(57)【要約】【課題】  任意の性質および頻度の攻撃中にネットワーク機能を維持することができる、ネットワーク・セキュリティ・システムおよび管理方法を提供する。【解決手段】  高レベルのセキュリティおよびフォールト・トレランスがデジタル・ネットワーク内で、ユーザに透過なシグナリングの極めて安全なインフラストラクチャの使用によって提供され、このシグナリングは、潜在的な攻撃の特性を有するネットワーク・ノードでの信号の検出を別のノードに通信するため、かつ、ユーザに透過な信号に応答して、別のノードからの通信をそのノードでのルータでコントロールするためのものである。プロセッサがルータおよびネットワークに暗号化エンジンを通じて接続され、プロセッサは、コントロール・コマンドをローカルのより下位の階層のノードに発行するためのマネージャ・オブジェクト、および、潜在的な攻撃を検出し、ローカルのより上位の階層のノードからの信号に応答してルータを介してコントロールを行うためのマネージド・オブジェクトを含む。
2005535150.tif 000002
【特許請求の範囲】
【請求項１】
デジタル・ネットワークのノードでのインストレーションのためのセキュリティ・デバイスであって、
ユーザに透過な通信を前記デジタル・ネットワークの別のノードに提供するためのセキュリティ／暗号化エンジンと、
組み込みセキュリティ・ポリシー・マネージャ機能を含む、プログラムされたデータ・プロセッサとを備え、前記機能は、
標準の使用の特性とは異なる特性を含む通信を検出し、アラームを前記セキュリティ／暗号化エンジンに、前記ユーザに透過な通信としての別のノードへの通信のために送信するため、かつ、前記デジタル・ネットワークの別のノードからのユーザに透過な通信に応答して、前記デジタル・ネットワーク内の通信のルーティングをコントロールするためのものである、セキュリティ・デバイス。
【請求項２】
前記ユーザに透過な通信に対応する情報を格納するためのメモリをさらに含む、請求項１に記載のセキュリティ・デバイス。
【請求項３】
前記通信のルーティングは、前記デジタル・ネットワークのノードを分離させる、請求項１に記載のセキュリティ・デバイス。
【請求項４】
前記デジタル・ネットワークのノードを分離させるための前記通信のコントロールはリアル・タイムで実行される、請求項３に記載のセキュリティ・デバイス。
【請求項５】
前記ノードおよび前記別のノードは、前記デジタル・ネットワーク内でローカルに階層的に構成される、請求項１に記載のセキュリティ・デバイス。
【請求項６】
セキュア・セッションを前記ノードと前記別のノードの間で定義するための手段をさらに含む、請求項１に記載のセキュリティ・デバイス。
【請求項７】
セキュア・セッションを定義するための前記手段は、認証されたユーザ、および通信するノードの識別のうち、１つに対応する情報を送信するための手段を含む、請求項６に記載のセキュリティ・デバイス。
【請求項８】
前記標準の使用の特性とは異なる特性は、潜在的な攻撃の特性である、請求項１に記載のセキュリティ・デバイス。
【請求項９】
前記標準の使用の特性とは異なる特性は、前記デジタル・ネットワークのノードまたはリンクでの障害に対応する、請求項１に記載のセキュリティ・デバイス。
【請求項１０】
前記プログラムされたデータ・プロセッサは、接続された各ノードに対応する、マネージャ・オブジェクトおよび少なくとも１つのマネージド・オブジェクトを含む、請求項１に記載のセキュリティ・デバイス。
【請求項１１】
デジタル・ネットワークであって、
前記デジタル・ネットワークの複数の各ノードでの少なくとも２つのロッキング・デバイスと、
標準の使用の特性とは異なるいくつかの特性を有するネットワーク通信またはアクティビティを検出し、信号を別のネットワーク・ノードに提供するためのセキュリティ・ポリシー・マネージャ・デバイスと、
別のノードからのユーザに透過な信号に応答して、前記少なくとも２つのロッキング・デバイスをコントロールして、前記デジタル・ネットワーク内で冗長通信パスを選択するノードを分離して、ネットワーク通信を複数の他のネットワーク・ノードの間で維持するための手段とを備える、デジタル・ネットワーク。
【請求項１２】
前記ユーザに透過な通信に対応する情報を格納するためのメモリをさらに含む、請求項１１に記載のデジタル・ネットワーク。
【請求項１３】
前記デジタル・ネットワークのノードを分離させるための前記ロッキング・デバイスの前記コントロールはリアル・タイムで実行される、請求項１１に記載のデジタル・ネットワーク。
【請求項１４】
前記ノードおよび前記別のノードは、前記デジタル・ネットワーク内でローカルに階層的に構成される、請求項１１に記載のデジタル・ネットワーク。
【請求項１５】
セキュア・セッションを前記ノードと前記別のノードの間で定義するための手段をさらに含む、請求項１１に記載のデジタル・ネットワーク。
【請求項１６】
セキュア・セッションを定義するための前記手段は、認証されたユーザ、および通信するノードの識別のうち、１つに対応する情報を送信するための手段を含む、請求項１５に記載のデジタル・ネットワーク。
【請求項１７】
前記標準の使用の特性とは異なる特性は、潜在的な攻撃の特性である、請求項１１に記載のデジタル・ネットワーク。
【請求項１８】
前記標準の使用の特性とは異なる特性は、前記デジタル・ネットワークのノードまたはリンクでの障害に対応する、請求項１１に記載のデジタル・ネットワーク。
【請求項１９】
前記プログラムされたデータ・プロセッサは、接続された各ノードに対応する、マネージャ・オブジェクトおよび少なくとも１つのマネージド・オブジェクトを含む、請求項１１に記載のデジタル・ネットワーク。
【請求項２０】
デジタル・ネットワークを動作する方法であって、
前記デジタル・ネットワークのノードでの標準の使用の特性とは異なる特性を有する通信を検出するステップと、
前記検出するステップに応答して、ユーザに透過な信号を別のノードに通信するステップと、
ユーザに透過な信号により、前記別のノードからの通信を前記ノードでコントロールするステップとを含む方法。
【請求項２１】
通信をコントロールする前記ステップは、
前記ノードを前記ネットワークから分離させて、前記標準の使用とは異なる特性を有する通信をカプセル化するステップと、
前記デジタル・ネットワーク内の他の通信を、前記デジタル・ネットワークの複数のノードの間の冗長リンクを通じてルーティングするステップとを含む、請求項２０に記載の方法。
【請求項２２】
前記検出するステップは、前記デジタル・ネットワークのノードでマネージド・オブジェクトによって実行され、前記コントロールするステップは、前記デジタル・ネットワークの前記別のノードでマネージド・オブジェクトに応答して実行される、請求項２０に記載の方法。
【請求項２３】
前記検出するステップ、前記通信するステップ、および前記コントロールするステップは、実質的にリアル・タイムで実行される、請求項２０に記載の方法。
【請求項２４】
セキュア・セッションを、前記デジタル・ネットワーク内の通信パス内で接続されたノードの複数のペアの間で定義するさらなるステップを含む、請求項２０に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一般にデジタル通信ネットワークに関し、より詳細には、サービス拒否および他の攻撃の存在においてネットワーク機能性を可能にするための高レベルのセキュリティおよびフォールト・トレランスの特性の開発に関する。
【背景技術】
【０００２】
多数の技術開発および経済力は、分散データ処理システムの広範囲に及ぶ使用をもたらしており、このシステムでは、多数のデータ・プロセッサのそれぞれが独立して機能することができる可能性があり、これらがデータならびにハードウェアおよびソフトウェア・リソースを共有するためにネットワークによって接続される。システムの接続性を、ローカルまたはワイド・エリア・ネットワークを介してハード・ワイヤードにすることができ、あるいは、多少は公衆にアクセス可能であるリンクを使用することができ、このリンクは、様々なハードウェア・インターフェイスを通じて所与のプロセッサに使用可能にすることができる多数の共通搬送波通信リンクを利用する、インターネットなどである。しかし、ＴＣＰ／ＩＰプロトコルの開発などのような技術力が最初に開発されていたとき、相互接続性の柔軟性、スケーラビリティ、ならびに、データ交換の容易さおよび信頼性が最も重要であって、セキュリティ対策の重要性は十分に理解されず、個々のプロセッサまたは個々のリソースで、他の接続されたプロセッサからのアクセスを防止するために実施されるように委ねられた。
【０００３】
言うまでもなく、所与のプロセッサを効果的に複数のネットワークに一度に接続することができ、したがって、公にアクセス可能なネットワークを使用して、潜在的に一連のプロセッサを通じて別のネットワークにアクセスすることができる。他方では、プロセッサのアクセスをセキュアまたは非セキュア・ネットワークのみに制限することにより、プロセッサの機能性が、アクセス可能なリソースの低減によりアクセス不可能になる可能性のあるレベルまで低減される。また、データ・プロセッサの多用途の性質においても、考案される可能性のあるいかなるセキュリティ機能もまた破られる可能性があり、機密のリソースの保護は完全に、利用されたセキュリティ手段を破る困難に置かれる。さらに、上に示したように、アクセスの制限は通常、個々のプロセッサまたはリソース（例えば、アプリケーション）でのみ提供され、ネットワーク自体内では提供されない。
【０００４】
ＴＣＰ／ＩＰネットワーキングの使用が増大しているので、セキュリティの欠如を利用するための技術が発見され、開発され、実施され、また、世界中のハッカー・コミュニティ内で幅広く共有されている。この状況は、グローバル・ネットワーク・インフラストラクチャに根本的な脅威を与え、いずれかのネットワークまたは接続されたリソースのセキュリティが達成されるべきである場合、これが改善されなければならない。
【０００５】
したがって、軍用および商用コンピュータ・システムにおいて、ますます高度な侵入者攻撃の多数の報告がある。コンピュータ攻撃は、個々のシステム上に常駐の機密データへのアクセスを（その内容を知るために、あるいはそれを破損するために）得る形態を取るか、あるいは、プロセッサまたはリソースを大いに無差別な方法で損傷または破壊するためのいわゆるウィルスまたはワームの形態を取る可能性がある。
【０００６】
懸念が増大しているさらにもう１つの攻撃の形態は、「サービス拒否」（ＤＯＳ）攻撃であり、これにおいては、通常のネットワーク機能が、システムが応答するための容量に達するかあるいはこれを超える速度で要求され、それにより、他のリクエスタへのサービスが拒否され、あるいはそうでない場合は、電話または配電網に過負荷をかけるなど、他の通信またはサービスが混乱させられる。また、多数のこのような攻撃が、形態にかかわらず、攻撃されたシステム、または少なくとも１つの接続されたシステムに対して、ある正当な許可されたレベルのアクセスを有する人物によって開始されることが、多数の調査によって報告されている。
【０００７】
ネットワークは本質的に、ネットワーク・プロトコルおよびインフラストラクチャ・コンポーネントにおけるセキュリティの脆弱性の利用により攻撃を受けやすい。データの無許可の閲覧および変更に加えて、上に示したように、オペレーティング・システム、および、ネットワーク上にインストールされたアプリケーションのセキュリティ・コントロールが避けられる可能性があり、ネットワーク・ファイアウォール（ネットワーク境界で広範囲に使用される）に侵入される可能性があり、ネットワーク機能が混乱させられる可能性があり、許可されたユーザのセッションが（ユーザが認証された後に）盗まれる可能性があり、ネットワークのルーティング機能が混乱させられて、ネットワーク・データが誤った方に向けて送られる可能性がある。軍用ネットワーク・インフラストラクチャへの共同での攻撃は、軍事活動を損なう可能性があり、あるいはネットワークを強制的にシャットダウンさせる可能性がある。最近開発された識別証明の形態によって提供された識別および認証（Ｉ＆Ａ）能力は、ネットワーク・プロトコルに対する攻撃に対応するための技術的メカニズムを提供しない。
【０００８】
従来、３層の手法が、ネットワークの保護を提供するための試みにおいて取られていた。第１の層は、外部のネットワークからネットワークへのアクセスをコントロールするためのファイアウォールの広範囲の使用である。しかし、ファイアウォールは、許可されたアクセスの数および種類が増加するにつれて、管理することが幾何級数的に困難になる。この難点は特に軍用ネットワークにおいて明白であり、軍用ネットワークは特に、それらのアクセス・コントロール・ルール・セットの構成におけるエラーの利用を通じた侵入を受けやすくなる。
【０００９】
しかし、ファイアウォールは十分に効果的ではなく、これは、ＴＣＰ／ＩＰがパケット分割を管理する方法を、ファイアウォールのパケット・フィルタリング・システムを「突き抜ける」ために利用することができるからである。「セッション・ハイジャッキング」は複雑であるが、強力なユーザ認証の効果的な使用を無効にするように自動化させることができる。さらに、すべてのネットワーク・アクセスを、強制的にファイアウォールを通じてのみ行わせることは困難である。デジタルＰＢＸシステム、および、Ｍｉｃｒｏｓｏｆｔ  Ｗｉｎｄｏｗｓ（登録商標）ソフトウェアに含まれたリモート・アクセス・サーバにインターフェイスする市販のモデムの可用性は、ファイアウォールを通じたネットワークへのダイヤルアップ接続の使用のコントロールを非現実的にする。
【００１０】
保護の第２の層は強力なユーザ認証であり、これはバイオメトリック・システムおよびデジタル証明書などである。しかし、このようなシステムにはコストがかかり、一般に、最も機密なシステムにおいてのみ実施されるが、それにもかかわらず、上に示したセッション・ハイジャッキング攻撃によって無効にされる可能性があり、これは、ＴＣＰ／ＩＰがソース・アドレス・パケットを認証できず、「ハーフオープン」接続を打切りにすることができず、ＴＣＰヘッダに含まれたセッション・シーケンス番号を保護することができないためである。
【００１１】
保護の第３の層は、アクセス許可のセキュリティ分類またはクラスの各レベルについて別々のネットワークを維持すること、および、パーソナル・クリアランスに依拠することである。この手法は極めてコストがかかり、別々の各システムの機能性を制限し、データの完全性を維持する問題を与え、いずれかの所与のシステムへのアクセスを有する人物による誤用または損害からの保護を提供しない。さらに、アクセスが情報またはリソースの分類に基づいてコントロールされる強制アクセス制御（ＭＡＣ）、ならびに、予想されたユーザ機能およびその機能を実行するために必要とされる可能性のあるデータの性質の相関に基づく任意アクセス制御（ＤＡＣ）の両方に対処できることが、一般に望ましい。ＭＡＣおよびＤＡＣはそれぞれ複雑であり、重なり合って複雑さがはるかに増大され、その間でデータの完全性が維持されることが必要とされる可能性のある別々のシステムの数が大幅に増加される可能性があることは、容易に理解されよう。
【００１２】
実質的な損害がなされる前に攻撃を検出することは、しばしば困難であり、特に攻撃がサービス拒否のタイプであるときにそうである。ウィルスは例えば、それらの基本的特性（例えば、それによってウィルスが実行されるファイル名）の少なくともいくつかが知られる前に検出することができず、その時間までにウィルスは幅広く増殖しており、ある程度の損害を、ウィルスが到達している各コンピュータに引き起こす可能性がある。サービス拒否攻撃は本質的に、それが提示するトランザクションの量、および、成功する攻撃のために必要とされたリクエストの量によって余儀なくされたリクエストされたサービスの可能な類似性を除いて、システムの他の所期の機能から区別できない。
【００１３】
一般に、攻撃が検出されるとき、ネットワーク・サービスの少なくとも大部分が、攻撃に対応するために混乱させられるはずである。したがって、必要なシステム混乱の大きさに相当する攻撃が進行中であるというある程度の確実性の達成は、しばしば受け入れられないほどにアクションを遅延させ、したがって受け入れ可能なほどに損害を制限せず、あるいは重要なデータまたはリソースへのアクセスを防止しない。
【００１４】
要約すると、デジタル・ネットワークにおけるセキュリティの向上は、容易に変更することができないプロトコルにおける脆弱性に鑑みて、極めて困難である。現在までに提案された大部分の手法は極めてコストがかかり、システムの機能性および有用性を損なうと同時に、容易に変更することができない複雑な環境において実施することが困難である。現在までのセキュリティ向上についての提案もまた容易にスケーラブルではなく、多数のネットワークを介して、あるいはグローバルに、潜在的に機能的ではなく、潜在的な攻撃に対して十分に敏感ではなく、障害または攻撃を正確かつ迅速に分離することができず、エラー・リカバリを可能にしておらず、あるいは、システム攻撃の現在最多のソースである、許可されたユーザによる攻撃に対して能動的に保護することができるようになっていない。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
したがって、本発明の目的は、任意の性質および頻度の攻撃中にネットワーク機能を維持することができる、ネットワーク・セキュリティ・システムおよび管理方法を提供することである。
【００１６】
本発明のもう１つの目的は、現在のプロトコルおよび技術をサポートし、それ自体は極めて安全であると同時にネットワーク・セキュリティを向上させ、正確かつ迅速な障害または攻撃の分離、および、迅速かつ好都合なエラー・リカバリを提供する、ネットワーク・インフラストラクチャを提供することである。
【００１７】
本発明のさらなる目的は、潜在的な攻撃が検出されるとき、ネットワークの混乱を最少におさえ、潜在的な攻撃に対して増大された感度を、ネットワーク機能が実質的に影響されないように維持することと矛盾せずに、得られるようにすることである。
【００１８】
本発明のさらにもう１つの目的は、きめの細かい階層化セキュリティ・ドメインを、デジタル通信またはデータ処理ネットワークにおいて提供して、いかなる障害または潜在的な攻撃の選択的なコンパートメント化をもサポートすることである。
【００１９】
本発明のもう１つの目的は、暗号化された識別を、そうでない場合は識別されていないユーザに割り当てて、すべてのユーザの一様なハンドリングを提供し、攻撃の追跡およびエラー・リカバリを容易にすることに備えることである。
【課題を解決するための手段】
【００２０】
本発明のこれらおよび他の目的を実施するために、各ネットワーク・ノードのためのセキュリティ・デバイス、およびそれにより保護されたネットワークが提供され、これは、デジタル・ネットワークの複数の各ノードでの少なくとも２つのロッキング・デバイス、標準の使用の特性とは異なるいくつかの特性を有するネットワーク通信またはアクティビティを検出し、信号を別のネットワーク・ノードに提供するためのセキュリティ・ポリシー・マネージャ・デバイス、および、別のノードからのユーザに透過な信号に応答して、ロッキング・デバイスをコントロールして、デジタル・ネットワーク内で冗長通信パスを選択するノードを分離して、ネットワーク通信を複数の他のネットワーク・ノードの間で維持するためのルーティング構成を含む。
【００２１】
本発明のもう１つの態様によれば、デジタル・ネットワークを動作する方法が提供され、これは、標準の使用の特性とは異なる特性を有する通信を検出するステップ、検出に応答してユーザに透過な信号を別のノードに通信するステップ、および、ユーザに透過な信号により、別のノードからの通信をノードでコントロールするステップを含む。
【発明の効果】
【００２２】
本発明により、任意の性質および頻度の攻撃中にネットワーク機能を維持することができる、ネットワーク・セキュリティ・システムおよび管理方法を提供することができる。
【００２３】
前述および他の目的、態様および利点は、図面を参照して、以下の本発明の好ましい実施形態の詳細な説明から、よりよく理解されるであろう。
【発明を実施するための最良の形態】
【００２４】
図面、より詳細には図１を参照すると、本発明による基本的ネットワーク要素１０３および関連ネットワーク・ノードが図示される。ルータは、ネットワークの複数のノードの間の通信をコントロールするためのよく理解されているネットワーク要素であるが、単一のルータ（しかし、任意の数のポートを有する可能性がある）が通常はネットワークの所与のノードに関連付けられることを理解されたい。ロックをルータと組み合わせて使用することも、当技術分野ではよく理解されている。しかし、いかなる図のどの部分も、本発明に関して従来技術であるように認められないことを理解されたい。
【００２５】
以下の考察から明らかになるように、本発明は、安全でフォールト・トレラントなネットワークを提供し、これは、任意に細かいグラニュラリティを有する任意のセキュリティ・ポリシーを実施することができ、様々なハードウェアの故障およびセキュリティ侵入攻撃の存在においてサービスを提供し続けることができる。これは、ネットワーク・アーキテクチャおよびソフトウェアの既存の要素を収容し、オブジェクト指向プログラミング・アーキテクチャのフォールト・トレラントな拡張、強力な暗号化、ノードおよびデータ・パケット・レベルでの強力な認証、ならびに、向上された感度による障害および攻撃の検出へのリアル・タイムの能動的なレスポンスを統合する、向上の包含により、ネットワーキング・サブシステムを開発することによって実施される。
【００２６】
本発明の好ましい形態を、周知の標準のプロトコルおよび好ましい共通オブジェクト・リクエスト・ブローカ・アーキテクチャ（ＣＯＲＢＡ、上で組み込まれた米国仮特許出願において要約されているように、必要とされるときに他のノードからのソフトウェア・オブジェクトを修復または置換するなど、高度のフォールト・トレランスを開発するための、本発明の譲受人によって「Ｈａｒｄｐａｃｋ」という名で市販されているような拡張を含むアーキテクチャであり、「オブジェクト」として知られるソフトウェアのモジュールが互いに通信できるようにする）、および、共通管理情報プロトコル（ＣＭＩＰ、共通管理情報サービス（ＣＭＩＳ）標準プロトコルと共に使用されるオープン・システム相互接続（ＯＳＩ）標準プロトコル）との関連で論じるが、他のアーキテクチャおよびプロトコルを使用して本発明を実施することができることも理解されたい。
【００２７】
以下に論じるように、本発明の基本原理は、極めて安全なユーザに透過なサブシステム・インフラストラクチャの使用であり、これは、故障および不審なアクティビティを検出し、安全で暗号化された形態で、ネットワーク・ノードの潜在的な状態を隣接ノードに通信することができ、この隣接ノードは次いで、潜在的に損なわれたノードを分離またはカプセル化すると同時に、標準のネットワーク・トラフィックを再ルーティングして、拡張されたフォールト・トレラントなＣＯＲＢＡアーキテクチャを、強力な暗号化、向上された侵入検出、および効果的なセキュリティ・ポリシーと共に統合して、障害および潜在的な攻撃への効果的で能動的なレスポンスをサポートすることができる。このレポーティングは、ネットワーク・アクセスのきめの細かいコントロール、ならびに、ネットワーク・アクティビティおよびノード・ステータスに関する情報のロギングをサポートして、損害を制限し、検出を改善し、幅広い種類の故障および攻撃からのリカバリを容易にする。
【００２８】
図１のように、２つのロッキング・デバイス１０９、１１１および２つのルータ１０５、１０７を含むインターフェイス要素１０３の全体的な機能は、ルータ１０５、１０７を通じたネットワーク１１５、１１７との、かつそれらの間の通信、ならびに、同じく類似のインターフェイス要素を含んでも含まなくてもよいネットワーク・ノード１１９との通信をサポートすることである。したがって、インターフェイス要素１０３は３つのネットワーク・ノードの接続性をコントロールすることができることは理解されよう。さらに、ロッキング・デバイス１０９、１１１は互いに通信して、ネットワーク１１５、１１７の間、ならびに、プロセッサ１１９との接続性を提供することも理解されよう。したがって、インターフェイス要素１０３は、ロックとして機能して、特定のネットワーク・ノードでのネットワーク、ノードまたは端末の間の通信に割り込むことができる。
【００２９】
ロッキング・デバイスは一般に、分離したカード（その好ましい形態は、ＶＭＥカードとして知られている）上で実施され、これらのカードは他の回路へ、ラックまたは「マザーボード」構成などを通じて接続可能である。したがって、追加のセキュリティ構造を、電気的に２つのロッキング・デバイス（例えば、共通バスに接続されたもの）の間の場所で提供することは、好都合である。本発明によれば、これは、別のカード上のプロセッサ（図１の１１３によって表す）により実施されることが好ましく、これは、障害および侵入検出オブジェクト、ならびに、他のネットワーク・ノードでの類似のカードへの潜在的な障害および攻撃に関するデータの通信のための暗号化および解読アルゴリズムを処理する。したがって、本発明の基本要素を単純かつ好都合な方法で機械的に組み立てて、システムに統合することができ、その間にネットワークまたはその標準の機能の他の部分に影響を与えないことがわかる。したがって、本発明の実施態様を、増分的かつスケーラブルに、グローバル情報を含むいかなる所望の程度までも実行することができる。
【００３０】
機能的には、プロセッサ構成１１３は、障害または侵入検出のためのいかなる数のオブジェクトも実施することができ、これらをいかなる任意の設計にすることもでき、これには、そのために市販されているいくつかのアルゴリズムが含まれることを理解されたい。これらのオブジェクトの実行の結果を、標準のネットワーク・リンクを介して他のノードに通信することができ、これらの結果を使用して、いかなる所望のコントロールをも、ロッキング・デバイスを介して行うことができ、かつ／または、いかなるノードのステータスまたはオペレーションに関するいかなる所望の情報をもロギングすることができる。
【００３１】
これらの通信のすべては、変更することもできるいずれかの所望の暗号化アルゴリズム（最高速度についてハードウェアで実施されるＤＥＳ、ＤＥＳ−３またはタイプ１アルゴリズムが好ましい）、および、完全にすべてのユーザに透過である同じタイプの通信によって任意に交換および変更される鍵に従って暗号化されることが好ましく、これらの通信はまた、当業者には明らかになるであろういくつかの知られている技術のいずれかによってインターセプトすることを任意に困難にすることができる。さらに、各送信（または、所与のユーザについての送信のグループ）に識別情報を（例えば、スタンプなどの形態において）、ユーザが識別されない場合でも、プロセッサ１１３によって供給することができ、また、いずれかの所望の追跡またはロギング情報を他のノードへ送信することができ、これは、エラー・リカバリおよびいずれかの検出された潜在的な攻撃のソースの決定、ならびに、潜在的にはデータ・パケット・レベルまでの、すべての通信についてのソース・ノードの継続的な監視および認証のためである。
【００３２】
これらの検出オペレーションおよび通信をリアル・タイムで行うことができ（しばしばログ・タイムと呼ばれ、これは、実際に必要とされる時間が、保護されたノードの数の対数の固定倍数であり、したがってノードの数が増加して保護のグラニュラリティがより細かくされるにつれて、徐々に増大するからである）、通信を、潜在的には１０Ｇｂｐｓと同じくらい高いか、あるいはこれを超える、極めて高いデータ・レードで実行することができ、これは、異なるネットワーク・ノードでのボード１１３に互換性があり、かつ互いに通信し、ネットワークに接続された他のプロセッサからの完全な独立を有することのみが本質的に必要であるからである。したがって、プロセッサ・カード１１３を、セキュリティ・ポリシー・マネージャ・カードと称する。このような能力を、同じく高レベルのセキュリティ（例えば、監査、ＭＡＣ、ＤＡＣ、ユーザ識別および認証セキュリティ機能を有するカード）をサポートするルータと組み合わせて実施することにより、セキュリティ・アラートへの能動的なネットワーク・レスポンス、および、以下でより詳細に論じるように、損なわれたノードを損なわれていないノードから実質的にリアル・タイムで分離することが可能となることを理解されたい。
【００３３】
セキュリティ・ポリシー・マネージャ・カード１１３の好ましい形態２０１を、図２に概略的に例示する。プロセッサ２０３をいくつかの市販のタイプのいずれにすることもできるが、３００ＭＨｚまたはそれより高いクロック速度を有するプロセッサが、高速通信、ならびに、攻撃検出および障害レポーティング・ソフトウェアの迅速なレスポンスをサポートするために好ましく、これらは、上に示したＣＯＲＢＡアーキテクチャ２１０に従って互いと通信するオブジェクトとして構成されることが好ましい。
【００３４】
通信ビット・レートはプロセッサのクロック・レートよりはるかに高くすることができ、これは、メッセージをいかなるクロック・レートでも組み立てることができ、また、バーストとして任意に高いビット・レードで送信することができるからであることを理解されたい。障害および攻撃検出オブジェクトの詳細は本発明の実施には重要ではなく、多数の市販のアプリケーションを使用して本発明を実施することができる。これらのオブジェクトは本質的に、互いに通信するソフトウェア・モジュールであるが、特定の順序で実行されてもされなくてもよいので、高クロック・レートは、レスポンス時間を向上させるため、および、これらのオブジェクトの実行の効果的な同時実行を達成するために望ましい。
【００３５】
しかし、実際の攻撃を表す見込みが比較的低いか、あるいは中程度である可能性のある、アクティビティを検出する攻撃検出オブジェクトが提供されることが望ましいと考えられ、これは、図１のアーキテクチャが、潜在的に損なわれる可能性のあるノードの非常にきめの細かい分離を可能にし、したがって、システムの混乱を、場合によっては非常に短く、場合によっては気付くことさえ不可能である期間のみに渡って最小限にするからである。すなわち、実際の、または潜在的な攻撃に応じたシステムの混乱の範囲および持続期間を最小限に保持することができるので、オブジェクトによって検出されたネットワーク・アクティビティにおいて表れる可能性のある攻撃の確実性のレベルもまた、相応して低くすることができ、大変向上されたレベルのセキュリティおよび損害回避、ならびに、任意に小さい度合いにより標準の使用の特性とは異なる可能性のある通信の不審な特性に対する任意に高度な感度が生じる。
【００３６】
これらのオブジェクトを集合的に組み込みセキュリティ・ポリシー・マネージャ（ＳＰＭ）機能２０５として示し、そのうちのいくつかは、障害レポーティングおよび攻撃検出オブジェクトであり、他のものは、以下でマネージド・オブジェクトと呼ばれる。より一般には、マネージド・オブジェクトには、ネットワーク・インターフェイス・マネージド・オブジェクト、侵入検出マネージド・オブジェクト、およびネットワーク・サービス・マネージド・オブジェクトが含まれる。本発明によれば、単数または複数のマネージャ・オブジェクト２１５もまた提供される。ソフトウェア内のオブジェクトの相互関連は特に、本発明を実施するために重要ではないが、マネージャおよびマネージド・オブジェクトの概念は、本発明の原理の理解において助けとなる。
【００３７】
セキュリティ・ポリシー・マネージャ（ＳＰＭ）カードはまた好ましくは、プロセッサに関連付けられたメモリ２０９を含み、これは詳細には、プロセッサ・プログラムを格納するため、プロセッサのアクティビティをロギングするため、ならびに、ＣＯＲＢＡラッパ、および、マネージャ・オブジェクトを含む埋め込みオブジェクトを、上に示したように、あるオブジェクトが別のノードからのレプリケーションによって失われているか、あるいは損害を受けるとき、プロセッサの初期化において、あるいは「必要に応じた」ベースで、ロードするためのものである。周辺コンポーネント相互接続（ＰＣＩ）ブリッジ２０７もまた、プロセッサ２０３をネットワーク通信インターフェイス２１１およびＶＭＥ／ＰＣＩ（周辺コンポーネント相互接続）インターフェイス２１３にインターフェイスさせるために提供され、ＶＭＥ／ＰＣＩインターフェイス２１３は、いずれかの所望のタイプまたは性質のローカル周辺装置２２３、２２５および２２７への接続性を提供する。
【００３８】
ネットワーク通信インターフェイスは好ましくはランダム・アクセス・メモリ（ＲＡＭ）２２１を含み、これは、プロセッサ２０３と残りのネットワーク・インターフェイスの間のバッファとしての機能を果たす。２つ以上の通信ポート２１７、２１９が、図１と関連して上述したように提供される。セキュリティ／暗号化エンジン２３１が、ネットワーク・ポート２１７、２１９をバッファＲＡＭ２２１に接続するために提供される。この要素は、複数の異なるネットワーク・ノードでの複数のセキュリティ・コントローラ・カードの間の通信のために所望の極めて高いビット・レートを達成するために、その機能がハードウェア内で実施されることが好ましいので、セキュリティ／暗号化・エンジンと呼ばれる。このような高ビット・レートは特に望ましく、これは、このような高ビット・レートが、全体のメッセージを極めて短いデューティ・サイクルにより送信可能にすること、インターセプションの困難性を増すこと、ならびに、受信、処理またはシミュレートするためのソフトウェアベースのプロセッサの容量を超えることによって、本発明によるシステムのセキュリティに十分に寄与するからである。しかし、このような高ビット・レートは、本発明の実施の成功には、その基本的な原理によれば重要ではない。
【００３９】
加えて、通信が複数のＳＰＭカードの間で、知られている可能性のある信号により行われる本発明の実施態様では、暗号化は望ましいが、これらの通信は完全にユーザに透過であり、ＳＰＭカードが通信するために互換性のある信号を使用すること、および、信号が復号化またはシミュレーションを比較的受けないことのみが必要である。したがって、これらのユーザに透過な通信（任意に、あるいは、必要に応じて、ハードウェアの変更なしに、ＥＥＰＲＯＭなどの使用を通じて変更することができるもの）において使用される、符号化された信号が比較的安全である限り、追加の暗号化／解読プロセスは、本発明の実施に必要ではない。
【００４０】
ネットワーク通信インターフェイス２１１の好ましい形態および構成を図３に示す。具体的には、ＳＰＭカード２０１のこのモジュールをドーター・カードとして構築することが好ましく、これはＶＭＥモジュール内のＰＣＩメザニン・カード（ＰＭＣ）として構成されることが好ましい。このような相互関連は、技術開発によってより高いデータ・レートの加速が可能となるときにこのカードの交換を容易にして、時々望ましい可能性があるときに暗号化ハードウェアを交換し（あるいは、内部コード、オブジェクトなどのメンテナンスおよび／または再プログラミング）、ならびに、ＰＭＣカードによってサポートされた安全な代替パフォーマンスの範囲を増す。
【００４１】
より具体的には、ＰＭＣカード３０１はデュアル・ポートＲＡＭ３０９を含んで、ＰＣＩバスまたはセキュリティ暗号化エンジンからの同時の読み取りおよび書き込みオペレーションをサポートする。セキュリティ／暗号化エンジン３０７は好ましくはＢ２またはそれよりよいセキュリティ格付けを有し、通信する相手であるＳＰＭボードまたはネットワーク・ノードの許可および認証を必要とするように構成される。これについては、上記で、ＳＰＭカードがセキュリティの関連付け／識別情報をデータ・パケットに、所与のユーザのこのような識別が作成されるかどうかにかかわらず、割り当てることを示した。したがって、ノードを通じた各オペレーションまたはデータ・パケットは、ネットワークの知られているノードにより発信していることについて認証され、そのように収集された情報を、「外部」のデータ・パケットの検出、および、いずれかの接続された、かつ同様に保護されたネットワークの少なくとも境界へのいかなる攻撃の出所の追跡のためにも、使用することができる。
【００４２】
この方法で使用可能にされた安全な代替パフォーマンスの範囲は、それ自体がセキュリティの向上であり、これは、本発明の実施のために、ＳＰＭ（またはＰＭＣ）カードが各ネットワーク内で互換性があり、所望のグラニュラリティの保護でインストールされることのみが必要であるからであることを理解されたい。実際には、複数の異なるネットワークの複数のＳＰＭカードの間に互換性がないこと、または、通信のリンク内に、もしくは通信のリンクに接続された、無許可のＳＰＭカードが存在することをも検出することができ、マネージド・オブジェクトによって、可能性のある侵入としてロギングすることができ、かつ／または、これは攻撃中に別のネットワークを通じたアップストリームのレポーティング（必ずしもロギングではない）を制限することができ、あるいは、複数のネットワークを介してアップストリームで攻撃を追跡して能動的に対応する基礎にすることさえできる。
【００４３】
本発明による、任意のノードについてのインフラストラクチャを説明したが、高レベルのセキュリティおよびフォールト・トレランス（運用性を維持し、１つまたは複数の問題、エラー、誤動作または攻撃の存在において実質的にすべてのサービスを提供するためのシステムの能力）をネットワーク環境内で提供するための可能性を、今より図４〜７に関連して論じる。図４では、ネットワーク４０１を、層４０３、４０５、４０７において階層的に構成されるように図示し、これは、それぞれの隣接した層を接続するように図示する通信パス（例えば、４１５、４２３）を有する。
【００４４】
層の階層が好ましく、通信リンクの例示は、明瞭にするためにそれぞれの隣接した層の間のものに制限されるが、本発明の実施の成功には、いかなる所与の層も、その層およびローカルでより高い階層レベルの層を通過する１以上のノードまたは通信パスを有することのみが必要である。これらの要件も、マネージャ・オブジェクトとマネージド・オブジェクトの間の順序正しい対応を提供する程度までのみ必要であり、この対応には、最高の層を除く各ノードについてローカルで階層的により高いノードを提供する他の方法で対処することができる。他のネットワーク構成もまた可能であり、特定の環境下あるいは特定の応用例について望ましい可能性がある。
【００４５】
例えば、破線によって示す通信リンク４３０を、層４０５を通じて層４０３の上の層４０７との通信リンクとして使用することができ、あるいはこの通信リンクを使用して、層４０３のノードを階層的に層４０７の上に配置することができる。それにもかかわらず、４３０などの通信リンクを含む編成は不当な複雑さを引き起こす可能性があるが、いくつかの利点が生じる可能性があり、これは、さらなる冗長通信パスを確立すること、および／または、攻撃のための過度に魅力的なターゲットになる可能性のある階層の最上位を回避することなどである。
【００４６】
図４に示すネットワーク（リンク４３０なし）は、同じ層の複数のノードの間にリンクがないとしても、冗長通信リンクをネットワークのすべてのノードの間で提供し、これは本発明の実施にとっても好ましいことに留意されたい。（しかし、これについては、いかなる所与の層の、いかなる所与のノードへの割り当てもが任意であることを理解されたい。）例えば、ノード４４０はノード４５０と、通信リンク４２７、４２３、４１９および４２１、また、４２７、４１５、４１８および４２５、または４２７、４１９、４１７および４２５を介して通信することができる。ネットワークがより多くの層、および／または、層毎により多くのノードが拡張された場合、他の冗長パスが存在するようになる。
【００４７】
したがって、ネットワーク上のトラフィックを監視するルータは、ネットワークのいずれか２つのノードの間のいくつかの好都合なパスのいずれかを割り当てることができる。従来のネットワーク・プロトコルは実際には複数の異なるパスを可能にし、これらを、ビット・パケットが所期の宛先ノードによる受信の後に適切な順序で再組み立てされる、所与のメッセージについて使用されるべき、異なるレイテンシのものにすることができる。本発明は、不審または損なわれたノードを各ノードへのポータルまたはゲートウェイで分離するためのパスを除去および置換して、実質的に完全なネットワーク機能性を維持すると同時に、攻撃からの障害または損害、ならびに攻撃自体の増殖を防止する、追加の機能性を提供する。
【００４８】
上述のローカルの階層的アーキテクチャは、ネットワークの全体に渡ってセキュリティを大いに向上させ、これは、あるノードにおける攻撃へのレスポンスが、そのノードも同時に攻撃下にない限りは正しく応答するべきである別のノードによって、コントロールされるようになるからである（ネットワーク全体に渡る以前の障害は、前もってカプセル化および分離されている）。このような場合、ローカルでより高い階層にあるさらにもう１つのノードでのマネージャ・オブジェクトが能動的なレスポンスをコントロールするなどのようになると同時に、トラステッドのままであるノードでのマネージャ・オブジェクトからのユーザに透過な通信を通じて、その上でコントロールを行うことができる複数のセキュア・セッションおよびセキュリティ・ドメインを確立する。
【００４９】
これらの通信およびコントロールを非常に迅速に（層につき約２０ミリ秒以下で）行うことができ、したがって潜在的な攻撃への能動的なレスポンスを実質的にリアル・タイムで行うことができる。これは、従来のネットワークにおけるセキュリティ構成とは際立って対照的であり、従来のネットワークにおけるセキュリティ構成は通常、攻撃中にオペレーションを、後の解析のために、攻撃のはるか後にロギングすることしかできず、その結果生じる損害は完成される。
【００５０】
同様に、攻撃の出所および範囲についてテストするために、あるいは、攻撃を中断させるために、ネットワーク・セグメントまたはセクタの一時的な切断を短く行って、オペレータに気付かれないようにすることができる。いかなるこのような混乱の持続時間も大変短くすることができ、したがって混乱を最小限にすることができるので、比較的低い信頼レベルを有する、非常に感度のよい検出アルゴリズムは、潜在的な攻撃の検出のために、また、非常に高いレベルのセキュリティを達成するために許容可能である。本発明によってもたらされるこの能力は、サービス拒否攻撃の影響を回避することにおいて特に重要であり、サービス拒否攻撃は本質的に、このような攻撃がかなり進行して、使用可能なリソースの著しい部分を取り込んでいる可能性があるようになる前に、トランザクションの量、および場合によってはある類似性によることを除いて、通常の使用から区別することが困難である。
【００５１】
したがって、攻撃が成功されるには、システムの実質的にすべてのノード、システムの階層的に最高の層のすべてのノードにおける同時の攻撃、または階層的に最高のノードにおける攻撃が必要となる（このような単一のノードがネットワーク設計において許可される場合であり、これは回避されることが好ましいが、いかなる場合も、ネットワーク内で識別することが困難であるべきであり、これは、ネットワーク内の関係および依存性が、複数のＳＰＭカードの間の非常に安全なユーザに透過な通信内でのみ識別されるからであり、高ビット・レート、低デューティ・サイクルの伝送および効果的な暗号化を通じて、これらをインターセプトおよび解析することが困難にされることが好ましい）。両方の通信する、ネットワーク接続されたプロセッサ・レベルで、および、複数のプロセッサの少なくとも１つのＳＭＰプロセッサ・レベルで同期的でない場合、このような攻撃はまた同時に行われることも必要となり、これは、ＳＭＰプロセッサのマネージャおよびマネージド・オブジェクトが、上に示したフォールト・トレランスのためのＣＯＲＢＡ拡張によって、有効に自己修復中であるからである。
【００５２】
このとき図５および６を参照して、本発明によってサポートされた例示的分離オペレーションを以下に論じる。図５は、ローカル・エリア・ネットワーク５１１に接続されたノード５０１を示し、ローカル・エリア・ネットワーク５１１はクライアント・ノード５０３、５０５およびサーバ・ノード５０７に接続される。ノード５０１は実質的には図２に例示したようなものであり、ＳＰＭボード２０１／５０９、プロセッサ２０３およびＰＭＣ／インターフェイス・カード２３１／３０１を含むこと、ならびに、ノード５０１およびＬＡＮ５１１は、図４のいずれかの２つの直接接続ネットワーク・ノード、ノード４６０および４０９などをそれぞれ表すことができることは理解されよう。ＬＡＮ５１１の各ノード５０３、５０５、５０７についての埋め込みマネージド・オブジェクト５１７、５１９、５２１、および、ＣＯＲＢＡラッパ５２３内の組み込みＳＰＭ機能の一部であるＳＰＭマネージャ・オブジェクト５１５は、それらの間の通信を例示するために別々に例示される。
【００５３】
２０３などのプロセッサがＬＡＮ５１１、および／または、２０１Ａ、２０１Ｂおよび２０１Ｃで示された各ノードにおいて提供され、そこからいずれかの特定の通信がメッセージと共に発信するノード（例えば、Ａ、ＢもしくはＣ、および／またはＬＡＮ５１１）に対応する識別を生成および送信する。この識別はまた、ダウンストリームからの類似の識別、または、潜在的な障害または攻撃（例えば、ノード５０３、５０５または５０７への他の接続）を示す他の信号も含むことができる。通信（例えば、識別、他の信号および／または通信）が解読され、必要に応じて、メモリ２０９にロギングされ、プロセッサ２０３に転送されて、そこでＣＯＲＢＡラッパにより、マネージド・オブジェクト（例えば、通信がクライアント・ノードＡからのものである場合、５１７）がメッセージ内容および結果として生じるプロセッサ・アクティビティを監視することができる。別法として、あるいは同時に、ノード５０１内のマネージャ・オブジェクト５１５は、ノードＡ、Ｂおよび／またはＣから送信された、各ノードＡ、Ｂおよび／またはＣのプロセッサで検出された障害および／または潜在的な攻撃の検出に対応する、ユーザに透過な信号を監視することができ、これらもまたメモリ２０９にロギングされる。
【００５４】
後者のシナリオ、および、障害または攻撃メッセージがクライアント・ノードＢで発信すると仮定すると、マネージャ・オブジェクトは、障害または攻撃がノードＢにあったことを決定し、暗号化された、あるいはそうでない場合は安全なメッセージを（好ましくは高ビット・レートで）送信し、これがクライアント・ノードＢをポート５３１またはＳＰＭボード２０１Ｂのいずれか一方または両方で分離し、この分離は、適切なマネージド・オブジェクト（例えば、１つまたは複数のノード、またはそれへのゲートウェイでの５１９）をコールしてそのように行うことによって行われる。ノード５０１がまたクライアント・ノードＡとも通信中であったと仮定すると、その通信は、通常の場合、図４に例示したような他の冗長パスおよびノードを通じて、ポート５３２およびルータ５１３を通じてノードＡに再ルーティングされる。
【００５５】
前者のシナリオでは、ノードＢで発生した障害または潜在的な攻撃が、ノード５０１のマネージド・オブジェクトＢによって検出され、（潜在的な攻撃を示す障害またはアクティビティに応じて）マネージャ・オブジェクト５１５、または、階層的にアップストリームのノードのマネージャ・オブジェクトに通信されるようになり、また、類似の分離および再ルーティングのアクションが、ノードＢまたはノード５０１でそれぞれ取られるようになる。したがって、障害または潜在的な攻撃の検出、および結果として生じるコントロール・アクションは、多数重なって冗長的であり、したがって、複数のノードにおいて同時に破ることが非常に困難であることは理解されよう。
【００５６】
本発明によって達成される、図４のネットワーク内のいずれかのクライアントといずれかのサーバ・ノードの間のいずれかの通信パスの相互関連を、汎用の形態で図６に示す。図４から、複数のノードの間の大部分の通信またはセッションは、複数のノードを通じた複数の通信を含むようになり、これは、いかなる所与のノードの直接接続性もハードウェア節約のために制限されることが好ましいからであることは理解されよう。この例示では、ノード６１１はクライアント・ノードであり、ノード６１７はサーバ・ノードであり、各々はそれ自体のルータおよびＳＰＭカード６１１’、６１７’を有する。ＳＰＭカード６０１、６０３、６０５および６０７はそれぞれ異なるノードにあり、ルータ６１３および６１５も同様である。
【００５７】
本発明およびそれによって生じるセキュリティ能力によれば、ＳＰＭおよびＣＭＩＰマネージャ・オブジェクトは、セキュリティ・ドメイン、および、システムのプリンシパル／ユーザ（これは実際には、他のセキュリティ・ドメインを含む可能性がある）を任意に定義して、トラステッド・ネットワーク・コンポーネントへのアクセスを選択的に可能にするための能力を有し、これは、階層内のレイヤまたは層が（少なくともローカルで）ネットワーク環境の全体に渡って、あるいはその所望の領域に及ぶためである。レイヤまたは層は、送信側ワークステーション、組み込みＳＰＭデバイス、およびターゲット・ワークステーションを、定義された各セキュリティ・ドメインについて含む、制約能力を提供する。さらに、セキュア・セッションおよびセキュリティ・ドメインの定義、ならびに、各ドメインに渡る（暗号化された）ユーザに透過な通信の使用によって、各通信の発信側ノードは継続的に、潜在的にデータ・パケット・レベルまで認証され、知られ、監視されて（ＴＣＰ／ＩＰプロトコルによって提供されない能力）、潜在的な攻撃の単純化された、より高速な検出、および、「ハーフオープン」接続の閉止、ならびに攻撃追跡およびリカバリが提供される。
【００５８】
以前のネットワークでは、ユーザは、識別および認証された後、そのユーザについての許可が及ぶ範囲でネットワーク全体へのアクセスを有し、セッションはクライアント・ノードからサーバ・ノードまで及ぶ。しかし、本発明によれば、図６に例示するように、そのセッションが、異なる、直列接続されたセキュリティ・ドメインの複数のセキュア・セッションに分割される。このように確立された接続性に含まれたいずれかのセキュリティ・ドメイン（例えば、セキュリティ・ドメインＡ、ＢまたはＣ）が次いで、いずれかの検出可能な方法で損なわれるか、あるいは障害が発生する場合、その損なわれたことおよび／または障害がレポートされ、ロギングされ、障害または攻撃が発生するノードが分離され、ルータが、図７のように冗長通信リンクを介して他のセキュア・セッションを確立するようにコントロールされる。
【００５９】
すなわち、ユーザがネットワークにサイン・オンするとき、キーイング情報がＳＰＭデバイスによって提供され、これにより、送信側デバイスが認証および暗号鍵を生成することができ、これらはセキュア通信に参加するために必要である。追加の情報が提供されて、送信側デバイスによる、許可された宛先への通信能力が制限される。セキュリティ・ブリーチがある場合、ＣＭＩＰマネージャは、ＳＰＭデバイスに指示して、ネットワーク・ポートを使用可能および使用不能にして、ネットワーク・ノードまたはセグメント／セクタを分離するための能力を（マネージャ・オブジェクト内で）有し、ＣＭＩＰマネージャおよびマネージド・オブジェクト階層内の他のトラステッド・エンティティに、潜在的に汚染されているかあるいは損なわれたネットワーク・デバイスについての信用における変化を通知し、その間に、ネットワークのトラステッド・デバイスの残りはサービスを提供し続けると同時に、アントラステッド・ソースからの接続リクエストを拒否し、これは図４および７の比較からわかる。したがって、以前に入手可能ではなかった、許可されたユーザによる攻撃からの、かつハイジャックされたセッションに対する保護、ならびに他のソースからの、かつ他のタイプの攻撃からの保護が得られる。
【００６０】
ネットワークの一部をコンパートメント化して、障害または攻撃の場所を分離させることについての上記の考察は、このような障害または攻撃に対する多数のタイプの能動的なレスポンスの例示的なものに過ぎず、その本発明により、ネットワークは拡張ＣＯＲＢＡアーキテクチャの統合を通じて有能となり、これは、フォールト・トレランス、インターセプトまたはシミュレートすることが困難であるユーザに透過な通信による強力な暗号化、より低いレベルの確実性／リアル・タイム・レスポンスのためのより高いレベルの感度および速度での攻撃検出の実施、ならびに、十分に柔軟なセキュリティ・ポリシー能力をサポートすると理解されるべきである。本発明の能力を、上で組み込まれた出願に記載されている発明の好ましいオペレーションおよび応用例の説明から、より十分に理解することができる。
【００６１】
図８は、トラステッドおよびアントラステッド・ノードを含む異種ネットワークへの、本発明の適用を例示する。このようなシステムは、既存のネットワーク・システムへの本発明の増分的な改良中に、あるいは、トラステッドおよびアントラステッド・ノードを含めるように意図されたネットワークの最終的な構成として、結果として生じる可能性があることを理解されたい。前者の場合、本発明は一般に、セキュリティのために最も重要であると見なされた場所で使用されるようになるが、上に示したように、ファイアウォールは現況技術で比較的容易に破られる可能性がある。また、図１および２に関連して上述した構造の配置は本質的に、ルータ・インターフェイス・デバイス８３５を、本発明により保護されたセキュア・ネットワークのエッジで、複数の標準ルータ・ネットワーク・インターフェイス・コントローラ（ＮＩＣ）８３７として形成することも理解されよう。
【００６２】
したがって、各ＮＩＣは、アントラステッド・ノードへの接続８３９に関して、最下層ノードと同じ方法におけるカプセル化を提供するように機能する能力を含む（図４および７を参照）。上述の方法では、ＮＩＣ８３７はまた、別のノードのネットワーク・セキュリティ・デバイス２０１へ、また、そのノードから他のトラステッド・ノードへ接続されるとき、より高い層のノードとしての機能も果たすようになる。したがって、本発明をグローバルに、あるいは、いずれかのネットワーク・システム内でより少ない程度まで実施することができ、したがって本発明を使用して、いかなるネットワークのいかなる所望の部分をも保護することができ、これは、セキュリティの重要性が設計により、あるいは、既存のネットワークへの漸進的かつ増分的な改良中に指図することができるからであることがわかる。ユーザに透過なシグナリングの異なるプロトコルおよび異なるビット・レートに、図８に例示したネットワークの異なるブランチ内で対処することができる。したがって、複数のブランチの間の完全な互換性は必要とされず、本発明を使用するセキュア・ネットワーク部分は、他のブランチ内のアップグレードまたは変更中にセキュリティを維持するようになる。
【００６３】
前述に鑑みて、本発明が高度のフォールト・トレランス、ならびに、許可および認証されたユーザを含む可能性のあるソースから、また、ハイジャックされた許可されたセッションを通じた、幅広い種類の攻撃からの高度のセキュリティ保護を提供することがわかる。これらの価値ある効果を、任意の既存のハードウェアおよびソフトウェア環境内で、既存のプロトコルを変更することなく達成することができる。いかなる障害または検出された潜在的な攻撃のきめの細かいコンパートメント化もが、インターセプトまたはエミュレートすることが非常に困難であり、かつ完全にユーザに透過である方法において提供されると同時に、エラー・リカバリおよびいかなる攻撃のソースの追跡をも容易にする、情報のロギングが提供される。
【００６４】
本発明を単一の好ましい実施形態に関して説明したが、本発明を、付属の特許請求の範囲の精神および範囲内の修正を有して実施できることは、当業者には理解されよう。
【００６５】
このように本発明を説明したが、新規のものとして主張し、特許状により保護するように望むものは、以下の通りである。
【図面の簡単な説明】
【００６６】
【図１】本発明によるネットワークの基本要素の概略図であり、異なるネットワークからの通信を提供する２つのルータを含む、ロック回路を含む図である。
【図２】好ましいようにＶＭＥ回路カードにおいて実施される、図１のロック回路の概略図である。
【図３】好ましい形態の図２のセキュリティ暗号化エンジンの概略図である。
【図４】本発明による、独立して保護されたセキュリティ・ドメインの冗長階層の概略的例示の図である。
【図５】本発明によるシステムおよびソフトウェア・アーキテクチャの概略的例示の図である。
【図６】本発明による、複数のセキュア・セッションとして実行されたネットワーク・トランザクションを概略的に例示する図である。
【図７】図４の冗長階層の例示的な好ましいオペレーションを概略的に例示する図である。
【図８】異種デジタル・ネットワークのトラステッドおよびアントラステッド・ノードへの本発明の適用を例示する図である。
【符号の説明】
【００６７】
１０３  インターフェイス要素
１０５、１０７  ルータ
１０９、１１１  ロッキング・デバイス
１１３  プロセッサ
１１５、１１７  ネットワーク
１１９  ネットワーク・ノード
２０１  ＶＭＥカード
２０３  プロセッサ
２０５  組み込みＳＰＭ機能
２０７  ＰＣＩブリッジ
２０９  メモリ
２１０  ＣＯＲＢＡアーキテクチャ
２１１  セキュリティ／暗号化エンジン
２１３  ＶＭＥ／ＰＣＩインターフェイス
２１５  ＳＡＭマネージャ・オブジェクト
２１７、２１９  ネットワーク・ポート
２２１  ＲＡＭ
２２３、２２５、２２７  ローカル周辺装置
３０１  ＰＭＣカード
３０３  ネットワーク・ポート１
３０５  ネットワーク・ポート２
３０７  セキュリティ／暗号化エンジン
４０１  ネットワーク
４０３、４０５、４０７  層
４０９、４４０、４５０、４６０  ノード
４１５、４１７、４１８、４１９、４２１、４２３、４２５、４２７、４３０  通信リンク
５０１  ノード
５０３、５０５  クライアント・ノード
５０７  サーバ・ノード
５０９  ＳＰＭボード
５１１  ローカル・エリア・ネットワーク（ＬＡＮ）
５１３  ルータ
５１５  マネージド・オブジェクト
５１７、５１９、５２１  マネージド・オブジェクト
５２３  ＣＯＲＢＡラッパ
５３１、５３２  ポート
６０１、６０３、６０５、６０７  ＳＰＭカード
６１１、６１７  ノード
６１３、６１５  ルータ
８３５  ルータ・インターフェイス・デバイス
８３７  標準ルータ・ネットワーク・インターフェイス・コントローラ（ＮＩＣ）
【図１】
2005535150.tif 000003
【図２】
2005535150.tif 000004
【図３】
2005535150.tif 000005
【図４】
2005535150.tif 000006
【図５】
2005535150.tif 000007
【図６】
2005535150.tif 000008
【図７】
2005535150.tif 000009
【図８】
2005535150.tif 000010
【国際調査報告】
2005535150.tif 000011
2005535150.tif 000012
2005535150.tif 000013