(57)【要約】  ネットワークアクセスプロテクションの方法は、正常性ステートメント情報に応じたアクセスポリシーを作成することを含む。ネットワークアクセスプロテクションの方法はまた、アクセスポリシーと、通信に関連付けられた１つまたは複数のコンピューティングデバイスの現在の正常性ステートメントに基づき、選択的に、通信を許可すること、拒否すること、またはリダイレクトすることを含む。
2008541558.tif 000002
【特許請求の範囲】
【請求項１】
第１のコンピューティングデバイスの正常性ステートメント（statement-of-health）を受信するステップと、
前記第１のコンピューティングデバイスの前記正常性ステートメントに応じて、前記第１のコンピューティングデバイスと第２のコンピューティングデバイスの間の通信を制御するステップと
を含むことを特徴とする方法。
【請求項２】
前記第１と第２のコンピューティングデバイスの間の通信を制御する前記ステップはさらに、前記正常性ステートメントに応じて通信を選択的に経路指定するステップを含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記第１と第２のコンピューティングデバイスの間の通信を制御する前記ステップはさらに、前記第１のコンピューティングデバイスの前記正常性ステートメントに応じて、前記第１と第２のコンピューティングデバイスの間の通信を許可する、または拒否するステップを含むことを特徴とする請求項１に記載の方法。
【請求項４】
前記第１と第２のコンピューティングデバイスの間の通信を制御する前記ステップはさらに、前記第１のコンピューティングデバイスの前記正常性ステートメントに応じて、前記第１と第２のコンピューティングデバイスの間の通信を、第３のコンピューティングデバイスにリダイレクトするステップを含むことを特徴とする請求項３に記載の方法。
【請求項５】
前記第１と第２のコンピューティングデバイスの間の通信を制御する前記ステップはさらに、前記第１のコンピューティングデバイスの前記正常性ステートメントに応じて、前記第１と第２のコンピューティングデバイスの間の通信をフィルタリングするステップを含むことを特徴とする請求項３に記載の方法。
【請求項６】
前記第２のコンピューティングデバイスの正常性ステートメントを受信するステップと、
前記第２のコンピューティングデバイスの前記正常性ステートメントに応じて、前記第１と第２のコンピューティングデバイスの間の通信を制御するステップと
をさらに含むことを特徴とする請求項１に記載の方法。
【請求項７】
ソースのドメイン名、宛先のドメイン名、ソースのインターネットプロトコルアドレス、宛先のインターネットプロトコルアドレス、通信チャネル識別子、アプリケーションプロトコル識別子、ソースのセキュリティ証明書、および宛先のセキュリティ証明書からなる群から選択されたネットワークプロビジョニングまたはトラフィックパラメータを受信するステップと、
前記ネットワークプロビジョニングまたはトラフィックパラメータに応じて、前記第１と第２のコンピューティングデバイスの間の通信をさらに制御するステップと
をさらに含むことを特徴とする請求項１に記載の方法。
【請求項８】
１つまたは複数のプロセッサ上で実行されたとき、
正常性ステートメントに基づく規則に応じたアクセスポリシーを作成するステップと、
第１のコンピューティングデバイスの現在の正常性ステートメントに基づき、前記第１のコンピューティングデバイスと第２のコンピューティングデバイスの間の通信に前記アクセスポリシーを適用するステップと
を含む動作を実行する命令を有することを特徴とする１つまたは複数のコンピュータ読取可能な記録媒体。
【請求項９】
前記アクセスポリシーを適用する前記ステップは、前記第１のコンピューティングデバイスの前記現在の正常性ステートメントに応じて、前記第１と第２のコンピューティングデバイスの間の前記通信を、選択的に許可する、または阻止するステップを含むことを特徴とする請求項８に記載の１つまたは複数のコンピュータ読取可能な記録媒体。
【請求項１０】
前記アクセスポリシーを適用する前記ステップはさらに、前記第１のコンピューティングデバイスの正常性ステートメントを更新するための資源に、前記第１のコンピューティングデバイスを選択的にプッシュするステップを含むことを特徴とする請求項９に記載の１つまたは複数のコンピュータ読取可能な記録媒体。
【請求項１１】
前記アクセスポリシーを適用する前記ステップはさらに、１つまたは複数のネットワークプロビジョニングまたはトラフィックパラメータに応じて、前記第１と第２のコンピューティングデバイスの間の前記通信を選択的にフィルタリングするステップを含むことを特徴とする請求項１０に記載の１つまたは複数のコンピュータ読取可能な記録媒体。
【請求項１２】
前記第２のコンピューティングデバイスの現在の正常性ステートメントに基づき、前記第１のコンピューティングデバイスと前記第２のコンピューティングデバイスの間の通信に、前記アクセスポリシーを適用するステップをさらに含むことを特徴とする請求項１０に記載の１つまたは複数のコンピュータ読取可能な記録媒体。
【請求項１３】
前記アクセスポリシーを適用する前記ステップはさらに、前記第２のコンピューティングデバイスの前記現在の正常性ステートメントに応じて、前記第１と第２のコンピューティングデバイスの間の前記通信を選択的に許可する、または拒否するステップを含むことを特徴とする請求項１２に記載の１つまたは複数のコンピュータ読取可能な記録媒体。
【請求項１４】
前記アクセスポリシーを適用する前記ステップはさらに、前記第２のコンピューティングデバイスの正常性ステートメントを更新するための資源に、前記第２のコンピューティングデバイスを選択的にプッシュするステップを含むことを特徴とする請求項１３に記載の１つまたは複数のコンピュータ読取可能な記録媒体。
【請求項１５】
プロセッサと、
前記プロセッサに通信可能に結合されたメモリと、
前記プロセッサに通信可能に結合され、通信を受信し送信するための通信ポートとを備え、
通信に関連付けられたコンピューティングデバイスの現在の正常性ステートメントを受信するように、および正常性ステートメントに基づく規則および前記現在の正常性ステートメントに従って前記通信を経路指定するように適合されることを特徴とする装置。
【請求項１６】
前記装置はさらに、ネットワークプロビジョニングおよびトラフィックに基づく規則、ならびに前記現在の正常性ステートメントに従って、前記通信を選択的にフィルタリングするように適合されることを特徴とする請求項１５に記載の装置。
【請求項１７】
前記ネットワークプロビジョニングおよびトラフィックに基づく規則は、ソースのドメイン名、宛先のドメイン名、ソースのインターネットプロトコルアドレス、宛先のインターネットプロトコルアドレス、通信チャネル識別子、アプリケーションプロトコル識別子、ソースのセキュリティ証明書、および宛先のセキュリティ証明書からなる群から選択された１つまたは複数のパラメータに応じて、前記通信を制限することを特徴とする請求項１６に記載の装置。
【請求項１８】
前記現在の正常性ステートメントは、ソースコンピューティングデバイスの状態、宛先コンピューティングデバイスの状態、またはその両方を含むことを特徴とする請求項１５に記載の装置。
【請求項１９】
前記現在の正常性ステートメントは、インストールされたアプリケーションの状態、インストールされたパッチの状態、コンフィギュレーションの状態、デバイスの性能状態、およびハードウェアコンポーネントの存在からなる群から選択された１つまたは複数の基準のそれぞれの状態を含むことを特徴とする請求項１８に記載の装置。
【請求項２０】
前記現在の正常性ステートメントは、インストールされたアプリケーションの状態、インストールされたパッチの状態、コンフィギュレーションの状態、デバイスの性能状態、およびハードウェアコンポーネントの存在からなる群から選択された１つまたは複数の基準のそれぞれの状態の集約を含むことを特徴とする請求項１８に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークのアクセスプロテクションに関する。
【背景技術】
【０００２】
コンピュータネットワークは、絶えず増加し続けるセキュリティリスクにさらされている。攻撃に対して保護し、セキュリティ侵害を阻止するために、ファイアウォールが使用されネットワーク内の通信の流れを制御する。より具体的には、ファイアウォールにより受信された通信は、１つまたは複数の定義された規則に従って選択的に通過することが許可される。ファイアウォールにより実施されるアクセス規則は、ソースもしくは宛先ドメイン名（例えば、ＵＲＬ）、インターネットプロトコルアドレス（ＩＰアドレス）、通信チャネル（例えば、ポート）、アプリケーションプロトコル（例えば、ＨＴＴＰ、ＦＴＰ）、および／またはセキュリティ証明書（例えば、セキュアログオンおよび認証証明書）など、１つまたは複数のネットワークプロビジョニング（network provisioning）およびトラフィックパラメータに依存する。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、上記のネットワークプロビジョニングおよびトラフィックパラメータに基づくアクセス規則には問題がある。ネットワークプロビジョニングおよびトラフィックに基づく規則は静的であるが、いくつかのパラメータは変化する頻度が高い。さらに、ユーザに対する攻撃および影響に対する保護の有効性は、アクセス規則の細分度（granularity）レベルに依存する。しかし、十分な細分度を有するアクセス規則は、大部分のネットワークに展開して維持するには、通常、非現実的である。したがって、１つまたは複数のコンピューティングデバイス（computing device）および／またはネットワークは、しばしば、脆弱である。さらに、展開されたアクセス規則は、コンピューティングデバイスおよび／またはネットワークの性能にかなり影響する可能性がある。したがって、ネットワークプロビジョニングおよびトラフィックパラメータに基づく従来のアクセス規則は、ユーザに対して、かなりの、時には弱体化させるような影響を与えることがある。
【課題を解決するための手段】
【０００４】
本明細書に記載の技法は、ネットワークアクセスプロテクションの方法およびシステムを対象とする。一実施形態では、アクセスポリシーは、正常性ステートメントに基づく規則によって定義される。アクセス規則はまた、ネットワークプロビジョニングおよびトラフィックパラメータに基づく規則によっても定義することができる。アクセスポリシーは、１つまたは複数のコンピューティングデバイスの現在の正常性ステートメントに基づいて、コンピューティングデバイス間の通信に適用することができる。現在の正常性ステートメントは、インストールされたアプリケーション、インストールされたパッチ、コンフィギュレーション、デバイス性能、およびハードウェアコンポーネントなどの１つまたは複数の基準の状態を含むことができる。
【０００５】
添付図面の図に、限定のためではなく例として諸実施形態が示されている。図面中、同様の参照番号は同様のエレメントを示す。
【発明を実施するための最良の形態】
【０００６】
次に、添付の図面にその諸例が示されている特定の実施形態について詳細に参照を行う。本発明をこれらの諸実施形態と共に述べるが、それは本発明をこれらの諸実施形態に限定することを意図するものではないことが理解されよう。反対に、本発明は、添付の特許請求の範囲により定義された本発明の範囲に含まれ得る代替形態、変更形態、および等価な形態を包含するように意図される。さらに、以下の詳細な説明において、十分な理解を提供するために数多くの特有の細部が述べられている。しかし、本発明は、これらの特有の細部なしに実施できることを理解されたい。他の例では、本発明の諸態様を不必要にあいまいにしないように、よく知られた方法、手順、コンポーネント、および回路については詳細に述べていない。
【０００７】
図１は、ネットワークアクセスプロテクションシステムを実施するための例示的なオペレーティング環境１００を示す。オペレーティング環境１００は、１つまたは複数の通信チャネル１４５〜１７５により相互接続された複数のコンピューティングデバイス１１０〜１４０を含む。コンピューティングデバイスは、パーソナルコンピュータ、サーバコンピュータ、クライアントデバイス、ルータ、スイッチ、無線アクセスポイント、セキュリティ装置、ハンドヘルドもしくはラップトップデバイス、セットトップボックス、プログラム可能な家庭用電子機器、ミニコンピュータ、メインフレームコンピュータなどを含むことができる。様々なコンピューティングデバイス１１０〜１４０は、それらが１つまたは複数のネットワーク１８５〜１９５を形成するように関係付けることができる。ネットワーク１８５〜１９５は、ローカルエリアネットワーク、広域ネットワーク、イントラネット、エクストラネット、インターネット、および／または同様のものを含むことができる。
【０００８】
例示のコンピューティング環境内の（例えば、コンピューティングデバイス１２５で）１つまたは複数の信頼境界が、１つまたは複数のコンピューティングデバイス１１０〜１４０の正常性ステートメントに応じて、コンピューティングデバイス１１０〜１４０間の通信の流れを制御するために使用される。信頼境界は、コンピューティングデバイス１１０〜１４０の間、１つまたは複数のコンピューティングデバイス１１０〜１４０と１つまたは複数のネットワーク１８５〜１９５との間、および／またはネットワーク１８５〜１９５間に配置することができる。信頼境界は、専用コンピューティングデバイス（例えば、セキュリティ装置）により、またはコンピューティングデバイスで動作するアプリケーション（例えば、ファイアウォール）により実施することができる。
【０００９】
境界を越える通信は、１つまたは複数のコンピューティングデバイス１１０〜１１４０の正常性ステートメントに応じて制御される。コンピューティングデバイス１４０の正常性ステートメントは、コンピューティングデバイス１４０の信頼性の尺度である。より具体的には、正常性ステートメントは、インストールされたアプリケーション、インストールされたパッチ、コンフィギュレーション、デバイス性能、ハードウェアコンポーネント、および／または同様のものなどの基準に対するコンピューティングデバイス１４０の状態を示す。コンピューティングデバイス１４０は、その正常性ステートメントが、あるネットワークで有効なあるセキュリティポリシーを満たす場合、正常であり、そうでない場合は正常ではない。例えば、正常性ステートメントは、オペレーティングシステム、ブラウザ、アンチウィルスプログラムなど、所与のコンピューティングデバイスに搭載された各アプリケーションを示すことができる。正常性ステートメントはまた、各アプリケーションのためにインストールされた最新のサービスパック、パッチ、ウィルス定義などを示すこともできる。正常性ステートメントはまた、ネットワークトラフィックのレベル、プロセッサの利用度など、デバイス性能パラメータを示すこともできる。正常性ステートメントはまた、組み込まれたセキュリティ機能を提供する集積回路など、特定の機能を提供する特定のハードウェアコンポーネントの存在を示すこともできる。
【００１０】
所与の信頼境界は、信頼境界を通過して境界を越える通信に対して、１つまたは複数の正常性ステートメントに基づくアクセス規則を適用する。例えば、信頼境界は、第１のコンピューティングデバイス１１５と第２のコンピューティングデバイス１３０の間のコンピューティングデバイス１２５に配置することができる。第１のコンピューティングデバイス１１５は、第２のコンピューティングデバイス１３０により提供される資源を要求することができる。その要求に関連する通信トラフィックは、コンピューティングデバイス１２５の信頼境界によって受信される。信頼境界は、第１のコンピューティングデバイス１１５の正常性ステートメント、第２のコンピューティングデバイス１３０（例えば、目的とする宛先）の正常性ステートメント、あるいはその両方に基づき、その要求を第２のコンピューティングデバイス１３０（例えば、要求された資源）に経路指定することができる。具体的には、第１のコンピューティングデバイス１１５および／または第２のコンピューティングデバイス１３０が現在、正常である場合、要求に関連する通信は第２のコンピューティングデバイス１３０に経路指定される。第１のコンピューティングデバイス１１５および／または第２のコンピューティングデバイス１３０が現在、正常ではない場合、通信は遮断され、さらにフィルタリングされ、制限され、または他の資源（例えば、第３のコンピューティングデバイス１１０）に再度、経路指定され得る。
【００１１】
したがって、コンピューティングデバイス１１５、１３０が正常な場合、２者間の通信は許可される。このように、コンピューティングデバイス１１５、１３０のユーザは影響されない。しかし、コンピューティングデバイス１１５、１３０のいずれかが正常ではない場合、コンピューティングデバイス１１５、１３０の間の悪意のあるソフトウェアの拡散は、デバイス１１５、１３０間の通信を遮断することにより、またはさらにフィルタリングすることにより阻止され得る。正常ではないデバイス１１５により示された脆弱性はまた、正常ではないコンピューティングデバイス１１５を（例えば、インストールされるセキュリティパッチで）更新できる第３のコンピューティングデバイス１１０上の資源に、正常ではないコンピューティングデバイス１１５をプッシュすることにより除くことができる。
【００１２】
図２は、信頼境界で実施できる、ネットワークアクセスプロテクションのプロセス２００の流れ図を示す。２１０で、１つまたは複数のコンピューティングデバイスの正常性ステートメントが受信される。一実施形態では、資源を要求するソースコンピューティングデバイスの正常性ステートメントが生成され、収集され、またはその他の形で利用可能にすることができる。他の実施形態では、要求を満たすための、目的とする宛先コンピューティングデバイスの正常性ステートメントが生成され、収集され、または他の形で利用可能にすることができる。さらに他の実施形態では、ソースコンピューティングデバイスと宛先デバイスの両方の正常性ステートメントが生成され、収集され、またはその他の形で利用可能にすることができる。
【００１３】
正常性ステートメントは、コンピューティングデバイスの信頼性の尺度である。より具体的には、正常性ステートメントは、インストールされたアプリケーション、インストールされたパッチ、コンフィギュレーション、デバイス性能、ハードウェアコンポーネント、および／または同様のものなどの基準に対して対応するコンピューティングデバイスの状態を示す。コンピューティングデバイスの正常性の度合いは、基準の指定された組を満たす程度に基づいて決定される。具体的には、その正常性ステートメントが、基準の現在の何らかの組を満たす場合、正常であり、そうでない場合は正常ではない。後者の場合、正常性ステートメントは、コンピューティングデバイスが正常ではない理由を示すデータを含むことができる。
【００１４】
２２０で、正常性ステートメントに応じて資源へのアクセスが制御される。例えば、ソースコンピューティングデバイスおよび宛先コンピューティングデバイスが正常である場合、通信が許可される。ソースコンピューティングデバイスおよび／または宛先コンピューティングデバイスが正常ではない場合、コンピューティングデバイス間の通信は遮断され得る。あるいは、コンピューティングデバイス間の通信は、ドメイン名（例えば、ＵＲＬ）、インターネットプロトコルアドレス（ＩＰアドレス）、通信チャネル（例えば、ポート）、アプリケーションプロトコル（例えば、ＨＴＴＰ、ＦＴＰ）、および／またはセキュリティ証明書（例えば、セキュアログオン、および認証証明書）、および／または同様のものなど、１つまたは複数の従来のプロビジョニングおよびトラフィックパラメータに応じて、フィルタリングされ、または他の形で制限され得る。フィルタリングはまた、特定のコンピューティングデバイスが正常でない理由を示すデータに基づくことができる。
【００１５】
図３は、信頼境界で実施できるネットワークアクセスプロテクションプロセス３００の流れ図を示す。プロセスは、アクセスポリシー３３０の作成、およびアクセスポリシー３４０、３５０、３６０、３７０の適用を含む。より具体的には、３３０で、アクセスポリシーは、ソースコンピューティングデバイスの正常性ステートメント、宛先コンピューティングデバイスの正常性ステートメント、またはその両方により定義することができる。アクセスポリシーはさらに、ドメイン名（例えば、ＵＲＬ）、インターネットプロトコルアドレス（ＩＰアドレス）、通信チャネル（例えば、ポート）、アプリケーションプロトコル（例えば、ＨＴＴＰ、ＦＴＰ）、セキュリティ証明書（例えば、セキュアログオン、および認証証明書）、および／または同様のものなど、従来のネットワークプロビジョニングおよびトラフィックパラメータにより定義することができる。次いで、アクセスポリシーは、コンピューティングデバイス間の通信を制御するために使用することができる。
【００１６】
３４０で、資源を求める要求が受信されると（例えば、境界を越える通信の受信）、アクセスポリシーの実施が開始する。資源を求める要求は、ソースコンピューティングデバイスから受信され、その要求された資源は、宛先コンピューティングデバイスにより提供されることになる。３５０で、要求に関連する現在の正常性ステートメントが受信される。正常性ステートメントは、ソースコンピューティングデバイス、宛先コンピューティングデバイス、および／またはその両方に基づくことができる。任意選択のプロセス３６０で、要求に付随する１つまたは複数のネットワークプロビジョニングおよびトラフィックパラメータを受信することもできる。
【００１７】
正常性ステートメント情報３９０、ならびにネットワークプロビジョニングおよびトラフィックパラメータ３９５は、生成され、収集され、あるいは他の形で任意の方法により利用可能にすることができる。一実施形態では、各コンピューティングデバイスに対する正常性ステートメントは、ネットワークアクセスプロテクションプロセスの一部分として評価することができる。他の実施形態では、別のプロセスが、各コンピューティングデバイスの正常性ステートメントを判定することができる。同様に、１つまたは複数のネットワークプロビジョニングおよびトラフィックパラメータは、ネットワークアクセスプロテクションプロセスの一部分として、かつ／または別のプロセスで評価することができる。ネットワークアクセスプロテクションプロセス、正常性ステートメントの評価、ならびに／またはネットワークプロビジョニングおよびトラフィックパラメータ評価は、同じコンピューティングデバイスおよび／または電子デバイスによって実施され、あるいは１つまたは複数のコンピューティングデバイスおよび／または電子デバイスにわたり分散させることができる。
【００１８】
ステップ３７０で、目的とする宛先コンピューティングデバイスに要求を送るかどうかの判定が、アクセスポリシー、ならびにソースコンピューティングデバイスおよび／または宛先コンピューティングデバイスの現在の正常性ステートメントに基づいて行われる。具体的には、ソースコンピューティングデバイスの現在の正常性ステートメント、および／または目的とする宛先コンピューティングデバイスの正常性ステートメントが、正常状態を示す場合、ステップ３７２で、目的とする宛先に要求が送られる。ソースコンピューティングデバイスおよび／または目的とする宛先コンピューティングデバイスの現在の正常性ステートメントが正常ではない状態を示す場合、ステップ３７４で、要求の通信トラフィックは撤回される。他の実施形態では、ソースコンピューティングデバイスおよび／または目的とする宛先コンピューティングデバイスの現在の正常性ステートメントが正常ではない状態を示す場合、ステップ３７６で、要求は、１つまたは複数の従来のネットワークプロビジョニングおよびトラフィックパラメータに従ってフィルタリングされ、または制限され得る。さらに他の実施形態では、ソースコンピューティングデバイスおよび／または目的とする宛先コンピューティングデバイスの現在の正常性ステートメントが正常ではない状態を示す場合、ステップ３７８で、要求をリダイレクト（redirect）することができる。ソースおよび／または宛先コンピューティングデバイスを、デバイス状態を更新するための適切な資源にプッシュすることにより、その要求はリダイレクトされ得る。例えば、ソースコンピューティングデバイスを、そのオペレーティングシステムが現在のセキュリティパッチで更新され得るサーバにリダイレクトすることができる。
【００１９】
図４は、ネットワークアクセスプロテクションシステムを実施するための例示的なオペレーティングアーキテクチャ４００を示す。例示的なオペレーティングアーキテクチャ４００は、企業全体のネットワーク（例えば、イントラネット）４０５、経理部門ネットワーク４１０、インターネット４７０（例えば、ワールドワイドウェブ）、および様々なコンピューティングデバイス４１５〜４３５、４４０、４７５、４８０を含む。企業イントラネット４０５は、複数のコンピューティングデバイス４１５〜４４０を含む。企業イントラネット４０５のいくつかのコンピューティングデバイス４１５、４２０は、経理部門ネットワーク４１０を構成する。信頼境界デバイス（例えば、セキュリティ装置）４４０は、インターネット４７０と企業イントラネット４０５の間に配置される。信頼境界デバイス４４０はまた、経理部門ネットワーク４１０と企業イントラネット４０５の他のコンピューティングデバイス４２５〜４３５の間にも配置される。
【００２０】
信頼境界デバイス４４０は、宛先コンピューティングデバイスの正常性ステートメント、ソースコンピューティングデバイスの正常性ステートメント、またはその両方に基づいて境界を越える通信を制御するように適合される。例えば、アクセスポリシーは、クライアントコンピュータ４３５が正常ではない（例えば、表計算アプリケーションのためのサービスパックがソース資源４３５にインストールされていない）場合、給与支払い名簿（payroll）サーバ４１５へのアクセスを要求するクライアントコンピュータ４３５へのアクセスを選択的に拒否することができる。
【００２１】
一実施形態では、アクセスポリシーの実施は、ソースコンピューティングデバイスが正常ではない場合、ソースコンピューティングデバイスが、宛先コンピューティングデバイスの共通の、かつ／またはしばしば使用される資源にアクセスするのを阻止することができる。他の実施形態では、アクセスポリシーの実施は、宛先コンピューティングデバイスへの限定されたアクセスを可能にすることができる。他の実施形態では、アクセスポリシーの実施は、正常ではないコンピューティングデバイスをユーザが更新できる他のコンピューティングデバイスの資源に、正常ではないコンピューティングデバイスのユーザをリダイレクトすることを含むことができる。例えば、ウェブのプロキシとして働く信頼境界デバイス４４０は、ユーザのコンピューティングデバイス４３５の正常性ステートメントを検査し、マシンが正常ではない（例えば、アンチウィルスアプリケーションが動作していない、またはウィルス定義が最新ではない）場合、インターネット４７０へのアクセスを遮断することにより（例えば、ウェブアクセスの強制隔離）、ユーザがインターネット４７０にアクセスすることを阻止することができる。信頼境界デバイス４４０はこの場合もまた、ユーザが自分のコンピューティングデバイス４３５を更新できる適切なウェブサイトにユーザをリダイレクトすることができる。
【００２２】
信頼境界デバイス４４０により実施されるアクセスポリシーは、１つまたは複数のコンピューティングデバイス４１５〜４３５、４７５、４８０の正常性ステートメントに基づくアクセス制御規則を含む。アクセス制御規則は、攻撃に対して保護し、セキュリティ侵害を阻止する。例えば、ポートＮＮＮ上でＴＣＰプロトコルを使用する通信を介して脆弱性が悪用され得る。適切な正常性ステートメントに基づくアクセス規則は、以下のようにすることができる。すなわち、宛先マシンが正常である場合、ポートＮＮＮにおけるＴＣＰトラフィックを許可する。宛先マシンが正常でない場合、ポートＮＮＮにおけるインバウンドＴＣＰトラフィックを遮断する。アクセス制御規則はまた、従来のネットワークプロビジョニングおよびトラフィックパラメータに基づくこともできる。例えば、ウェブブラウザコンポーネントを介して脆弱性が悪用されることがある。適切な正常性ステートメントに基づくアクセス規則は、以下のようにすることができる。すなわち、ソースが正常である場合、ウェブへの制限されないアクセスを許可する。ソースマシンが正常ではない場合、ＨＴＭＬページ（例えば、すべてのスクリプト）の危険な可能性のある部分を取り除くフィルタを通して、すべてのＨＴＴＰトラフィックを動作させる。さらに、デバイスは、第１の目的に対しては正常であるが、他の目的に対しては正常ではない場合もあり得ることを理解されたい。例えば、デバイスは、電子メールにアクセスするためには正常であるが、クライアントファイルが記憶されている主ファイルサーバにアクセスするためには正常ではないこともあり得る。したがって、適切な正常性ステートメントに基づくアクセス規則は、以下のようにすることができる。すなわち、デバイスが正常な場合、すべての要求を許可する。デバイスが正常ではない場合、電子メールサーバへのアクセスは許可し、主ファイルサーバへのアクセスは遮断される。上記の諸例において、従来のネットワークプロビジョニングおよびトラフィックパラメータを用いたフィルタの悪影響（例えば、ＨＴＭＬページの危険な可能性のあるすべての部分を取り除く、またはポートＮＮＮにおけるＴＣＰトラフィックのすべてを遮断すること）は、アクセスポリシーが、１つまたは複数の適切なコンピューティングデバイスの正常性ステートメントに基づくことにより軽減される。
【００２３】
正常性ステートメント情報は、生成され、収集され、あるいは他の形で任意の方法により信頼境界デバイス４４０で利用可能にすることができる。一実施形態では、信頼境界デバイス４４０は、各コンピューティングデバイス４１５〜４３５、４７５、４８０に対する正常性ステートメントを判定することができる。他の実施形態では、別個のエンティティが、各コンピューティングデバイス４１５〜４３５、４７５、４８０の正常性ステートメントを判定することができる。さらに他の実施形態では、所与のコンピューティングデバイス４１５の正常性ステートメントは、所与のコンピューティングデバイス４１５により報告され得る。次いで、信頼境界デバイス４４０は、所与のコンピューティングデバイスの正常性ステートメント状態に関して別個のエンティティに照会することができる。一実施形態では、正常性ステートメント情報は、各コンピューティングデバイス４１５〜４３５、４７５、４８０に対する正常性の完全な明細（full-bill）を含む表に記憶され得る。他の実施形態では、各コンピューティングデバイスに対する正常性ステートメント情報は、コンピューティングデバイスの現在の状態を示す単一ビット（例えば、フラグ）として記憶することができる（例えば、正常は「０」、正常でない場合は「１」）。
【００２４】
概して、上記で述べたネットワークアクセスプロテクションの方法およびシステムの機能、プロセスのいずれも、ソフトウェア、ファームウェア、ハードウェア、またはこれらの実装形態の任意の組合せを用いて実施することができる。本明細書で使用される用語「ロジック」、「モジュール」、または「機能」は、概して、ソフトウェア、ファームウェア、ハードウェア、またはその任意の組合せを表す。例えば、ソフトウェアの実装形態の場合、用語「ロジック」、「モジュール」、または「機能」は、コンピューティングデバイスで実行されるとき、指定されたタスクを実施するコンピュータ実行可能プログラムコードを表す。プログラムコードは、１つまたは複数のコンピュータ可読媒体（例えば、コンピュータメモリ）に記憶することができる。ロジック、モジュール、および機能を、例示のように別個のユニットに分離することは、このようなソフトウェア、ファームウェア、および／またはハードウェアの実際の物理的なグループ化および割振りを反映することができ、または単一のソフトウェアプログラム、ファームウェアルーチン、もしくはハードウェアユニットによって実施される異なるタスクの概念的な割振りに対応できることもまた理解されたい。例示のロジック、モジュール、および機能は、単一のサイトに位置することができるが、あるいは複数の位置にわたり分散させることもできる。
【００２５】
図５は、ネットワークアクセスプロテクションシステムを実施するための例示的なオペレーティングアーキテクチャ５００を示す。例示的なオペレーティング環境５００は、複数のコンピューティングデバイス５２０〜５３０の間に通信可能に配置された信頼境界デバイス５１０を含む。信頼境界デバイス５１０は、専用のコンピューティングデバイス（例えば、セキュリティ装置）により、またはサーバコンピュータ、ルータ、無線アクセスポイント、パーソナルコンピュータ、クライアントデバイス、ハンドヘルドもしくはラップトップデバイス、マルチプロセッサシステム、マイクロプロセッサベースのシステム、セットトップボックス、プログラム可能な家庭用電子機器、ミニコンピュータ、メインフレームコンピュータなどのコンピューティングデバイスで動作するアプリケーションとして実装することができる。
【００２６】
例示的な信頼境界デバイス５１０は、１つまたは複数のプロセッサ５５０、１つまたは複数のコンピュータ可読媒体５６０、５７０、および互いに通信可能に結合された１つまたは複数の通信ポート５８０、５８５を含むことができる。コンピュータ可読媒体５６０、５７０、および通信ポート５８０、５８５は、１つまたは複数のバス５９０により、１つまたは複数のプロセッサ５５０に通信可能に結合することができる。１つまたは複数のバス５９０は、システムバス、メモリバスもしくはメモリコントローラ、周辺バス、ＡＧＰ（accelerated graphics port：アクセラレイテッドグラフィックスポート）、および様々なバスアーキテクチャのいずれかを用いるプロセッサもしくはローカルバスを含む、任意の種類のバス構造またはバス構造の組合せを用いて実装することができる。１つまたは複数のバス５９０は、コンピュータ可読命令、データ構造、プログラムモジュール、および１つまたは複数の変調された搬送波で符号化された他のデータの伝送を提供することを理解されたい。したがって、１つまたは複数のバス５９０はまた、コンピュータ可読媒体として特徴付けることができる。
【００２７】
図示されていないが、信頼境界デバイス５１０は、ディスプレイデバイス、キーボード、および指示デバイス（例えば、マウス）など、追加の入力／出力デバイスを含むことができる。入力／出力デバイスはさらに、スピーカ、マイクロフォン、プリンタ、ジョイスティック、ゲームパッド、サテライトディッシュ、スキャナ、カード読取りデバイス、デジタルもしくはビデオカメラなどを含むことができる。入力／出力デバイスは、パラレルポート、シリアルポート、ゲームポート、ＵＳＢ（ユニバーサルシリアルバス）ポート、ビデオアダプタなど、任意の種類の入力／出力インターフェースおよびバス構造を介して、システムバス５９０に結合することができる。
【００２８】
コンピュータ可読媒体５６０、５７０は、システムメモリ５７０および１つまたは複数の大容量記憶装置５６０を含むことができる。大容量記憶装置５６０は、様々なタイプの揮発性および不揮発性媒体を含むことができ、そのそれぞれを、取外し可能、または取外し不能にすることができる。例えば、大容量記憶装置５６０は、取外し不能の不揮発性磁気媒体から読み出し、それに書き込むためのハードディスクドライブを含むことができる。１つまたは複数の大容量記憶装置５６０はまた、取外し可能な、不揮発性磁気ディスク（例えば、「フロッピーディスク」（登録商標））から読み出し、それに書き込むため磁気ディスクドライブ、および／またはＣＤ（コンパクトディスク）、ＤＶＤ（digital versatile disk：デジタル多目的ディスク）、もしくは他の光学的媒体など、取外し可能な、不揮発性の光ディスクから読み出し、かつ／またはそれに書き込むための光ディスクドライブを含むことができる。大容量記憶装置５６０は、さらに、磁気カセットもしくは他の磁気記憶装置、フラッシュメモリカード、ＥＥＰＲＯＭ（電気的に消去、プログラム可能な読取り専用メモリ）など、他のタイプのコンピュータ可読媒体を含むことができる。概して、大容量記憶装置５６０はコンピュータ可読命令、データ構造、プログラムモジュール、およびコンピューティングデバイス５１０で使用するための他のデータの不揮発性の記憶装置を提供する。例えば、大容量記憶装置５６０は、オペレーティングシステム５６２、ファイアウォールアプリケーション５６４、アクセスポリシー５６６、ならびに他のプログラムモジュールおよびデータを記憶することができる。
【００２９】
システムメモリ５７０は、ＲＡＭ（ランダムアクセスメモリ）５７２、およびＲＯＭ（読取り専用メモリ）５７４など、揮発性および不揮発性の媒体を共に含むことができる。ＲＯＭ５７４は、通常、起動時など、信頼境界デバイス５１０内のエレメント間で情報を転送するのを助ける基本ルーチンを含むＢＩＯＳ（入力／出力システム）５７６を含む。プロセッサにより実行されるＢＩＯＳ５７６命令は、例えば、オペレーティングシステム５６２を大容量記憶装置５６０からＲＡＭ５７０中にロードさせる。次いで、ＢＩＯＳ５７６は、プロセッサ５５０に、ＲＡＭ５７０からのオペレーティングシステム５６２’の実行を開始させる。次いで、ファイアウォールアプリケーション５６４およびアクセスポリシー５６６を、オペレーティングシステム５６２’の制御下でＲＡＭ５７０にロードすることができる。
【００３０】
コンピューティングデバイス５２０、５３０は、信頼境界デバイス５１０の通信ポート５８０、５８５に通信可能に、直接または間接的に結合することができる。したがって、信頼境界デバイス５１０は、１つまたは複数のネットワーク５４０、遠隔コンピューティングデバイス５２０、５３０などへの物理的、かつ／またはロジック接続を使用するアクセス制御ポイントとして動作することができる。信頼境界デバイス５１０の通信ポート５８０、５８５は、ネットワークアダプタ、モデム、無線トランシーバなど、任意のタイプのネットワークインターフェースを含むことができる。通信ポート５８０、５８５は、ブロードバンド接続性、モデム接続性、デジタル加入者リンクＤＳＬ接続性、無線接続性など、任意の接続性戦略を実施することができる。通信ポート５８０、５８５、およびコンピューティングデバイス５２０、５３０を通信ポート５８０、５８５に結合する通信チャネルは、コンピュータ可読命令、データ構造、プログラムモジュール、および１つまたは複数の変調された搬送波（例えば、通信信号）で符号化された他のデータを、１つまたは複数の通信チャネルを介して伝送することを提供することを理解されたい。したがって、１つまたは複数の通信ポート５８０、５８５および／または通信チャネルはまた、コンピュータ可読媒体として特徴付けることができる。
【００３１】
ネットワーク５４０は、イントラネット、エクストラネット、インターネット、ＷＡＮ（広域ネットワーク）、ＬＡＮ（ローカルエリアネットワーク）および／または同様のものを含むことができる。コンピューティングデバイス５２０、５３０は、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドもしくはラップトップデバイス、マルチプロセッサシステム、マイクロプロセッサベースのシステム、セットトップボックス、ゲームコンソール、プログラム可能な家庭用電子機器、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、ルータ、および／または同様のものを含む任意の種類の電子機器、またはコンピュータ機器を含むことができる。ネットワーク５４０およびコンピューティングデバイス５２０、５３０は、信頼境界デバイス５１０に関して上記で論じた機能のすべてを、またはその何らかのサブセットを含むことができる。
【００３２】
信頼境界デバイス５１０のプロセッサ５５０は、通信ポート５８０、５８５に結合されたコンピューティングデバイス５２０、５３０間の通信を制御するためのファイアウォールアプリケーション５６４’の様々な命令を実行する。具体的には、ファイアウォールアプリケーション５６４’は、コンピューティングアーキテクチャ５００のためのアクセスポリシーの定義を提供する。代替のファイアウォールアプリケーション５６４’は、他のアプリケーション、プログラムモジュールなどにより定義されたアクセスポリシーを受け取ることもできる。アクセスポリシーは、ソースコンピューティングデバイス５２０および／または目的とする宛先コンピューティングデバイス５３０の正常性ステートメントに基づく１つまたは複数のアクセス制御規則を含む。アクセスポリシーはまた、ドメイン名（例えば、ＵＲＬ）、インターネットプロトコルアドレス（ＩＰアドレス）、通信チャネル（例えば、ポート）、アプリケーションプロトコル（例えば、ＨＴＴＰ、ＦＴＰ）、セキュリティ証明書（例えば、セキュアログオンおよび認証証明書）および／または同様のものなど、従来のネットワークプロビジョニングおよびトラフィックパラメータに基づく１つまたは複数のフィルタを含むこともできる。
【００３３】
ファイアウォールアプリケーション５６４’は、信頼境界デバイス５１０を通過するコンピューティングデバイス５２０、５３０の間の通信に対して、アクセスポリシーを実施する。より具体的には、要求を、目的とする宛先コンピューティングデバイス５３０に送るべきかどうかについて判定が行われる。判定は、アクセスポリシー、ならびにソースコンピューティングデバイス５２０に関連付けられた現在の正常性ステートメントおよび／または目的とする宛先コンピューティングデバイス５３０に関連付けられた現在の正常性ステートメントに基づいて行われる。
【００３４】
正常性ステートメントのパラメータは、インストールされたアプリケーション、インストールされたパッチ、コンフィギュレーション、デバイス性能、ハードウェアコンポーネント、および／または同様のものなど様々の基準を示す。各コンピューティングデバイス５２０、５３０の現在の正常性ステートメントは、生成され、収集され、あるいはその他の形で任意の方法により利用可能にすることができる。一実施形態では、現在の正常性ステートメントは、ファイアウォールアプリケーション５６４により判定することができる。他の実施形態では、正常性ステートメントは、関連するコンピューティングデバイスにより提供され得る。さらに他の実施形態では、現在の正常性ステートメントは、インターネット上の正常性ステートメント認証サーバなど、信頼できる資源から受信することもできる。
【００３５】
一実施形態では、正常性ステートメント情報は、プログラムデータ５６８’として表形式で記憶することができる。その表は、デバイスの正常性の完全な明細を含むデバイスごとのレコードを含むことができる。デバイスに対する正常性の明細は、デバイスが正常であるかどうかを示しており、デバイスが正常ではない場合、どこに欠陥があるかを示すことができる。他の実施形態では、正常性ステートメント情報は、デバイスごとに単一の値とすることができる。その単一の値は、所与のコンピューティングデバイスに対する正常性ステートメント基準のすべてを集約（aggregation）したものとすることができる。
【００３６】
現在の正常性ステートメントが、ソースおよび／または宛先コンピューティングデバイス５２０、５３０が正常であることを示している場合、アクセスが許可される。現在の正常性ステートメントが、ソースおよび／または宛先コンピューティングデバイス５２０、５３０が正常ではないことを示している場合、アクセスは拒否され、要求は、１つまたは複数の適用可能なネットワークプロビジョニングおよびトラフィックパラメータに応じてフィルタリングされ、あるいはソースコンピューティングデバイス５２０を、ソースコンピューティングデバイス５２０の正常性ステートメントを更新するための資源にプッシュされ得る。したがって、正常性ステートメントに基づくアクセスポリシーは、微調整されたネットワークアクセスプロテクションを提供することを理解されたい。正常性ステートメントに基づくアクセスポリシーにより提供されるネットワークアクセスプロテクションは、コンピューティングデバイス５２０、５３０のユーザに対して、ほとんど、または全く影響を与えずに、危険な可能性のあるトラフィックだけを遮断するように適合される。
【００３７】
例示のオペレーティングアーキテクチャ５００は、適切なオペレーティングアーキテクチャの一例に過ぎず、本発明の用途または機能の範囲に関して何らかの限定を示唆するものではないことを理解されたい。オペレーティングアーキテクチャは、例示のオペレーティングアーキテクチャ５００で示された任意の１つのコンポーネントまたはコンポーネントの組合せに関して何らかの依存性または要件を有するものと解釈されるべきではない。本発明と共に使用するのに適切であり得る、他のよく知られたコンピューティングシステム、環境、および／またはコンフィギュレーションは、それだけに限らないが、パーソナルコンピュータ、サーバコンピュータ、クライアントデバイス、ルータ、スイッチ、無線アクセスポイント、セキュリティ装置、ハンドヘルドもしくはラップトップデバイス、マルチプロセッサシステム、マイクロプロセッサベースのシステム、セットトップボックス、プログラム可能な家庭用電子機器、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、上記システムもしくはデバイスのいずれかを含む分散コンピューティング環境、および／または同様のものを含む。
【００３８】
諸実施形態は、アクセスポリシーを指定し実施するのに用いられるデータの現在の組を、適切なコンピューティングデバイスの正常性ステートメントのパラメータを含むように拡張するので有利である。したがって、諸実施形態は、ネットワーク（例えば、信頼境界）を横断する悪意のあるソフトウェアの拡散に対して、費用効果のある軽減を提供することができるので有利である。さらに、諸実施形態は、有利には、ネットワーク内の潜在的な脆弱性の除去にも寄与する。
【００３９】
特有の諸実施形態の前述の説明は、例示および説明目的のため示されている。それらは、網羅的であること、または開示の正確な形態に本発明を限定することを意図するものではなく、上記の教示に照らせば、多くの変更および変形が可能であることは明らかである。諸実施形態は、本発明の原理およびその実際的な適用例を最もよく説明するために選択され、かつ説明されており、それにより、当業者が本発明、および企図される特定の用途に適する様々な変更を有する様々な諸実施形態を最もよく利用することが可能になる。本発明の範囲は、本明細書に添付された特許請求の範囲、およびそれと等価なものにより定義されるものとする。
【図面の簡単な説明】
【００４０】
【図１】ネットワークアクセスプロテクションシステムを実施するための例示的なオペレーティング環境のブロック図である。
【図２】ネットワークアクセスプロテクションの方法の流れ図である。
【図３】ネットワークアクセスプロテクションの方法の流れ図である。
【図４】ネットワークアクセスプロテクションシステムを実施するための例示的なオペレーティングアーキテクチャのブロック図である。
【図５】ネットワークアクセスプロテクションの方法を実施するための例示的なオペレーティングアーキテクチャのブロック図である。
【図１】
2008541558.tif 000003
【図２】
2008541558.tif 000004
【図３】
2008541558.tif 000005
【図４】
2008541558.tif 000006
【図５】
2008541558.tif 000007
【国際調査報告】
2008541558.tif 000008