒｅｍｅｄｅｉａｔｉｏｎ）モジュール又はプロセスを使用することが可能である。このアセット及び／又はアセットコンポーネントを修正することが可能なこのリメディエーションプロセス及び／又はモジュールに基づいて、アセットプロフィールを修正することが可能である。修正したアセット及び／又はアセットコンポーネントと関連するタスクリストも修正することが可能である。
【００１８】
エンタプライズにおける少なくとも１つのアセットを管理するシステムについても開示し、本システムは、エンタプライズにより制御され且つ少なくとも１つのアセットと関連する少なくとも１つのアセットプロフィールを包含する形態とされている第一サーバー、及び該第一サーバーからの要求に応答してデータを供給する別個の第二サーバーを包含しており、該データは該アセットと関連する少なくとも１つの脆弱性と関連している。該第一サーバー及び該第二サーバーのうちの少なくとも１つは脆弱性モジュールを包含している。該第二サーバーは該第一サーバーと関連するアカウントデータを包含しており、該アカウントデータは該第一サーバーからの要求に応答する特権データを包含している。該第一サーバーは、又、ワークフローモジュール、スキャニングモジュール、オートディスカバリモジュール、オートインベントリモジュール、及び／又はオートリメディエーションモジュールを包含している。
【発明を実施するための最良の形態】
【００１９】
全体的な理解を与えるために、ある例示的な実施例について説明するが、当業者により理解されるように、本明細書に記載するシステム及び方法は、その他の適宜の適用例に対してのシステム及び方法を提供すべく適合及び修正することが可能であり、且つそのようなその他の付加及び修正は本明細書に記載するシステム及び方法の範囲から逸脱すること無しに行うことが可能である。
【００２０】
特にことわりが無い限り、例示した実施例は、ある実施例の様々な詳細の例示的な特徴を与えるものとして理解することが可能であり、従って、特にことわらない限り、該例示の特徴、コンポーネント、モジュール及び／又は側面は、開示したシステム又は方法から逸脱すること無しに、結合させ、分離させ、交換させ及び／又は再配置させることが可能である。更に、コンポーネントの形状及び寸法も例示的であり且つ特にことわりが無い限り、開示したシステム又は方法に影響を与えること無しに変更することが可能である。
【００２１】
例示的な実施例を、１つ又はそれ以上のプロセッサ制御型デバイスと通信状態にあり、そうでなければサーバーであると理解することが可能なフレームワークサーバーを具備するシステムの文脈において説明する。「フレームワークサーバー」という用語は、本明細書に与えるような１つ又はそれ以上のプロセッサをベースとした即ちプロセッサ制御型システムのことを意味し、該プロセッサをしてここに開示する方法及びシステムに従って動作させる命令を有している。フレームワークサーバー及び／又はその他のプロセッサ制御型デバイスは、例えば、１つ又はそれ以上のイントラネットを使用してネットワークを介して接続することが可能である。プロセッサ制御型デバイスは、従って、有線及び／又は無線通信リンク及び１つ又はそれ以上のネットワークを使用するプロトコルを使用してフレームワークサーバーと通信を行うことが可能である。例えば、該通信リンクは、インターネットを包含することが可能であり、一方１実施例においては、フレームワークサーバーは、プロセッサ制御型デバイスを包含するイントラネットの一部とすることが可能である。フレームワークサーバー及び／又はプロセッサ制御型デバイスは、多様な周辺装置（例えば、キーボード、スタイラス、プリンタ、内部及び外部メモリコンポーネント（例えば、ＣＤ、ＤＶＤ、外部ハードドライブ等）及びマウス）を包含することが可能である。プロセッサ制御型デバイスは、本明細書においては、「アセット」として言及することが可能であり、一方プロセッサ制御型デバイス（アセット）がアクセスするか又はそうでない場合にはそれと関連することが可能なハードウエア及び／又はソフトウエアは「アセットコンポーネント」として言及することが可能である。アセットコンポーネントの例は、データベース、オペレーティングシステム、周辺及び／又はハードウエアデバイス（「デバイス」、例えばメモリ、プリンタ、外部ハードドライブ、スイッチ、ルーター、ハブ及びモデム）及び／又はアプリケーションを包含している。
【００２２】
ここに与えるように、エンタプライズは、１つ又はそれ以上のアセットと関連する識別子とすることが可能である。幾つかの実施例においては、エンタプライズはアセット所有者又はそのアセットを維持し、形態特定し及び／又は制御する責任のある別のものとすることが可能である。例としてのエンタプライズは、会社又はビジネスエンティティ、個人、政府機関、又は別の識別可能な人及び／又はエンティティを包含することが可能である。アセットは、エンタプライズと関連付けることが可能な人と関連することが可能である。１つの例においては、アセットは、会社エンティティの従業員と関連付けることが可能である。
【００２３】
エンタプライズは、人、ポリシー、アセットを区別し、分離し及び／又は関連付けることが可能な１つ又はそれ以上の機能単位を包含することが可能である。従って、エンタプライズアセットは、少なくとも１つの機能単位と関連付けることが可能であり且つそのアセットは少なくとも１つの責任グループへ割当てることが可能である。機能単位は、会社部門（例えば、経理、営業、業務）、地理的領域（北アメリカ、アジア、ヨーロッパ）、又はエンタプライズ内のその他の指定されたグループとすることが可能であり、その場合に、このような指定はアセットとは独立的なものとすることが可能である。
【００２４】
「責任グループ」という用語は、エンタプライズと関連している一人又はそれ以上の人のことを意味し、その場合に、責任グループは、更に、１つ又はそれ以上のアセットと関連することが可能であり、且つ責任グループのメンバーは、エンタプライズの関連する１つ又はそれ以上のアセットを管理する責任を有するものと理解することが可能である。
【００２５】
ポリシーは、エンタプライズレベルにおいて、及び／又は機能単位及び／又は機能単位のグループのレベルにおいてのエンタプライズの目的を表わすことが可能なテキスト又はその他のステートメントとすることが可能であり、その場合に、該目的は少なくとも部分的にアセットを基礎とすることが可能である。例えば、１つ又はそれ以上のポリシーをエンタプライズに対して（例えば、エンタプライズ全体に適用されるポリシー）又は機能単位に対して（例えば、エンタプライズ内の全ての機能単位ではないが１つ又はそれ以上に対して適用されるポリシー）割当てることが可能である。ポリシーは、本明細書においては「コンフィギュレーションスタンダード」として言及するより特定的な規則の展開を案内することが可能である。
【００２６】
コンフィギュレーションスタンダードは、ポリシーの少なくとも一部の実現に対しての仕様とすることが可能である。１実施例においては、コンフィギュレーションスタンダードは、アセットコンポーネント、アセット、アセットのグループ、機能単位、又はエンタプライズの動作特性と関連する最小ベースライン手順を包含することが可能である。コンフィギュレーションスタンダードはテキストのステートメントとすることが可能であるが、幾つかの実施例においては、コンフィギュレーションスタンダードはプロセッサ命令を使用して提示することが可能である。例えば、「エンタプライズワイド最小パスワード長」コンフィギュレーションスタンダードは、エンタプライズと関連するユーザに対するログインパスワードを特定することが可能であり、その場合に、このようなパスワードは最小で６個の英文字キャラクタを有することが可能である。何故ならば、このようなパスワードは通常より攻撃されにくいものと考えられるからである。
【００２７】
「ユーザ」への参照は、フレームワークサーバーによりアクセス可能なメモリ内に格納されているユーザアカウントレコードと関連する一人又はそれ以上の人を包含するものと理解することが可能である。ユーザアカウントレコードは、それに制限されるものではないが、ユーザ識別子（例えば、ログイン名及びパスワード、指紋、音声サンプル）、そのユーザを関連付けることが可能な１つ又はそれ以上の機能単位の名前、及びエンタプライズにおけるそのユーザの役割を包含することが可能である。役割は、１組の特権を表わすことが可能である。「特権」又は「１組の特権」という用語は、１つ又はそれ以上のアセットに関してアクションを実施するためのユーザの権利及び／又は能力を意味することが可能であり、その場合に、アクションは、例えば、アプリケーションを実行すること、ウエブページをダウンロードすること、データベーステーブルにクエリーすること、データへアクセスすること、１つ又はそれ以上のアセットに関連する情報へアクセスすること、レポートを発生すること、及びメニューアイテムを見ることを包含することが可能である。
【００２８】
ここに開示される方法及びシステムは、エンタプライズセキュリティ対策を設計し、実現し、評価し、且つモニタするためのフレームワークサーバーを提供する。フレームワークサーバーは、ポリシー、コンフィギュレーションスタンダード、及び脆弱性データを包含する妥当性検査されたセキュリティコンテントのデータベースを使用するか又はそうでない場合にアクセスすることが可能なセキュリティツールを提供することによりエンタプライズがエンタプライズのアセットを管理することを可能とする。フレームワークサーバーは、又、セキュリティポリシー認識、システムコンフィギュレーションスタンダード、連続的な態様で供給することが可能な脆弱性管理、リスク評価、及びアドホック及びその他のレポーティングと関連するデータを送給するワークフローメカニズムを提供することが可能である。
【００２９】
図１Ａに示したように、例示的なシステム１００は、インターネット又はイントラネット等のネットワーク１０８を介してエンタプライズ１０６のアセット１０４と通信を行うフレームワークサーバー１０２を包含している。例示したフレームワークサーバー１０２とアセット１０４との間の通信は、ＨＴＴＰ（ハイパーテキストトランスファプロトコル）、ＴＣＰ／ＩＰ（トランスファコントロールプロトコル／インターネットプロトコル）、又はその他の通信プロトコルに準拠することが可能である。例示したシステム１００は２つの機能単位１１０を具備する単一のエンタプライズで示してあるが、フレームワークサーバー１０２は１つ又はそれ以上の機能単位１１０を具備する１つ又はそれ以上のエンタプライズ１０６へ接続することが可能である。本明細書において先に説明したように、例示したフレームワークサーバー１０２及びアセット１０４は、プロセッサ制御型デバイスであるとして理解することが可能である。従って、フレームワークサーバー１０２及びアセット１０４は、１つ又はそれ以上のプロセッサ及び１つ又はそれ以上のメモリ及び／又はメモリコンポーネントを包含する。アセット１０４は、又、１つ又はそれ以上のアセットコンポーネントを包含することが可能である。
【００３０】
フレームワークサーバー１０２は、例えば、ＳＱＬ（構造型クエリー言語）、マイクロソフトアクセス、インフォミックス、及び／又はオラクルに準拠したデータベースとすることが可能なデータベースを包含するメモリを包含するか又はそうでない場合には、それにアクセスすることが可能であるが、その他の構造型及び非構造型データベース及び／又はメモリデータ構造（例えば、リンク型リスト、キュー、グラフ、テーブル等）を使用することが可能である。従って、該メモリは、関連するユーザアカウントレコード、ポリシー、コンフィギュレーションスタンダード、アセットプロフィール、脆弱性プロフィール、及びリスク評価アンケートを包含することが可能であるが、その他及び／又はより少ない情報を格納及び／又は関連付けることが可能である。フレームワークサーバー１０２は、又、格納されている情報へのアクセスを与えるためのインターフェースを提供するための命令を包含することが可能である。例えば、フレームワークサーバー１０２は、インターフェースを送信することにより受取ったＵＲＬ（ユニフォームリソースロケーター）に対して応答するＡｐａｃｈｅＲウエブサーバー命令を包含することが可能である。
【００３１】
従って、図１Ｂは本明細書においてより詳細に説明する幾つかの特徴を例示する本明細書に開示する方法及びシステムに基づく１つのシステムを例示している。例えば、図１Ｂは、エンタプライズ１０６を包含しており、それは１つ又はそれ以上のアセット１０４を包含することが可能であり、その場合に、アセットは、更に、１つ又はそれ以上のアセットコンポーネント１８６を包含することが可能である。エンタプライズ１０６は、又、一人又はそれ以上のユーザ１６０と関連付けるか、又はそうでない場合には、包含することが可能である。エンタプライズ１０６は、ＧＵＩ２００及び／又はインターネットを介してフレームワークサーバー１０２と通信することが可能であり、その場合に、エンタプライズのアセット１０４に関する情報は、アセットプロフィール１７０と関連付けることが可能であり、且つエンタプライズユーザ１０６はユーザアカウント１６２と関連付けることが可能である。図１Ｂの実施例において、ユーザアカウント１６２は、１つ又はそれ以上の責任グループ１６４及び機能単位１１０と関連付けることが可能である。本明細書において与えられるように、機能単位１１０は１つ又はそれ以上のポリシー１６６と関連付けることが可能であり、該ポリシーは、更に、１つ又はそれ以上のコンフィギュレーションスタンダード１６８と関連付けることが可能である。コンフィギュレーションスタンダード１６８及び／又はポリシー１６６は、アセットプロフィール１７０と関連付けることが可能であり、アセットプロフィールは、又、１つ又はそれ以上の脆弱性プロフィール１７４及び／又はリスク評価アンケート５０２と関連付けることが可能である。例えば、脆弱性プロフィール１７４と関連する情報は、データ供給源１８０及び／又はサーチエンジン１８２及び／又は本明細書で与えるようなその他の供給源から受取ったデータに基づくことが可能であり、その場合に、このような供給源はインターネット又は１つ又はそれ以上のその他のネットワーク（例えば、イントラネット）を介してアクセスすることが可能であり、又はシステムに対して直接的に与えることが可能である。例えば、図１Ｂは１つの実施例を包含しており、その場合に、例えば、脆弱性プロフィールに基づくデータは手作業によるエントリ１７８により直接的に又はインターネット及び／又はその他のネットワーク通信を包含することが可能なＧＵＩ１７６を介してエンターさせることが可能である。図１Ｂにより示されるように、フレームワークサーバー１０２はエンタプライズ１０６に対して、及び、例えば、エンタプライズ１０６のユーザ１６０に対してデータを供給することが可能であり、その場合にこのようなデータは脆弱性プロフィール１７４、コンフィギュレーションスタンダード１６８、リスク評価アンケート５０２、及びポリシー１６６のうちの少なくとも１つに基づくことが可能である。フレームワークサーバー１０２は、例えば、レポート及びやるべきことのリスト即ちタスクリストを供給することが可能であるが、このような例は例示のために与えるものであって限定するものではない。１例として、フレームワークサーバー１０２は、脆弱性プロフィール１７４内に存在する（又は存在することのない）脆弱性と関連する場合のある１つ又はそれ以上の脆弱性フィックス、パッチ等１８８に関する情報へアクセスするか又はそうでない場合にはそれを有することが可能である。１実施例においては、フレームワークサーバー１０２はエンタプライズ１０６と関連する場合のあるアセット１０４と関連する場合のあるフィックス１８８をエンタプライズ１０６に通知することが可能である。例えば、フレームワークサーバー１０２は、ハイパーテキストリンク等のリンク、テキストファイル、又はエンタプライズ１０６へのフィックス１８８（例えば、ソフトウエアコード即ち「パッチ」）の通信を包含する１つ又はそれ以上の脆弱性フィックス１８８と関連する情報を与えることが可能である。当業者により理解されるように、図１Ｂフレームワークサーバー１０２の例示したコンポーネントは、例示したエンタプライズ１０６と関連する場合のある幾つかのコンポーネントの単なる例示的なものであり、且つ図示していないその他のエンタプライズに対しては同様のコンフィギュレーション即ち形態が存在する場合がある。従って、例示したフレームワークサーバー１０２と関連するコンポーネント及び／又はモジュールは、例示したエンタプライズ１０６に対して特定的なものであり且つそうでない場合にはそれと関連することが可能なものであり及び／又は１つを超えるエンタプライズ１０６と関連することが可能である。例えば、１実施例は、複数のエンタプライズに対して「グローバル」脆弱性プロフィール１７４を維持する場合があり、且つ１実施例はエンタプライズ１０６に対する特定的な脆弱性プロフィール１７４を作成する場合がある。幾つかの実施例は、グローバル及び特定的な脆弱性プロフィール１７４を使用する場合がある。
【００３２】
当業者が理解するように、図１Ａ及び１Ｂの種々のコンポーネントは、例示のために与えられており且つ結合させ及び／又はそうでない場合にはより詳細なコンポーネントとして表わすことが可能なものであるが、１つ又はそれ以上のイントラネット及び／又はインターネットを包含することが可能な有線又は無線のネットワークを介してその他のコンポーネントと相互作用を行うことが可能である。例えば、例示したフレームワークサーバー１０２は、１つ又はそれ以上のイントラネット及び／又はインターネットを使用してエンタプライズ１０６と通信を行うことが可能であり、且つ、同様に、このことはその他の例示した通信上の関連性について理解することが可能である（例えば、フレームワークサーバー１０２及び脆弱性フィックス１８８、フレームワークサーバー１０２及びＧＵＩ１７６，２００、ＧＵＩ２００及びエンタプライズ１０６、サーチエンジン１８２及びフレームワークサーバー１０２等であり、このような例は例示的なものであって制限的なものではない）。
【００３３】
図２は、マイクロソフトインターネットエクスプロアラーのようなウエブブラウザを示しており、それを介してユーザがユーザ識別子を供給することが可能な例示的なインターフェース２００を提示している。インターフェース２００は、ＨＴＭＬ（ハイパーテキストマークアップ言語）命令又はその他のＳＧＭＬ（構造型一般化マークアップ言語）命令のような多様な命令セット／データでエンコードすることが可能である。インターフェース２００は、ＡｃｔｉｖｅＸコンポーネント、アプレット、スクリプト等の命令を包含することが可能である。ユーザは、キーボード、スタイラス、スマートカード、又はその他のインターフェースデバイスを使用して、ユーザ識別子（例えば、ログイン名２０２及びパスワード２０４）をエンターするか又はその他の態様で供給することが可能である。当業者が理解するように、フレームワークサーバー１０２は、テキストボックス、ドロップダウンメニュー、スライダーメニュー、ボタン、チェックボックス等を介してユーザにより供給された情報を受取ることが可能である。図２に示した例示的なインターフェース２００においては、ユーザは、「Ｓｕｂｍｉｔ」ボタン２０６を選択して、ユーザ識別子情報を検証のためにフレームワークサーバー１０２へ送信させることが可能である。１実施例においては、フレームワークサーバー１０２は、受取ったユーザ識別子が有効なユーザ識別子であるか否かを判別するためにルックアップ操作又はその他のメモリのクエリーを実施することが可能であり、且つ、有効なものである場合には、そのユーザと関連するユーザアカウントレコードを検索することが可能である。ユーザの検証及び／又は認証に基づいて、且つ、更に、ユーザのアカウント（例えば、ユーザプロフィール、特権等）に基づいて、フレームワークサーバー１０２は１つ又はそれ以上のインターフェースを提供することが可能であり、それを介して、そのユーザは、例えば、関連するエンタプライズ１０６に対してポリシー、コンフィギュレーションスタンダード、アセットプロフィール、脆弱性プロフィール、及びリスク評価アンケートを作成し、サーチし、観察し、且つ編集することが可能である。当業者が理解するように、例示的なアクションを実施するためのユーザの能力は、ユーザのアカウント及び／又はそのアカウントと関連する情報又はデータ（例えば、許可、特権、責任グループ関連等）に基づくものとすることが可能である。
【００３４】
例えば、図３に示したように、フレームワークサーバー１０２は、それを介してユーザがエンタプライズのポリシーを作成し、コピーし、又は編集することが可能なインターフェース３００を提供することが可能である。１実施例において、フレームワークサーバー１０２は、図３の例示的なインターフェース３００の左側のウインドウ３０２に示したように、階層的ファイル管理システム（「ポリシーツリー３１８」）を使用してエンタプライズのポリシーを管理することが可能である。ユーザは、ポリシーツリー３１８内のフォルダー（即ち、ポリシーのカテゴリ）及び／又は文書（即ち、ポリシー）を作成し、コピーし、編集し、及び／又は名称変更を行うことが可能である。１実施例において、フレームワークサーバー１０２は、デフォルトポリシーセットからの１つのポリシーを選択し及び／又はカスタム化し、新たなポリシーを作成し、又はその組み合わせにより、ポリシーを作成するオプションをユーザに提供することが可能である。デフォルトポリシーセットは、アーンスト・アンド・ヤング（Ｅｒｎｓｔ  ＆  Ｙｏｕｎｇ）のベストプラクティス及び規制ガイドラインに基づくものとすることが可能であるが、当業者が理解するように、このような基礎は例示的なものであり制限的なものではなく、且つその他のプラクティス及び手順を使用することも可能である。デフォルトポリシーセットから１つのポリシーを選択するために、ユーザはポリシーセットドロップダウンメニュー３０４からデフォルトポリシーセットを選択し、次いで、ポリシードロップダウンメニュー３０６から１つのポリシーを選択することが可能である。所望により、ユーザは、名前３０８、目的３１０、及びステートメント３１２テキストボックスにおいて提供されるポリシー情報を変更することによりポリシーをカスタム化することが可能である。一方、ユーザは、例えば、例示したテキストボックス３０８，３１０，３１２を使用して、名前、目的、ステートメントをエンターすることによりポリシーを作成することが可能である。例示したシステムの場合に、ユーザは、又、新たに作成されたポリシーを通知することが可能であり及び／又はそのポリシー情報を維持する責任を保持することが可能な責任グループをドロップダウンメニュー３１４から選択することが可能である。その情報がエンターされ及び／又は選択されると、ユーザは「Ｕｐｄａｔｅ」ボタン３１６を選択してポリシーツリー３１８をアップデートさせ且つそうでない場合には送信した情報をエンタプライズ１０６と関連付けさせることが可能である。このような関連付けは、フレームワークサーバー１０２により実施することが可能である。図３に示した例においては、ユーザは「０４．０２．０１．０２  Ｒｅａｓｏｎｓ  ｆｏｒ  ａｃｃｅｓｓ」という名前の付いたポリシーを作成しており、それは「０４．０２．０１  Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ｏｆ  ｒｉｓｋｓ  ｆｒｏｍ  ｔｈｉｒｄ  ｐａｒｔｙ  ａｃｃｅｓｓ」というタイトルのついたフォルダ３２２内の文書３２０である。
【００３５】
図４を参照すると、フレームワークサーバー１０２は、それを介してユーザがエンタプライズのコンフィギュレーションスタンダードを観察し、サーチし、作成し、且つ編集することが可能なインターフェース４０２を提供することが可能である。本明細書において前に説明したように、コンフィギュレーションスタンダードは、アセットコンポーネント、アセット、アセットのグループ、機能単位１１０、又はエンタプライズ１０６の動作特性に関連する最小のベースライン手順を包含することが可能である。１実施例においては、コンフィギュレーションスタンダードは、コンフィギュレーションスタンダード名４０４、コンフィギュレーションスタンダードの記述４０６、コンフィギュレーションスタンダードと関連する１つ又はそれ以上のアセット及び／又はアセットコンポーネントのリスト４０８、コンフィギュレーションスタンダードに割当てられた責任グループの名前４１０、リスクステートメント４１２、実現手順４１４、実現スクリプト４１６、及び手作業レビュー手順４１８を包含することが可能であるが、本明細書に開示した方法及びシステムの範囲から逸脱すること無しに、その他の情報及び／又はより少ない情報を包含させることが可能である。１実施例において、責任グループ４１０は、そのコンフィギュレーションスタンダードがエンタプライズ１０６のユーザに対して公開されるか又はその他の態様で使用可能なものとされる前に、そのコンフィギュレーションスタンダードを検討し、且つ、適切である場合には、承認するための責任を有するものとすることが可能である。
【００３６】
図４に示した例示的なコンフィギュレーションスタンダードは、「ＩＰ  ｆｏｒｗａｒｄｉｎｇ  ｃｏｎｆｉｇｕｒａｔｉｏｎ  −−  Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ」４０４の名前が付けられており且つイントラネット上のマイクロソフトインターネットインフォメーションサービス（ＩＩＳ）サーバーによりＩＰフォアワーディングのディスエーブルさせることを提供する。この例示的なコンフィギュレーションスタンダードは、責任グループ１（即ち、関連する責任グループ４０８）のメンバーがイントラネット上のマイクロソフトＩＩＳサーバー上のＩＰフォアワーディングをディスエーブルさせることを実現することを可能とする実現手順４１４を提供している。１実施例において、コンフィギュレーションスタンダードは、責任グループ１のメンバーがＩＰフォアワーディングをディスエーブルさせるためにマイクロソフトＩＩＳサーバー上で実行することを可能とする実現スクリプト４１６を提供することが可能である。実現スクリプト４１６は、ハイレベルコンピュータ言語で書かれたプログラムとすることが可能であり、それはマイクロソフトＩＩＳサーバー内のメモリ位置からソフトウエアアプリケーションへアクセスするためのコマンド及びサブルーチンを包含している。この例示的なコンフィギュレーションスタンダードは、又、レビュー手順４１８（例えば、手作業のレビュー手順）を提供し、従って責任グループ１のメンバーは、特定のマイクロソフトＩＩＳサーバー上でＩＰフォアワーディングをディスエーブルさせるための実現手順４１４が適切に実行されることを確保するためにアクセスすることが可能である。この例示的なコンフィギュレーションスタンダードは、エンタプライズアセットであるマイクロソフトＩＩＳサーバーの一貫性のあるデプロイメント即ち配備を可能とさせる。
【００３７】
エンタプライズ１０６と関連している機能単位１１０は、機能単位１１０と関連しているアセットの入手可能性、完全性、及び機密性（ＡＩＣ）条件に基づく異なるセキュリティ条件を有することが可能である。例えば、そのユーザが「最高機密取り扱い許可」を有することを必要とするエンジニアリング部門は、「機密取り扱い許可」をそのユーザが有することを必要とするエンジニアリング部門とはそのアセット１０４に対して異なるＡＩＣ条件を有している場合がある。従って、図５に示すように、フレームワークサーバー１０２は、それを介して、ユーザが機能単位５０４に対するデフォルトのリスク許容レベルを提示するためにリスク評価アンケート５０２に回答することを可能とするインターフェース５００を提供することが可能である。リスク評価アンケートは、機能単位５０４と関連するアセット１０４に影響を与える可能性のあるリスクファクタに関して１つ又はそれ以上の質問（例えば、「どれ程頻繁にビジネスユニットの基本的なデータをアーカイブするか？」）にユーザが応答し、且つフレームワークサーバー１０２へリスク評価アンケートデータを送信するために「Ｓｕｂｍｉｔ」ボタンを選択することを可能とさせる。フレームワークサーバー１０２は、このアンケートの回答を使用して機能単位１１０と関連するアセット１０４に対するデフォルトのＡＩＣ値を計算することが可能である。異なる機能単位１１０に対して同一の質問を与えることにより、リスク評価アンケートは、機能単位１１０に対するリスク評価回答に基づいて相対的なＡＩＣレーティングを発生することが可能である。例えば、１実施例においては、ＡＩＣ値は機能単位１１０と関連するセキュリティのレベルに依存して５の最大レーティング及び０の最小レーティングを有することが可能であるが、当業者により理解されるように、本方法及びシステムの範囲から逸脱することなしにその他のレーティングスケールを使用することが可能である。
【００３８】
図６は、それを介してユーザがアセットプロフィールを観察し、サーチし、作成し、且つ編集することが可能なインターフェース６００を示している。アセットプロフィールはアセット１０４のアセットコンポーネント（例えば、データベース、オペレーティングシステム、デバイス、アプリケーション）を包含することが可能である。ユーザはアセット１０４に対して（例えば、ウエブサイトに対する生産ウエブサーバー）、又は共通の形態とされたアセットコンポーネントからなるグループに対して（例えば、オラクルを稼動するサンデータベースサーバー）アセットプロフィールを提供するか又はそうでなければ提示することが可能である。従って、アセットプロフィールは、アセット名、アセットタイプ、関連する機能単位名、関連する責任グループ名、製造業者名、モデル名、アセットタグ識別、アセット１０４の記述、ビルディング名、地理的位置、１つ又はそれ以上のアセットコンポーネント（例えば、マイクロソフトインターネットエクスプロアラー）、アセットコンポーネントに対する１つ又はそれ以上のレリーズ（例えば、マッキントッシュ用のマイクロソフトＩＥ６、マイクロソフトＩＥ５．５、マイクロソフトＩＥ５．１）、ネットワーキング情報、及び保護条件を包含することが可能であるが、その他の及び／又はより少ないアセットプロフィール情報を包含することが可能である。
【００３９】
アセット名は、アセット１０４のホスト名（例えば、ＩＰアドレス１９３．１１１．１０１．９０）、エイリアス（例えば、マイクロソフトＩＩＳサーバー−−フロア１５）、又はアセット１０４が表わすコンフィギュレーションのタイプの記述（例えば、ＸＹＺコーポレイションのフロア１５上のウエブサーバー）を包含することが可能である。１実施例において、アセット名は、そのアセット名が機能単位１１０内において一意的であることが可能であるように選択することが可能である。ネットワーキング情報は、修飾ドメイン名、ホスト名、サブネットマスク、及びＭＡＣアドレスを包含することが可能である。幾つかの実施例においては、ユーザは、異なる保護条件を特定することによりデフォルトＡＩＣ値（アセット１０４を関連付けることが可能な機能単位１１０に基づいてアセット１０４に対してフレームワークサーバー１０２により提供）をユーザが上書きすることが可能である。例示的な説明において、例えば、ＸＹＺコーポレイションの営業部門に対するデフォルトＡＩＣ値が入手可能性＝３、完全性＝１、機密性＝２であり、且つユーザが営業部門と関連するアセットに対しアセットプロフィールを作成することを理解することが可能である。ユーザは、例えば、ウエブページの保護条件部分下におけるプルダウンメニューから異なるＡＩＣ値を選択することによりデフォルトＡＩＣ値を上書きすることが可能である。ユーザがデフォルトＡＩＣ値より低いＡＩＣ値（例えば、入手可能性＝１、完全性＝１、機密性＝１）を選択する場合には、フレームワークサーバー１０２はそのアセットプロフィールをアセットプロフィールのデータベースへ付加する前にそのアセットに対して割当てられている責任グループ（即ち、責任グループ１）によるリスク例外承認を要求することが可能である。
【００４０】
フレームワークサーバー１０２は、セキュリティの脆弱性を追跡し且つ脆弱性プロフィール１７４に関する情報を維持することが可能な脆弱性モジュール（例示していない）を包含することが可能である。例えば、脆弱性モジュールは、脆弱性プロフィール１７４のデータベースを包含することが可能である。脆弱性は、従って、ソフトウエアパッチ（即ち、ソフトウエアモジュール）及び／又は脆弱性１８８と関連するその他の情報と関連することが可能であり、その場合に、該ソフトウエアパッチ又はその他の情報１８８は、アセット及び／又はアセットコンポーネントを向上させ、欠陥を矯正し、又はそうでなければアセット及び／又はアセットコンポーネントを修正するために提供することが可能である。例えば、その脆弱性はセキュリティ脆弱性とすることが可能である。情報１８８は、ＵＲＬ又はその脆弱性と関連するデータ（例えば、ＰＤＦファイル、ワード文書、テキスト文書等）を供給するその他の手段を使用して提供することが可能である。
【００４１】
従って、本明細書に開示する方法及びシステムは、新たな脆弱性が検知される場合に脆弱性プロフィールのデータベースを自動的にアップデートすることが可能な脆弱性モジュールを提供することが可能である。１実施例において、フレームワークサーバー１０２は、メーリングリスト、インターネットウエブサイト、その他（例えば、ハッカー）により配布された情報等の多様な供給源からの脆弱性を追跡するか又はそうでなければモニタすることが可能である。フレームワークサーバー１０２が脆弱性を検知すると（例えば、既存の脆弱性のアップデート、新たな脆弱性）、脆弱性モジュールは、その脆弱性を識別し、インパクト（即ち、探索された脆弱性の結果）、周知性（即ち、協同社会において脆弱性がどれ程良く知られているか）、及び簡単性（即ち、脆弱性を探索するのに必要とされる技術的熟練性のレベル）に基づいて例えば１乃至１０の範囲にわたる数値的脆弱性リスクレーティングを与え、脆弱性タイプ（例えば、遠隔的及び／又は局所的に攻撃可能）を分類し、脆弱性ソースコードをアーカイブし、その脆弱性により影響を受ける可能性のある１つ又はそれ以上のアセット及び／又はアセットコンポーネントを識別し、及び／又はパッチに対するリンク（例えば、ユニフォームリソースロケーター）を提供することが可能であるが、当業者が理解するように、このような情報は例示的なものであって制限的なものではなく、且つその他の情報及び／又はより少ない情報を包含することが可能である。幾つかの実施例において、ユーザ又はその他は、脆弱性リスクレーティングがあるレンジ内のものでない限り脆弱性の通知がされない場合があり、その場合には、そのレンジをユーザ又は別の者により特定することが可能な場合がある。当業者により理解されるように、ユーザ又は別の者は、ユーザが脆弱性に関する情報を受取るか否かを決定するための１つ又はそれ以上の基準を確立することが可能であり、その場合には、該基準はここに与えた脆弱性特性の１つ又はそれ以上に基づくものとすることが可能である。
【００４２】
フレームワークサーバー１０２は、又、それを介してユーザがキーワード又はその他のクエリー技術により脆弱性プロフィール１７４を観察し且つサーチし、調査及び検証のために新たな脆弱性を提示し、且つ既存の脆弱性プロフィール１７４に対する変更要求を提示することが可能なインターフェース又はその他の手段を提供する命令を包含することが可能である。１つの例示的なインターフェースにおいては、メニュー項目を与えることが可能である。従って、１実施例においては、新たな脆弱性プロフィール１７４と関連するメニュー項目をユーザが選択すると、フレームワークサーバー１０２は「新たな脆弱性を提示」ウエブページ又は「脆弱性変更を提示」ウエブページを与えることが可能である。これらのウエブページ又はその他のインターフェースは、ユーザが、例えば、脆弱性名、発見日付、脆弱性の記述、脆弱性タイプ（例えば、遠隔的及び／又は局所的に攻撃可能）、脆弱性リスクレーティング、及びその脆弱性により影響を受ける場合のある１つ又はそれ以上のアセットコンポーネントのリストをユーザがエンターするか又は編集することを可能とする１つ又はそれ以上のフィールドを包含することが可能である。ユーザは、そのインターフェース上に設けられている「Ｓｕｂｍｉｔ」ボタンを選択するか又はそうでなければその情報をフレームワークサーバー１０２へ送信させることが可能である。１実施例において、フレームワークサーバー１０２はその情報を脆弱性研究者として識別されている一人又はそれ以上の人及び／又はエンティティへ通信することが可能である。これらの一人又はそれ以上の脆弱性研究者は、そのユーザの提示したものを検討し、その脆弱性を研究し且つテストすることが可能であり、且つ、適切である場合には、その発見したことを脆弱性プロフィール１７４内に文書化することが可能であり、それは脆弱性プロフィールのデータベースへ付加することが可能である。１実施例において、脆弱性プロフィール１７４は１つ又はそれ以上のエンタプライズに対するアセット及び／又はアセットコンポーネントと関連付けることが可能である。
【００４３】
フレームワークサーバー１０２は、アセット関連タスクリスト及びリスク関連タスクリストを発生することが可能なワークフローモジュールを包含することが可能である。タスクリストは、１つの責任グループに対して特定的なものとすることが可能であり且つ責任グループのメンバーに対して「為すべき」リストとして作用することが可能である。フレームワークサーバー１０２は、又、それを介して責任グループメンバーがタスクリスト上のタスクを観察し、所有権を得、及び／又はアドレスする（例えば、別のユーザに対し）インターフェースを提供するための命令を包含することが可能である。
【００４４】
リスク関連タスクリストは、それに制限されるわけではないが、検討と承認とを必要とする新たな及び／又は修正されたポリシー及び／又はコンフィギュレーションスタンダードを識別する承認タスクリスト、及びユーザがデフォルトＡＩＣ値より低いＡＩＣ値を選択し、従って責任グループによるアセットリスク例外承認を必要とするアセット１０４を識別するアセットリスク例外タスクリストを包含することが可能である。この例示的な説明の目的のために、ユーザＡが承認のために図４の「ＩＰ  ｆｏｒｗａｒｄｉｎｇ  ｃｏｎｆｉｇｕｒａｔｉｏｎ  −−  Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ」コンフィギュレーションスタンダードを提示し、且つユーザＢが「Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ  Ｓｅｒｖｅｒ  −−Ｆｌｏｏｒ  １５」アセットプロフィール（ここにおいて前に説明した）を作成し且つ営業部門に対するデフォルトＡＩＣ値より低いＡＩＣ値を選択したことを理解することが可能である。本明細書において前に説明したように、「ＩＰ  ｆｏｒｗａｒｄｉｎｇ  ｃｏｎｆｉｇｕｒａｔｉｏｎ  −−  Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ」コンフィギュレーションスタンダード及び「Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ  Ｓｅｒｖｅｒ  −−Ｆｌｏｏｒ  １５」アセットプロフィールは責任グループ１（「ＲＧ１」）へ割当てられている。ワークフローモジュールはＲＧ１に対する承認タスクリストを発生することが可能であり、それは検討し且つ適切である場合には「ＩＰ  ｆｏｒｗａｒｄｉｎｇ  ｃｏｎｆｉｇｕｒａｔｉｏｎ  −−  Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ」コンフィギュレーションスタンダードを承認することのタスクを包含している。ＲＧ１のメンバーは、そのコンフィギュレーションスタンダードを承認し且つレリーズし、そのコンフィギュレーションスタンダードを拒否し、又はそのコンフィギュレーションスタンダードの１つ又はそれ以上の部分を改訂し（例えば、ユーザＡにより）且つ検討のために再提示させることを必要とすることにより、そのタスクの所有権を獲得し且つ対処することが可能である。同様に、ワークフローモジュールは、ＲＧ１に対するリスク例外タスクリストを発生することが可能であり、それは検討し且つ適切である場合にはそのリスク例外を「Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ  Ｓｅｒｖｅｒ  −−  Ｆｌｏｏｒ  １５」アセットプロフィール内に設けることを可能とするタスクを包含している。
【００４５】
アセット関連タスクリストは、それに制限されるものではないが、アセット管理タスクリスト、期限経過通知タスクリスト、アーカイブ通知タスクリストを包含することが可能である。１実施例において、アセット管理タスクリストは責任グループに対して割当てられた１つ又はそれ以上のアセット１０４にインパクトを与える新たな及び／又は修正された脆弱性プロフィール１７４及び／又はコンフィギュレーションスタンダード１６８を識別する。期限経過通知タスクリストはアセット管理タスクリスト上の「期限経過」タスクを識別することが可能であり、且つ、アーカイブ通知タスクリストは、例えば、そのアセットが修正されたために（例えば、コンフィギュレーションスタンダードにより影響されたアセットコンポーネントを除去することにより）脆弱性プロフィール１７４及び／又はコンフィギュレーションスタンダード１６８が最早適用されることがないことを割当てられた責任グループへ通知することが可能である。
【００４６】
この説明の目的のために、図４の「ＩＰ  ｆｏｒｗａｒｄｉｎｇ  ｃｏｎｆｉｇｕｒａｔｉｏｎ  −−  Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ」コンフィギュレーションスタンダードが承認され且つレリーズ（即ち、コンフィギュレーションスタンダードのデータベースへ付加された）ことを理解することが可能である。ワークフローモジュールは、ＲＧ１に対するアセット管理タスクリストを発生することが可能であり、それは新たな「ＩＰ  ｆｏｒｗａｒｄｉｎｇ  ｃｏｎｆｉｇｕｒａｔｉｏｎ  −−  Ｍｉｃｒｏｓｏｆｔ  ＩＩＳ」コンフィギュレーションスタンダードを識別するタスク及びその新たなコンフィギュレーションスタンダードにより影響されるＲＧ１に対して割当てられているアセット１０４を包含している。ＲＧ１のメンバーは、ＲＧ１に対して割当てられているか又はそうでない場合にはそれと関連しているＭｉｃｒｏｓｏｆｔ  ＩＩＳサーバー上のコンフィギュレーションスタンダード内に設けられている実現手順を実行し、認証されていないパケットがＭｉｃｒｏｓｏｆｔ  ＩＩＳサーバーをクロスし且つ何もすること無しに内部システムへ到達する場合があるリスクを受忍するか、又は実現手順により提供されるものと異なる何らかのアクションを取ることによりそのリスクを緩和させることによりこのタスクに対処（即ち、アクションを取る）することが可能である。例えば１０日（例えば、ワークフローモジュールがアセット管理タスクリスト内のタスクが対処されないままに残存することを許容する時間の例示的な最大量）の期間の間ＲＧ１のメンバーによりタスクが対処されない場合には、ワークフローモジュールはそのタスクが期限経過していることを識別する期限経過通知タスクリストを発生することが可能である。ＲＧ１のメンバーは、そのタスクと関連するＲＧ１メンバーとコンタクトするか、又はそのタスクをＲＧ１のメンバーへ割当てることにより期限経過タスクに対処することが可能である。
【００４７】
フレームワークワーバー１０２は、ユーザがアセットプロフィール１７０、脆弱性プロフィール１７４、及び／又はコンフィギュレーションスタンダード１６８に関する要約レポート及び／又は詳細レポートを作成することを可能とするレポーティングモジュールを包含することが可能であるが、その他の情報の詳細を記したレポートは本明細書に開示した方法及びシステムの範囲から逸脱することなしに作成することが可能である。フレームワークサーバー１０２は、それを介してユーザ（例えば、責任グループメンバー）がそれらの夫々の責任グループに割り当てられたアセット１０４に影響を与える脆弱性プロフィール及び／又はコンフィギュレーションスタンダードを識別し及び／又はそうでない場合には描写するか又は供給する予め定義した及び／又はアドホックのレポートを観察し、サーチし、作成し、且つ編集することが可能なインターフェースを提供するための命令を包含することが可能である。予め定義したレポートの例は、これに制限されるものではないが、アセット脆弱性評価レポート、アセットコンフィギュレーションスタンダード評価レポート、アセット脆弱性リスク状態レポート、アセットコンフィギュレーションスタンダードリスク状態レポート、脆弱性ステータス要約レポート、及びコンフィギュレーションスタンダードステータス要約レポートを包含している。「アドホックレポート」という用語は、サーチクエリーカテゴリとしてユーザが定義したフィールド（例えば、アセット名、機能単位１１０、アセットコンポーネント１８６、責任グループ１６４、コンフィギュレーションスタンダード１６８）を包含するためにユーザによりカスタム化することが可能なレポートのことを意味する。所望により、ユーザは、予め定めた及び／又はアドホックのレポートをカンマで区画したテキストファイルとしてエクスポートすることが可能であり、該ファイルは例えばマイクロソフトＥｘｃｅｌＲを包含するスプレッドシートプログラムにより読取り且つ開くことが可能である。
【００４８】
フレームワークサーバー１０２は、又、これらに制限するものではないが、インターネットからアクセスすることが可能なアセット（例えば、アクセスゲートウエイ、ルーター、ＨＴＴＰサーバー、ＳＭＴＰサーバー、及びｔｅｌｎｅｔサーバー）を包含するエンタプライズのアセット１０４のスキャンを実施し及び／又はそれを介してユーザが市販されているセキュリティスキャニングプログラム（例えば、インターネットセキュリティシステム、Ｎｅｓｓｕｓ、及びＣｙｂｅｒＣｏｐ）によりスキャン結果をユーザがインポートすることが可能なインターフェースを提供するスキャニングモジュールを包含することが可能である。１実施例において、スキャニング結果はホスト名（例えば、ＩＰアドレス１９３．１１１．１０１．９０）によりアセットを識別することが可能である。フレームワークサーバー１０２は、そのアセットがアセットプロファイルと関連しているか否かを判別するためにホスト名又はその他のクエリー即ち問い合わせ技術によりアセットプロフィール１７０をサーチすることが可能である。そのサーチが負の結果を発生する場合（即ち、そのアセットのホスト名がデータベース内のアセットプロフィールのホスト名と一致しない）、フレームワークサーバー１０２は、それを介してアセット１０４と関連すべきアセットプロフィール１７０をユーザが選択するか、又はアセット１０４に対するアセットプロフィール１７０を作成することが可能なインターフェースを提供することが可能である。スキャニングモジュールは、又、脆弱性についてアセットを探索し、且つ脆弱性モジュールに対して、例えば、アセットにおいて検知された脆弱性のレポートを提供することが可能である。一般的に、スキャニングモジュールは、アセット１０４を識別し、アセット１０４を関連付け、且つアセット１０４の脆弱性ステータスを検証する場合にエンタプライズ１０６を援助するための妥当性検査ツールとして作用することが可能である。
【００４９】
従って、本方法及びシステムは、自動化した即ちオートディスカバリ及び／又はオートインベントリ（又はインベントリ）能力と関連付けることが可能である。例えば、オートディスカバリ（又はディスカバリ）はアセット１０４及び／又はアセットコンポーネント１８６に対してイントラネット等のネットワークを探索するか又はそうでない場合にはスキャンする能力であると理解することが可能である。１つの例において、このような能力は、手動的に要求された場合、又は毎日（例えば、与えられた時間において）、毎週、毎月、又は別のスケジュールされた時間期間等のスケジュールされた状態を基礎として動作すべく形態とさせることが可能である。１実施例において、オートディスカバリモジュールは、入力として、スキャンすべきインターネットプロトコル（ＩＰ）アドレスのリスト又はその他の指定として受付けることが可能である。
【００５０】
オートインベントリ能力は、オートディスカバリ能力とは独立的に又はそれに従って動作すべき形態とすることが可能である。オートインベントリ能力は、アセットコンポーネント１８６を識別するプロセスを包含することが可能であり、且つ本明細書において提供されるように（例えば、ソフトウエアモジュール、ソフトウエアパッチ）、このようなオートインベントリ能力は、そうでない場合に、アセット１０４を決定するか又はそうでない場合にはアセットプロフィール１７０、脆弱性プロフィール１７４、コンフィギュレーションスタンダード１６８、及び／又は本明細書に開示した方法及びシステムのその他のコンポーネントと関連付ける基礎とすることが可能である。このようなインベントリ及び／又はディスカバリシステムは、従って、アセットプロフィール１７０の自動的な発生及び／又は１つ又はそれ以上の脆弱性プロフィール１７４及び／又はコンフィギュレーションスタンダード１６８との関連付けを可能とする場合がある。１つの例において、オートインベントリ及び／又はディスカバリ能力又はモジュールは、発見され及び／又はインベントリされたアセット１０４、アセットコンポーネント１８６等に対するタスクリストを発生することが可能である。従って、インベントリ及び／又はディスカバリ能力又はモジュールは、開いた及び／又は閉じた脆弱性及び／又はコンフィギュレーションスタンダード問題及び／又はタスクを識別することが可能である。
【００５１】
１実施例において、本方法及びシステムは自動的リメディエーション（「オートリメディエーション」即ち「修正」）能力又はモジュールを包含することが可能であり、それは関連するコンフィギュレーションスタンダード１６８、アセットプロフィール１７０により提供されるように、ソフトウエアパッチをロードさせ及び／又はタスクを実施させることを可能とし、その場合にリメディエーションプロセスの進行及び／又は結果を表示するために関連するタスクリストをアップデートすることが可能である。１つの例において、電子メール又はその他の通知を結果及び／又はアップデートしたタスクリストに関してシステム管理者、責任グループ（メンバー）１６４又は別の者へ送信することが可能である。従って、１つの例において、ディスカバリ及びインベントリを実施することが可能であり、その場合に、アセットプロフィール１７０及び／又はタスクリストを作成することが可能であり、脆弱性プロフィール１７４及び／又はコンフィギュレーションスタンダード１６８との関連性を決定することが可能であり、且つリメディエーションモジュール及び／又はプロセスはパッチ及び／又はフィックスをロードすることによりタスクリストからの項目を解決することが可能であり、その場合に該タスクリストをアップデートし且つユーザへ供給することが可能である。
【００５２】
本明細書に開示した方法及びシステムは、従って、システムバックアップのために使用することが可能である。アセット１０４及び／又はアセットコンポーネント１８６と関連するデータ及び／又は情報は、従って、バックアップメカニズムにおいて使用することが可能であり、アセット１０４及び／又はエンタプライズにわたる障害の場合に復元することを可能とする。従って、フレームワークサーバー１０２のバックアップが所望される場合がある。
【００５３】
本方法及びシステムは、又、個別的なアセットに基づいて及び／又はグローバルなアセットに基づいて適用されるべきパッチ／フィックス１８８を提供する。従って、アセットプロフィール１７０、コンフィギュレーションスタンダード１６８等の管理は、グローバルに及び／又は個別的なアセットに関して実施することが可能である。従って、アセットは、グローバルコンフィギュレーション及び／又は個別的コンフィギュレーションと関連付けることが可能である。幾つかの実施例において、個別的コンフィギュレーションはグローバルコンフィギュレーションを上書きすることが可能であり、一方、その他のシステムにおいては、グローバルコンフィギュレーションが個別的コンフィギュレーションを上書きする場合がある。
【００５４】
図８は本明細書に開示した方法及びシステムの１実施例を例示しており、その場合には、フレームワークサーバー１０２はエンタプライズ１０６が存在するイントラネット又はその他のネットワーク内に組込むことが可能である。従って、図１Ａ及び１Ｂは、とりわけ、アセット１０４、アセットコンポーネント１８６、アセットプロフィール１７０、機能単位１１０、ユーザアカウント１６２、コンフィギュレーションスタンダード１６８、及びその他のコンポーネント等のエンタプライズ１０６と関連するデータが、例えば、インターネットを介してアクセスすることが可能なサーバー（例えば、フレームワークサーバー１０２）上に存在する場合の実施例を示しているが、図８に基づく実施例は、フレームワークサーバー１０２が、インターネットをトラバースするか又はそうでなければアクセスすることなしにエンタプライズ１０６によりアクセスすることが可能なネットワーク及び／又はイントラネット内に付加的に及び／又はオプションとして位置させることが可能であることを例示している。従って、このような実施例においては、アセット１０４、アセットコンポーネント１８６、アセットプロフィール１７０、機能単位１１０、ユーザアカウント１６２、コンフィギュレーションスタンダード１６８、及びその他のコンポーネント等のエンタプライズ関連情報又はデータはネットワーク／イントラネット内、及びエンタプライズ１０６のセキュリティ制御内に存在することが可能である。幾つかの実施例においては、例えば、フレームワークサーバー１０２のデータのコピーをセキュア通信技術を使用するセキュアチャンネルによってフレームワークサーバー１０２のバックアップを格納することが可能なアカウントサーバー８００へ送信することが可能であるが、このような能力はオプションである。
【００５５】
従って、図８に基づくフレームワークサーバー１０２は、エンタプライズ１０６と関連するシステム管理者がフレームワークサーバー１０２をコンフィギュア即ち形態特定することが可能であり且つ、例えば、フレームワークサーバー１０２のシステムバックアップを提供することが可能であるという点においてエンタプライズ１０６により制御されるものと理解することが可能である。エンタプライズ１０６の制御内のものであるということは、フレームワークサーバー１０２がエンタプライズ１０６の直接的又は間接的な制御下にある位置に物理的に存在することを表わすことが可能である。このような実施例は図１Ａ及び１Ｂの方法及びシステムにより企図されるものであるが、図１Ａ及び１Ｂは、又、フレームワークサーバー１０２がエンタプライズ１０６の制御内に存在しない場合のシステム及び方法も企図しており、従って、このような実施例においては、エンタプライズ１０６と関連する個人はフレームワークサーバー１０２に関して物理的な制御を有するものでない場合があり且つインターネットを介しての通信アクセスに制限されるものではない場合がある。
【００５６】
図８に基づく実施例において、アカウントサーバー８００は、オプションとして及び付加的に、インターネット１８４を介してエンタプライズ／フレームワークサーバー１０２へのインターフェースを提供することが可能であり、従って例示したフレームワークサーバー１０２はコンフィギュレーションスタンダード、脆弱性、及びその他のデータに関するアップデートを得るためにアカウントサーバー８００に対して通信を行うことが可能である。１つの例において、図８に基づくフレームワークサーバー１０２はアカウントサーバー８００とのセキュアチャンネル（例えば、匿名ＳＳＬ）を確立することが可能であり、その場合には、フレームワークサーバー１０２はアカウントサーバー８００と「ログイン」又はその他の態様で通信を確立することが可能であり、従ってアカウントサーバー８００は、フレームワークサーバー１０２と関連付けさせることが可能なエンタプライズ１０６を検証することが可能である。このようなエンタプライズ１０６とフレームワークサーバー１０２との関連性に基づいて、アカウントサーバー８００はフレームワークサーバー１０２に対する関連された特権を決定することが可能であり、その場合に、このような特権はエンタプライズアカウント８０２に基づくことが可能である。図８のアカウントサーバー８００は、従って、このような関連された特権に基づいて例示されたフレームワークサーバー１０２からの要求を処理することが可能である。１つの例において、アカウントサーバー８００は要求を受取り、エンタプライズアカウント８０２を識別し、且つ関連する特権が要求を発生するフレームワークサーバー１０２が応答する権限を有するものでないことを表わすことを決定することが可能である。
【００５７】
図８が示すように、アカウントサーバー８００はインターネットを介して又は多様な供給源１８２，１８０，１７８から直接的に、コンフィギュレーション、脆弱性等に関するデータ及び／又はその他の情報を受取ることが可能である。従って、アカウントサーバー８００は、コンフィギュレーション、脆弱性、及びその他の情報に対してシステマチック及び／又はスケジュールされたサーチを有することが可能であり、且つ、更に、脆弱性及びその他のシステムデータに関する非同期的なアップデート（例えば、手作業のエントリ）を受取ることが可能である。例えば、アカウントサーバー１０８は、本明細書において前に説明したような脆弱性モジュールを包含する場合があり、一方関連するフレームワークサーバー１０２は、オプションとして及び付加的に脆弱性モジュールを包含する場合がある。図８に基づく１実施例において、アカウントサーバー８００と関連するフレームワークサーバー１０２は、脆弱性モジュールを包含するものでない場合があり、且つ関連するアカウントサーバー８００がこのような特徴を実施することを可能とさせる場合がある。アカウントサーバー８００はこのような脆弱性情報を局所的に（例えば、イントラネット内に）格納することが可能であり、及び／又はこのような情報又はデータに対するリンク又はその他のポインタを格納する場合があり、その場合には、該データはインターネット又は別のネットワークを介してアクセスすることが可能である。従って、例示したアカウントサーバー８００は、脆弱性情報及び／又はエンタプライズアカウントデータ８０２を格納するために１つ又はそれ以上のデータベース又はその他のメモリコンポーネントを包含することが可能である。
【００５８】
従って、１実施例において、アカウントサーバー８００は、脆弱性プロフィール１７４を維持することが可能であり、且つフレームワークサーバー１０２からの要求がある場合には、このような脆弱性プロファイルデータをフレームワークサーバー１０２へ供給することが可能である。フレームワークサーバー１０２は、その後に、脆弱性プロフィールを１つ又はそれ以上のアセット１０４及び／又はアセットプロフィール１７０と関連付けることにより脆弱性プロフィール１７４を組込むことが可能である。幾つかの実施例において、アカウントサーバー８００からの脆弱性データは、フレームワークサーバー１０２が受取ったデータに基づいて脆弱性プロフィール１７４を展開することが可能であるように、別の形態とする場合がある。従って、フレームワークサーバー１０２からの有効な及び／又は認証された要求があると、アカウントサーバー８００は、アカウントサーバー８００がアクセスしている脆弱性データ（例えば、プロフィール１７４）をクエリー即ち質問して、どの脆弱性データが要求を発生するフレームワークサーバー１０２に対して適用可能であるかを決定することが可能である。１実施例において、アカウントサーバー８００のクエリーは、要求内のパラメータに基づくことが可能であり、それはアセット、アセットプロフィール、時間及び／又は日付、又はクエリーの基礎とすることが可能な別のパラメータを包含する場合がある。
【００５９】
図１−７のシステム及び方法に関して本明細書において先に説明したように、例示したアカウントサーバー８００は手作業エントリ１７８、サーチエンジン１８２、及びその他のデータ供給源１８０から脆弱性及びその他の情報を受取ることが可能であり、且つ、従って、脆弱性フィックス又はパッチ１８８に対してアクセスするか又はそうでない場合にはそれに対するリンク又はポインタを包含することが可能である。フレームワークサーバー１０２からの要求に基づいて、例えば、アカウントサーバー８００は要求を発生するフレームワークサーバー１０２に対して脆弱性フィックス１８８に対するリンクをリターンすることが可能である。１実施例において、フレームワークサーバー１０２からの要求は、アセット又はコンフィギュレーションに対して特定的なデータを包含する場合がある。アカウントサーバー８００は、付加的に且つオプションとして、与えられたフレームワークサーバー１０２及び／又は与えられたアセットからの要求を追跡し、例えば、その要求に基づくデータ／情報を供給する場合があり、その場合、このようなデータ／情報は、又、その要求に対する応答が繰り返される情報なしでアップデートされた情報を包含するように前の要求に基づくものとすることが可能である。幾つかの実施例において、フレームワークサーバー１０２は、付加的に且つオプションとして、二重の情報を除去するためにアカウントサーバー８００からの応答をフィルタする特徴を有している場合がある。幾つかの実施例において、要求は特定した時間及び／又は日付以外の日付でアカウントサーバー８００が応答することを可能とするために時間及び／又は日付データを包含する場合がある。当業者によって理解されるように、その他のデータ／データを使用する要求のその他の変形を使用することが可能である。
【００６０】
１実施例において図８に基づくフレームワークサーバー１０２は特定した間隔でアカウントサーバー８００からのアップデートを要求することが可能である。このような要求は、エンタプライズ１０６と関連するシステム管理者又は別の者により形態特定することが可能である。当業者により理解されるように、アカウントサーバー８００は、又、フレームワークサーバー１０２による要求に基づいて与えられたフレームワークサーバー１０２に対してスケジュールされた間隔でアップデートを供給すべく形態特定することが可能である。このようなアップデートは、本明細書において説明したように、増分的なものとすることが可能であり、及び／又は、本明細書で説明したように、フィルタリング技術を使用することも可能である。
【００６１】
図８に基づく１実施例において、アカウントサーバー８００からの情報及び／又はデータは、テープ、ディスク、ＣＤ、ＤＶＤ、又はその他のポータブルなメモリコンポーネント等の媒体を介してフレームワークサーバー１０２へ供給することが可能である。
【００６２】
図９はフレームワークサーバー１０２ａ−１０２ｎの特徴を包含することが可能であり、従って、フレームワークサーバー１０２ａ−１０２ｎの特徴を管理することが可能なディレクタ９００ａにより１つ又はそれ以上のフレームワークサーバー１０２ａ−１０２ｎを管理することが可能な１つの例を与えている。図９に示していないものは、フレームワークサーバー１０２ａ−１０２ｎ及び／又はディレクタ９００ａと通信を行う場合のある１つ又はそれ以上のアカウントサーバー８００である。従って、ディレクタ９００ａはフレームワークサーバー１０２ａ−１０２ｎにより提供されるデータに基づいてレポートを発生することが可能であり、このようなレポートは単一のフレームワークサーバー１０２に関して本明細書において先に説明している。図９は、又、１つ又はそれ以上のディレクタ９００ａ−９００ｂが、本明細書において説明するようなディレクタの能力を具備する場合のある１つ又はそれ以上のエグゼキュティブ９０２と通信することが可能であることを表わしている。当業者により理解されるように、例示したディレクタ９００ｂは、図示していない１つ又はそれ以上のフレームワークサーバー１０２と関連しているものと理解することが可能である。エグゼキュティブ９０２は、又、１つ又はそれ以上のアカウントサーバー８００と通信することが可能である。
【００６３】
以上説明したことは、エンタプライズにおける少なくとも１つのアセットを管理する場合に使用する方法及びシステムであり、該方法及びシステムは、第一サーバーを設け、該第一サーバーは少なくとも１つのアセットと関連する少なくとも１つのアセットプロフィールを包含する形態とされており、該第一サーバーは該エンタプライズにより制御され、且つ別個の第二サーバーへの要求に応答して、該少なくとも１つのアセットと関連する少なくとも１つの脆弱性と関連するデータを該第一サーバーにおいて受取り、その場合に該第二サーバーが該エンタプライズの制御外にある、ことを包含している。
【００６４】
本明細書において記載する本方法及びシステムは特定のハードウエア又はソフトウエア形態に制限されるものではなく、且つ多くのコンピューティング又は処理環境において適用可能性を有するものである。本方法及びシステムは、ハードウエア又はソフトウエア、又はハードウエアとソフトウエアとの組み合わせにおいて実現することが可能である。本方法及びシステムは、１つ又はそれ以上のコンピュータプログラムで実現することが可能であり、その場合に、コンピュータプログラムは１つ又はそれ以上のプロセッサ実行可能命令を包含することを理解することが可能である。コンピュータプログラムは、１つ又はそれ以上のプログラム可能なプロセッサ上で実行することが可能であり、且つプロセッサ（揮発及び非揮発メモリ及び／又は格納要素を包含する）、１つ又はそれ以上の入力装置、及び／又は１つ又はそれ以上の出力装置により読取可能な１つ又はそれ以上の格納媒体上に格納することが可能である。従って、プロセッサは、入力データを得るために１つ又はそれ以上の入力デバイスへアクセスすることが可能であり、且つ出力データを通信するために１つ又はそれ以上の出力デバイスへアクセスすることが可能である。入力及び／又は出力デバイスは以下のもの、即ちランダムアクセスメモリ（ＲＡＭ）、独立ディスクの冗長アレイ（ＲＡＩＤ）、フロッピィドライブ、ＣＤ、ＤＶＤ、磁気ディスク、内部ハードドライブ、外部ハードドライブ、メモリスティック、又は本明細書において説明したようなプロセッサによりアクセス可能なその他の格納装置のうちの１つ又はそれ以上を包含することが可能であり、その場合に、このような前述した例は包括的なものではなく、且つ例示的なものであって制限的なものではない。
【００６５】
コンピュータプログラムは、コンピュータシステムと通信するために１つ又はそれ以上のハイレベル手順又はオブジェクト指向型プログラミング言語を使用して実現することが可能であるが、プログラムは、所望により、アッセンブリ又はマシン言語で実現することが可能である。該言語はコンパイル型又はインタプリタ型とすることが可能である。
【００６６】
従って、プロセッサは、ネットワーク型環境において独立して又は一体的に動作させることが可能な１つ又はそれ以上のデバイス内に埋め込むことが可能であり、その場合に、該ネットワークは、例えば、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）を包含することが可能であり、及び／又はイントラネット及び／又はインターネット及び／又は別のネットワークを包含することが可能である。該ネットワークは、有線又は無線とすることが可能であり、又はその組み合わせとすることが可能であり、且つ異なるプロセッサ間での通信を簡単化させるために１つ又はそれ以上の通信プロトコルを使用することが可能である。該プロセッサは、分散型処理に対する形態とすることが可能であり、且つ幾つかの実施例においては、必要に応じユーザ−サーバーモデルを使用することが可能である。従って、本方法及びシステムは、複数のプロセッサ及び／又はプロセッサデバイスを使用することが可能であり、且つプロセッサ命令はこのような単一又は複数のプロセッサ／デバイス間に分割させることが可能である。
【００６７】
従って、プロセッサは、例えば、ＰＣ、ワークステーション、ハンドヘルド型、パーム、ラップトップ、携帯電話、又はここに開示した方法及びシステムに従ってプロセッサを動作させるための命令を包含するその他のプロセッサ制御型デバイスを包含することが可能なプロセッサ制御型デバイスと考えることが可能である。本明細書に記載するデバイスは包括的なものではなく、例示的に提供されるものであって制限的なものではない。「１個のプロセッサ」、「該プロセッサ」、及び／又は「サーバー」（記述的修飾子と共に又は無しで）に対する言及は、スタンドアローンにおいて及び／又は分散型環境においての通信を可能とする１個又はそれ以上のプロセッサを包含するものと理解することが可能であり、従って、その他のプロセッサとの有線及び／又は無線通信を介して通信すべき形態とすることが可能であり、その場合に、このような１つ又はそれ以上のプロセッサは同様の又は異なるデバイスとすることが可能な１つ又はそれ以上のプロセッサ制御型デバイスに関して動作する形態とすることが可能である。更に、メモリに対する言及は、そうでないことが特記されない限り、１つ又はそれ以上のプロセッサ読取可能且つアクセス可能なメモリ要素及び／又はコンポーネントを包含することが可能であり、それはプロセッサ制御型デバイスに対して内部的、プロセッサ制御型デバイスに対して外部的なものとすることが可能であり、且つ多様な通信プロトコルを使用して有線又は無線ネットワークを介してアクセスすることが可能であり、且つそうでないことが特記されない限り、外部及び内部メモリデバイスの組み合わせを包含すべく構成とすることが可能であり、その場合に、このようなメモリはアプリケーションに基づいて連続的及び／又は分割型とすることが可能である。データベースに対する言及は、本明細書について説明したようなメモリに対する言及であると理解することが可能であり、その場合に、このようなメモリはデータを関連付けるための構成とすることが可能であるが、当業者により理解されるように、リンクしたリスト、キュー、グラフ、アレイ、及びその他のデータ構造等のその他のデータ構造を単純に使用する場合がある。
【００６８】
「ネットワーク」という用語は、区別について注記しない限り、インターネット及び／又は１つ又はそれ以上のイントラネットの両方を意味している。
【００６９】
本方法及びシステムをその特定の実施例に関して説明したが、それらはそのように制限されるものではない。明らかに、多くの修正及び変形は上の説明に鑑み自明なものとなる。例えば、データベースに対する言及は、開示した方法及びシステムを簡単化させる態様で関連するデータを包含することが可能であり、且つ有線及び／又は無線通信を使用して内部的に及び／又は外部的にアクセスすることが可能な連続的な及び／又は非連続的なメモリ内に格納することが可能なその他のデータ構造を包含することが可能である。
【００７０】
本明細書に記載し且つ例示した詳細、物質、構成においての多くの付加的な変更は当業者により行うことが可能なものである。従って、特許請求の範囲は本明細書に開示した実施例に制限されるべきものではなく、特記したもの以外の実施態様を包含することが可能であり、且つ法の下で許容される程度に広く解釈されるべきものであることを理解すべきである。
【図面の簡単な説明】
【００７１】
【図１Ａ】エンタプライズのアセットを管理する場合に使用するシステムのブロック図。
【図１Ｂ】本明細書に開示した方法及びシステムに基づくブロック図。
【図２】図１に基づくシステム用の例示的インターフェース。
【図３】図１に基づくシステム用の例示的インターフェース。
【図４】図１に基づくシステム用の例示的インターフェース。
【図５】図１に基づくシステム用の例示的インターフェース。
【図６】図１に基づくシステム用の例示的インターフェース。
【図７】図１に基づくシステム用の例示的インターフェース。
【図８】本明細書に開示した方法及びシステムの１実施例のブロック図。
【図９】本明細書に開示した方法及びシステムに基づく階層的管理に対するブロック図。
【図１Ａ】
2005530239.tif 000003
【図１Ｂ】
2005530239.tif 000004
【図８】
2005530239.tif 000005
【図９】
2005530239.tif 000006
【図２】
2005530239.tif 000007
【図３】
2005530239.tif 000008
【図４】
2005530239.tif 000009
【図５】
2005530239.tif 000010
【図６】
2005530239.tif 000011
【図７】
2005530239.tif 000012
【国際調査報告】
2005530239.tif 000013