(57)【要約】  ログインの点で、およびユーザのネットワーク経験を通して全てのユーザ・トラフィックを監視し、動的に管理するシステムおよび方法。ルールは、ログインの時点とその後から、ログオフまでのユーザの観察トラフィックに基づいて実施することができる。システムは、極めて高速、高効率でネットワーク・トラフィックを自動的に検知し、潜在的な攻撃に反応する。リッチ・トラフィック分析（ＲＴＡ）は、より大きなネットワーク・トラフィック特徴づけ精度、検知速度、ネットワーク管理オプション、侵入防止能力を提供する。システムは、ネットワーク化されたアセットの強く、立証可能で、正確な保護を提供するユーザ、アプリケーション、データ、システム・アクセスの完全な状況で全てのネットワーク・トラフィックを見ることができる。システムは、ネットワークを横断する各ネットワーク・パケットの高速特徴づけを可能にする中央マネージャ・デバイスと通信するトラフィック・センサ・デバイスを利用する。これにより、観察したトラフィック上で合法的に行動をとり、ルールを実施するための、よりしっかりした基盤が提供される。
2008508805.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク・トラフィックを監視し、動的に管理するシステムであって、
少なくとも１つのルール生成と分配モジュールを含む少なくとも１つの中央マネージャと、
複数のネットワーク・アセットと、
少なくとも１つの第１のネットワーク・トラフィック・センサ・デバイスと第２のネットワーク・トラフィック・センサ・デバイスとを備え
それらのネットワーク・トラフィック・センサ・デバイスが、少なくとも１つの中央マネージャと通信する手段と、リアルタイム・トラフィック分析を使用して、複数のネットワーク・アセットに関連する、ネットワークを通過するパケットを受信し、分析する手段と、パケットの特徴と判断する手段を含む、システムであって、
ルール生成と分配モジュールは、第１のセットのルールを第１のネットワーク・トラフィック・センサ・デバイスに、第２のセットのルールを第２のネットワーク・トラフィック・センサ・デバイスに自動的に分配する手段を備え、各セットのルールは、パケットの特徴に応じて、リアルタイムでネットワーク・トラフィック・センサ・デバイスのそれぞれ１つによって実施されるルールを含んでいるシステム。
【請求項２】
パケットの特徴は、ネットワーク・トラフィック内のデータの文字列の発生に少なくとも一部が基づいている請求項１に記載のシステム。
【請求項３】
パケットの特徴は、ネットワーク・トラフィック・パケットのシーケンス内のデータの一連の発生に基づいている請求項１に記載のシステム。
【請求項４】
セットのルールは、パケットの特徴に基づいてとられる封止策を含んでいる請求項１に記載のシステム。
【請求項５】
ネットワーク・トラフィック・センサ・デバイスは、パケットの特徴を含む中央マネージャ、パケット・キャプチャ・データと通信する手段を備える請求項１に記載のシステム。
【請求項６】
ルール生成と分配モジュールは複数のルールのセットを生成し、ネットワーク・トラフィック・センサ・デバイスによって受信されたパケットの特徴に関して、ネットワーク・トラフィック・センサ・デバイスから中央マネージャまで通信されたパケット・キャプチャ・データにリアルタイムで応じて、ルールを１つまたは複数の選択したネットワーク・トラフィック・センサ・デバイスに動的に分配する請求項５に記載のシステム。
【請求項７】
パケットの特徴は、ソース・データ、宛て先データ、ペイロード・データ、アプリケーションＩＤ、プロトコル・データ、デバイスＩＤデータ、ネットワーク位置データ、タイム・スタンプ・データ、ユーザＩＤデータの１つまたは複数を含む請求項６に記載のシステム。
【請求項８】
１つまたは複数の選択したネットワーク・トラフィック・センサ・デバイスは、各ネットワーク・トラフィック・センサ・デバイスの特性に基づいている請求項６に記載のシステム。
【請求項９】
ネットワーク・トラフィック・センサ・デバイスの特性は、ネットワーク位置、送信したパケット・キャプチャ・データ、帯域幅を含む請求項８に記載のシステム。
【請求項１０】
各ネットワーク・トラフィック・センサ・デバイスは、少なくともアプリケーション、データ、ユーザ、サーバ・トラフィックを含む複数のネットワーク・アセットの中で、ネットワークを通過するトラフィック・パケットの動的特徴付けを行う請求項１に記載のシステム。
【請求項１１】
各ネットワーク・トラフィック・センサ・デバイスは、ネットワーク・トラフィック・センサ・デバイスに適用可能なパケットとルールのセットの特徴に基づき、トラフィックの動的管理を行う請求項１に記載のシステム。
【請求項１２】
パケットの特徴を動的に判断する手段は、ネットワーク・トラフィック・センサ・デバイスが、ネットワーク・トラフィック・センサ・デバイスによって受信された各パケットから、物理的レイヤ情報、ネットワーク・レイヤ情報、トランスポート・レイヤ情報、セッション・レイヤ情報、プレゼンテーション・レイヤ情報、アプリケーション・レイヤ情報、ペイロード・データを判断することを可能にする手段を含む請求項１に記載のシステム。
【請求項１３】
封止策は、遮断、許可、リルート、停止、ログ記録、囲み、暗号化、タグ付け、ＱｏＳレベル変更、帯域幅利用の調節の１つまたは複数のアクションを含む請求項４に記載のシステム。
【請求項１４】
中央マネージャは１つまたは複数の監視リストを記憶し、監視リストは、パケット特徴情報、パケット特徴に対応するルール、とられる封止策を有する請求項１に記載のシステム。
【請求項１５】
パケット特徴は、ネットワーク・トラフィック内のデータの文字列の発生に基づいている請求項１４に記載のシステム。
【請求項１６】
パケット特徴は、トラフィック・パケットのシーケンス内の一連のデータ発生に基づいている請求項１４に記載のシステム。
【請求項１７】
中央マネージャは、それぞれのネットワーク・トラフィック・センサ・デバイスに独自の監視リストを分配する請求項１４に記載のシステム。
【請求項１８】
ネットワーク・トラフィック・センサ・デバイスは、受信したトラフィック・パケットが、監視リストからの、および所定のマッチに対応するルールと封止策を実施する手段からのパケット特徴情報にマッチするかどうかを判断する請求項１４に記載のシステム。
【請求項１９】
中央マネージャは、トラフィック・センサ・デバイスから送信されたパケット・キャプチャ・データを受信しログ記録する手段と、
ログ記録したパケット・キャプチャ・データを分析する手段と、
ログ記録した情報に基づき、１つまたは複数の監視リストを動的に更新する手段とを備えている請求項１４に記載のシステム。
【請求項２０】
認められたアドミニストレータ・ユーザは、中央マネージャでルールを生成、編集、または削除する請求項１に記載のシステム。
【請求項２１】
ルールは、観察したネットワーク・アクティビティに基づき動的に生成される請求項１に記載のシステム。
【請求項２２】
ネットワーク・トラフィック・センサ・デバイスに分配されたルールのセットは、少なくともネットワーク・トラフィック・センサ・デバイスの位置に基づいている請求項１に記載のシステム。
【請求項２３】
ネットワーク・トラフィック・センサ・デバイスは、ネットワーク・アセットによって生成される繰返しハンドシェイクまたはパケットのパターンを検知する手段と、
これらのパターンを有するシグネチャまたは攻撃プロファイルを動的に生成する手段と、
動的に生成されたシグネチャまたはプロファイルに基づき、リアルタイムで攻撃を遮断する手段とを備えている請求項１に記載のシステム。
【請求項２４】
ネットワーク・トラフィック・センサ・デバイスは、攻撃トラフィックを積極的に特定するように、生成されたシグネチャまたはプロファイルに対して観察したパケットそれぞれの全体のコンテンツを処理し分析する請求項２３に記載のシステム。
【請求項２５】
ネットワーク・トラフィックを監視し、動的に管理するコンピュータ・ベースの方法であって、
中央マネージャのルール生成と分配モジュールから、第１のルールのセットと第２のルールのセットを分配するステップと、
それぞれ、第１のネットワーク・トラフィック・センサ・デバイスと第２のネットワーク・トラフィック・センサ・デバイスで、第１のルールのセットと第２のルールのセットを受信するステップと、
リアルタイム・トラフィック分析を使用して、ネットワークを通過し、複数のネットワーク・アセットに関連するネットワーク・トラフィック・センサ・デバイスでパケットを受信し分析するステップと、
パケットの特徴を判断するステップと、
パケットの特徴に応じて、リアルタイムでネットワーク・トラフィック・センサ・デバイスのそれぞれ１つによってルールを実施するステップとを含む方法。
【請求項２６】
パケットの特徴は、ネットワーク・トラフィック内のデータの文字列の発生に少なくとも一部が基づいている請求項２５に記載のコンピュータ・ベースの方法。
【請求項２７】
パケットの特徴は、ネットワーク・トラフィック・パケットのシーケンス内のデータの一連の発生に基づいている請求項２５に記載のコンピュータ・ベースの方法。
【請求項２８】
ルールのセットは、パケットの特徴に基づいてとられる封止策を含んでいる請求項２５に記載のコンピュータ・ベースの方法。
【請求項２９】
ネットワーク・トラフィック・センサ・デバイスは、ネットワーク・トラフィック・センサ・デバイスによって受信されたパケットの特徴を含むパケット・キャプチャ・データを中央マネージャへ通信する手段を備える請求項２５に記載のコンピュータ・ベースの方法。
【請求項３０】
ルール生成と分配モジュールは複数のルールのセットを生成し、ネットワーク・トラフィック・センサ・デバイスによって受信されたパケットの特徴に関して、ネットワーク・トラフィック・センサ・デバイスから中央マネージャまで通信された情報にリアルタイムで応じて、ルールを１つまたは複数の選択したネットワーク・トラフィック・センサ・デバイスに動的に分配する請求項２９に記載のコンピュータ・ベースの方法。
【請求項３１】
パケットの特徴は、ソース・データ、宛て先データ、ペイロード・データ、アプリケーションＩＤ、プロトコル・データ、デバイスＩＤ、ネットワーク位置データ、タイム・スタンプ・データ、ユーザＩＤデータの１つまたは複数を含む請求項３０に記載のコンピュータ・ベースの方法。
【請求項３２】
１つまたは複数のネットワーク・トラフィック・センサ・デバイスは、各ネットワーク・トラフィック・センサ・デバイスの特性に基づいている請求項３０に記載のコンピュータ・ベースの方法。
【請求項３３】
ネットワーク・トラフィック・センサ・デバイスの特性は、ネットワーク位置、パケット・キャプチャ・データ、帯域幅を含む請求項３２に記載のコンピュータ・ベースの方法。
【請求項３４】
各ネットワーク・トラフィック・センサ・デバイスは、少なくともアプリケーション、データ、ユーザ、およびサーバ・トラフィックを含む複数のネットワーク・アセットの中で、ネットワークを通過するトラフィック・パケットの動的特徴付けを行う請求項２５に記載のコンピュータ・ベースの方法。
【請求項３５】
各ネットワーク・トラフィック・センサ・デバイスは、ネットワーク・トラフィック・センサ・デバイスに適用可能なパケットとルールセットの特徴に基づき、トラフィックの動的管理を行う請求項２５に記載のコンピュータ・ベースの方法。
【請求項３６】
パケットの特徴を動的に判断するステップは、トラフィック・センサ・デバイスが、ネットワーク・トラフィック・センサ・デバイスによって受信された各パケットから物理的レイヤ情報、ネットワーク・レイヤ情報、トランスポート・レイヤ情報、セッション・レイヤ情報、プレゼンテーション・レイヤ情報、アプリケーション・レイヤ情報、ペイロード・データを判断することを可能にするステップを含む請求項２５に記載のコンピュータ・ベースの方法。
【請求項３７】
封止策は、遮断、停止、許可、リルート、ログ記録、囲み、暗号化、タグ付け、ＱｏＳレベル変更、帯域幅利用の調節の１つまたは複数の動作を含む請求項２８に記載のコンピュータ・ベースの方法。
【請求項３８】
中央マネージャは１つまたは複数の監視リストを記憶し、監視リストは、パケット特徴情報、パケット特徴に対応するルール、とられる封止策を有する請求項２５に記載のコンピュータ・ベースの方法。
【請求項３９】
パケット特徴は、ネットワーク・トラフィック内のデータの文字列の発生に基づいている請求項３８に記載のコンピュータ・ベースの方法。
【請求項４０】
パケット特徴は、トラフィック・パケットのシーケンス内の一連のデータ発生に基づいている請求項３８に記載のコンピュータ・ベースの方法。
【請求項４１】
中央マネージャは、それぞれのネットワーク・トラフィック・センサ・デバイスに独自の監視リストを分配する請求項３８に記載のコンピュータ・ベースの方法。
【請求項４２】
ネットワーク・トラフィック・センサ・デバイスは、受信したトラフィック・パケットが、監視リストからの、および所定のマッチに対応するルールと封止策を実施する手段からのパケット特徴情報にマッチするかどうかを判断する請求項３８に記載のコンピュータ・ベースの方法。
【請求項４３】
中央マネージャは、観察したネットワーク・トラフィックに関してトラフィック・センサ・デバイスからパケット・キャプチャ・データを受信しログ記録するステップと、
ログ記録したパケット・キャプチャ・データを分析するステップと、
ログ記録した情報に基づき、１つまたは複数の監視リストを動的に更新するステップとを含む請求項３８に記載のコンピュータ・ベースの方法。
【請求項４４】
認められたアドミニストレータ・ユーザは、中央マネージャでルールを生成、編集、または削除する請求項２５に記載のコンピュータ・ベースの方法。
【請求項４５】
ルールは、観察したネットワーク・アクティビティに基づき動的に生成される請求項２５に記載のコンピュータ・ベースの方法。
【請求項４６】
ネットワーク・トラフィック・センサ・デバイスに分配されたルールのセットは、少なくともネットワーク・トラフィック・センサ・デバイスの位置に基づいている請求項２５に記載のコンピュータ・ベースの方法。
【請求項４７】
ネットワーク・トラフィック・センサ・デバイスは、ネットワーク・アセットによって生成される繰返しハンドシェイクまたはパケットのパターンを検知するステップと、
これらのパターンを有するシグネチャまたは攻撃プロファイルを動的に生成するステップと、
動的に生成されたシグネチャまたはプロファイルに基づき、リアルタイムで攻撃を遮断するステップとを含む請求項２５に記載のコンピュータ・ベースの方法。
【請求項４８】
ネットワーク・トラフィック・センサ・デバイスは、攻撃トラフィックを積極的に特定するように、生成されたシグネチャまたはプロファイルに対して観察したパケットそれぞれの全体のコンテンツを処理および分析する請求項４７に記載のコンピュータ・ベースの方法。
【発明の詳細な説明】
【技術分野】
【０００１】
（相互引用）
本出願は、共に２００４年７月２９日出願の米国仮特許出願第６０／５９１，８７４号および第６０／５９１，８７２号の特典を請求するものであり、この明細書の全体を本明細書に援用する。
本発明は、コンピュータ・セキュリティとネットワーク管理に関し、より詳細には、ネットワークを横切るデータの移動、ユーザ・ネットワーク・アクティビティ、アプリケーション・ネットワーク・トラフィックを動的に検知し、これらに対してリアルタイムで反応するため、ルール、承認、監視リストを使用することによってネットワーク・アセット内またはその間のネットワーク・トラフィックを分析し、管理することに関する。
【背景技術】
【０００２】
既存の電子セキュリティ・システムは、コンピュータ・セキュリティ分野で「侵入」として知られているネットワークやシステムへの不正なアクセスを特定しようと試みている、またはネットワーク通信チャネルやシステムへのアクセスを制限することによって侵入を防止しようと試みている。侵入は、例えば、攻撃者がネットワークまたはシステム内にあるデータを変更する、盗む、削除するまたは隠すことによって損害を生じさせようとすることを含む、様々な環境や様々な理由により起こる可能性がある。他の様々なシナリオが知られている。一部の侵入の攻撃は、ターゲット・システムによって削除し、効果的に無効化することができる。他の侵入は、ターゲット・システムによって効果的に無効化することができない。例えば、一部のシナリオでは、これは、攻撃が洗練されているから、侵入者が、不正なデータ・アクセスへの試みの前にセキュリティ・システムを無効化したから、侵入者が認証ユーザの認証証明書を取得し、使用したから、攻撃者がシステムとデータへアクセスするための適切な認証を有する内部情報者であるから、またはその他の理由によるものである。これらや他の理由により、既存の電子セキュリティ・システムはしばしば、侵入、データ盗難および／またはデータ操作を検知し、無効化することができないことがある。これらのシステムには、他の欠点もある。
【０００３】
ファイアウォール、侵入検知／防止システム、ログ・ファイル・スキャナ／セキュリティ情報マネージャ、アクセス制御システムの少なくとも４つのコア・セキュリティ技術が今日使用されている。４つの技術は全て、普通はネットワークの周辺を保護する、または特定のシステムへのアクセス制御ポリシーを実行することに焦点を置いている。これらのセキュリティ・システムは普通、データがネットワークにわたって移動するとき、認証されたデータ操作または開示を検知し、防止するためにまたは他の理由に対して、データの移動を監視するようには設計されていない。
【０００４】
ファイアウォールは、ターゲット・ネットワーク内で動作しない侵入者に対してある程度のセキュリティを提供することができる。しかし、ネットワーク外部から内部システムへのアクセスが認証されると、またはネットワーク内から攻撃が始まり、それによってファイアウォールによる制限が行われないと、または攻撃がオープン・ファイアウォール・ポートの上で起こると、ファイアウォールは侵入を防ぐことができない。洗練された侵入の試みは、ファイアウォールを無効化するためにファイアウォール自体を標的としており、システムまたはネットワーク全体が侵入者にさらされる。さらに、極めて大容量の接続性が、ファイアウォールのオペレーション仕様を超えるデータ速度で動作して、極めて高速の接続が保護されない可能性がある。ファイアウォールには、他の欠点もある。
【０００５】
侵入検知／防止システムは、例えば、知られている攻撃「シグネチャ」のデータベースに頼ることによって、ネットワーク上での異常なユーザ挙動を検知することによって、さらに他の方法で、多くのタイプの侵入を検知することができる。「シグネチャ」は普通、そのシステムへの認証アクセスを得ようとする際にシステムの侵入者によって送信されるデータ・パケットまたはコマンドの知られているシーケンスのことを言う。「攻撃」は普通、システムまたはネットワークへの不正アクセスを得るように設計された、またはシステムまたはネットワークを無効にするように設計された侵入の試みのことを言う。他の種類の攻撃もまた知られている。シグネチャ・ベース侵入検知システムは普通、ａ）特定されたシグネチャを有していない―ほとんど全ての攻撃タイプが定義によって新しい攻撃シグネチャを必要とする、ｂ）内部システム内から始まる攻撃、または侵入検知システムによって監視されないネットワークを標的とする攻撃などの侵入検知システムの視野の外側で起こる、ｃ）長い時間、日数、または週にわたり起こり、それによって侵入検知システムの可視時間ウィンドウの外側で起こる、ｄ）侵入検知システムがパケットを精密に調査しないようにさせる大量トラフィックによってマスキングされた、またはｅ）侵入検知システムを無効にするまたは崩壊させるように設計された侵入の試みを検知することができない。多くのシグネチャ・ベース侵入検知システムは、バイパスさせるまたは無効化させることができる。シグネチャ・ベース侵入検知システムには、他の問題もある。
【０００６】
異常検知を使用する侵入検知システムはしばしば、シグネチャ・ベース・システムと同じまたは同様の弱点の多くを有するが、誤った侵入警報を生じる傾向もある、またはしばしば攻撃の完了から数時間、数日、または数週間攻撃を検知することができないことがある。異常ベース検知システムには、他の欠点もある。
【０００７】
シグネチャ・ベース・システムと異常検知システムが攻撃を検知した場合でも、しばしば攻撃を無効化する、または特に得られる情報の流れ、システム上の悪いプログラムのインストール、または攻撃者が後に利用できるように隠れた通信チャネルの形成を崩壊させることができない。
【０００８】
ログ・ファイル・スキャナ／セキュリティ情報マネージャは、ルータ、ファイアウォール、侵入検知／防止システム、システム・ログ・ファイルへの侵入と攻撃のシグネチャを調査する。スキャナはリアルタイムでパケットを処理しないので、侵入は実際より後に検知される。加えて、スキャナは知られているシグネチャのない攻撃を検知することができず、ログ・ファイルによって生成される大量のデータにより手動の検査は単調でミスしがちになる。他の欠点も存在する。
【０００９】
アクセス制御システムは普通、ユーザにユーザ名とパスワードを提示させることによって、また、トークン・ベース認証証明書、および／または他のアクセス制御技術によって、制限されたシステムまたはネットワークへのアクセスを認める前に、ユーザに自分自身を認証させるように設計されている。アクセス制御はシステム内に埋め込むことができる、またはユーザの証明書を要求し、検査する外部認証システムの一部であってもよい。ユーザが有効な証明書を提示した場合、そのユーザは制限されたシステムまたはネットワークへのアクセスが認められている。しかし、アクセス制御システムは、アクセス証明書の保持者が実際の認証されたユーザであることが完全に確実であると判断することができない。攻撃者は、システムへの不正なアクセスを得るためにアクセス証明書を入手することがある。さらに、アクセス制御システムは、証明書を持ったユーザがアクセスした情報を適切に処理しているかどうかを判断することができない。また、アクセス制御システムは、認証ユーザが不正行為に関わることを防ぐこともできない。他の欠点も存在する。
【００１０】
コア情報セキュリティ技術に効果がない場合、これらまたは他の理由の１つまたは複数により、知られているシステムは普通、不正なシステムまたはユーザへの情報の操作または流れを中止することができない。
【００１１】
既存の情報セキュリティ・システムは、ネットワーク化デバイスが互いに通信する方法に関する制限を課す、または不正なメッセージ・トラフィックを認識しおよび／または遮断するように知られている攻撃方法の予め決められたデータベースを利用している。認証された経路上で交換される不正なメッセージは、検知するのが極めて難しく、場合によっては認証されたメッセージの伝達に影響を与えることなく遮断することが不可能である。従来の侵入検知システムや侵入防止システムは、大量の警報を費やして知られている攻撃を検知することに限られており、多くの形のうまく標的を定めた攻撃を認識することができない。
【発明の開示】
【発明が解決しようとする課題】
【００１２】
ターゲット・システムへの攻撃が起こると、情報の損傷または盗難は修復するのに非常に費用がかかる。知られているシステムにはこれらおよび他の欠点が存在する。
【課題を解決するための手段】
【００１３】
本発明は、知られているシステムのこれらおよび他の欠点に対処している。例えば、本発明の一態様は、ターゲット・システムまたはサーバ上に存在する情報のセキュリティを高くするように、ネットワーク上のネットワーク・トラフィックの流れを監視し、調節するシステムおよび方法に関する。本発明は、ログインンされた箇所だけでなく、ユーザのネットワーク経験を通して全てのユーザ・トラフィックを監視し、動的に管理する。ルールが、ログインの時点やその後から、ログオフまでのユーザの観察されたトラフィックに基づいて実施される。別の態様は、極めて高速で、高効率でネットワーク・トラフィックを自動的に検知し、潜在的な攻撃に対応することに関する。リッチ・トラフィック分析（Rich Traffic Analysis:ＲＴＡ）は、ＲＴＡ技術を含んでいないシステムより、大きなネットワーク・トラフィック特徴づけ精度、検知速度、ネットワーク管理オプション、侵入防止能力を提供する。本発明は、ネットワーク化されたアセットの強く、立証可能で、正確な保護を提供する、ユーザ、アプリケーション、データ、システム・アクセスのフル・コンテキストにおいて全てのネットワーク・トラフィックを観察する能力を有する。本発明のさらに別の態様は、ネットワークを横断している各ネットワーク・パケットの高速特徴づけを可能にする中央マネージャ・デバイスと通信するトラフィック・センサ・デバイスを利用する。これにより、観察したトラフィック上で合法的に行動をとり、ルールを実施するための、よりしっかりとした基盤が提供される。また、攻撃を防ぐため、ゼロ日分析機構(zero-day analysis mechanism)を利用して、反復ハンドシェイクまたはパケット・トラフィックによって特徴付けられる潜在的攻撃に対するシグネチャまたはトラフィック・プロファイルを生成する。順番に観察される普通でないトラフィック・パターンが、このようなタイプのトラフィックやこのようなトラフィックのあらゆる将来の習慣をすぐに遮断する。本発明のこれらや他の態様は、情報セキュリティを改善し、ネットワークを横切ることを試みるトラフィックに応じてリアルタイム・ネットワーク調節を動的に行う。
【００１４】
本発明の一実施態様は、複数のトラフィック・センサ、複数のネットワーク・アセット（例えば、ユーザ、クライアント、ホスト、サーバ、ワークステーション）、および／または中央マネージャを含むダイナミック・ディレクトリ・イネーブル・サービス（ＤＤＥＳ）アーキテクチャを備えている。中央マネージャは、ディレクトリ・コンポーネント、制御コンポーネント、および／または他のコンポーネントを有する。
【００１５】
ディレクトリは、ユーザ・アカウント、ユーザに対するネットワーク許可、ネットワークのアセットを管理するのに使用される。ユーザは、多数のユーザ許可を並列に管理するため、事業役割を指定する。制御コンポーネントは、ディレクトリ・コンポーネントからネットワーク許可を受け、これらを一次ポリシーと例外ポリシーに変換する。これに限らないが、ＱｏＳレベル、アクセス権、帯域幅利用、安全な転送、および／またはデータ暗号化を含むポリシーは、組織内のユーザの役割に応じて変更できる。制御コンポーネントは、誰がネットワークにアクセスしているか、どのリソースがアクセスされているか、トラフィックを生成するのにどのアプリケーションが使用されているか、および／またはどんなデータが交換されているかを特定するため、ＲＴＡを利用してトラフィック・センサによって観察されるネットワーク・アクティビティを監視する。トラフィック・センサは、ネットワークにわたって流れるデータを収集し、分析するために、ネットワーク全体を通して様々な位置にインストールされる。これらは、メイン・ディレクトリ内に記憶された様々なルールとポリシーを実施する。トラフィック・センサは、メイン・ディレクトリ・システムに記載されたルールとポリシーを実施するように、制御コンポーネントから指示を受ける。
【００１６】
追加の実施態様は、ディレクトリで生成された監視リストに応じて様々なネットワーク管理ポリシー（例えば、ＱｏＳ、ＶＬＡＮ、セキュリティ、帯域幅）を実施する方法に関する。中央マネージャは、トラフィック・センサで収集されたデータからデータ・キーワード、デジタル・ウォーターマーク、トラフィック・プロファイル、ネットワーク・サブネット、ネットワーク化デバイス、その他のオブジェクトを含むオブジェクトの監視リストを自動的に更新する。特定のキーワードまたはデジタル・ウォーターマークは、機密事項を扱うまたは疑わしいトラフィックが（１つまたは複数の）ネットワークを横切ろうと試みていることを示す。機密レベルは、監視リスト内のオブジェクトに割り当てられる。
【００１７】
本発明の別の態様によれば、監視リストとディレクトリ・ルールは、より小さいコンポーネントに分解され、単一のネットワークまたはホスト上でいくつかのトラフィック・センサにわたって分配され、それによって多数の評価を同じ（または異なる）観察したデータまたはネットワーク・パケット・ストリーム上で並列して行うことができる。トラフィック分析に基づき、ネットワーク・アクティビティは、許可、不許可、または疑わしいアクティビティであると判断することができる。次いで、ルールに基づいて特定のアクションが実施される。
【００１８】
追加の実施態様では、システムは、観察されたトラフィックが監視リストとしてみなすかどうかを判断するため、トラフィック・プロファイルを使用することができる。予め決めた信頼性評価しきい値を使用して、対応するポリシーまたは他のアクションに対するトラフィックに資格を与えることができる。
【００１９】
システムは、検知したネットワーク・トラフィックが許可されているか不正であるかを判断するために定性的かつ定量的処置を使用して、ユーザとネットワーク化デバイスとのアクティビティ、アプリケーション・トラフィック、情報の移動を検知し、特徴付けることに焦点を置いている。本発明は、不正なネットワーク・トラフィックを迅速に特定し、追跡する方法を提供する。特定された不正なネットワーク・トラフィックはその後、リアルタイムで計算され、記憶され、および／または認められたメッセージ・トラフィック・フローから注意深く取り除かれる。本発明の様々なアプリケーションは、ゼロ日（カタログに載っていない）ワーム、ボットネット、トロイの木馬、不正な人的偵察の試み、ネットワークを危険にさらす試み、デバイスを危険にさらす試み、不正なサーバ、デバイスおよび／またはユーザ間での不正なメッセージ共有、および／または他のアクティビティの検知および遮断に関する。
【００２０】
本発明のこれらおよび他の特性、態様、および利点は、以下の説明、頭記の特許請求の範囲、および添付の図面を参照してよりよく理解されるだろう。
【発明を実施するための最良の形態】
【００２１】
この説明では、限定ではなく、例として本発明を説明している。これらおよび他の目的を達成するため、本発明は、情報セキュリティとネットワーク管理を改良するための方法、システム、コンピュータ・プログラム製品を提供する。図１は、複数のトラフィック・センサ８に連結された中央マネージャ２を利用する本発明の一実施態様を示している。図１は中央マネージャに連結されたトラフィック・センサを２つだけ示しているが、全てのトラフィック・センサが中央マネージャと通信することを理解されたい。トラフィック・センサ８は、本物のＩＤを提供し、あらゆるネットワーク・セグメントでネットワーク利用上で制御を行うため、１つまたは複数のネットワーク（例えば、（１つまたは複数の）企業ネットワーク、（１つまたは複数の）プライベート・ネットワーク、および／または（１つまたは複数の）他のネットワーク）全体を通して様々な位置に配置することができるＲＴＡセンサを利用する。トラフィック・センサは、トラフィックの流れ内のあらゆるところにプログラミングされたデジタル・コンピュータまたはプロセッサを有する機器内に埋め込まれたコンピュータ・プログラムとして実行することができる。機器のタイプとしては、これに限らないが、クライアント・マシーン（例えば、ネットワーク・インターフェイス、Ｉ／Ｏポート）、ルータ、スイッチ、ファイアウォール、プロキシ・サーバ、ゲートウェイ、および／または独立型センサを挙げることができる。トラフィック・センサは、トラフィックを最も効果的に管理し観察するため、キー・ネットワーク・トラフィック・ジャンクション内に位置決めされる。
【００２２】
図１は、機器がインラインとバンド外の２つの構造でネットワーク上に存在する場合のいくつかの例を示している。このシステムにより、ネットワーク内への、ネットワークからの、およびネットワーク全体を通したトラフィック通過の調整したビューが可能になる。各トラフィック・センサ８によってピックアップされたアクティビティは、中央マネージャ２まで送信され、これによりアドミニストレータ６に、ネットワーク・トラフィックのリアルタイム・ビューを提供し、かつ各トラフィック・センサ８に特定のタイプの事件をリアルタイムで処理する方法を指示する集中点が提供される。トラフィック・センサ８と同様に、中央マネージャ２は、ネットワークのアドミニストレータ６に都合の良いどこにでも埋め込むことができる。図１はサーバ・ネットワークに配置された中央マネージャ２を示しているが、中央マネージャはネットワーク内のどこにでも（例えば、クライアント・マシーン、ルータ、スイッチ、ファイアウォール、プロキシ・サーバ、ゲートウェイ、および／または独立型デバイス）実装することができることを理解されたい。複数の中央マネージャは、それぞれのネットワークに対して存在していてもよい。任意選択で、一体化センサや管理コンソール（図示せず）を使用して、限られた数のトラフィック・センサを管理することができる。
【００２３】
トラフィックは、ソースと宛て先の間のあらゆる有利な点で監視することができる。ネットワーク内の戦略的点により、各トラフィック・センサがセキュリティ・ポリシーを実行し、サーバ、ユーザ、ネットワーク化アプライアンス、またはあらゆるネットワーク・アセットに到達する前に、悪いトラフィックの流れを遮断することが可能になる。トラフィックのタイプとしては、アプリケーション・トラフィック（例えば、ハンドシェイク、セッション・メッセージ、制御メッセージ）、テキスト、イメージ、音声、データ、映像、音響、センサ出力、ネットワーク情報、ネットワーク・パケット・ヘッダ、電子インパルス、および／または他のトラフィックを挙げることができる。送信は、データ・パケットまたは信号の形でもよく、またはこれに限らないが、パソコン（例えば、ラップトップ）、サーバ、ホスト、手持ち式デバイス、および／または他のデバイスを含む様々なネットワーク・アセットの間で送信されるデータ・パケットと信号の両方の一部であってもよい。
【００２４】
本発明は、データ・ネットワーク、音声ネットワーク、無線ネットワーク、混合音声／データ／映像／音響ネットワーク、および／または他のネットワークに適用することができる。図１はまた、これに限らないが、インターネット、バーチャル・プライベート・ネットワーク（ＶＰＮ）、ゲートウェイ、ＤＭＺ、ＬＡＮ、サーバ・ネットワークを含む、様々なネットワーク構造内、およびこれらの間に実装されるシステムを示している。普通、ＶＰＮゲートウェイにより、遠隔被雇用者３０、遠隔オフィス４０、パートナ・エクストラネット２０が内部ＬＡＮ５０またはサーバ・ネットワーク８０にアクセスすることが可能になる。トラフィック検知と分析は、周辺、ＤＭＺ、内部ネットワーク、および／またはＶＰＮ／エクストラネットを含む、様々なネットワーク位置および／またはネットワーク・アセット（例えば、ユーザ、サーバ、ファイアウォールなど）の間の多数の位置で起こることがある。
【００２５】
ネットワークの周辺に配置されたトラフィック・センサは、外部の脅威と、内部のアプリケーションやデータの乱用とを防衛する最先端にある。インバウンド・ネットワーク・トラフィックやアウトバウンド・ネットワーク・トラフィックは、トランスポート・レイヤ、プロトコル・レイヤ、アプリケーション・レイヤ、データ・レイヤでセキュリティ・ポリシーとの適合性が検査されて、効果的に脅威を遮断し、合法的なトラフィックに対して最も高いレベルのネットワーク・サービス利用可能性を保証する。周辺制御の利点としてはまた、外部攻撃者によるネットワークの偵察と脆弱性をスキャンする試みを遮断し、ネットワーク内部上のアセットを保護し、かつファイアウォール、サーバ、ユーザなどの周辺アセットを外部の脅威から保護する、することが挙げられる。
【００２６】
ＤＭＺは、信頼されている内部ネットワーク（例えば、企業ＬＡＮ）と信頼されていない外部ネットワーク（例えば、インターネット）の間にあるサブネットワークである。ＤＭＺに実装されるトラフィック・センサは、アプリケーション・レイヤ・デフォルト拒否セキュリティ・ポリシーを利用することによって、合法的なトラフィックの流れに影響を与えることなく、ウェブ、ｅメール、ＤＮＳ、その他のサービスをしっかり保証することができる。このセグメントでは、トラフィック・センサは、オープン・ネットワーク・トンネル上の機密情報の公開、認証されたアプリケーション・トラフィックに対する制限ネットワーク・トラフィック、ＤＭＺ内のアセットに対するログ・アクセス、ＤＭＺ内で観察されるログ・トラフィック、認証されたアドミニストレータに対する制限管理機能に対して保護することができる。
【００２７】
内部ネットワークでは、トラフィック・センサは、セキュリティ侵害や悪意のあるコードに対するネットワークを連続して監視し、役割ベース制御を実現するため、サーバおよびユーザ・ネットワークにアプリケーション・レイヤやデータ・レイヤで仮想ネットワーク・セグメントを提供することができる。役割ベース制御は、ユーザを認証されたアプリケーション使用とシステム・アクセス（以下にさらに説明する）に制限する。トラフィック・センサによって行われるアクティビティ・ログ記録は、ポリシー・コンプライアンス目的でネットワーク・トラフィックやユーザ・アクティビティをログ記録し、またはさらなる調査のために討論データを保持するのに使用することができる。加えて、内部ネットワーク上のトラフィック・センサは、脆弱性を招き、認められた事業アプリケーションを費やしてネットワーク帯域幅を消費する、不正なまたは悪いアプリケーション・トラフィックをなくすように働く。
【００２８】
ＶＰＮまたはエクストラネットなどの外部ネットワークでは、ネットワーク・アドミニストレータが外部ネットワークに接続されたデバイスやユーザ上で制御を行わない場合、トラフィック・センサは、ネットワーク・アドミニストレータの制御下にない遠隔終点を通してネットワークに案内される可能性がある不正使用の脅威からネットワークを保護するため、ＶＰＮを通過したトラフィックが意図したアプリケーション・トラフィック、ユーザ、サーバ・トラフィック、認められたデータ共有に限ることを保証する。異なるレベルの信用を、個別のＶＰＮ接続に確立することができ、それによって一部のユーザは他者よりも多くの許可が与えられている。
【００２９】
トラフィック・センサは、トランスペアレントにネットワークに一体化しており、全てのネットワーク・トラフィック・アクティビティに関するリアルタイム情報をすぐに提供する。トラフィック・センサは、全てのタイプのネットワーク・トラフィックをリアルタイムですぐに識別し、それによって問題を迅速に追加の人員または機器を必要とすることなく見つけることができる。各トラフィック・センサ８は、データベース１０内に局所的に記憶させることができる中央マネージャ２とパケット・キャプチャ・データを共有している。したがって、アドミニストレータ６は、ネットワークを横切っているもの（ネットワーク・プロトコル、アプリケーション、データ・タイプ、業績）を特定し、さらに特定のパケット・キャプチャまでずっと通信の詳細（例えば、どのネットワーク・アセットおよびユーザがどのポート上で通信しているか）を追跡するように、この情報内で掘り下げることができる。トラフィック・センサはパケットのコンテキストとコンテンツを見るＲＴＡを通して正確に全てのパケットを特徴付ける。トラフィック・センサは、ネットワーク・トラフィックを自動的に特定し、分類し、追跡して、システム・アドミニストレータにネットワークとアプリケーション使用、データ移動、潜在的なポリシー妨害に関する前に知られていない情報をすぐに提供する。この解決法はネットワークとセキュリティ分析を組み合わせるので、アドミニストレータは、ネットワークが重要なサービスを支持するように最適化され、脅威に対して保証されていることを確実にするのに必要な全てのツールを有する。アドミニストレータは、業績を止めるだけでなく、ネットワーク利用可能性を妨害する可能性がある不適切なアプリケーション使用をアドレスするポリシーを確実に作り出し、管理し、実施するために、実際のネットワーク使用データ（理論上またはトラフィック評価ではない）に頼ることができる。ＲＴＡは、ユーザのログインの開始時に許可を設定する、ユーザ・ログイン・フェーズを越えてトラフィック分析とルール実施を提供する。ＲＴＡは、ユーザのセッションの開始時だけでなく既に認証されたネットワーク・ユーザがネットワーク通信を行っている間、またユーザがネットワーク上にいる全時間の間トラフィックを動的に管理することを可能にする。このような特性は、全体としてネットワーク上に管理のより完全な基本を提供する。
【００３０】
図１は、上に論じる特性を達成するのに利用されるシステムの様々な構成要素を示している。システムは、ダイナミック・ディレクトリ・イネーブル・サービス（ＤＤＥＳ）を実行する。ＤＤＥＳアーキテクチャの一例は、複数のトラフィック・センサ８と、複数のネットワーク・アセット（例えば、クライアント・ワークステーション５２、ホスト、サーバ）、および／または中央マネージャ２とを備えている。中央マネージャ２はまた、監視リスト、ルール、キャプチャしたパケット・データ、ルール、イベント・ログ、ユーザ情報、および／または他の所望のデータに関する様々なデータを記憶する記憶コンポーネント４にリンクされている。アドミニストレータ６に、中央マネージャ２のコンポーネントを管理するため、ユーザ・インターフェイスを有するワークステーションまたはコンソールを介してインターフェイス接続する手段を設ける。キャプチャしたパケット・データを送信し、中央マネージャ２からルール、ポリシー、監視リスト・オブジェクトを受信する複数のトラフィック・センサ８が、中央マネージャ２にリンクされている。中央マネージャ２は、保護する必要がある多数の周辺や内部ネットワーク・セグメントを備えた環境用に設計されている。全てのリンクは、取り付けられたコンポーネント内に、またそこからデータを流すことを可能にする双方向性通信リンクである。
【００３１】
高パフォーマンス管理コンソールとして、中央マネージャ２は、マスタ・ディレクトリ２２、分析ツール２４、ルール生成と分配ツール２６、および／または制御コンポーネント２８を備え、それによって中央マネージャ２は各トラフィック・センサの機能を監視し、制御することが可能になる。マスタ・ディレクトリ２２は、ネットワークの知られているおよび知られていないユーザとアセットに対してユーザ・アカウントやネットワーク許可を管理するのに使用される。マスタ・ディレクトリ・コンポーネント２２は、ユーザ・プロファイル（例えば、機能的役割、ディレクトリ・グループメンバ、マシーン・アドレス、ＩＰアドレス）、ユーザ証明書（例えば、属性、役割ベース制御）、監視リスト・オブジェクト、とられる予め決めた行動、様々なルール（例えば、セキュリティ、サービスの質、帯域幅、ＶＬＡＮ、トラフィック）を含むデータを記憶する。軽量ディレクトリ・アクセス・プロトコル（Lightweight Directory Access Protocol:ＬＤＡＰ）を含む様々なタイプのネットワーク・ディレクトリ・プロトコルは、本発明から逸脱することなく実装することができる。ディレクトリ・プロトコルを実装するディレクトリのタイプとしては、これに限らないが、マイクロソフト（登録商標）・ウィンドウズ（登録商標）２００３システムの一部として提供されているアクティブ・ディレクトリ、Ｎｏｖｅｌｌによって提供されているＮｏｖｅｌｌ（登録商標）Ｅ−ｄｉｒｅｃｔｏｒｙ、またはサン（商標）・マイクロシステムズによって提供されているＳｕｎ（商標）Ｏｎｅ  ｄｉｒｅｃｙｔｏｒｙを挙げることができる。Ｒａｄｉｕｓサーバなどの認証システム、またはファイアウォール、ルータ、ＶＰＮコネクタ、サーバ・オペレーティング・システム、ワークステーション内に埋め込まれたアクセス制御システムは、ディレクトリ情報のソースと考えることもできるユーザ情報を含んでいる。
【００３２】
以下に詳細に説明するように、ネットワーク・システム全体を管理する責任がある１つまたは複数のネットワーク・アドミニストレータによって、またはディレクトリを拡張する許可を備えた認証ネットワーク・アセット（例えば、認証クライアント）によって、マスタ・ディレクトリ２２内で、生成と分配ツール２６を介して、情報を生成することができる。マスタ・ディレクトリ２２内に保持された情報の高感度の性質により、限定または制限されたアクセスがマスタ・ディレクトリに認められる。例えば、十分な許可を備えた認証クライアントには、既存のルールを拡張し、および／またはトラフィック・トラップをセットアップし、それらに利益のあるトラフィック出力アクティビティ・イベントを受信するため、マスタ・ディレクトリに対する制限されたアクセスを認めることができる。しかし、ネットワーク・アドミニストレータ６は、ユーザ・プロファイル（例えば、ディレクトリ・グループメンバ、マシーン・アドレス、ＩＰアドレス）、ユーザ証明書（例えば、属性、役割ベース制御）、監視リスト・オブジェクト、とられる予め決めた行動、様々なルール（例えば、セキュリティ、サービスの質、帯域幅、トラフィック）、および／または他の情報を入力する責任がある。
【００３３】
ＤＤＥＳアーキテクチャは、中央マネージャ２がトラフィック・センサ８から受信されるときにキャプチャされたパケットを分析するように構成されている。分析コンポーネント２４は、誰がネットワークにアクセスしているか、どのリソースがアクセスされているか、トラフィックを生成するのにどのアプリケーションが使用されているか、どのデータが交換されているか、および／または他のアクティビティを特定するため、トラフィック・センサ８によって与えられたパケット・キャプチャ・データを調査する。新しく観察されたトラフィックに対して新しいルールを作り出すのに、この情報のいずれかまたは全てを中央マネージャ２によって使用することができる。
【００３４】
制御コンポーネント２８は、マスタ・ディレクトリ２２の情報のインスタンスを作成し、この情報をトラフィック・センサ８に送信される例外ポリシーにコード変換する。ディレクトリ情報は、トラフィック・センサ８によって実施されるポリシーにコード変換される。制御コンポーネント２８は、マスタ・ディレクトリ２２内に保持された情報にしたがって、リアルタイムでポリシーを生成する。例えば、ユーザがログインしたと認識された場合、そのユーザ証明書がマスタ・ディレクトリ２２から引き出され、ネットワーク上で実施されるポリシーを生成する。ユーザ証明書は、新しくログインしたユーザに対してポリシーを実施するのに使用される１つまたは複数の特定のトラフィック・センサまで通過させられたポリシーにコード変換される。ポリシーとしては、以下にさらに論じる役割ベース制御が挙げられ、これによりどのユーザがネットワーク上で認められているまたは認められていないかどうかを判断する。他のポリシー情報は、トラフィックを遮断する、特定の接続に対するＱｏＳポリシーを調整する、トラフィックにログインする、特定の接続の持続時間の間一時ＶＬＡＮを生成する、および／または必要に応じてセキュリティ処置（タグ・パケット、ブロック接続、スイッチ上のブロック・ポート、リルート・トラフィックなど）などの検知されたユーザまたは検知されたトラフィックに対してとられるアクションを含むことができる。制御コンポーネント２８はまた、進行中に出来事を説明するアクティビティ・イベントを周期的に出力する、または自動的にあるいはマスタ・ディレクトリ内の認証クライアントによって設定された予め決めたトラップを通しての何れかで、外部ネットワーク・エンティティ（データベース、トラフィック・センサ、クライアントなど）と調査情報を共有することができる。外部ネットワーク・エンティティへこの情報を出力する機構としては、リアルタイム・メッセージ、ｅメール、通話、テキスト・メッセージなどを挙げることができる。
【００３５】
生成と分配ツール２６は、インスタンスを作成したルール情報、ポリシー情報、その他の情報をリアルタイムで適切なトラフィック・センサ８に分配することが可能である。トラフィック・センサ８は、マスタ・ディレクトリ・システムに記載されたルールとポリシーを実施するため、中央マネージャ２から命令を受信する。したがって、トラフィック・センサ８により、ネットワーク・トラフィックを以下にさらに説明するように、動的に管理し、分類し、監視することが可能になる。
【００３６】
各トラフィック・センサ８は、ルールのセット３４、分析ツール３６、実施コンポーネント３８、および／または他のコンポーネントを有することができる。図１から、各トラフィック・センサは、図に示す例示的なトラフィック・センサ８のコンポーネントを含んでいると理解すべきである。ルールセット３４は、トラフィック・センサ８によって実施されるルールを記憶する。各トラフィック・センサは、それぞれのルールセット３４内に記憶された異なるセットのルールを実施させることができる。ポリシーを含むルールが、中央マネージャ２から受信される。分析ツール３６は、ルールのセット３４に対してトラフィックを監視し、分析する。トラフィック・センサを通過して観察されたトラフィックに基づき、分析ツールはルールの発生をトリガするパケット・データをキャプチャすることができる。キャプチャされたパケット・データは、中央マネージャ２に送信し戻される。したがって、中央マネージャはネットワーク・アクティビティに関するリアルタイム・レポートを自動的に受信する。ルールセット３６内のルールは、実施コンポーネント３８によってリアルタイムで自動的に実施される。実施コンポーネント３８は例えば、トラフィックを遮断し、ＱｏＳを調整し、接続を遮断し、スイッチ上のポートを遮断し、トラフィックをリルートする、および／またはとられる様々な他のアクションに対する命令を送信するポリシーを実行する。
【００３７】
システム能力を、さらに図２から８を参照して説明する。ＲＴＡセンサ８は、ネットワークの最高速度で全てのイーサネット（登録商標）・フレームを検査することが可能であり、ネットワーク・パフォーマンスに影響を与えることなくロードし、既存のセキュリティ・システムと比較して、トラフィック・センサのパフォーマンスは、パターンおよびルールの数が増えるので大きく損なわれることはない。図２は、全てのネットワーク・フレームのＯＳＩレイヤ２〜７に存在するデータを使用して全てのネットワーク・トラフィックを特定し分類するように指令され、それによって脆弱性、脅威、ポリシー侵害の詳細な特定と防止を可能にするように、トラフィックを、アプリケーション、ユーザ、ネットワーク・ホストにリンクさせるように指定された各トラフィック・ツール８での分析ツール３６を示している。分析により、ネットワーク上のトラフィックの完全な図が明らかになり、中央マネージャ２によって決められた様々なネットワーク・ポリシーの実施が基づくべき基盤が提供される。したがって、トラフィックは、全てのネットワーク・アクティビティのコンテキストや各ネットワーク・パケットのコンテンツにより判断される。イーサネット、ネットワーク、トランスポート・レイヤ・パケット・データは、パケットが送信されているコンテキストを特定する。例えば、ソース／宛て先ＭＡＣアドレス、ソース／宛て先ＩＰアドレス、ソース／宛て先ポート・データである。セッション、プレゼンテーション、アプリケーション・レイヤ・パケット・データは、主にアプリケーション、プロトコル、ペイロード・データのコンテンツを判断する。ルールは、アプリケーション、プロトコル、攻撃、高価値データの存在を含むパケット内で見られる様々なトラフィック・パターンに基づくトラフィックにリアルタイムで反応して実施される。４つの分類の少なくとも１つによりパケットを特定することは、ルールがトラフィック上で実施されるべきかどうかを迅速に特定し、管理し、判断するのを助ける。
【００３８】
アプリケーション・トラフィックは、ウェブ、ファイル転送、ｅメール、インスタント・メッセージ、遠隔アクセス、ファイル共有アプリケーション、ストリーミング、企業が使用する主なアプリケーション全てなどの全ての共通ネットワーク・アプリケーションを含むことができる。アプリケーション・トラフィックは、トラフィックが使用するＩＰポート数とは無関係に検知することができる。他のアプリケーション・プロトコルや通信内に含まれるトラフィックの正確な特定も可能である。中央マネージャ２は、アプリケーションをどのように、どこで、誰が使用することができるかを決めることができる。この情報は、実施コンポーネント３８を使用してこれらの認められた使用ポリシーをリアルタイムで実施する、関連するトラフィック・センサ８と対応するルールセット３４まで通過させることができる。トラフィック・センサは、トラフィック・センサによって観察された全てのネットワーク・パケットのＲＴＡ検査を利用するパターン・プロセスによるマッチを使用して、パケットを特定する。したがって、トラフィック・センサを横断しながらネットワーク・パケットのアプリケーション、ユーザまたはデータ要素が特定されると、特定のアプリケーションに存在する場合、対応するポリシー、ユーザまたはデータ要素をマッチングさせ、すぐに実施させることができる。トラフィック・センサは、アドミニストレータがトラフィックを許可するルールを作る全てのトラフィックを拒否するデフォルト・ポリシーを有することができる。逆に、デフォルト・ポリシーは、全てのトラフィックを許可し、特定の種類のトラフィックを否定するルールを有するようにすることもできる。これらのポリシーの利点としては、不正なネットワーク・トラフィックを同時に停止させながら、重要なネットワーク・サービスが連続して利用可能であり、それによってネットワークとネットワークに接続されたデバイスのパフォーマンスとセキュリティを大きくすることが保証されることが挙げられる。正確なアプリケーション・トラフィック識別は、ポリシーを侵害し、セキュリティ脆弱性や他のリスクの潜在的なソースである悪アプリケーションや悪トラフィックをなくすのに使用することができ、それによってネットワーク・パフォーマンスと帯域幅の利用が改善される。加えて、トラフィック・センサは、ネットワーク・トラフィックを双方向的に検査して、インバウンド対アウトバウンドのネットワーク・トラフィックに対して異なるようにルールを実施する能力を提供する。
【００３９】
全てのＴＰＣ／ＩＰプロトコル、全ての他のＩＰプロトコル、ネットワーク・フレーム（これに限らないが、イーサネット・ネットワーク・フレーム・タイプを含む）を含む、全てのアプリケーション・トラフィックの基礎にあるネットワーク・プロトコルが検知され、ログ記録される。上に論じたＲＴＡを使用して、ネットワーク・トラフィックはまた、ネットワーク・プロトコルにより分類することができる。中央マネージャ２は、プロトコルがネットワーク内でどのように提供されるかを決めることができる。例えば、全てのＴＣＰ／ＩＰベース・プロトコルは、非ＩＰベース・トラフィックから別個の規定を受信することができる。図２のパケットのトランスポート・レイヤは、アプリケーション・トラフィックを提供するのに使用されるプロトコルを特定する。
【００４０】
第３の分類は、知られているおよびゼロ日（カタログに載っていない）攻撃の特定を含み、ネットワーク・パフォーマンスに影響を与えることなく、全てのプロトコルとポートにわたって全てのインバウンドとアウトバンドのネットワーク・パケットを分析することによって調査する。ゼロ日攻撃は、システムが知らないセキュリティ脆弱性調査であり、それによってこれらに対する防護が難しくなる。知られていないネットワーク脆弱性は侵入者によって調査され、それによって予め知っていないネットワーク脆弱性を保護することは難しくなる。本システムは、これらを自動的に遮断するため、ゼロ日攻撃をすぐに検知することができる。
【００４１】
図３は、潜在的な知られているおよびゼロ日攻撃と調査を特定する方法のフロー図を示している。図３のステップは、不当なトラフィックのパターンを検知するのに利用されるデバイス・ダイバーシティ・アルゴリズムの一部である。トラフィック・センサは、ステップ３００で同じメッセージを多数のＩＰアドレスに広める単一のＩＰアドレス、またはステップ３０１で同じパケットまたは同じＵＲＬ要求を単一のターゲットＩＰアドレスに広めるいくつかのＩＰアドレスを含む、２つのイベントの一方を観察することができる。トラフィック移動、特にネットワーク内で普通は起こらない移動を観察することによって、本システムは潜在的な攻撃またはセキュリティ侵害のソースの位置をより効率的に特定することができる。したがって、トラフィック・センサは、ステップ３０２で、疑わしいソースとして多数の宛て先に広めているソースを特定することができる。ステップ３０３で、同じことが疑わしいターゲットにも行われる。ステップ３０４と３０５では、トラフィック・センサ８の分析ツール３６は、疑わしいエンティティのメッセージ・トラフィックを調査する。メッセージは、データ・パケット、ハンドシェイク、あるいは信号の形をしている、またはデータ・パケット、ハンドシェイク、あるいは信号の一部である可能性がある。別の方法では、メッセージは、データ・パケットと信号との交換、または集合的にメッセージを構成する信号の一部との交換を含む。
【００４２】
同じメッセージが所定の回数より多く繰り返されたかどうかを判断する決定がステップ３０６で行われる。そうである場合、ステップ３０７では、トラフィック・センサがメッセージ・トラフィックを疑わしいメッセージとして特定し、その後ステップ３０８で知られているメッセージのデータベースに対しての比較が可能になる。任意選択で、疑わしいメッセージを、観察したネットワーク上、または多数の独立したネットワーク上で現在または前に観察したネットワーク・トラフィックと比較する。メッセージ全体またはメッセージの重要な部分が攻撃メッセージ・プロファイルにマッチした場合（ステップ３０９）、攻撃メッセージを中断させる即時のアクションがとられる（ステップ３１０）。これらのアクションは、中央マネージャ２によって判断され、トラフィック・センサ８によってポリシーの一部として実行される、とられるべき予め決めたアクションであってもよい。トラフィック・センサはルールセット全体に対して全てのパケットを分析するので、合法的なトラフィックを妨げることなく脅威を持ったパケットのみを正確に遮断することができる。加えて、潜在的な攻撃のアドミニストレータを通知するため、パケット・キャプチャ・データは中央マネージャ２に送信される。
【００４３】
あるいは、メッセージが知られている良いトラフィックにマッチする場合（ステップ３１２）、疑わしいメッセージは処分される。メッセージが知られている攻撃トラフィックまたは知られている良いトラフィックのいずれかであると分類することができない状況が起こる場合もある。本発明は、ステップ３１３と３１４で攻撃に対するペイロード・パケット・シグネチャまたはプロファイルを生成し、これらのパケットを自動的に中断し始めるため、ゼロ日候補としてパケットを分類するのにこの情報を使用する。ゼロ日攻撃に対する迅速な反応は、パケットがネットワークに入る前にパケットを停止するためである。新しい攻撃をアドミニストレータに警告するため、パケット・キャプチャを中央マネージャ２に送信する。このように、中央マネージャは、知られている攻撃プロファイルとして記憶させるため、攻撃に対するペイロード・パケット・シグネチャを作成する。
【００４４】
アプリケーションやネットワーク・プロトコル、攻撃によってパケットを特定することに加えて、高価値データを含む第４の分類によりトラフィックを特定することができる。高価値または機密データ・フォーマットとしては、暗号化されないでネットワークを横切る社会保障番号、クレジット・カード番号、口座情報を挙げることができる。事業特定所有データ・タイプ（例えば、価格、給与、スケジュール）を簡単に加えることができる。トラフィック・マネージャは、機密事項を扱う顧客データのオープン・ルーティングを遮断することができる。トラフィック・センサは、高価値または機密データを特定するため、オブジェクト（例えば、バイナリ／テキスト・パターン）の監視リストを利用することができる。すなわち、トラフィック・センサ８は、中央マネージャ２からトラフィックを観察しながら監視すべきオブジェクトのリストを受信することができる。ＲＴＡは、パケット・ペイロード・データが監視リストから記憶されたバイナリ／テキスト・パターンにマッチすることを見つけることができる。トラフィック・オブジェクトが記憶された監視リスト内のオブジェクトにマッチすると特定されると、トラフィック・センサはトラフィックをログ記録し、これを確実に管理するように特別な封止策をとる。これはネットワークの所定のセグメントに対して機密事項を扱うトラフィックを隔離することである。パケット・キャプチャ・データは中央マネージャ２に送り戻される。このように、アドミニストレータ６は、送信者と受信者を含む、機密事項を扱うデータが転送されたコンテキストを見、およびデータを転送するのにどのアプリケーションが使用されたかを見ることができる。したがって、データのコンテキストが高価値または機密事項を扱うトラフィックとして特定された場合、安全なデータ転送を保証するのにとられたデータ暗号化または他のセキュリティ処置を保証するように、コンテンツが送信されたコンテキストを提供する。別の方法では、機密または機密事項を扱うトラフィックがネットワークを出ていると検知された場合、セキュリティ侵害を防ぐため、トラフィックの遮断などの封止策をとることができる。これらのセキュリティ処置は、監視リスト・オブジェクトに関連するポリシーによって決めることができ、トラフィック・センサの実施コンポーネント３８によって実施される中央マネージャ２によって決めることができる。図２では、パケットのイーサネットやネットワーク・レイヤがトラフィックが送受信されるコンテキストを特定しながら高価値データが存在するかどうかを判断するため、パケットのペイロードが検査される。
【００４５】
中央マネージャは、これに限らないが、データ・キーワード、デジタル・ウォーターマーク、および／またはアプリケーション・トラフィック・プロファイルを含む監視リストのオブジェクトを、サーバにアップロードされ、特定のワークステーションからダウンロードされ、特定の音声または映像通信から得られた認識されていないデータを監視することによって、または特定のネットワークにわたって移動することによって、自動的に開発する。したがって、トラフィック・センサは、トラフィック・パケットのシーケンス内でデータの文字列（例えば、キーワード）の単一の発生、または一連の発生を見ている。図８の関連では、監視リストを動的に更新し、トラフィック・センサに分配する。
【００４６】
図５は、本発明の一実施態様による、ルール、監視リスト、ポリシーをトラフィック・センサ８に分配する方法のフロー図を示している。アドミニストレータ６は、マスタ・ディレクトリ２２内にディレクトリ入力を作成する。ディレクトリ入力は、上で論じたアプリケーション、プロトコル、または攻撃メッセージの特定により実施されるべきルール、および／またはとられるべき封止策またはアクションを含む。一方、監視リストは、高価値トラフィックの特定によりルールを実施する。アドミニストレータは、ステップ４００でユーザが中央マネージャのマスタ・ディレクトリ２２内のネットワークにログインしたことが検知された場合に実施される各ユーザの事業役割に関する情報と共に、ユーザ・アカウント、証明書、許可を含む。同様に、ステップ４１０では、アドミニストレータはマスタ・ディレクトリ２２内に記憶された監視リスト内に組み込まれたオブジェクトのリストを作成する。監視リスト内のオブジェクトとしては、アドミニストレータが次のアクションをトリガするのにトラフィック内で特定したいと望む、テキスト、音響、パケット、またはあらゆる他のパターンのデータを挙げることができる。アクションは、安全なネットワークを維持するのに使用される封止策として決められる。全てのディレクトリ入力と監視リスト・オブジェクトは、ステップ４２０でマスタ・ディレクトリ２２に記憶される。監視リスト・オブジェクトとディレクトリ・ルールを作成するプロセスは、リアルタイム・トラフィック分析後および／またはその間に行うことができる。このように、ステップ４３０と４４０では、トラフィック・センサ８での各ルールセット３４は、ポリシーを迅速に実施するため、生成されたディレクトリ・ルールと監視リスト・オブジェクトで占められている。単一のネットワークまたはホスト上のいくつかのトラフィック・センサにわたって監視リストとディレクトリ・ルールを分配することにより、トラフィックの評価と実施を同じ観察データまたはネットワーク・パケット・ストリーム上で並列に行うことが可能になる。特別な効率を提供するため、各トラフィック・センサは、それぞれのトラフィック・センサの性状に最も関連するルールと監視リスト・オブジェクトを受信する。したがって、異なるトラフィック・センサは、異なるルールと監視リストを受信する。性状としては、トラフィック・センサの位置またはネットワーク・セグメント、ネットワーク・セグメント上で特定されたネットワーク・アセット、中央マネージャに送信されたパケット・キャプチャ・データ、および／または帯域幅を挙げることができる。
【００４７】
データ・ディレクトリ・ルールと監視リストの並列処理により、極めて高速の通信ネットワーク上での深いパケット分析が可能になる。監視リスト作成、および多数のデバイスにわたる、または単一のデバイス内に含まれる多数の中央処理ユニットにわたる監視リスト比較機能を並行することにより、極めて高速のネットワーク環境でさえも深いパケット分析が可能になる。したがって、極めて高速のネットワーク上にリアルタイムまたはリアルタイムに近い簡単なキーワード・マッチング、自然の言語処理、データ・レンダリング、その他の複雑なタスクを提供するシステムを構築することが可能である。
【００４８】
監視リストは、機密事項を扱うトラフィックが（１つまたは複数の）ネットワークを横切ろうと試みていることを示す特定のキーワードまたはデジタル・ウォーターマークを含んでいる。機密事項を扱うトラフィックは、疑わしい性質または高価値のトラフィックである可能性がある。監視リストは、データの由来または宛て先を評価することによって、監視リスト内に含まれるオブジェクトに対して機密レベルを自動的に決めることができる。保護された情報がネットワーク上で発見された場合、様々なアクションが決められる。これらのアクションは監視リストのルール内で決められる。特定のホストから出ている、または特定のネットワークにわたって移動していることが観察された情報は、トラフィック・センサがセキュリティ侵害を防ぐアクションまたは封止策をとるため、監視リストに対して判断される。検知された情報が監視リストに含まれている場合、システムによってアクションがとられる。図５は、本発明の一実施態様による、監視リスト・オブジェクトに対してトラフィックを観察する方法のフロー図である。第１に、トラフィック・センサ８は、中央マネージャ２から受信した監視リストを編集し、これをルールセット３４内に記憶する。各トラフィック・センサは、ステップ５１０で分析ツール３６を介してトラフィックを監視する。次に、全てのトラフィックは、マッチが起こるかどうか判断するため、監視リストに対して監視される。マッチすれば、パケット・キャプチャ・データはステップ５３０でトラフィック・センサによって作られる。編集された監視リストから、マッチした監視リスト・トラフィックに対してどのルールまたは封止策をステップ５４０で適用すべきかが判断される。ペイロード・レベルまで高速分析を行うトラフィック・センサの能力により、対応するルールを特定のトラフィックに対してリアルタイムの反応で実施することができる。ルールがトリガされ、その後実施されると、パケット・キャプチャ・データは中央マネージャ２に送り戻される。
【００４９】
監視リストはまた、ネットワーク・トラフィック（例えば、観察データ移動、アプリケーション・ハンドシェイク、および／または特定の個別のパケットによる特定のネットワーク化リソースへのアクセス）に基づき、ＱｏＳ、ＶＬＡＮ、セキュリティ・パラメータを動的に提供する。ネットワークにわたってタグ付けされたトラフィックの流れをトラフィック・センサが制御するために、高価値トラフィックを動的にトリガする。例えば、個人識別可能な情報を含むデータ・ストリームは、適切なネットワーク・セグメントのみを通過することができるようにタグ付けされており、それによって追加のセキュリティが提供される。別の例は、これらのユーザによって、またはこれらのユーザに転送されるデータの機密性に基づきユーザの機密性測定基準を動的に調節することであり、それによってシステムはこれらのユーザのネットワーク・アクティビティのセキュリティ、またはそれに関する調査を動的に増加させることが可能になる。したがって、ＱｏＳおよび／またはＶＬＡＮを動的に調節して、特定のネットワーク通信に対する適切なセキュリティと伝達保証を確実にすることができる。特定のネットワーク通知上の動的な特定と制御はまた、疑わしいアクティビティを特定し、高い脅威のアクティビティを隔離し、または高い脅威のリソースをネットワークから完全に離すのを助ける。疑わしいアクティビティは、さらなる分析のためにマーキングすることができる。したがって、システム・アーキテクチャにより、必要に応じてセキュリティとＱｏＳポリシーのリアルタイムの再調整が可能であり、パフォーマンスを洗練させる、または特定のネットワーク条件に応答することができる。
【００５０】
追加の実施形態では、監視リストは、ＲＴＡフォーマットに記憶されたトラフィック・プロファイルを含む。ＲＴＡトラフィック・プロファイルは、ネットワーク上で行われている通信のタイプ（例えば、ＶｏＩＰ、ＶＰＮ、アプリケーション・ハンドシェイク、データベース・コマンド、および応答など）を特定するのに使用できる１つまたは複数のシーケンスである。上に論じたパケット・マッチングと同様に、ルールを実行するための基盤を提供する、ネットワークを横切ろうと試みているアプリケーション、ユーザ、またはデバイス・トラフィックのタイプを特定するため、ユーザ、アプリケーション、またはデバイスによって交換されるメッセージのシーケンスまたはシリアルを、ＲＴＡトラフィック・プロファイルは含んでいる。監視リストに記憶された各トラフィック・プロファイルは、観察したトラフィック内のマッチングしたトラフィック・プロファイルの積極的な特定の際にとられるべき対応する所定のルールまたは封止策またはアクションを有する。例えば、ファイル転送ハンドシェイクは、ファイル転送を開始するメッセージを受信するステップと、ファイル転送要求の受信を確認する応答メッセージを送信するステップと、その後のファイル自体を転送するステップとを含んでいる。この例に記載した３つのステップはそれぞれ、ネットワーク通信（例えば、ファイル転送を開始するメッセージ）の特定のサブ・アクティビティを検知するのに使用することができる、または一連のステップは全体として普通のアクティビティを特徴付けるのに使用することができる（例えば、上記３つのステップは成功するファイル転送要求のことを言うことができる）。トラフィック・プロファイルはハンドシェイク用に生成される。その際、ハンドシェイク・ステップに関する情報、シーケンス、ステップが行われ、１つのステップから次のステップまでのタイミング要件がトラフィック・プロファイルとして記録され記憶される。多数のトラフィック・プロファイルを、以下に論じるように、図４と図６に示す方法によって監視リストに生成して追加する。観察したトラフィックの独自の特性を見分け、トラフィック・プロファイルに対するステップ、シーケンス、タイミングを特徴付けるのに使用することができる。２つ以上のトランザクションが、ステップのシーケンスを生成するためにより多くの情報を提供する。加えて、別の実施形態では、アドミニストレータは、新しいトラフィック・プロファイルの生成を行うため、ネットワーク上で新しいトラフィックをシミュレーションすることを選択することができる。
【００５１】
様々なトラフィック・プロファイルを使用して、これに限らないが、ＶｏＩＰ、電子商取引トランザクション、ファイル転送、疑わしいアクティビティ、知られている攻撃、ワーム・トラフィック、ボットネット・トラフィック、ＶＰＮログイン、クライアント・サーバ・インターアクション、インターネット・アクセス、および／またはストリーミング音響／映像を含む、全てのタイプのネットワーク通信を特定することができる。例として、ＶｏＩＰハンドシェイク・プロファイルは、ＶｏＩＰセッションをシミュレーションすることによって生成することができる。ＶｏＩＰトランザクションは通話開始で始まり、その後、音声ペイロードと信号プロトコルを観察し、その後最後のステップでは、通話に応答するが、これは普通は１分以内に起こることに過ぎない。したがって、ＶｏＩＰハンドシェイク・プロファイルは、これらのステップのシーケンスとタイミングに関する情報を含む。将来、（１つまたは複数の）ネットワーク上で観察されたトラフィックが同じシーケンスとタイミング内のステップにマッチした場合、観察したトラフィックはＶｏＩＰハンドシェイク接続として積極的に特定することができ、これはユーザがＶｏＩＰセッションを試みており、セッションに対応するため、または対応するルールが何であっても、より高いＱｏＳが与えられるべきであることを意味している。正確なトラフィック・プロファイルを生成するため、できるだけ多くのステップをプロファイルすることは有利である。その結果、積極的に特定されたトラフィックは、特定されたトラフィックに対応する際に有用である特定のＱｏＳおよび／またはセキュリティ・パラメータを受信することができる。
【００５２】
信頼性評価により、観察したトラフィック・プロファイルに資格を与えることに対して追加の保証を提供する。信頼性評価は、トラフィック・プロファイルから完了したステップの数により、観察したトラフィックに動的に指定することができる。観察したトラフィックがトラフィック・センサ８を通過すると、トラフィック・プロファイルの１つまたは複数のステップにマッチすることができる。例えば、一連のパケットがハンドシェイク・プロファイルの３つのステップのうちの２つにマッチする場合、観察した通信はハンドシェイクに対して６６％の信頼性評価が与えられる。図７は、トラフィック・プロファイルを特定し、信頼性評価を指定する方法を実証したフロー図である。ステップ６００では、観察したトラフィックがトラフィック・プロファイル内の第１のステップにマッチするかどうかを判断する。イエスである場合、プロファイルは追加のステップで検査される。第１のステップの後にステップがない場合、トラフィック・プロファイル内に１００％のマッチがあり、トラフィックは積極的に特定される。積極的なトラフィック・マッチが行われない、つまり１００％未満である場合、信頼性評価がステップ６２０で指定され、その後信頼性評価が所定のしきい値より大きいまたは同等であるかどうかが判断される。アドミニストレータは、所定のしきい値をパーセントまたは比率の形で指定することができる。しきい値を上回ることにより、トラフィックの積極的な特定、およびそれによって特定されたトラフィック・プロファイルに対応するルールの実行が可能になる。しかし、しきい値がマッチしない、または上回らない場合、トラフィック・プロファイル内の次のステップを使用してマッチング・プロセスを継続する。マッチが見つからない場合、トラフィックが中央マネージャ２によって将来の分析のためにログ記録される。
【００５３】
図６の方法により、トラフィックをリアルタイムで動的に評価することが可能になる。パケットが積極的に特定されると、アドミニストレータが信頼性しきい値として設定したあらゆる点においてアクションが行われる。ルールを実行する基盤の１つであることを越えて、信頼性評価は比率またはパーセントの形で、ネットワーク・アドミニストレータに対しても重要なデータを提示することができる。定量的方法では、信頼性評価はトラフィックに対するネットワーク信頼性レベルを示している。例えば、３つのステップのうちの２つだけが終了した場合、ネットワークは、観察したトラフィックが実際に特定したトラフィックであるという信頼性は６６％しかない。これにより、信頼性しきい値を設定する際に様々な調節が可能になる。第２に、信頼性評価は、トラフィックが１００％に到達するのを防ぐネットワークの問題があり、それによってネットワークの問題はさらに調査する必要がある。例えば、同じユーザが全てのステップを終了することなく多数回同じ通信を試みていることが観察された場合、さらなる調査が必要なネットワークの問題が生じる可能性がある。または、第３に、所望のトランザクションを終了させるため、その十分ではないネットワーク・アセット（例えば、帯域幅、ＱｏＳ、許可など）がユーザに割り当てられている。全ての場合において、将来の分析のために通信をログ記録することができる。
【００５４】
さらに、所定の信頼性評価しきい値は、通信を積極的に特定し、対応するポリシーを適用するため、マッチさせるまたは超えている必要がある。例えば、ネットワーク・アドミニストレータが少なくとも７０％の信頼性評価を必要としている場合、６６％の評価だけでは対応するポリシーに対してトラフィックに資格が与えられない。このように、より多くの数のステップを有することにより、より効果的にトラフィックに資格を与える際の助けとなることができる。逆に、信頼性評価が最小しきい値数に到達しない場合、ログ記録され、潜在的な問題がネットワーク・システム内に存在する、またはネットワーク・アセットを再び割り当てる必要があることをネットワーク・アドミニストレータに通知することができる。このように、監視リストは、ネットワーク・トラフィックを動的に分類し、特定し、資格を与える洗練された管理機構を提供する。
【００５５】
アプリケーション、プロトコル、攻撃、および／または高価値データ（例えば、監視リスト）による特定にしたがってルールを実施することに加えて、ユーザのＩＤによりポリシーを行うこともできる。図７は、本発明の一実施形態による、役割ベース・ユーザ制御を実施する方法を示している。役割ベース管理は、ユーザとデバイスの管理を簡単にする。アドミニストレータは、ユーザに役割またはグループを指定することによって権利と許可を与える。ユーザおよびデバイスは、役割内の指定されたメンバであるので、これらの権利と許可を必要とする。これらの役割により、ネットワークをどのように、どこで使用することができるかが決まる。制御のレベルは、指定された役割に基づいている。ユーザがユーザ・コンピュータまたはワークステーションを介してネットワーク内にローカルでまたは遠隔でのいずれかでログインするたびに、中央マネージャは観察したトラフィックから全てのユーザの情報を受信する。図７のステップ７００は、ユーザ・コンピュータのＩＰアドレス、マシーン・アドレス、ネットワーク位置、時刻、ユーザＩＤ、および／または他の情報を含む、パケットの特徴を含むログイン情報を受信する中央マネージャを示している。この情報は、トラフィック・センサ８によってキャプチャされ、中央マネージャ２に伝達された認証トラフィックから収集することができる。代替実施形態では、認証トラフィックは、認証点と中央マネージャの間の所定の関係により中央マネージャに自動的に伝達することができる。ユーザがネットワークへの認証を行うとすぐに、ステップ７００では、マスタ・ディレクトリ２２からユーザ・プロファイルと役割ベースのルールを調べるために認証データが使用される。ログインの位置、時刻、ログイン数、および／または他の要因を含む様々な要因により、ユーザに指定すべき役割ベースルールを決めることができる。対応するユーザ・プロファイルがステップ７２０で見つかった場合、役割は、上に記載した要因に関して変わることができる、ユーザの許可と対応するルールを決める。役割ベースのルールは、ステップ７３０でマスタ・ディレクトリ２２内から検索される。その後、どのトラフィック・センサが実施するユーザの役割ベースルールを受信すべきかに関する決定が行われる。新しくログインしたユーザを有する同じネットワーク・セグメントに配置された（１つまたは複数の）トラフィック・センサは、ルールを受信することができる。追加のトラフィック・センサは、ユーザのログイン位置の近接性に基づき決定することができる。ステップ７５０は、ステップ７４０で決定された１つまたは複数のトラフィック・センサ８に対して検索されたユーザの役割ベースのルールを分配する。全てのユーザ・トラフィックが、ユーザの所定の役割に対して行われる。（１つまたは複数の）トラフィック・センサ（ステップ７６０）は、ユーザに対して役割ベースルールを行う。中央マネージャ２とのユーザ・ログイン・データの交換により、（１つまたは複数の）トラフィック・センサ８は、ネットワークを通過するときにリアルタイム・トラフィック上のネットワーク・アドミニストレータによって決められたルールとポリシーをすぐに実施し始めることが可能になる。
【００５６】
様々なネットワーク管理ポリシー（例えば、ＱｏＳ、セキュリティ、帯域幅）を実施する上記機構は、例えば、役割ベース制御を含むユーザ証明書に従っている。すなわち、これに限らないが、ＱｏＳレベル、アクセス権、帯域幅利用、安全な転送、および／またはデータ暗号化を含むポリシーは、組織内のユーザの役割により変更することができる。役割またはグループは、ネットワーク内の様々なユーザを決める。ユーザがログインする場合、上に論じた図７のステップ７３０に示すように、マスタ・ディレクトリからアクセスされた証明書情報を使用して、ユーザの役割はすぐに特定される。役割により、どのユーザがネットワーク上において認められているかまたは認められていないかが決まる。役割ベース制御は、認証時、およびユーザ・トランザクション中に実装される。
【００５７】
ユーザがログインし、ログアウトすると、セキュリティ侵害を防ぐように機能するネットワークが、特定されたユーザそれぞれに対してリアルタイムで提供される。例として、企業ネットワークでは、人材（ＨＲ）ユーザはグループ１に指定することができ、これはグループ１のユーザはｅメールを使用し、ウェブやＨＲ記録にアクセスすることができるが、財務記録にアクセスすることができないことを示している。一方、グループ２に指定された経理と財務職員は、ｅメール、ウェブ、財務記録にアクセスできるが、ＨＲ記録にアクセスすることは認められていない。加えて、グループ３に指定されたアドミニストレータは、トランザクションにネットワーク上でより高い優先順位を与えるため、ログインする場合により高いＱｏＳレベルを受けることができる。時刻と、役割ベースのユーザの位置などの役割ベース制御を考慮する場合、他の要因を含めることもできる。したがって、組織内の役割にしたがって、別個の役割とポリシーがネットワーク内の異なるユーザに動的に実施される。
【００５８】
また、役割によって、認証ユーザ１２は、ログ記録される入力またはセット・トラップを加えるため、ディレクトリを拡張する許可を有する。認証ユーザは、トラフィック・センサによって監視されるべき特定の種類の侵害をセットアップすることができる。例として、ＨＲは通信内の社会保障番号または悪口の発生それぞれに利害関係がある。中央マネージャ２はこれらのイベントをログ記録することができ、（１人または複数人の）ＨＲユーザは、このようなイベントの発生に関する定期的なレポートを受ける。別の例は、特定のネットワーク化されたアセットへのアクセスの試みをログ記録するのに本発明を使用することに利害関係がある、情報セキュリティ・エンジニアに関係する。この情報は、セキュリティ・エンジニアが特定のリソースへの不正なアクセスを防ぐため、または過剰な失敗に終わったアクセスの試みに対する警報を提供するためのネットワーク管理ルールを構成するのを助ける。つまり、役割ベースのユーザは、その役割に指定された許可を対象としており、それによってユーザは特定のユーザとグループに利害のあるネットワーク・イベントを監視するようにシステムをセットアップすることが可能になる。
【００５９】
図７から、認識された役割ベースのユーザ（ステップ７２０）に由来する、またはこれを宛て先とする、またはアプリケーション、プロトコル、攻撃、または高価値トラフィックとして特定されたトラフィックとユーザ・ログイン・データが認識されない場合、中央マネージャ２はセキュリティの目的でこのようなトラフィックをログ記録し、分析し始める。例えば、認識されていないトラフィックがネットワークを横断し始めると、監視リスト（例えば、トラフィック・プロファイル）内に新しいオブジェクトを作り出すため、トラフィックの独自の特性を特定することができる。ユーザＩＤ（コンテキスト）に基づいてネットワーク・トラフィックを管理する役割ベース制御のようなユーザ証明書に加えて、実際のトラフィックの流れ（コンテンツ）内で観察されたオブジェクトによりネットワーク・トラフィックを管理するのに監視リストが利用される。役割ベース制御がネットワーク・アドミニストレータによって規定された所定のルールであり、監視リストを時間と共に開発することができる。図８は、新しく観察したトラフィックに対してトラフィック監視リストとディレクトリ・ルールを生成する手続きを示している。ステップ８００は、認識されていないトラフィックをログ記録し、分析することから始まる。ステップ８１０で、認識されていないトラフィックがディレクトリ・ルールまたは監視リストの更新を保証すると判断された場合、ディレクトリおよび／または監視リストへの変更が行われ、その後、ステップ８２０でマスタ・ディレクトリ２２内に記憶される。新しいルールは、ステップ８３０でネットワークを全体を通してトラフィック・センサに、またはネットワーク・セグメント内で（１つまたは複数の）選択したトラフィック・センサのみに分配される。
【００６０】
前述の明細書では、本発明を特定の実施態様を参照して説明した。しかし、本発明のより広い精神および範囲から逸脱することなく、様々な変更および変形を加えることができることは明らかであろう。したがって、明細書および図面は、限定的な意味ではなく、例示的な意味であると考えるものとする。
【図面の簡単な説明】
【００６１】
【図１】本発明の一実施形態による、ネットワーク・システムのブロック図である。
【図２】本発明の一実施形態による、トラフィック・センサ内のサンプル・パケットのブロック図である。
【図３】本発明の一実施形態による、知られているおよびゼロ日攻撃を特定する方法のフロー図である。
【図４】本発明の一実施形態による、ルールおよび監視リスト・オブジェクトを生成と分配する方法のフロー図である。
【図５】本発明の一実施形態による、監視リスト・オブジェクトに応じてトラフィック・センサでトラフィックを観察する方法のフロー図である。
【図６】トラフック通信を確実に特定し、信頼性評価を指定する方法のフロー図である。
【図７】本発明の一実施形態による、役割ベース制御を実行する方法のフロー図である。
【図８】本発明の一実施形態による、認識されていないトラフィックに基づく新しい監視リスト・オブジェクトおよびルールを作り出す方法のフロー図である。
【図１】
2008508805.tif 000003
【図２】
2008508805.tif 000004
【図３】
2008508805.tif 000005
【図４】
2008508805.tif 000006
【図５】
2008508805.tif 000007
【図６】
2008508805.tif 000008
【図７】
2008508805.tif 000009
【図８】
2008508805.tif 000010
【手続補正書】
【提出日】平成19年2月14日(2007.2.14)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワーク・トラフィックを監視し、動的に管理するコンピュータ・ベースの方法であって、
中央マネージャのルール生成と分配モジュールから、第１のルールのセットと第２のルールのセットを分配するステップと、
それぞれ、第１のネットワーク・トラフィック・センサ・デバイスと第２のネットワーク・トラフィック・センサ・デバイスで、第１のルールのセットと第２のルールのセットを受信するステップと、
リアルタイム・トラフィック分析を使用して、ネットワークを通過し、複数のネットワーク・アセットに関連するネットワーク・トラフィック・センサ・デバイスでパケットを受信し分析するステップと、
パケットの特徴を判断するステップと、
パケットの特徴に応じて、リアルタイムでネットワーク・トラフィック・センサ・デバイスのそれぞれ１つによってルールを実施するステップとを含む方法。
【請求項２】
パケットの特徴は、ネットワーク・トラフィック内のデータの文字列の発生に少なくとも一部が基づいている請求項１に記載のコンピュータ・ベースの方法。
【請求項３】
パケットの特徴は、ネットワーク・トラフィック・パケットのシーケンス内のデータの一連の発生に基づいている請求項１に記載のコンピュータ・ベースの方法。
【請求項４】
ルール生成と分配モジュールは複数のルールのセットを生成し、ネットワーク・トラフィック・センサ・デバイスによって受信されたパケットの特徴に関して、ネットワーク・トラフィック・センサ・デバイスから中央マネージャまで通信された情報にリアルタイムで応じて、ルールを１つまたは複数の選択したネットワーク・トラフィック・センサ・デバイスに動的に分配する請求項１に記載のコンピュータ・ベースの方法。
【請求項５】
パケットの特徴は、ソース・データ、宛て先データ、ペイロード・データ、アプリケーション識別、プロトコル・データ、デバイス識別、ネットワーク位置データ、タイム・スタンプ・データ、ユーザ識別データの１つまたは複数を含む請求項４に記載のコンピュータ・ベースの方法。
【請求項６】
各ネットワーク・トラフィック・センサ・デバイスは、少なくともアプリケーション、データ、ユーザ、およびサーバ・トラフィックを含む複数のネットワーク・アセットの中で、ネットワークを通過するトラフィック・パケットの動的特徴付けを行う請求項１に記載のコンピュータ・ベースの方法。
【請求項７】
各ネットワーク・トラフィック・センサ・デバイスは、ネットワーク・トラフィック・センサ・デバイスに適用可能なパケットとルールセットの特徴に基づき、トラフィックの動的管理を行う請求項１に記載のコンピュータ・ベースの方法。
【請求項８】
ルールのセットは、遮断、停止、許可、リルート、ログ記録、カプセル化、暗号化、埋め込まれた識別データ、サービス・レベルの調節、帯域幅利用の調節の１つまたは複数の動作を含む措置を含む請求項１に記載のコンピュータ・ベースの方法。
【請求項９】
ネットワーク・トラフィック・センサ・デバイスは、受信したトラフィック・パケットが、監視リストからのパケット特徴情報にマッチするかどうかを判断し、かつ判断されたマッチに対応するルールと封止策を実施する請求項１に記載のコンピュータ・ベースの方法。
【請求項１０】
ルールは、観察したネットワーク・アクティビティに基づき動的に生成される請求項１に記載のコンピュータ・ベースの方法。
【請求項１１】
ルールを実施するステップはさらに、ネットワーク・トラフィック・センサ・デバイスによって行なわれる、
ネットワーク・アセットによって生成される繰返しハンドシェイクまたはパケットのパターンを検知するステップと、
前記検知したパターンを有するシグネチャまたは攻撃プロファイルを動的に生成するステップと、
前記動的に生成されたシグネチャまたはプロファイルに基づき、リアルタイムで攻撃を遮断するステップとを含む請求項１に記載のコンピュータ・ベースの方法。
【請求項１２】
ネットワーク・トラフィックを動的に管理するネットワーク・トラフィック・センサ・デバイスを有するシステムであって、
知られているメッセージ・プロファイルを記憶するルール・セット・モジュール、ネットワーク資産によって生成されたパケット・トラフィックのパターンを検知し、前記知られているメッセージ・プロファイルと前記検知したパケット・トラフィックを比較する分析ツール、前記分析ツールの結果に基づき前記トラフィックに作用する実施コンポーネント、パケット・トラフィックの認識されていないパターンに基づき新しいメッセージ・プロファイルを生成するルール生成モジュールを有するメモリと、
前記ルール・セット・モジュール、前記分析ツール、前記実施コンポーネント、前記ルール生成モジュールを実行するプロセッサとを備えるシステム。
【請求項１３】
前記パケット・トラフィックが前記知られているメッセージ・プロファイルの１つとマッチする場合、動作は、サービス・レベルの品質の提供、識別データの埋め込み、サービス・レベルのリルート、遮断、否定、停止、ログ記録、調節の１つまたは複数の動作を含む請求項１２に記載のシステム。
【請求項１４】
前記パケット・トラフィック・メッセージが知られているメッセージ・プロファイルとマッチしない場合、前記ルール生成モジュールは、前記認識されていないハンドシェイクまたはパケット・トラフィック用の新しいプロファイルを生成する請求項１２に記載のシステム。
【請求項１５】
前記ルール生成モジュールは、前記パケット・トラフィックをキャプチャし、前記パケット・トラフィックのコンテンツに基づき新しいプロファイルを動的に生成し、前記新しいプロファイルで前記ルール・セット・モジュールを自動的に更新する前記新しいプロファイルを生成する請求項１４に記載のシステム。
【請求項１６】
前記分析ツールは、前記検知したパケット・トラフィックを別のネットワーク上で現在または前に観察したネットワーク・トラフィックと比較する請求項１２に記載のシステム。
【請求項１７】
パケット・トラフィックは、アプリケーション、ネットワーク・デバイス、コンピュータ・システムの１つによって交換される単一のメッセージと、アプリケーション、ネットワーク・デバイス、コンピュータ・システムの１つによって交換される一連のメッセージと、アプリケーション・ハンドシェイクと、ネットワーク・プロトコル交換との１つを含む請求項１２に記載のシステム。
【請求項１８】
中央マネージャ・デバイスが異なるネットワーク・トラフィック・ルールのセットを複数のトラフィック・センサ・デバイスに生成し、分配することを可能にするコンピュータ・ベースの方法であって、
前記中央マネージャ・デバイスに配置されたマスタ・ディレクトリ内にルールを記憶するステップであって、前記ルールはユーザのネットワーク・ユーザ情報の少なくとも一部に基づいているステップと、
前記ユーザの認証を検知し、ＩＰアドレス、グループ会員、組織役割、前記ユーザに対する許可された使用手段、ＭＡＣアドレス、ネットワーク位置、ログイン時間の１つまたは複数を含むネットワーク識別情報を請求するステップと、
前記受信したネットワーク識別情報に基づきルールのセットを判断するステップと、
前記トラフィック・センサ・デバイスの少なくとも１つまたは複数の性状に基づき、前記ルールのセットを受信するように前記複数のトラフィック・センサの１つまたは複数を選択するステップと、
前記ルールのセットを１つまたは複数の選択したトラフィック・センサ・デバイスに分配するステップとを含む方法。
【請求項１９】
さらに、ルール侵害を検知するステップと、
ネットワーク・トラフィックを遮断する、アプリケーションをシャットダウンさせる、前記ユーザに対してネットワーク・トラフィックを再び優先順位を付ける、ネットワーク・アドミニストレータに警告する、ネットワーク・トラフィックをリダイレクトする、サービスの品質を調節する、１つまたは複数のネットワーク・センサに新しいルールを伝達する、侵害の詳細をログ記録する、前記ユーザによって生成されたパケットをキャプチャする、前記ユーザによって生成されたパケット内にユーザ識別データを埋め込む、前記ユーザによって生成されたパケット内にユーザ・アプリケーション情報を埋め込むことの少なくとも１つを行なうステップとを含む請求項１８に記載の方法。
【請求項２０】
ユーザ・アクティビティをログ記録する、ユーザ・トラフィックをログ記録する、ユーザ・アクティビティで組織ディレクトリを更新することの１つまたは複数をさらに含む請求項１８に記載の方法。
【国際調査報告】
2008508805.tif 000011