(57)【要約】  動機を修正する保険を介して、ネットワークエンティティに対するセキュリティアタックを補償し、低減することができる。一実施例では、仮想スライスプロバイダが、サービスプロバイダを介してユーザにネットワークアクセス権を与える、リソースを有するセキュアスライス及び非セキュアスライスを含む。セキュアスライスには第１セキュリティレベルが割り当てられ、非セキュアスライスには第２のより低いセキュリティレベルが割り当てられる。一実施形態では、第２スライスが第１スライスから分離される。仮想スライスプロバイダが、スライスプロバイダとサービスプロバイダとの間のリスクポリシーも有し、セキュアスライス及び非セキュアスライスへのアクセスについてサービスプロバイダに課金される異なるレートを確立し、各スライス内のセキュリティの欠如の結果として生じる損失についてのサービスプロバイダへの異なるレベルの支払いを与える。【選択図】図２
2011520161.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークリソースを有し、サービスプロバイダを介してユーザにネットワークアクセス権を与えるセキュアスライスであって、第１セキュリティレベルを有する、セキュアスライスと、
ネットワークリソースを有し、前記サービスプロバイダを介してユーザにネットワークアクセス権を与える第２スライスであって、第２のより低いセキュリティレベルを有し、前記第１スライスから分離される、第２スライスと、
前記セキュアスライスへのアクセスについて前記サービスプロバイダに課金される第１レートと、前記第２スライスへのアクセスについて前記サービスプロバイダに課金される第２レートとを確立し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与える、前記スライスプロバイダと前記サービスプロバイダとの間のリスクポリシーと
を備える、仮想スライスプロバイダ。
【請求項２】
前記ユーザと前記サービスプロバイダとの間の接続を実現する、複数の異なるユーザへの複数の接続と、
仮想スライスプロバイダのセキュアスライスへの接続であって、前記セキュアスライスが、ネットワークリソースを有し、前記サービスプロバイダを介して前記ユーザにネットワークアクセス権を与え、前記セキュアスライスが第１セキュリティレベルを有する、接続と、
仮想スライスプロバイダの第２スライスへの接続であって、前記第２スライスが、ネットワークリソースを有し、前記サービスプロバイダを介して前記ユーザにネットワークアクセス権を与え、前記第２スライスが第２セキュリティレベルを有する、接続と、
前記セキュアスライスへのアクセスについて前記サービスプロバイダによって支払われる第１レートと、前記第２スライスへのアクセスについて前記サービスプロバイダに課金される第２レートとを確立し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与える、前記スライスプロバイダと前記サービスプロバイダとの間のリスクポリシー
とを備える、ネットワークサービスプロバイダ。
【請求項３】
ネットワークサービスプロバイダを介してユーザとセキュアスライスとの間のネットワークアクセスをルーティングするステップであって、前記セキュアスライスが、ネットワークリソース及び第１セキュリティレベルを有するステップと、
ネットワークサービスプロバイダを介してユーザと第２スライスとの間のネットワークアクセスをルーティングするステップであって、前記第２スライスが、ネットワークリソース及び第２セキュリティレベルを有するステップと、
前記第１スライスへのアクセスについて前記ネットワークサービスプロバイダに第１保険料を課金し、前記第２スライスへのアクセスについて前記ネットワークサービスプロバイダに第２レートを課金し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与えるステップと
を含む、方法。
【請求項４】
複数のネットワークユーザを少なくとも２つの異なるセキュリティリスクタイプに分離するステップと、
第１リスクタイプのユーザに第１仮想スライスへのアクセス権を与えるステップであって、前記第１仮想スライスが、ネットワークアクセスのためのルータ及びサーバを備えるステップと、
第２リスクタイプのユーザに第２仮想スライスへのアクセス権を与えるステップであって、前記第２仮想スライスが、ネットワークアクセスのためのルータ及びサーバを備えるステップと、
前記第１リスクタイプのユーザに対して第１クラスの保険料を課すステップであって、前記保険料が、セキュリティの欠如による損失に対して保険を与えるステップと、
前記第２リスクタイプのユーザに対して第２クラスの保険料を課すステップであって、前記保険料が、セキュリティの欠如による損失に対して保険を与えるステップと
を含む、方法。
【請求項５】
命令を格納する１つ又は複数のコンピュータ可読記憶媒体を有する製品であって、前記命令が、ネットワークで実行されるとき、
ネットワークサービスプロバイダを介してユーザとセキュアスライスとの間のネットワークアクセスをルーティングするステップであって、前記セキュアスライスが、ネットワークリソース及び第１セキュリティレベルを有するステップと、
ネットワークサービスプロバイダを介してユーザと第２スライスとの間のネットワークアクセスをルーティングするステップであって、前記第２スライスが、ネットワークリソース及び第２セキュリティレベルを有するステップと、
前記第１スライスへのアクセスについて前記ネットワークサービスプロバイダに第１保険料を課金し、前記第２スライスへのアクセスについて前記ネットワークサービスプロバイダに第２レートを課金し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与えるステップと
を含む方法を前記ネットワークに実施させる、製品。
【発明の詳細な説明】
【技術分野】
【０００１】
（優先権）
[0001]本特許出願は、２００８年２月１３日出願された「AMethod and Apparatus for Recovering from and Preventing Security Attacks onNetwork Entities」と題する対応する暫定特許出願第６１／０２８５０２号の優先権を主張し、参照することによりこの暫定特許出願を組み込む。
【０００２】
[0002]本発明は、インターネット通信の分野に関し、より詳細には、本発明は、仮想化を使用して、ユーザとプロバイダとの間のリスクを管理することに関する。
【背景技術】
【０００３】
[0003]インターネットは、過去１０年間に生活の基本的な一部分となり、我々が日常的に利用するサービスの安定性を維持するために会社並びに個人ユーザにとって不可欠なものとなった。１０億人を超える人々がインターネットを使用し、銀行業のような基幹産業はインターネットを大いに利用する。しかし、インターネットは、ネットワークのすべてのユーザを信用することができ、インターネットによってリンクされるコンピュータが固定オブジェクトであるという、もはや成り立たない仮定の下に構築された。したがって、インターネットには、固有のセキュリティアーキテクチャが欠けている。ファイアウォール及びアンチスパムソフトウェアのような保護はアドオンであり、現実の解決策が見つかるまでに使用されるパッチとみなすことができるだけである。インターネットは、善良な人と悪意のある人とのどちらもアクセスすることができ、まるで現実世界のようになっている。しかし、現実世界とは異なり、インターネットユーザを識別し、追跡することがますます困難になっている。結果として、悪意のある人は、その違法な活動をインターネットにシフトする強力な動機（インセンティブ）を有し、インターネットでは、悪意のある人は、発見される可能性を最小限に抑えると共に、より短期間により多くの人々にアクセスすることができる。その結果、インターネットのセキュリティ問題が悪化しており、同時にインターネットのセキュリティに対する社会の依存性も深くなっている。
【０００４】
[0004]現在のインターネットの主な問題は、エンドユーザがアタックの全部のコストを負担することである。ＩＳＰ又は感染したユーザは、どんな責任も負わない。ＤＤｏＳアタック防止に対処する既存の方式のいずれも、リスクを完全には除去しない。あるユーザがアタックの犠牲（ビクティム）となることからユーザ自身を保護する場合であっても、各ユーザが日常的に様々なセキュリティ措置を備える多数のユーザと対話する必要があるために、これによってリスクが完全に除去されるわけではない。
【０００５】
[0005]現在のインターネットで最も脅威となるアタックの１つは、Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ−ｏｆ−Ｓｅｒｖｉｃｅ（ＤＤｏＳ）アタックであり、ＤＤｏＳアタックは、数千のコンピュータからデータトラフィックを集め、それを犠牲ウェブサイト（ｖｉｃｔｉｍ  ｗｅｂ  ｓｉｔｅ）に向けて送り、本質的にはウェブサイトを世界から切断させ、機能を停止させる。図１は、一般的なタイプのＤＤｏＳアタックの基本的ネットワークアーキテクチャを示す。そのような一般的なタイプのＤＤｏＳアタックの３つの別々の段階がある。第１段階の間、アタッカ１１は犠牲（ターゲットサーバ１２）を選び、１群のアタッカ（マスタ１３−１、１３−２．．．１３−ｎと呼ばれる）を採用する。
【０００６】
[0006]第２段階の間、マスタコンピュータは、脆弱なマシン（すなわち、効果的なファイアウォールを備えないコンピュータ、又は新たに発見された脆弱性を有するコンピュータ、又は無保護のマシン）の位置を突き止め、脆弱なマシン上にフラッディングサーバ（ｆｌｏｏｄｉｎｇ  ｓｅｒｖｅｒ）をインストールすることによって脆弱なマシンを感染させる。この段階の結果、多数のゾンビコンピュータ１４、すなわちマスタ１３で制御することのできるマシンが生み出される。各ゾンビマシンは、様々なネットワーク（図示せず）に属し、様々なインターネットサービスプロバイダ（ＩＳＰ、図示せず）を介してインターネットに接続される。より一般にはフラッディング段階と呼ばれる、アタックの最終段階の間、マスタコンピュータは、ゾンビコンピュータを活動化させるコマンドを発行し、ゾンビコンピュータは、大量のトラフィックで犠牲をフラッディングする。成功した場合、そのようなアタックにより、犠牲からインターネットへのあらゆる経路が本質的にブロックされる。
【０００７】
[0007]アタッカはまた、感染したマシンによって送られるパケット内のソースアドレスフィールドをスプーフィングすることにより、感染したマシンの識別を隠すこともできる。しかし、リフレクタアタック（ｒｅｆｌｅｃｔｏｒ  ａｔｔａｃｋ）などのいくつかの限られた状況を除いて、スプーフィングは、ＤＤｏＳアタックの必須の部分ではない。スプーフィングは、感染したマシンの特定を遅らせ、ＤＤｏＳアタックの効果を延ばすのに用いられる。
【０００８】
[0008]リフレクタを使用することにより、マスタコンピュータは、アドレススプーフィングだけが使用された場合よりも著しく強力な効果を達成することができる。この場合、単一のマスタコンピュータが、百万を超えるソースからのトラフィックで犠牲をフラッディングすることができる。
【０００９】
[0009]単一のマスタコンピュータで制御されるコンピュータのグループは、ボットネット（ｂｏｔｎｅｔ）（ロボットネットワーク、すなわちマスタコンピュータによって制御される「ロボット」コンピュータのネットワーク）と呼ばれる。ボットネットの主な目的は、様々な不正なオンライン活動のためにゾンビコンピュータを使用することである。ボットネットの検出に関する重要な一問題は、感染したコンピュータの多くの所有者が、自分のマシンが損なわれていることを知らないことである。ボットネットは、様々なタイプの違法な活動のために使用することができるが、この説明では、ボットネットから生じるＤＤｏＳアタックが強調される。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
[0010]（ｉ）ユーザがユーザ自身のセキュリティにより注意を払い、（ｉｉ）企業が企業自体のユーザのセキュリティ及び教育により投資をした場合、ボットネットの機能は、著しく阻止されるはずである。しかし、往々にして実情はそうではない。インターネットアーキテクチャの現在の状態のために、ＤＤｏＳアタックのターゲットだけがアタックのコストを負担する。感染したユーザもＩＳＰも、どんなコストも負担せず、したがってセキュリティ措置に投資するどんな短期的な動機も持たない。しかし、その結果、逆説が生じる。ＤＤｏＳアタックが招く損失が莫大であることを考えると、こうしたアタックを挫折させることは、ｅ−ビジネスにとって有益となることが広く受け入れられている。一方、防御の実装のために組織が負わせるコスト及び追加の教育を考えると、組織は依然として、防御を確立することに気乗りがしない。
【００１１】
[0011]したがって、インターネット内のセキュリティリスクを管理することはこれまで、大部分は損害のリスク及び重大さを低減する方法に関するものであった。こうした方法（ファイアウォール、侵入検出、及び侵入予防など）は、リスクを低減するが、リスクをなくすわけではなく、残存するリスクをどのように扱うかに関して疑問が残る。インターネットサービスプロバイダ（ＩＳＰ）によって適用される現在の方式は、結果に苦しむユーザを不利な立場に立たせる。
【課題を解決するための手段】
【００１２】
（発明の概要）
[0012]本明細書では、ネットワークエンティティに対するセキュリティアタックを補償し、低減する方法及び装置が開示される。一実施例では、仮想スライスプロバイダが、リソースを有するセキュアスライス及び非セキュアスライスを含み、サービスプロバイダを介してユーザにネットワークアクセス権を与える。セキュアスライスには第１セキュリティレベルが割り当てられ、非セキュアスライスには第２のより低いセキュリティレベルが割り当てられる。一実施形態では、第２スライスが第１スライスから分離される。仮想スライスプロバイダはまた、スライスプロバイダとサービスプロバイダとの間のリスクポリシーをも有し、セキュアスライス及び非セキュアスライスへのアクセスに関してサービスプロバイダに課金される異なるレートを確立し、各スライスでのセキュリティの欠如の結果として生じる損失に関するサービスプロバイダへの異なる支払いのレベルを実現する。
【図面の簡単な説明】
【００１３】
（図面の簡単な説明）
[0013]以下で与られる詳細な説明と、本発明の様々な実施形態の添付の図面から、本発明をより完全に理解されよう。しかし、詳細な説明及び添付の図面は、本発明を特定の実施形態に限定するためのものと理解すべきではなく、説明及び理解のためのものに過ぎないと理解されたい。
【図１】分散サービス妨害アタックの一般的な分類を示すためのコンピュータネットワークのブロック図である。
【図２】リスクプーリング戦略を図示するグラフである。
【図３】すべてのリスクタイプに同一のポリシーが提案されるリスクプーリング戦略を図示するグラフである。
【図４】異なるリスクタイプに異なるポリシーが提案されるリスクプーリング戦略を図示するグラフである。
【図５】各ユーザに異なるポリシーが提案され、均衡が確立されるリスクプーリング戦略を図示するグラフである。
【図６】本発明の一実施形態によるネットワークサービスプロバイダを介してユーザにアクセス権を与える仮想スライスプロバイダのブロック図である。
【図７】コンピュータシステムのブロック図である。
【発明を実施するための形態】
【００１４】
（本発明の詳細な説明）
[0014]ネットワークエンティティに対するセキュリティアタックを補償し、低減する方法及び装置が説明される。本明細書に記載の技法は、リスクの一部をすべての参加者に移転する。リスクは、経済的な動機を再配置し、アタックのコストの一部を関係するすべての関係者に移転することによって扱うことができ、これは、アタックターゲットがすべてのコストを負担する現在のシステムとは対照的である。本発明の実施形態によれば、そのようなリスクは、そのようなリスクに対する保険を買い、したがって動機チェーンを再配置することによって管理される。
【００１５】
[0015]以下の説明は、インターネットユーザに対するＤＤｏＳアタックの状況で提示される。ユーザが受ける損失は、販売システム、製造システム、及びマーケティングシステムの使用を拒否される企業にとって重大である可能性がある。しかし、インターネット、さらにはプライベートネットワークを介して実施される広範な様々なセキュリティリスクが存在する。インターネットリスクが、プライベートネットワークに移転される可能性があり、リスクは、プライベートネットワーク上で生じて、単にそのネットワークに影響を及ぼす可能性があり、又はインターネットを含む接続されたすべてのネットワークに伝播する可能性がある。本発明の実施形態は、公衆ネットワーク及びプライベートネットワークと、ウィルス、スパイウェア、トロイの木馬、及び様々なタイプのボットを含む広範なリスクとに適用することができる。様々なリスク及びその重大さは、技術が発展するにつれて継続的に変化する。以下で説明される手法を用いて、こうしたリスク及びその結果のすべてを軽減することができる。
【００１６】
[0016]以下の説明では、本発明のより完全な説明を与えるために多数の細部が説明される。しかし、こうした特定の細部なしに本発明を実施できることは当業者には明らかであろう。別の場合には、本発明を不明瞭にするのを避けるために、周知の構造及び装置が、詳細に示されるのではなく、ブロック図形式で示される。
【００１７】
[0017]以下の詳細な説明の一部は、コンピュータメモリ内のデータビットに対する操作のアルゴリズム表現及び記号表現によって提示される。こうしたアルゴリズム的な説明及び表現は、データ処理技術分野の技術者がその成果の主旨を当業者に効果的に伝えるために使用される手段である。アルゴリズムはこの場合、かつ一般に、所望の結果に導く首尾一貫したステップのシーケンスと考えられる。ステップは、物理量の物理的操作を必要とするものである。通常、必須ではないが、こうした量は、格納、転送、組合せ、比較、或いは操作することのできる電気信号又は磁気信号の形態を取る。時には、主に一般的な用法の理由で、こうした信号をビット、値、要素、シンボル、文字、用語、数字などとしてみなすことが好都合であることが示されている。
【００１８】
[0018]しかし、こうした用語又は類似の用語のすべてが適切な物理量と関連付けられるべきであり、こうした用語又は類似の用語のすべては、こうした量に適用される好都合なラベルに過ぎないことに留意すべきである。別段の具体的な言及がない限り、以下の議論から明らかなように、説明全体を通して、「処理」、「コンピューティング」、「計算」、「決定」、「表示」などの用語を使用する解説は、コンピュータシステムのレジスタ及びメモリ内の物理（電子）量として表されるデータを操作し、コンピュータシステムメモリ又はレジスタ又は他のそのような情報格納装置、情報伝送装置、又は情報表示装置内の物理量として同様に表される他のデータに変換する、コンピュータシステム又は類似の電子コンピューティング装置の動作及びプロセスを指すことを理解されたい。
【００１９】
[0019]本発明はまた、本明細書の操作を実施する装置に関する。この装置は、必要とされる目的のために特別に構築することができ、又はコンピュータ内に格納されたコンピュータプログラムによって選択的に活動化又は再構成される汎用コンピュータを含むことができる。そのようなコンピュータプログラムは、限定はしないが、フロッピィディスク、光ディスク、ＣＤ−ＲＯＭ、光磁気ディスク、読取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気カード又は光カードを含む任意のタイプのディスク、電子命令を格納するのに適し、コンピュータシステムバスにそれぞれ結合された任意のタイプの媒体などのコンピュータ可読記憶媒体内に格納することができる。
【００２０】
[0020]本明細書で提示されるアルゴリズム及び表示は、何らかの特定のコンピュータ又は他の装置に固有に関係するわけではない。本明細書の教示によるプログラムと共に様々な汎用システムを使用することができ、又はより特殊化された装置を構築して、必要な方法ステップを実施することが好都合であることを示すことができる。様々なこうしたシステムにとって必要な構造が、以下の説明から明らかとなるであろう。さらに、本発明は、特定のプログラミング言語を参照して説明されない。様々なプログラミング言語を使用して、本明細書に記載の本発明の教示を実施できることを理解されよう。
【００２１】
[0021]機械可読媒体は、マシン（例えばコンピュータ）で読取り可能な形式で情報を格納又は送信する任意の機構を含む。例えば、機械可読媒体は、読取り専用メモリ（「ＲＯＭ」）、ランダムアクセスメモリ（「ＲＡＭ」）、磁気ディスク記憶媒体、光記憶媒体、フラッシュメモリ装置などを含む。
【００２２】
（概要）
[0022]本明細書では、２つのタイプのエンティティ、すなわちＩＳＰ及びユーザが存在し、ＩＳＰ及びユーザの目標は、損失を最小限に抑えながら利益を最大にすることである。ユーザが他のユーザと対話するときに関係するリスクにユーザが気付いており、ユーザ自身に保険を掛け、ユーザ自身の損失を最小限に抑えることを望むと仮定する。一方、ＩＳＰの主な目標は、ＩＳＰの株主に対する利益を得ながら、アタックによる損失を回避し、ユーザからの保険料でＩＳＰの保険コストをカバーしてもらうことである。本明細書では、ＩＳＰに利益をもたらすと共にユーザをリスクから保護する保険機構を使用するフレームワークが説明される。このフレームワークでは、ＩＳＰは、一定のレベルの保険料と引き換えに、一定のタイプの保険をユーザに提案する。高リスクユーザと低リスクユーザという２つのタイプのユーザが想定され、ここで「高」及び「低」という用語は、あるユーザが保険会社に支払いを求める確率を定義する。より具体的には、高リスクユーザは、低リスクユーザよりも保険金支払いを求める可能性が高い。言い換えれば、高リスクユーザは、ポリシーに対する損失を受け、その損失に基づいて補償又は賠償を求める請求を行う可能性が高い。しかし、特定の状況に応じて、より多くのタイプのユーザを使用することもできる。
【００２３】
[0023]各ユーザは、ユーザのインターネット接続性及び活動の結果として富ｗを有すると想定される。この富に保険が掛けられていないとき、ユーザについての結果に２つの可能性が存在する。ユーザがどんな損害も受けない場合、ユーザの富は依然としてｗに等しいままであり、ユーザの効用はＵ（ｗ）となる。一方、ユーザが損害を受ける場合、ユーザの富はｗ−ｄに減少し、ユーザの効用はＵ（ｗ−ｄ）となる。一実施形態では、ユーザの期待富Ｅ（ｗ）は、生じる損害の確率ｐに基づいて求められ、以下によって与えられる。
【数１】
2011520161.tif 000003
そしてユーザの期待効用は以下によって与えられる。
【数２】
2011520161.tif 000004
上式でＵ（Ｎ）中のＮは、保険が提案されないときの効用を表す。
【００２４】
[0024]次に、保険が提案され、個人が保険料を価格α１で購入する場合を考慮する。したがって、ユーザの初期富はｗ−α１に等しい。アタックの場合、保険会社としての役目を果たすＩＳＰは、α２に等しい量の金銭を支払い、したがって事故後の、保険が掛けられた個人の富は、ｗ−α１−ｄ＋α２に等しい。この場合、ユーザの期待効用は以下によって表現することができる。
【数３】
2011520161.tif 000005
上式でβ＝α１＋ｄ−α２であり、Ｕ（Ｉ）中のＩは、保険が提案されるときの効用を表す。支払い保険料α２は、保険料α１と、個々のユーザが保険金請求を行う確率ｐの両方の関数でよい。ベクトルα＝（α１，α２）は、保険会社としてのＩＳＰとユーザとの間の保険契約を定義する。
【００２５】
[0025]さらに、本明細書では以下の表記が使用される。
ｗ１：アタックのないユーザの最終的富（ｗｅａｌｔｈ）
ｗ２：アタック後のユーザの最終的富（ｗｅａｌｔｈ）
保険を掛ける期待効用が保険を掛けない期待効用を超える場合、ユーザが保険ポリシーを購入する動機を有すると仮定する。式２及び式３を組み合わせることによって以下の不等式が得られる。
【数４】
2011520161.tif 000006
【００２６】
[0026]一実施形態では、ＩＳＰは、どんな種類のアウトバウンドトラフィック制御も実施せず、実施される唯一のタイプのトラフィック制御は、標準インバウンドトラフィック制御である。以下で説明されるように、本明細書で説明される技法は、ＩＳＰ及びネットワーク内の他の参加者によって実施されるトラフィック制御のタイプの如何に関わらず利点をもたらす。以下で説明される保険アーキテクチャは、ＩＳＰとユーザのどちらについても動機を与え、ネットワークのセキュリティを向上させる。
【００２７】
[0027]本明細書では、以下の定義が使用される。しかし、任意のシステムの特定のパラメータを特定の状況に適合するように構成することができる。
保険ポリシーは、期間、カバレッジ、保険料、及び免責を記載する保険の契約を表す。より具体的には、保険ポリシーは、買い手とポリシーの提供者との間で実施される１組の支払い規則及び補償規則を表す。
保険契約は、保険ポリシーの特徴がその下で実施される１組の規則を定義する。
保険料は、保険ポリシーに対して行われる周期的支払い、すなわち、ユーザが請求事象又は被保険事象に遭ったかどうかに関わらずユーザが保険会社に支払う金銭量を表す。以下で説明されるように、一実施形態では、良い行動を励まし、規制動学で強制可能なポリシーが提案される。
さらに、本明細書では、ＩＳＰを介してサービスにアクセスするユーザとＩＳＰがどちらも、関係するリスクを最小限に抑えながら利益を上げるという目標を有すると仮定する。しかし、本発明のアーキテクチャは、他の状況及び条件に適用することもできる。ユーザの場合、この目標は、初期富ｗの減少を最小限に抑えることとして表現することができる。一実施形態では、ＩＳＰの一般的ポリシーは、ＤＤｏＳアタックの場合（すなわち、すべての参加者が損害を受け、保険料支払いを求める場合）にＩＳＰが負の利益を得ないようにＩＳＰの値付けポリシーを定式化することである。より具体的な目標が以下で論じられる。
【００２８】
（ＩＳＰ保険ポリシー）
[0028]上述のように、部分的には新しい脅威、例えば新しいＯＳ脆弱性が現れ、高速で伝播するため、部分的にはＩＳＰとユーザがどちらも互いに対話し、したがって互いの条件に非常に依存するために、ユーザは、自分自身を守るだけではリスクをなくすことはできない。セキュリティにかなりのリソースが投資されているとしても、インターネットユーザ及びサービスは依然として非常に脆弱である。
【００２９】
[0029]話を簡単にするために、一実施形態では、高リスクと低リスクの２つのタイプのユーザだけがこのアーキテクチャで考慮されるが、さらに多くのタイプを考慮することもできる。ユーザは、１つ又は複数の要素に応じて、低リスク又は高リスクのどちらかに分類される。一実施形態では、こうした要素は、以下のうちの１つ又は複数を含む。その会社の収益性（成功している会社はターゲットとなる可能性が高い）、ユーザの知名度（よく知られており、議論の的となるユーザはターゲットとなる可能性が高い）、ユーザが機密データ及び重要なデータを扱うか否かなど。それに照らして、各ユーザは、高リスク又は低リスクのどちらかに分類される。より具体的には、この例では、２つのタイプのユーザを以下のように定義することができる。
Ｈ：保険金を請求する確率Πｈ
Ｌ：保険金を請求する確率Πｌ
ただしΠｈ＞Πｌである。
【００３０】
[0030]保険を導入することにより、リスクの一部がＩＳＰに移転される。ＤＤｏＳ又は他のアタックの場合、ＩＳＰは、掛金を支払うユーザの損害を補償する。ＩＳＰの利益に関しては、保険ポリシー例のそれぞれが、低リスク顧客と高リスク顧客のうちのある部分を引き付ける。本明細書に記載のアーキテクチャは、（ｉ）ユーザ（受け入れられる保険料に対する満足行くレベルの補償をもたらす）及びＩＳＰ（利益をもたらす）にとって受け入れられ、（ｉｉ）競争の激しいマーケットで生き残ることのできる（すなわち安定性がある）ポリシーを含む。
【００３１】
[0031]ネットワークでは、可能性のあるシナリオが２つある。
１）ＩＳＰが高リスクユーザ及び低リスクユーザを識別することができず、すべてのリスクタイプに同一のポリシーが提案される。
２）ＩＳＰがユーザのどちらのクラスも識別することができ、各タイプに異なるポリシーを提案する。
【００３２】
（すべてのリスクタイプが、同一の保険を購入する。）
[0032]上記に加えて、すべてのユーザが自分自身のリスクタイプΠｉを知っているが、この情報がＩＳＰや保険会社などの会社にとって利用可能ではないと仮定する。ユーザは一般に、ユーザのリスクタイプについて保険会社よりもよく知っているので、この構成はより現実的である。この主張は、教育を受けていないユーザの場合であっても真実である。すなわち、ユーザが自分がどれほど危険であるかを知らないとしても、ユーザは、犠牲となることから自分自身を保護するためのどんなセキュリティ措置も使用していないことに気付いている。
【００３３】
[0033]このシナリオでは、異なるタイプのユーザを特定することができないＩＳＰの無知のために、高リスクユーザと低リスクユーザのどちらにも、同一のポリシーが提案される。このシナリオは、保険代理店がユーザのリスクタイプについて無知であり、したがってすべてのユーザについて同一のポリシーを提案することを選ぶ場合に存在する。このシナリオは、図２のダイアグラムに関する基礎であり、図２では、ｘ軸がアタック前のユーザの富を表し、ｙ軸がアタック後のユーザの富を表す。図２の点Ｅは、基金点（ｅｎｄｏｗｍｅｎｔ  ｐｏｉｎｔ）を表す。損失がない場合、ユーザは富ｗ（ｘ軸）にとどまり、アタックの場合、ユーザは、点Ｅの富ｗ−ｄ（ｙ軸）にとどまる。ユーザは通常、点Ｅに到達するために保険を購入することを望まない。
【００３４】
[0034]図２をより詳細に考慮すると、曲線ＵＨ及びＵＬは、それぞれ高リスクユーザ及び低リスクユーザに関する無差別曲線を表す。すなわち、すべてのＵＨ（ＵＬ）のすべての点は、高（低）リスクユーザに対して同一の効用をもたらし、したがってユーザは、同一曲線上にある選択肢は無関心である。無差別曲線の傾きはＭＲＳ（限界代替率、すなわち、消費者がある財を別の財の代わりとすることをいとわない率）を表す。この場合、ある財は保険ポリシー保険料であり、別の財はポリシーによって提案される、主張される損失に対するカバレッジである。（期待効用の観点から）最適な動作点Ａは、無差別曲線がＭＲＳ直線に接する所である。
【００３５】
[0035]どちらのタイプのユーザも同一の好みを有するが、その無差別曲線は、状態空間図中の任意の点で異なる傾きを有する。各ユーザは、保険料に対する請求を提示する異なる確率に直面するからである。図２の直線ＭＲＳＬは、マーケット平均フェアオッズ直線を表す。マーケット平均フェアオッズは、契約が高リスクと低リスクのどちらのタイプの顧客の無作為標本でも受諾された限り、平均で差引き０にしながら、保険会社（ＩＳＰ）が平均的顧客に提案することのできるオッズである。
【００３６】
[0036]マーケット平均フェア保険料が表すものに注目すると、保険会社は、マーケット需要によって、低リスク顧客の福祉を最適化するポリシーを提案するように駆り立てられる。このポリシーは、図２の点Ａで表される。ＭＲＳＬ未満のどんな契約も、それがどちらのタイプの顧客も引き付ける場合に、保険会社に余分な利益を提供することになる。この種の契約は均衡となることができない。競争により、契約がＭＲＳＬ上の点に再び達するまで契約を改良するように駆り立てられるからである。次に、保険会社がＭＲＳＬに沿ったＡの右側に対する契約、言い換えれば基金点により近く、水平軸上でより高く、垂直軸上でより低い契約に対する契約を提案する場合に何が生じるかを検討する。その契約は常に、Ａで契約を提案する別の保険会社によって改善される可能性がある。リスクのある顧客とリスクのない顧客のどちらもその契約を望むからである。同様に、保険会社がＭＲＳＬに沿ったＡの左側の契約を提案した場合、その契約は常に、点Ａで契約を提案することによって改善される可能性がある（低リスク顧客だけが点Ａでの契約を望み、したがってすべての安全タイプをを引き付けることになり、すべての高リスクタイプは、Ａの左側の点での契約のままとどまる）。
【００３７】
[0037]図２の点Ａで示されるような契約は、実現可能でないことがある。不利な選択が行われ、リスクのある顧客だけが保険を購入するからである。このケースが図３に示されており、図３を使用して、図２のシナリオが均衡状態を提供しないことを実証することができる。保険会社が図２及び図３に示されるＭＲＳＬ直線に沿った契約Ａを提案すると仮定する。しかし、その点では、低リスク顧客Ｕ（Ｌ）に関する無差別曲線は、ＭＲＳＬ直線上の点を通る高リスク顧客Ｕ（Ｈ）に関する無差別曲線よりも常に傾きが大きい。したがって、保険会社が、図３の点Ｂで表されるポリシーを提案することによって既存の契約Ａを改善することが常に可能である。
【００３８】
[0038]図３の点Ｂは、厳密にＵＨより下にあり、したがって、明らかに高リスクユーザは、点Ｂでの現ポリシーよりも満足である。しかし、ＢはＵＬより上であるので、低リスクユーザは断固としてこのポリシーを望む。したがって点Ｂがより良好な取り決めである。一方、このポリシーは点ＡよりもＥに近いので、あまり多くの保険を提供しない。これは低リスクユーザには魅力的である。低リスクユーザの利益で高リスクユーザタイプの補助をしているので、低リスクユーザはどちらかと言えば有する金銭が少し多く、保険が少し少ないからである。逆の理由で、高リスクユーザは、高リスクユーザが低リスクユーザの利益で補助される初期ポリシーを望む。したがって、ポリシーＢが提案されるとき、すべての低リスクユーザはＢに変更し、高リスクタイプはＡにとどまる。次に、ポリシーＢが低リスクユーザだけを引き付ける場合、ポリシーＢは収益性が高い。ポリシーＢはＭＲＳＬ直線の下にあるからである。しかし、ポリシーＡを提案する保険会社はそのとき、最適以下の位置にある。ポリシーＡは高リスク顧客だけを引き付ける。
【００３９】
[0039]したがって、図３で示唆される構成では、均衡は存在しない。図３で示唆される構成は常に、ユーザのプールから低リスク顧客を引き付ける新しいポリシーによって破壊される。これにより、高リスクユーザだけがとどまり、保険が消滅するので、既存のポリシーが金銭を失う。言い換えれば、このポリシーを提案するＩＳＰが、様々な異なるユーザを引き付けることができないので、マーケットから消滅する。したがって、契約Ａが破綻し、ユーザの全体のプールが、同じ点、今度は点Ｂに再び引き付けられる。次に、Ｂよりも良い新しいポリシー、例えばＣを提案する別の保険会社が再び存在する可能性があり、Ｃが再び良好なユーザを引き付け、サイクルが反復される。しかし、提案されるポリシーが基金点Ｅの近くに移動するとき、新しい契約の利益はより小さくなり、最終的には、ＩＳＰが何も利益を得ることができないので保険ポリシーが提案されなくなり、又は異なるポリシーが提案されることになる。
【００４０】
[0040]図２及び３を要約すると、会社があるグループのユーザに関して金銭を失い、別のグループに関して利益を得る場合、２つのグループを分離し、保険について異なる価格を請求する強力な動機が存在する。これにより、各リスクタイプが異なるポリシーを購入する、分離均衡という概念が示唆される。
【００４１】
（各リスクタイプが、異なるポリシーを購入する。）
[0041]すべてのユーザが同一のポリシーの提案を受ける状況は、知らせを受けた保険会社がマーケットに参入するとすぐに実現不可能となる可能性があり、その結果、低リスクユーザと高リスクユーザに厳密に分離される。１つ又は複数のＩＳＰが、すべてのユーザに対して固定の保険料を提案するというポリシーを決定する場合、その１つ又は複数のＩＳＰは、最終的には主に高リスクユーザを引き付ける。図４に示されるシナリオでは、点ＡＬ及びＡＨが、２つのリスクグループに関する完全保険点である。図４はまた、低リスクグループＬに関するＭＲＳＬ直線、及び高リスクグループＨに関するＭＲＳＨ直線の２つのＭＲＳ平均直線も示す。２つの直線は、基金点で出会い、平均ＭＲＳの傾きは、グループＬに関するものの方が大きい。グループＬはまた、損失を受けるオッズがより低いので、より多い富を有する。
【００４２】
[0042]ＭＲＳＬ直線上のＢと符号を付けた点は、完全保険を求める高リスクグループからの効用曲線がＭＲＳＬと交差する点を表し、低リスクグループＢからの限界代替率曲線が、高リスクユーザ無差別曲線Ｕ（Ｈ）上にあるためにやはり高リスクユーザを引き付けない、低リスクユーザに提供することのできる最良のポリシーである。ＩＳＰが別のポリシー、例えばＢ＋を提案した場合、低リスクユーザは断固としてこのポリシーを望む。しかし、高リスクユーザもこのポリシーを望み、その結果、上記の単一のポリシーシナリオ、持続不可能なシナリオ、又は不均衡シナリオが得られる。ＩＳＰがポリシーＢ−を提案した場合、高リスクユーザはそれを選択しないが、低リスクユーザは、Ｂの元のポリシーを断固として望む。したがって、Ｂ−のようなポリシーよりもＢの方が優位を占める。したがって、Ｂは、低リスクユーザと高リスクユーザに関する分離制約を定義する点である。高リスクユーザにとってより魅力的などんなポリシーも、図２及び３で示唆される単一のポリシーシナリオに収束することになる。
【００４３】
[0043]図４は、ＩＳＰが２つのタイプのポリシーＡＨ及びＢを提案するシナリオを示唆し、ＡＨは高リスクユーザにとって最良のポリシーであり、Ｂは低リスクユーザにとって最良のポリシーである。この保険シナリオでは、高リスクユーザには完全に保険が掛けられ、低リスクユーザには部分的な保険が提案される。上述のように、会社が、低リスクユーザに完全に保険を掛けるポリシーを提案する場合、そのポリシーは高リスクユーザも引き付ける。したがって、高リスクユーザの好みが、マーケットに対する制約として働く。保険会社は、高リスク顧客を引き付けない制約の対象となる低リスクユーザの福祉を最大にしなければならない。それを行うために、提案されるポリシーは、図５に示されるように均衡状態になければならない。
【００４４】
[0044]このシナリオでは、マーケットフェアオッズ直線Ｍ１が、Ｃを通る低リスク顧客の無差別曲線Ｕ（Ｌ）より下にある。この場合、Ｃから離れている低リスクユーザを引き付けることのできる任意の契約は、Ａからの高リスクユーザをも引き付け、マーケット平均フェアオッズ直線ＭＲＳＨより上にあり、したがって、マーケット平均フェアオッズ保険料より下の保険料を導入し、保険会社に対する予想損失が生み出される。分離契約を提案する競争相手に直面する保険会社（ＩＳＰ）は、こうした契約自体を提案する以上に良好に行うことができず、通常以上の利益を生み出す、提案するための他の契約を見つけることができず、したがって分離契約がナッシュ均衡を表す。
【００４５】
[0045]図５はまた、直線Ｍ２をも含む。マーケットフェアオッズ直線がＭ２で表された場合、マーケットフェアオッズ直線は、低リスクユーザの無差別曲線を点Ｃで切断する。このシナリオは、マーケットで安全な顧客の割合が高い場合に生ずることがある。無差別曲線とマーケットフェアオッズ直線がこのようにして切断される場合、分離契約から離れている高リスク顧客と低リスク顧客のどちらも引き付けることのできる、提案するための新しい契約を見つけることが常に可能である。この契約は図５でＤと示される。Ｄは低リスクユーザ及び高リスクユーザに関する無差別曲線の上にあるので、この契約は、分離契約から離れているどちらのタイプの顧客も引き付ける。さらに、ＤはＭ２の下にあるので、契約は、マーケット平均フェアオッズ保険料よりも高い保険料を請求し、したがって保険会社（ＩＳＰ）にとって正の予想利益が生み出される。分離契約を提案する競争相手に直面するＩＳＰは、ＩＳＰの競争相手の行動を考えると、分離契約を提案することにより、利益を最大にすることはないが、契約を提案することをより良好に行い、顧客を点Ｄに配置することを可能にする。したがって、分離契約は、この場合はナッシュ均衡を生み出さない。
【００４６】
[0046]点Ｄに位置する契約は、図２で分析したのと同じものである。この場合、そのような契約は決してナッシュ均衡を生み出さないことが示された。次いで、後者の場合にナッシュ均衡が存在しないことが続く。しかし、分離均衡で、低リスクユーザには完全には保険が掛けられず、したがって低リスクユーザは不満である可能性がある。高リスクユーザに対するほんのわずかな内部相互補助を必要とするが、より多くの保険を提案するＤのようなポリシーは、低リスクユーザにとってポリシーＣよりも好ましいことがある。したがって、マーケットで高リスクユーザが十分に少ない場合、ＩＳＰは、このポリシーを有益に提案することができ、このポリシーは２つの分離ポリシーよりも優位を占める。このシナリオでは、低リスクユーザは、公平な価格で保険が少ないことよりも、不公平な価格で保険が多いことを望む。このことは、高リスクユーザに比べて、リスクを分散させるための低リスクユーザが多い場合に真実となる可能性があり、価格が中程度に高価となるだけにすることが可能となる。しかし、マーケットは、上記で示すようにこのシナリオを許容することができない。
【００４７】
[0047]上記のダイアグラムを使用して実演したように、サービスプロバイダにとって、サービスプロバイダの保険ビジネスプランが成功するという明白な保証はない。上記で論じたインターネットアーキテクチャは、ＩＳＰがＩＳＰのユーザをアタックから保護する、すなわち何らかの種類の補償をユーザに提案するためのどんな動機も提供しない。ＩＳＰの主目標が利益を上げることであり、ユーザの主目標がアタックから保護される（アタックの場合であってもユーザの富の大部分を維持する）ことである場合、リスクの一部がＩＳＰが移転される保険シナリオが妥当であるように思われる。しかし、上述のように、保険だけを使用することでは、ＩＳＰは、利益を上げる保証がなく、したがって単純な保険シナリオを使用する方式を実施する動機を有さない。したがって、保険から利益を上げるために、ＩＳＰは、ＩＳＰがＩＳＰの残存リスクを第３者に移転する、より安全な方式に向けて収束することになる。
【００４８】
（仮想化モデル、システム、及びアーキテクチャ）
[0048]上述のように、どの保険方式も、常にＩＳＰに対して収益性を残しながら、ポリシーを購入するユーザに強力なセキュリティ保証を提供することはない。さらに、マーケット内の競争の導入（すなわち、顧客を求めて競合し、異なるタイプの保険を提案するいくつかのＩＳＰ）により、高リスクユーザと低リスクユーザが自然に分離される。仮想化を導入することにより、ユーザ挙動を規制するより厳密なフレームワークを得ることができる。仮想化は、本明細書でＶＳＰ（仮想スライスプロバイダ）と呼ばれる新しいエンティティを導入する。ＶＳＰは、新しい保険シナリオでＩＳＰと対話する。
【００４９】
[0049]ＶＳＰは、仮想スライスへのアクセス権を与える。こうしたスライスは、データセンタ、ルータ、交換機、及び任意の他のネットワークアクセスリソースを含む。一実施形態では、各スライスは、メモリ、ＣＰＵ時間、リンク速度などのスライスリソースへの何らかの保証されたアクセスの手段を含むように構成される。あるスライスからのリスクが別のソースからのリスクに直接的に影響を及ぼさないように、各スライスについて、こうしたリソースを専用にし、分離することができる。一実施形態では、ＶＳＰは、異なるスライスを異なるセキュリティレベルに置く。
【００５０】
[0050]完全に仮想化されたネットワークでは、すべての装置及びリンクが仮想スライスに分割される。そのようなネットワークは、公衆ネットワーク、私設ネットワーク、又は混合ネットワークでよい。一実施形態では、非分散型手法について、通常は、ＩＳＰで管理される制御ノード（ＣＮ）に向けて送られるユーザ要求に応答して、スライスが割り当てられる。
【００５１】
[0051]異なるスライスにより、ＩＳＰは、異なるリスクタイプのユーザに対して異なるスライスを使用することにより、異なるタイプのユーザを分離することが可能となる。さらに、異なるスライスにより、ＩＳＰのユーザが提示するリスク、及びスライスのセキュリティレベルに応じて、ＩＳＰに異なる保険料を請求することも可能となる。次いで、ＩＳＰの保険料を最小限に抑えるために、ＩＳＰは、ＩＳＰのユーザの挙動を観察することができ、高リスクユーザについて、保険料を上げ、又はアクセスを終了させることができる。その結果、ＩＳＰによってユーザに課される保険料は、ＩＳＰが引き付けるユーザプールの推定リスクレベルに応じたものとなる傾向がある。
【００５２】
[0052]同様に、ＶＳＰは、リスクレベルに基づいてＩＳＰを分類し、リスクレベルに基づいて保険料を調節する。次いで、特定のＩＳＰが過度のリスクをもたらすとＶＳＰが推定する場合、ＶＳＰは、特定のＩＳＰに対するセキュアスライスへのアクセスを終了することができる。
【００５３】
[0053]上述のように、ＩＳＰのポリシーが低リスクユーザと高リスクユーザのどちらも引き付けるときにだけ均衡が存在する。母集団が大部分は低リスクである場合、提案される均衡は収益性があり、ポリシーが提案される。ここでは、大部分は低リスクのユーザを引き付けるが、高リスクユーザの一定の部分を有するポリシーをＩＳＰが提案するこのシナリオの代替バージョンが、より完全に説明される。
【００５４】
[0054]インターネットの性質は通常、複数のＩＳＰに属する複数のユーザ間の連続的対話を含む。したがって、あるモデルでは、次の２つの条件が満たされる。
１）ＩＳＰのユーザの挙動を部分的に説明できるようにＩＳＰを保つ必要がある
２）各ＶＳＰは、対話しているＩＳＰのリスクレベルを知っている必要がある
その情報が与えられたとすると、その情報は、ＩＳＰを高リスク又は低リスクと分類し、適切な保険料を請求する。
【００５５】
[0055]本発明のいくつかの実施形態によるシステムモデルでは、以下のエンティティが企図されるが、状況に応じて、より多数又は少数のエンティティ並びに異なるエンティティを考慮することもできる。
非常に安全（高リスク）又は非安全（低リスク）である可能性のあるユーザ
高リスク又は低リスクのどちらかである可能性のあるサービス
あるタイプの保険をユーザに提案するＩＳＰ
あるタイプのユーザにスライスアクセス権を与える仮想スライスプロバイダ（ＶＳＰ）。この例では、ＶＳＰはユーザとサービスのどちらもホストする。しかし、このことは本発明にとって必要であるわけではない。
【００５６】
[0056]ＤＤｏＳアタックの観点からは、非常に安全なユーザとは、ユーザ自身のセキュリティ措置に投資し、インターネット活動に関係する危険の可能性について知識のあるユーザである。したがって、このクラスのユーザは、感染する可能性が低く、したがってボットネットの一部となる可能性が低い。一方、非安全ユーザは、知識がなく、ユーザ自身を危険から保護することができず、或いはユーザ自身のセキュリティに投資することに関心がない。
【００５７】
[0057]高リスクサービスは、低リスクサービスよりもＤＤｏＳアタックのターゲットとなる可能性が高いと特徴付けることができる。したがって、高リスクサービスはより多くの保護を必要とする。ＶＳＰは、ＩＳＰがセキュアスライスへのアクセス権を有する他のユーザ及びサービスに過度のリスクをもたらすと推定した場合、セキュアスライスへのアクセスを終了する権利を有すると仮定される。さらに、このモデルでは、ＩＳＰがインバウンドトラフィックを監視する。しかしこれは必須ではない。一実施形態では、アタックを引き起こす確率を最小限に抑えるために、セキュアスライスへのアクセス権を授与されるＩＳＰは、アウトバウンドトラフィックも監視する義務を有する。そうではなく、そのような制御が実装されず、アタックが生じる場合、ＶＳＰは、アタックの発信元であったＩＳＰに対して、セキュアスライスへのさらなるアクセスを拒絶する動機を有することになる。それに加えて、ＶＳＰは、ＶＳＰのすべてのユーザ及びサービスに対して、それらが接続性を失ったことのために保険料を支払わなければならない。したがって、セキュアスライスにアクセスするためのアウトバウンドトラフィック制御の義務的な実装に対する十分な動機付けがある。
【００５８】
[0058]一実施形態では、インバウンドトラフィック制御とアウトバウンドトラフィック制御のどちらも実施するＩＳＰには、セキュアスライスへのアクセス権が授与される。そうではなく、インバウンドトラフィック制御だけが実施される場合、ＩＳＰには、通常スライスへのアクセスのみが授与される。セキュアスライスにアクセスするＩＳＰは、ＩＳＰのユーザに低リスク保険ポリシーを提案する必要があり、保険料を支払うユーザだけがセキュアスライス上で許可される。高リスクスライスは、保険を購入しない（かつ自己防衛もしない可能性のある）ユーザと、ユーザの残存リスクを移転し、高リスク保険を購入することを選ぶユーザのどちらにも対処することができるが、今日のインターネットと同様に、ＩＳＰが高リスクスライスへのアクセスに対する保険を提案することに関する要件はない。さらに、ＩＳＰは、自己防衛措置が最新であり、感染していないユーザに対するアクセスに関する制限や、ＩＳＰがどんなアタックトラフィックも発信しないことを保証するためのアウトバウンドトラフィック制御などの、低リスクスライスに対する追加の保護を実施しなければならない。
【００５９】
[0059]図６は、記載の保険方式を実施するのに適したネットワークアーキテクチャの一部のブロック図である。図６を参照すると、ＶＳＰ２１が、現在のインターネットと同じ特性を有するセキュアスライス２２及び非セキュアスライス２３を有する。話を簡単にするために２つのスライスを示すが、実際のシステムは、さらに多くのスライス、さらに多くのＩＳＰ、及びさらに多くのユーザ又は加入者を有することができる。スライスはＩＳＰ２４−１、２４−２でアクセスされる。スライスへのアクセスは、ＩＳＰを介してユーザに与えられる。図６では、ビジネスユーザ２５−１、２５−２、及び単一ユーザ２６−１、２６−２が存在する。図示するように、ＩＳＰ２４−１及び２４−２とセキュアスライス２２との間にインバウンドトラフィック及びアウトバウンドトラフィックが存在する。ＩＳＰが単一ＶＳＰだけにアクセスするものとして図示されているが、ＩＳＰは、１つ又は複数のＶＳＰからリソースを得ることができ、ＶＳＰは、１つ又は複数のＩＳＰにスライスを提供することができる。こうした接続の多くは、保険ポリシーによってカバーされるが、ＩＳＰは、部分的に保険なしで運用し、部分的にＩＳＰ自体のリソースを使用して運用する（自己保険）ことを選ぶことができることが企図される。
【００６０】
[0060]したがって、このシナリオでは、セキュアスライスにアクセスするために厳密なアウトバウンドトラフィック制御を実施することはＩＳＰのためである。ＩＳＰがあるユーザの異常な挙動を観察した場合、ＩＳＰは、そのユーザの保険料を上げ、又はそのユーザのアクセスを完全に終了させる（アタックのソースとなり、ＶＳＰ２１によるセキュアスライス２２への拒絶アクセスとなる確率を低減するため）。したがって、本明細書に記載のアーキテクチャは、あるセキュリティ措置を取るようにユーザに動機をもたらし、ユーザの活動のより厳重な制御を実施するようにＩＳＰに動機をもたらす。
【００６１】
[0061]本発明の実施形態は、以下の一般保険モデルの状況で考慮することができる。ＩＳＰｉ（ｉ番目のＩＳＰ）に対して課される保険料は、ＩＳＰｉが引き付けるユーザプールの推定リスクレベルの関数である。提案される仮想化アーキテクチャは、仮想化アーキテクチャが実装されない場合に以前の設定で生じる非対称情報の問題（すなわち、ＩＳＰがユーザの自己防衛レベルを知らず、一方、他のユーザは知っていること）を取り除く。以前の設定では、ＩＳＰは、平均リスクに従って保険料を求め、保険料を販売する前にユーザを分類することができない。仮想化設定では、ＶＳＰは、候補ＩＳＰの挙動、候補ＩＳＰの他のＩＳＰとの間の対話、並びに候補ＩＳＰのユーザの行動を観察し、所定の期間の後、ＶＳＰは、所与のＩＳＰのリスク（すなわち確率ｐ）を評価し、対応する保険料を提案する。したがって、厳密なユーザ登録ポリシー及びアウトバウンドトラフィックの制御を実施することはＩＳＰのためである。このようにして、各ＩＳＰは、ＩＳＰのユーザの挙動を監視し、ユーザが安全か、それとも非安全であるかを判定し、その特定のユーザに対する保険料を決定する。ユーザが安全であると判定されたが、後にその挙動を変化させた場合、ＩＳＰは、ユーザの分類を非安全に変更し、より高い保険料を請求する。一方、ＩＳＰは、ＩＳＰがホストする各サービスのリスク因子を求め、十分な保険料を請求する。
【００６２】
[0062]高リスクサービスは、リスクを最小限に抑えるためにセキュアスライスにアクセスすることを望む。アウトバウンドトラフィックの制御は、ＩＳＰが効率的に機能する助けとなることに留意されたい。したがって、（ｉ）ＩＳＰのユーザの挙動、並びに（ｉｉ）高リスクサービス及び低リスクサービスの数に応じて、ＶＳＰによって各ＩＳＰに一定のリスクレベルが割り当てられる。次いでＶＳＰはリスクを推定し、ＩＳＰに一定の保険料を提案する。したがって、この場合、ＩＳＰに対する完全なコストは以下のように表すことができる。
ＣＩＳＰ＝保険料（ＲＩＳＰ）＋ＣＡ＋ＣＯ
上式で、ＲＩＳＰはＩＳＰの推定リスクを表し、ＣＡはスライスアクセスコストを表し、ＣＯはアウトバウンドトラフィック及び他のセキュリティ措置の管理コストを表す。一方、ＶＳＰは、（ｉ）潜在的ＤＤｏＳアタックのコスト及び（ｉｉ）スライス管理コストを補償する保険ポリシーを課す必要がある。
【００６３】
[0063]第１の項目である潜在的ＤＤｏＳアタックのコストは、最大のリスクを有する。ＶＳＰは、厳密なユーザ登録ポリシーを適用する動機を有する。ＩＳＰも、より高いセキュリティのスライスにアクセスする動機を有する。
【００６４】
[0064]その結果、各ＶＳＰに課されるコストは、以下のように表すことができる。
【数５】
2011520161.tif 000007
上式で、Ｄ（ｉ）は、ＩＳＰから生じるＤＤｏＳアタックのコストを表し、ＣＭは、仮想スライスの管理コストを表す。一方、ＶＳＰの利益は以下のように定義することができる。
【数６】
2011520161.tif 000008
上式で、等式中の第１項は、一定のスライスにアクセスするすべてのＩＳＰによって支払われるすべての保険料（推定リスクの関数）の和を表し、第２項は、すべてのＩＳＰから収集されるすべてのスライスアクセス料金の和を表す。
【００６５】
[0065]この方式は、現在のインターネットに伴うリスクを管理するために仮想化機構と保険機構を組み合わせる。そのようなモデルはまた、他の任意のタイプのリスクのあるネットワークにも適用することができる。仮想化を導入することにより、ユーザ挙動の厳密な制御を課すことができ、ユーザがインターネットにアクセスするときに一定のセキュリティ措置を講じるように動機が与えられる。ＩＳＰ−ＶＳＰ対話で情報非対称性が取り除かれ、ＩＳＰがＩＳＰの顧客のリスクを評価することができないことによって課される残存リスクを首尾よく管理することが可能となる。高リスクスライスは、ＩＳＰ及びＩＳＰのユーザが、より安全なサービスに対する保険料を払いたくない顧客に対するセキュリティ保証を厳密に同じく欠いている、厳密に同一のサービスを提案する機会を与える。提案されるアーキテクチャは、セキュアスライスへのアクセス権が授与されるすべてのユーザに対する厳格なセキュリティ保証（接続性を含む）を与える。したがって、（ｉ）ユーザは今や、ユーザ自身のセキュリティに投資する動機を有し（この結果、保険料が低下する）、（ｉｉ）すべてのＩＳＰが、ＩＳＰのユーザの挙動を制御する動機を有する（その結果、ＩＳＰは低セキュリティユーザから受ける損失が低くなり、又はなくなるので、利益が高くなり、非常に保護されたスライスにアクセスするための保険料を請求することになる）。
【００６６】
[0066]本発明の実施形態は、仮想化ネットワークを介して異なるタイプのユーザを分離することのできる経済的に実用的な保険マーケット解決策を提供する。複数のスライスと共に上記で説明した仮想化ネットワークは、異なるリスクタイプのユーザを分離するのに使用される。異なる自己投資動機及び保険ポリシーが、さらに残存リスクを低減し、管理する。このアーキテクチャは、経済的原理を応用してＤＤｏＳ及び他のタイプアタックのリスクを低減すると共に、良好な挙動に対する動機を与える。
【００６７】
[0067]この説明で与えられた仮想化ネットワークは、リスクを推定する効果的な方式を提示する。仮想化アーキテクチャは、より良好なリスク評価、及びより良好な（より現実的な）保険料提供を保証する。複数のスライスにより、異なるリスクタイプのユーザを分離することが可能となる。一実施例では、セキュアネットワークにアクセスするユーザが情報非対称性を取り除くので、保険ビジネスモデルが存続することができる。この結果、リスクを正しく推定することができるので保険料が低くなり、より高いセキュリティがユーザに提供される。
【００６８】
[0068]仮想化アーキテクチャは、異なる自己投資動機及び保険ポリシーを提供して、残存リスクをさらに低減し、管理することによってさらに機能強化することができる。全体のシステムは、厳密なセキュリティ要件を有さないユーザに影響を及ぼさない。こうしたユーザは、前と同様に（前と同じリスクで）引き続き運用することができる。
【００６９】
[0069]一方、厳密なセキュリティ要件を有する高リスクユーザには、保険料の引下げやアタックの場合の損害補償などの、良好なセキュリティ習慣を採用するための動機を提供することができる。
【００７０】
[0070]上述の仮想化ネットワークでは、様々な異なる構成が可能である。ＶＳＰは、ＩＳＰに別々の分離したネットワークスライスをリースすることができる。この設定では、異なるインバウンド及びアウトバウンドトラフィック監視、ユーザ監視、及びセキュリティプロパティと共に各ネットワークスライスを構成することができる。各スライスには、異なる保険ポリシーが付随することもできる。ＩＳＰは、ＩＳＰ自体の顧客プロファイルに基づいて１つ又は複数のスライスをリースすることができる。ネットワークアクセスプロバイダ（又はスライスマネージャ）は、スライスセキュリティへのＩＳＰの準拠、及びスライスに対してＩＳＰが有するリスクに基づいて、異なるアクセス特権及び保険ポリシーを個々のＩＳＰに授与する。ＩＳＰは今や他のユーザのリスクを知っているので、仮想化を使用して、より厳密なユーザ制御を課すことができる。さらに、潜在的分散サービス妨害アタックのコストの一部がＩＳＰに分散され、ＩＳＰは今や、追加のトラフィック制御、ユーザ制御、監視、及び追跡を課すように奨励される。
【００７１】
[0071]本発明の実施形態は、アタックを防止し、ＤＤｏＳアタックの効果を軽減する、新規な動機ベースの方法を提供する。これをトラフィックフィルタリング及び他の既存のアタック防止方法と共に使用することができる。
【００７２】
（コンピュータシステムの一例）
[0072]図７は、本明細書で説明した動作のうちの１つ又は複数を実施することのできる例示的コンピュータシステムのブロック図である。図７を参照すると、コンピュータシステム７００は、例示的クライアント又はサーバコンピュータシステムを含むことができる。コンピュータシステム７００は、情報を通信する通信機構又はバス７１１と、バス７１１に結合された、情報を処理するプロセッサ７１２とを備える。プロセッサ７１２はマイクロプロセッサを含むが、例えばペンティアム（Ｐｅｎｔｉｕｍ）（登録商標）、パワーＰＣ（ＰｏｗｅｒＰＣ）（登録商標）、アルファ（Ａｌｐｈａ）（登録商標）などのマイクロプロセッサに限定されない。
【００７３】
[0073]システム７００は、プロセッサ７１２で実行される情報及び命令を格納する、バス７１１に結合されたランダムアクセスメモリ（ＲＡＭ）又は他の動的記憶装置７０４（メインメモリと呼ばれる）をさらに備える。メインメモリ７０４はまた、プロセッサ７１２による命令の実行中に一時変数又は他の中間情報を格納するのに使用することができる。
【００７４】
[0074]コンピュータシステム７００はまた、プロセッサ７１２に対する静的情報及び命令を格納する、バス７１１に結合された読取り専用メモリ（ＲＯＭ）及び／又は他の静的記憶装置７０６と、磁気ディスクや光ディスクとそれに対応するディスクドライブなどのデータ記憶装置７０７とを備える。データ記憶装置７０７は、情報及び命令を格納するバス７１１に結合される。
【００７５】
[0075]コンピュータシステム７００は、コンピュータユーザに情報を表示するためにバス７１１に結合された、陰極線管（ＣＲＴ）や液晶ディスプレイ（ＬＣＤ）などのディスプレイ装置７２１にさらに結合することができる。情報及びコマンド選択をプロセッサ７１２に通信するために、英数キー及び他のキーを含む英数入力装置７２２をバス７１１に結合することもできる。追加のユーザ入力装置は、方向情報及びコマンド選択をプロセッサ７１２に通信し、ディスプレイ７２１上のカーソル移動を制御するためにバス７１１に結合された、マウス、トラックボール、トラックパッド、スタイラス、カーソル方向キーなどのカーソル制御機構７２３である。
【００７６】
[0076]バス７１１に結合することのできる別の装置は、ハードコピー装置７２４であり、ハードコピー装置７２４は、紙、フィルム、類似のタイプの媒体などの媒体上に情報をマークするのに使用することができる。バス７１１に結合することができる別の装置は、電話又はハンドヘルドパーム装置に通信する有線／無線通信機能７２５である。
【００７７】
[0077]システム７００の構成要素のいずれか又はすべてと、関連するハードウェアとを本発明で使用できることに留意されたい。しかし、コンピュータシステムの他の構成は、装置の一部又はすべてを含むことができることを理解されたい。
【００７８】
[0078]本発明の多数の代替実施形態及び修正形態は、上記の説明を読んだ後の当業者には恐らく明らかとなるであろうが、例示によって図示し、説明したどんな特定の実施形態も、決して限定とみなされないものとすることを理解されたい。したがって、様々な実施形態の細部への参照は、特許請求の範囲を限定しないものとする。
【図１】
2011520161.tif 000009
【図２】
2011520161.tif 000010
【図３】
2011520161.tif 000011
【図４】
2011520161.tif 000012
【図５】
2011520161.tif 000013
【図６】
2011520161.tif 000014
【図７】
2011520161.tif 000015
【手続補正書】
【提出日】平成22年10月5日(2010.10.5)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワークリソースを有し、サービスプロバイダを介してユーザにネットワークアクセス権を与えるセキュアスライスであって、第１セキュリティレベルを有する、セキュアスライスと、
ネットワークリソースを有し、前記サービスプロバイダを介してユーザにネットワークアクセス権を与える第２スライスであって、第２のより低いセキュリティレベルを有し、前記第１スライスから分離される、第２スライスと、
前記セキュアスライスへのアクセスについて前記サービスプロバイダに課金される第１レートと、前記第２スライスへのアクセスについて前記サービスプロバイダに課金される第２レートとを確立し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与える、前記スライスプロバイダと前記サービスプロバイダとの間のリスクポリシーと
を備える、仮想スライスプロバイダ。
【請求項２】
前記ネットワークリソースが、ルータと、サーバと、前記ルータ及びサーバを相互接続する通信経路とを備える請求項１に記載の仮想スライスプロバイダ。
【請求項３】
定義済みのセキュリティレベルをそれぞれ有する１つ又は複数の追加のスライスをさらに備え、前記リスクポリシーが、それぞれのスライスの前記セキュリティレベルに基づく各スライスについてのレートを有する請求項１に記載の仮想スライスプロバイダ。
【請求項４】
前記第１及び第２レートが、前記サービスプロバイダの前記セキュリティ習慣にさらに関係付けられる請求項１に記載の仮想スライスプロバイダ。
【請求項５】
前記ネットワークがインターネットであり、前記サービスプロバイダがインターネットサービスプロバイダ（ＩＳＰ）である請求項１に記載の仮想スライスプロバイダ。
【請求項６】
前記セキュア及び第２スライスへのユーザアクセスを監視するステップをさらに含み、前記第１及び第２レートが、前記監視に基づいて前記ユーザの前記セキュリティ習慣に関係付けられる請求項１に記載の仮想スライスプロバイダ。
【請求項７】
前記ユーザと前記サービスプロバイダとの間の接続を実現する、複数の異なるユーザへの複数の接続と、
仮想スライスプロバイダのセキュアスライスへの接続であって、前記セキュアスライスが、ネットワークリソースを有し、前記サービスプロバイダを介して前記ユーザにネットワークアクセス権を与え、前記セキュアスライスが第１セキュリティレベルを有する、接続と、
仮想スライスプロバイダの第２スライスへの接続であって、前記第２スライスが、ネットワークリソースを有し、前記サービスプロバイダを介して前記ユーザにネットワークアクセス権を与え、前記第２スライスが第２セキュリティレベルを有する、接続と、
前記セキュアスライスへのアクセスについて前記サービスプロバイダによって支払われる第１レートと、前記第２スライスへのアクセスについて前記サービスプロバイダに課金される第２レートとを確立し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与える、前記スライスプロバイダと前記サービスプロバイダとの間のリスクポリシー
とを備える、ネットワークサービスプロバイダ。
【請求項８】
前記サービスプロバイダがユーザを監視し、ユーザのリスクレベルを求め、前記第１及び第２レートが、前記ユーザの前記リスクレベルに基づく請求項７に記載のネットワークサービスプロバイダ。
【請求項９】
前記サービスプロバイダがユーザを監視し、ユーザに関するリスクレベルを求め、前記第１及び第２レートが、ユーザの求めたリスクレベルに対処するように調節される請求項７に記載のネットワークサービスプロバイダ。
【請求項１０】
高リスクユーザを前記第２スライスにルーティングし、低リスクユーザを前記セキュアスライスにルーティングするルータをさらに備える請求項９に記載のネットワークサービスプロバイダ。
【請求項１１】
高リスクユーザについて前記サービスプロバイダに支払われる第１レートと、低リスクユーザについて前記サービスプロバイダに支払われる第２レートとを確立し、セキュリティの欠如の結果として生じる損失について前記ユーザに支払いを与える、前記サービスプロバイダと複数の前記ユーザのそれぞれとの間のリスクポリシーをさらに備える請求項７に記載のネットワークサービスプロバイダ。
【請求項１２】
ネットワークサービスプロバイダを介してユーザとセキュアスライスとの間のネットワークアクセスをルーティングするステップであって、前記セキュアスライスが、ネットワークリソース及び第１セキュリティレベルを有するステップと、
ネットワークサービスプロバイダを介してユーザと第２スライスとの間のネットワークアクセスをルーティングするステップであって、前記第２スライスが、ネットワークリソース及び第２セキュリティレベルを有するステップと、
前記第１スライスへのアクセスについて前記ネットワークサービスプロバイダに第１保険料を課金し、前記第２スライスへのアクセスについて前記ネットワークサービスプロバイダに第２レートを課金し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与えるステップと
を含む、方法。
【請求項１３】
前記損失を前記ユーザが受け、前記サービスプロバイダへの損失支払いを、前記損失を受けるユーザに与えるステップをさらに含む請求項１２に記載の方法。
【請求項１４】
ユーザの挙動を監視するステップと、セキュリティレベルに基づいて前記ユーザを分類するステップとをさらに含む請求項１２に記載の方法。
【請求項１５】
高セキュリティユーザを前記セキュアスライスにルーティングするステップと、低セキュリティユーザを前記第２スライスにルーティングするステップとをさらに含む請求項１４に記載の方法。
【請求項１６】
低セキュリティユーザに第１レートで保険料を課金するステップと、高セキュリティユーザに第２のより低いレートで保険料を課金するステップと、セキュリティの欠如の結果として生じる損失について前記ユーザに支払いを与えるステップとをさらに含む請求項１４に記載の方法。
【請求項１７】
複数のネットワークユーザを少なくとも２つの異なるセキュリティリスクタイプに分離するステップと、
第１リスクタイプのユーザに第１仮想スライスへのアクセス権を与えるステップであって、前記第１仮想スライスが、ネットワークアクセスのためのルータ及びサーバを備えるステップと、
第２リスクタイプのユーザに第２仮想スライスへのアクセス権を与えるステップであって、前記第２仮想スライスが、ネットワークアクセスのためのルータ及びサーバを備えるステップと、
前記第１リスクタイプのユーザに対して第１クラスの保険料を課すステップであって、前記保険料が、セキュリティの欠如による損失に対して保険を与えるステップと、
前記第２リスクタイプのユーザに対して第２クラスの保険料を課すステップであって、前記保険料が、セキュリティの欠如による損失に対して保険を与えるステップと
を含む、方法。
【請求項１８】
前記ユーザの挙動を監視するステップと、挙動の変化に基づいてユーザのリスクタイプを変更するステップとをさらに含む請求項１７に記載の方法。
【請求項１９】
前記第１リスクタイプの前記ユーザが、セキュリティの欠如に基づく損失のより高いリスクを有し、前記第１リスクタイプユーザに対する前記保険料が、前記第２リスクタイプユーザに対する保険料よりも高い請求項１７に記載の方法。
【請求項２０】
アクセス権を与えるステップが、ネットワークサービスプロバイダを介してアクセス権を与えるステップを含み、保険料を課すステップが、前記ネットワークサービスプロバイダによって保険料を課すステップを含み、方法が、前記ネットワークサービスプロバイダに対応するユーザによって課される前記セキュリティリスクに基づいて、前記ネットワークサービスプロバイダに対して保険料を課すステップをさらに含む請求項１７に記載の方法。
【請求項２１】
命令を格納する１つ又は複数のコンピュータ可読記憶媒体を有する製品であって、前記命令が、ネットワークで実行されるとき、
ネットワークサービスプロバイダを介してユーザとセキュアスライスとの間のネットワークアクセスをルーティングするステップであって、前記セキュアスライスが、ネットワークリソース及び第１セキュリティレベルを有するステップと、
ネットワークサービスプロバイダを介してユーザと第２スライスとの間のネットワークアクセスをルーティングするステップであって、前記第２スライスが、ネットワークリソース及び第２セキュリティレベルを有するステップと、
前記第１スライスへのアクセスについて前記ネットワークサービスプロバイダに第１保険料を課金し、前記第２スライスへのアクセスについて前記ネットワークサービスプロバイダに第２レートを課金し、各スライス内のセキュリティの欠如の結果として生じる損失について前記サービスプロバイダに異なる支払いレベルを与えるステップと
を含む方法を前記ネットワークに実施させる、製品。
【国際調査報告】
2011520161.tif 000016
2011520161.tif 000017
2011520161.tif 000018
2011520161.tif 000019
2011520161.tif 000020