(57)【要約】  ネットワーク内におけるデータのセキュリティスキャニング用の方法及びシステムである。ネットワーク装置は、ネットワークのセキュリティポリシーに基づいて（２１０）、ネットワークトラフィックに対して適用を要する又は適用しなければならないセキュリティ技術を特定する（２２０）。ネットワーク装置は、まだ適用されていないセキュリティ技術がネットワーク装置にとって利用可能であるという判定に基づいて、まだ適用されていないセキュリティ技術を適用する（２３０）。次いで、ネットワーク装置は、セキュリティマーカーによってネットワークトラフィックにタグ付けを実行し、まだ適用されていなかったセキュリティ技術が適用されたことを通知することにより、ネットワークトラフィックに対して適用済みであるセキュリティ技術を反映させる（２３５）。【選択図】図２
2008527921.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク内におけるデータのセキュリティスキャニング用の方法において、
前記ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する段階と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する段階と、
前記ネットワークトラフィックと関連したセキュリティマーカーに基づいて、前記ネットワークトラフィックにまだ適用されていない必須のセキュリティ技術を判定する段階と、
を有する方法。
【請求項２】
前記少なくとも１つの必須の技術がセキュリティ装置にとって利用可能であるという判定に基づいて、前記ネットワーク上のセキュリティ装置により、前記まだ適用されていない必須のセキュリティ技術の中の少なくとも１つの必須のセキュリティ技術を適用する段階と、
前記ネットワークトラフィック内のセキュリティマーカーにより、前記ネットワークトラフィックに対して適用済みである前記少なくとも１つの必須のセキュリティ技術を通知する段階と、
を更に有する請求項１記載の方法。
【請求項３】
取得する段階は、前記ネットワークの境界上の境界セキュリティ装置によってネットワークのセキュリティポリシーを取得する段階を有する請求項１記載の方法。
【請求項４】
特定する段階は、前記セキュリティポリシーの完全性を検証する段階を更に有する請求項１記載の方法。
【請求項５】
特定する段階は、前記セキュリティポリシーの信憑性を検証する段階を更に有する請求項１記載の方法。
【請求項６】
判定する段階は、デジタル署名されたセキュリティマーカーを受信する段階を有する請求項１記載の方法。
【請求項７】
判定する段階は、前記セキュリティマーカーの完全性を検証する段階を有する請求項６記載の方法。
【請求項８】
判定する段階は、前記セキュリティマーカーと関連した前記デジタル署名の信憑性を検証する段階を有する請求項７記載の方法。
【請求項９】
ネットワーク内におけるデータのセキュリティスキャニング用のシステムであって、
前記ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する手段と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する手段と、
前記ネットワークトラフィックと関連したセキュリティマーカーに基づいて、前記ネットワークトラフィックにまだ適用されていない必須のセキュリティ技術を判定する手段と、
を有するシステム。
【請求項１０】
前記少なくとも１つの必須の技術がセキュリティ装置にとって利用可能であるという判定に基づいて、前記ネットワーク上のセキュリティ装置により、前記まだ適用されていない必須のセキュリティ技術の中の少なくとも１つの必須のセキュリティ技術を適用する手段と、
前記ネットワークトラフィック内のセキュリティマーカーにより、前記ネットワークトラフィックに対して適用済みである前記少なくとも１つの必須のセキュリティ技術を通知する手段と、
を更に有する請求項９記載のシステム。
【請求項１１】
前記取得する手段は、前記ネットワークの境界上の境界セキュリティ装置によってネットワークのセキュリティポリシーを取得する手段を有する請求項９記載のシステム。
【請求項１２】
前記特定する手段は、前記セキュリティポリシーの完全性を検証する手段を更に有する請求項９記載のシステム。
【請求項１３】
前記特定する手段は、前記セキュリティポリシーの信憑性を検証する手段を更に有する請求項９記載のシステム。
【請求項１４】
前記判定する手段は、デジタル署名されたセキュリティマーカーを受信する手段を有する請求項９記載のシステム。
【請求項１５】
前記判定する手段は、前記セキュリティマーカーの完全性を検証する手段を有する請求項１４記載のシステム。
【請求項１６】
前記判定する手段は、前記セキュリティマーカーと関連した前記デジタル署名の信憑性を検証する手段を有する請求項１５記載のシステム。
【請求項１７】
ネットワーク内におけるデータのセキュリティスキャニング用のシステムにおいて、
前記ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する第１ネットワーク装置と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する第２ネットワーク装置と、
前記ネットワークトラフィックと関連したセキュリティマーカーに基づいて、前記ネットワークトラフィックにまだ適用されていない必須のセキュリティ技術を判定する第３ネットワーク装置と、
を有するシステム。
【請求項１８】
前記少なくとも１つの必須の技術がセキュリティ装置にとって利用可能であるという判定に基づいて、前記まだ適用されていない必須のセキュリティ技術の中の少なくとも１つの必須のセキュリティ技術を適用する前記セキュリティ装置であって、前記ネットワークトラフィック内のセキュリティマーカーにより、前記ネットワークトラフィックに対して適用済みである前記少なくとも１つの必須のセキュリティ技術を通知するセキュリティ装置を更に有する請求項１７記載のシステム。
【請求項１９】
前記第１ネットワーク装置は、ネットワークのセキュリティポリシーを取得する境界セキュリティ装置を有する請求項１７記載のシステム。
【請求項２０】
前記第２ネットワーク装置は、前記セキュリティポリシーの完全性を検証するプロセッサを更に有する請求項１７記載のシステム。
【請求項２１】
前記特定する手段は、前記セキュリティポリシーの信憑性を検証するプロセッサを更に有する請求項１７記載のシステム。
【請求項２２】
前記第３ネットワーク装置は、デジタル署名されたセキュリティマーカーを受信するプロセッサを有する請求項１７記載のシステム。
【請求項２３】
前記第３ネットワーク装置は、前記セキュリティマーカーの完全性を検証するプロセッサを有する請求項２２記載のシステム。
【請求項２４】
前記第３ネットワーク装置は、前記セキュリティマーカーと関連した前記デジタル署名の信憑性を検証するプロッサを有する請求項２３記載のシステム。
【請求項２５】
ネットワーク内におけるデータのセキュリティスキャニング用のシステムにおいて、
プロセッサと、
メモリと、
を有しており、
前記プロセッサ及び前記メモリは、
前記ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する段階と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する段階と、
前記ネットワークトラフィックと関連したセキュリティマーカーに基づいて、前記ネットワークトラフィックにまだ適用されていない必須のセキュリティ技術を判定する段階と、
を有する方法を実行するべく構成されている、システム。
【請求項２６】
前記プロセッサ及び前記メモリは、
少なくとも１つの必須の技術が前記プロセッサにとって利用可能であるという判定に基づいて、前記まだ適用されていない必須のセキュリティ技術の中の前記少なくとも１つの必須のセキュリティ技術を適用する段階と、
前記ネットワークトラフィック内のセキュリティマーカーにより、前記ネットワークトラフィックに対して適用済みである前記少なくとも１つの必須のセキュリティ技術を通知する段階と、
を有する前記方法を実行するべく更に構成されている請求項２５記載のシステム。
【請求項２７】
特定する段階は、前記セキュリティポリシーの完全性を検証する段階を更に有する請求項２５記載のシステム。
【請求項２８】
特定する段階は、前記セキュリティポリシーの信憑性を検証する段階を更に有する請求項２５記載のシステム。
【請求項２９】
判断する段階は、デジタル署名されたセキュリティマーカーを受信する段階を有する請求項２５記載のシステム。
【請求項３０】
判定する段階は、前記セキュリティマーカーの完全性を検証する段階を有する請求項２９記載のシステム。
【請求項３１】
判定する段階は、前記セキュリティマーカーと関連した前記デジタル署名の信憑性を検証する段階を有する請求項３０記載のシステム。
【請求項３２】
ネットワーク内におけるデータのセキュリティスキャニング用の方法を実行する命令を含むコンピュータ可読媒体であって、
前記方法は、
前記ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する段階と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する段階と、
前記ネットワークトラフィックと関連したセキュリティマーカーに基づいて、前記ネットワークトラフィックにまだ適用されていない必須のセキュリティ技術を判定する段階と、
を有する、コンピュータ可読媒体。
【請求項３３】
前記方法は、
少なくとも１つの必須の技術がセキュリティ装置にとって利用可能であるという判定に基づいて、前記ネットワーク上のセキュリティ装置により、前記まだ適用されていない必須のセキュリティ技術の中の前記少なくとも１つの必須のセキュリティ技術を適用する段階と、
前記ネットワークトラフィック内のセキュリティマーカーにより、前記ネットワークトラフィックに対して適用済みである前記少なくとも１つの必須のセキュリティ技術を通知する段階と、
を更に有する請求項３２記載のコンピュータ可読媒体。
【請求項３４】
取得する段階は、前記ネットワークの境界上の境界セキュリティ装置によってネットワークのセキュリティポリシーを取得する段階を有する請求項３２記載のコンピュータ可読媒体。
【請求項３５】
特定する段階は、前記セキュリティポリシーの完全性を検証する段階を更に有する請求項３２記載のコンピュータ可読媒体。
【請求項３６】
特定する段階は、前記セキュリティポリシーの信憑性を検証する段階を更に有する請求項３２記載のコンピュータ可読媒体。
【請求項３７】
判定する段階は、デジタル署名されたセキュリティマーカーを受信する段階を有する請求項３２記載のコンピュータ可読媒体。
【請求項３８】
判定する段階は、前記セキュリティマーカーの完全性を検証する段階を有する請求項３７記載のコンピュータ可読媒体。
【請求項３９】
判定する段階は、前記セキュリティマーカーと関連した前記デジタル署名の信憑性を検証する段階を有する請求項３８記載のコンピュータ可読媒体。
【請求項４０】
ネットワーク内におけるデータのセキュリティスキャニング用の方法において、
前記ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する段階と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する段階と、
前記ネットワークトラフィックと関連したセキュリティマーカーに基づいて、前記ネットワークトラフィックに対してまだ適用されていない必須のセキュリティ技術を判定する段階と、
前記ネットワークトラフィックに適用されていない前記必須のセキュリティ技術が前記宛先ネットワーク装置にとって利用可能であるかどうかを判定する段階と、
を有する方法。
【請求項４１】
前記ネットワークトラフィックに対して適用されていない前記必須のセキュリティ技術が前記宛先ネットワーク装置にとって利用可能であるという判定に基づいて、前記宛先ネットワーク装置により、前記ネットワークトラフィックに適用されていない前記必須のセキュリティ技術を適用する段階を更に有する請求項４０記載の方法。
【請求項４２】
前記ネットワークトラフィックに対して適用されていない前記必須のセキュリティ技術が前記宛先ネットワーク装置にとって利用可能ではないという判定に基づいて、前記宛先ネットワーク装置により、前記ネットワークトラフィックを拒絶する段階を更に有する請求項４０記載の方法。
【請求項４３】
ネットワーク内におけるデータのセキュリティスキャニング用のシステムにおいて、
前記ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する手段と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する手段と、
前記ネットワークトラフィックと関連したセキュリティマーカーに基づいて、前記ネットワークトラフィックに対してまだ適用されていない必須のセキュリティ技術を判定する手段と、
前記ネットワークトラフィックに対して適用されていない前記必須のセキュリティ技術が前記宛先ネットワーク装置にとって利用可能であるかどうかを判定する手段と、
を有するシステム。
【請求項４４】
前記ネットワークトラフィックに対して適用されていない前記必須のセキュリティ技術が前記宛先ネットワーク装置にとって利用可能であるという判定に基づいて、前記宛先ネットワーク装置により、前記ネットワークトラフィックに対して適用されていない前記必須のセキュリティ技術を適用する手段を更に有する請求項４３記載のシステム。
【請求項４５】
前記ネットワークトラフィックに対して適用されていない前記必須のセキュリティ技術が前記宛先ネットワーク装置にとって利用可能ではないという判定に基づいて、前記宛先ネットワーク装置により、前記ネットワークトラフィックを拒絶する手段を更に有する請求項４３記載のシステム。
【請求項４６】
ネットワーク内におけるデータのセキュリティスキャニング用の方法において、
ネットワーク外からのネットワークトラフィックに対する宛先ネットワーク装置からの要求を受信する段階と、
前記ネットワーク外から前記宛先ネットワーク装置に対して伝送されるネットワークトラフィック用の前記ネットワークのセキュリティポリシーを取得する段階と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する段階と、
前記宛先ネットワーク装置への前記ネットワークトラフィックの意図された経路上に配置されている少なくとも１つのネットワーク装置に対してクエリを送信する段階であって、前記クエリは、前記必須のセキュリティ技術の適用を支援するための支援の申し込みを前記少なくとも１つのネットワーク装置に対して要請している、段階と、
を有する方法。
【請求項４７】
少なくとも１つのネットワーク装置が前記必須のセキュリティ技術を適用するべく志願しているという前記支援の申し込みからの判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する段階を更に有する請求項４６記載の方法。
【請求項４８】
前記宛先ネットワーク装置が、保護されていないネットワークトラフィックを拒絶するべく構成されているという判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する段階であって、前記保護されていないネットワークトラフィックは、前記必須のセキュリティ技術によってスキャンされていないネットワークトラフィックである、段階を更に有する請求項４６記載の方法。
【請求項４９】
送信する段階は、前記ネットワークトラフィックのサイズの判定に基づいて前記クエリを送信する段階を有する請求項４６記載の方法。
【請求項５０】
受信する段階は、前記ネットワークの境界上の境界セキュリティ装置によって受信する段階を有する請求項４６記載の方法。
【請求項５１】
特定する段階は、前記セキュリティポリシーの完全性を検証する段階を更に有する請求項４６記載の方法。
【請求項５２】
特定する段階は、前記セキュリティポリシーの信憑性を検証する段階を更に有する請求項４６記載の方法。
【請求項５３】
前記少なくとも１つのネットワーク装置は、前記支援の申し込みにデジタル署名する請求項４７記載の方法。
【請求項５４】
伝送する段階は、前記支援の申し込みの完全性を検証する段階を更に有する請求項５３記載の方法。
【請求項５５】
伝送する段階は、前記支援の申し込みと関連した１つ又は複数のデジタル署名の信憑性を検証する段階を更に有する請求項５４記載の方法。
【請求項５６】
ネットワーク内におけるデータのセキュリティスキャニング用のシステムにおいて、
ネットワーク外からのネットワークトラフィックに対する宛先ネットワーク装置からの要求を受信する手段と、
前記ネットワーク外から前記宛先ネットワーク装置に対して伝送されるネットワークトラフィック用の前記ネットワークのセキュリティポリシーを取得する手段と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する手段と、
前記宛先ネットワーク装置への前記ネットワークトラフィックの意図された経路上に配置されている少なくとも１つのネットワーク装置に対してクエリを送信する手段であって、前記クエリは、前記必須のセキュリティ技術の適用を支援するための支援の申し込みを前記少なくとも１つのネットワーク装置に対して要請している、手段と、
を有するシステム。
【請求項５７】
前記少なくとも１つのネットワーク装置が前記必須のセキュリティ技術を適用するべく志願しているという前記支援の申し込みからの判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する手段を更に有する請求項５６記載のシステム。
【請求項５８】
前記宛先ネットワーク装置が、保護されていないネットワークトラフィックを拒絶するべく構成されているという判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する手段であって、前記保護されていないネットワークトラフィックは、前記必須のセキュリティ技術によってスキャンされていないネットワークトラフィックである、手段を更に有する請求項５６記載のシステム。
【請求項５９】
前記送信する手段は、前記ネットワークトラフィックのサイズの判定に基づいて前記クエリを送信する手段を有する請求項５６記載のシステム。
【請求項６０】
前記受信する手段は、前記ネットワークの境界上の境界セキュリティ装置によって受信する手段を有する請求項５６記載のシステム。
【請求項６１】
前記特定する手段は、前記セキュリティポリシーの完全性を検証する手段を更に有する請求項５６記載のシステム。
【請求項６２】
前記特定する手段は、前記セキュリティポリシーの信憑性を検証する手段を更に有する請求項５６記載のシステム。
【請求項６３】
前記少なくとも１つのネットワーク装置は、前記支援の申し込みにデジタル署名する請求項５７記載のシステム。
【請求項６４】
前記伝送する手段は、前記支援の申し込みの完全性を検証する手段を更に有する請求項６３記載のシステム。
【請求項６５】
前記伝送する手段は、前記支援の申し込みと関連した１つ又は複数のデジタル署名の信憑性を検証する手段を更に有する請求項６４記載のシステム。
【請求項６６】
ネットワーク内におけるデータのセキュリティスキャニング用のシステムにおいて、
プロセッサと、
メモリと、
を有しており、
前記プロセッサ及び前記メモリは、
ネットワーク外からのネットワークトラフィックに対する宛先ネットワーク装置からの要求を受信する段階と、
前記ネットワーク外から前記宛先ネットワーク装置に対して伝送されるネットワークトラフィック用の前記ネットワークのセキュリティポリシーを取得する段階と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する段階と、
前記宛先ネットワーク装置への前記ネットワークトラフィックの意図された経路上に配置されている少なくとも１つのネットワーク装置に対してクエリを送信する段階であって、前記クエリは、前記必須のセキュリティ技術の適用を支援するための支援の申し込みを前記少なくとも１つのネットワーク装置に対して要請している、段階と、
を有する方法を実行するべく構成されている、システム。
【請求項６７】
前記プロセッサ及び前記メモリは、
少なくとも１つのネットワーク装置が前記必須のセキュリティ技術を適用するべく志願しているという前記支援の申し込みからの判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する段階を有する前記方法を実行するべく更に構成されている請求項６６記載のシステム。
【請求項６８】
前記プロセッサ及び前記メモリは、
前記宛先ネットワーク装置が、保護されていないネットワークトラフィックを拒絶するべく構成されているという判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する段階であって、前記保護されていないネットワークトラフィックは、前記必須のセキュリティ技術によってスキャンされていないネットワークトラフィックである、段階を有する前記方法を実行するべく更に構成されている請求項６６記載のシステム。
【請求項６９】
送信する段階は、前記ネットワークトラフィックのサイズの判定に基づいて前記クエリを送信する段階を有する請求項６６記載のシステム。
【請求項７０】
特定する段階は、前記セキュリティポリシーの完全性を検証する段階を更に有する請求項６６記載のシステム。
【請求項７１】
特定する段階は、前記セキュリティポリシーの信憑性を検証する段階を更に有する請求項６６記載のシステム。
【請求項７２】
前記少なくとも１つのネットワーク装置は、前記支援の申し込みにデジタル署名する請求項６７記載のシステム。
【請求項７３】
伝送する段階は、前記支援の申し込みの完全性を検証する段階を更に有する請求項７２記載のシステム。
【請求項７４】
伝送する段階は、前記支援の申し込みと関連した１つ又は複数のデジタル署名の信憑性を検証する段階を更に有する請求項記載７３記載のシステム。
【請求項７５】
ネットワーク内におけるデータのセキュリティスキャニング用の方法を実行する命令を含むコンピュータ可読媒体であって、
前記方法は、
ネットワーク外からのネットワークトラフィックに対する宛先ネットワーク装置からの要求を受信する段階と、
前記ネットワーク外から前記宛先ネットワーク装置に対して伝送されるネットワークトラフィック用の前記ネットワークのセキュリティポリシーを取得する段階と、
前記セキュリティポリシーに基づいて、前記ネットワークトラフィックに対して適用する必要がある必須のセキュリティ技術を特定する段階と、
前記宛先ネットワーク装置への前記ネットワークトラフィックの意図された経路上に配置されている少なくとも１つのネットワーク装置に対してクエリを送信する段階であって、前記クエリは、前記必須のセキュリティ技術の適用を支援するための支援の申し込みを前記少なくとも１つのネットワーク装置に対して要請している、段階と、
を有する、コンピュータ可読媒体。
【請求項７６】
前記方法は、
少なくとも１つのネットワーク装置が前記必須のセキュリティ技術を適用するべく志願しているという前記支援の申し込みからの判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する段階を更に有する請求項７５記載のコンピュータ可読媒体。
【請求項７７】
前記方法は、
前記宛先ネットワーク装置が、保護されていないネットワークトラフィックを拒絶するべく構成されているという判定に基づいて、宛先装置への前記ネットワークトラフィックの前記意図された経路に沿って、セキュリティ技術を適用することなしに、前記ネットワークトラフィックを伝送する段階であって、前記保護されていないネットワークトラフィックは、前記必須のセキュリティ技術によってスキャンされていないネットワークトラフィックである、段階を更に有する請求項７５記載のコンピュータ可読媒体。
【請求項７８】
送信する段階は、前記ネットワークトラフィックのサイズの判定に基づいて前記クエリを送信する段階を有する請求項７５記載のコンピュータ可読媒体。
【請求項７９】
受信する段階は、前記ネットワークの境界上の境界セキュリティ装置によって受信する段階を有する請求項７５記載のコンピュータ可読媒体。
【請求項８０】
特定する段階は、前記セキュリティポリシーの完全性を検証する段階を更に有する請求項７５記載のコンピュータ可読媒体。
【請求項８１】
特定する段階は、前記セキュリティポリシーの信憑性を検証する段階を更に有する請求項７５記載のコンピュータ可読媒体。
【請求項８２】
前記少なくとも１つのネットワーク装置は、前記支援の申し込みにデジタル署名する請求項７６記載のコンピュータ可読媒体。
【請求項８３】
伝送する段階は、前記支援の申し込みの完全性を検証する段階を更に有する請求項８２記載のコンピュータ可読媒体。
【請求項８４】
伝送する段階は、前記支援の申し込みと関連した１つ又は複数のデジタル署名の信憑性を検証する段階を更に有する請求項８３記載のコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、２００５年１月１２日付けで出願された米国特許出願第１１／０３４，１６１号に対する優先権を主張するものである。
本発明は、コンピュータネットワークのセキュリティの分野に関するものである。更に詳しくは、本発明は、複数のセキュリティ装置及び技術を有するネットワーク内において、データのセキュリティスキャニングを調整する方法及びシステムに関するものである。
【背景技術】
【０００２】
インターネット（特に、ワールドワイドウェブ（「ウェブ」）の部分）の人気の絶え間ない増大に伴い、構内情報通信網（ＬＡＮ：Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）及び広域通信網（ＷＡＮ：Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を含むネットワークに接続されるコンピュータが増加している。このようなインターネットの爆発的な成長は、人々の通信法及び多くのビジネス機会との関り方に劇的な影響を与えている。例えば、いくつかの例を挙げただけでも、調査、競合分析、及び支店間の通信を促進すると共に、電子メールを送信するべく、インターネットに対するアクセスを必要としている人々が増加している。
【０００３】
この結果、例えば、企業の情報技術（ＩＴ）部門は、いまや、前例のない問題に直面している。具体的には、これまで、その大部分が明瞭に定義され、且つ、友好的であった環境（即ち、プライベートで安全なコンピュータネットワーク）内において機能してきたこのような部門が、いまや、はるかに複雑であって敵対的である状況に遭遇している。多くのコンピュータが（例えば、インターネットサービスプロバイダあるいはＩＳＰ）とのダイヤルアップ接続を通じて）直接的に、又はＬＡＮとインターネットの間のゲートウェイを通じてインターネットに接続されるようになったことに伴って、ＬＡＮ管理者及び個々のユーザーは、まったく新しい問題の組に同様に直面しているのである。即ち、以前には閉じられていたこれらの演算環境が、いまや、ワールドワイドなコンピュータシステムのネットワークに対して開かれており、特に、今日のシステムは、事実上、インターネットにアクセス可能なすべての犯罪者やハッカーからの攻撃に対して脆弱になっている。
【０００４】
長い間、ネットワークを流れる又はこれに流入するデータのセキュリティゲートウェイとして機能してきたのは、ファイアウォールのみであった。ファイアウォールとは、例えば、ＷＡＮのゲートウェイにおいてデータトラフィックを捕捉し、交換されているデータパケット（即ち、インターネットプロトコルパケット、あるいはＩＰパケット）を、疑わしい又は望ましくない活動についてチェックするべく試みるアプリケーションのことである。又、ファイアウォールは、ＬＡＮに接続されているコンピュータにおいてデータトラフィックを捕捉することも可能である。当初、ファイアウォールは、主には、パケットをフィルタリングすることによってＬＡＮから侵入者を締め出すべく使用されていた。ファイアウォールは、プロトコルの有効性及び内容についてネットワークトラフィックをスキャンするなどの、更なるセキュリティ機能を担うべく徐々に進化している。ネットワークのゲートウェイとして機能している最近のファイアウォールは、多くの異なるネットワークアプリケーションを保護するべく、アンチウイルス（ＡＶ）、アンチスパム、プロトコルアノマリー検出、コンテンツフィルタリング、及び侵入検出システム（ＩＤＳ）などの様々なセキュリティ技術を実装している。ネットワークアプリケーションの例には、ウェブブラウザ、電子メール（「Ｅメール」）、インスタントメッセンジャー（ＩＭ）、及びデータベースアクセスが含まれている。
【０００５】
最近のネットワークは、複数のネットワーク装置（これらには、（例えば、ＩＤＳスキャナ、ＡＶスキャナ、及び電子メールスキャナなどの）配備されているセキュリティ装置及び技術が含まれている）と、サーバー及びデスクトップエンドポイントにインストールされたホストに基づいたセキュリティソフトウェアを具備している可能性が高い。ネットワークトラフィックの特定のフロールートに応じて、トラフィックは、特定のセキュリティ技術によって一度又は複数回にわたってスキャンされることになる。実際には、デスクトップ及びラップトップコンピュータが、ファイアウォール、ＡＶプログラム、スパムスキャナ、及びＩＤＳソフトウェアなどのホストに基づいたセキュリティ装置によるネットワークデータストリームの保護に伴う負担の大きな部分を引き受けている。このネットワークトラフィックの冗長的なスキャニングは、負担を引き受けているセキュリティ装置及びネットワークホストに対して不必要な負荷を課しており、ネットワークのボトルネックや装置の障害の可能性を増大させている。
【０００６】
特定のトラフィックストリームを保護するべく、ネットワーク内に複数のセキュリティ装置が存在していることにより、ネットワークにそのトラフィックストリームを効果的に保護させるということが課題となっている。現在、それぞれの装置は、その能力を最大限に発揮してすべてのトラフィックをスキャンしており、この結果、ネットワーク内の複数のゲートウェイ、装置、及びデスクトップを通じて流れるトラフィックは、ネットワークトラフィックが完全にスキャンされるように、複数回にわたってスキャンされることになる。例えば、ウイルスについてスキャンしていないことが判明している特定のセキュリティゲートウェイからトラフィックが到来する場合には、ネットワーク管理者は、ウイルスについてネットワークトラフィックをスキャンするようにＡＶスキャナを構成可能である。しかしながら、ＡＶスキャナは、ゲートウェイの背後の視認性を具備してはおらず、ゲートウェイの背後の別の装置がウイルスについてそのトラフィックを既にスキャン済みである可能性がある。又、ネットワークが複雑化し、包含するセキュリティ装置の数が増大するのに伴って、個別の装置を効果的に構成することにより、安全であるが効率的であるネットワークを生成するというタスクが非常に困難になっている。この結果、恐らくは、それぞれのセキュリティ装置は、その能力を最大限に発揮してすべてのトラフィックをスキャンするべく構成されることになろう。このようなセットアップは、ネットワークトラフィックのセキュリティを保証することにはなるが、ネットワークリソースが非効率に利用されることになろう。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
従って、複数のセキュリティ装置及び技術を有するネットワーク内において、データのセキュリティスキャニングを調節するシステム及び方法に対するニーズが存在している。このようなシステム及び方法は、セキュリティを提供する能力を有する多くの装置に跨ってネットワークトラフィックを保護する負担を共有しつつ、ネットワークを流れる及びこの内部に流入するすべてのネットワークトラフィックが、ネットワーク管理者によって構成されたレベルにおいて保護されることを保証することが望ましい。
【課題を解決するための手段】
【０００８】
本発明の原理に従い、ネットワーク内におけるデータのセキュリティスキャニング用の方法が提供される。本方法は、ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する段階と、セキュリティポリシーに基づいて、ネットワークトラフィックに対して適用を要する、又は適用しなければならないセキュリティ技術を特定する段階と、ネットワークトラフィックと関連したセキュリティマーカーに基づいて、ネットワークトラフィックにまだ適用されていないセキュリティ技術を判定する段階と、を有している。
【０００９】
別の実施例によれば、ネットワーク内におけるデータのセキュリティスキャニング用のシステムが提供される。本システムは、ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する第１ネットワーク装置と、セキュリティポリシーに基づいて、ネットワークトラフィックに対して適用を要する、又は適用しなければならないセキュリティ技術を特定する第２ネットワーク装置と、ネットワークトラフィックと関連したセキュリティマーカーに基づいて、ネットワークトラフィックに対してまだ適用されていないセキュリティ技術を判定する第３ネットワーク装置と、を有している。
【００１０】
本発明による別の実施例においては、ネットワーク内におけるデータのセキュリティスキャニング用の方法を実行する命令を含むコンピュータ可読媒体が提供されている。本方法は、ネットワーク外から宛先ネットワーク装置に対して伝送される、ネットワークトラフィック用のネットワークのセキュリティポリシーを取得する段階と、セキュリティポリシーに基づいて、ネットワークトラフィックに対して適用を要する、又は適用しなければならないセキュリティ技術を特定する段階と、ネットワークトラフィックと関連したセキュリティマーカーに基づいて、ネットワークトラフィックにまだ適用されていないセキュリティ技術を判定する段階と、を有している。
【発明を実施するための最良の形態】
【００１１】
以上の概略的な説明及び以下の詳細な説明は、いずれも、模範的なものであって、説明を目的としたものに過ぎない。これらは、特許請求の範囲に記載の本発明を限定するものではない。又、本明細書に包含されており、その一部を構成している添付の図面は、本発明の１つ（又は、複数）の実施例を例示しており、以下の説明と共に、本発明の原理を説明するのに有用である。添付の図面には、「図面の簡単な説明」の節に一覧表示されているものが含まれている。
【００１２】
本発明による方法及びシステムは、ネットワーク内におけるデータのセキュリティスキャニング用のメカニズムを提供している。ネットワーク上のネットワーク装置が、ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する。ネットワーク装置は、ネットワークのセキュリティポリシーに基づいて、ネットワークトラフィックに対して適用を要する、又は適用しなければならないセキュリティ技術を特定する。ネットワーク装置は、ネットワークトラフィックと関連したセキュリティマーカーに基づいて、ネットワークトラフィックに対して適用されていない必須のセキュリティ技術を判定する。次いで、ネットワーク装置は、まだ適用されていないセキュリティ技術がネットワーク装置にとって利用可能であるという判定に基づいて、まだ適用されていないセキュリティ技術を適用する。次いで、ネットワーク装置は、セキュリティマーカーによってネットワークトラフィックにタグ付けし、まだ適用されていなかったセキュリティ技術が適用されたことを通知することにより、ネットワークトラフィックに対して適用済みであるセキュリティ技術を反映させる。
【００１３】
又、本発明による方法及びシステムは、ネットワーク内におけるデータのセキュリティスキャニング用の別のメカニズムを提供可能である。ネットワーク上のセキュリティ装置は、ネットワーク外からのネットワークトラフィックに対する宛先ネットワーク装置からの要求を受信する。セキュリティ装置又は宛先ネットワーク装置は、ネットワーク外から宛先ネットワーク装置に対して伝送されるネットワークトラフィック用のネットワークのセキュリティポリシーを取得する。次いで、セキュリティポリシーに基づいて、セキュリティ装置又は宛先ネットワーク装置は、ネットワークトラフィックに対して適用を要する又は適用しなければならないセキュリティ技術を特定する。セキュリティ装置は、宛先ネットワーク装置へのネットワークトラフィックの意図された経路上に配置されているネットワーク装置に対してクエリを送信し、このクエリは、セキュリティ技術の適用を支援するための支援の申し込みを１つ又は複数のネットワーク装置に対して要請している。少なくとも１つのネットワーク装置がセキュリティ技術を適用するべく志願しているという支援の申し込みからの判定に基づいて、セキュリティ装置は、宛先装置へのネットワークトラフィックの意図した経路に沿って、セキュリティ技術を適用することなしに、ネットワークトラフィックを伝送する。
【００１４】
以下においては、添付の図面に例示されている本発明の実施例を詳細に参照している。添付の図面においては、可能な限り、同一の参照符号を使用することにより、同一又は類似の部分を示している。
【００１５】
（ネットワークの装置構成）
図１は、ネットワーク内におけるデータのセキュリティスキャニングを提供する本発明の原理によるネットワーク装置の模範的なブロックダイアグラムである。ネットワーク装置１０１及び１８０〜１９５は、中央処理装置（ＣＰＵ）１０５、ディスク装置１１０、メモリ１１５、及びネットワークアクセス装置１２０を包含可能である。ＣＰＵ１０５は、プログラム命令を実行するための任意の適切な１つ又は複数のプロセッサであってよい。メモリ１１５は、ＲＡＭであるか、或いは、ＲＯＭ及びフラッシュメモリを含むその他の永久的、半永久的、又は一時的なストレージ装置であってよい。ディスク装置１１０は、ハードディスク装置、光装置、又はその他のタイプのデータストレージ装置であってよい。
【００１６】
ネットワークアクセス装置１２０は、モデム、ケーブルモデム、イーサネット（登録商標）カード、Ｔ１ラインコネクタ、又は通信のためにネットワーク装置１０１及び１８０〜１９５をネットワーク１６０に対して接続するための、何らかのその他のアクセス装置であってよい。ネットワーク１６０は、インターネットであってよく、ネットワーク装置１０１及び１８０〜１９５は、トランスポートコントロールプロトコル（ＴＣＰ）接続を使用してネットワーク１６０に接続可能である。
【００１７】
ネットワーク装置１０１及び１８０〜１９５のそれぞれは、入力装置１４０などの１つ又は複数の入力装置にも接続可能であり、これらの入力装置は、キーボード、マウス、又はデータをネットワーク装置に対して入力する、何らかのその他のタイプの手段を包含可能である。ネットワーク装置１０１及び１８０〜１９５のそれぞれは、表示装置１５０などの１つ又は複数の表示装置にも接続可能であり、これらの表示装置は、モニター又はその他の視覚的及び／又は視聴覚的出力装置であってよい。
【００１８】
ネットワーク１６０は、ネットワーク外の複数の装置（この場合には、模範的な装置１７０〜１７５）に接続可能である。装置１７０〜１７５は、サーバー、データ処理システム、電子メールサーバー、又はパーソナルコンピュータなどのネットワークトラフィックを送出するコンピュータであってよい。又、ネットワーク１６０は、複数の装置（この場合には、模範的なネットワーク装置１０１及び１８０〜１９５である）を包含可能である。ネットワーク装置１０１及び１８０〜１９５は、ルーター、スイッチ、ゲートウェイ、ファイアウォールやＡＶスキャナなどのネットワークセキュリティ装置、或いは、サーバー、パーソナルコンピュータ、又はこれらの組み合わせなどのデータ処理システムであってよく、且つ、通信ポート（図示されてはいない）によってデータを送受信可能である。ネットワーク装置１０１及び１８０〜１９５は、ネットワーク１６０上においてデータを受信可能であり、且つ、それぞれが、ネットワークアクセス装置又はこれに類似したものを包含可能である（図示されてはいない）。ネットワーク１６０は、ＴＣＰ／ＩＰなどのネットワーク接続を使用することにより、ネットワーク装置１８０〜１９５の１つ又は複数のものを介してネットワーク装置１０１とネットワーク外の１つ又は複数のネットワーク装置１７０〜１７５の間においてデータを伝送可能である。当業者であれば、ネットワーク装置１８０は、ネットワーク１８０の境界に配置可能であり、且つ、ネットワーク外の装置に接続することにより、ネットワーク１６０の境界セキュリティ装置、並びに、ネットワーク１６０内において接続されたネットワーク装置として機能可能であることを認識するであろう。
【００１９】
例えば、ＣＰＵ１０５の指示によってディスク装置１１０からメモリ１１５内に読み込まれるソフトウェアを使用することにより、ネットワーク装置１０１を流れる又はこの内部に流れ込むネットワークトラフィックをスキャンするデータセキュリティスキャナを実装可能である。当業者であれば、データセキュリティスキャナは、ファイアウォール、ルーター、ゲートウェイ、及びその他のネットワークアーキテクチャ内に実装することも可能であることを認識するであろう。データセキュリティスキャナは、ネットワークに流入／流出するトラフィックをスキャンする１つのプログラム又はプログラムの組から構成可能である。
【００２０】
ＩＰアドレスは、ネットワーク装置１０１への到来データ又は到来接続の発信元を識別している。ＩＰアドレスは、ネットワーク内におけるコンピュータのアドレスの数値表現である。特定のネットワーク装置の一意の識別子であることに加えて、通りの住所と同様に、しばしば、特定のＩＰアドレスに対応した物理的な場所を判定可能である。既知のＩＰアドレスに対応した場所を判定する方法には、いくつかのものが存在している。１つの方法は、ディスク装置１１０内に保存されたデータベースを維持する方法である。例えば、データベースは、対応する物理的又は論理的な場所と共に、ＩＰアドレスを一覧表示可能である。又、データベースは、特定のネットワークを構成しているＩＰアドレスの範囲に対応したエントリを包含することも可能である。データベース内に一覧表示されている場所は、国名又は都市名、或いは、これらの両方などの世界の中の地域の情報を包含可能である。ネットワーク装置１０１は、ディスク装置１１０上にローカルに存在しているこのようなデータベースにアクセスし、装置１０１に対するデータ伝送を起動しているコンピュータのＩＰアドレスを調査可能である。データベースが、個別に又はアドレスの範囲の一部としてそのＩＰアドレスを含んでいる場合には、ネットワーク装置１０１は、自身にコンタクトしているコンピュータの場所を判定可能である。
【００２１】
ネットワーク装置１０１がＩＰアドレスの場所を判定する別の方法は、ネットワーク１６０を使用することにより、信頼できるインターネットアドレスを介してデータベースにアクセスする方法である。ネットワークデータベースは、新しいＩＰアドレスを反映させるべく頻繁に更新されており、ユーザーは、定期的な更新をローカルデータベースにダウンロードする必要があろう。これを実行するべく、ネットワーク装置１０１は、ネットワーク１６０上においてネットワーク装置１７０〜１７５などの１つ又は複数のその他のネットワーク装置と通信し、データベースにアクセスすることになろう。当業者であれば、その他の方法も使用可能であることを理解するであろう。
【００２２】
（冗長的なスキャニングを回避するためのシステム動作）
図２及び図３は、複数のセキュリティ装置及び技術を有するネットワーク内における冗長的なデータのセキュリティスキャニングを回避するための本発明によるプロセスのフローチャートである。図２に示されているプロセスの開始時点において、ネットワーク（例えば、図１の要素１６０）内においてセキュリティスキャニングを提供するネットワーク装置（例えば、図１の要素１８０）は、段階２１０において、ネットワークのセキュリティポリシーを取得している。これは、例えば、ネットワークがネットワーク外の装置からネットワークトラフィックを受信した際などの規定されている時点又はイベントの際に発生可能である。ネットワーク装置は、ネットワーク装置のメモリ内に保存されている複写を取得することにより、又はネットワーク上の別のネットワーク装置に対してセキュリティポリシーの複写を要求することにより、セキュリティポリシーを取得可能である。セキュリティポリシーが正確であると共に信頼できるものであり、且つ、ネットワークストリームが破壊されていないことを確認するべく、ネットワーク装置又はネットワーク上の別のネットワーク装置は、例えば、ＰＫＩなどのパブリックキー方式を利用してセキュリティポリシー及びネットワークトラフィックと関連した署名又は供給元をチェックすることにより、セキュリティポリシーの信憑性とネットワークトラフィックの完全性を検証可能である。
【００２３】
次いで、段階２２０において、ネットワーク装置は、セキュリティポリシーから、ネットワークトラフィックに対して適用するセキュリティ技術を判定している。セキュリティ技術の例には、ＡＶ、アンチスパム、プロトコルアノマリー検出、コンテンツフィルタリング、及びＩＤＳが含まれている。セキュリティポリシーは、例えば、ネットワークに進入するすべてのネットワークトラフィックに対して適用しなければならない、又は適用することを要するセキュリティ技術のリストを包含可能である。ネットワークトラフィックに対して適用されるセキュリティ技術を段階２２０において確定した後に、段階２２５において、ネットワーク装置は、ネットワークトラフィックに既に適用済みであるセキュリティ技術を判定している。一例として、ネットワーク装置は、ネットワークトラフィックに関連したセキュリティマーカーを判読することにより、ネットワークトラフィックに対して適用済みであるセキュリティ技術を判定可能である。一実施例においては、セキュリティマーカーは、ネットワークトラフィック内のデータパケットのヘッダ内に配置可能である。セキュリティマーカーは、セキュリティ技術のリストと、ネットワーク装置がセキュリティマーカーを信頼できることを通知する特殊な情報のパケット（ハッシュ、パブリックキー、デジタル署名、又は証明書など）を包含可能である。セキュリティマーカーは、ネットワークトラフィックに対して適用済みであるセキュリティ技術のリストを包含可能である。或いは、この代わりに、セキュリティマーカーは、ネットワークトラフィックに対して適用されていないセキュリティ技術のリストを包含することも可能である。セキュリティマーカー内に表示されている情報が正確であると共に信頼できるものであり、且つ、ネットワークストリームが破壊されていないことを確認するべく、ネットワーク装置は、例えば、ＰＫＩなどのパブリックキー方式を利用してセキュリティマーカー及びネットワークトラフィックと関連したデジタル署名又は供給元をチェックすることにより、セキュリティマーカーの信憑性とネットワークトラフィックの完全性を検証可能である。セキュリティマーカーのデジタル署名が無効であるか又は検出不可能である際などのセキュリティマーカーが検証不能である場合には、ネットワーク装置は、そのセキュリティマーカーを無視し、ネットワークセキュリティポリシーに従ってそのトラフィックをリスキャン可能である。
【００２４】
ネットワークに進入するネットワークトラフィックに対して適用しなければならない、又は適用することを要するセキュリティ技術と、ネットワークトラフィックに対して適用済みであるセキュリティ技術を、ネットワーク装置が判定する段階２２０〜段階２２５の結果に基づいて、段階２３０において、ネットワーク装置は、ネットワーク装置にとって利用可能である特定のセキュリティ技術をネットワークトラフィックに対して適用している。前述のように、ネットワーク装置が、ネットワークトラフィックに対して適用済みである、又は適用されていないセキュリティ技術について通知するセキュリティマーカーを検証できない場合には（セキュリティマーカーのデジタル署名が無効であるか又は検出できない場合など）、ネットワーク装置は、そのセキュリティマーカーを無視し、ネットワークのセキュリティポリシーに従ってそのトラフィックをリスキャン可能である。
【００２５】
段階２３５において、ネットワーク装置は、ネットワークトラフィックにタグ付けすることにより、段階２３０においてネットワークトラフィックに対して適用済みであるセキュリティ技術について通知している。ネットワーク装置は、ネットワークトラフィックと関連したセキュリティマーカーが存在していない場合には、セキュリティマーカーを追加することにより、或いは、ネットワークトラフィックと関連したセキュリティマーカーが存在している場合には、そのネットワークトラフィックと関連したそのセキュリティマーカーを変更することにより、ネットワークトラフィックに対するタグ付けを実行する。セキュリティマーカーは、ネットワークトラフィック内のデータパケットのヘッダ内に配置可能であり、セキュリティマーカーは、セキュリティ技術と、ネットワーク装置がセキュリティマーカーを信頼できることを通知するハッシュ、パブリックキー、デジタル署名、又は証明書などの特殊な情報のパケットを包含可能である。セキュリティマーカーは、ネットワークトラフィックに対して適用済みであるセキュリティ技術のリストを包含可能である。或いは、この代わりに、セキュリティマーカーは、ネットワークトラフィックに対して適用されていないセキュリティ技術のリストを包含することも可能である。セキュリティマーカー内に表示されている情報が正確であると共に信頼できるものであり、且つ、ネットワークストリームが破壊されていないことを保証するべく、ネットワーク装置は、例えば、ＰＫＩなどのパブリックキー方式を利用することにより、セキュリティマーカーとネットワークトラフィックにデジタル署名している。
【００２６】
段階２４０において、ネットワーク装置は、ネットワークトラフィックをネットワーク内の次のネットワーク装置に対して伝送している。次いで、段階２４５において、ネットワークトラフィックが宛先ネットワークに到達したかどうかの判定を実行している。ネットワークトラフィックが宛先ネットワーク装置に到達していない場合には、本プロセスは、段階２１０に戻る。或いは、この代わりに、ネットワークトラフィックが宛先ネットワーク装置に到達している場合には、本プロセスは、図３の段階３１０に継続することになる。
【００２７】
次に、図３を参照すれば、宛先ネットワーク装置は、段階３１０において、セキュリティポリシーから、ネットワークトラフィックに対して適用するセキュリティ技術を判定している。ネットワークトラフィックに対して適用するセキュリティ技術を段階３１０において確定した後に、宛先ネットワーク装置は、段階３１５において、ネットワークトラフィックに対して適用済みであるセキュリティ技術を判定している。例えば、宛先ネットワーク装置は、ネットワークトラフィックと関連したセキュリティマーカーを判読することにより、ネットワークトラフィックに対して適用済みであるセキュリティ技術を判定可能である。セキュリティマーカー内に表示されている情報が正確であると共に信頼できるものであり、且つ、ネットワークストリームが破壊されていないことを確認する１つの方法として、宛先ネットワーク装置は、セキュリティマーカーの信憑性とネットワークトラフィックの完全性を検証可能である。セキュリティマーカーのデジタル署名が無効であるか又は検出できない際などの、セキュリティマーカーが検証不能である場合には、宛先ネットワーク装置は、そのセキュリティマーカーを無視し、ネットワークのセキュリティポリシーに従ってそのトラフィックをリスキャンすることになる。
【００２８】
ネットワークに進入するネットワークトラフィックに対して適用しなければならない又は適用することを要するセキュリティ技術と、ネットワークトラフィックに対して適用済みであるセキュリティ技術を、宛先ネットワーク装置が判定する段階３１０〜段階３１５の結果に基づいて、宛先ネットワークト装置は、段階３２０において、自身が、まだ適用されていないセキュリティ技術を適用する必要があるかどうかに関する判定を下している。段階３２０において下された判定に基づいて、宛先ネットワーク装置がセキュリティ技術を適用する必要がない場合には、宛先ネットワーク装置は、そのネットワークトラフィックを受け入れる。一方、段階３２０において下された判定に基づいて、まだ適用されていないセキュリティ技術を宛先ネットワーク装置が適用する必要がある場合には、本プロセスは、段階３３０に継続する。段階３３０において、宛先ネットワーク装置は、自身が、まだ適用されていないセキュリティ技術を適用できるかどうかについて判定している。まだ適用されていないセキュリティ技術を適用する能力を宛先ネットワーク装置が有している場合には、本プロセスは、段階３３５に進み、宛先ネットワーク装置は、まだ適用されていないセキュリティ技術を使用してネットワークトラフィックをスキャンすることになる。一方、段階３３０において、まだ適用されていないセキュリティ技術を適用する能力を宛先ネットワーク装置が有していないと本プロセスが判定した場合には、本プロセスは、段階３４０に継続し、宛先ネットワーク装置は、そのネットワークトラフィックを拒絶するか、又はそれを専用のセキュリティ装置に対してルーティングすることになる。
【００２９】
（分散トラフィックスキャニングにおけるシステムの動作）
図４及び図５は、複数のセキュリティ装置及び技術を有するネットワーク内においてデータのセキュリティスキャニングを分散させる本発明によるプロセスのフローチャートである。
【００３０】
図４に示されているプロセスの開始時点である段階４１０において、ネットワーク（例えば、図１の要素１６０）内の宛先ネットワーク装置（例えば、図１の要素１０１）は、ネットワークトラフィックに対する要求をネットワーク内のセキュリティ装置（例えば、図１の要素１８０）に対して送信している。このネットワークトラフィックに対する要求が、信憑性を有しており、且つ、ネットワーク内の宛先ネットワーク装置から由来するものであることを確認するべく、セキュリティ装置は、例えば、ＰＫＩなどのパブリックキー方式を利用して要求の署名又は供給元をチェックするか、又は宛先ネットワーク装置のＩＰアドレスを比較することにより、そのネットワークトラフィックに対する要求の信憑性を検証可能である。セキュリティ装置又は宛先ネットワーク装置は、例えば、宛先ネットワーク装置がネットワーク外からのネットワークトラフィックを要求した際などの規定されているイベントが発生した際に、段階４２０において、ネットワークのセキュリティポリシーを取得可能である。セキュリティ装置又は宛先ネットワーク装置は、装置のメモリ内に保存されている複写を取得するか、又はネットワーク上の別のネットワーク装置に対してセキュリティポリシーの複写を要求することにより、セキュリティポリシーを取得可能である。セキュリティポリシーが正確であると共に信頼できるものであり、且つ、ネットワークストリームが破壊されていないことを確認するべく、セキュリティ装置又はネットワーク上の別のネットワーク装置は、例えば、ＰＫＩなどのパブリックキー方式を利用してセキュリティポリシー及びネットワークトラフィックと関連した署名又は供給元をチェックすることにより、セキュリティポリシーの信憑性とネットワークトラフィックの完全性を検証可能である。
【００３１】
次いで、段階４２５において、セキュリティ装置は、ネットワークトラフィックに対して適用するセキュリティ技術をセキュリティポリシーから判定している。セキュリティ技術の例には、ＡＶ、アンチスパム、プロトコルアノマリー検出、コンテンツフィルタリング、及びＩＤＳが含まれている。セキュリティポリシーは、例えば、ネットワークに進入するネットワークトラフィックに対して適用しなければならない、又は適用することを要するセキュリティ技術のリストを包含可能である。段階４２５においてネットワークトラフィックに対して適用するセキュリティ技術を確定した後に、セキュリティ装置は、段階４１０において送信された宛先ネットワーク装置の要求に応答し、段階４３０において、意図されたネットワーク経路に沿って、宛先ネットワーク装置に対してクエリを送信する。一実施例においては、セキュリティ装置は、クエリを送信する前に、宛先ネットワーク装置によって要求されたネットワークトラフィックの特性及びサイズを判定している。クエリの送信及び伝送のオーバーヘッドを極小化するべく、セキュリティ装置は、クエリを送信するタイミングと頻度を節約するべく試みることができる。例えば、セキュリティ装置は、セキュリティ装置が重い負荷を有している場合にも、単純なハイパーテキストの転送プロトコル要求及び応答の処理を継続可能である。但し、要求されたネットワークトラフィックが大きな実行可能ファイルを包含しているとセキュリティ装置が認識した際には、セキュリティ装置は、クエリを送出することにより、セキュリティ技術の適用における支援を要求可能である。
【００３２】
セキュリティ装置は、スキャニングの対象であるネットワークトラフィックと同一の意図されたネットワーク経路上においてクエリを送信しており、この結果、意図されたネットワーク経路上に存在し得るスイッチ又はネットワークアドレス変換装置とは無関係に、クエリの経路がネットワークトラフィックの経路と同一となることが保証されている。
【００３３】
一実施例においては、セキュリティ装置は、クエリを送信することにより、セキュリティポリシー内に規定されているセキュリティ技術の適用を支援するための支援の申し込みを、１つ又は複数のネットワーク装置に対して要請している。段階４３５において、ネットワークトラフィックの意図された経路上のネットワーク装置のいずれか１つが、クエリを捕捉し、その独自の応答を付加可能である（恐らくは、セキュリティポリシー内に規定された１つ又は複数のセキュリティ技術を適用するべく志願する）。申し込みが正確であると共に信頼できるものであり、且つ、申し込みが破壊されていないことを保証するために、１つ又は複数のセキュリティ技術を適用するべく志願するネットワーク装置は、例えば、ＰＫＩなどのパブリックキー方式を利用して申し込みにデジタル署名している。段階４３５に続いて、段階４４０において、クエリが宛先ネットワーク装置に到達したかどうか、又は意図されたネットワーク経路上の１つ又は複数のネットワーク装置がセキュリティポリシー内に規定されているすべてのセキュリティ技術を適用するべく志願したかどうかに関する判定を実行している。段階４４０において下された否定的な判定に基づいて、段階４４５において、ネットワーク装置の中のいずれか１つは、意図されたネットワーク経路上の次のネットワーク装置に対してクエリを伝送し、本プロセスは、段階４３５に戻ることになる。或いは、この代わりに、クエリが宛先ネットワーク装置に到達した又は意図されたネットワーク経路上の１つ又は複数のネットワーク装置がセキュリティポリシー内に規定されているすべてのセキュリティ技術を適用するべく志願しているという旨の段階４４０において下された肯定的な判定に基づいて、段階４５０において、セキュリティ装置に対して応答を返送している。
【００３４】
応答が正確であると共に信頼できるものであり、且つ、応答が破壊されていないことを保証するべく、応答をセキュリティ装置に対して送信するネットワーク装置は、例えば、ＰＫＩなどのパブリックキー方式を利用して申し込みにデジタル署名している。応答のデジタル署名が無効であるか又は検出できない際などの応答の信憑性及び完全性が検証不能である場合には、セキュリティ装置は、その応答を無視し、ネットワークのセキュリティポリシーに従ってそのトラフィックをスキャンしなければならない。
【００３５】
段階４５０の正常な完了に続いて、本プロセスは、図５の段階５０５に継続している。段階５０５において、セキュリティ装置は、意図されたネットワーク経路上の１つ又は複数のネットワーク装置がセキュリティポリシー内に規定されているすべてのセキュリティ技術を適用するべく志願したかどうかを判定している。意図されたネットワーク経路上の１つ又は複数のネットワーク装置がセキュリティポリシー内に規定されているすべてのセキュリティ技術を適用するべく志願している場合には、セキュリティ装置は、段階５１０において、意図されたネットワーク経路に沿って、セキュリティ技術を適用することなしに、ネットワークトラフィックを伝送する。或いは、この代わりに、意図されたネットワーク経路上のネットワーク装置がセキュリティポリシー内に規定されたすべてのセキュリティ技術を適用するべく志願していない場合には、本プロセスは、段階５１５に進むことになる。段階５１５において、宛先ネットワーク装置が、保護されていないネットワークトラフィックを拒絶するべく構成されているかどうかに関する判定を実行している。段階５１５の判定が肯定的である場合には、本プロセスは、段階５１０に進み、セキュリティ装置は、意図されたネットワーク経路に沿って、セキュリティ技術を適用することなしに、ネットワークトラフィックを伝送する。しかしながら、段階５１５の判定が否定的であった場合には、本プロセスは、段階５２０に進み、セキュリティ装置は、ネットワークトラフィックを宛先ネットワーク装置に対して伝送する前に、セキュリティポリシーによって規定されているセキュリティ技術を適用することになる。
【００３６】
本発明の以上の説明は、例示及び説明を目的として提示したものである。これらは、すべてを網羅したものではなく、開示された形態そのままに本発明を限定するものでもない。前述の開示内容に鑑み、変更及び変形が可能であり、或いは、本発明を実施することによって変更及び変形を取得することも可能である。例えば、説明した実装は、ソフトウェアを含んでいるが、本発明は、ハードウェア及びソフトウェアの組み合わせ又はハードウェアのみにおいて実装することも可能である。又、本発明の態様は、メモリ内に保存されるものとして説明されているが、当業者であれば、これらの態様は、ハードディスク、フロッピー（登録商標）ディスク、又はＣＤ−ＲＯＭなどの２次ストレージ装置、インターネット又はその他の伝播媒体からの搬送波、又はその他の形態のＲＡＭ又はＲＯＭなどのその他のタイプのコンピュータ可読媒体上に保存することも可能であることを理解するであろう。本発明の範囲は、請求項及びその等価物に定義されている通りである。
【００３７】
本明細書を検討すると共に本明細書に開示されている本発明を実施することにより、当業者には、本発明のその他の実施例が明らかとなろう。本明細書及び例は、模範的なものに過ぎず、本発明の真の範囲及び精神は、添付の請求項に示されている通りである。
【図面の簡単な説明】
【００３８】
【図１】本発明の原理による複数のセキュリティ装置及び技術を有するネットワーク内におけるデータのセキュリティスキャニングを調節するシステムの模範的なブロックダイアグラムである。
【図２】複数のセキュリティ装置及び技術を有するネットワーク内における冗長的なデータのセキュリティスキャニングを回避するためのフローチャートである。
【図３】複数のセキュリティ装置及び技術を有するネットワーク内における冗長的なデータのセキュリティスキャニングを回避するためのフローチャートである。
【図４】複数のセキュリティ装置及び技術を有するネットワーク内における分散ネットワークトラフィックスキャニング用のフローチャートである。
【図５】複数のセキュリティ装置及び技術を有するネットワーク内における分散ネットワークトラフィックスキャニング用のフローチャートである。
【図１】
2008527921.tif 000003
【図２】
2008527921.tif 000004
【図３】
2008527921.tif 000005
【図４】
2008527921.tif 000006
【図５】
2008527921.tif 000007
【国際調査報告】
2008527921.tif 000008