(57)【要約】  ネットワークアクセス高度化のためのシステムおよび方法を提供する。説明する一実施形態の一態様は、ネットワークへのユーザに関連する接続要求を受信するステップ、ユーザに関連するポリシーを決定するステップ、少なくとも１つの利用可能なネットワーク接続を特定するステップ、少なくとも１つの利用可能なネットワーク接続の少なくとも１つの特性を決定するステップ、少なくとも一部ポリシーに基づいて特性を評価するステップ、および評価に基づいて少なくとも１つの利用可能なネットワーク接続を選択するステップを含む。別の実施形態では、（例えば、ランダムアクセスメモリ、またはコンピュータディスクなどの）コンピュータ可読媒体は以上の方法を実行するコードを含む。
2008504792.tif 000002
【特許請求の範囲】
【請求項１】
ユーザに関連するネットワークへの接続要求を受信するステップと、
前記ユーザに関連するポリシーを決定するステップと、
少なくとも１つの利用可能なネットワーク接続を特定するステップと。
前記少なくとも１つの利用可能なネットワーク接続の少なくとも１つの特性を決定するステップと、
少なくとも一部前記ポリシーに基づいて前記特性を評価するステップと、
前記評価に基づいて前記少なくとも１つの利用可能なネットワーク接続を選択するステップ
とを含むことを特徴とする方法。
【請求項２】
前記ポリシーが、接続許容リストを含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記ポリシーが、接続非許容リストを含むことを特徴とする請求項１に記載の方法。
【請求項４】
前記特性が、セキュリティ、信頼性、速度、および経費を構成上含むグループから選択する特性を含むことを特徴とする請求項１に記載の方法。
【請求項５】
前記少なくとも１つの特性が、複数の特性を含み、更に前記複数の特性に正規化アルゴリズムを適用するステップを含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記ポリシーを決定するステップが中央ポリシー格納装置から前記ポリシーを抽出するステップを含むことを特徴とする請求項１に記載の方法。
【請求項７】
前記少なくとも１つの利用可能なネットワーク接続が公的接続を含むことを特徴とする請求項１に記載の方法。
【請求項８】
前記少なくとも１つの利用可能なネットワーク接続が私的接続を含むことを特徴とする請求項１に記載の方法。
【請求項９】
前記少なくとも１つの利用可能なネットワーク接続に関連するサービス品質データを受信するステップを更に含むことを特徴とする請求項１に記載の方法。
【請求項１０】
前記少なくとも１つの利用可能なネットワーク接続が、複数の利用可能なネットワーク接続を含むことを特徴とする請求項１に記載の方法。
【請求項１１】
新規ネットワーク接続が、ユーザに付属するクライアント装置にとって利用可能であるとの指示を受信するステップと、
前記新規ネットワーク接続に関連する少なくとも１つの第１の特性を決定するステップと、
既存ネットワーク接続に関連する少なくとも１つの第２の特性を決定するステップと、
前記ユーザに関連するポリシーを決定するステップと、
少なくとも一部前記ポリシーに基づいて前記少なくとも１つの第１の特性を評価するステップと、
少なくとも一部前記ポリシーに基づいて前記少なくとも１つの第２の特性を評価するステップと、
前記既存ネットワーク接続を切断にするステップと、
前記新規ネットワーク接続に接続するステップ
とを含むことを特徴とする方法。
【請求項１２】
前記新規ネットワーク接続が利用可能であることを信号通知するステップを更に含むことを特徴とする請求項１１に記載の方法。
【請求項１３】
前記既存ネットワーク接続を切断にする前に、切断中のデータをバッファするためにデータキャッシュを開くステップを更に含むことを特徴とする請求項１１に記載の方法。
【請求項１４】
前記新規ネットワーク接続に接続後、
前記データキャッシュからデータを受信するステップと、
前記データキャッシュを閉じるステップ
とを更に含むことを特徴とする請求項１３に記載の方法。
【請求項１５】
前記データキャッシュの大きさを決定するための尺度を受信するステップを更に含むことを特徴とする請求項１３に記載の方法。
【請求項１６】
前記尺度が見積もり切断継続時間を含むことを特徴とする請求項１５に記載の方法。
【請求項１７】
新規ネットワーク接続が利用可能であるとの指示が、ハードウェア装置からの信号を含むことを特徴とする請求項１１に記載の方法。
【請求項１８】
前記ハードウェア装置が、Ｗｉ−Ｆｉアダプタ、ＬＡＮアダプタ、セルラーアダプタ（ＷＷＡＮ）、およびダイヤルアップ（ＷＡＮ）アダプタを構成上含むグループから選択するアダプタを含むことを特徴とする請求項１７に記載の方法。
【請求項１９】
符号化プログラムコードが存在する、コンピュータ可読媒体であって、該プログラムコードが、
ユーザに関連するネットワークへの接続要求を受信するためのプログラムコードと、
前記ユーザに関連するポリシーを決定するためのプログラムコードと、
少なくとも１つの利用可能なネットワーク接続を特定するためのプログラムコードと、
前記少なくとも１つの利用可能なネットワーク接続の少なくとも１つの特性を決定するためのプログラムコードと、
少なくとも一部前記特性に基づいて前記特性を評価するプログラムコードと、
前記評価に基づいて前記少なくとも１つの利用可能なネットワーク接続を選択するプログラムコード
とを含むことを特徴とするコンピュータ可読媒体。
【請求項２０】
前記少なくとも１つの利用可能なネットワーク接続に関連するサービス品質データを受信するプログラムコードを更に含むことを特徴とする請求項１９に記載のコンピュータ可読媒体。
【請求項２１】
符号化プログラムコードが存在するコンピュータ可読媒体であって、該プログラムコードが、
新規ネットワーク接続が利用可能であるとの指示を受信するためのプログラムコードと、
前記新規ネットワーク接続に関連する少なくとも１つの第１の特性を決定するためのプログラムコードと、
既存ネットワーク接続に関連する少なくとも１つの第２の特性を決定するためのプログラムコードと、
ユーザに関連するポリシーを決定するためのプログラムコードと、
少なくとも一部前記ポリシーに基づいて前記少なくとも１つの第１の特性を評価するためのプログラムコードと、
少なくとも一部前記ポリシーに基づいて前記少なくとも１つの第２の特性を評価するためのプログラムコードと、
前記既存ネットワーク接続を切断にするためのプログラムコードと、
前記新規ネットワーク接続に接続するためのプログラムコード
とを含むことを特徴とするコンピュータ可読媒体。
【請求項２２】
前記新規ネットワーク接続が利用可能であることの信号通知を更に含むことを特徴とする請求項２１に記載のコンピュータ可読媒体。
【請求項２３】
前記既存ネットワーク接続を切断にする前に、切断中のデータをバッファするためにデータキャッシュを開くことを更に含むことを特徴とする請求項２１に記載のコンピュータ可読媒体。
【請求項２４】
前記新規ネットワーク接続に接続後、
前記データキャッシュからのデータの受信と、
前記データキャッシュの閉鎖
とを更に含むことを特徴とする請求項２３に記載のコンピュータ可読媒体。
【請求項２５】
前記データキャッシュの大きさを決定するための尺度の受信を更に含むことを特徴とする請求項２３に記載のコンピュータ可読媒体。
【請求項２６】
ユーザに関連するポリシーを決定するために動作可能なポリシー読取装置と、
ユーザに関連するネットワークへの接続要求を受信し、少なくとも１つの利用可能なネットワーク接続を特定し、前記少なくとも１つの利用可能なネットワーク接続の少なくとも１つの特性を決定し、少なくとも一部前記ポリシーに基づいて前記特性を評価し、前記評価に基づいて少なくとも１つの利用可能なネットワーク接続を選択する動作可能な接続マネージャ
とを備えることを特徴とするシステム。
【請求項２７】
前記少なくとも１つの利用可能なネットワーク接続に関連するサービス品質データを受信するために動作可能なサービス品質収集装置を更に備えることを特徴とする請求項２６に記載のシステム。
【請求項２８】
ユーザに関連するポリシーを決定するために動作可能なポリシー読取装置と、
新規ネットワーク接続が利用可能であるとの指示を受信し、前記新規ネットワーク接続に関連する少なくとも１つの第１の特性を決定し、既存ネットワーク接続に関連する少なくとも１つの第２の特性を決定し、少なくとも一部前記ポリシーに基づいて前記少なくとも１つの第１の特性を評価し、少なくとも一部前記ポリシーに基づいて前記少なくとも１つの第２の特性を評価し、前記既存ネットワーク接続を切断し、前記新規ネットワーク接続を接続する動作可能な接続マネージャ
とを備えることを特徴とするシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にコンピュータネットワーク関する。特に、本発明は、ネットワークアクセス高度化のためのシステムおよび方法に関する。
【背景技術】
【０００２】
労働力がより移動化すると、企業はそのユーザに企業ネットワークに遠隔接続するための手段を提供しなければならないことがよくある。企業およびそのユーザには、企業ネットワークおよびインターネットなどのその他のリソースへの接続方法の選択に遥かに大きな融通性がある。この融通性の付加に連れて、付随する複雑化とリスクが増加する。従って遠隔アクセスは必要であるが、企業には遠隔アクセスをユーザに提供するのに抵抗がある。
【０００３】
企業ネットワークへの遠隔接続のための各方法により、悪用される恐れのあるセキュリティホールが生じる。例えば悪事を働くアクセスポイントなどネットワークにおいて聞き耳を立てる人間は、ネットワークにアクセスするためのユーザのユーザ名／パスワードの組み合わせを決定することができうる。
【０００４】
また、各接続タイプは種々のネットワークプロバイダから購入することができる。企業は、各プロバイダからの料金請求を各ユーザの遠隔ネットワークアクセスに適合させなければならない。
【０００５】
さらに企業ネットワークに接続する従来の接続製品のそれぞれは、固有のインタフェースを提供する。かつ各インタフェースは比較的明瞭であるが、ユーザは種々のネットワークへの接続を望み、企業およびユーザは複数のインタフェースを処理しなければならず、このことから複雑性が生じる。
【発明の開示】
【課題を解決するための手段】
【０００６】
本発明の実施形態はネットワークアクセス高度化のためのシステムおよび方法を提供する。本発明の一実施形態の一態様は、ユーザに関連するネットワークへの接続要求を受信するステップ、ユーザに関連するポリシーを決定するステップ、少なくとも１つの利用可能なネットワーク接続を特定するステップ、少なくとも１つの利用可能なネットワーク接続の少なくとも１つの特性を決定するステップ、少なくとも一部ポリシーに基づいて特性を評価するステップ、およびこの評価に基づいて少なくとも１つの利用可能なネットワーク接続を選択するステップを含む。別の実施形態では、（例えば、ランダムアクセスメモリ、またはコンピュータディスクなどの）コンピュータ可読媒体が以上の方法を実行するコードを含む。
【０００７】
この説明のための実施形態は本発明を制限するか、または規定するために記述するものではなく、その理解を助けるための一例を提供するものである。説明のための実施形態は「発明を実施するための最良の形態」において説明し、そこで本発明の説明をさらに行う。本発明の種々の実施形態により提供する利点はこの明細書を考察することによりさらに理解できる。
【０００８】
本発明のこれらおよびその他の特徴、態様、および利点は添付の図面を参照して以下の「発明を実施するための最良の形態」を読めば、より良く理解される。
【発明を実施するための最良の形態】
【０００９】
本発明の実施形態はネットワークアクセス高度化のためのシステムおよび方法を提供する。本発明に関して複数の実施形態が存在する。導入部および例として、本発明の説明のための一実施形態により、クライアント装置が第１のネットワーク接続から第２の接続へシームレスに切り替えるための方法を提供する。
【００１０】
移動クライアント装置が第１の位置から第２の位置へ移動する場合、装置は第２のネットワーク接続が利用可能であるとの指示を与えられる。装置は速度、信頼性、および接続のための経費などの第２の接続に関する一組の特性を決定する。次いでクライアント装置は一組のポリシーに基づいてこれらの特性を評価するが、ポリシーはユーザが所属する企業により指定されるので、ユーザは企業の観点から任意の一時点において「最良」のネットワークに接続される。規則エンジンは、接続のポリシーおよび特性に基づいて２つの接続のうち最適なものを自動的に決定する。
【００１１】
例えば、第２の接続は第１のものより速く、廉価でありうる。とはいえ第１の接続にはより信頼性がある。企業ポリシーは、信頼性より速度および経費をより重視する。従ってクライアント装置は、ユーザが介入することなく第１の接続から第２の接続へ自動的に切り替える。
【００１２】
この導入部は、本願の一般的な主題事項を読者に紹介するために与えられる。本発明はそのような主題とする事項に決して制限されることはない。説明のための実施形態を以下に記述する。
【００１３】
（システム構成）
本発明による種々のシステムを構築することができる。次に、同じ番号が幾つかの図面を通じて同じ要素を示す図面を参照すると、図１は本発明の一実施形態の実装を説明するための環境を示すブロック図である。図１に示すシステムはクライアント１０２を含む。クライアントはセキュリティサーバ１０４と通信する。
【００１４】
セキュリティサーバ１０４との通信はネットワーク１０８を介して生じる。ネットワーク１０８は公設またはプライベートネットワークを含むことができ、インターネットを含むことができる。ネットワークは、また例えば種々の構成要素間の専用電話回線を含む複数のネットワークを含むことができる。一実施形態では、クライアント１０２はインターネットを経て確立されるバーチャルプライベートネットワーク（virtual private network、”ＶＰＮ”）を介してセキュリティサーバ１０４と通信する。
【００１５】
セキュリティサーバ１０４は、またネットワークを介して企業サーバ１０６と通信する。ネットワーク１０８は、有線および無線双方の、種々の要素を含むことができる。一実施形態では、セキュリティサーバ１０４と企業サーバ１０６との間の通信は専用通信回線を経て確立される静的ＶＰＮを経て生じる。
【００１６】
一実施形態では、ユーザはネットワークアクセス・ユーザインタフェースを使用して、ネットワーク１０８にクライアント装置１０２を接続する。ネットワークアクセス・ユーザインタフェースは常に動作しており、ユーザにインタフェースを介してネットワーク１０８に接続することのみを許容する。ネットワークアクセス・ユーザインタフェースは、クライアント１０２にネットワーク１０８を通じてセキュリティサーバ１０４に自動的に接続させる。セキュリティサーバ１０４はクライアント１０２および１つ以上の企業に付加価値サービスを提供する。インターネットなどのその他のサービスへのアクセスは、セキュリティサーバ１０４を介して提供することができる。
【００１７】
図１は単一のクライアント１０２、セキュリティサーバ１０４、および企業サーバ１０６のみを含むが、本発明の実施形態は複数のクライアント１０２を代表的に含み、複数のセキュリティサーバ１０４および企業サーバ１０６を含むことができる。
【００１８】
図２から図４は、クライアント１０２、セキュリティサーバ１０４、および企業サーバ１０６における構成要素を説明するブロック図である。提示する構成要素のそれぞれは、第３のパーティのアプリケーション、特注のアプリケーション、または両者の組み合わせでありうる。構成要素のそれぞれは、またハードウェア、ソフトウェア、またはハードウェアおよびソフトウェアの組み合わせにおいて実装することができる。
【００１９】
（クライアント装置）
図２は本発明の一実施形態におけるクライアント装置１０２に存在するモジュールを説明するブロック図である。クライアント装置１０２の例は、パーソナルコンピュータ、ディジタルアシスタント、パーソナルディジタルアシスタント、セルラー電話機、移動電話機、スマート電話機、ページャ、ディジタルタブレット、ラップトップコンピュータ、インターネット機器、およびその他のプロセッサベースの装置である。一般にクライアント装置１０２は、任意の適するタイプのプロセッサベースのプラットフォームであり、これはネットワーク１０８に接続され、１つ以上のアプリケーションプログラムと相互動作を行う。クライアント装置１０２はＲＡＭなどのコンピュータ可読媒体に結合されるプロセッサを含むことができる。クライアント装置１０２はマイクロソフト(登録商法)ウインドウズ(登録商標)またはリナックスなどの任意のオペレーティングシステムにおいて動作することができる。クライアント装置１０２は、例えばネットワークアクセスユーザインタフェースを実行するラップトップコンピュータである。
【００２０】
図２に示すモジュールはクライアント１０２の機能性を表す。モジュールは、１つ以上のモジュールを含む１つ以上のコンピュータプログラムとして実装することができる。例えば一実施形態では、図２に示すモジュールは全て単一のネットワークアクセス・アプリケーション内に含まれる。またクライアント１０２において示す機能性は、本発明の他の実施形態におけるサーバにおいて実装することができる。同様に、図３および図４においてサーバ上にあるものとして示す機能性は、本発明の幾つかの実施形態ではクライアント１０２において実装することができる。
【００２１】
図２に示すクライアント１０２はＶＰＮクライアント２０２を含む。ＶＰＮクライアント２０２はクライアント１０２の企業サーバ１０６への接続を許容する。本発明の一実施形態では、ＶＰＮクライアント２０２を使用して、ＶＰＮクライアント２０２が動作中であるか、およびＶＰＮクライアント２０２のＶＰＮサーバへの接続の是非を決定する。例えば本発明の実施形態により、ＶＰＮクライアント２０２の動作可能であることの是非に基づいて個々のサービスへの接続の是非を決定することができる。
【００２２】
本発明の別の実施形態では、ＶＰＮクライアント２０２は４つの目的に使用される：（１）ポリシーファイルの管理であり、このファイルは、ゲートウエイ・インターネットプロトコル（Internet Protocol、ＩＰ）アドレス、セキュリティおよび認証レベル、およびハッシュなどの情報を含む；（２）自動ＶＰＮ接続；（３）自動ＶＰＮ切断；および（４）ＶＰＮの状態監視。これら４つの目的のそれぞれは、例えば接続マネージャ２１０を含むその他のモジュールの影響を受けることがある。
【００２３】
クライアント１０２は、また安全な記憶装置２０４を含む。安全な記憶装置２０４はクライアント１０２におけるコンテンツを保護する。一実施形態では、安全な記憶装置２０４はクライアント１０２における暗号化コンテンツの格納および一組の許可またはポリシーに基づく暗号化コンテンツへのアクセスの許容を担う。このような実施形態では、コンテンツ創作者はビュアーを介して安全なコンテンツへのアクセスを提供し、受領者にコンテンツの読み取り専用アクセスを許容し、または受領者にコンテンツの変更、およびその、他のユーザへの転送などのその他のタスクの実行を許容することができる。別の実施形態では、安全な記憶装置２０４はユーザに安全なコンテンツの創作および他のクライアント１０２への配信を許容し、コンテンツ創作者は幾らかのユーザへの書類の送信を決定し、ユーザの２人に完全なアクセスおよびユーザの一人に読み取り専用アクセスを許容することができる。
【００２４】
図２に示すクライアント１０２は、またファイアウォール２０６を含む。ファイアウォール２０６は予め規定したポリシーを介するポート封鎖を許容する。例えば一実施形態では、情報技術(information technology、”ＩＴ”)マネージャは、安全区域および危険区域の２つの区域に基づいてポート封鎖を指定する。ＩＴマネージャは、クライアント１０２において実装するネットワークインタフェース装置のそれぞれに対してこれら２つの区域の１つを指定する。ＩＴマネージャは、次いでファイウォール２０６における区域によってポート封鎖規則を設定することができる。
【００２５】
例えばＩＴマネージャが「無線忠実度（Wireless Fidelity、”Ｗｉ−Ｆｉ”）ネットワークインタフェースを危険に分類することができるのは、「Ｗｉ−Ｆｉ」が従来かなり不安全と考えられたからである。そしてＩＴマネージャは、有線ローカルエリヤネットワーク（Local Area Network、”ＬＡＮ”）またはパーソナルハンディフォンシステム（Personal Handyphone System、”ＰＨＳ” ）セルラー接続への接続に使用するものなどの安全区域およびネットワークインタフェース装置に対するより、危険区域に対してより制限的ポート封鎖規則を適用することができる。ＰＨＳ規格はＴＤＤ−ＴＤＭＡベースのマイクロセルラー無線通信技術であり、従来Ｗｉ−Ｆｉ接続より比較的安全と考えられていた。ＰＨＳセルラー接続は、またワイドエリヤネットワーク（wide area network、”ＷＡＮ”）へのアクセスを提供するダイヤルアップ接続に対立するものとして、無線ワイドエリヤネットワーク(wireless wide area network、 ”ＷＷＡＮ”)と呼ぶことができる。
【００２６】
他の種々の実施形態では、ファイアウォール２０６のポート封鎖規則は日中の時間、クライアントＩＰアドレス、着信ＩＰアドレス、着信および発信ポート、プロトコル、およびその他の変数に基づくことができる。一実施形態では、ポート封鎖規則はクライアント１０２にログインする個々のユーザに関連するポリシーデータに基づく。
【００２７】
一実施形態では、ファイアウォール２０６のポート封鎖規則はブラックリストを含む。ブラックリストによりＩＴマネージャは、クライアント１０２におけるアプリケーションの実行を防止することができる。例えばＩＴマネージャは、ユーザがクライアント１０２においてＤＶＤを見ることができないように、ＤＶＤ再生装置をブラックリストに載せることができる。ファイアウォール２０６はユーザにメッセージを与え、アプリケーションが利用できないことをユーザに知らせる。
【００２８】
別の実施形態では、ファイアウォール２０６はホワイトリストを実装する。ホワイトリストは上記のブラックリストより幾らかさらに制限的である。ホワイトリストは指定されたアプリケーションのみの実行を認める。例えばＩＴマネージャは、ＭＳワード、エクセル、パワーポイント、及びアウトルックの実行のみを認めることができる。その他のアプリケーションの実行は認められない。ファイアウォール２０６は特注のファイアウォールまたは本発明の実施形態に組み込む第３のパーティのファイアウォールであることができる。
【００２９】
図２に示す実施形態は、またアンティウイルスモジュール２０８を含む。提示するアンティウイルスモジュール２０８は、ポリシーファイル、ウイルス辞書、またはその他のウイルス関係リソースの期限切れを決定し、クライアント１０２にファイルまたはデータの更新機構を提供する。アンティウイルスモジュール２０８はポリシーファイルが期限切れの場合、種々の接続、アプリケーション、およびその他の機能へのアクセスを禁止することができる。例えばアンティウイルスモジュール２０８は、ポリシーファイルが利用可能となる単一のゲートウエイへのクライアント１０２の接続を禁止することができる。一実施形態では、アンティウイルスモジュール２０８は、クライアント１０２における他のモジュールと統合される第３のパーティのアンティウイルス製品を含む。
【００３０】
クライアント１０２は、また規則プロセッサを含む接続マネージャ２１０を含む。一実施形態では、接続マネージャ２１０は各接続に優先番号、例えば１から１００を割り当て、接続すべき最高の番号を持つ接続を選択する。
【００３１】
接続マネージャ２１０は、例えばダイヤルアップ、ＬＡＮ、ディジタル加入者線（digital subscriber line、”ＤＳＬ”）、ケーブルモデム、Ｗｉ−Ｆｉ、無線ローカルエリヤネットワーク（wireless local area network、”ＷＬＡＮ”）、ＰＨＳ、および衛星を含む多様なネットワークへの接続を提供することができる。
【００３２】
一実施形態では、接続マネージャ２１０は公的と私的接続との間を区別する。公的接続はサービスプロバイダにより提供する接続であり、サービスプロバイダはセキュリティサーバ１０４の監督者との関係を有し、監督者はセキュリティサーバ１０４に接続の認証を許容する。例えばセキュリティサーバ１０４の監督者はホットスポットプロバイダとの業務協定を持つことができる。接続するために、クライアント１０２はローカルアクセスポイントに接続し、ユーザの認証はセキュリティサーバ１０４において自動的に生じる。対照的に私的接続は、接続マネージャは可能であれば自動化認証を許容するある設備を提供することはできるが、接続のための全ての側面の認証機構は、セキュリティサーバ１０４なしで管理することが必要である。
【００３３】
一実施形態では、接続マネージャ２１０は、クライアント１０２に存在するポリシーに基づいてクライアント１０２への利用可能な、または利用できない接続を行う。接続マネージャ２１０はポリシーデータの変化をダウンロードし、サービス品質（quality of service、”ＱｏＳ”）およびその他のデータをセキュリティサーバ１０４または企業サーバ１０６に送信することができる。
【００３４】
一実施形態では、接続マネージャ２１０は、クライアント１０２に付属するハードウェアにより提供する信号に基づいて利用可能な接続のタイプを決定する。例えばクライアント１０２がホットスポットの近くを通過する場合、クライアント１０２におけるＷｉ−Ｆｉカードがホットスポットに感応し、接続マネージャ２１０に信号を送信する。例えばＷｉ−Ｆｉカードは、一斉送信サービス設定識別子（service set identifier、”ＳＳＩＤ”）に感応することができる。一度信号が閾を超えると、接続マネージャ２１０は、ネットワークが利用可能であるか、またはホットスポットに自動的に接続することができるとの信号をクライアント１０２のユーザに提供する。あるいはＷｉ−Ｆｉカードは非一斉送信ＳＳＩＤを調べることができる。接続マネージャ２１０はクライアント１０２に一時に一つの接続を提供するか、またはクライアント１０２に複数の接続を提供することができる。
【００３５】
図２に示すクライアント１０２は、またＱｏＳ収集装置２１２を含む。ＱｏＳ収集装置２１２は、例えば送受信バイト数、平均伝送速度、接続における平均信号強度、接続終了の原因、接続障害、およびネットワーク識別子を含むデータ値を収集する。別の実施形態では、ＱｏＳ収集装置２１２は、接続が不安定な性能を示す時点を決定するデータをセッション中に収集する。
【００３６】
一実施形態では、ＱｏＳ収集装置２１２はセッション中の接続に関するデータを収集するが、次セッションまでセッションのためのデータを送信しない。従ってセッションが異常終了しても、ＱｏＳデータは依然収集され、成功裡に伝送される。別の実施形態では、ＱｏＳ収集装置２１２は、高速または低経費接続など個々のタイプの接続が検出される場合にのみデータを伝送する。
【００３７】
クライアント１０２は、またセッション統計モジュール２１４を含む。セッション統計モジュールはユーザ特性を表すデータを格納する。例えばセッション統計モジュール２１４は、ユーザが一般的にアクセスするアプリケーションのリスト、ユーザが接続される頻度、代表的ＣＰＵおよびメモリ利用測度、キーボードシーケンス、およびその他のユーザ特性を格納することができる。個々のユーザがＮ標準偏差などの閾より大きく期待特性から外れ、統計の意味するところが指定された量より大きければ、セッション統計モジュール２１４は現ユーザを権限のないユーザの可能性があると特定することができる。
【００３８】
セッション統計モジュール２１４は、その他のタスクも実行することができる。例えば一実施形態では、セッション統計モジュール２１４はユーザの一般的な使用パターンに基づいてアプリケーションを事前にロードする。
【００３９】
図２に示すクライアント１０２は、またポリシー読取装置２１６を含む。一実施形態では、会社のポリシーは企業サーバ１０６に納められる。例えば企業内の個々のグループおよびユーザは、アクセスできる接続のタイプおよびユーザＶＰＮプロファイルの如何などのポリシーにより特定され、ポリシーに関連する。ユーザは、またクライアント１０２におけるＶＰＮポリシーを指定することができる。そのような環境では、ポリシー読取装置２１６は企業サーバ１０６からポリシー規則をダウンロードし、ローカルユーザポリシーにアクセスし、両者間の矛盾を調停する。
【００４０】
例えばＩＴマネージャは、Ｗｉ−Ｆｉネットワークに接続する場合、ユーザが使用するＶＰＮプロファイルを確立することができる。とはいえユーザは、第１のＶＰＮが利用不可能になれば、使用すべき第２のＶＰＮプロファイルの創出を望むことができる。ポリシー読取装置２１６はローカルおよび企業ＶＰＮプロファイルの双方をロードし、２つのＶＰＮプロファイル間の矛盾を解決する。
【００４１】
一実施形態では、ポリシー読取装置２１６は、企業、部署、およびユーザレベルのデータにアクセスする。そのような環境ではポリシー規則の幾つかは、クライアント１０２、セキュリティサーバ１０４、または企業サーバ１０６における軽量ディレクトリ・アクセスプロトコル（lightweight directory access protocol、ＬＤＡＰ）サーバに格納することができる。別の実施形態では、ポリシー読取装置２１６は、ポリシーデータの変更のみを受信し、代表的にはポリシーデータの全てを一度にダウンロードしない。ポリシー読取装置２１６によりダウンロードするポリシーは接続マネージャ２１０の規則プロセッサに提供することができる。
【００４２】
クライアント１０２は、またクライアントセキュリティモジュール２１６を含む。一実施形態では、クライアントセキュリティモジュール２１６はクライアントアセット保護プロセスを実装する。クライアントセキュリティモジュール２１６が、クライアントアセット保護プロセスが実行されることを指示する信号を受信する場合、クライアントセキュリティモジュール２１６は、例えばクライアント１０２における装置およびインタフェースを動作不能にし、幾つかの実施形態では、クライアント１０２のハードドライブを暗号化し、ドライブに格納されたファイルが容易にアクセスできないようにすることができる。
【００４３】
クライアント１０２は、またユーザインタフェース２２０を含むことができる。ユーザインタフェース２２０は、基礎をなす動作環境またはユーザに見える基礎をなす環境を制御することができる。例えば一実施形態では、ユーザインタフェース２２０は、ユーザの視点からマイクロソフト(登録商標)ウインドウズのオペレーティングシステムインタフェースに取って代わる。換言すれば、ユーザはウインドウズの標準的特徴の多くにアクセスできない。そのようなユーザインタフェースは、ユーザがアクセスできるアプリケーションおよび構成設定を制限するために実装することができる。パーソナルディジタルアシスタント（personal digital assistant、”ＰＤＡ”）などの幾つかの実施形態では、ユーザインタフェースは本発明の実施形態により提供されない。標準ＰＤＡユーザインタフェースが利用される。
【００４４】
ユーザインタフェース２２０はネットワーク接続にアクセスするための使用しやすい機構をユーザに提供する。一実施形態では、ユーザインタフェース２２０が見える場合、ユーザインタフェース２２０は非常に使用しやすいフォーマットを提供し、このフォーマットはネットワーク接続タイプを表示し、その他の機能性をユーザに提供する。例えば新しいネットワークタイプへの接続などの複雑な動作中に、ユーザはユーザインタフェース２２０内の単一のボタンを簡単に選択することができ、クライアント１０２は以前のネットワークを正確に切断にし、新規ネットワークを得て、全ての認証およびポリシーベースの要求条件を実行し、次いでユーザに新規ネットワークにおけるアプリケーションの使用継続を許容する。この簡単で、複雑さを隠し、完全自動化の使用しやすいユーザンタフェース２２０により、あまり技術知識のないユーザにクライアント１０２を成功裡に動作させることができる。全てのネットワーク接続、認証、安全な署名、ＶＰＮパラメータ、および接続のその他の側面はユーザインタフェース２２０により管理する。
【００４５】
図２に示すクライアント１０２は、またセキュリティエージェント２２２を含む。幾つかの実施形態では、セキュリティエージェント２２２は、「爆弾」とも呼ばれる。一実施形態では、クライアント１０２が次に企業サーバ１０６に接続する場合、ＩＴマネージャは、セキュリティエージェント２２２を起動すべきことを指示する。ＩＴマネージャがそうすることができるのは、クライアント１０２が、盗まれたとの報告を受けるからである。その後、クライアント１０２は企業サーバ１０６に直接または間接的かのいずれかにより接続し、セキュリティエージェント２２２を開始するメッセージを受信する。
【００４６】
一実施形態では、セキュリティエージェント２２２が動作する場合、セキュリティエージェント２２２は全てのアプリケーションが動作可能であるのを止め、クライアント１０２のハードドライブにおけるデータを暗号化する。例えばセキュリティエージェント２２２は、上記のようにホワイトリストを実装し、次いでクライアント１０２における全てのデータのために安全な記憶装置を実装することができる。接続マネージャ２１０を、また接続が不可能であるように構成することができる。
【００４７】
１つのそのような実施形態では、データは消去されるよりむしろセキュリティエージェント２２２により単に暗号化されるので、クライアント１０２がその後復旧すればデータは回復することができる。例えば企業はローカルドライブを復号化するのに必要なキーを保持することができる。クライアント１０２が企業に戻り、次いで企業はドライブを復号化する。別の実施形態では、クライアントのローカルドライブにおけるデータは、例えば複数回データに上書きすることによりアクセス不能にする。
【００４８】
図２に示すクライアント１０２は、また帯域外通信受信機２２４を含む。帯域外通信受信機２２４は、クライアントにネットワークベースの接続を通すより、他の通信の受信を許容する。接続マネージャ２１０は帯域外通信を管理することができる。例えばセキュリティエージェント２２２を起動する命令は帯域外通信受信機２２４により受信する短メッセージサービス（short messaging service、”ＳＭＳ”）を介して伝送することができる。
【００４９】
（セキュリティサーバ）
図３は本発明の一実施形態におけるセキュリティサーバ１０４に存在するモジュールを説明するブロック図である。図３に示すセキュリティサーバ１０４は、遠隔認証ダイヤルインユーザサービス（remote authentication dial-in user service、”ＲＡＤＩＵＳ”）サーバ３０２を含み、このサーバはＡＡＡ（authentication, authorization, and accounting、認証、認可、および計理）サーバとも呼ぶことができる。ＲＡＤＩＵＳは規格であり、これによりアプリケーションおよび装置はＡＡＡサーバと通信する。
【００５０】
ＲＡＤＩＵＳサーバ３０２はセキュリティサーバ１０４における認証サービスを提供する。本発明の幾つかの実施形態では、ＲＡＤＩＵＳサーバ３０２は、企業サーバ１０６におけるＲＡＤＩＵＳサーバの代理をする。一実施形態では、ＲＡＤＩＵＳサーバ３０２は、拡張可能認証プロトコル伝送レイヤセキュリティ（Extensible Authentication Protocol Transport Layer Security、”ＥＡＰ−ＴＬＳ”）を使用して、クライアント１０２のための相互認証を提供する。ＥＡＰ−ＴＬＳ自体は厳密には、主としてＷｉ−Ｆｉ接続のために設計された８０２．１ｘ認証プロトコルであるが、基礎をなすＴＬＳ認証プロトコルは、有線および無線ネットワークの双方に展開することができる。ＥＡＰ−ＴＬＳは相互安全ソケットレイヤ(secured sockets layer、”ＳＳＬ”)の認証を行う。これはクライアント装置１０２およびＲＡＤＩＵＳサーバ３０２の双方に証書を所有することを要求する。相互認証ではそれぞれの側は、その証書およびその私的キーを使用して、他に対してその身元を証明することができる。
【００５１】
図３に示すセキュリティサーバは、またＬＤＡＰサーバ３０４を含む。ＬＤＡＰサーバ３０４はＬＤＡＰプロトコルを使用するが、このプロトコルはネットワークにおけるユーザ、組織、およびその他のリソースの位置を決めるための機構を提供する。本発明の一実施形態では、ＬＤＡＰサーバ３０４は、企業の顧客が購入しても、しなくても良い種々の構成要素へのネットワークにおけるアクセス制御を提供する。例えば図１に関係して記述したように、顧客は安全な記憶装置の実装を選択することができる。そのような場合、顧客またはユーザまたは顧客に関連するグループは、またファイアウォールモジュールに関連する。ＬＤＡＰ入力を使用して、次いでファイアウォールがクライアントにおいて動作可能であることを決定する。
【００５２】
幾つかの実施形態では、ＬＤＡＰサーバ３０４はＬＤＡＰプロトコルを使用しないユーザ識別子のリストとして実装される。別の実施形態では、ＬＤＡＰサーバ３０４におけるデータは企業サーバ１０６に存在するデータから伝播する。
【００５３】
図３に示すセキュリティサーバ１０４は、またセッションマネージャ３０６を含む。セッションマネージャ３０６はクライアント１０２と企業サーバ１０６との間のセッションを含むセッションを制御する。幾つかの実施形態では、セッションマネージャ３０６は、またデータ要求の経路指定方法を決定する。例えばセッションマネージャ３０６は、特定のデータ要求は企業サーバ１０６よりむしろインターネットへ経路指定されるべきであることを決定することができる。これは「パイプの分割」（"splitting the pipe"）と呼ぶことができ、クライアント装置における「分割されたトンネル化」（大部分の標準ＶＰＮクライアントによる従来構成の選択肢）をセキュリティサーバにおいて企業宛に考えられないトラフィックのより安全な分割により置き換える機構を提供し、必要な余分の帯域経費を招く企業を含むことなく全てのトラフィックの監視を許容する。
【００５４】
幾つかの実施形態では、クライアント１０２および企業サーバ１０６は通信用ＶＰＮを確立する。そのような実施形態では、セッションマネージャ３０６は企業以外の他の位置に要求を経路指定することができないことがある、−パケットは暗号化され、従って独立に評価することができない。
【００５５】
一実施形態では、セッションマネージャ３０６はクライアント装置１０２またはユーザの自動化認証を行う。例えばセッションマネージャ３０６が、クライアント１０２がＷｉ−Ｆｉホットスポットに近づきつつあると決定すれば、セッションマネージャ３０６は、ホットスポットはユーザを認証する必要があるとの証書によりホットスポットを予め占拠することができる。このようにして、認証は非常に早くユーザに出される。セッションマネージャ３０６は、またデータのクライアント装置１０２へのダウンロードのための待ち行列のし方を制御することができる。
【００５６】
そのような一実施形態では、セッションマネージャ３０６はデータ待ち行列に２つのモードを提供する。第１のモードではセッションマネージャ３０６は、ネットワークのダウンタイムは短い、例えばユーザは、ネットワークアクセスを妨害するトンネルを通過して移動中であると決定する。そのような場合、セッションマネージャは最少量のデータを待ち行列にする。第２のモードではセッションマネージャ３０６は、ネットワークのダウンタイムは比較的長く継続するものである、例えばユーザはニューヨークから東京への飛行機に搭乗していると決定する。そのような場合、セッションマネージャ３０６は比較的大きな量のデータを待ち行列にする。そのような一実施形態では、セッションマネージャ３０６は、ダウンタイムの間ユーザを待ち行列に入れることによりモードを決定する。ユーザがセキュリティサーバ１０４に再接続する場合、セッションマネージャ３０６は待ち行列データの最良のダウンロード方法を決定し、ダウンロードを開始する。
【００５７】
一実施形態では、セッションマネージャ３０６はパケット形成装置(図示せず)を含む。パケット形成装置はセッションマネージャ３０６に種々の機能上の能力を提供する。例えば一実施形態では、パケット形成装置は企業サーバ１０６とクライアント１０２との間で送信するパケットの優先順位付け機構を提供する。一実施形態では、パケット形成装置はマルチプロトコルラベル交換(Multiprotocol Label Switching 、”ＭＰＬＳ”)を利用する。ＭＰＬＳは特定の経路を所与のシーケンスのパケットに指定することを許容する。ＭＰＬＳは大部分のパケットを（ルーティング)レイヤ３レベルよりむしろ交換(レイヤ２)レベルにおいて転送することを許容する。ＭＰＬＳは、特にネットワークがより変化するトラフィックの搬送を開始する場合、データ伝送のためにＱｏＳを提供する手段を提供する。
【００５８】
セッションマネージャ３０６は、またセッション持続能力を提供することができる。例えば一実施形態では、ユーザが接続を停止するか、またはあるプロバイダのネットワークサービスエリヤから他に移動し、第１の接続が終了し、第２の接続が開始される場合、接続マネージャ３０６はバーチャルセッションを持続する。
【００５９】
セッションマネージャ３０６はサーバ側規則エンジンを含むことができる。サーバ側規則エンジンは、上記のセッション統計などの履歴情報を統計的な攻撃の決定に使用することができる。例えばセッションマネージャ３０６はクライアント装置１０２に関する格納された統計にアクセスすることができ、クライアント装置１０２に対する現統計の監視に基づいて、権限のないユーザがクライアント装置１０２を使用していることの決定をすることができる。
【００６０】
図３に示すセキュリティサーバ１０４は、またリアルタイムモニタ３０８を含む。リアルタイムモニタ３０８はログオンするクライアントおよびユーザ、伝送されるデータ量、実行中のＱｏＳ測定、使用中のポート、およびその他の情報などの通信状態を監視する。
【００６１】
リアルタイムモニタ３０８が問題を検出する場合、ネットワークサポートに警報を出すことができる。一実施形態では、リアルタイムモニタ３０８からのデータはセキュリティサーバ３０８において利用可能なポータルを介してユーザに提供する。別の実施形態では、リアルタイムモニタ３０８はユーザがデータにアクセスする、企業サーバ１０６に情報を伝送する。
【００６２】
図３に示す実施形態は、また履歴モニタ３１０を含む。履歴モニタ３１０はリアルタイムモニタ３１０に類似の情報を提供する。とはいえ基本となるデータは事実上履歴に関するものである。例えば一実施形態では、履歴モニタ３１０は知的業務決定を行い、規制準拠の問題を取り扱うための監査情報を提供する。
【００６３】
履歴モニタ３１０を介して利用可能な情報は、例えば履歴上のＱｏＳデータ、登録準拠データ、および計量に合致するデータを含む。履歴データモニタ３１０は、種々のクライアントの計量を時間に亘って比較することにより、あるクライアントが最適に動作していないことの決定に使用することができる。例えば履歴データモニタ３１０を介して利用可能な情報の評価により、支援要員は特定のクライアント装置１０２の無線チューナの故障を決定することができることがある。あるクライアント装置１０２のユーザがサービスの可用性について苦情を伝えているが、他のユーザはサービスに成功裡にアクセスできれば、その場合クライアント装置の無線が問題でありうる。
【００６４】
履歴データモニタ３１０は、また接続に関してセキュリティサーバ１０４において得られる情報、および電気通信事業者により提供するデータを調和させるのに使用することができる。データは、あるリソースを増やす必要がある場合、およびある通信事業者が適切に動作していない場合の決定に使用することができる。
【００６５】
セキュリティサーバは、またデータベース３１２を含む。本発明の実施形態では、データベース３１２は、たとえばＭｙＳＱＬ，オラクル、またはマイクロソフトのＳＱＬを含む任意のタイプのデータベースでありうる。またデータベース３１２は図２では単一のデータベースとして示されるが、データベース３１２は実際には複数のデータベース、１つ以上のデータベース内の複数のスキーマ、および１つ以上のスキーマ内の複数のテーブルを含むことができる。データベース３１２は、また１台以上の他のマシーン、例えばデータベースサーバにおいて存在することができる。
【００６６】
本発明の一実施形態では、データベース３１２は有効なユーザリスト、有効なセルラーカードリスト、企業内の個々のユーザとグループとの間の関係、およびその他の顧客情報などのセキュリティサーバ１０４によりサービスを受ける企業に関する顧客情報を格納する。
【００６７】
例えば一実施形態では、データベース３１２は、ユーザとセルラーデータカードとの間の関連を格納する。企業は特定のデータカードに一人のユーザを割り当てることができる。あるいは企業はユーザグループをセルラーデータカードグループに関連付けることができる。請求書発送データなどのその他のタイプのデータは、またデータベース３１２に格納することができる。
【００６８】
図３に示すセキュリティサーバ１０４は、またＱｏＳサーバ３１４を含む。ＱｏＳサーバ３１４はクライアント装置１０２におけるＱｏＳ収集装置２１２から情報をアップロードし、ＱｏＳデータを格納する。ＱｏＳサーバ３１４は複数のクライアントからデータを収集し、データベース３１２にデータを格納することができる。
【００６９】
セキュリティサーバは、またＱｏＳツールエンジン３１６を含む。ＱｏＳツールエンジン３１６は、ＱｏＳサーバ３１４およびリアルタイムモニタ３０８などのその他のプロセスにより利用可能になるデータを表示する。
【００７０】
一実施形態では、ＱｏＳツールエンジン３１６はスプレッドシートにおけるＱｏＳデータの集合を提供する。別の実施形態では、ＱｏＳツールエンジン３１６は地図の景観、パイ図表、およびグラフを使用するデータを提供する。ＱｏＳツールエンジン３１６は、またＱｏＳベースの警報設定のための能力を提供することができ、ポータルを介してユーザにデータを提供することができる。
【００７１】
図３に示す実施形態では、セキュリティサーバ１０４は、またポータルサーバ３１８を含む。ポータルサーバ３１８は、例えばウエブサーバでありうる。マイクロソフト(登録商標)のインターネット情報サーバ（Internet Information Server、”ＩＩＳ”）またはアパッチを含む任意の標準ウエブサーバアプリケーションを使用することができる。
【００７２】
図１および図３に示すセキュリティサーバ１０４は単一のサーバとして図示されるが、セキュリティサーバ１０４は複数のサーバを含むことができる。例えば本発明の一実施形態では、セキュリティサーバ１０４は複数の地域サーバを含む。
【００７３】
また上記の記述は、データがセキュリティサーバ１０４に提供され、セキュリティサーバ１０４からクライアント１０２により問い合わせが出される、即ちクライアントがデータを取り出す、ことを示唆する。一方幾つかの実施形態では、クライアント１０２は、また聴取装置(図示せず)を含み、従ってセキュリティサーバ１０４はデータをクライアント１０２に出力することができる。
【００７４】
（企業サーバ）
図４は本発明の一実施形態における企業サーバ１０６に存在するモジュールを説明するブロック図である。企業サーバ１０６は、本明細書では顧客サーバと呼ぶこともでき、１つ以上のセキュリティサーバ１０４に接続される１つ以上の企業のための１つ以上のサーバを含むことができる。
【００７５】
図４に示す企業サーバ１０６はポリシーサーバ４０２を含む。ポリシーサーバ４０２は、例えば利用可能なＶＰＮプロファイル、利用可能な伝送機構（例えばＷｉ−Ｆｉ、ＬＡＮ、ＰＨＳ、ダイヤルアップ）、ファイアウォール規則、ブラックリストおよびホワイトリストなど、接続規則、およびアンティウイルス規則を含むポリシー規則を管理するための手段を提供する。ポリシーサーバ４０２は、各クライアントまたはクライアントのグループに対して実行するデータ調節レベルなど、その他の規則も含むことができる。データ調節により個々のクライアント１０２へのデータ伝送速度を制限し、接続リソースを最適化することができる。
【００７６】
ポリシーは１つ以上のレベルにおいて管理することができる。例えばＩＴマネージャが企業に対して全体としてのＶＰＮプロファイル、しかし技術グループに対しては異なるＶＰＮプロファイルの創出を望むことができるのは、技術グループが種々の固有のアプリケーションへのアクセスを必要とするからである。
【００７７】
ポリシーサーバ４０２は、またクライアント１０２が利用する種々のサーバの位置形成のための機構を提供することができる。例えばポリシーサーバ４０２は、ＩＴマネージャに加速サーバ４０４または貯蔵サーバ４０６のＩＰアドレスの指定を許容することができる。
【００７８】
一実施形態では、ポリシーサーバは、またクライアント１０２における種々の構成要素に対する更新を受信するユーザの指定をＩＴマネージャに許容する。ポリシーサーバ４０２は、また接続構成の実行をＩＴマネージャに許容することができる。例えばＩＴマネージャはポリシーサーバを使用して、ＰＨＳ接続のための電話番号、私的接続のためのＷｉ−ＦｉＳＳＩＤの電話番号、およびその他の接続構成情報を指定することができる。
【００７９】
図４に示す企業サーバ１０６は、また加速サーバ４０４を含む。加速サーバ４０４はデータ伝送の性能を改善するプロセスを実行する。例えば加速サーバ４０４はクライアント１０２に伝送する画像を自動的に圧縮することができる。
【００８０】
一実施形態では、加速サーバ４０４はポリシーサーバ４０２と通信する。ＩＴマネージャはポリシーサーバ４０２を使用して加速規則を設定し、加速サーバ４０４はこれらの規則を使用して、個々の通信に対して使用する加速レベルを決定する。一実施形態では、ＩＴマネージャは、全ての通信に対して無指定の加速レベルおよびあるユーザグループに対して特定の加速レベルを設定する。特定レベルの加速を優先加速と呼ぶことができる。
【００８１】
企業サーバ１０６は、また貯蔵サーバ４０６を含む。貯蔵サーバは２つの構成要素、自動的構成要素および監督構成要素を含む。一実施形態では、自動的構成要素は企業のメールサーバ(図示せず)を組み込み、メールサーバに出入りする電子メールに関する動作を実行する。例えば貯蔵サーバ４０６は電子メールを検疫し、自動的に電子メールを暗号化した後送信し、電子メールに法的拒否を付加するか、または電子メールに関するその他の機能を実行する。
【００８２】
一実施形態では、貯蔵サーバ４０６の自動的構成要素は、用語に基づくか、または電子メールの宛先または発信元のドメインまたは特定のアドレスに基づいて電子メールを検索する。この情報を使用して、ユーザは上記のものなどの電子メールに関する機能を実行することができる。
【００８３】
貯蔵サーバ４０６の監督構成要素はユーザに特定のユーザまたは全てのユーザのいずれかによる安全なコンテンツへのアクセスの終了を許容する。監督構成要素は、また動作を記入する。貯蔵サーバ４０６の一実施形態を使用してユーザは、雇用が終了したユーザの組が最早いずれの安全なコンテンツへもアクセスできないことを示すことができる。貯蔵サーバ４０６の代わりの実施形態では、ユーザは安全なコンテンツ、例えば価格リストの所与の要素が今や期限切れであり、従って安全なコンテンツの一部分は、いずれのユーザによっても最早見ることができないことを示すことができる。各ユーザが安全なコンテンツにアクセスする場合、貯蔵サーバ４０６は事象を記入する。従ってそれぞれの安全なコンテンツの要素に対して、貯蔵サーバ４０６は安全なコンテンツに関する全ての動作の記録を創出する。
【００８４】
一実施形態では、貯蔵サーバ４０６は、またデータを圧縮する。例えば一実施形態では、標準ＰＫＺＩＰ圧縮を利用して、全てのコンテンツを圧縮する。別の実施形態では、ＩＴマネージャは３つのタイプの画像を特定し、各タイプの画像に対する必要な解像度のレベルに基づいて各タイプの画像に対して異なるレベルの圧縮を指定することができる。
【００８５】
企業サーバ１０８は、またＲＡＤＩＵＳサーバ４０８およびＬＤＡＰサーバ４１０を含み、これらはセキュリティサーバ１０４に関係する上記のサーバに類似である。セキュリティサーバ１０４におけるＲＡＤＩＵＳサーバ３０２は、企業サーバ１０６におけるＲＡＤＩＵＳサーバ４０８の代理をすることができる。同様にＬＤＡＰサーバ４１０におけるデータは、セキュリティサーバ１０４におけるＬＤＡＰサーバ２０４に伝播することができる。
【００８６】
企業サーバ１０６は、また一回限りのパスワード（one-time password、”ＯＴＰ”）サーバ４１２を含む。ＯＴＰサーバ４１２は認証のための機構を提供する。例えば本発明の一実施形態では、企業サーバ１０６はＯＴＰサーバ４１２を使用して、相互認証プロセスを実行する。
【００８７】
企業サーバ１０６は、また集線装置４１４を含む。集線装置４１４はクライアント１０２に遠隔アクセス能力を提供する。例えば集線装置４１４は、クライアント１０２と企業サーバ１０６との間でＶＰＮを終端させる手段として役立つことができる。
【００８８】
図４に示す企業サーバ１０４は、またポータルサーバ４１６を含む。ポータルサーバ４１６は、ＩＩＳまたはアパッチなどの標準ウエブサーバを含むことができる。ポータルサーバ４１６は１つ以上のポータルを提供することがある。例えば一実施形態では、ポータルサーバ４１６は２つのポータル、ポータル１およびポータル２を提供する。
【００８９】
ポータル１は、例えばポリシーサーバ４０２およびＬＤＡＰサーバ４１０を含む図２および図３に示す種々の要素を管理するための構成インタフェースを提供する。ポータル２は、ＱｏＳデータおよびセッションデータなどのデータにアクセスするためのインタフェースを提供する。
【００９０】
例えばユーザは、ポータル２における履歴ＱｏＳデータを使用して、個々のプロバイダのスループット、ユーザ接続、およびその他のＱｏＳの計量に関する実行状況を決定することができる。ポータル２は、また現在接続されているユーザの数などのリアルタイム情報を提供することができる。
【００９１】
例えば一実施形態では、ＩＴマネージャは、認証の失敗によりこの３分間に２０ユーザが通信事業者により拒否され、同じユーザ識別子を持つ５ユーザが現在５台の異なる装置にログオンしていることを決定する。ＩＴマネージャはこの情報を使用して、セキュリティに潜む問題を検出する。ポータル２は、また上記のように警報の設定に使用することができる。
【００９２】
注意すべきは、本発明は図１から図４に示すものとは異なる構成を有するシステムを含むことができることである。例えば本発明による幾つかのシステムでは、セキュリティサーバ１０４および企業サーバ１０６は複数のセキュリティおよび企業サーバを含むことができる。図１から図４に示すシステム１００は単に説明上のものであり、以下に記載する説明上のシステムおよびプロセスの説明の手助けに使用する。
【００９３】
（ネットワークアクセス高度化の方法の説明）
以下の説明上の実施形態では、企業サーバ１０６における中央ポリシーサーバ４０２を利用する。クライアント装置１０２はポリシーサーバ４０２からポリシーをダウンロードし、接続マネージャ２１０はポリシーを利用して、接続を行う。その他の実施形態では、ポリシーファイルを創出し、他の方法でクライアント装置１０２に配信する。例えば電子メールの添付物またはディスクを各クライアント装置１０２に配信することができる。更新が必要である都度、新しいディスクまたは電子メールを配信する。
【００９４】
本発明の実施形態では、ポリシーを創出し、クライアント装置１０２に配信する。クライアント装置１０２は接続の実施のためにポリシーを利用する。図５は、本発明の一実施形態におけるグループのポリシーを創出するためのプロセスを説明するフローチャートである。
【００９５】
図５に示す実施形態では、ポリシーの監督者はまずポリシー５０２を決定する。ポリシーは、例えば規制の問題、使用するデータタイプおよび／またはアプリケーション、企業の望む制御レベル、クライアント装置またはクライアント装置グループが動作する物理的環境、ポリシーに関連するユーザグループの経験および技術的知識、およびポリシーに関連する１つ以上のグループにより実行するジョブなどの、多様な要因に基づきうる。ポリシーは、例えば許容接続またはアプリケーションリストおよび非許容接続またはアプリケーションリスト、加速嗜好、およびＶＰＮプロファイルを含む、種々の要素を含むことができる。ポリシーは、また企業またはユーザの接続試行を含みうる。例えば企業はあるＷｉ−Ｆｉホットスポットを使用しないことに決めることができる。ポリシーは日中の時間によって変化しうる。
【００９６】
ポリシーは、例えば使用ベースで請求される場合の全体としての伝送経費を最低化する企業の必要性、幾つかの伝送機構および特定の接続に関して想定される非安全性に基づき感じられる安全性の危機を最少にする企業の希望、およびユーザに対する最高速および最も信頼性のある使用体験を保証する企業の希望を含む、幾つかの要因に基づきうる。ポリシーは第３のパーティのパラメータにも基づきうる。例えばポリシーは、全体として伝送経費を最低にする企業のセキュリティプロバイダの希望に基づきうる。
【００９７】
ポリシー監督者は、次にポリシー５０４に関連するグループを選択する。監督者は手動によりグループ名およびユーザ識別子を入力することができる。あるいは監督者は、ＬＤＡＰ４１０またはマイクロソフトのアクティブディレクトリサーバなどの中央ディレクトリからグループを選択することができる。各ポリシーは、例えば企業、企業内または企業間グループ、または個人に関連しうる。
【００９８】
一度監督者がポリシーを創出し、ポリシーをグループに関連付けると、監督者はポリシーグループ連結５０６を貯蔵する。ポリシーグループ連結はポリシーサーバ４０２と通信するデータベース(図示せず)に格納することができる。あるいはポリシーグループ連結はファイル、例えばＸＭＬ形式でファイルに格納することができる。
【００９９】
監督者は、次いでポリシーおよびポリシーグループ連結をクライアント装置５０８に配信させる。例えばポリシーおよびポリシーグループ連結はポリシーサーバ４０２と通信するデータベースに所在することができ、クライアント装置がポリシーのダウンロードを試行する場合、ポリシーグループ連結を使用して、ダウンロードする１つ以上のポリシーを決定する。ポリシーおよびポリシーグループ連結はネットワーク１０８などのネットワークを介して、またはＣＤ−ＲＯＭなどの媒体により分配することができる。一実施形態では、ポリシーの変化のみをダウンロードする。その他の実施形態では、ダウンロードが発生する度に全ポリシーをダウンロードする。
【０１００】
幾つかの実施形態では、一度ポリシーをクライアント装置にダウンロードすると、ユーザはポリシーを変更することができる。例えばポリシーサーバ４０２からダウンロードしたＶＰＮプロファイルに関連するＶＰＮが、一時的に使用できなければ、ユーザはクライアントにおいて代わりのＶＰＮプロファイルを設定することができる。
【０１０１】
図６は、本発明の一実施形態におけるクライアントに関するポリシー情報を更新するためのプロセスを説明するフローチャートである。提示する実施形態では、クライアント装置１０２におけるポリシー読取装置２１６はポリシーをロードする６０２。例えばポリシーはＸＭＬファイルで存在することができ、ポリシー読取装置２１６はこれを開き、読む。
【０１０２】
接続マネージャ２１０は、次いで最も直近に使用した接続および最も直近に使用した接続の利用可能性を決定する６０４。クライアント装置１０２がＷｉ−Ｆｉホットスポットに接続中に、例えばユーザはクライアント装置１０２を閉鎖することがある。ユーザがクライアント装置１０２を開始させる場合、クライアント装置はＷｉ−Ｆｉホットスポットへの接続を試行する。
【０１０３】
クライアント装置１０２が最も直近に使用した接続に接続できなければ、クライアント装置１０２は新規接続６０６の特定を試行する。例えばクライアント装置１０２は、クライアントが接続されていたＷｉ−Ｆｉホットスポットの範囲外に移動したかもしれない。クライアント装置１０２は全ての現在利用可能な接続を特定する。クライアント装置１０２は、またユーザに関連する１つ以上のポリシーを特定する。クライアント装置１０２は、次いで１つ以上のネットワーク接続の特性を特定し、ネットワーク特性をポリシー(規則)と比較する。ネットワーク特性は、例えばセキュリティ、信頼性などのサービス品質測度でありえ、速度が利用されうる。クライアント装置１０２は、また経費または経費と決定を行う複数のその他の特性との組み合わせを使用することができる。一実施形態では、クライアント装置１０２は、複数の特性に正規化アルゴリズムを適用し、各ネットワーク接続に対して単一の数を得る。クライアント装置１０２は、次いで単一の数を比較して、接続するネットワークを決定する。
【０１０４】
最も直近に使用した接続または新たに特定した接続のいずれかを使用して、クライアント装置はポリシーサーバ（４０２）に接続する６０８。例えばクライアント装置１０２は、最も直近に使用したＷｉ−Ｆｉホットスポットに接続し、次いでインターネットを経てポリシーサーバ４０２およびＱｏＳサーバ３１０との接続を確立する。
【０１０５】
一度クライアント装置１０２がネットワークとの接続を確立すると、クライアント装置はＱｏＳサーバ（３１０）にＱｏＳデータをアップロードする６１０。一実施形態では、以前のセッションからのＱｏＳデータを現セッションの開始時にアップロードし、従って切断になった接続などのサービスの中断を正確に追跡することができる。
【０１０６】
クライアント装置は、次にポリシーサーバ(４０２)から最近のポリシーデータをダウンロードする６１２。ポリシーデータは最後の接続以来の変化のみを含むことができる。例えばクライアント装置１０２は、最後の更新データ以後創出しまたは変更した、ポリシーサーバ４０２からの最後のダウンロードデータおよびダウンロードポリシーのみを格納することができる。クライアント装置は他の情報もダウンロードすることができる。例えば監督者は、特定のクライアント装置１０２が盗まれ、クライアント装置にそのハードドライブにおけるデータを暗号化させる指標を設定したことを決定することができる。クライアント装置１０２が接続する場合、クライアント装置１０２は指標をダウンロードする。
【０１０７】
プロセスはユーザに透明でありうる。一実施形態では、ダウンロードプロセスはサービスとして動作する。クライアント装置１０２が動作を開始するたびに、プロセスは動作を実行する。プロセスは、またクライアント装置１０２にＶＰＮに自動的に接続させることを含むことができ、その結果ユーザは企業アプリケーションにアクセスすることができる。
【０１０８】
図７は、本発明の一実施形態におけるデータのダウンロード中にネットワーク接続を変更するための方法を説明するフローチャートである。提示する一実施形態では、接続マネージャ２１０はネットワーク接続を変更する指示を受信する７０２。指示は、新規に利用可能になるネットワークの特定、ユーザによる手動選択、またはあるその他の指示によることができる。例えばセルラーデータカードなどのハードウェア装置は、新規接続が利用可能であることを指示することができる。ユーザは指示を受信し、新規ネットワークへの変更を決定し、ユーザインタフェースにおけるボタンをクリックし、変更の希望を示す。
【０１０９】
一実施形態では、接続マネージャ２１０は新規ネットワークを特定する。接続マネージャは、次いで現在接続されている(既存の)ネットワークの第１の特性を第２の新規ネットワークの第１の特性と比較する。特性は２つのネットワークに関する同じまたは類似の情報、例えばネットワークのタイプを意味することがある。ポリシーに基づいて、接続マネージャ２１０は接続するネットワークを決定する。
【０１１０】
一実施形態では、接続マネージャ２１０の規則エンジンは、物理的に利用可能な（正しい装置が実装され、動作し、信号が利用可能である）、接続に対するデータの６つの核である項目に基づいて接続の決定を行う。
【０１１１】
（１）接続はこのユーザに許されるか、
（２）接続はどの程度安全と思われるか、
（３）接続はどの程度信頼があると思われるか、
（４）接続はどの程度速いと思われるか、
（５）接続は他に比して企業にとってどの程度高価か、および
（６）接続は他に比してネットワークセキュリティ・サービスプロバイダなどのサービスプロバイダにとってどの程度高価か、
このリストにおける項目(１)は、接続が一般に企業に利用可能であるかないか、および企業はユーザに対して接続を利用可能にした（または、幾つかの実施形態では、より正確には、ユーザに接続を禁じていない)かに基づいて指定される。項目(２)は企業の嗜好の指示に基づく。項目(２)は、また自動的に適用される攻撃検出アルゴリズムに基づくことができ、例えば特定のタイプの接続または特定の位置において攻撃が比較的多く検出されれば、その場合攻撃が比較的多く生じている。
【０１１２】
項目(３)は接続統計に基づく。そのような一実施形態では、企業には相対信頼性知覚測度の指示に選択肢がある。項目(４)も接続統計に基づく。項目(５)は、企業がプロバイダと共に入力した値付け計画に基づく。そして項目(６)は通信事業者の値付け取り決めおよび種々の接続に対する使用の仮定に基づく。
【０１１３】
本発明の一実施形態はこれら６項目のそれぞれを取り上げ、正規化アルゴリズムを使用して、これらの要素を（その相対強度により)範囲内における「重み付け」にする。次いで、クライアント装置１０２における規則エンジンは、最高の重み付けを持つ接続を単に選択する。
【０１１４】
幾つかの場合では規則ベースの分析にもかかわらず企業は、ユーザの所与の、短い時間に対する特定の接続の使用を望まないことがある。一実施形態では、システムは、企業に短時間接続の除外を特に認める。
【０１１５】
切断の前に、接続マネージャ２１０はセッション維持サーバ３１６に信号を送信し、現在動作中のあらゆるデータ伝送を停止する７０４。データ伝送を停止することにより、接続マネージャ２１０はデータ損失の可能性の排除の手助けをする。
【０１１６】
接続マネージャ２１０は、次いでネットワーク（１０８）からクライアント装置１０２を切断にする７０６。切断プロセスは種々のネットワーク間で異なることがある。クライアント装置１０２が切断である期間中は、セッション維持サーバ３１６はデータをキャッシュする。非常に短くてよいが、ある時間の後、接続マネージャ２１０はネットワークへの再接続を試行する７０８。ネットワーク１０８は、最も直近に使用したネットワークであるか、または新規に特定したネットワークでありうる。接続はある時間の間、停止されうる。一実施形態では、切断が生じる場合、ユーザは、ユーザの切断期待時間を指定することができる。セッション維持サーバ３１６はこの情報を使用して、切断の間キャッシュするデータ量を決定する。
【０１１７】
接続マネージャ２１０またはセッション維持サーバ３１６は、次いで切断の前に生じていたダウンロードを継続すべきかを決定する７１０。例えば接続マネージャ２１０は、新規接続がデータダウンロードをサポートするには遅すぎることを決定する。接続マネージャ２１０は、またポリシーを見て、接続に適用する規則を決定する。
【０１１８】
ダウンロードを継続すべきであれば、接続マネージャ２１０はデータ伝送を回復する７１２。データ伝送は次いで完了するか、または後の切断に委ねることがありうる。新規ネットワークがダウンロードのサポートに適さないか、またはダウンロードが完了すれば、プロセスは終了する７１４。
【０１１９】
例えば一実施形態では、販売員は価格リストを含む厚い書類のダウンロードを必要とする。販売員のコンピュータは現在比較的遅い、ワイドエリヤネットワーク接続を介して接続されている。販売員は、販売員が高速Ｗｉ−Ｆｉ接続のあることを知るコーヒーショップに入る。
【０１２０】
クライアント装置１０２が、Ｗｉ−Ｆｉ接続が利用可能であることを示せば、ユーザはクライアント装置１０２がネットワークを変更すべきであることを指示する。クライアント装置はシームレスにＷｉ−Ｆｉネットワークに接続し、ポリシーにおいて確立した規則に基づいて、書類のダウンロードを開始する。ダウンロードの完了前にユーザがコーヒーショップを出なければならなければ、接続マネージャ２１０はセッション維持サーバ３１６に信号を伝え、ユーザがコーヒーショップに再び入るか、または別の高速ネットワークに接続するまで、ダウンロードを一時停止することができる。
【０１２１】
一実施形態では、セッション維持は次のプロセスにおいて動作する。切断事象が生じる場合、接続マネージャ２１６はクライアント装置１０２に着信するアプリケーションデータをバッファし、アップリケーションに、アプリケーションは未だ接続されていると「信じ」させる。同時に、セッション維持サーバ２１６はサーバ側における情報をバッファし、サーバ１０４に、サーバ１０４は未だ接続されていると「信じ」させる。一度ネットワーク接続が再接続されると、接続マネージャ２１０およびセッション維持サーバ３１６は両側に積み上げたバッファを空にする。
【０１２２】
そのような一実施形態では、マイクロソフトプロトコルスタック（ＯＳＩモデルのレイヤ３に凡そ等価）におけるＮＤＩＳレイヤにカーネルモードドライバを実装する。このカーネルモードドライバはマイクロソフトＷ２Ｋ／ＷＸＰオペレーティングシステムにおける「中間ドライバ」として実装される。ドライバは、全てのネットワーク通信の進行を通して単一の「バーチャル装置」として動作する。現在の物理的接続に応じて、この単一の装置はこのトラフィックを適する物理的装置に経路指定する（適する場合、第３のパーティのＶＰＮに関連するバーチャル装置を通じて宛て先指定される）。
【０１２３】
アプリケーションレイヤ構成要素に、ネットワークは依然健在であり、動作していることを信じさせるために、ネットワークの中断が生じる場合、「切断」信号はアプリケーションレイヤ構成要素に送信されない。このようにアプリケーションレイヤ構成要素は、あたかも接続が単に遅いかのように、接続を取り扱う。
【０１２４】
そのような実施形態では、クライアント１０２とサーバ１０４との間の本来のインタフェース構成要素は、クライアントが長い時間切断であるが、この延長時間に亘るセッションの維持の希望を指示することである。この場合クライアント１０２は、システムが切断である時間（例えば国内飛行時間の間）を入力する手段をユーザに提供し、クライアントは切断事象の期待長をサーバに通知する。
【０１２５】
サーバ１０４において、セッション維持サーバ３１６はクライアントからネットワークリソースへの接続に対する代理として機能する。これらのリソースは企業データセンタにあるか、または公的リースにある。サーバの実装には、キャッシングの位置および請求のための記録を管理するアプリケーションレイヤ構成要素と組み合わせたクライアントにおけるものに類似の中間ドライバ構成を含む。企業が企業においてキャッシングが生じることを望む場合がありうる。この場合、システムはキャッシュが企業への静的トンネルの他の側に存在することを許容する。
【０１２６】
（その他の実施形態）
本発明の実施形態のこれまでの説明は、図示および説明の目的のためのみに提示されたものであり、全てを尽くすか、または開示した正確な形式に本発明を制限するために考えられたものではない。本発明の精神および範囲を逸脱することのない数多くの変更およびその適用は、当業者には明らかであろう。
【図面の簡単な説明】
【０１２７】
【図１】本発明の一実施形態の実装を説明するための環境を示すブロック図である。
【図２】本発明の一実施形態におけるクライアント装置１０２に存在するモジュールを説明するブロック図である。
【図３】本発明の一実施形態におけるセキュリティサーバ１０４に存在するモジュールを説明するブロック図である。
【図４】本発明の一実施形態における企業サーバ１０６に存在するモジュールを説明するブロック図である。
【図５】本発明の一実施形態におけるグループのポリシーを創出するためのプロセスを説明するフローチャート図である。
【図６】本発明の一実施形態におけるクライアントに関するポリシー情報を更新するためのプロセスを説明するフローチャート図である。
【図７】本発明の一実施形態におけるデータのダウンロード中にネットワーク接続を変更するための方法を説明するフローチャート図である。
【図１】
2008504792.tif 000003
【図２】
2008504792.tif 000004
【図３】
2008504792.tif 000005
【図４】
2008504792.tif 000006
【図５】
2008504792.tif 000007
【図６】
2008504792.tif 000008
【図７】
2008504792.tif 000009
【手続補正書】
【提出日】平成19年4月2日(2007.4.2)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】００６１
【補正方法】変更
【補正の内容】
【００６１】
リアルタイムモニタ３０８が問題を検出する場合、ネットワークサポートに警報を出すことができる。一実施形態では、リアルタイムモニタ３０８からのデータはセキュリティサーバ１０４において利用可能なポータルを介してユーザに提供する。別の実施形態では、リアルタイムモニタ３０８はユーザがデータにアクセスする、企業サーバ１０６に情報を伝送する。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００６２
【補正方法】変更
【補正の内容】
【００６２】
図３に示す実施形態は、また履歴モニタ３１０を含む。履歴モニタ３１０はリアルタイムモニタ３０８に類似の情報を提供する。とはいえ基本となるデータは事実上履歴に関するものである。例えば一実施形態では、履歴モニタ３１０は知的業務決定を行い、規制準拠の問題を取り扱うための監査情報を提供する。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００８５
【補正方法】変更
【補正の内容】
【００８５】
企業サーバ１０６は、またＲＡＤＩＵＳサーバ４０８およびＬＤＡＰサーバ４１０を含み、これらはセキュリティサーバ１０４に関係する上記のサーバに類似である。セキュリティサーバ１０４におけるＲＡＤＩＵＳサーバ３０２は、企業サーバ１０６におけるＲＡＤＩＵＳサーバ４０８の代理をすることができる。同様にＬＤＡＰサーバ４１０におけるデータは、セキュリティサーバ１０４におけるＬＤＡＰサーバ２０４に伝播することができる。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００８８
【補正方法】変更
【補正の内容】
【００８８】
図４に示す企業サーバ１０６は、またポータルサーバ４１６を含む。ポータルサーバ４１６は、ＩＩＳまたはアパッチなどの標準ウエブサーバを含むことができる。ポータルサーバ４１６は１つ以上のポータルを提供することがある。例えば一実施形態では、ポータルサーバ４１６は２つのポータル、ポータル１およびポータル２を提供する。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０１０４
【補正方法】変更
【補正の内容】
【０１０４】
最も直近に使用した接続または新たに特定した接続のいずれかを使用して、クライアント装置はポリシーサーバ（４０２）に接続する６０８。例えばクライアント装置１０２は、最も直近に使用したＷｉ−Ｆｉホットスポットに接続し、次いでインターネットを経てポリシーサーバ４０２およびＱｏＳサーバ３１４との接続を確立する。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】０１２１
【補正方法】変更
【補正の内容】
【０１２１】
一実施形態では、セッション維持は次のプロセスにおいて動作する。切断事象が生じる場合、接続マネジャ２１０はクライアント装置１０２に着信するアプリケーションデータをバッファし、アップリケーションに、アプリケーションは未だ接続されていると「信じ」させる。同時に、セッション維持サーバ３１６はサーバ側における情報をバッファし、サーバ１０４に、サーバ１０４は未だ接続されていると「信じ」させる。一度ネットワーク接続が再接続されると、接続マネジャ２１０およびセッション維持サーバ３１６は両側に積み上げたバッファを空にする。
【国際調査報告】
2008504792.tif 000010
2008504792.tif 000011
2008504792.tif 000012